H3C ER6300\/ER8300 千兆路由器

用户手册

杭州华三通信技术有限公司

http:\/\/www.h3c.com.cn

资料版本：6W104-20140305

Copyright © 2009-2014 杭州华三通信技术有限公司及其许可者 版权所有，保留一切权利。

未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何

形式传播。

H3C、 、H3CS、H3CIE、H3CNE、Aolynk、 、H3Care、 、IRF、NetPilot、

Netflow、SecEngine、SecPath、SecCenter、SecBlade、Comware、ITCMM、HUASAN、华三

均为杭州华三通信技术有限公司的商标。对于本手册中出现的其它公司的商标、产品标识及商品名

称，由各自权利人拥有。

由于产品版本升级或其他原因，本手册内容有可能变更。H3C 保留在没有任何通知或者提示的情况

下对本手册的内容进行修改的权利。本手册仅作为使用指导，H3C 尽全力在本手册中提供准确的信

息，但是 H3C 并不确保手册内容完全没有错误，本手册中的所有陈述、信息和建议也不构成任何

明示或暗示的担保。

前言

H3C ER6300\/ER8300 千兆路由器 用户手册将会详细地指导您如何通过 Web 设置页面或命令行对

设备进行本地管理。

前言部分包含如下内容：

• 读者对象

• 本书约定

• 资料获取方式

• 技术支持

• 资料意见反馈

读者对象

本手册主要适用于如下工程师：

• 网络规划人员

• 现场技术支持与维护人员

• 负责网络配置和维护的网络管理员

本书约定

1. 命令行格式约定

格式 意义

粗体 命令行关键字（命令中保持不变、必须照输的部分）采用加粗字体表示。

斜体 命令行参数（命令中必须由实际值进行替代的部分）采用斜体表示。

[ ] 表示用“[ ]”括起来的部分在命令配置时是可选的。

{ x | y | ... } 表示从多个选项中仅选取一个。

[ x | y | ... ] 表示从多个选项中选取一个或者不选。

{ x | y | ... } * 表示从多个选项中至少选取一个。

[ x | y | ... ] * 表示从多个选项中选取一个、多个或者不选。

&<1-n> 表示符号&前面的参数可以重复输入1～n次。

# 由“#”号开始的行表示为注释行。

2. 图形界面格式约定

格式 意义

< > 带尖括号“< >”表示按钮名，如“单击<确定>按钮”。

[ ] 带方括号“[ ]”表示窗口名、菜单名和数据表，如“弹出[新建用户]窗口”。

格式 意义

\/

多级菜单用“\/”隔开。如[文件\/新建\/文件夹]多级菜单表示[文件]菜单下的[新建]子菜单下

的[文件夹]菜单项。

3. 各类标志

本书还采用各种醒目标志来表示在操作过程中应该特别注意的地方，这些标志的意义如下：

该标志后的注释需给予格外关注，不当的操作可能会对人身造成伤害。

提醒操作中应注意的事项，不当的操作可能会导致数据丢失或者设备损坏。

为确保设备配置成功或者正常工作而需要特别关注的操作或信息。

对操作内容的描述进行必要的补充和说明。

配置、操作、或使用设备的技巧、小窍门。

资料获取方式

您可以通过H3C网站（www.h3c.com.cn）获取最新的产品资料：

H3C 网站与产品资料相关的主要栏目介绍如下：

• [服务支持\/文档中心]：可以获取硬件安装类、软件升级类、配置类或维护类等产品资料。

• [产品技术]：可以获取产品介绍和技术介绍的文档，包括产品相关介绍、技术介绍、技术白皮

书等。

• [解决方案]：可以获取解决方案类资料。

• [服务支持\/软件下载]：可以获取与软件版本配套的资料。

技术支持

用户支持邮箱：service@h3c.com

技术支持热线电话：400-810-0504（手机、固话均可拨打）

网址：http:\/\/www.h3c.com.cn

资料意见反馈

如果您在使用过程中发现产品资料的任何问题，可以通过以下方式反馈：

E-mail：info@h3c.com

感谢您的反馈，让我们做得更好！

目录

1 概述 ··················································································································································· 1-1 

1.1 产品简介············································································································································1-1 

1.2 组网应用············································································································································1-2 

1.3 主要特性············································································································································1-2 

1.3.1 强大的功能特性 ······················································································································1-2 

1.3.2 友好的用户界面 ······················································································································1-3 

1.3.3 丰富的统计诊断功能和管理方式 ·····························································································1-3 

2 登录Web设置页面······························································································································2-1 

2.1 准备工作············································································································································2-1 

2.1.1 管理计算机要求 ······················································································································2-1 

2.1.2 建立网络连接 ··························································································································2-1 

2.1.3 取消代理服务器 ······················································································································2-3 

2.2 登录路由器Web设置页面 ··················································································································2-4 

3 熟悉Web设置页面······························································································································3-1 

3.1 Web设置页面介绍 ·····························································································································3-1 

3.2 常用页面控件介绍 ·····························································································································3-1 

3.3 页面列表操作介绍 ·····························································································································3-2 

3.4 Web用户超时处理 ·····························································································································3-3 

3.5 退出Web设置页面 ·····························································································································3-3 

4 接口设置 ············································································································································ 4-1 

4.1 设置WAN···········································································································································4-1 

4.1.1 连接到因特网 ··························································································································4-1 

4.1.2 设置双WAN工作模式和WAN口线路检测················································································4-2 

4.1.3 设置WAN口MAC地址克隆······································································································4-4 

4.1.4 设置WAN口的速率和双工模式 ·······························································································4-5 

4.2 设置LAN ············································································································································4-6 

4.2.1 修改LAN口的IP地址················································································································4-6 

4.2.2 设置LAN口MAC地址克隆 ·······································································································4-7 

4.2.3 设置LAN口的基本属性············································································································4-7 

4.2.4 设置本地端口镜像···················································································································4-8 

4.3 设置DHCP·········································································································································4-9 

4.3.1 DHCP简介 ······························································································································4-9 

4.3.2 DHCP的IP地址分配 ··············································································································4-10 

i

4.3.3 设置DHCP服务器 ·················································································································4-11 

4.3.4 设置DHCP静态表 ·················································································································4-12 

4.3.5 显示和维护DHCP客户列表···································································································4-14 

5 安全专区 ············································································································································ 5-1 

5.1 设置ARP安全 ····································································································································5-1 

5.1.1 ARP简介 ·································································································································5-1 

5.1.2 设置ARP绑定··························································································································5-2 

5.1.3 设置ARP检测··························································································································5-4 

5.1.4 设置发送免费ARP···················································································································5-5 

5.2 设置接入控制·····································································································································5-6 

5.2.1 设置网站过滤 ··························································································································5-6 

5.2.2 设置IPMAC过滤······················································································································5-8 

5.3 设置防火墙 ········································································································································5-9 

5.3.1 设置出站通信策略···················································································································5-9 

5.3.2 设置入站通信策略·················································································································5-11 

5.3.3 防火墙设置举例 ····················································································································5-13 

5.4 设置防攻击 ······································································································································5-14 

5.4.1 防攻击方式····························································································································5-14 

5.4.2 设置IDS防范 ·························································································································5-14 

5.4.3 设置报文源认证 ····················································································································5-15 

5.4.4 设置异常主机流量防护 ·········································································································5-16 

6 设置QoS ············································································································································ 6-1 

6.1 设置IP流量限制 ·································································································································6-1 

6.2 设置专用通道·····································································································································6-3 

6.2.1 设置绿色专用通道···················································································································6-4 

6.2.2 设置限制专用通道···················································································································6-5 

6.3 设置网络连接限数 ·····························································································································6-6 

7 高级设置 ············································································································································ 7-1 

7.1 设置NAT············································································································································7-1 

7.1.1 设置NAT功能状态···················································································································7-1 

7.1.2 设置一对一NAT ······················································································································7-2 

7.1.3 设置多对一NAT和多对多NAT·································································································7-2 

7.1.4 设置网络连接参数···················································································································7-3 

7.2 设置虚拟服务器 ·································································································································7-3 

7.3 设置端口触发·····································································································································7-5 

7.4 设置ALG应用·····································································································································7-6 

ii

7.5 设置路由············································································································································7-7 

7.5.1 设置静态路由 ··························································································································7-7 

7.5.2 设置策略路由 ··························································································································7-9 

7.6 设置应用服务···································································································································7-11 

7.6.1 设置DDNS ····························································································································7-11 

7.6.2 设置UPnP ·····························································································································7-12 

7.6.3 设置静态DNS Server ············································································································7-12 

8 设备管理 ············································································································································ 8-1 

8.1 基本管理············································································································································8-1 

