隨著國內 Internet 的普及和信息產業的深化，近幾年寬帶網絡的發展尤為迅速。做為寬帶接入重要的客戶群體-網吧，每天聚集著數量眾多的網迷和潛在的資源。 目前網吧的建設日益規模化，高標準化，上百臺電腦的網吧隨處可見，網吧行業開始向產業化過渡。在未來的日子，網吧多樣化經營的收入將成為影響網吧生存的要素，經營者也只有提供更多增值服務才能獲得更大效益。

目前網民在網吧中運行的程序也從早期的僅提供網頁瀏覽，文本聊天，查詢資料等應用發展到今天要提供視頻聊天，影視服務，競技游戲等日益復雜的應用，同時網民在上網的同時還附帶了大量的其他消費，而這些銷售也給網吧提供了更多的收益。通過對網吧主要收入的分析，我們發現網吧的主營收入基本是由網民的上網費及上網中產生的其他消費組成，而這些收入無不與網吧良好穩定的網絡相關。網吧的核心競爭力無疑是強大的網絡應用和多元化的增值服務，如果沒有網絡平臺的強力支持，上層的核心競爭力是無法保證的，最終也是導致網吧盈利受損。

本文將針對目前網吧常見的網絡問題及解決方法進行介紹，希望對各位在日常的經營中有所幫助。

首先我們先對網吧常見的網絡問題進行一些初步的了解，目前網吧的網吧常見的問題可以分成三類：1、網民的信息失竊、虛擬貨幣丟失，2、網吧的網絡遭受攻，3、網吧的帶寬利用率低。這三類問題分別對應這網民的各人信息、財產的安全，網吧的出口和內部服務器的穩定，網絡游戲、電影、PC運營慢的問題，這些問題已經大范圍的影響了網吧日常的經營，下面我們將對每個不同的問題進行詳細的介紹。

1.網民的信息失竊、虛擬貨幣丟失問題

在近幾年對網民的調查中發現很多網民在網吧上網后丟失了游戲賬號、游戲中的物品，QQ賬號被盜、Q幣丟失，銀行帳號、股票賬號丟失等。因虛擬貨幣丟失而引起的訴述和商業糾紛在2007年已經成一個社會各界關注的問題，網吧作為為眾多人員提供上網的文化娛樂場所，已經被眾多的不法份子當作一個盜竊他人虛擬貨幣的平臺。而這一切的盜取虛擬貨幣的行為大多都依賴于一個名叫ARP欺騙的病毒，由ARP欺騙引起的虛擬貨幣盜竊行為，會修改受害者與出口路由器的映射關系，將所有向外發送的數據轉向由盜竊者控制的電腦，通過截取其中的用戶名和密碼來實現盜取受害者虛擬貨幣的目的，同時ARP欺騙還將造成受害者無法上網的情況。

目前針對這種有ARP欺騙導致的虛擬財產失竊問題，常見的解決方法有：“雙向ARP綁定，安裝ARP綁定、過濾軟件，通過交換機過濾ARP欺騙”三種。

1.1 雙向綁定

其中雙向綁定是過去比較常用的一種方法，它在路由器或者ROS代理服務器上上綁定內網所有PC的IP地址和MAC地址，在每一臺PC上綁定網關的IP地址和MAC地址，形成一個相對固定映射關系來防止ARP欺騙。這種做法對過去的ARP病毒是有效的，隨著ARP病毒的演進，新的ARP病毒會在系統運行過程中刪除PC的ARP綁定，此時雙向綁定將失效，所以眾多網吧在雙向綁定后依然出現個人數據、財產被盜取的事件。

1.2 安裝防ARP欺騙軟件

在雙向綁定失效后，網吧中有出現了一種安裝防ARP欺騙軟件的方法來解決這一類的問題。該方法在PC上安裝ARP FIX或Anti-ARP等類似功能的軟件，該類型軟件先在PC上綁定路由器正確ARP映射，同時通過監控網卡的數據，攔截其中的ARP欺騙報文，來實現對ARP欺騙的防御。隨著這類型軟件的流行，新的盜號人士通過修改病毒代碼，使ARP病毒可以通過修改注冊表和進程管理器，直接停止該類型程序的運行，更有甚者可以對防御軟件其進行卸載，使得這類型的軟件失去效果。同時由于該類型軟件應修改了操作系統底層內核，加大了系統消耗，使PC的性能降低。另外如果AntiARP驅動不穩定，將會導致用戶計算機輕則不能上網，重則系統崩潰。AntiARP驅動在系統0層運行，其實用戶相當于將全部權限給了AntiARP，如果這個軟件萬一染毒，任何殺毒軟件都無效。(殺毒軟件的權限最高也只有0層)。

