中国普天CP GW2100商务领航定制网关配置与维护手册v1.1-20110301

中国普天 版权所有
10
安全隔离
定制网关可以安全有效的隔离数据的流通
2011-8-13
中国普天 版权所有
11
访问限制
定制网关可以轻松实现网络访问的限制， 可以禁止某些用户访问网络，可以限制 访问网络的用户访问的内容。
2011-8-13
中国普天 版权所有
12
强制门户功能
定制网关提供定时的强制访问门户网站功能。
2011-8-13
中国普天 版权所有
13
QoS保证
定制网关提供基本的QoS保证，包括带宽限制， DSCP、VLAN标记，PQ队列优先级，主机限 速和动态带宽调整等。
2011-8-13
中国普天 版权所有
14
搭建外部服务器功能
定制网关提供搭建外部访问服务器的功能
2011-8-13
中国普天 版权所有
15
中国普天 版权所有
43
2011-8-13
中国普天 版权所有
44
（3）添加备份路由并保存配置
注：3G添加的为静态路由，其他两个为策略路由 配置完成后，保存配置
2011-8-13 中国普天 版权所有 45
产品功能配置
设备升级 基本上网功能 链路备份和负载分担 防ARP攻击功能 ARP攻击功能 虚拟局域网（vlan） 虚拟局域网（vlan） 安全隔离 访问限制 强制门户功能 QoS保证 QoS保证 搭建外部服务器功能 数据专线（VPN） 数据专线（VPN）的应用 管理功能
2011-8-13
中国普天 版权所有
36
DNS和NAT配置完成后，进行流量触发，界面显示连接成功后，即表示 3G拨号成功。
2011-8-13
中国普天 版权所有
37
产品功能配置
设备升级 基本上网功能 链路备份和负载分担 防ARP攻击功能 ARP攻击功能 虚拟局域网（vlan） 虚拟局域网（vlan） 安全隔离 访问限制 强制门户功能 QoS保证 QoS保证 搭建外部服务器功能 数据专线（VPN） 数据专线（VPN）的应用 管理功能
2011-8-13
中国普天 版权所有
27
产品功能配置
设备升级 基本上网功能 链路备份和负载分担 防ARP攻击功能 ARP攻击功能 虚拟局域网（vlan） 虚拟局域网（vlan） 安全隔离 访问限制 强制门户功能 QoS保证 QoS保证 搭建外部服务器功能 数据专线（VPN） 数据专线（VPN）的应用 管理功能
host# copy tftp 192.168.1.2 OS.V01R01B01D52.bin image \\上传版本 Begin to store image file to disk...... host# host# boot file OS.V01R01B01D52.bin main \\设置主启动版本 host# boot file OS.V01R01B01D51.bin backup \\设置备启动版本 host#reboot \\重启系统
ARP攻击在局域网内很容易发生，有效地针对攻击方式做出应对措施十分 重要，ARP攻击很容易导致网络瘫痪，所以，要十分注意。
2011-8-13
中国普天 版权所有
52
产品功能配置
设备升级 基本上网功能 链路备份和负载分担 防ARP攻击功能 ARP攻击功能 虚拟局域网（vlan） 虚拟局域网（vlan） 安全隔离 访问限制 强制门户功能 QoS保证 QoS保证 搭建外部服务器功能 数据专线（VPN） 数据专线（VPN）的应用 管理功能
2011-8-13 中国普天 版权所有 22
设备升级
Web方式 Web方式
产品默认LAN口同属于VLAN1，VLAN1开启DHCP，分配 192.168.1.0网段地址。默认配置下，如图连接，打开浏览器，输入 192.168.1.1，进入管理界面。
2011-8-13
中国普天 版权所有
23
在“系统管理”中“维护标签下”，选择系统升级，选择升级版本方式并 点击“浏览”选择升级版本，然后“上传”，升级过程中不要进行任何操 作，指导提示固件升级成功为止。
数据专线（VPN）的应用
定制网关提供各种VPN的应用
2011-8-13
中国普天 版权所有
16
管理功能
