網咖網路環境：高並發、混合業務、惡意流量、零容忍停機

• 200+ 台電腦、10M~1G 出口、BT/迅雷/電驢/Steam 下載、LOL/CS/吃雞/手遊模擬器、視頻會議、直播推流、IP 電話、教育平台……
• 核心痛點：**少數人佔滿頻寬 → 大家卡頓**；**病毒/木馬掃描/攻擊佔滿 NAT 會話表 → 全網斷線**；**對外掃描/攻擊癱瘓路由器 CPU**。

技術一：內部 PC 基於 IP 的雙向限速 (QoS/流控)

原理

在路由器出口策略中，對內網 IP 段 (如 192.168.1.0/24) 套用 **單 IP 上傳/下載速率上限**。

參數建議 (200 台、100M 出口為例)

• 保底帶寬：≥ 40 Kbps (保障網頁/IM/語音基本可用)。
• 上限建議：100~400 Kbps (視出口總頻寬/用戶數/業務權重調整)。
• 支援 **全域統一限制** + **指定 IP 獨立限制** (如 VIP 房/主播間給更高上限)。

為什麼要限「大封包」下載流量？

下載多為 1500B 大封包，佔滿佇列 → 遊戲/語音/網頁小封包 (64~200B) 排隊延遲 → **Bufferbloat** 導致丟包/抖動。限速實質是**保護小封包低延遲通道**。

技術二：NAT 會話數限制 + 可視化審計 = 病毒獵手

NAT 會話表耗盡 = 全網斷線

• 每條 TCP/UDP 連線佔 1 條 NAT Entry (內網 IP:Port ↔ 公網 IP:Port ↔ 目的 IP:Port)。
• 典型路由器 NAT 表上限：6萬~200萬條 (視記憶體/CPU)。
• 沖擊波/震盪波/挖礦蠕蟲 → 單台電腦發起 **數萬連線掃描/攻擊** → 瞬間填滿 NAT 表 → 其他用戶無法建立新連線 → **表現為「能 Ping 通、能上 QQ (長連線)、但開網頁/新連線全掛」**。

雙重防護機制

1. 單 IP 最大 NAT 會話數限制：預設 2000~5000 可調。超限新連線直接丟棄，保護全局表不被單點耗盡。
2. NAT 會話表即時可視化審計：
   — 列出所有條目：內網 IP、外網 IP、內/外埠、協議、狀態、建立時間、封包/位元組計數。
   — **按「內網 IP 會話數」降序排列** → 第一名通常就是中毒/跑 BT/開代理的那台。
   — **檢視異常埠號** (135/445/1433/3306/6379/27017 等) → 秒級定位病毒類型與受害主機。

技術三：ACL (存取控制清單) 多層防病毒/攻擊

方向	介面	典型規則	防禦目標
入站	WAN	Deny TCP any any eq 135/445/139/1433/3389/5900/27017	阻擋外部掃描/暴力破解/漏洞利用 (SMB/RDP/DB)
出站	LAN	Deny TCP any any eq 135/445/139/25/110/2525 (非郵件伺服器)	阻斷內部感染主機對外掃描/發垃圾郵件/傳播蠕蟲
雙向	WAN/LAN	Permit 允許業務埠 (80/443/53/123/5060/游戲埠) → Deny IP any any log	白名單模式，最小權限原則，異常流量留痕

優秀網咖路由器 ACL 特徵：支援 **L3/L4 全字段匹配**、時間段生效、每條規則計數器、硬體轉發 (不佔 CPU)、動態更新威脅情報庫 (可選)。

技術四：WAN 口防 Ping (ICMP Echo Request 阻擋)

• 偵察前置：駭客先 `ping` 掃描存活主機 → 回應 = 可攻擊目標。
• DoS 放大：大量僵屍網路對路由器 WAN IP 發起 Ping Flood → 佔用 CPU/頻寬/佇列 → 正常業務受影響。
• 一鍵開啟：路由器 Web/CLI → `ip icmp echo-reply disable` (WAN 介面) → 所有外部 Ping 請求**靜默丟棄**，不回應、不處理、不佔資源。
• 副作用：外部監控系統 (Pingdom、UptimeRobot、騰訊雲觀測) 無法 Ping 監控 → 需改用 HTTP/TCP/SSL 探測或放行特定監控 IP。

綜合部署架構圖 (文字版)

[Internet] ←→ [WAN1/WAN2/WAN3] ←→ [網咖核心路由器]
                                                      │
                          ┌───────────────────────────┼───────────────────────────┐
                          ▼                           ▼                           ▼
                   [ACL In: 阻擋掃描/攻擊]      [NAT 會話限制/審計]           [QoS: IP 限速 + 遊戲/語音優先]
                          │                           │                           │
                          └───────────────────────────┼───────────────────────────┘
                                                      ▼
                                          [內核交換機 (Core Switch)]
                                                      │
                              ┌──────────────────────┼──────────────────────┐
                              ▼                      ▼                      ▼
                        [接入交換機 1]           [接入交換機 2]           [...]
                              │                      │                      │
                        [PC 1~50]                [PC 51~100]             [PC ...]

選型清單：網咖路由器必備硬指標

• ✅ **硬體轉發架構** (非軟路由單核) + **多核 NPU/多核 CPU** (≥ 4 核 1.2GHz+)。
• ✅ **NAT 會話表 ≥ 50 萬**，支援單 IP 限制 + 即時審計介面。
• ✅ **QoS**：IP 限速 + 應用識別 (DPI) + 低延遲佇列 (LLQ) + Bufferbloat 抑制 (FQ_CoDel/CAKE)。
• ✅ **ACL**：硬體加速、L3/L4 全字段、動態威脅情報聯動 (或可手動訂閱)。
• ✅ **多 WAN 負載平衡**：按頻寬比例 + 策略路由 + 連線保持 (Session Persistence)。
• ✅ **高可用**：VRRP/HSRP + 雙機熱備 + 配置同步 + 狀態同步 (會話同步)。
• ✅ **管理**：Web/CLI/SNMP/Syslog/NetFlow/sFlow/REST API/Ansible/雲管平台。
• ✅ **品牌/售後**：7×24 小時技支、4 小時上門換機、韌體長期維護 (5 年+)。

網管金句：
「網咖路由器不是『撥號器』，是**流量總閘門、安全防火牆、QoS 調度器、審計記錄器**。
買對了，網管睡覺都安穩；買錯了，每天都在救火、背鍋、換設備。」