【分享】打造自己的超级“硬件”防火墙路由器

呼雷豹

【分享】打造自己的超级“硬件”防火墙路由器
打造自己的超级“硬件”防火墙路由器
前段时间，很多地方由于出现了一种专门攻击带路由猫的病毒，导致很多小型局域网用户不能共享上网，这样的话，大家一起凑钱买的设备也就废了。针对这个问题，网上了也出现了相关的解决办法，总的来说归为两种：1.购买带有防火墙的路由器，但像我们这样的工薪阶层可不想再花那几百元钱重新买一个设备。2.用一台电脑做为代理服务器，但需要一台配置不错的电脑24小时开机，浪费资源。
　　为了能解决上述两个问题，俺急人之所急，在网上苦苦查询资料，终于想到了一个绝妙的解决方案。
　　BBIagent软件＋一台淘汰下来486电脑＋一台交换机＋若干网卡，网线
　　你也许会说，这个方法并不新鲜，就是找台机器做路由器来共享上网嘛，不过这次用的是台老机器而已。其实，如果我们仔细研究一下一些要好几百块甚至上千块的硬件NAT路由防火墙可能会发现，这些设备上无论是处理器主频还是内存容量可能都还不如一台486电脑，它之所以能提供不错的性能主要在于它的软件系统足够优化，只加载完成工作必须的组件，把全部的系统资源都使用在特定的工作上。而相比于用普通PC做路由的情况，由于一般的路由软件都是架构在某个通用操作系统基础上，而这些操作系统要满足各种可能遇到的工作需求，为此加载的各种驱动程序与动态运行库举不胜举，而其中与路由与防火墙相关的内容只占极少数，而所有的这一切都要挤占有限的系统资源，因此，即使你的电脑配置可能比这些防火墙好，但在完成路由与防火墙功能这一点上，他的性能就不一定值得恭维了。因此，如果我们用那些经过优化的专用系统来操作我们的PC，是不是会让他成为一台超级硬件路由器兼防火墙呢？即使是台486机器，也比那些防火墙的配置好吧。而且，目前正值机器的更新期，很可能你家里还有以前买的486或586老机器，当时好几千买来的宝贝现在如果当废品卖才百十块钱，但如果继续使用实在又无法胜任现代的各种庞大的操作系统，换个思路让他成为一台super“硬件”路由器吧，无需显示器，鼠标，键盘，只要机箱里的东东，当然得包括网卡。
　　好，思路出来了，现在让我们看看怎样操作。
软件介绍：
　　BBIagent是一个免费的路由器软件，通过它，我们可以将一台普通的486电脑设为路由器使用，局域网所有用户共享一条宽带线路访问Internet。同时，它还具有防火墙功能，可以有效防止黑客入侵局域网中的电脑。BBIagent支持现在流行的多种联网方式，如：PPPoE、PPTP、PPPoATM、PPP、DHCP和固定IP地址，它还内置了DNS和DHCP服务器，避免局域网中的电脑在上网时繁琐的设置。而且该软件极小，一张1.44MB的软盘即可容纳BBIagent。使用这个系统的路由器硬件配置要求如下，
　　486 或更好的中央处理器
　　8 MB 或更多的内存
　　1.44 MB 软盘驱动器
　　网络卡（连接局域网）
　　怎么样，你的老电脑的配置相对它而言是不是也算很好了。此文所涉及的全部软件可从以下地址下载：www.xffww.com/software/bbi.rar
　　制做路由器的启动盘
　　安装 BBIagent 路由器前，你需要根据作为路由器的电脑的硬件配置（如：网卡）和网络连接协议，使用“BBIagent 制作向导”制作和下载启动盘的映像文件，再将它写入一片已格式化的 1.44MB 软盘，作为路由器的启动盘。安装过程如下：
　　小提示：BBIagent 软件是用Java语言编写的，因此在制作引导盘的系统中需要安装Java 运行环境。
　　当你具备了java 运行环境，你就可以直接点击上面下载的 BBIsetup.jar软件，会弹出一个“BBIagent 制作向导”的窗口。
第一步是路由器的基本设置。注意这里所指的IP地址是对于局域网内的IP地址而言的，其他的选项根据局域网的实际情况填写就可以了。
第二步：选择连接内部网络的设备，例如使用8139的网卡
　第三步：填写设备的中断号等设置，一般不用动。
第四步：选择通讯协议
第五步：选择连接外部网络的设备，也就是指连接ADSL猫的网卡。
　　第六步：设置连接外部网络的设备中断号等设置
　　第七步：设置路由器的内置服务。主要是DNS(域名解析服务)和DHCP(寻址服务)，需要给出DNS服务器的IP地址，选择了DHCP，需要给出供系统分配的IP地址的范围，其范围主要根据局域网内的计算机数量而定。
第八步：确认你所选择的参数正确后，把定制好的文件下载到硬盘上。
对于大部分使用 PPPoE 连接的用户，只需要输入用户代码和密码，点击 “连接” 就能够连接到上网。如果不能联网，在“其他连接参数”中输入 debug ，再点击 “连接” 将会显示更详细的连接信息。接的我们点击“保存至路由器的软盘”，将当前屏幕上的设置保存在路由器的启动软盘中。下次开机后，这些设置会自动恢复。
　　以下是 PPPoE 连接协议的主要字段设置说明，至于其它的设置个人觉得不太重要，如果哪位读者有心可来信与我探讨：
　　用户代码：网络服务供应商（ISP）提供上网的用户帐号代码。
　　密码：ISP 提供上网的用户密码。
　　服务名称：ISP 使用 PPPoE 连接时，用于区分提供不同服务的名称。一般不用填。
　　接入服务器：ISP 的 PPPoE 接入服务器 IP 地址。一般不用填。
　　固定IP 地址：如果你是采用的固定 IP上网，就必须选择这一项。在“本地”拦中填上 ISP 分配给你的固定 IP 地址。“远程”是 ISP 的服务器 IP 地址，一般不用填。
　　有请求时连接：如果选择这一项，当网内电脑有联网请求时，路由器会自动连接上网。这一项一般与“空闲时自动断线”一起使用，使路由器自动根据设定的时间自动上网或断线。
　　路由器启动时自动连接：选择这一项并将设置保存至软盘，以后路由器每次启动，就会恢复设置并自动连接上网。选择这一项之前，最好确定所有设置正确并能够连接上网。
　　空闲时自动断线：选择这一项并填入分钟数，如果没有数据通过并超过了指定的时间，连接会自动中断。可与“有请求时连接”配合使用。
　　断线后自动重接：选择这一项并填入秒数，当路由器检测到线路中断时，会等待指定的时间，重新自动连接。路由器需要大约 30 秒的时间才能确定线路已经被中断。
　　其它连接参数 ：一般不用填任何参数。
　　利用BBIagent做路由器制作简单、管理方便，还能节约大量的费用。我们不仅可以把它做为路由器，还可以把它设为防火墙，增强了网络的安全性。能够适应于多种场合，感兴趣的朋友快来试试吧！！

