博文
Cisco路由器封锁BT新法介绍(2006-10-31 02:45:00)
摘要：网上还有很多朋友在寻找封锁BT的方法，都是比如封端口，封网站地址，使用CISCO模块等等，这些都加大了路由器的工作量。 现在我介绍一种方法，使用路由将客户端访问BT发布服务器的流量丟弃，客户端连接不上BT发布服务器，则不能获取PEER。 该方法的基本思路如下： 1.在路由器上创建一个空接口 2.制订一条静态路由，将访问BT发布服务器的流量都引向该空接口。这样实际上等于丟弃了该流量。 配置示例：（以思科为例） 1.进入特权模式 Router>enable 2.进入配置模式 Router#conf t 3.创建一个空接口 Router(config)#int null 0 4.退出接口配置模式 Router(config-if)#exit 5.创建一条静态路由，将指向BT发布服务器的流量引向该空接口 Router(config)#ip route BT发布服务器的IP 255.255.255.255 null0 6.退出配置模式 Router(config)#end 7.保存配置 Router#copy run start ......
ARP防护软件(2006-09-16 22:15:00)
摘要：http://www.ttian.net/website/2005/0701/20.html......
交换机网络安全策略全方位解析(2006-08-02 13:52:00)
摘要：交换机在企业网中占有重要的地位，通常是整个网络的核心所在。在这个黑客入侵风起云涌、病毒肆虐的网络时代，作为核心的交换机也理所当然要承担起网络安全的一部分责任。因此，交换机要有专业安全产品的性能，安全已经成为网络建设必须考虑的重中之中。安全交换机由此应运而生，在交换机中集成安全认证、ACL（Access Control List，访问控制列表）、防火墙、入侵检测甚至防毒的功能，网络的安全真的需要“武装到牙齿”。 安全交换机三层含义 交换机最重要的作用就是转发数据，在黑客攻击和病毒侵扰下，交换机要能够继续保持其高效的数据转发速率，不受到攻击的干扰，这就是交换机所需要的最基本的安全功能。同时，交换机作为整个网络的核心，应该能对访问和存取网络信息的用户进行区分和权限控制。更重要的是，交换机还应该配合其他网络安全设备，对非授权访问和网络攻击进行监控和阻止。 安全交换机的新功能 802.1x强安全认证 在传统的局域网环境中，只要有物理的连接端口，未经授权的网络设备就可以接入局域网，或者是未经授权的用户可以通过连接到局域网的设备进入网络。这样给一些企业造成了潜在的安全威胁。另外，在学校以及智能小区的网络中，由于涉及到网络的计费，所以验证用户接入的合法性也显得非常重要。IEEE 802.1x 正是解决这个问题的良药，目前已经被集成到二层智能交换机中，完成对用户的接入安全审核。 802.1x协议是刚刚完成标准化的一个符合IEEE 802协议集的局域网接入控制协议，其全称为基于端口的访问控制协议。它能够在利用IEEE 802局域网优势的基础上提供一种对连接到局域网的用户进行认证和授权的手段，达到了接受合法用户接入，保护网络安全的目的。 802.1x协议与LAN是无缝融合的。802.1x利用了交换LAN架构的物理特性，实现了LAN端口上的设备认证。在认证过程中，LAN端口要么充者，要么扮演请求者。在作为认证者时，LAN端口在需要用户通过该端口接入相应的服务之前，首先进行认证，如若认证失败则不允许接入；在作为请求者时，LAN端口则负责向认证服务器提交接入服务申请。基于端口的MAC锁定只允许信任的MAC地址向网络中发送数据。来自任何“不信任”的设备的......
