ros端口映射和回流详解
ros端口映射和回流详解
ros端口映射和回流详解1、什么是端口映射这里说的端口映射是路由器上的端口映射。
一般情况下，网络中路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL线口或是固定的外网IP地址)，而访问不了局域内部服务器或工作站。
要想让外面用户访问到局域网的电脑，那么就要在路由器上做一个转发设置，也就是端口映射设置，让用户的请求到了路由器后，能够转发到局域内部的机器上，例如游戏服务器或WEB服务器。
这就是端口映射。
在局域网中建建立一个CS服务器，IP地址为:192.168.0.235,端口为27015，此时在局域内部，如果要在外网上访问服务器，就要把192.168.0.235这台机器的27015端口通过路由器映射到外网。
除了CS服务外，其它的服务例如FTP、远程桌面等服务都可以将不同的端口映射出去，以便能在外网通过路由器来访问内网机器。
一般的路由器都带有端口映射功能，以下对目前使较多的ROS软路由的端口映射作一说明，并提出解决外网IP显示及回流设置。
2、ROS 2.96 的端口映射的设置进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面。
点击左上角红色的“+”号，添加一条dstnat规则，其中dst.address 填写你要映射的外网IP，本例为218.87.96.xxx(此处请填入您的外网IP),然后选择protocol协议为6，即TCP协议，设置Dst. port（目标端口）为80。
设置完成后如图1所示。
单击“Action”选项卡，在Action框中，选择“dst-nat” ，在“To.Address”框中填写内网提供服务的IP地址，本例为192.168.1.3,在“To.Port”填写内网提供服务的IP端口，这样基本映射就完成了，如图2所示，此时可以在外网中输入你的外网IP，即可看到内网192.168.1.3WEB服务器上的网站了。
以同样的方法可以设置FTP和远程桌面。
ros多线做端口映射脚本
正文开始，脚本在下面。
我做完ROS加VLAN ADSL多线PCC叠加设置设置后不久，网站开发小组的项目经理就找到我向我提出了需求，因为现在他们的测试服务器是放在我们办公室内网的，我们公司其它部门和其它分公司和我们办公室不是一个局域网，网站开发小组的项目经理想让我们公司的所有同事都能访问到测试服务器做用户体验度测试，想让我帮助实现，当时我一口答应下来，也觉得这是个很简单的事情，但是事情往往出人意料。
我一开始的思路是这样的，第一步就是在IP－>firewall－> nat下面做基于目标的伪装，也就是映射，第二步就是要做回流让内网的客户端也能通过公网IP 访问到服务器，第三步就是做动态映射的计划任务，定时更新第一步里面的目标地址即ADSL的地址，最后一步就要用到DDNS做一个二级域名的动态解析方便同事记忆和输入。
做完以后发现需求基本满足，就是内网客户端不能通过域名访问到服务器，只能通过内网IP访问，为了精益求精，继续研究，baidu和google 上搜索了无数方法均无效，后来在一个论坛里面看到一个高人的回复内容给了我启发，于是再一次尝试配置居然成功了。
不敢独享，现在将思路和脚本整理分享给更多需要的人。
首先我来分析下出现上述问题的原因，因为我们这里的环境是多线叠加的，我们的每个连接在进行路由之前都会对连接进行标记并路由，不同的标记有可能走不同的路由导致数据没办法顺利到达服务器，其内部数据的具体流向以及转换我也不是很清楚，如有高手路过请不吝赐教。
下面进入正题，其实很简单，我们只要在标记里面把目标地址为我们的外网接口地址的数据直接通过就可以解决这个问题了，有几条线就做几个标记，最后要添加计划任务更新标记里的目标地址为对应的外网接口地址，所以加上这最后两步一共是六步，下面就放出每一步的脚本（我的环境是双线叠加的，所以以下脚本都是适合双线的，改成多线的也很容易）1、做映射，这里以把内网的8890端口映射成9000端口为例。
ROS里的限速功能与限速单位详解,映射与回流做法
ROS里的限速功能与限速单位详解,映射与回流做法2009年07月24日星期五 18:34ROS里的限速功能与限速单位详解#-----------------------------------------------------------------------------------------------## ROS批量限速脚本;#Windows下的速度显示#正常上传100KB，正常下载200KB;#突发上传200KB，突发下载800KB;#突发上传100KB，突发下载100KB;#说明:#路由内的限速单位是Kbitp/s(千比特位/秒)/8=Windows下的存储单位KByte(千字节/秒)#K代表的是个数量单位K=1000;另外K和k就没区别了..不要混淆..#b,小写的b全名是bit,bit是网速的基本单位.bps(bits per Second):每秒传输多少位数(二进制)#B,大写的B全名是Byte,Byte是字节的意思,就是Windows的存储单位#8Kb=1KB#有时我们在路由里看到某机器下载速度已经达到10Mbps,#但是实际在windows下看到的速度只是10Mbps/8=1.25MByte#限速脚本内的进制是如何的呢?