限制与突破的战争—局域网管理方案效果评测

　　下面我们将对常见的几种网络管理方案方面横向的评测，看看哪种方案最适合你。

    一、网络管理方案——IP篇

    方案描述：

　　在局域网中，网络管理员为了防止某些电脑用户访问互联网，可以利用网络管理软件的相关功能对电脑的IP地址进行限制。常见的网络软件都具有该功能，这里选择的网管软件是Easy网管。该网管软件是国产的一款傻瓜式网管工具，界面友好，可以通过IP地址来限制局域网中某台电脑的上网行为。

    操作实例：

　　以Easy网管V9.5.3专业版（下载地址：http://www.banruo.net/）为例，限制IP的操作比较简单：比如要限制客户端访问互联网，可以在服务器端运行“Easy网管服务器V9.5.3”，选择好连接内网和网关的网卡，在打开的管理窗口中，在“用户控制”标签页中右键单击要限制的某个电脑IP地址，选择“停止用户上网”即可限制该电脑用户访问互联网（图1）。要恢复上网，选择“恢复用户上网”即可。操作非常的简单，不需要专业的知识。

图1

    
    比如要限制某网络软件、服务的IP地址，我们可以打开“系统设置”标签页，在“IP地址限制”项中新增IP地址限制，（图2）
   

图2

    
    再比如要限制访问的网站，可以在“系统设置”标签页中进行网址黑名单的设置，可以添加限制访问的网站。要限制上网时间，我们事先可以在“系统设置”标签页中，在上网时间限制选项中进行时间限制设置，从周一到周日。然后回到“用户控制”标签页，右键单击某个电脑IP地址，选择“编辑用户”，点击“查询编辑权限”按钮来设置采用的网址黑名单、上网时间限制等规则。

    突破测试

　　为了测试Easy网管限制IP的效果，我们选择了一款代理服务器软件——CCProxy进行突破测试，该软件可以用HTTP代理或SOCKS代理突破。

　　从突破效果来看，作为代理服务软件中的佼佼者，局域网中只要有可以上网的电脑，通过CCProxy就可以实现共享上网，突破网管的IP限制。但是，使用起来相对麻烦，安装CCProxy代理服务的电脑必须开机，而且不是所有网络应用程序都可以使用SOCKS代理来转换。

　　对于通过网址黑名单来限制某些网站，突破方法更是不费吹灰之力，在网上找一个免费HTTP或SOCKS代理即可轻松突破。

    限制效果：★★★（五颗星满分）

　　技术分析：如今网络管理软件一般采用旁路模式、网关模式来对局域网用户的上网进行监控、限制，而使用代理服务软件让网管软件监控安装了代理服务软件的电脑，而被限制的电脑没有被监控，可以共享上网。

　　方案总结：在局域网中，通过电脑的IP地址、网络服务的IP地址等来限制上网，是比较常见的网络管理方案之一，也被很多的公司、企事业单位所采用。虽然有些限制会被突破，但是如限制上网时间、限制网络服务IP都是行之有效的。

  二、网络管理方案——端口篇

    方案描述：

　　为了限制员工使用QQ/MSN聊天、玩网络游戏、进行BT下载，可以通过网络管理软件对相应的网络软件、服务通信端口进行限制，可以手动添加限制的端口。该方案同样以Easy网管为例进行评测。

     操作实例：

　　运行Easy网管，打开网络管理窗口，切换到“系统设置”标签页，选中“通信端口限制”项，通过右键菜单可以新建端口限制规则，也可以对已有的“QQ与MSN端口”规则进行编辑，添加其他的端口，比如QQ的4000端口等（图3）。

图3

    
    切换到“用户控制”标签页，右键单击某个电脑IP地址，选择“编辑用户”，点击“查询编辑权限”按钮来设置采用的通信端口限制规则。

    突破测试

　　为了测试Easy网管的端口限制效果，我们选择了Socks2HTTP+SocksCap32的经典方法进行突破测试。从实际的限制效果来看，对于一般的网络管理软件都可以进行突破，不过突破后访问速度一般不太理想，还与选择的代理服务器有关。

　　要通过限制端口来完全限制应用程序的运行是比较困难的，因为如今很多的网络软件、P2P软件都支持端口自动转换，建议在限制端口的基础上，限制网络软件服务器的IP地址。

    限制效果：★★★

　　技术分析：网络管理软件可以对特定网络程序的端口进行监控，限制软件运行，使用Socks2HTTP+SocksCap32等软件可以将限制的端口转换为其他端口，突破局域网防火墙，绕开监控，突破限制。

　　方案总结：该方案一般用于对网络软件、网络服务的限制，比如QQ、MSN、QQ游戏、联众、股票软件等等，网管可以在网络管理软件中手工添加这些网络软件和服务的通信端口，进行限制。为了防止Socks2HTTP+SocksCap32的突破、对端口自动转换的P2P软件的失效。建议网管在采用端口限制方案的同时，结合网络软件、服务的IP地址限制。

