基于网务通AIO的网络管理解决方案

一、产品背景介绍1、市场分析随着国内网络运营商之间的市场竞争日趋激烈，网络接入线路租费呈现整体下降的势头，尤其是宽带接入服务的普及，为广大中小企业用户敞开了互联网的大门，企业上网已经成为一个普遍趋势。

各种宽带的接入技术为企业用户提供了高速上网的条件，从而可以通过各种信息化应用，提高工作效率，降低运营成本，拓展市场空间。

但是随着网络应用的发展和深入，许多问题相继暴露出来，我们将这些问题总结为互联网时代的“网络危机”：（1）工作效率危机相当多的企业为员工提供高速上网的便利后，员工的工作效率不但没有提高，反而适得其反。

因为很多人喜欢在工作的同时进行与工作无关的网络访问，例如网上冲浪，下载电影或MP3，跟网友聊天，炒股，玩网络游戏等等，其结果是无法专注于工作。

（2）信息安全危机毫不夸张地说，计算机病毒是企业IT人员最心悸的噩梦之一。

尽管企业纷纷购置了各种杀毒工具软件，却仍然无法逃脱病毒大爆发的厄运。

互联网为病毒传播创造了有利的条件，对于进出企业内部网络环境的电子邮件的疏于管理已经构成威胁企业信息安全的主要漏洞。

另一方面，来自外部的黑客渗透和攻击，以及个别员工有意或无意地将敏感资料外泄的行为，也往往屡屡导致企业在毫无察觉的状态下蒙受重大损失。

（3）网络带宽危机当企业的全体用户通过一个互联网出口实现共享上网的情况下，由于带宽资源是有限的，一些关键应用和重要用户往往面临带宽不足的困境。

许多企业不得已只好另外增加1条线路，专门用于重要信息应用的网络访问，不仅线路租费上升，而且线路带宽往往得不到充分利用。

事实证明，企业上网绝对不是象家庭用户申请开通一条ADSL那么简单。

产生上述三个危机的根源在于——企业IT管理人员对于网络缺乏有效的监管手段导致企业内部用户的无序上网，进而造成网络资源的浪费。

一个相对完善的企业互联网接入方案不仅包括路由器、网络防火墙等等基础配置，同时还需要病毒过滤网关、带宽管理设备、内容过滤设备、网络监视设备等等。

然而这种多个设备组成的复杂解决方案的购买成本往往是多数中小企业难以承受的，同时对这些设备的管理和维护难度也是非IT类企业无法接受的。

对如此市场需求，惠联无限公司迅速推出了具有自主知识产权的一体化解决方案—『网务通All in one』（简称网务通）系列，一种面向网络应用管理的多功能接入网关设备。

2、产品简介『网务通』采用精心设计和优化的嵌入式操作系统，基于工控标准的硬件平台，是一个软件、硬件结合的产品。

作为网关产品，『网务通』提供企业共享上网所需要的全部功能：1）路由器——提供完整的路由功能，支持用户的多子网结构的内部网络；2）防火墙——抗DoS攻击，支持过滤规则自定义，提供DMZ、DNAT/SNAT功能；3）DHCP——可以充当DHCP服务器，同时也提供DHCP relay功能；4）DNS服务器——为用户提供企业内部的名称解析服务；5）PPPoE拨号——提供ADSL拨号功能，支持断线自动重播；6）多路接入均衡——支持一条以上的网络接入，自动分配负载以及检测线路连通状态。

在此基础上，『网务通』提供了一系列网络应用管理功能，具体包括：1）上网行为管理——通过网络端口访问控制和网站访问控制，规范用户的上网行为；2）邮件管理——对pop3邮件进行病毒邮件查杀和垃圾邮件识别，同时支持邮件备份；3）流量管理——以用户和应用为对象提供带宽分配保障的同时，充分利用带宽资源；4）网络监视——提供从整个网络到具体用户的详细访问数据，包括当前状态和历史记录。

