Panabit技術(shù)講解_從頭開(kāi)始了解Panabit

1、Copyright 2013 Panabit and/or its affiliates. All rights reserved.網(wǎng)關(guān)的終極未來(lái)北京派網(wǎng)軟件有限公司Copyright 2013 Panabit and/or its affiliates. All rights reserved.網(wǎng)絡(luò)的四個(gè)部分Page 2接入管理優(yōu)化審計(jì)Copyright 2013 Panabit and/or its affiliates. All rights reserved.Panabit的功能Page 3n 從部署模式來(lái)看-網(wǎng)橋部署-網(wǎng)關(guān)部署-旁路部署Copyright 2013 Panabit a

2、nd/or its affiliates. All rights reserved.Panabit的功能Page 4n 從功能上來(lái)看-應(yīng)用識(shí)別（核心）-路由（靜態(tài)路由，NAT，NAT后路由，應(yīng)用路由，DNS管控，緩存牽引，PPPOE服務(wù)器）-流量控制（動(dòng)態(tài)限速，優(yōu)先級(jí)，帶寬保證）-上網(wǎng)行為管理（wifi共享控制，移動(dòng)終端控制，http管控）-日志分析Copyright 2013 Panabit and/or its affiliates. All rights reserved.Panabit的功能Page 5n 從應(yīng)用場(chǎng)景來(lái)看-企業(yè)行為管理（封wifi、視頻、購(gòu)物、游戲，web認(rèn)證）-網(wǎng)吧出

3、口（優(yōu)先級(jí)，動(dòng)態(tài)限速，負(fù)載均衡，應(yīng)用分流）-校園網(wǎng)出口（優(yōu)先級(jí)，帶寬保證，策略路由，應(yīng)用分流）-小區(qū)網(wǎng)出口（PPPOE服務(wù)，認(rèn)證計(jì)費(fèi)，緩存牽引，負(fù)載均衡，應(yīng)用分流，日志審計(jì)）-運(yùn)營(yíng)商出口優(yōu)化（高性能NAT，流量控制，DNS管控，游戲加速、應(yīng)用分流，日志分析）-大數(shù)據(jù)分析Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 6網(wǎng)橋部署- Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 7網(wǎng)橋部署的設(shè)置將兩個(gè)數(shù)據(jù)口設(shè)置

4、為一組網(wǎng)橋，每組網(wǎng)橋?qū)?yīng)的兩個(gè)接口是唯一的，一個(gè)接內(nèi)網(wǎng)，一個(gè)接外網(wǎng)?！敖觾?nèi)網(wǎng)”的端口接交換機(jī)，“接外網(wǎng)”的端口接路由器。Copyright 2013 Panabit and/or its affiliates. All rights reserved.錯(cuò)誤（一）每組網(wǎng)橋由兩個(gè)數(shù)據(jù)網(wǎng)卡組成，并且它們的網(wǎng)橋名稱也相同。每組網(wǎng)橋由兩個(gè)數(shù)據(jù)網(wǎng)卡組成，并且它們的網(wǎng)橋名稱也相同。Copyright 2013 Panabit and/or its affiliates. All rights reserved.錯(cuò)誤的設(shè)置（二）網(wǎng)橋只能是一進(jìn)一出！網(wǎng)橋只能是一進(jìn)一出！不能一進(jìn)兩出，也不能兩進(jìn)一出，并且相同的網(wǎng)

5、橋名稱不能超過(guò)兩個(gè)不能一進(jìn)兩出，也不能兩進(jìn)一出，并且相同的網(wǎng)橋名稱不能超過(guò)兩個(gè)Copyright 2013 Panabit and/or its affiliates. All rights reserved.錯(cuò)誤設(shè)置（三）錯(cuò)誤：在有鏈路匯聚環(huán)境的時(shí)候，認(rèn)為網(wǎng)橋也能夠這樣匯聚起來(lái)。Copyright 2013 Panabit and/or its affiliates. All rights reserved.在有匯聚的情況下，網(wǎng)橋應(yīng)該這樣設(shè)置在有匯聚的情況下，網(wǎng)橋應(yīng)該這樣設(shè)置Copyright 2013 Panabit and/or its affiliates. All rights re

