为了管理局域网的IP地址的使用，你可以通过DHCP服务器自动分配固定的IP地址或者手动设置静态IP。但是这样并不能禁止用户自己修改IP或者MAC地址。

为了防止用户随意更改IP地址或MAC地址，我们需要对IP地址和MAC地址进行绑定。一般来说，在路由器或交换机上进行IP-MAC绑定比较有效而且更合理一些，比如cisco的交换机一般可以支持3种方式的IP-MAC绑定：

1. 基于端口的MAC地址绑定。可以绑定每个交换机端口的MAC地址。 2. 基于MAC地址的扩展访问列表，可以给MAC地址设置ACL访问规则。 3. 基于IP地址的MAC地址绑定，可以把IP地址绑定到MAC地址。

具体配置请参见：[URL=http://cisco.ccxx.net/cisco/121.html]http://cisco.ccxx.net/cisco/121.html[/URL]

然而硬件的配置过于繁琐复杂，在没有硬件或者机器台数过多的情况下，使用软件来绑定IP-MAC也是个不错的选择。本文将演示如何在超级嗅探狗网络监控软件中进行IP-MAC绑定操作。

QQ农场是一款以农场为背景的模拟经营类游戏。游戏中，玩家扮演一个农场的经营者，完成从购买种子到耕种、浇水、施肥、喷农药、收获果实，再到出售给市场的整个过程。

这个游戏最吸引玩家的地方在于“偷菜”。算准好友种植的各种作物成熟的时间，去好友的农场，抢在好友收割之前偷走作物成为玩家最大的乐趣之一。而被偷的玩家可以获得魅力值。同时，玩家还可以给好友的作物浇水除虫，从而获得升级必需的经验值。而正是由于游戏的魅力，会给工作带来不利的影响：

1. 占用带宽：由于不停的去下载游戏玩，会占用大量的带宽，影响整个网络的速度； 2. 工作的的效率明显降低：有些用户每天上班第一件事就是登陆开心网偷菜，还有人担心自己农场里的作物被偷，隔几个小时就登陆一次，这就会造成员工上班时间对工作的专心程度下降，工作效率降低。

下面我们将演示，如何利用超级嗅探狗屏蔽QQ农场：

网络监控的正规办法是通过交换机的“端口镜像”功能，[URL=http://baike.baidu.com/view/1381921.html?wtp=tt]端口镜像[/URL]可以把其他端口的网络通讯数据包都拷贝到某一个指定的端口，从而实现监控。 但是现在有些网管软件，采用[URL=http://www.imfirewall.com/arp-spoof.htm]ARP欺骗[/URL]的方式来欺骗其他机器把数据包发送到监控机。这样来实现监控，虽然省略了配置交换机这个步骤，但是却带来了一些问题： 1). ARP广播风暴 ARP欺骗需要发送大量的ARP Reply数据包来欺骗被监控机，同时发送大量的ARP广播包。会给局域网带来广播风暴，从而导致网络缓慢。 2). 导致局域网不稳定 由于数据包都需要从监控主机转发，一旦监控主机出现不稳定、掉电、断线等情况，会导致局域网瘫痪。另外，如果局域网中有多个人同时进行ARP欺骗，将直接导致局域网瘫痪。

1.1 开心网等娱乐网站及其消极影响

上开心网已经是最近最流行的名词了，用户可以通过加好友，留言，点击好友页面来增加人气和魅力值，尤其是开心农场这个游戏，玩家可以在农场里种植各种作物，给它们浇水除虫，等到作物成熟还可以卖掉赚钱。这个游戏最吸引玩家的地方在于“偷菜”。算准好友种植的各种作物成熟的时间，去好友的农场，抢在好友收割之前偷走作物成为玩家最大的乐趣之一。而被偷的玩家可以获得魅力值。同时，玩家还可以给好友的作物浇水除虫，从而获得升级必需的经验值。而正是由于游戏的魅力，会给工作带来不利的影响：   1. 占用带宽：由于不停的去下载游戏玩，会占用大量的带宽，影响整个网络的速度；   2. 工作的的效率明显降低：有些用户每天上班第一件事就是登陆开心网偷菜，还有人担心自己农场里的作物被偷，隔几个小时就登陆一次，这就会造成员工上班时间对工作的专心程度下降，工作效率降低。

