一些企事業單位出于安全考慮，需要做內外網分離。舉例來說，需要達到如下的技術要求：

1. 生產網、辦公網、外網三網隔離。

2. 啟用網絡準入，對非規定允許接入的設備禁止其接入網絡。
   

3. 上網數據留存。

在本文中，我將結合WSG上網行為管理來闡述如何實現內外網分離。

WFilter NGF上網行為管理系統（WSG網關）提供了豐富的系統調用API接口，具體的API接口請參考：WFilter API接口。在本文中，我將介紹如何用WFilter的API接口來直接查詢數據庫。以php為例，流程如下：

1. 下載并引用WFilterNGF的php sdk。
   

2. 調用login接口，獲取登錄的session。

3. 調用query_db這個api接口，可以直接查詢數據庫。

query_db需要兩個參數，第一個參數是數據庫名，第二個參數是查詢的sql語句。如下圖：

在如何用OpenVPN實現遠程辦公？一文中，我們介紹了如何用openvpn 2.4.7版本撥入WSG。在本文中，我將介紹如何用openvpn connnect3.2.3來撥入WSG的openvpn。最新版本的openvpn connect更加好用，而且支持開機自動啟動。

Openvpn服務端的配置過程不再贅述，請參考前文：如何用OpenVPN實現遠程辦公？下面只介紹openvpn connect的安裝部分：

1. 安裝openvpn connect

WSG的Openvpn服務端模塊，主要用于遠程辦公撥入和多地組網。Openvpn撥入后，在默認配置情況下，只有“推送路由”的訪問才會走vpn隧道。客戶端的外網數據仍然走的是自己的外網線路。在有些情況下，你可能需要讓openvpn客戶端的所有外網數據都經過vpn連接。要實現此功能，需要一系列的步驟，具體步驟如下：

有些單位出于網絡安全的需要，只允許使用公司的郵箱來收發郵件；其余的郵件方式一律屏蔽掉。在本文中，我將介紹如何用“WSG上網行為管理”來進行相關策略的配置。具體步驟如下：

出于安全目的和相關政策要求，大部分WiFi都需要對WiFi終端進行上網實名認證，并且保留一定時間內終端的上網記錄。實名認證目前主要都是通過短信認證來實現。在本文中，我將介紹如何用微信小程序來實現WiFi上網實名認證。微信小程序做上網實名認證具備如下優勢：

1. 配置簡單快捷。
   

2. 無需依賴其他平臺。

3. 不產生任何費用。

相關的配置步驟如下：

企業的內網存放著很多重要信息，比如公司的技術資料、客戶信息等。一旦發生信息泄露，會給企業帶來不可估計的損失。信息安全是系統工程，涉及到管理行政手段，文件加密技術、網絡安全技術等各方面。本文中，我將從網絡架構的角度，來論述如何保障內網的信息安全。主要涉及到如下兩點：

1. 如何防范非法接入？

2. 如何保障重要信息的安全？

酒店和賓館WiFi出于安全目的和政策要求，需要對WiFi終端進行上網實名認證，并且保留終端上網的上網記錄。WSG上網行為管理網關，既可以滿足上網日志的記錄，又可以實現上網實名認證，是公共WiFi上網行為管理的首選產品。在本文中，我將介紹如何結合客戶實際的網絡環境來部署WSG上網行為管理網關。主要包括如下步驟：

1. WSG上網行為管理的部署
   

2. 上網日志的保留天數

3. 開啟實名認證

4. 制作實名認證的二維碼

局域網內部有一些查詢資料的公共電腦，一般是多人使用。出于安全考慮，需要記錄每個人的上網記錄。WFilter NGF（WSG網關）默認配置就可以記錄上網內容，但是因為公共電腦人員不固定，所以需要配合Web認證。本文中，我將介紹如何用Web認證來對內網公共電腦進行實名上網記錄。

內部的實名認證，主要有如下方式：

1. 用戶名密碼認證。可以在“賬號管理”里面添加賬號；如果公司有現成的AD域、企業郵箱、Radius等；也可以配置WSG到域/radius/郵箱認證。
   

2. 釘釘認證、企業微信認證。可以直接用手機釘釘app或者手機微信app掃碼認證。

很多情況下，局域網內部的一些終端，比如領導電腦、移動pos機、內網服務器等，需要不加限制的訪問外網（即不受到任何上網行為策略的管控）。在WFilter NGF（WSG上網行為管理）中，我們主要通過“例外設置”來實現。本例中，我將介紹如何用例外設置來實現終端白名單的功能。