6、served.測(cè)試網(wǎng)橋是否通Copyright 2013 Panabit and/or its affiliates. All rights reserved.360WIFI控制1禁止私接wifi手機(jī)共享2禁止私接路由給PC共享Copyright 2013 Panabit and/or its affiliates. All rights reserved.創(chuàng)建策略組Copyright 2013 Panabit and/or its affiliates. All rights reserved.場(chǎng)景（一）在沒(méi)有wifi覆蓋的網(wǎng)絡(luò)。阻斷接入的手機(jī)Copyright 2013 Panabit a

7、nd/or its affiliates. All rights reserved.在策略組里添加策略Copyright 2013 Panabit and/or its affiliates. All rights reserved.序號(hào)：100常用條件：全“任意”用戶特征：移動(dòng)設(shè)備數(shù)不小于“1”執(zhí)行動(dòng)作：“阻斷”Copyright 2013 Panabit and/or its affiliates. All rights reserved.策略做好以后，要調(diào)度策略組Copyright 2013 Panabit and/or its affiliates. All rights reserv

8、ed.1，缺省策略組：默認(rèn)使用的策略組；2，策略調(diào)度表：可以根據(jù)時(shí)間，在線人數(shù)等條件進(jìn)行策略調(diào)度；當(dāng)滿足調(diào)度表?xiàng)l件時(shí)，優(yōu)先使用調(diào)度表匹配條件的策略。3，在任一時(shí)刻，最多只會(huì)有一個(gè)策略組被調(diào)度在任一時(shí)刻，最多只會(huì)有一個(gè)策略組被調(diào)度Copyright 2013 Panabit and/or its affiliates. All rights reserved.當(dāng)前匹配的調(diào)度表項(xiàng)，會(huì)以藍(lán)色大字顯示。Copyright 2013 Panabit and/or its affiliates. All rights reserved.策略調(diào)度成功后，在監(jiān)控統(tǒng)計(jì)-當(dāng)前策略-流量控制里，會(huì)顯示當(dāng)前調(diào)度的策略

9、組。Copyright 2013 Panabit and/or its affiliates. All rights reserved.場(chǎng)景（二）有WIFI覆蓋禁止私接WIFICopyright 2013 Panabit and/or its affiliates. All rights reserved.首先區(qū)分，哪些是公共WIFI，哪些是私接WIFI。Copyright 2013 Panabit and/or its affiliates. All rights reserved.先將公用WIFI的IP放行Copyright 2013 Panabit and/or its affiliat

10、es. All rights reserved.Copyright 2013 Panabit and/or its affiliates. All rights reserved.共享檢測(cè)技術(shù)Page 26n 共享檢測(cè)技術(shù)簡(jiǎn)述- DPI應(yīng)用檢測(cè)- 通用數(shù)據(jù)包檢測(cè)（IPID軌跡）-移動(dòng)終端檢測(cè)Copyright 2013 Panabit and/or its affiliates. All rights reserved.DPI應(yīng)用檢測(cè)方式Page 27n 原理- 某些應(yīng)用程序在進(jìn)行數(shù)據(jù)交互的時(shí)候，一些數(shù)據(jù)包中會(huì)帶有本地網(wǎng)卡的IP信息，Panabit的DPI引擎能獲取到這些IP地址的信息，以此為

