來賓用戶、流動人員比較多的局域網，如果不對來賓上網進行管控，不但會占用企業帶寬資源，還會帶來安全隱患和政策風險。對于企業環境來說，一般推薦來賓和辦公網絡采用不同的無線SSID，分開進行管控。具體方案如下：

1. 來賓和辦公網絡采用不同的無線SSID。
   

2. 對來賓和辦公采用不同的限速和行為管理策略。

3. 來賓和辦公網絡采用不同的VLAN，并且不允許來賓訪問公司內網。

4. 不但要設置不同的無線密碼，而且需要進行IP-MAC綁定等策略，禁止來賓用戶接入到辦公網絡。

對于企業局域網來說，一個合理的IP地址分配是網絡安全和網絡管理的基礎，IP地址管理的好壞直接影響著企業員工的工作效率及企業的信息安全。
局域網的IP地址分配，需要考慮到如下方面：

1. 服務器的IP地址段和辦公電腦的IP地址段要區分開。

2. 手機、pad等移動設備需要自動獲取IP。

3. 無線由于安全性比較低，一般需要用VLAN進行隔離。

4. 每個網段的客戶機數量不宜過多，有線250以內，無線150以內比較合理。否則會引起網絡風暴。
   

下面是我總結的企業局域網IP地址分配方案，希望能對大家有幫助。

現在無線組網越來越普遍，但是不合理的組網方案，往往會導致無線接入緩慢、網絡卡的情況。根據我們的經驗和抓包分析，由于無線設備（包括AP、AC等）在通訊過程會更多的依賴廣播包，非常容易出現廣播風暴。無線網絡的穩定運行，請注意如下幾點：

1. 首先要合理的進行AP布局，保證無線信號強度、并且避免無線信號的互相干擾。

2. 合理的VLAN劃分。無線設備的廣播包比較多，非常容易產生廣播風暴。一個VLAN容納的無線設備要控制在200以內。

3. 主路由網關的性能要強勁，并且設置上網行為管理策略和流控策略。
   

4. 定期檢測廣播風暴等網絡問題

某企業由于網絡架設比較早，網絡設備和網絡結構已經不再適合當前的網絡需要。為了更好的實現網絡管理和信息安全的需要，提出了如下升級改造需求：

1. 帶寬擴容，采用兩條寬帶接入。
   

2. 內網需要劃分不同的VLAN，分為辦公、監控、生產幾大網段。

3. 內網客戶機需要進行嚴格的IP-MAC綁定，只有綁定后的設備才可以接入。

4. 全網上網行為審計記錄。

5. 部署上網行為管理策略，建立上網秩序。

對于局域網而言，斷網基本上都是災難性的，領導、同事立刻唉聲占道、催個不停。作為一名網絡管理人員，不可避免經常會碰到斷網的情況。保持冷靜的頭腦，迅速的定位問題所在，可以說是一個網管必備的基本素養。

本文中，我將介紹幾條dos下的命令，掌握好這幾條命令，一分鐘內就可以定位斷網原因。

很多企業為了解決網速不夠用的問題，都升級了帶寬資源。比如50M升級到100M，或者干脆多拉幾根外線。但是，很多用戶發現，帶寬升級了但是網絡還是慢。

本文中，我整理了企業帶寬優化的三點要求。帶寬升級后，一定要注意這三點，才能真正的享受帶寬升級帶來的更好寬帶體驗。

隨著互聯網的飛速發展，對帶寬的要求也越來越高。一些辦公軟件動輒就需要幾個G，視頻會議、視頻播放等都需要穩定的帶寬資源保障；而且員工的辦公和娛樂需要也會占用了大量的帶寬。

這種情況下，不但需要對企業的帶寬進行升級，而且要對帶寬的使用進行更加合理的分配和管理；才可以有效的提高網速和優化帶寬的使用效率。本文中，我將列出我們在網絡升級中需要重點關注的幾點建議，從而真正的達到優化帶寬的目的。

1. 多WAN口接入

由于企業業務的需要，很多企業都會申請專線接入。但是專線的費用比較高，如果用專線來提供辦公上網就會非常浪費。所以一般推薦“專線+家庭帶寬“的方式：

1. 一根較小帶寬的專線接入（比如20M專線），用于提供業務相關的網絡服務。
   

2. 一根較大帶寬的家庭帶寬，用于提供辦公上網。

不合法(私接)的DHCP服務，會使局域網其他客戶機獲取到錯誤的IP地址，從而導致上不了網。為了診斷此問題，WFilter的網絡健康度檢測插件的再次升級添加了"DHCP沖突檢測”的功能。具體步驟如下圖：