#比如以下脚本的max-limit=800,000/1600,000,在WINBOX里看的话就是800k和1600k.#后面3个0就是K的意思了.而上面的800,1600就是bps,加一起就是800kbps 和1600kbps#WINDOWS下看到的速度就是800kbps/8=100KB和1600kbps/8=200KB#max-limit:正常的速度限制;上传/下载.#burst-limit:突发速度;上传/下载.#burst-threshold:突发速度阀值;上传/下载.burst-time:突发时间;上传时间/下载时间.#注意,burst-threshold的值不能大于burst-limit#脚本中的time=是控制某些时间限制的.下面脚本就是周1到周7上午11点到晚上11点限速.其余时间不限制.#-----------------------------------------------------------------------------------------------#:for myip from 2 to 254 do={/queue simple add name=("第" . $myip . "号机") target-address=("192.168.0." . $myip . "/32")max-limit=800000/1600000 burst-limit=1600000/6400000burst-threshold=800000/800000 burst-time=30/30 total-queue=default \ time=12h-23h,sun,mon,tue,wed,thu,fri,sat disabled=no }把代码框的内容保存为rsc格式文件.FTP传到路由上.然后用命令im 文件名.rsc激活.到queue里看是否生效.手动限速winbox---queues----simple queues点“+”，NAME里随便填，下面是IP地址的确定①Target Address 不管，Dst. Address里填你要限制的内网机器的IP，比如我这里有个 1号机器 IP为 192.168.1.101，那dst.address 里就填192.168.1.101 然后是/32（这里的32不是指掩码了，个人理解为指定的意思）！②interface里记着要选你连接外网那个卡，我这里分了“local和public”，所以选public③ 其他的不管，我们来看最重要的东西拉，Max limit ，这个东西是你限制的上限，注意的是这里的数值是比特位，比如我要限制下载的速度为 500K 那么就填入多少呢？ 500 X 1000 X 8=400 0000=4M。
端口映射的原理及设置方法
映射端口：介绍端口映射的作用及其配置采用端口映射（Port Mapping）的方法，可以实现从In ternet到局域网内部机器的特定端口服务的访问。
例如，你所使用的机子处于一个连接到Inter net的局域网内，你在机子上所开的所有服务（如FTP），默认情况下外界是访问不了的。
这是因为你机子的IP是局域网内部IP，而外界能访问的只有你所连接的服务器的IP，由于整个局域网在Inter net上只有一个真正的I P地址，而这个IP 地址是属于局域网中服务器独有的。
所以，外部的Inte rnet登录时只可以找到局域网中的服务器，那你提供的服务当然是不起作用的。
所以解决这个问题的方法就是采用PM了。
端口映射在思科设备的配置：router(config)#ip nat insidesourcestatictcp 10.10.10.1 22 210.10.8.1 22 extenda blerouter(config)#ip nat insidesourcestatictcp 10.10.10.2 80 210.10.8.1 80 extenda ble映射端口：路由器端口映射的原理及设置方法介绍端口映射其实就是我们常说的NAT地址转换的一种，其功能就是把在公网的地址转翻译成私有地址，采用路由方式的ADSL宽带路由器拥有一个动态或固定的公网IP，ADSL直接接在HUB或交换机上，所有的电脑共享上网。
这时ADSL的外部地址只有一个，比如61.177.0.7。
而内部的IP是私有地址，比如ADSL设为192.168.0.1,下面的电脑就依次设为192.168.0.2到192.168.0.254。
在宽带路由器上如何实现NA T功能呢？一般路由器可以采用虚拟服务器的设置和开放主机(DMZ Host)。
什么是端口映射,路由端口映射如何设置
= 最后给大家个小知识：端口映射（Port Mapping）如果你是ADSL、MODEM或光纤等宽带接入用户，想在公司或单位内部建一个服务器或WEB站点，并且想让互联网上的用户访问你的服务器，那么你就会遇到端口映射问题。
通常情况下，路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL的电话线口或路由宽带外网口)，而访问不到内部服务器。
要想让互联网用户访问到你建的服务器，就要在路由器上做一个转发设置，也就是端口映射设置，让互联网用户发送的请求到达路由器后,再转发到你建立的服务器或WEB 站点。
这就是端口映射。
由于各个路由器厂商所取功能名称不一样，有的叫虚拟服务器，有的叫NAT设置端口映射。
