【正文】 是成本投入，還是業(yè)務(wù)連續(xù)性，都進入可控的、平緩的范圍。當擁有分公司 /子公司分布在各個不同城市或國家的中大型企業(yè)希望在公司大方向的安全策略下，給予不同分公司或子公司某種程度權(quán)限修改其適合的安全策略時，就需要采用分層管理功能協(xié)助企業(yè)完成目標。全球管理員能夠根據(jù)公司安全策略，在 Web 內(nèi)容安全過濾設(shè)備上建立不同的群組，并且再為每個群組建立一個小組。群組管理員所修改的安全策略僅能影響到這個帳戶所管理群組。例如，當公司定訂最低限度的安全策略標準是過濾色情與信息安全威脅相關(guān)類別，群組管理員就不能夠從該群組的過濾器設(shè)備中取消任何與色情和信息安全威脅類別相關(guān)的安全策略，僅能針對其它類別訂定適合的安全策略。例如：全球管理員可以設(shè)定子網(wǎng)絡(luò) 。全球管理員可以確切判斷某一個 IP 地址是來自哪一個網(wǎng)域。特別帳戶可以分配給任何使用者。 既然我們了解了分層管理的功能，那么分層管理在實際的工作中有哪些用途呢？不妨以案例來說明。然而，可接受使用策略中有一個例外：若經(jīng)校長同意，學區(qū)里學校的心理 輔導師以及顧問為了提升學生品質(zhì)以研究為目的，可以訪問被限制的網(wǎng)站。 多層次管理功能應(yīng)包含全球管理員、群組管理員、最低過濾級別、群組、子群組、檢測范圍、特別帳戶、同步集中控制管理等方面。 群組管理員由全球管理員建立。 最低過濾級別（ Minimum Filtering Level (MFL)）是由全球管理員定訂的過濾級別。下游的群組管理員可以增加最低過濾級別的類別，但是無法清除由全球管理員訂定的最低過濾級別的。子群組用于更進一步描述小組的成員。其目的是要允許某其帳戶可以不受安全使用策略的限制，造訪任何網(wǎng)站。當主要的過濾設(shè)備有任何改變時，附屬機上也會體現(xiàn)出來。所有互聯(lián)網(wǎng)接入必須通過學區(qū)辦公室的端口連接互聯(lián)網(wǎng)。無論是 UTM、下一代安全網(wǎng)關(guān)還是 web 安全網(wǎng)關(guān)，它們都具備了 Inter應(yīng)用安全防御和管控能力。功能再全面，如果沒有良好的性能，那也只能是花架子。下面，我們將對 web安全網(wǎng)關(guān)的相關(guān)性能指標進行一一分析解讀，希望能對廣大消費者選購 web 安全網(wǎng)關(guān)提供一個幫助。而安全網(wǎng)關(guān)作為內(nèi)外網(wǎng)之間的唯一數(shù)據(jù)通道，如果吞吐量太小，就會成為網(wǎng)絡(luò)瓶 頸，給整個網(wǎng)絡(luò)的傳輸效率帶來負面影響。為了提升病毒檢測的性能，目前主流解決方案主要有兩種：一種是串流掃描技術(shù) 。另外當網(wǎng)絡(luò)流量較大時，很多掃描不能在文件傳輸之前完成，這就造成實際上的病毒掃描功能 失效。 除了 吞吐量外， 的并發(fā)連接數(shù)也是網(wǎng)關(guān)防病毒的關(guān)鍵性能指標，這里同樣需要注意的是 的并發(fā)連接數(shù)，并不是 TCP 并發(fā)連接數(shù)。另外還有關(guān)鍵的一點是傳統(tǒng)的 TCP 協(xié)議棧在透明代理情況下會受限于端口數(shù)目 65535 的限制， ”。僅僅靠識別端口是不行的，因為當前網(wǎng)絡(luò)上的大部分應(yīng)用會采用隱藏或假冒端口號的方式躲避檢測和管控，也常常通過動態(tài)協(xié)商端 口等方式仿冒合法應(yīng)用的數(shù)據(jù)流來侵蝕著網(wǎng)絡(luò)，因此對于應(yīng)用管控還需要識別出協(xié)議或應(yīng)用中特定的字符串以便更準確地進行應(yīng)用的識別與管控。為了提高吞吐量，市面上有 ASIC 加速技術(shù)也有多核技術(shù)，二者的目的一致，都是為了提高性能。并且一般的多核控制技術(shù)是通過 CPU 的其中一個核來完成流量的均衡分發(fā)，而 Anchiva(安啟華 )為了充分利用硬件資源，使性能達到最優(yōu)，不是占用 CPU 的一個核來完成流量的均衡分發(fā)，而是通過專門編寫的控制技術(shù)利用網(wǎng)卡中的芯片完成流量在 不同 CPU 間的均衡分發(fā)，這樣使相同的多核 CPU 的處理能力更進一步發(fā)揮出來。