http://blog.china.com:80/u/071212/104206/ 网络工程师的成长点滴记录 卡西龙 卡西龙 http://blog.china.com:80/u/071212/104206/200801/1752255.html <![CDATA[ <DIV>apahce可以配置为proxy使用，涉及的模块为mod_proxy.so,mod_proxy_connect.so, <DIV>mod_proxy_http.so和mod_proxy_ftp.so.其中mod_proxy.so是开启后面三个功能的基本模块，如果需要开通proxy功能，则mod_proxy.so必须加入到apache的运行空间中。</DIV> <DIV>&nbsp; 在win平台下，对apache一般都是采用二进制文件进行的直接安装，此时这些.so模块都已经编译完成，并安装在apache主目录的modules文件夹中。</DIV> <DIV>&nbsp;&nbsp;在linux/unix中，一般采用代码包编译的方式进行安装，在进行configure配置的时候需要把上述模块编译进apache的核心模块中，或者编译成DSO的形式动态调用。</DIV> <DIV>&nbsp;</DIV> <DIV><STRONG>基本配置步骤：</STRONG></DIV> <DIV>&nbsp;&nbsp;在完成上述步骤后，主要的工作就是修改apache的http.conf这个配置文件了。</DIV> <DIV>&nbsp; 在http.conf中删除下面四条语句的#，apache启动时进行dso模块的加载：</DIV> <DIV>&nbsp;&nbsp;&nbsp; LoadModule proxy_module modules/mod_proxy.so<BR>&nbsp;&nbsp;&nbsp; LoadModule proxy_connect_module modules/mod_proxy_connect.so<BR>&nbsp;&nbsp;&nbsp; LoadModule proxy_http_module modules/mod_proxy_http.so<BR>&nbsp;&nbsp;&nbsp; LoadModule proxy_ftp_module modules/mod_proxy_ftp.so</DIV> <DIV>&nbsp; mod_proxy.so必须有效.根据不同的使用目的，可以有选择性的使用后面三个dso的功能。</DIV> <DIV>&nbsp; connect.so 提供对 HTTP 的 <CODE><FONT face=新宋体>CONNECT</FONT></CODE> 方法的支持,主要用于处理 通过代理服务器的隧道 SSL 请求。</DIV> <DIV>&nbsp; http.so 提供代理HTTP请求的功能。但不提供任何缓存的能力，缓存功能需要mod_cache模块提供。</DIV> <DIV>&nbsp; ftp.so 提供代理ftp请求的功能。</DIV> <DIV>&nbsp;</DIV> <DIV>然后在http.conf中加入 ProxyRequest On 这么一句话，启动apache，此时的apache就可以具有proxy的功能了。 <DIV>&nbsp;</DIV> <DIV><STRONG>访问控制配置：</STRONG></DIV> <DIV><STRONG>&nbsp;</STRONG> 对proxy的访问控制是通过&lt;proxy&gt;和ProxyBlock两个指令来实现的.&lt;proxy&gt;指令对特定的用户进行限定，ProxyBlock则是全局设置，对所有用户都起作用。例子如下。</DIV> <DIV>&nbsp;&nbsp;&nbsp; <FONT color=#c7c7c7>&lt;Proxy *&gt;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Order allow,deny<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Allow from all<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Deny from 127.0.0.1<BR>&nbsp;&nbsp;&nbsp; &lt;/Proxy&gt;</FONT></DIV> <DIV>&nbsp; 此配置的意思是，允许除本地计算机之外的所有计算机访问代理。