8.1.1 配置管理 ·································································································································8-1 

8.1.2 设置系统时间 ··························································································································8-1 

8.1.3 软件升级 ·································································································································8-2 

8.1.4 重新启动路由器 ······················································································································8-3 

8.2 用户管理············································································································································8-3 

8.2.1 登录管理 ·································································································································8-3 

8.2.2 密码管理 ·································································································································8-3 

8.3 远程管理············································································································································8-4 

9 系统监控 ············································································································································ 9-1 

9.1 查看运行信息·····································································································································9-1 

9.1.1 查看基本信息 ··························································································································9-1 

9.1.2 查看运行状态 ··························································································································9-3 

9.1.3 实时监视性能状态···················································································································9-3 

9.1.4 技术支持信息 ··························································································································9-4 

9.2 查看和管理日志信息··························································································································9-4 

9.2.1 查看日志信息 ··························································································································9-4 

9.2.2 管理日志信息 ··························································································································9-4 

9.3 流量监控············································································································································9-6 

9.3.1 监控端口流量 ··························································································································9-6 

9.3.2 监控IP流量······························································································································9-7 

9.3.3 实时监视WAN口流量 ··············································································································9-8 

9.3.4 安全统计 ·································································································································9-9 

9.4 网络维护··········································································································································9-10 

9.4.1 网络诊断 ·······························································································································9-10 

9.4.2 系统自检 ·······························································································································9-11 

9.4.3 导出故障定位信息·················································································································9-11 

iii

10 典型配置案例 ································································································································· 10-1 

10.1 组网需求········································································································································10-1 

10.2 组网配置方案·································································································································10-1 

10.3 组网图 ···········································································································································10-2 

10.4 设置步骤········································································································································10-2 

11 附录A - 命令行设置 ························································································································11-1 

11.1 通过Console口搭建配置环境 ········································································································11-1 

11.2 命令行在线帮助 ·····························································································································11-3 

11.3 命令行操作 ····································································································································11-4 

11.3.1 修改路由器登录密码 ···········································································································11-4 

11.3.2 查看路由器LAN口的IP地址·································································································11-4 

11.3.3 恢复路由器到出厂设置 ·······································································································11-4 

11.3.4 重新启动路由器 ··················································································································11-4 

11.3.5 显示路由器系统资源使用情况·····························································································11-4 

11.3.6 显示路由器硬件信息 ···········································································································11-4 

11.3.7 显示路由器软件\/硬件版本信息····························································································11-5 

11.3.8 显示局域网内允许访问路由器的用户IP地址信息································································11-5 

11.3.9 恢复局域网内允许所有用户访问路由··················································································11-5 

11.3.10 网络连通性测试 ················································································································11-5 

12 附录B - 故障排除····························································································································12-1 

13 附录C - 缺省设置 ···························································································································13-1 

14 附录D - 术语表 ······························································································································· 14-1 

