--------------------------------------------------------------------
构建安全优化的广域网
--------------------------------------------------------------------
远程连接需求
- 连通性需求：
·在何时，何地，何种方式进行接入
- 安全性需求：
·身份如何确认，传输的数据如何保证完整性，机密性等等
- 优化性需求：
·在带宽有限的前提下，如何保证特殊业务的应用
连通性需求：（广域网的接入技术）
- 需要进行连通的网络：
·园区网和大型分支机构：
- 高速，高可靠性
- 使用专线
- 租用多家ISP的线路
·中小型分支机构：
- 速度，可靠性
- 直接接入ISP，而不会选择使用专线
- 在和园区网和大型分支机构之间进行连通的时候，选择使用VPN方式· SOHO用户或移动办公人员：
- 速度和可靠性要求都相对较低
- 高速的，价格低廉的接入方式
- ADSL，以太网，EPON等接入方式
- 通过VPN和其他企业的网络进行连接
安全性需求：（VPN、IPSec、BGP MPLS VPN）
·广域网环境下，传输数据安全性
- 不被篡改，不被窃听
·节点和站点的安全性
- 隐藏内部的网络结构
·接入的安全性
- 基于AAA的安全
- 谁可以接入
- 谁可以分配什么样的权限
- 谁需要支付多少费用
·防御病毒和攻击
- PC机到PC机管理（EAD）
- 及时修补漏洞（PC上的漏洞，还是设备上的漏洞）
优化性需求：（QoS服务质量）
·网络应用包括：
1、网络控制：OSPF、NTP、RRPP、STP
2、网络管理：SNMP等等
3、文件传输：通过迅雷下载文件
4、网络存储：只要网络中存在数据中心
5、语音视讯：VoIP、视频会议
6、远程管理：SSH\TELNET
7、电子交易和ERP：
8、Internet访问：
·不同流量，需要的资源不同
·为不同的流量提供带有差别的服务
宽带接入概述：
- 企业网的宽带接入需求
·一方面，在园区网和大型分支机构上可以使用专线
·另一方面，需要提供高速，可靠，灵活和廉价的Internet接入方式
·以太网在企业网接入上，由于其发展的成熟，以及能够提供高速，灵活等特点。日益成为宽带接入的主角
- 接入网的概念：
·运营商将网络进行了如下分类：
- 接入网：用于将千家万户接入到Internet中，为接入提供方式。
- 城域网：用于将接入网中的数据进行集中和汇聚
- 核心骨干网：用于高速转发用户的数据
- 宽带的概念：
·业界没有统一的标准
·随着技术的发展，宽带起点应该越来越高
·根据ITU-T，高于ISDN传输速率，就称为宽带；
·高于1.5M～2M
- 宽带网接入模型和概述
·最后一公里接入：
------------- ----------------------
|CPN CPE---------------|CO局端（运营商的边缘）|
------------- ----------------------
- CPN：用户驻地网络；主要包含了用户侧的所有设备。包括PC，宽带路由器，Moden - CPE：用于连接CPN和CO局端；例如，在办理宽带中送的“我的e家”。
- CO：局端，运营商网络的边缘，等于运营商网络的接入网部分
宽带接入传输介质：
- 铜质双绞线：应用最为广泛的传输介质
- 光纤：最有发展潜力，提供高带宽，抗干扰能力强
- 同轴电缆：在传统的CATV中，应用最为广泛
- 无线电波：有线传输介质好朋友，为有线传输提供补充，发展最迅速的传输介质
- 电力线路：在中国应用最不广泛的
宽带接入技术：
- DSL
- EPON、EOC
- EPCN
- WLAN、3G
- 电力宽带BPL
- 以太网接入
主要的光纤接入方式：
- FTTH：光纤到户
- FTTB：光纤到大楼
- FTTC：光纤到路边（目前最常用的方式）
--------------------------------------
| 以太网接入技术、EPON、EPCN、ADSL |
--------------------------------------
一、以太网接入技术：
1、基本概念：
- 在家庭网关和接入点设备之间使用以太网技术进行连接
- 在上述环境中所进行的接入方式，即为以太网接入
2、在大型以太网接入中，AN设备所扮演的角色
- AN设备既可以是二层设备，也可以是三层设备
- AN为二层设备：
·网关在AGG设备上，广播隔离也将持续AGG设备
·接入用户数量，收到本身AN设备的MAC地址表的限制
·扩展中，二层不太易于进行扩展
- AN为三层设备：
·网关在AN设备上，广播域隔离将AN设备进行，最大化缩小广播域的范围
·由于AN为网关，所以在接入用户的数量上，基本没有任何限制，通过ECMP方式进行负载分担
·扩展中，由于三层接口具有相对独立性，所以扩展相对比较简单
- 考虑到网络应用，在进行接入是，AN设备大部分为三层设备
3、PPPoE技术的应用：
- 最大问题在于如何识别用户，并且去分配IP地址信息
· 802.1x
· PPPoE
- PPPoE简介：
·使用C/S架构，运营商侧为服务器端，用户侧为客户端，在用户侧方面，Windows默认安全PPPoE客户端软件
·在工作中分为两个阶段
1、Discovery阶段：寻找PPPoE服务器，并且生成Session-ID用于接下来的交互
2、PPP Session阶段：通过LCP、PAP/CHAP、NCP进行PPP链路的建立
- PPPoE工作过程：
· Discovery阶段：
1、发送PADI报文，使用广播进行发送，用于寻找PPPoE所有的可用服务器
2、发送PADO报文，相应客户端的请求，在PADO报文，包含PPPoE服务器的基本信息
3、客户端根据收到的PADO报文，选择一个合适的PPPoE服务器，单播发送PADR报文
4、被选中的PPPoE服务器，在收到PADR报文后，回应PADS报文，此时在报文中，包含由PPPoE服务器所分配Session_ID信息
4、PPPoE的配置：
- 主机作为客户端
- 路由器作为客户端
- 服务器端配置
·创建一个虚模板，在虚模板上需要配置IP信息，并且配置验证方式，以及绑定地址池信息
·在接口开启PPPoE服务器端功能，并绑定虚模板
二、EPON
1、提出背景：
- 在传统以太网接入中，传输距离限制以太网的应用
- PON技术的优势：带宽高、传输的距离长等等
- PON无源光网络：传输中的连接设备，无源设备（不需要电源），根据物理特性完成的传输
2、PON的网络组成：
- 点到多点（P2MP）
- OLT，光线路终端：用于将数据，转换为光信号，加载光纤中进行传输的设备
- ONU，光网络单元：PON网络的端点，部署在用户侧，用于发送和接收光信号，并光信号和电信号之间进行转换
- POS，无源分光器：PON是P2MP，所以在一条光线路上，可以承载多个用户的信息。此时多个用户不一定部署在一个地方。
PON技术的优点：
1、带宽高：在最新的技术标准中，已经将EPON的带宽提高了10Gbps，用于支持万兆网络的建设
2、覆盖范围广：光纤传输距离问题
3、可靠性高：在传输中使用光信息，在传输中的干扰比较小
4、节省资源：在PON技术中，通过使用光纤到路边的，节省光纤资源；使用分光器
EPON的关键技术：
- 多点MAC控制（MPCP）
·五种控制消息
1、Gate（OLT）：用于通知ONU，可用的时间段
2、Report（ONU）：用于声明自身信息，在OLT侧进行注册
3、Register-Req（ONU）
4、Register（OLT）
5、Register-Ack（ONU）
· 3个工作阶段
1、Discovery：用于发现ONU设备
2、Report：用于ONU设备进行注册
3、Gate：用于在传输过程中，OLT分配时隙
· MPCP BPDU：
- 增加了2个字节的LLID；用于标识不同ONU
- 增加了操作码：五种报文分组
- 增加了时间戳：由于EPON使用时分复用技术
EPON工作过程：
1、ONU注册：ONU设备需要获得LLID
2、扩展OAM连接：用于提供扩展业务
3、带宽分配：通过Gate报文进行的
4、数据传输：
1、ONU注册：
- OLT设备在广播信道发送gate消息
- ONU在收到gate消息，如果没有注册，则在等待一个随机时间后，发送Register-Req消息
- OLT在收到注册请求消息后，发送一个注册消息，在注册消息中携带LLID编号
- OLT在发送注册消息后会立刻发送一个gate消息，用于为ONU分配时隙，此时的gate消息使用单播信道发送
- ONU在收到Register和gate消息，根据gate消息分配的时隙，回复注册确认消息，在消息中会携带Register消息所分配的LLID，用于进行标识
EPON工作过程
2、扩展OAM连接（可选）
- 如果存在，且OLT能支持，该ONU扩展OAM连接建立成功
- 如果不存在，则该ONU扩展OAM连接建立失败
3、带宽分配过程
- 固定时隙：
·在ONU传输报文时候，在固定的时间传输固定数量的报文，无论是否有报文需要传输。- 动态时隙：
·以每个时隙为周期，根据ONU所需要发送的数量，通过Gate报文，通告ONU在什么时间可以发送多少数据
·轮询方式发送
- EPON的上下行传输方式：
·下行数据传输将不同目标的数据负载在同一条光纤线路上，每一个ONU所收到的数据都是一样的，需要通过ONU进行区别；只会将数据该ONU的数据传给主机
·上行数据传输使用TDMA的方式，根据OLT所分发时隙，传输数据
- EPON测距和时延补偿
· OLT发送gate报文，报文涵盖时间戳T1
· ONU记录时间戳，发送一个Report报文T2
· OLT在收到Report记录时间为T3
