目  录

1 您想了解什么？

2 产品概述

2.1 产品简介

2.2 主要特性

2.2.1 强大的功能特性

2.2.2 友好的用户界面

2.2.3 丰富的统计诊断功能和管理方式

2.3 典型组网应用

3 登录Web设置页面

3.1 建立网络连接

3.1.1 有线方式

3.1.2 无线方式

3.1.3 取消代理服务器

3.2 登录路由器Web设置页面

3.3 Web设置页面介绍

3.4 常用页面控件介绍

3.5 页面列表操作介绍

3.6 Web用户超时处理

3.7 退出Web设置页面

4 无线设置

4.1 无线服务简介

4.2 设置无线AP

4.2.1 设置无线网络基本属性

4.2.2 设置无线网络接入控制

4.2.3 设置无线网络高级属性

4.2.4 查看无线网络接入客户端

5 接口设置

5.1 设置WAN

5.1.1 连接到因特网

5.1.2 设置WAN口MAC地址克隆

5.1.3 设置WAN口的速率和双工模式

5.2 设置LAN

5.2.1 修改LAN口的IP地址

5.2.2 设置LAN口MAC地址克隆

5.2.3 设置LAN口的基本属性

5.2.4 设置本地端口镜像

5.3 设置DHCP

5.3.1 DHCP简介

5.3.2 DHCP的IP地址分配

5.3.3 设置DHCP服务器

5.3.4 设置DHCP静态表

5.3.5 显示和维护DHCP客户列表

6 安全专区

6.1 设置ARP安全

6.1.1 ARP简介

6.1.2 设置ARP绑定

6.1.3 设置ARP检测

6.1.4 设置发送免费ARP

6.2 设置接入控制

6.2.1 设置MAC过滤

6.2.2 设置网站过滤

6.2.3 设置IPMAC过滤

6.3 设置防火墙

6.3.1 设置出站通信策略

6.3.2 设置入站通信策略

6.4 设置防攻击

6.4.1 防攻击方式

6.4.2 设置IDS防范

6.4.3 设置报文源认证

6.4.4 设置异常流量防护

7 云WiFi

7.1 云WiFi简介

7.2 设置云WiFi

7.2.1 查看连接状态

7.2.2 注册WiFi管理平台

7.2.3 启用认证的无线接口

8 设置IPSec VPN

8.1 IPSec VPN简介

8.1.1 IPSec简介

8.1.2 IPSec VPN常见的组网模式

8.2 IPSec VPN设置方法

8.3 通过快速向导实现IPSec VPN

8.4 通过高级设置实现IPSec VPN

8.4.1 设置IKE

8.4.2 设置IPSec

8.4.3 查看VPN状态

9 设置 L2TP特性

9.1 L2TP特性简介

9.1.1 概述

9.1.2 L2TP典型组网应用

9.1.3 L2TP消息类型及封装结构

9.1.4 L2TP隧道和会话

9.1.5 L2TP隧道模式及隧道建立过程

9.1.6 协议规范

9.2 设置L2TP特性

9.2.1 设置L2TP客户端（设备作为LAC时的配置）

9.2.2 设置L2TP服务端（设备作为LNS时的配置）

9.3 L2TP典型配置举例

9.3.1 设备作为L2TP客户端的配置举例

9.3.2 设备作为L2TP服务端的配置举例

10 设置QoS

10.1 设置IP流量限制

10.2 设置专用通道

10.2.1 设置绿色专用通道

10.2.2 设置限制专用通道

10.3 设置网络连接限数

11 高级设置

11.1 设置NAT

11.1.1 设置NAT功能状态

11.1.2 设置一对一NAT

11.1.3 设置多对一NAT和多对多NAT

11.1.4 设置网络连接参数

11.2 设置虚拟服务器

11.3 设置端口触发

11.4 设置ALG应用

11.5 设置路由

11.5.1 设置静态路由

11.6 业务控制

11.6.1 限制使用IM软件

11.6.2 设置QQ特权号码

11.6.3 限制使用金融软件

11.7 应用服务

11.7.1 设置DDNS

11.7.2 设置UPnP

11.7.3 设置DNS Server

12 设备管理

12.1 基本管理

12.1.1 配置管理

12.1.2 设置系统时间

12.1.3 软件升级

12.1.4 重新启动路由器

12.2 远程管理

12.3 用户管理

12.3.1 登录管理

12.3.2 密码管理

12.4 设置SNMP

12.4.1 SNMP简介

12.4.2 设置SNMP v1、SNMP v2c基本功能

12.4.3 设置SNMP v3基本功能

12.4.4 设置TRAP

13 系统监控

13.1 查看运行信息

13.1.1 查看基本信息

13.1.2 查看运行状态

13.1.3 实时监视性能状态

13.1.4 技术支持信息

13.2 查看和管理日志信息

13.2.1 查看日志信息

13.2.2 管理日志信息

13.3 流量监控

13.3.1 监控端口流量

13.3.2 监控IP流量

13.3.3 实时监视WAN口流量

13.3.4 安全统计

13.4 网络维护

13.4.1 网络诊断

13.4.2 系统自检

13.4.3 导出故障定位信息

14 典型组网配置举例

14.1 企业典型组网配置举例

14.1.1 组网需求

14.1.2 组网配置方案

14.1.3 组网图

14.1.4 设置步骤

15 附录 - 命令行设置

15.1 通过Console口搭建配置环境

15.2 命令行在线帮助

15.3 命令行操作

15.3.1 修改路由器登录密码

15.3.2 查看路由器LAN口的IP地址

15.3.3 恢复路由器到出厂设置

15.3.4 重新启动路由器

15.3.5 显示路由器系统资源使用情况

15.3.6 显示路由器硬件信息

15.3.7 显示路由器软件/硬件版本信息

15.3.8 显示局域网内允许访问路由器的用户IP地址信息

15.3.9 恢复局域网内允许所有用户访问路由器

15.3.10 网络连通性测试

16 附录 - 故障排除

17 附录 - 缺省设置

18 附录 - 术语表

1 您想了解什么？

2 产品概述

本章节主要包含以下内容：

·     产品简介

·     主要特性

·     典型组网应用

2.1  产品简介

感谢您选择了ER2100系列增强型企业级路由器（以下简称路由器），它是由新华三技术有限公司（以下简称H3C）推出的企业级高性能宽带路由器。路由器支持丰富的软件特性，比如：ARP防攻击、流量限速、QQ/MSN应用限制、DDNS动态域名、IPSec VPN等功能，并提供非常简便、易操作的Web设置页面，可以帮您快速地完成各功能特性需求的配置。

表2-1 路由器列表

2.2  主要特性

2.2.1  强大的功能特性

·     高性能防火墙

内置高性能防火墙，通过设置出站和入站通信策略来快速地实现访问控制。

·     防攻击

支持对来自因特网和内网的常见攻击进行防护。同时，内置内网异常流量防护模块，对局域网内各台主机的流量进行检查，并根据您所选择的防护等级（支持高、中、低三种）进行相应的处理，确保网络在遭受此类异常攻击时仍能正常工作。

·     ARP双重防护

通过静态ARP绑定功能，固化了网关的ARP表项；另外，对于DHCP分配的IP地址，则采用DHCP授权ARP技术，自动绑定分配的IP地址/MAC地址信息，从而可以有效地防止ARP欺骗引起的内网通讯中断问题；同时，提供毫秒级的免费ARP定时发送机制，可以有效地避免局域网内主机中毒后引发的ARP攻击。

·     业务控制

QQ/MSN等即时通讯软件的大量普及，可能会引起员工办公效率低下，无法集中精力。路由器独有的应用控制功能，可以方便地限制内网用户对QQ/MSN等应用的使用；同时还支持对大智慧/分析家/同花顺/广发至强/光大证券/国元证券等金融软件的应用控制功能。另外，您还可以通过对特权用户组的设置保证关键用户的使用不受影响。

·     IPSec VPN

通过VPN安全连接，最多支持10路IPSec连接到办公网络。

·     网络流量监控

提供流量实时监控和排序功能，同时提供多种安全日志，包括内/外网攻击实时日志、地址绑定日志、流量告警日志和会话日志，为网络管理员实时监控网络运行状态和安全状态提供了更快捷的窗口。