本文將介紹如何用WFilter NGF來實現短信認證網關，以及短信平臺的具體實現步驟。

1. 首先要搭建短信Web服務

WFilter NGF的短信發送通過調用Web API來實現，支持Web API接口的短信平臺很多（一些短信貓也可以支持Web API）。下文中，我們以阿里云的短信服務為例。首先需要創建AccessKey，如下圖：

ping命令可以說是網絡管理中最常用的一個命令行工具了，利用ping可以非常迅速的診斷出網絡問題。今天，我就來教大家如何用ping來檢測網絡問題。

當網絡緩慢，上不了網時，請按如下步驟來執行ping命令：

1. ping內網網關

首先要先ping內網的網關地址，確保內網是暢通的。如下圖：

內網的丟包率應該為0，有線ping值一般在1ms以內，無線ping值1ms-20ms之間。如果存在丟包或者ping值很高，那么問題就在內網。需要排查內網網線、環路、交換機等設備問題。

我們在選擇網關設備的時候，經常會面臨選擇路由器還是專業網關（x86架構工控機）的問題。本文將從硬件角度來解釋這兩者的差別。

兩者的硬件架構都由CPU、存儲、內存（RAM）組成，但是配件的差別非常大。

這里說的硬件防火墻，就是專業防火墻，入侵檢測，主動防御，病毒防護，這些基本的以外，還有殺毒庫，針對病毒查殺。這樣的硬件防火墻一般過萬，甚至過大幾萬。什么樣的局域網環境才需要呢。毋庸置疑，經濟上得是一個寬裕的局域網。技術上以及必要性上呢。

其實就一個必要性，局域網里面有對外網發布的WEB服務，比如WEB服務器，郵件服務器等。這樣可以從互聯互直接訪問，容易遭遇黑客，攻擊，這樣的環境，不管大小，千萬別吝嗇，買一臺硬防，有力又有利。

但是如果只是普通局域網，沒有需要外部訪問的服務器 ，有的路由上甚至連做端口映射 外部也就訪問不到內部的服務器了 
那么就沒有必要安裝硬件防火墻了。哪怕有ERP，有組網VPN，用不用專業硬件防火墻，技術上真的不重要，國內現在運營商已經把常見的80端口都禁止掉了，直接通過80端口連不了。而普通局域網要注重的則是內網安全，內網安全防護好了，外網自然也不會有任何問題。所謂安全，所謂防護，所謂上網行為管理，并不是局域網出了問題了，才來解決，而是平時上網建立良好的上網秩序，規范上網行為和內容，養成良好的上網行為習慣，網絡自然健康通暢。

劃分VLAN一般出于如下幾個目的：

1. 把內網劃分為不同的網段，可以提高內網安全性，而且更加便于管理。比如：有線和無線處于不同的網段，不允許無線設備訪問企業內網，這樣可以保護內部信息安全；而且可以對不同網段配置不同的上網策略和流控策略。

2. 分割廣播域，避免廣播風暴。廣播風暴這個現象，在無線時代更加突出，AP設備的發現、管理等操作都會產生廣播包。

那么，什么情況下需要劃分VLAN呢？主要考慮以下幾點：

為了管理和安全需要，很多局域網都要求固定IP，每個設備的IP地址和mac地址都登記在案，結合IP-mac綁定，從而使上網記錄、病毒攻擊都有據可查，并且可以迅速定位到個人。但是和自動獲取IP地址比較，固定IP也有一些弊端：

1. 配置較復雜，一些非技術人員不懂也不會配置IP地址。需要網管人員全局維護。
   

2. 固定IP地址列表需要維護。人員離職、電腦報廢后，IP地址如果沒有及時回收，會導致IP地址不夠用。

本文我將結合WFilter（WSG網關）的IP-mac綁定功能，介紹如何分配、管理和回收IP地址。

2018俄羅斯世界杯大幕拉開，世界杯期間球迷們將通過各種途徑觀看世界杯。互聯網作為世界杯的主要承載媒體，也使得我們的網絡感受到了前所未有的壓力。對于各類企事業單位來說，首要保障公司業務所需的帶寬資源，同時也要人性化的滿足世界杯的激情需要。

因此在世界杯期間，無論是門戶網站、運營商或是企事業單位，都需要解決帶寬分配和流量管理的問題。既讓客戶和員工可以觀看世界杯，同時又要讓企業的網絡帶寬不被搶占，關鍵應用的質量不受影響。

在大部分公司，客人用的WiFi和員工用的WiFi都是分開的。從理論上來說，這樣有利于局域網的信息安全。但是有些員工缺乏安全意識，會有意無意的泄漏辦公WiFi的密碼，甚至公開張貼WiFi密碼，再加上一些共享WiFi密碼的app；實際上你自認為安全的辦公WiFi密碼實際上并不安全。

