現(xiàn)在大部分局域網(wǎng)都提供了無線上網(wǎng)的功能。無線主要用于滿足以下幾種需求：
無線辦公的需要，比如無線pos機(jī)等辦公設(shè)備。
員工無線上網(wǎng)的需要。
來賓、客人的無線上網(wǎng)。
這樣就帶來了相關(guān)的安全性問題：
來賓有可能通過無線接入到企業(yè)內(nèi)網(wǎng)，導(dǎo)致安全隱患。
員工有可能通過來賓的無線網(wǎng)絡(luò)上網(wǎng)，從而繞開公司的行為管理策略，影響工作效率。
目前大部分解決方案都是來賓網(wǎng)絡(luò)和內(nèi)部無線網(wǎng)絡(luò)使用不同的無線SSID和密碼。但是實(shí)際上這個方案存在很大的漏洞：密碼泄漏。來賓可以直接詢問到內(nèi)網(wǎng)的無線密碼，甚至很多無線密碼都是公開張貼的。而企業(yè)員工更是可以直接通過來賓網(wǎng)絡(luò)上網(wǎng)。
本文將結(jié)合WFilter NGF的相關(guān)功能，來介紹更進(jìn)階的解決方案。
方案一：IP-mac綁定
該方案的具體策略如下：
來賓網(wǎng)絡(luò)和辦公網(wǎng)絡(luò)處于不同的VLAN。
登記員工的電腦和手機(jī)，配置IP-mac綁定。
對來賓網(wǎng)段不啟用IP-mac綁定。
對辦公網(wǎng)絡(luò)和來賓網(wǎng)絡(luò)配置不同的帶寬和上網(wǎng)策略。
這樣配置后，來賓連接辦公網(wǎng)絡(luò)是獲取不到IP的，從而也無法進(jìn)入辦公網(wǎng)絡(luò)。而員工即使連上了來賓網(wǎng)絡(luò)也無法上網(wǎng)。
一些相關(guān)的配置截圖如下：
1) VLAN劃分
辦公網(wǎng)絡(luò)和來賓網(wǎng)絡(luò)劃分不同的VLAN。
2) IP-mac綁定
登記辦公人員的手機(jī)和電腦，進(jìn)行IP-MAC綁定。
對辦公網(wǎng)段嚴(yán)格限制，未經(jīng)綁定的設(shè)備既獲取不到IP，也無法上網(wǎng)。
方案二：用戶認(rèn)證
該方案主要由以下方面組成：
無線用戶上網(wǎng)時，需要輸入用戶名和口令登錄。
辦公人員用自己的用戶名密碼。
來賓用來賓的guest賬號。
這樣配置后，即使來賓知道了辦公網(wǎng)絡(luò)的無線密碼，但是由于不知道個人的賬號密碼，所以還是無法使用辦公網(wǎng)絡(luò)的無線。但是該方案存在以下缺點(diǎn)：
來賓雖然不能使用辦公無線上網(wǎng)，但是可以連接到辦公的無線網(wǎng)絡(luò)，可能會訪問到內(nèi)網(wǎng)敏感資源。
用戶名密碼仍然存在泄漏的可能。
無法阻止辦公人員使用來賓的無線。
WFilter NGF中的“Web認(rèn)證”功能，可以對無線網(wǎng)絡(luò)進(jìn)行身份認(rèn)證，微信Wifi認(rèn)證、短信認(rèn)證等。從而認(rèn)證上網(wǎng)人員的身份，記錄上網(wǎng)內(nèi)容，并且可以和本地賬號、域賬號、郵箱賬號進(jìn)行集成。如圖：
綜上所述，“IP-mac綁定”和“Web認(rèn)證”都可以區(qū)分無線AP的來賓用戶和正常用戶。建議您根據(jù)自己的管理需要進(jìn)行選擇。嚴(yán)格一些就用IP-mac綁定，否則就用Web認(rèn)證。
