某企业网络出问题  海蜘蛛对症下药

一．网络背景

    为解决南宁某商贸有限责任公司（以下简称某公司）遇到的网络问题，首先我们先看其网络中的主要问题：

1. 设备陈旧、老化；

2. 用户数不够（IP数量不足）；

3. 上网行为无法得到有效控制；

4. 流量无法有限控制；

5. 无法使用VPN；

6. 无法自定义端口映射；

7. 其他。

二．解决方案

就某公司提出的网络问题，我们优先建议采用多功能型、可管理性的路由器解决，而具备此功能的路由器价格都偏高，市场上TP-LINK或T-LINK中、低端设备基本无法满足要求。面向高端的CISCO（思科）路由设备不仅产品价格相当昂贵，服务费也相当高昂(电话服务费1000元/年)，因此我们优先推荐使用性价比较高的“海蜘蛛企业版”多功能型软路由。

1.海蜘蛛解决思路介绍

海蜘蛛路由运行于 x86-CPU 硬件架构（即普通PC机）上的软路由系统，它基于Linux 系统内核开发，支持WEB与命令行模式管理。

路由主界面如下图：

1.1服务器最低硬件环境与推荐配置

 2.海蜘蛛主要功能介绍
 

由于涉及内容较多，这里主要列出某企业可能关心的内容。

2.1自定义掩码(合理扩充IP地址)
 

海蜘蛛路由器不像传统的中低端路由器仅支持子网掩码的（图1），而海蜘蛛可以自定义子网掩码（图2），用户可以根据实际情况，合理扩充IP地址，以免过大的广播域带来额外风险！

 

 

2.2防火墙管理
 

海蜘蛛的抵御外部的防火墙功能有三种模式，三种模式分别抵御不同的攻击行为（图3），主要功能如包括：反端口扫描、攻击动态拦截、ARP攻击检测、黑（白）名单、端口映射、端口镜像、IP&MAC绑定（支持强制绑定）、DMZ主机、DNS 重定向等实用功能。

1) 控制P2P下载连接数
 

防火墙的TCP和UDP的连接控制，对P2P类下载软件非常有效，一般情况下1台PC在进行P2p下载时连接数会达到1000达以上，严重消耗路由器资源，造成网络环境急剧下降，而通过控制连接数后，一旦超过设定的值路由器将自动丢弃。

  

2) IP&MAC地址强制绑定
 

用户随意更改IP地址，可能导致IP地址冲突，事先规划的IP地址被打乱，通过IP控制流量的策略也因此并不能有效控制，因此，IP\MAC不进行强制绑定，上述行为也会造成网络的不稳定，管理员的工作相当被动！

海蜘蛛路由器的防火墙有MAC地址的“普通绑定”和“强制绑定”功能。启用强制绑定后当IP与绑定的MAC地址表不符时，路由器即不响应相应“非法”请求，管理员甚至还可以向“非法用户”推送“自定义内容”，以警告用户不要随意更改IP。 

 

 

3) IP\域名\URL关键字过滤
 

员工可能在工作时间查看一些非工作相关的内容，例如：工作时间网上购物，玩游戏，甚至在线听MP3音乐等，不仅影响自身工作，还影响他们正常工作。

海蜘蛛支持多种过滤方式，包括：DNS、IP、域名和URL关键字过滤规则，而且这些规划还支持“通配符”，有了这些规则管理员完全可以过滤几乎任何形式的“非法”内容。

  

4) ACL访问控制列表
 

ACL可以根据协议、端口、源(目的)网络等, 设定访问控制规则，这些规则还可以使用时间来约束。

 
5) 自定义端口映射
 

传统的中低端路由器因其不能真正的做端口转发，因此不能很好的向外发布内部网络的多台相同的应用服务器(相同端口)（图7），而海蜘蛛则可以将外部访问端口号转换成内部端口号，实现多台相同应服务器的对外发布（图8、图9）。

2.3流量控制
 

海蜘蛛的流量控制有“手动控制”和“智能QOS控制”2种方式，手动控制可以根据网段、控制模式（共享或独立模式）、策略的优先级等方式控制流量，还可以对策略的应用时间进行控制（图10）。手动控制策略对P2p、BT等软件同样有效，如结合“连接数”控制对P2p类软件的控制效果更好。 

智能QOS控制与手动控制的原理不尽相同，手动控制是直接控制所有或单个用户的宽带流量，而不管用户访问什么内容；而智能QOS则是控制用户访问内容为原则，它将访问内容按“VPN、视频、文字、未识别应用、P2P下载、图片等”划分为优先级，按访问内容的优先级依次处理，实际上它并不对流量进行控制（图11）。

 

2.4应用服务：PPPTP-VPN
 

海蜘蛛的应用服务包括：DNS代理、FTP、PPPOE、无线AP和多种VPN应用服务（PPTP-VPN，SSL-VPN、IPSEC-VPN）等，这里仅说明该企业关心的VPN模块（PPPTP-VPN）。

提示：使用无线AP需要在服务器上插入USB无线网卡！

1) PPPTP-VPN应用拓扑
 

提示：使用VPN时，“总部”与“办事处”不能处于同一网络段内，否则可能无法访问，如下图。

 

2) 使用PPPTP-VPN
 

要使用PPPTP-VPN，需要开户VPN服务，创建VPN账号。如下图：

客户端使用Windows自带PPTP VPN客户端工具即可拔入VPN服务器。

  

2.5其它实用模块
1) 报表统计
 

报表统计包括：用户数统计、服务器CPU、内存使用负载统计等，它可以让管理员知道何时是网络使用的峰值期以及当前服务器的运行状况，如下图。

2) 实施流量监视
 

 

3) LAN\WAN端总流量监视
 

 

4) 自定义WEB管理账号
 

海蜘蛛的默认管理员账号“admin”，但管理员还可以创建一些来宾账号，例如:创建一个来宾账号，对其开放流量监视权限，供管理员之外的员工监视带宽使用情况，以便共同监督带宽，使员工加强自我约束行为。

PS:海蜘蛛方案拓扑结构图
 

海蜘蛛路由支持单个网络接口绑定多个IP地址（图12），因此在仅有2块网卡的条件下（LAN\WAN）它支持多种接入方式、多线路接入方案。用户不必担心PCI插槽不足的情况下，多线路无法接入的情况。