iv

1 概述

1.1 产品简介

感谢您选择了全新的 H3C ER6300\/ER8300 路由器（以下简称路由器）。它属于高性能的全千兆路

由器，采用了专业的 64 位双核网络处理器，且支持丰富的软件特性（如：IP 流量限制、双 WAN

负载均衡、策略路由、ARP 绑定、ARP 防护、防攻击等功能），是大中型网吧、企业机构等用户的

理想选择。

表1-1 产品型号及描述

产品型号 描述

ER6300 • 提供 3 个 10\/100\/1000Base-T LAN 口、2 个 10\/100\/1000Base-T WAN 口和 1 个

Console 口

• 采用专业的 64 位双核网络处理器，主频高达 500MHz，同时配合 DDRII 高速 RAM

（64M）进行高速转发

ER8300 • 提供 8 个 10\/100\/1000Base-T LAN 口、2 个 10\/100\/1000Base-T WAN 口和 1 个

Console 口

• 采用专业的 64 位双核网络处理器，主频高达 700MHz，同时配合 DDRII 高速 RAM

（128M）进行高速转发

本手册中所涉及的配置指导均以 ER6300 为例，ER8300 请参考配置。此外，本手册中所描述的功

能特性规格可能随产品的升级而发生改变，恕不另行通知。详情您可以向 H3C 公司市场人员或技

术支援人员咨询获取。

1-1

1.2 组网应用

图1-1 组网应用

1.3 主要特性

1.3.1 强大的功能特性

• 双 WAN 口负载均衡

负载均衡可以让用户根据线路实际带宽分配网络流量，达到充分利用带宽的目的。

• 策略路由

实现按照用户制定的策略选择路由，如出接口的选择等。

• 高性能防火墙和防攻击

通过设置通信策略来实现访问控制，并提供丰富的防攻击功能，有效地保证网络的安全性。

• ARP 攻击防护

通过 ARP 绑定功能，可以有效防止 ARP 攻击。

• ARP 欺骗防护

通过触发发送或定时发送免费 ARP 报文，有效避免局域网内主机中毒后引发的 ARP 欺骗。

• 网络流量限速

P2P 软件对网络带宽的过度占用会影响到网内其他用户的正常业务，路由器通过基于 IP 的网络流

量限速机制，可以有效地控制指定用户的上\/下行流量，限制了 P2P 软件对网络带宽的过度占用。

1-2

1.3.2 友好的用户界面

• 提供非常简便的 Web 设置页面，配置直观、易操作、使用复杂度低。

• 每个 Web 设置页面均提供详细的联机帮助，供您查阅。

1.3.3 丰富的统计诊断功能和管理方式

• 提供了丰富的统计信息和状态信息显示功能，使您对路由器当前的运行状态一目了然。

• 支持通过本地和远程 Web 方式对路由器进行详细的配置和管理。

• 支持通过 Console 口、Telnet 方式对路由器进行简单的命令行管理。

1-3

2 登录Web设置页面

本小节仅介绍如何本地登录路由器的Web设置页面。如果您想实现远程登录路由器进行管理，需要

先本地登录路由器，并开启其远程管理功能，相关的介绍请参见“8.3 远程管理”。

2.1 准备工作

完成硬件安装后（安装过程可参见《H3C ER6300\/ER8300 千兆路由器 快速入门》），在登录路由器

的 Web 设置页面前，您需要确保管理计算机和网络满足一些基本要求。

2.1.1 管理计算机要求

请确认管理计算机已安装了以太网卡。

2.1.2 建立网络连接

1. 设置管理计算机的IP地址

• 自动获取 IP 地址（推荐使用）：请将管理计算机设置成“自动获得 IP 地址”和“自动获得 DNS

服务器地址”（计算机系统的缺省配置），由路由器自动为管理计算机分配 IP 地址。

• 设置静态 IP 地址：请将管理计算机的 IP 地址与路由器的 LAN 口 IP 地址设置在同一网段内

（LAN 口缺省的 IP 地址为：192.168.1.1，子网掩码为 255.255.255.0）

操作步骤如下（以 Windows XP 系统为例）：

(1) 单击屏幕左下角<开始>按钮进入[开始]菜单，选择

“控制面板”。双击“网络连接”图标，再双击弹

出的“本地连接”图标，弹出“本地连接 状态”窗

口

2-1

(2) 单击<属性>按钮，进入“本地连接属性”窗口

(3) 选中“Internet 协议（TCP\/IP）”，单击<属性>按

钮，进入“Internet 协议（TCP\/IP）属性”窗口。

选择“使用下面的 IP 地址”单选按钮，输入 IP 地

址（在 192.168.1.2～192.168.1.254 中任意值）、

子网掩码（255.255.255.0）及默认网关

（192.168.1.1），确定后完成操作

2. 确认管理计算机和路由器之间的网络是否连通

操作步骤如下：

(1) 单击屏幕左下角<开始>按钮进入[开始]菜单，选择

“运行”，弹出“运行”对话框

2-2

(2) 输入“ping 192.168.1.1（路由器的 IP 地址，此处

是缺省 IP 地址）”，单击<确定>按钮。如果在弹出

的对话框中显示了从路由器侧返回的回应，则表示

网络连通；否则请检查网络连接

2.1.3 取消代理服务器

如果当前管理计算机使用代理服务器访问因特网，则必须取消代理服务，操作步骤如下：

(1) 在浏览器窗口中，选择[工具\/Internet 选项]进入

“Internet 选项”窗口

(2) 选择“连接”页签，并单击<局域网设置（L）>按钮，

进入“局域网（LAN）设置”页面。请确认未选中

“为 LAN 使用代理服务器”选项；若已选中，请取

消并单击<确定>按钮

2-3

2.2 登录路由器Web设置页面

运行Web浏览器，在地址栏中输入“http:\/\/192.168.1.1”，回车后跳转到Web登录页面，如 图 2-1

所示。输入用户名、密码（缺省均为admin，区分大小写）以及验证码（不区分大小写），单击<登

录>按钮或直接回车即可进入Web设置页面。

图2-1 登录路由器 Web 设置页面

• 同一时间，路由器最多允许五个用户通过 Web 设置页面进行管理。当对路由器进行多用户管理

时，建议不要同时对其进行配置操作，否则可能会导致数据配置不一致。

• 为了安全起见，建议您首次登录后修改缺省的登录密码，并保管好密码信息，修改密码的操作请

参见“8.2.2 密码管理”。

2-4

3 熟悉Web设置页面

路由器提供非常简便的 Web 设置页面，您可以通过该设置页面快速地完成所需功能的配置。本章

将带领您先了解和熟悉 Web 设置页面。

3.1 Web设置页面介绍

图3-1 Web 设置页面示意图

3.2 常用页面控件介绍

以下控件是Web设置页面中经常出现的，其功能描述请参见 表 3-1。

表3-1 常见页面控件说明

页面控件 描述

文本框，用于输入文本

单选按钮，用于从多个选项中选择一项

复选框，用于开启（选中）和关闭（未选中）该功能或服务

下拉列表框，用于选择相应的列表项

3-1

页面控件 描述

当您完成了某页面设置项的操作后，必须单击该页面上的<应

用>按钮，设置才能生效

如果页面中出现类似的蓝色字体项，您可以通过单击它来跳转到

相应的页面进行设置修改

单击<刷新>按钮，您可以手动对设置页面的数据进行更新；在

“自动刷新”列表框中选择刷新频率后，页面的数据会自动根据

该刷新频率进行更新

3.3 页面列表操作介绍

路由器的Web设置页面中经常会出现类似 图 3-2 的页面，此处对其操作进行统一的介绍，以下不再

赘述。

图3-2 页面列表举例

表3-2 页面列表操作介绍 描述

您可通过设置关键字，单击<查询>按钮来查看符合条件的列表项

界面项 单击<显示全部>按钮，您可查看所有的列表项

单击<全选>按钮，您可选中所有的列表项对其进行批量操作

您也可以通过单击各列表项的方式来选中指定表项进行批量操作

单击<新增>按钮，您可在弹出的对话框中添加一个新的表项。添加完成后，您

可以通过该页面中的查询功能来确认刚添加的表项是否已存在

选中指定的列表项，单击<删除>按钮，您可将该列表项删除

单击该图标，您可在弹出的对话框中对该列表项进行修改

双击某列表项，同样也可在弹出的对话框中对该列表项进行修改

3-2

界面项 描述

当列表中的标题栏出现箭头时，表示您可以根据对应的标题项进行排序操作。您

可以通过单击标题项来切换升序和降序方式

“↓”表示降序，“↑”表示升序

3.4 Web用户超时处理

当您长时间没有操作Web设置页面时，系统超时并将注销本次登录，返回到Web设置登录页面（如

图 2-1 所示）。

Web用户登录的超时时间缺省为 5 分钟。如果您想修改此超时时间，相关操作请参见“8.2.1 登录

管理”。

3.5 退出Web设置页面

单击导航栏中的 ，确认后即可退出 Web 设置页面。

3-3

4 接口设置

4.1 设置WAN

4.1.1 连接到因特网

路由器支持静态地址、动态地址、PPPoE 三种连接到因特网的方式。具体选择何种方式请咨询当

地运营商。

• 静态地址：手动为 WAN 接口设置 IP 地址和子网掩码。

• 动态地址：设置 WAN 接口作为 DHCP 客户端，使用 DHCP 方式获取 IP 地址。

• PPPoE：设置 WAN 接口作为 PPPoE 客户端，使用 PPPoE 用户名和密码拨号连接获取 IP 地

址。

页面向导：接口设置→WAN 设置→连接到因特网

