HM-064特性设计(V4.0)

《HM-064特性设计(V4.0)》由会员分享，可在线阅读，更多相关《HM-064特性设计(V4.0)（76页珍藏版）》请在金锄头文库上搜索。

1、HM-064 特性设计,ISSUE 4.0,2,培训目标,网络可靠性设计 网络安全性设计 网络Qos设计,3,目的,了解网络可靠性设计需求搜集要点掌握可靠性设计的层次结构技术特性掌握可靠性保障设计的实施原则掌握LAN,WAN可靠性设计要点,4,可靠性需求分析,可靠性需求主要应用于那些场合? 与业务经营息息相关的网络; 商品化网络/运营商网络; 管理、神经/控制网络等。 客户对网络大致有哪些可靠性需求？ 保持网络长时间的无故障运行； 保证突发情况下的网络可用性和可恢复性； 恶劣环境条件下的网络应用； 抵抗灾难。,5,可靠性设计需求分析,权衡分析可靠性代价与可靠性利益,设备投资 线路投资 维护管理

2、 VS 保障需求层次 获得利益,系统当然越可靠越好！ 但是,6,可靠性保障设计的层次技术,应用级保护拓扑保护设备级保护,多主机冗余技术 数据库同步备份技术 LAN 拓扑保护 WAN 拓扑保护 端口备份技术 模块备份技术 设备间备份技术,7,实施可靠性保障设计,拓扑保护,LAN 拓扑保护,WAN 拓扑保护,LAN 拓扑保护：1、有效的拓扑结构设计；2、利用有效的局域网技术：Spanning TreeM-Spanning TreeTrunking,WAN 拓扑保护：1、拓扑结构设计；2、线路备份技术;3 、路由设计.,8,LAN可靠性设计实施技术,纯二层交换机的组网 D节点是公司重要的业务部门，为

3、了保证与公司总部的可靠性,设计了两条路径可以到达总部，B-D和B-C-D，这样是不是直接就可以实现呢?,A地,B地,C地,D地,9,LAN可靠性实施技术,纯二层交换机的组网: 配置生成树协议，指定以太网的根桥以及其他桥（交换机）的BPDU（端口优先级、开销），最终维持一棵树型的拓扑结构，保证不出现环路,Node A,Node B,Node C,Node D,BPDU,BPDU,BPDU,BPDU,启用spanning tree,ROOT,10,LAN可靠性设计实施技术,启用华为公司以太网产品的端口汇聚Trunk/Link aggregation 技术； 成倍增加上行端口、服务器访问带宽； 实现

4、负载分担和链路备份。,TRUNK backup,Node A,Node B,11,WAN可靠性设计实施技术,提供任意节点的全互联； 节点间提供最少的跳数； 任意两点之间提供N-1条冗余的链路，可达性可以经受最残酷的链路通断状态； 与节点数量呈几何增长关系的线路投资； 随着节点数量的提高，路由的收敛速度显著降低。,A地,B地,E地,C地,D地,12,WAN的可靠性设计实施技术,环形的拓扑结构 每两个节点间存在两条通路； 规划和维护更加便捷； 保证冗余的前提下大幅减少可用路径的数量； 线路投资少； 冗余可靠性相对较低； 链路COST均衡的前提下，任意节点之间的最大跳数为：J=（int）（n+1）/

5、2）+1；,A地,B地,E地,C地,D地,13,WAN可靠性设计实施技术,部分网状连接的拓扑结构： 提供客户可控的冗余链路设计空间； 平衡投资和冗余特性； 折中的解决方案，但要注意部分网状连接结构的选择。,A地,B地,E地,C地,D地,14,典型的业务核心网络结构,数据中心,数据中心,B地,A地,D地,C地,E地,F地,G地,网络拓扑核心层范围,15,双归网络拓扑结构,良好的冗余性：核心层一个路由器或链路失败不会失去任何目的地址可达性。 每个双归的汇聚层路由器可能增加一倍的路径，会降低收敛速度。 强迫使用某一条路径时,双倍路径数量依旧，需要使用浮动静态路由。,A地,B地,C地,D地,E地,核心

