通信人家园

标题: 网吧培训资料 [查看完整版帖子] [打印本页]

时间: 2014-1-12 08:51

作者: jltnt 标题: 网吧培训资料

[attach]229163[/attach]

时间: 2014-1-15 17:15

作者: hyty

时间: 2014-1-17 23:10

作者: opal1431

谢谢分享一直想学些这方面的东西

时间: 2014-1-21 21:52

作者: 18979327289

好事情，好资料

时间: 2014-1-22 02:35

作者: jltnt

不需要大家回复的，拿去便是了。再说这些资料也不是我写的。在这里还要感谢作者一下的

时间: 2014-1-22 02:41

作者: jltnt

MikroTik 虚拟路由冗余协议(VRRP)
虚拟路由冗余协议Virtual Router Redundancy Protocol (VRRP)，MikroTikRouterOS VRRP 协议遵循RFC2338。VRRP协议是保证访问一些资源不会中断，即通过多台路由器组成一个网关集合，如果其中一台路由器出现故障，会自动启用另外一台。两个或多个路由器建立起一个动态的虚拟集合，每一个路由器都可以参与处理数据，这个集合最大不能超过255个虚拟路由器(可参考虚拟路由协议)。一般现在的路由器都支持该协议。
利用 VRRP 聚合功能提供高效的路由器运行方式，不在需要复杂的脚本ping监测
规格
需要功能包: system
软件等级: Level1
操作路径: /interface vrrp
许多 VRRP 路由器可用组成一个虚拟路由器集合。在一个网络中最大可用支持相同VRID（虚拟路由ID）255个。每个路由器都必须设置一个优先参数，每个VRRP配置通一个虚拟的网卡绑定在一个真实的网卡上。VRRP地址放入虚拟的VRRP网卡上。VRRPMaster 状态显示为running 标志，虚拟网卡上的地址被激活，其他属于backup（即优先级低的VRRP路由）停止运行。
虚拟路由冗余协议是一种为路由提供高效率的路由选择协议。一个或多个 IP地址可以分配到一个虚拟路由上，一个虚拟路由节点应该具备以下状态：
• MASTER 状态,一个节点回答所有的请求给相应请求的IP地址。仅只有一个MASTER路由器在虚拟路由中。每隔一段时间这个主节点发出VRRP广播包给所有backup路由器。
• BACKUP 状态,VRRP 路由器监视Master路由器的状态。它不会回答任何来至相应IP地址的请求，当MASTER路由器无法工作时（假设至少三次VRRP数据连接丢失），选择过程发生，新的MASTER会根据优先级产生。
注：VRRP不能运行在VLAN接口上，VLAN的接口MAC地址于与运行在物理网卡MAC地址是不同的。
VRRP 路由
操作路径: /interface vrrp
arp (disabled | enabled | proxy-arp | reply-only;默认: enabled) – 地址解析协议Address Resolution
Protocol
authentication (none | simple | ah; default: none) – 使用VRRP 消息数据包的验证方式。
none – 没有证明
simple – 纯文本验证
ah – 验证头使用HMAC-MD5-96 算法
backup (只读: flag) – 是否为备份状态
interface (name) – 运行接口的名称
interval (整型: 1..255; 默认t: 1) – VRRP 状态更新间隔秒钟。定义多少频率发送VRRP 信息数据包。
mac-address (MAC address) – VRRP 的MAC 地址 address。符合RFC 协议，任何VRRP 都应该只有唯一的MAC 地址。
master (只读: flag) – 是否为master 状态
mtu (整型; 默认: 1500) – 最大传输单位
name (name) – VRRP 分配的名称
on-backup (name; 默认: "") – 当节点为backup 状态执行的脚本
on-master (name; 默认: "") -当节点为master 状态执行的脚本
password (文本; 默认: "") – 需要验证时的密码，不使用验证时可以被忽略。8 位字符长文本字符串（为纯文本验证方式）；16 位字符长文本字符串（为需要128 位key 的AH 验证）
preemption-mode (yes | no; 默认: yes) – 是否启用优先模式。
no – 一个backup 节点在当前的master 失效之前，是不会选择master ，即使该backup 的优先高于当前master 的级别
yes – 该节点总是拥有最高优先级。
vrid (整型: 0-255; 默认: 1) – 虚拟路由的身份号(必须是在接口（interface）上是唯一的)
priority (整型: 1-255; 默认: 100) – 当前节点的优先级(高的数值代表高的优先级)
注：所有同一个集合的节点，必须使相同的vrid, interval, preemption-mode, authentication 和 password.第255 的优先级被保留为真正的虚拟路由的主机IP 地址。
添加一个 VRRP 事例在ether1 的接口上，一个虚拟路由的vrid 设置为1，因为是虚拟路由的主机，所有优先级为255：
[admin@MikroTik] interface vrrp> addinterface=ether1 vrid=1 priority=255
[admin@MikroTik] interface vrrp> print
Flags: X - disabled, I - invalid, R -running, M - master, B - backup
0 RM name="vrrp1" mtu=1500mac-address=00:00:5E:00:01:01 arp=enabled
interface=ether1 vrid=1 priority=255interval=1 preemption-mode=yes
authentication=none password=""on-backup="" on-master=""
[admin@MikroTik] ip vrrp>