·通过T1\T2\T3，计算RTT时间
·通过RTT时间，发送Gate报文分配时间
===================================
EPCN
-- 什么是有线电视网络
·前端接收器，接收通过卫星发送的电视信号
·通过同轴电缆的方式，将卫星信号，转换为模拟信号传输到千家万户
·传统CATV
-- 什么是HFC
·光纤和同轴电缆的混合网络
·传输容量大，使用全双工的方式，可以实现双向传输
·频率特性好，适应长距离传输
·传输损耗小
·串扰和干扰小
----------------都是属于光纤的特性------------------
-- 有线电视的双向改造
·在传统的CATV中，使用广播方式传输电视信号
·如果需要使用CATV，实现双向传输
·因此称对CATV的改造过程为双向改造过程
·根据国家相关规定
-- 下行数据的传输频率为87～1000
· 87~108 FM广播
· 110～1000 模拟电视，数字电视，数据信号
-- 上行数据的传输频率为5～65
·用于传输数字信号
-- 基于HFC的改造方案
·带宽有限，而且技术复杂比较高
-- 基于以太网的改造方案
·通过划分低频信段，传输上行和下行数据信号
·通过调制和解调的方式，通过模拟信号在同轴电缆中传输
· EoC分类两种
- 无源EoC：在技术难度，改造成本上，都会有很大的优势；但是传输距离受限- 有源EoC：目前大部分都是使用该方式进行改造
· EPCN：H3C提出改造方案
-- 技术优势：
1、能够支持最大达200Mbps的带宽
2、抗干扰能力强；和CATV中的最低频段信号不相交
3、实施简单，采用低频技术，线路衰减小
· EPCN部署方式：
-- 单业务模式：比较粗放，针对每一个家庭，使用一个策略
-- 多业务模式：比较精细，针对不同家庭的不同业务进行精细化的控制和管理；例如：可能存在视频点播，PC上网。此时不同设备的需求不相同
PSPV VLAN：
-- 单层VLAN，只能支持单业务模式
-- 需要OLT对VLAN帧进行透传
PSPUPV VLAN：
-- 灵活的使用到QinQ技术，实现vlan嵌套
-- 针对多业务模式的应用
-- 目前大部分在部署时都采用该方式进行
ADLS
-- DLS概述：
· 1989被提出，用于VOD业务
·但是由于VOD技术在当时的网络环境下，发展非常吃力，导致DLS技术在一点时间之内被人淡忘
· DLS，数字用户线路，目前最高带宽已经达到100Mbps
-- DLS工作原理：
·使用传统电话中没有使用的高频信道来传输DSL的数据
·传统电话使用300Hz～3.4kHz
-- DLS技术的分类：
·对称DSL技术：比较适合作为专线使用
·非对称DSL技术：比较适合家庭用户的网上冲浪业务
目前使用广泛的ADSL属于非对称DSL技术
上行数据和下行数据的带宽是否相同
-- DLS的编码调制技术：
· 2B1Q
· QAM
· CAP
· DMT（目前的ADSL中使用最为广泛的编码调制技术）
-- 影响到DSL传输质量的因素
·线路长度：长度越长，信号衰减就越厉害
·加感线圈：用于在传统电话中，用于平稳信号；对高频信号有很大的衰减作用，一般情况下，在开通DSL业务，将加感线圈去除
·桥接抽头：
·串扰和背景噪声：串扰的主要原因是屏蔽问题
-- ADSL的典型组网
·用户端设备CPE：
- 模拟电话
- ADSL Modem
- ADSL 路由器
- 分离器
·局端COE：
- 分离器
- 程控交换机
- DLSAM
ADLS工作过程：
-- 激活线路
·既可以有CPE端做，也可以有COE端进行
ADSL RFC 1483：
-- 传统的ADSL技术
-- DSLAM在中间只作为桥接作用
-- 目前已经淘汰
ADSL IPoA：
-- 为CPE设备分配固定的IP地址，可以通过ISP获得，是公网
-- 用于ADSL专线
-- 目前少部分地方使用该技术
ADSL PPPOEOA：
-- 目前使用最为广泛的ADSL
技术
-- 通过PPPoE方式，触发ADSL Modem或者是ADSL Router发起链路建立请求-- 通过PPP报文协商用户名和密码信息
-- 在国内应用最多的
ADSL PPPoA：
-- 主要在欧美地区应用
-- 同样需要通过COE端，使用PPP报文协商，进行验证和IP地址获取
ADLS --> ADSL2 --> ADSL2+
VPN概述：
-- 总部和分支机构之间互联
·直接通过Internet实现总部和分支机构时间的互联
- 使用相同的网络层协议
- 使用统一的路由策略
- 使用公网的地址空间
·通过专线和电路交换的方式
- 部署成本高；一般只有在园区网和企业总部之间会部署专线
- 变更不灵活；
- 移动用户在进行远程拨号时接入费用高
-- VPN的提出
·虚拟私有网络：
·利用公网的设备，访问私有网络技术
· RFC 2764基于IP的VPN架构
-- VPN的优势：
1、快速组网，利用现有的运营商网络，实现快速连接
2、有较强的安全性，可靠性和可管理性
3、利用Internet的基础，可以实现VPN的广泛接入性
4、简化用户侧的配置和维护工作
5、提高基础资源的利用率
6、节约用户的开销；相对于通过电路交换连接的方式来说
7、运营商可以以此提供更多的服务，提高收入
-- VPN的相关概念
·本质就是一个嵌套技术
·承载协议：应该和ISP网络中所运行的协议相同
·封装协议：更好的去封装私网的数据；提供加密，验证等功能
·载荷协议：即私网的数据，需要通过公共网络进行传输的内容
-- VPN分类方式：
1、按照业务用途：
- Access vpn：适用于移动办公用户，以及SOHO用户
例如：l2tp
- Intranet vpn：适用于企业的总部和分支机构之间的互联例如：GRE\IPSEC
- Extranet vpn：适用于企业的总部和分支机构以及合作伙伴之间的互联例如：Gre、IPsec
2、按照运营模式
3、按照组网模式
4、按照网络层次
- 二层vpn
- 三层vpn
-- 主要的VPN技术：
- 二层VPN
· L2TP
· PPTP
· MPLS L2 vpn
- 三层VPN
· GRE vpn
· IPSec
· BGP/MPLS VPN
==========================
GRE
-- 概述：
·通用路由封装协议
·用于定义了使用一种网络协议传输另外网络协议的方式
例如：ipv4 over ipv4、ipv4 over ipv6等等
·通过虚拟隧道接口进行实现（tunnel）
-- GRE协议栈
链路层头 | 协议A头 | GRE头 | 协议B头 | 载荷数据
·协议A头：承载协议
· GRE头：封装协议
·协议B头：载荷协议
IPv4 over IPv4封装方式：可以实现利用公网传输私网数据
链路层头 | 公网IP头 | GRE头 | 私网IP头 | 载荷数据
-- 各层之间如何标识：
·公网IP头：通过协议号表示GRE头
- IP协议号为47
· GRE头：使用以太网的类型标识符
- 载荷协议标识为0x0800；表示IP
-- GRE的工作流程
1、根据本地路由表，查找去往另一个站点的私网路由；一般情况下，该路由指向tunnel接口
2、根据路由所指向的tunnel接口的配置，进行封装
3、将封装后的报文的目标ip，查找路由表；根据路由表的信息，将数据转发到ISP网络
4、检查发现数据包协议号为47，需要进行解封装操作；
5、将私网的目标，查找路由表进行转发
注：来回一共6次查表
GRE VPN的优点：
1、普遍性比较强
2、能够支持多种网络层协议
3、能够很好的支持组播业务
4、配置相对简单
GRE VPN的缺点：
1、所有的配置都需要静态操作
2、在全互联的网络中，部署的操作代价巨大
3、缺乏安全性，不能保证私网数据在公网传输过程完整性和机密性
4、不能分割地址空间
tunnel口在使用静态路由时，tunnel接口的虚假状态：
· tunnel是否能够主要检查是否存在公网路由
·有可能出现ISP内部网络中断的情况，此时tunnel不能及时发现通讯中断
·备份路由（备份隧道就不能启用）
解决方案：
可以启用tunnel接口keepalive功能，默认情况，接口每个10s发送一次keepalive 报文，如果30s都没有收到对端发送keepalive的报文，则认为网络中断，主动将tunnel 接口的状态置为down
gre tunnel上有两个可选的安全选项：
1、配置gre key
2、配置gre 报头校验
在gre上部署动态路由协议的时候
·由于在H3C中，OSPF和ISIS的路由优先级要高于静态路由
·保证公网路由不出现逻辑错误
·一般情况下，不建议将公网接口宣告在OSPF网络中
=========================
L2TP vpn
-- 简介：
·一般是移动用户连接企业网时所使用的VPN技术
-- 传统拨号接入模式：
·拨号接入的网络常使用PSTN/ISDN
·长途拨号费非常高
· NAS设备需要部署大量拨号接口，才能满足用户需要
-- L2TP的组网环境：
·远端系统：可以是路由器也可以是PC机；需要VPN服务的设备。由它们发起L2TP隧道的建立
· LAC：访问集中器；用于汇聚远端系统拨号请求
- 客户LAC：PC上安装L2TP客户端软件，由客户端作为LAC作用。
- 独立LAC：一般用于运营商去维护LAC。用户通过PPPoE连接到Internet后。主动和LNS设备建立L2TP的连接
· LNS：L2TP服务器；接收LAC提出vpn建立请求
· NAS：网络访问服务器；AAA服务器，用于控制哪些用户可以接入网络的
-- L2TP介绍：
·使用PPP协议作为载荷协议
·能够支持灵活的验证和地址分配工作
·点到点的连接
-- L2TP工作原理：
·基本术语：
- L2TP隧道：一个隧道对应一个L2TP控制连接