6、层,汇聚层,16,其他网络拓扑结构,核心层路由表的大小增加了一倍-与双归接入核心层一样。 同一层次节点互连提供了冗余性。 汇聚层路由器可能优先选择通过接入层的冗余路径而不是通过核心层的路径。 注意路由的设计，避免路由信息泄露。 不稳定会传播到所有的汇聚层分支，收敛时间增加。,17,WAN冗余备份的实现,路由选择： 动态路由协议 策略路由,设备间： VRRP,设备内： 物理端口备份 逻辑端口备份 混合备份,18,使用Backup Center技术,作用：管理备份功能的模块，为网络互连提供安全保障，提高网络的可用性。,Quidway 路由器,备份中心,PSTN,X.25,Frame-relay,I

7、SDN,DDN,可靠性,虚拟路由,数据中心,路由,路由安全阀值,备份n,备份3,备份2,备份1,主口,19,端口备份示例,备份中心的配置步骤： 进入使用备份功能的主接口的配置模式。 设定主接口使用的备份接口及优先级。 在主接口中，配置主备接口切换条件（可选）。 若主接口是逻辑通道，设定判断其down和up的条件（可选）。 若备份接口是逻辑通道，设定判断其down和up的条件（可选）。 配置主备接口的路由，无论使用动态路由或静态路由，主备接口都必须有到达目的网络的路由。,X.25,20,利用PSTN进行备份,中心LAN,分部LAN,DCC/FR,PSTN,Quidway R3600,Quidwa

8、y R3600/2600,Quidway R3600/2600,10.110.9.0/16 gateway 10.110.9.1,10.110.10.0/16 gateway 10.110.9.1,21,设备冗余备份,VRRP路由器间备份协议：服务器只设一个虚拟网关，路由器自动进行主备切换。,Gateway 10.110.0.1,E0: 10.110.0.2,E0: 10.110.0.3,VRRP,(Virtual)ip=10.110.0.1 (Virtual)mac=xx.xx.xx.xx.xx.xx,Internet,22,灾难备份,灾难备份由两部分共同完成： 应用层部分：主要控制两台或者

9、多台热备份主机之间的切换，由主机系统与应用层软件完成； 网络层部分：主要由网络设备根据网络情况进行判断和切换，由网络设备完成。 灾难备份是考虑非常状况（如地震、火灾、战争等）的需求，因此设计应遵循安全可靠、主备分离、线路备份多运营商的原则建设。,23,设备级可靠性保障,设备级可靠性保障考察什么要素？ 足够的系统性能资源 关键部件的设备内冗余 冗余部件切换方式对网络的影响 部件相互影响因素 设备的自我安全发现 告警策略支持 自动恢复策略,24,设备本身可靠性,总线部分主控部分接口部分电源部分告警部分,25,备份网络构建,总行,PSTN,WAN,生产中心网络,备份切换中心,NE16-2,NE16-

10、1,E3680,SW-1,SW-2,SW-N,Server,综合业务数据,关键业务数据,L1,L2,L1,L5,L6,L4,L3,L7,L8,L9,L10,L12,L13,L11,26,灾难备份中心,MAN,WAN,灾难备份中心,一级分行生产中心,总行主用网络中心,二级分行,骨干路由器,一级分行网络切换中心,NE08,NE08,NE08,27,网络安全设计,网络安全威胁网络安全技术安全策略网络安全解决方案案例,28,网络安全威胁,明确网络的安全问题所在从多角度看待网络安全问题 网络协议 组网模型（结合业务）选择安全技术，提出安全解决方案,29,网络分层对应的安全问题,应用层安全,传输层安全,网

11、络层安全,链路层安全,操作系统 应用程序 权限的设置 其他安全问题,报文窃听 用户名/口令失密 流量攻击 拒绝服务攻击 IP地址欺骗 网络设备的后门 ,30,网络层安全 (1),报文窃听: 地理位置因素,窃听不可避免 关注用户网络是否基于城域网 是否传输敏感数据用户名/口令失密: 冒充真正用户,可能入侵内部网络 采用什么样的验证措施,Callback 号码验证,加密技术,31,网络层安全 (2),了解网络可靠性设计需求搜集要点,流量攻击 线路负载能力的不对称 是否连接公共网络拒绝服务攻击 合法用户不能正常访问资源 是否通过Internet对外提供业务,访问控制技术,ASPF与应用层结合,32,