</DIV> <DIV>而</DIV> <DIV>&nbsp;&nbsp;&nbsp; <FONT color=#c7c7c7>&lt;Proxy </FONT><A href="http://www.google.com/"><FONT color=#c7c7c7>http://www.google.com/</FONT></A><FONT color=#c7c7c7>&gt;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Order deny,allow<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; Deny from all<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; Allow from 127.0.0.1<BR>&nbsp;&nbsp;&nbsp; &lt;/Proxy&gt;</FONT></DIV> <DIV><FONT color=#c7c7c7>&nbsp;&nbsp;&nbsp; &lt;Proxy </FONT><A href="http://www.yahoo.co.jp/r/"><FONT color=#c7c7c7>http://www.yahoo.co.jp/r/</FONT></A><FONT color=#c7c7c7>*&gt;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Order allow,deny<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Allow from all<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; Deny from 127.0.0.1<BR>&nbsp;&lt;/Proxy&gt; <DIV>的意思是，仅允许本地计算机访问<A href="http://www.google.com/"><FONT color=#000000>http://www.google.com/</FONT></A>，并且禁止本地计算机对于<A href="http://www.yahoo.co.jp/r/"><FONT color=#000000>http://www.yahoo.co.jp/r/</FONT></A>下的资源的访问。<BR>&nbsp;&nbsp; ProxyBlock的作用是设置对所有使用者都起作用，如</DIV> <DIV><FONT color=#c7c7c7>&nbsp;&nbsp;&nbsp;</FONT><FONT color=#c7c7c7>ProxyBlock microsoft co.jp </FONT><A href="http://www.google.com/"><FONT color=#c7c7c7>www.google.com</FONT></A></DIV> <DIV>组织所有用户通过proxy访问具有microsoft, co.jp, <A href="http://www.google.com/"><FONT color=#c7c7c7>www.google.com</FONT></A>特征的网址。</DIV></FONT></DIV></DIV></DIV> <DIV><FONT face=新宋体>Apache作为WWW服务器软件，在内部提供了HTFP代理功能。下面我们将介绍Apache代理的配置方法: <BR><BR>(1)修改文件/etc/httpd/conf/httpd.conf，在其中添加与代理和缓存相关的功能。与代理缓存有关的关键字如下所示。 <BR><BR>httpa.conf文件中与代理缓存有关的关键字 <BR>ProxyRequests On/Off 启用或者禁用Apache代理功能 <BR><BR>Proxyremote path URL remote server 定义此代理服务器的远程代理。当用户请求与URL匹配时，就使用remote server作为远程代理服务器。 <BR><BR>其中remote server的格式是: protocol://hostname[ort]，由于Apache只能代理HTTP服务，所以protocol值恒为HTTP <BR><BR>ProxyPass path URL允许把远程服务器镜像到本地服务器中。这时，本地代理服务器好像是远程代理服务器的一个镜像 <BR><BR>ProxyBlock word/hostname/domain 代理服务器过滤功能。在ProxyBlock关键字以后定义了一组词语、节点名称和域名。