WFilter的“SSL監(jiān)控”模塊，可以對https以及SSL加密的smtp/imap/pop3的內(nèi)容進行解密從而記錄其內(nèi)容。該SSL監(jiān)控模塊，既可以對電腦進行管控，而且對手機一樣生效。但是要不影響客戶機的正常使用，首先需要在客戶機上安裝ca證書。電腦上安裝ca證書比較簡單，我們不再贅述。本文中，我將介紹如何在蘋果手機（iphone）上安裝SSL監(jiān)控的ca證書，從而實現(xiàn)對iphone的SSL監(jiān)控。
說到https，不得不提http（HyperText Transfer Protocol）這個互聯(lián)網(wǎng)上用的最廣泛的網(wǎng)絡協(xié)議，其技術(shù)架構(gòu)，協(xié)議功能，協(xié)議原理百度或者google都有詳細解釋。而https（Hyper Text Transfer Protocol over Secure Socket Layer）多就多在這個S上，SSL加密，通常理解，https就是http加入SSL加密層變成以安全為目標的http傳輸。那么SSL是個啥呢，SSL是一個目前應用非常廣泛的一種非對稱加密方式，也是公認破解不了的。安全，又好用，所以才能廣泛應用，除了http,郵件的pop3,smtp，IM通訊等等，都能用上，是個很好的加密方式。起初用https通常都是金融類網(wǎng)站用到財務交易，時光如水，歲月如歌，IT技術(shù)一日百里的飛速發(fā)展，現(xiàn)在很多門戶網(wǎng)站，企業(yè)網(wǎng)站也都逐漸使用https協(xié)議，這個也是事實的趨勢。概念就是這個概念了，那么https如何監(jiān)控管理呢？以下說明是獻給非專業(yè)IT技術(shù)人員，非專業(yè)碼農(nóng)的。為了大家都能明白，可能有些敘述比較幼稚和粗淺，請多多理解。
WFilter上網(wǎng)行為管理軟件（WFilter ICF）是基于網(wǎng)絡監(jiān)控技術(shù)的上網(wǎng)行為管理軟件，其原理和客戶端監(jiān)控（內(nèi)網(wǎng)監(jiān)控）的技術(shù)原理有著很大的差異。
本文將分析這兩種方案的優(yōu)缺點，以協(xié)助您做出正確的選擇。
一個有效的網(wǎng)址庫是上網(wǎng)行為管理產(chǎn)品進行網(wǎng)頁過濾的基本條件。現(xiàn)在市場上的大部分上網(wǎng)行為管理產(chǎn)品，都自帶了網(wǎng)址庫功能，但是各家的實現(xiàn)方式差別挺大的。大部分廠商都著重于宣傳自己的“大”，動輒號稱幾千萬網(wǎng)址庫，殊不知相對于數(shù)以億計（2015年網(wǎng)站總數(shù)已經(jīng)超過3億）的互聯(lián)網(wǎng)而言，千萬級的網(wǎng)址庫也只是覆蓋了一小部分而已。
WFilter系列上網(wǎng)行為管理產(chǎn)品，在”網(wǎng)址庫“方面，采用了如下三種技術(shù)：
自帶基本百萬級網(wǎng)址庫；涵蓋alex排名前百萬的網(wǎng)站列表。
本地自動分類技術(shù)；對于未知的網(wǎng)站類型，可以基于網(wǎng)站的內(nèi)容，實時進行自動分類。
云主機分類技術(shù)；對于未知的網(wǎng)址類型，可以發(fā)送到我們的網(wǎng)站分類云主機進行查詢，由主機進行分類后返回。
網(wǎng)址庫是網(wǎng)頁過濾的基礎。網(wǎng)頁分類就是根據(jù)網(wǎng)站的內(nèi)容，將網(wǎng)站分為什么類型，比如門戶網(wǎng)站、購物類、信息類、技術(shù)類等等等。這樣的產(chǎn)品早在N年前，Websence，surfcontrol就有號稱千萬級的網(wǎng)址庫，甚至有些國內(nèi)的行為管理硬件，動輒需要1T的內(nèi)存空間，都是因為網(wǎng)址庫不夠精簡的原因。但是互聯(lián)網(wǎng)的網(wǎng)址就跟汪洋大海的海水一樣，數(shù)不過來。
