当前位置：文档之家 › 以太网技术白皮书

以太网技术白皮书

  • 格式：pdf
  • 大小：320.84 KB
  • 文档页数：14
关键词
以太网安全 web认证 802.1X网络访问控制
1 概述
随着以太网应用的日益普及 尤其是在一些大中型企业网的应用 以太网安全成为日益迫切 的需求 一方面以太网交换机作为企业内部网络之间通讯的关键设备 有必要在企业网内部提供 充分的安全保护功能 另一方面用户只要能接入以太网交换机 就可以访问Internet网上的设备或 资源 使WLAN上的安全性问题更显突出 Quidway系列以太网交换机提供了多种网络安全机制包 括 访问控制 用户验证 防地址假冒 入侵检测与防范 安全管理等技术 本文将对其原理与 技术实现作介绍
16 Accounting-Request 17 Accounting-Response
图3 Portal 认证方式的用户上网 计费 下线流程 1 连接到设备上的用户机开机时自动通过DHCP过程从NAS获取唯一的IP地址 也可为用户 配置静态IP地址 2 用户游览ISP网站 获取认证网页 同时可游览社区广告 通知等内容 3 用户在认证页面中输入帐号/密码 由WEB客户端技术发给Portal Server 4 Portal Server在收到该数据后 按PortAL协议代用户向NAS发Challenge请求 对用户的标识 方法是用用户的IP地址来标识 5 NAS向Portal Server回Challenge 6 Portal Server向NAS发该用户的认证请求 7 NAS向RADIUS服务器发认证请求 运用RADIUS协议 8 RADIUS服务器向NAS返回认证结果 9 NAS在本地对用户连接进行授权 10 NAS向RADIUS Server发计费 开始 请求 11 RADIUS Server向NAS返回计费响应 12 NAS向Portal Server返回认证结果 13 Portal Server向用户返回上线成功 14 用户发下线请求 15 Portal Server收到消息后向NAS发Req-logout报文 16 NAS向RADIUS Server发计费 结束 请求 17 RADIUS Server返回计费响应 18 NAS向Portal Server发ACK-Logout报文 19 Portal Server向用户返回下线消息
访问交换机存在多种方式 直接从console口登录进行配置 telnet登录配置 通过SNMP进行 配置 通过modem远程配置等等 对于这些访问方式 都需要有相应的用户身份验证 验证时可
以选择采用交换机本身维护的用户数据库 还可以采用RADIUS服务器所维护的用户数据库对用 户进行验证 远程用户验证主要包括 PPP验证 WEB验证和端口验证 2.3 防地址假冒
后通过连接到镜像端口的协议分析仪进行测试记录 使用这种方法 可以有效的检测到TCP UDP ICMP HTTP SMTP RSTP等多种协议报文
2 报文统计 使用报文统计 可以按时间段 协议类型 IP地址五元组等特性分别进行报文 包数和字节数的统计
Quidway系列以太网交换机通过基于ACL的流量限制 预防并控制网上的大流量攻击 当发现 大流量攻击时 可以限制到达被攻击目的地址的报文流量RADIUS Server
NAS LANSWITCH
Portal Server
NAS与Portal Server 之间通过RADIUS协 议交互 NAS充当代 理
PC
图2 Portal 认证方式关键结点通信关系
通过Portal认证方式 用户具体上网 计费 下线全过程如图3所示
user
Portal Server
y IP目的地址 = 2.2.2.2 y IP源地址 = 1.1.1.1 y IP的协议域 = 6 TCP y 目的端口 = 21 FTP
其他的域一般情况下不用考虑 同样 对于二层报文 也可相应地设置各自的过滤规则 二层报文常用到的过滤属性
y 源/目的MAC地址 y 输入/输出端口 y 以太网封装类型 y 以太网帧承载的协议类型 y 报文类型 y Vlan标识符
3.2.2 WEB验证 基于Web的验证是一种应用层的验证方法 与接入的介质没有直接的关系 用户通过DHCP获
得IP地址 然后通过通用浏览器访问指定Web页面 地址 端口及URL 或者由业务接入节点 自动导向运营商的Portal页面 Portal认证方式的用户接入方案如图1所示
结点3
汇聚层设备
结点2
用户 是通过IP地址来区分的 不同的用户具有不同的权限 通过包过滤实现基于IP地址的访问 控制 可以实现对重要资源的保护
3 基于MAC地址的访问控制 特殊情况下 用户也可以通过MAC地址来区分 通过实现基 于MAC地址的访问控制 可以保护特殊用户的权限
4 基于端口的访问控制 对于接入用户来说 他们之间的权限也有可能是不一样的 通过 对用户接入的端口设置特定的过滤属性 可实现对接入用户的访问控制
置过滤规则
