企业网管都有这样的感受：再坚固的网络防线也经不起来自内部的风吹雨打，网络防线最薄弱的环节往往是人。这是“木桶效应”在网络安全中的表现，基于此科学的网络安全控制应该从人开始。比如员工在上班时间上网聊天、玩游戏、炒股等等，这是任何一个老板都不愿意看到的。更有甚者由于浏览一些非法网站，导致客户端中毒、中木马，进而影响整个局域网。如果这样，那么网络管理员的厄运就到来了。那么有没有办法可以有效杜绝员工的这种行为呢?其实通过“聚生网管”（官方网址：http://www.grabsun.com/ ）这个工具就可以非常方便地做到这些。下面笔者以此工具为例演示对于企业员工的网络安全控制。

一、控制P2P下载工具和P2P视频工具

P2P以其独特的技术优势在这几年内迅速发展，其应用不断增长。据统计，P2P应用已占ISP业务总量的60%～80%，跃然成为网络带宽最大的消费者。具体到企业的网络管理中，P2P下载和P2P视频似乎是一个很普遍的现象，工作中应用到P2P技术很少，大部分都是一些不守纪律、缺乏职业道德的员工利用公司的网络挂一些P2P工具进行下载或者观看P2P视频，并且这种行为常常发生在上班时间，所以我们常常听到企业的网管抱怨：企业的带宽已经足够大，但是经常会出现堵车的现象，影响企业各项业务的正常进行。究其原因，一般就是这些P2P工具在作祟，所以有效封堵这些P2P工具，已经成为企业网络管理中的一个首要问题。

聚生网管系统通过独创的“虚拟网关”技术，并结合自创的P2P报文的协议解析和过滤技术，在局域网任意一台电脑安装，就可以有效封堵整个局域网内的P2P下载和P2P视频，遥遥领先国内采用交换机做端口镜像、代理服务器或者HUB的架构方式（这样的架构方式可以控制TCP、HTTP报文，却无法控制P2P报文、UDP报文，这是基于互联网网络协议的原理决定的，从而也就无法控制P2P软件了）；同时，较之于那些需要在局域网的电脑上安装客户端的网络监控软件（这种架构通过服务端向客户端发送进程结束的指令来关闭客户端的P2P软件来实现的，如果客户端更改P2P软件的名字就可以绕过监控了），也更为简单和快捷，同时也更为有效。目前聚生网管系统集成的P2P下载工具和P2P视频工具的有：BitComet(比特彗星)、eMule(电骡)、eDonkey(电驴)、Poco/PP点点通、Kamun(卡盟)、迅雷、Vagaa(哇嘎画时代)、Kugoo(酷狗)、Baidu下吧、BitSprit(比特精灵)、μTorrent、百宝、Shareaza(Raza)、aBitCool(网酷)、Tuotu(脱兔)、PPLive、PPFilm(皮皮影视)、PPVOD(PP点播)、PPStream(PPS网络电视)、QQLive(QQ直播)、ViviPlay(TVKoo网络电视)、UUSee(悠视网网络电视)、CoolStreaming、沸点网络电视、PPMate(网络电视)、猫眼宽频、TVAnts(电视蚂蚁)、超级旋风、网际快车、网络蚂蚁、脱兔等，尤其是可以完全禁止国内其他网管系统一般无法控制的迅雷（包括迅雷5和WEB迅雷，迅雷采用多点HTTP下载技术，并结合各种成熟的P2P技术，使得迅雷是当前下载速度最快的P2P软件），从而使得聚生网管是当前控制P2P软件最多、最彻底的网管系统，聚生网管公司会实时拦截最新出现的P2P工具，保证对企业网络管理尤其是P2P管理方面时刻掌握主动性。 如下图1：

