ROS 软路由学习笔记

1、ROS 软路由学习笔记基础知识安装完成后什么都没有设置的情况下 登陆用户 admin密码 空1、查看已经安装的网卡/intpri2、确认安装了2块网卡之后，如果看到网卡其那面的英文为X，则需要激活网卡，2.9系列的版本是自动激活网卡的！enable 0enable 13、激活之后网卡前面的英文为 “R”然后更改网卡名字set 0 name=lanset 1 name=wan/ 注：“/”为退出的意思4、设置内网卡的IP和子网掩码setaalan回车后输入你服务器内网卡的IP地址，如下面IP后的/24是代表子网掩码 比如：/2

2、4回车后按 G 设置网关5、设置外网卡IP和子网掩码setaawan回车后输入网通/电信给你提供的IP。IP后的“/29”代表子网掩码“/29”代表“48”如果你的子网掩码不是 48请自己算或者用子网掩码计算器来进行计算！/29按回车后 按G 设置网关936、查看IP设置情况ip addpri假如网卡 1 设置错误，删除设置错误的网卡remove 1重新启动一次，完成后在其他机器用WINBOX 登入7、设置DNSIP -dns-settings然后输入您当地的DNS如2

3、0888、最后一步，设置共享上网2.9系列的版本选择登陆WINBOX IP-Flirewall-选择+号-Action-masquerade以下是我自己学习的！建议选择所有组件 a 然后 i 进行安装 遇到以下英文看下面Warning:all data on the disk will be erased!警告：磁盘上的所有数据都将被删除！ 选择 YDo you want to keep old configuration?你想保留旧的配置？ 选择 N然后他就会自解压所有的组件文件 安装后提示按回车启动装完 ROS后 输入账号 admin 密码

4、空 按回车接着输入 setup 然后选择 a 附解释r - reset all router configuration 重置所有路由器的配置l - load interface driver 负载接口的驱动程序a - configure ip address and gateway 配置IP地址和网关d - setup dhcp client 设置DHCP客户端s - setup dhcp server 设置DHCP服务器p - setup pppoe client 安装PPPoE客户端t - setup pptp client 安装PPTP客户端x - exit menu 退出菜单继续 i

5、ng .your choice press Enter to configure ip address and yateway:选择 a选择按回车键配置IP地址和子网掩码：aa - add ip address 添加IP地址g - setup default gateway 设置默认网关x - exut menu 退出菜单继续 ing .your choice press Enter to add ip address:选择 a选择按Enter键，添加IP地址:选择 aenable interface:ether1网卡的接口名称：ether1ip address/netmask:192.168

6、.0.1/24IP地址/掩码：/24到此结束啦！然后按两个 X X 退出菜单 现在应该能PING通你刚才设置的IP 如果不通请检测你网线插的接口的位置！我用虚拟机 设置一个网段，可以PING通现在您可以访问 来配置你的ROS注：我也是个新手哦！这个只是我学习时候的笔记！pppoe拨号上网如下亲自操作并记录哦点击 winbox 上的 Interfaes （接口）在弹出的对话框 里选择 + 旁边的三角形选择 PPPOE Client 接口位置选择 wan注：内网网卡名字修改LAN 外网网卡名称为WAN在选择第二个选项卡 Dial Out 填

7、写 User 为您的上网账号PASSWORD 为您的上网密码点击 OK 按钮，搞定收工现在需要 添加 NAT 网络地址转换(IP伪装)如下操作注：本地方如果不操作，是不可能上网的在 IP 选项卡内 找到 Fierwall 点击后会打开Fierwall 然后 选择 Fierwall 中的 NAT 点击下面的 + 号在弹出的 Action 中 选择 masquerade 点击OK 搞定到此 PPPOE 才可以正常使用！没想象中的那么难处理！对于节点超过500以上的网络共享上网的话建议使用ROS(做NAT)+3层交换机的方式：下面就详细讲ROS 和3层交换机上如何配制假设500台机器划分为5段,每段

