收藏
常见问题解答- 1.
-
-
答案：-
FR538G为用户提供多达四个WAN端口，用户可根据Internet的接入方式，实现负载均衡或策略路由等工作模式。本文将通过以下两个实例来说明FR538G如果配置负载均衡及策略路由。
一、Load Balancing模式
1．模拟环境：
某一中小型企业用户共有两条中国电信的链路，一条为10M光纤链路，一条为4 M的ADSL拔号链路，局域网内有300多台电脑需要共享上网。
2．目标：
局域网内的用户能通过FR538G同时连接到光纤链路和ADSL链路，使局域网内的用户能共享两条线路，提高接入Internet的速度，同时实现链路备份的功能。
3．网络拓朴图：
4．配置步骤：
1) 配置WAN1端口（固定IP地址）
WAN1端口接中国电信的10M光纤，进入管理菜单Network Configuration－WAN Settings－WAN1 Settings中，如下图所示：
Do you want to enable bridge mode on WAN1 ?处选择“Disable”
在“Does Your Internet Connection Require a Login?”处选择“No”。
在“Internet (IP) Address”处选择“Use Static IP Address”，并填入ISP给的IP地址、子网掩码及网关。
在“Domain Name Server (DNS) Servers”处选择“Use These DNS Servers”，并填入ISP给的DNS服务器地址。
2) 配置WAN2端口（ADSL拔号）
WAN1端口接中国电信的4M ADSL拔号，进入Network Configuration－WAN Settings－WAN2 Settings中，如下图所示：
Do you want to enable bridge mode on WAN1 ?处选择“Disable”
在“Does Your Internet Connection Require a Login?”处选择“Yes”。并在右边的Login处填入ADSL用户名，Password处填入ADSL密码
在“ISP Type”处选择“Other（PPPoE）”，在右边“Idle Timeout”处，如果您是包月不限时的用户，您可以选择Keep Connected；如果是限时用户，可以选择Idle Time并填入闲置超时的分钟数，默认为5分钟，即5分钟后没有网络流量，防火墙将自动断开网络连接。
在“Internet (IP) Address”处选择“Get Dynamically from ISP”。
在“Domain Name Server (DNS) Servers”处选择“Get Automatically from ISP”。
点击“Apply”保存。
3) 启用Load Balancing负载均衡模式
进入管理界面Network Configuration>WAN Mode>WAN Mode，在Port Mode的选项中，选中Load Balancing模式，然后点击Apply应用即可。
成功启用Load Balancing负载均衡模式后，局域网内的用户能共享两条线路，大大提高了接入Internet的速度，同时若任一链路有问题，另一链路将继续工作，保证局域网内的用户上网不受影响。
二、Auto-Rollover模式(启用策略路由功能)
1．模拟环境：
某一网吧用户共用两条链路，分别为一条中国电信的10M光纤链路，另一条为中国网通的10M光纤链路，网吧内的200多台电脑要通过FR538G访问Internet。
2．目标：
网吧内的用户通过FR538G均能上网，当网吧内的用户访问中国电信网络的网站或游戏服务器时，数据将从电信的光纤链路出去；当网吧内的用户访问中国网通的网站或游戏服务器时，数据将从网通的光纤链路出去；当任一链路出现故障不能上网时，网吧内的PC上网的所有数据将自动切换到正常的出口出去。
3．网络拓朴图：
4．配置步骤：
1) 配置WAN1端口（固定IP地址）
WAN1端口接中国电信的10M光纤，进入管理菜单Network Configuration－WAN Settings－WAN1 Settings中，如下图所示：
Do you want to enable bridge mode on WAN1 ?处选择“Disable”
在“Does Your Internet Connection Require a Login?”处选择“No”。
在“Internet (IP) Address”处选择“Use Static IP Address”，并填入ISP给的IP地址、子网掩码及网关。
在“Domain Name Server (DNS) Servers”处选择“Use These DNS Servers”，并填入ISP给的DNS服务器地址。
2) 配置WAN2端口（固定IP地址）
WAN1端口接中国网通的10M光纤，配置方法同上，进入管理菜单Network Configuration－WAN Settings－WAN12Settings中，如下图所示：
3) 配置Auto-Rollover模式
进入管理界面Network Configuration>WAN Mode>WAN Mode，在Port Mode的选项中，选中Auto-Rollover模式，然后点击Apply应用即可。
3) 添加中国电信及中国网通的策略路由
进入管理界面Network Configuration>WAN Mode>Network Binding，在WAN1和WAN2的选项中分别启用Netowork Binding功能，如下图所示：
Do you want to enable Network Binding 选中Enable，然后点击Apply应用。
启用Network Binding功能成功后，我们需在Import file选项中分别在WAN1 中导入中国电信的静态路由表和中国网通的静态路由表，静态路由表的格式采用txt文件即可，用户可自己在txt文件中添加各运营商的静态路由，具体格式如下：
network xxx.xxx.xxx.xxx mask yyy.yyy.yyy.yyy或
host zzz.zzz.zzz.zzz其中：
xxx.xxx.xxx.xxx是一个IP子网
yyy.yyy.yyy.yyy是子网掩码
zzz.zzz.zzz.zzz是一个IP地址例如：
network 60.12.32.0 mask 255.255.240.0
network 60.12.48.0 mask 255.255.248.0
host 60.12.56.0
host 60.12.56.1
network 60.12.56.2 mask 255.255.255.254
network 60.12.56.4 mask 255.255.255.252若用户需要中国电信或中国网通的静态路由表，请在下面美国网件社区下载即可。
中国电信或中国网通的静态路由表下载链接（需到网件社区注册后才可以下载）：
http://neclub.netgear.com.cn/nebs/ShowPost.asp?ThreadID=711&ForumID=24 - 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 2.
-
-
- 答案：
-
FR538G及FVX538作为SPI防火墙，一般工作在NAT模式下，通过WAN口连接到Internet，然而，FR538G及FVX538也支持传统的路由模式，即可以把FR538G及FVX538作为路由器连接到网络上，下面，我们将通过实例来说明如何启用FR538G及FVX538的路由功能：
一、测试环境网络拓扑图
二、测试目标
让PC1、PC2、PC3、PC4之间在路由模式下能够互相通信。
三、设置步骤：
1．FSM 7352S为三层交换机，1/0/17及1/0/31两个接口均设置为路由模式，具体配置如下：
FSM7352S接口IP配置：
interface1/0/17
routing
ip address10.10.10.1255.255.255.0
exit
interface1/0/31
routing
ip address50.50.50.1255.255.255.0
exit路由条目配置：
ip routing
ip route 20.20.20.0 255.255.255.0 10.10.10.2
ip route 30.30.30.0 255.255.255.0 10.10.10.2
ip route 192.168.0.0 255.255.255.0 10.10.10.2
ip route 40.40.40.0 255.255.255.0 10.10.10.2配置完成后可看到
（FSM7352S） #show ip interface
NetdirMulti
Interface IP AddressIP MaskBcastCastFwd--------- --------------- --------------- -------- --------
1/0/1710.10.10.1255.255.255.0DisableDisable
1/0/3150.50.50.1255.255.255.0DisableDisable（FSM7352S） #show ip route
Total Number of Routes......................... 6
NetworkSubnetNext HopNext Hop
AddressMaskProtocolIntfIP Address--------------- --------------- ------------------------------------
10.10.10.0255.255.255.0Local1/0/1710.10.10.1
20.20.20.0255.255.255.0Static1/0/1710.10.10.2
30.30.30.0255.255.255.0Static1/0/1710.10.10.2
40.40.40.0255.255.255.0Static1/0/1710.10.10.2
50.50.50.0255.255.255.0Local1/0/3150.50.50.1
192.168.0.0255.255.255.0Static1/0/1710.10.10.22．FR538G上启用路由模式；
FR538G配置如下：
1）WAN1接口IP配置：
Do you want to enable bridge mode on WAN1 ? 本项是将FR538配置为桥接模式，与本功能无关，所以选择为Disable
Does Your Internet Connection Require a Login ? 视具体的情况设置，本例中只使用静态IP地址，所以选择 No Internet （IP） Address ：在此填写WAN1口的IP地址。（网关填写WAN1对端的IP地址）
Domain Name Server （DNS） Servers：此处视具体情况选择可用的DNS服务器地址。配置完成后点击Apply 。
2）配置WAN2 的IP地址如下图所示：
3）WAN3 的IP地址配置如下图所示：
4）FR538G缺省工作在NAT模式下，因此我们需要将其转换至路由模式下，如下图
Use NAT or Classical Routing Between WAN & LAN interfaces?
