艳妇乳肉VS豪妇荡乳中年熟妇,陈德明和晓雯的甜蜜小说免费阅读,国产精品理论片

IPSec的ike v1和ike v2驗證方式有什么差別？

Mon, 13 Oct 2025 15:03:33 +0800

今天發現了一個有趣的問題，有個WSG的客戶用ipsec組網，服務端和客戶端組網時有兩個網段需要互通，但是只能有一個網段可以組網成功。檢查后發現原來用來ike v1的野蠻模式。IPsec的ike v1和ike v2有很多的差別，如下：

IKEv1和IKEv2的主要差異對比

特性	IKEv1	IKEv2
交換過程	6條消息（主模式）或3條消息（野蠻模式）	4條消息
身份保護	主模式提供，野蠻模式不提供	始終提供身份保護
驗證靈活性	相對固定	支持混合驗證（如服務端證書+客戶端EAP）
重驗證	需要重新建立整個IKE_SA	支持會話恢復和重驗證
DoS保護	較弱	更好的Cookie機制

而且，IKEv1對多網段的支持是不如IKEv2的，相對IKEv1，IKEv2有著：

更好的多子網支持 - 原生支持多個子網協商
更強的安全性 - 更現代的加密算法
更好的穩定性 - 自動重連、移動性支持
簡化配置 - 更清晰的配置語法

把兩端的驗證方式都改成IKEV2后，問題得到了解決。

怎樣用SD-WAN盒子來組網訪問遠端系統？

Thu, 25 Sep 2025 14:07:31 +0800

1. 接線方式

如下圖所示，SD-WAN盒子這款硬件有如下配置：

一個以太網網口，默認自動獲取IP。
自帶wifi（SID: wfilter-sdwan，無線網段是192.168.120.0/24）

以太網網口會自動獲取IP，用網線把sdwan盒子接在路由器或者交換機上即可。用手機連接sdwan盒子自帶的wfilter-sdwan網絡。如圖：

2. 用手機訪問管理界面

用手機瀏覽器掃碼，或者用瀏覽器訪問http://192.168.120.1

3. 用電腦瀏覽器訪問管理界面

電腦瀏覽器可以通過設備的IP地址來訪問管理界面

4. 配置遠程訪問

配置SD-WAN網絡，在SD-WAN中可以加入云平臺或者自定義的SD-WAN網絡，就可以和你現有的設備互通了。在SD-WAN平臺中給設備固定一個IP地址，你就可以從外網訪問到SD-WAN盒子的管理界面。

還可以開啟OpenVPN來連接到VPN服務，OpenVPN需要先導入CA證書，輸入正確的服務端地址（可以填寫多個，支持IP地址和域名），輸入正確的用戶名密碼。

如果同時配置了SD-WAN網絡和OpenVPN，意味著您可以同時通過SD-WAN和OpenVPN來訪問到設備，兩者可以互為備份。

5. 配置路由規則或者反向代理

如果只是需要訪問內部的Web系統，可以通過配置反向代理來實現，反向代理不需要在路由器上配置路由規則，簡單易用。如圖：

如果你需要兩地互訪（內網IP互通），需要在路由器上配置路由規則。請參考：http://wiki.imfirewall.com/Sdwanbox

怎樣用防火墻規則使內網服務器只允許與外網的一個ip互通？

Fri, 29 Aug 2025 10:53:00 +0800

用WSG的防火墻規則，可以設置網絡層的訪問規則。防火墻規則和行為管理規則是不一樣的，防火墻規則工作在網絡層，直接把IP或者端口屏蔽掉；而行為管理策略工作在應用層，阻止的是應用層訪問，并不禁止ICMP（ping）。

本例中，我將用防火墻規則來演示怎樣實現內網服務器只允許與外網的一個ip互通。

1. 添加禁止所有外網的防火墻規則

區域選擇“內網”，方向“轉發”，指定源IP為要限制的內網IP地址，阻止該IP訪問所有外網。

2. 添加允許訪問指定IP的防火墻規則

還是在“內網-轉發“，目的IP指定為允許訪問的IP地址，動作設置為”允許“

3. 調整策略順序

點擊排序的圖標，調整策略順序，把允許訪問的策略拖動到禁止訪問的策略上方。別忘了“應用新配置”，這樣就實現限制訪問指定IP的效果。

如何找到和WSG網關IP地址沖突的設備MAC地址？

Tue, 17 Jun 2025 10:47:23 +0800

一旦有設備和網關的IP地址沖突，就會出現下列現象：

外網不穩定、時斷時續
網關的界面打不開，或者有時候打不開

這個現象涉及的設備比較多，有可能是網關、交換機、網線等問題。本文中，我介紹一下如何判斷是由于IP地址沖突導致的。

1. 先查看一下網關的MAC地址

配置-網絡-接口設置的內網口中，可以查看到設備內網口的MAC地址。記錄下這個mac地址值。如下圖：

2. 查看電腦端的ARP表

在電腦的cmd窗口里面，輸入arp -a命令，就可以查看電腦的arp表。如下圖：

判斷的原則是：

ARP表中網關IP地址對應的MAC地址和WSG界面上查看到的MAC地址一致，那說明沒有ip地址沖突。
ARP表中的MAC地址和界面上的MAC地址不一致，說明存在IP地址沖突，且ARP表中的MAC地址就是沖突設備。
ARP表會變化的，要在出問題的時候去查看。