- L2TP会话：一个会话对应一路L2TP呼叫
·一定是先有隧道再有会话
·一个隧道内可以承载多路会话
-- 独立LAC拓扑结构：
·由ISP提供LAC设备，并且帮助维护
·在LAC上可以对用户进行控制和管理
·不依赖IP接入点
-- 客户LAC拓扑结构：
·首先通过宽带接入方式，连接到Internet
·不要独立LAC设备，直接可以通过软件的方式创建一个客户LAC，灵活性强
·企业可以直接通过Internet构建VPN
-- L2TP封装：
公网IP头 | UDP头 | L2TP头 | PPP头 | 私网IP包
端口号：1701
-- L2TP工作过程：
1、建立控制连接（建立隧道）
·由PPP报文触发建立控制连接
· LAC用任意的UDP端口向LNS的UDP端口1701发送SCCRQ（打开控制连接请求）· LNS将1701端口重定向为任意端口后，回应SCCRP（打开控制连接应答）
· LAC向LNS所提供的重定向后的端口，发送SCCCN（打开控制连接确认）
· LNS为了报文数据传输可靠性，回发ZLB（不含任何内容的报文）；
·控制连接传输完成后，即隧道建立的过程完成
·隧道建立过程中可以进行隧道验证（可选）
2、建立会话
·会话建立需要以控制连接的建立为基础
·一个控制连接内可以存在多个会话
· LAC发送ICRQ（入呼叫连接请求）
· LNS回应ICRP（入呼叫连接应答）
· LAC发送ICCN（入呼叫连接确认）
· LNS发送ZLB
3、转发数据帧
·存在Tunnel-ID和Session-ID
4、隧道状态的维持
·使用hello报文作为keepalive报文，用于维护LAC到LNS侧的隧道状态
5、关闭会话连接
· LAC向LNS发送CDN
· LNS向LAC回传ZLB
6、关闭隧道连接
· LAC向LNS发送StopCCN
· LNS向LAC发送ZLB
-- L2TP验证过程：
·一般分为3个阶段的验证
- 第一阶段：远端系统和LAC侧的验证
使用PAP/CHAP方式
- 第二阶段：LAC设备和LNS设备之间建立隧道的验证（可选）
使用PAP/CHAP方式
- 第三阶段：LNS设备对远端系统PPP验证
- 代理LAC验证：由LAC设备，使用用户在拨入LAC时所使用的用户名和密码信息和LNS 设备进行验证
- 强制CHAP重验证：LNS设备直接向远端系统发起挑战质询
- LCP重协商：LNS设备和远端系统重新建立LCP--PAP/CHAP--NCP
独立LAC的配置：
· L2TP基本配置：
- 开启L2TP功能
- 创建L2TP组
- 设置tunnel的名称以及密钥
· LAC侧：
- 设置如何发起L2TP连接请求
·根据用户名、IP等信息决定
- 设置LAC侧对VPN用户的验证
·一般情况下使用PPPoE的方式
· LNS侧：
- 设置虚接口模板
- 设置本端地址和分配的地址池
·地址池和PPPoE一样，需要在domain中配置
- 配置LNS接收L2TP连接请求
- 配置LNS侧AAA信息，用于对VPN用户进行验证
互联网的现状：
-- 机遇：
·用户群体增加，消费者增加
·电子商务的发展随着消费群体的增加，也在迅猛发展中-- B2B：商家对商家；
-- B2C：商家对客户；
-- C2C：客户对客户；
·互联网的应用越发成熟
-- 挑战：
·用户的帐号信息被窃取
·私有和机密资料外漏
·个人身份被假冒
·电子证据不足，容易产生网络犯罪无法审判的情况
·钓鱼网站
·其他安全弱点
安全的四要素：
-- 完整性
-- 机密性
-- 身份验证
-- 不可抵赖
数据加密和解密介绍：
-- 明文：需要被隐藏处理信息
-- 密文：加密后，用于在网络中传输的数据
-- 加密：从明文通过一定的算法转化为密文过程
-- 解密：加密的逆运算
-- 密钥：加密和解密过程所用使用的参数
-- 加密算法和解密算法：
·对称算法
·非对称算法
对称密钥加密：
·加密速度相对比较快
·双方使用的密钥是相同的，使用同一个密钥进行加密和解密·典型的需要掌握的DES\3DES\AES
非对称加密算法：
·加密和解密速度相对较慢
·存在两个密钥；分别是私钥和公钥；
- 私钥：由密钥对的生成者自己保留
- 公钥：需要在网络上进行传输的内容
·公钥和私钥不能够相互推算
·使用公钥加密，私钥解密：数据加密
·使用私钥加密，公钥解密：数字签名
·典型：RSA\DSA\DH
总结：
-- 使用对称加密算法，适合于对大规模的数据进行加密和解密；密钥如何传递和保存-- 使用非对称加密算法，适合于对小规模的数据进行加密和解密；安全性相当高
组合加密和解密方式：
·首先使用对称加密算法进行大规模数据的加密工作
·之后将对称加密算法多使用的密钥，通过非对称加密算法，加密后在网络上传输
数据完整性：
-- 摘要算法：
·主要用于验证数据的完整性
·使用不可逆的散列函数进行计算
· HASH函数，计算结果是定长的。无论输入有多少数据，输出是固定的长度
-- HMAC算法：
·通过一个共享MAC密钥保证，数据即使被人篡改，对方也不能计算出正确的Hash值· OSPF的MD5验证
数字签名：
·使用私钥对数据摘要进行加密的过程
·可以实现：对数据的完整性校验、验证发送者的身份、防止交易过程中的抵赖行为
数字证书：
·公钥在传输过程的问题：
1、如何将公钥告诉给别人
2、如何证明公钥是正确的，真实的
·数字证书：
-- 类似显示社会中的身份证
-- 包含用户名称，地址，公司，E-mail信息包括公钥信息
IPSec
-- 简介：
·标准化文档：RFC 2401
·属于网络层的安全保障机制
·机密性，完整性，抗重放等功能
·引入了多种验证算法，加密算法以及密钥管理机制
· IPSec 属于L3 vpn
·配置相当复杂，并且消耗较多的运算资源，增加延迟，不能支持组播等等
· IPSec属于静态
IPSec体系：
1、安全协议：
-- 用于保护数据
-- AH/ESP
2、工作模式：
-- 隧道模式：适合于在站点和站点之间进行部署
-- 传输模式：适合于在主机和主机之间进行部署
3、密钥管理：
-- 可以手工配置密钥（一般不会这样操作）
-- 通过IKE协商密钥
IPSec SA的概念：
-- SA（安全联盟）
-- 由SPI、IP目的地址、安全协议标识符，唯一标识一组SA
-- SA决定，使用何种协议，何种算法，哪个密钥对数据进行操作
-- SA是单向；A路由器的出方向的SA，必须和B路由器入方向的SA相同
-- IPSec SA生成时，可以使用手工方式建立，也可以使用IKE协助生成SA
-- SPD：安全策略数据库；SAD：安全联盟数据库
IPSec在出方向上的操作过程：
1、达到接口后，检查接口是否配置IPSec Policy；如果没有配置，则走旁路服务，如果配置了，则根据Policy内容检查，是需要丢弃，还是需要提供服务
2、如果Policy要求对该数据流提供服务，则检查IPSec SA，如果存在，则根据SA中所规范的安全协议内容，进行服务；如果不存在则查找IKE SA
3、如果IKE SA存在，则根据SA的内容，和对端设备交互，用于创建的IPSec SA；如果IKE SA不存在，则尝试创建IKE SA
安全协议：
1、AH协议：
- 在RFC 2402进行定义
- 能够提供完整性校验和源验证
- IP协议号51
·传输模式：
-- 针对于原始IP头 | AH头 | TCP头 | 载荷数据 | key
-- 将验证后的结果放置在AH头验证字段部分
·隧道模式：
-- AH头，放置在原始IP头和新IP头的中间
-- 验证的部分是针对于整个报文进行验证
ESP：
· RFC 2406
·可以实现对报文的机密性，完整性和抗重放性的支持
·协议号为50
-- 传输模式：
·将 TCP+载荷内容+ESP尾进行加密
·将 ESP头+加密后的数据+验证密钥进行验证
-- 隧道模式：
·将原始IP头+TCP+载荷内容+ESP尾进行加密
·将 ESP头+加密后的数据+验证密钥进行验证
IKE：
-- 用于交换密钥；不仅仅限制与在IPSec中使用
-- RFC 2409进行
-- 使用DH算法交互密钥
-- IKE SA定期更新，具备完善的前向安全性
-- IKE降低手工部署IPSec的复杂度
-- UDP端口号500
IKE和IPSec的关系：
-- IKE提供自动的密钥交换以及IPSec SA的自动建立服务
-- IPSec本质上提供安全服务的协议
IKE工作的两个阶段：
1、用于协商IKE SA信息
-- 主模式
-- 野蛮模式
2、用于协商IPSec SA信息
-- 快速模式
IKE主模式的工作过程：
-- 一共6个报文：
1、发起者向peer发送协商报文；包含验证算法，加密算法等等
2、如果接收方能够匹配发送方的协商报文，则回应匹配确认消息
=============策略的协商==================
3、发送传输DH算法所需要的参数
4、接收传输DH算法所需要的参数（生成密钥）
=============DH算法的交互阶段=============
5、发送方收到的了接收方所发送的DH算法的参数，并且根据参数计算出密钥，发起身份验证的过程
6、接受方响应发送方的身份验证请求
=============ID交换及验证================
-- 交互过程比较长，需要发送方和接受双方都知道对端的IP地址信息
IKE的野蛮模式：
-- 交互过程比较短，交互方式简单
-- 但是安全性不强，只有在知道双方的安全环境的情况下，才建议使用该方式
IPSec配置方式：
-- 3W1H
· what：
- 哪些数据需要被保护；
- 确定安全数据流（一般情况下使用ACL进行定义）
· where：
- 确定需要在什么地方进行保护；
- 确定IPSec Policy的应用位置；
· which：
- 确定使用哪种安全保护；
- 使用 AH?/ESP?