11、依據(jù)判斷有共享用戶。n 特點(diǎn) - 能知道具體共享的內(nèi)網(wǎng)IP地址，檢測(cè)準(zhǔn)確。 - 這個(gè)檢測(cè)是在DPI識(shí)別順帶的，性能上的消耗可以忽略。 - 這只是某些應(yīng)用程序的特性，比如迅雷、暴風(fēng)等P2P類軟件。Copyright 2013 Panabit and/or its affiliates. All rights reserved.通用數(shù)據(jù)包檢測(cè)Page 28n 原理-過(guò)記錄數(shù)據(jù)包的IPID，繪出IPID的軌跡，以此為依據(jù)判斷有共享用戶。n 特點(diǎn) - 只檢測(cè)WINXP和WIN7系統(tǒng)。 - 客戶機(jī)上網(wǎng)就能檢測(cè)到，無(wú)需特別應(yīng)用。 - 這樣的檢測(cè)十分靈敏，一臺(tái)客戶機(jī)也可能產(chǎn)生多條軌跡。 - 開(kāi)啟通用數(shù)據(jù)包檢

12、測(cè)，會(huì)消耗一定的系統(tǒng)資源，因此這種方式最多檢測(cè)6個(gè)共享。Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 29通用數(shù)據(jù)包檢測(cè)（IPID軌跡）- 標(biāo)識(shí)（identification）：數(shù)據(jù)報(bào)的標(biāo)識(shí)，用來(lái)標(biāo)識(shí)出數(shù)據(jù)長(zhǎng)度超過(guò)MTU分片時(shí)，進(jìn)行重新組裝數(shù)據(jù)的位置標(biāo)識(shí)。這部分通常用來(lái)分析共享上網(wǎng)的特征。Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 30IPID軌跡檢測(cè)當(dāng)啟用“通用數(shù)據(jù)包檢測(cè)”時(shí)，Panabit會(huì)根據(jù)時(shí)間

13、和數(shù)據(jù)包的IPID繪圖，在每一臺(tái)內(nèi)網(wǎng)機(jī)器作地址轉(zhuǎn)換時(shí)，IPID的序號(hào)是沒(méi)變化的，而每臺(tái)機(jī)器又是隨機(jī)從一個(gè)數(shù)開(kāi)始，有規(guī)律單調(diào)增加，如果某一IP下共享了多臺(tái)客戶機(jī)，由于每臺(tái)客戶機(jī)IPID的起始值不同，那么在一段時(shí)間內(nèi)，繪圖就會(huì)發(fā)現(xiàn)多條軌跡，那么Panabit就會(huì)認(rèn)為有多個(gè)共享用戶。每條軌跡代表一個(gè)共享用戶。 Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 31IPID軌跡檢測(cè)配置參數(shù)floweye ipidtracker stat 查看當(dāng)前配置ipid_enable=1 1開(kāi)啟，0關(guān)閉ipid_learn

14、max=64 判斷IPID連續(xù)包的軌跡ipid_maxskip=8 單機(jī)數(shù)據(jù)包最大缺失個(gè)數(shù)，大于不屬于1個(gè)IPipid_minskip=6 數(shù)據(jù)包缺失個(gè)數(shù)，小于屬于1個(gè)IPipid_ttl=50 軌跡老化時(shí)間修改配置舉例floweye ipidtracker config ipid_ttl=10 把軌跡的老化時(shí)間設(shè)置為10秒Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 32移動(dòng)終端檢測(cè)n原理 - 根據(jù)數(shù)據(jù)包里包含的一些特殊字段，來(lái)判斷數(shù)據(jù)包是來(lái)自移動(dòng)設(shè)備n特點(diǎn) - 識(shí)別準(zhǔn)確Copyright 201

15、3 Panabit and/or its affiliates. All rights reserved.Page 33移動(dòng)終端數(shù)據(jù)包數(shù)據(jù)包里包含的操作系統(tǒng)和硬件型號(hào)信息Copyright 2013 Panabit and/or its affiliates. All rights reserved.共享檢測(cè)的設(shè)置移動(dòng)終端的老化時(shí)間調(diào)整命令：floweye dpi config mob_ttl=XXXXXX為老化的時(shí)間，單位是秒Copyright 2013 Panabit and/or its affiliates. All rights reserved.常用的共享控制策略 預(yù)期效果：不允許