cq2000

呵呵 大伙可以找一下这个 ISP级的路由软件
RouteOS可以将一台普通的PC机变成一台专业的路由器，高到ISP的核心路器/认证网关—因为它功能强大稳定，低到家庭网关防火墙—因为它免费。它可以提供以下几个主要功能：
1、Winbox 图形界面远程管理
2、telnet/serial 控制台管理
3、高级带宽管理
4、防火墙提供连接监视功能
5、以太网10/100/1000Mb/s
6、无线网络Clients和 AP 2.4GHz 11 Mb/s
7、无线网络Clients和AP 5.2GHz 54 Mb/s
8、v.35 synchronous 5Mb/s with frame-relay
9、asynch PPP/RADIUS (up to 32 ports) Cyclades with E1/T1支持
10、IP电话网关
11、热点服务用户管理系统（hotspot gateway）
更多的其他功能
下面我就介绍一下作为家庭网关的配置方法。
第一步：你要准备一台计算机，比486DX高就行，当然最好是奔腾以上的，至少32M内存，32M硬盘，最好都是64M。有条件的可以使用DOM来代替硬盘，因为它的使用寿命比硬盘长。一个3.5”软盘驱动器。两张网卡NE2000兼容网卡，或者是RTL8XXX的，PCI的最好了，显示器和键盘只是在安装时使用。你可以到mikrotik.com.cn 软件介绍/兼容列表下查看一下你的硬件是否兼容。
第二步：到mikrotik.com.cn 软件下载下下载一个安装磁盘制作程序。准备8张质量好一点的3.5”磁盘，在Windows的计算机上运行它，先是一个许可协议点YES就行了，下面出来的就是软盘制作界面图一，插入第一张软盘单击一下Contiune ，过一会它会提示你插入第二，直到第八张。
第三步：将作路由器使用的计算机显示器和键盘连接好，为从软盘启动，插入第一张软盘，启动计算机，正常的话画面会出现软盘启动过程，过一会会提示你插入第二张软盘、第二张直到第八张。当第八张磁盘读完之后回提示你重起计算机，不要忘了取出磁盘，设置为从硬盘启动。
第四步：重新启动之后路由器会提示你的“Software ID”是什么，让你输入”Licensing key”。你需要一个免费的许可，获取方法请见网站上下载页面的说明。获得后将其输入注意大小写，正确的Licening key 输入后回出现登录过程，“Username”、“Password”，默认的管理员帐号是admin，没有密码。
第五步：配置路由器，你以管理员身份登录，在提示付下输入setup命令，如果你的网卡是PCI的，会提示你设置ether1（就是第一块网卡），输入ipaddress(ip地址)：192.168.0.1、netmask(子网掩码)：255.255.255.0、gateway：192.168.0.254、network：192.168.0.0、broadcast：192.168.0.255。有默认直接回车就行了，在这里我将ether1作为局域网口，ehher2作为广域网口。将你的局域网连通。客户端（windows的计算机）设置ip地址：192.168.0.10，子网掩码：255.255.255.0，网关：192.168.0.1，DNS：192.168.0.1。好了试试网络通不通，在开始-运行中敲command点确定，在出来的DOS窗口敲ping 192.168.0.1 看通不通，如果出现Reply from 192.168.0.1 : bytes=32 time<10ms TTL=64 则通了，如果出现Request timed out 你则要检查你和路由器之间的网线是否连通。如果连通，启动IE，在地址位置输入：http://192.168.0.1 回车，页面中点击MikroTik WinBox Console的图标，下载winbox (winbox为RouteOS 的图形管理程序)，运行出现登陆对话框，Connect To:输入192.168.0.1、Login:输入admin、password:空白，点击Connect，登录后打开一个新的窗口，这就是winbox的管理界面。接着你需要启用ether2，点击Interface,单击灰色的ether2，单击窗口上的兰色勾。启用IP伪装，点击IP，Firewa，Source NAT，点击加号添加策略，默认即可。启用DNS Cache，IP > DNS Cache > DNS Cache Settings > Enable 输入ISP的DNS服务器地址。 > OK > OK。
