【正文】 單播地址； ? 源地址是環(huán)回地址； ? 目的地址是環(huán)回地址； ? 目的地址不是有效的單播或組播地址 此外， ? 對(duì)于 HTTP 數(shù)據(jù)流， WEB 交換機(jī)必須在 HTTP 流啟動(dòng)后的 16 秒內(nèi)接受一個(gè)有效的幀，否則它將丟棄這個(gè)幀并中斷這個(gè)流； ? 對(duì)于 TCP 數(shù)據(jù)流， WEB 交換機(jī)必須在 16 秒內(nèi)接受一個(gè)返回的 ack，否則它將終止這個(gè) TCP 流； ? 對(duì)于任意嘗試過(guò) 8 次以上 SYN 的數(shù)據(jù)流， WEB 交換機(jī)將終止這個(gè)流，并且停止處理同樣 SYN，源地址，目的地址及端口號(hào)對(duì)的數(shù)據(jù)流 。 采用網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng) IDS 當(dāng)系統(tǒng)收到來(lái)自奇怪或未知地址的可疑流量時(shí)，網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng) IDS（ Intrusion Detection Systems）能夠給系統(tǒng)管理人員發(fā)出報(bào)警信號(hào)，提醒他們及時(shí)采取應(yīng)對(duì)措施，如切斷連接或反向跟蹤等。 過(guò)濾進(jìn)網(wǎng)和出網(wǎng)的流量 網(wǎng)絡(luò)服務(wù)提供商應(yīng)該實(shí)施進(jìn)網(wǎng)流量過(guò)濾措施，目的是阻止任何偽造 IP 地址的數(shù)據(jù)包進(jìn)入網(wǎng)絡(luò)，從而從源頭阻止諸如 DDOS 這樣的分布式網(wǎng)絡(luò)攻擊的發(fā)生或削弱其攻擊效果。為了使攻擊力更強(qiáng)， DDOS 通常會(huì)利用任何一種通過(guò)發(fā)送單獨(dú)的數(shù)據(jù)包就能探測(cè)到的協(xié)議缺陷，并利用這些缺陷進(jìn)行攻擊。它們發(fā)送原始的 IP 包（ raw IP packet），由于 Inter 協(xié)議本身的缺陷， IP 包中包括的源地址是可以偽裝的，這也是追蹤 DDOS 攻擊者很困難的主要原因。 實(shí)際的攻擊并不僅僅是簡(jiǎn)單地發(fā)送海量信息，而是采用 DDOS 的變種工具，這些工具可以利用網(wǎng)絡(luò)協(xié)議的缺陷使攻擊力更強(qiáng)大或者使追 蹤攻擊者變得更困難。黒客（ client）在不同的主機(jī)（ handler）上安裝大量的 DoS 服務(wù)程序，它們等待來(lái)自中央客戶端（ client）的命令，中央客戶端隨后通知全體受控服務(wù)程序（ agent），并指示它們對(duì)一個(gè)特定目標(biāo)發(fā)送盡可能多的網(wǎng)絡(luò)訪問(wèn)請(qǐng)求。在這種情況下，就會(huì)有 一股拒絕服務(wù)洪流沖擊網(wǎng)絡(luò)，并使其因過(guò)載而崩潰。 DoS 攻擊需要攻擊者手工操作，而 DDOS 則將這種攻擊行為自動(dòng)化。當(dāng)服務(wù)器關(guān)閉連接之后，攻擊者又發(fā)送新的一批虛假請(qǐng)求，以上過(guò)程又重復(fù)發(fā)生，直到服務(wù)器因過(guò)載而拒絕提供服務(wù)。當(dāng) 服務(wù)器企圖將認(rèn)證結(jié)果返回給用戶時(shí)，它將無(wú)法找到這些用戶。 