·     网络流量限速

通过基于IP的网络流量限速功能，可以有效地控制指定用户的上/下行流量，限制了P2P软件对网络带宽的过度占用。同时，提供弹性带宽功能，在网络空闲时可以智能地提升用户的限制带宽，既充分地提升了网络带宽的利用率，又保证了网络繁忙时带宽的可用性。

2.2.2  友好的用户界面

·     提供非常简便的Web设置页面，配置直观、易操作、使用复杂度低。

·     每个Web设置页面均提供详细的联机帮助，供您查阅。

2.2.3  丰富的统计诊断功能和管理方式

·     提供了丰富的统计信息和状态信息显示功能，使您对路由器当前的运行状态一目了然。

·     支持通过本地和远程Web方式对路由器进行详细的配置和管理。

·     支持通过Console口、Telnet方式对路由器进行简单的命令行管理。

2.3  典型组网应用

图2-1 组网应用（以ER2100n为例）

3 登录Web设置页面

本章主要包含以下内容：

·     建立网络连接

·     登录路由器Web设置页面

·     Web设置页面介绍

·     常用页面控件介绍

·     页面列表操作介绍

·     Web用户超时处理

·     退出Web设置页面

3.1  建立网络连接

完成硬件安装后，在登录路由器的Web设置页面前，您需要确保管理计算机和网络满足一些基本要求。

3.1.1  有线方式

1. 客户端计算机要求

·     确认计算机已安装并启用了以太网网卡。

·     确认计算机已和ER2100n的LAN口相连（有线方式）。

2. 设置客户端计算机的IP地址

建议您将计算机设置成缺省的“自动获得IP地址”和“自动获得DNS服务器地址”，由ER2100n自动分配IP地址。

3. 确认管理计算机和设备之间的网络是否连通

操作步骤如下：

3.1.2  无线方式

1. 客户端计算机要求

·     确认计算机已安装了无线网卡，并处于开启状态。

·     将计算机放置于ER2100n的无线网络范围内。

2. 设置客户端计算机的IP地址

建议您将计算机设置成缺省的“自动获得IP地址”和“自动获得DNS服务器地址”，由ER2100n自动分配IP地址。

3. 设置无线客户端

设置步骤如下：

3.1.3  取消代理服务器

如果当前管理计算机使用代理服务器访问因特网，则必须取消代理服务，操作步骤如下：

3.2  登录路由器Web设置页面

运行Web浏览器，在地址栏中输入“http://192.168.1.1”，回车后跳转到Web登录页面，如图3-1所示。输入用户名、密码（缺省均为admin，区分大小写），单击<登录>按钮或直接回车即可进入Web设置页面。

图3-1 登录路由器Web设置页面

3.3  Web设置页面介绍

图3-2 Web设置页面示意图

3.4  常用页面控件介绍

以下控件是Web设置页面中经常出现的，有关它们的用途请参见下表。

表3-1 常见页面控件说明

3.5  页面列表操作介绍

路由器的Web设置页面中经常会出现类似图3-3的页面，此处对其操作进行统一的介绍，以下不再赘述。

图3-3 页面列表举例

表3-2 页面列表操作介绍

3.6  Web用户超时处理

当您长时间没有操作Web设置页面时，系统超时并将注销本次登录，返回到Web设置登录页面（如图3-1所示）。

3.7  退出Web设置页面

单击导航栏中的，确认后即可退出Web设置页面。

4 无线设置

本章节主要包含以下内容：

·     无线服务简介

·     设置无线AP

4.1  无线服务简介

WLAN技术是当今通信领域的热点之一，和有线相比，无线局域网的启动和实施相对简单，成本相对低廉，一般只要安放一个或多个接入点设备就可建立覆盖整个建筑或地区的局域网络。

使用WLAN解决方案，网络运营商和企业能够为用户提供方便的无线接入服务，主要包括：

·     应用具有无线局域网功能的设备建立无线网络，通过该网络，用户可以访问局域网或因特网；

·     使用不同认证和加密方式，提供安全的无线网络接入服务；

·     在无线网络内，用户可以在网络覆盖区域内自由移动，彻底摆脱有线束缚。

无线AP基于WLAN技术，实现了802.11无线网络标准中的无线接入功能。开启本功能后，无线客户端（带有无线网卡的PC或便携式笔记本电脑等终端）可通过无线方式方便快捷地连接到无线局域网，实现高速率的数据通信，部署灵活，免去了有线连接的繁琐。同时，无线AP支持多种加密功能，有效地保证了数据通信的安全性。

4.2  设置无线AP

4.2.1  设置无线网络基本属性

页面向导：无线设置→无线AP设置→基本设置

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表4-1 页面关键项描述

表4-2 加密方式说明

4.2.2  设置无线网络接入控制

页面向导：无线设置→无线AP设置→接入控制

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表4-3 页面关键项描述

4.2.3  设置无线网络高级属性

页面向导：无线设置→无线AP设置→高级设置

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表4-4 页面关键项描述

4.2.4  查看无线网络接入客户端

页面向导：无线设置→无线AP设置→接入客户端列表

本页面为您提供如下主要功能：

5 接口设置

本章节主要包含以下内容：

·     设置WAN

·     设置LAN

·     设置DHCP

5.1  设置WAN

5.1.1  连接到因特网

路由器支持静态地址、动态地址、PPPoE三种连接方式。具体选择何种方式请咨询当地运营商。

·     静态地址：手动为WAN口设置IP地址和子网掩码。

·     动态地址：设置WAN口作为DHCP客户端，使用DHCP方式获取IP地址。

·     PPPoE：设置WAN口作为PPPoE客户端，使用PPPoE用户名和密码拨号连接获取IP地址。

页面向导：接口设置→WAN设置→连接到因特网

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表5-1 页面关键项描述

5.1.2  设置WAN口MAC地址克隆

路由器出厂时，各WAN口都有一个缺省的MAC地址，一般情况下，无需改变。但是，比如：有些运营商要求只有注册过的路由器才能连接到因特网，此时，您就需要使用路由器WAN口MAC地址克隆功能，将WAN口MAC地址修改为在运营商侧注册过的MAC地址。

页面向导：接口设置→WAN设置→MAC地址克隆

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表5-2 页面关键项描述

5.1.3  设置WAN口的速率和双工模式

路由器的WAN口支持以下几种速率和双工模式的组合：

表5-3 WAN口的速率和双工模式

页面向导：接口设置→WAN设置→网口模式

本页面为您提供如下主要功能：

5.2  设置LAN

5.2.1  修改LAN口的IP地址

当您修改了路由器LAN口的IP地址后，您需要在浏览器中输入新的IP地址重新登录，才能对路由器继续进行配置和管理。比如：某企业事先已经将整个IP地址段均已规划好，因此，您需要根据已规划好的IP地址来修改路由器LAN口的IP地址，以适应实际环境。

页面向导：接口设置→LAN设置→局域网设置

本页面为您提供如下主要功能：

5.2.2  设置LAN口MAC地址克隆

路由器出厂时，LAN口均有一个缺省的MAC地址，一般情况下，无需改变。但是，比如：某企业之前为了防止ARP攻击，给局域网内的主机均设置了网关的静态ARP表项。此时，如果企业想升级设备，将原来的网关换成了路由器（网关地址保持不变），局域网内的主机则无法学习到路由器的MAC地址。因此，您需要逐个修改局域网内主机的静态ARP表项，才可使局域网内的主机恢复正常上网，这样维护效率会很低。

路由器的LAN口MAC克隆功能可以使您免除这样的重复劳动，只需将路由器的LAN口MAC地址设为原来网关的MAC地址，局域网内的主机即可正常上网了。

页面向导：接口设置→LAN设置→局域网设置

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表5-4 页面关键项描述

5.2.3  设置LAN口的基本属性

路由器LAN口的基本属性包括端口的速率/双工模式、广播风暴抑制和流控功能。

1. 速率/双工模式

路由器的LAN口支持以下几种速率和双工模式的组合：

表5-5 LAN口的速率和双工模式

2. 广播风暴抑制

如果局域网内存在大量的广播报文流量（可能由病毒导致）时，将会影响网络的正常通信。您可以通过设置路由器LAN口的广播风暴抑制功能，可以有效地抑制大量广播报文的传播，避免网络拥塞，保证网络业务的正常运行。

