【正文】 密碼恢復(fù)技術(shù)。通過使用SSH，可以對(duì)所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密，這樣，捕獲的數(shù)據(jù)包也是RSA加密后的數(shù)據(jù)包。使用SSH替代TelnetTelnet使用明文密碼，在網(wǎng)絡(luò)上傳輸是非常不安全的，尤其是跨越Internet的訪問。網(wǎng)絡(luò)安全I(xiàn)DS（Instrusion Detection System，IDS）檢測(cè)網(wǎng)絡(luò)攻擊并發(fā)送日志記錄到管理控制臺(tái)。①用訪問控制列表語句中的通配符掩碼和地址執(zhí)行邏輯或（，）②用訪問控制列表語句中的通配符掩碼和數(shù)據(jù)包報(bào)頭中的IP地址執(zhí)行邏輯或（，）③將兩個(gè)結(jié)果相減。而在訪問控制列表中，將通配符掩碼中的一位設(shè)成1表示忽略IP地址中對(duì)應(yīng)的位，通配符掩碼位設(shè)成0則表示IP地址中相對(duì)應(yīng)的位必須精確匹配。ACL通配符掩碼路由器使用通配符掩碼與源或目標(biāo)地址一起來分辯匹配的地址范圍。如查找到相同的用戶名，便利用報(bào)文ID和此用戶名對(duì)應(yīng)的口令，以及發(fā)過來的隨機(jī)數(shù)，以MD5算法生成一個(gè)Hash值。驗(yàn)證過程如下：①在PPP鏈路建立階段完成之后，驗(yàn)證方主動(dòng)發(fā)起驗(yàn)證挑戰(zhàn)“Challenge”，向被驗(yàn)證方發(fā)送一些隨機(jī)產(chǎn)生的報(bào)文，并同時(shí)將路由器的主機(jī)名附帶上一起發(fā)送給被驗(yàn)證方。PPP身份驗(yàn)證協(xié)議PAP（Password Authentication Protocol，密碼驗(yàn)證協(xié)議）是一種兩次握手驗(yàn)證協(xié)議，它在網(wǎng)絡(luò)上采用明文方式傳輸用戶名和口令。每個(gè)數(shù)據(jù)塊的頭部和尾部都要附加一個(gè)特殊的字符或比特序列，標(biāo)記一個(gè)數(shù)據(jù)塊的開始和結(jié)束，一般還要附加一個(gè)校驗(yàn)序列，以便對(duì)數(shù)據(jù)塊進(jìn)行差錯(cuò)控制。所謂異步傳輸，是指字符與字符之間的時(shí)間間隔是可變的，并不需要嚴(yán)格地限制它們的時(shí)間關(guān)系。同步和異步串行通信串行通信分為同步通信和異步通信。③如果驗(yàn)證失敗進(jìn)入Terminate階段，拆除鏈路，LCP狀態(tài)轉(zhuǎn)為closed；如果驗(yàn)證成功就進(jìn)入Network協(xié)商階段（NCP），此時(shí)LCP狀態(tài)仍為opened，而IPCP和IPXCP狀態(tài)從closed轉(zhuǎn)到opened。②LCP協(xié)商過后就進(jìn)入了Establish階段，此時(shí)LCP狀態(tài)為opened，表示鏈路已經(jīng)建立。PPP協(xié)議由于能夠提供用戶驗(yàn)證、易于擴(kuò)充和支持同步異步而獲得較廣泛的應(yīng)用。PPP協(xié)議是提供在點(diǎn)到點(diǎn)鏈路上承載網(wǎng)絡(luò)層數(shù)據(jù)包的一種鏈路層協(xié)議。⑤開放虛擬接口前WLAN客戶端和AP間的數(shù)據(jù)鏈路被加密，以確保沒有其他的WLAN客戶端可以接入只能由已授權(quán)認(rèn)證的客戶端接入的端口。這里AP起到一個(gè)中轉(zhuǎn)站的作用，把服務(wù)器的EAP要求轉(zhuǎn)發(fā)給無線客戶端，把無線客戶端的EAP應(yīng)答轉(zhuǎn)發(fā)給AAA服務(wù)器。②AP阻止所有的數(shù)據(jù)幀，③通過AP。登錄過程被EAP（Extended Authentication Protocol，擴(kuò)展認(rèn)證協(xié)議）管理。