  三、网络管理方案——带宽、流量篇

    方案描述：

　　通过具有ARP欺骗技术的网络管理软件来限制BT/FTP/HTTP下载的速度，同时还可以限制BT下载的上下行流量、下载的每日总流量等。该方案选择的网管软件是聚生网管，这是一款功能强大的网络管理系统，只需要在局域网的任意一台电脑上安装就可以控制整个局域网的P2P下载、带宽、流量以及游戏、股票、聊天软件。

    操作实例：

　　这里选择的是聚生网管2008专业版进行的评测，下载地址：http://www.grabsun.com/。   在客户端安装的是BitComet（比特彗星），通过聚生网管来限制BT上、下行速度都低于30KB/s。

　　比如要限制BT下载速度，我们可以运行聚生网管，在左侧点击“控制策略设置”，点击“新建策略”按钮来创建BT下载限速的策略，输入策略名称，在“带宽限制”标签页中勾选“启用主机公网带宽限制”和“启用发现P2P下载时自动限制该主机带宽功能”复选框，并设置上下行带宽（图4）。

图4

    
    如果要限制下载流量，在打开的策略编辑窗口中，切换到“流量限制”标签页，勾选“启用主机公网流量限制”复选框，然后可以选择控制总流量和上下行流量，比如每日总流量限制为10M（图5）。
   

图5

    
    新建好完限制策略，然后点击右侧的“指派策略”按钮，将该下载限制策略指派给某个电脑。最后，在左侧点击“网络主机扫描”功能项，点击工具栏“全部控制”按钮应用BT下载限制策略。

    突破测试

　　在实际的限制效果来看，聚生网管的下载速度、流量限制功能比较实用，可以有效的控制BT下载速度以及流量。不过，前提是在客户端没有下载之前，运行聚生网管程序并应用相应限制策略，否则无效。

　　为了测试限制的效果，我们还选择了金山ARP防火墙和360 ARP防火墙两款ARP防火墙进行突破测试，遗憾的是，这两款ARP防火墙可以成功突破聚生网管的限制。

    限制效果：★★

　　技术分析：聚生网管等网络管理软件之所以能对局域网中的电脑进行限速、限流量，是采用了一种叫ARP欺骗的技术，要突破这类软件，只要选择一个ARP防火墙即可，这里选择的金山ARP防火墙就是比较出色的一种。

　　方案总结：为了保证局域网的通畅，不浪费网络资源，对没有限制下载功能的网络来说，下载的速度和流量是必须要限制的，通过该方案就可以有效地进行限制。聚生网管可以有条件限制客户端下载速度、流量，金山ARP防火墙可以突破聚生网管的限制。

   四、网络管理方案——综合篇

    方案描述：

　　单靠一种限制方案和限制措施效果可能达不到某些网络管理的要求，那么可以考虑综合的管理方案，比如限制客户端的上网权限，同时绑定IP和MAC地址等。常见的网管软件、路由器都可以实现。

    操作实例：

　　目前常见的网络管理工具都支持IP和MAC地址的绑定，比如上面介绍的聚生网管2008专业版，运行主程序，在左侧依次点击“网络安全管理”、“IP-MAC绑定”，在右侧的窗口中勾选“启用IP-MAC地址绑定”复选框，然后添加绑定的IP地址和MAC地址。一旦发行非法主机，聚生网管将会进行隔离。

    突破测试

　　目前来说，通过绑定IP和MAC地址的方法来进行限制，效果是最好的。为了验证限制的效果，我们选择了SMAC（MAC地址修改）、IPManager（IP地址修改）软件进行突破测试。

　　从实际测试的效果来看，一般的IP和MAC绑定，只要有一台电脑能上网，都可以通过MAC地址克隆的方法来突破。不过面对开机就监控、扫描IP和MAC的网管软件，就行不通了！

    限制效果：★★★★★

　　技术分析：通过IP和MAC绑定可以确定用户身份，进行上网限制，利用IP/MAC地址修改工具将被限制的客户端IP/MAC地址变成可以上网的客户端IP/MAC地址，以此来突破限制。

　　方案总结：对于一些私营企业，为了严格控制上网行为，网络综合管理方案采用的比较多。采用了IP和MAC地址绑定等限制策略的方案也是最行之有效的。

     总结：

　　不同的公司、企业，不同的网络管理要求，选择的网络管理方案不同。比如一般的企事业单位多采用IP方案或流量、带宽方案中的一种限制措施，私营企业多采用严格的综合管理方案。

　　不过，“道高一尺、魔高一丈”，在各类网管工具大行其道的同时，难挡突破限制工具的风靡势头，他们的较量一直在延续着，随着软件版本的升级，限制的工具将被突破，突破的工具还将被限制，没有绝对的限制与突破。