其实做端口映射设置很简单，例如要映射一台内网IP地址为192.168.0.5的WEB服务器，只需把WEB服务器的IP地址192.168.0.5和TCP端口80填入到路由器的端口映射表中就OK了。
关于打开端口映射后的安全问题：设置了端口映射后，互联网用户能够通过设置好映射的端口，跳过路由器防火墙访问到你的服务器，在通过攻击你服务器上的漏洞控制你的主机，所以打开端口映射后有必要在你的服务器上再挂一个防火墙也确保安全性。
3389端口是Windows 2000(2003) Server 远程桌面的服务端口,可以通过这个端口,用"远程桌面"等连接工具来连接到远程的服务器,如果连接上了,输入系统管理员的用户名和密码后,将变得可以像操作本机一样操作远程的电脑,因此远程服务器一般都将这个端口修改数值或则关闭.3389端口的关闭：首先说明3389端口是windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是否是你自己开放的。
如果不是必须的，建议关闭该服务。
win2000 server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项将启动类型改成手动，并停止该服务。
ROS中的一些解释
NET-“src-nat”和“dst-nat”其中dst指：destination ：目的，目标其中src指：source：来源, 根源网络地址转换(NAT,Network Address Translation)src-nat是源地址转换,其作用是将ip数据包的源地址转换成另外一个地址,首先我们说一下snat中几个参数的含义,action，这是说明用的哪种转换方式,通常我们用masqurade，nat这两种,在特殊情况下用accept(主要是内网中有公网地址存在的情况)方法，protocol说明对哪些传输协进行转换(通常有tcp,udp等),out-interface说明通过哪一个网卡进行转换(通常是外网卡outside)，to-src-address是将源地址伪装成哪些地址(可以是一个也可以是很多个),to-src-pot是将源端口伪装成哪些端口(可以是一个也可以是很多个),dst-address是指发向哪些主机的数据包要进行伪装(可以一个可以多个)，dst-port是指发向哪些端口的数据包进行伪装(可以一个可以多个)，src-address是指对哪些源地址进行伪装(可以一个可以多个),src-port是指从哪些源端口发出的数据包进行伪装(可以一个可以多个)下面的论述中,ACTION(转换方式)都是以NAT为例.再综合网上其它的相关资料，以我现有的理解，和具体的试验,再作些补充：要做src-nat，除了指明协议\端口\转换成什么地址外,还要谈到是在那块网卡(接口)上做这个“源地址地址转换”。
比如，要让内网的电脑通过ros访问外网，那么就由与公网连接的网卡做snat，在添加src-nat 规则时，general页的out-interface就应选"外网卡",当然,用默认设置"all"也就包含了"外网卡",但这不利于理解src-nat理解了src-nat ,dst-nat就很好理解了,src-nat是ros将内网电脑发出的数据包的地址中的源地址进行转换然后发往外网,在数据包中,被转换的地址是源地址,所以叫源地址转换.而dst-nat则刚好相反,它是ros将公网发来的数据包的地址中的目的地址进行转换(当然这个目的地址就是ros的公网ip),然后发给内网的电脑,在数据包中,被转换的地址是目的地址,所以叫目的地址转换.同样,dst-nat除了指定转换后的地址外,也将涉及是在那块网卡(接口)上进行,例如,要将公网发给ros的a端口的数据包转给内网ip为b的c端口,那么设置好a\b\c的值后,在dst-nat规则general 页的in-interface里,应选择与b地址网段相连的网卡(接口),显然这是一块内网卡,当然,用默认设置"all"也就包含了这块"内网卡",但这不利于理解DST-nat到这里可以明白什么是端口映射了,它就是dst-nat中的一条转换规则.再来谈"回流",引用一段文字--"什么叫回流呢，就是当内网有服务映射到网关后,内网主机也可以用网关外部地址访问"由上面的定义可以清楚"回流"要完成的操作:1、内网电脑向ros发送目的地址为公网ip的数据包（当然这个IP就是ROS的公网IP）.2、ros通过源地址转换规则(SRC-NAT)中选定的A网卡(接口)将数据包地址中的源地址转换为公网IP(目的地址不变,仍为公网IP)3、ROS通过目的地址转换规则(DST-NAT)中选定的B网卡(接口)将数据包地址中的目的地址转换为内网地址,然后发给相应的内网电脑.但是问题来了,如果A网卡(接口)将数据包地址转换后就往公网发送,那么数据包就无法再回到路由器并转发给内网了.如果能让数据包不出路由器,在路由器内完成SRC-NAT和DST-NAT这两种地址转换,那么就可以实现回流了.呵呵,让A=B就可以实现了.就是说,添加一条SRC-NAT和一条DST-NAT规则,而这两条规则中所指定的网卡都是与内网相连的同一块网卡.ROS限速讲解[告诉你英文的意思是什么]一般我们用ros限速只是使用了max-limit，其实ros限速可以更好的运用。
ROS详解
而且需要修改/添加设定地址和路由,请使用以下几步描述.
