安全是相对的。很多路由器的问题可能怕用户麻烦，所以部分采用 openwrt 的路由器默认就 iptables -INPUT -P ACCEPT。有一经验可以变成-P DROP，甚至谁扫描一次 445 就被 recent 模块 drop。问题是这些都是正向连接。以前有人说免费的 kms 激，破解补丁之类的就具备反向连接特点被很多他国黑客控制着，所以基于 ip 端口的防火墙根本就效果甚微。而所谓的内容防火墙，装过一回，普通电脑实在吃不消。
360 就喜欢收集用户隐私，除了不装还有别的方法吗。
一般像普通的 tplink 之类的通常将 b 路由器的 dhcp 分发 ip 功能关闭。然后将网线从单色的 wan 口换到四个同色的 lan 口的任意一个就可以了。记得把 b 默认的 192.168.1.1 lan 管理地址改成其它就可以了避免 a b ip 冲突。当然在该例中只要访问 192.168.2.1 关闭 dhcp 功能，然后将 wan 端的网线换到 lan 就可以了。
高级点的 ddwrt 除了网关模式还有路由模式，类似问题通常在一级设置静态路由规则就可以了
原则上能同一网段就同一网段，省去很多麻烦。如果实在不行就搜一下 静态路由
通过是在电信光猫，天啊天猫光猫，这不是还要破解光猫，折腾。指定一条静态路由规则
route add 192.168.2.0 mask 255.255.255.0 192.168.1.110
也就是指向 192.168.2.0/24 的目的网络地址全部通过路由Ｂ的网络接口 wan 网关地址 192.168.1.110 进行访问
这个最初也就在 tplink 那种低端路由才需要搞这种东西，像访问亚马逊网站会有问题。网络查询针对 pppoe 的通常是 1492,而 cisco 的文档建议是 1454,但是这个 1454 在磊科，网件的路由里设置会导致无法上网。
当然我现在仍然使用 1454,在 linux 类 ddwrt tomato openwrt 通常再追加就非常 OK 了。
iptables -t mangle -A FORWARD -o pppoe-wan -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
上次针对 vpn 服务器的问题，服务器上的 vpn 虚拟网卡设置为 1392 。
具体原理我也不懂，反正直接应用人家的讨论成果平时网络也没遇到任何异常。
公司只有 8m 联通一年大概 2000 多。带 40 台上外网办公电脑，大概 60 个手机。原先的路由很垃圾实施了基于 ip 的 300kb/s 限制，可是哪有 300kb/s*100 的带宽。每天被人埋怨网速慢，忍无可忍家里拿来一个优酷路由宝刷上 openwrt 实施动态限速，每个 ip 都有机会拿到 900kb/s 全速带宽。带宽是有限可是如何实施 qos 也是门技术活，省钱啊。。。
它家的 UAP 系列 UAP-LR 我是再也不会买了，别觉得自己技术有问题真的。被折腾了一年最后一走被接手的人全部换成有线网络。。。用的开源驱动问题一堆，关键这些开源驱动即便在 ddwrt 这种系统上也至少可以保证长达 30 天左右的持续 uptime ，而它家的呢我可以告诉你 30 分钟可以掉 N 次线。。。连 tplink 都不如，长达一年的时间没做出个稳定可以解决问题的固件。而且它家的 AP 还有神学的，在一些特定的位置不管 5 个 AP 怎么轮换在那个位置就是有问题。。。
反正不怕死的继续上 UAP 吧，论坛用户的反馈并不是假的，我相信也绝对不是技术问题导致的。长达一年的时间通过各种方法都没办法让这个 UAP 可以在办公环境 24x7 时间。夸张的时候半小时都不一定坚持得了。随着不同设备接入，兼容问题越来越多。现在懒得去那论坛，反正每次都是你设置问题设置问题还是设置问题，不见这么忽攸用户的。
