秉承丰富的网络软件研发经验，海蜘蛛网络科技推出了稳定、高效、功能丰富的软路由系统——海蜘蛛路由系统（Hi-Spider Router）。该路由采用模块化的结构设计，结合行之有效的软件技术实现了快速、高效的路由策略，是企业、家庭、社区或网吧等场所的首选产品。

海蜘蛛网络科技针对中国互联网的特点，根据终端接入路由器的功能需要，设计和构建了一套专用 Linux 系统，并以此系统为基石，以用户需求为导向，逐步开发了路由系统的各个通用模块，以及针对有中国特色的网络环境所设计的一系列专用模块。整个系统模块化程度高，灵活性和可扩展性强，体积精减、运行效率高、安全性好、稳定性佳，并具有良好硬件兼容性。

系统功能介绍

附加功能介绍

基本设置分为系统全局参数设置和页面设置两部分。系统全局参数主要是设置系统界面语言、主机名、时区、时间等；页面设置主要设置用户备注信息、更新消息首页提醒和分页时每页显示的记录条数等。

界面语言：分为简体中文和英语，可根据自身习惯选择，选择后点击“保存设置”即可生效。

主机名：就是给系统取的一个名字，只能由字母、数字、下划线、圆点及减号组成。

系统时间：根据所在的地区选择，如你所在的地区是马来西亚，则选择“（北京时间+08:00）北京、佩思、新加坡、香港、马来西亚”。

时间服务器：点击“校准”，系统会自动连接到时间服务器同步时间，常用时间服务器为 time.nist.gov clock.via.net rdate.darkorb.net 。

	注意
	系统每隔24小时会自动校准时间。

图 3.1. 全局参数设置

用户备注：此信息显示在浏览器标题中，可以随便设置。

是否在首页显示最新消息：勾选此项后，软件有更新，会在最新消息中显示，一般建议勾选。

分页时每页显示的记录条数：默认为12，用户可根据个人习惯来设置，范围为：8~30。

图 3.2. 页面设置

分为登录帐号、端口设置和安全策略三个窗口。

设置通过 Web 登录系统时的密码、端口、安全连接等，系统默认禁止从广域网登录，如需开启，请先修改管理员密码。

登录账号：分为管理员帐号和普通帐号。管理员帐号可以修改任何设置；普通帐号只能查看配置，不能修改。

图 3.3. 登录帐号

端口设置：分为 WEB 管理端口、是否启用 SSL 连接加密和强制使用 SSL 连接加密。

WEB 管理端口：设置WEB 远程登录时的端口号，默认为 80，更改范围为：1~65535。修改之后，建议使用“端口测试”，看端口是否处于空闲状态，是否可用。

	注意
	端口修改失败，系统将在 15 秒内恢复管理端口到默认设置。

是否启用 SSL 连接加密：启用后，SSL 连接使用 443 端口。访问系统 Web 管理的 URL 地址为：https://<IP 地址>

强制使用 SSL 连接加密：适用于对安全性要求较高的场合，一般不用勾选。

图 3.4. 端口设置

安全策略：设置是否允许外网 IP 访问 Web 远程管理，默认设置是禁止所有外网 IP 访问。

如果选择“只允许指定 IP 从外网登录执行远程管理（自定义）”，则需要在右边列表中添加允许远程管理的 IP 列表，每个 IP 地址或网段占一行。

图 3.5. 安全策略

当您忘记 Web 管理密码或由于其他因素导致无法通过 Web 方式登录系统时，您还可以在本地控制台登录或通过串口连接进行一些应急性操作，比如修改 Web 登录密码、局域网接口IP地址等。

控制台登录用户名为 root，初始密码为 123456，建议修改为更复杂的密码。

	注意
	勾选允许通过串口登录，串口登录时选择 COM1 口，数据Bit为8，奇偶校验无，停止Bit为1，流量控制为无，数据传输波特率要和客户机的波特率一样。 为了安全考虑，root 用户只允许通过控制台登录。