注释
载入的设备是 NE2000 或兼容的 ISA 网卡你需要在/drivers 菜单下使用add 命令. 实例, 装入网卡的 IO 地址 0x280 和 IRQ
5, 输入完整的命令:
[admin@MikroTik] driver> add name=ne2k-isa io=0x280
password ------------改变密码
ping ----------------发送,回送ICMP数据包
port -----------------串行端口
quit ----------------退出控制
radius---------------Radius客户机设置
[admin@MikroTik] interface> enable 0
[admin@MikroTik] interface> enable ether2
[admin@MikroTik] interface> print
Flags: X - disabled, D - dynamic, R - running
[admin@MikroTik] driver> / 键入 \'/\' 从任一层返回基层的菜单
[admin@MikroTik] > interface /键入 \'interface\' 移动到接口这层菜单
[admin@MikroTik] interface> /ip /键入 \'/ip\'移动到IP这层菜单
undo----------------- 取先前的效果
ROS的一些解释
ROS的一些解释ROS 路由器的一些解释routeros防火墙功能非常灵活。
routeros防火墙属于包过滤防火墙，你可以定义一系列的规则过滤掉发往routeros、从routeros发出、通过routeros转发的数据包。
在routeros防火墙中定义了三个防火墙（过滤）链（即input、forward、output），你可以在这三个链当中定义你自己的规则。
input意思是指发往routeros自己的数据（也就是目的ip是routeros接口中的一个ip地址）；output意思是指从routeros发出去的数据（也就是数据包源ip 是routeros接口中的一个ip地址）；forward意思是指通过routeros转发的（比如你内部计算机访问外部网络，数据需要通过你的routeros进行转发出去）。
禁止ping routeros，我们一般需要在input链中添加规则，因为数据包是发给routeros的，数据包的目标ip是routeros 的一个接口ip地址。
（当然如果你硬是要在output里建立一条规则过滤掉icmp 信息也能做到ping不通，当你ping的数据包到达routeos时，routeos能接收这个数据包并做出回应，当routeros回应给你的包要发出去的时候会检查output的规则并过滤掉回应你的包。
）在每条链中的每条规则都有目标ip，源ip，进入的接口（in interface），非常灵活的去建立规则。
比如ROS禁止PING，禁止外网ping你routeros，只需要在in interface中选择你连外部网络的接口。
禁止内部ping的话可以选择连你内部网络的接口。
如果禁止所有的ping的话，那么接口选择all。
当然禁止ping 协议要选择icmp，action选择drop或reject。
另外要注意的就是，icmp协议并不是就指的是ping，而是ping 是使用icmp协议中的一种（我们ping 出去发送的数据包icmp协议的类型为8 代码为0，在routeros中写为icmp-options=8：0；而我们对ping做出回应icmp类型为0 代码为0），还有很多东西也属于icmp协议。
ros常见问题与使用技巧
ros常见问题与使用技巧RouterOS 功能包介绍：(修改补充中...)2007年11月22日星期四 18:51system ----------------------- 系统必要功能包，必须安装ppp ---------------------------- 点对点隧道协议；支持PPTP，PPoE和L2TP访问控制和客户端；支持PAP，CHAP，MSCHAPv1和MSCHAPv2验证协议；支持RADIUS验证和记录；MPPE加密；PPPoE 压缩；数据流控制；具备防火墙功能；支持PPPoE按需拨号。
dhcp -------------------------- DHCP服务器；DHCP客户端；DHCP接力；多DHCP网络；静态和动态DHCP租约；支持RADIUSadvanced-tools ------------- 高级工具包；ping；traceroute；bandwidth test；ping flood；telnet；SSH；packet sniffer；DDNS。
arlan --------------------------gps ----------------------------hotspot ----------------------- HotSpot 认证网关支持RADIUS验证和记录；用户可即插即用访问网络；流量控制功能；具备防火墙功能；实时信息状态显示；自定义HTML登陆页；支持iPass；支持SSL安全验证；支持广告功能。
hotspot-fix -------------------isdn --------------------------- ISDN dial-in/dial-out；PAP，CHAP，MSCHAPv1和MSCHAPv2验证协议；RADIUS验证和记录；Cisco HDLC，x75i，x75ui，x75bui 队列支持。