Trunk（端口汇聚）的概念与设置(2006-08-02 13:47:00)
摘要：【→1←】 在二层交换机的性能参数中，常常提到一个重要的指标：TRUNK，许多的二层交换机产品在介绍其性能时，都会提到能够支持TRUNK功能，从而可以为互连的交换机之间提供更好的传输性能。那到底什么是TRUNK呢？使用TRUNK功能到底能给我们带来哪些应用方面的优势？还有在具体的交换机产品中怎样来配置TRUNK。下面我们来了解一下这些方面的知识。 一、什么是TRUNK？ TRUNK是端口汇聚的意思，就是通过配置软件的设置，将2个或多个物理端口组合在一起成为一条逻辑的路径从而增加在交换机和网络节点之间的带宽，将属于这几个端口的带宽合并，给端口提供一个几倍于独立端口的独享的高带宽。Trunk是一种封装技术，它是一条点到点的链路，链路的两端可以都是交换机，也可以是交换机和路由器，还可以是主机和交换机或路由器。基于端口汇聚（Trunk）功能，允许交换机与交换机、交换机与路由器、主机与交换机或路由器之间通过两个或多个端口并行连接同时传输以提供更高带宽、更大吞吐量， 大幅度提供整个网络能力。 一般情况下，在没有使用TRUNK时，大家都知道，百兆以太网的双绞线的这种传输介质特性决定在两个互连的普通10/100交换机的带宽仅为100M，如果是采用的全双工模式的话，则传输的最大带宽可以达到最大200M，这样就形成了网络主干和服务器瓶颈。要达到更高的数据传输率，则需要更换传输媒介，使用千兆光纤或升级成为千兆以太网，这样虽能在带宽上能够达到千兆，但成本却非常昂贵（可能连交换机也需要一块换掉），更本不适合低成本的中小企业和学校使用。如果使用TRUNK技术，把四个端口通过捆绑在一起来达到800M带宽，这样可较好的解决了成本和性能的矛盾。 二、TRUNK的具体应用 TRUNK（端口汇聚）是在交换机和网络设备之间比较经济的增加带宽的方法，如服务器、路由器、工作站或其他交换机。这中增加带宽的方法在当单一交换机和节点之间连接不能满足负荷时是比较有效的。 TRUNK 的主要功能就是将多个物理端口（一般为2－8个）绑定为一个逻辑的通道，使其工作起来就像一个通道一样。将多个物理链路捆绑在一起后，不但提升了整个网络的带宽，而且数据还可以同时经由被绑定的多个物理链路传输，具有链路冗余的作用，在网络出现故障或其他原因断开其中一条或多条链路时，剩下的链路还可以工作。但在VLAN......
MAC地址的访问控制(2006-08-01 01:14:00)
摘要：在网络管理工作中，常常会碰到这样的情况：某些用户违反管理规定，私自修改自已的IP地址，以达到访问受限资源的目的。这样的行为，不但破坏了信息安全规则，还可能因为地址冲突引起网络通讯故障。 网管管理员可能会试图使用如后文所述的各种技术手段来解决这一问题，但效果不一定很理想：首先技术手段无法完全阻止这种现象的发生，其次是增加了管理的复杂性和成本。所以遏制这种现象最有效的方法是行政手段，这是技术手段所无法
替代的。
在介绍这些管理手段之前我们先来看一个模拟的环境：工作站PC和SERVER连接到一台Cisco Catalyst 3550交换机上，它们分属不同的VLAN，借助3550的路由功能进行通讯(附交换机配置):
hostname Cisco3550 !interface GigabitEthernet0/11 description Connect to PC ! interface GigabitEthernet0/12 description Connect to SERVER switchport access vlan 2 !interface Vlan1 ip address 1.1.1.254 255.255.255.0 !interface Vlan2ip address 2.1.1.254 255.255.255.0
如果不需要做权限限制，只是要防止IP地址冲突的话，最佳的方案可能是使用DHCP。DHCP 服务器可以为用户设置IP 地址、子网掩码、网关、DNS等参数，使用方便，还能节省IP地址。在Cisco设备上设置DPCP可以参考:http://mize.netbuddy.org/021011.html。静态的分配和设置需要较多管理开销，如果用户不捣乱的话，由于用户名和IP地址一一对应，维护起来比较方便，以下均假设采用的是静态的管理方法。
测试1.假设VLAN1内只允许IP 1.1.1.1 访问Server: 2.1.1.1，其它访问全部禁止。 限制方法：使用IP访问控制列表
interface Vlan1
ip address 1.1.1.......
