ROS另类封网址的方法.doc

ROS另类封网址的方法，比INPUT的DROP实用!
<!---->一般我们要封掉某个网址，比如,按常规都是在IP-FIREWALL-FILTER RULES中，

添加一个CONTENT=的DROP策略，但这样做不单止在网址含有123.COM的网址屏蔽掉，

一些网站页面中含有的字符的，也会被无情地DROP，就比如现在我发完这个贴子，这一页

我就打不开了(如果我做了上述的DROP策略的话)。

在一些高手的帮助下，我尝试到这条门路，非常的好用。前提是你启用了ROS的DNS服务，并且你的

客户端的DNS解释地址超码第一条是你的ROS的IP。然后在ROS的DNS中添加一条：

dns-static里加一条 name=你要封的网址，如(不需要加www)；

ADDRESS=220.181.28.42，(这个是地址是网易的IP，如果直接地址栏输入IP访问会访问到一个

禁止访问页，你可以任意设一个地址，如192.168.10.1，但最好是一个有响应的地址)。就这样简单

了，那么不论输入或都会转到网易的禁止访问页。如下图。

routeros 的安装心得--ros双线负载均衡

routeros 的安装心得

研究了一段时间ROUTEROS发现他的确是一个不错的软路由下面说一下我的安装设置心得 <!--emo&:P--><!--endemo-->

先说一下我的网络环境 
二根有限通是动态ip，要做负载均衡 
内网ip段192.168.0.1-192.168.0.200 
要完全开放192.168.0.168主机（就像路由中的dmz主机） 

机器配置 
赛扬1。1G 64M 3块3com网卡 

1。用光盘版全选安装 （软盘版要另外下插件） 
注意注册码都用大写 
先插上一块网卡以便定下他作为连接内网的网卡 
2。使用 admin用户登陆， 密码为空 
3。设置第一块网卡的ip 
输入setup，提示你设置ether1（第一块网卡连接内网），输入ip地址（192.168.0.1）子网掩码(255.255.255.0) gateway：192.168.0.254一路回车即可。 
4。将剩下二块网卡插入电脑 
5。在windows机器上，ip设成192.168.0.x ，在 ie 地址栏输上 192.168.0.1 
出现 routeos 的欢迎画面。点击，提示下载 winbox ，保存 
6。运行 winbox 输上 192.168.0.1 用户名 admin 密码为空，选连接。会出现路由的管理界面 
7。激活新插入的二块网卡：点 interface ，点第二块卡，选勾，启用前面由x变为R 
8。设置外网的二块网卡地址，在winbox选ip->dhcp-client 在窗口中勾上enabled interface选ether2（第二块网卡）勾上add default route 选hostname并添上wan1 表示第一块外网网卡，然后apply 这时如果拿到ip就会在ip->address里看到ip了 
现在设置第三块网卡，现在有问题了routeros只能添加一个dhcp客户，所以如果再按上面的方法获得ip那么前面的到的ip就没有了，所以这里只能将就一下了，因为有限通ip一般只要连接就不会变ip所以就把还有一根线上的ip作为静态ip看，先记下ip然后在ip->address里按加号填入ip如219.233.23.23/24,在这里要注意：其实都是固定ip的话就在这设置即可，但如果你的二个ip在同一网段中如一个是219.233.23.23另一个是219.233.23.147的话就要在/后就是掩码这部分分一下 
如219.233.23.23/25 219.233.23.147/24 这样在后面负载均衡时就不会出错了 
9。现在你应该能ping通外网了，不过防火墙还没设置，在ip->firewall里选source nat 按加号添加规则，在规则里选action ->action里选masquerade 
现在就能局域网里就能上网了。 
10。现在来设负载均衡 
在控制台里输入 
ip route add gat=外网地址1,外网地址2 
即可 
是不是很简单啊 
11。端口映射 
端口映射很容易 
在控制台里 
ip firewall dst-nat> add action=nat protocol=tcp 
^ 
这是协议可以选all 
dst-address=外网地址/32:80 to-dst-address=内网ip地址 
^ 
这里是你要映射的端口，如果全部就不要添 