电信运营商BBMS管理平台为定制网关提供强大的管理，定制网关SNMP、 SYSLOG、TR69的开发，为设备良好的运行和维护提供了强有力的支撑与保证。
2011-8-13
中国普天 版权所有
17
产品介绍
2011-8-13 中国普天 版权所有 49
（2）防欺骗
一般欺骗的种类有欺骗网关ARP、欺骗主机ARP，针对不同的ARP欺骗，可 以采取同样的方式进行处理，防欺骗的方法有：关闭ARP学习、静态绑定、 设置端口保护、自定义发包。其中关闭ARP学习和静态绑定是最有效的防欺 骗方法，下面介绍各种方法的配置：
2011-8-13
中国普天 版权所有
30
快速向导（1）
2011-8-13
中国普天 版权所有
31
快速向导（2）
2011-8-13
中国普天 版权所有
32
快速向导（3）
2011-8-13
中国普天 版权所有
33
快速向导（4）
快速向导配置完成后，用户即可以访问网络。
2011-8-13
中国普天 版权所有
34
3G上网
定制网关现在支持多种CDMA3G上网卡，可以满足通过3G接入Internet的需 要。 3G上网配置方法： 1. 插入3G卡，查看界面状态，拨号成功后进行下一步 2. 配置DNS和NAT
2011-8-13
中国普天 版权所有
35
查看3G卡及UIM在位信息，查看连接状态为休眠。设备出厂配置3G卡位按 需拨号模式，意为有流量是，3G进行连接，无流量时自动休眠。
2011-8-13 中国普天 版权所有 28
基本上网功能
拓扑描述为基本上网方式，可采取 双WAN和3G作为上行，下行接入 通过有线和无线两种方式。
双WAN上行
3G ChinaNet-abcd VLAN1 VLAN2 VLAN3 VLAN4
2011-8-13
中国普天 版权所有
29
对于有线接入方式，设备提供基本向导功能，可以配置上网环境。基本向导 提供如下配置功能： 1. WAN口配置，可以配置WAN口的接入方式，DNS配置，管理访问方式 等。 2. VLAN1配置，系统默认VLAN1接口地址为192.168.1.1，建议不要修改， 否则会导致连接中断，需重新登录；可修改DHCP配置。 3. 无线WIFI配置，可修改SSID、密钥。出厂设备已随机生成SSID和密钥， 在出厂用户手册黏贴标签标识。
2011-8-13 中国普天 版权所有 38
链路备份和负载分担
上行接入有三条链路，双WAN和3G，双 WAN链路做负载分担，3G为WAN链路 做备份。在两条上行链路的情况下，可 以在负载分担的基础上做相互的备份。
2011-8-13
中国普天 版权所有
39
拓扑描述
网关通过eth0、eth1、3G三条链路接入Internet，eth0通过PPPoE拨号方 式。要求VLAN1、VLAN2下用户通过eth0访问网络，VLAN3、VLAN4下用 户通过eth1访问网络，3G作为备份链路使用。 VLAN1：192.168.1.0/24 VLAN2：192.168.2.0/24 VLAN3：192.168.3.0/24 VLAN4：192.168.4.0/24
2011-8-13 中国普天 版权所有 46
防ARP攻击功能
通过源抑制的方式防治ARP攻击。
大量ARP报 文被广播
设备处理和 转发ARP报 文，导致 CPU和带宽 资源耗尽
ARP攻击 报文
攻击者
源抑制之前
2011-8-13
中国普天 版权所有
47
通过静态绑定和广播免费报文方式防治ARP欺骗。
2011-8-13
中国普天 版权所有
2
产品介绍
面板介绍 功能介绍 解决方案简述
2011-8-13
中国普天 版权所有
3
面板介绍
2011-8-13
中国普天 版权所有
4
产品介绍
面板介绍 功能介绍 解决方案简述
2011-8-13
中国普天 版权所有
5
功能简介
•宽带上网功能 宽带上网功能 •链路备份和负载分担 链路备份和负载分担 •防ARP攻击功能 防ARP攻击功能 •虚拟局域网（vlan） 虚拟局域网（vlan） 虚拟局域网 •安全隔离 安全隔离 •访问限制 访问限制 •强制门户功能 强制门户功能 •QoS保证 QoS保证 QoS •搭建外部服务器功能 搭建外部服务器功能 •数据专线（VPN）的应用 数据专线（VPN） 数据专线 •管理功能 管理功能
封面