lcd -----------------------------支持LCD显示屏ntp ----------------------------- 网络对时协议服务器和客户端；同步GPS系统radiolan -----------------------routerboard ------------------routing ------------------------routing-test -------------------rstp-bridge-test --------------security -----------------------synchronous ----------------- V.35，V.24，E1/T1，X.21，DS3（T3）媒体类型；sync-ppp，Cisco HDLC，频中继协议；ANSI-617（ANDI or annex D）和Q933a（CCITT or annex A）频中继LMI 类型telephony ---------------------ups -----------------------------user-manager ----------------web-proxy ---------------------webproxy-test ----------------wireless ----------------------- IEEE802.11a/b/g wireless client和访问节点（AP）；Nsetreme和Nsetreme2协议；无线分布系统（WDS）；虚拟AP功能；40和104bitWEP；WPA pre-shared 加密；访问控制列表；RADIUS服务验证；漫游功能（wireless客户端）；接入点桥接功能。
ros NAT端口映射与回流
ROS NA T端口映射与回流
一：内网IP：192.168.0.100的3389端口映射到外网IP：11.22.33.44的端口1：/ip firewall nat add chain=dstnat dst-address=11.22.33.44 protocol=tcp dst-port=3389（此处为外网端口可随便填）action=dst-nat to-addresses=192.168.0.100 to-ports=3389
二：回流（用于映射后内网无法通外网IP访问服务器）：
1：方法一（适用于伪装时指定了外网接口）：
/ip firewall nat add chain=srcnat src-address=内网IP网段out-interface=内网接口action=masquerade
注：此方法适用于伪装时指定了外网接口或者指定了源IP地址：/ip firewall nat add chain=srcnat out-interface=外网接口action=masquerade
2：方法二（在伪装时不要指定外网接口）：
/ip firewall nat add chain=srcnat action=masquerade
注：这样伪装后不用再使用上面回流，此种方法伪装只要连上了ros即可上网，不安全。
ROS软路由全部命令及技巧
ROS全部命令及技巧个人资料请勿外泄ROS菜单含义guanlianinterfaces---网络接口wireless---无线网络bridge---桥接ppp-虚拟拨号ipports--端口queues-限速drivers-设备systemfiles-文件备份/恢复log--系统日志snmp-snmp管理方式users-用户radius-radius管理tools-工具new terminal-命令方式telnet--tlenet连接方式password--修改密码certificate---证书哎，盗版madk supout.rif 制作rif文件manual--说明isdn chanels--一线通方式routing--路由exit--退出sys reset__________________________________ addresses--ip地址routers-路由表pool-地址池arp-帮定ipvrrp-热备份firewall-防火墙socks-代理upnp-自动端口映射traffic flow-网络流量accounting--合计services--服务packing-ros模块neighbors--邻居ros用户dns--proxy-代理dhcp client-dhcp客户端dhcp server - dhcp服务dhcp relay-dhcp转换hospot-热点认证telephony-电话ipsec-ip隧道连接方式web proxy web代理system system system system system system---------------------------------------------identity---ros标示clock-时间resources-系统配置license-注册信息packages--安装包auto upgrade-自动升级logging--日志history--历史日志console---com控制台scripts--脚本scheduler--进程watchdog--监视狗reboot-从起shutdown-关机lcd-小液晶显示ros消息ntp chient--ros时间客户端ntp server---ros时间服务端自动更新ros时间health---ros情况ups-ups电源，可持续电源，就是电瓶。
ROS软路由详细设置_图文全解
ROS软路由设置提示：此软件为顶级软路由软件！赶快用吧！记的要《全盘ghost！不是分区ghost恢复哦！是全盘恢复！》不要怀疑软路由的性能，也不用担心所谓的耗电多少。
所谓的软路由耗电大，只不过是商家搞的噱头而已。
软路由完全不需要显示器、键盘鼠标。
甚至，可以在BIOS 里设置系统启动完即关闭硬盘。
至于主板，带集成显卡的即可。
这样的配置下来，软路由功率仅仅20-30瓦左右。
软路由具有极高的性能和广泛的应用。
可轻易实现双线策略、arp绑定、限速、封杀BT 以及网吧借线、vpn等。
尤其对有连锁网吧经营者，利用IPIP协议，不仅可实现借线目的，还可象本地操作一样远程管理其他网吧。
这些，一般硬路由根本无法与之比拟。
我以前对硬路由一直情有独钟，换上软路由后，对它的强大功能赞叹不已。
现在利用它的内置VPN技术轻易做出电信网通加速软件-南北网桥（），又给两家网吧试做了IPIP借线，在这种比较大的压力下，软路由依然运行良好。
我软路由配置：730主板，128M内存，早期的AMD800毒龙CPU，集成显卡和一个8139网卡，外加两块3C905网卡抓图状态：vpn在线拨号，IPIP二家网吧，总用户数量在500多。
ROS软路由基本设置非常简单，如果只做路由转发，以下几步数分钟即可高定：硬件准备：A.首先下载软路由的ghost硬盘版，本站已经在压缩包总提供！B.释放后，ghost至一个小硬盘（20G以下），注意，是整盘GHOST而不是分区。
C.将该硬盘挂在要做路由电脑上，注意必须接在第一个IDE并且是主硬盘接口。
插上一张网卡，这是接内网的LAN。
开机。
