声明

本手册图形界面约定

格式	意义
< >	带尖括号“< >”表示按钮名，如“单击<确定>按钮”。
“ ”	带双引号“”表示窗口名、菜单名，如：弹出“新建用户”窗口。
>>	多级菜单用“>>”隔开。如“文件>>新建>>文件夹”多级菜单表示“文件”菜单下的“新建”子菜单下的“文件夹”菜单项。
	提醒操作中应注意的事项，不当的操作可能会导致数据丢失或者设备损坏。
	对操作内容的描述进行必要的补充和说明。

技术支持联络信息

北京映翰通网络技术股份有限公司（总部）

地址：北京市朝阳区利泽中园103号楼3层302

电话：（8610）64391099

传真：（8610）8417008

图1.1

1.2 包装清单

标准配件

配件	数量	描述
IR900	1台	IR900系列工业级4G路由器
产品资料	1套	光盘和纸质快速安装手册
导轨安装配件	1个	固定路由器
电源端子	1个	2针绿色电源端子
网线	1根	1.5米网线
天线	1根	4G天线
产品保修卡	1张	保修期1年
合格证	1张	IR900系列工业级4G路由器合格证

可选配件

1.3 面板介绍

1.4 状态指示灯说明

1.4.1运行状态指示灯说明：

Modem指示灯	说明
亮	已经拨上号
闪	没有拨上号

1.4.5WLAN指示灯说明：

WLAN指示灯	说明
亮	WLAN 功能开启
灭	WLAN 功能关闭

二、设备安装

安装注意事项：

1. 电源要求：24VDC(12～48VDC) ，请注意电源电压等级；额定电流是 0.15～0.6A。
   
2. 环境要求：工作温度-25℃～70℃，存储温度-40℃～85℃，相对湿度 5％～95%（无 凝露）。设备表面可能高温，安装时需要考虑周边环境，应安装在受限制的区域。
   
3. 避免阳光直射，远离发热源或有强烈电磁干扰区域。
   
4. 路由器产品需安装在工业导轨上。
   
5. 检查是否有安装所需的电缆和接头。
   

2.1导轨式安装与拆卸

2.1.1导轨式安装

具体步骤如下：

1. 选定设备的安装位置，确保有足够的空间。
   
2. 将DIN卡轨座的上部卡在DIN轨上， 在设备的下端向上稍微用力按箭头2所示转动设备，即可将DIN卡轨座卡在DIN轨上，确认设备可靠地安装到DIN轨上，如图所示。
   

2.1.2导轨式拆卸

具体步骤如下：

1. 如图中箭头 1 所示，向下压设备使设备下端有空隙脱离 DIN 轨。
   
2. 将设备按箭头 2 的方向转动，并同时向外移动设备的下端，待下端脱离 DIN 轨后向上 抬设备，即可从 DIN 轨上取下设备。

2.2壁挂式安装与拆卸

2.2.1壁挂式安装

1. 选定设备的安装位置，确保有足够的空间。
   
2. 用螺丝刀把壁挂安装板安装在设备的后面，如下图所示。
   
3. 取出螺钉（与壁挂安装板配套包装），用螺丝刀将螺钉固定在安装位置上，然后下拉设 备使设备处于稳定状态。

2.2.2壁挂式拆卸

2.3SIM卡和天线的安装

1. IR900 支持双天线，分别是 ANT 天线和 AUX 天线。其中 ANT 天线是收发数据 的天线，AUX 天线只能增强天线信号强度，不能进行数据的收发，因此不能单独使用。
   
2. 一般情况下只使用 ANT 天线即可，当信号不好需要增强信号时才在使用 ANT 天 线的同时使用 AUX 天线。 

---

2.4电源和接地安装

1. 将端子从路由器上取下，将端子上的锁紧螺钉旋松；
   
2.  将电源线缆插入端子后将螺钉锁紧。
   

1. 将接地螺帽拧下来；
   
2. 将机柜地线的接地环套进接地螺柱上，将接地螺帽拧紧。
   

---

---

2.5端子连接（仅用于带有工业接口的设备）

2.6访问新设备

---

1. 同一时间，路由器最多允许四个用户通过 Web 设置页面进行管理。当对路由器进行多用户管理时，建议不要同时对其进行配置操作，否则可能会导致数据配置不一 致。 
   
2. 为了安全起见，建议您首次登录后修改缺省的登录密码，并保管好密码信息。
   

三、基本配置

3.1管理

3.1.1 系统

3.1.2 系统时间

---

1. 设置 SNTP 服务器之前，应该先确保 SNTP 服务器可达。尤其当 SNTP 服务器 的地址为域名时，应该确保已配置正确的 DNS 服务器。
   
2. 源地址和源接口只能配置一个，不能同时配置。
   
3. 当设置多个 SNTP 服务器时，系统将轮询所有 SNTP 服务器，直到找到可用的。
   
4. 当配置源接口为 cellular 接口时。拨号不成功情况下不会启动 SNTP 服务。

1. 用户权限 1-11：只能查看参数，不能配置参数；
   
2. 用户权限 12-14：可以配置 LAN IP、虚拟 IP 映射、系统日志、证书申请、访问 控制、静态路由、系统升级和工具-ping 探测，其他显示为灰色可以查看但不得修改配置；
   
