本期内容包括 ROS 路由器的基础配置，主要内容包括：
1. IP 地址配置；
2. 路由配置；
3. NAT 配置；
4. 防火墙策略的配置；
5. 设置上网策略
6. ROS 限速
7. ROS IPsecVPN 设置
一、配置地址
1.刚刚安装好之后使用终端操作，输入用户名 admin，密码为空登陆路由器。
2.使用如下命令为我们的内网接口配置一个 IP 地址，ROS 默认的接口名称是 ether1、ether2
如果分不清楚的情况下，我们就先给一个接口一个接口的试一下。
3.配置好接口之后，使用 winbox 来连接 ROS 路由器，地址为 ，用户名为
admin，密码默认为“空”。
4.修改内外网接口的名称，以便我们日后区分
5.修改外网口 IP：
静态 IP：
在 IP——address 中点击加号，然后输入 IP 地址（带子网掩码）和接口，点击 OK 添加成
功。
DHCP 自动获取：
在 IP——DHCP Client 中点击“+”号，然后选择外网接口，点击确定，然后 ROS 就会自动
获取 IP 地址，简单吧！！
PPPOE 宽带拨号：
点击 PPP，然后点击加号，再出现的菜单中选择 PPPOE Client；
随便起一个名字（无所谓），然后修改“Max MTU”值，将原来的 1480 改为 1492，然后选
择外网接口点击确定，在“Dial Out”一栏里面输入用户名密码，之后路由器就会自动拨号
然后我们看见在有一条 pppoe 拨号的记录，状态为 R，表示可用
查看路由表，有一条自动生成的默认路由
二、路由（静态地址需要配置）
打开 IP——address 中我们发现已经有一条路由了，标记为 DAC，表示是动态学习到的；
这是一条到达内网直连路由，我们点击加号，然后输入目的地址 和网关 ，
点击确定即可！
三、NAT 多对一上网
因为我们是多对一的上网环境，我们需要配置 NAT 使得众多客户端共享上网
点击 IP——firewall，选择第二项 NAT，点击加号，新增一条 NAT 的策略，在“General”Chain
选项选择 srcnat，这个选项表示我们是源 NAT，也就是从内网到外网的地址转换；
接着我们点开 Action 选项，将“Action”一项选择 masquerade，这一项表示我们被转换成的
地址就是我们外网口的接口地址（外网地址唯一）
显示情况下，如果我们有多个外网地址（比如电信给了我们两个地址），那么我们可以指
定被转换成的地址，
做法就是在 Action 选项中选择 src-nat，这也是表示源路由，只是我们需要在下面指定要
被转换的地址
四、防火墙策略
默认情况下，ROS 里面防火墙策略是空的，是允许所有用户上网的，下面我们细化用户
的上网权限：
1. 允许部分用户上外网
首先我们打开 IP——firewall，选择第 6 项“Address Lists”，在这里我们新建一个组，点击加
号，用户组的名字就是“可以上网”，在地址栏中我们添加可以上网的用户的 IP 地址（可以
添加多个地址和地址段，只需要保证组名字相同即可）
添加完之后我们转到“filter rule”点击加号添加一条防火墙规则；
步骤一：按如下图操作，需要说明的是我们需要将“connection stata“选择为”established“，
这个表示允许 TCP 连接状态为”已连接的“所有数据包通过（如果少了这一步，将会导致所有
的用户上不了网）
步骤二，添加允许上网的策略，步骤如下
完成以上两个步骤之后，所有用户还是可以上网的，因为 ROS 默认的是允许所有用户上
网的，所有我们还需要新建一条拒绝所有用户的策略；
步骤三：拒绝所有用户，
五、设置上网策略
该功能需要完成的步骤：
1. 设置可访问的地址；
2. 新建防火墙策略；
步骤一：在 IP—>Firewall—>Address Lists 里面，点击新增
步骤二：在新增窗口填写分组名称（如果已经存在点击向下的箭头选择对应的分组），在
“address”部分，填写对应的 IP 地址；然后点击“OK”按钮完成操作；
步骤三：有的时候我们需要备注一下名称（百度、汽车之家等等），可以按照图中的步骤，先