http://bbs.ubnt.com.cn/forum.php?mod=forumdisplay&fid=2
为什么很多人对 ubnt uap 系列的掉线无视呢。看看它们论坛那么多掉线反馈还敢买 uap ，不是大家技术不好，而是它们产品确实有问题。
按我的观察工资高低并不一定代表能力技能的高低，往往和老板第一次谈的过程。所以同样新人工资差距蛮大的。
原则上最好是别告诉，我就因为这个被曾经的领导指责过。虽然岗位不同，职场是很奇特的人际关系。其他人会因为打听到你的工资然后人家也会要求加工资的，然后你说领导是让她滚还是加给她，这无形中增加人力成本支出，你可以通过各种方式抱怨工资低，好的领导会主动加给你。至于透露工资的行为最好是别，人家告诉你也不一定是真的，别太老实了。
这个东西确实碰到过，还说不出为什么。但是自从刷了 tomato 实施了 qos ，再也没出现过访问 web 管理界面响应很慢的情况。
如果从 qos 的角度，迅雷属于那种乱发并发的软件，像 qq 旋风通常 500 并发不到，迅雷可以瞬间 1200 并发。然后会出现外网流量异常下降的情况，怀疑是电信有并发限制，但是这样仍然解释不了为什么本地网关 web 管理界面访问缓慢。
qos 能改变的也就数据队列优先级也就 tcp 80 和其它端口的优先级，按说承受 2000 左右的并发应该没问题。像 openwrt 到底能通过设定哪些参数来优化这个并发没数。除非软件本身难道会有主动攻击 lan 流量，以前有些软件会大量发送 icmp 包，最后通过 iptables limit 进行限制。说不好为什么，只知道上行针对目的端口优先级的 qos 以后再也没碰到过。
现在的师傅就是懒会忽悠。一个政企宽带才 10 个 ip 太可悲了。我记得当时公司用的 20mbps 每月 1100 合同上写支持 50 终端，实际桥接用自己的设备 pppoe 拔号在线 145ip ，当然实际并发数好像一直就没超过 6000 个。
而家用的用了一个电信的 hg260 直接拔号，那设备固件限制好像是 10 个终端，最后改桥接什么限制都没了。当时同事家 5 终端限制，改个 8 终端还要营业厅麻烦死了。不知道为什么很不喜欢上海电信的维护人员，让他们改个桥接还挺会忽悠的。自己上网搜索吧，好破解的设备网上都有教程的。不行就天天呼他们上门看他们烦不烦。想不想扣工资。
不要只作我告诉你的事，请做需要做的事
工作就是责任
这本就没什么意思了，记住工作就是责任就可以了
无线大范围覆盖比较头疼。还是豌豆荚的运维厉害。普通的 ap 在 windows 环境不会实现自动切换，除非装了一些特殊的 wifi 连接软件。免费的有基于 mesh 实现的 radiusdesk 。从文档看起来非常不错，不过手头缺少相应的芯片也不知道实际效果如何。
小公司肯定是要考虑成本的。当可以用 100 块钱的设备实现 2000 块钱的设备功能时，我会考虑 100 块钱的的方案。
网线又便宜了。一直买秋叶原的，不错。安普家的分不清楚，也不知道为什么唯安普不买。
联通真的是老三了，本地价格还比移动便宜。可是浙江联通真心很烂，到搬瓦工的 tls 流量基本是完全阻断状态。那咱就借家里的电信线路了，惨了惨了 l2tp 都阻断了，垃圾联通。每天在公司想用 goole 或者想下个国外 100kb 点大的文件。那 1kb 都没的流量，真是浪费时间。
当初用那被人啃了一口的苹果时生怕 home 坏了，还要破解去装虚拟键。
虚拟键基本是安卓的标配了，从第一个 moto me860 就这样了，虽然它不是开在屏幕下方。习惯了，以前一直想最好是触屏时才显示虚拟键，但是一直没找着设置。