3. 用户权限 15：可以查看并配置所有参数。
   

1. HTTP：点选启用后，用户就可以通过 HTTP 协议登录设备，利用 Web 功能访 问并控制设备。
   
2. HTTPS：HTTPS（超文本传输协议的安全版本）是支持 SSL 协议的 HTTP 协 议。
   
3. TELNET：点选启用后，用户就可以通过网络提供远程登录。以服务器/客户端 （Server/Client）模式工作，Telnet 客户端向 Telnet 服务器发起请求，Telnet 服务器提供 Telnet 服务。设备支持 Telnet 客户端和 Telnet 服务器功能。
   
4. SSH：通过支持 RSA 认证或用加密算法 DES、3DES、AES128 对用户名密码 以及传输数据进行加密的措施，实现在不安全网络上提供安全的远程登录。IR900 只支持 SSH 服务器功能，可以接收多个 SSH 客户端的连接。
   
5. 其它参数：设置 Web 登录超时时间，缺省值：300 秒。
   

参数名称	说明	缺省值
HTTP	超文本传输协议，信息是明文传输。端口是 80。	启用
HTTPS	具有安全性的 ssl 加密传输协议。端口是 443。	关闭
TELNET	Internet 远程登陆服务的标准协议和主要方式。端口是 23。	启用
SSH	SSH 为建立在应用层基础上的安全协议。SSH 是专为远 程登录会话和其他网络服务提供安全性的协议. 超时时间：SSH 会话超时时间，当 SSH 客户端在此时间 内无操作，SSH 服务器将断开此连接。缺省值是 120s 密码模式：设置公钥加密方式（目前只支持 RSA）。 密钥长度：设置密钥长度，可以为 512 或 1024。缺省值是 1024。	关闭

---

        目前 HTTPS 支持 TLS1.0、TLS1.1、TLS1.2。 

---

3.1.4AAA

1. 认证：验证用户是否可以获得网络访问权。
   
2. 授权：授权用户可以使用哪些服务。
   
3. 计费：记录用户使用网络资源的情况。
   

1. Telnet 用户请求登录设备。 (2) TACACS+客户端收到请求之后，向 TACACS+服务器发送认证开始报文。
   
2. TACACS+服务器发送认证回应报文，请求用户名。
   
3. TACACS+客户端收到回应报文后，向用户询问用户名。
   
4.  用户输入用户名。
   
5. TACACS+客户端收到用户名后，向 TACACS+服务器发送认证持续报文，其中包括了用 户名。
   
6. TACACS+服务器发送认证回应报文，请求登录密码。
   
7. TACACS+客户端收到回应报文，向用户询问登录密码。
   
8. 用户输入密码。
   
9. TACACS+客户端收到登录密码后，向 TACACS+服务器发送认证持续报文，其中包括了 登录密码。
   
10. TACACS+服务器发送认证回应报文，指示用户通过认证。
    
11. TACACS+客户端向 TACACS+服务器发送授权请求报文。
    
12. TACACS+服务器发送授权回应报文，指示用户通过授权。
    
13. TACACS+客户端收到授权回应成功报文，向用户输出设备的配置界面。
    
14. TACACS+客户端向 TACACS+服务器发送计费开始报文。
    
15. TACACS+服务器发送计费回应报文，指示计费开始报文已经收到。
    
16. 用户请求断开连接。
    
17. TACACS+客户端向 TACACS+服务器发送计费结束报文。
    
18. TACACS+服务器发送计费结束报文，指示计费结束报文已经收到。
    

1. 不认证(none)：对用户非常信任，不对其进行合法检查，一般情况下不采用此方式。
   
2. 本地认证(local)：将用户信息配置在网络接入服务器上。本地认证的优点是速度快， 可以为运营降低成本，缺点是存储信息量受设备硬件条件限制。
   
3. 远端认证：将用户信息配置在认证服务器上。支持通过 Radius 协议、Tacacs+协议 17 和 LDAP 进行远端认证。
   

1. 不授权(none)：不对用户进行授权处理。
   
2. 本地授权(local)：根据网络接入服务器为本地用户账号配置的相关属性进行授权。
   
3. Tacacs+授权：由 Tacacs+服务器对用户进行授权。
   
4. Radius 认证成功后授权：认证和授权绑定在一起，不能单独使用 Radius 进行授权。
   
5. LDAP 授权 
   

---

3.1.5配置管理

参数名称	说明	缺省值
浏览	从主机选择将要导入到路由器的配置文件	无
导入	将配置文件导入到路由器 startup-config 中,重启 后会加载导入的配置。	无
备份	running-config 备份 running-config 到主机，running-config 为 设备当前正在运行的配置。	无
备份 startup-config	备份 startup-config 到主机，startup-config 为 设备开机启动时候的配置。	无
自动保存修改后的配置	决定是否在每次修改配置后，自动将配置保存到 startup-config	开启
加密明文密码	启用后设备在 WEB 上配置的所有带密码的参数 都会以加密的方式显示。提高密码安全性。	未勾选
恢复出厂配置	将设备恢复到出厂配置，设备所有的配置被恢复到 默认参数。恢复出厂后重新启动设备才生效。	无