1.2 禁止开心网的常用手段：

禁止开心网常用的手段是通过禁止IP，禁止域名，但是不能完全禁止，因为有些精明的用户会使用：   1. 代理服务器，通过一些公开的http和socks代理服务器来连接；   2. 第三方代理服务，通过使用第三方的代理服务连接网站进行游戏；   3. VPN服务：通过VPN来绕开封堵。   这些手段会避开常用的封堵手段，因为常用的封堵手段只能封堵普通的网页活动。

1.3 超级嗅探狗的解决方案：

什么是网络监控？

其实就是监控网络，将网络行为（如email，聊天，网页，文件传输）等但凡和internet相关的行为做内容记录和上网行为控制。

网络监控原理

网络监控是通过获取网络上面传输的数据包，对数据包进行分析还原，从而获取上网内容。

网络监控需要有交换机的支持，只有带“端口镜像”功能的交换机才可以实现监控功能。当然，把监控软件安装在上网代理服务器或者网关服务器上面也可以实现监控。

网络监控技术最重要的一部分就是协议分析。各个通讯方式（如email,聊天，文件传输，网页）都采取不同的传输协议。即时聊天里面QQ,MSN,YAHOO等也是不同的聊天协议。所以支持的协议越多，支持的越好，这样这些上网行为才可以被精确管理。

MSN是什么？

MSN：MSN（Live）messenger 是微软开发的即时通讯软件，8.0 版本更名为Windows Live Messenger，和国内的腾讯QQ一样，一般用来聊天，文件传输。

超级嗅探狗对MSN监控的支持：

[B]内容记录：[/B] 记录MSN的聊天内容，文件传输内容，聊天对象，登陆ID，聊天次数。 [B]行为管理：[/B] 禁止MSN聊天对话，文件传输行为，禁止任何形式的MSN登陆通讯。

超级嗅探狗对MSN使...

QQ是什么？

由腾讯公司开发的一款基于Internet 的即时通信（IM）软件。

超级嗅探狗对QQ的监控支持

[B]内容记录：[/B]记录QQ文件传输内容，QQ聊天数据包，聊天次数，登陆QQ号码。 [B]行为管理：[/B]禁止QQ聊天对话，文件传输行为，禁止任何形式的QQ登陆通讯。

超级嗅探狗对QQ使用的管理方案：

[B]方案一：[/B]全面禁止QQ，禁止局域网内任何登陆形式的QQ通讯。 截图 [B]方...

什么是流媒体？

常见的流媒体就是采用P2P技术，网络传输声音和视频信号，这种传输方式一般用在网络电视和在线视频上。目前国内常用的流媒体有：PPLIVE,QQLIVE，PPstream网络电视，暴风影音，酷狗音乐等等。 局域网内长时间或者多台电脑运行这些流媒体会占用大量带宽，导致其他人不能上网，浪费企业宽带...

不加限制的上网行为给企业的工作效率以及生产力带来了很多负面的影响，主要表现在： 1. 影响工作效率：上班时间浏览网页、聊天、看视频等行为耗费大量的工作时间。 2. 占用带宽资源：随着P2P技术的发展，一两个P2P下载或者在线视频就可以消耗掉绝大部分带宽资源。从而影响到正常的业务开展。 3. 有损内网安全：不加限制的下载、有害网站和文件传输很可能带来病毒和黑客程序，从而破坏企业内网安全。 4. 敏感资料泄漏。 所以，对局域网内用户的上网行为加以管理已经是一个很现实的问题。本文打算从企业上网管理的部署方案和使用需要关注的几个方面加以介绍，希望能有助于您对局域网上网行为进行管理。 此外，本文讨论的局域网监控仅局限于对网络行为进行监控，并不涉及到截屏和USB监控。后者需要在每天电脑上面安装客户端软件才可以实现，而网络监控只需要在网络出口处安装即可。