- 使用传输模式/隧道模式
· how
- 确定保护强度
- 使用何种验证算法，何种加密算法，安全时间多长
配置任务：
1、配置安全ACL：确定安全数据流
-- IPSec目前只支持高级ACL
2、配置安全提议：确定使用何种安全协议，使用何种强度的保护
-- 定义IPSec工作模式
-- 定义IPSec安全协议
-- 定义IPSec加密算法
-- 定义IPSec验证算法
3、配置安全策略：将安全数据流，安全提议和协商方式进行绑定
-- 使用手动方式配置参数
-- 使用IKE方式配置参数（*）
4、在接口应用安全策略：确定保护路径
[R1-ike-peer-admin]display this
#
ike peer admin
pre-shared-key cipher f3KTIYH7RJE=
remote-address 23.23.23.3
[R1-ipsec-proposal-admin]display ipsec proposal
IPsec proposal name: admin
encapsulation mode: tunnel
transform: esp-new
ESP protocol: authentication md5-hmac-96, encryption des
[R1-ipsec-policy-isakmp-admin-10]display this
#
ipsec policy admin 10 isakmp
security acl 3000
ike-peer admin
proposal admin
-- 在接口应用好IPSec Policy后，需要使用数据流触发SA的建立
-- 通常情况，在配置IPSec后，执行ping操作的第一个报会丢包
[R1]display ike peer //用户查看IKE peer的配置信息
---------------------------
IKE Peer: admin
exchange mode: main on phase 1
pre-shared-key cipher f3KTIYH7RJE=
peer id type: ip
peer ip address: 23.23.23.3
local ip address:
peer name:
nat traversal: disable
dpd:
---------------------------
[R1]display ike sa //查看ike sa的相关信息
total phase-1 SAs: 1
connection-id peer flag phase doi
---------------------------------------------------------- 3 23.23.23.3 RD|ST 2 IPSEC 2 23.23.23.3 RD|ST 1 IPSEC
flag meaning
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT
[R1]display ike sa verbose //查看IKE sa的具体信息
---------------------------------------------
connection id: 2
transmitting entity: initiator
---------------------------------------------
local ip: 12.12.12.1
local id type: IPV4_ADDR
local id: 12.12.12.1
remote ip: 23.23.23.3
remote id type: IPV4_ADDR
remote id: 23.23.23.3
authentication-method: PRE-SHARED-KEY
authentication-algorithm: HASH-SHA1
encryption-algorithm: DES-CBC
life duration(sec): 86400
remaining key duration(sec): 86130
exchange-mode: MAIN
diffie-hellman group: GROUP1
nat traversal: NO
[R1]display ipsec policy
===========================================
IPsec Policy Group: "admin"
Using interface: {Serial0/2/0}
===========================================
-----------------------------
IPsec policy name: "admin"
sequence number: 10
mode: isakmp
-----------------------------
security data flow : 3000
selector mode: standard
ike-peer name: admin
perfect forward secrecy: None
proposal name: admin
IPsec sa local duration(time based): 3600 seconds
IPsec sa local duration(traffic based): 1843200 kilobytes
[R1]display ipsec sa
===============================
Interface: Serial0/2/0
path MTU: 1500
===============================
-----------------------------
IPsec policy name: "admin"
sequence number: 10
mode: isakmp
-----------------------------
connection id: 3
encapsulation mode: tunnel
perfect forward secrecy: None
XX公司外网信息管理暂行办法 第一章总则 第一条为规范公司外网信息管理，发挥公司外网在树立企业形象，强化精细管理，建设企业文化，服务公司直属各单位的作用，根据国家法律、上级有关规定和公司实际，制定本暂行办法（以下简称“办法”）。 第二条本办法所称公司外网，主要指公司对外网站及其所设栏目；所称“集团公司”，是指中国葛洲坝集团股份有限公司；所称信息资源，是指公司及机关各处室在依法行使管理职能，树立企业形象，服务公司各单位的过程中制作、获得或掌握的可以公开发布的各类信息。 第三条公司外网的主要职能是：宣传公司生产经营发展动态，宣传公司企业文化，发布招标投标、人才招聘信息，服务企业管理。 第四条公司职工和社会公众均有权访问公司外网。 第五条公司外网信息发布及管理目标是：在公司党委、公司领导下,将外网建设成为公司内外宣传的平台、职工监督的平台、强化管理的平台、职工教育的平台和内外交流的平台。 第二章组织管理
第六条公司外网在公司党委、公司的统一领导下，由党群办公室管理、运行、监督，机关各处室要按照各自的职能，设专人按本办法第九条的分工负责本处室上网信息的发布与管理工作。 第七条从事外网信息发布及管理的工作人员应具有较高的政策、业务水平，较强的责任心和为公司服务的意识和能力，在处室负责人领导下进行信息的发布与管理。 第三章信息资源管理及发布 第八条外网发布的信息资源，遵循“谁发布，谁负责；谁承诺，谁办理”原则。 第九条公司外网所设主要栏目及责任处室如下：
（具体分工详见附表） 第十条公司各类信息发布遵循“资源共享，应用优先，内外有别，安全保密”的原则。有利于展示公司经营实力，宣传公司企业文化，树立公司企业形象的信息，应及时在外网公布。 第十一条网站禁止发布传播下列内容的信息： （一）危害国家安全和社会稳定的； （二）损害民族团结的； （三）损害国家荣誉利益和企业形象的； （四）涉及国家秘密、企业秘密、个人隐私的； （五）传播邪教和封建迷信的； （六）散布淫秽、色情、赌博、恐怖、暴力或教唆犯罪的；
企业级广域网从建到管全攻略 对于在不同地域拥有分支机构的企业，广域网的建立可以实现集权和减少管理层次，利于发展跨地区业务。特别是当ERP、电子商务系统、视频会议等应用逐渐深入时，企业的广域网建设需求更加迫切，但广域网的搭建是一项涉及很多环节的复杂项目，从建设到管理，无不需要精细的设计。本期专题通过对中国石油广域网改造的案例分析，为读者带来真实的体验。 出于业务发展的需要，越来越多的企业开始在不同地域设立新的分支机构; 与此同时，许多企业还需要加强和上下游供应商及合作伙伴的沟通与协作，企业总部与分支机构、合作伙伴之间的通信变得越来越频繁。因此，尽快建立高效、安全的广域网(Wide Area Network , 简称WAN) 以满足业务的不断发展，成了众多企业的迫切愿望。广域网是一种跨地区的数据通信网络,通常由两个或多个局域网组成。随着ERP、电子商务系统、视频会议等应用的深入，企业广域网建设的需求越来越迫切，而通过对银行、证券、石油等大型企业组网案例的学习，能给准备建设或升级广域网的企业带来很高的借鉴意义。 在世界50 家大石油公司中，中国石油排名第7。截至 2006 年，中国石油集团油气投资业务扩展到全球26 个国家，每