QOS 设备理想位置是在出口网关那个位置。通常 linux 网关，上行采取根据目的端口优先级，可以有效的根据优先级设置改变 fifo 的先进先出模式为有优先级排列的队列避免 p2p 拥塞情况发生。因为 tcp 的握手过程， ISP 的下行队列也会根据上行队列的排序优先返回高优先级的连接数据。下行通常如果实在没有办法，那只有采取基于 ip 的限速，主要是防止少量 ip 占用 99%以上的带宽。但是基本玩过的一些所谓的企业级网关在采用有限的流量对付无限的 ip 时，这种 ip 限速只能说有一定效果勉强能用。越靠前的规则的 ip 越容易获得带宽，越靠后面的规则的 ip 却可能因为没有足够的剩余带宽而网络响应慢。
上行没有优先级控制可以让 tcp 80 优先其它 p2p 流量，下行没有剩余带宽可供分配。很多基于 ip 分配的企业网关遇到没有大带宽那所谓的几百几百的带机量也成了一个吹牛参数。
。。。不用这么省吧。 40 个严重损坏，用起来系统还不卡？ diskgenius 除了格式化就消失的逻辑坏道，其它的物理坏道虽然通过屏蔽的方式可以能用一段时间但是难以保证坏道越扩越大。直至突然整个分区不可访问，及时买新硬盘转移数据才是上策，不然后悔莫及。
这种东西，根本就不知道它的 qos 规则是如何实施的，根本无从讨论。。。这种东西串在网络效果可能还不如一些家用路由器刷 openwrt 。
20mbps 100 台电脑平均每台 20kb/s ，实施基于 ip 的限速假设它就是个 linux 路由，就会因为规则的自上而下遍历，假设刚好上面 4 条规则 4 个 ip 都在全速 512kb/s 下载那其它 ip 就只有 0kb 的带宽可用调用，对就是这种情况，所以带宽分配太高了。很多所谓的企业级网关说是能带 500ip ，但是它往往少了一个参数带宽至少 500mbps 。基于 ip 的限速往往不具备上行优先级控制数据队列，接着改变下行队列顺序，而有限的 20mbps 带 100ip ，事实情况是往往仅仅是几个 ip 就占用了 99%以上的带宽，让其它 ip 仅只有 1%的带宽可调用。市面上还见到 qos 很智能的路由。
用 openwrt 用 1.4MB/s 的对称光纤在一个 100 块钱的 dlink 600 B2 刷 ddwrt 带过 120ip ，而且是每个 ip 都有机会拿到 1.4MB/s 的全速带宽。这是口水话题了， linux+shell 在 qos 这块比一些所谓的企业级路由器高级多了。
ubnt 的 uap 系列 2013-2014 被折磨了一年，使用 linux 的 ath 驱动我觉得是不怎么样，比 tplink 还烂，半小时能掉 n 次的掉线王，很多问题根本不是用技术来解决的，只有用嘴巴忽悠来解决。。。反正从此不考虑 ubnt 的设备。
所谓的企业级更多的是强调可管理功能，驱动和各种终端设备兼容导致的流量变化也会因为不同终端而变化。
现在图便宜，原先公司一个乐光 d100 ，直接二楼一个覆盖 1 到 3 楼专门给员工手机接入用。当然这个设备覆盖区域太大了，接入又维持在 40 终端左右。在大楼角落很容易微信提示无网络连接。后来又买了一个乐光 d200 mtk7620 芯片专门给 4 台笔试本在 1-3 楼接入 erp 系统。
无线这东西覆盖广了就很容易受到所谓的无线弱信号原理影响， ap 上所有的终端网速都因为和一个信号不好的手机通信被整体拉低甚至掉线。再加上周围信道干扰。太恐怖了。酒店里通常只能控制 ap 信号强度覆盖区域来防止终端设备近的不连连到远的。
当然了当手里只有 8mbps 带宽时如何能让 80 个 ip 每个 ip 都有机会 100%获得 8mbps 带宽，很多所谓的企业级路由器远远不如 linux 之类的 openwrt ，只见过 routeros 的 pcq ，其它的很多都是基于 ip 限速。更别想实现动态限速了。
Select Language