当前公司局域网网络攻击事件时有发生，危害最大的当属DDOS攻击（拒绝服务攻击）、局域网ARP攻击、局域网广播攻击等，这些网络攻击轻者会导致局域网上网速度很慢、网速很慢，重者则导致局域网出现掉线、断网现象。为此，计算机网络管理员必须采取有效的举措防止DDOS攻击、防范拒绝服务攻击、防止ARP攻击、查杀ARP木马等。网管们对网络攻击并不陌生，就是网吧拒绝服务攻击，这个网络攻击技术对网吧电脑系统产生的作用是很大的。是一种滥用资源性的攻击，本篇主要谈到的是网吧拒绝服务攻击防范措施。

1、增加SYN缓存法

修改SY缓存大小是通过注册表的相关键值完成的。我们将为各位读者介绍在WINDOWS2003和2000中的修改方法。

第一步：“开始->运行->输入regedit”进入注册表编辑器。

第二步：找到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices，在其下的有个SynAttackProtect键值。默认为0将其修改为1可更有效地防御SYN攻击。

第三步：将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下EnableDeadGWDetect键值，将其修改为0。该设置将禁止SYN攻击服务器后强迫服务器修改网关从而使服务暂停。

第四步：将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下EnablePMTUDiscovery键值，将其修改为0。这样可以限定攻击者的MTU大小，降低服务器总体负荷。

第五步：将HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下的KeepAliveTime设置为300,000，将NoNameReleaseOnDemand设置为1。

2、BANIP地址法

BANIP地址法对于DOS攻击来说这种方法非常有效，因为DOS往往来自少量IP地址，而且这些IP地址都是虚构的伪装的。在服务器或路由器上屏蔽攻击者IP后就可以有效的防范DOS的攻击。不过对于DDOS来说则比较麻烦，需要我们对IP地址分析，将真正攻击的IP地址屏蔽。

此外，局域网内通过修改IP地址、修改MAC地址而发动IP地址冲突攻击的行为也经常发生，同时员工随意修改IP地址、随意修改MAC地址也可能导致IP冲突等造成局域网电脑无法上网、掉线等现象。AnyView（网络警）网络监控软件还集成了实时查看局域网电脑、查看局域网IP地址、查看局域网MAC地址的功能，同时还可以绑定IP和MAC地址，防止修改IP地址、禁止修改MAC地址、禁止员工修改IP等行为，从而进一步加强局域网安全防护，保护局域网网络的规范和稳定。

在企业局域网中，经常有员工上班时间使用各种P2P软件进行下载，例如流行的迅雷下载、迅雷看看、快车下载、QQ旋风下载、PPlive网络电视、PPS影音、QQ直播、酷狗音乐、vagaa画时代、PPTV、UUSEE等。这些P2P下载软件、P2P视频软件的一个共同特点就是大量消耗单位的网络带宽，挤占了公司其他网络应用的上网流量，导致局域网网速很慢、电脑上网很慢。笔者无意者发现了当前主流P2P下载、P2P网络电视和P2P网络视频的传输端口，并且发现禁用P2P端口的方式也可以在一定程度上禁止P2P下载、禁止P2P视频，从而可以防止P2P软件抢流量、防止抢局域网带宽、防止抢局域网网速的行为，保证局域网电脑公平、合理、适度上网，保证企业关键网络应用的正常进行。

知道这些P2P软件端口之后，我们就可以通过路由器禁止P2P下载、禁止P2P视频，具体方法就是启用路由器的ACL访问控制列表，然后将这些P2P软件的端口都添加进去即可实现封堵P2P下载。当然，如果你觉得通过路由器限制P2P软件的方式较为复杂，也可以借助专业的局域网网络管理软件、上网行为控制软件——AnyView（网络警）网络监控软件（官网: http://www.amoisoft.com/），来实现，更为简单和有效。AnyView（网络警）网络监控软件集成了当前所有流行的P2P下载软件和P2P网络电视软件，用户只需要点击鼠标就可以完全封堵，更直接、更方便。

