4wan口实现宽带叠加负载均衡宽带控制的路由器
海蜘蛛 软路由不错看看吧
详细介绍:
优良的性能
海蜘蛛路由基于 Linux 2.6 稳定内核开发，采用嵌入式架构，模块化设计，体积精减、运行高效，具有很高的可靠性、安全性及稳定性，同时具备良好的可扩展性和硬件兼容性。
支持多线路负载均衡
支持最多8个WAN口接入，可以实现ADSL、光纤等方式的自由组合。具备实时备份功能，能实现多线路带宽负载均衡。
支持电信与网通双线策略路由
支持电信、网通双线策略路由，内置电信和网通路由表，可以针对电信或网通进行策略路由，实现电信走电信，网通走网通，有效地解决电信网通互联瓶颈问题。
支持VPN借线功能
单线路由器可通过 PPTP VPN 或 IPIP/GRE 隧道方式拨入另外一台拥有双线路的路由器上，使访问电信或网通走虚拟线路，如同拥有真实的双线路一样，通过借线可以节省高额的带宽接入费用。
专业防火墙
提供常见的内/外网攻击防护，能侦测及阻挡IP欺骗、源路由攻击、DoS等网络攻击，能有效的阻止端口扫描、抵御 TCP-SYN Flood、UDP Flood、ICMP Flood、IP 碎片 Flood 攻击等。
动态防火墙功能，可以设定受到攻击时，自动拦截攻击源、记入防火墙日志、或鸣笛报警。可针对IP地址、端口自定义ACL规则；提供Web防火墙功能，可对指定网址或URL关键字进行过滤。MAC地址和IP绑定功能，ARP攻击监测功能，发现攻击自动纠正ARP信息、声音报警。
灵活多样的端口映射功能，支持静态映射、UPNP自动映射、DMZ主机，支持端口回流(SNAT)。
QoS带宽管理控制
支持上传／下载分别限速、支持共享限速和单机限速、支持规则优先级、剩余带宽抢占优先级。 弹性、灵活、智能的带宽管理和分配方式，内置 Qos 规则，保证小包优先快速转发。可针对源IP、源端口、目的IP、目的端口设定限速规则，满足各种限速需求。
可通过 Web、SSH 客户端查看路由的实时流量状态（单机的上传、下载速率）、各网卡的实时流出流入或总流量
PPPoE服务器功能
支持客户机通过 PPPoE 拨号方式接入 Internet。可强制所有或部分客户使用 PPPoE 方式上网；可针对每个 PPPoE 拨号限制上传、下载带宽，并可以通过 Web 方式查看拨号连接状态；提供断开指定拨号连接功能（强制踢用户下线）。
支持 PPPoE RADIUS 认证，可绑定客户机 MAC 地址，及限制同一帐户同时拨号人数，并可以为指定用户分配固定IP地址。
易于实施与维护
系统采用全中文配置，同时每项配置均有帮助提示，使得操作简单易上手。系统具有多重自我保护功能，当核心进程（比如Web配置程序）意外终止时，系统会自动再次启动此程序；当内核出错或系统负载过重（接近死机状态）时，路由器会自动重新启动进行恢复。
高效IO设计/冗余备份
系统启动时直接载入内存运行，执行速度更快，意外断电不会伤害到硬盘。在安装或升级时，系统会自动建立备份镜像文件及配置信息，当主镜像文件或配置信息载入出错时，系统会自动加载备份文件，提供冗余
请问路由器防火墙该如何设置?