默认情况下FR538G是选NAT模式的，现在我们要把FVX538改为路由模式，所以选Classical Routing 并应用即可。
Port Mode 默认即可，不需指定某种方式。
各WAN口的IP配置完成后，需要配置相关的静态路由，具体配置如下：5）添加静态路由
点击管理菜单Network Configuration → Routing→ Add
Route Name：输入静态路由的名字，用于识别静态路由的名字和方便管理；
Active：定义该路由是否Active或Inactive，选中即是active状态。当一个路由添加到该inactive状态，它将显示在列表中，但并不应用到路由器上，该静态路由将迟一点才启用。这主要是用于当你汪加了一个暂时未连接的网络，该路由却已启用了，因此，若你已连接上该目标网络，即把active选中即可。
Private：如果路由器启用了RIP协议，该选项决定此静态路由是否与其它路由器共享，如果选中了，该静态路由将不通过RIP协议广播出去。
Destination IP Address：该处输入目标主机或目标网络
IP Subnet Mask：输入目标主要或目标网络的子网掩码
Interface：这里选择物理网络接口（WAN1~WAN4，DMZ或LAN），即该目标网络是通过哪个网络接口出去的。
Gateway IP Address：路由到下一个目标主机或目标网络的下一跳网关IP地址
Metric：定义该路由的优先级，可选择输入2~15之间，如果有多条路由指向同一目标地址，Metric值最低的将被优先选择。
添加完后，查看已经配置路由条目，如下图所示：
6）缺省情况下，FR538G不对PING进行应答，为了方便检查网络状况，我们需要将此项目开启：
如上图所示：启用Disable SPI Firewall选项，若该选项不启用，将无法使用tracert命令，同时启用Ping Respone选项，使FR538G的WAN 端口允许ping 。
至此，FR538G配置完成。
3．FVX538上启用路由模式：
配置FVX538的过程与FR538G相似：
1） WAN1口IP地址设置
Does Your Internet Connection Require a Login ? 视具体的情况设置，本例中只使用静态IP地址，所以选择 No Internet（IP） Address ：在此填写WAN1口的IP地址。（网关填写WAN1对端的IP地址）
Domain Name Server（DNS） Servers：此处视具体情况选择可用的DNS服务器地址。配置完成后点击Apply 。
2） 配置FVX538 LAN IP 地址配置
3） FVX538设定为路由模式
点击Network Configuration>WAN Settings>WAN mode管理菜单：
Use NAT or Classical Routing Between WAN & LAN interfaces?
默认情况下FVX538是选NAT模式的，现在我们要把FVX538改为路由模式，所以选Classical Routing 并应用即可。
4）添加相关的静态路由，如下图所示：
5）开启对PING的应答
如上图所示，选中Respond to Ping on Internet Ports选项即可。
至此所有配置完成。
三、检测配置结果
在PC1、PC2、PC3、PC4之间互相均能连接成功（可用ping与tracert测试）
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 3.
-
-
- 答案：
-
一般情况下，我们可以通过Web方式直接进行升级，若对FR538G防火墙在升级过程中出错或者升级失败,将会导致对FR538G无法正常启动，此时我们可以通过对FR538G防火墙的串口线进行连接并恢复Firmware,另外,如果你不能通过Web方式正常访问防火墙,你也可以通过TFTP方式来进行升级Firmware软件。
1、打开超级终端：
开始>程序>附件>通信>超级终端,单击超级终端后出现以下界面：
选择正确的COM口，如本例中因为是采用USB转COM口的，所以选择COM4，如下图所示：
点击确定后，需要对该端口进行设置，这时，我们只需点击还原默认值按钮，并把波特率改为每秒115200即可，如下图所示：
点击确定后即可进入到FR538G的CLI界面。
2．开启FR538G的电源，然后在超终终端的界面按CTRL+C键，这时超终终端将出现以下界面，如下图所示：
3．设置TFTP服务器
请到下面的链接下载TFTP 32的软件：
http://tftpd32.jounin.net/tftpd32_download.html
下载成功后，直接打开该软件，如下图所示：
Current Directory选择正确的FR538G的Firrmware目录即可。
4．设置FR538G的IP和指定TFTP的服务器IP地址
在超级终端上输入以下命令：
setenv ipaddr 192.168.1.1-----------------指定FR538G的IP地址
setenv serverip 192.168.1.100--------------指定TFTP的服务器IP地址
ping 192.168.1.100--------------------------把TFTP服务器直接连接到FR538G上，并成功检测TFTP服务器与FR538G连接即可，如下图所示：
5．升级FR538G
输入输令：[flashApImage 文件名] 即可开始升级，如下图所示：
升级完成后，如下图所示：
FR538G升级完成后输入reset或关闭电源并重新打开电源完成重启，即完成FR538G的升级。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 4.
-
-
- 答案：
- 请在设置端口映射功能之前，确保你要映射的服务器的应用是正常的，同时把该服务器的默认网关指向FR538G即可。
1．登录路由器管理界面，选择Security>Firewall>LAN WAN Rules选项，并点击Inbound Services中的Add添加按钮，如下图所示：
2．点击该页Inbound Services下面的add，添加端口映射规则：
例如，FVX538中有一台FTP服务器，IP地址为:192.168.1.200，这时我们可以在相应的选项中作以下设置：
- Server：选择FTP服务
- Action：ALLOW always
- Send to LAN Server：输入FTP服务器的IP地址，即192.168.1.200
- Translate to Port Number：默认不选
- WAN Destination IP Address：选择WAN1
- LAN Users：Any
- WAN Users；Any
注：由于路由器已将HTTP、FTP、SMTP、POP3等常用服务定义好了，所以可直接在Service菜单中选择服务名称即可，但若服务在Service中找不到，则需在进入Security组后选择Services子项先进行服务的编辑，譬如要开放TCP 3389端口，需先完成服务的定义，如下图所示：
Name是给服务的命名，Type选择协议类型，有TCP、UDP、TCP/UDP、ICMP四类，视服务所需的协议来选择，Start Port和Finish Port是服务的起始端口，若服务只涉及一个端口，那二者所填相同，Default QoS Priority通常保持缺省设置，除非您有优先级设置的需要可选取其他选项。
完成服务定义后，再如本文开头所讲，通过Firewall Rules->Inbound Services进行规则定义即可。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 5.
-
-
- 答案：
-
本文将以FR538G V2.1.14为例详细描述Netgear系列防火墙的DMZ区的配置方法，主要包括以下内容：
- 启用FR538GDMZ服务区
- 建立DMZ服务区到WAN区的规则
- 建立LAN区到DMZ区的规则
测试环境：
测试环境：FR538G的通过 10兆光纤连接运营商，两个固定的公网IP地址。WAN1端口IP设置为58.62.221.130，WAN2端口IP设置为58.62.221.131，一个局域网内部的用户上网，另外一个用于收发邮件和FTP文件资源共享。
- 内部网络：192.168.1.0/24网关：192.168.1.0/24
- DMZ服务区：192.168.10.0/24 网关：192.168.10.1/24
- Internet端口：58.62.221.130/58.62.221.131
- 邮件服务器：192.168.10.100
- FTP服务器：192.168.10.200
参照下图网络配置：
图1：DMZ实例拓朴图
一、启用DMZ服务区
该步骤的主要目的是将内网的端口第4端口设置为DMZ端口，设置完成后，连接到端口4的服务器应该能够PING通DMZ的地址。具体配置如下图：
图2：DMZ服务区的起用
- 在Network Configuration管理菜单里选择DMZ Setup
- 在DMZ Setup页面里的Do you want to enable DMZ Port?中选择YES
- 在IP Address上添如DMZ服务区的地址。（注意该地址不能和LAN/WAN端口的地址在同一个网段上）
- 在IP Subnet Mask上填入DMZ服务区IP地址的子网掩码。
- DHCP是否启用视用户的需要而定。
设置完成后点 Apply完成即可。
二、建立DMZ服务区到WAN区的规则该步骤目的是设置DMZ服务区和WAN服务区（Internet接口）之间的访问规则，在默认的情况下，FR538G的WAN服务区和DMZ服务区是不能互相通讯的，也就是说放在DMZ里面的主机不能被Internet的用户连接，同时DMZ里面的主机也不能访问Internet。只有完成DM服务区到WAN服务区的策略配置之后，DMZ区的主机才可以按照策略访问Internet或者被Internet的主机访问。
图3：DMZ服务区到WAN区规则的启用
如上图，点击管理菜单的Security上的Rules项目，我们可以看到Rules设置页面，选择DMZ-WAN Rules我们便可以进入DMZ-WAN的策略设置页面，在该页面里，我们可以看到Outbound Service和Inbound Service选项。所谓Outbound Service就是指从DMZ服务区到WAN服务区的策略，同样Inbound Service就是知从WAN服务区到DMZ服务区的访问策略。
1．创建DMZ区到WAN的规则
创建DMZ区到WAN的规则只需在Outbound Services选项中添加相应的规则：
- 在管理菜单上选择Security上的Rules项目
- 在Rules页面里选择DMZ-WAN
- 在Outbound Service里面点击add选择添加便进入Outbound Service的配置页面。
在Outbound Services里面必须进行以下设置：
- 在Service里面选择需要规划的服务类型
- 在Action里面选择策略的处理办法
- 在LAN Users里选择源地址
- 在WAN Users里选择目标地址
设置完成后点击Apply应用即可。
在本实例中我们是允许DMZ区的服务器访问Internet的，所以设置如下：
- Service：ANY
- Action：ALLOW always
- DMZ Users：Any
- WAN Users：Any
如下图所示：
图4：DMZ-WAN Outbound规则设置
2．创建WAN到DMZ区的规则
