【正文】 1，該主機(jī)要訪問(wèn) INTERNET 上的節(jié)點(diǎn) 204。 xxxxxxxx。 xxxxxxxx。在這里采用了二級(jí)網(wǎng)絡(luò)結(jié)構(gòu)，第一級(jí)采用交換機(jī) Cisco Catalyst 2900 將服務(wù)器接入后臺(tái)管理平臺(tái)網(wǎng)絡(luò)，第二級(jí)采用兩臺(tái)大容量、高性能交換機(jī) Cisco Catalyst 6500 將所有第一級(jí)的交換機(jī)匯聚。 同時(shí)網(wǎng)絡(luò)管理員也可以利用安全控管軟件進(jìn)一步加強(qiáng)網(wǎng)絡(luò)整體包括網(wǎng)絡(luò)管理系統(tǒng)的安全性。為保障全網(wǎng)參數(shù)配置的一致性和設(shè)備操作系統(tǒng)版本的統(tǒng)一，配置管理應(yīng)由中央管理中心的網(wǎng)絡(luò)管理員統(tǒng)一控制。 而且當(dāng)將來(lái)需要向用戶提供網(wǎng)絡(luò)外包服務(wù)時(shí)，利用 MPLS VPN 與后臺(tái)管理系統(tǒng)相結(jié)合，可以迅速向用戶提供業(yè)務(wù)。 網(wǎng)絡(luò)管理 由于后臺(tái)管理系統(tǒng)與前臺(tái)的網(wǎng)絡(luò)相互隔離，并且在本方案中對(duì)網(wǎng)絡(luò)的安全性作了全面的考慮，例如利用防火墻將前后臺(tái)隔離，配置入侵檢測(cè)和漏洞檢測(cè)系統(tǒng)，因此具有很好的安全性。當(dāng)不可 Cache 的或動(dòng)態(tài)的 URL 被指向 Cache時(shí)，由于 Cache 需要判定這個(gè)請(qǐng)求的內(nèi)容不 可 Cache，再?gòu)脑捶?wù)器獲取內(nèi)容，然后再轉(zhuǎn)發(fā)給客戶，會(huì)造成明顯的延時(shí)。 Cache 集群提供了冗余，在單個(gè) Cache 失敗時(shí)起到保護(hù)作用。每一種技術(shù)的區(qū)別在于在 Web 服務(wù)器訪問(wèn)途徑的什么地方配備和需要進(jìn)行配置的多少。這一點(diǎn)很關(guān)鍵，因?yàn)?Cookie 處于為進(jìn)行 SSL事務(wù)而加密的 HTTP 頭部，所以維持鎖定連的 Web 交換機(jī)不能讀到。 mysite。負(fù)載平衡方式下，可以有多臺(tái)服務(wù)器，每一個(gè)服務(wù)器都承擔(dān)一定的應(yīng)用。 Foundry， Alteon 和 Cisco 公司的四層交換機(jī)都支持本地帶寬管理。比如，一個(gè) HTTP cap 會(huì)使 Web 游覽避免使用他人的帶寬。 Int er 連接服務(wù)基本托管服務(wù) 網(wǎng)站托管 ( 共享 ) 網(wǎng)站托管 ( 獨(dú)占 ) 主機(jī)托管高級(jí)安全服務(wù)P ri v a t e V LAN專門的防火墻、專門的入侵探測(cè)安全審計(jì)Int e rne t連接服務(wù)服務(wù)類別 ( COS)帶寬管理骨干接入 骨干接入 作為 IDC 網(wǎng)絡(luò)與公共 IP 骨干網(wǎng)絡(luò)的接口， Inter 連接層提供了 IDC 與公共IP 網(wǎng)的橋梁，它的運(yùn)行情況直接關(guān)系到 IDC 為其用戶所提供的服務(wù)的質(zhì)量，這就要求該層的設(shè)備必須具有以下的特點(diǎn)： 這一新的 VLAN特性就是專用 VLAN （ private VLAN， pVLAN）。