教您一些路由器安全設(shè)置小技巧

　　支持的人說它完滿地體現(xiàn)了我為人人，人人為我的思想，任何一個人都可以在網(wǎng)絡(luò)上向別人提供自己的文檔或軟件下載，當(dāng)下載的人越多時它的下載的速度也越來越快;反對的人說它侵犯了軟件作者的版權(quán)以及耗費(fèi)了大量的網(wǎng)絡(luò)帶寬，應(yīng)該給予禁止。

　　不管人們對這個軟件的看法如何，作為一個主要從事教育的大學(xué)來講，首先要保護(hù)作者的知識產(chǎn)權(quán)不會受到侵犯，另外還要保證學(xué)校的網(wǎng)絡(luò)資源能夠被合理利用，以保障教學(xué)及其它應(yīng)用的正常開展。

　　對任何一所大學(xué)來說它的網(wǎng)絡(luò)帶寬資源是十分寶貴的，但是BT軟件的使用耗費(fèi)了大量的帶寬，使得原來一些需要保證的應(yīng)用受到影響，使用理論的說教往往不能使喜歡這類軟件的人放棄這種喜好，所以有必要對此類軟件從技術(shù)手段上進(jìn)行限制。下面來分析一下BT下載類軟件的工作原理，找到可以用來限制此類應(yīng)用的依據(jù)，然后再進(jìn)行限制。

　　首先BT類下載軟件一般使用的端口是固定的一個范圍，常用的范圍是：6881～6890，如果我們能夠在路由器安全設(shè)置中對這一段的端口進(jìn)行限制，就可以對此類軟件進(jìn)行限制了。但是也有一些BT軟件，可以自動更新端口。

　　此類軟件有一個共同的特點(diǎn)是在工作時占用的帶寬很大，往往要超過正常的應(yīng)用，所以我們從兩個方面對此類軟件進(jìn)行限制：一個是限制它應(yīng)用的端口，一個是對異常的流量進(jìn)行限制。下面就這兩個方面進(jìn)行配置：

　　使用基于類的路由策略進(jìn)行控制

　　1.端口限制：

　　access-list 101 deny tcp any eq range 6881 6890 any range 6881 6890

　　access-list 101 permit any any

　　2.流量限制：

　　class-map match-all bt_updown

　　match access-group 101

　　policy-map drop-bt_updown

　　class bt_updown

　　police 1024000 51200 51200 conform-action drop exceed-action drop violate-action drop

　　使用上述的基于類的策略在對付自動變更端口的BT類軟件時有些力不從心,為此，JCG 路由器安全設(shè)置提供了專門的PDLM(Packet Description Language Module)包描述語言模塊從協(xié)議層上進(jìn)行對此類軟件使用的協(xié)議進(jìn)行了描述。

　　因此，路由器安全設(shè)置可以對數(shù)據(jù)包使用的協(xié)議進(jìn)行分析，當(dāng)傳輸?shù)臄?shù)據(jù)包符合該協(xié)議的描述時路由器安全設(shè)置可以識別，配合相應(yīng)的類策略對數(shù)據(jù)進(jìn)行控制(如允許通過或丟棄等)，從而根本上解決了動態(tài)端口的控制弊病。

　　但是由于PDLM模塊屬于非公開資源，公司對該資源的下載和傳播進(jìn)行了嚴(yán)格的控制，必須具有JCG資格的路由器安全設(shè)置用戶方可下載使用。由于該P(yáng)DLM不屬于路由器的啟動加載項，所以重新啟動路由器時，必須通過TFTP 進(jìn)行進(jìn)行手動加載。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]