1.3 通過交換機過濾ARP欺騙

在經過雙向綁定和、安裝防ARP欺騙軟件之后，目前網吧中出現了另一個依靠硬件的防ARP方法。這種方式在交換機生成每臺PC的IP、MAC關系映射表，通過交換機自身的ARP過濾模塊，過濾每個端口下連接的PC發出的ARP報文。交換機只轉發擁有正確映射關系的ARP報文，對所有IP或MAC不對應的ARP報文自動丟棄。該處理方法無需對PC進行任何操作，節省了PC的資源。

2. 網吧網絡遭受攻擊的問題

隨著網吧行業競爭的日益激烈，網吧的網絡被人惡意DDoS攻擊已經不再是新聞。網吧的網絡設備如果遭到惡意的攻擊，將導致網絡無法使用，若攻擊網吧的服務器則會使游戲服務器無法流暢運行，電影服務器播放視頻斷斷續續，無盤服務器無法工作，導致無盤網吧停業，計費服務器無法正常工作，客戶機認證、結賬出現問題。

針對網吧的網絡攻擊又可以分為針對路由器的和針對內網服務器、交換機的兩種。

2.1 針對路由器的DDoS攻擊

其中針對路由器的攻擊會導致網吧的出口癱瘓，而目前路由器常見的防DDoS攻擊的方法有三種：1、計數器法，2、協議分析法，3、協議分析+計數器。

2.1.1 計數器法

計數器法通過端口計數器與事先設置的閥值，限制外網口收到的所有數據(無論是否由內網引發)，該方法抗攻擊能力較強，普通路由器器都能有10M以上的能力。但是該處理方式粗放，一旦端口上的數據量達到設定的閥值就進行全局限速，進而影響全局的應用。

2.1.2 協議分析法

協議分析法對各種DDoS攻擊方式進行協議級的分析，通過CPU判斷所有經過端口的報文，若報文匹配內置的協議分析器，CPU將對攻擊報文進行過濾，但是該處理方法消耗大量CPU資源，如果CPU性能不強將導致整體抗攻擊性能不佳。

2.1.3 協議分析+計數器法

協議分析+計數器法，該處理方法兼有協議分析法的精確與計數器法的性能，它對所有非內部引起的連接進行監控及協議匹配，并對其進行嚴格的計數控制，同時該處理方法還修改了TCP/IP協議棧，加強了抗DDoS能力，目前該處理方式可支持的DDoS攻擊協議分析已達10種以上。

2.2 針對內網服務器和交換機的DDoS攻擊

針對內網服務器和交換機攻擊常見的防御方法也有三種：1、關鍵設備前架設防火墻，2、在PC上安裝過濾軟件，3、通過交換機過濾DDoS攻擊。

2.2.1 關鍵設備前加設防火墻

關鍵設備前加設防火墻，過濾內網PC向關鍵設備發起的DDoS攻擊，該方法在每個核心網絡設備如核心交換機、路由器、服務器前安裝一臺硬件防火墻，防護的整體成本過高，使得該方案無法對網吧眾多關鍵設備進行全面的防護，目前2-3萬元左右的防火墻整體通過能力與防護能力在60M左右。

2.2.2 在PC上安裝過濾軟件

在PC上安裝過濾軟件，PC成為軟件防火墻過濾PC發出DDoS報文，一般這類軟件稱自己為防水墻。它與ARP防御軟件類似，通過監控網卡中所有的報文，并將其與軟件自身設定的內容進行比對。受限于軟件自身的處理能力，該類型的軟件一般僅過濾TCP協議，而對網吧中大量游戲、視頻應用使用的UDP、ICMP、ARP等報文不做過濾。由于過濾的報文數量眾多且持續不斷，對PC的性能造成了影響嚴重，經過測試在30-40M流量下，由于過濾軟件的原因很容易導致PC的CPU使用率超過90% 。

2.2.3 通過安全交換機過濾網絡中所有的DDoS攻擊

通過安全交換機過濾網絡中所有的DDoS攻擊，該方法類似于對ARP的防御方法，通過交換機內置硬件DDoS防御模塊，每個端口對收到的DDoS攻擊報文，進行基于硬件的過濾。同時交換機在開啟DDoS攻擊防御的同時，啟用自身協議保護，保證自身的CPU不被DDoS報文影響。目前已知的，通過交換機可以過濾TCP SYN、UDP SYN、ICMP SYN、Land等常見DDoS攻擊，基本涵蓋了網吧中常見的各種DDoS攻擊。利用交換機防御DDoS攻擊，防御效率高，對PC和網絡無影響，是目前最經濟高效的防御方式。