16、使用路由器，阻斷所有的共享。關(guān)閉通用數(shù)據(jù)包檢測(cè)Copyright 2013 Panabit and/or its affiliates. All rights reserved.常用的共享控制策略 預(yù)期效果：允許使用路由器，但是PC和移動(dòng)設(shè)備不能同時(shí)使用。關(guān)閉通用數(shù)據(jù)包檢測(cè)Copyright 2013 Panabit and/or its affiliates. All rights reserved.常用的共享控制策略 預(yù)期效果：允許使用路由器，PC控制在1-2以內(nèi)。開(kāi)啟通用數(shù)據(jù)包檢測(cè)Copyright 2013 Panabit and/or its affiliates. All righ

17、ts reserved.Page 38旁路監(jiān)控部署Copyright 2013 Panabit and/or its affiliates. All rights reserved.應(yīng)用場(chǎng)景 內(nèi)網(wǎng)流量監(jiān)控 運(yùn)營(yíng)商出口優(yōu)化（結(jié)合panalog） 大數(shù)據(jù)分析（結(jié)合panalog）Copyright 2013 Panabit and/or its affiliates. All rights reserved.設(shè)置1-上行與下行分別鏡像到兩個(gè)數(shù)據(jù)接口1）設(shè)置Panabit的數(shù)據(jù)接口的工作模式為“監(jiān)控模式”；2）將Panait的數(shù)據(jù)接口與交換機(jī)互聯(lián)；3）設(shè)置交換機(jī)與路由lan口連接的端口為“被鏡像端口

18、”；4）設(shè)置“被鏡像端口”的上行數(shù)據(jù)，鏡像到交換機(jī)與Panabit“接內(nèi)網(wǎng)”互聯(lián)的端口上；5）設(shè)置“被鏡像端口”的下行數(shù)據(jù)，鏡像到交換機(jī)與Panabit“接外網(wǎng)”互聯(lián)的端口上；Copyright 2013 Panabit and/or its affiliates. All rights reserved.設(shè)置2-上行與下行都鏡像到一個(gè)數(shù)據(jù)接口1）設(shè)置Panabit的數(shù)據(jù)接口的工作模式為“監(jiān)控模式”；2）將Panait的一個(gè)數(shù)據(jù)接口與交換機(jī)互聯(lián)，并且設(shè)置為“接內(nèi)網(wǎng)”；3）設(shè)置交換機(jī)與路由lan口連接的端口為“被鏡像端口”；4）設(shè)置“被鏡像端口”的上行和下行數(shù)據(jù)，鏡像到交換機(jī)與Panabit“接

19、內(nèi)網(wǎng)”互聯(lián)的端口上；5）開(kāi)啟偽IP防護(hù)，并且填入內(nèi)網(wǎng)IP段Copyright 2013 Panabit and/or its affiliates. All rights reserved.單個(gè)“數(shù)據(jù)接口”接收上行和下行流量時(shí)，打開(kāi)“偽IP防護(hù)”功能，將內(nèi)網(wǎng)IP地址段填進(jìn)去?！皞蜪P防護(hù)”功能打開(kāi)后，實(shí)際上就告訴了Panabit，哪些IP是內(nèi)網(wǎng)的。源地址為內(nèi)網(wǎng)IP的流量就是上行流量；源地址為外網(wǎng)IP的就是下行流量。Copyright 2013 Panabit and/or its affiliates. All rights reserved.Page 43網(wǎng)關(guān)部署 Copyright 201

20、3 Panabit and/or its affiliates. All rights reserved.路由的概念路由：是路由器指從一個(gè)接口上收到數(shù)據(jù)包，轉(zhuǎn)發(fā)到另一個(gè)接口的過(guò)程。我們常常會(huì)把NAT當(dāng)做路由。NAT指的是地址轉(zhuǎn)換，它是一種把內(nèi)部私有網(wǎng)絡(luò)地址（IP地址）轉(zhuǎn)換成合法網(wǎng)絡(luò)IP地址的技術(shù)。在NAT動(dòng)作之后，轉(zhuǎn)發(fā)到下一跳（下個(gè)路由器），這個(gè)過(guò)程才是路由。Copyright 2013 Panabit and/or its affiliates. All rights reserved.第一步確定“數(shù)據(jù)接口”的“角色”網(wǎng)關(guān)部署的設(shè)置網(wǎng)關(guān)部署的設(shè)置“接內(nèi)網(wǎng)”可用于“LAN接口”和“PPPOE服