8、机100台,分别的网段是192.168.1.X-192.168.5.XROS的内网地址就设置为 三层交换机的WAN口地址设置为ROS 配置 ROS内网地址1 /24 55 LAN ROS 做地址隐藏要将全部节点的IP都要包括进去,所以就来来个src-address=/16 action=masquerade 给ROS指回头路由到三成交换机ip route add dst-address=/24 gateway=ip r

9、oute add dst-address=/24 gateway=ip route add dst-address=/24 gateway=ip route add dst-address=/24 gateway=ip route add dst-address=/24 gateway=三层交换机配置由于三层交换机各厂家配制命令不一样,下面只说大致配制步骤先给三层交换机配制WAN口地址 静态网关 0

10、.0.0.0 然后新建立5个VLAN,分别是 VLAN100 VLAN101 VLAN102 VLAN103 VLAN104,其个VLAN的IP地址分别为 ,,,,然后根据需要分配每个VLAN分配的端口如果是网吧,为了降低成本,可以用ROS直接添加多个网卡直接分段,效果也很不错ROS中清除 tcp-state close 状态的方法：ROS 里TCP-STATE Close 状态过多，会出现网页打不开之类的现象，原因是ROS里TCP-STATE 连

11、接状态默认时间是一天，这样要等24小时候ROS才会关掉这个连接，这个可以在Tracking 里把连接时间设置小一点，但是会有点副作用。最好的办法是用脚本定时清除。1、在ROS的 SYSTEM 下的 Scripts 里建一个脚本2、在ROS的 SYSTEM 下的 Scheduler 里建一个任务，时间设成一分钟执行一次脚本就差不多了。2.9x 脚本如下：/ip fir con remove /ip fir con find tcp-state=close3.x 脚本如下：/ip fir con remove /ip fir con find tcp-state=close/ system sch

12、eduler add name=del_close on-event=/ip firewall connection remove /ip firewall connection find tcp-state=close start-date=jan/01/1970 start-time=00:00:00 interval=1m comment= disabled=no:global RxCurPacket 0:global RxCurUser 0#设置用户上传超过此流量时，踢人:global RxCurMax :foreach i in=/interface find mtu=1480 do

13、=/interface monitor $i once do=:set RxCurPacket ($sent-bits-per-second):set RxCurUser /ppp active get $i name:if ($RxCurMax$RxCurPacket) do=/ppp active remove /ppp active find name=$RxCurUser/tool user-manager user disable $RxCurUser :log info (已经把 . $RxCurUser . 用户踢下线 . /sys cl get time . /sys cl g

14、et date)pppoe 攻击 踢人 脚本最新版2.9.27：修改后的脚本：:global RxCurPacket 0:global RxCurUser 0#设置的用户上传超过此流量时，踢人,这里大约就是15M了，自己看着设了:global RxCurMax :foreach i in=/interface find mtu=1480 do=/interface monitor $i once do=:set RxCurPacket ($received-bits-per-second):set RxCurUser /ppp active get $i name:if ($RxCurMaxh

15、ostname ；用户模式hostname# ；特权模式hostname(config)# ；全局配置模式hostname(config-if)# ；接口状态交换机口令设置：switchenable ；进入特权模式switch#config terminal ；进入全局配置模式switch(config)#hostname ；设置交换机的主机名switch(config)#enable secret xxx ；设置特权加密口令switch(config)#enable password xxa ；设置特权非密口令switch(config)#line console 0 ；进入控制台口swit

16、ch(config-line)#line vty 0 4 ；进入虚拟终端switch(config-line)#login ；允许登录switch(config-line)#password xx ；设置登录口令xxswitch#exit ；返回命令交换机VLAN设置：switch#vlan database ；进入VLAN设置switch(vlan)#vlan 2 ；建VLAN 2switch(vlan)#no vlan 2 ；删vlan 2switch(config)#int f0/1 ；进入端口1switch(config-if)#switchport access vlan 2 ；当前

17、端口加入vlan 2switch(config-if)#switchport mode trunk ；设置为干线switch(config-if)#switchport trunk allowed vlan 1，2 ；设置允许的vlanswitch(config-if)#switchport trunk encap dot1q ；设置vlan 中继switch(config)#vtp domain ；设置发vtp域名switch(config)#vtp password ；设置发vtp密码switch(config)#vtp mode server ；设置发vtp模式switch(config