對于這部分功能， web安全網(wǎng)關(guān)僅僅需要對 header 中 的 URL 進行掃描處理，不需要對 請求的內(nèi)容進行掃描，以一個 32K的 請求為例， 的 header部分只有幾百個字節(jié)，不到 1K。攻破 TCP 協(xié)議棧的束縛將成就更快的 Web 安全網(wǎng)關(guān)。對于防火墻、路由器等設(shè)備，測試標準通常要遵從 RFC 2544/1242。因此認清其對多核和 ASIC 的支持能力、 TCP 協(xié)議棧以及上層應(yīng)用處理引擎的并行處理能力和掃描檢測算法的優(yōu)化能力，這些都是 web 安全網(wǎng)關(guān)性能能否達到最優(yōu)的核心技術(shù)。 VoIP的服務(wù)主要歸結(jié)為承載網(wǎng)絡(luò)問題 ，而目前的網(wǎng)絡(luò)帶寬限制是造成時延過大、擁塞的主要原因。這就促使LETF 去發(fā)展區(qū)分業(yè)務(wù)模型（ Diffserv） [2]，它是在網(wǎng)絡(luò)邊緣將業(yè)務(wù)流解成很小數(shù)據(jù)量的聚集流（類），由 IP分組頭標的 DSCP （ Diffserv Code Point，區(qū)分業(yè)務(wù)碼）來標識，在網(wǎng)絡(luò)邊緣結(jié)點實施分類、標記、管理等功能，在網(wǎng)絡(luò)的核心節(jié)點僅僅根據(jù) DSCP 相關(guān)的 PHB（ perhop behavior）轉(zhuǎn)發(fā)分組，這簡化了網(wǎng)絡(luò)內(nèi)部節(jié)點的結(jié)構(gòu)，這比綜合服務(wù)可擴展性要大的多。多協(xié)議標簽交換（ MultiProtocol Label Switching, MPLS）對 IP網(wǎng)絡(luò)來說已經(jīng)被廣泛的認為是一個重要的流量控制工具。因此，為保證 VoIP 的 QoS，采用這樣一種集成模型，在邊緣網(wǎng)絡(luò)里采用 Intserv，在核心網(wǎng)里采用 Diffserv Over MPLS。 MPLS 頭包括一個二十比特的標簽，一個三比特的擴展域（最初被定義為擴展，現(xiàn)在使用為 COS服務(wù)類型域），一個比特的標簽棧指示，還有一個比特的 TTL（ timetolive）域。這種 LSP 是單向的，即返回特定 FEC中的數(shù)據(jù)流時，將使用不同的 LSP。 為了建立 LSP， LSR 使用信令信息來協(xié)調(diào)和分發(fā)標簽。 流量工程能夠從路由協(xié)議計算出的最短路中移動數(shù)據(jù)流，從而安排數(shù)據(jù)流通過網(wǎng)絡(luò)，避開因不均勻的使用網(wǎng)絡(luò)造成的阻塞。 3 基于 MPLS 的集成模型 整個集成模型結(jié)構(gòu)由邊緣網(wǎng)絡(luò)和核心網(wǎng)絡(luò)構(gòu)成。下面結(jié)合主機 A、 B 實現(xiàn)定量的 QoS 通信為例，主要介紹幾個部件的相關(guān)工作。 BR/LER BR/LER 既是 Diffserv 域邊界路由器，同時也是 MPLS 域中的標簽邊界路由器 LER，結(jié)構(gòu)和功能相對復雜。 CR/LSR 核心網(wǎng)絡(luò)中內(nèi)部的路由器 CR，即 MPLS 域中的 LSR，主要完成 MPLS 分組的標記交換和轉(zhuǎn)發(fā)。 LSR還承載 Diffserv 流聚集的 MPLS 分組進行調(diào)度、整形、丟棄 4 集成模型上傳輸 VoIP 的 QoS 實現(xiàn)技術(shù) 這種集成模型包括 Intserv 和 Diffserv 的集成以及 Diffserv 和 MPLS 的集成，前者的關(guān)鍵是經(jīng)由邊緣網(wǎng)絡(luò)產(chǎn)生的含有一定的 QoS 的數(shù)據(jù)包如何被分類并確定 DSCP 的值，也就是如何將 Intserv 各種服務(wù)類型映射到 Diffserv 的 PHB（ per hop behavior）；后者的關(guān)鍵是如何將Diffserv中的 BA映射到 MPLS中的 LSP上。 （ 2） 可控負載服務(wù)（ Controlledload Service, CL）：比盡力服務(wù)要好，是一種相當于在負載不重的網(wǎng)絡(luò)上進行的盡力而為的服務(wù)。 