對于三層交換機(jī)劃分多個VLAN的局域網(wǎng)來說，要設(shè)置IP-MAC綁定可真不容易。在三層交換機(jī)上進(jìn)行IP-MAC綁定，不但配置復(fù)雜而且維護(hù)工作量很大，所以大部分網(wǎng)管都不會直接在三層交換機(jī)上進(jìn)行綁定。在本文中，我將介紹用WSG上網(wǎng)行為管理，在網(wǎng)橋部署的模式下，如何來實現(xiàn)三層交換機(jī)下的IP和MAC綁定。

1. 先看下網(wǎng)絡(luò)拓?fù)鋱D。

Win10的自動更新非常的頻繁，而且windows的更新很耗帶寬資源。所以，如果網(wǎng)內(nèi)的windows電腦比較多，那么一旦windows發(fā)布了新的更新包，會占用大量的網(wǎng)絡(luò)帶寬資源。

當(dāng)然，windows的更新很多都是安全方面的更新，保持系統(tǒng)更新有助于提高終端的安全，我們并不建議關(guān)閉更新。不過，有些網(wǎng)絡(luò)為了節(jié)省帶寬資源，需要屏蔽局域網(wǎng)內(nèi)電腦的自動更新。在沒有部署上網(wǎng)行為管理的情況下，你需要在路由器或者網(wǎng)關(guān)設(shè)備上屏蔽站點“.*(officecdn|mp|updates)\.microsoft\.com“（正則表達(dá)式）和".*\.windowsupdate\.com”（正則表達(dá)式）?！皐indows更新”的通訊協(xié)議描述如下圖：

日前，深圳市網(wǎng)絡(luò)與信息安全信息通報中心發(fā)出緊急通告，指出目前知名遠(yuǎn)程辦公工具TeamViewer已經(jīng)被境外黑客組織APT41攻破，提醒企業(yè)組織做好防護(hù)措施。也就是說，APT41已經(jīng)攻破TeamViewer公司的所有防護(hù)體，并取得有相關(guān)數(shù)據(jù)權(quán)限，危險等級非常高。在teamviewer官方提供解決方案和發(fā)布相關(guān)補(bǔ)丁之前，我們建議用戶暫停teamviewer軟件的使用，避免造成不必要的損失。

以下是teamviewer通訊方式介紹，以及如何用WSG上網(wǎng)行為管理來禁止teamviewer。

1. teamviewer通訊方式

1. teamviewer在啟動時，首先會連接teamviewer官網(wǎng)（http和https方式都有），來獲取ID和路由信息。如果直接連接不了，teamviewer還會獲取本機(jī)的代理配置，嘗試通過代理服務(wù)器去連接。
   

2. teamviewer后續(xù)的點對點遠(yuǎn)程控制，大部分通過的端口是tcp 5938。也存在其他動態(tài)端口的通訊數(shù)據(jù)。

有些公司為了安全需要，只允許使用微信等指定軟件，同時屏蔽所有的其他網(wǎng)站和軟件。這樣的管理需求，必須要用專業(yè)的上網(wǎng)行為管理產(chǎn)品才可以實現(xiàn)。以我司的WSG上網(wǎng)行為管理為例，只需要兩條行為管理規(guī)則，即可實現(xiàn)該功能。配置的思路是“應(yīng)用過濾屏蔽所有+例外設(shè)置開通部分應(yīng)用”這兩者結(jié)合的方式。下面是具體配置的步驟介紹：

1. 先在應(yīng)用過濾里面屏蔽所有

如圖，應(yīng)用過濾添加規(guī)則，禁止所有應(yīng)用的訪問。