18、)#vtp mode client ；设置发vtp模式交换机设置IP地址：switch(config)#interface vlan 1 ；进入vlan 1switch(config-if)#ip address ；设置IP地址switch(config)#ip default-gateway ；设置默认网关switch#dir flash: ；查看闪存交换机显示命令：switch#write ；保存配置信息switch#show vtp ；查看vtp配置信息switch#show run ；查看当前配置信息switch#show vlan ；查看vlan配置信息switch#show int

19、erface ；查看端口信息switch#show int f0/0 ；查看指定端口信息 2. 路由器支持的命令：路由器显示命令：router#show run ；显示配置信息router#show interface ；显示接口信息router#show ip route ；显示路由信息router#show cdp nei ；显示邻居信息router#reload ；重新起动路由器口令设置：routerenable ；进入特权模式router#config terminal ；进入全局配置模式router(config)#hostname ；设置交换机的主机名router(config)#

20、enable secret xxx ；设置特权加密口令router(config)#enable password xxb ；设置特权非密口令router(config)#line console 0 ；进入控制台口router(config-line)#line vty 0 4 ；进入虚拟终端router(config-line)#login ；要求口令验证router(config-line)#password xx ；设置登录口令xxrouter(config)#(Ctrl+z) ； 返回特权模式router#exit ；返回命令路由器配置：router(config)#int s0/0

21、 ；进入Serail接口router(config-if)#no shutdown ；激活当前接口router(config-if)#clock rate 64000 ；设置同步时钟router(config-if)#ip address ；设置IP地址router(config-if)#ip address second ；设置第二个IProuter(config-if)#int f0/0.1 ；进入子接口router(config-subif.1)#ip address ；设置子接口IProuter(config-subif.1)#encapsulation dot1q ；绑定vlan中继

22、协议router(config)#config-register 0x2142 ；跳过配置文件router(config)#config-register 0x2102 ；正常使用配置文件router#reload ；重新引导路由器文件操作：router#copy running-config startup-config ；保存配置router#copy running-config tftp ；保存配置到tftprouter#copy startup-config tftp ；开机配置存到tftprouter#copy tftp flash: ；下传文件到flashrouter#copy

23、tftp startup-config；下载配置文件ROM状态：Ctrl+Break ；进入ROM监控状态rommonconfreg 0x2142 ；跳过配置文件rommonconfreg 0x2102 ；恢复配置文件rommonreset ；重新引导rommoncopy xmodem: flash: ；从console传输文件rommonIP_ADDRESS= ；设置路由器IPrommonIP_SUBNET_MASK= ；设置路由器掩码rommonTFTP_SERVER= ；指定TFTP服务器IPrommonTFTP_FILE=c26

24、00.bin ；指定下载的文件rommontftpdnld ；从tftp下载rommondir flash: ；查看闪存内容rommonboot ；引导IOS静态路由：ip route ；命令格式router(config)#ip route ；静态路由举例router(config)#ip route ；默认路由举例动态路由：router(config)#ip routing ；启动路由转发router(config)#router rip ；启动RIP路由协议。router(config-r

25、outer)#network ；设置发布路由router(config-router)#negihbor ；点对点帧中继用。帧中继命令：router(config)#frame-relay switching ；使能帧中继交换router(config-s0)#encapsulation frame-relay ；使能帧中继router(config-s0)#fram-relay lmi-type cisco ；设置管理类型router(config-s0)#frame-relay intf-type DCE ；设置为DCErouter(config-s0)#frame-relay dlci

26、16 ；router(config-s0)#frame-relay local-dlci 20 ；设置虚电路号router(config-s0)#frame-relay interface-dlci 16 ；router(config)#log-adjacency-changes ；记录邻接变化router(config)#int s0/0.1 point-to-point ；设置子接口点对点router#show frame pvc ；显示永久虚电路router#show frame map ；显示映射 基本访问控制列表：router(config)#access-list permit|d