创建WAN到DMZ区的规则只需在Inbound Services选项中添加相应的规则：
- 在Network Configuration管理菜单上选择Security上的Rules项目
- 在Rules页面里选择DMZ-WAN
- 在Inbound Service里面选择添加便进入Inbound Service的配置页面。
在Intbound Services里面必须进行以下设置：
- 在Service里面选择需要规划的服务类型
- 在Action里面选择策略的处理办法
- 在Send to LAN Server里输入需要为外网提供服务的主机的IP地址
- 在WAN Users里选择源地址的范围，一般是选择Any
- 在WAN Destination IP Address里面选择WAN1、WAN2或Other Public IP Address并且输入和DMZ服务区里面的服务器对应的公网IP地址。
设置完毕后，DMZ服务区里的主机应该能够根据策略访问Internet或者被Internet的用户访问。
本实例中我们需添加FTP、SMTP、POP3的服务，并通过WAN2端口提供服务。
1) 添加FTP规则
添加FTP规则
- Server：选择FTP服务
- Action：ALLOW always
- Send to DMZ Server：输入FTP服务器的IP地址，即192.168.10.200
- Translate to Port Number：默认不选
- WAN Destination IP Address：选择WAN2
- DMZ Users：Any
- WAN Users；Any
图5：DMZ-WAN Inbound规则设置
2) 添加SMTP POP3规则
添加SMTP和POP3规则
- Server：选择SMTP和POP3服务
- Action：ALLOW always
- Send to DMZ Server：输入FTP服务器的IP地址，即192.168.10.100
- Translate to Port Number：默认不选
- WAN Destination IP Address：选择WAN2
- DMZ Users：Any
- WAN Users；Any
如下图所示：
图6：DMZ-WAN Inbound规则设置
图7：DMZ-WAN Inbound规则设置
三、建立LAN区到DMZ区的规则
在默认的情况下，FR538G版本开始，从LAN区到DMZ区的允许的，不需要增加一条静态路由即可对DMZ区的服务器进行访问。
OutBound Servers规则
在默认的情况下，FR538G不需要添加任何规则，即可对DMZ区进行访问，然而，我们也可以通过添加规则限制LAN区到DMZ区的限制。本例中我们均允许LAN区的用户访问DMZ区的服务器，因此，不需要任何配置，如下图所示：
图8：LAN-DMZ Outbound规则设置
InBound Servers规则
为了确保LAN区的计算机用户的计算机安全性，在默认的情况下，FR538G不需要添加任何规则的情况下是不允许从DMZ区至LAN区的，因此，若DMZ区的服务器需要访问LAN用户的，需要添加规则才能访问LAN内的计算机用户，如下图所示：
图9：LAN-DMZ Inbound规则设置
若如上图添加允许访问LAN用户的规则，当入侵者攻陷DMZ时，内部网络将不会受保护。因此，我们建议在一般情况下，不要在Inound Services添加任何规则，以确保LAN内计算机用户的安全。在本例中，DMZ区的用户是不可以访问到LAN内的计算机用户，因此，我们在LAN-DMZ的规则中不需要添加任何规则。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 6.
-
-
- 答案：
- 登到 FR538G
- 打开 FR538G 的电源，直到电源指示灯变成绿色，同时其它指标灯均已熄灭；
- 把一条以太网线接到 FR538G 的局域网端口，另一端接到电脑的网卡上。
- 用标准的浏览器如 Internet Explorer 打开管理界面 http://192.168.1.1
- 默认的用户名 = admin 和密码 = password
二、升级过程：
1. 点击 Administration > Settings Backup & Firmware Upgrade 的管理菜单。
“Settings Backup and Firmware Upgrade ”的设备页面将显示，如下图所示：
2. 在 FR538G “Router Upgrade”升级选项中， 点击浏览选中升级的Firmware，如上图所示。
3. 点击 Upload。路由器开始开级，升级过程约需要3~5分钟时间，升级完成后，FR538G将自动重启。
FR538G 升级成功后，系统将自动重如，如下图所示：
三、确认 FR538G 的版本 Confirm the FW version
点击 Monitoring > Router Status 的管理菜单，如下图所示：
四、恢复出厂设置值 Return to System default
系统重启完成后，重新进入到FR538G的管理页面，点击Administration > Settings Backup & Firmware Upgrade管理菜单，点击default 即可恢复FR538G的出厂设置值，你也可能在设备通电的情况下，按着FR538G前面面板右边的按钮“Factory Default”15秒。如下图所示：
五、注意事项:
- FR538G产品升级前，先断开与交换机的连接，只保留一台电脑与FR538G连接升级即可；
- 软件包不可以保存在任何中文目录下，如系统的桌面上等，可以保存在如c:\fr538g目录中；
- 升级过程中，不可以中断升级页面，不可以点击其他菜单；
- 升级页面显示升级完成后需要等60秒设备重新启动；
- 对设备进行硬件复位：设备完全启动后(Test灯熄灭)，按住reset按钮约15秒；
- 关掉IE，重新开一个IE页面，再次对设备进行升级；
- 同样，升级页面显示升级完成后需要等60秒设备重新启动，然后对设备进行硬件复位；
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 7.
-
-
- 答案：
-
FR538G支持QoS限速功能，从 V2.1.14 开始，FR538G的限速功能可通过设置各PC的上限和下限带宽，实现精确的带宽限制，本文将通过 FR538G V2.1.14 的版本为例（注：本文的QoS设置方法不适用于 V2.1.13 版本），详细介绍FR538G的QoS带宽限速功能，并通过一些范围介绍具体的使用方法：
一．FR538G 的全域参数
1．设置广域网端口最大频宽
进入到FR538G的管理菜单Monitoring>QoS>Maximum Bandwidth选项，如下图所示：
例如:
广域网连线路为4Mbps 上行及4Mbps 下行，则Upstream 及Downstream 应各设置为512 KByte/Sec 。请注意，广域网端口最大频宽应依照实际情况以正确数值设置。
2．启动或关闭QoS
进入到FR538G的管理菜单Monitoring>QoS>QoS选项，如下图所示：
Do you want to enable QoS?选中Yes并应用即可。
3．设置QoS 型态
- Rate Control: 选择以流量控制方式设置QoS 规则
- Priority: 选择以优先权方式设置QoS 规则
二．以流量控制（Rate Control）方式设置 QoS 规则
1．新增QoS 规则
点击右下角的Add添加按钮进行添加新的规则，如下图所示：
2．选择广域网端口位置
以下拉式选单选择QoS 规则需要使用的广域网端口。
3．设置QoS 规则中的过滤条件
过滤条件为以下四个栏位:
- 服务(Service): 选择要以何种服务作为过滤条件，如不须指定特定服务则选择”Any”。
- 方向(Direction): 若遇过滤内网至广域网流量则选择”Upstream”，反之选择”Downstream”。
- DiffServ QoS Match: 选择以IP 标头中的DiffServ 栏位设置过滤条件。若不需以DiffServ 标籤设置过滤条件则选择”Disable”。
- 主机(Hosts): 若欲选择使用IP 地址区间为过滤条件则选择”IP address range”，否则可选择”Group”以预先设定的主机群组设置过滤条件。
- 拥塞优先权(Congestion Priority): 若规则间发生竞争流量时，则根据此设定值来决定要将流量分配之优先权。
4．设置QoS 规则中的动作
动作包含以下栏位:
- 共享流量(Total IPs Share): QoS 规则中之流量将由规则中所允许的计算机平均分配使用。
- 平均分配(For each IP): 指定规则中的每个计算机的最小及最大流量。
- DiffServ QoS Remark: 将IP 标头中的DiffServ 标籤更换为指定的标籤。
请注意，最小与最大频宽的设置如以下公式计算:
若选择Total IPs Share每部计算机最低保证频宽: QOS 规则中的频宽设定值 / 规则中允许计算机数每部计算机最大可使用频宽: QOS 规则中的频宽设定值
若选择For each IP每部计算机最低保证频宽: QOS 规则中的MIN 频宽设定值每部计算机最大可使用频宽: QOS 规则中的MAX 频宽设定值
三、范例
使用者IP 分配: 192.168.1.10 ~ 192.168.1.109
服务器IP 分配: 192.168.1.2 ~ 192.168.1.6
群组使用者IP 分配:
Group2: 192.168.1.120, 192.168.1.200
Group5: 192.168.1.149, 192.168.1.155, 192.168.1.163, 192.168.1.216广域网端口频宽: 4Mbps/4Mbps ( 意即: 512KBps/512KBps)
广域网频宽配置策略: 使用者: 最低下载保证频宽为2KBps, 当使用者只有一人时最高可使用频宽为250KBps. 服务器: 共用下载频宽为250KBps Group2 使用者: 最低下载保证频宽为50KBps, 当使用者只有一人时最高可使用频宽为250KBps. Group5 使用者: 共用上载频宽为100KBps
具体设定如下:
1．设置使用者群组
进到管理菜单Network Configuration>LAN Groups进行分组，如下图所示：
2．设置端口最大频宽
3．启用QoS
4．新增使用者的下行(Downstream)QoS 规则设定如下:
- 每部计算机最低保证频宽: 2KB/s
- 每部计算机最大可使用频宽: 250KB/s
5. 新增服务器的下行(Downstream)QoS 规则设定如下:
- 每部计算机最低保证频宽: (250 / 5) = 50KB/s
- 每部计算机最大可使用频宽: 250KB/s
6．新增群组使用者(Group 2: 2 IP hosts included) 的下行(Downstream)QoS 规则设定如下:
- 每部计算机最低保证频宽: 50KB/s
- 每部计算机最大可使用频宽: 250KB/s
7．新增群组服务器(Group 4: 4 IP hosts included) 的上行(Upstream)QoS 规则设定如下:
- 每部计算机最低保证频宽: (100 / 4) = 25KB/s
- 每部计算机最大可使用频宽: 100KB/s
8. 设置终了以后的结果如下图所示:
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 8.