经过2个多月的Beta公开测试，超级嗅探狗3.3版本终于正式发布，该版本新增了流量带宽管理、Url关键词过滤、网站访问限时等功能，大力优化了软件操作界面，并且新增了十几种报表，使网络管理更加方便。 新版本四大看点：

1. 流量带宽管理

旁路模式监控由于技术局限，一直不能有效的管理带宽和流量。而在超级嗅探狗3.3版本中，新增了流量带宽管理模块，该模块提供两种模式对流量和带宽进行管理：既可以限制一定时间段内的流量，也可以在局域网带宽负荷过高时，禁止某些网络行为，从而有效的保障了局域网带宽资源。

2. 网站限时访问和警告

网站的访问策略一般来说就是“禁止”或者“允许”，可是您也许会发现，对于那些处于灰色地带的网站，您需要更多的选择。 新版中，网站的过滤不再只是局限于“禁止”或者“允许”，您还可以使用“警告”或者“限时”功能。当用户访问权限为“警告”的网站时，系统会弹出警告信息，警示用户“本公司策略禁止访问该网站，只有处于工作目的，可以继续访问”。 利用“限时”功能，您还可以设置某类网站的访问时间，比如，每天只允许访问“新闻类”网站1小时。

3. Web邮件监控

Web邮件的还原一直是监控的难题，大部分监控系统不能有效的区分“web邮件”和普通的“网页粘贴”，而在浩瀚的“网页粘贴”数据中查找“web邮件”无异于大海捞针。 超级嗅探狗3.3版本中，内置了web邮件库，可以自动识别和还原大部分的web邮件，web邮件可以直接在“邮件收发”中进行查看。

4. 内置标准报表

新版中，自带了一系列常用报表，如“网页浏览最多的20个用户”，“聊天次数最多的20个用户”，“占用流量最多的20个用户”等。且可以自动发送报表到指定管理员邮箱。不用登陆系统即可了解上网情况。 赶快试用一下吧：http://www.imfirewall.com/download_trial.htm.

1. 常用的限制网站访问技术

不加限制的网站访问会耗费大量的精力、时间和带宽资源，所以现在很多公司都对员工的上网行为进行管理限制。从技术手段来说，一般有以下几种： 1.1). 在路由器上面限制，现在有些路由器提供域名过滤功能，可以禁止某些网站的访问。 1.2). 在防火墙上面做限制，通过配置防火墙的ACL规则来限制某些IP的访问。 1.3). 使用上网管理软件进行限制。 在路由器和防火墙上面限制功能比较局限，一般来说只能禁止某些域名或者IP，不能实现细致的管理需要，而且配置一般比较复杂。 如果您需要实现更好的管理，则应当使用专业的上网管理软件。以下以超级嗅探狗软件为例，做一个大概介绍。

2. 使用超级嗅探狗限制网站访问

超级嗅探狗可以对每台电脑分时段启用不同的上网策略，给您提供了以下管理手段： 2.1). 网站黑名单：把一些不允许访问的网站禁止掉。 2.2). 网站白名单：只允许访问白名单里面的网站。 2.3). 网页分类过滤： 提供7大分类，50小分类。可以管理不同分类的网站，比如：在工作时间禁止掉娱乐类、下载类网站。 2.4). 分类限时访问：比如对新闻类网站，每天只允许访问1小时。 2.5). URL关键词限制功能：可以禁止搜索指定的关键词。 2.6). 访问警告功能：当访问某些网站时，弹出警告页面。 请参见以下图示：

