http://pandorabox.tuuz.cc:8000
AC58U
AC860M
ACRH17
E8350
MI424WR
Newifi3
R6950
R7800
WXR-2533DHP
Widora-Neo
小米路由器Pro
小米路由器3pro（R3P）改SPI快閃記憶體，適配OPENWRT (LEAN 20.7.1)
2021年8月4日 星期三
UniFi Dream Machine Pro QoS 設定方式
Dream Machine Pro (UDM Pro) 是一款企業級 UniFi OS 控制器，可以整合多種網路應用與平台系統。
UniFi Dream Machine Pro (UDM-Pro) 完美整合了 UniFi 控制器、安全閘道器、10G SFP+ WAN、8 埠 Gbps 交換器以及 3.5 吋 HDD 硬碟。
外型簡潔漂亮，帶有小小的資訊螢幕，可使用觸摸的方式顯示相關信息。
本次是教導如何設定QoS (Quality of Service)，避免某一裝置佔用太多的頻寬。
2014年7月22日 星期二
Draytek 居易 Vigor 2920n IPSec VPN 互連
客戶兩台Vigor 2920n，建立兩端IPSec VPN。但有一端必須接入LAN2網段。如下圖：
下圖可看到台北端有做VLAN，內部電腦接入LAN2網段，LAN1網段做其他用途。
時間設定請參閱前篇VPN設定。建立一筆台北到林口的LAN to LAN，以台北作為撥入端，林口作為撥出端。
下圖，撥號方向選撥入
IPsec安全防護方式選高級(ESP)DES有驗證，撥入設定指定遠端VPN通道，填入林口端IP。預先共用金鑰打勾，並輸入金鑰。
TCP/IP網路設定，遠端網路IP填入林口端的內網IP區段，下方本機網路IP位址填入台北端LAN2的網段。
按下確定，到此完成台北端設定
林口端
建立一筆到台北的LAN to LAN
撥號方向選撥出，永遠連線打勾。我撥出的伺服器類型選IPsec通道。下方填入台北端的IP，和IKE金鑰（必須與台北的金鑰相同）
IPsec安全防護方式選高級(ESP)3DS有驗證
IKE進階設定，如下圖。本機ID的地方填入林口端的IP
TCP/IP網路設定，遠端網路IP填入台北端的內網IP區段，下方本機網路IP位址填入林口端的網段。
建立好了後，可以看到IPSec VPN已經連線。
後記：如果建立好VPN後會一直斷線，請到自我診斷工具中的Syslog系統資源管理察看記錄
2014年6月30日 星期一
Draytek Vigor 2920 和 Vigor 2130 建立IPSec Lan to Lan VPN
台北端總公司 Vigor 2920，使用的是192.168.1.x的網段，中華電信FTTx 100M/40M，撥接式固定IP
桃園端辦公室 Vigor 2130，使用的是192.168.2.x的網段，中華電信FTTx 100M/40M，撥接式固定IP
兩端用Lan to Lan (Site to Site) IPsec VPN相連接，桃園端可存取台北總公司的伺服器資源。如下圖所示：
首先2130需調整日期時間，這點很重要，一定要先做。
接下來到VPN與遠端連存取，LAN to LAN的設定
建立一筆到台北的連線，遠端主機名稱，填入台北的IP位址。IKE階段模式為主要模式。認證填入預先共用金鑰，自己設定。本機和遠端身分辨識留空。
本機網路填入桃園的內部網路區段，遠端網路填入台北的網路區段。
IKE階段1選AES128_MD5_G2，IKE階段2選AES-128，有效時間預設值。PFS不打勾。按下確定。
到此完成2130的LAN to LAN設定。
接下來2920端一樣先設定日期時間。
然後到2920的VPN與遠端存取，LAN to LAN
建立一筆到桃園辦公室的VPN
因為台北端是100M光纖，所以接在WAN2上，可得到最大傳輸速率。所以VPN撥出經由介面選”僅用WAN2”。撥號方向選永遠連線。
撥出設定的地方，選IPSec通道，下方填入桃園端的IP位址。右方IKE驗證方式填入和桃園一樣的金鑰。下方IPSec安全防護方式選高級(ESP)AES有驗證。按下進階，選取和桃園一樣的IKE協定與模式。
PFS一樣停用，若2130有啟用PFS，則此處也必須啟用。本機ID填入自己的IP位址。
撥入設定如下圖，只留IPSec通道。
TCP/IP 網路設定，我的WAN IP填入0.0.0.0。遠端閘道IP填入0.0.0.0。遠端網路IP填入2130的內部網段192.168.2.0。本機網路IP位址填入2920的192.168.1.1。
按下確定後，回到VPN連線狀態。可以看到已經連線。
完成設定。
2012年11月23日 星期五
原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-PPTP VPN
本次操作的重點：
讓使用者在外面也可以用PPTP VPN連線回公司處理公事。
上圖，內部已有一台Server負責DHCP配發IP的工作，所以我們將Lan1的DHCP關閉。外部出差的業務如果臨時要存取公司內部的資料，該如何做到?