實際使用過程中，尤其是工作局域網(wǎng)環(huán)境，只會訪問到網(wǎng)址庫中1%的網(wǎng)址，其余的99%網(wǎng)址庫幾乎不用。這樣大型網(wǎng)址庫的優(yōu)點僅有一個就是“大型”而這樣的“大型”網(wǎng)址庫也會造成軟件性能滯后，軟件自身文件過大。
WFilter系統(tǒng)產(chǎn)品的網(wǎng)址庫收錄了常用的百萬級網(wǎng)址（實時更新），但是互聯(lián)網(wǎng)的工作內(nèi)容又是千變?nèi)f化，如果網(wǎng)址庫的定義不夠，我們另外有動態(tài)網(wǎng)址分類，讓您根據(jù)自己的目標，要求去定義您對網(wǎng)站分類的理解或者新增您的網(wǎng)站分類。
除了自帶的60多種網(wǎng)頁分類外，您還可以在“WFilter上網(wǎng)行為管理軟件”中根據(jù)管理需要自定義網(wǎng)頁分類。具體步驟如下：
HTTPS就是HTTP over SSL（通過SSL加密的HTTP網(wǎng)頁瀏覽協(xié)議），而SSL采用了非對稱密鑰的加密方式，在目前的硬件條件下，不知道私鑰是不可能解密SSL的密文的。
對于HTTP的網(wǎng)頁瀏覽內(nèi)容，“WFilter（超級嗅探狗）”和“WFilter上網(wǎng)行為管理系統(tǒng)（WFilter NGF）”無需額外配置，都可以直接記錄網(wǎng)址、網(wǎng)頁標題和瀏覽器類型。但是，對于https的訪問，默認情況下，只能記錄域名。如下圖：
域服務器使用越來越廣泛了，對于局域網(wǎng)設備機動使用的，用了域賬號，能準確管理到位。那么如何監(jiān)控到客戶機登陸的域賬號呢？
本文將介紹如何用”WFilter（超級嗅探狗）“軟件來監(jiān)控局域網(wǎng)客戶機登錄的域賬號。
WFilter支持“根據(jù)IP地址監(jiān)控”和“根據(jù)MAC地址監(jiān)控”兩種方案（如果您有AD域，還可以根據(jù)域賬號進行監(jiān)控）。“根據(jù)MAC地址監(jiān)控”模式下，WFilter通過被監(jiān)控設備的物理MAC地址來進行識別，即使客戶機修改了IP（或者自動獲取了一個新的IP），仍然可以準確識別。所以“MAC監(jiān)控模式”在自動獲取IP地址，或者IP地址不固定的網(wǎng)絡中，有很大的優(yōu)越性。
我們一般建議用戶采用如下的監(jiān)控方式：
多網(wǎng)段的情況下，由于三層交換機的存在，屏蔽了客戶機實際的MAC地址，從而無法直接實現(xiàn)“根據(jù)MAC地址”監(jiān)控。
一個WFilter監(jiān)控主機可以監(jiān)控一個局域網(wǎng)的上網(wǎng)行為，當您有多個局域網(wǎng)需要管理的時候，需要在每個網(wǎng)絡都安裝一套WFilter才可以。
為管理多個WFilter服務器，我們推薦您在WFilter界面中直接切換到不同的服務器進行查看。請參考：[URL=http://www.mubiaocq.com/blog/post/148.html]如何集中管理多個超級嗅探狗監(jiān)控服務器？[/URL]
有些情況下，個別用戶可能需要把數(shù)據(jù)集中存放以便于管理。要實現(xiàn)這樣的功能，您必須安裝WFilter的數(shù)據(jù)庫版本。從而利用數(shù)據(jù)庫的管理功能來同步WFilter數(shù)據(jù)庫。
