当前位置：文档之家 › H3C SR8800技术白皮书系列——NAT技术白皮书V1.00

H3C SR8800技术白皮书系列——NAT技术白皮书V1.00

  • 格式：doc
  • 大小：2.48 MB
  • 文档页数：17

H3C SR8800技术白皮书系列―― NAT技术白皮书V1.00Hangzhou H3C Technologies Co., Ltd.杭州华三通信技术有限公司All rights reserved版权所有侵权必究声明Copyright © 2008 杭州华三通信技术有限公司及其许可者版权所有，保留一切权利。

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。

H3C、Aolynk、、IRF、H3Care、、Neocean、、TOPG、SecEngine、SecPath、COMWARE、VVG、V2G、V n G、PSPT、NetPilot、XGbus均为杭州华三通信技术有限公司的商标。

对于本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

Copyright © 2008, Hangzhou H3C Technologies Co., Ltd. and its licensorsAll Rights ReservedNo part of this manual may be reproduced or transmitted in any form or byany means without prior written consent of Hangzhou Huawei-3ComTechnology Co., Ltd.TrademarksH3C, Aolynk, , IRF, H3Care, , Neocean, , TOP G,SecEngine, SecPath, COMWARE, VVG, V2G, VnG, PSPT, NetPilot, andXGbus are trademarks of Hangzhou Huawei-3Com Technology Co., Ltd.All other trademarks that may be mentioned in this manual are theproperty of their respective owners.修订记录日期修订版本描述作者2007-11-27 1.00 初稿完成SR8800研发1概述 (5)2特性介绍 (5)2.1术语 (5)2.2协议处理机制 (6)2.2.1单实例 (6)2.2.2多实例 (10)3组网综述 (12)3.1普通的pop点组网 (12)3.2使用策略路由的多ISP组网 (12)3.3使用内部服务器组进行负载分担组网 (13)3.4多实例VPN-Public NAT (13)3.5多实例VPN-VPN NAT (14)4H3C SR8800特色介绍 (15)4.1H3C SR8800 NAT特色介绍 (15)4.1.1强大的VPN NAT功能 (15)4.1.2大容量、高性能 (15)4.1.3丰富的ALG功能 (16)4.1.4高网络安全特性 (16)4.1.5支持入方向和出方向NAT功能 (16)4.1.6支持两次NAT功能 (16)4.1.7支持多链路的快速切换 (16)4.1.8内部服务器组功能 (16)4.1.9网段变换功能 (17)4.1.10连接数限制功能 (17)4.1.11建链速率限制功能 (17)4.1.12带宽限制功能 (17)4.1.13日志功能 (17)4.1.14基于VPN的NAT会话连接数、建链速率和带宽限制功能 (17)1 概述Internet面临着最紧迫的问题是IP地址枯竭。

针对这个问题，有两种解决方案：NAT和IPV6。

NAT通过地址重用的方式来满足IP地址的需要，它主要是利用了这样一个事实：在一些域中（像一个公司的网络），在一段给定的时间内只有很少的主机需要访问域外的网络，80％左右的网络流量都局限于域内部。

因此，这些域内的主机都使用私网IP地址（IANA保留了三个网段作为私网地址：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16)，私网地址无需全球唯一，在不同的私网内可以重复使用，当需要访问域外的网络时，它们的IP地址转换成公网IP地址。

基于MPLS技术的MPLS L3 VPN技术既继承了IP选路技术的优点，又集成了MPLS技术转发快、组网灵活多变的特点，已经得到了越来越广泛的应用，特别是在比较大型的企业网中，MPLS L3 VPN技术可以使网络构架更清晰，维护更方便，性能更稳定，访问更安全。

如果在MPLS L3 VPN中再集成NAT功能，那么可以进一步隐藏掉用户的私有网络，提高用户网络的安全性；同时还可以实现地址重用，为用户节省投资。

NAT多实例实现了NAT功能与MPLS L3 VPN完美结合，通过NAT用户不仅可以实现Internet访问，还可以解决VPN间地址冲突的问题，使用私网主机地址转换后可以实现对其他VPN的访问。

2 特性介绍2.1 术语NAT (Network Address Translation)网络地址转换：一种将私网IP地址映射成公网IP地址技术，从而实现私网主机对公网或者公网对私网主机的访问。