例子1：将外网所有80端口的请求都指向到168上 
ip firewall dst-nat> add action=nat protocol=tcp 
dst-address=319.23.23.23/32:80 to-dst-address=192.168.0.168 
例子2：完全开放192.168.0.168 
ip firewall dst-nat> add action=nat protocol=tcp 
dst-address=319.23.23.23/32 to-dst-address=192.168.0.168 

12.来看看routeros的防火墙吧，功能不错哦 
比如现在流行的震荡波和冲击波的端口134－139 
在winbox中 
ip->firewall->filter rules 先设input(在右边可选的) 
选加 
general 
protocl选udp或tcp（其实这二个都要设，只要重复作就好了） 
src.port勾上填入134－139 
dst.port勾上填入134－139 
action 
在action里选drop丢弃包或reject拒绝包 
ok完成 
再选forward和output照上面设完，这样不论是外网的机器或内网的机器中毒都不会影响其他用户了。 
其实ip filter rules可设很多规则可以作一个非常不错的防火墙不过要注意input，forward，output根据不同情况的设置 

补充一下，其实在端口映射里这样作，环流（就是内网也可用外网的地址访问内网的主机）功能也自然实现了[p:1]

RO之DNS缓存加速设置
<!---->winbox环境下：

ip->DNS->Static->Settings->弹出框内，添上你ISP服务提供商给你的DNS地址，记住，一定要勾选上"Allow Remote Requests"

然后把客户机的DNS地址都设置为RO代理服务器内网的地址，比如我的是192.168.0.1,那就填这个地址。

RO之DHCP设置
<!---->winbox环境下：

1.添加ip pool地址池

ip->pool 
add name="dhcp_pool1" ranges=192.168.0.2-192.168.0.254 

2.ip dhcp server设上网关和dns 
ip->dhcp-server

add name="DHCP_SERVER" interface=LAN lease-time=3d   address-pool=dhcp_pool1 add-arp=no authoritative=no disabled=no

ip->dhcp-server->network

add address=192.168.0.0/24 gateway=192.168.0.1 netmask=24   dns-server=192.168.0.1 comment=""

3.end

RO之透明代理设置
<!---->简单的说一下，就是先设置web proxy功能，然后在防火墙的DST-nat选项里面，将内网所有的80端口请求都映射到web proxy的端口上。看。。。。

winbox环境下:

1.ip->web proxy->Access->settings

默认端口是3128,选上 Transparent Proxy.其他默认，选OK

2.ip ->firewall->Destination NAT

添加一条：

add src-address=192.168.0.0/24 in-interface=Lan dst-address=:80   protocol=tcp action=redirect to-dst-address=192.168.0.1 to-dst-port=3128   comment="" disabled=no

这里的192.168.0.0/24表示内网里的所有机器，192.168.0.1是RO服务器的地址。

这样，客户机既有网页代理缓冲的功能，也有NAT的功能
RouterOS的Hotspot设置说明
<!---->CCF:zhanghui 

参照routeros的手册，针对我的情况作了部分修改。已经在2.7.14和2.8.11上测试通过。 

我的routeros是2块网卡，ether1连接adsl,做pppoe client，ether2连接局域网。 
首先按照论坛上置顶的说明正确安装并配置routeros,实现客户机能够正常上网。 
然后terminal routeros 

改变www服务端口为8081： 
/ip service set www port=8081 

改变hotspot服务端口为80,为用户登录页面做准备： 
/ip service set hotspot port=80 

Setup hotspot profile to mark authenticated users with flow name "hs-auth": 
/ip hotspot profile set default mark-flow="hs-auth" login-method=enabled-address 

增加一个用户： 
/ip hotspot user add name=user1 password=1 

重定向所有未授权用户的tcp请求到hotspot服务 
/ip firewall dst-nat add in-interface="ether2" flow="!hs-auth" protocol=tcp action=redirect 
to-dst-port=80 comment="redirect unauthorized clients to hotspot service" 

允许dns请求、icmp ping ；拒绝其他未经认证的所有请求： 
/ip firewall add name=hotspot-temp comment="limit unauthorized hotspot clients" 