“超级连接VPN”集团客户远程接入管理方案(2006-07-08 03:39:00)
摘要：Hlink超级连接"VPN远程接入管理方案提供商，集中分类管理访问权限 ，C/S应用程序WEB化访问无需客户端安装，多线路捆绑高速稳定,硬件客户端即插即连,支持动态IP "超级连接VPN+Krun"方案简介： ·全面发布C/S和B/S结构的应用 ·客户端以Web浏览器方式访问 ·提高分支用户接入速度,最高效率利用现有网络带宽
·将远程打印和磁盘映射到本地 ·确保用户只访问授权使用的应用 ·集中管理用户、服务器和应用 ·对用户和应用使用情况详细统计 ·使配置较低硬件运行高端软件节约硬件投入 ·节约软件购入成本让正版软件全球使用 ·节约软件实施成本 一、公司概况 某公司是总部在深圳，在北京、上海、广州、香港等地都有分公司，为了更好管理公司的各种业务财务数据，公司采用了金蝶K3、进销存、OA应用系统，公司希望将外地的各分公司的数据实时统计，统一管理，但由于各分支机构在各不同地区，因此公司总部无法实时将每个分公司的数据统一更加无法做到对各分支节点的财务数据进行有效及时的管理；公司有大量的在外出差移动办公用户需要随时随地的访问公司总部的应用系统，将一些情况统计到公司总部；老总经常外出，需要随时访问这些应用系统了解公司的业务状况；所以公司寻求一种解决方案可以实现将各地区的分支机构以及移动办公人员安全实时连入公司总部，使用总部的K3、进销存、OA系统，对公司业务数据进行统一的管理。 二、实施背景 目前市面上能够解决类似客户这样远程访问的产品和方案很多，出于经济易用的角度考虑，客户先后采用了几种方式来实现外地分公司远程访问总部数据，但随着使用的深入和公司规模的不断扩大，一些问题也都逐渐凸显了出来： 阶段一：动态域名解析＋端口映射 由于采用专线和固定IP的方式投入成本比较高，客户在现有的ADSL宽带上网方式(动态IP)基础上，结合动态域名解析＋端口映射的方式解决分公司远程访问K3 数据库的问题,在出口的路由器上做端口映射,映射到K3服务器上,出差人员和外地分公司随时随地接入总部K3的数据库进行操作。但是这种方式基本上把整个K3服务器暴露在公网上, 这种传统的数据传输方法对于现在网络上的黑客技术的防御能力是相当有限的，根本没有安全性可言，安全性比较令人担心；另外动态域名解析寻......
虚拟专用网VPN在企业中应用(2006-07-08 03:37:00)
摘要：导读-- 随着企业规模逐渐扩大，远程用户、远程办公人员、分支机构、合作伙伴也在不断增多，关键业务的需求增加，出现了一种通过公共网络(如Internet)来建立自己的专用网络的技术，这种技术就是虚拟专用网(简称VPN)。 一、概述 随着企业规模逐渐扩大，远程用户、远程办公人员、分支机构、合作伙伴也在不断增多，关键业务的需求增加，出现了一种通过公共网络(如Internet)来建立自己的专用网络的技术，这种技术就是虚拟专用网(简称VPN)。VPN集灵活性、安全性、经济性以及扩展性于一身，可充分满足分支机构、移动办公安全通信的需求。在北美和欧洲，VPN已成为一项相当普及的网络业务。目前国内的VPN应用主要集中在大型企业和行业用户。随着宽带网的普及，Internet接入的性价比提高，中小企业也能利用VPN技术来扩展自己的网络。通过宽带网组建的VPN增值潜力大，除了用于数据业务，还可用于语音、视频通信业务，从而实现三网合一的需求。除了租用电信运营商的VPN服务外，还可通过自购VPN产品，在公网上建立更加安全的专用通道，来连接自己的分支机构和移动用户。 二、VPN概念 VPN的基本思想就是在公共网络上建立安全的专用网络，来传输内部信息而形成逻辑网络，从而为企业用户提供比专线价格更低廉，安全性更高的资源共享和互联服务。VPN是企业内部网的扩展。 虚拟专用网指的是在公用网络上建立专用网络的技术，即通过对网络数据的封包和加密传输，在公用网络上传输私有数据，形成一种逻辑上的专用网络。它向用户提供一般专用网络所具有的功能，但本身却不是一个独立的物理网络。 顾名思义，所谓“虚拟”(Virtual)，说明它是一种仿真物理连接的逻辑网络连接，没有固定的物理连接，利用的是公共网络资源。在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用公用网络资源(如Internet、ATM网络、帧中继网络等)动态组成的。所谓“专用”(Private，或译为“私用”)，说明它在功能上等同于传统的专用网络，具有与内部网络相同的安全性、易管理性和稳定性，可被当作专用网络使用。 VPN至少应能提供如下功能：加密数据，以保证通过公网传输的信息即使被他人截获也不会泄露；信息认证和身份认证，保证信息的完整性、合法性，并能鉴别用户的身份；提供访问控制，不同的用户有不同的访问权限......