天提供超过219 万桶原油和28 亿立方英尺天然气，加工原油180 万桶。在创建国际大型企业和国际激烈市场竞争的压力下，中国石油迎来了信息技术飞速发展和深入企业应用的时代。 在2000 年前后，中国石油广域网络进行过一次提速与扩充，带宽提高到当时电信部门能提供的最高值: 2Mbps 。当时中国石油下属企业还不是很多，采用最简单又便于管理的星形网结构，较好地满足了当时业务的需要。 随着中国石油近几年业务迅速发展，在中国石油企业网上需要运行的信息应用愈来愈多，如：ERP、信息财务系统、电子商务系统、邮件系统，办公自动化系统、炼油销售系统、视频会议系统、合同管理系统和企业信息门户系统等, 对信息应用依托的网络传输平台的稳定、安全、可靠的要求也愈来愈强烈。 中国石油于2004 年启动了中国石油广域网改造项目，对广域网整体架构和因特网接入等基础设施进行了改造和完善。在集团公司范围内，从地理位置分布、用户数量、信息流向和技术水平等因素综合考虑，建设完善了一个既满足中国石油专业应用系统、管理信息系统、通用信息系统等业务应用需求，还可满足视频会议系统等专业应用需求的、具有高速快捷、安全可靠、7X 24小时连续服务的网络平台。 中国石油广域网按照核心层、区域中心和地区公司接入网三个层次建设，接入约170 多个地区公司和企事业单位局域网，构成了中国石油广域网架构。原则上，每个地区接入单位采用两条链
广域网概述论文 学院：电控学院 专业： 学号： 姓名： 指导教师： 论文完成日期：2014年11月
目录 摘要 (1) 正文 (1) 广域网的概念 (1) 公用电话交换网 (2) 分组数据交换网 (2) 数字数据网 (2) 帧中继网 (3) ATM (4) 参考文献 (5)
摘要 本文介绍了广域网的相关网络概念和特点 关键词：广域网；交换网；DDN；帧中继网；ATM 正文 广域网的概念 ?广域网(WAN)：有时也叫远程网(Long Haul Network) ?广域网一般由主机(资源子网)和通信子网组成。 ?一般广域网的通信子网是由公共网络充任，它是由传输线路和交换节点组成。 ?广域网和局域网之间，既有区别又有联系。 ?广域网远比局域网出现得早。但在技术上，局域网要领先于广域网，但随着ATM技术的发展和应用，通过提供统一的网络平台，会使这些技术上的差异越来越小。 ?在应用上，局域网强调的是资源共享；而广域网则着重数据传输。对于局域网，人们更多关注的是如何根据应用需求来规划、建立和应用；对于广域网，侧重的则是网络能够提供什么样的数据传输业务，以及用户如何接入网络等。 ?通常，公共数据通信网是由政府的电信部门建立和管理的。许多国家的电信部门都建立了自己的公用分组交换网、数字数据网、综合业务数字网和帧中继网等，以此为基础提供电路交换数据传输业务、分组交换数据传输业务、租用电路数据传输业务、帧中继数据传输业务和公用电话网数据传输业务。 ?我国电信部门的公共数据通信网也有了长足的发展：继公用电话交换网（PSTN）、中国公用分组交换网（ChinaPAC）及中国数字数据网（ChinaDDN）之后，又建立了公用帧中继宽带业务网（ChinaFRN），逐步完成了全国范围光纤网络的建设和大量卫星地面站的建设，为我国的高速信息网发展打下坚实的基础 ?常用的公共网络系统有公用电话交换网PSTN、分组数据交换网X.25网、帧中继网(FR网)、数字数据网DDN、综合业务数字网ISDN和异步传输模式ATM等。 ?公共数据通信网主要提供三种通信服务： ①电路交换服务：适合传输实时性要求高的信息，如语音信息、视频信息。 ②分组交换服务：传输数据和多媒体信息。 ③租用线路或专线服务：专用线路任意组合可传输语音、数据、传真信息。但租用专线独占线路，因此传输费用高。
无线路由器广域网及局域网设置 无线网络风行时下，无线路由设置成为无线网络用户必备常识之一。下面小编以JCG JHR-N926R无线智能路由器为例，跟大家分享一无线路由器的广域网设置和局域网设置。 一、广域网设置： 1）：先将您的入户网线接入到JCG JHR-N926R的蓝色WAN口，然后用一根网线将您的电脑与JCG JHR-N926R的LAN任意一口或直接用无线搜索到信号后连接到路由器。 图片1 2）：打开您的浏览器，在浏览器地址栏中输入“192.168.1.1”进入智能无线路由器的管理设置界面。 图片2 3）：点击广域网连接然后会出现以下对话框，提示需要输入用户名和密码，账号密码默认为“admin”。输入后点击确定就行了。
图片3 4）：进入以下界面
图片4 ①——如果是网吧或小区光纤接入用户，宽带服务提供商会向您提供IP地址，子网掩码， 网关和域名服务器等详细信息，您只需要在直接在路由器上正确的设置这些参数就可以了。
图片5 ②——如果您的宽带是直接将网线接入电脑，不用进行拨号就可以上网的就可以使用这种方式来进行联网，直接选择②就可以了。 图片6 ③——中国电信，中国网通ADSL 宽带业务通常会采用这种联机方式，个别小区宽带或公司网络也会采用这种方式。PPPoE 联机方式需要宽带服务商向您提供帐号和密码，这些信息需要设置到路由器上才能正常上网。
图片7 ④——ADSL拨号账号输入框，在此输入宽带提供商提供的账号 ⑤——ADSL拨号密码输入框，在此输入宽带提供商提供的密码 ⑥——ADSL拨号密码确认框。 ⑦——这里是网络尖兵的选项，是为了方便一些宽带服务提供商使用的网络尖兵而使用户不能通过路由器多台电脑上网的一个软件，点击启用就能破解网络尖兵，一般在北方用的比较多。 ⑧——这里是为了方便用户忘记密码而设计的，可以显示出填入密码框内的密文。 以下设置默认就行了
XXX XXX信息化办公室2011年5月
目录 第一章概述 (4) 1.1. 建设背景 (4) 1.2.项目概述 (4) 1.3.我区电子政务外网平台设计 (5) 1.4.项目依据 (5) 1.5.建设目标及任务： (6) 第二章网络设计方案 (9) 2.1.网络平台系统功能 (9) 2.2.网络平台总体布局 (9) 2.3.网络设计原则 (10) 2.4.组网方案及说明 (11) 2.4.1.方案说明： (11) 2.4.2.方案线路及费用说明： (13) 第三章安全设计 (13) 3.1.安全需求分析： (13) 3.2. 网络安全解决方案 (14) 第四章数据中心设计 (17) 4.1.数据中心建设要求 (17) 4.2.数据中心设计 (19) 第五章网络中心机房设计 (21) 5.1.网络中心机房设计要求 (21) 5.2.网络中心机房设计 (21) 第六章应用层设计 (22) 6.1.门户网站 (22) 6.1.1网站设计要求 (22)
6.1.1. 1应用设计要求 (22) 6.6.1.2功能设计要求 (23) 6.1.2网站设计原则： (23) 6.1.3网站栏目要求 (24) 6.2.外网公众受理（在线大厅） (27) 6.3.网上行政审批 (28) 6.4.电子监察系统 (33) 6.4.1实时监察 (33) 6.4.2投诉处理： (34) 6.4.3综合查询： (35) 6.4.4统计分析 (35) 6.4.5系统设置： (36) 6.4.6预警纠错： (36) 6.4.7绩效考核 (36) 6.4.8服务评议 (36) 6.4.9预警反馈 (36) 6.5.行政许可在线办理 (37) 6.6.行政处罚系统的业务功能 (37)
XX公司外网管理制度 第一条目的 1．制定本制度目的是为了提供公司外部网络集中化管理的规范，包括网络管理、网络接入管理、公司网络资源管理等。 2．此制度同时包含了有关网络的正确使用、信息安全和公司内部各部门的协调等方面的工作原则及相关前提条件。 第二条范围 本制度是指针对分布在各部室的外网计算机及相关设备、网络接入、Internet出口以及网络上提供的各类服务如Internet点子邮件、代理服务等做出统一、全面的管理，并以此作为计算机、使用人员管理的工作制度。 第三条主管部门 信息中心作为公司网络规划、设计、建设和管理部门，有权对公司网络运行情况进行监管和控制，并对公司外网上的信息进行检查和备案。 第四条网线管理规定 1.公司信息中心负责外部网络的运行管理、设备管理和规划、保证 公司外部网络的畅通 2.信息中心负责公司接入设备的安装、调试和日常维护，任何部门 和个人不得私自移动、改动有关设备。 3.主干网及楼层网络跳线一经固定，任何部门、个人不得私自改变，
如需调整，需相关部门提出申请，报网络技术部审核同意，再由信息中心进行有关跳线更改工作，网络管理员需做好相应的记录。第五条IP地址、用户账号管理规定 1．与公司外部网络相连的电脑及网络设备IP地址由信息中心负责统一管理和分配。 2．入网部门应统一向信息中心申请分配或增加IP地址。入网部门或个人应严格使用信息中心分配的IP地址，严禁盗用他人IP 地址或私自乱设IP地址。信息中心有权切断乱设的IP地址入 网，以保证公司外网的正常运行。 3．个人开机密码和屏保密码由使用人员设定，网络管理员对入网计算机和用户进行逐个登记、分配IP地址和办理有关手续。符 合要求的计算机和用户方可入网运行、对外通信。 4．对于盗用IP地址、盗用他人口令、入侵及破坏网络和计算机系统、违犯网络用户行为规范的行为，信息中心将要求相关部门 给予配合，并会同有关部门共同查处；触犯国家有关法律者需 报公安机关依法追究责任。 第六条计算机、信息及网络安全管理 1．上网信息管理实行谁上网谁负责、后果自负的原则。上网信息不得违反国家法律法规或侵犯他人知识产权的内容。 2．各用户必须自觉遵守国家有关保密法规： 2.1 不得利用互联网泄露国家、公司机密； 2.2 涉密文件、资料、数据严禁在外网计算机上流传、处理、