配置与维护手册 V1.1
GW2100商务领航 商务领航2 中国普天 CP GW2100商务领航2-1型定制网关
2011-8-13 2011-8-13
中国普天 版权所有
1 1
目录
商务领航2 商务领航2-1产品简介 商务领航2 商务领航2-1产品功能配置 商务领航2 商务领航2-1产品故障维护
2011-8-13
中国普天 版权所有
8
防ARP攻击功能
包检测机制时刻监视局域网内ARP发包数量，当网内出现攻击源时，网关 通过源抑制和广播免费报文方式主动进行防攻击措施。
2011-8-13
中国普天 版权所有
9
虚拟局域网（vlan）
定制网关8LAN口的设计，提供创建多个虚拟局域网（VLAN）的功能
2011-8-13
2011-8-13
中国普天 版权所有
6
宽带上网功能
Navigator 2-1 主要面向带宽需求为4M 以上的中等规模的中小企业（10～50 台PC），提供宽带上网、无线组网
2011-8-13
中国普天 版权所有
7
链路备份和负载分担
双链路多子接口再加上3G的上行 接入，提供链路备份和负载分担
2011-8-13
中国普天 版权所有
48
（1）防flood攻击
通过源抑制方式，防止ARP的flood攻击，系统默认未开启，手动开启后 系统默认阈值为每秒钟300个。开启和修改方法如下：
源抑制机制为，当某个端口1秒钟内接收到来自同一个源的ARP报文超过阈值 时，记录并阻断该源，阻断方式为只阻断该源ARP报文，阻断时间为所设置 的主机抑制时间，默认为60秒。
2011-8-13
中国普天 版权所有
40
（1）设置基本网络环境
2011-8-13
中国普天 版权所有
41
有线接入方式，规则。
2011-8-13
中国普天 版权所有
42
（2）设置分担路由
采用策略路由进行负载分担，需要进行策略路由添加。
2011-8-13
关闭ARP学习和开启主动保护，可以有效地防止欺骗，开启主动保护， 需要进行主动保护列表设置，如下：
2011-8-13 中国普天 版权所有 50
进行手动绑定ip-mac也可以有效防止欺骗，设置方式如下：
2011-8-13
中国普天 版权所有
51
另外，进行有目的的自定义ARP广播，也可以一定程度上起到防欺骗的 作用，如下：
2011-8-13
中国普天 版权所有
24
命令行方式
如图拓扑连接。 命令行控制终端可以通过两种方式，console和telnet。设备出厂配置 没有开启vlan的telnet，所以，如果使用telnet进行终端控制，需要首 先开启vlan的telnet功能。开启方式如下：
2011-8-13
中国普天 版权所有
2011-8-13
中国普天 版权所有
19
系统方案
2011-8-13
中国普天 版权所有
20
目录
商务领航2 商务领航2-1产品简介 商务领航2 商务领航2-1产品功能配置 商务领航2 商务领航2-1产品故障维护
2011-8-13
中国普天 版权所有
21
产品功能配置
设备升级 基本上网功能 链路备份和负载分担 防ARP攻击功能 ARP攻击功能 虚拟局域网（vlan） 虚拟局域网（vlan） 安全隔离 访问限制 强制门户功能 QoS保证 QoS保证 搭建外部服务器功能 数据专线（VPN） 数据专线（VPN）的应用 管理功能
25
在“基础配置”中选择“接口配置”，点击“VLAN接口配置”，编辑vlan1， 如下，勾选telnet，“提交”即可。
2011-8-13
中国普天 版权所有
26
默认配置下，定制网关vlan地址为192.168.1.1，计算机自动获取或配置 192.168.1.X地址，开启tftp服务器，设置好版本文件目录，在终端执行 命令如下：
面板介绍 功能介绍 解决方案简述
2011-8-13
中国普天 版权所有
18
解决方案简述
定制网关在普通网关的基础上，拓展了应用，完善了维护，提 高了性能，是一款可以提供电信级通信保证的设备，提供服务 主要适用在中小企业网络。随着信息时代业务多样化，高科技 高效率的办公解决方案已是所有企业发展的必要条件。定制网 关就是在这样的背景下产生的，多功能、高性能、高稳定性和 完善的日常维护，都是定制网关为客户提供的优质的解决方案。