21、務(wù)器”“接外網(wǎng)”可以用于“WAN線路”和“PPPOE旁路”Copyright 2013 Panabit and/or its affiliates. All rights reserved.第二步，設(shè)置接口線路Copyright 2013 Panabit and/or its affiliates. All rights reserved.設(shè)置WAN線路時(shí)的注意事項(xiàng)。接口名稱：盡量不用特殊符號(hào)。心跳服務(wù)器IP：wan線路會(huì)自動(dòng)ping這個(gè)心跳IP，來(lái)判斷這條wan線路和外網(wǎng)是否是通的。如果ping不通，則認(rèn)為這條線路是不可用的。啟用防封殺：如果啟用由這條wan線路出去的數(shù)據(jù)包的IPID會(huì)是連續(xù)

22、的。IP地址與網(wǎng)關(guān)地址：這里我們不需要填掩碼，只要IP與網(wǎng)關(guān)地址二層上能互通即可。DNS服務(wù)器地址：做DNS管控的策略時(shí)才會(huì)用到。Copyright 2013 Panabit and/or its affiliates. All rights reserved.第三步，設(shè)置策略路由Copyright 2013 Panabit and/or its affiliates. All rights reserved.LAN到LAN的路由LAN到LAN的路由主要作用是實(shí)現(xiàn)兩個(gè)不同網(wǎng)段之間的互訪。Copyright 2013 Panabit and/or its affiliates. All righ

23、ts reserved.LAN到WAN的路由例如，將訪問(wèn) /16這個(gè)目的網(wǎng)絡(luò)，路由到WAN線路策略里與LAN到LAN的路由策略的區(qū)別就是，路由線路選擇一條WAN線路。與NAT的區(qū)別就是，數(shù)據(jù)包的源地址沒(méi)有改變，后面設(shè)備看到數(shù)據(jù)包的源地址不會(huì)是WAN線路的地址。Copyright 2013 Panabit and/or its affiliates. All rights reserved.NAT后路由NAT后選路就是，先進(jìn)將源地址NAT成“NAT線路”的地址(NAT線路可以是一個(gè)線路群組)，然后再?gòu)牧硪粭lwan線路路由出去。這個(gè)功能常用與運(yùn)營(yíng)商之間的私網(wǎng)互聯(lián)和“光纖走上行A

24、D走下行”Copyright 2013 Panabit and/or its affiliates. All rights reserved.負(fù)載均衡WAN線路的負(fù)載均衡PPPOE接口的負(fù)載均衡Copyright 2013 Panabit and/or its affiliates. All rights reserved.WAN線路的負(fù)載均衡線路群組將就若干條線路組合在一起內(nèi)置了8個(gè)線路組WAN線路可以放到不同的線路組中是基本連接的負(fù)載均衡，而不是數(shù)據(jù)包，這和傳統(tǒng)骨干路由器上的負(fù)載均衡有顯著的差別。Copyright 2013 Panabit and/or its affiliates. A

25、ll rights reserved.設(shè)置群組負(fù)載類型目前有四種方式：源地址、目的地址、源負(fù)載類型目前有四種方式：源地址、目的地址、源+ +目、地址目、地址+ +端口。端口。我們可以根據(jù)應(yīng)用特點(diǎn)來(lái)選擇負(fù)載類型，例如網(wǎng)銀登陸，必須我們可以根據(jù)應(yīng)用特點(diǎn)來(lái)選擇負(fù)載類型，例如網(wǎng)銀登陸，必須IPIP一致，那么我們可以選擇源地址負(fù)載；一致，那么我們可以選擇源地址負(fù)載；P2PP2P的應(yīng)用連接多、流的應(yīng)用連接多、流量大。那么就用地址量大。那么就用地址+ +端口負(fù)載。這樣相對(duì)比較均衡。端口負(fù)載。這樣相對(duì)比較均衡。相同的鏈路可以加到不同的群組。比如有相同的鏈路可以加到不同的群組。比如有1010條鏈路，條鏈路， 把