NAPT (Network Address and Port Translation)网络地址和端口转换：NAPT利用了TCP/UDP的端口号来区别不同的内部网主机，对于ICMP则是利用ICMP报文的Identifier来区别。

除非特别说明，本文中IP报文的端口号指TCP/UDP的端口号或ICMP报文的Identifier。

采用NAPT技术则可以更加充分地利用IP地址资源，实现更多的内部网主机对Internet的同时访问。

VPN (Virtual Private Networks )虚拟专用网，可以简单定义为在共享网络中，通过多种技术（如MPLS、隧道、加密等）实现原有专用网络的能力。

本文档内VPN定义，如果没有特别说明，专指三层VPN（BGP/MPLS VPN）。

ALG (Application Layer Gateway)应用层网关：ALG是NAT设备对特定应用协议报文（如ICMP目的不可达报文，FTP报文，ILS报文等）的特殊NAT转换处理。

应用协议报文需要ALG处理的原因主要是：某些应用层协议会在客户机和服务器之间协商端口号，NAT转换表项的建立需要根据报文协商的结果确定；报文的负荷部分有私网IP 地址或者端口的信息。

EASY IPEASY IP 即直接使用路由接口的IP 地址作为NAT 转换的公网地址，其对报文转换使用NAPT 方式，能够最大程度的节省IP 地址资源。

FTP (File Transfer Protocol)文件传输协议：用于文件传输的Internet 应用层协议标准，用于将一个完整的文件从一个文件系统复制到另一个系统中。

DNS (Domain Name System)域名系统：域名系统是一种用于TCP/IP 应用程序的分布式数据库，它提供主机名字和IP 地址之间的转换及有关电子邮件的选路信息。

ILS (Internet Location Service)互联网定位服务：ILS 是微软公司为Netmeeting 用户提供的动态目录服务功能，通过ILS,用户可以存储和查询动态信息（例如IP 地址）。

FIB (Forwarding Information Base)转发信息表：FIB 是三层转发的核心数据，用于指导IP 报文的转发。

ARP (Address Resolve Protocol)地址解析协议：ARP 为IP 地址到对应的MAC 地址之间提供动态映射。

NP (Network Processor)网络处理器：一种用于数据报文处理的可编程、高性能网络专用处理器。

2.2 协议处理机制2.2.1 单实例1） NA T 方式NA T 方式只转换IP 地址，对端口号不处理，具体请参见图1：图 1 NAT 方式基本原理a. NAT 设备接收到私网用户发出的访问公网主机报文。

b. NAT 设备从地址池中选择一个没有使用的公网地址、建立NA T 转换表项(正反向)。

10.1.1.200162.105.178.65162.105.178.66162.105.178.67162.105.178.68...211.100.7.34162.105.178.65->211.100.7.34162.105.178.65<-211.100.7.3410.1.1.200<-211.100.7.34Address GroupNAT Table After NAT Before NAT outbound 162.105.178.6510.1.1.200inbound10.1.1.200162.105.178.65c. 根据私网源IP 地址查找正向NA T 表项，根据查表结果转换报文，向公网侧发送。

d. NAT 设备接收到公网侧的回应报文，根据目的IP 地址查找反向NAT 表项，根据查表结果转换报文，向私网侧发送。

说明：NAT 方式不能有效解决IP 地址短缺的问题，在实际应用中并不常用。

2) NAPT 方式NAPT 方式同时转换IP 地址和端口号，可以更加充分地利用IP 地址资源，实现更多的内部网主机对Internet 的同时访问。

NAPT 在使用IP 地址的同时，使用TCP/UDP 的端口号，ICMP 报文的标识符域来共同构造转换表项，不支持非TCP/UDP/ICMP 的普通IP 报文。

10.1.1.200:1025->211.100.7.34:80162.105.178.65162.105.178.66162.105.178.67162.105.178.68...211.100.7.34:80->10.1.1.200:102510.1.1.110:1028->211.100.7.34:80162.105.178.65:16400->211.100.7.34:80211.100.7.34:80->162.105.178.65:16400211.100.7.34:80->10.1.1.110:1028Address Group211.100.7.34162.105.178.65:16384->211.100.7.34:80211.100.7.34:80->162.105.178.65:16384211.100.7.34NAT Table After NATBeforeNAToutbound 10.1.1.200:1025162.105.178.65:1638410.1.1.20010.1.1.110inbound 162.105.178.65:1638410.1.1.200:1025outbound 10.1.1.110:1028162.105.178.65:16400inbound162.105.178.65:1640010.1.1.110:1028NATNAT图 2 NAPT 方式基本原理a. NAT 设备接收到私网用户发出的访问公网主机报文。

