WFilter的“SSL監控”模塊，可以對https以及SSL加密的smtp/imap/pop3的內容進行解密從而記錄其內容。該SSL監控模塊，既可以對電腦進行管控，而且對手機一樣生效。但是要不影響客戶機的正常使用，首先需要在客戶機上安裝ca證書。電腦上安裝ca證書比較簡單，我們不再贅述。本文中，我將介紹如何在蘋果手機（iphone）上安裝SSL監控的ca證書，從而實現對iphone的SSL監控。

1. 開啟SSL監控

說到https，不得不提http（HyperText Transfer Protocol）這個互聯網上用的最廣泛的網絡協議，其技術架構，協議功能，協議原理百度或者google都有詳細解釋。而https（Hyper Text Transfer Protocol over Secure Socket Layer）多就多在這個S上，SSL加密，通常理解，https就是http加入SSL加密層變成以安全為目標的http傳輸。那么SSL是個啥呢，SSL是一個目前應用非常廣泛的一種非對稱加密方式，也是公認破解不了的。安全，又好用，所以才能廣泛應用，除了http,郵件的pop3,smtp，IM通訊等等，都能用上，是個很好的加密方式。起初用https通常都是金融類網站用到財務交易，時光如水，歲月如歌，IT技術一日百里的飛速發展，現在很多門戶網站，企業網站也都逐漸使用https協議，這個也是事實的趨勢。概念就是這個概念了，那么https如何監控管理呢？以下說明是獻給非專業IT技術人員，非專業碼農的。為了大家都能明白，可能有些敘述比較幼稚和粗淺，請多多理解。

WFilter上網行為管理軟件（WFilter ICF）是基于網絡監控技術的上網行為管理軟件，其原理和客戶端監控（內網監控）的技術原理有著很大的差異。

本文將分析這兩種方案的優缺點，以協助您做出正確的選擇。

一個有效的網址庫是上網行為管理產品進行網頁過濾的基本條件。現在市場上的大部分上網行為管理產品，都自帶了網址庫功能，但是各家的實現方式差別挺大的。大部分廠商都著重于宣傳自己的“大”，動輒號稱幾千萬網址庫，殊不知相對于數以億計（2015年網站總數已經超過3億）的互聯網而言，千萬級的網址庫也只是覆蓋了一小部分而已。

WFilter系列上網行為管理產品，在”網址庫“方面，采用了如下三種技術：

1. 自帶基本百萬級網址庫；涵蓋alex排名前百萬的網站列表。

2. 本地自動分類技術；對于未知的網站類型，可以基于網站的內容，實時進行自動分類。

3. 云主機分類技術；對于未知的網址類型，可以發送到我們的網站分類云主機進行查詢，由主機進行分類后返回。

網址庫是網頁過濾的基礎。網頁分類就是根據網站的內容，將網站分為什么類型，比如門戶網站、購物類、信息類、技術類等等等。這樣的產品早在N年前，Websence，surfcontrol就有號稱千萬級的網址庫，甚至有些國內的行為管理硬件，動輒需要1T的內存空間，都是因為網址庫不夠精簡的原因。但是互聯網的網址就跟汪洋大海的海水一樣，數不過來。

實際使用過程中，尤其是工作局域網環境，只會訪問到網址庫中1%的網址，其余的99%網址庫幾乎不用。這樣大型網址庫的優點僅有一個就是“大型”而這樣的“大型”網址庫也會造成軟件性能滯后，軟件自身文件過大。

WFilter系統產品的網址庫收錄了常用的百萬級網址（實時更新），但是互聯網的工作內容又是千變萬化，如果網址庫的定義不夠，我們另外有動態網址分類，讓您根據自己的目標，要求去定義您對網站分類的理解或者新增您的網站分類。

除了自帶的60多種網頁分類外，您還可以在“WFilter上網行為管理軟件”中根據管理需要自定義網頁分類。具體步驟如下：

HTTPS就是HTTP over SSL（通過SSL加密的HTTP網頁瀏覽協議），而SSL采用了非對稱密鑰的加密方式，在目前的硬件條件下，不知道私鑰是不可能解密SSL的密文的。

對于HTTP的網頁瀏覽內容，“WFilter（超級嗅探狗）”和“WFilter上網行為管理系統（WFilter NGF）”無需額外配置，都可以直接記錄網址、網頁標題和瀏覽器類型。但是，對于https的訪問，默認情況下，只能記錄域名。如下圖：