本页面为您提供如下主要功能：

• 通过静态地址连接到因特网

• 通过动态地址连接到因特网

• 通过 PPPoE 连接到因特网

• 关闭指定 WAN 口连接到因特网的功能

4-1

页面中关键项的含义如下表所示。

表4-1 页面关键项描述

页面关键项 描述

IP地址 设置路由器WAN口的IP地址。由运营商提供

子网掩码 设置路由器WAN口的IP地址子网掩码。由运营商提供

缺省网关 设置路由器WAN口的缺省网关地址。由运营商提供

MTU 设置路由器WAN口允许通过的最大传输单元，单位为字节。建议您使用缺省值

主DNS服务器 设置路由器主域名服务器的地址，用于将便于记忆的、有意义的域名解析为正确的IP地

址。由运营商提供

辅DNS服务器 设置路由器辅域名服务器的地址，用于当主域名服务器失效时，可以由它来完成解析。

由运营商提供

主机名 设置在路由器使用DHCP方式获取IP地址时，DHCP服务器侧显示的路由器主机名

PPPoE用户名 设置PPPoE拨号上网时，身份验证使用的用户名。由运营商提供

PPPoE密码 设置PPPoE拨号上网时，身份验证使用的密码。由运营商提供

服务器名 设置PPPoE服务器的名称。由运营商提供

服务名 设置PPPoE服务器的服务名称。由运营商提供

• 当您需要设置运营商分配给您的带宽时，相关操作请参见“6.1 设置IP流量限制”。

• 设置完成后，您可以通过查看 基本信息页面中的“WAN网口状态”来验证设置是否已生效。

4.1.2 设置双WAN工作模式和WAN口线路检测

1. 双WAN工作模式

路由器的双 WAN 工作模式包括主备模式、均衡模式和手动模式三种。

表4-2 双 WAN 工作模式描述

工作模式 描述

主备模式 主备模式主要应用于两条链路带宽相差较大且互为备份的情况下（比如：主用链路采用带宽较

大的光纤接入，备用链路采用带宽较小的ADSL接入）

正常情况下，只有您设定的主链路处于工作状态。当主链路发生故障时（比如：连接路由器端

口的物理链路断开了），路由器自动将主链路上的流量切换到备份链路；主链路恢复正常后，

路由器自动将备份链路上的流量切换回主链路

均衡模式 均衡模式主要应用于同一运营商双线路接入

正常情况下，路由器会匹配路由表来选择优先链路转发流量。对于未指定优先链路的流量，路

由器会根据您设定的两链路带宽的比例来转发，从而实现两条链路分担上网流量。当某条链路

出现故障时（比如：连接路由器端口的物理链路断开了），该链路会被屏蔽，路由器将流量转

到另一条链路上；当该链路恢复正常后，路由器会将流量重新分配到两条链路上

4-2

工作模式 描述

手动模式

手动模式主要应用于不同运营商双线路接入

正常情况下，路由器会匹配路由表来选择优先链路转发流量。对于未指定优先链路的流量，路

由器会根据您设定的缺省链路来转发。当某条链路出现故障时（比如：连接路由器端口的物理

链路断开了），该链路会被屏蔽，路由器将流量转到另一条链路；当该链路恢复正常后，路由

器会将流量重新分配到两条链路上

• 当您选择了均衡模式或者手动模式后，可以通过设置均衡路由表，使访问特定目的 IP 地址的报

文按指定的链路进行转发。比如：在手动模式下，您可以通过导入新联通的均衡路由表，使访问

新联通的流量都通过 WAN2 转发；然后再指定缺省链路为 WAN1，使非访问新联通的流量都通

过 WAN1 转发，从而达到不同运营商流量在不同的链路上转发的目的。

• 设置完成后，您可以通过查看 基本信息页面中的“WAN网口模式”来验证设置是否已生效。

2. WAN口线路检测

如果您需要实时监控线路状态，保证一条线路故障时能切换到另一条线路，您就需要设置路由器的

线路检测功能。路由器支持灵活的检测机制，并提供多种线路检测方法供您选择（包括 PING 检测、

DNS 检测和 NTP 检测三种方式），以满足实际应用的需要。

• 启用 WAN 口线路检测后，如果您指定了一种或多种检测方式，路由器将只使用指定的检测方

式。为了检测的有效性，建议您同时使用多种检测方式。

• 启用 WAN 口线路检测后，如果您没有指定检测方式，路由器将使用缺省的检测方式（PING

检测），即向 WAN 口对应的网关发送 Ping 报文，以检测路由器与网关之间的通信是否正常。

• 缺省情况下，路由器不进行 WAN 口线路检测。

• 由于运营商侧的 PPPoE 服务器可能不响应 Ping 报文，因此，在 PPPoE 拨号方式下，如果您启

用了 WAN 口线路检测功能且检测方式为“PING 检测”时，请勿将“PING 检测”的目的地址

设置为 WAN 口对应的网关地址。否则路由器将判断这个链路存在故障。

• 检测结果您可通过 基本信息页面中的“链路状态”来获取。

页面向导：接口设置→WAN 设置→双 WAN 工作模式

本页面为您提供如下主要功能：

• 选择双 WAN 工作模式及设置均衡路由

表

4-3

• 设置 WAN 口线路检测

页面中关键项的含义如下表所示。

表4-3 页面关键项描述

页面关键项 描述

在原来的均衡路由表基础上，将已编辑好的均衡路由表文件（.cfg格式）导入

添加导入 .cfg 文件的格式是“注释;目的 IP 地址;子网掩码;出接口;状态”。“状态”为 1 表示启

用，“状态”为 0 表示禁用。举例如下：

覆盖导入 xinliantong;58.32.0.0;255.248.0.0;WAN1;1

导出 xinliantong;58.40.0.0;255.254.0.0;WAN1;1

删除全部 xinliantong;58.42.0.0;255.255.0.0;WAN1;1

PING检测

DNS检测 删除原来均衡路由表的表项，然后再将已编辑好的均衡路由表文件（.cfg格式）导入

NTP检测

将当前的均衡路由表文件导出到本地保存

删除均衡路由表中的所有表项

选中“PING检测”复选框，输入目的IP地址，单击<应用>按钮，路由器会通过Ping报

文来检测与目的IP地址的连通性，有响应则认为线路正常

选中“DNS检测”复选框，输入需要DNS解析的域名，路由器会通过DNS报文来检测

与DNS服务器的连通性，有响应认为线路正常

选中“NTP检测”复选框，输入NTP服务器的IP地址，路由器会通过NTP报文来检测与

NTP服务器的连通性，有响应认为线路正常

4.1.3 设置WAN口MAC地址克隆

路由器出厂时，各 WAN 接口都有一个缺省的 MAC 地址，一般情况下，无需改变。但是，比如：

有些运营商要求只有注册过的路由器才能连接到因特网，此时，您就需要使用路由器 WAN 口 MAC

地址克隆功能，将 WAN 口 MAC 地址修改为在运营商侧注册过的 MAC 地址。

页面向导：接口设置→WAN 设置→MAC 地址克隆

本页面为您提供如下主要功能：

4-4

• 设置 WAN 口 MAC 地址克隆

页面中关键项的含义如下表所示。

表4-4 页面关键项描述

页面关键项 描述

使用本设备的MAC地址 选中该项，使用路由器出厂时的MAC地址

使用这台PC的MAC地址 选中该项，使用用来设置路由器的管理计算机的MAC地址

手工输入MAC地址 选中该项，输入在运营商侧注册过的MAC地址

• 当进行 WAN 接口 MAC 地址克隆设置时，如果更换了 MAC 地址，则 WAN 接口会重新进行初始

化。在此过程中，转发的流量会因为接口地址和路由的变化，会重新选择出接口。待接口初始化

完成以后，新建立的转发业务才会按照您所设置的方式进行转发。

• 设置完成后，您可以通过查看 基本信息页面中的“MAC地址”来验证设置是否已生效。

4.1.4 设置WAN口的速率和双工模式

路由器的 WAN 口支持以下几种速率和双工模式的组合：

表4-5 WAN 口的速率和双工模式

项目 描述

WAN口的双工和速率状态均由本端口和对端端口自动协商而定

Auto

缺省情况下，WAN 口采用 Auto 模式。

10M半双工 WAN口工作在10Mbps速率下，且端口同一时刻只能发送数据包或接收数据包

10M全双工 WAN口工作在10Mbps速率下，且端口在发送数据包的同时可以接收数据包

100M半双工 WAN口工作在100Mbps速率下，且端口同一时刻只能发送数据包或接收数据包

100M全双工 WAN口工作在100Mbps速率下，且端口在发送数据包的同时可以接收数据包

4-5

项目 描述

1000M全双工 WAN口工作在1000Mbps速率下，且端口在发送数据包的同时可以接收数据包

页面向导：接口设置→WAN 设置→网口模式

本页面为您提供如下主要功能：

• 选择 WAN 口的速率和双工模式

• 除了 Auto 模式外，路由器 WAN 口的速率和双工模式需要与对端设备保持一致。

• 设置完成后，您可以通过查看 端口流量页面中的“链路状态”来验证设置是否已生效。

4.2 设置LAN

4.2.1 修改LAN口的IP地址

当您修改了路由器 LAN 口的 IP 地址后，您需要在浏览器中输入新的 IP 地址重新登录，才能对路由

器继续进行配置和管理。比如：某网吧事先已经将整个 IP 地址段均已规划好，因此，您需要根据已

规划好的 IP 地址来修改路由器 LAN 口的 IP 地址，以适应实际环境。

页面向导：接口设置→LAN 设置→局域网设置

本页面为您提供如下主要功能：

• 修改 LAN 口的 IP 地址（缺省情况下，

路由器 LAN 口的 IP 地址为

192.168.1.1，子网掩码为

