|
企业不是网吧，网吧是用来kill time的，而企业是用来制造G.D.P的。为了网络安全，为了合理利用网络资源，为了管理员工的上网行为，为了提高员工工作效率，总之，为了很多事情，网络设备厂商开发一了些小工具，而网管把它们使用得得心应手。 这些“小工具”都有哪些呢？我们可以掰手指来数一下。首先是位于OSI模型第二层的“工具”，这使得我们可以基于MAC地址进行操作；第二个是位于OSI模型第三层的“工具”，这使得我们可以基于IP地址进行操作；第三个是位于OSI模型第四层的“工具”，这使得我们可以基于端口号（服务）进行操作。但这些“工具”其实都不是十分可靠，原因很简单，端口号、IP地址甚至MAC地址都是可以任意修改的，修改以后，相应的策略就失效了。 不可否认，随着宽带的普及各种五花八门的网络应用也随之出现，我们刚提到的传统“老三样”工具就变得更不可靠了。一般我们认为，端口号可以标识特定服务，比如23号端口代表Telnet服务。但由于1024以上的端口号是“开放”使用的，BT使用什么端口号，这个问题恐怕比较难回答。一个常见的例子，无论网管在路由器上设置怎样复杂的策略阻止员工使用BT，效果都不会很好。最后所使用的管理手段可能是限制每个IP的最大带宽和最大连接数，这其实是一种没有办法的办法，首先这可能会影响到员工正常上网，第二，无法从根本上限制员工使用BT — 依然可以用，只是速度慢。
这两年，上网行为管理路由器被越来越多人关注，原因很简单，它可以对很多应用进行管理，比如QQ、MSN、BT，网游等等，而且是十分有效的管理，一旦应用策略，用户几乎无法绕过“封锁线”。在网络管理方面，确实帮了企业很大的忙。但“上网行为管理”这一概念多少给人一些雾里看花的感觉，它的本质是什么？实现原理又是什么？下面笔者就来说一说，也欢迎您参加讨论，文中所述不恰当之处还望您指出。 不过在说“上网行为管理”之前，我们有必要梳理一下“老三样”工具，因为，它们其实是环环相扣的。比如一条信息，ABCD，是如何正确地从A电脑的QQ中传输到B电脑的QQ中的呢？ 信息的传输过程大概是这样的：QQa生成了一条内容为“ABCD”的信息，这条信息从OSI的第7层开始被逐层“加工”，当ABCD“走”到传输层时（第四层），有两个重要的参数会被附加在这条信息上 — 源端口号和目的端口号。端口号的作用是标识数据，因为一台电脑发出的和收到的数据量是非常大的，如何区分这些数据是哪个程序发出的、发给对端电脑上哪个程序是很重要的。 经过第四层后，ABCD被加上了传输层的包头，这时数据来到了第三层，网络层。网络层继续在数据外边附加控制信息，就像“剥洋葱”一样，只不过，过程是反向的。网络层包头中有两个重要的参数，源IP地址和目的IP地址。被加工过的数据称为数据包。>>
|
