笨驴信息(IMFirewall)博客

相对于二层交换机的网络环境，在三层交换机环境下部署上网行为管理的步骤要复杂一些，差别主要在“静态路由”和“MAC地址收集器”，还有上层防火墙的一些安全策略的影响。在本文中，我将结合一次实际的安装经历，介绍三层环境下用网桥模式部署WSG上网行为管理的一些常见问题。

1. 配置并部署网桥

本例中，网关是华为USG防火墙172.16.200.253，三层交换机是172.16.200.254，子网掩码都是255.255.255.0。既然200段IP是足够的，所以我就直接把管理口设置在网桥上面，把WSG的IP设置为172.16.200.252，网关地址和DNS是防火墙的IP地址172.16.200.253。

WFilter NGF上网行为管理系统支持“Logo修改器”扩展插件，可以实现如下功能：

1. 自定义产品名

2. 自定义产品Logo图标

3. 自定义网站链接

4. 自定义界面皮肤

该“Logo修改器”扩展插件的使用界面如下图：

采用钉钉做上网实名认证存在很多优势，比如：

1. 可以直接利用钉钉中现有的组织架构，不需要另行创建认证的账号。
   

2. 和短信认证相比，不会产生费用。

3. 电脑和手机都可以支持。

4. 可以自动获取并记录钉钉的员工姓名。

5. 可以基于钉钉员工姓名配置上网策略和统计。

在“域账号”中，我们介绍了在server 2003/2008下如何设置adclient登录注销脚本。如果您用的是server 2016之后的windows系统，配置步骤略有差异。本文将介绍如何在server 2016下配置登录注销脚本。具体步骤如下：

1. 打开组策略编辑器

右键点击“组策略管理”中域的“组策略对象”下面的“Default Domain Policy”。

很多公司出于工作需要，都会提供远程办公拨入的VPN，供员工在外地可以连接到企业内网处理工作。但是这也带来一些安全方面的隐患；所以很多情况下，我们需要对外网拨入后的访问权限进行控制。

在本例中，我将结合WSG上网行为管理网关的openvpn来介绍如何限制外网拨入后的访问权限。