域服務器使用越來越廣泛了，對于局域網設備機動使用的，用了域賬號，能準確管理到位。那么如何監控到客戶機登陸的域賬號呢？

本文將介紹如何用”WFilter（超級嗅探狗）“軟件來監控局域網客戶機登錄的域賬號。

1. 什么是根據MAC地址監控？

WFilter支持“根據IP地址監控”和“根據MAC地址監控”兩種方案（如果您有AD域，還可以根據域賬號進行監控）。“根據MAC地址監控”模式下，WFilter通過被監控設備的物理MAC地址來進行識別，即使客戶機修改了IP（或者自動獲取了一個新的IP），仍然可以準確識別。所以“MAC監控模式”在自動獲取IP地址，或者IP地址不固定的網絡中，有很大的優越性。

我們一般建議用戶采用如下的監控方式：

1. 已經是固定IP或者可以實現固定IP的情況下，優先采用“根據IP監控”的模式。
2. 動態IP的局域網，單網段情況下，優先采用“根據MAC監控”模式。

2. 多網段根據MAC監控方案

多網段的情況下，由于三層交換機的存在，屏蔽了客戶機實際的MAC地址，從而無法直接實現“根據MAC地址”監控。

一個WFilter監控主機可以監控一個局域網的上網行為，當您有多個局域網需要管理的時候，需要在每個網絡都安裝一套WFilter才可以。

為管理多個WFilter服務器，我們推薦您在WFilter界面中直接切換到不同的服務器進行查看。請參考：[URL=http://www.01n5v.cn/blog/post/148.html]如何集中管理多個超級嗅探狗監控服務器？[/URL]

有些情況下，個別用戶可能需要把數據集中存放以便于管理。要實現這樣的功能，您必須安裝WFilter的數據庫版本。從而利用數據庫的管理功能來同步WFilter數據庫。

本例中，我們將演示如何用mysqldump來同步WFilter數據庫（mysql版本）

WFilter（超級嗅探狗）4.1版本中新增了“網頁推送”功能，可以在滿足指定條件時給客戶機來推送web頁面，它可以用于企業公告、內容推送、報表推送等功能的實現。 本例中，我們將演示如何使用WFilter進行網頁推送。

根據我們最新的壓力測試，WFilter（超級嗅探狗）4.1版本的性能得到了大幅提升，監控5000臺毫無壓力，相比4.0大幅提升啦。 測試環境是Server 2008 R2，dlink千兆交換機。測試機的內存只有2G、CPU是Intel Celeron E3200@2.4GHZ。由于測試的硬件配置比較低，帶機量還存在大幅的上升空間。 [IMG]upload/wfilter_performance_1.png[/IMG] [IMG]upload/wfilter_performance_2.png[/IMG]

雖然WFilter（超級嗅探狗）提供了一系列的統計報表，但是有時候您可能需要對數據進行一些處理。以“網頁明細統計”報表為例，該報表列出了日期、姓名、網站分類、網站、訪問次數的信息。如果您需要按日期求和，可以先把該報表導出為csv格式，然后在excel中利用“數據透視”功能進行二次統計。

終端服務給企業局域網的網絡管理帶來了很多好處，不少企業都在自己的局域網內架設了終端服務器來提供網絡服務。但是，因為客戶端都共享了終端服務器的網絡資源，所以傳統的基于IP或者MAC地址的上網行為管理無法對終端服務器上的不同用戶進行監控和管理。 最新發布的超級嗅探狗zh.4.0.200版本新增了代理服務器用戶驗證功能，使用WFilter（超級嗅探狗）的“帳號監控功能”和“代理服務器功能”相結合，可以監控到終端服務器上的不同用戶，且可以給每個用戶設置單獨的上網策略。 具體方案請參考：[URL=http://www.01n5v.cn/help/doc/WFilter_monitor_terminalserver.htm]如何監控終端服務器上不同用戶的上網行為?[/URL]

我們在使用超級嗅探狗網絡監控軟件對網絡進行監控管理的時候還要結合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？

本例中演示了如何在dlink 7300路由器上面禁止UDP端口。

1. 首先登陸路由器，在“網絡安全- - >防火墻設置”里面對防火墻進行設置，具體設置如下圖所示：

現在很多軟件不僅僅通過TCP 方式進行通訊，還能夠通過UDP方式進行通訊。所以我們在使用超級嗅探狗網絡監控軟件對網絡進行管理的時候還要結合路由器或者防火墻封堵UDP端口。為什么旁路模式不能封堵UDP端口？