支持IP-VPN实例1(2006-07-08 03:35:00)
摘要： 从概念上讲，IP-VPN是运营商(即服务提供者)支持企业用户应用的方案。一个通用的方法可以适用于由一个运营商来支持的、涉及其他运营商网络的情况（如运营商的运营商）。
----图1给出了实现IP-VPN的一个通用方案。其中，CE路由器是用于将一个用户站点接入服务提供者网络的用户边缘路由器。而PE路由器则是与用户CE路由器相连的、服务提供者的边缘路由器。
----站点是指这样一组网络或子网，它们是用户网络的一部分，并且通过一条或多条PE/CE链路接至VPN。VPN是指一组共享相同路由信息的站点，一个站点可以同时位于不同的几个VPN之中。
----图2显示了一个服务提供者网络支持多个VPN的情况。如图2所示，一个站点可以同时属于多个VPN。依据一定的策略，属于多个VPN的站点既可以在两个VPN之间提供一定的转发能力，也可以不提供这种能力。当一个站点同时属于多个VPN时，它必须具有一个在所有VPN中唯一的地址空间。
----MPLS为实现IP-VPN提供了一种灵活的、具有可扩展性的技术基础，服务提供者可以根据其内部网络以及用户的特定需求来决定自己的网络如何支持IP-VPN。所以，在MPLS/ATM网络中,有多种支持IP-VPN的方法，本文介绍其中两种方法。
方案一
----本节介绍一种在公共网中使用MPLS提供IPVPN业务的方法。该方法使用LDP的一般操作方式，即拓扑驱动方式来实现基本的LSP建立过程，同时使用两级LSP隧道(标记堆栈)来支持VPN的内部路由。
----图3 给出了在MPLS/ATM核心网络中提供IPVPN业务的一种由LER和LSR构成的网络配置。
----LER (标记边缘路由器)
----LER是MPLS的边缘路由器，它位于MPLS/ATM服务提供者网络的边缘。 对于VPN用户的IP业务量，LER将是VPN隧道的出口与入口节点。如果一个LER同时为多个用户所共享，它还应当具有执行虚拟路由的能力。这就是说，它应当为自己服务的各个VPN分别建立一个转发表，这是因为不同VPN的IP地址空间可能是有所重叠的。
----LSR(标记交换路由器)
----MPLS/ATM核心网络是服务提供者的下层网络，它为用户的IP-VPN业务所共享。
----建立IP-VPN区域的操作
-......