WFilter NGF（WSG上網行為管理）的WebVPN功能，既可以支持用戶名密碼認證登錄，還可以支持釘釘掃碼和企業微信掃碼登錄。WebVPN的用戶驗證方式如下圖：

在本文中，我將介紹如何給WebVPN添加釘釘掃碼認證和企業微信掃碼認證功能。

WSG上網行為管理的“事件查看器”中記錄了一系列的事件、告警以及錯誤信息，包括操作日志、wan口聯通狀況、入侵攻擊事件、以及自定義的關鍵詞告警、流量告警和新增設備告警等事件日志。傳統的郵件告警方式已經越來不能滿足實時通知的需要。在本文中，我將介紹如何利用企業微信機器人來實現事件日志的實時發送。具體步驟如下：

1. 創建企業微信機器人

在手機版的企業微信群聊中，添加群機器人，并記錄webhook的URL地址。如下圖：

WSG的“事件查看器”中記錄了一系列的事件、告警以及錯誤信息，包括操作日志、wan口聯通狀況、入侵攻擊事件、以及自定義的關鍵詞告警、流量告警和新增設備告警等事件日志。傳統的郵件告警方式已經越來不能滿足實時通知的需要。在本文中，我將介紹如何利用釘釘機器人來實現事件日志的實時發送。具體步驟如下：

1. 添加釘釘機器人

首先需要在釘釘pc版的群助手里面添加機器人

ZeroTier可以在無公網IP的情況下提供便捷的虛擬局域網組網和內網穿透方案。簡單來說, ZeroTier就是一個VLAN組建工具，主要有如下的優勢和缺點：

• 配置非常簡單，只需要在官網創建Network。客戶端直接加入Network即可。

• 跨平臺: ZeroTier提供了windows, macOS, linux, Android, iOS...幾乎全平臺的客戶端, 你可以把任意平臺的設備接入VLAN。

• 免費可以支持100個設備組網。
  

• 缺點：官網只提供英文，沒有中文版。

本文中，我將結合WSG上網行為管理網關，介紹如何用ZeroTier來實現遠程辦公撥入和內網穿透。

在企事業的WiFi環境中，需要對手機的上網進行實名管理，記錄上網內容并且設置一定的管理策略。本文中，我將介紹如何用WSG上網行為管理網關來對WiFi手機上網進行實名管理。

手機的上網實名認證，主要包括如下方法：

1. MAC綁定；把手機的MAC地址綁定到姓名。

2. 短信認證；通過短信認證來獲取手機號，基于手機號進行實名。

3. 用戶名密碼認證；手機上網時需要輸入用戶名密碼，從而認證到每個人。

4. 二維碼認證；由審核員掃描二維碼進行審核并且錄入姓名。

5. 釘釘、企業微信認證；用釘釘app和企業微信app掃碼認證上網。
   

6. 微信小程序認證；通過微信小程序獲取手機號碼，從而實現實名上網。
   

每個方法各有優缺點，用戶可以基于實際情況選擇合適的認證方式。

不加管控的局域網下載，不但會占用大量的帶寬資源，而且下載不明類型的軟件程序等會給局域網來的病毒等危害。在本文中，我將結合WSG上網行為管理網關，來介紹如何屏蔽局域網的下載行為。

下載行為的管控，主要從以下幾個方面來入手：

1. 屏蔽各類下載站的訪問。

2. 屏蔽各類下載工具、P2P下載軟件等。

3. 禁止網盤等文件傳輸。

4. 屏蔽網頁上的文件下載。

企業的無線網絡經常會迎來一些訪客，如果對訪客不進行用戶實名認證和上網記錄，則會給企業的網絡帶來一定的風險。WSG的WiFi上網實名認證，可以支持“用戶名密碼認證”“短信認證”、“釘釘認證”、“企業微信認證”。

