当前位置：文档之家 › BIMS技术白皮书--H3C

BIMS技术白皮书--H3C

  • 格式：pdf
  • 大小：673.48 KB
  • 文档页数：21

BIMS技术白皮书Huawei-3Com Technologies Co., Ltd.华为3Com技术有限公司All rights reserved版权所有侵权必究Catalog 目录1概述 (5)2技术方案 (5)2.1方案概述 (5)2.2网管侧的实现 (6)2.3设备侧的实现 (6)2.4交互流程举例 (7)3功能特点 (8)3.1功能 (8)3.1.1设备管理 (8)3.1.2文件管理 (9)3.1.3升级管理 (12)3.1.4安全管理 (18)3.2性能 (20)3.3特点 (20)4组网应用 (21)4.1实施步骤 (21)Figure List 图目录图1 BIMS技术方案示意图 (5)图2 BIMS GUI管理台 (6)图3 BIMS典型交互流程示意图 (7)图4 添加设备 (8)图5 设备分组管理 (9)图6 设备交互状态监控 (9)图7 添加文件 (10)图8 文件分组管理 (10)图9 查看编辑配置文件 (11)图10 配置文件比较 (12)图11 为设备指定待升级文件 (13)图12 为文件指定待升级设备 (14)图13 指定文件的生效方式 (14)图14 设备历史配置文件列表 (15)图15 设备升级进度监控 (16)图16 设备升级历史记录列表 (17)图17 为设备指定基线配置 (18)图18 操作员分级及登录控制 (19)图19 浏览操作日志 (20)图20 浏览与设备的交互记录 (20)BIMS技术白皮书关键词：BIMS, Quidview，SNMP，网管摘要：BIMS用于实现对DHCP或位于NAT网关后面的网络设备的集中、有效的管理和监控。

缩略语清单：缩略语英文全名中文解释BIMS Branch Intelligent Management System 分支网点智能管理系统HTTP Hypertext Transfer Protocol 超文本传输协议HTTP 加密的HTTP协议HTTPS SecureSNMP Simple Network Management Protocol 简单网络管理协议XML Extensible Mark-up Language 可扩展标记语言NAT Network Address Translation 网络地址转换DHCP Dynamic Host Configuration Protocol 动态主机配置协议SSL Secure Socket Layer 安全套接字层GUI Graphic User Interface 图形用户界面1 概述目前网络中，接入层的边缘设备数量越来越庞大，且地理位置分散，很多设备采用DHCP或为于NAT网关后面。

对于传统的SNMP网管来讲，这些边缘接入设备是其管理的一个盲区。

传统SNMP网管主要通过SNMP、Telnet等协议来实现对网络设备的管理，这要求网管知道被管设备的IP地址，并且可以主动向设备发起请求并建立网络连接。

如果设备的IP地址不固定，就增加了主动管理的难度；如果被管设备位于NAT网关后面，网管根本无法主动与设备建立网络连接，也就无法对这些设备进行管理。

BIMS就是要解决上述问题，实现对动态获取IP地址的设备或位于NAT网关后面的设备的集中、有效的监控和管理，尤其在对业务应用基本相同、数量庞大并且分布广泛的网络终端设备进行管理时，BIMS会极大提高管理的效率，大大节约管理成本。

2 技术方案2.1 方案概述图1BIMS技术方案示意图传统网管采用主动的方式对设备进行管理，而BIMS采用一种被动的方式对设备进行管理，BIMS和设备之间采用HTTP协议进行通讯，即网管作为HTTP Server，设备作为HTTP Client，依靠设备周期性的主动访问BIMS来实现对设备的管理。

因为网络连接是由设备主动发起的，所以设备IP地址变化不会对连接的建立产生阻碍；即便设备位于私网内，也可穿透NAT建立连接。

传统网管用IP地址来标识设备，而BIMS用ID来标识设备，即设备侧需要为每个设备配置一个固定的、全网唯一的ID，而不再依赖于设备的IP地址，所以设备拥有公网或私网IP地址或IP地址经常变化都不会影响网管对设备的识别。

BIMS与设备之间通过HTTP协议进行通讯，采用HTTP进行通信的优势在于其可方便的穿透防火墙，而且协议简单、易扩展。

2.2 网管侧的实现BIMS网管侧为C/S结构，由BIMS Server和BIMS Client组成。

BIMS Server为网管服务器，负责与设备的交互，运行在普通PC机上，支持windows 2000/windows XP操作系统。

BIMS Client为GUI管理界面，为管理员提供方便、友好的管理接口，运行在普通PC机上，支持windows 98/widows 2000/windows XP操作系统。

