專利名稱：一種基于三層交換機多網(wǎng)段環(huán)境下部署網(wǎng)管軟件對局域網(wǎng)電腦進(jìn)行控制的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及的是一種在三層交換機多網(wǎng)段環(huán)境下對局域網(wǎng)電腦的上網(wǎng)行為、上網(wǎng)內(nèi)容進(jìn)行控制、過濾和記錄的方法
背景技術(shù)：
當(dāng)前一般的網(wǎng)管軟件在控制三層交換機多網(wǎng)段的網(wǎng)絡(luò)環(huán)境下電腦的上網(wǎng)行為，常常需要將網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備串接在三層交換機上面和出口網(wǎng)關(guān)設(shè)備之間，通過安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備的一個接口連接三層交換機靜態(tài)路由所在的網(wǎng)段的一個端口，另一個接口連接出口網(wǎng)關(guān)設(shè)備，并且使得兩個接口通過搭建網(wǎng)絡(luò)橋的方式來實現(xiàn)通訊，然后網(wǎng)管軟件通過捕獲經(jīng)過網(wǎng)絡(luò)橋的局域網(wǎng)電腦的上下行數(shù)據(jù)報文的方式來實現(xiàn)對局域網(wǎng)電腦上 網(wǎng)行為和上網(wǎng)內(nèi)容進(jìn)行監(jiān)控。但是，這種網(wǎng)管軟件的部署方式，一方面需要部署專門的網(wǎng)絡(luò)設(shè)備，并且在監(jiān)控設(shè)備安裝兩個網(wǎng)卡，并需要將兩個網(wǎng)卡搭建網(wǎng)絡(luò)橋，這種方式加大了部署網(wǎng)管軟件的成本，設(shè)置也較為復(fù)雜，增加了網(wǎng)管人員的工作量；另一方面，由于局域網(wǎng)電腦的上下行數(shù)據(jù)報文均通過網(wǎng)絡(luò)橋進(jìn)行傳輸，這使得一旦網(wǎng)管軟件所依附的網(wǎng)絡(luò)設(shè)備出現(xiàn)單點故障，將會使得整個局域網(wǎng)的公網(wǎng)通訊被切斷，從而使得局域網(wǎng)大面積斷網(wǎng)、掉線的現(xiàn)象，對局域網(wǎng)通訊的安全、穩(wěn)定和暢通造成較為嚴(yán)重的危害。本發(fā)明的獨到之處就是通過將網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備直接連接到三層交換機直連出口網(wǎng)關(guān)的所在網(wǎng)段內(nèi)一個端口上，并將網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備的網(wǎng)關(guān)的IP地址設(shè)置為出口網(wǎng)關(guān)設(shè)備的IP地址，這樣即可與出口網(wǎng)關(guān)設(shè)備進(jìn)行通訊，然后網(wǎng)管軟件通過向三層交換機直連出口網(wǎng)關(guān)的虛擬接口發(fā)送ARP報文信息，將虛擬接口 ARP表中所存儲的出口網(wǎng)關(guān)設(shè)備的MAC地址更改為安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備的MAC地址，這樣三層交換機所劃分的各個網(wǎng)段內(nèi)的電腦的數(shù)據(jù)報文都發(fā)向了網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備，網(wǎng)管軟件對于收到的數(shù)據(jù)報文安裝既定的過濾、控制規(guī)則進(jìn)行匹配，以此來決定是否放行并轉(zhuǎn)發(fā)到出口網(wǎng)關(guān)或者丟棄以阻止電腦的上網(wǎng)行為。通過這種部署網(wǎng)管軟件的方式，一方面可以降低部署網(wǎng)管軟件的成本，無需專門的網(wǎng)絡(luò)設(shè)備、也不需要部署雙網(wǎng)卡；另一面，當(dāng)網(wǎng)管軟件設(shè)備出現(xiàn)故障的時候，由于出口網(wǎng)關(guān)設(shè)備會定時向三層交換機的靜態(tài)路由所在的虛擬接口發(fā)送出口網(wǎng)關(guān)設(shè)備的IP和MAC地址信息，從而可以三層交換機的靜態(tài)路由的虛擬接口 ARP表中所存儲的網(wǎng)關(guān)的MAC地址糾正過來并直接指向出口網(wǎng)關(guān)設(shè)備，從而自動實現(xiàn)網(wǎng)絡(luò)恢復(fù)，不至于出現(xiàn)網(wǎng)絡(luò)大面積斷網(wǎng)和掉線的現(xiàn)象，從而保護(hù)了網(wǎng)絡(luò)的安全、穩(wěn)定和暢通。

發(fā)明內(nèi)容
隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，企業(yè)大都踏上了互聯(lián)網(wǎng)的快車，紛紛采用各種網(wǎng)絡(luò)技術(shù)、電子技術(shù)來通過網(wǎng)絡(luò)進(jìn)行工作但是由于網(wǎng)絡(luò)的無限開放性，以及對網(wǎng)絡(luò)有效管理的缺失，給廣大企業(yè)事業(yè)單位帶來極大的網(wǎng)絡(luò)管理問題。如員工在工作時間在網(wǎng)絡(luò)上用各種P2P軟件下載大量的娛樂資料，這些P2P工具可以耗盡企業(yè)的帶寬，導(dǎo)致了企業(yè)正常的網(wǎng)絡(luò)無法使用；同時，員工還瀏覽大量與工作無關(guān)的網(wǎng)址，如色情、反動、暴力等，造成了極壞的影響，浪費了工作時間，還容易導(dǎo)致網(wǎng)絡(luò)病毒泛濫，嚴(yán)重影響企業(yè)的正常工作，降低了工作效率；同時，由于網(wǎng)絡(luò)傳輸?shù)谋憬菪?，使得高速的資料傳輸成為可能，某些員工通過郵件、HTTP/FTP傳輸、聊天等方式把企業(yè)重要的商業(yè)機密、專有技術(shù)盜取并謀取私利，嚴(yán)重危害了企業(yè)的利益，給企業(yè)帶來重大損失。綜上所述，一套行之有效的網(wǎng)絡(luò)管理系統(tǒng)就成為企業(yè)網(wǎng)絡(luò)管理的必需。本發(fā)明技術(shù)方案如下首先，需要將安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備(可以是普通電腦、服務(wù)器或者嵌入式、工業(yè)控制機等)，直接連接到三層交換機直連上層出口網(wǎng)關(guān)設(shè)備的網(wǎng)段所在的一個端口上，并將此網(wǎng)絡(luò)設(shè)備的網(wǎng)關(guān)的IP地址設(shè)置為出口網(wǎng)關(guān)設(shè)備的IP地址，這樣安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備也就可以和出口網(wǎng)關(guān)設(shè)備進(jìn)行通訊；而網(wǎng)管軟件通過向直連出口網(wǎng)關(guān)設(shè)備的三層交換機的靜態(tài)路由所在的虛擬接口發(fā)送ARP報文，將虛擬接口的ARP表中所存儲的網(wǎng)關(guān)設(shè)備的MAC地址更改為網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備的MAC地址，這樣局域網(wǎng)各個網(wǎng)段的電腦的數(shù)據(jù)報文就直接發(fā)送的網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備了，然后網(wǎng)管軟件將捕獲到的局域網(wǎng)電腦的數(shù)據(jù)報文按照既定的過濾、控制和轉(zhuǎn)發(fā)規(guī)則進(jìn)行處理，并決定是否轉(zhuǎn)發(fā) 到出口網(wǎng)關(guān)設(shè)備或者直接丟棄的方式來達(dá)到控制局域網(wǎng)電腦上網(wǎng)行為和上網(wǎng)內(nèi)容的目的。按照本軟件的技術(shù)特征，可以用任意的編程語言來實現(xiàn)。依照本原理編寫的網(wǎng)管軟件由于是部署在三層交換機的直連上層出口網(wǎng)關(guān)設(shè)備的網(wǎng)段內(nèi)，從而可以實現(xiàn)對三層交換機劃分多個網(wǎng)段的大規(guī)模網(wǎng)絡(luò)環(huán)境下電腦的集中監(jiān)控；同時，網(wǎng)管軟件由于可以隨時發(fā)送ARP報文對虛擬接口所存儲的ARP表中的網(wǎng)關(guān)的MAC地址進(jìn)行更改，所以也可以在特殊情況下可以迅速發(fā)送ARP恢復(fù)報文，將虛擬接口 ARP表中存儲的網(wǎng)關(guān)的MAC地址更改為出口網(wǎng)關(guān)設(shè)備的MAC地址，這樣可以迅速解除監(jiān)控，而不需要調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)、無需人工干預(yù)，幫助網(wǎng)管實現(xiàn)智能管理。