通過(guò) AAA 的實(shí)施我們可以方便的控制網(wǎng)絡(luò)設(shè)備的安全性，同時(shí)結(jié)合 ACL 的設(shè)置限制能夠進(jìn)行遠(yuǎn)程登錄的工作站的數(shù)量、 IP 地址降低網(wǎng)絡(luò)設(shè)備受到攻擊的可能性。 AAA 服務(wù)器檢索用戶數(shù)據(jù)庫(kù)，如果該用戶允許登錄則向網(wǎng)絡(luò)設(shè)備返回PERMIT 信息和該用戶在該網(wǎng)絡(luò)設(shè)備上可執(zhí)行的命令同時(shí)將用戶登錄的時(shí)間、 IP作詳細(xì)記錄；若不能在用戶數(shù)據(jù)庫(kù)中檢索到該用戶的信息則返回 DENY 信息，并可以根據(jù)設(shè)置向網(wǎng)管工作站發(fā)送 SNMP 的警告消息。 在使用 AAA 的功能后用戶通過(guò)網(wǎng)絡(luò)遠(yuǎn)程登錄到網(wǎng)絡(luò)設(shè)備上的基本過(guò)程如下： 用戶執(zhí)行遠(yuǎn)程登錄命令（例如： Tel），網(wǎng)絡(luò)設(shè)備提示輸入用戶姓名、口令。 AAA 功能的實(shí)施需要兩部分的配合：支持 AAA 的網(wǎng)絡(luò)設(shè)備、 AAA 服務(wù)器。 授權(quán)：當(dāng)用戶登錄后允許該用戶可以干什么，執(zhí)行哪些操作的授權(quán)。 IDC 的安全需求 我們把對(duì)于 IDC 的安全需求分為三類：分別是 IDC 基本服務(wù)， IDC 增值服務(wù)， IDC NOC。所以我們?cè)?IDC 的設(shè)計(jì)中必須充分重視安全問(wèn)題，盡可能的減少安全漏洞。 這就要求我們對(duì)與 Inter 互連所帶來(lái)的安全性問(wèn)題予以足夠重視。但是，由于在早期網(wǎng)絡(luò)協(xié)議設(shè)計(jì)上對(duì)安全問(wèn)題的忽視，以及在使用和管理上的無(wú)政府狀態(tài)，逐漸使 Inter 自身的安全受到嚴(yán)重威脅，與它有關(guān)的安全事故屢有發(fā)生。對(duì)于網(wǎng)絡(luò)結(jié)構(gòu)中各層 的詳細(xì)描述，請(qǐng)參見(jiàn)后續(xù)相應(yīng)章節(jié)。 在基于網(wǎng)站托管業(yè)務(wù) IDC 的網(wǎng)絡(luò)全貌如下圖所示，網(wǎng)絡(luò)分為 Inter 連接層、核心層、分布層、服務(wù)器接入及后臺(tái)管理平臺(tái)。 在 IDC 網(wǎng)絡(luò)建設(shè)初期，虛擬主機(jī)業(yè)務(wù)為服務(wù)提供商提供了巨大的市場(chǎng)機(jī)遇，而且它是實(shí)施其他增值服務(wù)（例如應(yīng)用托管業(yè)務(wù)）的基礎(chǔ)。虛擬主機(jī)業(yè)務(wù)市場(chǎng)將會(huì)隨著這個(gè)產(chǎn)業(yè)的發(fā)展而不斷調(diào)整與變化，不斷地滿足如小型企業(yè)、社會(huì)團(tuán)體以及其它僅需要一種簡(jiǎn)單的網(wǎng)頁(yè)系統(tǒng)的需求。其業(yè)務(wù)需求的前提如下： ? 建設(shè)網(wǎng)站系統(tǒng)需要高額的硬件費(fèi)用； ? 缺乏維護(hù)這些系統(tǒng)的有經(jīng)驗(yàn)的專家； ? 網(wǎng)站比較簡(jiǎn)單； ? 交互應(yīng)用程序較少； ? 網(wǎng)絡(luò)帶寬的限制。 虛擬主機(jī)是一種初級(jí)的網(wǎng)絡(luò)系統(tǒng)方案，其用途主要是容納一些中小型企業(yè)應(yīng)用以及靜態(tài)網(wǎng)頁(yè)。