软件设置：1.开机，出现登陆提示。
用户:admin 密码：空2.输入setup再按两次A3.在ether1后面输入你的内网IP，如：192.168.0.254/24 （这里/24是24位掩码与255.255.255.0一样）4.输入完ip后，按两次x退出，现在可以可以ping通192.168.0.254了，也可用winbox在图形界面下访问路由了。
路由器回流（端口映射特例）[指南]
![路由器回流（端口映射特例）[指南]](https://img.taocdn.com/s3/m/06585748302b3169a45177232f60ddccda38e6f7.png)
路由器回流简介(端口映射特例）回流是什么？最简单的一个实例：网吧内网一台主机192.168.0.2建了个WEB服务站点端口80，然后在网关(其内网地址是192.168.0.1、公网地址为218.4.218.4)上映射80端口到192.168.0.2的80端口，这样INTERNET上就能以http://218.4.218.4:80的地址访问到192.168.0.2的WEB站点了。
然后出现了个问题，在同网吧的另一台电脑192.168.0.3上，键入http://218.4.218.4:80，却无法访问该WEB站点。
就这个现象，我们就称之为“不支持回流”了，这里指的是网关上的映射方式不支持回流，所以说“回流”一说，是针对映射方式而言的。
现在我们来看常规情况下，是为什么会发生这种情况的我以前对iptables特别感兴趣的时候，曾对这个问题非常迷惑不解，直到去年为了考试，学习网络基础的时候才搞明白这个事情过程如下：192.168.0.3要请求访问218.4.218.4的80端口，根据它掌握的路由表，它本身是不知道电脑218.4.218.4在哪里的，所以把将这个数据包发送给它的默认路由，即电脑192.168.0.1。
注意：这个数据包的源地址是192.168.0.3、源端口假设是1025、目标地址是218.4.218.4、目标端口是80、SYN标志位为1、这是建立TCP连接的第一次握手。
如果“把目标地址为218.4.218.4的数据包发给了192.168.0.1”你听起来觉得有点矛盾，那么我解释一下：其实这个数据包的目标IP地址是218.4.218.4，目标MAC地址却是192.168.0.1的电脑192.168.0.1接收到了这份数据包(因为它的身份是路由器，所以允许接收和转发目标地址不是自已、MAC地址却是自已接口 MAC地址的数据包)，它分析这个数据包的目标地址，发现这个数据包是需要中转到电脑192.168.0.2:80去的，于是它把这个数据包转发给了电脑192.168.0.2:80。
ROS全部命令及技巧
在输入脚本内容时不要把两边的（）带上，那个是为了区分非脚本字符。
RO映射
ip-firewall-Destination NAT
General-In. Interface all(如果你是拨号的就选择pppoe的、固定IP选择all即可）
Dst. Address:外网IP/32
input:将其屏蔽或者删掉
关于mac地址扫描
/tool mac-scan all
VPN与ppp建立用户
在interfaces--settings-pptp server
Enabled选择 mtu1500 mru：1500
keepalive Timeout：disabledN# D# C
RO端口的屏蔽
ip-firewall-Filer Rules里面选择
forward的意思代表包的转发
firewall rule-General
Dst.Address:要屏蔽的端口
Protocol:tcp
Action:drop(丢弃）
ros限速
2 to 254是2~254
192.168.0. . $aaa是IP
上两句加起来是192.168.0.2~192.168.0.254
connection-limit=50是线程数这里为50
max-limit=2000000/2000000是上行／下行
使用：
WinBox-System-Scripts-＋
Tracking:TCP Syn Sent Timeout:50
TCP syn received timeout:30
限线程脚本：
:for aaa from 2 to 254 do={/ip firewall filter add chain=forward src-address=(192.168.0. . $aaa) protocol=tcp connection-limit=50,32 action=drop}
NetMayRouterOS中文教程系列ROS常用设置2
NetMayRouterOS中文教程系列ROS常用设置2RO 防synip-firewall-connectionsTracking:TCP Syn Sent Timeout:50 TCP syn received timeout:30RO 端口的屏蔽ip-firewall-Filer Rules 里面选择forward 的意思代表包的转发firewall rule-GeneralDst.Address:要屏蔽的端口 Protocol:tcp Action:drop(丢弃）ros 限速Queues-Simple Queues name:可以任意Dst. Address:内网IP/32Limit At (tx/rx) :最小传输Max Limit (tx/rx) :最大传输RO 映射ip-firewall-Destination NATGeneral-In. Interface all(如果你是拨号的就选择pppoe 的、固定IP 选择all 即可） Dst. Address:外网IP/32 Dst. Port:要映射的端口Protocol:tcp(如果映射反恐的就用udp)Action action:natTO Dst.Addresses:你的内网IP TO Dst.Ports:要映射的端口ip 伪装ip-firewall-Source NATAction Action:masquerade(IP 伪装）回流（因为假如说在本网吧做SF 需要回流）ip-firewall-Source NAT在general-Src.address：192.168.0.0/24这里特殊说明下内网ip 段 24代表定值不可修改RO 的IP:mac 绑定绑定:foreach i in=[/ip arp find dynamic=yes ] do=[/ip arp add copy-from=$i]解除绑定:foreach i in=[/ip arp find ] do=[/ip arpremove $i]完了在interfaces 里面选择内网在选择reply-only RO 设置的备份（两总方法）w ww .N ET M A Y.co mfiles-file listbackup 即可（可以到你的ftp 里面找）背份资料命令行：system 回车backup 回车save name=设置文件名回车资料恢复命令system 回车backup 回车load name=文件名回车RO 禁ping/ ip firewall rule input add protocol=icmp action=drop comment="Drop excess pings" disabled=no 解pingip-firewall-filter rules input:将其屏蔽或者删掉关于mac 地址扫描/tool mac-scan allVPN 与ppp 建立用户在interfaces--settings-pptp server Enabled 选择mtu1500 mru：1500keepalive Timeout：disabled default Profiles：defaultAuthentication：下面打上四个对号（这也代表服务器启动）ip-pool-ip poolpptp=192.168.0.150-192.168.0.160(此IP 段为内网中没有在用的段）pptp1=192.168.0.170-192.168.0.180(此IP 段为内网中没有在用的段）自己总结出来的，有人问，为什么要写2个ip 段一个不也行吗。
ROS防火墙规则
ROS防火墙规则Routeros防火墙功能非常灵活。
routeros防火墙属于包过滤防火墙，你可以定义一系列的规则过滤掉发往routeros、从routeros发出、通过routeros转发的数据包。
在routeros防火墙中定义了三个防火墙（过滤）链（即input、forward、output），你可以在这三个链当中定义你自己的规则。
input意思是指发往routeros自己的数据（也就是目的ip是routeros接口中的一个ip地址）；output意思是指从routeros发出去的数据（也就是数据包源ip是routeros接口中的一个ip地址）；forward意思是指通过routeros转发的（比如你内部计算机访问外部网络，数据需要通过你的routeros进行转发出去）。
禁止ping routeros，我们一般需要在input链中添加规则，因为数据包是发给routeros 的，数据包的目标ip是routeros的一个接口ip地址。
（当然如果你硬是要在output里建立一条规则过滤掉icmp信息也能做到ping不通，当你ping的数据包到达routeos时，routeos能接收这个数据包并做出回应，当routeros回应给你的包要发出去的时候会检查output的规则并过滤掉回应你的包。
）在每条链中的每条规则都有目标ip，源ip，进入的接口（in interface），非常灵活的去建立规则。
比如ROS禁止PING，禁止外网ping你routeros，只需要在in interface中选择你连外部网络的接口。
禁止内部ping的话可以选择连你内部网络的接口。
如果禁止所有的ping 的话，那么接口选择all。
当然禁止ping 协议要选择icmp ，action选择drop或reject。
另外要注意的就是，icmp协议并不是就指的是ping，而是ping是使用icmp协议中的一种（我们ping 出去发送的数据包icmp协议的类型为8 代码为0，在routeros中写为icmp-options=8：0；而我们对ping做出回应icmp类型为0 代码为0），还有很多东西也属于icmp协议。
ROS备份与恢复
ROS备份与恢复你想想辛辛苦苦设置好的防火墙规则，网卡设置，各个路由，端口映射万一弄错了或重新安装时，是不是都要重新自已设置？这个巨麻烦但ROUETOS却为你考虑得很周到，可以手工备份你的设置文件，需要时只要一个命令即可恢复！大家可以用WINBOX登陆，注意用ADMIN帐号，在左边是不是有个FILES？点开，再点对话框上面的BACKUP，这样就把当前的设置保存一个文件里面了，再用IE登陆你的路由，用ftp://网管帐号：密码@路由IP:端口，登陆到你的路由后就会到你保存的文件了！用IE直接下载吧！当你重新安装时，只要把内网弄通，用IE再登陆你的路由，把这个设置文件传上去，在WINBOX左边下面有个TE开头的英文，这是终端模拟，点开后就像在路由上操作一样，用以下命令恢复你以前的设置：system回车backup回车load name=你保存的设置文件名回车提示重启就一下子恢复到你以前设置了！！是不是方便实用啊？大家可能会说用WINBOX备份不爽，那我们也可以用终端备份呀！在WINBOX左边下面有个TE开头的英文，这是终端模拟，点开后就像在路由上操作一样，用以下命令备份你以前的设置：system回车backup回车save name=你保存的设置文件名回车建议文件名用日期表示可以很直观。
这样就按你的文件名保存了。
用LOAD NAME命令就是恢复了。
]2.恢复路由本身默认值。
如果设错了规则或者地址，造成win不能进入管理界面，可以这样复原：使用 admin 登陆system 回车reset 选择 y将删除所有改动，恢复新装的状态这个是恢复到出厂设置，很适合刚开始设置ROUTEOS时用用！3。
备份ROUTEOS可以用GHOST8。
0备份，注意是要用全盘备份，DISK TO IMG 才行。
4。
简单化输入在ROUTEOS是不是感觉输入命令很麻烦？其实ROUTEOS可以只要输入前两位字母就可以了。
比如上面的命令：systembackup这是进入目录的，可以简化成：syba即可！很适合一些懒人。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ros端口映射和回流详解
1、什么是端口映射
这里说的端口映射是路由器上的端口映射。
一般情况下，网络中路由器都有防火墙功能，互联网用户只能访问到你的路由器WAN口(接ADSL线口或是固定的外网IP地址)，而访问不了局域内部服务器或工作站。
