上网行为安全概述和组网方案

一、上网行为安全概述

1. 背景与需求

    互联网的双刃剑特性：

         网络普及改变工作生活方式，业务向互联网迁移。

         缺乏管理导致风险：带宽滥用、监管困难、信息泄露、网络违法、安全威胁。

    核心问题：

         带宽滥用：P2P/流媒体占用70%带宽，影响核心业务。

         监管缺失：员工非工作行为（聊天、炒股、游戏）降低效率。

         信息泄露：主动外发或黑客窃取敏感数据，追溯困难。

         网络违法：造谣、反动信息、翻墙软件绕过管控。

         安全威胁：终端感染木马、恶意插件，缺乏安全防护。

2. 上网行为管理三要素

目标：实现上网行为 可视、可控，保障数据价值。

3. 核心功能模块

4. 应用场景

    互联网管控：企业出口部署，实现过滤、流控、审计（满足公安部82号令）。

    一体化网关：多分支场景，集成组网（IPSec VPN）、安全防护、行为管理。

    无线Wi-Fi营销：Portal认证（短信/微信），推广公众号，集中审计日志。

    防共享上网：阻断私接Wi-Fi，保障企业内网安全及运营商收益。

    全网上网态势分析：多分支统一监控上网行为与安全状态（教育、政府场景）。

二、上网行为组网方案

1. 设备部署模式对比

2. 部署模式详解

    路由模式：

         场景：替代出口路由器，需支持NAT、路由转发。

         配置：设置WAN/LAN地址、回包路由。

    网桥模式：

         场景：最小化网络改动，透明部署于出口或内网间。

         配置：设置网桥IP、网关、DNS，添加回包路由。

    旁路模式：

         场景：纯审计需求，通过交换机镜像口监听流量。

         限制：仅支持TCP应用控制。

3. 防火墙关键技术

    过滤规则：

         基于IP/端口控制数据包转发（如放通LAN→WAN的HTTP流量）。

    端口映射（DNAT）：

         场景：将内网服务器（如OA系统）发布到公网。

         原理：将公网IP:端口映射到内网服务器IP:端口。

         特殊配置：

               发布服务器：允许内网用户通过公网IP访问内网服务（需勾选）。

               排查步骤：检查服务器可达性、防火墙规则、运营商端口封堵。

三、关键结论

    上网行为管理核心：通过 认证→控制→审计 闭环，解决互联网滥用问题。

    部署选择：

         需全面管控 → 路由/网桥模式。

         仅审计需求 → 旁路模式。

    技术要点：

         流控保障核心业务带宽，审计满足合规（如公安部82号令）。

         端口映射需关注 DNAT配置 和 “发布服务器” 选项。

    趋势适配：应对移动互联网、加密流量（HTTPS）、新型应用持续升级识别能力。