12、网络层安全 (3),IP 地址欺骗 伪造报文,干扰正常运行 窃取信息,VLAN 访问控制 身份验证,33,应用层安全 (1),操作系统/应用程序漏洞 特定UDP报文导致网络中断 WEB服务器的大量缺陷 是否对外提供服务非法访问 不受限访问，越级访问 是否存在多个不能相互访问的部门,安装PATCH 采用安全系统 网络隔离 选择合适的OA,34,应用层安全 (2),网络隔离 全网的监测 采用加密技术 选择应用程序,病毒/木马程序 某公司被QAZ木马窃取源代码 Melissa、Happy Time、Sir Cam、Code Red 是否允许员工上网，允许哪些员工上网 业务的安全性 Telnet明文传

13、送密码 网上业务需要加密 是否存在这样的业务,35,组网分层对应的安全问题,不同的网络组成部分具有不同的安全特点。,汇聚层,核心层,边缘节点,36,边缘网络的安全,地址位置分散 对本地设备、主机的管理：访问控制，确保不成为网络攻击的跳板 存在多种到汇聚层的网络连接方式 拨号接入： 采用call back 保证线路的安全 采用加密方法防止线路被窃听 DDN接入： 采用访问控制及认证进行连接 采用加密提供更高的安全性 VPN技术接入： 采用加密防止信息泄密,37,汇聚层网络的安全,边缘设备与中心设备相连的汇接点 节点数目多而且接入方式复杂 汇聚层与边缘节点之间：配合边缘节点的安全策略，提供相应的安

14、全机制 汇聚层到核心层的连接方式 DDN上行： 采用访问控制及认证进行连接 采用加密提供更高的安全性 VPN技术接入： 采用高强度的加密技术防止信息泄密,38,核心层的安全,一般用以太网方式的局域网。 核心层与汇聚层之间：配合汇聚层的安全策略，提供相应的安全机制。 不对外提供服务时，核心层的安全威胁主要来自内部： 内部主动访问外部网络： 访问Internet就会存在被攻击及泄密的可能，采用加密防止线路被窃听 不同业务部门之间的访问控制 采用VLAN或ACL、应用程序的访问控制功能 对外提供业务的情况下 必须通过DMZ防止提供业务 严格控制访问权限,39,安全技术,安全技术,Internet,备

15、份中心、Callback=线路安全,AAA和CA技术=认证授权,包过滤与地址转换=网络访问控制/地址隐藏,分级分权=管理控制安全,针对应用层的报文过滤=动态访问控制,IPSEC/IKE技术=数据加密密钥技术,40,CALLBACK-回呼,过程 由Client端发起呼叫，要求Server端向本端回呼 Server端接受呼叫，口令、用户名认证，并决定是否向Client端发起回呼 Server端根据本端配置的号码呼叫Client 优点 增强安全性（物理地址与用户名口令双重保护） 节省话费（当两个方向的呼叫费率不同时） 改变话费承担方,41,AAA和CA技术,Authentication Author

16、ize Accounting 验证：PPP用户、Login用户等 授权：通过属性描述定义用户权限 记账：对用户访问进行跟踪并发送记费信息 Certification Authentication 公开密钥体系，通过安全证书来实现 安全证书规定证书版本、发证CA和持证用户身份、用户公钥、有效期等 证书由发证CA数字签名，不能伪造，不可修改 用于IPSec/IKE协议,42,包过滤技术,获取包头信息，与设定规则进行比较 根据比较的结果转发或者丢弃报文 实现包过滤的核心技术：访问控制列表,Internet,OK,规则数据库,43,为什么要采用访问控制列表,访问控制列表具有区分数据包的能力 防火墙：哪些数据可以通过防火墙，哪些需要被丢弃 地址转换：哪些数据需要被转换，转换成什么样的地址 加密：哪些数据需要加密/验证，加密/验证的算法是什么 QoS：什么样的数据有什么样的服务等级,