网络-网吧典型组网方案指导(ICG)

【摘要】ICG系列路由器是H3C为网吧量身定制的双WAN口高性能千兆路由器，它采用专业的64位双核网络处理器，同时提供丰富的网吧专有特性。

它是H3C公司宽带路由器中的中高端产品，是网吧用户的理想选择。

本文的重点是描述如何利用ICG路由器搭建稳定的网吧环境。

本文从最常用的解决方案的角度，描述了网吧需求以及组建一个稳定的网吧所需的一些必要配置，最后通过FAQ对网吧应用中容易碰到的一些问题作了总结。

【关键词说明】需求、稳定的、网吧、解决方案、配置、比较【正文】1 网吧基本需求本章列出了网吧最基本的需求，并在每节中对需求作了较详细的描述，在最后提出了对该需求的解决方案。

通过本文，您可以了解构建一个稳定的网吧应用环境所需要的一些必要配置。

其中多WAN模式的配置主要是针对双WAN接入的网吧。

1.1 网吧需求1：防ARP攻击可以说，网吧掉线大部分是由于ARP攻击引起的，用某网管的话说，要让网吧稳定很简单，只要让PC和路由器上都用静态ARP。

虽然说是ARP攻击，但实际上大部分ARP攻击并不是恶意的，网上对于ARP攻击的产生是这样描述的：现在网吧很多网络游戏都有外挂，但很多外挂中都有病毒，这些病毒通过发送免费ARP报文，让局域网中所有的IP都指向本地PC，以此来获得局域网中所有的数据包，然后分析数据包，将网游的账号提取出现发送给木马作者。

ARP攻击原理很简单：1、PC上指向网关的ARP表项被修改，导致PC到Internet的数据不能被转发到PC网关；2、PC网关的ARP表项被修改，PC网关不能将报文发送相应PC，导致该PC掉线；ARP攻击判断方法：网吧内出现部分掉线，首先要判断的是不是受到的ARP攻击。

步骤如下：1、从掉线PC上Ping设备网关，如是ARP攻击引起的，则不通；2、在掉线PC上用arp –a查看PC上指向网关的ARP表项是否正确，如不正确，则说明PC 上的ARP被修改，只要在PC上使用静态ARP就行了；3、如果PC上ARP表项正常，但还是不通，登陆到路由器，查看路由器的IP/MAC绑定表是否已经启用，如果启用，检查该PC的IP和MAC是否在绑定表中，如果不在，添加一条记录或取消绑定可解决。

如果在绑定表中，则另外有其他原因。

【ARP攻击解决方案】：目前成熟的解决方案是通过ARP双向绑定来实现的，即分别在PC和出口路由器上分别绑定对方的IP<—>MAC地址，来达到防范ARP的目的。

配置如下：1、ICG路由器上采用导入IP/MAC绑定表，则IPMAC绑定的PC静态生成ARP表项，同时并选择“仅允许IP/MAC绑定的客户端访问外网”使设备不能动态学习ARP表，从而彻底防止ARP攻击。

2、PC上用静态ARP表项绑定网关来防止ARP攻击。

1.2 网吧需求2：防BT（P2P）、迅雷过多占用带宽网吧应用中，P2P电影、BT、迅雷等点对点或多线程业务，对带宽占用很大，实际中常常会出现某一台PC在下载而导致整个网吧速率下降。

网吧与企业不同，网吧不能禁止，只能限制业务占用过多的带宽。

ICG路由器对于数据流量的限制和处理主要有三种方式，分别是IP流量限速、应用通道管理和NAT限制，根据应用场景的总出口带宽大小我们建议如下：1、对于200台左右的网吧用10M~20M的带宽的局点，这些网吧流量限制可以通过“应用通道管理”功能来实现，通过设置绿色通道和限制通道的规则，设备可以优先保证绿色通道的数据转发，同时控制限制通道的数据转发。

2、对于一些带宽比较大（超过50M）的局点，网吧的流量限制可以通过“IP流量限速”功能实现，通过指定IP限速规则，并启用“允许每IP通道借用空闲的带宽”功能；这样一方面能保证带宽利用最大化，同时又能保证IP限速规则中的带宽。

【防BT（P2P）下载、防迅雷下载解决方案】：用IP流量限速（带宽借用），NAT限制，应用通道管理（设置限制通道）。

1.3 网吧需求3：多WAN模式选择在单WAN接入的网吧，无论选择何种多WAN模式都一样。

但目前很多网吧都采用了双线接入，这样做的原因有多个方面，主要目的有以下几个：1. 为了提高游戏速度，可以实现电信走电信，网通走网通；2. 以电信为主，开通网通主要为了看网通的电影；3. 为了备份线路，以便某一个运营商出问题时，可以切换到另一个线路上。

对于此类双线接入的网吧，在ICG上我们有三个模式可以选择：主备模式，智能负载均衡模式，手动负载均衡模式。

实际环境中我们该如何选择？下面是一点建议。

一般情况下，网吧老板拉了两根线，这肯定有他的想法，所以在提供相应的解决方案前，第一步必须要先了解网吧需求，在满足网吧需求的前提下，再推荐网管（或老板）使用什么模式。

1、一般情况下，我们推荐用户使用手工负载均衡上网。

在该模式下，可以导入电信网通路由表来实现电信走电信，网通走网通。

2、如果网吧两条链路，其中有一条线路采用计费上网，此时可推荐使用主备模式。

几个多WAN模式说明如下：主备模式：同一时刻只有一条线路正常工作。

缺省下只使用主链路转发数据，当主链路出现异常时，所有的数据都自动切换到备份链路上；当设备检测到主链路恢复正常后，备份链路的数据又会自动切换回主链路。

注意：只有当启用多WAN线路检测功能，设备才会自动切换链路上的数据。

智能负载均衡模式：如果在设备上导入了电信网通路由表，则报文优先按照电信网通路由表转发；如果数据包没有匹配到（电信网通）路由表，则自动根据WAN的带宽比例来转发；当设备检测到某一条链路出现异常时，该链路上所有数据会被自动切换到另一条链路上，当该链路恢复后，数据又会自动切换回该链路上。