合集下载

H3C万兆核心路由器SR8800基本维护

H3C万兆核心路由器SR8800基本维护


PIC-XP1L
PIC-RSP2L PIC-RUP1L 接口子卡 （WAN类） 类 PIC-TCP8L PIC-PSP4L PIC-PUP1L PIC-PL2G6L PIC-PH2G6L PIC-PS2G4L PIC-CL1G8L PIC-CL2G8L PIC-ET8G8L
接口子卡 混合子卡类） （混合子卡类）
表检索引擎 NP业务引擎 业务引擎 QoS引擎 引擎
CPU扣板 扣板 OAM 引擎 扣板下） （CPU扣板下） 扣板下
Buffer
NP业务底板支持全业务功能，包括：IPv4、IPv6、MPLS VPN、QoS / 业务底板支持全业务功能，包括： 、 、 、 业务底板支持全业务功能 H-QoS、GRE、组播 、 、组播VPN等等 等等
1*10G POS接口子卡 占用1个子卡插槽

11
接口子卡－WAN接口 接口子卡－WAN接口
ET8G8L
E1/T1接口
8*E1/T1 + 8*GE SFP接口子卡 占用2个子卡插槽
8个GE SFP接口
CL1G8L
155M cPOS接口
1端口155M CPOS + 8端口子卡 占用2个子卡插槽
SR02SRP1E3
SR02SRP2E3

4
SR02SRP2E3主控板介绍 SR02SRP2E3主控板介绍
交换芯片1 交换芯片 交换芯片2 交换芯片 SDRAM内存条 内存条
高性能CPU 高性能 三级时钟扣板 三级时钟接口
USB接口 接口 CF卡插槽 卡插槽
高性能主控板是SR8800的核心，支持高性能路由处理， 的核心，支持高性能路由处理， 高性能主控板是 的核心 支持CF卡和 卡和USB为用户提供形式多样的存储方式，支持 为用户提供形式多样的存储方式， 支持 卡和 为用户提供形式多样的存储方式 三级时钟为用户提供高精度的时钟源
H3C_UniServer_R4900_G5技术白皮书