路由器允许您设置四种LAN口的广播风暴抑制状态级别：不抑制、低、中、高。这四个级别允许通过的报文流量依次减少，您可根据实际需求进行相应的设置。缺省情况下，LAN口的广播风暴抑制功能处于关闭状态（即不抑制）。

3. 流控

一般仅在网络拥塞比较严重时，才开启路由器LAN口的流控功能。

当路由器和对端设备都开启了流量控制功能后，如果路由器发生拥塞：

·     路由器将向对端设备发送消息，通知对端设备暂时停止发送报文或减慢发送报文的速度。

·     对端设备在接收到该消息后，将暂停向路由器发送报文或减慢发送报文的速度，从而避免了报文丢失现象的发生，保证了网络业务的正常运行。

缺省情况下，路由器LAN口的流控功能处于关闭状态。

页面向导：接口设置→LAN设置→端口设置

本页面为您提供如下主要功能：

5.2.4  设置本地端口镜像

端口镜像是将指定镜像源端口的报文复制到镜像目的端口，镜像目的端口会与数据监测设备相连，用户利用这些数据监测设备来分析复制到目的端口的报文，进行网络监控和故障排除。

路由器提供本地端口镜像功能，即镜像源端口和镜像目的端口在同一台设备上。

图5-1 本地端口镜像示意图

页面向导：接口设置→LAN设置→端口镜像

本页面为您提供如下主要功能：

5.3  设置DHCP

5.3.1  DHCP简介

DHCP采用“客户端/服务器”通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等配置信息，以实现网络资源的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台DHCP客户端（比如：PC和便携机），如图5-2所示。

图5-2 DHCP典型应用

5.3.2  DHCP的IP地址分配

1. IP地址分配策略

路由器作为DHCP服务器，提供两种IP地址分配策略：

·     手工分配地址：由管理员为特定客户端静态绑定IP地址。通过DHCP将配置的固定IP地址分配给客户端。

·     动态分配地址：DHCP为客户端分配具有一定有效期限的IP地址，当使用期限到期后，客户端需要重新申请地址。

2. IP地址分配机制

(1)     路由器接收到DHCP客户端申请IP地址的请求时，首先查找手工设置的DHCP静态表，如果这台DHCP客户端的MAC地址在DHCP静态表中，则把对应的IP地址分配给该DHCP客户端。

(2)     如果申请IP地址的DHCP客户端MAC地址不在DHCP静态表中，或者DHCP客户端申请的IP地址与LAN口的IP地址不在同一网段，路由器会从地址池中选择一个在局域网中未被使用的IP地址分配给该主机。

(3)     如果地址池中没有任何可分配的IP地址，则主机获取不到IP地址。

5.3.3  设置DHCP服务器

页面向导：接口设置→DHCP设置→DHCP设置

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表5-6 页面关键项描述

5.3.4  设置DHCP静态表

如果您想让路由器给某些特定的客户端分配固定的IP地址，可以事先通过DHCP静态表将客户端的MAC地址和IP地址进行绑定，使其成为一对一的分配关系。

页面向导：接口设置→DHCP设置→DHCP静态表

本页面为您提供如下主要功能：

5.3.5  显示和维护DHCP客户列表

页面向导：接口设置→DHCP设置→DHCP客户列表

本页面为您提供如下主要功能：

6 安全专区

本章节主要包含以下内容：

·     设置ARP安全

·     设置接入控制

·     设置防火墙

·     设置防攻击

6.1  设置ARP安全

6.1.1  ARP简介

1. ARP作用

ARP是将IP地址解析为以太网MAC地址（或称物理地址）的协议。

在局域网中，当主机或其他网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络层地址（即IP地址）。但是仅仅有IP地址是不够的，因为IP数据报文必须封装成帧才能通过物理网络发送。因此发送方还必须有接收方的物理地址，需要一个从IP地址到物理地址的映射。ARP就是实现这个功能的协议。

2. ARP报文结构

图6-1 ARP报文结构

·     硬件类型：表示硬件地址的类型。它的值为1表示以太网地址。

·     协议类型：表示要映射的协议地址类型。它的值为0x0800即表示IP地址。

·     硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太网上IP地址的ARP请求或应答来说，它们的值分别为6和4。

·     操作类型（OP）：1表示ARP请求，2表示ARP应答。

·     发送端MAC地址：发送方设备的硬件地址。

·     发送端IP地址：发送方设备的IP地址。

·     目标MAC地址：接收方设备的硬件地址。

·     目标IP地址：接收方设备的IP地址。

3. ARP地址解析过程

假设主机A和B在同一个网段，主机A要向主机B发送信息。如图6-2所示，具体的地址解析过程如下：

(1)     主机A首先查看自己的ARP表，确定其中是否包含有主机B对应的ARP表项。如果找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。

(2)     如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。

(3)     主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。

(4)     主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

图6-2 ARP地址解析过程

当主机A和主机B不在同一网段时，主机A就会先向网关发出ARP请求，ARP请求报文中的目标IP地址为网关的IP地址。当主机A从收到的响应报文中获得网关的MAC地址后，将报文封装并发给网关。如果网关没有主机B的ARP表项，网关会广播ARP请求，目标IP地址为主机B的IP地址，当网关从收到的响应报文中获得主机B的MAC地址后，就可以将报文发给主机B；如果网关已经有主机B的ARP表项，网关直接把报文发给主机B。

4. ARP表

设备通过ARP解析到目的MAC地址后，将会在自己的ARP表中增加IP地址到MAC地址的映射表项，以用于后续到同一目的地报文的转发。

ARP表项分为动态ARP表项和静态ARP表项。

·     动态ARP表项

动态ARP表项由ARP协议通过ARP报文自动生成和维护，会被新的ARP报文所更新。

·     静态ARP表项

静态ARP表项需要通过手工配置和维护，不会被动态的ARP表项所覆盖。

配置静态ARP表项可以增加通信的安全性。它可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。

6.1.2  设置ARP绑定

通过设置ARP绑定，可以有效地防止路由器的ARP表项受到攻击，保证了网络的安全。

1. 设置动态ARP绑定

为了防止通过DHCP方式获取IP地址的主机在路由器上的ARP表项被篡改，您可以开启动态ARP绑定功能，使得所有通过DHCP服务器分配出去的IP地址和其对应的MAC地址自动绑定。且动态绑定的表项在地址租约到期后不会被删除。

页面向导：安全专区→ARP安全→ARP绑定

页面为您提供如下主要功能：

2. 设置静态ARP绑定

静态ARP绑定即需要通过手工配置和维护。建议您将局域网内所有主机都添加到路由器的静态ARP表项中。

页面向导：安全专区→ARP安全→ARP绑定

本页面为您提供如下主要功能：

6.1.3  设置ARP检测

通过ARP检测功能，您可以快速地搜索到局域网内所有在线的主机，获取相应的ARP表项。同时，系统会检测这些表项当前的绑定状态以及是否存在异常（比如：获取的表项是否和路由器的静态ARP表项存在冲突等），并在页面的列表中以不同的颜色加以标明，帮助您更直观地对ARP表项进行判断和维护。

页面向导：安全专区→ARP安全→ARP检测

本页面为您提供如下主要功能：

6.1.4  设置发送免费ARP

免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址，报文源MAC地址是本机MAC地址，报文的目的MAC地址是广播地址。

设备通过对外发送免费ARP报文来实现以下功能：

·     确定其他设备的IP地址是否与本机的IP地址冲突。当其他设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。

·     设备改变了硬件地址，通过发送免费ARP报文通知其他设备更新ARP表项。

路由器支持定时发送免费ARP功能，这样可以及时通知下行设备更新ARP表项或者MAC地址表项，主要应用场景如下：

·     防止仿冒网关的ARP攻击

如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其他主机，使得被欺骗的主机访问网关的流量，被重定向到一个错误的MAC地址，导致其他用户无法正常访问网络。

为了尽量避免这种仿冒网关的ARP攻击，可以在网关的接口上开启能定时发送免费ARP功能。开启该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址的免费ARP报文。这样，每台主机都可以学习到正确的网关，从而正常访问网络。