『网务通』不仅让企业用户把网络用起来，更重要的是做到把网络管起来，充分利用企业现有的网络资源，最大限度的发挥其正面功用，为企业的IT投资赢得良好回报。

二、用户需求分析1、网络环境概述某外资生产制造企业，拥有员工近千名，上网计算机100台左右，申请了1条ADSL线路用于员工共享上网，另有1条2M的数字专线用于访问总部的邮件服务器和数据库服务器。

据IT管理部门反应，该企业的网络在使用过程中发现若干严重问题：1）网络带宽占用严重——该企业起初全部的对外网络访问都是通过数字专线，很快出现电子邮件等重要远程访问由于带宽占用导致访问性能严重下降的情况，不得已只好另外申请1条ADSL专门分流员工的网络访问流量。

虽然邮件服务器的问题得到解决，但是用于共享上网的ADSL始终工作在全部带宽被占用的状态，许多员工抱怨网速慢，同时用于收发邮件的数字专线多数情况下只使用不到三分之一的带宽。

2）工作效率降低——相当一部分员工在工作期间访问在线电影、在线音乐网站，下载媒体文件和游戏软件，据分析这部分用户的访问行为直接导致网络出口带宽占用。

另外通过QQ、Messenger等软件进行交友、聊天更是普遍现象，甚至有一部分用户工作的同时进行在线游戏。

行政管理部门对于这种上网引起的劳动纪律涣散颇有反感，但是由于上网员工数量多，而且办公区分布分散，因此无法进行有效的监管。

3）计算机病毒肆虐——尽管该企业大部分员工的PC都不配置软驱、光驱，同时严格限制使用USB外接设备，但是仍然屡次发生计算机病毒在整个企业范围内的爆发的严重情况，IT人员经常疲于奔命地进行杀毒工作，同时受到企业管理层的严厉指责。

2、应用需求分析根据我们的经验，上述现象在相当多的企业网络环境都存在，只是严重程度不同而已。

另外这三个问题彼此相互作用，相互关联，其共同的根源在于员工的无秩序的上网行为所致。

我们对三个问题逐一加以分析如下：1）网络带宽占用——100个用户共享ADSL线路的2M下行带宽，如果假定随时都有20%的用户（实际情况往往低于这个比例）进行并发访问，每个做并发访问的用户平均可以分到100kbps的下载速度，足够满足网页浏览、收发邮件等常见网络访问的速度需求。

如果能够将2M数字专线的空闲的带宽加以分配利用，访问速度会进一步提高。

但是如果有人频繁进行下载，情况就完全不同。

各种下载工具以及近年流行的P2P文件共享软件可以在一个客户端上同时发起几个甚至几十个会话（session），迅速占用每一K空闲带宽，而且在下载完成之前绝对不会释放。

因此网络超过90％的带宽部分经常被个别用户占用，而且即便增加网络出口带宽，这种带宽占用现象也不会得到缓解。

2）工作效率降低——互联网是一个巨大的信息海洋，提供电影、音乐、文学等等各种娱乐和消遣资源，很多人人无法抵制互联网的这种诱惑。

员工在工作期间频繁访问与其工作无关的网站，不仅无法专心工作，而且这种无意义的网络访问占用了相当一部分带宽，令带宽资源紧张的状况进一步恶化。

3）网络病毒肆虐——如今互联网已经成为计算机病毒传播的最主要途径：许多网站的页面就包括恶意代码脚本，一部分网上免费下载的共享软件包含病毒代码甚至木马程序。

除此之外，员工日常使用的电子邮件可以说是病毒通过网络扩散的最主要途径。

病毒自我复制，在用户完全不知情的情况下，自动将其自身作为邮件的附件逐一发送给邮件通讯簿上的每一个联系人，近几年来全球范围的大规模病毒爆发大多通过这种方式进行的。

完成对三个问题的内在原因分析后，我们提出解决问题的应对措施，具体如下：1）对员工的网络访问进行必要控制——逐一分析该企业的各部门的分工职责发现，不同部门或者同一部门的不同成员必需的外部网络访问都是不一样的。