-
-
- 答案：
-
端口镜像是把某一端口的数据在发出或接收的同时复制一份到指定的镜像端口，以检测网络通讯的功能，在网吧等需要对整个网络进行监控的环境中有重大作用。
FR538G支持标准的端口镜像功能，具体设置如下：
进入管理界面Network Configuration>LAN Setup>Port Mirror菜单，如下图所示：
Enable Port Mirror？选中Yes
Mirror Port :监控的端口，该端口用于对其它端口的流量及数据包进行监控；
Egress：被监控的端口上出去的数据包；
Ingress：被监控的端口上进去的数据包；
用户可根据实际情况，选择多个被监控的端口进行监控。
点击Apply即可。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 9.
-
-
- 答案：
-
最近，互联网上越来越多ARP欺骗的病毒泛滥，使企业用户和网吧的网络管理员饱受ARP病毒欺骗之苦，ARP欺骗是利用局域网内PC和路由器的ARP Cache的漏洞，中了ARP欺骗病毒的主机通过发出大量的虚假的ARP信息来欺骗PC机或路由器，使PC机或路由器的ARP列表出错，导入局域网内的PC出现丢线的现象，严重的可以使到整个局域网的PC出现大面积的丢线，严重影响网吧或企业网络的上网。
ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。
针对ARP欺骗的情况，FR538G防火墙提供了全面的解决方案。
第一种类ARP欺骗类型，即：对路由器ARP表的欺骗，该ARP欺骗类型的目的就是使路由器获取了错误的的PC的MAC 地址，当一个数据包从局域网发出，经路由器至Internet的某台服务器后，该服务器发回来的响应数据包经路由器时，因为得到了PC错误MAC地址，使响应数据包无办法回到正确的PC上，从而导致出现丢线现象，解决该问题，只需路由器支持IP/MAC地址，使ARP欺骗病毒的错误信息无办法影响到路由器的ARP列表即可。
FR538G支持IP/MAC 地址绑定，具体设置需进到FR538G的管理界面：Security>IP/MAC Binding选项，如下图所示：
1）. 启用 IP/MAC 绑定功能：
Do you want to enable IP/MAC Binding ? 选中“Yes”，并点Apply即可。2）. 扫描可绑定的PC的IP/MAC信息：
按一下refresh按钮：
，FR538G开始在局域网进行扫描，当扫描完成后，会显示如下图所示：
注：当你的网络经过三层交换或路由连接到FR538G时，FR538G将不能扫描不是直接连接的网段，也不能进行有效的IP/MAC绑定。3）. Enable需绑定的IP/MAC地址：
选中要绑定的IP/MAC地址，并点击绿色按钮enable即可。有时因为局域网内有部分PC未开启，所以FR538G无办法进行有效的扫描，因此，当这些PC机开启后，我们只需重新按一下refresh按钮重新扫描即可。
注意：在设置IP/MAC绑定时，需首先把FR538G的DHCP Server关闭。
第二种是对内网PC的网关欺骗，即欺骗局域网的PC，使他们无法获得正确的路由器的IP地址及MAC地址等信息，从而使PC无法通过正确的网关出Internet,解决该问题的方法有两种：
第一种设置的办法就是我们常说的双向绑定的方法，即除了上述所说的在FR538G设置IP/MAC地址的绑定外，我们需在单台PC上进行绑定正确的路由器的IP/MAC地址即可。
1）. 进入管理菜单Monitoring>Router Status，查看FR538G的LAN 口的IP和MAC地址，如下图所示：
2）. 编写一个批处理文件xxx.bat内容如下；
@echo off
arp -d
arp -s 192.168.1.254 00:11:22:33:44:43刚才我们已经查看了FR538G正确的IP/MAC地址信息，现在，我们把该IP/MAC 地址添加到在批处理文件中保存，并将该批处理文件拖到“windows--开始--程序--启动”中，如果是网吧，可以利用收费软件服务端程序(如pubwin或万象等软件)发送批处理文件xxx.bat到所有客户机的启动目录。
这样，我们即完成了双向绑定的设置，从而有效地防止ARP欺骗病毒。
另外，如果在实际环境中不方便对每一台PC进行单向绑定，我们可以采用第二种防御方法，即启用FR538G的Arp Attack Prevention功能。该功能启用后，FR538G将主动发布正确的ARP信息，确保下面的电脑接到正确的ARP信息，防止出现被中毒的PC发布的错误网关信息影响，使局域网内的PC均获得正确的路由器的IP/MAC信息。
具体设置需进到Security>IP/MAC Binding选项，如下图所示：
在Arp Attack Prevention选项中提示：do you want to enable Arp Attack Prevention?选中Yes，Refresh Interval默认值为100ms即可，点击Apply即立即生效。
通过以上的设置，各企业用户及网吧用户，将不再担心ARP欺骗病毒引起的丢线问题，确保局域网的用户实现24*7小时的Internet访问服务。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 10.
-
-
- 答案：
-
我们以国内常用的三种 Internet 连接方式（一种为光纤固定 IP，一种为动态 ADSL，还有一种为静态 ADSL）为例，介绍在 FR538G 中的相关配置：
一、固定IP地址：
1．进入Network Configuration－WAN Settings－WAN1 Settings中，如下图所示：
- Do you want to enable bridge mode on WAN1 ?处选择“Disable”
- 在“Does Your Internet Connection Require a Login?”处选择“No”。
- 在“Internet (IP) Address”处选择“Use Static IP Address”，并填入ISP给的IP地址、子网掩码及网关。
- 在“Domain Name Server (DNS) Servers”处选择“Use These DNS Servers”，并填入ISP给的DNS服务器地址。
2．点击“Apply”保存。
二、ADSL拨号（动态IP地址）
1．进入Network Configuration－WAN Settings－WAN1 Settings中，如下图所示：
- Do you want to enable bridge mode on WAN1 ?处选择“Disable”
- 在“Does Your Internet Connection Require a Login?”处选择“Yes”。并在右边的Login处填入ADSL用户名，Password处填入ADSL密码
- 在“ISP Type”处选择“Other（PPPoE）”，在右边“Idle Timeout”处，如果您是包月不限时的用户，您可以选择Keep Connected；如果是限时用户，可以选择Idle Time并填入闲置超时的分钟数，默认为5分钟，即5分钟后没有网络流量，防火墙将自动断开网络连接。
- 在“Internet (IP) Address”处选择“Get Dynamically from ISP”。
- 在“Domain Name Server (DNS) Servers”处选择“Get Automatically from ISP”。
2．点击“Apply”保存。
设置成功后，我们可以到管理菜单Monitoring>Router Status中查看WAN1 的状态，如下图所示，当我们看到ADSL成功拔号并获取到公网的IP地址时，显示ADSL拔号已成功。
三、ADSL拨号（静态IP地址）
1．进入Network Configuration－WAN Settings－WAN1 Settings中，如下图所示：
- Do you want to enable bridge mode on WAN1 ?处选择“Disable”
- 在“Does Your Internet Connection Require a Login?”处选择“Yes”，并在右边的Login处填入ADSL用户名，Password处填入ADSL密码。
- 在“ISP Type”处选择“Other（PPPoE）”，在右边“Idle Timeout”处，如果您是包月不限时的用户，您可以选择Keep Connected；如果是限时用户，可以选择Idle Time并填入闲置超时的分钟数，默认为5分钟，即5分钟后没有网络流量，防火墙将自动断开网络连接。
- 在“Internet (IP) Address”处选择“Use Static IP Address”，并填入ISP给的IP地址、子网掩码及网关。
- 在“Domain Name Server (DNS) Servers”处选择“Use These DNS Servers”，并填入ISP给的DNS服务器地址。
2．点击“Apply”保存。
三、WAN MODE设置
FR538G提供多达4个千兆WAN口，能为用户提供多条链路同时接入互联网，并支持Auto-Rollover和Load Balancing模式，用户可根据实际情况进行选择配置。
Auto-Rollover模式：选中该模式时，FR538G将把某一个WAN口作为主链路，另外已配置的端口作为备份链路，当主链路连接Internet 的线路有问题时，FR538G将自动启用备份链路，并通过备份链路连接到Internet。
Load Balancing模式：该中该模式时，FR538G将同时启用已配置的WAN端口，使局域网的用户均能通过多条链路连接到Internet，并起到多条链路负载均衡的作用。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 11.
-
- 答案：
- 是的，FR538G兼容其它的支持TCP/IP的操作系统（即支持web浏览器） 。
-
- 12.
