當防火墻檢測到某個IP存在病毒攻擊或者異常流量時，網管技術人員往往需要到電腦上面進行后續操作。而對于自動獲取IP的局域網來說，如何定位IP地址的電腦位置一直是一個技術難題。如果沒有好的工具，最笨的辦法就是一臺一臺電腦進行查看，通過比對IP地址和mac地址來定位。那么還有哪些聰明一些的辦法呢？
有網管交換機時，可以在網管交換機上查看arp表找到該IP地址所在的端口，然后根據端口順藤摸瓜，從而定位電腦的物理位置。比如，在交換機上執行“disp arp”命令（不同型號的交換機命令不一樣），可以得到如下結果：
在WFilter NGF(WSG上網行為管理網關）的”Web認證“配置中，可以基于IP范圍來配置要進行Web認證的客戶端。實際使用中，有些局域網電腦和手機無線終端都混雜在同一個網段，這種情況下，如果要只對電腦做認證，或者只對手機做認證，就不能通過IP范圍來實現了。需要修改默認的認證頁面，基于瀏覽器的useragent來獲取客戶端操作系統類型，并且判斷是否放行（無需認證直接放行）。
如下圖，點擊”編輯Web認證頁面”，然后點擊源代碼圖標。
在上網行為管理如何實現釘釘掃描二維碼進行Web認證登錄這篇文章中，我們介紹了如何用手機釘釘掃碼登錄電腦。電腦在上外網之前，需要用手機釘釘掃描二維碼才可以使用網絡，并且記錄該用戶賬號的上網內容。而在實際使用中，有些用戶還想對手機上外網進行用戶認證，從而可以識別到手機的員工姓名并記錄上網日志。
本文中，我將介紹如何用手機釘釘掃碼對自身手機進行Web認證。
在認證前，該手機是無法上外網的。大部分手機會自動彈出Web認證頁面（也可以手動在瀏覽器里面打開），如下圖：
WSG上網行為管理網關（WFilter NGF）的Web認證功能非常強大，可以支持多種用戶名認證（本地用戶、郵箱認證、域認證、Radius認證等），還可以支持短信認證、微信認證、釘釘認證等第三方認證。不過在有些情況下，用戶還希望WSG可以對接第三方的Web認證界面，即通過其他的Web認證系統進行認證，而由WSG來實現上網管控和上網記錄。本例中，我將介紹如何用WSG來對接第三方Web認證平臺。
“Web認證”的需求是對需要管控的員工網段開啟認證，一些電腦不開啟認證。如圖：
1. 設置要管控的IP范圍
2. 設置一個合理的超時重新認證時間，1440就是每天都需要重新認證一次。
3. 領導的mac地址加到“例外的MAC地址”
企業微信,是騰訊微信團隊為企業打造的專業辦公管理工具。與微信一致的溝通體驗,豐富免費的OA應用,并與微信消息、小程序、微信支付等互通,助力企業高效辦公和管理。在“如何實現釘釘掃描二維碼進行Web認證登錄？”一文中，我們介紹了如何用釘釘掃碼認證上網。而一些局域網采用的是企業微信來做辦公管理。本文，我將結合WSG上網行為管理網關（WFilter NGF）中的“Web認證”功能，介紹如何利用企業微信的掃描二維碼功能來實現內網用戶的Web認證登錄。該功能有如下優勢：
直接用企業微信掃碼登錄，無需在WSG系統內創建用戶。
可以自動獲取并記錄企業微信的員工姓名。
可以基于企業微信員工姓名配置上網策略和統計。
一些配置的步驟和截圖如下：
釘釘（DingTalk）是阿里巴巴集團專為中國企業打造的免費溝通和協同的多端平臺。釘釘因中國企業而生，幫助中國企業通過系統化的解決方案（微應用），全方位提升中國企業溝通和協同效率。一些局域網為了信息安全和管理需要，需要用戶進行Web認證后才可以使用局域網，并且記錄該用戶賬號的上網內容。