以下步骤分两种，宽带和ADSL（PPPoE）不一样。
宽带：单击IP，DHCP Clients，Enable，Add Default Route，Interface 选择ether2，hostname为Client1,OK。再次打开DHCP Clients，查看Status页看是否获取IP地址，如果获取了就完工了。
ADSL：点击Interface，点击加号PPPoE Client 修改MTU为1492（大多数是），切换Dail Out页面输入Service：（可以从ISP处获得也可以用RASPPPoE查到。），输入用户名密码，勾上Use peer DNS，OK，查看Status页看是否连接上。如果有一些网页打不开，你ISP的MTU=1492，请在IP > Firewall > Mangle > 单击红加号 > Protocol选择TCP > Tcp Options 选择 sync > Actions选择 accept >TCP MSS:1448。
大多数情况是不用的。
以上就是配置家庭网关的过程，在终端更多的网络配置方法差不多，只是需要购买License。注意这里使用的是免费License，有一些限制的如下：
最多 PPTP server 连接 - 4.
最多PPPoE server 连接 - 4.
最多 DHCP server 租约 - 8.
最多热点服务客户数量 - 4.
最多queues数量 - 4.
最多NAT策略数量 - 4.
最多EoIP界面数量 - 4.
Web Cache 禁止

1）安装 －－ 9块盘，注意硬盘内容会被删除！还有，机器内存不能小于 24 M
安装过程中提示注册，注意注册码的大小写
2）启动后，使用 admin 密码为空，进入
3）设第一块网卡的ip： 在提示付下输入setup命令，如果你的网卡是PCI的，会提示你设置ether1（就是第一块网卡），输入ipaddress(ip地址)：192.168.0.1、netmask(子网掩码)：255.255.255.0、gateway：192.168.0.254、network：192.168.0.0、broadcast：192.168.0.255。默认直接回车就行了。
4）从windows端机器，ip设成192.168.0.x ，在 ie 地址栏输上 192.168.0.1
出现 routeos 的欢迎画面。点击，提示下载 winbox ，保存
5）运行 winbox 输上 192.168.0.1 用户名 admin 密码 不输，选连接。会出现路由的管理界面
6启用网卡：点击 interface ，点击第二块卡，选择对号，启用（颜色不是虚的了）
7）设置地址：ip －－》 address ，选择 ＋ 号，输入第二块卡的ip地址（isp给你的）
为了便于管理，最好从这里把两块卡的别名，改成 public 和 local ，另外，这里支持一个网卡多个ip，如果因为管理需要，你可以这样设
8）增加静态路由：ip－－》routes 选择 ＋ 号，选中gateway，输上网关地址
在这里，destination 可以使用默认 0.0.0.0 ，表示路由所有的地址，也可以根据你的需要，只对你指定的ip范围路由。静态路由可以有多条，比如可以分别指定多个ip段，达到管理的目的
9）设置NAT共享上网： ip －－》firewall －source nat ，选择 ＋ 号，选择action，action里面选择 masquerade ，其余选择默认即可
至此，共享上网就完成了
剩下的，需要增加设置 防火墙规则，否则，安全没有保障
ip －》firewall －》filter fules ，选择 ＋ 号，in interface 选择内网网卡（local），其他默认
这条路由允许来自内网的连接，如果有限制，可以修改 src address 的ip段，或者content 内容过滤
ip －》firewall －》filter chains 选中 input ，选择 drop
这条规则禁止所有的外部连接
以上两条规则，屏蔽来自外网的所有连接
一些恶意网站和广告，也可以从这里屏蔽
其他的可以参考有关资料，或者天网等防火墙里面的规则