允许按 Ctrl-Alt-Del 组合键重启：勾选后，点击“保存设置”，无需登录，Ctrl-Alt-Del 即可快速重启路由。

图 3.6. 控制台登录

报警设置主要采用声音/蜂鸣器报警。

当检测到或受到攻击、运行负载过大或异常、磁盘出现故障等情况时，系统可以通过自我报警的方式表现出来，有助于管理人员及时发现并处理相关问题。

通过主板上的蜂鸣器（PC Speaker）来发出指定频率的声音，声音格式为一长一短，声音频率范围为 50Hz ~ 5000Hz。

关闭声音报警：关闭后系统检测到攻击或异常时将不会报警。

关闭系统启动完成声音提示：当系统启动完成时，您将会听到两次3短1长1短的鸣笛声（滴滴滴-滴---滴），关闭后系统启动完成后将不会发出声音提示。

图 3.13. 报警设置

设置让系统在指定时间或按指定的计划方式重新启动或关闭。当系统的经过长时间的工作后，建议重启使硬件(如网卡)进行复位。

	小知识
	远程唤醒技术（WOL, Wake-on-LAN）是由网卡配合其他软硬件，可以通过局域网实现远程开机的一种技术。通过它我们可以在需要时远程控制计算机的开机，它非常适合具有远程网络管理要求的环境。

远程唤醒需要网卡、主板、电源的支持和配合才能实现。

图 3.16. 远程唤醒

预定义远程唤醒信息，每条记录占一行，格式：MAC地址 IP地址 可选注释。

图 3.17. 预定义远程唤醒

为了提高内核运行效率，网卡驱动以模块方式加载，默认情况下系统启动时会自动探测网卡型号并加载相应的驱动模块，如果少数网卡没有驱动成功，您可以手动指定此网卡的模块名。

只有当网卡没有驱动时才需要手动指定模块，一般不需要。

需要额外加载的网卡驱动模块列表（每个模块名占一行，以 # 开头的为注释行）。

图 3.18. 网卡驱动模块

点击“保存设置”即可。

设置启动菜单相关配置，比如默认启动的选项等。

默认要启动的内核：单核（Uniprocessor）和多核（SMP）。单核 CPU 用单核内核，多核 CPU 用多核内核。

启动菜单等待时间：单位是秒，设置为多长时间后自动启动默认菜单。

内核参数：禁止 USB、禁止 APIC、禁止本地 APIC。禁止 USB 是禁用内核的 USB驱动，就相当于禁止了 USB接口；禁止 APIC 是禁用 APIC（高级可编程中断控制器）功能，这个一般不禁用，有助于解决网卡中断冲突问题；强制内核禁用本地APIC ，即使 BIOS 已经启用了。

	注意
	修改“保存设置”后，需重启系统才能生效。

图 3.25. 系统负载监测

设置用于域名解析（将域名解析成 IP 地址）的服务器地址。

DNS 获取方式：手动指定和自动获取。

选择“手动指定”，用户需输入运营商提供的“首选DNS”和“辅助DNS”，您还可以填入“可选DNS”服务器地址，以便在网络运营商提供的 DNS 服务器失效时能正常地提供 DNS 解析服务。

	注意
	请尽量使用网络运营商提供给您的 DNS 地址；PPPoE 或 DHCP 方式接入可设为“自动获取”。 如果您不知道本地网络运营商的 DNS ，可以在“主要省份城市 DNS 列表[版本：v1.0]”中查找。 DNS 的修改将影响到 PPPoE 拨号及 DHCP 的设置，提交后将自动更新相应设置。

图 4.1. DNS 参数

除了使用系统自定义的路由表以外，您同样可以根据需要自定义路由表。

海蜘蛛路由系统（Hi-Spider Router）默认的路由器IP 地址为 192.168.0.1， 用户可以直接采用路由器默认的IP地址作为局域网的IP地址,

此时客户端网络链接可以如下设置

图 5.1. 

您同样可以根据以下方法修改IP地址或者加入扩展IP地址

	小知识
	DNS即域名解析协议，实现域名与IP地址之间的转换。 如我们上网时输入www.sina.com.cn 网址时，DNS会把 它转换为计算机可识别的IP地址218.30.6.101（申请）

登录 Web 远程管理，进入“网络设置”->“DNS参数”。

DNS获取方式分为 手动指定 和 自动获取 两种

若选择“手动指定”，用户需输入运营商提供的“首选DNS”和“辅助DNS”，点击“保存设置”即可, 如下图所示。

图 5.5. 设置 DNS参数

	提示
	您可以填入“可选 DNS”服务器地址， 以便在网络运营商提供的 DNS 服务器失效时域名能够正常解析。

若域名解析出现故障，可在dos环境下输入nslookup命令查看有关域名解析信息，这里我们以查看百度为例，如下图所示。

图 5.6. 

