聚生网管与各种路由器、防火墙或交换机和谐共存的设置方法

作者：大势至 日期：2013/5/30

目前，聚生网管软件可以与市面上所有主流的路由器、防火墙或交换机和谐共存。但是由于聚生网管系统在启动网络监控的过程中，会综合利用各种网络通讯协议或报文截获技术，例如作为互联网基础协议之一的ARP协议(Address Resolution Protocol，地址解析协议，是获取物理地址的一个TCP/IP协议)。但是，这种情况下，一些品牌的路由器、防火墙或交换机会视为ARP攻击而加以拦截，从而影响了聚生网管相关控制功能的发挥。为此，我们需要进行一些简单的调整即可完全消除这种影响。

首先，路由器、防火墙或交换机上面是否启用了IP和MAC地址绑定，如果启用了IP和MAC地址绑定，在需要取消。聚生网管系统集成了强大的同时也极具人性化的IP和MAC地址绑定功能。在使用聚生网管的绑定IP和MAC地址功能之后，局域网电脑只有更改IP地址，则聚生网管系统就会自动为其发送警告信息，告知其必须改回之前默认的IP地址，否则聚生网管就禁止其上网；而一旦对方修改回之前为其分配的IP地址之后，则自动允许其上网。从而实现了非常人性化的管理，防止员工修改IP地址、禁止电脑修改MAC地址情况的发生。如下图所示：

图：聚生网管在发现局域网电脑修改IP地址后发送规劝信息

其次，需要关闭路由器的ARP欺骗防护功能。一些路由器、防火墙为了防止局域网ARP攻击、防范ARP欺骗而集成了防ARP攻击的功能。这种功能的原理是不断地向局域网广播路由器自身的IP地址和MAC地址，然后更新局域网电脑的ARP表项，从而试图达到抵御ARP断网攻击的目的。但是，由于聚生网管系统启动之后，同样也会采用ARP技术，从而使得路由器的ARP报文和聚生网管的ARP报文发生冲突，因此我们需要关闭路由器的ARP发包机制，否则也会使得局域网报文太多而加大网络负荷。此外，聚生网管系统启动之后会自动发送ARP攻击免疫信息，从而同样也可以达到路由器的ARP攻击防护功能，并且聚生网管系统还可以实时输出局域网发动ARP攻击的电脑的IP和MAC地址信息，从而便于网管员及时查找和定位ARP攻击源主机，从而防范ARP攻击对网络造成的危害。如下图所示：

 
图：聚生网管发现ARP攻击时会输出警报信息

因此，鉴于聚生网管可以自动防御局域网ARP攻击，同时还可以输出发动ARP攻击的电脑信息，因此路由器、防火墙或交换机上的ARP攻击功能就没有必要，如果强行启用还可以造成和聚生网管冲突。因此我们建议用户关闭路由器ARP攻击防护功能，防止路由器防ARP攻击功能和聚生网管发生冲突。关闭路由器防ARP欺骗的方法如下：

登录路由器后，一般在“网络安全”、“网络攻击防护”、“ARP攻击防护”等模块里面去找即可。如下图所示：

 
图：飞鱼星路由器的ARP攻击防护功能

登录进去路由器之后，一般在“网络攻击防护”里面。选择“禁止”，然后点击“保存”即可取消路由器的ARP攻击防护功能。
对于H3C路由器，登录之后找到“安全专区”，然后是“ARP安全”，然后切换到“ARP防护”这里，把这里的选项全部去掉即可。同时，还需要在“防攻击”这里，关闭“报文源”认证。

 
图：关闭H3C路由器防ARP攻击的功能
 
图：关闭H3C路由器的报文源认证

登录路由器，点击“安全专区”，然后在“ARP安全”这里，选择“ARP防护”，然后将这里的选项都取消，点击下面的“应用”即可。
 

图：Dlink企业级路由器的ARP攻击防护功能

其他路由器的设置与此相同，再次不一一列举。值得注意的是：某些品牌的路由器即便这里关闭了防范ARP攻击的功能，但是其功能仍旧生效，这种情况下可以联系我公司提供专门的应对方案。

总之，聚生网管软件可以与国内主流的所有路由器、防火墙或交换机和谐共存，可以在不降低局域网网络安全的情况下，帮助用户实现全面的局域网网络管理和上网行为控制。