255.255.255.0）

4-6

4.2.2 设置LAN口MAC地址克隆

路由器出厂时，LAN 口均有一个缺省的 MAC 地址，一般情况下，无需改变。但是，比如：某网吧

之前为了防止 ARP 攻击，给局域网内的主机均设置了网关的静态 ARP 表项。此时，如果网吧想升

级设备，将原来的网关换成了路由器（网关地址保持不变），局域网内的主机则无法学习到路由器

的 MAC 地址。因此，您需要逐个修改局域网内主机的静态 ARP 表项，才可使局域网内的主机恢复

正常上网，这样维护效率会很低。

路由器的 LAN 口 MAC 克隆功能可以使您免除这样的重复劳动，只需将路由器的 LAN 口 MAC 地址

设为原来网关的 MAC 地址，局域网内的主机即可正常上网了。

页面向导：接口设置→LAN 设置→局域网设置

本页面为您提供如下主要功能：

• 设置 LAN 口 MAC 地址克隆

页面中关键项的含义如下表所示。

表4-6 页面关键项描述

页面关键项 描述

使用本设备MAC 选中该项，使用路由器LAN口出厂时的MAC地址

手工输入MAC 选中该项，输入原网关的MAC地址

4.2.3 设置LAN口的基本属性

路由器 LAN 口的基本属性包括端口的速率\/双工模式、广播风暴抑制和流控功能。

1. 速率\/双工模式

路由器的 LAN 口支持以下几种速率和双工模式的组合：

表4-7 LAN 口的速率和双工模式

项目 描述

Auto LAN口的双工和速率状态均由本端口和对端端口自动协商而定

10M 半双工

缺省情况下，LAN 口采用 Auto 模式。

LAN口工作在10Mbps速率下，且端口同一时刻只能发送数据包或接收数据包

10M 全双工 LAN口工作在10Mbps速率下，且端口在发送数据包的同时可以接收数据包

100M 半双工 LAN口工作在100Mbps速率下，且端口同一时刻只能发送数据包或接收数据包

100M 全双工 LAN口工作在100Mbps速率下，且端口在发送数据包的同时可以接收数据包

1000M 全双工 LAN口工作在1000Mbps速率下，且端口在发送数据包的同时可以接收数据包

4-7

2. 广播风暴抑制

如果局域网内有大量的广播\/组播\/未知单播报文流量（可能由病毒导致），会影响网络的正常通信。

您可以通过设置路由器 LAN 口的广播风暴抑制功能，可以有效地抑制大量广播报文的传播，避免网

络拥塞，保证网络业务的正常运行。

路由器允许您设置四种 LAN 口的广播风暴抑制状态级别：不抑制、低、中、高。这四个级别允许通

过的报文流量依次减少，您可根据实际需求进行相应的设置。缺省情况下，LAN 口的广播风暴抑制

功能处于关闭状态（即不抑制）。

3. 流控

一般仅在网络拥塞比较严重时，才开启路由器 LAN 口的流控功能。

当路由器和对端设备都开启了流量控制功能后，如果路由器发生拥塞：

• 路由器将向对端设备发送消息，通知对端设备暂时停止发送报文或减慢发送报文的速度

• 对端设备在接收到该消息后，将暂停向路由器发送报文或减慢发送报文的速度，从而避免了报

文丢失现象的发生，保证了网络业务的正常运行

缺省情况下，路由器 LAN 口的流控功能处于关闭状态。

页面向导：接口设置→LAN 设置→端口设置

本页面为您提供如下主要功能：

• 设置 LAN 口的基本属性

• 除了 Auto 模式外，路由器 LAN 口的速率和双工模式需要与对端设备保持一致。

• 设置完成后，您可以通过查看 端口流量页面中的“链路状态”来验证端口模式设置是否已生效。

4.2.4 设置本地端口镜像

端口镜像是将指定镜像源端口的报文复制到镜像目的端口，镜像目的端口会与数据监测设备相连，

用户利用这些数据监测设备来分析复制到目的端口的报文，进行网络监控和故障排除。

路由器提供本地端口镜像功能，即镜像源端口和镜像目的端口在同一台设备上。

4-8

图4-1 本地端口镜像示意图

页面向导：接口设置→LAN 设置→端口镜像

本页面为您提供如下主要功能：

• 通过设置镜像源端口（被镜像端口）和

镜像目的端口（镜像端口）来实现路由

器的本地端口镜像

设置完成后，您可以通过查看 端口流量页面中的“端口镜像信息”来验证设置是否已生效。

4.3 设置DHCP

4.3.1 DHCP简介

DHCP 采用“客户端\/服务器”通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分

配的 IP 地址等配置信息，以实现网络资源的动态配置。

在DHCP的典型应用中，一般包含一台DHCP服务器和多台DHCP客户端（比如：PC和便携机），如

图 4-2 所示。

4-9

图4-2 DHCP 典型应用

当DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，

获取IP地址及其他配置信息，如 图 4-3 所示。

图4-3 DHCP 中继的典型组网应用

DHCP client DHCP client

Internet

DHCP relay agent

DHCP client DHCP client DHCP server

4.3.2 DHCP的IP地址分配

1. IP地址分配策略

路由器作为 DHCP 服务器，提供两种 IP 地址分配策略：

• 手工分配地址：由管理员为特定客户端静态绑定 IP 地址。通过 DHCP 将配置的固定 IP 地址

分配给客户端。

• 动态分配地址：DHCP 为客户端分配具有一定有效期限的 IP 地址，当使用期限到期后，客户

端需要重新申请地址。

2. IP地址分配机制

(1) 路由器接收到 DHCP 客户端申请 IP 地址的请求时，首先查找手工设置的 DHCP 静态表，如

果这台 DHCP 客户端的 MAC 地址在 DHCP 静态表中，则把对应的 IP 地址分配给该 DHCP

客户端。

4-10

(2) 如果申请 IP 地址的 DHCP 客户端 MAC 地址不在 DHCP 静态表中，或者 DHCP 客户端申请

的 IP 地址与 LAN 口的 IP 地址不在同一网段，路由器会从地址池中选择一个在局域网中未被

使用的 IP 地址分配给该主机。

(3) 如果地址池中没有任何可分配的 IP 地址，则主机获取不到 IP 地址。

如果主机离线（比如：主机关机了），路由器不会马上把之前分给它的 IP 地址分配出去，只有在地

址池中没有其他可分配的 IP 地址，且该离线主机 IP 地址的租约过期时，才会分配出去。

4.3.3 设置DHCP服务器

页面向导：接口设置→DHCP 设置→DHCP 设置

本页面为您提供如下主要功能：

• 显示接口地址池及全局地址池列表

• 设置接口地址池

4-11

• 设置全局地址池

页面中关键项的含义如下表所示。

表4-8 页面关键项描述

页面关键项 描述

地址池名称 选择需要在哪一个VLAN接口上创建DHCP服务器，一个VLAN接口上只能创建一个

DHCP服务器

全局地址池名称 如果您选择全局地址池，请输入全局地址池的名称

地址池起始地址 DHCP服务器地址池的起始地址

地址池结束地址 DHCP服务器地址池的结束地址，地址池结束地址不能小于地址池起始地址

子网掩码 如果您选择全局地址池，请配置该全局地址池对应的子网掩码

网关地址 如果您选择全局地址池，请配置该全局地址池对应的网关地址，如果您不配置网关

地址，有可能造成网络不通

地址租约 设置DHCP服务器分配给客户端IP地址的租借期限。当租借期满后，DHCP服务器

客户端域名 会收回该IP地址，客户端必须重新向路由器申请（客户端一般会自动申请）

主DNS服务器 缺省情况下，地址租约为1440分钟

辅DNS服务器

设置DHCP服务器分配给客户端使用的域名地址后缀

设置DHCP服务器分配IP地址时所携带的主DNS服务器地址

缺省情况下，非全局地址池的DNS服务器分配IP地址时所携带的DNS服务器地址为

网关地址。全局地址池时，如果您不配置任何DNS服务器，有可能造成网络不通

设置DHCP服务器分配IP地址时所携带的辅DNS服务器地址

4.3.4 设置DHCP静态表

如果您想让路由器给某些特定的客户端分配固定的 IP 地址，可以事先通过 DHCP 静态表将客户端

的 MAC 地址和 IP 地址进行绑定，使其成为一对一的分配关系。

4-12

当您设置路由器通过DHCP方式为客户端分配IP地址的同时又设置了 ARP绑定，此时，请确保DHCP

静态表项与ARP绑定表项不冲突，否则对应的客户端可能无法上网。建议您可以将ARP绑定表导出，

然后再将其导入到DHCP静态表中。

页面向导：接口设置→DHCP 设置→DHCP 静态表

本页面为您提供如下主要功能：

• 显示和修改已添加的 DHCP 静态表项

（主页面）

• 单个添加 DHCP 静态表项（单击主页

面上的<新增>按钮，在弹出的对话框

中设置相应的参数，并单击<增加>按

钮完成操作）

• 批量添加 DHCP 静态表项（您可以先

在本地编辑一个.cfg 文件，内容格式为

“MAC 地址 IP 地址 描述”（比如：

00:0A:EB:7F:AA:AB 192.168.1.2

zhangshan），且每条静态表项之间需

要换行。单击主页面上的<导入>按钮，

在弹出的对话框中选择该文件将其导

入即可）

4-13

• 将路由器当前的 DHCP 静态表项备份

保存（.cfg 文件），且您可用“记事本”