	提示
	这里我们可以在IE地址栏中输入address后的IP地址同样可以登录百度

广域网接入方式有三种：静态IP接入、动态IP接入、ADSL拨号上网

用户可以登录路由器，进入“网络设置”->“广域网（WAN）”， 在internet接入方式中选择适合自己的WAN接入方式，如图：

图 5.7. 选择 Internet 接入方式

	小知识
	静态IP：也叫固定IP，由网络运营商分配。 动态IP：由于 IP 地址资源短缺，通过 ADSL 拨号上网用户一般不具备固定的IP地址， 而是由DHCP服务器自动分配的临时IP地址，用户每一次被分配的IP都不一样。

	注意
	设置单线路工作时，不论选择何种 Internet 接入方式，以下两项，一般要求选上。 图 5.10. 作为默认路由

PPPoE 断线后会自动重新拨号，无需手动重拨。

多线路接入时才需要开启线路检测。

以下两项当内网PPTP_VPN 客户端访问外网 PPTP_VPN 服务端时需选上。

IP与MAC地址绑定的作用

web登录海蜘蛛路由->防火墙->IP-MAC绑定->绑定列表->扫描导入， 即可将局域网所有计算机的IP与MAC地址载入绑定列表框即可完成IP与MAC地址的绑定。

图 8.1. 

进入强制绑定页面，启用强制绑定IP/MAC地址选项后， 则只允许绑定列表中 MAC 地址匹配的 IP 访问 Internet，否则会弹出访问受限提示。

图 8.2. 

开启网址/关键字过滤的好处：

网址过滤可以匹配域名、参数，也可以匹配域名+参数；url过滤只能匹配一个网址中的参数部分。

例：这个网址 http://lady.163.com/10/0315/17/61R5T9V0002626K1.html中的域名部分为：lady.163.com 参数部分为 10/0315/17/61R5T9V0002626K1

网址过滤、关键字过滤书写规则如下所示(大众版不支持)：

web登录海蜘蛛路由器->防火墙->网址/关键字过滤

端口镜像 (Port Mirroring) 功能可以让指定IP或协议的流量复制并转发到某一特定的IP(一般是监控机器)，对于网吧而已，由于公安监控的需要，端口镜像功能通常是必须的。

端口镜像一般通过带端口镜像的交换机来实现，但这种交换机价格比较贵，故有些小型网吧，在路由和局域网之间串接了一个集线器（HUB）来解决这个问题，然而，这对网络性能造成了很大影响，尤其是当内网数据流量较大时，因为HUB的速率只有10Mbit，这无疑成了网络设备中的瓶颈。

针对此问题，海蜘蛛提出了在路由上来实现端口镜像的解决方案，这样做有以下几个优点：

浏览网页使用的是 TCP/HTTP 协议，端口为80，假设监控机的IP地址为 192.168.0.2，设置如下：

新增规则1：对内网发出去的数据进行监控

新增规则2：对外网进来的数据进行监控

最后，启用端口镜像即可

如果要监控所有端口，端口部分留空即可；如果要监控所有协议，协议类型选“TCP+UDP”即可。

下一步就可以在监控机上面打开抓包软件或分析工具对监听到的流量进行分析了。

下面是用 wireshark 抓取到数据包截图：

为了减少局域网网卡的压力，可以在路由上增加一块网卡，专门用于转发监控的数据。增加网卡后，将这块网卡配置为私有IP地址。[注]: 此不能和局域网网卡IP在同一网段。

比如新增网卡的 IP 为 192.168.10.1，监控机的IP为 192.168.10.254，然后修改上面的设置，将 192.168.0.2 改为 192.168.10.254 即可。

web登录海蜘蛛软路由->防火墙->NAT规则->端口映射->新增规则，如下图所示：

图 13.1. 

