鉴于不少朋友出现频繁失去服务器连接，无理由长期LowID（指防火墙/路由无问题，且外网情况下，部分服务器长期LowID），甚至无法连接服务器（一般为提示“已满”或“超时”）现象，特别跑去VC把这文章淘出来转载过来，至少就个人所知，目前大多数类似问题可以用此方法得到解决或缓解，特别是ISP是电信的情况下

Ps：文中提到的俩个防火墙中，天网在不少人实际使用中无效，原因不明= =

Ps2：除文中提及的俩种防火墙以外，据个人所知，Jetico和LNS同样有IP规则过滤，一样可以达到文中的设置同等效果，但是设置方面更复杂，请慎用（个人正在使用的就是Jetico），另：Jetico防火墙的2.0.2.8版会有漏过滤的情况，原因不明，其他版本正常

Ps3：如果担心造成自己频繁断线/无法连接服务器/无理由长期LowID的原因非ISP问题，怕安装设置防火墙白费劲的话，个人建议可以根据文中提供俩篇文章参考，抓取分析数据包

2009.3.23 update：经俩位网友确认，因ISP伪造数据包造成的不明原因的HighID情况无法上传问题也可以用此方法解决

2009.4.4 update：既然有人提出了cfosspeed自带防火墙，虽然咱这边基本上没啥效果，不过咱也就顺手把相关的设置方法分享如下。打开cfosspeed目录下的settings.ini文件，在其中的[filters]栏添加以下规则：

代码

filter=-fw -rx -tcp-flags ALL RST -c drop
filter=-fw -rx -tcp-flags ALL RST,ACK -c drop

自去年年末eMule出现频繁失去连接的问题，我就经常关注这里。前些天看到一位高手在某个帖子里放了个截图（忘记是哪个帖子了），说是Reset包的问题。于是搜索一番，找到一篇名为Understanding TCP Reset Attacks, Part I的文章，看过之后对Reset Attacks有了一定的了解；看了另一篇名为《电信网页访问监控原理分析！》的帖子，决定自己动手试试，看看能否找出原因。
（上述两篇文章的地址分别为：
http://kerneltrap.org/node/3072
http://www.csna.cn/viewthread.php?tid=68&extra=page%3D3
感兴趣的朋友可以看看）
eMule连接服务器时抓取eMule所用TCP端口的数据包，如下图：
[img=600,176]http://img.verycd.com/post_thumbs/0801/post-452205-1201417023_thumb.jpg[/img]
请注意图中来自Razorback 3.0(85.17.52.92)的数据包,有两个数据包序列号相同；且同一个服务器返回的两个数据包生存时间差别如此之大，表示它们经过的路由存在较大的差异，这与正常通讯的状态明显不符；第3个数据包的确认号错误，由此我们怀疑第3个数据包可能是某个主机伪造的。这个数据包的TCP标志为ACK、RST，正是它导致连接被终止。

在eMule连接上服务器之后还能抓到很多TCP标志为ACK、RST和RST的数据包。找到了凶手，我就开始考虑用防火墙把它们拒之门外。我的电脑上安装的是瑞星个人防火墙，它的IP规则可以指定TCP数据包标志，但是帮助里没有说明勾选的TCP标志之间的关系是且还是或，所以失败了好多次。与客服联系，回复说TCP标志之间是“或”的关系，这就不明白了……
(IMG:http://img.verycd.com/posts/0801/post-452205-1201417074.jpg)
换用天网防火墙测试，通过观察它的日志，了解了它的TCP标志之间是且的关系，也就是说，要创建两条TCP规则才能过滤掉以上两种数据包。创建好规则后，可以在日志中看到两条规则在努力工作。
(IMG:http://img.verycd.com/posts/0801/post-452205-1201417102.jpg)
启用这两条规则前：
(IMG:http://img.verycd.com/posts/0801/post-452205-1201417209.jpg)


启用后：
(IMG:http://img.verycd.com/posts/0801/post-452205-1201417242.jpg)


*****************************************************************************
添加规则方法
瑞星个人防火墙：
在“详细设置”、规则顺序里选择“IP规则优先”。
[img=600,450]http://img.verycd.com/post_thumbs/0801/post-452205-1201417750_thumb.jpg[/img]
然后导入附件中的IP规则或按照如下步骤自行添加规则。
在IP规则内添加两条规则：名称任意，匹配动作“禁止”；计算机地址为“所有地址”、“任意地址”；协议为TCP，端口为所有端口，勾选指定TCP标志，两条规则分别勾选ACK+RST、RST。


