原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-PPTP VPN

本次操作的重點：

讓使用者在外面也可以用PPTP VPN連線回公司處理公事。

上圖，內部已有一台Server負責DHCP配發IP的工作，所以我們將Lan1的DHCP關閉。外部出差的業務如果臨時要存取公司內部的資料，該如何做到?

首先，到使用者管理，使用者設定檔。

按下新增

增加一名使用者，點選啟用，輸入密碼。Idle Timeout(sec)無動作後幾秒自動斷線，預設6分鐘，填入0為手動斷線。Usage Time (min)可使用的最大時數。組別，可依照user、operator、Admin分類。PPTP選Enable，DHCP from lan1，因為我們自己有DHCP server，所以在固定IP的地方填入一組內網的IP，為何要填入固定ip而不是由DHCP配發?因為VPN連線認證和配發IP是由2960負責，並不是內部DHCP Server負責。mOTP無使用，選Disable。按下套用後完成。

設定完成檔如下

接下來到VPN以及遠端存取，PPP基本設定

原廠預設是不加密，驗證協定是CHAP，但是傳輸資料不加密太危險了，如果客戶端是M$系統，那我們驗證協定可以選擇用MS-CHAP-v2，MPPE加密選128-bit，用戶驗證類型選local。local是指2960本身的使用者。

其餘都不用設定。到此已完成2960 PPTP VPN連線設定。

接下來設定Windows的VPN，這裡網路上很多資料可參考，故不列出。僅針對安全性的地方做解說。資料加密的地方選”需要加密”，下方允許這些通訊協定將MS-CHAP v2打勾，按下確定。

這樣就完成了2960 PPTP VPN的設定。

原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-SmartMonitor

本次的操作重點：

1.建立監控電腦SmartMonitor並收集內部區域網路的使用狀況。

 

如上圖，將被監控端電腦置於Port 1，底下可串接Switch Hub。然後把監控電腦主機接在Port 2上，透過Port 2監控Port 1的電腦上網活動。不可將監控電腦主機同樣接在Port 1，這樣會錯亂。

---

那麼開始吧。首先到LAN的綁定IP到MAC

1.點擊有安裝SmartMonitor的監控電腦
2.按下移動，移動到右邊，這樣就完成了

然後到LAN 交換器

點擊對映，監控口選LAN_Port_2，被監控口選LAN_Port_1，然後啟用打勾，按下套用後生效。不需重新啟動。

接著到192.168.1.6這台監控電腦，已安裝好Vigor Smart Monitor。開啟網頁瀏覽器，輸入http://192.168.1.6 若出現下圖登入畫面，表示已完成安裝。輸入使用者名稱admin，密碼admin，就可以登入了。

登入後記得預設語言是英文，記得到System中更改admin的密碼和語系。

Vigor 2960可側錄100台內網電腦，對一般中小企業來說很足夠了，又不需另外購買側錄設備，算是很棒的附加價值。

原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-multi-WAN設定和切內部VLAN

	管理高速網路 支援雙WAN口並作網路負載平衡/備援 強大的防火牆提供企業更大的保障 支援200條VPN虛擬通道 支援IPv6 支援 Smart Monitor網路側錄功能 (可管理100台PC) 支援TR-069 相容VigorACSSI中央管理系統

本次的操作重點：

1.HiNet光纖固6 IP與HiNet ADSL固4 IP建立Failover。

2.建VLAN，切開內部上網和對外網頁伺服器。

3.內部電腦接在Port 1 ，透過FTTx上網。對外網頁伺服器接在Port 4，透過FTTx提供網站服務。互相走的IP不同。

一、建立WAN 1和WAN 2的Failover備援

Fail over是當Router偵測到WAN 1斷線後，會即時切換到WAN 2，讓內部的電腦可以繼續使用聯外網路，不致於停擺。建議盡量不要使用同一家的線路，例如WAN1是中華電信光纖，WAN2就可以拉有線電視網路或ADSL。如果兩個WAN都要拉光纖，可先詢問兩家ISP業者是否連線到同一機房。以避免機房跳機造成無法備援。