图2BIMS GUI管理台2.3 设备侧的实现设备必须实现特定的接口才能够被BIMS管理。

设备上需要做如下初始配置：1、配置设备的唯一标识2、配置共享密钥3、配置BIMS的IP地址和端口号4、配置访问BIMS的周期，以分钟为单位有以下几种方式可触发设备对BIMS的访问：1、设备上电2、定时访问周期到期3、通过命令行即时触发2.4 交互流程举例BIMS与设备的交互都有设备主动发起，以对设备进行配置更新的流程为例：图3BIMS典型交互流程示意图1、管理员通过GUI管理台为设备指定要升级的文件及更新策略2、设备主动访问网管服务器，检查更新3、网管服务器将要更新的文件下发给设备4、设备接收要更新的文件并进行更新操作5、设备将更新结果通知网管服务器3 功能特点3.1 功能3.1.1 设备管理¾添加/删除设备：要对设备进行管理，首先需要将设备纳入BIMS的管理范围，然后才可以通过网管侧的图形界面对设备进行管理。

设备可通过图形界面手工逐个添加或从文件批量导入，也可以在设备第一次向BIMS server发送请求时自动添加。

图4 添加设备¾设备分组管理：为了管理方便，在图形界面上，设备自动按设备类型进行分组。

也可以由用户自定义分组，来实现按区域或其它分类方法对设备进行分组管理。

图5 设备分组管理¾监控设备与BIMS服务器的交互状态：监控设备与BIMS服务器的交互是否正常，对按固定周期与BIMS服务器正常交互的设备、多个周期没有向BMIS服务器发起过请求的设备、从来没向BIMS服务器发起过请求的设备，在界面上以不同的颜色显示，以方便管理员及时发现问题。

图6 设备交互状态监控3.1.2 文件管理文件管理主要是对设备升级使用的设备软件和配置文件进行管理。

¾添加/删除文件：网管侧相当于一个版本库，要给某设备升级某文件，该文件必须先通过图形界面添加到版本库中。

添加时会对文件的类型、内容、名称规范进行一定的检查，以保证文件的正确性。

图7 添加文件¾文件分组管理：为了管理方便，在图形界面上，文件自动按文件类型进行分组。

也可以由用户自定义分组，来实现按其它分类方法对文件进行分组管理。

图8 文件分组管理¾查看/编辑配置文件的内容：支持直接在界面上对配置文件进行查看和编辑，并另存为一个新的配置文件。

图9 查看编辑配置文件¾对配置文件进行比较：支持对任意两个配置文件进行比较，可方便的查看两个文件之间的差异，有助于快速定位配置问题。

图10 配置文件比较3.1.3 升级管理要对设备进行升级，首先要在设备与要升级的文件之间建立关联，即为设备指定要升级的文件或为文件指定要升级的设备。

关联建立后，当设备再次访问BIMS服务器时，关联的文件就会按关联建立的先后顺序下发给设备进行升级，一次下发一个文件，升级完成后，该文件与设备的关联取消。

¾建立设备和文件之间的关联：即为设备指定要升级的文件或为文件指定要升级的设备。

建立关联支持批量操作，即可以为一个设备一次指定多个要升级的文件，也可以为一个文件一次指定多个要升级此文件的设备，从而实现对设备的批量配置。

图11 为设备指定待升级文件图12 为文件指定待升级设备¾检查配置文件的合法性：建立关联时支持对配置文件中关键配置项，如BIMS相关的配置项的检查，以免错误的配置，如配置错误的BIMS服务器IP地址，导致设备脱离BIMS管理。

¾指定配置文件的生效方式：建立关联时，可由管理员指定配置文件的生效方式。

生效方式分两种：1、替换设备原有的启动配置文件，然后重启设备使新的配置文件生效，主要用于新的配置文件为一个完整配置文件的情况；2、逐条执行配置文件中的命令使其生效，主要用于新的配置文件不是完整的配置文件的情况，这种情况下，新配置文件相当于一个批处理文件，可以仅含有少数几条命令，可方便的用来对批量设备进行配置更改。

