笨驴技术(IMFirewall)博客

之前有用户反映过一个挺困扰的问题：就是腾讯的QQ经常会自动下载QQ电脑管家和QQ浏览器，占用大量的带宽资源，而且给PC机的管理带来麻烦。如图，你只要点击“一键领取”，就会自动下载并安装腾讯的相关软件。

本文中，我将介绍如何用WFilter ICF来禁止这些软件的自动下载安装。

上网行为管理的部署方式主要有旁路、网关、网桥这三种部署方式。在之前的一篇博客“企业上网行为管理部署方案”中，我们已经简单介绍了三种方案的优缺点。那么在本文中，我们再侧重介绍下“网桥”和“网关”两种模式的优缺点比较。

经常有用户问到上网行为管理是软件好还是硬件好，实际上硬件从本质上来说也是软件，只不过是预装好的系统。所以从功能上来说，硬件和软件并没有区别，差别主要在稳定性、兼容性和服务上。

本文将着重从稳定性、兼容性、服务上讨论上网行为管理软件和硬件的区别。

企业在部署上网行为管理时，对方案的选择需要考虑如下因素：

1. 是否需要改变现有的网络结构？

2. 是否需要对现有设备进行重新配置？

3. 对现有网络稳定性和网速的影响。

4. 网络结构改造的工作量。

除非现有的设备面临升级换代，我相信大部分人都不会选择替换现有的设备和改变网络结构。那么首选的方案就是两个：“旁路部署方案”和“网桥部署方案”。这两个方案，都可以透明部署，无需改变现有结构，也不会带来对性能和网速的影响。具体的比较如下：

现在大部分企业或多或少都会有一些业务要发布到互联网上供外网访问，比如：ERP系统、OA系统等。为了保证这些业务的正常运行，需要提供一个稳定的带宽保障，如何解决内网办公和外网访问的带宽共享，也是一个让大部分网管头疼的问题。

本文中，我将结合一个实际的网络改造例子，来介绍如何保障互联网业务的带宽。

1. 网络结构介绍

本例中，用户之前用的是一个普通的多WAN口路由器，接了三根光纤（两个固定IP），用两个固定IP分别映射到内网的OA系统和ERP系统。在实际使用中，由于内网的流量比较高，外网用户经常会反映连接不上ERP/OA系统。结合公司的上网行为管理系统，决定购买一台“WSG-500E上网行为管理网关”，替代掉现有的路由器。网络结构图如下：

有些用户为了提高网速，一味的申请更多的带宽，其实是不足取的。要保证局域网的网速，带宽虽然不可或缺，但是正确的组网方式和管理手段更加重要。在当前的网络环境下，出口带宽500K/人就完全可以满足正常的上网需要，举例来说，100人50M带宽，50人20M带宽。

本文中，我将介绍一个典型的多线路局域网改造方案。

对于一个小型的局域网环境（终端数少于50）来说，一个企业级上网行为管理路由器就可以实现基本的上网行为管理功能。当然，路由器的功能比较局限，对于上网内容记录、上网统计、网址库过滤等高级功能，你就需要部署一台专业的上网行为管理来实现了。

本文中，我将介绍少于50客户端的局域网，如何部署一台专业的上网行为管理设备？

你需要一台双网卡的PC机或者x86架构的工控机，安装上WFilter NGF上网行为管理系统。

很多局域网采用的是“防火墙/路由--三层交换机--二层交换机”的拓扑结构，而由于三层交换机的配置相对来说比较复杂，在这样的局域网中部署上网行为管理，用户往往会面临如下的一些问题：

1. 找不到交换机的管理员用户名和口令。
   

2. 没有技术人员可以修改交换机的配置。

3. 没有交换机厂商技术支持。

其实在有三层交换机的网络环境中部署上网行为管理并不困难。在本文中，我将分别介绍“网桥部署”和“网关部署”的两种方案。我们的方案，都尽量避免了对交换机的配置进行修改。

电脑修改IP，最直接的结果，会导致这个电脑不能上网，如果改成另外一台电脑的IP，那么IP会冲突，两个电脑都没法上网。这样的问题，不是大问题，但是却很麻烦，如果是想在本机禁止，网上有一水的经验和方法，就不一一介绍的。但是如果碰到员工自己的电脑，或者网管的爪子伸不到电脑上，那么如果在网络层管理呢？

1. 如果您是域环境，做禁止修改IP也好做的。给每台电脑设置固定IP地址，且不开放管理员权限（客户机无法自行修改）。这个方案只能对电脑起作用，一般在域环境的局域网用的比较多。如图中的组策略配置。

WFilter NGF的整个系统设计都遵循了API设计的原则，甚至可以说，现有的WFilterNGF的UI就是基于我们的API系统开发而成。本文，将结合一个简单的例子，来演示下WFilter NGF的API调用。需求很简单：“调用WFilter的API，对某个IP进行限速和Web过滤。”

首先，要进行WFilterNGF的相关配置。

由于限速和Web过滤是分开的模块，那么我们的思路是建立一个“虚拟组”，对这个虚拟组配置限速和Web过滤策略，API调用只需要把这个IP加入到虚拟组即可。