Panabit策略设置

Panabit配置Alpha12008-03-07服务器安装完之后自然要开始配置了，还是第一次配置，自然要多向论坛里面的大侠们学习学习啦。

不过可能是我搜索的技术比较差，没有搜索到几篇，就自己动手配置一下先将就着用。

首先，要从公司对Internet需求出发，这个我们都很清楚，在配置流量控制的时候要考虑的不是怎么封堵，而是怎么放行才恰到好处。

这里就先谈谈我对以下配置的考虑：1、首先P2P下载绝对要首先杀出，这也是panabit开发组的一个出发点吧，我想也是所有网管保证网络畅通的第一想法吧，但是在使用过程中发现如果吧P2P杀出，对某些部门的用户有一定的不便，算了，限制在50K之内应该没有多少影响吧，使用之后看效果如何。

2、公司能上Intel的用户，一般都有下载一些小软件的爱好，但是需求不是那么高的，也就是不着急着用，慢点就慢点吧，可以考虑只限速（开放http分块下载和伪IE下载的限速就能保证大多数软件都可以使用，又不占带宽，论坛里面有一篇《对迅雷实行准确限速的规则设置方法》，借用一下他的思想）3、上班时间绝对不允许看电视、玩网游以及其他一些网络娱乐，可以阻断。

不允许看股票，但是呢，如果我把这个阻断，恐怕老板是第一个来找我麻烦的（各个部门的大哥大姐也会找麻烦，做人要低调吖，不能做的太绝，限速总可以吧，股票交易软件比较多，现在Panabit只提供3种的，哥们，不好意思，不是用那3种的等着被限速吧。

）4、对信息技术部（偶的部门）和总经理室成员必须不同对待，兄弟和给钱的（俗了点，呵呵）总不能亏待吧，如果网速都被这些人占了再调整吧。

5、本人对下载有很大兴趣，不过会自己限速，但是现在有这个限速的好软件，就让软件来约束一下，顺便可以看看软件的执行力如何。

本着以上5点想法开始以下设置，可能是偶的网络管理知识有限，对软件的设置中存在一些偏差，还请各位大大们多多批评指正：（一）网络设置（1）网络接口这里值得一提的是管理端口的IP设置，由于我们公司的网络管理模式是内外网物理隔绝，这个管理端口显得格外重要了。

一、设备连接拓补图说明：下图为一个流控设备的网络拓补图：流控设备作为网桥以便于对经过它的数据进行协议分析，从而达到对企业内部需要封锁的协议进行封堵。

其网线接口有严格的规定，否则将达不到预期的效果。

拓补图1：该企业只有一台路由器+若干交换机，在实际的应用中，由于路由器的功能限制，网络管理员很难对一些应用程序、网上电影、视频等做一些有效的封锁，像迅雷BT方面也是相当难以控制的。

针对这种类型的网络环境，只需要在路由器与交换机之间加一台流控设备便可以对网络中的BT、网上电影、WEB视频、网页游戏做到有效的管理与封锁。

使用本设备不会对企业内网造成影响，企业内网使用的如DHCP、DNS、WINS、FTP 等所有协议不会造成任何影响！另外受控的用户端也不需要附加任何设定，对用户端而言这些操作都是透明的。

拓补图2：该企业拥有多条上网出口线路，存在多台路由器。

企业使用本流控设备也不会对网络造成影响。

如下图所示，只需要在流控设备上添加一台HUB或是交换机，同样也能实现对网上视频、电影、Bt等有效的管制。

用户的电脑网关无论指向哪一个路由器都可以，之间的应用继续使用，不会对用户端造成影响！如下图示的拓补：二、连接到panabit流控主机本次实例以192.168.10.21（Panabit 流控主机）为实例：◆在局域的一台机器上打开IE浏览器，在地址栏输入主机的地址，如https://192.168.10.21备注：如果你使用的IE7或是IE8会提示安全证书有问题，请点击【继续浏览此网站】◆在弹出的验证窗口中输入账户及密码admin/password◆验证通过之后，会看到以下画面，这是系统的流量概况图。