內網的IP地址沖突會帶來嚴重問題，發現沖突后應當盡快查實并做相應的修改。

阿里云的AccessKey怎么創建和管理？

Thu, 05 Jun 2025 10:56:21 +0800

阿里云改版后，AccessKey的管理已經移到賬號的“權限和安全”中，如下圖：

點擊“AccessKey”，會彈出對話框，需要勾選“我確認已知曉云賬號AccessKey安全風險”。然后點擊“繼續使用云賬號AccessKey”。相對于“RAM用戶AccessKey”，云賬號AccessKey的使用和配置都簡單一些，所以本文中，我們繼續使用云賬號AccessKey，如果你有更高的權限管控需求，也可以使用RAM用戶AccessKey。

點擊“創建AccessKey”。

保存好界面上顯示的AccessKey ID和AccessKey Secret即可。

配置到WSG的短信認證中阿里云的“AccessKeyID”和“AccessKeySecret”字段中即可使用。默認的阿里云“網絡訪問策略”是直接可以訪問的，但是如果你的阿里云網絡訪問策略處于開啟狀態，可能會導致連接不了，還需要配置網絡訪問策略來放行。

如何禁止國外IP訪問公司局域網？怎樣屏蔽境外IP地址？

Sat, 10 May 2025 14:43:49 +0800

很多黑客攻擊、DDoS攻擊都來源于國外，所以對于大部分局域網來說，屏蔽國外IP就可以減少百分之九十的網絡安全風險。在本文中，我將介紹如何用WSG上網行為管理來屏蔽境外IP地址。

防火墻規則的配置

要實現禁止國外IP的訪問，我們需要配置兩條防火墻規則，一條是允許國內IP地址，一條是屏蔽所有IP。請注意：防火墻規則的匹配是按順序進行的，這樣的效果就是國內IP匹配第一條規則被放行，其他IP都匹配第二條規則被禁止。如圖：

有一點要注意的就是防火墻的區域方向，要過濾外網的訪問，那么區域就要選擇“外網”，到內網端口映射服務器的訪問走的是“轉發”方向。所以防火墻規則要這樣來設置，以第一條為例，如下圖：

源IP選擇”自定義“，然后點擊”編輯“，可以輸入自定義的IP范圍和域名，也可以選擇國家地區。在本例中，我們選擇的是指定國家地區（China），這樣的效果就是只有來源中國的訪問才會被允許。如下圖：

另外一條規則是屏蔽所有，如圖：

通過上述的兩條規則配合使用，就可以實現只允許國內IP，并且禁止所有外網IP，屏蔽境外IP訪問公司局域網的功能，從而杜絕來自國外的網絡攻擊，提升公司局域網網絡安全指數。

WSG上網行為管理如何恢復出廠設置？

Wed, 23 Apr 2025 14:07:30 +0800

WSG上網行為管理設備恢復出廠設置有兩種方式：

通過Web界面進行重置
通過控制臺進行重置

1. Web界面重置

用admin登錄Web管理界面后，可以在“系統-配置-導入導出”中選擇“恢復出廠設置”。如下圖：

“保留日志和統計數據”，這個選項只重置所有的配置，不刪除數據。
“清空所有數據”，這個選項既重置配置，又清空數據。

點擊“恢復出廠”，就會重置并且重啟設備。

2. 通過控制臺進行重置

如果你沒法進入Web界面，還可以選擇通過控制臺進行重置恢復出廠設置的操作。你需要一個VGA顯示器和一個USB鍵盤。如下圖：

接上顯示器和鍵盤后，按Enter回車，就可以看到控制臺菜單。如下圖：

恢復出廠設置的菜單序號是5，輸入5并且按Enter回車。

這里還需要輸入y（小寫）確認一下。Y確認后系統就會恢復出廠設置并且重啟設備。

怎樣限定允許訪問端口映射的IP地址？

Tue, 22 Apr 2025 14:46:22 +0800

通過路由器或者網關的“端口映射”功能，可以把內網的網絡服務映射到外網，供互聯網上的用戶使用。一些公司的ERP、CRM、OA系統都會采用這樣的方式，使代理商、出差員工可以進行網絡辦公。端口映射的配置如下圖：

