上網行為管理的親民使者 D-LINK DI-7001評測
原創【51CTO.com 獨家特稿】12月28日， D-Link在北京發布了企業管理路由器新品DI-7001，這款產品主要是面向小型企業級用戶，旨在解決企業進行上網行為管理方面的問題。
本著實事求是的精神，我們對DI-7001進行了一次全面完整的評測，它到底是不是"開啟了企業管理路由的新紀元"，實際運行效果又是怎樣的呢？下面就是見證奇跡的時刻了。
外觀和硬件設計
DI-7001采用了企業級產品慣用的鐵殼設計，一般來說，鐵殼具有良好的堅固性和屏蔽性。DI-7001的整體外包裝偏小，大小基本和一臺14寸筆記本相等。當然這不過是外包裝而已，什么也說明不了。
開箱之后可以看到一張400貼紙，一條網線，一個電源，一臺主機以及說明書、光盤和保修卡。#p#
這張貼紙很不錯，企業中維護的時候，假如網管發現路由器出了問題，也不需要找店保了，直接一個400搞定。屬于小細節大作用。
由于附贈說明書的簡陋，使得光盤的責任重大（詳細版的說明書在光盤中）。保修卡上印有序列號和MAC地址，節省了用戶填寫的時間。
外部鋼殼，兩側開有不小的散熱孔，由于鐵的熱傳導性優于普通ABS塑料，可以預見散熱效果的強勁。
路由器整體純黑色調，面板上嵌入了一塊乳白色的指示面板。正面左側是D_LINK的DinkGreen?標志，之后是Power和Sys燈，右側則是Wan和4個Lan的網口指示燈。#p#
小知識：D_inkGreen屬于一種節能技術，具體包含了兩種節能方式。
1、根據計算線纜長度，網口自動增大和縮小發射功率，以達到省電功能。
2、根據網口是否連通，確定是否給該端口供電，以達到省電功能。
由于這兩種技術的存在，自然可以降低機器的熱功耗，間接的對提升系統穩定性帶來一定效果。
背面的設計依然很簡單，依次是電源、4個Lan口，一個Wan口，以及一個系統復位按鈕。
產品底部有一個產品銘牌，以及D-Link的防偽鐳射貼紙。美中不足是沒有標出WAN的MAC地址。在普通家用級產品上，該屬性都是必備的。然而在DI-7001上，這個細節不知是有意為之還是忽略了。
接下來開始拆開主機，看看硬件。結果發現機器異常之好拆，僅僅卸開兩顆螺絲就搞定了。#p#
可以看到主板和面板中間通過數據線連接。
主板設計結構很緊湊，其中A區左上角是連接前面板的數據線。從圖上看，標識保留了WLAN和WPS按鈕的位置，可以預見的，該主板稍作修改，就可以支持無線網絡。
B區是兩顆IC42S16160的4M芯片。共同組成了8M的存儲芯片，用于機器的配置和固件保存。實際可用空間是4M，而不是的8M，這也就是官方說明中所說的"雙BIOS設計確保系統升級無風險，安全享用新固件。"平心而論，這種設計在成本上增加不了多少，但卻給用戶帶來了不少的信心保障。#p#
小知識：
對電子信息感興趣的朋友，可以點擊下面這個鏈接查看IC42S16160的具體參數。
http://cnpdf.alldatasheet.com/datasheet-pdf/view/140252/ICSI/IC42S16160.html
C區是一顆Spansion（飛索）的64M內存芯片S29GL064N。關于這個64M，這里想稍微解釋一下，可能很多人覺得，現在電腦上的內存動不動就2G、4G、這64M有什么好講的。事實上，在家用級的無線路由器上，也大多是采用4M、8M的內存，用個16M那都屬于廠商下了狠料。
Discrete Search Results
小知識：感興趣依然可以點擊進去看看這顆芯片的具體參數。