如果用户的HTYP请求中包含了这里的词语、节点名称或者域名，请求将被过滤掉 <BR><BR>CacheRoot directory 代理缓存的根目录 <BR><BR>CacheSize size代理缓存大小，以KB为单位 <BR><BR>CacheGcInterval time每隔time小时检查缓存区，如果缓存占用空间超过CacheSize设置的上限，就删除文件缓存中的文件最多保存time小时，这里定义了文件的过期时间 <BR><BR>CacheLastModifiedFactor factor如果没有定义文件过期时间，就按照下面的公式计算:过期时间=最近一次修改的时间间隔*factor <BR><BR>CacheDirLevels levels缓存中子目录的层数 <BR><BR>CacheDirLenSth lenSth代理缓存子目录名的字母数 <BR><BR>CacheDefauhExpire time 如果文件是通过一个不支持过期时间的协议获取的，则使用time作为过期时间 <BR><BR>NoCache word/hostname/domain 在NoCache关键字以后定义了一组词语、节点名称和域名。包含这些词语、节点名称或者域名的HTFP文件将不被缓存 </FONT><BR></DIV>]]> 星期四, 17 一月 2008 02:29:24 GMT http://blog.china.com:80/u/071212/104206/200801/1752255.html 2008-01-17T02:29:24Z http://blog.china.com:80/u/071212/104206/200801/1738732.html <![CDATA[ 一．如果计算机上尚未安装 USB 存储设备，请向用户或组分配对下列文件的“拒绝”权限：<BR>%SystemRoot%\Inf\Usbstor.pnf <BR>%SystemRoot%\Inf\Usbstor.inf <BR>这样，用户将无法在计算机上安装 USB 存储设备。<BR><BR>二．如果计算机上已经安装了 USB 设备，请将以下注册表项中的“Start”值设置为 4：<BR>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor<BR>这样，当用户将 USB 存储设备连接到计算机时，该设备将无法运行。<BR><BR>如果您希望禁用所有USB设备（包括键盘鼠标等），在更改文件权限时寻找usbstor.pnf同一目录下的usb.pnf和usb.inf。在更改注册表键值时更改和UsbStor位于同一项下的usbhub，同样更改start键值为4。这一更改将导致Windows禁用所有USB设备。<BR><BR>目前Windows能够做到根据具体用户使用或者不使用USB设备（对部分用户授予访问pnf，inf文件的权限，部分不给予权限），但是无法做到限制特定设备的使用与否，比如允许使用某种品牌的优盘但是禁止使用另一种品牌的。 <DIV></DIV>]]> 星期二, 15 一月 2008 03:56:24 GMT http://blog.china.com:80/u/071212/104206/200801/1738732.html 2008-01-15T03:56:24Z http://blog.china.com:80/u/071212/104206/200801/1656352.html <![CDATA[ 背板带宽，是交换机接口处理器或接口卡和数据总线间所能吞吐的最大数据量。一台交换机的背板带宽越高，所能处理数据的能力就越强，但同时设计成本也会上去。 <BR>但是，我们如何去考察一个交换机的背板带宽是否够用呢？显然，通过估算的方法是没有用的，我认为应该从两个方面来考虑：<BR>1、）所有端口容量X端口数量之和的2倍应该小于背板带宽，可实现全双工无阻塞交换，证明交换机具有发挥最大数据交换性能的条件。<BR>2、）满配置吞吐量(Mbps)=满配置GE端口数×1.488Mpps其中1个千兆端口在包长为64字节时的理论吞吐量为1.488Mpps。例如，一台最多可以提供64个千兆端口的交换机，其满配置吞吐量应达到 64×1.488Mpps = 95.2Mpps，才能够确保在所有端口均线速工作时，提供无阻塞的包交换。如果一台交换机最多能够提供176个千兆端口，而宣称的吞吐量为不到261.8Mpps(176 x 1.488Mpps = 261.8)，那么用户有理由认为该交换机采用的是有阻塞的结构设计。<BR>&nbsp; &nbsp;<BR>&nbsp;&nbsp;一般是两者都满足的交换机才是合格的交换机。<BR>&nbsp;&nbsp;<BR>&nbsp;&nbsp;背板相对大，吞吐量相对小的交换机，除了保留了升级扩展的能力外就是软件效率/专用芯片电路设计有问题；背板相对小。吞吐量相对大的交换机，整体性能比较高。