—5款雙WAN路由器揭密
用戶現(xiàn)在可以使用多種WAN連接方式（DSL、有線電視網(wǎng)、衛(wèi)星等）。由于小企業(yè)希望Internet訪問帶寬有冗余，以提高訪問速度，所以一些公司生產(chǎn)了雙WAN路由器，以把兩種寬帶連接方式組合在一起使用。既然這么多家庭和企業(yè)現(xiàn)在都有數(shù)兆比特相當(dāng)便宜的帶寬可用，那么雙WAN路由器市場(chǎng)看來(lái)已經(jīng)具備了發(fā)展的條件。
最近，美國(guó)《網(wǎng)絡(luò)世界》評(píng)測(cè)實(shí)驗(yàn)室測(cè)試了5款雙WAN路由器，分別是Zyxel通信公司的ZyWall 70、SonicWall公司的TZ 170、Xincom公司的XC-DPG602、Hawking技術(shù)公司的H2WR54G和Fortinet公司的FortiGate-60，測(cè)試的重點(diǎn)是這些產(chǎn)品控制WAN連接的能力以及其他一些功能。
在這個(gè)測(cè)試中，SonicWall公司的TZ 170被選為最受歡迎的產(chǎn)品，因?yàn)樗辛己玫陌踩�、配置選項(xiàng)和附加功能（有些需要額外付費(fèi)）。Hawking公司的產(chǎn)品會(huì)滿足需要低價(jià)產(chǎn)品的用戶的需求，其產(chǎn)品支持無(wú)線功能。Zyxel公司的ZyWall 70以微弱差距名列SonicWall之后，位居第二。
很多路由器都支持：
● 出網(wǎng)負(fù)載均衡；
● 入網(wǎng)負(fù)載均衡（低端產(chǎn)品僅支持出網(wǎng)負(fù)載均衡）；
● QoS；
● VPN；
● 非軍事區(qū)（DMZ）；
● 對(duì)內(nèi)容（入網(wǎng)和出網(wǎng)）和電子郵件（至少對(duì)入網(wǎng)的電子郵件）進(jìn)行病毒過濾；
● 入侵檢測(cè)；
● Web內(nèi)容過濾。
不同的路由器，CPU速度和RAM容量是不同的，通常同時(shí)支持的VPN連接數(shù)反映了這種差異。因?yàn)樗羞@些系統(tǒng)的連接數(shù)最少都達(dá)到了數(shù)千條，所以中等規(guī)模的網(wǎng)絡(luò)不應(yīng)該感到性能受限。不過，所支持的VPN會(huì)話數(shù)常常受到服務(wù)器的限制，因此仍然要仔細(xì)檢查網(wǎng)絡(luò)是否需要支持很多VPN客戶。
在需要把兩個(gè)相同的高速WAN連接組合在一起(如把兩個(gè)有線電視調(diào)制解調(diào)器鏈路組合在一起)時(shí)，這些路由器所具有的入網(wǎng)負(fù)載均衡功能很有用。因?yàn)橛芯�電視網(wǎng)的下行速率為1.5M～3Mbps，DSL鏈路則低于512Kbps，所以混合這樣兩種連接對(duì)速率不會(huì)有什么明顯的改善，而且如果配置錯(cuò)誤，還可能降低訪問速率。不過，仍然可以借助這樣的混合連接實(shí)現(xiàn)Internet訪問的帶寬冗余。
使用每個(gè)雙WAN系統(tǒng)都要注意的是：必須能夠把發(fā)出去的所有SMTP信息流路由到合適的WAN鏈路上。大多數(shù)ISP拒絕所有不是從自己的網(wǎng)絡(luò)起始的郵件，所以把發(fā)出的電子郵件路由到錯(cuò)誤的WAN鏈路會(huì)引起差錯(cuò)。使用連接到DMZ的內(nèi)部電子郵件服務(wù)器，或者通過Web托管服務(wù)而不是ISP發(fā)送電子郵件，可以消除這一問題。
1 SonicWall TZ 170
在測(cè)試期間，SonicWall TZ 170的一些開發(fā)人員用新版固件給該產(chǎn)品增加了對(duì)進(jìn)入信息流負(fù)載均衡的支持，填補(bǔ)了TZ 170在功能上的主要空白。但是用戶必須購(gòu)買功能增強(qiáng)的操作系統(tǒng)，才能使TZ 170支持雙WAN連接。同樣的小型塑料外殼支持TZ 170的所有排列方式，因此從外觀上看不出TZ 170所支持的功能。
