相對于二層交換機的網絡環境，在三層交換機環境下部署上網行為管理的步驟要復雜一些，差別主要在“靜態路由”和“MAC地址收集器”，還有上層防火墻的一些安全策略的影響。在本文中，我將結合一次實際的安裝經歷，介紹三層環境下用網橋模式部署WSG上網行為管理的一些常見問題。

1. 配置并部署網橋

本例中，網關是華為USG防火墻172.16.200.253，三層交換機是172.16.200.254，子網掩碼都是255.255.255.0。既然200段IP是足夠的，所以我就直接把管理口設置在網橋上面，把WSG的IP設置為172.16.200.252，網關地址和DNS是防火墻的IP地址172.16.200.253。

WFilter NGF上網行為管理系統支持“Logo修改器”擴展插件，可以實現如下功能：

1. 自定義產品名

2. 自定義產品Logo圖標

3. 自定義網站鏈接

4. 自定義界面皮膚

該“Logo修改器”擴展插件的使用界面如下圖：

采用釘釘做上網實名認證存在很多優勢，比如：

1. 可以直接利用釘釘中現有的組織架構，不需要另行創建認證的賬號。
   

2. 和短信認證相比，不會產生費用。

3. 電腦和手機都可以支持。

4. 可以自動獲取并記錄釘釘的員工姓名。

5. 可以基于釘釘員工姓名配置上網策略和統計。

在“域賬號”中，我們介紹了在server 2003/2008下如何設置adclient登錄注銷腳本。如果您用的是server 2016之后的windows系統，配置步驟略有差異。本文將介紹如何在server 2016下配置登錄注銷腳本。具體步驟如下：

1. 打開組策略編輯器

右鍵點擊“組策略管理”中域的“組策略對象”下面的“Default Domain Policy”。

很多公司出于工作需要，都會提供遠程辦公撥入的VPN，供員工在外地可以連接到企業內網處理工作。但是這也帶來一些安全方面的隱患；所以很多情況下，我們需要對外網撥入后的訪問權限進行控制。

在本例中，我將結合WSG上網行為管理網關的openvpn來介紹如何限制外網撥入后的訪問權限。