而每一位客戶可以有條件地訪問(wèn)和控制服務(wù)器上的一小部分，從而用來(lái)構(gòu)建自己的網(wǎng)站。根據(jù)用戶需求的不同，我們可以定義單機(jī)，雙機(jī)集群或包括數(shù)據(jù)庫(kù)服務(wù)器的獨(dú)享主機(jī)服務(wù)包。經(jīng)營(yíng)者通過(guò)提供例如：平臺(tái)設(shè)計(jì)、服務(wù)監(jiān)控、服務(wù)品質(zhì)測(cè)試、網(wǎng)絡(luò)安全管理和緩存等項(xiàng)增值服務(wù)加強(qiáng)市場(chǎng)競(jìng)爭(zhēng)力。 為了保證服務(wù)質(zhì)量，獲得相應(yīng)的高增值服務(wù)費(fèi)用， IDC 服務(wù)經(jīng)營(yíng)者通常與用戶制定 SLA（ Service Level Agreement）。專用主機(jī)可以為這些關(guān)鍵應(yīng)用提供高質(zhì)量、安全的服務(wù)。 提供網(wǎng)站托管業(yè)務(wù)的 IDC 向其用戶提供的業(yè)務(wù)主要包括網(wǎng)絡(luò)設(shè)施及網(wǎng)站托管，這樣對(duì)于 IDC 而言在進(jìn)行網(wǎng)絡(luò)設(shè)計(jì)時(shí)必須考慮以下要素： ? 提高服務(wù)器及 Web 應(yīng)用的可訪問(wèn)性，這需要網(wǎng)絡(luò)具有內(nèi)容識(shí)別（ Content Aware）的功能 ? 為方便租用主機(jī) 的用戶易于控制及管理其主機(jī)內(nèi)容，提供相應(yīng)的管理平臺(tái)。總體來(lái)講數(shù)據(jù)中心的硬件設(shè)備主要包括：服務(wù)器陣列、網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）、機(jī)房控制設(shè)備、防火系統(tǒng)、備用電源、空調(diào)設(shè)施等。 基于網(wǎng)站托管的 IDC 網(wǎng)絡(luò)全貌 網(wǎng)站托管是 IDC 經(jīng)過(guò)發(fā)展后而開展的一項(xiàng)業(yè)務(wù)。用戶則需要自己負(fù)責(zé)服務(wù)器以及包含防火墻等在內(nèi)的內(nèi)部網(wǎng)絡(luò)。 2 米、寬 19 英寸 ? 每臺(tái)機(jī)柜提供獨(dú)立電源控制 ? 高速以太網(wǎng)接 口 ? 獨(dú)立風(fēng)扇設(shè)備 基于主機(jī)托管業(yè)務(wù) IDC 的網(wǎng)絡(luò)全貌如下圖所示，網(wǎng)絡(luò)分為 Inter 連接層、核心層和服務(wù)器接入層。 提供主機(jī)托管業(yè)務(wù)的 IDC 向其用戶提供的業(yè)務(wù)主要包括與 Inter 網(wǎng)的連接以及提供獨(dú)立安全的場(chǎng)地，這樣對(duì)于 IDC 而言在進(jìn)行網(wǎng)絡(luò)設(shè)計(jì)時(shí)必須考慮提高網(wǎng)絡(luò)連接的速度及可靠性，從而為用戶提供高質(zhì)量的服務(wù)。如著名的 Yahoo、 eBay、 Amazon。 主機(jī)托管業(yè)務(wù)的特點(diǎn)：投資降低，用戶可使用已購(gòu)買的服務(wù)器等設(shè)備，無(wú)需再作設(shè)備投資，并且可采用 IDC 提供的線路。 Bas ic Ho sting Servi ces基本托管服務(wù)網(wǎng)站托管( 共享 )網(wǎng)站托管( 獨(dú)占 )主機(jī)托管 基于主機(jī)托管的 IDC 網(wǎng)絡(luò)全貌 主機(jī)托管是 IDC 初期為其用戶提供的一種基礎(chǔ)服務(wù)。