From：http://hi.baidu.com/yanzhaovip/item/6ee971b793d73e9a19469792


一、Ros是一种路由操作系统，可安装在普通的PC机上实现路由功能，达到提高网络访问速度和吞吐量的效果，成为一套低成本且高性能的路由器系统。

其主要特点：价格优势功能强大     除具有一般路由系统的大部分功能外，还具备防火墙、路由器、流量控制、网桥、无线、认证系统、×××、网络监控和日志记录等功能。系统稳定速度快零维护增减服务方便添加删除模块方便可编程适用面广

二、ROS 安装省。。。。。。

三、需求 

1、划分vlan 实现内网不同网段访问INTERNET，相互间通信 

2、限制出口访问 

3、限制访问指定网址出口

 4、电信接口作×××，远程访问内网 

5、实现移动PPOE拨号上网 

6、内网数据抓包分析   

四、分析示意图  

ae51f3deb48f8c54a8baa58b38292df5e0fe7f2c

    五、环境 

ROS 服务器一台，三块网卡， 华为S5300交换机一台， PC 

六、配置

（1）三层switch 划分vlan

 Syster-view 

    Vlan 2 Port g0/0/6 – g0/0/10 

    Vlan 3 Port g0/0/11 – g0/0/15 

    Vlan 4 Port g0/0/16 – g0/0/20 

    Vlan 1 Port g0/0/1 – g0/0/5 

(2) 配置IP 

Interface vlanif vlan2 Ip address 192.168.11.1 mask 255.255.255.0 

Interface vlanif vlan3 Ip address 192.168.12.1 mask 255.255.255.0 

Interface vlanif vlan4 Ip address 192.168.13.1 mask 255.255.255.0 

Interface vlanif vlan1 Ip address 192.168.1.3 mask 255.255.255.0 

(3)添加默认路由

 Ip route-stice 0.0.0.0 0.0.0.0 192.168.1.2 //指向ROS lan 的端口   

(4)配置ROS

A、添加三个IP 地址 192.168.1.2/24 eth1 172.16.1.1/24 eth2 172.16.2.1/24 eth3 

B、添加回程路由 192.168.11.0/24 192.168.1.3   //指向接LAN口的三层交换机IP 192.168.12.0/24 192.168.1.3 192.168.13.0/24 192.168.1.3 192.168.1.2/24 192.168.1.3 

C、添加NAT

Ip firewall nat add action=masquerade chain=srcnat disabled=no src-address=192.168.11.0/24 Ip firewall nat add action=masquerade chain=srcnat disabled=no src-address=192.168.12.0/24 Ip firewall nat add action=masquerade chain=srcnat disabled=no src-address=192.168.13.0/24 

D、配置路由标识 

Ip firewall mangle add action=mark-routing chain=prerouting comment=”12-13” disabled=no dst-address-list=12-13 in-inter new-routing-mark=12-13 passthrouth=no Ip firewall mangle add action=mark-routing chain=prerouting comment=”11” disabled=no dst-address-list=11 in-inter new-routing-mark=11 passthrough=yes 

E、添加源地址路由，实现内网限制出口 0.0.0.0/0 gw 172.16.2.1 ether3 12-13 0.0.0.0/0 gw 172.16. 1.1 ether2 11 

F、添加规则 192.168.11.0/24 11 192.168.12.0/24 12-13 192.168.13.0/24 12-13   #

G、添加目的地址，实现访问指定网站出口  

H、Wan1 口配置××× 

    a、创建地址池 ip pool add name=***-pptp1 ranges=192.168.1.100-192.168.1.200 

    b、创建propfile winbox 链接 ppp/propfile/***-propfile1/local address 192.168.1.1remote address ***-pptp1 use-encryption=yes only-one=yes 

    c、创建用户 ppp secret add name=***-user1 password=user profile=***-profile1 service=pptp ppp secret add name=***-user2 password=user profile=***-profile1 service=pptp ppp secret add name=***-user3 password=user profile=***-profile1 service=pptp ppp secret add name=***-user4 password=user profile=***-profile1 service=pptp ppp secret add name=***-user5 password=user profile=***-profile1 service=pptp   

    d、启动pptp服务 ppp/interface/pptp server/勾选 enabled / default profile /***-profile1 authentication/全选   

I、配置WAN2 

PPOE拨号上网根据现实实际情况，PPOE 拨号上网，获得的IP地址不同的情况，此处只是说明普通的PPOE配置说明。

第一步：建立pppoe账号
Interfaces---点pppoe cient——dial out——在user里输入宽带账号，在password写入宽待密码,
选者general选项卡在nterface选者网卡.. 

第二步：nat转发
IP——firewall——net，点红加号,然后选者general选项卡里面有个src. address设置网关：（按自己的需要填）
在选者action选项卡在action那里选者masquerade然后点ok   

J、配置LAN口监控流量和数据抓包   

使用ROS 自带的packet sniffer工具配置数据抓包，由于自带的sniffer不能实时观测所捕获的数据，所以只需要在ROS中开启sniffer，定义存储文件，通过FTP服务器下载到本地，在通过wireshark 对捕获下来的数据进行分析。

 Winbox 登录到ROS， 

Tools----packet sniffer-----settings-----general/interface 设置监控的网卡                            

------memory limit 10 分配内存的大小 10k                                              

-----file name 定义文件名点击apply,点击start 关掉窗口，也可以连接远程的监控服务器，让ROS将捕获的数据以单播的 Stearing /server /sniffer ip 

设置抓包筛选条件 Streating enable 勾选 Filter /protocol /ip only