-
- 答案：
- 不，FR538G不支持NetBEUI.协议。
-
- 13.
-
- 答案：
- 不，FR538G不支持IPX或 AppleTalk协议
-
- 14.
-
-
- 15.
-
-
- 16.
-
-
- 17.
-
- 答案：
- 通过Web配置，启用公共服务（端口转发）功能。
-
- 18.
-
- 答案：
- 静态IP地址是一个IP地址，即"永久"分配给该用户的时候，他们首先注册了自己的互联网服务。动态分配的IP地址是当您连接到互联网时暂时分配给你的，该IP地址有一定的时间限制。
-
- 19.
-
-
- 20.
-
-
- 21.
-
-
- 22.
-
- 答案：
- FR538G能够用来以下系统平台：Macintosh，Linux，UNIX等基于TCP/IP协议和能够通过浏览器（例如：Netscape 和Windows IE）进行使用。
-
- 23.
-
- 答案：
- FR538G集成了16Mb的Flash和64Mb的DRAM内存在主板上，给用户充足的空间来提升未来的性能。
-
- 24.
-
- 答案：
- The FR538G该用的处理器为：Cavium CN3010，500 MHz。
-
- 25.
-
- 答案：
- FR538G将计划于2008年4月开始在NETGEAR的各大分销商/代理商出售。
-
- 26.
-
- 答案：
- 是的，这些都是作为标准配置。这种类型的过滤称为"静态内容过滤" 。
-
- 27.
-
-
- 28.
-
-
- 29.
-
-
- 30.
-
-
- 31.
-
-
- 32.
-
-
- 答案：
-
不是的，虽然"防火墙"的描述与路由器的功能相似，可以伪装成电脑的IP地址，但一个真正的防火墙采用的技术名为状态封包检测（SPI）。防火墙提供了更高层次的安全，因此，一般都比NAT路由器昂贵。防火墙使系统管理员能够设置特定的IP地址或者域名，主叫都不准进入（过滤）。防火墙还可以通过使用安全登录程序和认证证书远程接入到私有网络（虚拟私人网络或虚拟专用网）.防火墙可防止拒绝服务（DoS）攻击，而且可以利用软件来提供内容过滤功能，使人们无法得到访问特定的网站。另外还有广泛的日志警告能力，被称为入侵检测系统。该fr538g及其同类产品如FVS114和FVS318是真正的防火墙。 - 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 33.
-
-
- 34.
-
-
- 35.
-
- 答案：
- 是的，这是一个路由器并有更多的功能。该FR538G提供的所有功能，网络地址转换（NAT），路由器，以及许多更安全的特点。
-
- 36.
-
- 答案：
- FR538G是一个网络安全设备用于连接多台个人电脑（广域网，或LAN ），在小型办公室，以互联网（广域网或广域网）稳妥地透过四个宽带调制解调器连接，如DSL或电缆。
-
- 37.
-
- 答案：
- 加电情况下，按住设备网络口旁边的‘reset’小按钮12秒以上； 在‘Settings backup’菜单里面，选择‘Erase’，然后确定；
-
- 38.
-
- 答案：
- 最好只有单台电脑跟设备连着； 软件升级包不要保存在系统的桌面上或者中文的目录下； 软件升级完成后需要将设备恢复出厂值后再重新配置；
-
- 39.
-
- 答案：
- 升级到最新版本后需要将设备复位； 复位后再升级一次； 将设备重启动； 在router status中查看：primary firmware和secondary firmware是否一致；
-
- 40.
-
-
- 答案：
-
一．动态域名服务的概况
全球成长型商用网络专家与无线网络的先锋美国网件公司（NETGEAR）所发布的所有VPN防火墙系列产品（包括FVS318， FVS338,FVS328，FVL328，FVS338，FVX538,FVM318,FWAG114P）都支持动态域名解释服务，以方便用户在使用动态的IP地址接入互联网时可以方便建立属于自己的虚拟专用网络（VPN）。现在以FVL328为例子，作一个简单的介绍，在FVL328的配置页面里面（F/W2.003），点击左边工具菜单里的DynamicDns选项，如下图：
图一：Netgear防火墙动态域名设置
我们提供动态域名服务的供应商有三家，具体的情况如下表：
供应商
官方网站
所在地区
绑定域名
收费方式
www.dyndns.org
美国新罕布什尔
Name.dyndns.org
免费
Tzolkin Corporation
Netgear.tzo.com
美国麻省
Name.tzo.com
xxx.name.com$24.95/年$59.95/年
网域科技（ngDDns/OrayDns）
www..oray.net
中国广州
Name.ng.iego.net
免费
二．设置详解
可见，在第一节中，从三个提供动态域名服务的供应商的地理位置来说，在国内使用的防火墙设备最好采用网域科技提供的动态域名服务.以下就网域科技提供的动态域名服务给出详细的配置方法供用户参考：
- 在工具栏里点选Dynamic Dns,进行动态域名的配置，如图：
图二：FVS318 Dunamic Dns 设置
2．点选Oray.net,这时系统会提示你输入争取的DNS 域名和用户名密码等登陆信息。
图三：FVS318 Dunamic Dns 设置
- 点击Oray.net右边的连接，将引导用户进入网域动态域名的注册系统，在这里你可以申请一个免费的，唯一的动态域名，如图：
图四：FVS318 Dunamic Dns 设置
- 点击注册开始申请
图五：FVS318 Dunamic Dns 设置
- 回到FVS318的配置页面，在DDNS选项里，先选中适当的服务提供商，在中国大陆我们应该选择Oray.net（网域科技），然后在相应的信息栏目里填入相应的注册信息即可。如下图：在我们的例子里，我们为站点A申请了，名为Netgear-a.ng.iego.net的动态域名。
图六：FVS318 Dunamic Dns 设置
三．当内置的动态域名失效时的应变办法
声明：美国网件公司并不保障在其防火墙提供的动态域名服务质量，动态域名的服务质量应该以提供该动态域名服务的供应商的服务承诺为参照。
从以上声明我们可以了解到，当我们在Netgear的防火墙/宽带路由器/VPN设备时使用网域科技提供的免费动态域名服务的时候，我们应该以网域科技公布的动态域名服务质量作为参考，针对最近很多用户反应使用网域的动态域名服务时常常出现反应缓慢，甚至根本不能正常解释的问题，我们总结出以下四种故障情况。并针对以下的情况，我们在下文将详细给用户介绍故障的诊断办法及如何解决问题。
1．当地DNS服务器的问题导致用户无办法连接到动态域名服务器
2．动态域名服务器出现故障或者内部维护的时候，动态域名服务器无方法提供服务。
3．动态域名服务器繁忙，正在排队处理登陆请求
4．ISP屏蔽了某些曾经非法使用过动态域名服务的IP地址段，导致部分用户根本无法使用。
- 问题一：如何判断我的接入点的DNS配置能否能正确解释动态域名服务器供应商的服务主机？
此类问题，我们建议大家在Window 98/2000/xp命令行模式下,输入以下命令：
Ping ngddns.oray.net，如下图：
图七：DNS服务器的判断
如图中显示，当地的DNS配置能够正确解释出动态域名服务器的IP地址，则表示当前的DNS配置没有问题，如果出现解释不该域名对应的IP地址，则用户必须修改当前的DNS配置，以下给出两个经过测试的DNS供用户参考：
1．61.144.56.101
2．202.96.128.68
- 问题二：如何判断我的接入点是否能正常连接到动态域名服务器？
此类问题，我们建议大家在Window 98/2000/xp命令行模式下,输入以下命令：
Telnet ngddns.oray.net 6000 ，如下图：
图八：能否连接到DDNS服务器的判断
如上图显示的是动态域名服务器的响应信息，如果用户使用该诊断命令无法得到服务器如上图的正确响应，则用户有可能不能连接到服务器或者服务器正处于维护或者繁忙的状态，遇到该类问题，用户可以直接致电网域科技或者美国网件客户服务中心查询。
- 问题三：如果保障动态域名服务的正常使用？
当用户经过修改DNS的设置和联系服务供应商仍然不能解决动态域名的解释问题的时候，我们郑重建议用户使用其它动态域名服务供应商提供的服务作双系统备份。在此我们推荐三家比较稳定的动态域名服务供应商：
供应商
官方网站
所在地区
绑定域名
收费方式
www.88ip.com
中国广东深圳
Name.88ip.cn
600元/年
希网网络
www.3322.org
中国江苏常州
Name.3322.net
免费
网域科技（花生壳系列）
www.oray.net
中国广东广州
Name.vicp.net
免费
我们只要到其中一个网站注册其合法的用户口令（使用收费的比免费的稳定），并下载该供商动态域名服务客户端软件安装到公司内部网络里的一台可以访问互联网的电脑上面即可以使用，同时我们在选择软件安装的电脑的时候应该选择那些性能稳定和需要长时间开启的电脑主机以保证服务的正常使用。如下图：
图九：第三方动态域名服务的应用
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 41.