图13 指定文件的生效方式¾备份设备的历史配置文件： BIMS服务器侧会为每个设备保存多个历史配置文件，以方便日后的回溯和问题定位。

设备每次访问BIMS Server，都会上传设备当前的配置文件，BIMS Server检查与上一次保存的是否相同，不同则再保存一份。

可以通过参数控制每个设备保存的历史配置文件的最大数量，达到最大值后，会删除最旧的。

¾监控升级的进度：在图形界面上可方便的查看设备当前的升级进度。

图15 设备升级进度监控¾保存设备的升级历史记录：在图形界面上可方便的查看设备的升级历史。

可以清楚的了解设备在何时升级过那些文件以及升级成功还是失败。

图16 设备升级历史记录列表¾锁定设备的配置：管理员可为某设备指定一个配置文件作为该设备的标准配置，即基线配置，当BIMS服务器检测到设备当前的配置文件与指定的基线配置不同时，则将基线配置下发给设备，强制设备恢复到基线配置。

为保证安全，基线配置只能在设备的已升级成功的文件或设备上传的文件中指定。

图17 为设备指定基线配置3.1.4 安全管理¾操作员分级管理。

¾支持ACL：限制操作员的登录IP地址。

图18 操作员分级及登录控制¾记录操作员的操作日志：方便问题定位和责任追溯。

图19 浏览操作日志¾记录设备与BIMS服务器的交互记录。

图20 浏览与设备的交互记录¾数据传输支持加密和HTTPS：HTTPS即HTTP＋SSL，SSL是安全套接层，可保证网络传输的安全，推荐使用HTTPS来保证BIMS数据传输的安全性；在设备不支持SSL的情况下，也可以使用对HTTP消息内容加密的方式来保证传输的安全性，加密使用MD5+DES 算法。

3.2 性能在CPU 2G、内存1G的普通PC上，可管理2000台设备。

合集下载

H3C S12500 IRF2技术白皮书

H3C S12500 IRF2技术白皮书

H3C S12500 IRF2技术白皮书关键词：IRF2、HA、冗余备份、高性能摘要：IRF2将两台设备互联起来，形成分布式交换架构，并作为一个逻辑交换实体运行，提高网络的扩展性和可用性。

本文介绍H3C S12500系列数据中心级核心交换机上IRF2的实现和组网应用技术。

缩略语：缩略语英文全名中文解释BFD Bidirectional Forwarding Detection 双向转发检测IRF2 Intelligent Resilient Framework 2 第二代智能弹性架构Availability 高可靠性HA HighLACP Link Aggregation Control Protocol 链路聚合控制协议LACPDU Link Aggregation Control Protocol Data Unit 链路聚合控制协议数据单元MAD Multi Active Detection 多Active检测MPLS Multiprotocol Label Switching 多协议标记交换MSTP Multiple Spanning Tree Protocol 多生成树协议Service 服务质量ofQoS QualityVRRP Virtual Router Redundancy Protocol 虚拟路由器冗余协议目录1 概述 (3)2 S12500 IRF2的技术实现 (3)2.1 S12500 IRF2基本概念 (3)2.2 S12500 IRF2的形成 (4)2.3 S12500 IRF2数据转发 (5)3 S12500 IRF2的组网优点 (7)3.1 简化管理 (7)3.2 高性能 (7)3.3 高可靠性 (8)3.4 简化组网 (8)4 S12500 IRF2分裂和多Active检测 (9)4.1 设备故障 (9)4.2 多Active检测 (9)4.2.1 基于LACP的多Active检测 (9)4.2.2 基于BFD的多Active检测 (10)4.3 故障恢复 (10)5 典型组网应用 (11)5.1 扩展网络处理能力 (11)5.2 提供高可靠性 (12)1 概述IRF2（Intelligent Resilient Framework 2，第二代智能弹性架构）是H3C自主研发的软件虚拟化技术，它的核心思想是将多台设备通过IRF物理端口连接在一起，进行必要的配置后，虚拟化成一台“虚拟设备”，通过该“虚拟设备”来实现多台设备的协同工作、统一管理和不间断维护。