27、eny router(config)#interface ；default:deny anyrouter(config-if)#ip access-group in|out ；default:out例1：router(config)#access-list 4 permit router(config)#access-list 4 deny 55router(config)#access-list 4 permit 55router(config)#access-list 4 deny 0.2

28、55.255.255router(config)#access-list 4 permit anyrouter(config)#int f0/0router(config-if)#ip access-group 4 in扩展访问控制列表：access-list permit|deny icmp wildtypeaccess-list permit|deny tcp wildport例3：router(config)#access-list 101 deny icmp any echorouter(config)#access-list 101 permit

29、ip any anyrouter(config)#int s0/0router(config-if)#ip access-group 101 in例3：router(config)#access-list 102 deny tcp any eq 80router(config)#access-list 102 permit ip any anyrouter(config)#interface s0/1router(config-if)#ip access-group 102 out删除访问控制例表:router(config)#no access-list

30、102router(config-if)#no ip access-group 101 in路由器的nat配置Router(config-if)#ip nat inside ；当前接口指定为内部接口Router(config-if)#ip nat outside ；当前接口指定为外部接口Router(config)#ip nat inside source static p portRouter(config)#ip nat inside source static Router(config)#ip nat inside source static tcp

31、 80 80Router(config)#ip nat pool p1 0 Router(config)#ip nat inside source list 1 pool p1Router(config)#ip nat inside destination list 2 pool p2Router(config)#ip nat inside source list 2 interface s0/0 overloadRouter(config)#ip nat pool p2 10

32、.65.1.4 type rotaryRouter#show ip nat translationrotary 参数是轮流的意思，地址池中的IP轮流与NAT分配的地址匹配。overload参数用于PAT 将内部IP映射到一个公网IP不同的端口上。外部网关协议配置：routerA(config)#router bgp 100routerA(config-router)#network routerA(config-router)#neighbor remote-as 200配置PPP验证：RouterA(config)#username

33、 password RouterA(config)#int s0RouterA(config-if)#ppp authentication chap|pap3PIX防火墙命令Pix525(config)#nameif ethernet0 outside security0 ；命名接口和级别Pix525(config)#interface ethernet0 auto ；设置接口方式Pix525(config)#interface ethernet1 100full ；设置接口方式Pix525(config)#interface ethernet1 100full shutdownPix525(

34、config)#ip address inside Pix525(config)#ip address outside 52Pix525(config)#global (if_name) natid ip-ip ；定义公网IP区间Pix525(config)#global (outside) 1 -5 ；例句Pix525(config)#global (outside) 1 ；例句Pix525(config)#no global (outside) 1

35、 ；去掉设置Pix525(config)#nat (if_name) nat_id local_ip netmarkPix525(config)#nat (inside) 1 0 0内网所有主机(0代表)可以访问global 1指定的外网。Pix525(config)#nat (inside) 1 内网/16网段的主机可以访问global 1指定的外网。Pix525(config)#route if_name 0 0 gateway_ip metric ；命令格式Pix525(config)#ro

36、ute outside 0 0 1 ；例句Pix525(config)#route inside 1 ；例句Pix525(config)#static (inside， outside) 表示内部ip地址，访问外部时被翻译成全局地址。Pix525(config)#static (dmz， outside) 中间区域ip地址，访问外部时被翻译成全局地址.(收藏

37、于51CTO）CICSO交换机 + ROS VLAN设置前面有不少人问起过VLAN的用法，在这里先抛砖引玉吧以下是ROS VLAN的设置通用法则，其他交换机可以采用类似的思路是一样的，并且在华为和SSR等名牌设备上都做通了1、设置交换机：1、1 添加相应VLANset vlan 111 name office type ethernet mtu 1500 said state activeset vlan 112 name factory type ethernet mtu 1500 said state activeset vlan 113 name school type ethernet