如果你是个人电脑，里面没什么重要的私人资料，只开启防病毒设置
就可以了，如果你的电脑里面有很重要的资料，建议全部开启。
其实路由器是带硬件防火墙的，不怕黑客攻击的，不需要设置。
PS:瑞星防火墙就算了，要用防火墙推荐天网和趋势科技的。
其实对个人而言开个防火墙，装个杀毒就可以了，没必要弄的你们复杂。被黑的可能其实是很小的。
在ROS2.86里如何防止外网UDP攻击？
用路由器实现端口和IP进行限制。或者防护墙进行过滤首先你要知道对方的IP地址（对你实行攻击的IP,和攻击的端口） 然后才进行过滤
高分求解。懂routeros的进来！遭遇DDOS！
DOS（Denial of Service）攻击是一种很简单但又很有效的进攻方式，能够利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。DDOS(Distributed Denial of Service)是一种基于DOS的特殊形式的拒绝服务攻击，攻击者通过事先控制大批傀儡机，并控制这些设备同时发起对目标的DOS攻击，具有较大的破坏性。
常见的DOS/DDOS攻击可以分为两大类：一类是针对系统漏洞的的攻击如Ping of Death、TearDrop等，例如泪滴（TearDrop）攻击利用在 TCP/IP协议栈实现中信任IP碎片中的包的标题头所包含的信息来实现攻击，IP 分段含有指示该分段所包含的是原包的哪一段信息，某些 TCP/IP协议栈（例如NT 在service pack 4 以前）在收到含有重叠偏移的伪造分段时将崩溃。另一类是带宽占用型攻击比较典型的如UDP flood 、SYN flood、ICMP flood等，SYN Flood具有典型意义，利用TCP协议建连的特点完成攻击。通常一次TCP连接的建立包括3个步骤，客户端发送SYN包给服务器端，服务器分配一定的资源给这里连接并返回 SYN/ACK包，并等待连接建立的最后的ACK包，最后客户端发送ACK报文，这样两者之间的连接建立起来，并可以通过连接传送资料了。而SYN Flood攻击的过程就是疯狂发送SYN报文，而不返回ACK报文，服务器占用过多资源，而导致系统资源占用过多，没有能力响应别的操作，或者不能响应正常的网络请求。
从现在和未来看，防火墙都是抵御DOS/DDOS攻击的重要组成部分，这是由防火墙在网络拓扑的位置和扮演的角色决定的，下面以港湾网络有限公司基于NP架构开发的SmartHammer系列防火墙说明其在各种网络环境中对DOS/DDOS攻击的有效防范。
1、基于状态的资源控制，保护防火墙资源
港湾网络SmartHammer防火墙支持IP Inspect功能，防火墙会对进入防火墙的资料做严格的检查，各种针对系统漏洞的攻击包如Ping of Death、TearDrop等，会自动被系统过滤掉，从而保护了网络免受来自于外部的漏洞攻击。对防火墙产品来说，资源是十分宝贵的，当受到外来的DDOS攻击时，系统内部的资源全都被攻击流所占用，此时正常的资料报文肯定会受到影响。SmartHammer基于状态的资源控制会自动监视网络内所有的连接状态，当有连接长时间未得到应答就会处于半连接的状态，浪费系统资源，当系统内的半连接超过正常的范围时，就有可能是判断遭受到了攻击。SmartHammer防火墙基于状态的资源控制能有效控制此类情况。
控制连接、与半连的超时时间；必要时，可以缩短半连接的超时时间，加速半连接的老化；
限制系统各个协议的最大连接值，保证协议的连接总数不超过系统限制，在达到连接上限后删除新建的连接；
限制系统符合条件源/目的主机连接数量；
针对源或目的IP地址做流限制，Inspect可以限制每个IP地址的的资源，用户在资源控制的范围内时，使用并不会受到任何影响，但当用户感染蠕虫病毒或发送攻击报文等情况时，针对流的资源控制可以限制每个IP地址发送的连接数目，超过限制的连接将被丢弃，这种做法可以有效抑制病毒产生攻击的效果，避免其它正常使用的用户受到影响。
单位时间内如果穿过防火墙的“同类”数据流超过门限值后，可以设定对该种类的数据流进行阻断，对于防止IP、ICMP、UDP等非连接的flood攻击具有很好的防御效果。