注意：只有当启用多WAN线路检测功能，设备才会自动切换链路上的数据。

手工负载均衡：该模式下需要导入电信网通路由表，并设置默认链路。

数据包优按照电信网通路由转发，如果没有匹配到（电信网通）路由表，则该数据从设置的默认链路转发；如果运行过程中，某一条链路出现异常，该链路上的所有数据会被自动切换到另一条链路上，当该链路恢复后，数据又会自动切换回该链路上。

注意：只有当启用多WAN线路检测功能，设备才会自动切换链路上的数据。

1.4 网吧需求4：让指定的PC走指定的线路如果网管想让某服务器一直走电信的线路，可以通过配置源IP地址路由来实现该功能。

通过源IP地址路由，还可以实现让不同的区走不同的线路，如游戏区走电信线路，聊天区走网通线路等功能需求。

1.5 网吧需求5：防NAT攻击、路由攻击、异常流量最近，这三类攻击在网吧也很常见，大部分网吧都会遇到此类问题。

NAT攻击：该攻击可分为以下几类，一类是PC异常或中毒，发送源IP地址变化的报文，导致设备在建立NAT连接时无可用的端口而丢包；一类是PC异常或中毒，发送源IP（或目的IP、或源端口、或目的端口）不断变化的报化，消耗设备NAT表项，导致设备丢包。

路由攻击：主要是针对路由缓冲的攻击，PC异常或中毒，发送源IP或目的IP不断变化的报文，导致设备路由缓存处于满配置状态，降低设备转发性能。

异常流量：PC异常或中毒，向Internet大流量发包，过量占用网吧带宽，导致网吧掉线。

【NAT攻击、路由攻击、异常流量解决方案】：按要求启用IP流量限制和NAT限制。

2 网吧常用方案比较2.1 网吧典型解决方案表1网吧常用方案比较2.2 其他常用解决方案2.2.1千兆到桌面方案上行路由器ICG 1800和核心交换机S5000系列都采用了千兆switch芯片，从上面典型解决方案中也可以看出，用S1224或S1224R即可实现千兆到桌面。

S1224和S1224R的区别在于S1224R为标准19寸机架式交换机，而S1224为桌面型交换机。

2.2.2百兆到桌面方案上行路由器ICG 1800系列和核心交换机S5000系列都采用了千兆switch芯片，从上面典型解决方案中也可以看出，用S1026T或S1526即可实现百兆到桌面。

2.2.3用VLAN隔离广播域该功能需要三层交换机的支持，核心交换机可以采用S5100系列、S5500系列、S5600系列。

3 解决方案Ⅰ：双WAN接入，ICG 1800+S5024P该解决方案采用ICG 1800和S5024P，一般在双WAN接入可采用该方案，通过该方案，可以实现电信走电信，网通走网通。

在该方案下，LAN内终端交换机可以选择S1224实现全千兆到桌面，或终端交换机选择S1026T实现了千兆核心向百兆桌面的无缝接入。

在本文后面章节，将对各具体解决方案的参数作一个比较详细的说明。

3.1 典型组网图图2网吧典型组网3.2 必要配置3.2.1ICG路由器必要配置1、根据实际情况选择，选择合适的双WAN模式。

一般情况下建议选择手工均衡模式，该在模式可以实现电信走电信、网通走网通的需求，同时也有线路备分功能。

（“WAN设置”->“连接到因特网”页面）2、如果是升级网吧原有设备，修改ICG路由器的IP地址和MAC地址，使ICG路由器的IP、MAC和网吧原有设备一致。

这样网吧升级为ICG路由器后，就不用更改网吧中其他网络设备的设置。

（“LAN设置”->“局域网设置”页面）3、在ICG上导入网吧所有PC的IP/MAC绑表，设备自动生成所有PC的静态ARP表；目的是为了防止ICG路由器上的ARP表项被攻击，从而导致局域网掉线。

也可以同时启用“仅允许IP/MAC绑定的客户端访问外网”功能，这样路由器上就可防止非IPMAC绑定PC的ARP攻击。

（“访问控制”->“IP/MAC绑定”页面）4、对网吧中所有PC做静态ARP，在PC上绑定静态ARP的工具很多，可到网上搜索一下；目前网吧对免费工具AIMU2000的比较多，可通过arp –a来查看PC的ARP表项是否已绑定。

在PC上绑定静态ARP的目的是为了防止PC的ARP表项被攻击，从而导致该PC掉线。

5、根据前面网吧需求3中的方法，选择合适的多WAN模式。

（“WAN设置”->“连接到因特网”）6、启用“WAN网口状态检测”，建议同时启用Ping、DNS。

Ping目的地址为对应WAN口的网关；在DNS检测后面输入需要检测的域名地址“”，WAN1和WAN2输入一样就行了。

（“WAN设置”->“WAN网口状态检测”）7、关闭DHCP Server。

网吧中一般都不用DHCP Server功能，因为用DHCP分配IP地址，有以下缺点：1.PC管理起来不方便；2.网管怕影响路由器性能；3.网管出现问题定位起来比用静态IP更复杂。

（“LAN设置”->“局域网设置”）8、启用IP流量限制，并选择允许每IP通道借用空闲的带宽。

这样在线路空闲时，各客户端可借用空闲的带宽，带宽利用达到最大化；当线路拥塞时，可以限制BT、迅雷下载速率，防止某些PC过多占用网吧带宽。