主流P2P下载软件和P2P视频软件的端口列表：(更新几个常见软件端口与IP)
(1)讯雷
端口:3077 3076
I P: 202.96.155.91, 210.22.12.53 61.128.198.97

(2)网络精灵(NetFairy 2004)
端口:7777, 7778,11300,
I P: 61.134.33.5, 61.233.75.13, 61.138.213.251,
222.240.210.68, 61.177.95.140, 61.177.95.137
(3)电骡
端口:4662,4661,4242
I P:62.241.53.15
(4)酷狗
端口:7000,3318
I P: 218.16.125.227 61.143.210.56 218.16.125.226
61.129.115.206 61.145.114.33
(5)比特精灵:
端口:16881
(6)宝酷
端口: 6346
I P: 61.172.197.196 218.1.14.3 218.1.14.4 218.1.14.9
61.172.197.209 61.172.197.197 218.1.14.5 218.5.72.118
61.172.197.196

(7)百事通下载工具
端口:
I P: 61.145.126.150

(8)百度MP3下载
端口:
I P: 202.108.156.206

(9)PTC下载工具
端口:50007
I P:
(10)eDonkey2000下载工具
端口:4371 4662
I P: 62.241.53.15 62.241.53.17

(11)Poco2005
端口:8094 2881 5354
I P: 61.145.118.224 210.192.122.147 207.46.196.108
(12)卡盟
端口:3751 3753 4772 4774
I P: 211.155.224.67
(13)维宇RealLink
端口:
I P: 211.91.135.114 221.233.18.180 61.145.119.55 221.3.132.99
(14)百宝
端口: 3468
I P: 219.136.251.56 61.149.124.173

(15)百花PP
端口: 5093
I P: 221.229.241.243
快递通
端口:
I P: 202.96.137.56

(16)酷乐
端口:6801 6800 7003
I P:218.244.45.67 220.169.192.145
(17)百度下吧
端口: 11000
I P: 202.108.249.171
(18)百兆P2P
端口: 9000
I P: 221.233.19.30

(19)石头(OPENEXT)
端口:5467 2500 4173 10002 10003
I P:66.197.13.166 210.22.12.245 69.93.222.56

(20)iLink 1.1
端口：5000
I P：
(21)DDS
端口：11608
I P：210.51.168.13 211.157.105.252 212.179.66.17
(22)iMesh 5
端口：4662
I P：212.179.66.17 212.179.66.24 38.117.175.23
(23)winmx
端口：5690
I P：64.246.15.43
(24)网酷
端口：2122
I P：211.152.22.9 211.152.22.101 221.192.132.29
(25)PPlive网络电视
端口：UDP 4004
端口：TCP 8008
端口如果没有说明，均为tcp

最直接的办法，把系统不用的端口都关闭掉，然后从新启动，如果瑞星还提示有漏洞攻击，你没法子了，注:关闭的端口有，135，137，138，139，445，1025，2475，3127，6129，3389，593，还有tcp.

具体操作如下:默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。

为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有:TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口(如 TCP 2745、3127、6129 端口)，以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口:

第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名;再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。

第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口;在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。

第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”;点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135(RPC)端口的筛选器，它可以防止外界通过135端口连上你的电脑。

点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。

重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。

第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作:在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。

第五步、进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框;最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。

于是重新启动后，电脑中上述网络端口就被关闭了，病毒和黑客再也不能连上这些端口，从而保护了你的电脑。目前还没听说有补丁下载。

不过，总体而言，通过路由器屏蔽P2P下载、路由器控制P2P视频的行为一方面设置较为复杂，另一方面一些P2P软件也很难通过路由器关闭P2P软件端口的方式来封堵（比如迅雷），这种情况下必须借助专业的上网行为控制软件、网络管理系统来实现了。AnyView（网络警）网络监控软件是一个不错的选择，有兴趣的网友可以从他们的官网www.amoisoft.com下载试试看。