1. 局域网限速手段

局域网限速一直是网络管理的一大难题，可以说并不存在一种完美的解决方案。一般来说，局域网限速存在三种手段： 1.1 用网关或者网桥模式，给每台电脑分配固定的带宽。这种方式比较稳定，缺点是需要增加硬件投入，且每台电脑只能使用固定的带宽，从而造成了带宽资源的浪费。 1.2 现在有些网管软件采用了ARP欺骗的模式，可以欺骗其他电脑把监控机器作为网关，从而实现网关模式的限速。但是这样的做法并不能控制安装了ARP防火墙的电脑，并且造成局域网广播风暴，给局域网带来了不稳定的因素。因此要慎用。 1.3 其实在旁路模式下也同样可以对局域网带宽进行管理。旁路模式的原理，是利用交换机的端口镜像功能，对镜像口的数据包进行分析，然后发送拦截包断开流量占用大的连接。 下面我们演示一下如何用超级嗅探狗来进行局域网限速：

2. 如何用超级嗅探狗实现局域网限速？

超级嗅探狗只需要在一台电脑上面安装就可以管理整个局域网。下面是具体的步骤演示：

局域网流量控制和管理一直是网络管理的一个难题。 一般来说，对局域网流量的监控限制有两个解决方案：

1. 串联方式的流量分配。

Linux操作系统中的流量控制器（Traffic Control）可以通过在输出端口处建立一个队列来实现流量控制。通过使用一台linux的网关，即可设置每台机器的流量。市场上也有相应的产品（一般是硬件产品）可以做到流量分配。 这个方案的关键是必须要使用网关或者网桥的连接方式，所以对网速会有一定的影响。 另外，固定的流量分配使用起来比较呆板，不能使互联网带宽得到有效利用。比如：在上网带宽很空闲的情况下，客户机仍然只能使用分配到的流量，从而造成了带宽资源的浪费。 优点在于可以精确的分配流量。

2. 旁路方式的流量限制。

如果不需要精确的分配流量，那么通过旁路方式的监控也可以做到流量的监控。旁路监控方式是通过交换机的端口镜像功能，对数据进行分析还原。同样也可以监控到每台机器的上网流量，并且可以禁止P2P软件使用。旁路方式的优点是部署方便，不会影响网速。缺点是不能做到精确的分配流量。 以超级嗅探狗为例，对流量控制方面可以做到如下功能： 1. 实时流量监视，监视每台电脑的实时流量。 2. 禁止带宽耗用比较多的协议，如：P2P、在线视频、下载等。 3. 在流量高峰时禁止某些电脑上网。如：当实时上网带宽到达了总带宽的80％时，禁止某些电脑上网。

利用超级嗅探狗监控软件进行流量管理？

超级嗅探狗只需要在一台电脑上面安装就可以管理整个局域网。下面是具体的步骤演示：

超级嗅探狗3.3版即将发布，新版本增加了流量管理、带宽管理、Url关键词过滤、网站访问限时等功能，使网络管理更加方便。 1. 流量管理功能，可以限制每台电脑一定时间内的流量大小。超过流量时可以禁止某些类型的网络访问。 2. 带宽管理功能，可以在局域网上网带宽占用过高时，禁止某些电脑上网。 3. Url关键词过滤，对网址中出现的关键词进行过滤，从而可以禁止用户搜索违禁关键词。支持近50个分类的关键词。 4. 网站限制访问，对指定分类的网站限制访问时间，比如：新闻类网站每天只允许1小时。 还有其他很多新增功能哦，赶快试试吧：[URL=http://www.imfirewall.com/download_trial.htm]免费下载[/URL]

  随着网络应用的普及和互联网内容的爆炸性增长，对局域网内用户的上网行为加以管理已经是一个很现实的问题。  目前影响企业网络环境和员工工作效率的网络应用主要分为3大部分。    1. 网页浏览    截止06年底，全球网站数量已经过亿，各类娱乐、色情、游戏、宗教等网站不可计数。而据统计，员工上网一半的时间都是用来浏览网页。所以，上网行为管理的第一条是要可以对不同的网页分类访问进行管理，网页分类越细，管理程度也就越细。从管理需要来说，网页分类至少要在20类以上，分别要涵盖：娱乐、色情、技术、学习、游戏、下载、黑客、新闻、搜索引擎等等。具体可以参见[URL=http://www.imfirewall.com/wfilter_webcatalog.htm]超级嗅探狗网页分类[/URL]。    2. 上网聊天    上网聊天基本耗去了员工上网的另外一半时间。所以对聊天软件的管理是上网管理的第二重点。聊天软件的管理主要有两点： 1. 封堵 2. 过滤。 对不需要用的聊天软件一律禁止使用。对需要使用的聊天软件限制使用，或者只允许某些有权限的员工使用。