由于其業(yè)務(wù)模式的不同，使得其在對(duì)網(wǎng)絡(luò)設(shè)計(jì)時(shí)的要求也不相同。 2 托管服務(wù) IDC 的基本業(yè)務(wù)包括網(wǎng)站托管（ Web hosting）和主機(jī)托管（ Colocation）兩大類。因?yàn)樯蠄D中整個(gè) IDC 建設(shè)框架的最終目的是為了 IDC 業(yè)務(wù)的開展和拓展，在這個(gè)框架的每個(gè)部分都必須貫穿為 IDC 業(yè)務(wù)開展服務(wù)的宗旨。 基本托管服務(wù) 網(wǎng)站托管 ( 共享 ) 網(wǎng)站托管 ( 獨(dú)占 ) 主機(jī)托管高級(jí)安全服務(wù)P r i vat e V LA N專用防火墻、專用入侵探測(cè)安全審計(jì)I nt er 連接服務(wù)C om m i t t ed A ccess R at e服務(wù)類別 ( C O S )內(nèi)容交換服務(wù)基于 I P , U R L, C oo ki e 的負(fù)載均衡語(yǔ)言和終端設(shè)備優(yōu)化跨地域負(fù)載均衡內(nèi)容傳送服務(wù)網(wǎng)站服務(wù)加速網(wǎng)站內(nèi)容推送突發(fā)擁擠保障內(nèi)容分段復(fù)制后臺(tái)連接服務(wù)端到端安全端到端私用網(wǎng)絡(luò)IDC 網(wǎng)絡(luò)架構(gòu)運(yùn)行管理 專業(yè)服務(wù) IDC 的業(yè)務(wù)將包含接入業(yè)務(wù)，空間出租業(yè)務(wù)，托管業(yè)務(wù)，管理業(yè)務(wù)和增值業(yè)務(wù)?？傊W(wǎng)絡(luò)架構(gòu)是 IDC 建設(shè)框架中重要而又承上啟下的一環(huán)，網(wǎng)絡(luò)系統(tǒng)的設(shè)計(jì)是否完善將直接影響到 IDC 建設(shè)的質(zhì)量。而在橫向結(jié)構(gòu)上， IDC 的網(wǎng)絡(luò)運(yùn)行離不開網(wǎng)絡(luò)管理和運(yùn)營(yíng)維護(hù) 。 ： ； :； 群： 第二章 網(wǎng)絡(luò)方案 1 概述 如下圖是整個(gè) IDC 的建設(shè)框架，本章將闡述網(wǎng)絡(luò)框架的建設(shè)以及網(wǎng)絡(luò)管理。 網(wǎng)絡(luò)架構(gòu)運(yùn)行在布線系統(tǒng)，供電系統(tǒng)等基礎(chǔ)系統(tǒng)之上，同時(shí)為主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)提供平臺(tái)。網(wǎng)絡(luò)架構(gòu)的可靠，穩(wěn)定，高效，安全，可擴(kuò)展，可管理性將直接關(guān)系到上層的主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)，也將直接關(guān)系到 IDC 業(yè)務(wù)的順利開展和運(yùn)行。 IDC 網(wǎng)絡(luò)架構(gòu)的整體設(shè)計(jì)框架如下圖所示。本章將在介紹 IDC 網(wǎng)絡(luò)設(shè)計(jì)的同時(shí)，闡述每個(gè)設(shè)計(jì)要點(diǎn)對(duì) IDC 業(yè)務(wù)的影響和重要性。 