本例中，我們將演示如何用mysqldump來同步WFilter數(shù)據(jù)庫（mysql版本）
根據(jù)我們最新的壓力測試，WFilter（超級嗅探狗）4.1版本的性能得到了大幅提升，監(jiān)控5000臺毫無壓力，相比4.0大幅提升啦。 測試環(huán)境是Server 2008 R2，dlink千兆交換機。測試機的內(nèi)存只有2G、CPU是Intel Celeron E3200@2.4GHZ。由于測試的硬件配置比較低，帶機量還存在大幅的上升空間。 [IMG]upload/wfilter_performance_1.png[/IMG] [IMG]upload/wfilter_performance_2.png[/IMG]
我們在使用超級嗅探狗網(wǎng)絡監(jiān)控軟件對網(wǎng)絡進行監(jiān)控管理的時候還要結(jié)合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？
本例中演示了如何在dlink 7300路由器上面禁止UDP端口。
1. 首先登陸路由器，在“網(wǎng)絡安全- - >防火墻設置”里面對防火墻進行設置，具體設置如下圖所示：
現(xiàn)在很多軟件不僅僅通過TCP 方式進行通訊，還能夠通過UDP方式進行通訊。所以我們在使用超級嗅探狗網(wǎng)絡監(jiān)控軟件對網(wǎng)絡進行管理的時候還要結(jié)合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？
1. 首先登陸路由器，在“高級-->防火墻&DMZ”里面對防火墻進行設置，具體設置如下圖所示：
有些公司會采用多寬帶接入的方式來聯(lián)接互聯(lián)網(wǎng)，例如，公司內(nèi)部有20臺電腦通過兩條獨立的ADSL寬帶上網(wǎng)，10臺劃分為192.168.1.0網(wǎng)段，通過192.168.1.1的路由器上網(wǎng)；另外10臺劃分為192.168.2.0網(wǎng)段，通過192.168.2.1的路由器上網(wǎng)。
這種環(huán)境下實現(xiàn)監(jiān)控，一般是把兩臺路由器同時接到鏡像交換機上，然后在鏡像端口安裝超級嗅探狗來實現(xiàn)監(jiān)控。
但是由于這兩個網(wǎng)段互相獨立，而且這兩個路由器之間并不能互相轉(zhuǎn)發(fā)數(shù)據(jù)，導致在默認配置下，超級嗅探狗只能禁止其中一個網(wǎng)段的上網(wǎng)行為。要實現(xiàn)同時可以禁止多個網(wǎng)段，需要修改嗅探狗電腦的“子網(wǎng)掩碼”配置，使嗅探狗的電腦同時屬于這兩個網(wǎng)段。
現(xiàn)在很多軟件不僅僅通過TCP 方式進行通訊，還能夠通過UDP方式進行通訊。所以我們在使用超級嗅探狗網(wǎng)絡監(jiān)控軟件對網(wǎng)絡進行管理的時候還要結(jié)合路由器或者防火墻封堵UDP端口。[URL=http://www.mubiaocq.com/blog/post/108.html]為什么旁路模式不能封堵UDP端口？[/URL]
1. 首先登陸路由器，在“安全設置- - >防火墻設置”里面對防火墻進行設置，具體設置如下圖所示：
這一步需要注意的是：
（1）首先需要勾選“開啟防火墻”和“開啟IP地址過濾”。
（2）在“缺省過濾規(guī)則”當中，一定要選擇“凡是不符合已設IP地址過濾規(guī)則的數(shù)據(jù)包，允許通過本路由器”。
2．接下來打開“安全設置-- >IP地址過濾”配置需要禁止的UDP端口，具體配置如下圖所示：
常見的網(wǎng)絡監(jiān)控模式可以分為兩種：一種是串聯(lián)監(jiān)控模式，另一種是旁路監(jiān)控模式。