登入管理介面，輸入帳號密碼

目前使用的版本

點擊WAN，基本設定

先設定好WAN 1和WAN 2的IP

左邊WAN，點擊”負載平衡”

配置量，點擊新增

設定檔名稱自己取，模式選Failover

備援，如下圖。當wan1斷線時自動切換到wan2

完成後按下套用，設定值生效。

---

二、建立multi-wan，切開內部電腦上網和網頁伺服器

multi-wan的好處是同一個wan port可以模擬出許多的實體wan port，不需額外加裝switch或hub。

首先要來設定multi-wan，點擊WAN的基本設定。

(1)點一下wan1 (2)按下編輯

固定，輸入IP地址，這是要給內部電腦上網用的IP，下方的IP別名，新增後輸入給網頁伺服器用的IP。因為申請的是光世代固6 IP，所以可以在IP別名中輸入5個IP，但目前僅用來做網頁服務，所以填入一個就可以了。完成後按下套用。

到此完成multi-wan的設定

---

三、建立VLAN，切開內部電腦上網和網頁伺服器

VLAN的好處是讓內部的電腦和網頁伺服器分開走不同的網段，可避免駭客透過網頁伺服器當跳板攻擊內部的電腦。也可避免內部電腦中毒後持續攻擊網頁伺服器。

最上方的圖示，將內部電腦群組設定在VLAN 1，透過Port 1，連接FTTx的固定210.66.210.51連線上網。網頁伺服器放在VLAN 2，透過Port 4，連接FTTx的固定210.66.210.50對外服務。

點擊LAN，基本設定。

預設已經有一個lan1，無需動他，按下新增。

輸入設定檔名稱，這裡為lan2，輸入VLAN ID，IP位址的地方輸入v2960要使用的，例如192.168.2.1。其餘不需輸入，按下套用。

接著到交換器的地方

點一下預設的VLAN，按下編輯

成員裡面LAN_Port_4取消打勾，未標記裡面LAN_Port_4取消打勾。按下套用。LAN_Port1~4分別指向2960上的實體埠

回過頭來，按下新增。

輸入VLAN ID，在此是輸入15。成員的地方僅留LAN_Port_4，其餘皆不打勾。下方位標記亦同。完成後按下套用。

到此完成內部VLAN的建立，port1~3為VLAN10，port4為VLAN15。設定好了後設備必須重新啟動以生效。

---

四、分開內部電腦上網和網頁伺服器走的IP

接下來我們要讓內部的電腦使用210.66.210.51上網，而網頁伺服器使用的是210.66.210.50聯外，各走各的路。

LAN，點擊固定路由

點擊新增

設定檔名稱自己取，啟用打勾，目標IP位址輸入網頁伺服器的內部IP，閘道輸入之前設定好的2960位址，WAN/LAN設定檔下拉選取lan2，Metric輸入任意數字，在此輸入10，表示10公尺。按下套用。

回到下圖，真實網路-虛擬網路互通路由，這裡啟用不打勾。如果啟用的話，LAN1和LAN2就可以互通，目前無此需求。

接下來到NAT，點擊通訊埠重導向。

我們要將80 port從外部210.66.210.50轉到內部的192.168.2.2。按下新增。

設定檔名稱自己取，啟用打勾，介面wan1，IP別名下拉選取Single_Alias，別名IP選取剛剛設定好的，虛擬IP輸入192.168.2.2，對應模式為One-to-One 一對一，起始埠號80，內部的虛擬埠號80，按下套用。

回來看已經增加一筆設定

接著到NAT，位址對應

新增一筆設定

設定檔名稱自己取，虛擬IP的地方輸入192.168.2.1，通訊協定為All，使用IP別名，下方的ip別名下拉選取，然後按下套用。

這樣從192.168.2.X來的資料就會從210.66.210.50出去了。

到此完成設定，並達到我們的要求，讓內部電腦VLAN1使用210.66.210.51連上網，192.168.2.X網段VLAN2的電腦使用210.66.210.50連上網，網頁伺服器透過轉port的方式將80port提供給外部連網站。

此設定方式原廠並未提供，故若有疏漏的部分，請依照原廠公布設定值為依據。