安裝和配置花了一些時(shí)間。與我們測(cè)試的其他產(chǎn)品不同，TZ 170在默認(rèn)狀態(tài)下不啟用動(dòng)態(tài)主機(jī)配置協(xié)議（DHCP）服務(wù)器。用戶必須改變計(jì)算機(jī)地址，以與TZ 170的默認(rèn)IP網(wǎng)絡(luò)設(shè)置值相匹配，然后用其簡(jiǎn)單易用的向?qū)渲肈HCP地址范圍和其他初始化設(shè)置值。但是重新啟動(dòng)并經(jīng)過一番苦思冥想后，我們發(fā)現(xiàn)，設(shè)置DHCP范圍時(shí)DHCP服務(wù)器并未同時(shí)啟用，我們必須手動(dòng)開啟該服務(wù)器。9頁(yè)長(zhǎng)的快速啟用指南印滿了密密麻麻的文字，有點(diǎn)與“快速”背道而馳。該公司的技術(shù)支持聯(lián)系人也承認(rèn)，DHCP配置的設(shè)計(jì)方案不好，但未做進(jìn)一步解釋。
因?yàn)橹挥兴鶞y(cè)試的增強(qiáng)版TZ 170支持雙WAN，所以該產(chǎn)品上沒有WAN2插頭（用軟件增加這項(xiàng)功能）。采用可選以太網(wǎng)連接器WAN2不成問題，因?yàn)樵摦a(chǎn)品上的所有5個(gè)10/100Base-T以太網(wǎng)端口都能為使用DMZ而進(jìn)行配置。SonicWall基于Web的實(shí)用管理程序在顯示屏左邊提供層疊式菜單，但是右邊沒有選項(xiàng)卡。取而代之的是，多個(gè)命令圖標(biāo)彈出新的更小的窗口，用于選擇配置值或提供說明。這個(gè)敘述過程有點(diǎn)羅嗦，而實(shí)際菜單看起來(lái)要簡(jiǎn)單些，因?yàn)楹苋菀拙湍苌钊氲礁敿?xì)的菜單層次。在多個(gè)向?qū)У囊龑?dǎo)下，可以完成VPN設(shè)置、公共服務(wù)器（DMZ）訪問和初始設(shè)置這些繁雜的工作。
SonicWall產(chǎn)品好的方面是：在防火墻配置上具有極大的靈活性。而不好的方面則是: 對(duì)大多數(shù)小企業(yè)用戶而言，內(nèi)容太多，學(xué)不過來(lái)，也處理不過來(lái)，這些用戶會(huì)需要轉(zhuǎn)賣商的幫助。TZ 170在下拉菜單中配置的服務(wù)有140項(xiàng)。SonicWall使用網(wǎng)絡(luò)分區(qū)，其中包括幾屏描述各分區(qū)關(guān)系（例如WAN至LAN）的內(nèi)容以及適用特定連接的路由或網(wǎng)絡(luò)地址變換規(guī)則。你甚至可能有5個(gè)不同的用戶類別，代表從每個(gè)人到權(quán)力受限的管理員等各種類型的用戶，而在一個(gè)規(guī)則中可能包含任一類別。如果沒有外界幫助，中小型企業(yè)幾乎無(wú)法完成配置。
TZ 170對(duì)雙WAN連接處理得很好。與我們測(cè)試的所有其他產(chǎn)品都不同，當(dāng)我們斷開有線電視調(diào)制解調(diào)器并迫使TZ 170切換到DSL連接時(shí)，該設(shè)備仍能接著傳輸流式音頻文件。而當(dāng)我們重新連接到有線電視調(diào)制解調(diào)器時(shí)，它還能切換到更快的服務(wù)上，而且仍然不存在中斷。
安全性選項(xiàng)很多，但是要仔細(xì)訂購(gòu)。例如，你可以購(gòu)買網(wǎng)絡(luò)防病毒軟件和服務(wù)器防病毒軟件，但是你不能用電子郵件防病毒過濾。節(jié)點(diǎn)/用戶數(shù)是根據(jù)網(wǎng)絡(luò)上有效的IP地址數(shù)而不是路由器上共存的用戶數(shù)來(lái)計(jì)算的，因此你需要的許可證數(shù)也許比你想像的多。
盡管購(gòu)買合適的選項(xiàng)以及弄清楚DHCP有點(diǎn)煩人，但是SonicWall提供大量預(yù)定義的防火墻設(shè)置參數(shù)和選項(xiàng)，其失效轉(zhuǎn)移可保持流式音頻的連續(xù)性。