當(dāng)收到安全性消息時(shí)，圖形用戶界面上相應(yīng)的主機(jī)狀態(tài)顏色和安全性消息組的圖標(biāo)都應(yīng)有相應(yīng)變化，以幫助操作人員快速地確定報(bào)警的原因和范疇。 防范攻擊的措施 1。 防 DoS黑客攻擊 在拒絕服務(wù)（ DoS）攻擊中，惡意用戶向服務(wù)器發(fā)送多個(gè)認(rèn)證請(qǐng)求，使其滿負(fù)載，并且所有請(qǐng)求的返回地址都是偽造的。對(duì)網(wǎng)絡(luò)安全的威脅主要表現(xiàn)在：拒絕服務(wù)、非授權(quán)訪問(wèn)、冒充合法用戶、破壞數(shù)據(jù)完整性、干擾系統(tǒng)正常運(yùn)行、利用網(wǎng)絡(luò)傳播病毒、線路竊聽等方面。其他作為獨(dú)享主機(jī)托管服務(wù)的一部分還應(yīng)包括： ? 電信級(jí)高品質(zhì)機(jī)房環(huán)境和設(shè)備 ? 可靠的供電系統(tǒng) ? 恒溫恒濕控制系統(tǒng) ? 19 英寸標(biāo)準(zhǔn)機(jī)架 ? 10M/100M 共享或獨(dú)占接口 ? 獨(dú)立 IP 地址 ? 服務(wù)器配置 ? 服務(wù)器系統(tǒng)軟件安裝 、調(diào)試 ? 24 7 網(wǎng)絡(luò)系統(tǒng)管理維護(hù)與技術(shù)支持 ? 24 小時(shí)實(shí)時(shí)的服務(wù)器運(yùn)行狀態(tài)、流量監(jiān)測(cè) ? 詳細(xì)的訪問(wèn)統(tǒng)計(jì)報(bào)告 ? 緊急狀況的處理 共享式網(wǎng)站托管 又可稱為虛擬主機(jī)業(yè)務(wù)，是指在一種 Inter 的網(wǎng)站工作環(huán)境下， IDC 的網(wǎng)絡(luò)服務(wù)器可以容納許多相互獨(dú)立的多個(gè)網(wǎng)站和 Email 系統(tǒng)，并且由 IDC 提供管理維護(hù)服務(wù)。 在提供主機(jī)托管服務(wù)給用戶時(shí)， IDC 服務(wù)提供商將負(fù)責(zé)提供 Inter 連接層、核心層、分布層及服務(wù)器接入層的設(shè)備并保障其穩(wěn)定運(yùn)行。本章將在介紹 IDC 網(wǎng)絡(luò)設(shè)計(jì)的同時(shí)，闡述每個(gè)設(shè)計(jì)要點(diǎn)對(duì) IDC 業(yè)務(wù)的影響和重要性。因?yàn)樯蠄D中整個(gè) IDC 建設(shè)框架的最終目的是為了 IDC 業(yè)務(wù)的開展和拓展，在這個(gè)框架的每個(gè)部分都必須貫穿為 IDC 業(yè)務(wù)開展服務(wù)的宗旨。用戶則需要自己負(fù)責(zé)服務(wù)器以及包含防火墻等在內(nèi)的內(nèi)部網(wǎng)絡(luò)。而每一位客戶可以有條件地訪問(wèn)和控制服務(wù)器上的一小部分，從而用來(lái)構(gòu)建自己的網(wǎng)站。 這就要求我們對(duì)與 Inter 互連所帶來(lái)的安全性問(wèn)題予以足夠重視。當(dāng) 服務(wù)器企圖將認(rèn)證結(jié)果返回給用戶時(shí)，它將無(wú)法找到這些用戶。 