先说这两件事分别管什么

行为管理管的是上网行为：能看访问了哪些网站和应用、能限制视频和游戏流量、能按部门限速、能留访问日志。准入控制管的是谁能进网：陌生电脑插上网线能不能用、外来人员连无线要不要认证、离职员工的设备能不能自动失效。两者的目标不同，很多单位把它们混为一谈，买一台设备回去发现只解决了一半问题。

上了能得到什么

• 带宽可控：把视频、下载类应用的优先级调低，保证业务系统和收银不掉线。
• 有据可查：出现外发敏感资料、访问违规内容的情况时，日志能查到时间和终端。
• 外来设备可控：访客网与办公网隔离，外来笔记本不能随便访问内部服务器。
• 终端可见：网里有多少台设备、分别是谁在用，有一张表可以对照。

代价是什么

先说成本。带行为管理功能的出口设备从几千元到几万元不等，按带机量和功能授权分档，有些品牌的功能授权是按年续费的。再说运维。加了管控设备之后，网络里多了一台串联的设备，它出问题就是全网断网，所以要选稳定性好的型号并配好旁路或备用。还有内部摩擦。限制做得太死，员工会来找网管投诉，需要管理层把规则提前讲清楚。最后是排障复杂度。出现访问不了的情况时，多了一个要排查的环节，需要有人懂这台设备。

常见做法的几种选择

• 出口设备自带管控：多数企业路由器和防火墙都带应用识别与限速功能，几十人的单位用这个基本够，成本最低。
• 独立行为管理设备：带机量大、需要详细日志和审计的单位才需要，价格较高，也要求有人维护。
• 准入用 Portal 认证：连无线时弹出认证页，输入账号或用手机号验证，实现简单，适合访客网和员工无线。
• 准入用 MAC 白名单：把已知设备 MAC 登记进列表，未在列表的不放行，实现简单但可以被仿冒，适合小场景。
• 准入用 802.1X：安全性最高，但要在每台终端上配置，有打印机关联、摄像头兼容性等一堆细节要处理，没有专人维护不建议上。

我们的建议

二十人以内、没有敏感数据要求的单位，先把 VLAN 分好、访客网隔离掉、出口限速做上，就基本够用，不需要额外买管控设备。二十到一百人、有明确管理要求的单位，可以在出口设备上打开应用识别和限速，无线用 Portal 认证，成本可控。一百人以上、有数据外发管控需求或行业有明确要求的，再考虑独立的行为管理设备和更严格的准入。

落地前要做的两件小事

一是先把规则写下来给管理层确认：哪些应用限、限制到什么程度、日志保存多久、谁来查。规则不明就上设备，最后一定会扯皮。二是留好例外通道：业务急需用到的外部服务、访客临时放行、管理层需要的权限，都要在设备上留可快速调整的办法。另外要提醒一点，涉及日志留存的内容要符合相关规定，保存期限和调阅权限要在内部制度里写清楚。

湖北浠媄网络科技有限公司可以帮单位做 VLAN 划分、访客网隔离、Portal 认证和出口限速的配置，并在交付时把配置文档一并交给甲方。涉及电力施工与消防设施施工的部分不在承接范围，由具备对应资质的单位承担。有相关需求可以电话沟通，0728-8203567。