进入新增端口映射页面，这里以 web端口 和 ftp服务器映射 为例：

映射例子：

路由器局域网接口 IP 地址:  192.168.0.1
      广域网接口 IP 地址:  211.x.x.x
            对外映射端口:  800

    内网映射主机 IP 地址:  192.168.0.100
            对内映射端口:  80 (提供Web网站服务）

    内网测试主机 IP 地址:  192.168.0.2
    外网测试主机 IP 地址:  220.x.x.x 

对映射主机的要求：

映射前，在内网测试机上应可直接访问映射主机提供的服务，即可通过 http://192.168.0.100 正常打开网页；

映射成功后，在内网和外网测试机上均可通过 http://211.x.x.x:800 访问内网的Web服务。

如果映射不成功，请按照以下步骤逐步排除故障：

web登录海蜘蛛路由->防火墙->DMZ主机，进入DMZ主机设置页面，如下图所示：

图 14.1. 

进入新增DMZ主机页面

图 14.2. 

	提示
	外网用户访问该服务器时使用的IP地址为：218.36.24.34； 内网用户访问该服务器时使用的IP地址为：192.168.0.2 。 被 DMZ 主机使用的广域网 IP, 其相应的端口映射规则将自动失效. 计算机设置为 DMZ 主机后, 如同直接具有广域网 IP, 并且将不再受到防火墙的保护.

这里我们假设您已经从当地ISP那里获得的多个合法IP地址为： 218.36.24.33-218.36.24.38，两个web服务器的内网IP分别为 ：192.168.0.2、192.168.0.3， WAN1口已经使用了218.36.24.34,Gateway使用218.36.24.33 那么还剩下4个IP地址没有使用，此时您就可以使用一对一NAT让内网服务器 映射为剩下的IP地址，具体设置如下所示:

web登录海蜘蛛路由->防火墙->一对一NAT，如下图：

图 15.1. 

进入新增一对一NAT页面，如下图所示

此时，一对一NAT映射就已经设置完成了。

此时外网用户如果要访问IP地址为192.168.0.2的web服务器，那么就只需要访问IP:218.36.24.35 外网用户如果要访问IP地址为192.168.0.3的服务器，那么就只需要访问IP:218.36.24.36

在启用一对一端口映射时，该服务器向外网发送的数据包的源地址为其所映射的外网IP地址，设置 该服务器映射的对外IP为218.36.24.36， 下图是IP为192.168.0.2的web服务器访问外网时外网服务器上显示的流量信息。

图 15.2. 

此时关闭一对一NAT服务，启用端口映射服务，该服务器映射的对外IP为218.36.24.35

此时虽然外网用户访问该服务器时其使用的IP为218.36.24.35，可是 此服务器访问外网服务器时数据包的源地址为218.36.24.34（路由器WAN口IP）， 如下图所示;

图 15.3. 

	总结
	一对一NAT的对外IP具有双向性：对于外网客户端来说其是目的地址，对于外网服务器来说其是源地址 端口映射和DMZ映射的对外IP只是作为客户端的目的地址，对于外网服务器其源地址仍为该服务器所在的 局域网的路由器WAN口IP地址。

海蜘蛛路由器的数据库中共收录了91646条恶意网址，当用户访问这些网址时 路由器会自动拦截这些网址

这里我们以www.3721.com为例，因为www.3721.com已经收录在海蜘蛛路由器的数据库中,当用户登录这个网址时 会看到如下图所示的页面：

若用户启用恶意网址拦截功能，单击拦截日志后还可以看到相关拦截记录

图 17.1. 

	提示
	如果发现正常网址位于恶意网址数据库中， 用户可以启用恶意网址白名单并将其加入到白名单列表中

很多时候，用户都有自己想要定义为恶意网址的地址。 海蜘蛛路由系统同样也提供了自定义恶意网址功能。

用户只需将恶意网址添加到恶意网址列表中即可，每条记录占一行。 这里我们以百度为例。

海蜘蛛路由系统提供了两种拦截方式：替换成 指定页面和中断/重置连接（客户机会显示无法打开网页的错误）。

当拦截方式为 替换成指定页面时 用户可以 自己设置提示标题、提示内容、自动跳转时间以及 跳转网址等。

图 17.2. 

当用户访问路由器拦截的恶意网址时就会出现以下提示

图 17.3. 

当拦截方式为中断/重置连接时 用户访问路由器拦截的恶意网址时会显示该页面无法显示

图 17.4. 