本文，我將結合WSG上網行為管理網關（WFilter NGF）中的“Web認證”功能，介紹如何利用釘釘的掃描二維碼功能來實現內網用戶的Web認證登錄。該功能有如下優勢：
直接用釘釘掃碼登錄，無需在WSG系統內創建用戶。
可以自動獲取并記錄釘釘的員工姓名。
可以基于釘釘員工姓名配置上網策略和統計。
一些配置的步驟和截圖如下：
在如何對來賓用戶進行上網行為管理中，我們介紹了基于VLAN或者DHCP范圍來區分來訪人員和普通辦公人員。在本文中，我將介紹另外一種較典型的方式：“對辦公人員進行IP-MAC綁定；并要求來訪人員Web認證。”
首先需要在IP-MAC綁定中錄入辦公人員的IP和MAC地址（略）。然后再進行下述配置：
IP-MAC綁定后，辦公電腦DHCP獲取的都是綁定的IP地址。為了區分辦公電腦和來訪人員的IP地址，我們首先需要設置DHCP的范圍和辦公電腦綁定的IP范圍區分開。
蘋果（IOS）、以及一些新的andriod和windows系統，在連接網絡時，會自動檢測網絡是否連通以及是否存在認證頁面（Captive Web Portal），一旦發現網絡需要認證，操作系統會自動彈出認證頁面供用戶進行認證。這個功能最早是在IOS上實現的，所以一些老版本的安卓系統或者windows系統并不會自動彈出認證頁面。
WFilter NGF中的“Web認證”完全按照Web Portal認證的標準來實現，在WFilter NGF中開啟”Web認證“后，也會存在一部分系統不能自動彈出認證頁面的情況。一般有如下原因：
客戶機操作系統比較老舊。安卓4.0和windows 8.0之前的版本都不支持自動彈出。
客戶機的瀏覽器問題導致不能自動打開瀏覽器。
本文中，我將結合WSG的相關功能來介紹如何解決此問題。一般而言有三種辦法，具體描述如下：
在阿里云短信認證網關的具體實現這篇文章中，我們介紹了如何使用阿里云的php sdk來實現短信認證功能。在實際使用中，有一些用戶不具備開發sdk的技術能力。所以在最新版的WFilter NGF系統中，我們集成了阿里云的SDK模塊。用戶無需搭建SDK的web服務等環境，即可實現阿里云短信認證的功能。
本文中，我將結合阿里云短信平臺來介紹WFilter NGF的短信認證功能。
首先要創建AccessKey
根據《中華人民共和國網絡安全法》（第十條、第二十一條、第二十四條）、《中華人民共和國反恐怖主義法》（第十九條、第二十一條）、《計算機信息網絡國際聯網安全保護管理辦法》(第十條、第十一條、第十二條、第十七條)、《互聯網安全保護技術措施規定》(第七條、第八條、第十一條)等相關法律規定，公共無線上網場所應當落實相關網絡安全保護技術措施。而從2018年11月1日開始正式施行的《公安機關互聯網安全監督檢查規定》（公安部令第151號），是網絡安全執法檢查工作與《網絡安全法》的深度結合，對執法過程進行了詳細的規定，使得監督檢查工作做到依法檢查、依法處置。簡單的說，有兩條需要值得我們重點關注的地方：
1. 提供WiFi上網服務的公共場所，必須落實上網實名認證。
2. 提供上網服務的公共場所，必須至少保存六十天的上網記錄備份。
自從2014年騰訊推出“微信連Wi-Fi”功能以來，“微信WiFi”一度成為商業公眾號的吸粉利器。手機連接WiFi即可自動打開公眾號，或者掃描二維碼打開公眾號。既滿足了客戶WiFi上網，又可以滿足商家漲粉的需要。
對人員流動比較頻繁的局域網來說，首要的一個問題就是要進行網絡的準入認證，記錄用戶的身份信息和上網日志。從而使網絡行為有據可查，也能滿足職能部門的督察需要。WFilter NGF中的幾種認證機制，優缺點比較如下：