http://www.spansion.com/Products/Pages/ProductDetail.aspx?ProdID=S29GL064N
在相對巨大的散熱片下覆蓋的，就是路由器的CPU，不過由于DLINK采用焊接的技術將散熱片固定在了主板上，拆除散熱片還需要吸焊。
拆開后終于看到了這顆Ralink的RT3052F，主頻384MHz，怎么說呢……這顆芯片支持802.11N無線解決方案。這也驗證了之前的猜想，技術上，DI-7001很容易升級成支持無線的版本。#p#
最后來張產品與手機的合影，使大家可以對產品大小有一個直觀的概念。接下來我們進入軟件測試環節。
畢竟，硬件配置再高，外觀再漂亮，干活不利落也是不行的。
基本功能介紹
默認情況下，在IE地址欄輸入http://192.168.0.1 進入系統設置界面。用戶和密碼均為admin。
界面左側為大類，點擊后展開小類，右側為小類的具體設置項。其下部則是Dlink Green的綠色標志。
假如想調試下直接上網，那么設置起來和普通路由器并沒有什么差別，都是設置PPPOE，然后輸入賬號和口令，或者點擊"配置向導"，一步一步的進行下去就可以。然而如果僅僅是這樣來使用，那就實在是對不起這"企業級"的頭銜了。#p#
在系統狀態→系統信息下，我們可以看到路由器的運行時間、CPU利用率，以及連接數（官方標注該路由器最大8000并發）。網絡攻擊報警等信息。同時可以點擊連接數排行按鈕，查看當前用戶的連接數情況。
小知識：連接數即用戶與各類網絡應用建立的鏈接總數，數字越低，路由器的負載越低。數字越高，延時越大，路由器負載越大。迅雷等軟件都有一個設置下載的"原始地址線程數"，這個數字設置的越大，連接數也就越多。同時各類網絡視頻軟件，都會建立很大數量的連接數。如果僅僅是網頁訪問，那么100的連接數已經足夠。而如果使用迅雷下載，那么1000的連接數也很常見。
在系統狀態→網絡接口下，可以很清晰的看到當前的網絡配置情況。值得注意的是，本路由器可以設置多個內網IP，以方便在多個網段下進行訪問。
DI-7001的日志功能也很不錯，可以詳細的看到修改策略的每一條日志，方便對路由器的功能調整。#p#
在內網監控欄目下，只要啟用了內網分析功能，就可以看到目標主機的網絡訪問流量情況。同時可以查看該主機當前打開的連接，只要點擊色箭頭所指向的兩個鏈接即可。當發現某人流量異常時候，可以點擊右側的"√"按鈕，阻止其訪問互聯網。
有哪些訪問連接，一目了然，這個功能可以查看用戶是否使用了迅雷或PP等大連接數的軟件。
報文捕捉功能可以和內網監控功能配合使用，當指定IP和端口范圍后，可以抓出適合WireShark所查看的數據包。
很明顯，這種抓包分析的方式更具有針對性，同時也更具有專業性。#p#
在基礎設置中，還有一個地方很有意思，那就是DHCP服務器。眾所周知，DHCP服務器可以算是所有路由器的標配。DI-7001所不同的地方在于，它可以設置無限期的租約，以及能夠自動綁定IP/MAC。這對于企業網絡管理來說，部署網絡可以更加快捷和明確。
上網行為管理作為DI-7001的重頭戲，被D-LINK所看好，自然要拿出點真功夫。下面來跟我一起參觀下上網行為管理的實際應用部分。
首先，我們需要根據公司的實際操作環境，設置IP地址組。IP組，一般和業務職能相匹配，如可以上網的市場部、不能上網的財務部、上網不做任何限制和監視的高層領導組、之后的上網行為策略，都是根據IP組來劃分的。之后如果企業環境有所變化，只需要更改IP組內的成員即可，而不需要對多個用戶設置不同的安全策略。
為了后面敘述的方便，這里我設置了3個組別，最終設置好后，界面是這樣的。接下來就可以設置上網行為管理的策略了。