P2P、在线视频等软件很容易就可以占用掉局域网大部分上网带宽，流量限制和流量管理已经成为每一个网管人员都要面临的问题。

首先，我们先了解一下占用流量最多的几类应用：

1. P2P下载，如BT、电骡、迅雷等。 2. 在线视频，如PPLive、PPStream等软件，视频软件现在都采用了P2P技术，一台电脑可以产生几百个连接，从而耗掉全部带宽资源。 3. 大文件的下载，如电影下载、视频文件下载等等。

下面我们再演示一下如何用超级嗅探狗来限制流量。

超级嗅探狗只需要在一台电脑上面安装就可以管理整个局域网。下面是具体的步骤演示。

现在很多公司用了AD域来进行管理，而传统的监控软件一般都是基于IP或者MAC来监控的。这样如果有些员工的电脑不固定或者到用别人机器上网的话，就不能适用正确的监控策略。 超级嗅探狗支持和AD域结合，可以给每个账号设置上网策略，从而实现了真正的基于账号监控。

第一步：启用帐户监控

[IMG]upload/accountConf.jpg[/IMG] 如图1.1所示，在“帐户配置”页面中，点击“是”，选择一帐户类别，点击“保存配置”。

PPLive等流媒体软件采用了P2P技术进行通讯，会占用大量带宽。 超级嗅探狗3.2版本中加强了对相关软件的支持，可以分时段禁止常用的PPLIVE, QQ直播，PPStream等软件。 一机安装即可管理全网。 如下图：

web信息的爆炸式增长，使我们可以很便捷的查询到需要的资料，提高工作效率；但是也会使我们耗费大量的时间阅读新闻、体育、娱乐、论坛等信息。 对访问的网络资源进行管理刻不容缓。 超级嗅探狗上网管理软件的网页过滤模块给您提供了以下管理手段： 1. 网站黑名单：把一些不允许访问的网站禁止掉。 2. 网站白名单：只允许访问白名单里面的网站。 3. 网页分类过滤： 提供7大分类，50小分类。可以管理不同分类的网站，比如：在工作时间禁止掉娱乐类、下载类网站。 更多网页过滤信息，请参见：http://www.imfirewall.com

股市变幻牵动人心，但是工作时间炒股大大影响了工作效率，并且可能会造成无心工作，引起不需要的损失。 利用超级嗅探狗可以按时段禁止或者允许股票软件的使用，使工作时间的网络行为纳入公司的管理范围。并且在一台电脑上面安装即可管理全网。 对工作时间炒股的管理，主要通过两种策略来实现： 1. 禁止工作时间使用行情、交易软件。 2. 禁止工作时间访问财经类站点。 如下图：

P2P技术的迅猛发展使的对P2P流量进行管理不可或缺。但是，由于P2P通讯的复杂性，对P2P协议的准确识别一直是一大难题。 对P2P协议进行识别的传统方法主要有： 1. 端口范围，比如老的bt协议的6883-6889的端口范围。 2. 特征匹配。通过数据包中的一些特征进行识别。 近两年来，为了避开网络监控，越来越多的P2P软件，典型的有bt，emule，都采用了加密协议和模糊特征。而且大部分P2P软件在默认端口被禁止的情况下，都能自动转换端口，并且支持通过80端口来进行通讯。所以传统的识别技术面临很大挑战。 下一代的P2P识别技术，必然要综合更多的因素进行考虑，才能准确识别P2P协议。

 互联网已经是企业办公必不可或缺的工具。但是局域网内没有控制的上网、聊天、游戏等上网行为，却严重影响了工作效率；并且带来病毒、木马等危害企业局域网网络安全的恶意应用程序；更严重的话，有可能会给企业带来法律纠纷。 那么，如何对企业局域网上网行为进行控制呢？

