Qno俠諾-中小企業安全路由器手冊
引言：
安全路由器這個詞是Infonetics研究公司在2005年所提出來的，主要是指整合了以往防火牆或VPN閘道功能，提供給企業應用的新類型路由器產品。在2006年的市場報告中，Infonetics指出2004到2005年全球安全路由器收入激增121%，出貨量增長近兩倍，整個市場由標準路由器向安全路由器過渡，未來路由器市場份額增長主要的拉動力量就是安全路由器。
安全路由器快速成長的原因是企業持續進行網路升級，由以往只要求連接，轉而為尋找整合安全特性、QoS和支持VoIP的平臺。在這個風潮之下，以往的路由器顯得功能不足，具有防火牆、加密VPN、帶寬管以及URL過濾等安全功能的路由器產品應運而生。思科所推出的ISR產品，在2005/2006年取得很大的成功，就是受這個風潮的影響。
但是Qno俠諾科技從各地的市場反應發現，安全路由器在過去幾年主要針對較大型企業所提供，價位偏高，模組化的設計也使管理益為困難。在2007年開始，由於全國各地發生的網路攻擊及網路升級，安全路由器的概念將正式進入中小企業的應用。Qno俠諾科技發現中國網路攻擊，包括SYN及ARP攻擊，有漸漸從網咖向企業漫延的現象。對於企業而言，購買獨立的防火牆不但成本高昂，而且設定管理又很複雜，不如一次升級到適合的安全路由器，一次解決網路安全的問題，又能達到網路升級，為未來建置VPN及VoIP進行準備。Qno俠諾科技綜合市場上各式針對中小企業的安全路由器產品，整理了針對中小企業安全路由器的特色：
易於管理的介面：對於中小企業而言，往往沒有專門的網管維護人員，因此易於管理的介面就很容易操作。很多網管都認為文字模式的管理介面，是給較高級產品的。其實不然，思科也在其ISP採用基於Web的直觀設備管理工具SDM （Security Device Manager ），可見Web管理介面及直觀配置的重要性。Qno俠諾全線產品自2004年採用Web管理介面及直觀配置，也是近年來才受到企業用戶的認同。
性價比高的網路晶片：為了整合多種功能以及進行功能的集成，以往的安全路由器往往採用高階或是訂制的網路晶片。這些晶片確實是功能強大，而且運作穩定，但相對高昂的成本價格及特殊的工作軟體，也使產品整體的價格居高不下。這裏帶出了中小企業需求的第二個特點，那就是性價比要高，因為中小企業費用控制較嚴格，對高價產品接受度較低。而Qno俠諾科技產品所採用的Intel IXP系列網路處理器，由於採用廠家多，生產數量大，因此相對成本能壓低，其價位可以作到中小企業較易接受。
適當的整合功能：網路晶片是網路產品的動力來源，由於價位的限制，因此中小企業只能追求較平價的處理器，要求的整合功能也較為有限，不會天馬行空。也就是中小企業所要求的安全路由器，夠用就好，而不會期望經由模組的彈性升級，持續增加新的功能。最好是現有的功能，足夠未來二年的使用，價格又很合理。一般來說相對於以往數萬元的安全路由器，現在很多數千元的安全路由器更受中小企業青睞。
強調防攻擊及穩定運作：在近一年中國互聯網上，前有BT、點點通下載軟體，最近則有ARP、SYN攻擊，對於寬頻接入造成很大影響。相對於中毒、或是垃圾郵件等造成單機運作影響的網路安全威脅，中小企業更注重會造成全網掉線或是中止企業運作的防攻擊及穩定功能。也就是強調路由器必須協助企業保持營運，而單機的安全則由單機負責。
安全路由器在大企業網路拓樸的角色，是在核心層上實現用戶路由資訊轉發的安全控制，而在企業內網有其他專門安全設備配合針對特定安全事件進行管理，彌補了網路上有可能存在的網路安全漏洞，使得安全設備之間相得益彰，最大化的減少了網路安全事件的發生。對於中小企業及大型企業的分支機搆來說，他們沒有足夠的資金和人員維護配置各種類型的安全設備，因此需求的產品概念和以往的安全路由器是不太一樣的。中小企業應該根據自身的需求量身配置合適的安全路由器。安全路由器的分類一般可分為高性能安全路由器和VPN安全路由器，後者是指具有VPN功能，可讓中小企業建置VPN。不過由於中小企業的要求差異不大，因此這二者要求的功能是近似的，只是後者多了VPN功能。
以筆者就Qno俠諾接觸企業用戶經驗，列出中小企業用戶較注重的安全路由器功能，提供有意購買讀者參考：
