思科路由器 (IOS) 透過 ACL、Rate-limit、NBAR (Network-Based Application Recognition) + PDLM (Packet Description Language Module) 實現精準應用層流控與封鎖。

一、傳統 ACL 封埠 (易被隨機埠繞過)

! 封鎖 BT 預設埠 6881-6890
access-list 130 deny tcp any any range 6881 6890
access-list 130 deny tcp any range 6881 6890 any
interface FastEthernet 0/0
 ip access-group 130 in
 ip access-group 130 out

**缺點：** 現代 P2P (BT/電驢/迅雷) 動態隨機埠、甚至藏在 80/443/8080/2070，封死這些埠會導致正常服務中斷。

二、Rate-limit 限速 (僅限速不封鎖)

access-list 130 remark BT-THROTTLE
access-list 130 permit tcp any any range 6881 6890
access-list 130 permit tcp any range 6881 6890 any
! 輸入/輸出方向限速 712kbps，突發 8000 bytes
rate-limit input access-group 130 712000 8000 8000 conform-action transmit exceed-action drop
rate-limit output access-group 130 712000 8000 8000 conform-action transmit exceed-action drop

**缺點：** 同樣依賴固定埠，無法識別動態埠 P2P。

三、NBAR + PDLM：真正的應用層識別 (核心方案)

• **NBAR** 能深度檢測 L4-L7 封包特徵，**不依賴埠號**，可識別 HTTP URL、DNS、FTP、VoIP (H.323/SIP)、**P2P 協議 (BitTorrent、eDonkey、Kazaa、迅雷、快播等)**。
• **PDLM** 為外掛模組，定義新協議特徵碼，讓 NBAR 支援最新 P2P 變種。Cisco 官網提供 `bittorrent.pdlm`、`emule.pdlm`、`kazaa2.pdlm` 等下載。

部署步驟

1. 下載 PDLM 檔 → TFTP 上傳至路由器 `flash:`。
2. 載入模組：`ip nbar pdlm flash:bittorrent.pdlm`。
3. 建立類別映射：

class-map match-all BITTORRENT
 match protocol bittorrent
!
policy-map BT-POLICY
 class BITTORRENT
  drop
!
interface FastEthernet 0/0  ! 連接 Internet 的 WAN 介面
 description WAN-Link
 ip address 192.168.0.1 255.255.255.0
 ip nat inside
 service-policy input BT-POLICY
 service-policy output BT-POLICY

同理可載入 `emule.pdlm`、`kazaa2.pdlm` 封鎖電驢、Kazaa。

四、延伸應用

• **廣域網 (WAN) 介面** 套用政策控制出入網流量。
• **企業內部廣域網** 同樣套用，保障分支機構關鍵業務頻寬。
• NBAR 統計 `show policy-map interface` 可視化各應用佔用頻寬，做決策依據。

**結論：** 思科高端路由器 + NBAR + PDLM = **動態、精準、可擴展** 的企業級流控方案，徹底解決 P2P 亂象。