网页通知可以使网络管理员以网页的形式对指定的用户推送指定的通知， 只要用户一上网就可以看到。 海蜘蛛软路由提供的网页通知的内容形式有以下4种

流量控制的目的主要有以下2个：

流量控制中有“共享带宽”和“独享带宽”两种模式：

两者的区别及主要用途如下：

以上两种模式可以混合使用，以适应复杂的网络环境需求。

进入“流量控制”——>“限速规则设置”中“新增规则”，限制局域网内部上传/下载的流量，下载单机限速一般设为100~150kb/s，也可以根据接入的总带宽适当调整。

上传限速

图 24.2. 上传限速

下载限速

图 24.3. 下载限速

以下载限速为例，比如总带宽为 10Mbit (总最大下载速度为 1000 KBytes/s)。共20人使用，限速为保证下载速度 100KBytes/s， 最大下载速度 200KBytes/s。详细阐述如下：

一般内网采用 PPPoE 拨号，这样可以防止 ARP 。

	小知识
	ARP ——> ARP （Address Resolution Protocol）是地址解析协议，是一种将 IP 地址转化成物理地址的协议。 ARP 就是将网络层（IP 层，也就是相当于 OSI 的第三层）地址解析为数据链接层（ MAC 层，也就是相当于 OSI 的第二层）的MAC地址。

首先进入控制页面“服务及应用”——>“PPPoE 拨号服务”，进行设置 PPPoE 服务参数和 PPPoE 连接带宽限制。

图 24.4.  PPPoE 服务参数

一般只需选择“默认”设置，设置好后，点击“保存”即可。

图 24.5.  PPPoE 连接带宽限制

用户可依据自己的实际情况来进行设置，设置好后点击“保存”即可。

PPPoE 拨号服务设置好后，进入“用户账号管理”增加您要限速的用户，可以分别进行限速。

这里的设置您可以参考 PPPoE 服务器的设定中的新增用户 的设置规则。

这样，既可以对所有人限速，也可以对个别人进行限速了。

SSH（安全外壳协议）是一种在不安全网络上提供安全远程登录及其它安全网络服务的协议

通过使用SSH，可以把所有传输的数据进行加密，使数据不可能在传输过程中被”中间人” 篡改， 而且也能够防止DNS和IP欺骗。还有一个额外的好处就是传输 的数据是经过压缩的，所以可以加快传输的速度。 SSH有很多功能， 它既可以代替telnet，又可以为ftp、pop、甚至ppp提供一个安全的“通道”。

登录海蜘蛛路由，进入流量控制下的流量实时监测页面，开启SSH远程登录

图 25.1. 

打开网络连接，进入TCP/IP协议栈，将IP地址与DNS服务器地址设置为 自动获取。如图：

图 27.5. 

客户机同样也可以查看其自动获取的IP信息

双击“本地连接”，进入“支持”--“详细信息”，如下图所示

图 27.6. 

web登录海蜘蛛路由->服务及应用->网络打印服务->添加打印机,页面设置如下如所示;

图 30.2. 

局域网PPPoE就是在一个局域网内所有客户机都采用PPPoE 拨号到网关通过网关的共享上网。

内网使用 PPPoE 的优点：

	注意
	如果在划分了vlan后使用PPPoE拨号,则只有与路由器LAN口IP处于同一网段的客户机可以拨号成功。

使用海蜘蛛的 PPPoE 服务器功能，不需改变局域网的拓扑结构，很容易就能实现内网 PPPoE 拨号，具有方便可靠、成本低廉的特点。

Windows 2000/XP/2003/Vista 自带有 PPPoE 的拨号客户端，无需另外安装软件。以 Windows XP 为例，设置步骤如下：

使用PPPoE服务的用户无法正常访问Internet时可能出现的情况

已拨号用户管理是对已经通过PPPoE方式 拨号成功的用户的管理。

登录海蜘蛛路由系统，进入 服务及应用 下的PPPoE拨号服务 单击“拨号连接信息”进入PPP连接信息页面，这里显示了所有 通过PPPoE拨号的连接信息，如下图所示

图 31.7. 

图 31.8. 

单击 用户名 即可进入修改用户信息界面。

在某种情况下，管理员需要强制断开某个客户端的连接，此时只需点击“连接名”就可以断开相应连接，在客户端会出现如下提示:

图 31.9. 

