局域網內部封堵P2P應用 鞏固內網安全
目前，各大中小型企業紛紛將自己的內網與其外網相連，雖然這樣可以從網上"獵取"到很多對公司有利的商機，但是有些企業內部員工，還要使用P2P軟件非法占用公共的網絡資源，從而影響到了其他人員的辦公。
由于雇員濫用對等(P2P)網絡技術共享音樂和視頻，這項技術已經直接影響到企業的利益。由于目前國內企業一般只有有限的帶寬，而P2P的出現在給你帶來好處的同時，也給網絡帶寬帶來了巨大的壓力，尤其在用來進行大量數據下載的時候，很容易導致企業的其他業務無法正常進行。
用戶在利用P2P技術進行傳輸時，多使用80端口，同時還會使用其他非正式協議，常常繞過企業的防火墻，使用P2P技術的文件共享使企業暴露在傳統安全措施檢測不到的病毒的威脅下。此外，由于不能阻止雇員訪問違法或非授權資料，企業還面臨法律風險。
那么作為網管的你，如何在企業局域網內部封堵P2P應用則成為維護企業安全的關鍵點之一。下面有介紹三種方法，可以幫助你達到目的。
方法一：使用聚生網管工具進行封堵
面對于P2P尚沒有專門的控制軟件誕生，一般只能通過防火墻或者代理服務器進行頻繁的規則設定來完成，這也給網絡管理人員帶來巨大的工作量。殊不知P2P終結者軟件，可幫助企業輕松解決這個日益嚴重的問題。
軟件名稱：聚生網管
軟件版本：2.2
軟件大小：3450KB
軟件性質：免費軟件
應用平臺：Windows 9X/NT/2000/XP
下載地址：http://download.it168.com/01/0111/71896/71896_4.shtml
小提示： 聚生網管，是國內目前首套專門針對網絡P2P濫用問題開發的系統軟件，該軟件可以實現對局域網所有主機的P2P下載進行控制，非常容易部署想要發出的限制方案，可保證企業網絡的有限帶寬能夠得到正當利用，不會被內部自私的人所濫用。
根據以上下載地址，將其工具下載到本地計算機，然后在雙擊里面的安裝程序，在所彈出的"安裝向導"界面里，單擊"下一步"按鈕，進入安裝"軟件位置"的安裝頁面，這里你需要根據企業網絡的具體情況，來決定此軟件具體安裝到機器的位置。例如大部分公司采用的路由器是共享上網，那么你就可以將該軟件安裝到網絡中的任意機器中，反之安裝到通過代理服務器上網的主機內即可。
當你安裝完成后，第一次運行該軟件時，就會彈出"系統初始化設置"對話框，如果你是"路由器共享上網"的企業，那么就在"接入公網類型"欄目里，選擇跟自己對應的"路由器共享上網"選項。反之你是通過代理服務器上網，這里就請選擇對應的上網方式"代理服務器上網"選項，另外下面"網絡連接設備"欄目里的選項，可根據網絡架設的實際情況進行選擇，而后單擊"完成設置"按鈕，即可自動運行"P2P終結者"軟件。稍等片刻后，會彈出"P2P終結者軟件"的操作界面，這里在其左側選擇"軟件配置"標簽，此時編輯區默認選擇的是"網卡設置"標簽，在其下方"請選擇監測所使用的網卡"標簽里，選擇自己的物理網卡。如果你是雙網卡，則選擇"內網的網卡"選項后，單擊"保存配置"按鈕，即可將其監測網卡配置完畢。
接下來為了使軟件檢測到內網里的所有主機，請選擇"網絡控制臺"標簽，單擊里面"啟動網絡控制服務"按鈕，此時軟件會自動掃描網絡里的主機，并且將其所檢測到的信息，會顯示到網絡主機的掃描欄內。當顯示主機信息完畢后，大家就可以對網絡帶寬進行限制了，這里選擇"網絡帶寬管理"標簽，并且分別勾選上"啟用主機公網帶寬限制"和"啟用發現P2P下載時自動限制該主機帶寬功能"的兩個復選框，根據里面所給標簽提示，選擇想要限制的速度值，單擊"保存配置"按鈕，這樣就可以執行自己設置限制網絡帶寬，以及限制使用P2P下載用戶的帶寬值。