CCMP(Counter mode with Cipherblock chaining Message authentication code Protocl，計(jì)數(shù)器模式及密碼區(qū)塊鏈信息認(rèn)證碼協(xié)議)是一種基于AES的加密機(jī)制，AES可以產(chǎn)生某些企業(yè)、政府部門和其他機(jī)構(gòu)所需要的高水平數(shù)據(jù)隱私能力?？紤]到WEP的不足，TKIP(Temporal Key Integrity Protocol，臨時(shí)密鑰完整性協(xié)議)加密算法被建立，WPA（WiFi Protected Access，WiFi保護(hù)訪問）使用TKIP加密方法，其加密特性決定了它比WEP更難以入侵。AP會(huì)映射一個(gè)邏輯端口叫AID(Association Identifier，連接識(shí)別)到無線客戶端，這個(gè)AID就相當(dāng)于交換機(jī)的一個(gè)端口，這樣AP就可以使無線客戶端的幀轉(zhuǎn)發(fā)出去。連接（Association）：在AP和無線客戶端間建立數(shù)據(jù)鏈路的過程，這個(gè)階段確定安全和速率選項(xiàng)，建立無線客戶端和AP間的數(shù)據(jù)鏈路。認(rèn)證（Authentication）：，第一種叫做開放式認(rèn)證，即不采用認(rèn)證；第二種做WEP（Wired Equivalency Protection，有線相當(dāng)保護(hù)）認(rèn)證，通過在客戶端和AP上配置共享密鑰實(shí)現(xiàn)。探測(cè)（Probes）：無線客戶端用來發(fā)現(xiàn)網(wǎng)絡(luò)的幀，客戶端通過在多個(gè)通道上發(fā)送探測(cè)請(qǐng)求來搜索網(wǎng)絡(luò)，探測(cè)請(qǐng)求指定網(wǎng)絡(luò)的名字（SSID）和可以支持的速率?？蛻舳伺cAP間的連接，并連接到無線局域網(wǎng)，處理過程包括以下部分：燈塔（Beacons）：無線局域網(wǎng)來通告自己存在的幀，燈塔的主要目的是允許無線客戶端了解到在區(qū)域內(nèi)有哪些網(wǎng)絡(luò)和AP可以使用，允許客戶端選擇要使用的網(wǎng)絡(luò)和AP。發(fā)送站在發(fā)送完一個(gè)幀之后，必須再等待一個(gè)短的時(shí)間間隔，檢查接收站是否發(fā)回幀的確認(rèn)ACK。(Carrier Sense Multiple Access/Collision Avoidance)的沖突避免方法。無線AP：一個(gè)AP連接無線客戶端到有線網(wǎng)絡(luò)，通常客戶端設(shè)備不會(huì)直接通信，它們通過AP通信。RSTP和STP端口狀態(tài)對(duì)照表STP端口狀態(tài)RSTP端口狀態(tài)DisableDiscardingBlockingDiscardingListeningDiscardingLearningLearningForwardingForwarding無線網(wǎng)絡(luò)無線網(wǎng)絡(luò)的劃分PANLANMANWANStandardBluetooth、MMDS、LMDSGSM、GPRS、CDMA、~3GSpeed1Mb/s1~54Mb/s22Mb/s10~384kb/sRangeShortMediumMediumlongLongPAN(Personal Area Network)、MAN(Metropolitan Area Network )無線最典型的應(yīng)用就是無線局域網(wǎng)WLAN無線網(wǎng)絡(luò)和有線網(wǎng)絡(luò)的區(qū)別WLAN和以太網(wǎng)一樣，都采用了IEEE的802標(biāo)準(zhǔn)。RSTPRSTP是從STP標(biāo)準(zhǔn)發(fā)展而來的，RSTP使用版本2的BPDU。該指定交換機(jī)產(chǎn)生一個(gè)TCN BPDU。當(dāng)一個(gè)交換機(jī)需要通知拓?fù)涓淖儠r(shí)，該交換機(jī)開始從它的根端口向外發(fā)送TCN BPDU，這種TCN BPDU是一種簡(jiǎn)化的BPDU，不包含什么信息，在Hello間隔中發(fā)送。