巧用安全路由器 管理中小企業(yè)網(wǎng)絡(luò)
對(duì)于中小企業(yè)的網(wǎng)絡(luò)管理，用戶的管理是一個(gè)很常見的問題。例如：有限的IP如何分配？如何管制不同員工上網(wǎng)權(quán)限？如何阻擋訪客使用企業(yè)網(wǎng)絡(luò)？如何分派較多帶寬給高管或是老總？這些問題，是不是一定要專業(yè)的網(wǎng)絡(luò)管理軟件來進(jìn)行管理呢？
其實(shí)，網(wǎng)管要管好網(wǎng)絡(luò)，做到網(wǎng)絡(luò)的安全，主要是把用戶管理的工作作好，而這些問題都可經(jīng)由路由器的用戶管理功能來達(dá)成。在此，筆者就為大家介紹，如何通過安全路由器的用戶管理功能，來實(shí)現(xiàn)中小企業(yè)的安全網(wǎng)絡(luò)管理，本文以Qno俠諾安全路由器為例。
內(nèi)部局域網(wǎng)上網(wǎng)用戶的管理，可分為企業(yè)局域網(wǎng)內(nèi)地址合理分配、內(nèi)部新增上網(wǎng)用戶管制、及內(nèi)部上網(wǎng)用戶有效管制三個(gè)方面。如果沒有一套合理有效的管理機(jī)制，會(huì)在后面的網(wǎng)絡(luò)管理及安全方面帶來很多負(fù)面影響及經(jīng)濟(jì)損失。
以上這些內(nèi)部網(wǎng)絡(luò)的管理都可以通過Qno俠諾路由器的相關(guān)功能來實(shí)現(xiàn)，達(dá)到網(wǎng)絡(luò)安全的目的。Qno俠諾路由器提供動(dòng)態(tài)IP地址分配和靜態(tài)IP地址分配的功能，滿足內(nèi)部上網(wǎng)用戶IP地址的分配的不同需要。路由器還提供了IP組管理功能，解決不同部門需要不同上網(wǎng)權(quán)限的群組設(shè)置，方便統(tǒng)一管理。配合IP/MAC綁定功能避免內(nèi)部網(wǎng)絡(luò)濫用IP地址造成網(wǎng)絡(luò)管理的困難，同時(shí)可以通過QoS的設(shè)定給內(nèi)網(wǎng)用戶上網(wǎng)一定的帶寬管理，保證企業(yè)領(lǐng)導(dǎo)希望聯(lián)網(wǎng)速度能夠保持暢通不塞車，確保公司重要業(yè)務(wù)信息不致延遲、重要應(yīng)用服務(wù)聯(lián)機(jī)順暢等要求。
IP地址分配
企業(yè)首先考慮的就是IP地址的分配管理，動(dòng)態(tài)IP地址分配使用DHCP服務(wù)器，優(yōu)點(diǎn)是客戶端不需進(jìn)行配置，只需配置服務(wù)器，配置簡(jiǎn)單。靜態(tài)IP則必須在客戶端進(jìn)行IP配置，相對(duì)較嚴(yán)謹(jǐn)，管制較完全?！ ?/P>
Qno俠諾路由器提供動(dòng)態(tài)IP地址分配和靜態(tài)IP地址分配的功能，滿足內(nèi)部上網(wǎng)用戶IP地址的分配的不同需要。Qno路由器提供動(dòng)態(tài)IP地址分配機(jī)智（DHCP功能），支持C類IP地址，可設(shè)置其IP地址分配的范圍以及地址租約時(shí)間。進(jìn)入“DHCP功能”的“DHCP配置”。
圖一：DHCP配置顯示發(fā)放范圍在192.168.1.100~192.168.1.49之間共50臺(tái)電腦，地址租約時(shí)間為1440分鐘。
通過“DHCP服務(wù)器狀態(tài)顯示”了解到內(nèi)部網(wǎng)絡(luò)IP地址分配情況，我們可以了解到DHCP服務(wù)器的相關(guān)情況以及內(nèi)部網(wǎng)絡(luò)用戶的“主機(jī)名稱”、“IP地址”、網(wǎng)卡“MAC地址”，“目前租約時(shí)間”。