首先，到使用者管理，使用者設定檔。
按下新增
增加一名使用者，點選啟用，輸入密碼。Idle Timeout(sec)無動作後幾秒自動斷線，預設6分鐘，填入0為手動斷線。Usage Time (min)可使用的最大時數。組別，可依照user、operator、Admin分類。PPTP選Enable，DHCP from lan1，因為我們自己有DHCP server，所以在固定IP的地方填入一組內網的IP，為何要填入固定ip而不是由DHCP配發?因為VPN連線認證和配發IP是由2960負責，並不是內部DHCP Server負責。mOTP無使用，選Disable。按下套用後完成。
設定完成檔如下
接下來到VPN以及遠端存取，PPP基本設定
原廠預設是不加密，驗證協定是CHAP，但是傳輸資料不加密太危險了，如果客戶端是M$系統，那我們驗證協定可以選擇用MS-CHAP-v2，MPPE加密選128-bit，用戶驗證類型選local。local是指2960本身的使用者。
其餘都不用設定。到此已完成2960 PPTP VPN連線設定。
接下來設定Windows的VPN，這裡網路上很多資料可參考，故不列出。僅針對安全性的地方做解說。資料加密的地方選”需要加密”，下方允許這些通訊協定將MS-CHAP v2打勾，按下確定。
這樣就完成了2960 PPTP VPN的設定。
2012年11月20日 星期二
原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-SmartMonitor
本次的操作重點：
1.建立監控電腦SmartMonitor並收集內部區域網路的使用狀況。
如上圖，將被監控端電腦置於Port 1，底下可串接Switch Hub。然後把監控電腦主機接在Port 2上，透過Port 2監控Port 1的電腦上網活動。不可將監控電腦主機同樣接在Port 1，這樣會錯亂。
那麼開始吧。首先到LAN的綁定IP到MAC
2.按下移動，移動到右邊，這樣就完成了
然後到LAN 交換器
點擊對映，監控口選LAN_Port_2，被監控口選LAN_Port_1，然後啟用打勾，按下套用後生效。不需重新啟動。
接著到192.168.1.6這台監控電腦，已安裝好Vigor Smart Monitor。開啟網頁瀏覽器，輸入http://192.168.1.6 若出現下圖登入畫面，表示已完成安裝。輸入使用者名稱admin，密碼admin，就可以登入了。
登入後記得預設語言是英文，記得到System中更改admin的密碼和語系。
Vigor 2960可側錄100台內網電腦，對一般中小企業來說很足夠了，又不需另外購買側錄設備，算是很棒的附加價值。
2012年11月19日 星期一
原廠沒教的事：Vigor2960雙WAN口安全防火牆路由器-multi-WAN設定和切內部VLAN
|
|
|
| |   |
本次的操作重點：
1.HiNet光纖固6 IP與HiNet ADSL固4 IP建立Failover。
2.建VLAN，切開內部上網和對外網頁伺服器。
3.內部電腦接在Port 1 ，透過FTTx上網。對外網頁伺服器接在Port 4，透過FTTx提供網站服務。互相走的IP不同。
一、建立WAN 1和WAN 2的Failover備援
Fail over是當Router偵測到WAN 1斷線後，會即時切換到WAN 2，讓內部的電腦可以繼續使用聯外網路，不致於停擺。建議盡量不要使用同一家的線路，例如WAN1是中華電信光纖，WAN2就可以拉有線電視網路或ADSL。如果兩個WAN都要拉光纖，可先詢問兩家ISP業者是否連線到同一機房。以避免機房跳機造成無法備援。
登入管理介面，輸入帳號密碼
目前使用的版本
點擊WAN，基本設定
先設定好WAN 1和WAN 2的IP
左邊WAN，點擊”負載平衡”