y 支持对符合条件的报文或帧做日志 可以记录报文或帧的相关信息 并提供了机制保证
在有大量相同触发日志的情况下不会消耗过多的资源
3.2 用户验证
3.2.1 PPP 验证 PPP是传统窄带拨号网络的接入技术 PPP在NCP过程中 可以采用PAP或CHAP进行口令验
证 然后由业务接入节点分配IP地址 在宽带网络上 引入了对PPP的扩展 PPPoE和PPPoA PPPoE是PPP在以太网上的扩展 PPPoE应用在共享的网络介质上 必须采用CHAP进行口令交 换 以避免明文口令被侦听
2 安全交换机的设计原则
针对以太网存在的各种安全隐患 安全交换机必须具有如下的安全特性 y 访问控制 y 用户验证 y 防地址假冒 y 入侵检测与防范 y 安全管理
2.1 访问控制 访问控制分为以下几种情况 1 对于交换机的访问控制 对交换机的访问权限需要进行口令的分级保护 只有持有相应
口令的特权用户才能对交换机进行配置 一般用户只有查看普通信息的权力 2 基于IP地址的访问控制 一般情况下 用户 包括网内用户和分支机构 合作伙伴等网外
NAS
RADIUS Server
1 用户开机即可获取私网IP
2 WEB方式取得认证页面 3 页面中输入 用户名和密码
4 Req-Challenge(portal协议)
13 上网成功
5 Ack-Challenge(portal协议)
RADIUS协议
6 Req-Auth(portal协议)
7 Access-Request
可以基于这些域及其组合来制定ACL规则 从而完成在第二层的包过滤 Quidway系列以太网交换机的包过滤具有以下特性
y 基于ACL Access-List 访问控制列表 ACL不仅应用在包过滤中 还可以应用在其
他需要进行对数据流进行分类的特性中 比如报文镜像 报文统计与流量限制 Quidway系 列以太网交换机提供的ACL可以
三层IP报文的IP报头及所承载的上层协议 如TCP 报头的每个域包含了可以由交换机进行 处理的信息 包过滤通常用到IP报文的以下属性
y IP的源 目的地址及协议域 y TCP或UDP的源 目的端口 y ICMP码 ICMP的类型域 y TCP的标志域
可 以 由 这 些 域 的 各 式 各 样 的 组 合 形 成 不 同 的 规 则 比 如 要 禁 止 从 主 机 1.1.1.1 到 主 机 2.2.2.2的FTP连接 包过滤可以创建这样的规则用于丢弃相应的报文
Quidway系列以太网交换机提供了一个有效的网络安全解决方案 包括用户验证 授权 计 费 数据保护等等 Quidway系列以太网交换机所采用的安全技术包括
y 包过滤技术 y 用户验证技术 y 防地址假冒技术 y 入侵检测与防范技术 y 安全管理
3.1 包过滤技术 包过滤应用在Quidway系列以太网交换机中 为交换机增加了对数据包的过滤功能 在三层交
以太网安全技术白皮书
华为技术有限公司北京研究所 北京市上地信息产业基地信息中路1号华为大厦 100085
二 二年三月
摘要
本文详细介绍了Quidway系列以太网交换机所应用的安全技术 包括访问控制 802.1X网络 访问控制 基于Portal协议的web认证 防地址假冒 入侵检测与防范 安全管理等 并探讨了 Quidway系列以太网交换机在安全方面的发展方向 结合Quidway系列以太网交换机在安全方面的 功能特点 给出了在企业网应用中的实际解决方案
换机中 不仅可以过滤有安全隐患的以太网帧 还可以过滤IP数据包 对到达端口的数据包 如 果是可以直接在链路层交换的以太网帧 则先获取以太网帧头信息 包括以太网帧类型 源 MAC地址 目的MAC地址 并根据目的MAC地址获得以太网帧的出端口 如果是需要三层转发
的数据包 则先获取包头信息 包括IP层所承载的上层协议的协议号 数据包的源地址 目的地 址 源端口和目的端口等 然后和设定的规则进行比较 根据比较的结果对数据包进行转发或者 丢弃
8 Access-Accept 9 设备上对用户连接做设置 10 Accounting-Request
12 Ack-Auth(portal协议)
11 Accounting-Response
14 用户下线 19 下线通知
15 Req-logout(portal协议) 18 Ack-logout(portal协议)
支持ACL的自动排序 可以选择是否针对某一类的ACL进行自动排序 以简化配置
的复杂度 方便对于ACL的配置及维护
支持名称方式的ACL 易于记忆及配置
y 支持基于端口进行过滤 可以设定禁止或允许转发来自或去往某个端口的报文 y 支持基于MAC地址进行过滤 可以设定禁止或允许转发来自或去往某个MAC地址的帧 y 支持基于Vlan进行过滤 可以设定禁止或允许转发来自或去往某个Vlan的报文 y 支持基于应用进行过滤 可以对交换机端口的输入帧前80字节范围内的64字节任意域设
支持标准及扩展的ACL 可以通过标准的ACL只设定一个简单的地址范围 也可以