-
-
- 答案：
-
全球领先的VPN 防火墙专家Netgear 出品的Fvs124g/fvs338/fvx538VPN防火墙都支持IEEE802.1D-1998（802.11p通用优先级别的Qos服务）。在Netgear的防火墙里面，优先等级的设定细分到每一个服务或者IP地址规则，Qos处理的优先级别取决于该服务或者IP地址规则所设定的优先等级，优先级别高的服务或者IP地址规则将会被优先处理。
在Netgear的VPN防火墙里面：
- 您可以选择接受默认优先级别设定的数据包，而不去改变他们的优先级别。
- 你可以修改默认的优先级别设定的数据包的级别，以改变防火墙对数据包处理的优先顺序。
注意：Qos优先级别的设定完全遵循IEEE 802.1D-1998 (formerly 802.1p) 标准的服务等级标记。
Netgear定义的Qos
Native ToS Setting
Netgear QoS Setting
None
6
5
4
3
2
7
7
6
5
4
3
2
6
6
6
5
4
3
2
5
5
6
5
4
3
2
4
4
6
5
4
3
2
3
3
6
5
4
3
2
2
2
6
5
4
3
2
1（默认）
1
6
5
4
3
2
0 (最低)
0
6
5
4
3
2
从上图可以观察到Netgear的VPN防火墙设备对来自内部网络的数据包的处理过程，Netgear定义的QoS有六个等级，来自网络的数据包将根据用户在规则内设定的QoS等级进行处理。举例如下：
例子1：当来自网络的数据包被定义为等级3，而在防火墙里定义该数据包通过的等级为NONE的时候，防火墙将按照等级3的优先次序来处理该数据包。
例子2：当来自网络的数据包被定义为等级3，而在防火墙里定义该数据包通过的等级为7的时候，防火墙将按照等级7的优先次序来处理该数据包。
例子3：当来自网络的数据包被定义为等级3，而在防火墙里定义该数据包通过的等级为2的时候，防火墙将按照等级2的优先次序来处理该数据包。
总结
从上面的介绍我们可以知道，我们不可以通过改变QoS的优先级别来控制WAN口的出口带宽，但我们可以通过该变某些服务的或者IP地址通过防火墙的优先级别，以保证在网络繁忙的时候，防火墙可以保障该重要服务或者IP地址通过，以有效地理由带宽资源。
Netgear防火墙上的QoS设定
在三个地方可以进行Qos优先级别的设定，现分别介绍如下：
1．在Services里面的 Add customer service里面
通过该页面可以定义否一个端口服务的Qos优先等级
图1：Add customer service
2．在rules里面的 Add inbound rules里面
通过该页面可以定义基于inbound规则的Qos优先等级
图2：Add inbound rules
3．在rules里面的 Add outbound rules里面
通过该页面可以定义基于outbound规则的Qos优先等级
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 42.
-
-
- 答案：
-
本章节描述如何在在 ProSafe™ VPN 防火墙上面使用 XAUTH 及 RADIUS 为客户端软件提供用户验证
名字解释：XAUTH and RADIUS
当很多用户需要通过客户端软件连接到VPN网关的时候，网管人员通常会为每一个用户设置不同VPN策略和预置密码用以区分每一个用户，尽管网络管理员可以为每一个用户配置一条独立的VPN策略，但显然，如果有一种技术，可以将用户的信息保存在数据库里使用统一的VPN策略对用户进行身份认证，这样将大大减少网络管理人员的工作负担和简化管理程序。XAUTH为这些需要区分每个用户用户进行身份验证的应用提高了一种机制，该机制允许VPN网关使用Radius服务器或者本地数据库记录用户信息并对用户进行身份认证。
RADIUS (Remote Authentication Dial-In User Service, RFC 2865) 是一个管理网络里多个用户的验证，授权，计费（AAA）的协议。RADIUS服务器在数据库里存储有效的用户信息，并能给要求访问网络资源的合法用户授权。
当客户端开始一个VPN连接的请求的时候，VPN网关通过XAUTH（拓展验证）强行中断VPN协商的过程，并要求客户端必须输入合法的用户名的密码进行验证，网关在接收到来自客户端提供的用户名和密码之后首先在本地数据库校验信息是否合法，如果在本地数据库找不到相对应的用户名，则将信息转发到RADIUS服务器进行校验，如果判断为合法，则继续VPN的协商过程，如果用户不合法，则中断VPN连接。
适用环境
该功能可以在以下的产品及软件版本上实现。
Model
Firmware
FVX538
1.6.38
FVS338
1.6.35
本文档在以下环境下编写并验证通过:
- 网件FVS338 ProSafe VPN 防火墙（固件版本：1.6.35）
- 网件ProSafe VPN 客户端软件版本10.5.1 (Build 8)
支持的RADIUS服务：
支持多数标准的免费/商业发布的RADIUS服务程序，比如：
- FreeRADIUS, 一个开放的LINUX原代码程序
- Microsoft Windows IAS
- Funk Software Steel-Belted RADIUS
ProSafe VPN防火墙在FreeRADIUS 和Microsoft IAS上测试通过。同时本文章不再详细介绍每一种RADIUS的配置办法，美国网件公司并不强制客户必须使用某种RADIUS Server软件，所有的RADIUS Server的配置信息均可以参考厂家提供的标准配置文档。
设置VPN防火墙的XAUTH模式
在配置VPN的IKE策略的时候，选择要求使用XAUTH验证，则可以启用VPN的XAUTH功能。我们在配置该IKE策略的XAUTH的时候，系统会提供两种模式给用户选择。如下:
- IPsec Host — 作为客户端，在连接到中心时需要提供用户名和密码
- Edge Device — 作为服务器端（中心），要求客户端必须进行口令验证。
当VPN防火墙定义为IPsec Host的时候，在建立VPN连接的时候，设备会给服务器端提供用户名和密码信息。
当VPN防火墙定义为edge device模式的时候，VPN网关则要求客户端必须输入合法的用户名的密码进行验证，网关在接收到来自客户端提供的用户名和密码之后首先在本地数据库校验信息是否合法，如果在本地数据库找不到相对应的用户名，则将信息转发到RADIUS服务器进行校验，如果判断为合法，则继续VPN的协商过程，如果用户不合法，则中断VPN连接。
具体设置如下：
- 进入IKE Policies选项并点击 Edit按钮进入IKE Policies编辑页面
- 在 X AUTHENTICATION 项目下面, 选择Edge Device.
- 在Authentication Type下选择Generic使用PAP协议, 否则则选择CHAP以使用CHAP协议. 如果你打算使用RADIUS,则您必须在RADIUS上设置相对应的验证协议。通常地.，PAP 协议简单实用，而CHAP则更为安全。
- 点击应用使配置生效。
- 下一步，设置您的VPN防火墙是通过本地数据库验证还是通过扩展的RADIUS 服务器验证。防火墙首在User Database里面定义的本地数据库的用户名和密码信息进行验证，如果找不到匹配的条件，则转交到在RADIUS Clien项目里定义的RADIUS服务器来验证。
配置VPN防火强使用本地数据库进行验证
即使你没有配置RADIUS服务器，你仍然可以使用VPN防火墙自带的用户数据库实现用户验证功能。在使用该功能之前，你必须在User Database项目下面配置用户信息，如下：
- 在User Database项目下面点击 add按钮。
- 在User Name和Password里分别填写相应的信息。
- 点击Apply按钮即可起用本地数据库。
配置防火墙使用RADIUS服务器进行验证
在Radius Client项目里面，可以定义一个主的RADIUS服务器和备份的RADIUS服务器。防火墙首先和主的RADIUS服务器联系，如果主的RADIUS服务器没有响应，则转到备份的RADIUS服务器上。
在Primary和Backup Server里面的设置介绍如下:
- Server Address — RADIUS的IP地址.
- Auth port — RADIUS服务器的验证端口号，对于正在出来的验证用户，RADIUS客户端会使用该端口和RADIUS服务器通讯，在大部情况下，默认的端口号都不应该修改。
- Acct port — RADIUS的计费端口号。在大多数情况下默认的端口号不需要修改。
- Secret Phrase— RADIUS客户端和服务器之间的通讯密钥。该密钥必须在服器端和客户端单独配置，并要求相互一致。
- NAS Identifier —防火墙充当NAS（网络访问服务）角色，允许合法的外部用户访问网络。在一个RADIUS会话里面，NAS必须递交NAS身份标识到RADIUS服务器，在该例子里NAS的身份标识可以是防火墙的IP地址或有效的用户名，在某些应用场合里，RADIUS服务器有可能要求NAS提供有效的用户名，而我们则可以在该处填写合法的用户名提交到RADIUS服务器进行验证。然而在大多数场合下面，RADIUS服务器并不要求NAS提供用户名。
点击 Apply保存配置
注意：在试验中我们采用WINDOWS 的IAS作为RADIUS服务器，NAS身份标识不需要在IAS里面配置，同时在IKE策略里的Authentication Type 应该选择Generic （PPP）的方式。
配置网件ProSafe VPN 客户端使用XAUTH
在此之前，你必须在不需要XAUTH的情况下，配置好VPN客户端。测试到VPN防火墙的连接通过后，在配置里面添加相应的XAUTH选项即可:
- 点击Authentication选择Proposal 1. 选择和在VPN防火墙的IKE策略里匹配的各项参数。
- 在Authentication Method, 选择Pre-Shared Key; Extended Authentication.