H3C_UniServer_R4900_G5技术白皮书

H3C UniServer R4900 G5技术白皮书目录1 概述 (1)1.1 产品特点 (2)1.1.1 更高的性能和安全特性 (2)1.1.2 更灵活的存储和更高的I/O性能 (2)1.1.3 直观、可配置的管理系统 (3)1.1.4 卓越的服务器体验 (3)1.1.5 更加的低碳环保 (3)1.1.6 定制化服务 (4)1.2 拓扑图 (4)2 机型介绍 (5)2.1 机箱外观介绍部件 (6)2.2 前面板 (8)2.2.1 前面板组件 (8)2.2.2 指示灯和按钮 (11)2.2.3 接口 (12)2.3 后面板 (12)2.3.1 后面板组件 (12)2.3.2 后面板指示灯 (13)2.3.3 接口 (14)2.4 主板 (14)2.4.1 主板布局 (15)2.4.2 系统维护开关 (16)2.4.3 DIMM插槽 (17)2.5 硬盘 (18)2.5.1 硬盘编号 (18)2.5.2 硬盘指示灯 (20)2.6 硬盘背板 (21)2.6.1 前置8SFF SAS/SATA硬盘背板 (21)2.6.2 前置8SFF UniBay硬盘背板 (22)2.6.3 前置8LFF SAS/SATA硬盘背板 (23)2.6.4 前置12LFF SAS/SATA硬盘背板 (23)2.6.5 前置12LFF UniBay硬盘背板（8SAS/SATA+4UniBay） (24)i2.6.6 前置12LFF UniBay硬盘背板（4SAS/SATA+8UniBay） (25)2.6.7 前置12LFF UniBay硬盘背板 (26)2.6.8 前置25SFF UniBay硬盘背板 (26)2.6.9 中置4LFF SAS/SATA硬盘背板 (27)2.6.10 中置4SFF UniBay硬盘背板 (28)2.6.11 后置2LFF SAS/SATA硬盘背板 (29)2.6.12 后置4LFF SAS/SATA硬盘背板 (29)2.6.13 后置2SFF SAS/SATA硬盘背板 (30)2.6.14 后置2SFF UniBay硬盘背板 (30)2.6.15 后置4SFF SAS/SATA硬盘背板 (31)2.6.16 后置4SFF UniBay硬盘背板 (32)2.6.17 后置2UniBay硬盘背板（适配OCP3.0转接模块） (32)2.7 Riser卡 (33)2.7.1 RC-1FHFL-R3-2U-G5 (33)2.7.2 RC-2FHFL-R3-2U-G5 (34)2.7.3 RC-2HHHL-R3-2U-G5 (35)2.7.4 RC-2HHHL-R4-2U-G5 (35)2.7.5 RC-3FHFL-2U-G5 (36)2.7.6 RC-3FHFL-2U-MH-G5 (37)2.7.7 RC-3FHFL-2U-SW-G5 (37)2.7.8 RC-5HHHL-R5-2U-G5 (39)2.7.9 RC-Redriver-2U-G5 (40)2.7.10 RC-Redriver-R3-2U-G5 (41)2.7.11 PCA-R4900-4GPU-G5（0231AFT5） (42)2.8 OCP转接模块 (43)2.9 LCD可触摸智能管理模块 (43)2.10 风扇 (44)2.11 PCIe slot (45)2.12 服务器B/D/F信息 (46)2.13 部件安装准则及相关信息 (46)2.13.1 CPU (46)2.13.2 内存 (47)2.13.3 SAS/SATA硬盘 (47)2.13.4 NVMe硬盘 (47)2.13.5 SATA M.2 SSD卡 (48)2.13.6 SD卡 (48)ii2.13.7 Riser卡与PCIe卡 (48)2.13.8 存储控制卡及掉电保护模块 (52)2.13.9 NVMe VROC模块 (54)2.13.10 网卡 (55)2.13.11 GPU卡 (55)2.13.12 电源模块 (55)2.13.13 风扇 (56)3 产品规格 (57)3.1 技术规格 (57)3.2 服务器工作温度宣称 (57)4 部件兼容性 (59)4.1 CPU (59)4.2 内存 (59)4.3 存储 (66)4.4 I/O扩展 (74)4.5 支持的操作系统和软件 (74)5 智能管理规格 (75)6 维保 (78)7 通过的认证 (79)iii1 概述H3C UniServer R4900 G5（下文简称R4900 G5）是新华三技术有限公司（下文简称H3C）基于Intel新一代Whitley平台所开发的新一代2U2路机架式服务器。