·     防止主机ARP表项老化

在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下，接收端主机的动态ARP表项会因超时而被老化，在其重新学习到发送设备的ARP表项之前，二者之间的流量就会发生中断。

为了解决上述问题，您可以在路由器的接口上开启定时发送免费ARP功能。开启该功能后，路由器接口上将按照配置的时间间隔周期性地发送接口主IP地址的免费ARP报文。这样，接收端主机可以及时更新ARP映射表，从而防止了上述流量中断现象。

页面向导：安全专区→ARP安全→ARP防护

本页面为您提供如下主要功能：

6.2  设置接入控制

6.2.1  设置MAC过滤

通过MAC过滤功能，您可以有效地控制局域网内的主机访问外网。路由器为您提供两种MAC过滤功能：

·     仅允许MAC地址列表中的MAC访问外网：如果您仅允许局域网内的某些主机访问外网，可以选中此功能，并添加相应的主机MAC地址表项。

·     仅禁止MAC地址列表中的MAC访问外网：如果您想禁止局域网内的某些主机访问外网，可以选中此功能，并添加相应的主机MAC地址表项。

页面向导：安全专区→接入控制→MAC过滤

本页面为您提供如下主要功能：

6.2.2  设置网站过滤

通过网站过滤功能，您可以灵活地限制局域网内的主机所能访问的网站及生效时间。路由器支持以下配置：

(1)     两种网站过滤功能：

·     仅允许访问列表中的网站地址：如果您想让局域网内的主机仅能访问固定的某些网站，可以选中此功能，然后添加相应的网站地址。

·     仅禁止访问列表中的网站地址：如果您想让局域网内的主机不能访问某些非法网站，可以选中此功能，然后添加相应的网站地址。

(2)     生效时间：如果您想让局域网内的计算机在每周的固定时间内使能网站过滤功能，可以设置生效时间；生效时间包括两部分内容，在一天中生效的时间段，时间使用24小时制，起始时间应早于结束时间，00:00～24:00表示该规则在一天内任何时间都生效；一周中哪些天规则生效。

(3)     两种匹配方式：设备支持模糊匹配和精确匹配两种匹配方式。

(4)     网站过滤特权IP功能：特权IP控制，支持设置网站过滤全局特权IP地址范围，属于特权IP地址范围的用户，网站过滤功能不生效。特权IP地址段，包括起始IP地址和结束IP地址，起始IP地址不能大于结束IP地址。设备最多支持设置20条特权IP地址段。

页面向导：安全专区→接入控制→网站过滤

本页面为您提供如下主要功能：

6.2.3  设置IPMAC过滤

IPMAC过滤功能可以同时对报文中的源MAC地址和源IP地址进行匹配，仅当源MAC地址和源IP地址均符合条件的主机才允许访问外网。IPMAC过滤功能支持以下两种匹配方式：

·     仅允许DHCP服务器分配的客户端访问外网：即开启此功能后，不在路由器DHCP服务器分配的客户列表中的用户将无法访问外网。此方式可以运用于企业环境中，因为企业通常使用DHCP方式为客户端分配IP地址。

·     仅允许ARP静态绑定的客户端访问外网：即开启此功能后，不在ARP静态绑定表中的客户端将无法访问外网。此方式可以运用于网吧环境中，因为网吧通常为客户端设置静态IP地址。

页面向导：安全专区→接入控制→IPMAC过滤

本页面为您提供如下主要功能：

6.3  设置防火墙

路由器的防火墙功能为您实现了根据报文的内容特征（比如：协议类型、源/目的IP地址等），来对入站方向（从因特网发向局域网的方向）和出站方向（从局域网发向因特网的方向）的数据流执行相应的控制，保证了路由器和局域网内主机的安全运行。

6.3.1  设置出站通信策略

页面向导：安全专区→防火墙→出站通信策略

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表6-1 页面关键项描述

6.3.2  设置入站通信策略

页面向导：安全专区→防火墙→入站通信策略

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表6-2 页面关键项描述

6.4  设置防攻击

在复杂网络环境中，常常由于主机异常或中毒，导致其不断地发送一些攻击报文，造成路由器资源和网络带宽不必要的消耗。防攻击主要的目的就是发现并丢弃非法的报文，以保证整体网络的稳定性。

6.4.1  防攻击方式

路由器为您提供了以下三种防攻击方式：

·     IDS防范

IDS防范主要用于发现一些常见的攻击类型报文对路由器的扫描和一些常见的DOS攻击，并丢弃相应的报文。在一定程度上，可以有效地保护路由器的正常运行。

·     报文源认证

攻击类型的报文多种多样，除了ARP欺骗外，最主要的是伪装IP地址的报文和伪装MAC地址的报文。您通过设置路由器的静态路由表和ARP表项，可以在很大程度上认证内网发送的报文的合法性。比如：当报文的源IP地址属于不可达网段，报文的源IP地址/源MAC地址和静态ARP表项存在冲突等，则路由器会认为该报文是非法伪装的报文，会直接将其丢弃。

·     异常流量防护

在网络实际应用中，往往会由于单台主机中毒或异常，导致这台主机大量发送数据包。而这些报文并不能被路由器的报文源认证功能确定为非法的报文，此时会大量地消耗路由器的资源。开启该功能后，路由器会对各台主机的流量进行检查，并根据您所选择的防护等级（包括：高、中、低三种）进行相应的处理，以确保路由器受到此类异常流量攻击时仍可正常工作。

6.4.2  设置IDS防范

页面向导：安全专区→防攻击→IDS防范

本页面为您提供如下主要功能：

6.4.3  设置报文源认证

页面向导：安全专区→防攻击→报文源认证

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表6-3 页面关键项描述

6.4.4  设置异常流量防护

页面向导：安全专区→防攻击→异常流量防护

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表6-4 页面关键项描述

7 云WiFi

本章节主要包含以下内容：

·     云WiFi简介

·     设置云WiFi

7.1  云WiFi简介

云WiFi主要面向企业和公众用户，通过手机号可以注册一个商户账号，该账号可对分散在不同位置的路由器或AP进行统一管理，实现远程监控、远程管理、业务推送、用户管理等功能，适用于无线网络的业务部署。

接入Internet网络后，单击设备Web管理页面的<注册>按钮进行注册。完成账户注册和设备注册激活后，可通过云管理平台（gate.h3c.com）对用户进行访问控制以及业务推送。

7.2  设置云WiFi

7.2.1  查看连接状态

页面向导：云WiFi→云WiFi设置→云WiFi

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表7-1 页面关键项描述

7.2.2  注册WiFi管理平台

页面向导：云WiFi→云WiFi设置→云WiFi

本页面为您提供如下主要功能：

7.2.3  启用认证的无线接口

接口启用认证后，通过该接口接入的客户端需要通过云WiFi认证才能上网。

页面向导：云WiFi→云WiFi设置→云WiFi

本页面为您提供如下主要功能：

8 设置IPSec VPN

本章节主要包含以下内容：

·     IPSec VPN简介

·     IPSec VPN常见的组网模式

·     通过快速向导实现IPSec VPN

·     通过高级设置实现IPSec VPN

8.1  IPSec VPN简介

VPN是近年来随着Internet的广泛应用而迅速发展起来的一种新技术，用以实现在公用网络上构建私人专用网络。“虚拟”主要指这种网络是一种逻辑上的网络。

8.1.1  IPSec简介

IPSec是IETF制定的三层隧道加密协议，它为Internet上数据的传输提供了高质量的、可互操作的、基于密码学的安全保证。特定的通信方之间在IP层通过加密与数据源认证等方式，可以获得以下的安全服务：

·     数据机密性（Confidentiality）：IPSec发送方在通过网络传输包前对包进行加密。

·     数据完整性（Data Integrity）：IPSec接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。

·     数据来源认证（Data Authentication）：IPSec接收方可以认证IPSec报文的发送方是否合法。

·     防重放（Anti-Replay）：IPSec接收方可检测并拒绝接收过时或重复的报文。

可以通过IKE为IPSec提供自动协商交换密钥、建立和维护SA的服务，以简化IPSec的使用和管理。IKE协商并不是必须的，IPSec所使用的策略和算法等也可以手工协商。