选中一条记录，然后点击黄色按钮，在弹出的对话框中填写名称，最后点击“OK”按钮即可。
步骤四：依次点击“Filter Rules”—》点击“+”号，新增一条策略。
步骤五：点击“General”
Chain：选择 forward；
In Interface：选择内网接口（LAN）；
Out Interface：选择外网接口（WAN）；
步骤六：点击“Advanced”,
Dst. Address List：选择我们之前新建好的组（允许访问的网址）；
步骤七：点击“Action”选项
Action：选择 accept，表示允许数据通过；
最后点击“OK”按钮，完整策略的配置；
步骤八：调整策略的位置
默认情况下，新增的策略是在策略列表的最后一条，我们需要通过鼠标点击拖动的方式调
整策略的顺序，我们的原则是在“拒绝所有”这条策略之上就好了。
默认情况下面，新建好的策略是没有名字的（如“允许访问指定的网址”），如果想起个名
字，只要点击黄色的按钮添加名字就好了。
六、ROS 限速
该功能需要完成的步骤：
1. 标记流量；
2. 新建限速模型；
3. 新建限速策略；
步骤一：打开“IP”—》“Firewall”—》“Mangle”，点击新增按钮；
步骤二：标记 HTTP 流量,点击“General”选项（网页的流量主要是在服务器返回数据时候产生，
我们就是要标记这部分流量）
Chain：选择 prerouting；
Protocol：选择 tcp 协议；
Src. Port：选择 80 端口；
In. Interface：选择外网接口；
步骤三：点解“Action”选项
Action：选择 mark_packet;
New Packet Mark：填写一个标记的名字（组名字），这里写的是 down_web;
点击“OK”按钮完成流量的标记
根据需要可以自己新建多个标记：新建完成之后如下：
需要说明的是，网站标准端口是，80，有时候也可能是 8080、8081、81 等，这需要根据
实际情况新建标记策略；
步骤四：新建策略模板：依次点开“Queues”—》“Queue Type”—》点击加号新增；
步骤五：新建下载的策略模板：
Type Name：给策略模板起一个名字：down，表示下载；
Kind：选择模板的类型：pcq；
Rate：填写限速大小：2M，2M 就是表示下载每用户限速是 2M；
Limit：填写线程会话限制：50，表示每用户最多只能有 50 个会话；
Total Limit：填写最大会话数：2000；
Classifier：选择 Dst. Address;
点击“OK”完成，同理新建上传的策略模板：
步骤六：新增限速策略：
ROS 的限速使用的典型的管道模型，即大管子在最外面，里面有小管子，每个小管子都
代表一个策略，都会有一个流量的上限和下限，多有小管子的流量下限值的和不能超过大管子
的最大流量值，但是小管子的流量上限和可以超过大管子的最大流量和，超过的部分将会平分
流量。
打开“Queue Tree”选项，点击加号新增；
步骤七：新增下载的父策略（大管子）
Name：给策略起一个名字，这边是 down，表示下载的父策略；
Parent：选择 global-in；
Queue Type：选择 down，这个 down 就是我们在上一个步骤里面新建好的策略模型（每
人 2M）；
Max Limit：填写最大带宽，看申请的带宽而定，一般是 10M，也有 20M 的宽带；
步骤八：新增上传的父策略（大管子）
参数按下图设置，根据实际情况调整；
步骤九：新增下载的子策略（小管子）
Name：自己起一个名字；
Parent：选择我们新建好的父策略（down），表示是子策略，并指定父策略；
Parket Marks：选择我们新建好的标记策略：down_web;
Queue Type：选择我们新建好的限速模板，down；
Limit At：填写流量下限，4M；
Max Limit：填写流量上限，10M；
点击“OK”就好了
新建好的策略如下：我们能够很明显的看出策略的父子关系；
七、ROS 的 VPN 设置
配置要点：
配置 IPsec 第一阶段协商；
配置 IPsec 第二阶段协商；
配置 NAT 设置；ROS 特有；