指派端口的選舉依照下面的順序：①比較花費(fèi)②比較BID 在一個(gè)正常的STP操作中，一個(gè)交換機(jī)從根端口接收根交換機(jī)發(fā)出的配置BPDU，它從不向根交換機(jī)發(fā)送BPDU。④在發(fā)送者的PID相同的情況下，比較接收者的PID。②在花費(fèi)相同的情況下，比較發(fā)送者的BID。選舉根交換機(jī)交換機(jī)之間通過發(fā)送BPDU(Bridge Protocol Data Unit)來選舉根交換機(jī)，擁有最小BID的交換機(jī)將成為根交換機(jī)。②每個(gè)非根交換機(jī)有且只有一個(gè)根端口。Forwarding狀態(tài)：端口可以轉(zhuǎn)發(fā)數(shù)據(jù)幀。Learning狀態(tài)：開始學(xué)習(xí)MAC地址。Listening狀態(tài)：除了接收BPDU外，還向鄰居交換機(jī)發(fā)送BPDU，通知鄰居交換機(jī)它將參與激活拓?fù)?。端口狀態(tài)的改變過程如下：Down（禁用）狀態(tài)：可以使用“no shut”命令和插入網(wǎng)線進(jìn)行激活。為了使用這個(gè)生成樹，交換機(jī)的端口需要在5種狀態(tài)間轉(zhuǎn)換，轉(zhuǎn)換會(huì)經(jīng)歷3種BPDU時(shí)間。禁用端口：被管理員使用“shutdown”命令關(guān)閉的端口稱做禁用端口，禁用端口不參與生成樹算法。非指派端口：既不是根端口，也不是指派端口的激活端口稱做非指派端口。交換機(jī)的端口角色有：根端口（Root ID,簡(jiǎn)稱RP）：非根交換機(jī)上離根交換機(jī)最近的端口稱做根端口，每個(gè)非根交換機(jī)上有且僅有一個(gè)根端口。Forward delay：轉(zhuǎn)發(fā)延遲。Message ID：BPDU的最大存在時(shí)間。包含了以下信息：TC（Topology Change，拓?fù)渥兓┍忍匚?，表示拓?fù)浒l(fā)生改變事件；TCA（Topology Change Acknowledgement，拓?fù)涓淖兇_認(rèn)）比特位，表示收到了拓?fù)渥兓ㄖ?，進(jìn)行確認(rèn)Root ID：根交換機(jī)的BID。BPDU交換機(jī)通過交換BPDU來選擇根橋，BPDU幀包含12個(gè)字段，用來傳輸供STP使用的路徑和優(yōu)先級(jí)等信息。在同一個(gè)廣播域中的交換機(jī)相互之間轉(zhuǎn)發(fā)BPDU幀，交換機(jī)從接收到的BPDU中讀取RootID,如果讀取到的RootID比本交換機(jī)的BID小，交換機(jī)更新RootID為鄰居交換機(jī)的RootID，標(biāo)識(shí)鄰居交換機(jī)為根交換機(jī)。在同一個(gè)廣播域中的所有交換機(jī)參與選舉根交換機(jī)。值得一提的是，現(xiàn)在普遍的交換機(jī)都使用Exteded System ID。在不使用Extended System ID的情況下，BID由優(yōu)先級(jí)和交換機(jī)的MAC地址組成。同時(shí)，當(dāng)其中一條物理鏈路中斷時(shí)，整 個(gè)邏輯鏈路不會(huì)中斷，大大地提高了網(wǎng)絡(luò)連接的可靠性。鏈路匯聚：使用端口聚合協(xié)議可以將多個(gè)端口綁定在一起，從而成倍地增加連接帶寬，并實(shí)現(xiàn)鏈路備份以及端口負(fù)載均衡，保證交換機(jī)在幾秒內(nèi)快速從失敗中恢復(fù)。基于IP的VLAN：根據(jù)IP地址來劃分的VLAN。當(dāng)一個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)剛連接到交換機(jī)時(shí)，此時(shí)交換機(jī)端口尚未分配，于是，交換機(jī)通過讀取網(wǎng)絡(luò)節(jié)點(diǎn)的MAC地址，動(dòng)態(tài)地將該端口劃入某個(gè)VLAN。該劃分方式一般用在每一交換機(jī)端口只連接一個(gè)終端的情況。不同交換機(jī)上具有相同ID的VLAN，可借助一條鏈路實(shí)現(xiàn)彼此之間的鏈接