不过背板带宽是可以相信厂家的宣传的，可吞吐量是无法相信厂家的宣传的，因为后者是个设计值，测试很困难的并且意义不是很大 <DIV></DIV>]]> 星期五, 04 一月 2008 02:44:47 GMT http://blog.china.com:80/u/071212/104206/200801/1656352.html 2008-01-04T02:44:47Z http://blog.china.com:80/u/071212/104206/200712/1576278.html <![CDATA[ <DIV>由于工作的关系，经常需要给客户作一些维保的服务，这样经常需要了解客户设备的序列号。往往客户又比较懒，不愿意去机房里面一个个查找。 <BR><BR>所以特意总结了一个如下文档（依据Cisco网站上的资料） <BR><BR>1。Cisco Cat6000/6500系列交换机 <BR>（1）CatOS+MSFC IOS <BR>在CatOS下show version可以查看到Chasis，Module和PS（PowerSupply）的SN <BR>对于Flexwan，MSFC卡，可以在CLI下用show diagbus察看 <BR>（2）IOS <BR>show idprom xxxx <BR>show idprom backplane <BR>show module all <BR><BR>2。Cat5000/5500 <BR>show version <BR><BR>3。Cat4000/4500 <BR>4003 with sup1和2948G/2980G <BR>show version看到的不是Chasis SN,只能通过看机箱上面的FOX打头的那串数字 <BR><BR>4000/4500 with supII <BR>show version is ok <BR><BR>4000/4500 with supII+ III IV <BR>show idprom <BR>show idprom chasis <BR><BR>4.Cat3750/3560/3550/2970/2950.../2900XL/3500XL <BR>show version <BR><BR>5.Cat2948G-L3 4980G-L3 4908G-L3 <BR>show hardware <BR><BR>6.Cat8510/8540 <BR>show hardware <BR><BR>The End<BR></DIV>]]> 星期一, 24 十二月 2007 03:56:37 GMT http://blog.china.com:80/u/071212/104206/200712/1576278.html 2007-12-24T03:56:37Z http://blog.china.com:80/u/071212/104206/200712/1576216.html <![CDATA[ 方法一：HUB（方法太简单。。。略） <BR>方法二：TAP（太专业了。。还要另外投资） <BR>方法三：SPAN（就是大家常说得Port Mirror或者Port Monitor） <BR>1。Cat2900XL/3500XL <BR>2900XL(config)#interface fastethernet 0/24 //进入接口配置模式下 <BR>2900XL(config)#port monitor fastethernet 0/1 //配置f0/1为被监视得端口 <BR>2900XL(config)#port monitor fastethernet 0/2 //配置f0/2为被监视得端口 <BR><BR>通过上面得配置就可以把进出f0/1和f0/2两个端口得流量镜像到f0/24 <BR><BR>通过 <BR>show port monitor可以参看交换机得SPAN配置情况 <BR><BR>2。Cat2950/3550/3750 <BR>3550(config)#monitor session 1 source interface f0/1 - 3 rx <BR>//指定SPAN session组号为1，源端口为f0/1-f0/3，对进这三个端口的流量 <BR>//rx--&gt;指明是进端口得流量，tx--&gt;出端口得流量 both 进出得流量 <BR>3550(config)#monitor session 1 destination interface f0/4 <BR>//指定监视端口为f0/4 <BR><BR>3。Cat4000/6500 with CatOS <BR>set span命令 <BR>cat4k#set span 1/2 1/3 <BR>//把1/2得流量镜像到1/3 <BR><BR>4。