---

3.1.6设备远程监控平台

3.1.7 GPS 定位信息

参数名称	说明	缺省值
协议	两种协议可选：TCP 协议和 UDP 协议	TCP 协 议
连接类型	两种类型可选：长连接和短连接。 和服务器端保持一致	长连接
心跳间隔	当 TCP 连接建立成功后，设备发送心跳的时间间隔	100 秒
心跳重试次数	心跳超时后，继续发送心跳的次数，当达到设置的次 数心跳还是超时，设备断开 TCP 连接	10
最小重连间隔	设备建立 TCP 连接时，开始使用的连接时间间隔， 每 30 秒递增直到最大重连间隔	15 秒
最大重连间隔	设备建立 TCP 连接时最大重连间隔时间	180 秒
源接口	设备连接服务器时，使用源接口的地址作为源地址去 建立 TCP 连接	空
上报信息间隔	设备上报 GPS 信息的时间间隔	30 秒
包含 RMC	发送 GPS 数据的 PMC 数据	启用
包含 GSA	发送 GPS 数据的 GSA 数据	启用
包含 GGA	发送 GPS 数据的 GGA 数据	启用
包含 GSV	发送 GPS 数据的 GSV 数据	启用
消息前缀	设备发送 GPS 消息时用户自定义的报文头内容	空
消息后缀	设备发送 GPS 消息时用户自定义的报文结尾内容	空
GPS IP 转发-客户端-目的 IP 地址
服务器地址	GPS 数据上报的服务器地址	空
服务器端口	上报服务器的端口号	空
GPS IP 转发-服务器端
连接类型	两种类型可选：长连接和短连接。 和客户端保持一致	长连接
心跳间隔	当 TCP 连接建立成功后，设备发送心跳的时间间隔。	60 秒
心跳重试次数	心跳超时后，继续发送心跳的次数，当达到设置的次 数心跳还是超时，设备断开 TCP 连接。	5
本地端口号	设备当 TCP SERVER 时定义的服务端口号	10001
上报信息间隔	用户自定义设置上报信息间隔时间	30 秒
包含 RMC	发送 GPS 数据的 PMC 数据	启用
包含 GSA	发送 GPS 数据的 GSA 数据	启用
包含 GGA	发送 GPS 数据的 GGA 数据	启用
包含 GSV	发送 GPS 数据的 GSV 数据	启用
消息前缀	设备发送 GPS 消息时用户自定义的报文头内容	空
消息后缀	设备发送 GPS 消息时用户自定义的报文结尾内容	空
参数名称	说明	缺省值
串口类型	和对端保持一致(RS232/RS485)	RS232
波特率	和对端保持一致	9600
数据位	和对端保持一致	8 bits
校验位	和对端保持一致	无校验
停止位	和对端保持一致	1 bits
软件流控	点选启用	禁用
包含 RMC	发送 GPS 数据的 PMC 数据	启用
包含 GSA	发送 GPS 数据的 GSA 数据	启用
包含 GGA	发送 GPS 数据的 GGA 数据	启用
包含 GSV	发送 GPS 数据的 GSV 数据	启用

---

        GPS 串口转发和 DTU 功能不能同时使用，开启 GPS 串口转发时必须关闭 DTU 功能。

---

3.1.8SNMP

1. 网络管理系统 NMS 可以通过 Agent 在任何时候及时地获得设备的状态信息，并实现 远端控制被管理设备。
   
2. Agent 可以及时地向 NMS 报告设备的当前状态信息，在设备发生问题时，可以立即 通知 NMS。
   

3.1.9Python

3.1.10告警

1. 系统告警：因系统或环境出现某种异常而发出的告警，分为热启动、冷启动、内存不足。
   
2. 端口告警：因网络接口出现异常而发出的告警，分为 LINK-UP、LINK-DOWN。
   

1. 存在（Raise）：表示告警发生还没有被确认
   
2. 确认（Confirm）：表示发生的告警用户暂时不能解决
   
3. 全部（All）：表示发生的全部告警
   

1. EMERG：设备发生了某种严重的错误可能导致系统重启
   
2. CRIT：设备发生了某种不可恢复的错误
   
3. WARN：设备发生了某种影响系统功能的错误
   
4. NOTICE：设备发生了某种影响系统性能的错误
   
5. INFO：设备发生了某种正常的事件
   

1. 通过“告警状态”界面，可以查看上电以来系统产生的所有告警。
   
2. 通过“告警输入”界面，可以自定义关心的告警类型。
   
3. 通过“告警输出”界面，设置 Email 告警通告方式，日志记录是默认输出方式。配置 此项功能，当有告警产生时，系统会自动以邮件的形式把告警内容从发送告警邮件的邮 箱地址发送到目的邮箱地址。一般用户不配置此项功能
   
