上網(wǎng)行為管理部署方案分析

上網(wǎng)行為管理部署方案分析

上網(wǎng)行為管理產(chǎn)品在網(wǎng)絡(luò)管理中已經(jīng)是一個(gè)不可或缺的部分，并且已經(jīng)得到了廣泛的使用。

大家在選購(gòu)上網(wǎng)行為管理產(chǎn)品的時(shí)候，一般都關(guān)注功能和價(jià)格。實(shí)際上，產(chǎn)品的部署方案才是優(yōu)先考慮的因素。

本文將討論上網(wǎng)行為管理產(chǎn)品的幾種典型部署方案，及各自的優(yōu)缺點(diǎn)分析。

旁路部署方案

旁路部署的網(wǎng)絡(luò)結(jié)構(gòu)圖如下（以WFilter上網(wǎng)行為管理軟件為例）：

旁路部署方案的優(yōu)點(diǎn)

1. 旁路部署方案是對(duì)當(dāng)前網(wǎng)絡(luò)影響最小的監(jiān)控模式。
2. 充分利用已有硬件的功能，部署方便，不會(huì)影響現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)。
3. 不會(huì)對(duì)網(wǎng)速造成任何影響。旁路模式分析的是鏡像端口拷貝過(guò)來(lái)的數(shù)據(jù)，對(duì)原始數(shù)據(jù)包不會(huì)造成延時(shí)。
4. 旁路監(jiān)控設(shè)備一旦故障或者停止運(yùn)行，不會(huì)影響現(xiàn)有網(wǎng)絡(luò)。
5. 旁路部署方案一樣可以對(duì)上網(wǎng)行為進(jìn)行控制。

旁路部署方案的缺點(diǎn)

1. 需要交換機(jī)或者路由支持“端口鏡像”功能才可以實(shí)現(xiàn)監(jiān)控。
2. 旁路模式采用發(fā)送RST包的方式來(lái)斷開TCP連接，不能禁止UDP通訊。對(duì)于UDP應(yīng)用，一般還需要在路由器上面禁止UDP端口進(jìn)行配合。

旁路部署方案總結(jié)

如果現(xiàn)有的網(wǎng)絡(luò)設(shè)備運(yùn)行穩(wěn)定，且對(duì)網(wǎng)絡(luò)的穩(wěn)定性要求高。在不考慮升級(jí)硬件的情況下，首先應(yīng)當(dāng)考慮旁路部署的軟件方案，這樣可以以最小的代價(jià)來(lái)部署上網(wǎng)行為管理，而且不會(huì)影響現(xiàn)有網(wǎng)絡(luò)的穩(wěn)定性。

串聯(lián)部署方案

串聯(lián)部署方案有兩種：網(wǎng)關(guān)模式，網(wǎng)橋模式。如下圖：

• 網(wǎng)關(guān)模式：用上網(wǎng)行為管理產(chǎn)品替換現(xiàn)有的網(wǎng)關(guān)（路由器、防火墻）。
• 網(wǎng)橋模式：用上網(wǎng)行為管理產(chǎn)品串聯(lián)在網(wǎng)關(guān)和核心交換機(jī)之間。

串聯(lián)部署方案的優(yōu)點(diǎn)

1. 解決了旁路部署方案的缺點(diǎn)，可以進(jìn)行流控，可以禁止UDP通訊。
2. 硬件維護(hù)比較單一，避免了軟件的兼容性問(wèn)題。

串聯(lián)部署方案的缺點(diǎn)

1. 需要購(gòu)買新的硬件產(chǎn)品，并替換掉現(xiàn)有的網(wǎng)關(guān)。造成硬件資源的浪費(fèi)。
2. 網(wǎng)絡(luò)中增加了新的硬件，穩(wěn)定性需要時(shí)間的磨合。
3. 增加了單點(diǎn)故障的可能性。串聯(lián)設(shè)備一旦死機(jī)或者掉電，會(huì)導(dǎo)致網(wǎng)絡(luò)中斷。

串聯(lián)部署方案總結(jié)

公司決定升級(jí)現(xiàn)有設(shè)備時(shí)，可以考慮購(gòu)買一臺(tái)行為管理硬件產(chǎn)品，并且進(jìn)行串聯(lián)部署。但是串聯(lián)部署的設(shè)備一定要進(jìn)行一段時(shí)間的穩(wěn)定性測(cè)試，確保不影響網(wǎng)絡(luò)穩(wěn)定性。

總體來(lái)說(shuō)，根據(jù)公司的預(yù)算，現(xiàn)有網(wǎng)絡(luò)狀況來(lái)判斷是進(jìn)行旁路部署還是串聯(lián)部署。旁路部署優(yōu)選軟件方案（推薦WFilter上網(wǎng)行為管理軟件），串聯(lián)部署優(yōu)選硬件方案。