DS 被分割為一個六比特的 DSCP 字段和一個兩比特的 CU（ current unused）字段， DS 域使用 DSCP 去選擇每一個接口的 PHB， CU 字段還沒分配，是為 ECN（ explicit congestion notification）預(yù)留的，可以用于前向 /后向擁塞通知，這在幀中繼網(wǎng)絡(luò)中非常有用。換句話說，當用 SLA（ service level agreement）或者策略映射配置時， PHB指的是在任何給定的屬于 BA的包上對包進行排序，隊列，管理或者對節(jié)點修整 的形為。在使用優(yōu)先排隊（ priority queueing， PQ）以及類（或者 BA）上速率限制時執(zhí)行 EF。語音缺省的 DSCP為 101110（ RFC2598），信令缺省的 DSCP 為 011010（ RFC2597）。在每個類里有兩個微處理級，網(wǎng)絡(luò)至少以 CDR（ mitted data rate）速率最大可能傳遞用戶數(shù)據(jù)包，可以高于該速率，但如果低于 該速率數(shù)據(jù)包傳遞的可能性就極小。把一類具有相同隊列處理要求、調(diào)度行為，但丟棄優(yōu)先級不同的 PHB 定義為一個 PHB調(diào)度類（ PHB Scheduling Class, PSC） [8]，那么這樣映射實質(zhì)上也是就是如何在 MPLS 頭標中 標識分組所屬的 PSC以及分組的丟棄優(yōu)先級。 在 MPLS 網(wǎng)絡(luò)中，提供無擁塞（較低的延遲、抖動和分組丟失率） LSP 對 VoIP業(yè)務(wù)至關(guān)重要的。流量工程利用 RSVP 為語音業(yè)務(wù)流預(yù)留資源，如果最短路徑的資源不夠，流量工程可以建立路由來傳送業(yè)務(wù)。然后重點分析在集成模型上的傳輸 VoIP的 QoS 實現(xiàn)技術(shù)，包括各服務(wù)類型之間的映射。雖然這話只是一個比喻， Christensen 更多的是指 VoIP 精神，但從更廣泛的意義上而言，這話同樣有其正確性。但實際上，這完全是一個錯誤的策略 ，眾多新興 VoIP 創(chuàng)業(yè)公司不幸成為了這種錯誤策略的犧牲品，這些公司因?qū)⑾Ｍ^多地寄托于傳統(tǒng)本地運營商而為其投資者帶來數(shù)十億美元的損失。受 VoIP 美妙前景的蠱惑，投資者將數(shù)十億美元投入到了 VoIP 產(chǎn)品和服務(wù)中。隨著固定電話業(yè)務(wù)逐漸被無線語音服務(wù)所取代，這種沖擊也開始波及到更多電信業(yè)務(wù)領(lǐng)域。 二是競爭性損耗過大。在今天，躋身 VoIP設(shè)備供應(yīng)領(lǐng)域前列的仍是北電網(wǎng)絡(luò)公司、西門 子公司和愛立信公司等傳統(tǒng)電信設(shè)備供應(yīng)巨擘，而非新興創(chuàng)業(yè)公司，這也從一個側(cè)面說明了傳統(tǒng)供應(yīng)商對其客戶的吸引力不容低估。 五是固話業(yè)務(wù)的萎縮導致 VoIP 吸引力打折。格雷厄姆 這家VoIP 服務(wù)商的成功得益于它不執(zhí)迷于各種專家的理論，而是更關(guān)注用戶的日常實際需要，Skype 公司幾乎完全可以忽視公共交換電話網(wǎng)絡(luò)的業(yè)務(wù)模式是其有別于其它服務(wù)商的關(guān)鍵，也是其大獲成功的關(guān)鍵。隨著網(wǎng)絡(luò)應(yīng)用的多元化和低成本化發(fā)展， VoIP 業(yè)務(wù)直接沖擊著傳統(tǒng)通信市場，那么目前 VoIP 協(xié)議目前常用的協(xié)議 ,如 ?SIP?MEGACO 和 MGCP? 是一種 ITUT 標準 ,最初用于局域網(wǎng) (LAN)上的多媒體會議 ,后來擴展至覆蓋 VoIP? 該標準既包括了點對點通信也包括了多點會議 ? 定義了四種邏輯組成部分 :終端 ?網(wǎng)關(guān) ?關(guān)守及多點控制單元 (MCU)? 終端 ?網(wǎng)關(guān)和 MCU 均被視為終端點 ?會話發(fā)起協(xié)議 (SIP)是建立 VoIP 連接的 IETF 標準 ? SIP是一種應(yīng)用層控制協(xié)議 ,用于和一個或多個參與者創(chuàng)建 ?