1. IPSec的实现

IPSec通过如下两种协议来实现安全服务：

·     AH是认证头协议，协议号为51。主要提供的功能有数据源认证、数据完整性校验和防报文重放功能，可选择的认证算法有MD5、SHA-1等。AH报文头插在标准IP包头后面，保证数据包的完整性和真实性，防止黑客截获数据包或向网络中插入伪造的数据包。

·     ESP是报文安全封装协议，协议号为50。与AH协议不同的是，ESP将需要保护的用户数据进行加密后再封装到IP包中，以保证数据的机密性。常见的加密算法有DES、3DES、AES等。同时，作为可选项，用户可以选择MD5、SHA-1算法保证报文的完整性和真实性。

AH和ESP可以单独使用，也可以联合使用。设备支持的AH和ESP联合使用的方式为：先对报文进行ESP封装，再对报文进行AH封装，封装之后的报文从内到外依次是原始IP报文、ESP头、AH头和外部IP头。

2. IPSec基本概念

(1)     SA

IPSec在两个端点之间提供安全通信，端点被称为IPSec对等体。

SA是IPSec的基础，也是IPSec的本质。SA是通信对等体间对某些要素的约定，例如，使用哪种协议（AH、ESP还是两者结合使用）、协议的封装模式（传输模式和隧道模式）、加密算法（DES、3DES和AES）、特定流中保护数据的共享密钥以及密钥的生存周期等。

SA是单向的，在两个对等体之间的双向通信，最少需要两个SA来分别对两个方向的数据流进行安全保护。同时，如果两个对等体希望同时使用AH和ESP来进行安全通信，则每个对等体都会针对每一种协议来构建一个独立的SA。

SA由一个三元组来唯一标识，这个三元组包括SPI（Security Parameter Index，安全参数索引）、目的IP地址、安全协议号（AH或ESP）。

SPI是为唯一标识SA而生成的一个32比特的数值，它在AH和ESP头中传输。在手工配置SA时，需要手工指定SPI的取值；使用IKE协商产生SA时，SPI将随机生成。

SA是具有生存周期的，且只对通过IKE方式建立的SA有效。生存周期到达指定的时间或指定的流量，SA就会失效。SA失效前，IKE将为IPSec协商建立新的SA，这样，在旧的SA失效前新的SA就已经准备好。在新的SA开始协商而没有协商好之前，继续使用旧的SA保护通信。在新的SA协商好之后，则立即采用新的SA保护通信。

(2)     验证算法与加密算法

【验证算法】：

验证算法的实现主要是通过杂凑函数。杂凑函数是一种能够接受任意长的消息输入，并产生固定长度输出的算法，该输出称为消息摘要。IPSec对等体计算摘要，如果两个摘要是相同的，则表示报文是完整未经篡改的。

IPSec使用以下两种验证算法：

表8-1 验证算法

【加密算法】：

加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。

IPSec支持以下三种加密算法：

表8-2 加密算法

(3)     协商方式

有如下两种协商方式建立SA：

·     手工方式配置比较复杂，创建SA所需的全部信息都必须手工配置，而且不支持一些高级特性（例如定时更新密钥），但优点是可以不依赖IKE而单独实现IPSec功能。

·     IKE自动协商方式相对比较简单，只需要配置好IKE协商安全策略的信息，由IKE自动协商来创建和维护SA。

当与之进行通信的对等体设备数量较少时，或是在小型静态环境中，手工配置SA是可行的。对于中、大型的动态网络环境中，推荐使用IKE协商建立SA。

(4)     安全隧道

安全隧道是建立在本端和对端之间可以互通的一个通道，它由一对或多对SA组成。

8.1.2  IPSec VPN常见的组网模式

·     中心/分支模式应用在一对多网络中，如图8-1所示。中心/分支模式的网络采用野蛮模式进行IKE协商，可以使用安全网关名称或IP地址作为本端ID。在中心/分支模式的网络中，中心节点不会发起IPSec SA的协商，需要由分支节点首先向中心节点发起IPSec SA的协商。路由器通常作为分支节点的VPN接入设备使用。

图8-1 中心/分支模式组网

·     对等模式应用在一对一网络中，如图8-2所示。在对等模式的网络中，两端的设备互为对等节点，都可以向对端发起IPSec SA的协商。

图8-2 对等模式组网

8.2  IPSec VPN设置方法

路由器提供以下两种方法提导您完成IPSec VPN设置：

·     通过快速向导实现IPSec VPN（推荐在大多数应用环境下使用）

·     通过高级设置实现IPSec VPN（当VPN设置向导参数不能满足您当前特殊的应用环境时使用）

8.3  通过快速向导实现IPSec VPN

VPN设置向导可以帮忙您快速地完成IPSec VPN隧道的创建，轻易地实现安全、远程的连接，进一步提高设置效率。

下面以一个一对一网络的IPSec VPN隧道设置为例进行讲解：

1. 组网需求

在Router A（采用ER2100）和Router B（采用ER2100）之间建立一个安全隧道，对客户分支机构A所在的子网（192.168.1.0/24）与客户分支机构B所在的子网（172.16.1.0/24）之间的数据流进行安全保护。

2. 组网图

图8-3 组网示意图

3. 设置步骤

·     设置Router A

·     设置Router B

对端Router B上的IPSec VPN设置与Router A是相互对应的，除了对端地址和对端子网IP/掩码需要做相应修改，其他的设置均一致。此处略。

·     查看VPN状态

两端均设置完成后，您可以通过选择路由器的“VPN→VPN状态→安全联盟”页面，并单击<刷新>按钮来查看相应的隧道是否已成功建立。

8.4  通过高级设置实现IPSec VPN

8.4.1  设置IKE

在实施IPSec 的过程中，可以使用IKE协议来建立SA。该协议建立在由Internet SA和密钥管理协议ISAKMP定义的框架上。IKE为IPSec 提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。

IKE不是在网络上直接传输密钥，而是通过一系列数据的交换，最终计算出双方共享的密钥，并且即使第三者截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。

1. IKE简介

(1)     IKE的安全机制

IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥、建立IPSec SA。

【数据认证】：

数据认证有如下两方面的概念：

·     身份认证：身份认证确认通信双方的身份，支持预共享密钥认证。

·     身份保护：身份数据在密钥产生之后加密传送，实现了对身份数据的保护。

【DH】：

DH算法是一种公共密钥算法。通信双方在不传输密钥的情况下通过交换一些数据，计算出共享的密钥。即使第三者（如黑客）截获了双方用于计算密钥的所有交换数据，由于其复杂度很高，不足以计算出真正的密钥。所以，DH交换技术可以保证双方能够安全地获得公有信息。

【PFS】：

PFS特性是一种安全特性，指一个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。对于IPSec，是通过在IKE阶段2协商中增加一次密钥交换来实现的。PFS特性是由DH算法保障的。

(2)     IKE的交换过程

IKE使用了两个阶段为IPSec进行密钥协商并建立SA：

·     第一阶段，通信各方彼此间建立了一个已通过身份认证和安全保护的通道，即建立一个ISAKMP SA。第一阶段有主模式和野蛮模式两种IKE交换方法。

·     第二阶段，用在第一阶段建立的安全隧道为IPSec协商安全服务，即为IPSec协商具体的SA，建立用于最终的IP数据安全传输的IPSec SA。

图8-4 主模式交换过程

如图8-4所示，第一阶段主模式的IKE协商过程中包含三对消息：

·     第一对叫SA交换，是协商确认有关安全策略的过程；

·     第二对消息叫密钥交换，交换Diffie-Hellman公共值和辅助数据（如：随机数），密钥材料在这个阶段产生；

·     最后一对消息是ID信息和认证数据交换，进行身份认证和对整个SA交换进行认证。

野蛮模式交换与主模式交换的主要差别在于，野蛮模式不提供身份保护，只交换3条消息。在对身份保护要求不高的场合，使用交换报文较少的野蛮模式可以提高协商的速度；在对身份保护要求较高的场合，则应该使用主模式。