VPN 即虚拟专用网 (Virtual Private Network)。是通过一个公用网络 (通常是 Internet) 建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、 稳定的隧道。

在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端 的物理链路，而是利用某种公众网的资源动态组成的。由于 VPN 是在 Internet 上临时建立的安全专用虚拟网络，用户就节省了租用专线的费用。

通常，VPN 是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、 商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。

建立 VPN 隧道有多种方式，包括 L2TP、IPSEC、PPTP、GRE、SSL 隧道，其中 PPTP 是 VPN 隧道中部署最为简单、方便的实现方式之一，Windows 系统默认自带 PPTP VPN 客户端，只需几个步骤可以轻松完成 VPN 的设定。

应用环境说明：

相关图示如下：

如果内网已有 PPTP_VPN 服务器，想让其对外提供拨入服务，请参考: 使用内网 PPTP_VPN 服务器

如果使路由自己充当 VPN 服务器，需要进行如下设置：

如果想让内网已经有 PPTP_VPN 服务器对外提供拨入服务， 假设其 IP 地址为 192.168.1.254，那么在路由上只需要做如下设置：

然后在内网 PPTP_VPN 服务器上添加相关的 VPN 帐户即可。

Windows 2000/XP/2003/Vista 自带有 PPTP_VPN 的拨号客户端，无需另外安装软件。 以 Windows XP 为例，设置步骤如下：

借线实例：有电信＋网通双线接入的客户A，只有网通单线接入的客户B。 A做VPN服务器端，B做客户端，B通过 PPTP_VPN 拨入到 A，拨号成功后，B 相当于拥有了双线接入(虚拟)，访问网通走本地线路，访问电信走VPN，通过A然后 出口到 Internet。

由于电信网通南北割据，电信和网通之间的互访非常缓慢，即：电信用户访问网通的 资源 (网页或游戏等)，非常慢；反之，网通用户访问电信资源也是一样。

借线之前，只有网通接入的B原来访问电信的网站或玩电信的游戏是非常慢的； 借线之后，由于 B 和 A 之间的连接是通过网通，其速度非常快，所以 B 访问电信 资源速度也如同拥有物理电信线路一样。

	注记
	借线是用一部分带宽换取另外一部分带宽，并不能提升带宽的总量，只是对带宽资源进行 有效的重组和充分利用。

                                             +---------------------+
B ----> 网通接入点 ----> 网通总机房 -------> + 电信 <-> 网通交界处 +
B _        |                                 +     (瓶颈所在)      +
   \_      |                                 +----------+----------+
     \_    |                                            |
       +-- A --------------->电信接入点                  |
                                  |                     |   
                                  v                     |
目标 <--- 电信接入点 <-------- 电信总机房 <-------------+ 

借线前后 B 访问电信情况对比:

从上图可以看到，借线前，B 访问电信（黄色线条表示）要饶上一大圈，而且要经过电信网通交汇处，此处是互访速度 慢的源头所在；借线后，B 访问电信（紫色线条表示）不经过此瓶颈地，而是借助A的物理网通线路，速度自然比较快。

32.8.1. 借线服务器端设置

进入 "服务及应用" -> "PPTP VPN服务"设置页面，设置如下：

因为只是借线，对安全没有要求，故不需选“MPPE 数据加密”。

32.8.2. 借线客户端的设置

进入 "网络设置" -> "网络接口配置" -> "PPTP VPN客户端" 设置页面，设置如下：

连接成功后会提示：

上图中将 PPTP 服务器地址改成借线服务器的IP地址，PPTP 拨号连接名可以自己定义。

然后进入 "网络设置" -> "多线负载及策略"，启用 "多线负载及策略"，如下：

此外，还需修改防火墙中 TCPMSS 值，进入 "防火墙" -> "基本安全设置"，在 "普通模式" 中，设置如下：

	重要
	如果没有启用 TCPMSS 值大小自动调整，可能会造成借线后某些网址无法正常打开、某些游戏登录时超时或无法登录等问题。

进入路由首页->系统检测，可以查看借线后各路线的流量信息，如下图所示：

图 32.1. 