旁路模式一般是指通過交換機等網(wǎng)絡設備的“端口鏡像”功能來實現(xiàn)監(jiān)控，在此模式下，監(jiān)控設備只需要連接到交換機的指定鏡像端口，所以形象的稱之為“旁路監(jiān)控”；而串聯(lián)模式一般是通過網(wǎng)關或者網(wǎng)橋的模式來進行監(jiān)控，由于監(jiān)控設備做為網(wǎng)關或者網(wǎng)橋串聯(lián)在網(wǎng)絡中，所以稱之為“串聯(lián)監(jiān)控模式”。
旁路模式和串聯(lián)模式各有其優(yōu)缺點，比較如下：
[B]旁路模式的優(yōu)點：[/B]
1. 旁路監(jiān)控模式部署起來比較靈活方便，只需要在交換機上面配置鏡像端口即可。不會影響現(xiàn)有的網(wǎng)絡結(jié)構(gòu)。而串聯(lián)模式一般要作為網(wǎng)關或者網(wǎng)橋，所以需要對現(xiàn)有網(wǎng)絡結(jié)構(gòu)進行變動。
利用交換機的端口鏡像功能，可以把鏡像源端口的數(shù)據(jù)包，拷貝到指定的目的端口。從而在管理口可以實現(xiàn)對整個網(wǎng)絡的監(jiān)控管理。
端口鏡像功能是通過交換機的硬件芯片來實現(xiàn)的，理論上講不會對網(wǎng)絡產(chǎn)生任何影響。但是在啟用了鏡像功能后，不合理的配置會導致數(shù)據(jù)量過大，從而導致鏡像口丟包。
所以我們在配置鏡像的時候，要考慮到幾個原則：
1. 盡量采用一對一鏡像。就是說，一個鏡像源端口對應一個目的端口。試想一下，如果你把兩個100M口的數(shù)據(jù)都發(fā)送到一個100M的目的端口，目的端口怎么能夠來得及處理呢。
2. 如果由于某些原因必須要有多個鏡像源端口，一定要考慮到每個源端口的最大流量，總和不能超過目標端口（一般是100M），否則會有丟包。
3.如果只需要對上網(wǎng)情況進行監(jiān)測，只鏡像互聯(lián)網(wǎng)數(shù)據(jù)即可。
4. 在交換機不支持鏡像口通訊的情況下，或者監(jiān)控的電腦臺數(shù)比較多時（超過50臺），建議使用兩塊網(wǎng)卡：一塊用于監(jiān)聽、另外一塊用于封堵和通訊。
[B]網(wǎng)絡監(jiān)控[/B]
網(wǎng)絡監(jiān)控這里指的是對使用互聯(lián)網(wǎng)的人員的上網(wǎng)行為進行監(jiān)控管理。
[B]網(wǎng)絡監(jiān)控設備[/B]
從實現(xiàn)方式上來分可以分為：網(wǎng)絡監(jiān)控軟件和網(wǎng)絡監(jiān)控硬件。
網(wǎng)絡監(jiān)控軟件只需要在一臺監(jiān)控服務器上面安裝，即可對整個局域網(wǎng)的上網(wǎng)行為進行監(jiān)控管理。
硬件網(wǎng)絡監(jiān)控設備實質(zhì)上是將軟件預先安裝在硬件監(jiān)控系統(tǒng)中，然后捆綁銷售給客戶。而客戶從傳統(tǒng)的思維方式認為，硬件的監(jiān)控系統(tǒng)一定比軟件的監(jiān)控性能要好。實際上是錯誤的，因為監(jiān)控系統(tǒng)性能的高低取決于多種因素。
網(wǎng)絡監(jiān)控軟件與網(wǎng)絡監(jiān)控硬件相比較的優(yōu)缺點：
[B]優(yōu)點：[/B]
[B]1. 安裝使用方便[/B]
軟件的試用、升級、安裝都比較方便，只要下載安裝即可使用；而硬件的試用、升級由于涉及到硬件的替換，比較而言要麻煩一些。
[B]2. 價格方面[/B]
網(wǎng)絡監(jiān)控軟件的價格不涉及硬件費用，所以相對來說要便宜些。
[B]缺點：[/B]
[B]1. 部署方式[/B]