/ip firewall rule forward add in-interface=ether2 action=jump 
jump-target=hotspot-temp comment="limit access for unauthorized hotspot clients" 

/ip firewall rule input add in-interface=ether2 dst-port=80 protocol=tcp 
action=accept comment="accept requests for hotspot servlet" 

/ip firewall rule input add in-interface=ether2 dst-port=67 protocol=udp 
action=accept comment="accept requests for local DHCP server" 

/ip firewall rule input add in-interface=ether2 action=jump 
jump-target=hotspot-temp comment="limit access for unauthorized hotspot clients" 

/ip firewall rule hotspot-temp add flow="hs-auth" action=return 
comment="return if connection is authorized" 

/ip firewall rule hotspot-temp add protocol=icmp action=return 
comment="allow ping requests" 

/ip firewall rule hotspot-temp add protocol=udp dst-port=53 action=return 
comment="allow dns requests" 

/ip firewall rule hotspot-temp add action=reject 
comment="reject access for unauthorized clients" 

创建hotspot通道给认证后的hotspot用户 
Create hotspot chain for authorized hotspot clients: 
/ip firewall add name=hotspot comment="account authorized hotspot clients" 

Pass all through going traffic to hotspot chain: 
/ip firewall rule forward add action=jump jump-target=hotspot 
comment="account traffic for authorized hotspot clients" 

客户机输入任何网址，都自动跳转到登陆页面，输入账号密码，继续浏览。 
如果使用ftp、pop3等，也必须先通过网页登录，才可以使用，当然使用winbox的时候也必须先登录。 如何映射和回流
映射 
winbox----ip-----firewall-----Destination nat 
+---- ⑴General 页 
SRC。ADDRES |__ __ _ 默认 
SRC。PORT | 
INTEface all 
Dst.address 外网ip /32（此32是定值） 
Dst.port 映射端口（我这里是27015-27016） 
⑵ ACTION 页 
Action: nat 
To Dst. address 192.168.1.253-192.168.1.253（内网提供服务的机器IP） 
To Dst. Ports:27015-27016 

回流 

winbox----ip-----firewall-----Source NAT 
+----- ⑴GERENAL页 
Src.Address 192.168.1.253(内网提供服务器机器的IP) /32（此32是定值） 
src.port 
Dst.Address 192.168.1.0(你内网IP的前3位+0)/24（这里是你掩码的换算值） 
Protocol 你自己的协议 
⑵ Action页 
action: nat 
to Src.addresses 0.0.0.-0.0.0.0 
TO src.ports:27015-27016 
新手必看：如何解决不能启动的问题
<!---->常常有朋友说使用ROS的GHOST版后出现了一串数字，或者IPCOP无法运行等问题，这些问题很多帖子里都反复的强调大多是因为IDE接的不对，大家一定要做到2点： 

1。硬盘必须跳线为主盘------一般来说默认的就行。 

2。必须把硬盘接在主板的第一个IDE通道上！
<!---->
如何限制PP POCO等^^软件
<!----> 

小弟是网吧的，知道PP等软件抢带宽是多么厉害，所以一直研究如何限制它们！除了我的另一篇文章说的通过限制速度来达到目的外，还可以通过以下方法来实现-----思想，限制他们的服务器的IP，除非他们更换服务器，否则还是绝对有效的！

准备工作：

1。 下载你要封闭的软件，这里为PP点点通，注册账号，然后填好账号密码，此时不登录

2。winbox----tools----torch

下面是如何设置参数

interface ：内网网卡 protocol ：any Src.address:192.168.1.206/32 (你要测试的机器的IP) Dst.address、port选勾。

3。关闭无关进程，和其他网络工具！调整好 PP登录框和 WINBOX的位置，在点登录以后，立即点 START按钮，再登录成功后，立即点STOP------这个时间很短的，别搞的太久。

4。分析端口，80的不管，认识的也不管，最后锁定3个左右的IP ，端口可能是随机的，我这里是9099和5034，

5。屏蔽IP，IP---firewall----右上角选forward，然后开始添加规则了。

点“+”-----其余默认，在dst,address里 填你刚才记下的网址，在action里 选drop,一次进行，把你认为的可疑IP都干掉，再试验PP ，如何登不上吧？

顺便提醒一下，最好小心点，别把良民给干了，要不会影响你正常使用地！

于利用RouterOS的VRRP来配置路由器热备份
<!---->原文请下载附件(原文命令行比较清楚),附件中附有连接图,经过本人编写及测试效果,觉得对企业有很大的作用! 

