http://bbs.et8.net/bbs/showthread.php?t=860477
几天前在精品论坛看到的帖子，转过来看看，因为不是会员所以图没办法显示。
【分享】对付电信网络尖兵的两个实例
原先本地电信没有对共享上网进行限制，我家里的宽带和公司的宽带都是ADSL多用户共享。月初正出差在外，接到电信局打来电话，询问我家里的帐户有几台电脑上网，是不是用了宽带路由器。我立即意识到电信可能开始对共享上网进行封杀了，随后公司的宽带就瘫痪了，只有QQ可以使用，无法打开网页，只要一浏览网页就自动重定向到一个私接警告页面。
等我回来之后咨询电信公司的业务员，对方竟然可以清楚地实时看到某线路上挂了几台电脑。而且还以电信法和刑法威胁我，要求我进行业务变更，原来月租费100元2M的ADSL，接6个以上用户就要435元！TMD简直就是抢劫！于是着手研究对策。
一、家里的宽带
由于家里的宽带使用的是TP-Link R410宽带路由器，这款路由器经过软件升级以后，支持主机伪装模式，可以欺骗局端设备，让局端认为只有一台电脑上网，所以处理起来很容易，只要启用主机伪装模式即可。具体做法：登录宽带路由器的管理页面，在“网络参数”的“MAC地址克隆”页面，勾选“主机伪装模式”并保存，就看不到私接警告的重定向页面了，所有网络应用恢复正常。
二、公司的宽带
当初购买设备的时候，考虑可能会用两个ISP的宽带接入，所以选择的设备是TP-Link R480T+ 双WAN口宽带路由器，这个型号的路由器是定位在网吧和企业应用的，在这种应用场合，一般接入线路都不会对用户数进行限制的，所以这款路由器也没有这个特殊功能。在这种情况下，就要想别的办法处理。
考虑电信公司在局端竟然能看到我内网共享宽带的用户数量，估计是通过SNMP协议的方式探测的。基于这一点，也就明确了对策：阻断SNMP协议通讯。已知SNMP使用UDP 161和UDP 162端口进行通讯，所以设法阻断这两个端口的通讯，应该就可以达到目的。
公司内网电脑与Internet连接的物理链路是这样的：
ADSL线路——ADSL Modem——R480T+ 宽带路由器——华为S3952P弱三层交换机——终端电脑。
一开始在宽带路由器上面使用IP过滤规则拦截UDP 161、162端口的通讯，结果未能凑效，估计这样做只是拦截了终端电脑跟广域网的通讯报文，而局端仍然可以通过宽带路由器或者我们的交换机得到内网的一些数据。
接下来只有从交换机上进行处理了，宽带路由器的LAN口接在交换机的48号以太网口。下面是对交换机的配置过程：
引用:
sys
System View: return to User View with Ctrl+Z.
[S3952P]acl number 3000
[S3952P-acl-adv-3000]rule deny udp source any destination any source-port eq 161
[S3952P-acl-adv-3000]rule deny udp source any destination any source-port eq 162
[S3952P-acl-adv-3000]rule deny udp source any destination any destination-port eq 161
[S3952P-acl-adv-3000]rule deny udp source any destination any destination-port eq 162 上面的操作释义：
1、登录后进入系统配置模式；
2、定义ACL访问控制列表，3000属于高级ACL规则；
3、定义四条规则，拒绝源端口为UDP161的通讯、拒绝源端口为UDP162的通讯、拒绝目的端口为UDP161的通讯、拒绝目的端口为UDP162的通讯。
引用:
[S3952P]int Ethernet 1/0/48
[S3952P-Ethernet1/0/48]packet-filter inbound ip-group 3000
[S3952P-Ethernet1/0/48]quit
[S3952P]quit
save 操作释义：
1、进行端口配置，进入连接到宽带路由器的48号以太网口；
2、将刚才定义的ACL 3000访问控制列表下发到这个端口，应用方向为inbound（进入方向）；
3、退出端口配置状态；
4、退出系统配置模式；
5、保存设置。
这样配置以后，再次通过内网终端浏览器访问Internet，再也没有出现私接警告。证明本地电信确实是用SNMP来实现共享探测的，并且我的处理策略也是成功的。
上传的图像
sjjg.gif
(69.1 KB, 431 次查看)
R410.gif
(96.5 KB, 432 次查看)