網(wǎng)絡監(jiān)控軟件一般通過旁路模式（如超級嗅探狗網(wǎng)絡監(jiān)控軟件）來進行監(jiān)控，而網(wǎng)絡監(jiān)控硬件除了旁路模式外，一般都可以還替代網(wǎng)關，部署方式上更加靈活一些。更多旁路監(jiān)控和串聯(lián)監(jiān)控的比較請參見：
[B]2. 兼容性問題[/B]
網(wǎng)絡監(jiān)控軟件安裝時不可避免要與其他的軟件共存，這樣不可避免就會存在一些兼容性問題。而網(wǎng)絡監(jiān)控硬件則只安裝了監(jiān)控系統(tǒng)，從而幾乎不存在兼容性問題。
一般情況下，與交換機或者路由器相連的電腦只能夠接收到自己的數(shù)據(jù)包，為了網(wǎng)絡管理的需要，有些交換機或者路由器提供了端口鏡像的功能。
配置了鏡像端口后，通過網(wǎng)絡分析軟件就可監(jiān)控整個網(wǎng)絡的運行狀況，和上網(wǎng)數(shù)據(jù)。
如下圖所示，此例中把1號口鏡像到16號口,從而在16號口安裝監(jiān)控軟件，即可實現(xiàn)監(jiān)控。
一般情況下，與交換機或者路由器相連的電腦只能夠接收到自己的數(shù)據(jù)包，為了網(wǎng)絡管理的需要，有些交換機或者路由器提供了端口鏡像的功能。
配置了鏡像端口后，通過網(wǎng)絡分析軟件就可監(jiān)控整個網(wǎng)絡的運行狀況和上網(wǎng)數(shù)據(jù)。有關一些交換機的鏡像配置，請參見：[URL=http://www.mubiaocq.com/help/doc/deployment_example.htm]超級嗅探狗部署用例[/URL]。
一般可以通過查看交換機的說明文檔或者web配置界面來判斷。
A 如果文檔介紹中聲稱此交換機支持“端口鏡像”或者“支持網(wǎng)管功能”，那么該交換機就可以支持端口鏡像。如：
[IMG]upload/TPL.jpg[/IMG] [IMG]upload/HW.jpg[/IMG]
B 查看交換機的配置界面，如果存在“端口鏡像”、“端口監(jiān)控”之類的功能。就說明此交換機支持端口鏡像。
[IMG]upload/H3CS.JPG[/IMG]
網(wǎng)絡技術(shù)的不斷發(fā)展，企事業(yè)單位的網(wǎng)絡管理人員逐漸意識到網(wǎng)絡監(jiān)控的重要性，因此出現(xiàn)了功能各異，技術(shù)不同的監(jiān)控管理軟件。面對市場上良莠不齊的品牌，作為企事業(yè)單位的網(wǎng)管人員，如何從中選擇能夠適合本單位的上網(wǎng)監(jiān)控需要的網(wǎng)絡監(jiān)控軟件，成為非常重要的問題。
在使用超級嗅探狗監(jiān)控局域網(wǎng)時，如果交換機的鏡像口不允許通訊，或者需要監(jiān)控的電腦臺數(shù)比較多，一般需要分開設置通訊網(wǎng)卡和監(jiān)聽網(wǎng)卡。而在windows系統(tǒng)中，當本機有兩塊網(wǎng)卡時，默認使用第二塊網(wǎng)卡進行通訊。如果第二塊網(wǎng)卡不是通訊網(wǎng)卡的時候，您的計算機可能會出現(xiàn)無法正常上網(wǎng)的情況。此時，您可以通過設置TCP/IP協(xié)議配置中的“自動躍點計數(shù)”來解決此問題。
躍點數(shù)是windows給特殊網(wǎng)絡接口的IP路由分配的值，用來標識與使用該路由有關的成本，系統(tǒng)會自動選擇躍點數(shù)低的網(wǎng)卡接入網(wǎng)絡。Windows XP 中，默認啟用“自動躍點計數(shù)”功能，為較慢的網(wǎng)絡接口分配較高的躍點數(shù)，強制流向Internet的所有流量使用可用的最快網(wǎng)絡接口。同樣，您可以通過手動配置躍點數(shù)，使系統(tǒng)通過你所配置的網(wǎng)卡接入網(wǎng)絡。
