【正文】 ?（ Hot Standby）基本簡介 ? 所謂雙機(jī)熱備份就是一臺(tái)主機(jī)為工作機(jī)，另一臺(tái)主機(jī)為備份機(jī)，在系統(tǒng)正常情況下，工作機(jī)為信息系統(tǒng)提供支持，備份機(jī)監(jiān)視工作機(jī)的運(yùn)行情況。 9 ?（ Dual Active）基本簡介 ? 所謂雙機(jī)熱備互援就是兩臺(tái)主機(jī)均為工作機(jī)，在正常情況下，兩臺(tái)工作機(jī)均為信息系統(tǒng)提供支持，并互相監(jiān)視對方的運(yùn)行情況。雙機(jī)容錯(cuò)技術(shù)能夠自動(dòng)檢測應(yīng)用或服務(wù)器故障，并可將其在另一臺(tái)可用的服務(wù)器上快速重新啟動(dòng)；而用戶只會(huì)覺察到瞬間的服務(wù)暫停?？蓺w納為兩個(gè)方面：對工作電源的工作連續(xù)性的保護(hù)（如不間斷電源 UPS，Uninterruptible Power Supply）；對工作電源的工作穩(wěn)定性的保護(hù)（如紋波抑制器）。 ? 網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)的冗余鏈路 ? 供電系統(tǒng)的冗余 ? 機(jī)房設(shè)備屬于一級負(fù)荷，按一級負(fù)荷的供電要求必須保證兩個(gè)以上獨(dú)立的電源點(diǎn)供電 ； ? 對于城市供電而言相對比較穩(wěn)定，一般不會(huì)長時(shí)間停電，如果停電也將是區(qū)域性停電，因此可考慮使用 UPS作為備份電源 ， 采用市電 +UPS后備電池相結(jié)合的供電方式 。計(jì)算機(jī)系統(tǒng)大多擁有 “ 容錯(cuò) ” 能力，即允許存在某些錯(cuò)誤，盡管系統(tǒng)硬件有故障或程序有錯(cuò)誤，仍能正確執(zhí)行特定算法和提供系統(tǒng)服務(wù) 。第 2章 網(wǎng)絡(luò)設(shè)備的安全與應(yīng)用實(shí)踐 ? 物理安全 ； ? 路由器安全 ； ? 交換機(jī)安全 ； ? 服務(wù)器安全 ； ? 客戶機(jī)安全 。 物理安全 計(jì)算機(jī)系統(tǒng)無論是硬件還是軟件都不可避免存在發(fā)生故障的可能，但并不是發(fā)生故障就一定意味著該系統(tǒng)完全失效。 網(wǎng)絡(luò)的冗余安全 ? 采用 “ 冗余技術(shù) ” 是實(shí)現(xiàn)計(jì)算機(jī)容錯(cuò)的主要手段 ； ? 冗余設(shè)計(jì)的目的是：系統(tǒng)運(yùn)行不受局部故障的影響，故障部件的維護(hù)對整個(gè)系統(tǒng)的功能實(shí)現(xiàn)沒有影響，并可以實(shí)現(xiàn)在線維護(hù)，使故障部件得到及時(shí)的修復(fù) ； ? 系統(tǒng)的可用性指標(biāo)可以用兩個(gè)參數(shù)進(jìn)行簡單的描述：一個(gè)是平均無故障時(shí)間 (MTBF)， MTBF一般指產(chǎn)品在兩次故障之間的平均時(shí)間間隔，是產(chǎn)品的平均壽命的指標(biāo)之一；另一個(gè)是平均修復(fù)時(shí)間 (MTBR)， MTTR一般指產(chǎn)品的故障維修所需的平均修復(fù)時(shí)間，是產(chǎn)品可維修性的衡量指標(biāo)， MTTR越短表示易恢復(fù)性越好 。 ?電源保護(hù) 為計(jì)算機(jī)信息系統(tǒng)設(shè)備的可靠運(yùn)行提供能源保障，例如使用不間斷電源、紋波抑制器、電源調(diào)節(jié)軟件等。 網(wǎng)絡(luò)設(shè)備的冗余 ? 核心交換機(jī)冗余 核心交換機(jī)中電源模塊的故障率相對較高，為了保證核心交換機(jī)的正常運(yùn)行，一般考慮在核心交換機(jī)上增配一塊電源模塊，實(shí)現(xiàn)該部件的冗余 ； ? 