另外如果你想對企業員工，在其他方面進行網絡限制如：下載、瀏覽網站、網絡聊天，只要在其軟件的ACL規則中，根據設置的IP地址范圍和協議端口，即可進行除P2P下載的其他訪問限制。 #p#
方法二：利用屏蔽端口來封堵P2P下載
眾所周知，網絡通訊都是依靠端口傳輸來完成相互間的傳遞，那么這就意味著P2P下載也會擁有自己相應的通訊端口，來完成從網絡下載文件的操作。如果企業能夠依靠天網防火墻軟件，將其下載通訊的端口屏蔽掉，相信內部人員的P2P下載，也就會隨之關閉掉了，從而即可解決P2P濫用的嚴重問題。
下面就以天網防火墻為例，使用其他防火墻的朋友，你也可以"按部就班"的進行模仿操作，雖然方法可能有些大同小異，但是產生結果都是一致的，而且都能封堵住內網用戶使用P2P下載。這里打開"天網防火墻"軟件，在其上方單擊"IP規則管理"按鈕，然后選擇編輯區里的"增加規則"選項，在彈出的"增加IP規則"對話框內，將你想要封殺的程序，填入到相應的文本框內。例如你想要封殺BT下載程序，就在其名稱標簽處填入"封殺BT"的四個字，然后在將其"數據包方向"列表里的接收，更改為"發送"選項。接下來把"數據包協議類型"列表里的內容，選擇為"TCP選項"標簽，并且在"對方端口"欄目內，輸入從6881到6889的數字，其他設置保持默認即可，單擊"確定"按鈕。在順原路返回到"增加規則"對話框，再用同種的方法，創建UDP協議的攔截規則，只要改動"數據包協議"里的類型為UDP，其他跟剛才創建的協議規則一致，這樣當企業用戶再次采用BT協議進行P2P下載文件，就會被其設定的規則直接封殺掉。
這里不排除你想封殺P2P協議，只要建立與其上面所類似的規則，并且輸入該協議在下載時，所需要用到的通訊端口，即可對其P2P協議進行封殺。但是這種方法面對有經驗的員工，往往就會失去它的效用，這主要是因為企業內部員工對P2P端口進行了不規則的改變，那么你就要使用下面為你準備的ISA封殺。
方法三：用ISA封殺P2P下載
如果說你的企業員工對以上兩種方法，都有很好的應對措施，那么ISA的封殺，想必就會使他們沒有了對策。因為ISA是根據下載的特性進行封殺，它可以采用最為專業的封殺軟件，能夠從多個角度對P2P的下載進行封殺，從而使其下載功能徹底失去了自身的作用。
針對目前最為專業的ISA封殺軟件Microsoft Internet Secu-rity and Acceleration Server，以下簡稱ISA。你如果要想限制下載的種子文件，可以添加一條HTTP規則，并且將其種子擴展名加入到"阻止制定的擴展名"即可。當然此方法用戶只需要瀏覽網頁發布的P2P下載資源，就可輕松破解。那么這里你就需要再增加一條，禁止用戶打開P2P下載的網站規則，這樣才能將其想要依靠網頁發布P2P下載的用戶封殺掉。
但是倘若企業用戶不依靠種子和網頁發布的P2P下載資源，來進行P2P下載文件，想必上面兩種限制也就失去了它本質的作用，因此這就需要你根據數據包的特性進行協議過濾，方能徹底限制住關于P2P的下載操作。這里需設置訪問策略，并且對其HTTP協議進行簽名過濾，比如還拿剛才BT下載為例，查找數據包的請求，在指定阻止的簽名中填入BT使用的數據包請求，這樣當數據包中含有你想要阻止的數據請求，就會自動被ISA所丟棄，導致其企業員工的P2P下載也就無法進行。
【編輯推薦】