作者：Netlea 

  有时候为了保证我们网络的稳定性和可靠性，可能会申请两条出口链路或用一条出口链路接防火墙后接两台RouterOS做热备份路由，当主路由器(ROS A )功能出现故障时, VRRP(虚拟路由器冗余协议, RFC2338)由另外一个路由器(ROS B )来接管相应的工作。通过设置虚拟路由器为缺省路由器,用户在路由器发生故障时可以继续通信。
如图所示的配置, 利用同一个以太网中的两台路由器设置一台虚拟路由器。 在实际运行中, 两台路由器中的任一台成为主路由器, 该主路由器模拟虚拟路由器。备份路由器监控主由器状态。一旦主路由器出现故障影响网络运行, 备份路由器立即进入主路由器状态以模拟虚拟路由器。
IP地址被分配给虚拟路由器。 指定虚拟路由器IP地址为缺省路由器的服务器将不会觉察主路由器的切换而继续进行正常通信。

利用RouterOS的VRRP设置如下：

下面这个例子展示如何配置图中所示两个路由器之上的VRRP。路由器一定有初始配置：接口(LAN)配置为有效，主及备份路由器接口(LAN)有适当的IP地址（注意两个路由器接口中的任意一个都应该有一个IP地址），路由表被正确设置（它至少应该有一个默认路由）。SRC-NAT也应该在之前正确配置。
我们假设接口(LAN)10.10.10.0/24网络连接到局部的所有的VRRP主和备份路由器上。
我们要设置好主VRRP路由器的LAN口IP为10.10.10.1/24
及设置好备份VRRP备份路由器的LAN口IP为10.10.10.2/24
完成以上设置后,测试主或备份RouterOS的路由器的LAN口网关都可以上网。
下面我们将要配置由VRRP模拟虚拟路由器生成网关为10.10.10.3/24给客户机或三层交换机连接及上网

第一，配置Master VRRP路由器（主路由器）

首先，我们应该在这个路由器上创建一个VRRP路由，假设这个路由器的优先级是255，因为它应该是首选的路由器
注：优先级（整数：0..255;默认：100）－当前节点的优先级（值越大表示优先级越高）255－RFC要求拥有赋值IP地址给主路由器的优先级是255
下面的interval（即是时间间隔的意思）（整数：0..255;默认：1）－VRRP每秒更新时间间隔。定义聚集的Master以何种频度发送VRRP广告数据包。即其中备份路由器超过1秒钟后收不到主路由器具广告数据包时，备份路由器将接替主路由器的工作。

[admin@MikroTik] ip vrrp> add interface=LAN priority=255
[admin@MikroTik] ip vrrp> print
Flags: X - disabled, I - invalid, M - master, B - backup
0   M name=\"vr1\" interface=LAN vrid=1 priority=255 interval=1
  preemption-mode=yes authentication=none password=\"\" on-backup=\"\"
  on-master=\"\"

[admin@MikroTik] ip vrrp>

注：LAN是你的LAN卡名称即本地网卡

接下来，虚拟IP地址应该被添加到这个VRRP路由中
[admin@MikroTik] ip vrrp> address add address=10.10.10.3/24 \\\... virtual-router=vr1
[admin@MikroTik] ip vrrp> address print
Flags: X - disabled, A - active
#   ADDRESS       NETWORK     BROADCAST   VIRTUAL-ROUTER
0   10.10.10.3/24   10.10.10.0     10.10.10.255   vr1

[admin@MikroTik] ip vrrp>

现在这个地址应该出现在/IP地址列表中：
[admin@MikroTik] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
#   ADDRESS         NETWORK     BROADCAST   INTERFACE
0   10.0.0.1/24     10.0.0.0       10.0.0.255       WAN
1   10.10.10.1/24   10.10.10.0     10.10.10.255   LAN
2 D 10.10.10.3/24   10.10.10.0     10.10.10.255   LAN