圖二：DHCP服務(wù)器狀態(tài)顯示。同時(shí)路由器還支持靜態(tài)的IP分配功能，只要保證其IP地址不和DHCP范圍沖突就好。
靜態(tài)的IP分配，只要不激活DHCP功能即可。但是客戶端配置的IP地址和路由器配置的范圍必須相符。也可將DHCP功能與靜態(tài)IP配合使用，即在整個(gè)路由器配置的IP范圍中，部份使用DHCP發(fā)放，部份使用靜態(tài)IP。例如：廠內(nèi)使用的計(jì)算機(jī)不常移動(dòng)，可使用靜態(tài)IP；業(yè)務(wù)人員計(jì)算機(jī)時(shí)常移動(dòng)，則采用動(dòng)態(tài)IP。
適當(dāng)?shù)腎P地址分配，是后續(xù)安全管理的基礎(chǔ)，適當(dāng)?shù)卦诎踩约氨憷蚤g取得平衡，這是必須達(dá)成的。#p#
One-to-one NAT
有些企業(yè)具備幾個(gè)公網(wǎng)IP，用來作特別的用途，例如總部服務(wù)器只能和固定公網(wǎng)IP聯(lián)系，以加強(qiáng)安全性。在這種情況，經(jīng)常發(fā)生公網(wǎng)IP不夠辦公室所有的計(jì)算機(jī)使用，這時(shí)就可以進(jìn)行一對(duì)一NAT的配置，把幾個(gè)公網(wǎng)IP對(duì)應(yīng)到內(nèi)部計(jì)算機(jī)，這時(shí)就可以達(dá)到公網(wǎng)IP與虛擬IP共同在局域網(wǎng)共存的目的了。
圖三：一對(duì)一NAT功能可允許公網(wǎng)IP和虛擬IP共同存在局域網(wǎng)，可適用于注重信息安全的通訊應(yīng)用。
適當(dāng)?shù)乩眠@個(gè)功能，分隔不同的IP，可避免內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)外流?！ ?/P>
IP/MAC綁定功能
DHCP服務(wù)器自動(dòng)分配內(nèi)部網(wǎng)絡(luò)用戶的IP地址，用戶可以不用手動(dòng)設(shè)置IP地址。但是DHCP是不容易管理，內(nèi)部網(wǎng)絡(luò)隨意加入一個(gè)用戶通過自動(dòng)獲得IP地址都能在DHCP范圍里獲得一個(gè)合法的IP地址。有些攻擊者，會(huì)通過無線網(wǎng)絡(luò)進(jìn)入企業(yè)局域網(wǎng)?；蚴窃陟o態(tài)的IP分配情況下，有些員工會(huì)自行修改成高管或領(lǐng)導(dǎo)的IP地址，以逃避管制。這些都是可以通過Qno俠諾路由器產(chǎn)品提供的IP/MAC綁定功能來反應(yīng)，并達(dá)到安全管理的功能。
企業(yè)網(wǎng)管進(jìn)行IP/MAC綁定，必須把企業(yè)內(nèi)網(wǎng)計(jì)算機(jī)的MAC地址都鍵入到路由器，并與IP地址建立對(duì)照表。如果路由器發(fā)現(xiàn)來向DHCP服務(wù)器索取IP的計(jì)算機(jī)的MAC不在表列中，那么就不會(huì)予以響應(yīng)。因此網(wǎng)管可把企業(yè)內(nèi)的計(jì)算機(jī)MAC都進(jìn)行綁定，那么外部的計(jì)算機(jī)就無法進(jìn)入企業(yè)網(wǎng)絡(luò)，也可避免內(nèi)部員工自行修改IP以逃避管制的措施。
圖4