H3C_UniServer_R4900_G5技术白皮书

H3C_UniServer_R4900_G5技术白皮书

H3C UniServer R4900 G5技术白皮书目录1 概述 (1)1.1 产品特点 (2)1.1.1 更高的性能和安全特性 (2)1.1.2 更灵活的存储和更高的I/O性能 (2)1.1.3 直观、可配置的管理系统 (3)1.1.4 卓越的服务器体验 (3)1.1.5 更加的低碳环保 (3)1.1.6 定制化服务 (4)1.2 拓扑图 (4)2 机型介绍 (5)2.1 机箱外观介绍部件 (6)2.2 前面板 (8)2.2.1 前面板组件 (8)2.2.2 指示灯和按钮 (11)2.2.3 接口 (12)2.3 后面板 (12)2.3.1 后面板组件 (12)2.3.2 后面板指示灯 (13)2.3.3 接口 (14)2.4 主板 (14)2.4.1 主板布局 (15)2.4.2 系统维护开关 (16)2.4.3 DIMM插槽 (17)2.5 硬盘 (18)2.5.1 硬盘编号 (18)2.5.2 硬盘指示灯 (20)2.6 硬盘背板 (21)2.6.1 前置8SFF SAS/SATA硬盘背板 (21)2.6.2 前置8SFF UniBay硬盘背板 (22)2.6.3 前置8LFF SAS/SATA硬盘背板 (23)2.6.4 前置12LFF SAS/SATA硬盘背板 (23)2.6.5 前置12LFF UniBay硬盘背板（8SAS/SATA+4UniBay） (24)i2.6.6 前置12LFF UniBay硬盘背板（4SAS/SATA+8UniBay） (25)2.6.7 前置12LFF UniBay硬盘背板 (26)2.6.8 前置25SFF UniBay硬盘背板 (26)2.6.9 中置4LFF SAS/SATA硬盘背板 (27)2.6.10 中置4SFF UniBay硬盘背板 (28)2.6.11 后置2LFF SAS/SATA硬盘背板 (29)2.6.12 后置4LFF SAS/SATA硬盘背板 (29)2.6.13 后置2SFF SAS/SATA硬盘背板 (30)2.6.14 后置2SFF UniBay硬盘背板 (30)2.6.15 后置4SFF SAS/SATA硬盘背板 (31)2.6.16 后置4SFF UniBay硬盘背板 (32)2.6.17 后置2UniBay硬盘背板（适配OCP3.0转接模块） (32)2.7 Riser卡 (33)2.7.1 RC-1FHFL-R3-2U-G5 (33)2.7.2 RC-2FHFL-R3-2U-G5 (34)2.7.3 RC-2HHHL-R3-2U-G5 (35)2.7.4 RC-2HHHL-R4-2U-G5 (35)2.7.5 RC-3FHFL-2U-G5 (36)2.7.6 RC-3FHFL-2U-MH-G5 (37)2.7.7 RC-3FHFL-2U-SW-G5 (37)2.7.8 RC-5HHHL-R5-2U-G5 (39)2.7.9 RC-Redriver-2U-G5 (40)2.7.10 RC-Redriver-R3-2U-G5 (41)2.7.11 PCA-R4900-4GPU-G5（0231AFT5） (42)2.8 OCP转接模块 (43)2.9 LCD可触摸智能管理模块 (43)2.10 风扇 (44)2.11 PCIe slot (45)2.12 服务器B/D/F信息 (46)2.13 部件安装准则及相关信息 (46)2.13.1 CPU (46)2.13.2 内存 (47)2.13.3 SAS/SATA硬盘 (47)2.13.4 NVMe硬盘 (47)2.13.5 SATA M.2 SSD卡 (48)2.13.6 SD卡 (48)ii2.13.7 Riser卡与PCIe卡 (48)2.13.8 存储控制卡及掉电保护模块 (52)2.13.9 NVMe VROC模块 (54)2.13.10 网卡 (55)2.13.11 GPU卡 (55)2.13.12 电源模块 (55)2.13.13 风扇 (56)3 产品规格 (57)3.1 技术规格 (57)3.2 服务器工作温度宣称 (57)4 部件兼容性 (59)4.1 CPU (59)4.2 内存 (59)4.3 存储 (66)4.4 I/O扩展 (74)4.5 支持的操作系统和软件 (74)5 智能管理规格 (75)6 维保 (78)7 通过的认证 (79)iii1 概述H3C UniServer R4900 G5（下文简称R4900 G5）是新华三技术有限公司（下文简称H3C）基于Intel新一代Whitley平台所开发的新一代2U2路机架式服务器。

H3C无感知认证技术白皮书

H3C无感知认证技术白皮书

H3C无感知认证技术白皮书1概述当下，各种智能终端层出不穷，特别是以iPhone、iPad等为代表的智能终端的流行，促使多媒体业务的应用急剧增加、人们对移动无线上网体验的要求也越来越高。