- 点击 floppy disk图标以保存配置
测试连接
- 在WINDOWS工具栏里右键点击VPN client图标选择My Connections \<connection name>.
- 几秒钟后将出现登陆页面。
- 输入正确的用户名和密码信息后，客户端软件会显示W "Successfully connected to My Connections\<connection name>"的信息
- 从安装客户端软件的PC上PING对方局域网内的主机，应该能够PING通
- 遇到故障的时候，可以参考VPN客户端软件里的VPN日志以排除故障。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 43.
-
-
- 答案：
-
ModeConfig功能可以帮助用户使用VPN客户端软件简单地连接到FVX538或者FVS338 ProSafe™ VPN 防火墙。
如果你要使用VPN客户端软件连接到远端的VPN路由器，在传统的VPN客户端配置中您必须配置为客户端配置一个虚拟的IP地址或者手工指定其他的IP信息。如果有这样一种技术可以类似于DHCP给客户端分配IP地址的工作方式方便地为VPN客户端软件动态分配IP地址的话，这将大大简化VPN客户端软件的配置。而Netgear的ModeConfig恰恰提供了该类问题的解决办法，该技术可以为客户端拥护提供IP地址信息，包括合法的IP地址，子网掩码和路由器的域名服务器地址。远程客户端将自动获得该信息并无缝地成为您的局域网里面的一分子。
该技术文档的实践环境:
- FVS338F/W版本1.6.29
- 广域网端口 IP ：10.1.0.145
- 局域网断口IP： 192.168.1.1, 子网掩码255.255.255.0
- 网件 ProSafe™ VPN Client software version 10.3.5 (Build 6)
- 客户端计算机IP ：10.1.0.50
ModeConfig 的配置过程
在IKE会话的第一阶段结束时，VPN连接的发起人（通常是远程点/客户端）会向被连接一端申请IP信息，如：IP地址，子网掩码和域名服务器地址等。ModeConfig功能将会从预先设置好的IP地址池里面给发起人分配一个IP地址并且使用预先设置好的ModeConfig record安全提议模版建立一个临时的IPSec策略。
注意：在配置完ModeConfig record以后, 你必须在IKE Policies配置项目里面选中Remote Host Configuration Record,并在该项目里选择您预先设置好的ModeConfig record的模版。同时你并不需要继续配置VPN策略，因为客户端VPN发起人将使用ModeConfig record里面的配置策略。
如何在路由器里面配置ModeConfig
路由器里面需要配置两个相关的项目-ModeConfig菜单和IKE Policies菜单。而且你不必配置VPN Policies菜单。
ModeConfig 菜单配置例子：
- 点击ModeConfig 里的Add按钮来创建一个新的记录。
- 首先给新的记录创建一个名字。比如：FieldSales或者DansOffice.
- 在IP地址池里最少安排一个IP地址（地址段）以分配给远程客户端。
注意：IP地址池里面的地址不能和本里网络的IP地址在同一个网锻里面，您必须给IP地址池指派一个其它网段的私有地址。比如172.16.x.x。 - 如果本地网络里面包含WINS服务器，则需要输入WINS服务器的地址。
- 输入一到两个DNS服务器IP地址以分配给远程客户端。
- 如果起用了Perfect Forward Secrecy (PFS), 则需要选择DH Group 1或2. 该项设置必须和远程客户端软件的设置相同。
- 指定远程客户端可以访问的本地网络。同时本地网络就是路由器的局域网端口所在的网段。比如：192.168.1.1/24。
- 指定VPN策略的配置。该培植必须和远程客户端的配置相同。通常的配置如下：
- SA Lifetime: 3600 seconds
- Authentication Algorithm: SHA-1
- Encryption Algorithm: 3DES
- 点击Apply。一个新的记录显示在 VPN Remote Host ModeConfig列表里面。
如何在路由器里面配置IKE策略
- 点击IKE Policies > Add来创建一个新的IKE策略。
- 在General Policy Name, 里面输入一个描述名称。该名称被远程VPN客户端用作身份认证。
- 将Direction/Type设置为Responder.
- 将Exchange Mode设置为Aggressive.
- 在Local Identifier Type里, 选择Fully Qualified Domain Name并且输入一个与其IKE策略不同的身份标识。该标识必须与远程VPN客户端的remote identifier的配置一致
- 在Remote Host Configuration Record里选中你预先定义好的ModeConfig模版。
- 在Remote Identifier Type, 选择Fully Qualified Domain Name并且输入一个不同于IKE策略的身份标识。该标识必须与远程VPN客户端的local identifier一致。
- 指定IKE SA parameters. 该各项参数的配置必须和远程VPN客户端的配置一致。通常的配置参考如下：
- Encryption Algorithm: 3DES
- Authentication Algorithm: SHA-1
- Diffie-Helman: Group 2
- SA Life Time: 3600 seconds
- 输入和远程VPN客户端一致的Pre-shared Key。
- 点击Apply.。一个新的IKE策略显示在策略列表里。
如何在ModeConfig下配置NETGEAR ProSafe VPN客户端软件
在Windows的任务栏里面用右键点击VPN客户端软件的图标，并选择Security Policy Editor。在弹出的窗口的左上角点击New Connection按钮以创建一个新的连接。然后再给这个新的连接命名，该名字只在该软件里用作标识和VPN策略的配置无关。
第一次使用时对软件作以下配置，如下图：.
- Subnet和VPN路由器的LAN IP一致。
注意:主机号应该写为零，比如，你在使用一个C类的子网的时候，应该把最后一位主机号写成零。 - 在Domain Name下面，输入你在VPN路由器的IKE规则里面设置的本地身份标识FQDN (完整主机名) 。
- 在Gateway IP Address下面, 输入VPN路由器的WAN IP地址。
- 单击My Identity。
- 点击Pre-Shared Key 并且输入您在VPN路由器的IKE规则里面设置的预至密匙。
- 在 ID Type里面选择Domain Name.。
- 在Domain Name下面输入您在VPN路由器的IKE策略里的Remote indentifier FQDN里面设置的远程身份标识。在该例子里我们使用"salesguy12.remote_id.com" i作为VPN客户端的本地身份标识。当然，你还可以使用其它格式的身份标识，但该标识必须和VPN路由器的IKE策略里面设置的远端身份标识一致。
- 选择Virtual Adapter下面Preferred.。在Internal Network IP Address里输入0.0.0.0。
注意:假如Internal Network IP Address对话框显示不出来，则在Options > Global Settings菜单里, 选择Allow to Specify Internal Network Address. - 在Internet Interface里选择您的网卡。
- 选择Security Policy。请参考下图。
- 选择Aggressive Mode.
- 假如你在路由器的IKE策略里配置了PFS，则在Enable Perfect Forward Security (PFS)里打钩, 并且选择和路由器IKE策略里配置一致。
- 在Enable Replay Detection项目上打钩.
- 打开Authentication (Phase 1)并选择Proposal 1。如下图：在各个项目里输入和VPN路由器里的一致的参数.
- 打开Key Exchange (Phase 2)选择Proposal 1。如下图：在各个项目输入和VPN路由器的ModeConfig Record配置一致的参数。SA Life可以设置的稍为长一点，一般可以设置为8个小时（28800秒）。
- 选择左上角的 floppy disk 按钮以保存配置。
测试VPN连接
- 在Window 的工具栏上用右键点击VPN client图标，选择已经建立好的连接并点击。
- 在大概30秒钟以后，会看到VPN连接成功的信息，此时观察Window工具栏上的VPN Client图标，图标会显示ON的提示。
- Ping 对方VPN路由器内部网络的一台主机，应该可以PING通。则说明VPN连接成功。
我们可以用右键点击Window 的工具栏上的VPN client图标，通过查看Connection Monitor或者Log Viewer来诊断故障，或者通过VPN路由器里面的VPN log或status菜单也可以观察VPN的连接信息。
- FVS338F/W版本1.6.29
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 44.
-
-
- 45.