4. 通过“告警映射”界面，可以灵活的将关心的告警类型映射到一种或多种告警通告方式 上。告警映射有两种映射方式：CLI（console 口）和 Email。若要启用 Email 映射则 要在告警输出部分启用并配置好邮箱地址。 
   

3.1.11系统日志

---

3.1.12时间表管理

---

3.1.13系统升级

3.1.14

3.2二层交换

表 3-2-2 端口镜像参数说明

参数名称	说明	缺省值
启用 monitor	点选启用端口镜像功能	禁用
目的端口	监听数据的端口。	none
源端口参数
镜像方向	设置镜像方向，可选择：none、ingress、egress、 both ingress:只对从该端口进入的流量进行镜像 egress:只对从该端口发出的双向流量进行镜像 both:支持对该端口收到和发出的双向流量进行镜像	none

---

3.3网络

3.3.1 以太网接口

1. 自动模式：即配置接口作为 DHCP 客户端，使用 DHCP 方式获取 IP 地址。
   
2. 手动模式：即手动为接口配置 IP 地址和子网掩码。
   
3. PPPoE：即配置接口作为 PPPoE 客户端。
   

参数名称	说明	缺省值
网桥号	网桥号只能配为1	1
主地址-IP 地址	用户自定义配置或更改主 IP 地址	192.168.2.1
主地址-子网掩码	用户自定义配置或更改主地址子网掩码	255.255.255.0
从地址-IP 地址	除主 IP 以外用户还可以配从 IP 地址，最 多可以配置 10 个	无
从地址-子网掩码	除主 IP 以外用户还可以配从地址子网掩码	无
网桥成员	加入到网桥的接口，包括 F0/1、F0/2、 VLAN1 和 dot11radio 1	VLAN1 、 dot11radio 1

---

只有 IR912 和 IR915-W-XX 设备能配置桥接口，IR915 不带 Wi-Fi 设备不能配 置桥接口。

---

3.3.2VLAN接口

        虚拟局域网（VLAN）是一组逻辑上的设备和用户，这些设备和用户并不受物理位置的限 制，可以根据功能、部门及应用等因素将它们组织起来，相互之间的通信就好像它们在同一个 网段中一样，VLAN 工作在 OSI 参考模型的第 2 层和第 3 层，一个 VLAN 就是一个广播域， VLAN 之间的通信是通过第 3 层的路由器来完成的。

        目前设备 VLAN 端口支持 Access 和 Trunk 两种链路类型。Access 类型的端口只能属 于 1 个 VLAN，一般用于连接计算机的端口；Trunk 类型的端口可以允许多个 VLAN 通过，可 以接收和发送多个 VLAN 报文，可以用于交换机之间的连接，也可以用于连接用户的计算机。 用户可通过 VLAN 聚集页面根据需要选择链路类型。 、

        本证 VLAN 是分配给 802.1Q 中继端口，802.1Q 中继端口支持来自多个 VLAN 的流量 （有标记流量），也支持 VLAN 以外的流量（无标记流量）。802.1Q 中继端口会将无标记流 量发送到本证 VLAN。如果交换机端口设置了本证 VLAN，则连接到该端口的计算机将产生无 标记流量。用户可通过 VLAN 聚集页面根据需要自定义本证 VLAN 标号，合法值：1-4000。 

表 3-3-3 VLAN 配置参数说明

3.3.3拨号接口

1. 当前 SIM 卡（IR900 设备支持双卡，此项显示正在使用的为 SIM1 还是 SIM2）
   
2. IMEI 号码（国际移动设备身份码，国际移动装备辨识码，它与每台移动设备一一对应， 该码是全世界唯一的）
   
3. IMSI 号码（国际移动用户识别码，是区别移动用户的标志，存储在 SIM 卡中，可用于 区别移动用户的有效信息）
   
4. ICCID 号码（集成电路卡识别码即 SIM 卡卡号）
   
5. 电话号码（当前使用 SIM 卡电话号码）
   
6. 信号级别（dBm 表示功率绝对值的值，这个值越大，标识信号越好；asu 代表移动设 备将它的位置传递给附近的信号塔速率，以一种更加线性的方式来表示。asu 的正常 32 范畴为 1-30，asu 信号值越大，信号强度越好。dBm=-113+2*asu。当 asu 的值为 1-10 时设备信号灯 1 亮；11-20 时设备信号灯 1,2 亮；21-30 时设备信号灯 1,2,3 全亮）
   