(3)     IKE在IPSec中的作用

·     因为有了IKE，IPSec很多参数（如：密钥）都可以自动建立，降低了手工配置的复杂度。

·     IKE协议中的DH交换过程，每次的计算和产生的结果都是不相关的。每次SA的建立都运行DH交换过程，保证了每个SA所使用的密钥互不相关。

·     IPSec使用AH或ESP报文头中的序列号实现防重放。此序列号是一个32比特的值，此数溢出后，为实现防重放，SA需要重新建立，这个过程需要IKE协议的配合。

·     对安全通信的各方身份的认证和管理，将影响到IPSec的部署。IPSec的大规模使用，必须有认证机构或其他集中管理身份数据的机构的参与。

·     IKE提供端与端之间动态认证。

(4)     IPSec与IKE的关系

图8-5 IPSec与IKE的关系图

从图8-5中我们可以看出IKE和IPSec的关系：

·     IKE是UDP之上的一个应用层协议，是IPSec的信令协议；

·     IKE为IPSec协商建立SA，并把建立的参数及生成的密钥交给IPSec；

·     IPSec使用IKE建立的SA对IP报文加密或认证处理。

2. 设置安全提议

安全提议定义了一套属性数据来描述IKE 协商怎样进行安全通信。配置IKE 提议包括选择加密算法、选择验证算法、选择Diffie-Hellman组标识。

页面向导：VPN→IPSEC VPN→IKE安全提议

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表8-3 页面关键项描述

3. 设置对等体

对等体定义了协商的双方，包括本端发起协商接口、对方地址、采用的安全提议、协商模式、ID类型等信息。只有经定义的双方才能够进行协商通信。

页面向导：VPN→IPSEC VPN→IKE对等体

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表8-4 页面关键项描述

8.4.2  设置IPSec

1. 设置安全提议

安全提议保存IPSec需要使用的特定安全性协议，以及加密/验证算法，为IPSec协商SA提供各种安全参数。为了能够成功的协商IPSec的SA，两端必须使用相同的安全提议。

页面向导：VPN→IPSEC VPN→IPSec安全提议

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表8-5 页面关键项描述

2. 设置安全策略

安全策略规定了对什么样的数据流采用什么样的安全提议。安全策略分为手工安全策略和IKE协商安全策略。前者需要用户手工配置密钥、SPI等参数；后者则由IKE自动协商生成这些参数。

页面向导：VPN→IPSEC VPN→IPSec安全策略

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表8-6 页面关键项描述

8.4.3  查看VPN状态

页面向导：VPN→IPSEC VPN→安全联盟

本页面为您提供如下主要功能：

9 设置 L2TP特性

本章节主要包含以下内容：

·     L2TP特性简介

·     设置L2TP特性

·     L2TP典型配置举例

9.1  L2TP特性简介

9.1.1  概述

VPDN（Virtual Private Dial-up Network，虚拟专用拨号网络）是指利用公共网络（如ISDN或PSTN）的拨号功能接入公共网络，实现虚拟专用网，从而为企业、小型ISP、移动办公人员等提供接入服务。即，VPDN为远端用户与私有企业网之间提供了一种经济而有效的点到点连接方式。

VPDN采用隧道协议在公共网络上为企业建立安全的虚拟专网。企业驻外机构和出差人员可从远程经由公共网络，通过虚拟隧道实现和企业总部之间的网络连接，而公共网络上其它用户则无法穿过虚拟隧道访问企业网内部的资源。

VPDN隧道协议主要包括以下三种：

·     PPTP（Point-to-Point Tunneling Protocol，点到点隧道协议）

·     L2F（Layer 2 Forwarding，二层转发）

·     L2TP（Layer 2 Tunneling Protocol，二层隧道协议）

L2TP结合了L2F和PPTP的各自优点，是目前使用最为广泛的VPDN隧道协议。

L2TP（RFC 2661）是一种对PPP链路层数据包进行封装，并通过隧道进行传输的技术。L2TP允许连接用户的二层链路端点和PPP会话终点驻留在通过分组交换网络连接的不同设备上，从而扩展了PPP模型，使得PPP会话可以跨越分组交换网络，如Internet。

9.1.2  L2TP典型组网应用

使用L2TP协议构建的VPDN应用的典型组网如图9-1所示。

图9-1 应用L2TP构建的VPDN服务

在L2TP构建的VPDN中，网络组件包括以下三个部分：

·     远端系统

远端系统是要接入VPDN网络的远地用户和远地分支机构，通常是一个拨号用户的主机或私有网络的一台路由设备。

·     LAC（L2TP Access Concentrator，L2TP访问集中器）

LAC是具有PPP和L2TP协议处理能力的设备，通常是一个当地ISP的NAS（Network Access Server，网络接入服务器），主要用于为PPP类型的用户提供接入服务。

LAC作为L2TP隧道的端点，位于LNS和远端系统之间，用于在LNS和远端系统之间传递信息包。它把从远端系统收到的信息包按照L2TP协议进行封装并送往LNS，同时也将从LNS收到的信息包进行解封装并送往远端系统。

VPDN应用中，LAC与远端系统之间通常采用PPP链路。

·     LNS（L2TP Network Server，L2TP网络服务器）

LNS既是PPP端系统，又是L2TP协议的服务器端，通常作为一个企业内部网的边缘设备。

LNS作为L2TP隧道的另一侧端点，是LAC的对端设备，是LAC进行隧道传输的PPP会话的逻辑终止端点。通过在公网中建立L2TP隧道，将远端系统的PPP连接由原来的NAS在逻辑上延伸到了企业网内部的LNS。

9.1.3  L2TP消息类型及封装结构

L2TP中存在两种消息：

·     控制消息：用户隧道和会话连接的建立、维护和拆除。它的传输是可靠传输，并且支持对控制消息的流量控制和拥塞控制。

·     数据消息：用于封装PPP帧，并在隧道上传输。它的传输是不可靠传输，若数据报文丢失，不予重传，不支持对数据消息的流量控制和拥塞控制

控制消息和数据消息共享相同的报文头，通过报文头中的Type字段来区分控制消息和数据消息。

图9-2描述了控制通道以及PPP帧和数据通道之间的关系。PPP帧在不可靠的L2TP数据通道上进行传输，控制消息在可靠的L2TP控制通道内传输。

图9-2 L2TP协议结构

图9-3描述了LAC与LNS之间的L2TP数据报文的封装结构。通常L2TP数据以UDP报文的形式发送。L2TP注册了UDP 1701端口，但是这个端口仅用于初始的隧道建立过程中。L2TP隧道发起方任选一个空闲的端口（未必是1701）向接收方的1701端口发送报文；接收方收到报文后，也任选一个空闲的端口（未必是1701），给发送方的指定端口回送报文。至此，双方的端口选定，并在隧道保持连通的时间段内不再改变。

图9-3 L2TP报文封装结构图

9.1.4  L2TP隧道和会话

在一个LNS和LAC对之间存在着两种类型的连接。

·     隧道（Tunnel）连接：它对应了一个LNS和LAC对。

·     会话（Session）连接：它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。

在同一对LAC和LNS之间可以建立多个L2TP隧道，隧道由一个控制连接和一个或多个会话连接组成。会话连接必须在隧道建立（包括身份保护、L2TP版本、帧类型、硬件传输类型等信息的交换）成功之后进行，每个会话连接对应于LAC和LNS之间的一个PPP数据流。

控制消息和PPP数据报文都在隧道上传输。L2TP使用Hello报文来检测隧道的连通性。LAC和LNS定时向对端发送Hello报文，若在一段时间内未收到Hello报文的应答，隧道断开。

9.1.5  L2TP隧道模式及隧道建立过程

L2TP隧道的建立支持以下两种典型模式。

·     Client-Initiated

如图9-4所示，直接由LAC客户（指本地支持L2TP协议的用户）发起L2TP隧道连接。LAC客户获得Internet访问权限后，可直接向LNS发起隧道连接请求，无需经过一个单独的LAC设备建立隧道。LAC客户的私网地址由LNS分配。

在Client-Initiated模式下，LAC客户需要具有公网地址，能够直接通过Internet与LNS通信。

图9-4 Client-Initiated L2TP隧道模式

·     LAC-Auto-Initiated

如图9-5所示，LAC上创建一个虚拟的PPP用户，LAC将自动向LNS发起建立隧道连接的请求，为该虚拟PPP用户建立L2TP隧道。远端系统访问LNS连接的内部网络时，LAC将通过L2TP隧道转发这些访问数据。