1. 首先登陸路由器，在“高級-->防火墻&DMZ”里面對防火墻進行設置，具體設置如下圖所示：

有些公司會采用多寬帶接入的方式來聯接互聯網，例如，公司內部有20臺電腦通過兩條獨立的ADSL寬帶上網，10臺劃分為192.168.1.0網段，通過192.168.1.1的路由器上網；另外10臺劃分為192.168.2.0網段，通過192.168.2.1的路由器上網。

這種環境下實現監控，一般是把兩臺路由器同時接到鏡像交換機上，然后在鏡像端口安裝超級嗅探狗來實現監控。

但是由于這兩個網段互相獨立，而且這兩個路由器之間并不能互相轉發數據，導致在默認配置下，超級嗅探狗只能禁止其中一個網段的上網行為。要實現同時可以禁止多個網段，需要修改嗅探狗電腦的“子網掩碼”配置，使嗅探狗的電腦同時屬于這兩個網段。

現在很多軟件不僅僅通過TCP 方式進行通訊，還能夠通過UDP方式進行通訊。所以我們在使用超級嗅探狗網絡監控軟件對網絡進行管理的時候還要結合路由器或者防火墻封堵UDP端口。[URL=http://www.01n5v.cn/blog/post/108.html]為什么旁路模式不能封堵UDP端口？[/URL]

1. 首先登陸路由器，在“安全設置- - >防火墻設置”里面對防火墻進行設置，具體設置如下圖所示：

這一步需要注意的是：

（1）首先需要勾選“開啟防火墻”和“開啟IP地址過濾”。

（2）在“缺省過濾規則”當中，一定要選擇“凡是不符合已設IP地址過濾規則的數據包，允許通過本路由器”。

2．接下來打開“安全設置-- >IP地址過濾”配置需要禁止的UDP端口，具體配置如下圖所示：

常見的網絡監控模式可以分為兩種：一種是串聯監控模式，另一種是旁路監控模式。

旁路模式一般是指通過交換機等網絡設備的“端口鏡像”功能來實現監控，在此模式下，監控設備只需要連接到交換機的指定鏡像端口，所以形象的稱之為“旁路監控”；而串聯模式一般是通過網關或者網橋的模式來進行監控，由于監控設備做為網關或者網橋串聯在網絡中，所以稱之為“串聯監控模式”。

旁路模式和串聯模式各有其優缺點，比較如下：

[B]旁路模式的優點：[/B]

1. 旁路監控模式部署起來比較靈活方便，只需要在交換機上面配置鏡像端口即可。不會影響現有的網絡結構。而串聯模式一般要作為網關或者網橋，所以需要對現有網絡結構進行變動。

利用交換機的端口鏡像功能，可以把鏡像源端口的數據包，拷貝到指定的目的端口。從而在管理口可以實現對整個網絡的監控管理。

端口鏡像功能是通過交換機的硬件芯片來實現的，理論上講不會對網絡產生任何影響。但是在啟用了鏡像功能后，不合理的配置會導致數據量過大，從而導致鏡像口丟包。

所以我們在配置鏡像的時候，要考慮到幾個原則：

1. 盡量采用一對一鏡像。就是說，一個鏡像源端口對應一個目的端口。試想一下，如果你把兩個100M口的數據都發送到一個100M的目的端口，目的端口怎么能夠來得及處理呢。

2. 如果由于某些原因必須要有多個鏡像源端口，一定要考慮到每個源端口的最大流量，總和不能超過目標端口（一般是100M），否則會有丟包。

3.如果只需要對上網情況進行監測，只鏡像互聯網數據即可。

4. 在交換機不支持鏡像口通訊的情況下，或者監控的電腦臺數比較多時（超過50臺），建議使用兩塊網卡：一塊用于監聽、另外一塊用于封堵和通訊。

[B]網絡監控[/B]

網絡監控這里指的是對使用互聯網的人員的上網行為進行監控管理。

[B]網絡監控設備[/B]

從實現方式上來分可以分為：網絡監控軟件和網絡監控硬件。

網絡監控軟件只需要在一臺監控服務器上面安裝，即可對整個局域網的上網行為進行監控管理。

硬件網絡監控設備實質上是將軟件預先安裝在硬件監控系統中，然后捆綁銷售給客戶。而客戶從傳統的思維方式認為，硬件的監控系統一定比軟件的監控性能要好。實際上是錯誤的，因為監控系統性能的高低取決于多種因素。

網絡監控軟件與網絡監控硬件相比較的優缺點：

[B]優點：[/B]

[B]1. 安裝使用方便[/B]

軟件的試用、升級、安裝都比較方便，只要下載安裝即可使用；而硬件的試用、升級由于涉及到硬件的替換，比較而言要麻煩一些。

[B]2. 價格方面[/B]

