针对现在越来越多的中小型企业对局域网内部客户端的应用控制和ARP病毒的广泛传播，NETGEAR FVX538/FVS338 BETA版本开始支持IP/MAC 地址的绑定功能，我们现在可以通过更新FVX538/FVS338 的Firmware并设置IP/MAC绑定，有效地防止ARP欺骗病毒，同时，更能有效地针对局域网内的客户机进行应用的控制。下面我们将通过FVX538的实例介绍FVX538/FVS338如何实现IP/MAC绑定及通过规则进行控制，希望对大家有所启发，我们将通过以下例子对该功能进行介绍：

配置实例说明：

测试软件版本:V3.0.0-13，该版本为FVX538 NETBAR的测试版本

IP规划：

FVX538 LAN IP：192.168.100.1/24

              WAN IP：58.62.221.131/29

PC1：192.168.100.2/24
PC2：192.168.100.10/24
PC3：192.168.100.6/24
PC5：192.168.100.254/24
PC6：192.168.100.8/24
PC7：192.168.100.100/24

拓扑图如下所示：

实现的功能如下：

1、PC1只能访问Web以及收发邮件，其它应用均受到限制；

2、PC2只能访问某个特定的网站，其它网站以及服务均不能使用；

3、PC3将不受到任何限制，所有网络资源均可访问；

4、除以上PC外，其它所有的PC将不能访问Internet的任何服务；

目录

1、下载最新Firmware升级

2、IP/MAC地址绑定设置

3、设置限制IP规则

实施步骤：

一、下载最新Firmware升级：

FVX538/FVS338 网吧的测试版本V3.0以及V2.1.3-12~16的版本均支持IP/MAC地址的绑定功能，因此，在设置IP/MAC地址绑定之前需升级至V3.0或V2.1.3-12~16等软件版本，若没有该Firmware可打电话至020-83918601或Email至：tech@netgear.com.cn需索软件，详细的升级说明请参照以下链接：

http://www.netgear.com.cn/support/release_notes/d20041.asp

二、IP/MAC地址绑定设置：

升级完成后进入我们首先设置FVX538通过光纤正常上网，然后登陆到FVX538的管理界面，点击Network Configuration>LAN Settings>LAN Groups设置页面，点击select all 选中所有已发现的PC设备，然后点save binding即可，如下图所示：

若在IP/MAC绑定设置中没有找到局域网内的PC，那只需在下面的设置页面中添加对应的PC即可，如下图所示：

IP/MAC绑定设置成功后，我们即可进去Security>Address Filter>IP/MAC Binding进行查看绑定的PC，另外，你也可以进到该页面对MAC进行绑定，即在该页面的Add IP/MAC Binding中添加要绑定的PC的地址信息并点击应用即可，如下图所示：

IP/MAC地址绑定设置完成后，我们即可以对该规则进行设置。

三、设置限制IP规则：

1．调整默认的输出规则：

在默认的情况下，局域网内的所有PC都能通过FVX538上网的，因此，我们首先要对“Default Outbound Policy”设置进行调整，即把选项Allow Always改为Block Always，然后点apply 即可，修改完成后，局域网内的所有PC均不能上网访问任何资源，如下图所示：

2．添加DNS协议输出规则：

点击在“Outbound Services”下面的add添加按钮，添加新的服务，为了使部分PC有正常访问INTERNET，我们需把服务DNS(UDP：53，TCP：53)允许出去，以确保DNS的解释能正常工作，如下图所示：

注意：DNS主要应用的端口是UDP端口，但TCP端口也是必须的。

3．添加应用服务规则：PC1只能访问Web以及收发邮件，其它应用均受到限制；

1）允许PC1(192.168.100.2/24)可以访问Web服务，配置如下图所示：

2）允许PC1(192.168.100.2/24)可以收发邮件，只需添加POP3 和SMTP服务即可，配置如下图所示：

3．添加特殊应用规则：PC2只能访问某个特定的网站，其它网站以及服务均不能使用；

在配置该规则时，只需针对WAN Users选为Single Address并设置指定的网站的公网IP地址即可，注意：若该网站是一个大型的网站，并有多个公网IP地址时，该功能失效，配置如下图所示：

4、添加VIP用户：PC3将不受到任何限制，所有网络资源均可访问；

只需针对LAN Users选为Single Address并输入该PC的IP地址即可，配置如下图所示：

完成以上配置后，上面所要实现的规则均已实现，由于我们已设置了IP/MAC地址的限制，因此，即使局域网内的用户想通过更改为其它的IP地址，仍然不能上网访问资源。整个设置配置如下图所示：