26、這把這1010條鏈路同時(shí)全部加入條鏈路同時(shí)全部加入A A群組和群組和B B群組，群組，A A群組以群組以“源地址源地址”的方式的方式負(fù)載，負(fù)載，B B群組以群組以“地址地址+ +端口端口”的方式負(fù)載。我們可以把網(wǎng)頁(yè)走的方式負(fù)載。我們可以把網(wǎng)頁(yè)走A A群組，群組，P2PP2P走走B B群組，這樣群組，這樣1010條線路即解決了網(wǎng)銀條線路即解決了網(wǎng)銀IPIP驗(yàn)證的問(wèn)題驗(yàn)證的問(wèn)題，也解決了均衡的問(wèn)題，也解決了均衡的問(wèn)題 Copyright 2013 Panabit and/or its affiliates. All rights reserved.添加線路+按鈕，用來(lái)添加線路群組的成員，把需要負(fù)載

27、均衡的wan線路添加到群組里Copyright 2013 Panabit and/or its affiliates. All rights reserved.添加線路點(diǎn)+按鈕后，會(huì)列出可以添加的WAN線路權(quán)重：負(fù)載連接的比例，可選1-10。這里以各個(gè)線路之間的帶寬比例為參考，帶寬越大權(quán)重越高Copyright 2013 Panabit and/or its affiliates. All rights reserved.策略路由在策略路由的策略中，目標(biāo)線路調(diào)用相應(yīng)的線路群組。Copyright 2013 Panabit and/or its affiliates. All rights re

28、served.PPPOE服務(wù)器的負(fù)載均衡多個(gè)物理接口對(duì)應(yīng)多個(gè)PPPOE服務(wù)器，每個(gè)PPPOE服務(wù)器設(shè)置一個(gè)最大接入，當(dāng)一個(gè)PPPOE服務(wù)器接入到上限后，就不會(huì)再接入用戶，而其它沒(méi)有達(dá)到上限的PPPOE服務(wù)器就會(huì)繼續(xù)接入，從而現(xiàn)實(shí)各個(gè)網(wǎng)卡接入用戶均衡。Copyright 2013 Panabit and/or its affiliates. All rights reserved.DNS管控DNS管控就是針對(duì)滿足策略條件的DNS的數(shù)據(jù)包做下列的動(dòng)作。條件路徑（網(wǎng)橋）、VLAN、源接口（LAN接口）、源地址、DNS服務(wù)器（目的地址）、訪問(wèn)域名動(dòng)作允許、丟棄、重定向、劫持Copyright 2013

29、 Panabit and/or its affiliates. All rights reserved.重定向重定向的目標(biāo)是一條線路，作用是把請(qǐng)求域名解析的DNS服務(wù)器地址改變。Copyright 2013 Panabit and/or its affiliates. All rights reserved.重定向?qū)崿F(xiàn)原理假設(shè)WAN線路IP是78，DNS服務(wù)器是0。重定向后，對(duì)數(shù)據(jù)包的源地址和目的地址都做了一次改變。本來(lái)去14解析域名，變成了到0上去解析。由于DNS服務(wù)器不同，解析的結(jié)果也肯定會(huì)不一樣。Copyright 2013 Panabit and/or its affiliates. All rights reserved.劫持劫持就是將域名的解析結(jié)果，變成一個(gè)固定的IPCopyright 2013 Panabit and/or its affiliates. All rights reserved.劫持的效果演示解析，9是正常的結(jié)果劫持后，解析，得到的結(jié)果變成了1.