广域网安全建设的思路和部署 文/孙松儿广域网安全建设的特点分析 在企业的广域网建设过程中，分布在不同位置的远程企业分支作为广域网络的重要组成部分，是客户完成与企业大多数业务往来的主要场所。从政府、金融银行、大企业、零售业等行业来看，其分支机构都在想方设法提升分支机构的办事效率，增强分支机构的多业务支持能力，以便在降低成本的同时满足客户对更多元化服务的需要。而安全的广域网分支建设，又是各项业务能否正常开展的关键环节，和企业园区网络的建设不同，企业广域网远程分支的安全建设有其自身的特点。 (i) 认证鉴权方面的需求多样性 和企业总部局域网园区接入环境相比，各广域分支在认证鉴权方面有其特有的要求。在局域网园区接入环境下，员工的办公地点相对固定，局域网为其网络接入方式，这意味着可以实现统一的认证授权管理方式。而广域网分支办事处因为工作性质的关系，员工可能缺乏固定的网络接入点，部分员工还存在远程办公的需求。因此在认证方式上必然存在多种形式，除了基础的802.1X或portal认证方式之外，还可能存在L2TP+IPSec 以及SSL VPN等远程接入方式，或者是需要考虑如何在MPLS的环境下实现接入认证等。 各类不确定的认证方式必然带来管理上的复杂性，使得企业在实施这些认证方式时，很难建设完整的覆盖各种人员的认证鉴权系统。由于缺乏身份认证，出于对资源冒用的担心，企业会实施严格的限制策略进行总部资源访问控制，或者只是有限开放几种应用给广域网分支，从而无法实现多业务分支的构想。 (ii) 接入客户端的安全状况不可控性 广域网分支办事处员工本身因为工作性质的关系，可以自由开放的使用诸如USB和移动硬盘等形式的存储介质，而这也将成为网络安全风险的一个关键来源。同时，分支机构终端通过广域网线路进行统一的补丁分发和修复，大数量的并发操作，会给广域网带宽带来重大负荷。在这种情况下，如何实现对接入客户端的安全可控？如何在广域网下进行统一的终端接入控制管理？如何实现集中式的统一管理？ 在各接入客户端的随意个性化使用的同时，如何保证客户端本身的安全状态？ (iii) 多业务分支建设和广域网链路服务质量之间的矛盾 在广域网分支的业务扩充过程中，更多的业务被引入到分支机构，这意味着可能需要消耗更多的广域网链路带宽。对于诸如语音视频会议等对时延敏感的业务，则需要提供更高的QoS服务质量来进行保证。这将导致：一方面，企业需要不断的扩容广域网链路的带宽，以使分支承载更多的业务部署；另一方面，扩容必然导致网络建设维护成本的提高，且不能保证完全达到预期的效果。往往是带宽上去了，但有时候部分关键业务仍然没有得到足够的带宽，反而是其他一些优先级相对较低的业务侵占了本来就
无线宽带广域网系统 网络规划手册 上海无线绿洲通信技术有限公司 2009-04
本资料著作权属于XXXX所有，未经著作权人同意，不得摘录、复制、翻译、注释、编辑，侵权必究。 声明：由于本公司产品和技术不的不断更新、完善，本资料中的内容可能与实际产品不完全相符，敬请谅解。如需查询产品的更新情况，请联系XXXXXXXX。 XXXX系统 网络规划手册 作者 XXX 责任编辑 XXX * * * * 公司地址XXXX
手册使用说明 读者对象 本手册主要为无线绿洲无线宽带广域网的网络规划人员书写的，要求读者做好以下必要的准备： ◆理解无线宽带广域网的无线工作原理； ◆话务模型和理论 ◆TCP/IP网络知识 内容介绍 本手册主要描述了基本无线传输模型，网络覆盖的链路预算，无线网络的组网形式，容量估计和扩容策略，以及面向应用的IP组网形式。并对系统间的干扰做了分析。同时配以了必要的图示。 获取技术支援 上海无线绿洲通信技术有限公司建立了技术支援中心。客户在产品使用过程中遇到问题时请随时与上海无线绿洲通信技术有限公司技术支援中心联系。 修订记录 日期版本/更改状态描述作者审校
目录 网络规划手册 (1) 1. 网络规划简介 (6) 2. 无线网络规划 (6) 2.1. 无线网络规划的基本步骤 (6) 2.2. 无线网络性能指标 (8) 2.3. 无线信号覆盖规划 (8) 2.3.1. 无线电波传播 (8) 2.3.2. 链路预算 (10) 2.3.3. 频率规划 (13) 2.4. 网络容量规划 (22) 2.4.1. 容量估算 (22) 2.4.2. 热点覆盖和扩容 (24) 2.5. 小区数目计算 (26) 2.6. 基站选址 (27) 2.7. UW100系统与DCS1800系统共存干扰分析 (29) 2.7.1. UW100下行对DCS1800上行干扰 (31) 2.7.2. UW100下行对DCS1800下行干扰 (32) 2.7.3. UW100上行对DCS1800下行干扰 (32) 2.7.4. UW100上行对DCS1800上行干扰 (32) 2.7.5. DCS1800下行对UW100上行干扰 (32) 2.7.6. DCS1800下行对UW100下行干扰 (33) 2.7.7. DCS1800上行对UW100下行干扰 (33) 2.7.8. DCS1800上行对UW100上行干扰 (33) 2.7.9. 干扰保护建议 (33) 3. IP系统组网 (33) 3.1. 组网方式 (34) 3.1.1. 小型网络组网图(1 ~ 5台基站) (34) 3.1.2. 中等网络组网图(5 ~ 50台基站) (35) 3.1.3. 大型网络组网图(50~ 500台基站): (38) 3.2. 网元 (43) 3.2.1. 基站 (43) 3.2.2. BackBone网络 (43) 3.2.3. Access Router ................................. 错误!未定义书签。 3.2. 4. DHCP Server ................................... 错误!未定义书签。 3.2.5. AAA 服务器.................................... 错误!未定义书签。 3.2.6. Billing Server: ............................... 错误!未定义书签。 3.2.7. EMS(Element Management Systems): .............. 错误!未定义书签。 3.2.8. MBMS(Multimedia Broadcast Multicast Service): . 错误!未定义书签。 3.2.9. Border Router ................................. 错误!未定义书签。 3.3. 网络配置参数 (47) 3.4. 网络示意图实例 (48) 3.4.1. 西南某运营商的运行网络拓扑图实例 (48) 3.4.2. 山东某地运营商的网络拓扑图实例 (49)
子网规划与划分实例讲解Last revision on 21 December 2020
子网规划与划分实例讲解原打算从IP地址说起，但考虑到时间关系，再加上文字功底薄弱，就省略了，在往下阅读之前，建议先了解IP地址的分类、点分十进制与二进制间转换、网络掩码，逻辑“与”操作等网络基础知识。 需要进行子网规划一般两种情况： 一、给定一个网络，整网络地址可知，需要将其划分为若干个小的子网 二、全新网络，自由设计，需要自己指定整网络地址 后者多了一个根据主机数目确定主网络地址的过程，其他一样。 我们先来讨论第一种情况： 例：学院新建4个机房，每个房间有在需要将其划分为4个子网。 分析： C类的IP 要划分为4个子网必然要向最后的8位主机号借位，那借几位呢 我们来看要求：4个机房，每个房间有25台机器，那就是需要4个子网，每个子网下面最少25台主机。 考虑扩展性，一般机房能容纳机器数量是固定的，建设好之后向机房增加机器的情况较少，增加新机房（新子网）情况较多。（当然对于我们这
题，考虑主机或子网最后的结果都是相同的，但如果要组建较大规模网络的时候，这点要特别注意。）我们依据子网内最大主机数来确定借几位。使用公式2n-2>=最大主机数2n-2>=2525-2=30>=25 所以主机位数n为：5 相对应的子网需要借3位 得到6个可用的子网地址：全部转换为点分十进制表示 注意在一个网络中主机地址全为0的IP是网络地址，全为1的IP是网络广播地址，不可用所以我们的子网地址和子网主机地址如下： 我们再来讨论一下第二种情况： 全新的网络，需要自己来指定整网络地址，这就需要先考虑选择A类、B 类或C类IP的问不给定，任由自己选择，那，有的同学可能会说，直接选择A类地址，有24位的主机位来随便借位。 当然可以，但那就会浪费N多的地址了，在局域网内当然可以随便你设置，但在广域网里可没有这么大的地址来给你分配，所以从开始就要养成个好的习惯。 那如何选择呢 和划分子网的时候一样，通过公式计算（2n-2），我们知道划分的子网越多浪费的地址就越多。 还记得上面我们每个子网里面都有两个IP不能用吗（主机位全为0或全为1）每次划分子网一般都有两个子网的地址要浪费掉（子网部分全为0或全为1）
关于企业信息外网注册申报的说明 一、新办企业信息网上填报： 1、登录绍兴县招投标网后，点击“会员注册”（图一）。 图一 2、弹出会员注册信息页面（图二），注册类型选择“工程建设投标人”，填好下面所有的空格后点击页面下部的“提交”按钮，弹出图三提示，初始注册完成。 图二 图三 3、按图三的提示，回到绍兴县招投标网首页，用刚才输入的组织机构代码证号和密码作为用户名和密码登录，弹出企业信息网上填报系统（图四）页面。
图四 4、点击顶部“基本情况、营业执照、简介等”，出现相应页面，填完当前页面的信息后，点击底部的“保存”按钮保存，全部页面的信息填好保存后，点击右上角提交按钮（图四）进入提交页面，点击“提交审核”，出现图五提示，点击“确定”，企业信息网上申报完成。带上书面申报材料和原件到招投标中心受理处按程序办理建设工程交易席位。 图五 二、已办理企业网上信息查询和新增交易员、建造师的申报： 办理完工程建设交易席位后，企业的联系人和交易员能收到用户名和密码，联系人和交易员用用户名和密码可以在绍兴县招投标网首页登录进行网上报名、查看企业资料信息、新增交易员和建造师的网上申报等业务。 1、网上报名： 用户名和密码登录后即进入网上报名界面（图六），点击某项目的“报名/查看”，出现该项目的网上报名界面（图七），选择项目经理后点击“报名”，即完成网上报名。点击返回后，回到图六界面，该项目序号前出现“已报名”，说明网上报名成功。报名时若出现“资质不符”等提醒字样，说明企业资质或项目经理资质不符，或建造师已有中标项目，若核对无误，资质均符合公告要求，则可联系招投标中心联系。
