很多企业提到防火墙，首先想到的是阻止外部攻击、保护网络边界。但对于企业办公网络而言，防火墙还有一个重要作用：管理员工和终端的上网行为。

从第三方视角来看，现代防火墙或配套的上网行为管理产品，已经可以从“管流量”进一步延伸到管应用、管访问、管带宽、管身份、管审计。

一、上网行为管理主要能管什么？

1.1管应用：限制与工作无关的网络应用

企业可以根据业务需求，对不同应用进行识别和控制，例如：

即时聊天；

视频、直播；

P2P下载；

网络游戏；

网络存储；

股票类应用；

社交及娱乐应用。

锐捷RG-UAC 6000系列采用DPI技术进行应用识别，可以针对不同用户、应用和时间段制定管控策略。

1.2 管网站：控制URL和访问内容

企业可以通过URL过滤、关键字过滤等方式，对网站访问进行限制，例如：

恶意网站禁止访问、非工作网站限制访问、特定网站允许访问。

锐捷公开资料显示，其上网行为管理产品支持URL过滤、关键字过滤以及文件传输、邮件等内容过滤能力。

1.3 管带宽：避免“一个人占满全公司的网”

如果少数用户大量下载、观看高清视频，就可能影响其他员工正常办公。

因此，上网行为管理还可以按照：

用户、用户组、应用、时间段

进行带宽限制或保障。

例如：

锐捷RG-UAC 6000系列支持基于用户、应用和策略进行精细化流量控制。(锐捷网络)

1.4 管身份：知道“是谁”在上网

单纯看到一个IP地址，企业很难判断具体是哪名员工。

因此，企业还需要将用户身份与网络行为关联起来。

锐捷RG-UAC 6000系列支持本地认证、AD/LDAP、Radius等多种认证方式，可以将上网行为审计进一步关联到具体用户。

1.5 管审计：出了问题能够追溯

企业还需要知道：

谁访问了什么？什么时候访问？产生了多少流量？是否存在异常行为？

通过日志和报表，可以帮助IT人员进行网络分析、安全审计和问题追溯。

锐捷公开资料显示，其上网行为管理产品支持网页、论坛、IM等多类应用日志记录和统计分析。

二、防火墙和上网行为管理是一回事吗？

不完全是一回事。

传统防火墙的核心是：

上网行为管理则更关注：

在实际企业网络中，两类能力可以协同使用。

锐捷目前的安全产品体系同时覆盖防火墙、上网行为管理、安全网关、大数据安全平台等产品类别。其官方资料也明确区分了专业防火墙与安全网关、上网行为管理等产品的定位。

三、企业为什么需要上网行为管理？

简单来说，就是解决三个问题：

第一，提升网络效率：限制与工作无关的高流量应用，把带宽留给核心业务。

第二，降低安全风险：通过URL、应用和内容控制，减少员工访问恶意网站或违规应用带来的风险。

第三，满足审计需求：将网络行为与用户身份关联，出现安全事件时能够查询和追溯。

总结

从第三方视角来看，企业防火墙的上网行为管理能力可以概括为：

而对于企业而言，真正有价值的并不是“限制员工上网”，而是通过精细化的身份、应用和流量管理，在网络安全、办公效率和业务体验之间找到平衡。

对于希望进一步完善企业出口安全的组织，锐捷网络提供包括下一代防火墙、RG-UAC 6000系列上网行为管理产品等在内的安全产品体系，可根据企业规模和实际网络架构选择相应方案。(锐捷网络)