天网防火墙个人版：
在IP规则中导入附件中的IP规则或按如下步骤自行添加规则。
名称任意，数据包方向“接收”；对方IP地址“任何地址”；数据包协议类型“TCP”；两条规则的TCP标志位分别选ACK+RST、RST。
(IMG:http://img.verycd.com/posts/0801/post-452205-1201418065.jpg)


*****************************************************************************
以上只是自己发现的方法，我对网络方面的知识很缺乏了解，不清楚这样做的负面影响是什么。如有错误，还请高手斧正。
另外，如果防火墙记录了日志，可以看到大量的这种数据包，不只是与服务器连接时才有。不知道是不是与其他客户端连接时也受到了干扰。




Jetico防火墙下的设置方法图在17L

本帖最后由 DefendSarajevo 于 2008-12-6 17:49 编辑

非常好的帖子，雪中送炭啊，学习了，谢谢楼主！！！
话说如果在VC那种环境下，还真不知何时才能有机会看到这样的帖子。bbs vs. group，很怪异的。

再看一遍，实验实验，呵呵

ps: 楼主，爱死你了啦，哈哈:110)
-----------------------------------------------------------------------------------------------------

楼主的帖子是好帖，可是我在金山网镖下无法复制此法，不知谁还有高招？？:80)

本帖最后由 DefendSarajevo 于 2008-12-3 07:25 编辑

好像不对啊，楼主你做过测试了吗，我在我的金山网镖里照例添加ip规则，但结果让人 大跌眼镜
而且感觉帖子讲的还是有点不好懂啊，唉，我太菜了没办法
看来还得再恶补一下才行.......

天，人 大居然也会被 议会 了，这个也太................:87)

TCP数据报头的这六个标志位。

URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断

ACK：（Acknowledgment field significant）置1时表示确认号（Acknowledgment Number）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。

PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。

RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。

SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时， SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。

FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。

我用金山2年了，还好金山网镖从来没有这种蠢事。

A大说的是哪种蠢事啊？

没有问题
不过 要过来支持下你的帖子

问下.内网上如何也经常出现这种重新连接服务器的现象

我是指防火墙导致LOW ID。。。。。。。。。。

不明白！金山网镖用了后骡子就没速度了。

没用过金山网镖～所以无法做出实际性建议～抱歉= =

不过话说咱用Jetico有效加载俩个规则以后，从年初到现在速度都很正常，所以应该不是方法本身造成EM无速度

11# leon911

请问用Jetcio 怎么设置

一群高人啊。

我用微点不用设置。

嗯，这个应该看看——感谢LZ啦！

支持下，是好帖！

我在x64 08系统下就出现像楼主说的情况了，一个服务器都连不上，老说超时，找不出原因，就用回 x64 vista了，问题就解决了

应某人要求贴下两个规则在Jetico防火墙下的设置图

附加图片

 

本帖最后由 loxuve 于 2009-1-10 00:07 编辑

请教楼主如何在ZoneAlarm Pro 下添加这两个规则，好象没处可设TCP标志？
还有就是我这的情况不是服务器一连上就立即断开，而是过一段时间后才失去连接，又重新连接，如此不停重复，是否也是这个原因？多谢了。
另外，对emule而言，接收端口只要设成emule的侦 听端口就可以了吧，你看上面有张贴图里，本机端口都是同一个的。因为有可能还有其它程序的有用的TCP ACK、RST包吧？

ZA、OP、COMODO等貌似不支持IP规则设置来着..........................

如果你的ISP是电信的话，多半也是这个原因，不过如果不是失去连接很频繁的话，那就应该是正常情况

电骡打开的端口很多的，楼主的方法好像行不通，使用天网防火墙电骡没有上传和下载了，期待高手解决......