图六 图七 2、查看企业资料信息： 用户名和密码登录后即进入网上报名界面（图六），点击“企业资料”后出现企业情况界面（图八），可以查看席位编号等所有企业基本信息，点击“营业执照、简介、资质、股东、A证备案、交易员席位、建造师、信用档案等”出现相应界面查看相应信息。所有信息可以查看，但不能修改，如有信息与实时不符，请到招投标中心受理处现场修改。 图八 3、新增交易员和建造师 点击“交易员席位或建造师”即出现相应界面（图九、图十），点击“新建”，即出现新建交易员或建造师界面（图十一、图十二），填具所有信息和上传照片后，点击“保存”，该交易员或建造师新增完毕，保存完所有交易员或建造师后，点击图九、图十的“提交新资料”后，带上原件及相关资料到招投标中心受理处办理新增事项。其中，新增建造师时，资质部分“备注”处需要填写注册建造师的资格证书编号和注册编号。
宿迁学院2009-2010学年第一学期《组网工程》期末考试作业 姓名： 学号： 班级： 任课老师：
如何设计广域网网络拓扑结构 ——无线接入广域网连接拓扑结构设计 近年来，随着移动电话通信的迅速发展，个人计算机的迅速普及，多种便携式计算机，例如膝上型计算机、手持式智能终端和等迅速增多，固定方式的数据通信已不能满足需要。人们希望能通过无线的通信方式随时随地进行数据信息的传送和交换。在这样的需求下无线数据通信发展迅速，已经成为无线通信领域的一个重要潮流。 1、无线接入网 众所周知，本地交换机(端局机)至用户之间的线路，叫本地环路(用户环路呀用户线)。这线路要占市话网投资50％以上甚至还多，而引起的故障却占70％ 以上，而传统上是用双绞铜线，只能传话音和低速数据，这本地环路已成为现代高速通信发展的“瓶颈”。 在建议G963中，建议提出接入网( )新概念：“由于现有的本地网络上处于 向其他的交换与传送技术的演变之中，需要引进一个新的概念，这就是接入网”。 在1995年7月对接入网定义为：“用户接入网是由业务节点接口和相关用户网络接口之间的一系列传送实体(诸如线路设施和传输设施)所组成的为传递 电信业务提供所需传送承载能力的实施系统”。接入网包括传输系统、复用设备、用户与网络接口设备以及数字交叉连接设备等。 接入网可以部分(主分线器或分线器至用户)或全部(端局机至用户)替代本地 环路，所以，有人把接入网称为本地环路。接入网接传输介质分为有线接入网和 无线接入网。有线接入网最早用线缆接入，后来用光纤与同轴混合接入()、光纤接入和(、)等。 无线接入网是大有作为的。因为它组网灵活、扩容方便、维护费用和运营成 本低、安装快捷、系统简单、覆盖范围广，可适用于市区、市郊、农村(包括沙漠、海岛、高原等地形)。而且，可靠性和话音质量都很好。所以，无线接入网可以替代本地环路，可以用于有线铺设极困难的地方。更为重要的是，要实现任何人能随时随地不受时空限制与世界上其他任何人进行通信(个人通信)，没有无 线接入网是不可能实现的。 无线接入网是用无线通信系统全部或部分替代传统的本地环路，所以，无线 接入网又称为无线本地环路( )或无线用户系统( )。无线接入网按用户终端分
广域网监控系统通用方案 一、概述 网络视频监控产品是最近几年面世的第三代全数字化远程视频集中监控设备，利用它可以将传统摄像机捕捉的图像进行数字化编码压缩处理后，通过局域网、广域网、无线网络、Internet或其它网络方式传送到网络所延伸到的任何地方，千里之外的网络终端用户通过普通电脑就可以对远程图像进行实时的监控、录像、管理，不受时间与地域的限制。 在本系统规划调研阶段，我们对现在主流的监控模式进行了全方位的分析比较： 1、传统的模拟监控模式：需要在各分点与总部之间架设模拟图像传输的专用光纤专线，由于各分点分布比较广，仅仅是线缆敷设的费用就是天价了。 2、基于硬盘录像机的第二代准数字化本地监控模式：主要运用于本地录像，但在远程传输环境中，始终无法解决网络带宽占用过高、传输延时过大、无法多路同时监控等问题，而且由于系统架构方面的原因，这种监控模式无法实现中心统一集中管理、录像与回放的需求。 3、基于网络视频服务器、网络摄像机的远程监控模式：通过在各分点配备网络视频服务器、网络摄像机，将本地监控摄像机拍摄的模拟图像进行数字化压缩处理后，通过网络上传到监控中心集中管理、录像、远程回放和对讲，联网的客户端电脑可以实时监控相关图像，也可以随时访问录像主机调用历史录像数据回放显示。 二、系统设计 1、用户需求 ?在总部通过网络，能让多人对分布在各地的多个分点进行远程视频监控、录像。 ?在总部的监控中心，能将所有的视频信号，通过电视墙自由地切换显示。 ?出差在外，仍可通过上网实现远程监控。 ?具有良好的扩展性，能方便地增加监控点及报警、对讲、广播等功能。 ?操作简便、功能强大、界面友好。 2.系统架构 按照该企业网络状况及实际操作的可行性，网络监控系统主要组成模式为分散安装、监控中心统一监控管理。 在监控点架设若干个视频服务器，用于采集摄像机等视音频捕捉设备所采集的视音频信号，或直接安装网络摄像机，与监控中心网络相连，将所采集的视音频信号传送到中心监控。2.1、示意图和系统架构
公司外网信息管理暂行办法 第一章总则 第一条为规范公司外网信息管理，发挥公司外网在树立企业形象，强化精细管理，建设企业文化，服务公司直属各单位的作用，根据国家法律、上级有关规定和公司实际，制定本暂行办法（以下简称“办法”）。 第二条本办法所称公司外网，主要指公司对外网站及其所设栏目；所称“集团公司”，是指中国葛洲坝集团股份有限公司；所称信息资源，是指公司及机关各处室在依法行使管理职能，树立企业形象，服务公司各单位的过程中制作、获得或掌握的可以公开发布的各类信息。 第三条公司外网的主要职能是：宣传公司生产经营发展动态，宣传公司企业文化，发布招标投标、人才招聘信息，服务企业管理。 第四条公司职工和社会公众均有权访问公司外网。 第五条公司外网信息发布及管理目标是：在公司党委、公司领导下,将外网建设成为公司内外宣传的平台、职工监督的平台、强化管理的平台、职工教育的平台和内外交流的平台。 第二章组织管理 第六条公司外网在公司党委、公司的统一领导下，由党群办公室管理、运行、监督，机关各处室要按照各自的职能，设专人按本办法第九条的分工负责本处室上网信息的发布与管理工作。 第七条从事外网信息发布及管理的工作人员应具有较高的政策、业务水平，较强的责任心和为公司服务的意识和能力，在处室负责人领导下进行信息的发布与管理。 第三章信息资源管理及发布 第八条外网发布的信息资源，遵循“谁发布，谁负责；谁承诺，谁办理”原则。
第九条公司外网所设主要栏目及责任处室如下： （具体分工详见附表）
第十条公司各类信息发布遵循“资源共享，应用优先，内外有别，安全保密”的原则。有利于展示公司经营实力，宣传公司企业文化，树立公司企业形象的信息，应及时在外网公布。 第十一条网站禁止发布传播下列内容的信息： （一）危害国家安全和社会稳定的； （二）损害民族团结的； （三）损害国家荣誉利益和企业形象的； （四）涉及国家秘密、企业秘密、个人隐私的； （五）传播邪教和封建迷信的； （六）散布淫秽、色情、赌博、恐怖、暴力或教唆犯罪的； （七）侮辱或诽谤他人的； （八）侵害他人合法权益的； （九）与公司各项工作无关的个人信息； （十）法律、法规禁止的其他内容。 第十二条信息发布遵循下列程序： （一）公司各处室根据相关权限，收集或制作相关信息； （二）各处室对信息的真实性，应否发布等进行初审，部门负责人签署意见； （三）重要信息内容视情况报分管领导或公司主要领导批准； （四）根据公司领导或部门负责人的意见在一个工作日内上网发布。 第十三条公司及各单位新闻稿件由公司党群办公室按照第十二条规定的程序上网发布。 第十四条从公司外部网站、报刊等转载的信息、新闻等，责任处室要审核其内容的真实性，并由处室负责人批准发布，发布时要注明出处，以便查考。 第十五条禁止在公司外网上发布公司经济、科技秘密或尚在保密阶段的文件、信息。 第十六条公司各级管理人员和职工在浏览、使用、传播公司外网信息时，应当遵守公司保密制度，严防泄密事件发生。 第十七条公司外网标识按集团公司企业文化标识系统设计制作，任何单位和个人不得擅自改动。 第十八条公司外网的基本链接主要包括：
电子政务外网（城域网）建设方案 **********电子政务外网（城域网）是全市电子政务外网建设的有机组成部分。为了切实做好我县（区）的电子政务外网城域网建设工作，按照统一规划，分级实施的原则，特制定本方案。 一、建设目标 *******县区电子政务外网城域网建设总体目标是：按照省信息中心统一部署，利用公用基础通信设施和现有资源，延伸建设电子政务外网县区级平台，实现横向连接党委、人大、政府、政协和县区法检两院等机关单位；根据国家电子政务外网安全保障体系统一标准，建设县区电子政务外网安全保障体系；建设县区电子政务外网运维服务体系，确保网络及业务支撑平台正常运行；为各外网用户提供设备托管、运行监控等服务。 二、主要内容 *******县区电子政务外网城域网建设主要包括以下几个方面的内容：一是推进电子政务外网硬件平台及机房改造，实现县区互联网统一出口。按照省信息中心电子政务外网机房建设标准要求，结合全区实际，尽快完成外网机房改造升级，为各类政务信息化应用系统提供网络基础、应用支撑和安全保障。二是加强政府门户网站和部门子网站建设，提高服务水平。充分发挥县区政府门户网站龙头作用，切实加强网上监督、公众
诉求信息处理、在线交流等系统建设，以“一站式”服务为目 标，积极推进行政许可项目网上办理。三是积极推进电子政务应用系统建设。要加快各单位内部局域网建设，使用统一办公平台，处理单位内部协同办公业务。依托市统一电子政务平台，做到跨县区、跨部门网络协同办公。四是积极推进网上行政审批与电子监察系统建设，实现并联审批。五是加快推进数据库建设，实现政务信息资源在同级政府各部门间的横向交换、共享和公开，实现政务信息资源的纵向传输，满足各级政务部门的信息需要。 三、网络结构 **********电子政务外网城域网建设，根据线路资费及业务开展实际情况，先期选用裸光纤或2M专线实现与区直各政务部门的连接，基本形成省、市、县区三级电子政务外网主干传 输网络。 整体网络结构如下图： *****城域网拓扑图
上海XX公司Riverbed广域网数据优化方案 二〇〇八年九月