7. 注册状态（当前模块的状态，如：注册网络成功、正在注册到网络）
   
8. 运营商（显示运营商名称，如：中国移动-China Mobile、中国联通-China Unicom）
   
9. 网络类型（显示当前设备拨号上网的网络类型，如：4G（LTE）、2G（EDGE）等）
   
10. 位置区码（为了确定移动台的位置，每个公用陆地移动网络的覆盖区都被划分成许多位 置区，位置区码则用于标识不同的位置区）
    
11. 用户可通过状态页面查看当前设备网络连接状态：
    
1. 状态：显示当前是否在线，如：已连接、未连接。
   
2. IP 地址：设备拨号成功所获取到的 IP 地址。
   
3. 子网掩码：设备拨号成功所获取到的子网掩码。
   
4. 网关：设备通过拨号成功所获取到的网关。
   
5. DNS：设备通过拨号成功所获取到的网关。
   
6. MTU：最大传输单元，系统默认值 1500。
   
7. 连接时间：显示设备拨号成功到下一次重启所用时间。
   

---

1. IR900 设备当重复拨号 30 次没有拨号成功，设备会自动重启。当没有插入 SIM 卡或一直未注册网路，设备检测 120 次模块后设备自动重启
   
2. IR900 能根据 SIM 卡自动识别 APN，一般不需要配置任何参数就能拨号成功（专网除外）
   

---

3.3.4ADSL拨号（PPPoE）

        当设备作为 PPPoE 客户端时，PPPoE 会话可以配置在物理以太网接口接口上，当设备 通过 ADSL 接口连入 Internet 的时候，需要在虚拟以太网接口配置 PPPoE 会话；当设备通过 以太网接口连接 ADSL Modem 再连入 Internet 的时候，需要在以太网接口配置 PPPoE 会 话。 

表 3-3-5 拨号池参数说明

3.3.5WLAN接口

---

1. 入点为 AP-Client 时，信道必须与需要连接的 AP 信道保持一致才能建立连 接。
   
2. 设备配置为客户端时，一般需要在安装向导-新建 WAN 界面配置 dot11radio1 为 WAN 口，才能实现客户端下端设备与 AP 通讯。
   

3.3.6环回接口

参数名称	说明	缺省值
IP 地址	用户不可更改	127.0.0.1
子网掩码	用户不可更改	255.0.0.0
多 IP 支持	除上边 IP 以外用户还可以配其他 IP 地址	无

---

        环回接口由于独占一个 IP 地址，子网掩码一般建议设为 255.255.255.255，以节省 资源。 

---

3.3.7DHCP服务

        DHCP 采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户 端分配的 IP 地址等相应的配置信息，以实现 IP 地址等信息的动态配置。

1. 设备作为 DHCP 服务器的职责是当工作站登录进来时分配 IP 地址，并且确保分配给每个 工作站的 IP 地址不同，DHCP 服务器极大地简化了以前需要用手工来完成的一些网络管 理任务。
   
2. 设备作为 DHCP 客户端，登录到 DHCP 服务器后接收 DHCP 服务器分配的 IP 地址，所以设备的以太网接口需要配置为自动方式。
   

表 3-3-9 DHCP 服务器参数说明

接口	参数说明	缺省值
fastethernet	点选启用	启用
fastethernet	起始地址：设置地址池中分配给客户端设备的起始 IP 地址	192.168.1.2
fastethernet	结束地址：设置地址池种分配给客户端 设备的结束 IP 地址	192.168.1.100
fastethernet	有效期：设置分配 IP 的地址的有效期， 过期 DHCP 服务器将回收分配给客户 端的 IP 地址并重新分配 IP 地址，不能为空	1440 分钟
bridge 1	点选启用	启用
bridge 1	起始地址：设置地址池中分配给客户端 设备的起始 IP 地址	192.168.2.2
bridge 1	结束地址：设置地址池中分配给客户端 设备的结束 IP 地址	192.168.2.100
bridge 1	有效期：设置分配 IP 的地址的有效期， 过期 DHCP 服务器将回收分配给客户 端的 IP 地址并重新分配 IP 地址，不能 为空	1440 分钟
域名解析服务器	点击“编辑”可设置首选域名服务器和备选域名服务器	无
Windows 名称服务器 （WINS）	Windows 服务器对应的地址	空
静态 IP 设置
MAC 地址	设置一个静态指定 DHCP 的 MAC 地 址（不能与其他 MAC 相同，防止冲突）	0000.0000.000 0
IP 地址	设置一个静态指定的 IP 地址（必须在起 始 IP 地址和结束 IP 地址范围内）	无

---

        IR900 所有以太网口默认都开启了 DHCP 服务器功能，建议用户首先选用自动获取 IP 的方式。

---

        一般情况 DHCP 数据包是无法穿越路由器进行传输的，就是不可能由 DHCP 服务器提供 DHCP 服务给远离两个以上路由器上连接的设备。通过 DHCP 转发可以实现让 DHCP 请求和 应答数据包穿越多台路由器（宽带路由器）的功能。