本章將從托管服務(wù)，網(wǎng)絡(luò)安全， Inter 連接，內(nèi)容交換，內(nèi)容傳送，后臺(tái)連接和網(wǎng)絡(luò)管理等方面具體闡述 IDC 網(wǎng)絡(luò)解決方案對(duì) IDC 業(yè)務(wù)的針對(duì)性設(shè)計(jì)。其中網(wǎng)站托管分為共享式和獨(dú)享式兩種。以下分別給出基于兩種不同模式時(shí)的網(wǎng)絡(luò)全貌。網(wǎng)站及企業(yè)用戶自身?yè)碛腥舾煞?wù)器，并把它放置在 IDC 的機(jī)房里，由客戶自己進(jìn)行維護(hù)。 該業(yè)務(wù)適合于自身有較強(qiáng)的網(wǎng)絡(luò)運(yùn)行維護(hù)經(jīng)驗(yàn)并在數(shù)據(jù)中心建立之前已投入人力物力建設(shè)了網(wǎng)站設(shè)備的大型企業(yè)用戶。都采用了主機(jī)托管業(yè)務(wù)。 對(duì)主機(jī)托管業(yè)務(wù)， IDC 可為客戶提供 n x 100M 或者千兆獨(dú)占帶寬的電信級(jí)專業(yè)機(jī)房租用服務(wù)，包括 ? 隨時(shí)可擴(kuò)充的獨(dú)占帶寬 ? UPS 不間斷電源保障 ? 24 小時(shí)實(shí)時(shí)攝像監(jiān)控 ? 電源控制系統(tǒng) ? 保安系統(tǒng) ? 消防系統(tǒng) 以及可選的機(jī)柜出租： ? 標(biāo)準(zhǔn)電信級(jí)機(jī)柜：高 2M、深 1M 或 1。 在提供主機(jī)托管服務(wù)給用戶時(shí)， IDC 服務(wù)提供商將負(fù)責(zé)提供 Inter 連接層、核心層、分布層及服務(wù)器接入層的設(shè)備并保障其穩(wěn)定運(yùn)行。有關(guān)網(wǎng)絡(luò)各層的描述，請(qǐng)參見(jiàn)后續(xù)相應(yīng)章節(jié)。用戶采用 IDC 提供的服務(wù) 器來(lái) 存放數(shù)據(jù)，運(yùn)行軟件。數(shù)據(jù)服務(wù)中心的建設(shè)除了必須具有一定面積的機(jī)房和相當(dāng)數(shù)量的服務(wù)器外，還必須對(duì)運(yùn)維管理、安全系統(tǒng)、監(jiān)控等設(shè)施、工具和專業(yè)服務(wù)進(jìn)行深入的考慮。 獨(dú)享式網(wǎng)站托管 IDC 為用戶提供專用主機(jī)，這更適合于具有復(fù)雜業(yè)務(wù)的站點(diǎn)。對(duì)于這種業(yè)務(wù)模型，用戶將其服務(wù)器包給了數(shù)據(jù)服務(wù)中心經(jīng)營(yíng)者，用戶不必?fù)碛杏?jì)算機(jī)、網(wǎng)絡(luò)方面的技術(shù)人員而享受數(shù)據(jù)服務(wù)中心所提供的全套專業(yè)服務(wù)。運(yùn)營(yíng)者遵照 SLA 上規(guī)定的條例保證服務(wù)的不間斷、丟包率、網(wǎng)絡(luò)響應(yīng)時(shí) 間。 對(duì)中小型網(wǎng)站而言，無(wú)論是從運(yùn)營(yíng)維護(hù)的角度，還是對(duì)整體業(yè)務(wù)收入而言，與場(chǎng)地租用的服務(wù)相比，獨(dú)享主機(jī)服務(wù)更能吸引 IDC 的經(jīng)營(yíng)者。其他作為獨(dú)享主機(jī)托管服務(wù)的一部分還應(yīng)包括： ? 電信級(jí)高品質(zhì)機(jī)房環(huán)境和設(shè)備 ? 可靠的供電系統(tǒng) ? 恒溫恒濕控制系統(tǒng) ? 19 英寸標(biāo)準(zhǔn)機(jī)架 ? 10M/100M 共享或獨(dú)占接口 ? 