2 Zyxel ZyWall 70
ZyWall 70被Zyxel稱為保證安全的專用設(shè)備，以強(qiáng)調(diào)其具有路由之外的一些功能，Zyxel有11個(gè)這樣的路由器，都被稱為專用設(shè)備或網(wǎng)關(guān)。安裝過程涉及啟動(dòng)客戶程序以接受ZyWall 70設(shè)備發(fā)出的IP地址信息，從而開始配置工作。屏幕顯示條理清晰，布局合理，在左下角有一個(gè)菜單，選項(xiàng)卡清晰地顯示在有效頁(yè)上。電子版手冊(cè)長(zhǎng)達(dá)713頁(yè)，但是其中有數(shù)百頁(yè)內(nèi)容講述的是控制臺(tái)連接和老式終端的命令接口以及命令語(yǔ)法。
你可以建立一個(gè)DMZ，但是沒有獨(dú)立的以太網(wǎng)端口供這個(gè)DMZ使用。IP地址分隔每個(gè)DMZ系統(tǒng)的信息流。建立DMZ并分隔了DMZ系統(tǒng)的信息流后，要一直特別重視某個(gè)特定的端口，以避免混淆并限制一些煩瑣的、針對(duì)端口的配置工作。默認(rèn)信息流規(guī)則允許DMZ和WAN之間的信息流雙向流動(dòng)，但是僅允許從LAN送出的信息流進(jìn)入DMZ。從DMZ到LAN的信息流會(huì)被阻塞，除非增加了允許信息流在這個(gè)方向上流動(dòng)的規(guī)則，而這是我們意料之中的安全性配置。
管理ZyWall 70很簡(jiǎn)單，因?yàn)樗腤eb管理應(yīng)用程序接口非常清晰明了。只要點(diǎn)擊一下鼠標(biāo)，其主頁(yè)就顯示出所有類型連接（LAN、WAN、WLAN和DMZ）的狀態(tài)、統(tǒng)計(jì)數(shù)字、DHCP表或VPN狀態(tài)。
安全控制包括防火墻、證書控制（信任的證書機(jī)構(gòu)和信任的遠(yuǎn)程主機(jī)）、Radius支持和完整的內(nèi)容過濾選項(xiàng)。這個(gè)防火墻采用免受拒絕服務(wù)式攻擊的信息包檢測(cè)方法，該方法具有豐富的狀態(tài)參數(shù)。防火墻規(guī)則很容易建立，頁(yè)面上有一些復(fù)選框，還有為方便控制而預(yù)定義的44種服務(wù)，也有面向防火墻規(guī)則的日歷控制功能，提供相當(dāng)完整和可用的安全性控制。
ZyWall 70容許規(guī)定WAN1端口用于所有發(fā)出的SMTP信息流，但是需要使用常規(guī)管理接口之外的控制臺(tái)命令。
帶寬管理包括定義類別和為某些類別提供額外帶寬，如VoIP或視頻。讓基于優(yōu)先權(quán)的調(diào)度程序?yàn)橐雅渲玫姆⻊?wù)分配額外的帶寬，如VoIP，而基于公平原則的調(diào)度程序則盡力保持各服務(wù)類別之間的負(fù)載均衡，而且可以通過鼠標(biāo)點(diǎn)擊輕易進(jìn)行調(diào)整。用這種方法也很容易配置對(duì)稱或非對(duì)稱WAN鏈路。
ZyWall 70容易安裝，端口具有極大的靈活性，有4個(gè)DMZ端口，還有大量防火墻細(xì)節(jié)信息，支持可選無(wú)線PC卡。但是讓SMTP等信息流進(jìn)入特定的WAN端口需要Telnet協(xié)議之上的控制臺(tái)命令。
3 Xincom XC-DPG602
XC-DPG602所屬的雙WAN路由器系列共有5款產(chǎn)品，XC-DPG602是其中的第4款，它缺乏VPN支持，但是具有入網(wǎng)負(fù)載均衡功能（與603一樣，但是沒有603的其他功能）。Xincom雙WAN系列從其低端的402擴(kuò)展而來(lái)，其中還包括502、503和603。