合集下载

以太坊白皮书中文版

以太坊白皮书中文版

以太坊白皮书中文版当中本聪在2009年1月启动比特币区块链时，他同时向世界引入了两种未经测试的革命性的新概念。

第一种就是比特币（bitcoin），一种去中心化的点对点的网上货币，在没有任何资产担保、内在价值或者中心发行者的情况下维持着价值。

到目前为止，比特币已经吸引了大量的公众注意力, 就政治方面而言，它是一种没有中央银行的货币，并且有着剧烈的价格波动。

然而，中本聪的伟大试验还有与比特币同等重要的一部分：基于工作量证明的区块链概念使得人们可以就交易顺序达成共识。

作为应用的比特币可以被描述为一个先申请（first-to-file）系统：如果某人有50BTC并且同时向A和B发送这50BTC，只有被首先确认的交易才会生效。

没有固有方法可以决定两笔交易哪一笔先到，这个问题阻碍了去中心化数字货币的发展许多年。

中本聪的区块链是第一个可靠的去中心化解决办法。

现在，开发者们的注意力开始迅速地转向比特币技术的第二部分，区块链怎样应用于货币以外的领域。

常被提及的应用，包括使用链上数字资产来代表定制货币和金融工具（彩色币），某种基础物理设备的所有权（智能资产），如域名一样的没有可替代性的资产（域名币）以及如去中心化交易所，金融衍生品，点到点赌博和链上身份和信誉系统等更高级的应用。

另一个常被问询的重要领域是“智能合约”- 根据事先任意制订的规则来自动转移数字资产的系统。

例如，一个人可能有一个存储合约，形式为“A可以每天最多提现X个币，B每天最多Y个，A和B一起可以随意提取，A可以停掉B 的提现权”。

这种合约的符合逻辑的扩展就是去中心化自治组织（DAOs）-长期的包含一个组织的资产并把组织的规则编码的智能合约。

以太坊的目标就是提供一个带有内置的成熟的图灵完备语言的区块链，用这种语言可以创建合约来编码任意状态转换功能，用户只要简单地用几行代码来实现逻辑，就能够创建以上提及的所有系统以及许多我们还想象不到的的其它系统。