獨(dú)立 IP 地址 ? 服務(wù)器配置 ? 服務(wù)器系統(tǒng)軟件安裝 、調(diào)試 ? 24 7 網(wǎng)絡(luò)系統(tǒng)管理維護(hù)與技術(shù)支持 ? 24 小時(shí)實(shí)時(shí)的服務(wù)器運(yùn)行狀態(tài)、流量監(jiān)測(cè) ? 詳細(xì)的訪問(wèn)統(tǒng)計(jì)報(bào)告 ? 緊急狀況的處理 共享式網(wǎng)站托管 又可稱為虛擬主機(jī)業(yè)務(wù)，是指在一種 Inter 的網(wǎng)站工作環(huán)境下， IDC 的網(wǎng)絡(luò)服務(wù)器可以容納許多相互獨(dú)立的多個(gè)網(wǎng)站和 Email 系統(tǒng)，并且由 IDC 提供管理維護(hù)服務(wù)。 虛擬主機(jī)依托于一臺(tái)服務(wù)器，多個(gè)網(wǎng)站可以在這臺(tái)服務(wù)器上共享資源（硬盤空間、處理器以及內(nèi)存空間），單獨(dú)的一臺(tái)服務(wù)器上可以同時(shí)運(yùn)行多個(gè)虛擬 主機(jī)。在商業(yè)網(wǎng)站發(fā)展的早期階段，是系統(tǒng)采取的主要解決方案。 現(xiàn)在 Inter 上很多網(wǎng)站都采用虛擬主機(jī)系統(tǒng)方案。但由于這種業(yè)務(wù)模式的技術(shù)難度不大，所需投資較 小，競(jìng)爭(zhēng)也比較激烈，利潤(rùn)也較低。 共享式網(wǎng)站托管是深受中、小企業(yè)歡迎的一個(gè)價(jià)廉物美的服務(wù)，內(nèi)容包括： ? 國(guó)際、國(guó)內(nèi)域名代理申請(qǐng) ? URL 域名解析 ? FTP 訪問(wèn)及其密碼修改 ? 斷點(diǎn)續(xù)傳支持 ? CGI/Perl 支持，專用 CGI－ BIN 目錄 ? Active X/VB Script 支持 ? JAVA Applet/Class 支持 ? 防火墻保護(hù) ? 服務(wù)器 24 小時(shí)不間斷運(yùn)行 ? WEB 設(shè)計(jì)服務(wù) ? WEB Counter 計(jì)數(shù)器 ? Banner 廣告條 ? 搜索引擎 ? Email自動(dòng)轉(zhuǎn)發(fā)、回復(fù)及郵件列表支持 IDC 可根據(jù)用戶對(duì)以上功能的選擇及對(duì)存儲(chǔ)空間的要求，定義成不同級(jí)別的服務(wù)包提供給最終用戶。 在提供網(wǎng)站托管業(yè)務(wù)時(shí)， IDC 服務(wù)提供商需提供并管理所有各層的設(shè)備，對(duì)于 IDC 的用戶是完全透明的，從而用戶可以專注于其業(yè)務(wù)而無(wú)需負(fù)責(zé)任何系統(tǒng)的管理。 3 網(wǎng)絡(luò)安全 安全服務(wù)基本托管服務(wù)網(wǎng)站托管( 共享 )網(wǎng)站托管( 獨(dú)占 )主機(jī)托管高級(jí)安全服務(wù)P r iv at e V L AN專用防火墻專用的入侵監(jiān)測(cè)安全審計(jì) 眾所周知，作為全球使用范圍最大的信息網(wǎng)， Inter 自身協(xié)議的開放性極大地方便了各種計(jì)算機(jī)連網(wǎng)，拓寬了共享資源。對(duì)網(wǎng)絡(luò)安全的威脅主要表現(xiàn)在：拒絕服務(wù)、非授權(quán)訪問(wèn)、冒充合法用戶、破壞數(shù)據(jù)完整性、干擾系統(tǒng)正常運(yùn)行、利用網(wǎng)絡(luò)傳播病毒、線路竊聽(tīng)等方面。 IDC 以 Inte