一旦來賓、其他人員接入了公司WiFi，就可以直接訪問到企業內網，這時候勒索病毒、黑客入侵就已經離你不遠了。所以，企業在提供WiFi時，安全是頭等大事，絕對不容忽視。

本文，我們將探討如何禁止客人wifi訪問到公司內部的局域網？具體方案如下：

現在大部分局域網都提供了無線上網的功能。無線主要用于滿足以下幾種需求：

1. 無線辦公的需要，比如無線pos機等辦公設備。
   

2. 員工無線上網的需要。

3. 來賓、客人的無線上網。

這樣就帶來了相關的安全性問題：

1. 來賓有可能通過無線接入到企業內網，導致安全隱患。

2. 員工有可能通過來賓的無線網絡上網，從而繞開公司的行為管理策略，影響工作效率。

目前大部分解決方案都是來賓網絡和內部無線網絡使用不同的無線SSID和密碼。但是實際上這個方案存在很大的漏洞：密碼泄漏。來賓可以直接詢問到內網的無線密碼，甚至很多無線密碼都是公開張貼的。而企業員工更是可以直接通過來賓網絡上網。

本文將結合WFilter NGF的相關功能，來介紹更進階的解決方案。

這里說的路由，是千元以上的路由，一千塊以下的就不談的。現在很多企業路由，都說有這樣的功能，

IP-MAC綁定是很多路由，網關的一個常見功能，主要用來綁定局域網終端的IP地址，防止終端隨便修改IP，導致網內IP地址沖突，而導致網絡歇火。先來說IP-MAC綁定的原理分兩個部分：前部分，所謂綁定，就是讓這臺電腦的MAC始終獲取同一個ip地址或者指定ip，這個做到很容易，很多路由都號稱有這樣功能稱之IP-MAC綁定。但是做到這一步，沒啥意義，因為上網終端一旦修改了IP，照樣可以上網，照樣IP沖突，真正夯實IP-MAC綁定的是后半部分，這個上網行為管理才可以做到（核心交換機也能做到，但是配置很麻煩費事）要有上網數據，通過行為管理來檢測這個這個MAC是不是一直都是獲取的這個IP，一旦不是獲取的這個IP或者IP被擅自修改了，就會讓MAC斷網。或者一旦有新的沒有登記再案的終端進來（電腦，路由或者手機）進來，即使插上，也無法上網

DHCP服務用于給局域網的客戶機分配IP地址，從而實現統一的IP地址管理，可以有效簡化配置過程，并且防止IP沖突等異常。但是有時候我們也會發現電腦獲取不到IP的情況。這時候該怎么診斷呢？分兩種情況：

1. 所有的電腦都獲取不到IP，基本可以判斷是DHCP服務出了問題，一般需要檢查和重啟DHCP。
   

2. 只有個別電腦獲取不到IP，首先要排除網線接觸問題和系統問題。

實際工作中發現，即使網線和系統都不存在問題時，有時候也會獲取不到IP。這個情況是怎么產生的呢？請繼續往下看。

IP地址沖突是網絡管理的一個常見問題。尤其在企業局域網內部，由于管控策略的存在，總會有人試圖通過修改IP地址來繞開管控、獲取更多的上網權限以及更高的帶寬。修改的IP一旦和公司的服務器發送IP沖突，會直接影響到辦公和業務的正常運行。IP沖突的危害如下：

1. 繞開行為管理策略和流控策略的管控。
   

2. 導致被沖突的客戶機斷網。
   

3. 和服務器IP沖突會影響業務的正常運行。

4. 難以定位，使網絡管理混亂無序。

微信WiFi的默認流程，已經從最初的“關注公眾號”變成了目前的“打開公眾號”。應該說，“打開公眾號但是不強制關注“其實是一個更加人性化的做法；因為任何誘導/強制關注，都會影響最終用戶的體驗和公正性原則；長遠來看會影響公眾號的發展。微信WiFi如下圖：

在手機上網占多大流量？WiFi要不要進行限速？這篇文章中，我們介紹了WiFi速度慢的一個重要原因：后臺應用的大量帶寬占用。如下圖：即使在沒有任何app運行的情況下，后臺應用仍然會占用大量的帶寬。

很多企業、公共場所都會給員工或者顧客提供WiFi服務，但是網管人員很快會發現大部分人都會抱怨WiFi速度太慢沒法用，明明是100M的專線，速度卻和撥號速度差不多。這究竟是什么原因呢？今天我們就從網絡應用的角度來分析下，手機上網究竟需要多大的流量。

無線的速度，還取決于無線AP的信號強度、信道干擾、帶機量等因素，這些方面已經有大量的技術文章，我們就不再贅述，本文主要著重從網絡應用的角度來解釋無線帶寬的占用問題。

如下圖，這是一臺普通的華為安卓手機，已經清理掉所有的app。