程序打开该文件进行编辑（单击主页面

上的<导出>按钮，确认后即可将其导

出到本地）

4.3.5 显示和维护DHCP客户列表

页面向导：接口设置→DHCP 设置→DHCP 客户列表

本页面为您提供如下主要功能：

• 显示已分配的 DHCP 客户列表信息

• 释放并回收指定客户端的 IP 地址，使

该 IP 地址可以重新被分配（选择指定

的客户项，比如：已关机客户 PC，单

击<释放>按钮即可）

4-14

5 安全专区

5.1 设置ARP安全

5.1.1 ARP简介

1. ARP作用

ARP 是将 IP 地址解析为以太网 MAC 地址（或称物理地址）的协议。

在局域网中，当主机或其他网络设备有数据要发送给另一个主机或设备时，它必须知道对方的网络

层地址（即 IP 地址）。但是仅仅有 IP 地址是不够的，因为 IP 数据报文必须封装成帧才能通过物理

网络发送。因此发送方还必须有接收方的物理地址，需要一个从 IP 地址到物理地址的映射。APR

就是实现这个功能的协议。

2. ARP报文结构

图5-1 ARP 报文结构

• 硬件类型：表示硬件地址的类型。它的值为 1 表示以太网地址。

• 协议类型：表示要映射的协议地址类型。它的值为 0x0800 即表示 IP 地址。

• 硬件地址长度和协议地址长度分别指出硬件地址和协议地址的长度，以字节为单位。对于以太

网上 IP 地址的 ARP 请求或应答来说，它们的值分别为 6 和 4。

• 操作类型（OP）：1 表示 ARP 请求，2 表示 ARP 应答。

• 发送端 MAC 地址：发送方设备的硬件地址。

• 发送端 IP 地址：发送方设备的 IP 地址。

• 目标 MAC 地址：接收方设备的硬件地址。

• 目标 IP 地址：接收方设备的 IP 地址。

3. ARP地址解析过程

假设主机A和B在同一个网段，主机A要向主机B发送信息。如 图 5-2 所示，具体的地址解析过程如

下：

(1) 主机 A 首先查看自己的 ARP 表，确定其中是否包含有主机 B 对应的 ARP 表项。如果找到了

对应的 MAC 地址，则主机 A 直接利用 ARP 表中的 MAC 地址，对 IP 数据包进行帧封装，并

将数据包发送给主机 B。

5-1

(2) 如果主机 A 在 ARP 表中找不到对应的 MAC 地址，则将缓存该数据报文，然后以广播方式发

送一个 ARP 请求报文。ARP 请求报文中的发送端 IP 地址和发送端 MAC 地址为主机 A 的 IP

地址和 MAC 地址，目标 IP 地址和目标 MAC 地址为主机 B 的 IP 地址和全 0 的 MAC 地址。

由于 ARP 请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请

求的主机（即主机 B）会对该请求进行处理。

(3) 主机 B 比较自己的 IP 地址和 ARP 请求报文中的目标 IP 地址，当两者相同时进行如下处理：

将 ARP 请求报文中的发送端（即主机 A）的 IP 地址和 MAC 地址存入自己的 ARP 表中。之

后以单播方式发送 ARP 响应报文给主机 A，其中包含了自己的 MAC 地址。

(4) 主机 A 收到 ARP 响应报文后，将主机 B 的 MAC 地址加入到自己的 ARP 表中以用于后续报

文的转发，同时将 IP 数据包进行封装后发送出去。

图5-2 ARP 地址解析过程

当主机 A 和主机 B 不在同一网段时，主机 A 就会先向网关发出 ARP 请求，ARP 请求报文中的目标

IP 地址为网关的 IP 地址。当主机 A 从收到的响应报文中获得网关的 MAC 地址后，将报文封装并发

给网关。如果网关没有主机 B 的 ARP 表项，网关会广播 ARP 请求，目标 IP 地址为主机 B 的 IP 地

址，当网关从收到的响应报文中获得主机 B 的 MAC 地址后，就可以将报文发给主机 B；如果网关

已经有主机 B 的 ARP 表项，网关直接把报文发给主机 B。

4. ARP表

设备通过 ARP 解析到目的 MAC 地址后，将会在自己的 ARP 表中增加 IP 地址到 MAC 地址的映射

表项，以用于后续到同一目的地报文的转发。

ARP 表项分为动态 ARP 表项和静态 ARP 表项。

• 动态 ARP 表项

动态 ARP 表项由 ARP 协议通过 ARP 报文自动生成和维护，会被新的 ARP 报文所更新。

• 静态 ARP 表项

静态 ARP 表项需要通过手工配置和维护，不会被动态的 ARP 表项所覆盖。

配置静态 ARP 表项可以增加通信的安全性。它可以限制和指定 IP 地址的设备通信时只使用指定的

MAC 地址，此时攻击报文无法修改此表项的 IP 地址和 MAC 地址的映射关系，从而保护了本设备

和指定设备间的正常通信。

5.1.2 设置ARP绑定

通过设置 ARP 绑定表，可以有效地防止路由器的 ARP 表项受到攻击，保证了网络的安全。

5-2

1. 设置动态ARP绑定

为了防止通过 DHCP 方式获取 IP 地址的主机在路由器上的 ARP 表项被篡改，您可以开启动态 ARP

绑定功能，使得所有通过 DHCP 服务器分配出去的 IP 地址和其对应的 MAC 地址自动绑定。且动态

绑定的表项在地址租约到期后不会被删除。

页面向导：安全专区→ARP 安全→ARP 绑定

• 设置动态 ARP 绑定（选中“对 DHCP

分配的地址进行 ARP 保护”复选框，

单击<应用>按钮生效）

开启动态 ARP 绑定后，路由器通过 DHCP 方式获取到的 ARP 表项状态为“动态绑定”。反之，则

为“未绑定”。

2. 设置静态ARP绑定

静态 ARP 绑定即需要通过手工配置和维护。建议您将局域网内所有主机都添加到路由器的静态

ARP 表项中。

页面向导：安全专区→ARP 安全→ARP 绑定

本页面为您提供如下主要功能：

• 显示和修改 ARP 表项（主页面）

• 将动态获取到的 ARP 表项进行绑定

（选中动态获取到的表项，单击<静态

绑定>按钮即可完成绑定。此时，ARP

表项状态则为“静态绑定”）

• 单个添加静态 ARP 表项（单击主页上

的<新增>按钮，在弹出的对话框中设

置相应的参数，并单击<增加>按钮完

成操作）

5-3

• 批量添加静态 ARP 表项（您可以在本

地用“记事本”程序创建一个.cfg 文件，

内容格式为“MAC 地址 IP 地址 描述”

（比如：00:0A:EB:7F:AA:AB

192.168.1.2 zhangshan），且每条绑定

项之间需换行。单击主页面上的<导

入>按钮，在弹出的对话框中选择该文

件将其导入即可）

• 将路由器当前的 ARP 静态表项备份保

存（.cfg 文件），且您可用“记事本”