38、 mtu 1500 said state activeset vlan 114 name cnc type ethernet mtu 1500 said state active/以上是设置了111-114 VLAN的名字等参数。1、2 将111-114的VLAN分配各个相应端口set vlan 111 2/7set vlan 112 2/9set vlan 113 2/11set vlan 114 2/13/接网线：111（2/7）接办公楼；112（2/9）接集团工厂车间；113（2/11）接集团子弟学校；114（2/13）接网通出口/好象没有ROS什么事呀？先别急，等一会再说1、3 配置V

39、LAN干线clear trunk 2/5 2-110,115-1005/以上也许可以省略，目的是将其他与ROS无关的VLAN抛开set trunk 2/5 on dot1q 1,111-114/将2/5设置为TRUNK口，vlan的封装类型一定要用dot1q，因为ROS仅支持标准802.1q的vlan，因此采购其他的交换机也要支持802.1q的交换机，有些市面交换机只支持私有的VLAN协议/同样，如果选CISCO的交换机，也要注意不能配置成ISL的VLAN，如果MIKROTIK购买CISCO的协议，ROS就不会那么便宜了！/这个口子就插ROS的ether1/ether1是外口还是内口？都是！/

40、晕了？继续向下看-2、设置ROS其实很简单：2、1 创建VLAN并加入到ether1/ interface vlanadd mtu=1500 arp=enabled vlan-id=111 interface=ether1add mtu=1500 arp=enabled vlan-id=112 interface=ether1add mtu=1500 arp=enabled vlan-id=113 interface=ether1add mtu=1500 arp=enabled vlan-id=114 interface=ether1/虽然语法和CISCO不一样，但道理是一样的/注意要点，这里

41、的VLAN ID与前面交换机的要一一对应，VLAN名称有些交换机可以不对应，但有些交换机要求较严格，不对应不通2、2 使用VLAN，VLAN的使用非常简单，把它们象普通网卡那样对待就可以了/ ip addressadd address=/24 network= broadcast=55 interface=office comment=add address=/30 network= broadcast=55 interface=factory comment=a

42、dd address=/24 network= broadcast=55 interface=school comment=add address=2/30 network=0 broadcast=3 interface=cnc comment=/以上是给各个vlan设置地址2、3 做其他必要设置/ ip routeadd dst-address=/0 preferred-source= gateway=1

43、 distance=1 comment=added by setup/添加缺省路由/ ip firewall src-natadd src-address=/16 out-interface=cnc action=masquerade comment=/配置NAT转发/好了，现在可以上网了，ROS只用了单网卡，并且各个VLAN间可以互访了3、一句话总结：创建设置VLAN并一一对应=将端口分配VLAN=建立VLAN干线=象普通网卡那样使用VLAN4、相关话题：TRUNK不也是要求一一对应的吗？没错，不过ROS自动识别，不需要特别建立，但需要注意硬件兼容性：8139和INTE

44、L网卡是支持VLAN的，但其他网卡未经测试，不敢保证能通。网吧ROS解决外网的DDOS的好办法：ROS是大家公认的性能比较优越的路由器，综合比较起来，其性能的卓越性，功能之多是其他路由器无法比拟的，和其他路由器一样，针对ROS系统的安全性和稳定性也有一定问题。 【原因】做好的ROS很多人都不进行禁ping设置，这样也就给了外网判断此IP在线的方法。论坛上看到了有个朋友说自己遭受DDOS攻击，路由器直接DOWN掉，其实这个问题的发生起因是内网中马，在老黑利用此马对其他的IP用户进行攻击的时候，你的网吧成为了一个IP攻击源，引起大量数据传输，导致ROS掉线。其他的朋友说“你家被别人攻击了”，其实合

45、理的解释应该是，你家的机器有机器中马，别人在利用你家攻击别人，你的带宽被吃满，ROS承载能力不足而产生这个现象。除非你和谁有深仇大恨才可能引起别人对你的攻击。【分析】针对这个问题的解决办法，首要的问题是找出问题源，也就是中毒的机器，再者就是将ROS的IP隐藏，让自己的IP保持安全性，同时将内网可以查询IP的一切网站进行屏蔽，让别人从内网和外网都对你的IP搞不到头脑，这样他也无从下手。【解决】具体做法如下：既然要隐藏IP,但必须要保持ROS的访问正常，则需要做几项改动1. 更改ROS的web访问端口， 进入winbox -IP-services-图一【注意】这样更改后，登陆ROS的时候需要在IP