VPN技术综述(2006-07-08 03:34:00)
摘要：在国外，VPN目前已成为全社会的信息基础设施，企业端应用也大多基于IP，在Internet上构筑应用系统已成为必然趋势，因此基于IP的虚拟专用网业务获得了极大的增长空间。在国内，虚拟专用网也得到迅猛的发展。 有机构预测，2004年美国的VPN业务收入将从2000年的65亿美元，升至180亿美元，年复合增长率高达44%；至2008年中国的VPN市场收入将从2002年的2.55亿美元增长至105亿美元，年复合增长率将达到145%。 但是我国的VPN应用要远落后于国外发达国家的水平。目前应用主要集中在跨国公司的国内分支机构、部分用户规模较大的外企、金融领域以及与IT相关的企业之中。 VPN分类 根据VPN的服务类型，可以将VPN分为Access VPN、Intranet VPN和Extranet VPN三类。 ◆ Access VPN（远程访问虚拟专网） 在该方式下远端用户拨号接入到用户本地的ISP，采用VPN技术在公众网上建立一个虚拟的通道到公司的远程接入端口。这种应用既可适应企业内部人员移动和远程办公的需要，又可用于商家提供B2C（企业对客户）的安全访问服务。 ◆ Intranet VPN（企业内部虚拟专网） 在公司两个异地机构的局域网之间在公众网上建立VPN，通过Internet这一公共网络将公司在各地分支机构的LAN连到公司总部的LAN，以便公司内部的资源共享、文件传递等，可以节省DDN等专线所带来的高额费用。 ◆ Extranet VPN（扩展的企业内部虚拟专网） 在企业网与相关合作伙伴的企业网之间采用VPN技术互连，与Intranet VPN相似，但由于是不同公司的网络相互通信，所以要更多地考虑设备的互连、地址的协调、安全策略的协商等问题。公司的网络管理员还应该设置特定的访问控制表ACL（Access Control List），根据访问者的身份、网络地址等参数来确定相应的访问权限、开放部分资源而非全部资源给外联网的用户。 Extranet VPN通过使用一个专用连接的共享基础设施，将客户、供应商、合作伙伴或兴趣群体连接到企业内部网。企业拥有与专用网络的相同政策，包括安全、服务质量（QoS）、可管理性和可靠性。 VPN在Internet中的应用 ◆ 全球Internet接入 ......
实现局域网共享与网上邻居安全(2006-07-08 03:32:00)
摘要：一。 局域网内的邻居
李小姐是某公司的文秘，昨天刚连夜赶出一份项目报告，就急匆匆带回公司给经理为客户们做讲解了，刚离开公司那30层高的会议厅，李小姐就忙着回自己在15楼的工作岗位了，但是李小姐刚踏出电梯，就接到了参与演示的工作人员的电话，说发现报告的演示文档不齐全，要她迅速带上来，李小姐才发现是自己过于迷糊而少复制了几份文件，但是她更清楚如果这个马虎行为让客户看到，恐怕会对公司造成负面形象，李小姐一时陷入窘境。突然，她想到了公司的局域网……
一场危机总算解除了，李小姐通过局域网把文件传输上来，演示人员不动声色的补充了剩下的文件，会议进行得很顺利，大家总算松了口气……
网络的基本作用是实现资源共享，而作为最小网络分布结构的局域网（Local Area Network，LAN）更是把这个概念淋漓尽致的发展起来，那么，局域网内的共享是怎么实现的呢？
1. 局域网实现原理
在了解共享之前，我们需要对局域网的概念有个了解，局域网并不同于外界通讯使用的TCP/IP协议体系，它是一种建立在传统以太网（Ethernet）结构上的网络分布，除了使用TCP/IP协议，它还涉及许多协议。
在局域网里，计算机要查找彼此并不是通过IP进行的，而是通过网卡MAC地址，它是一组在生产时就固化的唯一标识号，根据协议规范，当一台计算机要查找另一台计算机时，它必须把目标计算机的IP通过ARP协议（地址解析协议）在物理网络中广播出去，“广播”是一种让任意一台计算机都能收到数据的数据发送方式，计算机收到数据后就会判断这条信息是不是发给自己的，如果是，就会返回应答，在这里，它会返回自身地址。当源计算机收到有效的回应时，它就得知了目标计算机的MAC地址并把结果保存在系统的地址缓冲池里，下次传输数据时就不需要再次发送广播了，这个地址缓冲池会定时刷新重建，以免造成数据冗余现象。实际上，共享协议规定局域网内的每台启用了文件及打印机共享服务的计算机在启动的时候必须主动向所处网段广播自己的IP和对应的MAC地址，然后由某台计算机（通常是局域网内某个工作组里第一台启动的计算机）承担接......