用戶名密碼認證。需要維護用戶名密碼，適合人員比較固定的網絡。
微信WiFi認證。微信WiFi的流程是打開公眾號即可上網，并且記錄微信的openid。適合在人員流動大的網絡環境中做營銷推廣。
手機短信認證。通過手機接收驗證碼來上網，記錄手機號和上網記錄。適合人員流動比較大的網絡環境留存身份信息和上網審計記錄。
本文中， 我將結合一個實際例子來介紹WFilter NGF（WSG網關）的短信認證功能。
微信WiFi的默認流程，已經從最初的“關注公眾號”變成了目前的“打開公眾號”。應該說，“打開公眾號但是不強制關注“其實是一個更加人性化的做法；因為任何誘導/強制關注，都會影響最終用戶的體驗和公正性原則；長遠來看會影響公眾號的發展。微信WiFi如下圖：
WFilter NGF的“Web認證”模塊，提供了一系列的上網認證解決方案。包括如下認證方式：
本地用戶名密碼認證
AD域用戶名密碼認證
企業郵箱用戶名密碼認證
Radius用戶名密碼認證
微信WiFi認證
Facebook Wifi認證
除此，WFilter NGF還有一個“其他”的選項，利用這個選項，你可以擴展更多的用戶認證方式，比如“短信認證”，使用者必須輸入自己的手機號碼，獲取驗證短信后輸入才可以上網。如圖：
對于局域網信息安全來說，首要的一點就是接入認證，缺少接入認證，那內網安全完全無從談起。而在接入認證中，“Web Portal認證”是目前應用最為廣泛的一種方式。那么，今天我們來看看WFilter的“Web認證”提供哪些認證解決方案。
首先，WFilter NGF的“Web認證”包括兩個部分：
用戶名認證：基于用戶名口令的認證方案
營銷認證：主要是微信WiFi（國內）和Facebook WiFi（國外）。
WFilter NGF（WSG上網行為管理網關）的“Web認證模塊”主要包括兩個部分：“用戶名認證”和“營銷認證”。
用戶名認證：輸入用戶名口令來認證上網。
營銷認證：國內主要是“微信WiFi”，國外主要用“Facebook WiFi”。
本文中，我將簡單介紹如何用WFilter NGF（WSG上網行為管理網關）來實現微信掃碼上網。
微信WiFi，又名“微信連WiFi”。這個功能要求連接WiFi的用戶關注公眾號后上網，既可以推廣公眾號，還可以顯示廣告位，具備很實用的商業價值。微信WiFi認證的實現，有如下辦法：
廣告路由器。直接把微信WiFi集成在無線路由器中，通過路由器界面或者云管理來進行配置。
認證網關（網橋） + 無線AP的方式。由認證網關網橋來進行微信WiFi認證，無線AP只提供無線接入。
旁路軟件 + 無線AP的方式。由旁路軟件來推送認證頁面，無線AP只提供無線接入。
這三種方案，廣告路由器的方案比較適合小環境，成本和實施都非常的簡單。如果網絡有一定規模，不適合部署多個廣告路由器時，就需要考慮第二和第三種方案。“認證網關”和“旁路軟件”的主要差別在于部署模式。
現在很多企業局域網都是全無線覆蓋，給員工和客戶的網絡接入提供了很大的便利。無論在公司或者廠區的任何位置，都可以很方便的接入到公司局域網和互聯網。但是這樣也帶來了不可避免的安全性問題：一旦有未經授權的網絡接入，不但會占用寶貴的帶寬資源；而且會帶來病毒、黑客攻擊等局域網安全問題。
所以，局域網在做無線覆蓋的同時，一定要考慮到安全問題。一般來說，可以從兩方面入手：
合理的劃分VLAN。無線接入應當處于單獨的VLAN，并且控制該VLAN對企業內部資源的訪問。即使有惡意的攻擊，也可以被控制在無線VLAN內部。