2、智能TCP代理有效防范SYN Flood
SYN Flood是DDOS攻击中危害性最强，也是最难防范的一种。这种攻击利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）。SmartHammer系列防火墙能够利用智能TCP代理技术，判断连接合法性，保护网络资源。如图
防火墙工作时，并不会立即开启TCP代理（以免影响速度），只有当网络中的TCP半连接达到系统设置的TCP代理启动警戒线时，正常TCP Intercept会自动启动，并且当系统的TCP半连接超过系统TCP Intercept高警戒线时，系统进入入侵模式，此时新连接会覆盖旧的TCP连接；此后，系统全连接数增多，半连接数减小，当半连接数降到入侵模式低警戒线时，系统推出入侵模式。如果此时攻击停止，系统半连接数量逐渐降到TCP代理启动警戒线以下，智能TCP代理模块停止工作。通过智能TCP代理可以有效防止SYN Flood攻击，保证网络资源安全。
3、利用NETFLOW对DOS攻击和病毒监测
网络监控在抵御DDOS攻击中有重要的意义。SmartHammer防火墙支持NetFlow功能，它将网络交换中的资料包识别为流的方式加以记录，并封装为UDP资料包发送到分析器上，这样就为网络管理、流量分析和监控、入侵检测等提供了丰富的资料来源。可以在不影响转发性能的同时记录、发送NetFlow信息，并能够利用港湾网络安全管理平台对接收到的资料进行分析、处理。
利用NetFlow监视网络流量。防火墙可以有效的抵御DDOS攻击，但当攻击流数量超过一定程度，已经完全占据了带宽时，虽然防火墙已经通过安全策略把攻击数据包丢弃，但由于攻击数据包已经占据了所有的网络带宽，正常的用户访问依然无法完成。此时网络的流量是很大的，SmartHammer防火墙可以利用内置的NetFlow统计分析功能，查找攻击流的数据源，并上报上级ISP，对数据流分流或导入黑洞路由。通过在防火墙相关接口下开启NetFlow采集功能，并设置NETFLOW输出服务器地址，这样就可以利用港湾安全管理平台对接收的资料进行分析处理。我们可以用此方法统计出每天流量的TOP TEN或者业务的TOP TEN等，以此做为标准，当发现网络流量异常的时候，就可以利用NetFlow有效的查找、定位DDOS攻击的来源。
利用NetFlow监视蠕虫病毒。防止蠕虫病毒的攻击，重要的是防止蠕虫病毒的扩散，只有尽早发现，才可以迅速采取措施有效阻止病毒。各种蠕虫病毒在感染了系统后，为了传播自身，会主动向外发送特定的数据包并扫描相关端口。利用这个特性，港湾网络在安全管理平台上建立相关的蠕虫病毒查询模板，定期查询，当发现了匹配的资料时，可以分析该地址是否已经感染病毒，然后采取相应的措施。
值得指出的是，防火墙在网络拓扑中的位置对抵御攻击也有很大影响，通常盒式防火墙被设计放置在网络的出口，这种情况下，虽然防火墙能够抵御从外部产生的攻击，但一旦网络内部的PC通过浏览网页、收发Email、下载等方式感染蠕虫病毒或有人从内部发起的恶意攻击时，防火墙是没有防护能力的。
港湾网络的SmartHammer ESP-FW防火墙模块可以解决此类问题，ESP-FW是港湾网络BigHammer6800系列交换机的一个安全模块，它继承了SmartHammer盒式防火墙的相关安全特性内置于交换机中，有效抵御来自内部网络的攻击。在插入了防火墙模块后，交换机可以选择将相关VLAN加入防火墙中，受防火墙保护。以VLAN做为保护对象的另一大优点是利于网络扩展，当有一个新增部门出现时，我们不需要再增加投资就可以使新增部门得到保护，网络部署异常灵活。这样当内部网络中出现异常数据流时，防火墙可以有效限制该数据的转发，保护其他VLAN不受影响。
笔者公司共有10台Web服务器，使用Redhat Linux 9作为操作系统，分布在全国各大城市，主要为用户提供HTTP服务。曾经有一段时间不少用户反映有的服务器访问速度缓慢，甚至不能访问，检查后发现是受到了DDoS攻击（分布式拒绝服务攻击）。由于服务器分布太散，不能采用硬件防火墙的方案，虽然IPtables功能很强大，足以应付大部分的攻击，但Linux系统自身对DDoS攻击的防御力本来就弱，只好另想办法了。