快速啟用指南涵蓋了所有必需的細(xì)節(jié)信息，該產(chǎn)品的用戶手冊(cè)條理清晰，對(duì)一個(gè)復(fù)雜的路由器來(lái)說算是很短的（50頁(yè)）。該路由器僅支持微軟的IE瀏覽器（指南中并未提及），但是DHCP服務(wù)器工作正常，而且它快速準(zhǔn)確地從有線電視調(diào)制解調(diào)器那里獲得了詳細(xì)的網(wǎng)絡(luò)設(shè)置信息。實(shí)際上，該設(shè)備的復(fù)位和重新啟動(dòng)速度比我們測(cè)試過的任何產(chǎn)品都快。
兩個(gè)WAN端口的配置說明都出現(xiàn)在實(shí)用管理程序的同一頁(yè)上（兩個(gè)配置說明挨著），這是一種很好的做法。這些WAN端口可以配置成備份端口或具有負(fù)載均衡功能的端口，而負(fù)載均衡則有自己的配置頁(yè)。你可以按照字節(jié)、信息包或所建立的會(huì)話設(shè)定負(fù)載均衡數(shù)值，然后在WAN1上設(shè)定所承載負(fù)載量的百分?jǐn)?shù)。我們把有線電視調(diào)制解調(diào)器放在WAN1上，設(shè)定它承載90%的負(fù)載量。當(dāng)我們拔下有線電視調(diào)制解調(diào)器時(shí)，流式音樂幾乎總是持續(xù)地傳輸，在DSL鏈路上音樂一拍也沒丟。不幸的是，當(dāng)斷開DSL鏈路時(shí)，Xincom的產(chǎn)品不是總能復(fù)位DSL連接，因此我們必須以手動(dòng)方式重新建立連接。
用該設(shè)備上4個(gè)10/100Base-T以太網(wǎng)端口中的一個(gè)或幾個(gè)端口，可以建立多個(gè)DMZ（沒有專用的DMZ端口）。沒有一種簡(jiǎn)單方便的方法來(lái)過濾從LAN到DMZ或反過來(lái)流動(dòng)的信息流，但是單個(gè)DMZ會(huì)話鏈路可以通過“高級(jí)設(shè)置（Advanced Setup）”頁(yè)來(lái)控制�！案呒�(jí)設(shè)置”菜單中還包括一些“高級(jí)功能（Advanced Features）”，其中有一個(gè)有用的復(fù)選框，可以把SMTP信息流與兩個(gè)WAN端口之一捆綁在一起，確保發(fā)出去的電子郵件流經(jīng)合適的網(wǎng)絡(luò)。
該產(chǎn)品還包含一個(gè)具有SPI的防火墻，可以輕易阻塞不同的服務(wù)端口，但是下拉菜單僅提供6種類型的服務(wù)，相比之下，SonicWall設(shè)備的服務(wù)類型要多得多。要阻塞或打開防火墻中的端口，需要手工填寫一些表格。
QoS支持在管理上沒有很大的靈活性，但是除了Hawking的產(chǎn)品，其他所有產(chǎn)品都包含這一功能。你可以在線觀看數(shù)據(jù)轉(zhuǎn)儲(chǔ)系統(tǒng)日志，但是Xincom路由器有配置3個(gè)不同系統(tǒng)日志服務(wù)器的余地，可為用戶完成語(yǔ)法分析任務(wù)。
可在一些顯示頁(yè)上看到WAN狀態(tài)和信息流總量，但是信息更新需要點(diǎn)擊按鈕來(lái)實(shí)現(xiàn)。
由于這個(gè)設(shè)備具有易于安裝的特點(diǎn)和條理清晰的管理接口以及良好的WAN失效轉(zhuǎn)移功能，因此幾乎抵消了安全性和防火墻設(shè)置項(xiàng)有限以及設(shè)置過程不具有直覺性的缺點(diǎn)。奇怪的是，這是惟一要求用IE而回避使用Mozilla的設(shè)備。
4 Hawking H2WR54G
Hawking公司的H2WR54G體積不大。這個(gè)路由器不僅支持雙WAN鏈路，還具有一個(gè)802.11g WLAN模塊以及基本的防火墻安全性。H2WR54G是Hawking公司銷售的3款雙WAN路由器中價(jià)格最高的一個(gè)，但是在我們這次測(cè)試的產(chǎn)品中是最便宜的。