過(guò)濾進(jìn)網(wǎng)和出網(wǎng)的流量 網(wǎng)絡(luò)服務(wù)提供商應(yīng)該實(shí)施進(jìn)網(wǎng)流量過(guò)濾措施，目的是阻止任何偽造 IP 地址的數(shù)據(jù)包進(jìn)入網(wǎng)絡(luò)，從而從源頭阻止諸如 DDOS 這樣的分布式網(wǎng)絡(luò)攻擊的發(fā)生或削弱其攻擊效果。 入侵檢測(cè) 入侵檢測(cè)（ Intrude Detection）具有監(jiān)視分析用戶和系統(tǒng)的行為、審計(jì)系統(tǒng)配置和漏洞、評(píng)估敏感系統(tǒng)和數(shù)據(jù)的完整性、識(shí)別攻擊行為、對(duì)異常行為進(jìn)行統(tǒng)計(jì)、自動(dòng)地收集和系統(tǒng)相關(guān)的補(bǔ)丁、進(jìn)行審計(jì)跟蹤識(shí)別違反安全法規(guī)的行為、使用誘騙服務(wù)器記錄黑客行為等功能，使系統(tǒng)管理員可以較有效地監(jiān)視、審計(jì)、評(píng)估 自己的系統(tǒng)。這種特性是 Cisco 公司的專有技術(shù)，但特別適用于 IDC。 高速的路由交換能力 而且獲得保證的音頻或視頻流動(dòng)速率，避免出現(xiàn)惱人的不穩(wěn)定性。 5 內(nèi)容交換 內(nèi)容交換提供數(shù)據(jù)流的負(fù)載均衡以提高 IDC 的網(wǎng)絡(luò)性能，特別是服務(wù)器的響應(yīng)性能。它們之間即 可以互為備份，也可以有專門一臺(tái)備份服務(wù)器，它在群集正常時(shí)不承擔(dān)任何任務(wù)，但是當(dāng)群集中的某一臺(tái)服務(wù)器發(fā)生故障時(shí)，它會(huì)自動(dòng)激活，從而接管故障服務(wù)器的任務(wù)。 時(shí)，客戶的關(guān)于這個(gè)網(wǎng)站的 DNS 域名解析請(qǐng)求會(huì)被這個(gè)廣域網(wǎng)的負(fù)載平衡設(shè)備來(lái)處理，而這個(gè)廣域網(wǎng)的負(fù)載平衡設(shè)備會(huì)基于客戶端的 IP 地址范圍、客戶端與各節(jié)點(diǎn)的網(wǎng)絡(luò)延遲、各節(jié)點(diǎn)的狀態(tài)及負(fù)載等參數(shù)，然后根據(jù)一定的算法來(lái)判斷那個(gè)節(jié)點(diǎn)最適合用戶訪問(wèn)，從而將這個(gè)節(jié)點(diǎn)的 IP 地址或 VIP 地址返回給客戶。用戶瀏覽器與服務(wù)器之間開始的 SSL Hello 消息含有一個(gè)空的會(huì)話 ID 字段（如果要建立一個(gè)新的 SSL 會(huì)話）或上一次客戶使用得 SSL 會(huì)話。 Cache 能力定義為一個(gè)對(duì)象可以被的潛力。特別是代理 Cache，對(duì)單一的Cache 失敗 很敏感。在這種情況下， Cache 基本上變成了瓶頸。同時(shí)由于后臺(tái)網(wǎng)絡(luò)不承擔(dān)業(yè)務(wù)，帶寬也相對(duì)充足，因此IDC 都是通過(guò)后臺(tái)來(lái)對(duì)服務(wù)器和網(wǎng)絡(luò)設(shè)備進(jìn)行管理。 