限制员工进行不必要的网络访问，不仅可以节省带宽，提高工作效率，同时还减少了感染病毒的机会。

2）在网关进行病毒邮件过滤——在唯一的网络出口处进行病毒邮件过滤，等于从上游封闭了病毒邮件的传播途径。

3）将现有的接入线路带宽统一使用——即在多条接入线路上进行负载均衡。

通过多链路负载均衡，不仅可以让带宽资源得到充分使用，同时还可以避免由于单点故障引起的部分用户或者部分应用的网络访问中断。

4）针对网络用户和网络应用进行带宽管理——通过带宽控制管理，为控制对象提供必要的带宽额度保障的同时，将空闲带宽优先分配给重点用户和关键应用。

三、网管解决方案1、网络拓扑图该企业采用『网务通』之后的网络拓扑图如下：『网务通』被部署在该企业的网络出口处，工作于网关模式。

『网务通』有4个10/100M 自适应端口，其中内网端口连接网络交换机，DMZ端口连接该企业的邮件服务器，两个外网端口分别连接ADSL和数字专线。

网务通利用外网端口1提供PPPoE拨号，建立与ISP 的PPP连接。

同时将外部对外网端口2的TCP协议的25和110端口访问映射至连接在DMZ 端口上邮件服务器。

内网用户对互联网的访问流量被自动分配在ADSL和数字专线上。

如果将来需要开通新的接入线路，可以通过集线器与数字专线一起接在外网端口2上。

建议用户将局域网用户划分成多个VLAN（子网），同时限制不同子网用户间的直接访问。

这样不仅可以提高网络工作效率，还可以防止万一个别PC感染病毒，影响整个网络。

2、用户上网行为管理用户上网行为管理是通过网络端口访问控制和网站访问控制两部分共同实现的。

前者是针对用户可以使用的网络应用范围加以限定，后者对用户可以访问的网站范围加以限定。

2.1端口访问控制『网务通』的默认策略是拒绝通过，没有经过端口访问权限配置的用户不能对外部进行任何访问。

在对用户的端口访问权限进行配置之前，需要首先对所有需要用到的网络应用进行端口定义。

网络应用定义的具体要素包括：应用的名称，网络协议，端口号。

每一个具体网络应用可能对应一个网络端口，也可能对应一组网络端口，例如：『网务通』的用户管理数据库采用“用户组－组成员”两级结构。

为了方便管理，通常建议根据企业的部门来划分用户组，例如市场部的全体上网用户被归属到“市场部”这个用户组当中。

同样，进行端口访问权限的时候，也可以针对用户组和组成员分别进行设置。

赋予用户组的权限自动被每一个组成员继承，如果有成员需要额外的访问权限，就为该成员单独设置相应权限。

例如，市场部的员工的工作普遍需要浏览网页和收发邮件，那么只要为“市场部”这个用户组勾选HTTP和MAIL两项服务，那么该部门全体上网用户都得到浏览网页和收发邮件的权限。

另外有个别成员需要通过MSN与客户和合作伙伴建立工作联系，那么只需要为这部分组成员单独勾选MSN即可。

2.2网站访问控制当在端口访问控制的配置部分为用户设置了HTTP服务的访问权限后，网站访问控制可以进一步对用户的可以访问的网站范围加以限定。

网站访问控制的作用流程如下：1）当一个用户对某网站发出访问请求的时候，检查该用户是否有HTTP访问权限，如果没有，直接显示访问阻止页面；2）如果该用户拥有HTTP访问权限，检查该用户是否为网站访问控制的管制对象，如果不是，直接准许通过；3）如果该用户属于网站访问控制的管制对象，检查该访问是否发生在规定的时间段范围之内，如果不是，直接显示访问阻止页面；4）假设该用户属于管制对象，并且符合时间段条件，网站访问控制工作在“白名单”模式下，如果网站在白名单范围之内，则准许通过，否则显示访问阻止页面；5）假设该用户属于管制对象，并且符合时间段条件，网站访问控制工作在“黑名单”模式下，如果网站在黑名单范围之内，则显示访问阻止页面，否则准许通过。