时间: 2014-1-22 04:00

作者: jltnt

通过Bridge Filter 控制MAC地址
通过Bridge Filter 控制MAC地址
通过 bridge filter 控制MAC 地址，如当我们把RouterOS设置为透明桥时，可以控制网络内的主机MAC通讯，
这样我们可以从二层上控制客户端PC。
我们通过bridge 过滤MAC 地址，必须启用bridge，并指定相应网络接口到bridgeport 中，至少需要设定一
个网络接口到Port 中，设置bridge 的操作如下
1、添加一个bridge，默认的bridge 的名称为bridge1，并设置RSTP（快速生成树协议）模式：

添加完 bridge后，我们可以在bridge列表中查看到：

2、我们将ether1 和wlan1 网络接口添加到bridge1 里，这样2 个网络接口就实现了桥接功能。
过滤源和目标MAC 地址
1、源MAC 地址过滤
在设置完基本的bridge 后，我们进入bridge filter 中配置桥防火墙过滤，首先我们需要对指定的一台PC的MAC：00:E2:67:32:B4:81地址做过滤，不允许与bridge的外部网络连接，如下图：

这个 MAC 是发起源，选择src-mac-address，由于这里拒绝访问bridge以外的网络，选择chain=forward，，设定action=drop。RouterOS Winbox 配置如下：

接下来选择Action 为drop，丢弃该MAC地址发出的数据：

注意：我们设置src-mac-address 时，后面跟着MAC 掩码，这个掩码和我们IP层的子网掩码类是，只是MAC掩码是按照十六进制换算，十六进制的FF与IP掩码的255是相同，规定网络范围，因为这里是过滤一个台主机的MAC地址，所以我们设置MAC子网掩码为FF:FF:FF:FF:FF:FF。
2、目标MAC 地址
反过来从外网访问一个该主机，则是目标MAC 过滤，只是之前我们设置的是scr-mac-address，反过来填写目标的MAC，即dst-mac-address，我们还是用之前的MAC 地址做事例

我们添加目标MAC 地址过滤规则，选择dst-mac-address=00:E2:67:32:B4:81，dst-mac-address默认为全FF。

Action同样选择drop，丢弃到该目标MAC 的数据。
下面我们可以在filter 中看到2 条规则，分别是控制从源地址和目标地址的数据，这样设置后，我们可以理解为对00:E2:67:32:B4:81主机数据的双向过滤。

过滤指定厂商的MAC 地址
我们知道所有的网络设备都有一个6 位的MAC地址，前3位为生产厂商标示，后3位为设备编号，当我们在做无线网桥的时候，只允许特定某一厂商的网卡连接到RouterOS，可以通过Bridge的防火墙控制MAC地址，限制某一类的MAC不能连接到RouterOS设备，或者通过RouterOS设备。
例如，我们的一台RouterBOARD 设备要求只能允许其他RouterBOARD的设备连接，可以通过brigdefiter控制，由于每个RouterBOARD的以太网卡MAC地址都是前3位都是以00:0C:42开头，我们只需要允许前3位MAC为00:0C:42的MAC通过就可以。
在设置为bridge 的接口参数后，我们在filter中配置2条input规则，限制除了MAC地址前3位是00:0C:42能连接RouterOS，其他的都拒绝掉。
根据 RouterOS 防火墙原理，分别需要设置两条规则，一条是接受MAC地址前3位是00:0C:42的MAC地址，第二条是丢弃其他所有的MAC数据。
第一条规则，设置src-mac-address=00:0C:42:00:00:00/src-mac-mask=FF:FF:FF:00:00:00

在 action 中选择accpet 接受，数据通过

第二条规则，是丢弃其他所有的MAC 数据

配置完成后，如下：

时间: 2014-1-22 09:04

作者: tangyuexiang

时间: 2014-1-23 09:43

作者: xingkke168

LZ，这好东西，直接打个包发吧~~~！

感谢分享！

时间: 2014-1-24 17:45

作者: 浮夸

虽然很好但是看不懂感谢楼主

时间: 2014-1-25 15:27

作者: liupei6331

学习学习

时间: 2014-1-26 14:56

作者: dahai585

感谢楼主分享

时间: 2014-1-29 10:41

作者: 987054321a

谢谢分享

时间: 2014-2-7 15:58

作者: laughing333

感谢楼主分享

时间: 2014-2-8 16:51

作者: yjic

网吧、、培训资料... 原来是这样的

时间: 2014-2-10 19:38

作者: kandao

不错，做个记号，学习一下。

时间: 2014-2-11 09:36

作者: yangxicong

不错不错哦哈哈

通信人家园 (https://www.txrjy.com/)