目录● 历史○作为状态转换系统的比特币○挖矿○默克尔树○替代区块链应用○脚本● 以太坊○以太坊账户○消息和交易○以太坊状态转换功能○代码执行○区块链和挖矿● 应用○令牌系统○金融衍生品○身份和信誉系统○去中心化文件存储○去中心化自治组织○进一步的应用● 杂项和关注○改进版幽灵协议的实施○费用○计算和图灵完备○货币和发行○挖矿的中心化○扩展性● 综述：去中心化应用● 结论● 注解和进阶阅读－－－－历史去中心化的数字货币概念，正如财产登记这样的替代应用一样，早在几十年以前就被提出来了。

交换机技术白皮书

交换机技术白皮书

交换机技术白皮书一．不同层次上的交换机首先我们对一个很普通的网络结构进行讲解，以大概描述在不同层次上的交换机应该具备的功能；1．接入型2层交换机接入型2层交换机直接接入用户的PC机，为了避免因为办公室内用户的增加而再添加2层交换机，办公室内的2层交换机最好具备16或者24个10/100M以太网接口，然后使用百兆或者千兆以太网接口与汇聚层的3层交换机进行连接；从安全上考虑，交换机、路由器并不会产生恶意的数据，为了最大限度的保护用户PC的安全，需要网络内的2层具备多种功能。

比如，如果2层交换机不支持广播速率限制功能，那么办公室内的某台PC因为出故障或者因为故意的破坏而向交换机发出大量的广播数据，那么这些数据就将会被其它PC接收到，从而会浪费其它PC大量的cpu资源而导致PC的速度严重变慢，并且会浪费2层交换机与3层交换机之间的带宽，导致其它PC机上网速度严重下降；再比如，现在网络病毒泛滥，为了保护其它PC不受感染，如果在2层交换机上使能各种ACL策略，也可以使其它PC受到保护、同时也节约了带宽；为了管理上的方便，2层交换机也应该支持可被远程管理；在有些场合，需要对接入的用户进行认证，如果接入交换机不支持认证功能，那么就需要将认证功能交给汇聚层的交换机或者更上层的设备进行，那么未被认证的用户就有可能对其它用户进行恶意的攻击；因此，2层交换机虽然性能不是很高，然而在网络中，对它的要求也是很高的，因为它可以在很大程度上保证网络的正常运行。

2．汇聚层3层以太网交换机根据网络的大小，汇聚层3层以太网交换机的数量上可能不一样，它的功能主要是完成多个子网之间数据的转发（不使用路由器而使用3层交换机的原因主要是价格以及转发性能的原因）。

需要3层交换机来进行子网间数据转发的原因是：一个LAN就是一个广播域，如果不划分多个LAN，就会导致LAN内的广播数据报过多而降低网络的性能，导致LAN内通信变得很缓慢。

从3层交换机在网络中的层次以及功能上看，3层交换机首要的任务是完成多个子网间数据的快速转发、以及3层交换机之间的数据转发。

VSwitch专业技术白皮书

VSwitch专业技术白皮书

V-Ｓwiｔch能够解决上述问题,很好地满足用户对二层VPN的需求，方便运营商进行简单的VPN运营。
V-Switcｈ有以下特点：
1、不使用MＰLＳ技术，降低运营商新技术学习成本。
2、只使用802．１Ｑ中的VＬAN封装，保护运营商已有的投资。
3、使用一层VLＡN标签作为VPN标签,避免出现超长报文。
4、使用端口VLAN的概念，使整个网络的ＶLAN数扩充到端口数＊4K,能满足规模应用。
两层ＶlanTag的QinQ：按照用户接入端口所在VLＡN进行转发，报文中携带用户VLＡＮ和运营商ＶLAN，最后在出端口发出的报文中只保留用户ＶＬAN。
这两种方式都有一定的局限。
基于ＭＰLS协议的VLL、VPLS要求运营商的设备支持MPLS转发,同时要求中间设备能够处理长度较大的报文。
QiｎQ的每个端口只能接入一个用户，所以一般不能原来开展专线业务。而且运营商ＶＬAN仍然有总数40９6的限制。
V-Swiｔch技术白皮书
———————————————————————————————— 作者：
———————————————————————————————— 日期:
ﻩ
V-Swiｔch技术白皮书
华为技术有限公司
HuａweｉＴｅｃhｎｏlogiesCo.，Ｌtd.
1概述
V-Swｉtch概念是广州电信提出的一种使用VLＡＮ标签作为VPN标识的VPN方案,方案中引入端口VLＡＮ的概念,不使用MPLS技术,组网简单实用。
从S８016端口A,ＶLAN 10１，到ＮE４０端口H，VLＡN 109建立专线。中间都采用Ｖ-Swｉtch连接。从S8016(端口B）到L３c(端口Ｃ)使用VLAN2,从Ｌ3c(端口Ｄ）到Ｌ3e（端口E)使用VLAＮ２0,从L3ｅ（端口F）到NE40(端口Ｇ）使用VLAN30。
无线-WiFi7-技术白皮书