---

表 3-3-10 DHCP 转发参数说明

3.3.8DNS服务

1. 域名服务器：设备通过 DNS 服务器进行动态域名解析。
   
2. DNS 转发：设备作为 DNS 代理，在 DNS 客户端和 DNS 服务器之间转发 DNS 请求 和应答报文，代替 DNS 客户端进行域名解析。 手动设置域名服务器，如果为空就使用拨号获得的 DNS。一般在 WAN 口使用静态 IP 的 时候才需要设置此项。
   

参数名称	说明	缺省值
启用 DNS	转发服务器 开启/关闭	启用
主机	设置指定 IP 地址<=>域名的域名名称	无
IP 地址 1	设置指定 IP 地址<=>域名的 IP 地址 1	无
IP 地址 2	设置指定 IP 地址<=>域名的 IP 地址 2	无

---

        开启 DHCP 功能后，会默认开启 DNS 转发功能并且不能关闭；要把 DNS 转发关闭 就先要把 DHCP 服务器关闭了。 

---

3.3.9动态域名

        DDNS 动态域名服务是将用户的动态 IP 地址映射到一个固定的域名解析服务上，用户每 次连接网络的时候客户端程序就会通过信息传递把该主机的动态 IP 地址传送给位于服务商主 机上的服务器程序，服务器程序负责提供 DNS 服务并实现动态域名解析。也就是说 DDNS 捕 获用户每次变化的 IP 地址，然后将其与域名相对应，这样其他上网用户就可以通过域名来进行 交流。而最终客户所要记忆的全部，就是记住动态域名商给予的域名即可，而不用去管他们是 如何实现的。

        DDNS 采用客户端/服务器模式：DDNS 客户端：需要动态更新域名和 IP 地址对应关系的 设备。Internet 用户通常通过域名访问提供应用层服务的服务器，如 HTTP、FTP 服务器。为 了保证 IP 地址变化时，仍然可以通过域名访问这些服务器，当服务器的 IP 地址发生变化时， 它们将作为 DDNS 客户端，向 DDNS 服务器发送更新域名和 IP 地址对应关系的 DDNS 更新请求。

        DDNS 服务器：负责通知 DNS 服务器动态更新域名和 IP 之间的对应关系。接收到 DDNS 客户端的更新请求后，DDNS 服务器通知 DNS 服务器重新建立域名和服务器之间的对应关系， 从而保证即使DDNS客户端的IP地址改变，Internet用户仍然可以通过同样的域名访问DDNS 客户端。

        DDNS 功能是作为 DDNS 的客户端工具，需要与 DDNS 服务器协同工作。在使用该功能 之前，需要先到对应网站如（www.3322.org）去申请注册一个域名。

        IR900 的 DDNS 服务类型包括：DynAccess、QDNS(3322)-Dynamic、QDNS(3322)- Static、DynDNS-Dynamic、DynDNS-Static、NoIP、Custom。

表 3-3-14 动态域名参数说明 

参数名称	说明	缺省值
方法名称	用户自定义方法名称，不能为空	无
服务类型	选择提供动态域名的服务商	无
Url	用户设置域名 URL 格式，如花生壳域名 URL 格式： http://username:password@ddns.oray.com/ph/update?&hostname=domain/	空
用户名	申请注册动态域名的用户名	无
密码	申请注册动态域名的密码	无
主机名称	申请注册动态域名的主机名称	无
更新间隔（分钟）	设备向 DDNS 服务器更新域名的间隔	60 分钟
指定接口的更新方法
接口	用户选择指定接口，可选择：bridage1、cellular 1、 fastethernet 0/1	cellular 1
方法	用户选择更新方法，与上述设置的方法名称一致	空

---

1. 一般使用 DDNS 服务时，应确保设备拨号获取的地址为公网地址。
   
2. 服务类型选择“定制”时才能使用 URL 格式。
   

---

3.10.3短信服务

        配置短信功能，能够实现短信控制设备重启、设备连接网络、设备断开网络连接。手机号 码配置为允许动作后点击<应用并保存>，就可以通过该手机号发送“reboot”指令重启设备， 或者发送“cellular 1 ppp up/down”指令使设备重新拨号或断开。最多可配置 10 条短信访问 控制用户。

表 3-3-15 短信服务参数说明

参数名称	说明	缺省值
启用	开启/关闭	关闭
模式	TEXT 和 PDU TEXT:是纯文本方式，可使用不同的 字符集，从技术上说也可以用于发送 中文短消息，但国内基本上不支持，主 要用于欧美地区 PDU:可以时而用任何字符集，PDU 串表面上是一串 ASCII 码。	TEXT
查询间隔	当开启短信服务时设备按照设置的时 间间隔去读取 SIM 卡短信，0 表示禁用	120
短信访问控制
ID	用户自定义 ID	1
动作	允许和拒绝 允许：设备响应被允许手机号码发送 的指令，执行相关指令 拒绝：设备不响应被拒绝手机号码发 送的指令，不执行相关指令	允许
手机号码	短信访问控制的手机号码	无
DI 通知短信	点选启用 DI 通知短信 使能 DI 短信通知后，IO 接口状态发 生变化时会给该号码发送短信通知	禁用