服務(wù)器冗余 采用配置兩臺(tái) DHCP服務(wù)器來動(dòng)態(tài)地給客戶機(jī)分配 IP地址 ，為了保證系統(tǒng)的可靠性，還可采用部件冗余技術(shù)、 RAID技術(shù) ； ? 存儲(chǔ)設(shè)備冗余 選擇刻錄光驅(qū)、磁帶機(jī)、磁盤陣列等設(shè)備冗余 ； ? 網(wǎng)絡(luò)邊界設(shè)備冗余 8 雙機(jī)容錯(cuò)與集群系統(tǒng) 雙機(jī)容錯(cuò)系統(tǒng) 雙機(jī)容錯(cuò)系統(tǒng)通過軟硬件的緊密配合，將兩臺(tái)獨(dú)立服務(wù)器在網(wǎng)絡(luò)中表現(xiàn)為單一的系統(tǒng)，提供給客戶一套具有單點(diǎn)故障容錯(cuò)能力，且性價(jià)比優(yōu)越的用戶應(yīng)用系統(tǒng)運(yùn)行平臺(tái)。 。當(dāng)一臺(tái)主機(jī)出現(xiàn)異常時(shí)，不能支持信息系統(tǒng)正常運(yùn)營，另一主機(jī)則主動(dòng)接管異常機(jī)的工作，繼續(xù)主持信息的運(yùn)營，從而保證信息系統(tǒng)能夠不間斷的運(yùn)行，而達(dá)到不停機(jī)的功能。當(dāng)工作機(jī)出現(xiàn)異常，不能支持信息系統(tǒng)運(yùn)營時(shí)，備份機(jī)主動(dòng)接管工作機(jī)的工作，繼續(xù)支持信息的運(yùn)營，從而保證信息系統(tǒng)能夠不間斷的運(yùn)行。用戶從來不會(huì)意識到集群系統(tǒng)底層的節(jié)點(diǎn)，在他 /她們看來，集群是一個(gè)系統(tǒng)，而非多個(gè)計(jì)算機(jī)系統(tǒng)。采用集群系統(tǒng)通常是為了提高系統(tǒng)的穩(wěn)定性和網(wǎng)絡(luò)中心的數(shù)據(jù)處理能力及服務(wù)能力。集群必須可以協(xié)調(diào)管理各分離組件的錯(cuò)誤和失敗，若其中一臺(tái)服務(wù)器失效，其它的服務(wù)器就會(huì)接管這臺(tái)服務(wù)器所運(yùn)行的應(yīng)用，并將共享磁盤柜上的相應(yīng)數(shù)據(jù)區(qū)接管過來。也簡稱為“磁盤陣列”。一般情況下，組成的邏輯磁盤驅(qū)動(dòng)器的容量要小于各個(gè)磁盤驅(qū)動(dòng)器容量的總和。 ? RAID提供了服務(wù)器中接入多個(gè)磁盤 （ 專指硬盤 ） 時(shí) ， 以磁盤陣列方式組成一個(gè)超大容量 、 響應(yīng)速度快 、 可靠性高的存儲(chǔ)子系統(tǒng) 。 使用 RAID可大大加快磁盤的訪問速度 ， 縮短磁盤讀寫的平均排隊(duì)與等待時(shí)間 ， 并以并行方式在多個(gè)硬盤驅(qū)動(dòng)器上工作 ， 被系統(tǒng)視作一個(gè)單一的硬盤 ， 以冗余技術(shù)增加其可靠性 ， 以多個(gè)低成本磁盤構(gòu)成磁盤子系統(tǒng) ， 提供比單一硬盤更完備的可靠性和高性能 ，目前工業(yè)界公認(rèn)的標(biāo)準(zhǔn)是 RAID0RAID6。 ? RAID的優(yōu)點(diǎn)包括以下幾點(diǎn)： ① 一是成本低，功耗小，傳輸速率高。 ② 二是可以提供容錯(cuò)功能。 ③ 三是在同樣的容量下， RAID比起傳統(tǒng)的大直徑磁盤驅(qū)動(dòng)器來，價(jià)格要低許多。 路由協(xié)議與訪問控制 ? 路由選擇及協(xié)議 ? 路由選擇是根據(jù)一定的原則和算法在多節(jié)點(diǎn)的通信子網(wǎng)中選擇一條從源節(jié)點(diǎn)到目的節(jié)點(diǎn)的最佳路徑 ； ? 路由選擇算法可分為靜態(tài)路由選擇算法和動(dòng)態(tài)路由選擇算法兩大類 ； ? 在路由器上利用路由選擇協(xié)議主動(dòng)交換路由信息，建立路由表并根據(jù)路由表轉(zhuǎn)發(fā)分組。在動(dòng)態(tài)路由選擇算法中， 應(yīng)用 分布式路由選擇算法 。