Cat4500/6500 with IOS <BR>同2--Cat2950/3550/3750 <BR><BR>方法四:VACL <BR>VACL=VLAN ACL=Security ACL <BR>只能在Cat6500上使用 <BR><BR>CatOS： <BR>c6509 (enable) set security acl ip MyCap permit tcp any any eq 443 <BR>c6509 (enable) set security acl ip MyCap permit tcp any eq 443 any <BR>c6509 (enable) set security acl ip MyCap permit ip any any capture <BR>//排除所有访问443端口的流量，其他流量都是感兴趣的 <BR>c6509 (enable) commit security acl MyCap <BR>//定义一个security ACL的name <BR>c6509 (enable) set security acl map MyCap 100,101 <BR>//把security ACL应用到vlan 100和101上 <BR>c6509 (enable) set security acl capture-ports 3/1 <BR>//把capture的流量镜像到3/1端口上 <BR><BR><BR>IOS： <BR><BR>c6509(config)# access-list 100 permit ip any any <BR>c6509(config)# vlan access-map MyCap 10 <BR>c6509(config-access-map)# match ip address 100 <BR>c6509(config-access-map)# action forward capture <BR>c6509(config)# vlan filter MyCap vlan-list 200 , 201 <BR>c6509(config)# interface gi3/1 <BR>c6509(config-if)# switchport capture <DIV></DIV>]]> 星期一, 24 十二月 2007 03:46:30 GMT http://blog.china.com:80/u/071212/104206/200712/1576216.html 2007-12-24T03:46:30Z http://blog.china.com:80/u/071212/104206/200712/1529388.html <![CDATA[ <DIV>二层交换技术是发展比较成熟，二层交换机属数据链路层设备，可以识别数据包中的MAC地址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地址表中。具体的工作流程如下： <BR><BR>（1） 当交换机从某个端口收到一个数据包，它先读取包头中的源MAC地址，这样它就知道源MAC地址的机器是连在哪个端口上的； <BR><BR>（2） 再去读取包头中的目的MAC地址，并在地址表中查找相应的端口； <BR><BR>（3） 如表中有与这目的MAC地址对应的端口，把数据包直接复制到这端口上； <BR><BR>（4） 如表中找不到相应的端口则把数据包广播到所有端口上，当目的机器对源机器回应时，交换机又可以学习一目的MAC地址与哪个端口对应，在下次传送数据时就不再需要对所有端口进行广播了。 <BR><BR>　　不断的循环这个过程，对于全网的MAC地址信息都可以学习到，二层交换机就是这样建立和维护它自己的地址表。 <BR><BR>　　从二层交换机的工作原理可以推知以下三点： <BR><BR>（1） 由于交换机对多数端口的数据进行同时交换，这就要求具有很宽的交换总线带宽，如果二层交换机有N个端口，每个端口的带宽是M，交换机总线带宽超过N×M，那么这交换机就可以实现线速交换； <BR><BR>（2） 学习端口连接的机器的MAC地址，写入地址表，地址表的大小（一般两种表示方式：一为BEFFER RAM，一为MAC表项数值），地址表大小影响交换机的接入容量； <BR><BR>（3） 还有一个就是二层交换机一般都含有专门用于处理数据包转发的ASIC （Application specific Integrated Circuit）芯片，因此转发速度可以做到非常快。由于各个厂家采用ASIC不同，直接影响产品性能。 <BR><BR>　　以上三点也是评判二三层交换机性能优劣的主要技术参数，这一点请大家在考虑设备选型时注意比较。 <BR>（二）路由技术 <BR><BR>　　路由器工作在OSI模型的第三层---网络层*作，其工作模式与二层交换相似，但路由器工作在第三层，这个区别决定了路由和交换在传递包时使用不同的控制信息，实现功能的方式就不同。