 
图1：拦截P2P下载和P2P视频

二、控制上网聊天

在企业的网络环境中，网络聊天是非常普遍的现象，很多公司职员一上班就打开各种聊天软件，如QQ、MSN等等进行网络聊天。从实际的情况来看，各种聊天工具真正用于工作上的少之又少，绝大多数都是聊与工作无关的私事。针对这种情况，聚生网管集成了当前最流行的12种聊天工具，如：QQ，MSN，网易泡泡，新浪UC，QQ传文件，MSN传文件，AIM(ICQ)，Skype网络电话，SoQ搜Q，阿里旺旺，雅虎通Yahoo，IRC等等，是国内限制聊天工具最多、最有效的网管软件。值得说明的是，聚生网管控制聊天工具尤其是国内其他网管软件难以封堵的QQ、skype等等，也只需要点点鼠标就可以控制，远远领先于国内类似的控制软件。同时，聚生网管系统还针对企业信息安全的需要，增加了控制msn、qq等传输文件限制的功能，从而避免了企业雇员通过QQ、MSN的文件传输功能将企业的商业机密盗取的可能性。如图2：

 
图2：拦截各种聊天工具

三、限制主机的带宽流量

在企业的网络管理中，有时候我们会发现局域网某些电脑的带宽占用十分惊人，而这种占用除了P2P占用之外，还可能是其他非P2P的占用，这种占用带宽的行为可能是用于工作，但是也可能是非工作占用带宽，这个我们实际上无法真正精确判断，但是我们也必须对带宽占用进行合理的分配，因为在出口带宽大小一定的情况下，个别主机对网络资源过量占用肯定以牺牲局域网其他用户的带宽资源为代价的，所以对带宽的合理、均衡分配也必不可少。

聚生网管系统通过限制上行和下行的带宽，从而可以防止局域网个别主机过量占用带宽而影响其他人上网，保证各项网络业务的正常运转；同时聚生网管系统可以对带宽进行智能判断，也就是发现主机进行P2P下载的时候，聚生网管系统就会自动限制其带宽，而当主机停止P2P下载，则其带宽又会恢复到正常水平，从而可以约束局域网某些不安分的电脑。同时，聚生网管系统也可以允许管理员为局域网个别或者全部主机指定一个总流量，或者对其上下行流量分别进行限制，从而可以从总量上控制局域网主机对网络资源的占用。如图3：

 
图3：限制主机带宽

四、控制网络炒股、网络游戏

聚生网管系统正式版，集成了几乎当前所有流行的炒股软件拦截规则和网络游戏拦截规则，通过聚生网管系统预设的ACL访问控制列表，你可以将规则导入进去即可对这些股票软件、网络游戏软件进行有效的控制。聚生网管系统目前集成了大约30余种股票软件、20多种网络游戏等等。比如流行的大智慧、同花顺股票软件，以及流行的QQ游戏、中国游戏中心、传奇游戏、盛大游戏等等。通过对股票软件和网络游戏软件的有效控制，从而有效杜绝员工不合理的上网行为，严肃工作纪律，提高工作效率。
    
五、对局域网主机的强制管理

大家知道，任何木马或黑客程序都需要与本地网络进行连接后，才能发挥其攻击破坏作用，如果我们能想办法在系统启动的一刹那就自动断开网络连接，然后及时启动杀毒软件或其他安全防范程序对本地硬盘中的病毒、木马或黑客程序进行立即清除，待所有上网风险被排除之后再重新将网络连接接通，那样的话我们就能有效避免上网风险了。

为了让系统在启动的一刹那自动断开网络连接，聚生网管2008版本特别集成了局域网主机强制隔离功能。通过聚生网管的强制隔离功能，你可以将局域网中病毒的电脑进行强制隔离，被隔离的电脑将无法访问局域网的其他电脑，不能访问共享资源和其他网络设备，从而避免病毒在局域网的疯狂传播，保护局域网其他电脑的网络安全。
    
总结：在企业局域网中规划部署相关的策略，实现对客户端(人)的控制，就能在最大限度上加固网络安全。当然，不同的企业、不同的部门有不同的安全要求，网络管理员合理利用一些工具就能在最大程度上解放自己，维护网络安全。（文章版权归大势至（北京）软件工程有限公司，保留一切权利！）

相关链接：

典型案例

详情：http://www.grabsun.com/shownews169.htm