1. 什么是广域网数据服务－WAN Data Service 众所周知，由于互联网的普及，TCP/IP已经成为一个被广泛采用的网络协议。越来越多的公司业务已经离不开基于TCP/IP网络而开发的应用。随着公司业务的发展和全球化的趋势，公司会在总部以外的地区和国家建立更多的远程办事机构。这样一来，公司的业务系统就必须运行在广域的TCP/IP网络之上。 我们知道，相比局域网络，广域网络的带宽只有1/100或更少，而延迟却增加100倍或更多。在局域网络上运行的非常好的应用到广域网络上运行时，一定会碰到效率极其低下等问题，会严重影响企业的生产效率。 在过去的时间里，好多网络厂商已经意识到该问题，提出了好多解决方案。比如采用压缩技术，流量管理技术，缓存技术等。所有这些技术只能在某一方面对广域网络进行加速，由于没有涉及TCP/IP的本质，使用效果不佳且带有相当大的局限性。 由于广域网存在的传输性能问题，为了提高在分支机构工作的员工的应用响应速度，许多的大型客户往往在分支机构部署本地的文件服务器，打印服务器和邮件服务器。这样虽然暂时解决了远程客户的应用响应速度，但是也造成了远程机构IT基础架构的复杂性，大大增加了设备成本和人员维护成本。
广域数据服务（WAN Data Service）作为一个新兴的技术领域，为克服跨广域网应用性能瓶颈带来了一种创新的方法。它可以加速应用系统在广域网上的响应速度，提供高效的带宽利用率并且在广域网环境中实现数据大集中。 广域数据服务解决方案 “让广域网像局域网一样”实际上有两方面的意思：1) 使广域网的性能具有质的飞跃，尤其针对那些在局域网上可以正常运行，但一到广域网就受到极大影响的应用和协议。2) 能处理和对付横跨分布式企业网络的范围广泛的应用和协议。 对广域网进行全方位改进的解决方案我们称之为广域数据服务(WDS)。广域二字不单单指的是广域网，它还意味着WDS所应用的范围非常广泛，以及WDS对各种各样瓶颈问题所进行的全方位改进。 WDS不仅仅只是一个面向性能和效率的解决方案，它同时也是一个能帮助我们实现以下这些以前所无法实现的目标的途径： 在不影响远程用户的前提下，将分布式的IT基础设施如文件服务器、邮件服务器、网络附加存储(NAS)和远程办公室备份系统等集中起来，整合到统一的数据中心。 让企业位于世界各地的同事共享大型文件变得简单而高效，使他们感觉就好像在同一建筑里办公一样。 通过长距离广域网链路进行备份与复制操作，而仅仅在一年前，想在备份窗口内完成这些操作都是不可能的任务。
无线网络采购技术要求 一、需求目标 1、信号覆盖范围：南宁基地办公楼和车间；制造事业部、铸造事业部、船电事业部办公楼中高层领导办公室和会议室。 2、须实现如下控制策略： 玉柴员工须通过玉柴AD域进行用户验证，方可访问玉柴网络。缺省无网络访问权限。 区分玉柴普通员工、中高管、访客权限； 3、须提供无线网络管理工具，并实现如下功能： a)无线网络配置的统一管理； b)监控无线AP、无线控制器的运行状态； c)支持对非法AP的检测、告警及反制，支持防钓鱼AP； d)提供无线网络用户使用情况统计报表； 4、POE供电交换机通过SFP接口与园区汇聚交换机连接; 5、根据现场调研编写方案，设备数量由厂家自行确定。
二、设备清单及参数 序号货物名称 参考品牌/型 号 数量单位技术参数、性能（配置）及其他要求 1 无线AP控 制器 华为/H3C/深 信服/cisco等 品牌 台 一、硬件配置和性能要求 1、▲集中转发模式下最大可支持管理AP数≥ 560，本地转发模式下最大可支持管理AP数≥ 1600；license步长≤2； 2、▲单台设备千兆电口数≥6；千兆SFP光口数 ≥4；USB接口数≥2；并需提供1个RJ-45 Console 管理口 3、▲内置本地认证服务器，且最大账号数不少 于65000个；▲内置硬盘，硬盘大小≥500GB（保 留拆机测验权利） 4、支持802.11ac、802.11a、802.11b、802.11g、 802.11n；支持802.1x、Portal、MAC地址认证、 CA证书认证、二维码审核认证、微信认证、短信 认证等认证方式； 5、▲提供802.1x一键自动配置工具，能够快速 的完成802.1x认证的部署配置；支持内置CA证 书颁发中心；内置微信认证、短信认证，无需外 置服务器（提供截图证明并加盖厂商公章）； 6、▲提供多种规则的页面推送方式，支持根据 AP/SSID、终端类型、时间计划推送不同的Portal 页面，实现不同的楼层推送不同的Portal认证 页面； 7、支持Portal页面全屏效果展示，并支持倒计 时的形式，强制用户观看一定时间的页面展示才 允许认证上网； 8、支持跨三层网络进行网络部署；支持二、三 层无缝漫游；支持集中转发和本地转发两种部署 模式；支持在同一个AP上实现部分本地转发部 分集中转发； 9、▲内置应用识别库，能识别不低于2000种的 网络应用（提供截图证明并加盖厂商公章）；内 置预分类URL库，能识别不低于千万级的URL； 为了保证应用和URL识别的准确率，要求至少每 两个星期保持更新一次； 10、支持基于用户、用户组、接入位置、终端类 型、终端MAC地址、时间段、Radius Class属性、 LDAP的组织单元、安全组进行上网权限控制
NGAF广域网安全建设方案模 板
1.应用背景 在当前互联网的浪潮下，日益成熟的网络基础建设和互联网丰富的资源大大提高了人类的生产力和生产效率，各组织业务得以持续、快速、高效的发展。然而无处不在的网络带给人类发展便利的同时，也随之带来了诸多的网络安全风险。 互联网出口承载着内部所有用户的上网需求，首当其冲承受着最直接的安全威胁，因此在该区域部署相匹配的安全防护手段必不可少。 2.需求分析 2.1.基础需求 2.1.1.用户访问无控制，安全不可控 在广域网环境下分支机构的各类用户对互联网或数据数据中心经常仅具有一部分的访问权限，而在实际网络中因仅仅解决了基础网络的使用，导致很多用户可以对互联网或数据中心随意进行访问。 最终使得各分支与总部没有实现有效的边界访问控制，无法对用户的访问行为进行有效的管理与审计。 2.1.2.无用数据占用带宽，影响业务运行 在用户访问互联网或数据中心时，经常会产生大量的非关键业务流量或垃圾流量占用有限的宽带资源。这样的情况严重了影响关键业务的正常运行，那么我们应该如何保证数据流在广域网中按业务的重要程度进行不同优先级的调度？
2.2.安全需求 2.2.1.网络欺诈泛滥，员工遭受损失 互联网发展越来越快，人们对互联网的依赖性越来越强，网上购物、数据存储、信息查询等等业务应用不断向互联网端迁移，这也使得了攻击者可以通过互联网获取想要的一切。 而随着越累越多的黑客察觉到了其中的利益后，各种钓鱼网站、网络欺诈便开始变得层出不穷。网络欺诈的泛滥直接导致了各类用户的经济损失、数据泄露，而各分支机构往往安全防护薄弱、员工安全意识低，最终致使网络欺诈行为屡获成功。 2.2.2.僵木蠕隐蔽性强，终端大量失陷 大量的网络攻击往往都是通过僵木蠕的传播来实现的，而对于分支机构的终端来说从互联网端下载的参考资料、办公软件等数据便是主要的威胁来源。 为了更易感染终端，僵木蠕等恶意流量往往与参考资料、办公软件等进行捆绑，诱导用户下载执行从而感染终端实现后续目的，而分支机构边界的薄弱也就促成了恶意流量在整个广域网中肆意泛滥。 2.2. 3.缺乏持续检测，失陷主机成为攻击跳板 当终端感染僵木蠕之后，往往会被攻击者控制成为僵尸主机或攻击跳板，此类失陷主机也是进行APT攻击或更加深入攻击的首要条件。失陷主机在网络中往往隐藏很深，可能通过多种途径实现传播感染或对外通讯，最终达到破坏窃取等目的。 而现有的网络中，哪怕存在了一定的边界防护设备，也很难发现失陷主机。主要原因便是失陷主机行为利用了大多数防护设备的逻辑漏洞，最终导致失陷主
中煤第一建设公司信息管理中心 广域网建设方案 2009年3月 根据公司综合项目管理信息系统建设的需要和集团公司《关于完善集团公司广域网的通知》（中煤信息〔2009〕138号）要求，决定实施公司广域网建设方案。 一、承建商 由集团公司广域网承建商中国电信来进行承建。 二、建设内容 需要建设公司机关与所属各单位连接的点对点数字专线，共计10条。与所属各施工单位建立的点对点数字专线带宽为4M，与所属两厂、职工医院建立的点对点数字专线带宽为2M。 专线接入单位的地理位置分布如下表： 该广域网将承载以下主要业务： 1、办公自动化系统及电子公文传输系统 运行公司办公自动化系统和电子公文传输系统，提供统一的公文交换平台。 2、综合项目管理系统
运行公司综合项目管理系统，增强公司对项目的管控能力。 3、数据中心 集中存储公司的各种业务数据，提供业务数据服务支撑。 4、视频会议系统 适时建设视频会议系统，要求视频会议系统具有实时性、连续性，数据传输要有QoS（传输质量）保证，至少要支持CIF画面质量以及连续的声音，每条专线带宽耗用在1.5M以上。 5、其他管理业务系统 运行其他管理业务系统，提供统一的业务数据交换及系统资源共享平台，避免重复建设。 三、线路要求： 1、线路通路全年可用率平均达到99.8％ 2、线路端对端全年可用率达到99.7％ 3、全年在四个小时内恢复线路的百分比为95％ 4、全年总恢复时间不超过48小时 5、线路比特率误码率等于或小于10E－7 6、具备SDH传输自愈环网。 四、组网集成要求： 1、所属各单位分节点广域专网接入点都采用光纤接
入。 2、在各条专线节点上，采用光端机接入，提供以太网接口。 3、采用星形网络结构，在中心节点采用155M光端机,提供以太网接口。 4、公司中心节点采用双物理光缆路由接入，并保证在主用链路发生故障时能够切换到备用链路。 5、带宽可以平滑升级；线路带宽升级时，用户不需增加新的接口设备。 五、环境要求 公司机关建有中心机房，线路及设备进中心机房。所属各单位须提供不小于15平米的房间作为计算机机房，安放计算机设备及网络设备。 各单位须按公司分配的IP地址范围重新设置本单位网络设备的IP地址，并报公司信息管理中心。 公司IP地址分配表 六、工期要求 整个建设实施须在天内完成。 七、费用预算 2M带宽： 4M带宽：