程序打开该文件进行编辑（单击主页面

上的<导出>按钮，确认后即可将其导

出到本地）

您还可以通过路由器自动搜索在线主机功能来获取ARP表项，然后再将其批量绑定添加到路由器的

ARP静态表中。相关操作可参见“5.1.3 设置ARP检测”。

5.1.3 设置ARP检测

通过 ARP 检测功能，您可以快速地搜索到局域网内所有在线的主机，获取相应的 ARP 表项。同时，

系统会检测这些表项当前的绑定状态以及是否存在异常（比如：获取的表项是否和路由器的静态

ARP 表项存在冲突等），并在页面的列表中以不同的颜色加以标明，帮助您更直观地对 ARP 表项进

行判断和维护。

页面向导：安全专区→ARP 安全→ARP 检测

本页面为您提供如下主要功能：

5-4

• 搜索在线主机，获取 ARP 表项（输入

指定的地址范围，单击<扫描>按钮即

可。如果您想清除当前的搜索结果，请

单击<清除结果>按钮）

• 将获取到的、未绑定的 ARP 表项进行

批量绑定（选中未绑定项，单击<静态

绑定>按钮即可）

5.1.4 设置发送免费ARP

免费 ARP 报文是一种特殊的 ARP 报文，该报文中携带的发送端 IP 地址和目标 IP 地址都是本机 IP

地址，报文源 MAC 地址是本机 MAC 地址，报文的目的 MAC 地址是广播地址。

设备通过对外发送免费 ARP 报文来实现以下功能：

• 确定其他设备的 IP 地址是否与本机的 IP 地址冲突。当其他设备收到免费 ARP 报文后，如果

发现报文中的 IP 地址和自己的 IP 地址相同，则给发送免费 ARP 报文的设备返回一个 ARP 应

答，告知该设备 IP 地址冲突。

• 设备改变了硬件地址，通过发送免费 ARP 报文通知其他设备更新 ARP 表项。

路由器支持定时发送免费 ARP 功能，这样可以及时通知下行设备更新 ARP 表项或者 MAC 地址表

项，主要应用场景如下：

• 防止仿冒网关的 ARP 攻击

如果攻击者仿冒网关发送免费 ARP 报文，就可以欺骗同网段内的其他主机，使得被欺骗的主机访

问网关的流量，被重定向到一个错误的 MAC 地址，导致其他用户无法正常访问网络。

为了尽量避免这种仿冒网关的 ARP 攻击，可以在网关的接口上开启能定时发送免费 ARP 功能。开

启该功能后，网关接口上将按照配置的时间间隔周期性发送接口主 IP 地址的免费 ARP 报文。这样，

每台主机都可以学习到正确的网关，从而正常访问网络。

• 防止主机 ARP 表项老化

在实际环境中，当网络负载较大或接收端主机的 CPU 占用率较高时，可能存在 ARP 报文被丢弃或

主机无法及时处理接收到的 ARP 报文等现象。这种情况下，接收端主机的动态 ARP 表项会因超时

而被老化，在其重新学习到发送设备的 ARP 表项之前，二者之间的流量就会发生中断。

为了解决上述问题，您可以在网关的接口上开启定时发送免费 ARP 功能。开启该功能后，网关接

口上将按照配置的时间间隔周期性地发送接口主 IP 地址的免费 ARP 报文。这样，接收端主机可以

及时更新 ARP 映射表，从而防止了上述流量中断现象。

页面向导：安全专区→ARP 安全→ARP 防护

5-5

本页面为您提供如下主要功能：

• 设置路由器丢弃源 MAC 地址不合法的

ARP 报文，即选中该功能后，当设备

接收到的 ARP 报文的源 MAC 地址为

0、组播 MAC 地址或广播 MAC 地址时，

则直接将其丢弃不对其进行 ARP 学习

（缺省情况下，此功能处于开启状态）

• 设置路由器丢弃源 MAC 地址不一致的

报文，即选中该功能后，当设备接收到

的 ARP 报文的源 MAC 地址与该报文

的二层源 MAC 地址不一致时（通常情

况下，认为存在 ARP 欺骗），则直接将

其丢弃不对其进行 ARP 学习（缺省情

况下，此功能处于关闭状态）

• 设置路由器检测到 ARP 欺骗时，LAN

口或 WAN 口会主动发送免费 ARP（缺

省情况下，此功能处于开启状态）

• 设置路由器 LAN 口主动定时发送免费

ARP（缺省情况下，此功能处于关闭状

态）

• 设置路由器 WAN 口主动定时发送免费

ARP（缺省情况下，此功能处于关闭状

态）

设置完成后，您可以通过查看 运行状态页面中的“ARP防攻击”来验证功能是否已启用。

5.2 设置接入控制

5.2.1 设置网站过滤

通过网站过滤功能，您可以灵活地限制局域网内的主机所能访问的网站及生效时间。路由器支持以

下配置：

(1) 两种网站过滤功能：

• 仅允许访问列表中的网站地址：如果您想让局域网内的主机仅能访问固定的某些网站，可以选

中此功能，然后添加相应的网站地址。

• 仅禁止访问列表中的网站地址：如果您想让局域网内的主机不能访问某些非法网站，可以选中

此功能，然后添加相应的网站地址。

(2) 生效时间：如果您想让局域网内的计算机在每周的固定时间内使能网站过滤功能，可以设置

生效时间；生效时间包括两部分内容，在一天中生效的时间段，时间使用 24 小时制，起始时

间应早于结束时间，00:00～24:00 表示该规则在一天内任何时间都生效；一周中哪些天规则

生效。

(3) 两种匹配方式：设备支持模糊匹配和精确匹配两种匹配方式。

5-6

(4) 网站过滤特权 IP 功能：特权 IP 控制，支持设置网站过滤全局特权 IP 地址范围，属于特权 IP

地址范围的用户，网站过滤功能不生效。特权 IP 地址段，包括起始 IP 地址和结束 IP 地址，

起始 IP 地址不能大于结束 IP 地址。设备最多支持设置 20 条特权 IP 地址段。

页面向导：安全专区→接入控制→网站过滤

本页面为您提供如下主要功能：

• 根据实际需求启用相应的网站过

滤功能（主页面。选择相应的网站

过滤功能后，单击<应用>按钮生

效）

• 单个添加网站地址（单击主页面上

的<新增>按钮，在弹出的对话框中

选择匹配方式，并添加需要过滤的

网站地址或对应网站地址的匹配

信息，单击<增加>按钮完成操作）

5-7

• 批量添加网站地址（您可以在本地

用“记事本”程序创建一个.cfg 文

件，内容格式为 0 abc 或 1

www.abc.com，其中 0 表示模糊匹

配，1 表示精确匹配，且每条过滤

项之间需要换行。单击主页面上的

<导入>按钮，在弹出的对话框中选

择该文件将其导入即可）

• 将当前您需要进行过滤处理的网

站地址保存（.cfg 文件），且您可

用“记事本”程序打开该文件进行

编辑（单击主页面上的<导出>按

钮，确认后即可将其导出到本地）

• 网站过滤仅对 HTTP 主站地址生效，无法过滤具体某个网页，且您输入站点时不能带有 http:\/\/。

比如：要禁止访问 www.abc.com 网站，可以输入“www.abc.com”，但不能输入

“http:\/\/www.abc.com”。

• 设置完成后，您可以通过查看 运行状态页面中的“网站过滤”来验证功能是否已启用。

5.2.2 设置IPMAC过滤

IPMAC 过滤功能可以同时对报文中的源 MAC 地址和源 IP 地址进行匹配，仅当源 MAC 地址和源 IP

地址均符合条件的主机才允许访问外网。IPMAC 过滤功能支持以下两种匹配方式：

• 仅允许 DHCP 服务器分配的客户端访问外网：即开启此功能后，不在路由器 DHCP 服务器分

配的客户列表中的用户将无法访问外网。此方式可以运用于企业环境中，因为企业通常使用

DHCP 方式为客户端分配 IP 地址。

5-8

• 仅允许 ARP 静态绑定的客户端访问外网：即开启此功能后，不在 ARP 静态绑定表中的客户

端将无法访问外网。此方式可以运用于网吧环境中，因为网吧通常为客户端设置静态 IP 地址。

页面向导：安全专区→接入控制→IPMAC 过滤

本页面为您提供如下主要功能：

• 设置 IPMAC 过滤功能（选择相应的

IPMAC 过滤匹配方式，单击<应用>按

钮生效）

设置完成后，您可以通过查看 运行状态页面中的“IPMAC过滤”来验证功能是否已启用。

5.3 设置防火墙

路由器的防火墙功能为您实现了根据报文的内容特征（比如：协议类型、源\/目的 IP 地址等），来对

入站方向（从因特网发向局域网的方向）和出站方向（从局域网发向因特网的方向）的数据流执行

相应的控制，保证了路由器和局域网内主机的安全运行。

5.3.1 设置出站通信策略

页面向导：安全专区→防火墙→出站通信策略

本页面为您提供如下主要功能：

• 设置报文在出站方向上未匹配任何您

预先设定的规则时，路由器所采取的缺

省策略（主页面。在“出站通信缺省策

略”下拉框中选择指定的方式，单击<

应用>按钮生效）

5-9

• 添加匹配策略来控制指定的报文（在主

页面上单击<新增>按钮，在弹出的对

话框中设置相应的匹配项，单击<增

加>按钮完成操作）

页面中关键项的含义如下表所示。

表5-1 页面关键项描述

页面关键项 描述

• “允许”：允许内网主动发起的访问报文通过

• “禁止”：禁止内网主动发起的访问报文通过

缺省情况下，出站通信缺省策略为“允许”

出站通信缺省策略 • 当缺省策略是“允许”时，您手动添加的策略即为“禁止”，反之亦然

• 缺省策略更改后，所有已配置的出站通信策略将会被清空，且仅对新建立的访问连接生

效

• 当您手动添加了出站通信策略后，路由器会优先根据该策略对主机进行访问控制，如果

未匹配手动添加的策略，则遵循缺省策略

协议类型 选择需要匹配的报文的协议类型

输入需要匹配的报文的源IP地址段

起始IP\/结束IP（源

IP地址范围） • 起始 IP 地址不能大于结束 IP 地址

• 如果无需匹配报文的源 IP 地址，您可以将起始 IP 地址设置为 0.0.0.0，结束 IP 地址设

置为 255.255.255.255

输入需要匹配的报文的源端口范围

源端口范围

只有设置协议为 TCP\/UDP 之后，源端口范围才可设置

5-10

页面关键项 描述

输入需要匹配的报文的目的IP地址段

起始IP\/结束IP（目

的IP地址范围） • 起始 IP 地址不能大于目的 IP 地址

• 如果无需匹配报文的目的 IP 地址，您可以将起始 IP 地址设置为 0.0.0.0，结束 IP 地址

设置为 255.255.255.255

输入需要匹配的报文的目的端口范围

目的端口范围

只有设置协议为 TCP\/UDP 之后，目的端口范围才可设置

设置此新增规则的生效时间

生效时间

生效时间需要您指定具体的时间段，比如：某天的某个时间段

是否启用 在下拉列表框中选择“启用”，表示此匹配策略生效；选择“禁用”，表示此匹配策略不

生效

描述 对此新增规则进行简单的描述

设置完成后，您可以通过查看 运行状态页面中的“出站缺省策略”来验证功能是否已启用。

5.3.2 设置入站通信策略

页面向导：安全专区→防火墙→入站通信策略

本页面为您提供如下主要功能：

• 设置报文在入站方向上未匹配任何您

预先设定的策略时，路由器所采取的缺

省策略（主页面。在“入站通信缺省策

略”下拉框中选择指定的方式，单击<

应用>按钮生效）

5-11

• 添加匹配规则来控制指定的报文（在主

页面上单击<新增>按钮，在弹出的对

话框中设置相应的匹配项，单击<增

加>按钮完成操作）

页面中关键项的含义如下表所示。

表5-2 页面关键项描述

页面关键项 描述

• “允许”：允许外网主动发起的访问报文通过

• “禁止”：禁止外网主动发起的访问报文通过

缺省情况下，入站通信缺省策略为“禁止”

入站通信缺省策略 • 当路由器工作于NAT模式下时（即开启了 NAT功能），入站通信缺省策略不允许

协议类型

配置，且仅为“禁止”；当路由器工作于路由模式下时（即关闭了NAT功能），

入站通信缺省策略才允许选择配置，且缺省情况下为“允许”