局域网上网控制的三个方面

一般来说，要从以下三方面入手：

1. 建立企业上网制度建立企业局域网上网秩序。

  随着越来越多的软件采用了P2P技术进行通讯，一两台电脑使用的P2P软件就可以抢占掉一个局域网的全部带宽资源。而且目前P2P的使用非常广泛：下载、在线视频、网络电视...，可以说随处都可以看到P2P的影子。   所以，为了保证企业网络的正常稳定运行，必须对流量进行监控和限制。   一般来说，对局域网流量的监控限制有两个解决方案：   1. 对每台机器分配流量。   Linux操作系统中的流量控制器（Traffic Control）可以通过在输出端口处建立一个队列来实现流量控制。通过使用一台linux的网关，即可设置每台机器的流量。市场上也有相应的产品（一般是硬件产品）可以做到流量分配。这个方案的关键是必须要使用网关或者网桥的连接方式，所以对网速会有一定的影响。   2. 监控每台机器的网络流量，同时禁止P2P软件的使用。   如果不需要精确的分配流量，那么通过旁路方式的监控也可以做到流量的监控。旁路监控方式是通过交换机的端口镜像功能，对数据进行分析还原。同样也可以监控到每台机器的上网流量，并且可以禁止P2P软件使用。旁路方式的优点是部署方便，不会影响网速。缺点是不能做到精确的分配流量。   这两个方案的原理、实施方式和成本都有一定的区别。  

 对于大多数企业来说，互联网已经是必不可缺的工具。但是没有控制的上网、聊天、游戏等上网行为，却严重影响了工作效率；并且带来病毒、木马等危害企业网络安全的恶意应用程序；更严重的话，有可能会给企业带来法律纠纷。  那么，如何对企业局域网上网行为进行限制呢？  一般来说，要从以下三方面入手：  1. 建立企业上网制度。     通过行政手段，建立相应的秩序。  2. 监控并且保留上网记录。     采用一些监控软件，对互联网访问行为进行监控记录。使员工的网络行为有据可查。  3. 用技术手段对网络行为进行过滤和禁止。     利用相应工具，过滤掉不需要访问的网站，并且禁止P2P、网络电视、聊天软件...等严重影响工作效率的互联网应用程序。

   随着网络应用的普及和互联网内容的爆炸性增长，企业对员工的上网行为加以管理已经是一个很现实的问题。 本文主要对上网行为管理的几个主要方面加以阐述，希望能够对企业上网管理有所帮助。    目前影响企业网络环境和员工工作效率的网络应用主要分为3大部分。    1. 网页浏览    截止06年底，全球网站数量已经过亿，各类娱乐、色情、游戏、宗教等网站不可计数。而据统计，员工上网一半的时间都是用来浏览网页。所以，上网行为管理的第一条是要可以对不同的网页分类访问进行管理，网页分类越细，管理程度也就越细。从管理需要来说，网页分类至少要在20类以上，分别要涵盖：娱乐、色情、技术、学习、游戏、下载、黑客、新闻、搜索引擎等等。具体可以参见[URL=http://www.imfirewall.com/wfilter_webcatalog.htm]超级嗅探狗网页分类[/URL]。    2. 上网聊天    上网聊天基本耗去了员工上网的另外一半时间。所以对聊天软件的管理是上网管理的第二重点。聊天软件的管理主要有两点： 1. 封堵 2. 过滤。 对不需要用的聊天软件一律禁止使用。对需要使用的聊天软件限制使用，或者只允许某些有权限的员工使用。    3. P2P下载、网络视频和文件传输    P2P下载、网络视频、文件传输不但占用大量的资源，而且很容易带来各种病毒从而破坏局域网稳定性。我建议P2P软件、网络视频软件一律封杀。禁止下载不明来源的软件。    网络管理方方面面的东西很多，对于企业上网管理来说，以上3方面就是上网行为管理的三剑客，缺一不可。