要想让外面用户访问到局域网的电脑，那么就要在路由器上做一个转发设置，也就是端口映射设置，让用户的请求到了路由器后，能够转发到局域内部的机器上，例如游戏服务器或WEB服务器。
这就是端口映射。
在局域网中建建立一个CS服务器，IP地址为:192.168.0.235,端口为27015，此时在局域内部，如果要在外网上访问服务器，就要把192.168.0.235这台机器的27015端口通过路由器映射到外网。
除了CS服务外，其它的服务例如FTP、远程桌面等服务都可以将不同的端口映射出去，以便能在外网通过路由器来访问内网机器。
一般的路由器都带有端口映射功能，以下对目前使较多的ROS软路由的端口映射作一说明，并提出解决外网IP显示及回流设置。
2、ROS 2.96 的端口映射的设置
进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面。
点击左上角红色的“+”号，添加一条dstnat规则，其中dst.address 填写你要映射的外网IP，本例为218.87.96.xxx(此处请填入您的外网IP),然后选择protocol协议为6，即TCP协议，设置Dst. port（目标端口）为80。
设置完成后如图1所示。
单击“Action”选项卡，在Action框中，选择“dst-nat” ，在“To.Address”框中填写内网提供服务的IP地址，本例为192.168.1.3,在“To.Port”填写内网提供服务的IP端口，这样基本映射就完成了，如图2所示，此时可以在外网中输入你的外网IP，即可看到内网192.168.1.3WEB服务器
上的网站了。
以同样的方法可以设置FTP和远程桌面。
注意这些服务的端口都是不一样的，例如你有两台内网WEB服务器，80端口已经用掉了，第二台便来能映射到80上了，但可以映射到其它没有使用过的端口上，例如81端口。
例如可以将内网192.168.1.4:80映射到外网218.87.96.xxx:81端口上。
这样就能在同一个外网IP访问两台内网WEB服务器了。
３、IP显示和回流问题解决
经过第二步的基本端口映射设置后，外部可以访问内网了，但存在一些不完善的地方，例如所有的外网访客的地址都是路由器的内网网关，本例为192.168.1.1，如图3所示。
这样就无法统计访客的来源，还有许多的不便，例如WEB中的论坛就无法屏蔽一些会员的IP了，因为大家都是192.168.1.1。
原因是这样造成的：为了使整个内网的所有机子共享上网，在设置ROS时，我们都要设置一条srcnat规则，Action设置为“Amasquerade”，Amasquerade是snat的一个特例,主要用在无固定ip网关的情况下,比如adsl拨号等,masquerade比nat效率低的原因是nat直接指出需要伪装的源地址,而masquerade需要伪装的源地址必须到默网关中寻找,masquerade永远以默认网关地址为ip伪装的源地址,所以首先效率慢了点,其次只能用在外网ip只有一个的情况,如果有多个wan接口就不能用masquerade，而只能用nat,因为nat可以手工指定多个需要伪装的源ip地址，而masquerade却只能找到一个地址,就是默认网关的地址。
由于NAT方设置较Amasquerade 复杂，加上现在大量的ROS教程都是以Amasquerade方式共享上网，所以目前在用的ROS大多数采用Amasquerade设置共享。
通过上面分析，我们可以看出为什么在端口映射后，外网访问的IP都成了内网网关，解决的方法有两种，一是改用nat方式，这种方式有局限性，只能用于固定IP的外网，若是ADSL则不能用；另一个方法是通过调整masquerade的设置来完成显示外网IP,具体操作如下，进入winbox,点击IP→ Firewall→Nat打开防火墙设置界面,双击原来建立的srcnat规则Amasquerade（用于共享上网），在“General”选项卡的“Out. Interface”选中“LAN”即内网网卡，单击将前面的小框，在框中出现“！”，单击“OK”完成此设置。
这样设置完成后，我们可以发现外网访客可以正常访问，而且IP显示也是正确的，但同时导致别一个问题，就是内网用户不能用外部ip访问映射的内部服务器,要按下面方法解决：再增加一条对内网的规则，Action设置为“Amasquerade”，在“General”选项卡中，设置Chain为“srcnat”,Src. Address为“192.168.0.0/21”由于本例中的内网有192.168.0、192.168.1、192.168.7等几个C类网段，所以在此将子网设置为21,也就是255.255.248.0，设置好后如图5所示。
一般的情况，只有一个网段时，例如192.168.1,可以设置子网掩码为24，即255.255.255.0,此处可以填写：192.168.1.0/24,可以根据自己内网情况作相对应的修改。
到此，内外网都能正常访问了且外网访客IP是正确的，此时内网用外网IP访问WEB时，显示的IP是内网网关地址，用这种方法可以实现内外网用户都用网关外部ip访问映射的内部服务,并解决了外部用户显示的ip不正确问题,当然这种方法内网用户显示的ip还是不正确的,要解决内网显示ip问题,可以在routeros中设dns服务器,用域名来访问,内网访问内网ip,外网访问外网ip就能完美解决。
我想我们主要是要知道外网的IP，内网的IP并不重要。
所以至此设置就可以算是完毕了。
下面说一回流的问题，其实所回流，就是将内网源地址为网段的所有机器对所有目标地址的需求全都进行源地址转换为外网IP，然后转发出去。
所有从外网回来的数据通过外网IP再回传到内网的机器，这样就保证了内网上网正常,但这样的效率下降到原来的50%,显然是不合算的。
对于Amasquerade来共享上网时，外网访问的IP显示还是内网网关，所以回流是不可取的。
虽不可取，我们也把方法写出来，供大家参考，添加一条srcnat规则，src.address写上内网的网络地址，请注意，不是主机地址,指提是网段，若内网IP是192.168.0.X网段并且子网掩码是255.255.255.0,那么就填写192.168.0.0/24,dst.address填写的是内网提供服务的主机IP protocol 协议和port 端口请参看本文前面的内容，Ａction选项卡还是选择src-nat to.address则填写映射的外网IP,port 端口。
经过以上设置算是完全搞好了。