SSL VPN 即指采用 SSL (Security Socket Layer) 协议来实现远程接入的一种 新型 VPN 技术。SSL 是一种在 Internet 上保证发送信息安全的通用协议。SSL 用公钥加密通过 SSL 连接传输的数据来工作。

SSL VPN 通信基于标准 TCP/UDP 协议传输，因而能穿透所有 NAT 设备、基于代理的 防火墙和状态检测防火墙。这使得用户能够从任何地方接入，无论是处于其他公司网 络中基于代理的防火墙之后，或是宽带连接中。

应用环境说明：

相关图示如下：

和 PPTP 不一样，SSL VPN 拨号后一个VPN连接会有2个IP，一个是本地IP，一个远程网关IP。

如果内网已有 SSL_VPN 服务器，想让其对外提供拨入服务，请参考: 使用内网 SSL_VPN 服务器

如果使路由自己充当 VPN 服务器，需要进行如下设置：

如果想让内网已经有 SSL_VPN 服务器对外提供拨入服务， 假设其 IP 地址为 192.168.1.254，端口为 UDP/1194，那么在路由上只需要做如下设置：

进入“防火墙” -> “端口映射” -> “规则设置”，添加一条规则，如下：

然后在内网 SSL_VPN 服务器上添加相关的 VPN 帐户即可。

从 OpenVPN 官方网站 下载 OpenVPN 2.0.9 for Windows 程序。

下载后双击下载文件进行安装，其安装很简单，使用默认参数即可，一直点击 Next 直到完成。 默认安装在 C:\Program Files\OpenVPN 目录下面。

配置步骤:

在“开始” ->“运行” 输入 cmd 进入 DOS 命令提示符，使用 ping <服务器IP> 测试 VPN 通道是否正常。

	提醒
	如果路由“防火墙” -> “基本安全设置” 中 “完全禁止了PING”， 是无法 Ping 通 VPN 服务器的。

如果一切正常，就可以通过 172.16.0.1 安全访问 VPN 服务器，或远程局域网的资源了，比如内部共享(文件服务器)、ERP服务器等。

现有局域网A，网络地址为192.168.0.0/24，其路由器的WAN口IP为：218.36.24.34，现在此路由器上设置SSL VPN服务作为局域网互连的服务端。

局域网B，网络地址为192.168.10.0/24,在局域网B所接的路由器上启用SSL VPN客户端服务。

使用SSL VPN服务成功连接两路由器后，两局域网内的PC机便可互相访问。

33.8.1. 服务器端设置

进入"服务及应用"->"SSL VPN服务"设置页面，设置如下图所示;

图 33.1. 

此外，在添加SSL VPN用户时，还需要在SSL VPN属性（进入"服务及应用"->"用户帐号管理"）中做如下设置：

图 33.2. 

	提示
	SSL VPN 网络地址需以4的倍数增加，如 10.10.0.4, 10.10.0.8 等; 远程局域网网络为远程局域网网络的网络地址。

33.8.2. 客户端设置

进入"网络设置"->"SSL VPN客户端"设置页面，设置如下图所示：

图 33.3. 

这里远程服务器地址为SSL VPN服务器的WAN口IP地址，拨号连接名随意。

网络设置-多线路负载,启用多线路负载:

图 33.4. 

33.8.3. 测试连接

在一个局域网中的任意一台PC机的dos环境中ping另一个局域网中的任意一台PC机的IP地址看通不通：

图 33.5. 

此时，两个局域网之间便可以互相访问其内部的共享资源或ftp服务器等。

桥接模式，即通过OpenVPN计算机将服务器所在网络扩展到要连接的客户端

环境描述：现有局域网A，其路由器的WAN口IP为：59.175.215.26，现在此路由器上设置SSL VPN服务作为局域网互连的服务端。

局域网B，网路地址为192.168.0.0/24，在局域网B所接的路由器上启用SSL VPN客户端服务。

使用SSL VPN服务成功连接两路由器后， 两局域网内的PC端便可建立局域网游戏， 解决了只能在同一个局域网内建立局域网游戏的局限性。

33.9.1. 服务器端设置

进入"服务及应用"->"SSL VPN服务"设置页面，设置如下图所示

图 33.6. 

此外，在添加SSL VPN用户时，还需要在SSL VPN属性（进入"服务及应用"->"用户帐号管理"）中做如下设置：

图 33.7. 