網絡安全現在已經是互聯網領域的重要問題，網絡安全引發的事故也一直呈上升趨勢。中小企業雖然網絡環境比較簡單，但是一樣會受到網絡安全的威脅。如果不注重網絡安全，往往會導致企業的重大損失。下面我們就一起來看看中小企業面臨的常見網絡安全威脅：

企業出于工作的需要，一般會映射一些內網主機供外網訪問。比如：ERP系統、財務系統、CRM系統，甚至一些內網主機的遠程桌面等等。分公司、出差員工在外網通過互聯網就可以訪問到內網資源，給工作帶來了很大的便利。但是，不加限制和保護的端口映射訪問，給網絡安全帶來了很大的挑戰。

端口映射的內網主機安全，主要考慮如下幾點：

1. 被映射的內網主機要安裝防火墻，并且確保已經打了各項安全補丁。

2. 限制訪問端的IP地址，阻止從其他地區連入。一般可以在網關防火墻上進行配置，限制能訪問映射主機的IP地址。

3. 避免常用的端口。比如你用默認的3389端口，那么攻擊程序立刻就知道這是遠程桌面服務，從而就可以采用對應的滲透手動來攻擊。采用一些不常用的端口可以起到一定的保護作用。

4. 部署入侵防御，一旦發現外網攻擊時，可以及時阻止攻擊者的IP地址。從而保護內網主機。

近年來公安部持續推出護網行動，以戰養兵，推進關鍵信息基礎設施的安全監測、應急響應等保障能力。為積極響應護網行動，做好安全防守工作；本文中，我將結合WSG上網行為管理網關來介紹網絡邊界的安全防護工作。服務器安全、內網安全并不在本文討論的課題內。

利用“擴展插件”中的“NGF配置同步插件”可以同步多臺WFilter NGF（WSG硬件）的相關配置，這個功能在管理維護多臺WSG設備時非常實用。在本文中，我將結合WSG上網行為管理網關來介紹“NGF配置同步插件”的使用步驟。

1. 準備工作

1. 首先要有一臺WSG作為服務端，其他做為客戶端。服務端可以直接把配置推送給客戶端，也可以等客戶端主動來進行同步。
   

2. 多臺WSG之間通過Web來同步配置，所以要確保服務端和客戶端之間的Web連接可達。（在服務端可以訪問客戶端的web，或者客戶端可以訪問服務端的web）

3. 創建同步用戶。每臺WSG都應當建一個用戶名密碼一樣的操作員用于進行同步操作。

4. 下載“NGF配置同步插件”，并且進行配置。

在WFilter NGF的“運營管理”中，我們可以配置終端的帶寬策略、用戶賬號、到期時間等信息。本文將結合WFilter NGF的“運營管理模塊”介紹如何對接第三方的支付平臺。

一、運營管理模塊的配置

1. 給用戶創建不同的帶寬套餐

釘釘的通訊過程比較復雜，需要用到釘釘相關的網站、阿里云平臺，還有一些私有的通訊協議。所以要達到“只允許釘釘并且屏蔽其他網絡行為“這個管控效果，一般的路由器是做不到的，需要專業的上網行為管理產品才可以。專業的上網行為管理產品可以準確識別出釘釘的流量并且加以管控。

當前網絡安全形勢嚴峻，來自外網的攻擊與日俱增。局域網一不小心就會受到病毒、蠕蟲、勒索軟件的攻擊，導致嚴重的損失。本文中，我將結合WSG網關（WFilter NGF）來介紹如何阻止外網的攻擊。請注意，本文只討論如何阻止網絡攻擊，單機的防護是另外的課題不在本文的討論范圍內。阻止外網攻擊主要包括如下部分：

釘釘的使用過程中必須連接外網，對于網絡權限設置比較嚴格的局域網來說，如何開放釘釘一直是一個難題。由于釘釘官方已經不再公布服務器的段，所以不能基于IP范圍來做管控。必須要有專業的上網行為管理產品，才可以準確識別出釘釘的流量并且加以管控。

本文，我就來介紹下在WSG上網行為管理網關中如何放行釘釘。釘釘的使用需要通過https訪問釘釘相關的網站，另外還有自己的通訊協議（端口443）。所以要放行釘釘，我們需要放行DNS、釘釘這兩個應用協議，并且允許釘釘的相關網站。具體的配置步驟如下：