学习中小企业安全路由器的基本配置方法

群组管理：除了IP/MAC绑定，可有效管制用户外，另外适当采用群组的功能，也能更方便的对用户加以管理。例如Qno侠诺提供的IP群组功能，就能将不同的IP用户设为不同群组，例如企业高阶主管设为一组、业务部门设为一组、内部行政人员设为一组。不同群组的用户，适用不同的管制权限或是带宽管理原则，这个功能可以大幅简化管理工作，也可避免管制时出现漏网之鱼的现象。
学习中小企业安全路由器的基本配置方法（图二）
图二

图二：IP群组功能，可将不同IP用户分类为不同群组，并加以命名，通过群组的管理，一次达到全面性的管制功能。也可避免因为配置的漏失，而产生安全的漏洞。
三、内部建置公开服务器

以前，或许只有较大的企业才会设置公开的服务器，让外部的用户存取。但是信息化的普及让中小企业也可能架设不同的公开服务器给外部的用户。例如图文件交换、技术更新信息、报告缴交等都可通过架设公开服务器的方式达成。
  
 
   

企业要提供公开的服务，必须要有一个固定的地址让互联网用户建立在服务器地址栏。一般的方式是使用IP地址或是域名来作为辨别，但是这两种方法对于中小企业都较为昂贵，每个月的费用较高。还好DDNS的出现，可允许企业用动态IP，即使使用ADSL取得动态IP，也可让用户以记忆域名的方式来存取服务器。Qno侠诺也提了动态域名DDNS的服务给企业用户，现正进行最后阶段的测试工作，将于近日内开放给Qno侠诺的用户，请读者拭目以待。

以下针对不同的需要，说明内部建置公开服务器的配置，主要分为有固定公网IP、提供一个公开服务器及提供多个公开服务器等三种情况说明：

有一个或多个固定公网IP，相对较高等级的安全性：若有多个固定IP，又想将服务器隔离到外网，得到最高的安全性，则可透过Qno侠诺路由器的硬件DMZ端口，连接到一个或多个服务器，这样完全隔离，外部用户网络封包完全不会进入内网，可得到最高的安全性。这种应用最安全，但是笔者发现对于网管来说也是最不熟悉的。

有一个或多个固定公网IP，允许以内部服务器向外公开：有些应用希望服务器能很方便地被内网及外网的用户存取，而又有固定公网IP可用时，则可采用One to one NAT的功能，将内网服务器与公网IP产生对应关系，这样这个服务器对于外网用户，就像公网服务器，而对内网用户，则像内网服务器一般。这种配置相当方便，故十分普及，但由于没有适当的隔离，因此需要作一些带宽或是限制的防火墙设定，以增加安全性。技术无忧.com