在上網行為管理→WEB訪問控制下，我們可以設置網絡訪問的策略，其分為白名單、黑名單和網址分類管理。優先級也是依次遞減。#p#
如我們的公司域名為www.aaa.com，那么在白名單下添加一條記錄aaa.com，則可以對aaa.com下所有的網站放行。
如我們的競爭對手公司域名為www.bbb.com，那么在黑名單下添加一條記錄bbb.com，則可以禁止員工訪問競爭對手的網站跳槽等等。這種策略在某些公司中可能會應用的到，當然，我希望這條策略的應用方式不是這樣的。
當我打開電子購物網的阻斷時，輸入www.360buy.com，會跳出如上提示。可以看到
在網址分類管理中，我們可以設置對各類網站進行阻斷、記錄、和警告處理。如果選中"阻斷"，那么員工在打開類似www.duowan.com這種網站時，會自動跳轉到指定的頁面。
這里還有一個更重要的選項："例外IP地址組"，如果你想快速并且順利的把網絡限制的方案在企業中布置下來，那么這個選項是必須的。它可以對你的高層領導或者其他人員不采用如上的網絡限制方案。這個功能，相信你懂的，活學活用吧。
在WEB安全設置中，我們可以設置過濾不讓訪問的文件擴展名和URL關鍵字，同樣的，這里依然可以設置例外的IP地址組。我想實施上網行為管理項目失敗的公司，應該有很大一部分原因是對這項功能的漠視和不作為造成的。#p#
接下來我們可以設置電子功能功能。有時候公司要開個會，但是大家都在下面干活，行政小MM一個一個的去通知顯然不切實際。那么通過這個功能，可以很方便的對大家提醒。
這項功能的實現應該說是DNS劫持或者類似的技術，并且實現的非常完美。
在聊天軟件過濾中，我們可以設置各種IM軟件的過濾功能，并且QQ可以根據QQ號碼來辨識，如某些員工上班必須要開QQ與外界聯系。但是我又不想讓她打開自己的私人QQ。那么可以開啟這項功能。#p#
可能有的人會說，使用"例外IP組功能"來實現不行么？是的，這樣也可以，但是如果使用了"例外IP組"，后面的MSN/旺旺也就不能禁止了。對于助理、經理這種職位，使用例外QQ號就足夠了。
接下來是股票軟件的設置，這方面我了解不多，不過設置原則基本還是一樣的。
關于P2P軟件過濾，不論是下載還是視頻觀看，都可以有效的進行管理。不過由于這部分的限制規則較多，比較消耗CPU資源，建議根據公司的實際情況進行禁止。
在網頁游戲過濾的頁面上，僅僅只有兩個游戲的過濾設置。相對于現在市面上那么多的網頁游戲來說，實在是有些薄弱。還好我們可以WEB安全→過濾的URL關鍵字進行限制。#p#
使用傳統的防火墻規則可以擁有更大的自由性，但這需要一定的網絡基礎知識，一般來說，粗通CCNA和MCSE的同學都可以看明白這個設置。如上圖所示，我設置了一條規則，高層領導在周一到周六的8點和下午8點之間，不允許通過郵件客戶端收郵件。我們也可以根據需要，不允許用戶使用代理服務器等等。
總體來說，DI-7001的網絡行為管理模塊做的非常"直白"，每一條設置的右側都有非常"直白"的幫助介紹。即使是小公司，沒有專職的IT人員，依然可以快速的理解，并部署好路由設置（這與產品定位于20-40人的公司不無關系）。由于留有傳統的防火墻設置，該路由器對于技術層次較高的IT人員，依然有其使用價值。
網絡安全模塊
網絡安全的攻擊防御模塊較為詳細，不過該項設置默認值已較為理想，基本不用變動。如ARP、廣播風暴、內網病毒等保護均已默認開啟。
在連接限制中，我們可以對路由器的整體連接數進行限制，或者針對單獨的IP和IP段進行限制。這樣我們可能會因為種種原因，沒有限制用戶的迅雷和其他下載、視頻任務，但限制其最終連接數，可以降低路由器負擔，使得其他用戶不受太大影響。#p#