[admin@MikroTik] ip address>

第二，配置备份 VRRP路由器
现在我们创建具有低优先级的VRRP路由（我们可以使用默认值100），这个路由器将会作为首选路由器的后备。

[admin@MikroTik] ip vrrp> add interface=LAN
[admin@MikroTik] ip vrrp> print
Flags: X - disabled, I - invalid, M - master, B - backup
0   B name=\"vr1\" interface=local vrid=1 priority=100 interval=1
  preemption-mode=yes authentication=none password=\"\" on-backup=\"\"
  on-master=\"\"

[admin@MikroTik] ip vrrp>

现在我们应该添加这个虚拟地址，就像添加到master节点一样：
[admin@MikroTik] ip vrrp> address add address=10.10.10.3/24 \\\... virtual-router=vr1
[admin@MikroTik] ip vrrp> address print
Flags: X - disabled, A - active
#   ADDRESS         NETWORK     BROADCAST   VIRTUAL-ROUTER
0   10.10.10.3/24   10.10.10.0   10.10.10.255   vr1

[admin@MikroTik] ip vrrp>

注意，这个地址将不会出现在/ip地址列表中：
[admin@MikroTik] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
#   ADDRESS         NETWORK     BROADCAST   INTERFACE
0   10.0.0.100/24   10.0.0.0       10.0.0.255     WAN
1   10.10.10.2/24   10.10.10.0   10.10.10.255   LAN

[admin@MikroTik] ip address>

第三，测试我们配置后的成果

现在，我们将断开master(主)路由(我们测试时可以断开LAN口的网线来测试)，这时其中一个备份路由将切换成master状态，即内网会经过备份路由器来上网，当主VRRP路由器恢复后，备份路由器的工作将恢复后主路由器来接替：

[admin@MikroTik] ip vrrp> print
Flags: X - disabled, I - invalid, M - master, B - backup
0   M name=\"vr1\" interface=LAN vrid=1 priority=100 interval=1
  preemption-mode=yes authentication=none password=\"\" on-backup=\"\"
  on-master=\"\"

[admin@MikroTik] ip vrrp> /ip address print
Flags: X - disabled, I - invalid, D - dynamic
#   ADDRESS       NETWORK     BROADCAST   INTERFACE
0   10.0.0.100/24   10.0.0.0     10.0.0.255       WAN
1   10.10.10.2/24   10.10.10.0   10.10.10.255     LAN
2 D 10.10.10.3/24   10.10.10.0   10.10.10.255     LAN

[admin@MikroTik] ip vrrp>
关于利用RouterOS的VRRP来配置路由器热备份1.zip下载

关于如何 限制速度

应许多朋友的要求，这里把如何限制局域网内机器的速度发一下（特指限制 外网连接速度）

winbox---queues----simple queues

点“+”，NAME里随便填，下面是IP地址的确定

①Target Address 不管，Dst. Address里填 你要限制的内网机器的IP，比如我这里有个 1号机器 IP为 192.168.1.101，那dst.address 里就填 192.168.1.101 然后是/32（这里的32不是指掩码了，个人理解为指定的意思）！

②interface里 记着要选你连接外网那个卡，我这里分了“local和public”，所以选public

③ 其他的不管，我们来看最重要的东西拉，Max limit ，这个东西是你限制的上限，注意的是 这里的数值是比特位，比如我要限制 下载的速度为 500K 那么就填入多少呢？ 500 X 1000 X 8=400 0000=4M。

④ 另外，很多朋友都有个疑问，到底一般的用户会有多大流量呢？一般的网络游戏，如 梦幻西游 传奇 封神榜 等等，其下行在 20Kbps以内！ 最耗网络资源的就是下载-----我们就是为了限制它拉，其次是VOD点播，一般DVD格式的大约要 2M多吧，所以你看情况限制拉 别搞的太绝！！！