前者經(jīng)過改進(jìn)，成為目前廣泛應(yīng)用的路由信息協(xié)議 ，后者則發(fā)展成為開放式最短路徑優(yōu)先協(xié)議。 ACL在路由器上讀取第三層及第四層包頭中的信息（如源地址、目的地址、源端口、目的端口等），根據(jù)預(yù)先定義好的規(guī)則對包進(jìn)行過濾，從而達(dá)到訪問控制的目的 ； ? ACL有標(biāo)準(zhǔn) ACL和擴(kuò)展 ACL兩種 。 配置 ACL要注意兩點(diǎn)，一是 ACL只能過濾流經(jīng)路由器的流量，對路由器自身發(fā)出的數(shù)據(jù)包不起作用；二是一個(gè) ACL中至少有一條允許語句 。虛擬 IP地址在路由器間共享，控制虛擬路由器 IP地址的 VRRP路由器稱為主路由器，其它的則為備份路由器。若 VRRP路由器的 IP地址和虛擬路由器的接口 IP地址相同，則稱該虛擬路由器作VRRP組中的 IP地址所有者 ； ? 為了保證 VRRP協(xié)議的安全性，提供了明文認(rèn)證和 IP頭認(rèn)證兩種安全認(rèn)證措施 。 VRRP將局域網(wǎng)的一組路由器（包括一個(gè)主路由器和若干個(gè)備份路由器）組織成一個(gè)虛擬路由器，稱之為一個(gè)備份組 ； ? 虛擬路由器擁有自己的 IP地址 ，備份組內(nèi)的路由器也有自己的 IP地址（如 Master的 IP地址為 ， Backup的 IP地址為 ）。于是，網(wǎng)絡(luò)內(nèi)的主機(jī)就通過這個(gè)虛擬的路由器來與其它網(wǎng)絡(luò)進(jìn)行通信 。 Keepalived的 VRRP功能是從Linux中 VRRPD發(fā)展而來的 。 ? 路由器的自身安全 ? 用戶口令安全 全局配置模式下使用命令 service passwordencryption進(jìn)行配置，該命令可將明文密碼變?yōu)槊芪拿艽a，保證用戶口令的安全 ； ? 配置登錄安全 路由器的配置一般有控制口（ Console）配置、 Tel配置和 SNMP配置三種方法 ， 為了保證使用 Tel配置路由器的安全，僅讓路由器管理員的工作站登錄而不讓其他機(jī)器登錄到路由器，以保證路由器配置的安全 。 ? 為進(jìn)入特權(quán)模式設(shè)置強(qiáng)壯的密碼，可采用 enable secret（不要采用 enable password）命令進(jìn)行設(shè)置，并且啟用 Service passwordencryption； ? 嚴(yán)格控制 CON端口的訪問 ； ? 如果不使用 AUX端口，則應(yīng)禁止該端口，使用如下命令即可（默認(rèn)情況下是未被啟用） ； ? 若要對權(quán)限進(jìn)行分級，采用權(quán)限分級策略 。在缺省時(shí) OSPF使用 Null認(rèn)證，也就是路由交換不通過認(rèn)證 ? EIGRP路由協(xié)議的驗(yàn)證 EIGRP協(xié)議僅僅支持 MD5認(rèn)證。 ? 簡單網(wǎng)管協(xié)議 SNMP的安全 ? 路由器的網(wǎng)絡(luò)安全配置 ? 物理結(jié)構(gòu)的布局 如果路由器有一個(gè)以上的局域網(wǎng)端口，或幾臺(tái)路由器并行使用，可以根據(jù)訪問性質(zhì)進(jìn)行分類 ； ? 路由器的簡單防火墻功能 常用的路由器一般都有訪問控制列表 ACL（ Access List），即包過濾防火墻功能。它可對源 IP地址和目的 IP地址以及協(xié)議端口號進(jìn)行過濾，用它可以控制哪些網(wǎng)絡(luò)可以訪問什么服務(wù)器資源 。在沒有斷開連接的情況下回到命令行，按下 [Ctrl]＋ [Shift]＋ 6，然后按下 x，將顯示控制臺(tái)服務(wù)器提示符。假設(shè)用戶有兩個(gè)會(huì)話：一個(gè)到第一臺(tái)路由器，一個(gè)到第二臺(tái)路由器。若要轉(zhuǎn)到某個(gè)會(huì)話，輸入 session number（ “1” 或 “2” ）即