在该模式下，远端系统和LAC之间可以是任何基于IP的连接，不局限于拨号连接。

图9-5 LAC-Auto-Initiated L2TP隧道模式

9.1.6  协议规范

与L2TP相关的协议规范有：

·     RFC 1661：The Point-to-Point Protocol （PPP）

·     RFC 1918：Address Allocation for Private Internets

·     RFC 2661：Layer Two Tunneling Protocol “L2TP”

9.2  设置L2TP特性

支持L2TP特性的设备，既可以担任L2TP客户端（LAC）的角色，又可以担任L2TP服务端（LNS）的角色，下面将对这两种应用场景分别进行介绍。

9.2.1  设置L2TP客户端（设备作为LAC时的配置）

页面向导：VPN→L2TP VPN→L2TP客户端

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表9-1 页面关键项描述

9.2.2  设置L2TP服务端（设备作为LNS时的配置）

1. 设置L2TP服务端

页面向导：VPN→L2TP VPN→L2TP服务端

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表9-2 页面关键项描述

2. 设置LNS用户管理

页面向导：VPN→L2TP VPN→LNS用户管理

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表9-3 页面关键项描述

3. 查看L2TP状态

页面向导：VPN→L2TP VPN→L2TP状态

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表9-4 页面关键项描述

9.3  L2TP典型配置举例

9.3.1  设备作为L2TP客户端的配置举例

1. 组网需求

VPN用户访问公司总部过程如下：

LAC上创建虚拟PPP用户，LAC自动向LNS发起建立隧道连接的请求，为该虚拟PPP用户建立L2TP隧道。

VPN用户通过LAN将访问公司总部的报文发送给LAC。

LAC封装该报文，并通过已经建立的L2TP隧道将报文发送给LNS，VPN用户与公司总部间的通信都通过LAC与LNS之间的隧道进行传输。

2. 组网图

公司办事处通过L2TP客户端，与远端的公司总部的LNS进行连接。

图9-6 设备作为L2TP客户端配置举例

3. 组网配置方案

·     将路由器的WAN口接公网线路；

·     设置WAN口通过静态方式连接到因特网；

·     设置L2TP客户端为启用状态；

·     设置公司总部提供的LNS的IP地址、L2TP隧道密码以及提供建立PPP连接的用户名、密码；

·     设置L2TP客户端地址获取方式设置为动态获取。

4. 设置步骤

(1)     LAC侧配置

(2)     LNS侧配置

公司总部的LNS服务器运行正常，并提供LNS则配置信息，如下表所示。

表9-5 LNS管理员提供的配置

(3)     验证配置结果

9.3.2  设备作为L2TP服务端的配置举例

1. 组网需求

VPN用户访问公司总部过程如下：

(1)     配置用户侧主机的IP地址和路由，确保用户侧主机和LNS之间路由可达。

(2)     由用户向LNS发起Tunnel连接的请求。

(3)     在LNS接受此连接请求之后，VPN用户与LNS之间就建立了一条虚拟的L2TP tunnel。

(4)     用户与公司总部间的通信都通过VPN用户与LNS之间的隧道进行传输。

2. 组网图

公司办事处员工通过WindowsXP的L2TP客户端接入公司总部的设置L2TP服务端，来访问内部资源。

图9-7 设备作为L2TP服务器配置举例

3. 组网配置方案

·     将路由器的WAN口接公网线路；

·     设置WAN口通过静态方式连接到因特网；

·     设置LNS服务为启用状态，并配置信息；

·     添加允许接入的用户信息。

4. 设置步骤

(1)     LNS侧配置

完成以上所有设置后，您可以通过下列操作来查看当前LNS配置情况：

(2)     设置Windows7的L2TP客户端

(3)     验证配置结果

10 设置QoS

QoS是指针对网络中各种应用不同的需求，提供不同的服务质量，比如：提供专用带宽、减少报文丢失率、降低报文传送时延及抖动。

本章节主要包含以下内容：

·     设置IP流量限制

·     设置专用通道

·     设置网络连接限数

10.1  设置IP流量限制

某些应用（比如：P2P下载等）在给用户带来方便的同时，也占用了大量的网络带宽。一个网络的总带宽是有限的，如果这些应用过度占用网络带宽，必将会影响其他用户正常使用网络。

为了保证局域网内所有用户都能正常使用网络资源，您可以通过IP流量限制功能对局域网内指定主机的流量进行限制。

路由器支持以下两种IP流量限制方式：

·     允许每IP通道借用空闲的带宽（推荐使用）：即弹性带宽限制，在带宽使用不紧张时，允许每台主机可以使用系统空闲带宽，其实际流量可以超过限速值。

·     每IP通道只能使用预设的带宽：即固定带宽限制，每台主机的实际流量不能超过限速值。即使系统还有空闲的带宽，也不能利用。

页面向导：QoS设置→流量管理→IP流量限制

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表10-1 页面关键项描述

10.2  设置专用通道

路由器为您提供了绿色专用通道和限制专用通道的设置：

·     绿色专用通道：您可以将特定的数据业务流通过绿色通道转发，从而可以保证对时延要求较高的应用（比如：网络游戏）有足够带宽。在绿色专用通道中，路由器支持根据您设置的报文长度大小和协议端口号来匹配数据流。

·     限制专用通道：您可以将特定的数据业务流通过限制通道转发，从而可以限制大流量P2P应用的带宽。在限制通道中，路由器支持根据您设置的报文协议端口号来匹配数据流。

比如：某网吧的实际带宽为10Mbps，有100人在上网，其中大部分用户都在玩某类游戏，还有部分用户在使用P2P软件下载影片。此时，您可以为玩某类游戏的用户设置绿色专用通道，为P2P下载影片的用户设置限制专用通道。从而保证即使线路存在拥塞时，游戏数据包仍然能得到及时转发，并可以限制P2P下载过度占用带宽。

10.2.1  设置绿色专用通道

页面向导：QoS设置→流量管理→绿色通道管理

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表10-2 页面关键项描述

10.2.2  设置限制专用通道

页面向导：QoS设置→流量管理→限制通道管理

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表10-3 页面关键项描述

10.3  设置网络连接限数

当局域网内的主机遭受NAT攻击时，主机的网络连接数可能会超过几万个，从而会严重影响业务的正常运行或出现网络掉线现象。此时，您可对指定主机的最大网络连接数进行限制，保证网络资源的有效利用。

页面向导：QoS设置→连接限制→网络连接限数

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表10-4 页面关键项描述

11 高级设置

本章节主要包含以下内容：

·     设置NAT

·     设置虚拟服务器

·     设置端口触发

·     设置ALG应用

·     设置路由

·     业务控制

·     应用服务

11.1  设置NAT

NAT可以实现局域网内的多台主机通过1个或多个公网IP地址接入因特网，即用少量的公网IP地址代表较多的私网IP地址，节省公网的IP地址。

路由器支持提供以下三种NAT转换方式

·     一对一NAT：将局域网内主机的IP地址一对一转换为指定的公网IP地址，即对应主机访问因特网时有自己的公网IP地址。在这种方式下，局域网内的其他主机及因特网上的主机都可以通过访问对应的公网IP地址来访问该主机。

·     多对一NAT：当路由器拥有单个公网IP地址时，如果局域网内的主机访问外网，其私网IP地址均自动转换为对应的WAN网口的IP地址。

·     多对多NAT：当路由器拥有多个公网IP地址时，如果局域网内的主机访问外网，其私网IP地址会自动转换为公网IP地址池中的其中一个IP地址。

比如：某企业申请了一条电信线路，分配的公网IP地址范围是218.3.55.20～218.3.55.30。该企业需要对外开放Web服务器（IP地址为192.168.1.5）、Mail服务器（IP地址为192.168.1.6）和FTP服务器（IP地址为：192.168.1.7）。此时，您可以使用一对一NAT方式将服务器IP地址与公网IP地址建议一对一地址转换，其他主机上网时可使用公网IP地址池中的其他IP地址，从而可以充分利用所有的公网IP地址。