修改和終止會話 ? SIP 的結(jié)構(gòu)與 HTTP(客戶 服務(wù)器協(xié)議 )相似 ? VoIP 協(xié)議中 ,客戶機發(fā)出請求 ,并發(fā)送給服務(wù)器 ,服務(wù)器處理這些請求后給客戶機發(fā)送一個響應(yīng) ? 該請求與響應(yīng)形成一次事務(wù) ?媒體網(wǎng)關(guān)控制協(xié)議 (MGCP)是由思科和 Telcordia提議的 VoIP協(xié)議 ,它定義了呼叫控制單元 (呼叫代理或媒體網(wǎng)關(guān) )與電 話網(wǎng)關(guān)之間的通信服務(wù) ? MGCP 屬于控制協(xié)議 ,允許中心控制臺監(jiān)測 IP電話和網(wǎng)關(guān)事件 ,并通知它們發(fā)送內(nèi)容至指定地址 ? 在 MGCP 結(jié)構(gòu)中 ,智能呼叫控制置于網(wǎng)關(guān)外部并由呼叫控制單元 (呼叫代理 )來處理 ? 同時呼叫控制單元互相保持同步 ,發(fā)送一致的命令給網(wǎng)關(guān) ? 媒體網(wǎng)關(guān)控制協(xié)議 (Megaco)是 IETF 和 ITUT( 建議 )共同努力的結(jié)果 ? Megaco/ 是一種用于控制物理上分開的多媒體網(wǎng)關(guān)的協(xié)議單元的協(xié)議 ,從而可以從媒體轉(zhuǎn)化中分離呼叫控制 ? Megaco/ 說明了用 于轉(zhuǎn)換電路交換語音到基于包的通信流量的媒體網(wǎng)關(guān) (MG)和用于規(guī)定這種流量的服務(wù)邏輯的媒介網(wǎng)關(guān)控制器之間的聯(lián)系 ? Megaco/ 通知媒體網(wǎng)關(guān)將來自于數(shù)據(jù)包或單元數(shù)據(jù)網(wǎng)絡(luò)之外的數(shù)據(jù)流連接到數(shù)據(jù)包或單元數(shù)據(jù)流上 ,如實時傳輸協(xié)議 (RTP)? 從 VoIP 協(xié)議結(jié)構(gòu)和網(wǎng)關(guān)控制的關(guān)系來看 ,Megaco/ 與 MGCP 在本質(zhì)上相當相似 ,但是 Megaco/ 支持更廣泛的網(wǎng)絡(luò) ,如 ATM? VoIP 加重網(wǎng)絡(luò)支持負擔趨向外包服務(wù) 管理和維護語音 IP 系統(tǒng)的復雜度正在給 IT 經(jīng)理帶來比初期預(yù)期要多的問題 ，驅(qū)動了對所謂的第二天 (Day2)支持服務(wù)的需求。 上周采訪的其他六位 IT 經(jīng)理都大致同意 Wade 的說法， VoIP 系統(tǒng)會帶來更高的復雜度，這來自于終端用戶對擴展功能的需求以及保證語音傳輸維護服務(wù)質(zhì)量的需求。 VOIP 電話 /VOIP 網(wǎng)絡(luò)電話的基本原理 VOIP 電話 /VOIP 網(wǎng)絡(luò)電話（又稱 IP PHONE 或 VoIP）是建立在 IP 技術(shù)上的分組化、數(shù)字化傳輸技術(shù) ,其基本原理是：通過語音壓縮算法對語音數(shù)據(jù)進行壓縮編碼處理 ,然后把這些語音數(shù)據(jù)按 IP 等相關(guān)協(xié)議進行打包 ,經(jīng)過 IP 網(wǎng)絡(luò)把數(shù)據(jù)包傳輸?shù)浇邮盏?,再把這些語音數(shù)據(jù)包串起來 ,經(jīng)過解碼解壓處理后 ,恢復成原來的語音信號 ,從而達到由 IP 網(wǎng)絡(luò)傳送語音的目的。 VOIP 電話 /VOIP 網(wǎng)絡(luò)電話網(wǎng)關(guān)具有路由管理功能 ,它把各地區(qū)電話區(qū)號映 射為相應(yīng)的地區(qū)網(wǎng)關(guān) IP 地址。 VOIP 電話 /VOIP 網(wǎng)絡(luò)電話的基本結(jié)構(gòu) VOIP 電話 /VOIP 網(wǎng)絡(luò)電話的基本結(jié)構(gòu)由網(wǎng)關(guān)（ GW）和網(wǎng)守（ GK）兩部分構(gòu)成。如果可以建立連接，則將被叫網(wǎng)守的 IP 地址通知給主叫網(wǎng)關(guān)，主叫網(wǎng)關(guān)在得到被叫網(wǎng)關(guān)的IP 地址后，通過 IP 網(wǎng)絡(luò)與對方網(wǎng)關(guān)建立起呼叫連接，被叫則網(wǎng)關(guān)向 PS