46、后面加上您的端口才可以正常进入，如上图中的登陆的话就应该更改为：打开winbox-在IP地址处添加 您的IP：5188 -输入用户密码就可以进行登陆了。2. 添加外网禁ping防火墙 进入 winbox-IP-firewall-filter-添加这里如果是单线的话，就可以单独屏蔽掉一个外网网卡的ping数据，如果是双线网吧的话，就要再做一条filter，把另一条线路添加到禁ping设置中。方法与单线一样，只在In Interface 中更改为另一条线路的硬件，如果内网也想禁Ping的话就再加一条，In Interface 中添加为内网网卡。图二图三图四这里如果是单线的话，就可以单独屏蔽掉一个外

47、网网卡的ping数据，如果是双线网吧的话，就要再做一条filter，把另一条线路添加到禁ping设置中。方法与单线一样，只在In Interface 中更改为另一条线路的硬件，如果内网也想禁Ping的话就再加一条，In Interface 中添加为内网网卡。这样你可以实验一下，外网已经无法Ping通您了，但是您的登陆仍然正常。3. 好了，外网已经无法PING通了，那么该考虑考虑内网的问题了，有些想对您恶搞的人需要知道您的外网IP，这可怎么办，网络上能查询IP地址的网站层出不穷，但是具体的站点就只有几个，所以我们只要将这些站点的访问直接屏蔽掉，那么就可以增加您IP的隐藏性，不至于被有什么想法的人

48、利用，恩恩，就这么办针对这个我写了几条Filter，大家直接用这个导入ROS的话就可以屏蔽掉这些网站。策略如下：/ip firewall filterAdd chain=forward content= action=rejectAdd chain=forward content= action=rejectAdd chain=forward content= action=rejectAdd chain=forward content= action=rejectAdd chain=forward c

49、ontent= action=rejectAdd chain=forward content= action=rejectAdd chain=forward content= action=reject。如果再发现那个网站可以查询IP的话直接就可以自己加上一条，然后将网址处的网址更改为您找到的网站域名，就可以了。通过以上几种方法，我们就可以基本将外网的和内网的部分威胁去掉一部分，让我们能够安稳的睡一觉了。【综述】网络安全并不是简单的几条策略，简单的几句话可以讲清楚的，保证完全安全的防护，谁也不可能弄出来，微软

50、那么大的公司一样让病毒，漏洞搞的焦头烂额，何况我们呢。我们现在所能够做的，就是增加自己的实战经历，时刻保持着警惕性，防范住每一个能够侵害我们的网络的危险。今天给大家推荐一款不错的ros路由器密码破解工具：具体介绍:本地ROS路由器密码破解器发布了，你是不是本地网管？你是不是正在为健忘了ros登录密码在发愁？有了本工具，这一操纵将变的非常轻松。首先使用光盘版PE或者U盘版PE。然后进入PE后。用这个工具将装Routeros的那个硬盘的/nova/store/user.dat文件删除，然后你就可以用登陆器使用默认admin无密码进入ROS了，配置不变，仅仅清除了保留密码的文件！http:/www.

51、/files/10c97e02-9c72-11de-add4-b798a/部分工具有可能被杀毒软件误报 如不放心可以去虚拟机中测试ROS脚本大全(通用)一：限速脚本 :for wbsz from 1 to 254 do=/queue simple add name=(wbsz . $wbsz) dst-address=(192.168.0. . $wbsz) limit-at=1024K/1024K max-limit=1024K/1024K 二：限制每台机最大线程数 :for wbsz from 1 to 254 do=/ip firewall filter add chain=forward src-address=(192.168.0. . $wbsz) protocol=tcp connection-limit=50,32 action=drop 三：端口映射 ip firewall nat add chain=dstnat dst-address=(34) protocol=tcp dst-port=80 to-addresses=() to-ports=80 action=dst-na