8 網(wǎng)絡(luò)管理 基本托管服務(wù) 網(wǎng)站托管 ( 共享 ) 網(wǎng)站托管 ( 獨(dú)占 ) 主機(jī)托管高級(jí)安全服務(wù)P r i vat e V LA N專用防火墻、專用入侵探測(cè)安全審計(jì)I nt er 連接服務(wù)C om m i t t ed A ccess R at e服務(wù)類別 ( C O S )內(nèi)容交換服務(wù)基于 I P , U R L, C oo ki e 的負(fù)載均衡語(yǔ)言和終端設(shè)備優(yōu)化跨地域負(fù)載均衡內(nèi)容傳送服務(wù)網(wǎng)站服務(wù)加速網(wǎng)站內(nèi)容推送突發(fā)擁擠保障內(nèi)容分段復(fù)制后臺(tái)連接服務(wù)端到端安全端到端私用網(wǎng)絡(luò)IDC 運(yùn)行管理運(yùn)行管理 專業(yè)服務(wù) 網(wǎng)絡(luò)管理是 IDC 運(yùn)行管理中的重要一環(huán)，它將覆蓋所有網(wǎng)絡(luò)元素的管理和控制。網(wǎng)絡(luò)管理軟件為 IDC 網(wǎng)絡(luò)管理員提供了配置管理工具。 Radius 服務(wù)器是常用的負(fù)責(zé)提供基于標(biāo)準(zhǔn)安全認(rèn)證協(xié)議的用戶登陸認(rèn)證機(jī)制的設(shè)備。同時(shí)連接到各業(yè)務(wù)中心。 xxxxxxxx。 xxxxxxxx。 10。 0。 xxxxxxxx。 IP 地址分為 A、 B、 C、 D、 E 五類，其中常用的是 A、 B、 C 三類， A 類地址用前一個(gè)字節(jié)（ 8 位）表示主網(wǎng)絡(luò)號(hào)，這個(gè)字節(jié)的第一位為 0，后三個(gè)字節(jié)（ 24 位）表示主機(jī)號(hào)，如下所示： 0xxxxxxx。 后臺(tái)管理平臺(tái) IDC 的運(yùn)營(yíng)得成功與否，網(wǎng)絡(luò)及業(yè)務(wù)的管理是很關(guān)鍵的一個(gè)因素，這包含了如下的方面： ? 網(wǎng)絡(luò)設(shè)備的管理 ? 網(wǎng)絡(luò)流量的監(jiān)控 ? 用戶對(duì)其業(yè)務(wù)更新的手段 ? 用戶數(shù)據(jù)的備份 ? 詳盡的計(jì)費(fèi)報(bào)告 ? …. 作為提供網(wǎng)絡(luò)及業(yè)務(wù)管理的網(wǎng)絡(luò)平臺(tái) — 后臺(tái)管理平臺(tái)，包含有： ? IDC 控制中心 (IDC 的網(wǎng)絡(luò)管理中心 ) ? IDC 客戶中心 (用戶對(duì)其服務(wù)器進(jìn)行更新、維護(hù) ) ? 用戶管理中心 （用戶遠(yuǎn)程對(duì)其服務(wù)器進(jìn)行更新、維護(hù)） ? 動(dòng)態(tài)業(yè)務(wù)復(fù)制區(qū)等 (用戶數(shù)據(jù)的備份 ) 對(duì) IDC 而言，安全性和易操作性是同 時(shí)需要的。可以為網(wǎng)管系統(tǒng)定義多級(jí)的訪問(wèn)權(quán)限，在方便管理員操作的前提下保證只有經(jīng)過(guò)授權(quán)的管理人員才能對(duì)網(wǎng)絡(luò)進(jìn)行管理操作，從而保證管理系統(tǒng)的最大安全性。 配置管理 IDC 網(wǎng)絡(luò)網(wǎng)絡(luò)設(shè)備的配置管理在管理功能上分為設(shè)備參數(shù)的集中配置、對(duì)更改設(shè)備參數(shù)的操作審計(jì)和設(shè)備操作系統(tǒng)的集中版本管理。同時(shí)在 MPLS VPN 上通過(guò)流量控制機(jī)制能夠?yàn)橛脩籼峁┒说蕉说姆?wù)質(zhì)量保證。