• 当缺省策略是“禁止”时，您手动添加的策略即为“允许”，反之亦然

• 缺省策略更改后，所有已配置的入站通信策略将会被清空，且仅对新建立的访问

连接生效

• 当您手动添加了入站通信策略后，路由器会优先根据该策略对主机进行访问控

制，如果未匹配手动添加的策略，则遵循缺省策略

选择需要匹配的报文的协议类型

输入需要匹配的报文的源IP地址段

起始IP\/结束IP（源IP地址

范围） • 起始 IP 地址不能大于结束 IP 地址

• 如果无需匹配报文的源 IP 地址，您可以将起始 IP 地址设置为 0.0.0.0，结束 IP

地址设置为 255.255.255.255

输入需要匹配的报文的源端口范围

源端口范围

只有设置协议为 TCP\/UDP 之后，源端口范围才可设置

5-12

页面关键项 描述

输入需要匹配的报文的目的IP地址段

起始IP\/结束IP（目的IP地

址范围） • 起始 IP 地址不能大于目的 IP 地址

• 如果无需匹配报文的目的 IP 地址，您可以将起始 IP 地址设置为 0.0.0.0，结束 IP

地址设置为 255.255.255.255

输入需要匹配的报文的目的端口范围

目的端口范围

只有设置协议为 TCP\/UDP 之后，目的端口范围才可设置

设置此新增规则的生效时间

生效时间

生效时间需要您指定具体的时间段，比如：某天的某个时间段

是否启用 在下拉列表框中选择“启用”，表示此匹配策略生效；选择“禁用”，表示此匹配

策略不生效

描述 对此新增规则进行简单的描述

设置完成后，您可以通过查看 运行状态页面中的“入站缺省策略”来验证功能是否已启用。

5.3.3 防火墙设置举例

1. 需求

禁止局域网内的特定主机（IP 地址段为：192.168.1.200 到 192.168.1.230）在每天的早上 8 点到

晚上 6 点访问 80 端口。

2. 设置步骤

(1) 将出站通信缺省策略设置为“允许”，

单击<应用>按钮生效

5-13

(2) 单击<新增>按钮，在弹出的对话框中

设置相应的出站通信策略参数，如右

图所示。单击<增加>按钮，完成添加

5.4 设置防攻击

在复杂网络环境中，常常由于主机异常或中毒，导致其不断地发送一些攻击报文，造成路由器资源

和网络带宽不必要的消耗。防攻击主要的目的就是发现并丢弃非法的报文，以保证整体网络的稳定

性。

5.4.1 防攻击方式

路由器为您提供了以下三种防攻击方式：

• IDS 防范

IDS 防范主要用于发现一些常见的攻击类型报文对路由器的扫描和一些常见的 DOS 攻击，并丢弃

相应的报文。在一定程度上，可以有效地保护路由器的正常运行。

• 报文源认证

攻击类型的报文多种多样，除了 ARP 欺骗外，最主要的是伪装 IP 地址的报文和伪装 MAC 地址的

报文。您通过设置路由器的静态路由表和 ARP 表项，可以在很大程度上认证内网发送的报文的合

法性。比如：当报文的源 IP 地址属于不可达网段，报文的源 IP 地址\/源 MAC 地址和静态 ARP 表项

存在冲突等，则路由器会认为该报文是非法伪装的报文，会直接将其丢弃。

• 异常流量防护

在网络实际应用中，往往会由于单台主机中毒或异常，导致这台主机大量发送数据包。而这些报文

并不能被路由器的报文源认证功能确定为非法的报文，此时会大量地消耗路由器的资源。开启该功

能后，路由器会对各台主机的流量进行检查，并根据您所选择的防护等级（包括：高、中、低三种）

进行相应的处理，以确保路由器受到此类异常流量攻击时仍可正常工作。

5.4.2 设置IDS防范

页面向导：安全专区→防攻击→IDS 防范

5-14

本页面为您提供如下主要功能：

• 开启指定攻击类型报文的 IDS 防

范（选中您需要防范的攻击类型，

单击<应用>按钮生效）

• 本页面中的各攻击类型的介绍可直接参见路由器的在线联机帮助。

• 仅当您选择了“丢弃攻击报文，并记入日志”选项，路由器才会对攻击事件以日志的形式记录。

日志信息的查看，可参见“9.2.1 查看日志信息”。

• 设置完成后，您可以通过查看 运行状态页面中的“防止端口扫描”和“防止DoS攻击”来验证

功能是否已启用。

5.4.3 设置报文源认证

页面向导：安全专区→防攻击→报文源认证

本页面为您提供如下主要功能：

• 选择基于哪个表项（静态路由表、静态

ARP 表、动态 ARP 表）来对报文进行

源认证（选中相应的功能项，单击<应

用>按钮生效）

页面中关键项的含义如下表所示。

表5-3 页面关键项描述

页面关键项 描述

启用基于静态路由 开启该功能后，路由器将根据静态路由表对所有报文的源IP地址进行检查。如果静态路由

的报文源认证功能 表中存在到该源IP地址的表项，则转发该报文；否则丢弃该报文

比如：路由器LAN口下挂的设备接口地址为192.168.1.5\/24，内网为192.200.200.0\/24网段。

同时，您设置静态路由目的地址为192.200.200.0\/24，下一跳为192.168.1.5，出接口为LAN

口。此时，路由器允许从192.200.200.0\/24网段转发过来的报文通过

5-15

页面关键项 描述

启用基于ARP绑 开启该功能后，路由器将根据静态ARP表的绑定关系及DHCP分配列表中的对应关系，来

定、DHCP分配 认证内网的报文。如果报文的源IP地址\/MAC地址与静态ARP表中的IP地址\/MAC地址对应

ARP防护下的报文 关系存在冲突，则路由器将其直接丢弃

源认证功能

比如：您设置了一条ARP静态绑定项（将源IP地址：192.168.1.100与源MAC地址：

08:00:12:00:00:01绑定）。当路由器LAN侧收到一个报文，其源IP地址为192.168.1.100，

但源MAC地址为08:00:12:00:00:02，路由器会将该报文丢弃

启用基于动态ARP 开启该功能，路由器将会根据动态ARP表的对应关系，来认证内网的报文。如果报文的源

的报文源认证功能 IP地址\/MAC地址与已确认合法的动态ARP表的IP地址\/MAC地址对应关系存在冲突，则路

由器将其直接丢弃

比如：路由器动态学习到一条ARP表项（源IP地址：192.168.1.100，源MAC地址：

08:00:12:00:00:01），当路由器LAN侧在该ARP表项老化之前收到一个报文，其源IP地址

为192.168.1.100，但源MAC地址为08:00:12:00:00:02，路由器会将该报文丢弃

如果您想查看源认证失败的报文的个数，可参见“9.3.4 安全统计”。

5.4.4 设置异常主机流量防护

页面向导：安全专区→防攻击→异常流量防护

本页面为您提供如下主要功能：

• 选择防护等级来对异常主机流量进行

防护（选中“启用异常主机流量防护功

能”复选框，并设置异常流量阈值和选

择相应的防护等级，单击<应用>按钮

生效）

页面中关键项的含义如下表所示。

5-16

表5-4 页面关键项描述

页面关键项 描述

启用异常主机流量 通过该选项，您可以开启或关闭异常主机流量防护功能。下挂路由器的流量不在异常流量

防护功能 防护功能处理范围之内

启用该项，防护等级最高，设备会进行异常主机流量检查，并且自动把检查到的攻击主机

高 添加到攻击列表中，在指定的生效时间范围内，禁止其访问本设备和Internet，以尽量减少

这台异常主机对网络造成的影响

中 启用该项，防护等级居中，设备会把内网主机上行流量分别限制在异常流量阈值范围内，

超过阈值的流量将被设备所丢弃

低 启用该项，防护等级低，设备仅对超过异常流量阈值的事件记入日志，仍然允许对应的主

机访问设备和Internet

MAC地址 被加入攻击列表主机的AMC地址

对应主机 被加入攻击列表主机可能对应的IP地址

剩余时间 该主机将被阻断时间的倒计时

5-17

6 设置QoS

6.1 设置IP流量限制

某些应用（比如：P2P 下载等）在给用户带来方便的同时，同时，也占用了大量的网络带宽。一个

网络的总带宽是有限的，如果这些应用过度占用网络带宽，必将会影响其他用户正常使用网络。

为了保证局域网内所有用户都能正常使用网络资源，您可以通过 IP 流量限制功能对局域网内指定主

机的流量进行限制。

路由器支持以下两种 IP 流量限制方式：

• 允许每 IP 通道借用空闲的带宽：即弹性带宽限制，在带宽使用不紧张时（比如：早上，网吧

上网人数较少时），允许每台主机可以使用系统空闲带宽，其实际流量可以超过限速值。

• 每 IP 通道只能使用预设的带宽：即固定带宽限制，每台主机的实际流量不能超过限速值。即

使系统还有空闲的带宽，也不能利用。

一般情况下，上网流量都通过正常通道来转发（正常通道是指除了 绿色专用通道和 限制专用通道

以外的通道），IP流量限制仅对该通道中的流量生效。正常通道的带宽＝接口带宽（从运营商申请

到的实际带宽）－绿色专用通道的带宽。

页面向导：QoS 设置→流量管理→IP 流量限制

本页面为您提供如下主要功能：

• 启用 IP 流量限制功能，并设置您所需

的限制方式（主页面。选中“启用 IP

流量限制”复选框，并选择相应的限制

方式，设置正确的接口带宽（否则可能

发生掉线），单击<应用>按钮生效）

6-1