恭喜你！此时你已成功连接到panabit主机了！三、配置配置panabit的管理接口与数据接口Panabit的管理接口与数据接口功能区分：管理接口：用于网络管理员通过IE进行连线管理数据接口：用于实现网桥对当前数据进行过滤◆点击【网络配置】的选项卡、可以看到当我们使用的管理接口FXP0,你可以根据需要修改管理IP地址。

方案二：将现有的默认profile直接添加命令 port-limit 1，从而实现所有用户防止多拨，配 置如下： subscriber default ip address pool port-limit 1

方案选择-推荐方案二




方案一缺点是较为被动，如果每天操作工作量较 大； 方案一优点是比较灵活，如果boss里面的允许 多个信息点的用户较多比较适合用这种方法； 方案二的缺点是一旦使用，在该BAS下的所有用 户都不能成功拨号2次及以上，即使在boss里允 许这个用户有2个信息点； 方案二的优点是方法简单有效，再结合防止用户 漫游的VLAN绑定，就能很好的防止资源流失
限流策略
添加后用户再次访问时，可被正确识别为WWW协议，而不受限流类略源自影响。限流策略
游戏代理策略
游戏应用分为WEB类、客户端类，WEB类多使用80端口，识别多为 WWW协议，腾讯游戏较为复杂，可能会出现QQ相关的识别。客户端 类由于游戏机制的不同，识别不是很统一，尤其是大型的客户端类游戏， 例如英雄联盟，根据游戏机制分为三部分，登录、聊天、房间，其中房 间服务器都被识别为中华网游中的特种部队/英雄联盟，登录识别为其它 HTTPS， 如果使用游戏代理方式，只能代理识别为英雄联盟的房 间服务器，对于登录和聊天服务器是不会进行代理，这样登录和聊天所 走NAT出口任意一条出现波动都会导致掉线。观察可以发现登录和聊天 分别使用的端口为5223和2099，对这两个端口进行自定义协议创建， 命名为LOL登录，对这个自定义协议进行代理。 （注意：有些端口有可能复用，建议在添加代理前，使用虚拟链路方式观 察是否为固定应用端口，避免流量过大导致代理口拥塞）
如何防范

方案一：在pppoe的context里面新建一个（地 址池）profile，定期组织人员在高峰期将多拨 用户筛选出来后，在boss里将这类用户放入这 个地址池，配置如下： subscriber profile limit1 ip address pool port-limit 1

Panabit配置手册
Panabit的网卡分配情况：
一、禁止QQ、MSN等即时通讯工具
详细步骤：
1.创建IP群组，命名为“禁止QQ”
2.创建协议组，命名为“禁止QQ”
点击“成员编辑”，左边列出了你所安装的Panabit目前版本所包含的特征库，选择一个或多个协议将其“添加至”右边即可，添加完后须“提交”才能生效。

3.策略管理
4.添加策略
在“应用协议”中选择协议，之前自定义的协议组会在这里调用，当然，也可以调用特征库中的协议。

5.策略调度
策略编辑完后，系统里只是有了这个规则的存在，但并没有应用到系统中。

所以，需要进行策略的调度，注意，在以后做的每条策略都需要做同样的调度动作。

在调度里可以设置策略生效的时段
注意：在任一时刻，只能有一个策略组生效
我们来看下策略使用后的结果：
大概过了10秒钟以后，QQ自动离线，策略配置成功。

二、禁止下载的配置
1．创建IP群组
2.添加禁止下载的文件格式类型
3.创建策略组
4.添加策略
5．策略调度
三、禁止访问某个或多个网站
1.创建IP群组
2.创建协议组，编辑成员
3.添加策略
4.调度策略
四、只允许访问某个或多个网站
1.创建域名群组
这里添加允许访问的域名
2.创建策略组
注意：此策略需要在http管控中创建
3.编辑策略
4调度策略
这里需要知道的是，策略成功调度以后，在第一次打开这些允许的网站的时候，会感觉非常缓慢，但是以后的访问就没有什么问题了，不必担心。

五、一些配置的实例
1.只能发邮件，放行某IP
2.限制迅雷。