10）如果需要上网时输入密码认证才可以上网的，可以启用hotspot
实例：网卡8139C连接局域网，NE2000 ISA（IO300 IRQ10）连接ADSL Modem，路由器地址192.168.0.1，接入宽带ADSL（下载2m上传512K），网内一PC地址192.168.0.8（限制下载256K上传64K），开启Upnp，开启DHCP服务。
RouteOS安装好后设置8139C地址为192.168.0.1，然后用winbox设置。
1.Drivers---“＋”---选NE2000 IO=300 IRQ=5
2.Interfaces---点灰色的NE2000网卡---点“勾”启用
PPPoe:
3.Interfaces---“+”---PPPoe Client---
name=ADSL MTU=1492 MRU=1492 Interface=NE2000 Service=ADSL User=xxxxxxxx Password=xxxxxxxx UsePeerDns=yes
在查看status页中查看ADSL有没有连上
4.IP---Firewall---Source NAT---"+"
Action=masquerade
5.IP---Firewall---Mangle---"+"
Protocol=TCP TcpOptions=sync Actions accept=TCP MSS=1448
DNS cache:
6.IP---DNS cache Settings
PrimaryDnsServer=202.96.209.6 Enabled=yes
DHCP Server:
7.IP---pool---"+"
name=123 Addresser=192.168.0.2-192.168.0.99
8.IP---DhcpServer---"+"
name="" Interface=8139C Addpool=123 netmask=24 gatway=192.168.0.1 DnsServer=192.168.0.1
Upnp:
9.IP---Upnp---"+"
Interface=8139C Type=internal
10.IP---Upnp---"+"
Interface=ADSL Type=external Enabled=yes
11.Terminal---键入 ip upnp interface (enter)
enable 0,1 (enter)
.. set enabled=yes (enter)
Queues:
12.下载带宽 IP---Simple Queues---"+"
Name=down SrcAddress=0.0.0.0/0 DstAddress=192.168.0.8/32 terface=8139C Maxlimit=256000
13.上传带宽 IP---Firewall---Mangle---"+"
SrcAddress=192.168.0.8/32 InInterface=8139C DstAddress=0.0.0.0/0 Protocol=all Action=accept FlowMark=UP
14.Queues---QueuesTree---"+"
Name=UP Parent=ADSL Flow=UP MaxLimit=64000

ip>firewall>rule>forward
加入规则
用arp将ip和mac绑定
关于解决不能上百度的问题
把TCP MSS 1448改成1432
防火墙对冲击波病毒的屏敝方法：TCP端口：134-139 （其中包抱共享端口）、 445 4444 39213 UDP端口：134-139 （其中包抱共享端口）、 445 4444 39213
防火墙对最近新流行的病毒的屏敝方法：NOVARY TCP端口：31270-3198
VOVARG.B TCP端口：80 1080 3128 8080 10080（注：其中80 8080为网页通迅端品，设置时小心，要用智能屏敝。）
关于低端端口屏敝的看法：TCP：1-512在网络界被称为低端端口，屏敝时，要注意FTP：２１、ＷＥＢ：８０　、ＷＩＮＢＯＸ各版本不一样、ＴＥＬＮＥＴ等。。

peijian

楼上的,看来不错,在什么系统上运行最好,unix linux?????

鸭鸭

这很早就有了

cq2000

回三楼
   ROS 本身是Linux内核,它就是一个系统