在IP/MAC綁定中，我們可以查看之前DHCP所分配的IP地址，或者自行掃描網段內的計算機。同時由于設置了租約無限，我們可以在此快捷的將IP和MAC綁定。綁定后，還可以設置"未經過綁定的IP地址無法通過路由器"（也就是未綁定就不能上網）。處于安全角度考慮，如果使用了IP/MAC綁定，則無法使用ARP信任自動學習機制。
如果在IP/MAC綁定中，并沒有選擇"未經過綁定的IP無法通過路由器"，則在MAC地址過濾中，可以單獨設置不允許其上網的MAC地址。這兩條規則，一個屬于默認禁止所有機器聯網，允許少數機器上網；一個屬于默認允許所有機器聯網，允許少數機器斷網。屬于截然相反的設置策略。
流量控制
流量控制下僅僅只有一個大項，不過設置起來還是有需要要注意的，同時這里也有一個D-Link的新技術體現。在"規則列表"中，我們需要設置某一個IP段或者IP所采用的流量限制策略，如上行400K，下行200K，以及這個策略的運行時間（如上班朝九晚五期間），還有就是這個IP限制是該IP段內每個人都有這么快的速度還是共享這個速度。
而D-Link的新策略也在這里了，我們可以靈活的設置，當帶寬有剩余時，策略暫時不生效，用戶可以使用更多的帶寬。
在設置好基本規則后，我們還可以對優先級流控進行設置。如設置訪問網頁的優先級最大，那么下載和看電影都會先給該應用讓路。#p#
其他小項
在高級選項中，我們可以設置一些如端口映射、域名轉發、DDNS和UPNP等常見的網絡應用。這些功能屬于常規功能，也就是大多數路由器的"標配"功能，在此不再贅述。
在VPN設置中，DI-7001支持3中連接方式。第一種是作為客戶端來連接遠程的服務端，第二種是作為服務端來響應遠程的客戶端。第三種是IPSEC對等網的連接，VPN中的關系發起方和接受方都是同一級別的。這三種方式使得用戶在建立VPN的時候更加靈活，用戶可以根據分公司或出差人員的具體需求，而進行相對的設置。
由于系統預設了一些分類網址庫，這就需要我們平時多更新，以達到更好的管控效果。
而更新系統最怕的就是停電，注意右側的幫助提示，你會發現采用"雙BIOS"的DI-7001根本不怕停電（具體操作在隨機光盤中有介紹）。#p#
總結
中小企業因為成本控制的原因，部分沒有獨立的網絡管理員，同時也因為環境、服務對象的原因，也不可能對獨立網絡管理員付出較高工資，因此無法留下技術特別高超的IT人才。所以除了外包，在員工上網這塊，中小企業急需一種操作簡單，功能強大的管理型路由器。
DI-7001的硬件配置較高，采用的硬件方案成熟，同時在整體設計上也和家用機路由器有所區別。軟件方面，D-LINK花了大量的心血，對這款路由器的功能和界面進行改進。很多細節都做得不錯。諸如"上網行為管理"模塊分類準確，設置簡單，非常適合中小企業使用，實施后可以說是效果顯著。
同時，"例外IP地址組"這種小功能，D-LINK也注意到了，如果不是有實際測試經驗的廠商，是不會有這種細節改進的。由于該路由器的硬件的理論能力為并發數8000，以每個人100到150的正常并發來算，實際帶機量應該超過官方推薦的20-40，達到50人級別。
DI-7001正式將"上網行為管理"集成在了自己的路由器上，必然會對現有的上網行為管理硬件造成一定沖擊。到底是不是"開啟了企業管理路由的新紀元"，這個現在還很難說，不過有一點是可以肯定的：DI-7001，乃至DI-7000系列，無疑為我們提供一種廉價上網行為管理的選擇。
【51CTO.com獨家特稿，非經授權謝絕轉載！合作媒體轉載請注明原文出處及出處！】