1. 端口映射的使用條件

端口映射需要滿足如下條件：

要有固定公網IP地址。如果沒有申請專線固定IP，運營商現在一般都直接分配內網IP地址，從公網上是訪問不到的。
如果要映射到外網的80、443、8080等常見Web端口，需要到運營商備案。

2. 端口映射的安全問題

端口映射的服務可以直接在公網上訪問到，所以必然會招來攻擊。要保護端口映射服務器的安全，需要考慮如下方面：

盡量采用不常見的端口
開啟入侵防御來阻止入侵攻擊
阻止來自國外的IP地址
限定只能訪問的IP地址

請參考：端口映射的服務器被攻擊怎么辦？

3. 限制訪問端口映射的公網IP地址

下面我再來演示一下如何用WSG上網行為管理限制訪問端口映射的外網IP地址。端口映射的訪問在“外網”區域的“轉發”方向，我們需要配置兩條規則。一條是阻止所有的外網轉發，一條是允許指定IP的外網轉發。如下圖：

通過上述配置，即可限定允許訪問端口映射的外網IP地址。

怎樣允許局域網電腦訪問網站但是不允許外發？

Tue, 22 Apr 2025 14:07:43 +0800

一些企事業單位出于工作和安全的需要，希望可以允許局域網內的電腦終端訪問互聯網，但是不允許發送數據到外網。這個需求從理論上來說其實是矛盾的，以Web訪問為例，當我們去訪問一個網頁的時候，用的是HTTP的GET指令，大概的格式是這樣的：

GET /path/to/resource HTTP/1.1

Host: www.example.com

User-Agent: MyCustomUserAgent/1.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Connection: keep-alive

瀏覽器告訴網站服務器這些信息：需要訪問的URL地址、域名、瀏覽器種類、壓縮類型、連接類型等。這個頭部的大小在RFC的定義中是2K字節，這是明文的HTTP方式。如果是HTTPS方式，還需要證書交換，上傳的數據大約8K字節。換句話說，即使只是瀏覽網站，每一次訪問也需要8K的上傳數據。所以說，只允許訪問但是不允許任何外發數據，這個需求是自相矛盾的，不能得到真正的實現。

雖然嚴格的完全只訪問不上傳是做不到的，但是我們可以通過限定上傳數據的大小來實現這個功能需求。如下圖：

WSG上網行為管理的“應用過濾”有一項“智能過濾”的功能，可以設置每個連接的最大允許的上傳數據。基于上面的分析，我們把這個值設置為“10KB”即可不影響正常的網站訪問，而且不能上傳超過10KB的信息。

啟用該選項后，WSG會自動統計每個連接中的上傳數據大小，一旦上傳數據超過限定的閾值，就會判定為”疑似上傳行為“而加以禁止。利用該選項有如下好處：

對所有的應用協議都可以生效。
不在應用特征庫中的上傳行為也可以禁止。
https網站中的上傳也一樣可以設別和屏蔽。

如下圖，https的網頁郵件中的上傳附件可以被識別和禁止掉。

論壇發帖的附件一樣可以禁止掉。

不但是Web上傳，對于各類客戶端APP，比QQ傳文件、微信傳文件中的上傳行為也一樣可以禁止。

在WSG的實時流量圖中，點擊總帶寬的數字進去，就可以看到每個終端的實時連接和實時封堵。實時封堵里面顯示了連接被禁止的原因、對應的模塊和策略。如下圖中所示，可以看到“疑似上傳文件”的禁止記錄。

這樣就實現了“只允許下載和訪問但是不允許上傳”的功能需求，滿足了企事業單位的安全需要。需要注意的一點是：為了避免分片傳輸，盡量不要把疑似上傳的閾值設置的過大（500K以內為宜）。

WSG-500G，國產CPU信創上網行為管理硬件安全網關

Mon, 24 Mar 2025 15:49:10 +0800

為滿足網絡安全國產化要求，我們新推出了WSG-500G型號。WSG-500G采用國產CPU平臺硬件和自主研發的WFilter上網行為管理系統，聚焦自主創新的網絡安全防護，提供多樣化的身份認證、專業的上網行為管控，全面管控網絡用戶身份安全、阻止終端違規接入和上網違規行為，使網絡更加規范和安全。下面是該型號的一些功能和性能介紹。

1. 采用國產CPU平臺

先看一下設備的前臉和后臉。

WSG-500G這個型號采用了兆芯CPU平臺+8G內存+1T硬盤，支持2個千兆電口和2個萬兆光口，2U機箱，滿足信創要求。

2. WSG-500G的處理性能

該型號可以支持2.5G的應用層帶寬，1000個內網終端。

更多的功能介紹，請參考：WSG上網行為管理硬件，關于該型號的更多信息，請聯系我們。