因此 IDC能夠根據(jù) 用戶的要求，由一臺(tái)備份服務(wù)器為多個(gè)用戶提供數(shù)據(jù)備份，也可以由一臺(tái)備份服務(wù)器為單獨(dú)的一個(gè)用戶提供服務(wù)。 Web 交換機(jī)具有完成智能 Cache 旁路（ Intelligent Cache Bypass）的能力，如果是動(dòng)態(tài)請(qǐng)求可以旁路代理、透明式或反向代理 Cache 服務(wù)器。 Cache 集群可以通過(guò)把多個(gè)Cache 連接到一個(gè)路由器、第 4 層交換機(jī)或 Web 交換機(jī)上來(lái)實(shí)現(xiàn)。 有許多的 Web cache 實(shí)現(xiàn)方法，包括代理、透明的以及反向代理 cache。在一個(gè)安全的事務(wù)中， Web 交換機(jī)維持從用戶 Cookie（購(gòu)物）到 SSL 會(huì)話 ID（結(jié)帳）的轉(zhuǎn)化。 跨地域負(fù)載均衡 前面講述的都是關(guān)于如何在本地局域網(wǎng)實(shí)現(xiàn) WWW 等應(yīng)用服務(wù)器的負(fù)載平衡，那么如何實(shí)現(xiàn)應(yīng)用服務(wù)器的廣域網(wǎng)上的負(fù)載平衡，從而保證應(yīng)用的冗災(zāi)備份，以及如何有效的根據(jù)客戶的地域分布、廣域網(wǎng)絡(luò)的連通狀態(tài)或延遲時(shí)間來(lái)將客戶定向到他們最適合訪問(wèn)的站點(diǎn)呢？這些都涉及到廣域網(wǎng)的負(fù)載平衡技術(shù)（ Global Server Load Balance），常見的廣域網(wǎng)負(fù)載平衡產(chǎn)品都是基于 DNS 重定向原理來(lái)實(shí)現(xiàn)的，即當(dāng)客戶訪問(wèn)某一個(gè)網(wǎng)站時(shí)，例如 ?；閭浞荩?Active/Standby）方式下，其中一臺(tái)服務(wù)器缺省處于活動(dòng)狀態(tài)（ Active/Primary），而另一臺(tái)處于睡眠狀態(tài)（ Standby/Backup），當(dāng)主服務(wù)器系統(tǒng)死機(jī)或應(yīng)用不能正常服務(wù)時(shí)，備份服務(wù)器會(huì)自動(dòng)變成活動(dòng)狀態(tài)，從而接管原主服務(wù)器的任務(wù)，保證應(yīng)用能夠繼續(xù)服務(wù)。 對(duì)本地帶寬管理也可以通過(guò)四層交換機(jī)來(lái)實(shí)現(xiàn)。 速率政策（ Rate policies）限制或保證每個(gè)單獨(dú)對(duì)話的帶寬，抑制那些貪婪的應(yīng)用通信，或者保護(hù)對(duì)時(shí)延敏感的流量。借助于這些高端路由器的高性能及豐富的特性，提供全冗余、高速、高性能網(wǎng)絡(luò)核心。 Cisco 在 IP 地址 管理方案中引入了一種新的 VLAN 機(jī)制，服務(wù)器同在一個(gè)子網(wǎng)中，但服務(wù)器只能與自己的缺省網(wǎng)關(guān)通信。 安全掃描服務(wù)器能提供實(shí)時(shí)入侵檢測(cè)和實(shí)時(shí)報(bào)警。為了使攻擊力更強(qiáng)， DDOS 通常會(huì)利用任何一種通過(guò)發(fā)送單獨(dú)的數(shù)據(jù)包就能探測(cè)到的協(xié)議缺陷，并利用這些缺陷進(jìn)行攻擊。 