---

---

3.4链路备份

3.4.1SLA

1. 定义一个或多个 SLA 操作（探测）。
   
2. 定义一个或多个跟踪(Track)对象，以跟踪 SLA 操作的状态 。
   
3. 定义与跟踪对象相关联的措施。

1. 如果探测失败，则对应 Track 项的状态为 Negative
   

3.4.3VRRP

1. 虚拟路由器具有 IP 地址，称虚拟 IP 地址。局域网内的主机仅需要知道这个虚拟 路由器的 IP 地址，并将其设置为缺省路由的下一跳地址。
   
2. 网络内的主机通过这个虚拟路由器与外部网络进行通信。
   
3. 组内路由器根据优先级，选举出一个路由器，承担网关功能。其他路由器作为 Backup 路由器，当网关路由器发生故障时，取代网关路由器继续履行网关职责， 从而保证网络内的主机不间断地与外部网络进行通信。
   

3.4.4接口备份

3.5路由

3.5.1静态路由

3.5.2动态路由

1. 目的地址：主机或网络的 IP 地址。
   
2. 下一跳地址：为到达目的地，需要经过的本路由器相邻路由器的接口 IP 地址。
   
3. 出接口：本路由器转发报文的出接口。
   
4. 度量值：本路由器到达目的地的开销。
   
5. 路由时间：从路由项最后一次被更新到现在所经过的时间，路由项每次被更新时，路由时间 重置为 0。
   

1. RIPv1 有类路由协议，RIPv2 无类路由协议
   
2. RIPv1 不支持 VLSM，RIPv2 支持 VLSM
   
3. RIPv1 没有认证功能，RIPv2 支持认证，并且有明文和 MD5 两种认证
   
4. RIPv1 没有手工汇总的功能，RIPv2 可以在关闭自动汇总的前提下，进行手工汇总
   
5. RIPv1 使用广播更新，RIPv2 通过组播进行更新
   
6. RIPv1 对路由没有标记的功能，RIPv2 可以对路由打标机（tag），标记用于过滤和做策略
   
7. RIPv1 发送的 updata 最多可以携带 25 条路由条目，RIPv2 在有认证的情况下最多只能 携带 24 条路由
   
8. RIPv1 发送的 updata 包里没有 next-hop 属性，RIPv2 有 next-hop 属性，可以用于路 由更新的重定
   
9. RIPv1 定时更新，每隔 30 秒更新一次，RIPv2 采用了触发更新机制来急速路由计算
   

1. 如果配置了 Loopback 接口地址，则选择最后配置的 Loopback 接口的 IP 地址作 为 Router ID；
   
2. 如果没有配置 LoopBack 接口地址，则选其他接口中 IP 地址最大的为 Router ID
   

1. HELLO 报文
   
2. DD 报文（数据库描述报文）
   
3. LSR 报文（链路状态请求报文）
   
4. LSU 报文（链路状态更新报文）
   
5. LSAck 报文（链路状态确认报文）

3.5.3组播路由

1. 发现上游接口，离源最近的接口。因为组播路由协议只关心到源的最短路径。
   
2. 通过（S，G）对来决定真正的下游接口，当所有的路由器都知道了他们的上下游接 口，那么一颗多播树就已经建立完成。根是源主机直连的路由器，而树枝是通过 IGMP 发现有组员的子网直连的路由器。
   
3. 管理多播树。单播路由只需要知道下一跳的地址，就可以进行报文的转发。而组播， 是把从一个由源产生的报文发送给一组。
   

3.6防火墙

3.6.1访问控制列表（ACL）

3.6.2网络地址转换（NAT）

---

        网络地址转换规则是将 ACL 应用于地址池，只有匹配该 ACL 的地址才进行转换。

---

参数名称	说明	缺省值
MAC 地址	设置绑定的 MAC 地址	00:00:00:00:00:00
IP 地址	设置绑定的 IP 地址	空
说明	便于记录每条 MAC-IP 地址绑定规则的意义	空

---

3.7QoS

参数名称	说明	缺省值
类
名称	用户自定义流量控制类名称	无
任意报文	点选启用，启用后对任意报文都进行流量控制	禁用
源地址	流量控制的源地址对（空代表 any）	无
目的地址	流量控制的目的地址对（空代表 any）	无
协议	点选协议类型，用户可选择：icmp、igmp、tcp、udp、 gre、esp、ah、ospf、vrrp、l2tp	无
策略
名称	用户自定义新建流策略的名称。	无
类	选择需要应用的类名称	无
保证带宽Kbps	对每条流量保留的最小带宽，当发生拥塞时候，每条 流保留的最小带宽。合法值：1-100000	无
最大带宽 Kbps	每条流量的最大能保证的带宽，当发生阻塞时，实际 数据不能超过设置的最大带宽。合法值：1-100000	无
本地优先级	指定匹配报文优先级的级别，包括：用户可选择： highest、high、Medium、low、lowest	无
应用 QoS
接口	指定策略应用的接口，用户可选择：cellular 1、bridge 1、fastethernet 0/1	无
最大输入带宽 Kbps	用户自定义，但要大于输入策略的最大带宽 合法值：1-100000	无
最大输出带宽 Kbps	用户自定义，但要大于输出策略的最大带宽 合法值：1-100000	无
输入策略	表示将策略应用到接口的入方向。	无
输出策略	表示将策略应用到接口的出方向	无