具體實施例方式在實際部署中，要根據(jù)三層交換機的網(wǎng)段劃分來部署網(wǎng)管軟件。例如，三層交換機直連出口網(wǎng)關(guān)設(shè)備的網(wǎng)段的虛擬接口的IP地址是192. 168. I. 1，那么三層交換機的所有網(wǎng)段的虛擬接口的靜態(tài)路由都會指向192. 168. I. 1，并且所有網(wǎng)段的所有電腦的數(shù)據(jù)報文均由192. 168. I. I所在的虛擬接口向出口網(wǎng)關(guān)設(shè)備(假設(shè)為192. 168.1.254，00-0b-2f-03-dc-9c)轉(zhuǎn)發(fā)。那么，我們可以將網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備接入到三層交換機直連出口網(wǎng)關(guān)設(shè)備的網(wǎng)段的一個端口上，然后將其IP地址設(shè)置為192. 168. I. 2，網(wǎng)關(guān)的IP地址設(shè)置為192. 168. I. 254，這樣我們就可以直接和出口網(wǎng)關(guān)設(shè)備進(jìn)行通訊了 ；然后網(wǎng)管軟件會向虛擬接口 192. 168. I. I發(fā)送ARP報文信息，將虛擬接口的ARP表中存儲的網(wǎng)關(guān)的MAC地址00-0b-2f-03-dc-9c更改為部署網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備的MAC地址(假設(shè)為00-19-5b-14-f7-50)，這樣三層交換機所有網(wǎng)段的數(shù)據(jù)包都會發(fā)送到網(wǎng)管軟件所在的MAC地址00-19-5b-14-f7-50，然后網(wǎng)管軟件根據(jù)既定的控制、過濾和轉(zhuǎn)發(fā)規(guī)則對數(shù)據(jù)報文進(jìn)行處理后決定是否轉(zhuǎn)發(fā)到出口網(wǎng)關(guān)設(shè)備或者直接丟棄，以此來達(dá)到控制局域網(wǎng)電腦上網(wǎng)行為和上網(wǎng)內(nèi)容的目的。
權(quán)利要求
1.一種基于三層交換機多網(wǎng)段環(huán)境下部署網(wǎng)管軟件對局域網(wǎng)電腦進(jìn)行控制的方法。通過將安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備直接連接到三層交換機直連出口網(wǎng)關(guān)設(shè)備所在的網(wǎng)段的一個端口上，然后將安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備的網(wǎng)關(guān)的IP地址設(shè)置為出口網(wǎng)關(guān)設(shè)備的IP地址，然后通過網(wǎng)管軟件向三層交換機的缺省路由，也即直連出口網(wǎng)關(guān)設(shè)備的虛擬接口發(fā)送ARP數(shù)據(jù)報文，將直連出口網(wǎng)關(guān)設(shè)備的網(wǎng)段的虛擬接口的ARP表中所存儲的網(wǎng)關(guān)的MAC地址更改為安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備的MAC地址。 這樣，三層交換機所劃分的所有網(wǎng)段的電腦的數(shù)據(jù)報文就可以發(fā)送到網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備，然后由網(wǎng)管軟件對收到的數(shù)據(jù)報文進(jìn)行解析，識別出電腦的具體的上網(wǎng)行為和上網(wǎng)內(nèi)容，并根據(jù)網(wǎng)管軟件集成的過濾、控制規(guī)則對捕獲到的數(shù)據(jù)報文進(jìn)行放行并轉(zhuǎn)發(fā)到出口網(wǎng)關(guān)設(shè)備或者丟棄而不轉(zhuǎn)發(fā)的方式來實現(xiàn)對局域網(wǎng)所有電腦的上網(wǎng)行為進(jìn)行控制的一種方法。
全文摘要
本發(fā)明涉及的是一種基于三層交換機多網(wǎng)段環(huán)境下部署網(wǎng)管軟件對局域網(wǎng)電腦進(jìn)行控制的方法。通過將安裝網(wǎng)管軟件的網(wǎng)絡(luò)設(shè)備接到三層交換機上直連出口網(wǎng)關(guān)設(shè)備的網(wǎng)段內(nèi)的一個端口上并將其網(wǎng)關(guān)IP地址設(shè)置為三層交換機出口網(wǎng)關(guān)的IP地址，然后網(wǎng)管軟件向三層交換機的靜態(tài)路由的虛擬接口發(fā)送ARP報文，將虛擬接口ARP表中存儲的出口網(wǎng)關(guān)的MAC地址更改為網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備的MAC地址，這樣三層交換機所有網(wǎng)段的電腦的數(shù)據(jù)報文都發(fā)送到網(wǎng)管軟件所在的網(wǎng)絡(luò)設(shè)備上，這樣網(wǎng)管軟件可以按照既定的過濾和控制規(guī)則來對這些報文進(jìn)行處理，決定是否轉(zhuǎn)發(fā)到出口網(wǎng)關(guān)設(shè)備或者直接丟棄，以此來實現(xiàn)對電腦上網(wǎng)行為和上網(wǎng)內(nèi)容的控制。
文檔編號H04L12/24GK102739433SQ20111019846
公開日2012年10月17日 申請日期2011年7月15日 優(yōu)先權(quán)日2011年3月30日
發(fā)明者陳世杰 申請人:大勢至(北京)軟件工程有限公司