通過(guò) AAA 的實(shí)施我們可以方便的控制網(wǎng)絡(luò)設(shè)備的安全性，同時(shí)結(jié)合 ACL 的設(shè)置限制能夠進(jìn)行遠(yuǎn)程登錄的工作站的數(shù)量、 IP 地址降低網(wǎng)絡(luò)設(shè)備受到攻擊的可能性。但是，由于在早期網(wǎng)絡(luò)協(xié)議設(shè)計(jì)上對(duì)安全問(wèn)題的忽視，以及在使用和管理上的無(wú)政府狀態(tài)，逐漸使 Inter 自身的安全受到嚴(yán)重威脅，與它有關(guān)的安全事故屢有發(fā)生。根據(jù)用戶需求的不同，我們可以定義單機(jī)，雙機(jī)集群或包括數(shù)據(jù)庫(kù)服務(wù)器的獨(dú)享主機(jī)服務(wù)包。 2 米、寬 19 英寸 ? 每臺(tái)機(jī)柜提供獨(dú)立電源控制 ? 高速以太網(wǎng)接 口 ? 獨(dú)立風(fēng)扇設(shè)備 基于主機(jī)托管業(yè)務(wù) IDC 的網(wǎng)絡(luò)全貌如下圖所示，網(wǎng)絡(luò)分為 Inter 連接層、核心層和服務(wù)器接入層。 基本托管服務(wù) 網(wǎng)站托管 ( 共享 ) 網(wǎng)站托管 ( 獨(dú)占 ) 主機(jī)托管高級(jí)安全服務(wù)P r i vat e V LA N專用防火墻、專用入侵探測(cè)安全審計(jì)I nt er 連接服務(wù)C om m i t t ed A ccess R at e服務(wù)類別 ( C O S )內(nèi)容交換服務(wù)基于 I P , U R L, C oo ki e 的負(fù)載均衡語(yǔ)言和終端設(shè)備優(yōu)化跨地域負(fù)載均衡內(nèi)容傳送服務(wù)網(wǎng)站服務(wù)加速網(wǎng)站內(nèi)容推送突發(fā)擁擠保障內(nèi)容分段復(fù)制后臺(tái)連接服務(wù)端到端安全端到端私用網(wǎng)絡(luò)IDC 網(wǎng)絡(luò)架構(gòu)運(yùn)行管理 專業(yè)服務(wù) IDC 的業(yè)務(wù)將包含接入業(yè)務(wù)，空間出租業(yè)務(wù)，托管業(yè)務(wù)，管理業(yè)務(wù)和增值業(yè)務(wù)。 本章將從托管服務(wù)，網(wǎng)絡(luò)安全， Inter 連接，內(nèi)容交換，內(nèi)容傳送，后臺(tái)連接和網(wǎng)絡(luò)管理等方面具體闡述 IDC 網(wǎng)絡(luò)解決方案對(duì) IDC 業(yè)務(wù)的針對(duì)性設(shè)計(jì)。有關(guān)網(wǎng)絡(luò)各層的描述，請(qǐng)參見后續(xù)相應(yīng)章節(jié)。 虛擬主機(jī)依托于一臺(tái)服務(wù)器，多個(gè)網(wǎng)站可以在這臺(tái)服務(wù)器上共享資源（硬盤空間、處理器以及內(nèi)存空間），單獨(dú)的一臺(tái)服務(wù)器上可以同時(shí)運(yùn)行多個(gè)虛擬 主機(jī)。 IDC 以 Inter 技術(shù)體系作為基礎(chǔ)，主要特點(diǎn)是以 TCP/IP 為傳輸協(xié)議和以瀏覽器 /WEB 為處理模式。在這種情況下，服務(wù)器只好等待，有時(shí)甚至?xí)却?1 分鐘才能關(guān)閉此次連接。 2。實(shí)時(shí)入侵檢測(cè)系統(tǒng)解決方案，用于檢測(cè)、報(bào)告和終止整個(gè)