這款路由器缺點(diǎn)不少：快速安裝指南（25頁(yè)，像口袋書那么大，字體很�。┥险f，“在安裝期間我們必須提供時(shí)間服務(wù)器的IP地址”，然后該指南建議我們?cè)赪eb上查找時(shí)間服務(wù)器。但是直到在設(shè)置顯示頁(yè)上填入時(shí)間服務(wù)器IP地址以后，我們才有了到Internet的路由器。在我們見過的設(shè)置指南中，這是最進(jìn)退兩難的情況了。我們插入了另一個(gè)路由器，并針對(duì)一個(gè)有效的IP地址核對(duì)了它的時(shí)間服務(wù)器設(shè)置，但是我們不知道一般的小公司能否處理這種混亂局面。通過讓該設(shè)備的IP地址在Internet上可見，4個(gè)10/100Base-T以太網(wǎng)端口的任一端口都可以用于DMZ。它沒有QoS支持。
該設(shè)備通過選擇PC的IP地址和選擇所顯示的16個(gè)標(biāo)準(zhǔn)服務(wù)中的一個(gè)或多個(gè)服務(wù)，都能建立防火墻規(guī)則; 無(wú)法阻塞所有用戶使用MSN Messenger等應(yīng)用程序，僅能阻塞單個(gè)設(shè)備。這種級(jí)別的保護(hù)適合家庭用戶或很小型的企業(yè)用戶，但不適合對(duì)安全性非常重視的用戶。不過至少該防火墻是默認(rèn)啟動(dòng)的。它不支持企業(yè)身份驗(yàn)證，如Radius，甚或LDAP。
可通過瀏覽器進(jìn)行最低限度的管理，屏幕左邊的菜單上有模板，但是所有菜單頁(yè)都不夠詳細(xì)。只有兩個(gè)選項(xiàng)卡，一個(gè)是系統(tǒng)選項(xiàng)卡，另一個(gè)是安全性選項(xiàng)卡，但是未提供語(yǔ)法分析或說明，也無(wú)法像我們測(cè)試的其他設(shè)備那樣通過電子郵件發(fā)送日志或向系統(tǒng)日志服務(wù)器發(fā)送日志。一個(gè)有很多插圖的電子版手冊(cè)只有不到100頁(yè)。
當(dāng)我們?cè)噲D把發(fā)出的電子郵件轉(zhuǎn)到使用有線電視調(diào)制解調(diào)器的WAN1鏈路時(shí)，發(fā)現(xiàn)了第二個(gè)缺點(diǎn)。我們弄不清在管理顯示頁(yè)的什么地方配置SMTP路由，所以我們給該公司的技術(shù)支持人員發(fā)送了一封電子郵件。雖然他們?cè)诘诙煸缟匣貜?fù)了我們的郵件，但是卻告訴我們，無(wú)法向WAN鏈路路由SMTP信息流。這看起來(lái)很奇怪，因?yàn)槟繕?biāo)用戶似乎是入門級(jí)的家庭用戶、家庭辦公室和小企業(yè)，他們最有可能依靠服務(wù)提供商的電子郵件來(lái)解決問題。這個(gè)路由器的用戶必須有自己的電子郵件服務(wù)器，或者能夠通過托管服務(wù)發(fā)出郵件，因?yàn)槿绻麅蓚�(gè)WAN端口都處于使用狀態(tài)時(shí)，就不能可靠地發(fā)送電子郵件。
盡管流式音頻會(huì)話需要重新啟動(dòng)，但是WAN失效轉(zhuǎn)移和重新連接都可以實(shí)現(xiàn)。在設(shè)置為備份而不是負(fù)載均衡狀態(tài)時(shí)，從有線電視調(diào)制解調(diào)器切換到DSL鏈路的時(shí)間大約為20秒。可以開啟負(fù)載均衡功能，但是惟一的控制選項(xiàng)是一個(gè)基于數(shù)據(jù)傳送會(huì)話的百分?jǐn)?shù)。
該產(chǎn)品功能豐富但卻缺少詳細(xì)說明，價(jià)格較低，應(yīng)該受到小企業(yè)的歡迎，但是最低限度的安全性設(shè)置和管理控制會(huì)限制它的用途。
5 Fortinet FortiGate-60
FortiGate-60有4個(gè)用于局域網(wǎng)的標(biāo)準(zhǔn)10/100Base-T端口、兩個(gè)WAN端口和一個(gè)DMZ端口，其優(yōu)缺點(diǎn)之間形成了鮮明的對(duì)照。在我們測(cè)試的設(shè)備中，雖然ZyWall含有用于撥號(hào)備份的串行端口，但是FortiGate-60是惟一帶有USB端口的產(chǎn)品，這個(gè)端口為USB調(diào)制解調(diào)器備份而設(shè)。