---

3.8VPN

1. 专用（Private）： VPN 资源不被网络中非该 VPN 的用户所使用；且 VPN 能够提供 足够的安全保证，确保 VPN 内部信息不受外部侵扰。
   
2. 虚拟（Virtual）：VPN 用户内部的通信是通过公共网络进行的，而这个公共网络同时 也可以被其他非 VPN 用户使用，VPN 用户获得的只是一个逻辑意义上的专网。这个 公共网络称为 VPN 骨干网（VPN Backbone）。

3.8.1IPSec VPN

参数名称	说明	缺省值
基本参数
名称	设置 IPsec Profile 的名称。	无
IKE 版本	设置 IKE 协议使用的版本号，支持 IKEv1 和 IKEv2。	IKEv1
IKEv1策略	在 IKEv1 策略列表里定义过的策略标识	空
IKEv2策略	在 IKEv2 策略列表里定义过的策略标识
IPsec策略	在 IPsec 策略列表里定义过的策略标识	空
协商模式	设置 IKEv1 的协商模式： 主模式：主模式将密钥交换信息与身份认证信息相分离。这 种分离保护了身份信息，从而提供了更高的安全性。 野蛮模式：野蛮模式缺少身份认证，但可以满足某些特定的 网络环境需求。如果无法预先知道发起者的地址、或者发起 者的地址总在变化，而双方都希望采用预共享密钥认证方法 来创建 IKE SA，就可以用野蛮模式
认证方式	两种认证方式可选：共享密钥和数字证书	共享密钥
IKE 高级选项（第 1 阶段）
本地标识	和所选本地标识类型对应的本地标识，用户可选择：IP 地址、 FQDN、User FQDN	空IP 地址
对端标识	和所选对端标识类型对应的对端标识 用户可选择：IP 地址、FQDN、User FQDN	空 IP 地址
IKE 连接检测（DPD）	DPD 超时时间：当接收端触发 DPD 查询，主动向对端发送 请求报文进行检测，超过超时时间仍没有收到对端的 IPSec 加密报文时，将删除此 ISAKMP Profile。 合法值：10-3600，单位：秒	0
IKE 连接检测（DPD）	DPD 重试间隔：用于 IPSec 邻居状态的检测时间间隔。 启动 DPD 功能后，当接收端在触发 DPD 的时间间隔内收 不到对端的 IPSec 加密报文时，能够触发 DPD 查询，主动 向对端发送请求报文，对 IKE 对等体是否存在进行检测。 合法值：10-3600，单位：秒	0
IPSec 高级选项（第 2 阶段）
完美前向加密（PFS）	PFS 是一种安全特性，指一个密钥被破解，并不影响其他密 钥的安全性，因为这些密钥间没有派生关系。IPSec 第二阶 段的密钥是从第一阶段的密钥导出的，当第一阶段 IKE 密钥 被窃取后，攻击者将可能收集到足够的信息来导出第二阶段 IPSec SA 的密钥，PFS 通过执行一次额外的 DH 交换，保 证第二阶段密钥的安全。	禁用
IPsec SA	生命周期 设置 IPSec SA 的生存周期。IPSec 协商建立 SA 时，采用 本端设置的生存周期和对端的生存周期中较小的一个。	3600

---

1. 加密算法的安全性由高到低依次是：AES、3DES、DES，安全性高的加密算法实 现机制复杂，但运算速度慢。对于普通的安全要求，DES 算法就可以满足需要。
   
2. 当 IR900 作为 IPsec server 时，对端地址请配置成 0.0.0.0，一般用于一端公网 地址，一端拨号上网地址不固定场景
   
3. IPsec 扩展一般和 GRE 结合使用，用于组建 DMVP 或 GRE OVER IPsec 网络
   

---

3.8.2GRE

1. GRE 隧道可以像真实的网络接口那样传递多播数据包，而单独使用 IPSec，则无法对多播 传输进行加密。
   
2. 采用的某种协议无法进行路由。
   
3. 需要用一个 IP 地址不同的网络将另外两个类似的网络连接起来。
   

1. NHRP 只用于 DMVP 网络，一般 GRE 不需要开启 NHRP
   
2. GRE 一般用于两端地址都是固定公网情况。
   

---

3.8.3L2TP

3.8.4Open VPN