目前为止，尝试了约1小时左右，看统计挺好的，适合我。

呃？ 如果用D-Link 路由 是不是也能解决这个问题哪？ 还是没有太明白 其中的原理

本帖最后由 5460 于 2009-1-21 22:05 编辑

哈哈，我的帖子啥时候被转来的，我都没注意:lol

我已经很久受收到这种“干扰”了，不过最近又开始了。目前使用瑞星的防火墙，添加拦截RST+ACK的那个规则(仅使用这一条规则)，eMule可以恢复正常。端口要选“所有端口”，仅对eMule设置里使用的端口施加保护，还是不正常。

我的网络是辽宁电信，其他地区的情况很可能不符合上述内容。:P


PS:看到好像有朋友误解了帖子的内容。2007年末的某个时间，我的eMule连接服务器突然变得不正常，当时很多朋友也遇到了类似的问题，分析结果表明，ISP作怪的可能性最大。2008年的时候，自己用这种方法，效果不错，就写出来了。并不是安装了防火墙才导致eMule连接服务器异常的。

另外说添加规则后eMule没有速度的朋友，请试试不添加这两条规则，仅使用防火墙的默认规则，eMule是否有速度。理论上说，不管使用哪种防火墙，只要它支持这种IP包过滤，这条规则的效果都是一样的。

我系统还是用自带的XP防火墙。去年年末那段时间，一般都是白天好好的，HighID，服务器也都能连上。但是到了晚上就频繁提示失去连接和无法连接服务器。那段时间用的是VeryCD版（不是easyMule），后来换了MagicAngel，就好多了。我家里是沈阳网通的ADSL。

本帖最后由 leon911 于 2009-1-21 18:31 编辑




呵呵～大多数电信用户都有这种问题，相对应的网通（貌似现在改名联通来着）就很少........................所以基本上不是地域问题，而是ISP本身问题................垄断真该死= =

另外，这方法如咱在转帖引言里说的，确实最开始只是为了缓解频繁失去链接的问题，但是实际使用中发现，对ISP伪造数据包造成的无法连接服务器（提示“已满”）和同原因的连上服务器后LowID同样有效

建议各位动手前先保证看懂了
重要的不仅是加标识，而是TTL的值域，RST+ACK是普通的标识，如一律阻拦会影响正常应用，真正异常的不是标识，而是TTL,错误的值比正常的要高2--3倍左右
比较好的做法是用科来抓包一天，找到各自环境中TTL异常的值域，然后再加标识，用JETICO或LNS能轻松搞定
这要相当的操作经验，没有推广的可能，如果不会抓包的话就不要单纯加标识，这篇文章有误导之嫌

不知道说啥好，这算“众人皆醉我独醒”的典范么～Orz

可以负责任的说，LS您说的TTL值的“重点”很多人都清楚（当然包括我自己），而大家在说明“应对ISP伪造数据包”几乎不提及用TTL处理的原因如下：

1.如您所说，如果加入TTL的话，需要较高的知识/操作水平，很难推广

2.就我个人偶尔无聊抓包来看，从前年底ISP开始伪造数据包到现在，伪造数据包的TTL每次的变化都不小（原因是这类通过ISP节点不尽相同，造成TTL变化，另外还可能有ISP本身设备---包括节点设备----更新/更换的原因，网络设备方面了解不多，就不卖弄了），当然您可以说用范围值的方式来设置，不过一来这样照样会误屏蔽数据包（也许量上会少点），二来还可能因为伪造的数据包TTL变化的原因造成漏屏蔽........................而且就咱自己来说，咱是懒人，时不时的抓包分析做不到，除非我有病！！！更别说爱方便的一般eMule使用者了

3.俩个规则（因为我用的是Ietico，所以只说在Jetico下的状况），例如RST规则(FIN0 SYN0 AST1 PSH0 ACK0 URG0 ECE0 CWR0)只代表数据包中只含有RST标志，而不含有其他所有标志时，就对数据包屏蔽（而不是不管有没有其他标志，只要有RST标志就屏蔽），实际上屏蔽的数据包量真的少的可怜= =..........................举例来说，咱个人一般24小时挂着EM上传，要是不使用俩个IP规则的话，平均链接数保持在70～100左右，而使用规则后，链接数则在150～180左右，使用俩个规则一年多来丝毫没感觉到对平时网络使用有啥影响= =


还有些理由咱也就懒得打字了，虽然这帖子只是咱转来的，但是也请LS别自以为是的乱扣“误导”的帽子，另外咱个人看法，希望深入研究的人，自然会根据文章最开头的提示研究“生存时间”（也即是TTL），而更多的一般用户只会按着帖子照做（如果帖子上的方法一开始就整合了TTL的话，咱估计唯一的结果就是半数本来愿意照说明解决问题的使用者因为嫌麻烦放弃，说夸张点因为LS您的不“误导”换用更“简单”还不用伪造数据包影响的吸血雷）...........................

嗯, 這也不失為一種好的解決方案.

北方的电信还是可以的，都是high id。。

暂时的吧！还很便宜，刚来还没站稳脚跟，时间长了就不好说了.