如何用RouteOS实现ip  pnp
要求：
比如在酒店使用，任何客人自带的笔记本电脑原有的固定IP就可以上网，客人无须修改IP、Mask、Gateway、DNS、DHCP等任何参数，  三步上网：接线、开机、启动IE，真正的“即插即用”。

基本应用条件：
1、如果客户的电脑使用了DHCP，没有固定IP的，那就用普通的DHCP获得临时IP和网关，这没有什么奇怪；  
2、如果客户电脑原来就设置有自己的固定IP和原来的网关，无论是什么乱七八糟的IP地址和网关，无需作任何更改就可以使用，直接上网。任何电脑、任何IP、任何网关都可以！
----------------------------------------

完成routeos的基本安装，  
以我的机器为例，  
更改网卡名  

/interface  
set  ether1  name=local  
set  ether2  name=public  
enable  local  
enable  public  
固定IP的话，设置网卡IP，因为我做的hotspot，在这里有台机器在上一级做NAT的，所以外部IP我是用10.4.8.199/24，大家可以在这里设置成ISP给的IP地址  

/ip  address  
add  address="192.168.2.1/24"  interface=local  
add  address="10.4.8.199/16"  interface=public  
如果是用pppoe拨号则需要  

/interface  pppoe-client  
add  name="adsl"  user="isp  username"  password="isp  password"  mtu=1492  mru=1492  \  
interface=public  add-default-route=yes  use-peer-dns=yes  disabled=no  
/ip  address  
add  address="192.168.2.1/24"  interface=local  
添加ip  pool  

/ip  pool  
add  ranges=192.168.2.1-192.168.2.100  name=local_User_Pool  
add  ranges=192.168.2.101-192.168.2.200  name=Universal_User_Pool  
添加DHCP  server  

/ip  dhcp-server  
add  name=local  interface=local  address-pool=local_User_Pool  \  
dhs-server=192.168.2.1  gateway=192.168.2.1  lease-time=24h  netmask=24  wins-server=10.4.1.10  
设置正确的DNS  

/ip  dns  
set  primary-dns=202.96.134.133  secondary-dns=202.96.128.68  
设置正确的DNS  cache  

/ip  dns-cache  
set  enabled=yes  primary-dns=202.96.134.133  secondary-server=202.96.128.68  
设置NAT  

/ip  firewall  src-nat  
add  action=masquerade  
在这里只说明一下大家所说的ip  pnp的设置，其实的如hotspot，firewall等的设置就不多说了  

/ip  hotspot  universal  
add  address-pool=Universal_User_Pool  disabled=no  interface=local  
就这么简单的设置。下面的客户端已经可以任意IP上internet了。  
如果结合hotspot可以实现类似酒店里web页面登陆上网的功能。  
RouteOS的功能很强大，像轻松实现VPN，透明代理等，他自带的一些小工具也比较好用，像通过ping检测服务器状态并触发事件，这个是很实用的功能。  
欢迎大家交流使用心得。  
有个小问题，有个朋友使用RouteOS的pppoe拨号，接入后不能通过FTP下载一些大文件，反复修改mtu和mru未果，请朋友指教。
源起如何實現「網路即插即用」  
完成routeos的基本安裝，  
以我的機器為例，  
更改網路卡名  

/interface  
set  ether1  name=local  
set  ether2  name=public  
enable  local  
enable  public

類BIOSIP的話，設定網路卡IP，因為我做的hotspot，在這裡有台機器在上一級做NAT的，所以外部IP我是用10.4.8.199/24，大家可以在這裡設定成ISP給的IP位址  

/ip  address  
add  address="192.168.2.1/24"  interface=local  
add  address="10.4.8.199/16"  interface=public

如果是用pppoe撥號則需要  

/interface  pppoe-client  
add  name="adsl"  user="isp  username"  password="isp  password"  mtu=1492  mru=1492  
interface=public  add-default-route=yes  use-peer-dns=yes  disabled=no
/ip  address  
add  address="192.168.2.1/24"  interface=local

增加ip  pool  

/ip  pool  
add  ranges=192.168.2.1-192.168.2.100  name=local_User_Pool  
add  ranges=192.168.2.10