步骤一：依次打开 IP—》Ipesc—》Peer—》点击加号；
步骤二：新建 IPsec 第一阶段参数：
Address：填写对端的 IP 地址：这边填写的是总部的 IP 地址；
Port：默认
Auth. Method：选择“pre shared key”，表示与共享密码方式协商认证；
Exchange Mode：选择“aggressive“，表示野蛮模式；
勾选”Send Initial Contact“和”NAT Traversal“；
Proposal Check：默认就好了；
Hash Algorithm：选择 md5；验证数据的完整性；
Encryption Algorithm：选择 3des；完成数据的加密；
DH Group：选择 modp1024，这参数相当于其他防火墙里面的”group 2“；
其他参数默认不变；点击 OK 完成；
步骤三：创建 IPsec 第二阶段协商的参数：
点击 Proposals，点击新增；
按下去所示，分别起一个名字。并勾选 MD5、3des 和 modp1024 参数；
步骤四：点击 Policies 选项，点击新增，在弹出来的对话框中点击”General“
Src. Address：填写本地网段；
Dst. Address：填写对端的网段；
Protocol：选择所有；
然后点击 action 选项：
Action：选择 encrypt，表示 IPesc 加密；
Level：默认，选择 require；
Ipsec Protocols：选择 esp；
勾选”Tunnel“；
SA Src. Address：本段的公网地址；
SA Dst. Address：对端的公网地址；
Proposal：选择我们上一步骤新建的 IPsec 第二阶段协商的参数：“标致“；
点击”OK“就好了；
到此对于一般的防火墙就可以了，但是 ROS 里面还要增加两个操作；
步骤五：继续新建一个 Policies，参数如下图
需要注意的是在 action 选项中，action 选择的是”none“；表示所有访问本地网段流量都不
进行 IPsec 加密；这样做的目的是，在实际操作中，ROS 会将总部访问本地网段（东标）的流
量进行 IPsec 加密，但是我们需要的是进行 IPsec 解密，所以会出现问题，加上以下策略之后，
对于总部访问分部的流量不错第二次加密，而是正常的解密操作；
步骤六：设置 NAT
在 ROS 的运行流程中，NAT 操作时比较优先的，但是我们需要的是，对于 IPsec 的流量
是不需要 NAT 操作的。
依次点开 IPfirewall—》NAT 选项，点击新增：
Chain：选择 srcnat；
Src. Address： 这个填写的是本地网段；
Dst. Address： 这个填写的是对端的网段；
Action：选择 accept；表示不进行任何操作，不进行 NAT；
【重点】设置好了之后将这条策略放在第一个（使用鼠标点击拖拽的方式）
八、IP-MAC 绑定
配置步骤：
1. IP 和 MAC 地址绑定
2. 关闭 arp
步骤一：IP 和 MAC 地址绑定
依次打开 IP—》ARP List，正常情况下，你会看见内网中所有已经接入到网络中的设备
（IP 地址和对应的 MAC 地址），并且离能看到每条记录之前都有一个“D”开头的标志，这表示
这个 ARP 信息是动态学习到的。
然后选中记录（也可以使用 shift 或者是 ctrl 键进行多选），右击点击“Make Static”，将当
前记录转换为静态绑定，转化之后记录前面的“D”标识符就会消失。
步骤二：关闭 ARP 选项
依次打开 Interface—》“Interface List”—》“Interface”，找到内网接口“LAN”；
双击打开属性配置页面，点击“General”，然后 ARP 选项选择“reply-only”，表示 ROS 开始
不学习新的 ARP 信息，只对客户端进行 ARP 解析作用。
【重点】需要注意的是，在实际运用过程中，外网接口的 ARP 选项应该选择“enable”，因为运
营商有可能会对接入设备进行调整，所以不能对 WAN 口进行 ARP 绑定。