一、Freebsd的魅力
发现Freebsd的好处是在一次偶然的测试中，在LAN里虚拟了一个Internet，用一台Windows客户端分别向一台Windows Server、Linux Server和一台Freebsd在无任何防范措施的情况下发送Syn Flood数据包（常见的DDoS攻击主要靠向服务器发送Syn Flood数据完成）。Windows在达到10个包的时候就完全停止响应了，Linux在达到10个数据包的时候开始连接不正常，而Freebsd却能承受达100个以上的Syn Flood数据包。笔者决定将公司所有的Web服务器全换为Freebsd平台。
在使用Freebsd后，的确过了一段时间的安稳日子。不过近日又有用户再次反映网站不能正常访问，表现症状为用户打开网页速度缓慢，或者直接显示为找不到网站。用netstat ?Ca查看到来自某IP的连接刚好50个，状态均为FIN_WAIT 1，这是属于明显的DDoS攻击，看来Freebsd没有防火墙也不是万能的啊，于是就想到了装防火墙。
看了N多资料，了解到Freebsd下最常见的防火墙叫IP FireWall，中文字面意思叫IP防火墙，简称IPFW。但如果要使用IPFW则需要编译Freebsd系统内核。出于安全考虑，在编译结束后，IPFW是默认拒绝所有网络服务，包括对系统本身都会拒绝，这下我就彻底“寒”了，我放在外地的服务器可怎么弄啊？
大家这里一定要小心，配置稍不注意就可能让你的服务器拒绝所有的服务。笔者在一台装了Freebsd 5.0 Release的服务器上进行了测试。
二、配置IPFW
其实我们完全可以把安装IPFW看作一次软件升级的过程，在Windows里面，如果要升级一款软件，则需要去下载升级包，然后安装；在Freebsd中升级软件过程也是如此，但我们今天升级的这个功能是系统本身已经内置了的，我们只需要利用这个功能即可。打开这个功能之前，我们还要做一些准备工作。
下面开始配置IPFW的基本参数。
Step1：准备工作
在命令提示符下进行如下操作：
#cd /sys/i386/conf
如果提示没有这个目录，那说明你的系统没有安装ports服务，要记住装上。
#cp GENERIC ./kernel_IPFW
Step2：内核规则
用编辑器打开kernel_IPFW这个文件，在该文件的末尾加入以下四行内容：
options IPFIREWALL
将包过滤部分的代码编译进内核。
options IPFIREWALL_VERBOSE
启用通过Syslogd记录的日志；如果没有指定这个选项，即使你在过滤规则中指定了记录包，也不会真的记录它们。
options IPFIREWALL_VERBOSE_LI
MIT=10
限制通过Syslogd记录的每项包规则的记录条数。如果你受到了大量的攻击，想记录防火墙的活动，但又不想由于Syslog洪水一般的记录而导致你的日记写入失败，那么这个选项将会很有用。有了这条规则，当规则链中的某一项达到限制数值时，它所对应的日志将不再记录。
options IPFIREWALL_DEFAULT_TO
_ACCEPT
这句是最关键的。将把默认的规则动作从 “deny” 改为 “allow”。这句命令的作用是，在默认状态下，IPFW会接受任何的数据，也就是说服务器看起来像没有防火墙一样，如果你需要什么规则，在安装完成后直接添加就可以了。
输入完成后保存kernel_IPFW文件并退出。
ros 做端口映射 时通时不通
你的ros是多线叠加的吗？是的话要在mangle加多以条策略，定向一下要映射的ip走那一条出口。
如：
/ip firewall mangle add action=mark-routing chain=prerouting disabled=yes new-routing-mark=出口 passthrough=no src-address=映射IP
0条大神的评论