11.1.1  设置NAT功能状态

仅当开启了NAT功能后，您所设置的一对一NAT、多对一NAT和多对多NAT才会生效。

页面向导：高级设置→地址转换→NAT设置

本页面为您提供如下主要功能：

11.1.2  设置一对一NAT

在您设置一对一NAT前，请先开启NAT功能。

页面向导：高级设置→地址转换→一对一NAT

本页面为您提供如下主要功能：

11.1.3  设置多对一NAT和多对多NAT

在您设置多对一和多对多NAT前，请先开启NAT功能。

页面向导：高级设置→地址转换→NAT设置

本页面为您提供如下主要功能：

11.1.4  设置网络连接参数

页面向导：高级设置→地址转换→NAT设置

本页面为您提供如下主要功能：

11.2  设置虚拟服务器

为保证局域网的安全，路由器会阻断从因特网主动发起的连接请求。因此，如果您想让因特网用户能够访问局域网内的服务器（比如：Web服务器、Email服务器、FTP服务器等），需要设置虚拟服务器。

虚拟服务器也可称为端口映射，它可以将WAN口IP地址、外部端口号和局域网内服务器IP地址、内部端口号建立映射关系，使所有对该WAN口某服务端口的访问重定向到指定的局域网内服务器的相应端口。

路由器会根据以下步骤来进行端口映射：

图11-1 端口映射

页面向导：高级设置→地址转换→虚拟服务器

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-1 页面关键项描述

11.3  设置端口触发

当局域网内的客户端访问因特网上的服务器时，对于某些应用（比如：IP电话、视频会议等），客户端向服务器主动发起连接的同时，也需要服务器向客户端发起连接请求。而缺省情况下，路由器收到WAN侧主动连接的请求都会拒绝，此时通信会被中断。

通过设置路由器的端口触发规则，当客户端访问服务器并触发规则后，路由器会自动开放服务器需要向客户端请求的端口，从而可以保证通信正常。当客户端和路由器长时间没有数据交互时，路由器会自动关闭之前对外开放的端口，最大限度地保证了局域网的安全。

页面向导：高级设置→地址转换→端口触发

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-2 页面关键项描述

11.4  设置ALG应用

通常情况下，NAT只对报文头中的IP地址和端口信息进行转换，不对应用层数据载荷中的字段进行分析。

然而，对于一些特殊的协议（比如：FTP、TFTP等），它们报文的数据载荷中可能包含IP地址或端口信息，这些内容不能被NAT进行有效地转换，就可能会出现问题。比如：FTP应用是由数据连接和控制连接共同完成的，而且数据连接的建立由控制连接中的载荷字段信息动态地决定，这就需要ALG来完成载荷字段信息的转换，以保证后续数据连接的正确建立。

针对需要ALG的一些应用层协议，您在使用时只需要在路由器上开启相应的项即可。

页面向导：高级设置→地址转换→ALG应用

本页面为您提供如下主要功能：

11.5  设置路由

11.5.1  设置静态路由

静态路由是一种特殊的路由，需要您手工设置。设置静态路由后，去往指定目的地的报文将按照您指定的路径进行转发。在组网结构比较简单的网络中，只需设置静态路由就可以实现网络互通。恰当地设置和使用静态路由可以改善网络的性能，并可为重要的网络应用保证带宽。

静态路由的缺点在于：不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，可能会出现路由不可达，导致网络中断。此时必须由您手工修改静态路由的设置。

比如：如图11-2所示，如果您希望LAN A中PC1与LAN B中PC2可以相互访问或LAN B中PC2通过ER2100系列路由器访问因特网，则可以在ER2100系列路由器上设置一条静态路由（目的地址：192.168.2.0，下一跳地址：192.168.1.3）。

图11-2 静态路由设置举例组网图

页面向导：高级设置→路由设置→静态路由

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-3 页面关键项描述

11.6  业务控制

11.6.1  限制使用IM软件

您可以通过此功能来限制局域网内某些主机对IM软件（如QQ或MSN）的上线权限。

页面向导：高级设置→业务控制→IM软件

本页面为您提供如下主要功能：

11.6.2  设置QQ特权号码

当您开启“禁止QQ上线”功能而又希望某些特定QQ号码能正常使用时，您可以通过启用QQ特权号码功能实现。

页面向导：高级设置→业务控制→QQ特权号码

本页面为您提供如下主要功能：

11.6.3  限制使用金融软件

您可以通过此功能来限制局域网内某些主机对常见金融软件的使用。对于一些特殊的金融软件，您还可以通过设置防火墙来进行控制。

页面向导：高级设置→业务控制→金融软件

本页面为您提供如下主要功能：

11.7  应用服务

11.7.1  设置DDNS

当路由器通过PPPoE方式或动态方式连接到因特网时，所获取到的IP地址是不固定的。因此，给想访问本局域网内服务器的因特网用户带来很大的不便。

开启DDNS功能后，路由器会在DDNS服务器上建立一个IP与域名的映射表。当WAN口IP地址变化时，路由器会自动向指定的DDNS服务器发起更新请求，DDNS服务器会更新域名与IP地址的映射关系。所以，无论路由器的WAN口IP地址如何改变，因特网上的用户仍可以通过域名对本局域网内的服务器进行访问。

页面向导：高级设置→应用服务→DDNS

本页面为您提供如下主要功能：

页面中关键项的含义如下表所示。

表11-4 页面关键项描述

11.7.2  设置UPnP

UPnP主要用于实现设备的智能互联互通，无需用户参与和使用主服务器，能自动发现和控制来自各家厂商的各种网络设备。

启用UPnP功能，路由器可以实现NAT穿越：当局域网内的主机通过路由器与因特网通信时，路由器可以根据需要自动增加、删除NAT映射表，从而解决一些传统的业务不能穿越NAT的问题。

如需与UPnP功能配合使用，您所使用的计算机操作系统和应用程序均需要支持UPnP功能（比如：操作系统：Windows XP，应用程序：MSN）。

页面向导：高级设置→应用服务→UPnP

本页面为您提供如下主要功能：

11.7.3  设置DNS Server

本设备支持静态DNS Server功能，通过手动指定网络设备的域名和IP的对应关系可实现域名解析的目的。

页面向导：高级设置→应用服务→DNS Server

本页面为您提供如下主要功能：

12 设备管理

本章节主要包含以下内容：

·     基本管理

·     远程管理

·     用户管理

·     设置SNMP

12.1  基本管理

12.1.1  配置管理

页面向导：设备管理→基本管理→配置管理

本页面为您提供如下主要功能：

12.1.2  设置系统时间

路由器支持通过NTP服务器来自动获取系统时间和手工设置系统时间两种方式。

1. 通过NTP服务器自动获取系统时间（推荐）

NTP是由RFC 1305定义的时间同步协议，用来在分布式时间服务器和客户端之间进行时间同步。NTP基于UDP报文进行传输，使用的UDP端口号为123。

使用NTP的目的是对网络内所有具有时钟的设备进行时钟同步，使网络内所有设备的时钟保持一致，从而使设备能够提供基于统一时间的多种应用。对于运行NTP的本地系统，既可以接受来自其他时钟源的同步，又可以作为时钟源同步其他的时钟。

对于网络中的各台设备来说，如果单依靠管理员手工修改系统时间，不但工作量巨大，而且也不能保证时钟的精确性。通过NTP，可以很快将网络中设备的时钟同步，同时也能保证很高的精度。

当路由器连接到因特网后，会自动从路由器缺省的NTP服务器或您手工设置的NTP服务器中获取时间。当通过NTP成功获取到系统时间后，该时间还会根据您选择的时区做相应的调整。

2. 手工设置系统时间

手工设置的系统时间不会与其他设备同步，也不支持时区的切换。当路由器重新启动后，手工设置的系统时间会丢失，并且路由器将恢复成了通过NTP服务器来自动获取系统时间。此时，如果您将路由器连接到因特网后，它会通过缺省的NTP服务器来获取系统时间。

页面向导：设备管理→基本管理→时间设置

本页面为您提供如下主要功能：

12.1.3  软件升级

通过软件升级，您可以加载最新版本的软件到路由器，以便获得更多的功能和更为稳定的性能。

页面向导：设备管理→基本管理→软件升级

本页面为您提供如下主要功能：

12.1.4  重新启动路由器

页面向导：设备管理→基本管理→重启动

本页面为您提供如下主要功能：