基本配置：是否支援多線路？是否支持備援？是否支持不同ISP分流？是否支持DDNS？是否支援IP管理/群組管理？
配置及管理：是否支援Web介面？是否支援中文介面？是否支援遠端接入/管理/報表/日誌/流量統計等？
管理政策：是否支援用戶群組管理？是否支持MAC/IP鎖定？是否支持不合法MAC排除？
帶寬控制：是否支持上網許可權？是否支持帶寬使用政策？是否支援帶寬限制/聯機數限制？是否能對BT下載及即時通等軟體進行管理
防禦功能：是否能防禦蠕蟲、ARP攻擊、DoS、惡意攻擊？是否能提供資訊進行糾錯？是否能協助找出攻擊的來源？
警示功能：是否支援電子郵件警示？是否支援完整直觀的日誌？是否支援語音警示？是否支持短訊通知？
VPN建置：是否支援國際標準協定？是否很容易進行配置？是否能解決跨網VPN不穩定問題？是否能提供VPN備援？是否支持VPN彙聚？
以上種種功能，都是中小企業在考慮安全路由器時，常碰到的問題。以上各個功能在後文中筆者將會一一介紹。
各章節常見問題索引：
第一章 中小企業安全路由器基本配置 [ PDF文件下載 ]
- 何時適用WAN接入？多WAN接入可解決哪些問題？有哪些不同負載均衡模式可用？
- 局域網IP如何配置？何時使用固定IP？何時使用DHCP分發IP？
- 如何防止未經充許電腦上網？如何防止無線網路被外人使用？
- 如何把用戶依部門分群組管理？如何簡化對用戶的管理工作？
- 如何建立公開伺服器？不同配置方式優缺點如何？如何能有較高的公開伺服器安全？
第二章 中小企業安全路由器配置及管理 [ PDF文件下載 ]
- 使用視窗以外作業系統，是否可以操作？使用沒有中文的作業系統是否可以操作？
- 如何修改路由器密碼？路由器密碼遺忘如何處理？
- 如何在特殊情況知道路由器工作情況？重要情況如何通知網管？
- 如何保存配置參數？如何告訴技術支援人員配置情形？
- 如何在遠程管控路由器？
第三章 中小企業安全路由器用戶管理 [ PDF文件下載 ]
- 如何分配IP地址給用戶？公網IP及虛擬IP如何共存？
- 如何阻擋非公司電腦上網？
- 如何管理不同用戶？如何保留帶寬給重要人員？
第四章 中小企業安全路由器帶寬管理 [ PDF文件下載 ]
- 如何判斷整體帶寬是否足夠？如何進行最簡易的帶寬管理工作？
- 如何阻擋MSN, QQ及即時通等應用？部份重要人士不需要管制如何處理？
- 帶寬不足情況下，如何予以優化?如何以最簡單的方式，完成帶寬管理工作？
- 如何阻擋大量下載如BT、點點通？如何有效限制QQ視頻？如何針對新的網路應用，進行管制配置？
第五章 中小企業安全路由器防火牆 [ PDF文件下載 ]
- 開放（公網）IP位址伺服器及主機，如何保護？
- 私有IP地址及伺服器，如何管制？對內的管制需要定時，如何配置？如何阻擋特定的應用服務？
- 最近有許多常見的攻擊，例如ARP攻擊、DoS攻擊，如何進行防禦的配置？
- 如何減少攻擊對路由器效能的影響？對於廣播應用，如何開放路由器防火牆？
- 除了路由器外，如何進行整體的配置，減少企業網路受到外掛程式的破壞？
第六章 中小企業安全路由器警示及監控 [ PDF文件下載 ]
- 如何進行網路狀態的瞭解？如何針對特定應用或用戶瞭解帶寬使用情況？
- 如何選擇日誌記錄的內容？
- 如何在特定時間通知網管？如何進行語音告警功能配置？如何保存完整日誌？如何架設日誌伺服器？
- 如何測試網路品質？
第七章 中小企業安全路由器VPN配置 [ PDF文件下載 ]
- 有哪些VPN標準?該如何選擇？各針對哪些問題解決？如何進行VPN規劃？
- 行動用戶如何進行配置？該使用哪一種用戶端軟體？
- 聯機雙方沒有固定IP怎麼辦?如何設置動態DDNS功能?如何加強DDNS穩定性?是否有DDNS備援功能？
- 多WAN VPN有哪些特性?如何簡化外點的配置? 是否能提供VPN備援功能？是否能於中央點一次完成所有點的監控？
- 是否能解決跨網VPN不穩定問題？
- 不同外點之間是否可以通聯?在VPN上架設VoIP需要用到什麼功能?
- 如何給予VPN封包較高的處理許可權?如何確保VPN封包得到較多的帶寬?
|