无线-WiFi7-技术白皮书

目 录概述0101Wi-Fi 7 是什么 02Wi-Fi 7 的修订进度 02Wi-Fi 7 的技术目标0302技术白皮书Wi-Fi 7Wi-Fi 7 的新特性 0403总结 1404更快更高速 05 ·PPDU 改进 05 ·支持更大的带宽 07 ·更高的调制阶数 07 ·更高的空间流 08 ·小结08更高效、更灵活 09 ·多 RU 机制 09 ·多链路操作 10 ·多 AP 间协同调度 11 ·增强的重传机制 12 ·时间敏感网络13概述本技术白皮书主要介绍 Wi-Fi 7 引入的新技术和新功能。

名词解释Wi-Fi 7 是什么IEEE 802. 11be(Extremely High Throughput，简称 EHT)是修订中的下一代 Wi-Fi 协议， 即“Wi-Fi 7” 。

作为 Wi-Fi 6 的继任者，在协议修订之初，工作组定下最高吞吐速率超过 30Gbps、时延低于 5ms 的工作目标。

因此 Wi-Fi 7 引入更大的无线带宽(320MHz) ，更高阶的调制方式(4K-QAM) ，更灵 活的频谱利用方式(Multi-RU) ，更高的时空复用(16X16 MIMO) ，更多的链路操作(MLO) ，以及多 AP 协作等等新技术，使得 Wi-Fi 7 能够提供更高的数据传输速率和更低的时延。

各协议版本的信息Wi-Fi 7 的修订进度IEEE 802. 11be EHT 工作组已于 2019 年 5 月成立，802. 11be (Wi-Fi 7) 的开发工作仍在进行中。

目前， 第一版草案 Draft1.0 已经在 2021 年 3 月发布；Draft2.0 预计在 2022 年底发布；在 2024 年底 完成最终标准定稿。

TGbe 当前的进展P802. 11be PARWi-Fi 7 的技术目标下图是 802. 11be 项目授权请求 (Project Authentication Request, PAR) 的截图，指出 802.11be 功能目标：The main candidate features that have been discussed are:-320 MHz bandwidth and more efficient utilization of non-contiguous spectrum.- Multi-band/multi-channel aggregation and operation.-16 spatial streams and Multiple Input Multiple Output (MIMO) protocols enhancements.-Multi-Access Point (AP) Coordination (e.g. coordinated and joint transmission).-Enhanced link adaptation and retransmission protocol(e.g. Hybrid Automatic Repeat Request (HARQ).-If needed, adaptation to regulatory rules specific to 6 GHz spectrum.• 320MHz 的信号带宽，更高效的使用非连续频谱• 多频段、多信道聚合操作• 16 条空间流 MIMO • 多 AP 协同工作• 链路自适应增强和 HARQ 重传协议•新开放的 6GHz 频段(国内未授权)Wi-Fi 7 的新特性Wi-Fi 7 协议的目标是将 WLAN 网络的吞吐率提升到 30Gbps，并且提供低时延的接入保障。