配置量，點擊新增
設定檔名稱自己取，模式選Failover
備援，如下圖。當wan1斷線時自動切換到wan2
完成後按下套用，設定值生效。
二、建立multi-wan，切開內部電腦上網和網頁伺服器
multi-wan的好處是同一個wan port可以模擬出許多的實體wan port，不需額外加裝switch或hub。
首先要來設定multi-wan，點擊WAN的基本設定。
(1)點一下wan1 (2)按下編輯
固定，輸入IP地址，這是要給內部電腦上網用的IP，下方的IP別名，新增後輸入給網頁伺服器用的IP。因為申請的是光世代固6 IP，所以可以在IP別名中輸入5個IP，但目前僅用來做網頁服務，所以填入一個就可以了。完成後按下套用。
到此完成multi-wan的設定
三、建立VLAN，切開內部電腦上網和網頁伺服器
VLAN的好處是讓內部的電腦和網頁伺服器分開走不同的網段，可避免駭客透過網頁伺服器當跳板攻擊內部的電腦。也可避免內部電腦中毒後持續攻擊網頁伺服器。
最上方的圖示，將內部電腦群組設定在VLAN 1，透過Port 1，連接FTTx的固定210.66.210.51連線上網。網頁伺服器放在VLAN 2，透過Port 4，連接FTTx的固定210.66.210.50對外服務。
點擊LAN，基本設定。
預設已經有一個lan1，無需動他，按下新增。
輸入設定檔名稱，這裡為lan2，輸入VLAN ID，IP位址的地方輸入v2960要使用的，例如192.168.2.1。其餘不需輸入，按下套用。
接著到交換器的地方
點一下預設的VLAN，按下編輯
成員裡面LAN_Port_4取消打勾，未標記裡面LAN_Port_4取消打勾。按下套用。LAN_Port1~4分別指向2960上的實體埠
回過頭來，按下新增。
輸入VLAN ID，在此是輸入15。成員的地方僅留LAN_Port_4，其餘皆不打勾。下方位標記亦同。完成後按下套用。
到此完成內部VLAN的建立，port1~3為VLAN10，port4為VLAN15。設定好了後設備必須重新啟動以生效。
四、分開內部電腦上網和網頁伺服器走的IP
接下來我們要讓內部的電腦使用210.66.210.51上網，而網頁伺服器使用的是210.66.210.50聯外，各走各的路。
LAN，點擊固定路由
點擊新增
設定檔名稱自己取，啟用打勾，目標IP位址輸入網頁伺服器的內部IP，閘道輸入之前設定好的2960位址，WAN/LAN設定檔下拉選取lan2，Metric輸入任意數字，在此輸入10，表示10公尺。按下套用。
回到下圖，真實網路-虛擬網路互通路由，這裡啟用不打勾。如果啟用的話，LAN1和LAN2就可以互通，目前無此需求。
接下來到NAT，點擊通訊埠重導向。
我們要將80 port從外部210.66.210.50轉到內部的192.168.2.2。按下新增。
設定檔名稱自己取，啟用打勾，介面wan1，IP別名下拉選取Single_Alias，別名IP選取剛剛設定好的，虛擬IP輸入192.168.2.2，對應模式為One-to-One 一對一，起始埠號80，內部的虛擬埠號80，按下套用。
回來看已經增加一筆設定
接著到NAT，位址對應
新增一筆設定
設定檔名稱自己取，虛擬IP的地方輸入192.168.2.1，通訊協定為All，使用IP別名，下方的ip別名下拉選取，然後按下套用。
這樣從192.168.2.X來的資料就會從210.66.210.50出去了。
到此完成設定，並達到我們的要求，讓內部電腦VLAN1使用210.66.210.51連上網，192.168.2.X網段VLAN2的電腦使用210.66.210.50連上網，網頁伺服器透過轉port的方式將80port提供給外部連網站。
此設定方式原廠並未提供，故若有疏漏的部分，請依照原廠公布設定值為依據。
訂閱：
文章 (Atom)