-
-
- 答案：
-
目前由于宽带接入的快速发展，广泛的中小商用企业部署IPSec VPN网络,构建远程客户端对公司中心资源访问的应用已极为普通。在部署此类远程访问的IPSec VPN应用时，通常是要设置多个客户端连接到VPN中心网络，网管人员的通常做法是为每一个用户设置不同VPN策略和预置密码用以区分每一个用户，此工作量是巨大的，管理也不方便。因此现在市场上主流的IPSec VPN网关设备提供另外一种解决方案，就是在VPN网关中只要配置一条VPN的策略，就可允许多个如高达1000个远程客户端的同时接入，然后只要对远程客户分发一个相同的策略配置就可以了。这样一来，由于所有远程客户端的VPN配置策略是相同的，对每个远程客户不再进行单独地区别,因此在提高了方便性的同时却又降低了整个网络的安全性。
这样就促使用户需要这样一种技术，就是在VPN网关设备中只需要配置一条策略，但要求每个远程客户在接入时需要提供不同的用户名和口令的身份认证，VPN网关设备可以集中管理远程用户的合法信息。这样就大大减少了网络管理人员的工作负担和保证远程客户接入的安全性，提高了企业的整体工作效率。这个技术就是融合在IPSec VPN里面的XAUTH扩展认证协议,XAUTH为这些需要区分每个用户进行身份验证的应用提供了一种身份认证机制，该机制允许VPN网关使用Radius服务器或者本地数据库记录中的用户信息对用户进行身份认证。
RADIUS (Remote Authentication Dial-In User Service, RFC 2865) 是一个管理网络里多个用户的验证，授权，计费（AAA）的协议。RADIUS服务器在数据库里存储有效的用户信息，并能给要求访问网络资源的合法用户授权。
下图是个典型的远程客户到中心VPN网关的应用XAUTH的说明：
图1：XAUTH和RADIUS使用范例
图1中当远程客户端开始一个VPN连接的请求的时候，VPN网关通过XAUTH（扩展验证）强行中断VPN协商的过程，并要求客户端必须输入合法的用户名的密码进行验证，网关在接收到来自客户端提供的用户名和密码之后首先在本地数据库校验信息是否合法，如果在本地数据库找不到相对应的用户名，则将信息转发到RADIUS服务器进行校验，如果判断为合法，则继续VPN的协商过程并且在连结成功后为远程客户端分配IP地址，如果用户不合法，则中断VPN连接。
由于XAUTH结合RADIUS给依赖于大量使用VPN技术的商业用户带来了前所未有的安全性和方便的管理特性，因而国际很多知名的VPN设备开发商，比如象Cisco，Checkpoint, Netgear公司等，在他们的产品中都开始支持XAUTH。
二．企业实际应用配置举例
我司因实际应用需要，采购了美国网件NETGEAR公司的Prosafe VPN Firewall FVX538和FVS338以购建公司内部的VPN网络，全网以广州的FVX538为中心，申请固定的IP地址和10M的专线，分支机构分布在上海和北京，采用中国网通的ADSL接入，无需固定的IP地址。在总部和分支获得稳定的VPN连接的基础上，还需要增加大概100个用户左右的客户端VPN通道，以方便移动客户访问公司内部的数据库。由于管理的用户众多，而且用户的流通性非常大，常常需要更新用户资料，而采用传统的VPN客户管理方式，老用户的资料既不能轻易修改，同时每当有新用户加入时都要单独在VPN设备里配置新的VPN策略，从而给系统的维护带来了极大的困难。经过再三的论证以后，最后决定采用支持XAUTH技术的高性价比的FVX538来解决该问题。系统建成后，全网稳定运行半年多，由于其稳定的性能和出色的维护办法因而深受公司使用者的好评。现以我司的VPN接入方案为例子，介绍在美国网件公司（Netgear）的Prosafe VPN Firewall FVX538 上如何实现采用XAUTH验证技术的远程客户端的接入和管理。
2.1 产品软件版本
为了获得稳定的XAUTH支持，建议先把FVS538的软件版本升级到1.6.38以上。我司的FVX538目前稳定运行在该版本上，本文章的相关参数设置都以该软件版本为基础。而客户端软件则选用FVX538光盘上配套的Prosafe VPN客户端软件(客户端软件版本10.5.1 (Build 8))。
2.2 选择合适的Radius服务
NETGEAR ProSafe VPN Firewall FVX538支持多数标准的免费/商业发布的RADIUS服务程序，比如：
- FreeRADIUS, 一个开放的LINUX原代码程序
- Microsoft Windows IAS
- Funk Software Steel-Belted RADIUS
所有的RADIUS Server的配置信息均可以参考厂家提供的标准配置文档，本文不再详细介绍每一种RADIUS的配置办法，。
2.3 VPN防火墙FVX538的XAUTH配置
（1）设置VPN防火墙的XAUTH模式
在配置VPN的IKE策略的时候，选择要求使用XAUTH验证，则可以启用VPN的XAUTH功能。我们在配置该IKE策略的XAUTH的时候，系统会提供两种模式给用户选择。如下:
- IPsec Host — 作为客户端，在连接到中心时需要提供用户名和密码
- Edge Device — 作为服务器端（中心），要求客户端必须进行口令验证。
当VPN防火墙定义为IPsec Host的时候，在建立VPN连接的时候，设备会给服务器端提供用户名和密码信息。
当VPN防火墙定义为Edge device模式的时候，VPN网关则要求客户端必须输入合法的用户名的密码进行验证，网关在接收到来自客户端提供的用户名和密码之后首先在本地数据库校验信息是否合法，如果在本地数据库找不到相对应的用户名，则将信息转发到RADIUS服务器进行校验，如果判断为合法，则继续VPN的协商过程，如果用户不合法，则中断VPN连接。
具体设置如下：
- 进入IKE Policies选项并点击 Edit按钮进入IKE Policies编辑页面
- 在 X AUTHENTICATION 项目下面, 选择Edge Device.
- 在Authentication Type下选择Generic使用PAP协议, 否则选择CHAP以使用CHAP协议. 如果你打算使用RADIUS,则您必须在RADIUS上设置相对应的验证协议。通常PAP 协议简单实用，而CHAP则更为安全。
- 点击应用使配置生效。
- 下一步，设置您的VPN防火墙是通过本地数据库验证还是通过扩展的RADIUS 服务器验证。防火墙首在User Database里面定义的本地数据库的用户名和密码信息进行验证，如果找不到匹配的条件，则转交到在RADIUS Clien项目里定义的RADIUS服务器来验证。
（2）配置VPN防火强使用本地数据库进行验证
即使你没有配置RADIUS服务器，你仍然可以使用VPN防火墙自带的用户数据库实现用户验证功能。在使用该功能之前，你必须在User Database项目下面配置用户信息，如下：
- 在User Database项目下面点击 add按钮。
- 在User Name和Password里分别填写相应的信息。
- 点击Apply按钮即可起用本地数据库。
（3）配置防火墙使用RADIUS服务器进行验证
在Radius Client项目里面，可以定义一个主的RADIUS服务器和备份的RADIUS服务器。防火墙首先和主的RADIUS服务器联系，如果主的RADIUS服务器没有响应，则转到备份的RADIUS服务器上。
在Primary和Backup Server里面的设置介绍如下:
- Server Address — RADIUS的IP地址.
- Auth port — RADIUS服务器的验证端口号，RADIUS客户端会使用该端口和RADIUS服务器通讯，在大部情况下，默认的端口号都不应该修改。
- Acct port — RADIUS的计费端口号。在大多数情况下默认的端口号不需要修改。
- Secret Phrase— RADIUS客户端和服务器之间的通讯密钥。该密钥必须在服器端和客户端单独配置，并要求相互一致。
- NAS Identifier —防火墙充当NAS（网络访问服务）角色，允许合法的外部用户访问网络。在一个RADIUS会话里面，NAS必须递交NAS身份标识到RADIUS服务器，在该例子里NAS的身份标识可以是防火墙的IP地址或有效的用户名，在某些应用场合里，RADIUS服务器有可能要求NAS提供有效的用户名，而我们则可以在该处填写合法的用户名提交到RADIUS服务器进行验证。然而在大多数场合下面，RADIUS服务器并不要求NAS提供用户名。
点击 Apply保存配置
注意：在试验中我们采用WINDOWS 的IAS作为RADIUS服务器，NAS身份标识不需要在IAS里面配置，同时在IKE策略里的Authentication Type 应该选择Generic （PAP）的方式。
2.4 IPSec VPN 客户端软件XAUTH的配置
在此之前，你必须在不需要XAUTH的情况下，配置好VPN客户端。测试到VPN防火墙的连接通过后，在配置里面添加相应的XAUTH选项即可:
- 点击Authentication选择Proposal 1. 选择和在VPN防火墙的IKE策略里匹配的各项参数。
- 在Authentication Method, 选择Pre-Shared Key; Extended Authentication.
- 点击 floppy disk图标以保存配置
2.5测试连接
- 在WINDOWS工具栏里右键点击VPN client图标选择My Connections \<connection name>.
- 几秒钟后将出现登陆页面。
- 输入正确的用户名和密码信息后，客户端软件会显示 "Successfully connected to My Connections\<connection name>"的信息
- 从安装客户端软件的PC上PING对方局域网内的主机，可以PING通
- 遇到故障的时候，可以参考VPN客户端软件里的VPN日志以排除故障。
- 此FAQ对你有帮助吗？[ 是 | 否 ] | 收藏 | 来源：Myprice价格网
- 46.
-
- 答案：
- 静态地址，是当用户第一次注册互联网服务时，永久分配给用户的地址。动态分配 IP 地址是当你连接到网络时，暂时分配的，它有一个预先设定的使用时限。
-
- 47.
-
-
- 48.
-
- 答案：
- FVX538 拥有 16Mb 的 falsh 闪存和 32Mb 的 DRAM，为用户将来功能升级提供充足的空间。
-
- 49.
-
- 答案：
- 是的。在 FVX538 的标准功能中包含有内容过滤。这种类型的过滤称为“静态内容过滤”。
-
- 50.
-
- 答案：
- 数据通过软件或专门的硬件加密协处理器进行加密，如 FVX538 就采用 Cavium CN501 加密协处理器进行高速的数据加密。
-