IP綁定的功能很簡(jiǎn)單，Qno俠諾路由器“DHCP功能”的“DHCP配置”頁面的“IP 與 MAC 綁定”，點(diǎn)擊“顯示新加入的IP地址”將內(nèi)部網(wǎng)絡(luò)的IP地址/MAC對(duì)應(yīng)加入到IP 與 MAC 綁定列表中，同時(shí)也可以通過手動(dòng)的模式加入。
IP/MAC綁定功能為我們解決了其內(nèi)網(wǎng)用戶逃避管理以及管理可能加入的新上網(wǎng)用戶等問題，也是安全管理一個(gè)必要的手段。 #p#
IP群組管理
企業(yè)網(wǎng)管大多希望給不同部門的人不同的權(quán)限，例如業(yè)務(wù)單位的需要較多對(duì)外聯(lián)絡(luò)，相對(duì)的制造單位或事業(yè)單位對(duì)外聯(lián)絡(luò)的需要較少。但是針對(duì)內(nèi)部上網(wǎng)用戶IP地址上網(wǎng)權(quán)限配置，工作量很大，輸入過程中也容易出現(xiàn)錯(cuò)誤，甚至有時(shí)出現(xiàn)遺漏的事情，這種情況下Qno俠諾路由器的IP群組管理功能，可將多個(gè)用戶，例如一個(gè)部門所有IP地址，組成一個(gè)群組解決這個(gè)問題。
比如一個(gè)企業(yè)的A部門分得的IP地址是192.168.1.100~192.168.1.110，B部門分到的IP地址是192.168.1.111~192.168.1.120，我們可以將這些連續(xù)的IP地址群組到一起，方便做統(tǒng)一的設(shè)置。減少網(wǎng)管人員的工作量，同時(shí)也避免繁多的IP地址輸入容易出錯(cuò)。同時(shí)內(nèi)部網(wǎng)絡(luò)需要同時(shí)大量的IP地址需要做同樣管理的時(shí)候就將這些連續(xù)的IP群組到一個(gè)組做相同設(shè)置。
Qno俠諾路由器內(nèi)“DHCP功能”的“DHCP配置”頁面的“IP GPOUP”，如圖五對(duì)應(yīng)輸入相關(guān)信息確定后就可完成IP群組的設(shè)置。
圖五：IP群組管理設(shè)置畫面
QoS帶寬管理功能
有些企業(yè)希望針對(duì)特定用戶進(jìn)行配置，例如內(nèi)部網(wǎng)絡(luò)特殊用戶（比如經(jīng)理，董事長(zhǎng)等）給予大的帶寬、內(nèi)部網(wǎng)絡(luò)用戶選擇特定WAN訪問外部網(wǎng)絡(luò)、特定線路留給特定的用戶、等等的。通過QoS帶寬管理功能能達(dá)到以上的功能。
Qno俠諾路由器可以允許選擇設(shè)置內(nèi)部網(wǎng)絡(luò)的某一單個(gè)IP地址、一連串IP地址，或者某一IP群組，通過有效的管理上傳與下載的速度來達(dá)到對(duì)帶寬的管理功能，保證內(nèi)網(wǎng)上網(wǎng)用戶能夠合理利用帶寬，同時(shí)還可以確保特殊用戶上網(wǎng)不受限制，保證大的帶寬享用。例如，可以為重要的高管設(shè)定較大的最小帶寬，或是保留特定的廣域網(wǎng)口給特定IP群組，
圖六：帶寬管理功能設(shè)置頁面
小結(jié)
以上針對(duì)中小企業(yè)內(nèi)部局域網(wǎng)用戶的管理，通過Qno俠諾安全路由器的策略管理功能，針對(duì)常遇到的一些問題，作了初步的介紹。相信對(duì)于企業(yè)網(wǎng)管在進(jìn)行日常管理，有相當(dāng)?shù)膸椭?。用戶管理是網(wǎng)絡(luò)安全的最基本的工作，網(wǎng)管如能在一開始就把這方面的工作作到位，相信可以減少后續(xù)很多的問題。
【編輯推薦】