无线通信市场竞争的热点逐渐从技术转向了用户体验上。

用户体验的好坏，逐渐成为人们无线上网选择的重要标准。

目前Portal认证是WLAN网络的主流接入认证方式之一。

当采用Portal认证时，用户每次接入WLAN网络时都需要在Portal页面中输入用户账号/密码信息，操作较为不便。

特别是当前使用WiFi网络的iPad、智能手机等终端设备越来越多，而此类终端受到屏幕、浏览器等资源限制，在Portal页面中输入用户名/密码等信息时极为不便，使得用户上网体验大打折扣。

针对此问题，H3C特提出Portal无感知认证方案，大大简化Portal接入流程，提升用户的接入体验。

Portal无感知认证方案具备“一次认证，多次使用”用户体验。

如果开通了Portal无感知认证，用户首次登陆Portal页面成功认证后，后续只要关联WLAN SSID就可以用轻松实现认证上网。

2首次接入，Portal认证并绑定MAC在Portal无感知认证解决方案，用户首次接入WLAN网络认证流程如图1所示。

具体认证流程如下：步骤1、用户连接WLAN网络SSID，并通过DHCP服务器获取IP地址信息。

步骤2、AC将监控用户的上网流量。

步骤3、当AC监控的用户流量达到阈值时，（例如流量阀值可设置为5分钟累积流量10KB），AC将向iMC UAM （负责对MAC地址进行绑定）服务器发起MAC 查询请求。

步骤4、iMC UAM服务器向AC返回查询结果：此终端MAC信息未绑定。

（由于此终端用户是首次连接WLAN网络，所以iMC UAM服务器中无此终端的MAC地址信息）步骤5、AC将按照正常Portal流程向终端重定向Portal认证页面。

步骤6、用户终端输入用户名、密码信息发起Portal认证。

应用层威胁和深度安全保护白皮书--H3C

应用层威胁和深度安全保护白皮书--H3C

应用层威胁和深度安全保护1.应用层威胁介绍2000年以前，当我们谈及网络安全的时候，还主要指防火墙，因为那时候的安全还主要以网络层的访问控制为主。

的确，防火墙就像一个防盗门，给了我们基本的安全防护。

但是，就像今天最好的防盗门也不能阻止“禽流感”病毒传播一样，防火墙也不能阻挡今天的网络威胁的传播。

今天的网络安全现状和2000年以前相比，已经发生了很大的改变，我们已经进入了一个“应用层威胁”泛滥的时代。

今天，各种蠕虫、间谍软件、网络钓鱼等应用层威胁和EMAIL、移动代码结合，形成复合型威胁，使威胁更加危险和难以抵御。

这些威胁直接攻击企业核心服务器和应用，给企业带来了重大损失；攻击终端用户计算机，给用户带来信息风险甚至财产损失；对网络基础设施进行DoS/DDoS攻击，造成基础设施的瘫痪；更有甚者，像电驴、BT等P2P应用和MSN、QQ等即时通信软件的普及，企业宝贵带宽资源被业务无关流量浪费，形成巨大的资源损失。

面对这些问题，传统解决方案最大的问题是，防火墙工作在TCP/IP 3～4层上，根本就“看”不到这些威胁的存在，而IDS作为一个旁路设备，对这些威胁又“看而不阻”，因此我们需要一个全新的安全解决方案。

在解决问题之前，我们需要先了解一下应用层威胁的形式和原理。

所谓应用层威胁，主要包括下面几种形式：应用层安全威胁蠕虫/病毒Do S/DDoS间谍软件网络钓鱼带宽滥用垃圾邮件图1、应用层威胁因为篇幅的限制，在本文中我们重点介绍一下蠕虫、间谍软件、带宽滥用这三个典型的应用层威胁。

1.1. 蠕虫蠕虫的定义是指“通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪”。

从本质上讲，蠕虫和病毒的最大的区别在于蠕虫是通过网络进行主动传播的，而病毒需要人的手工干预（如各种外部存储介质的读写）。

但是时至今日，蠕虫往往和病毒、木马和DDoS 等各种威胁结合起来，形成混合型蠕虫。

蠕虫有多种形式，包括系统漏洞型蠕虫、群发邮件型蠕虫、共享型蠕虫、寄生型蠕虫和混和型蠕虫。