	提示
	这里SSL VPN 网络地址填写为VPN 网络地址中的任意一IP即可，远程局域网网络为远程局域网网络的网络地址。

33.9.2. 客户端设置

进入"网络设置"->"SSL VPN客户端"设置页面，设置如下图所示：

图 33.8. 

这里远程服务器地址为SSL VPN服务器的WAN口IP地址，拨号连接名随意。

网络设置->SSL VPN 客户端设置->线路检测设置，设置如下图所示:

图 33.9. 

当前网络接口配置如下图所示:

图 34.1. 

当前网络接口配置如下图所示:

图 34.7. 

中断是CPU处理外部突发事件的一个重要技术。它能使CPU在运行过程中对外部事件发出的中断请求及时地进行处理， 处理完成后又立即返回断点，继续进行CPU原来的工作

中断分类

中断优先级（高到低）

详细图解：

  .-------------------------------------+
 /           华为s3526c                /|
+---+---+---+----------------------+--+ |
| 1 | 3 | 5 |   ...                |23| |
+-|-+---+---+----------------------+--+ |       
| |2| 4 | 6 |   ...                |24| / 
+-|--+---+---+----------------------+-+     
  |               trunk                         +------------------+
  +---------------------------------------------| Hi-Spider Router |-------- 上级路由 ---- Internet
                  802.1q                        +------------------+       
                                              172.16.1.2

----------------------------------------+----------------------------------
         交换机配置                     |  Hi-Spider Router 配置
----------------------------------------+----------------------------------
 VLAN-ID 端口           IP 地址         |  IP 地址       接口        
----------------------------------------+----------------------------------
 VLAN-1  1-6口        172.16.1.1        |  172.16.1.2     eth0   [主IP VLAN1]
 VLAN-2  7-12口       172.16.2.1        |  172.16.2.254   VLAN-2 [逻辑VLAN]
 VLAN-3  13-18口      172.16.3.1        |  172.16.3.254   VLAN-3 [逻辑VLAN]
 VLAN-4  19-24口      172.16.4.1        |  172.16.4.254   VLAN-4 [逻辑VLAN]
---------------------------------------------------------------------------

     
     

1口为中继接口，使用 802.1q 封装，允许所有VLAN访问，交换机的默认路由为172.16.1.2

海蜘蛛路由的LAN口主IP地址为172.16.1.2，并建立了3个逻辑VLAN，和交换机上的相对应。

DHCP服务器对VLAN-2/3/4 提供IP分配，每个VLAN获取对应网段的地址，即：

        #
        interface Ethernet0/1
        port link-type trunk
        port trunk permit vlan all
        dot1x
       
        

交换机详细图解

  .-------------------------------------+
 /           华为s3526c                /|
+---+---+---+----------------------+--+ |
| 1 | 3 | 5 |   ...                |23| |
+--+---+---+--------------- -------+--+ |       
| 2| 4 | 6 |    ...                |24|/ 
+---+---+---+----------------------+-+     
                                    | trunk     +------------------+
                                    ------------| Hi-Spider Router |-------- 二层交换机 ---- 客户机
                                      802.1q    +------------------+       
                                             
     
     

进入 Web 管理－“网络设置” - “广域网设置” - 绑定账号，如下图所示：

图 37.2. 

	注意
	在主界面拨号的账号所对应的ADSL线路为默认接入交换机VLAN1接口的ADSL线路。

单击“在此WAN口上绑定多个账号”来添加账号，如下图所示：

图 37.3. 

	注意
	每个账号对应的VLAN ID必须与交换机上划分的VLAN ID相对应。 同样的方法，可以继续新增另外16个账号。

支持VLAN的二层交换机也可以实现扩展多 ADSL 接入，比使用三层交换机具有低成本的明显优势。

  .-------------------------------------+
 /           3c17203                   /|
+---+---+---+----------------------+--+ |
| 1 | 3 | 5 |   ...                |23| |
+--+---+---+--------------- -------+--+ |       
| 2| 4 | 6 |    ...     12 ...     |24|/ 
+---+---+---+-----------|----------+-+     
                        |                       +------------------+
                         ---------------------- | Hi-Spider Router |-------- 二层交换机 ---- 客户机
                                    tagged标签  +------------------+