網絡監控軟件的價格不涉及硬件費用，所以相對來說要便宜些。

[B]缺點：[/B]

[B]1. 部署方式[/B]

網絡監控軟件一般通過旁路模式（如超級嗅探狗網絡監控軟件）來進行監控，而網絡監控硬件除了旁路模式外，一般都可以還替代網關，部署方式上更加靈活一些。更多旁路監控和串聯監控的比較請參見：

[B]2. 兼容性問題[/B]

網絡監控軟件安裝時不可避免要與其他的軟件共存，這樣不可避免就會存在一些兼容性問題。而網絡監控硬件則只安裝了監控系統，從而幾乎不存在兼容性問題。

端口鏡像（Port Mirroring）

一般情況下，與交換機或者路由器相連的電腦只能夠接收到自己的數據包，為了網絡管理的需要，有些交換機或者路由器提供了端口鏡像的功能。

配置了鏡像端口后，通過網絡分析軟件就可監控整個網絡的運行狀況，和上網數據。

如下圖所示，此例中把1號口鏡像到16號口,從而在16號口安裝監控軟件，即可實現監控。

1. 為什么需要鏡像交換機實現監控？

1.1 端口鏡像交換機與普通交換機有什么不同？

一般情況下，與交換機或者路由器相連的電腦只能夠接收到自己的數據包，為了網絡管理的需要，有些交換機或者路由器提供了端口鏡像的功能。

配置了鏡像端口后，通過網絡分析軟件就可監控整個網絡的運行狀況和上網數據。有關一些交換機的鏡像配置，請參見：[URL=http://www.01n5v.cn/help/doc/deployment_example.htm]超級嗅探狗部署用例[/URL]。

1.2 如何判斷交換機是否有端口鏡像功能？

一般可以通過查看交換機的說明文檔或者web配置界面來判斷。

A 如果文檔介紹中聲稱此交換機支持“端口鏡像”或者“支持網管功能”，那么該交換機就可以支持端口鏡像。如：

[IMG]upload/TPL.jpg[/IMG]      [IMG]upload/HW.jpg[/IMG]

B 查看交換機的配置界面，如果存在“端口鏡像”、“端口監控”之類的功能。就說明此交換機支持端口鏡像。

[IMG]upload/H3CS.JPG[/IMG]

網絡技術的不斷發展，企事業單位的網絡管理人員逐漸意識到網絡監控的重要性，因此出現了功能各異，技術不同的監控管理軟件。面對市場上良莠不齊的品牌，作為企事業單位的網管人員，如何從中選擇能夠適合本單位的上網監控需要的網絡監控軟件，成為非常重要的問題。

在使用超級嗅探狗監控局域網時，如果交換機的鏡像口不允許通訊，或者需要監控的電腦臺數比較多，一般需要分開設置通訊網卡和監聽網卡。而在windows系統中，當本機有兩塊網卡時，默認使用第二塊網卡進行通訊。如果第二塊網卡不是通訊網卡的時候，您的計算機可能會出現無法正常上網的情況。此時，您可以通過設置TCP/IP協議配置中的“自動躍點計數”來解決此問題。

躍點數是windows給特殊網絡接口的IP路由分配的值，用來標識與使用該路由有關的成本，系統會自動選擇躍點數低的網卡接入網絡。Windows XP 中，默認啟用“自動躍點計數”功能，為較慢的網絡接口分配較高的躍點數，強制流向Internet的所有流量使用可用的最快網絡接口。同樣，您可以通過手動配置躍點數，使系統通過你所配置的網卡接入網絡。

網絡監控的正規辦法是通過交換機的“端口鏡像”功能，[URL=http://baike.baidu.com/view/1381921.html?wtp=tt]端口鏡像[/URL]可以把其他端口的網絡通訊數據包都拷貝到某一個指定的端口，從而實現監控。 但是現在有些網管軟件，采用[URL=http://www.01n5v.cn/arp-spoof.htm]ARP欺騙[/URL]的方式來欺騙其他機器把數據包發送到監控機。這樣來實現監控，雖然省略了配置交換機這個步驟，但是卻帶來了一些問題： 1). ARP廣播風暴 ARP欺騙需要發送大量的ARP Reply數據包來欺騙被監控機，同時發送大量的ARP廣播包。會給局域網帶來廣播風暴，從而導致網絡緩慢。 2). 導致局域網不穩定 由于數據包都需要從監控主機轉發，一旦監控主機出現不穩定、掉電、斷線等情況，會導致局域網癱瘓。另外，如果局域網中有多個人同時進行ARP欺騙，將直接導致局域網癱瘓。