對無線上網的設備進行用戶認證。
對無線上網的設備進行ip-mac綁定。
記錄無線上網的上網記錄，包括ip地址、mac地址、網站訪問等信息。供需要時查詢。
小區寬帶的網絡管理、上網行為管理方案，主要需要滿足以下幾點需求：
用戶認證；基于電話號碼、身份證號碼、門牌號等進行用認證。
帶寬分配；對同一個用戶需要進行限速和流量限制（比如：2Mb帶寬，每月50G流量）。
行為管理；一些不合適的內容需要禁止掉。
上網記錄；訪問的網站、論壇發帖等行為需要記錄下來，供職能部門審核。
用戶通知；流量套餐的使用情況、賬號到期、是否欠費等情況，都要有途徑通知到用戶。
WFilter NGF的“運營管理”模塊，集成了用戶認證、帶寬策略、用戶通知等一系列功能，為小區寬帶的網絡管理提供了一個綜合的解決方案。本文將給WFilter NGF的“運營管理”做一個簡單介紹。
酒店局域網的網絡管理、上網行為管理方案，主要需要滿足以下幾點需求：
用戶認證；一般需要基于房號或者身份證號進行用戶認證。
帶寬分配；對同一個用戶需要進行限速和流量限制（比如：2Mb帶寬，每天10G流量）。
行為管理；一些不合適的內容需要禁止掉。
上網記錄；訪問的網站、論壇發帖等行為需要記錄下來，供職能部門審核。
WFilter NGF的“運營管理”模塊，集成了用戶認證、帶寬策略、用戶通知等一系列功能，為酒店上網行為管理提供了一個綜合的解決方案。本文將給WFilter NGF的“運營管理”做一個簡單介紹。
經常有些客戶問到如何用“WFilter上網行為管理軟件（超級嗅探狗）”來禁止局域網內未登錄到域的客戶機上網，所以寫了這篇博文。
首先，您應該已經部署了微軟的域控，并且啟用了“WFilter上網行為管理軟件”中的“域監控”功能，具體步驟請參考：WFilter賬號監控方案
啟用了賬號監控后，請按照如下步驟來禁止未登錄域的客戶機上網。
雖然企業的域控可以解決電腦權限的問題，但是如果互聯網訪問權限不能和AD域用戶結合，會促使局域網內的用戶采用自帶的移動設備或者個人電腦來訪問企業網絡和互聯網；從而給企業網絡帶來安全隱患。
為了網絡管理和安全的需要，有些局域網需要禁止非域的客戶機上網，當電腦或者移動設備未登錄到域時，禁止其上網；并且強制未登錄的客戶機進行Web用戶認證，從而可以基于域用戶進行監控管理。
本文將介紹如何用“WFilter上網行為管理系統”（WFilter NGF）來禁止非域客戶機上網。具體步驟如下：
有些網絡環境，人員的流動比較多，設備也不固定，很難基于IP地址或者MAC地址去進行管理。基于賬號的Web認證就是首選的認證方案。
本文將介紹如何用“WFilter上網行為管理系統”（WFilter NGF）來進行Web認證。
輸入Web認證的IP范圍，驗證方式等參數。本例中，用的是域的遠程Radius認證，如果沒有域控制器，您也可以自己在WFilter中添加賬號，進行本地認證。如下圖：
在局域網環境中，“基于IP地址“和”基于MAC地址“都是重要的上網行為管理的策略配置方式。但是，兩者都存在各自的優缺點：
優點：適用于所有網絡環境。
對于中小型局域網環境，以及無線移動設備上網的環境，在IP地址不固定，設備也不固定時，可以使用WFilter中的“自定義賬戶”功能。可以對局域網內的客戶機基于賬號進行監控和上網行為管理。比如上網想做一些管理策略，但是也沒必要做太復雜的設置，這個功能是最好的，而且操作設置特別簡單明了。
本文將介紹如何使用“WFilter上網行為管理軟件”的“自定義賬戶”功能進行賬號驗證。