超融合技术白皮书

超融合技术白皮书

深信服超融合架构技术白皮书深信服科技有限公司修订记录深信服超融合架构技术白皮书文档密级：内部第1章、前言 (8)1.1IT时代的变革 (8)1.2白皮书总览 (9)第2章、深信服超融合技术架构 (11)1.1超融合架构概述 (11)1.1.1超融合架构的定义 (11)1.2深信服超融合架构组成模块 (11)1.2.1.1系统总体架构 (11)1.2.1.2aSV计算虚拟化平台 (12)1.2.1.2.1概述 (12)1.2.1.2.2aSV技术原理 (13)1.2.1.2.2.1aSV的Hypervisor架构 (14)1.2.1.2.2.2Hypervisor虚拟化实现 (17)1.2.1.2.3aSV的技术特性 (25)1.2.1.2.3.1内存NUMA技术 (25)1.2.1.2.3.2SR-IOV (26)1.2.1.2.3.3Faik-raid (27)1.2.1.2.3.4虚拟机生命周期管理 (28)1.2.1.2.3.5虚拟交换机 (29)1.2.1.2.3.6动态资源调度 (30)1.2.1.2.4aSV的特色技术 (30)1.2.1.2.4.1快虚 (30)1.2.1.2.4.2虚拟机热迁移 (31)1.2.1.2.4.3虚拟磁盘加密 (32)1.2.1.2.4.4虚拟机的HA (33)1.2.1.2.4.5多USB映射 (33)1.2.1.3aSAN存储虚拟化 (35)1.2.1.3.1存储虚拟化概述 (35)1.2.1.3.1.1虚拟后对存储带来的挑战 (35)1.2.1.3.1.2分布式存储技术的发展 (35)1.2.1.3.1.3深信服aSAN概述 (36)1.2.1.3.2aSAN技术原理 (36)1.2.1.3.2.1主机管理 (36)1.2.1.3.2.2文件副本 (37)1.2.1.3.2.3磁盘管理 (38)1.2.1.3.2.4SSD读缓存原理 (39)1.2.1.3.2.5SSD写缓存原理 (45)1.2.1.3.2.6磁盘故障处理机制 (49)1.2.1.3.3深信服aSAN功能特性 (60)1.2.1.3.3.1存储精简配置 (60)1.2.1.3.3.2aSAN私网链路聚合 (61)1.2.1.3.3.3数据一致性检查 (61)1.2.1.4aNet网络虚拟化 (61)1.2.1.4.1网络虚拟化概述 (61)1.2.1.4.2aNET网络虚拟化技术原理 (62)1.2.1.4.2.1SDN (62)1.2.1.4.2.2NFV (63)1.2.1.4.2.3aNet底层的实现 (64)1.2.1.4.3功能特性 (68)1.2.1.4.3.1aSW分布式虚拟交换机 (68)1.2.1.4.3.2aRouter (68)1.2.1.4.3.3vAF (69)1.2.1.4.3.4vAD (69)1.2.1.4.4深信服aNet的特色技术 (69)1.2.1.4.4.1网络探测功能 (69)1.2.1.4.4.2全网流量可视 (70)1.2.1.4.4.3所画即所得业务逻辑拓扑 (70)1.2.2深信服超融合架构产品介绍 (71)1.2.2.1产品概述 (71)1.2.2.2产品定位 (71)第3章、深信服超融合架构带来的核心价值 (73)1.1可靠性： (73)1.2安全性 (73)1.3灵活弹性 (73)1.4易操作性 (73)第4章、超融合架构最佳实践 (74)第1章、前言1.1 IT时代的变革20 世纪90 年代，随着Windows 的广泛使用及Linux 服务器操作系统的出现奠定了x86服务器的行业标准地位，然而x86 服务器部署的增长带来了新的IT 基础架构和运作难题，包括：基础架构利用率低、物理基础架构成本日益攀升、IT 管理成本不断提高以及对关键应用故障和灾难保护不足等问题。

SANGFOR_AF_白皮书V1.0-1108

SANGFOR_AF_白皮书V1.0-1108

深信服下一代防火墙NGAF技术白皮书深信服科技有限公司二零一一年八月目录1.概述 (3)2. 为什么需要下一代防火墙 (3)2.1网络发展的趋势使防火墙以及传统方案失效 (3)2.2替代性方案能否弥补 (4)2.2.1“打补丁式的方案” (4)2.2.2 UTM统一威胁管理 (4)3.下一代防火墙的诞生与价值 (4)3.1Gantner定义下一代防火墙 (4)3.2深信服下一代应用防火墙—NGAF (5)4.产品功能特点 (6)4.1更精细的应用层安全控制 (6)4.1.1可视化应用识别 (7)4.1.2多种用户识别方式 (7)4.1.3一体化应用访问控制策略 (8)4.1.4基于应用的流量管理 (9)4.2更全面的内容级安全防护 (10)4.2.1灰度威胁关联分析技术 (10)4.2.2基于攻击过程的服务器保护 (12)4.2.3强化的WEB安全防护 (13)4.2.4完整的终端安全保护 (14)4.3更高性能的应用层处理能力 (15)4.3.1单次解析架构 (15)4.3.2多核并行处理技术 (16)4.4更完整的安全防护方案 (16)5.关于深信服 (17)1.概述防火墙自诞生以来，在网络安全防御系统中就建立了不可替代的地位。

作为边界网络安全的第一道关卡防火墙经历了包过滤技术、代理技术和状态监视技术的技术革命，通过ACL 访问控制策略、NAT地址转换策略以及抗网络攻击策略有效的阻断了一切未被明确允许的包通过，保护了网络的安全。

防火墙就像故宫的城墙，对进出防火墙的一切数据包进行检查，保证合法数据包能够进入网络访问合法资源同时防止非法人员通过非法手段进入网络或干扰网络的正常运行。

防火墙技术在当时被堪称完美！随着时代的变迁，故宫的城墙已黯然失色，失去了它原有的防御能力。

同样防火墙在面对网络的高速发展，应用的不断增多的时代也失去了它不可替代的地位。

自2009年10月Gartner提出“Defining the Next-Generation Firewall”一文，重新定义下一代防火墙，下一代防火墙的概念在业内便得到了普遍的认可。