工作原理是在路由器的内部也有一个表，这个表所标示的是如果要去某一个地方，下一步应该向那里走，如果能从路由表中找到数据包下一步往那里走，把链路层信息加上转发出去；如果不能知道下一步走向那里，则将此包丢弃，然后返回一个信息交给源地址。 <BR><BR>　　路由技术实质上来说不过两种功能：决定最优路由和转发数据包。路由表中写入各种信息，由路由算法计算出到达目的地址的最佳路径，然后由相对简单直接的转发机制发送数据包。接受数据的下一台路由器依照相同的工作方式继续转发，依次类推，直到数据包到达目的路由器。 <BR><BR>　　而路由表的维护，也有两种不同的方式。一种是路由信息的更新，将部分或者全部的路由信息公布出去，路由器通过互相学习路由信息，就掌握了全网的拓扑结构，这一类的路由协议称为距离矢量路由协议；另一种是路由器将自己的链路状态信息进行广播，通过互相学习掌握全网的路由信息，进而计算出最佳的转发路径，这类路由协议称为链路状态路由协议。 <BR><BR>　　由于路由器需要做大量的路径计算工作，一般处理器的工作能力直接决定其性能的优劣。当然这一判断还是对中低端路由器而言，因为高端路由器往往采用分布式处理系统体系设计。 <BR><BR>　　（三）三层交换技术 <BR><BR>　　近年来的对三层技术的宣传，耳朵都能起茧子，到处都在喊三层技术，有人说这是个非常新的技术，也有人说，三层交换嘛，不就是路由器和二层交换机的堆叠，也没有什么新的玩意，事实果真如此吗？下面先来通过一个简单的网络来看看三层交换机的工作过程。 <BR><BR><BR>　　组网比较简单 <BR><BR>　　使用IP的设备A------------------------三层交换机------------------------使用IP的设备B <BR><BR>　　比如A要给B发送数据，已知目的IP，那么A就用子网掩码取得网络地址，判断目的IP是否与自己在同一网段。 <BR><BR>　　如果在同一网段，但不知道转发数据所需的MAC地址，A就发送一个ARP请求，B返回其MAC地址，A用此MAC封装数据包并发送给交换机，交换机起用二层交换模块，查找MAC地址表，将数据包转发到相应的端口。 <BR><BR>　　如果目的IP地址显示不是同一网段的，那么A要实现和B的通讯，在流缓存条目中没有对应MAC地址条目，就将第一个正常数据包发送向一个缺省网关，这个缺省网关一般在*作系统中已经设好，对应第三层路由模块，所以可见对于不是同一子网的数据，最先在MAC表中放的是缺省网关的MAC地址；然后就由三层模块接收到此数据包，查询路由表以确定到达B的路由，将构造一个新的帧头，其中以缺省网关的MAC地址为源MAC地址，以主机B的MAC地址为目的MAC地址。通过一定的识别触发机制，确立主机A与B的MAC地址及转发端口的对应关系，并记录进流缓存条目表，以后的A到B的数据，就直接交由二层交换模块完成。这就通常所说的一次路由多次转发。 <BR><BR>　　以上就是三层交换机工作过程的简单概括，可以看出三层交换的特点： <BR>由硬件结合实现数据的高速转发。 <BR><BR>　　这就不是简单的二层交换机和路由器的叠加，三层路由模块直接叠加在二层交换的高速背板总线上，突破了传统路由器的接口速率限制，速率可达几十Gbit/s。算上背板带宽，这些是三层交换机性能的两个重要参数。 <BR><BR>　　简洁的路由软件使路由过程简化。 <BR><BR>　　大部分的数据转发，除了必要的路由选择交由路由软件处理，都是又二层模块高速转发，路由软件大多都是经过处理的高效优化软件，并不是简单照搬路由器中的软件。 <BR><BR>　　结论 <BR><BR>　　二层交换机用于小型的局域网络。这个就不用多言了，在小型局域网中，广播包影响不大，二层交换机的快速交换功能、多个接入端口和低谦价格为小型网络用户提供了很完善的解决方案。 <BR><BR>　　路由器的优点在于接口类型丰富，支持的三层功能强大，路由能力强大，适合用于大型的网络间的路由，它的优势在于选择最佳路由，负荷分担，链路备份及和其他网络进行路由信息的交换等等路由器所具有功能。 <BR><BR>　　三层交换机的最重要的功能是加快大型局域网络内部的数据的快速转发，加入路由功能也是为这个目的服务的。如果把大型网络按照部门，地域等等因素划分成一个个小局域网，这将导致大量的网际互访，单纯的使用二层交换机不能实现网际互访；如单纯的使用路由器，由于接口数量有限和路由转发速度慢，将限制网络的速度和网络规模，采用具有路由功能的快速转发的三层交换机就成为首选。 <BR><BR>　　一般来说，在内网数据流量大，要求快速转发响应的网络中，如全部由三层交换机来做这个工作，会造成三层交换机负担过重，响应速度受影响，将网间的路由交由路由器去完成，充分发挥不同设备的优点，不失为一种好的组网策略，当然，前提是客户的腰包很鼓，不然就退而求其次，让三层交换机也兼为网际互连。 <BR><BR>　　第四层交换的一个简单定义是：它是一种功能，它决定传输不仅仅依据MAC地址(第二层网桥)或源/目标IP地址(第三层路由),而且依据TCP/UDP(第四层) 应用端口号。第四层交换功能就象是虚IP，指向物理服务器。它传输的业务服从的协议多种多样，有HTTP、FTP、NFS、Telnet或其他协议。这些业务在物理服务器基础上，需要复杂的载量平衡算法。在IP世界，业务类型由终端TCP或UDP端口地址来决定，在第四层交换中的应用区间则由源端和终端IP地址、TCP和UDP端口共同决定。 <BR><BR>　　在第四层交换中为每个供搜寻使用的服务器组设立虚IP地址（VIP），每组服务器支持某种应用。在域名服务器（DNS）中存储的每个应用服务器地址是VIP，而不是真实的服务器地址。 <BR><BR>　　当某用户申请应用时，一个带有目标服务器组的VIP连接请求（例如一个TCP SYN包）发给服务器交换机。服务器交换机在组中选取最好的服务器，将终端地址中的VIP用实际服务器的IP取代，并将连接请求传给服务器。这样，同一区间所有的包由服务器交换机进行映射，在用户和同一服务器间进行传输。 <BR><BR>　　第四层交换的原理 <BR><BR>　　OSI模型的第四层是传输层。传输层负责端对端通信，即在网络源和目标系统之间协调通信。在IP协议栈中这是TCP（一种传输协议）和UDP（用户数据包协议）所在的协议层。 <BR><BR>　　在第四层中，TCP和UDP标题包含端口号（portnumber），它们可以唯一区分每个数据包包含哪些应用协议（例如HTTP、FTP等）。端点系统利用这种信息来区分包中的数据，尤其是端口号使一个接收端计算机系统能够确定它所收到的IP包类型，并把它交给合适的高层软件。端口号和设备IP地址的组合通常称作“插口（socket）”。 1和255之间的端口号被保留，他们称为“熟知”端口，也就是说，在所有主机TCP/IP协议栈实现中，这些端口号是相同的。除了“熟知”端口外，标准UNIX服务分配在256到1024端口范围，定制的应用一般在1024以上分配端口号. 分配端口号的最近清单可以在RFc1700”Assigned Numbers”上找到。TCP／UDP端口号提供的附加信息可以为网络交换机所利用，这是第4层交换的基础。 <BR>　 <BR>　　　"熟知"端口号举例: <BR>　　 <BR>　　　　应用协议　　　　 端口号 <BR>　　　　FTP　　　　　　　 20（数据） 21（控制） <BR>　　　　TELNET　　　　 23 <BR>　　　　SMTP　　　　　 25 <BR>　　　　HTTP　　　　　　 80 <BR>　　　　NNTP　　　　　 119 <BR>　　　　NNMP　　　　　 16 　　　 162（SNMP traps） <BR>　　TCP/UDP端口号提供的附加信息可以为网络交换机所利用，这是第四层交换的基础。 <BR><BR>具有第四层功能的交换机能够起到与服务器相连接的“虚拟IP”(VIP)前端的作用。 <BR><BR>　　每台服务器和支持单一或通用应用的服务器组都配置一个VIP地址。这个VIP地址被发送出去并在域名系统上注册。 <BR><BR>　　在发出一个服务请求时，第四层交换机通过判定TCP开始，来识别一次会话的开始。然后它利用复杂的算法来确定处理这个请求的最佳服务器。一旦做出这种决定，交换机就将会话与一个具体的IP地址联系在一起，并用该服务器真正的IP地址来代替服务器上的VIP地址。 <BR><BR>　　每台第四层交换机都保存一个与被选择的服务器相配的源IP地址以及源TCP 端口相关联的连接表。然后第四层交换机向这台服务器转发连接请求。所有后续包在客户机与服务器之间重新影射和转发，直到交换机发现会话为止。 <BR>　 <BR>　　在使用第四层交换的情况下，接入可以与真正的服务器连接在一起来满足用户制定的规则，诸如使每台服务器上有相等数量的接入或根据不同服务器的容量来分配传输流。 <BR><BR>　　如何选用合适的第四层交换 <BR>　　 <BR>　　a,速度 <BR>　 <BR>　　为了在企业网中行之有效，第四层交换必须提供与第三层线速路由器可比拟的性能。也就是说，第四层交换必须在所有端口以全介质速度*作，即使在多个千兆以太网连接上亦如此。千兆以太网速度等于以每秒488000 个数据包的最大速度路由(假定最坏的情形,即所有包为以及网定义的最小尺寸,长64字节)。 <BR><BR>　　b,服务器容量平衡算法 <BR>　　 <BR>　　依据所希望的容量平衡间隔尺寸，第四层交换机将应用分配给服务器的算法有很多种，有简单的检测环路最近的连接、检测环路时延或检测服务器本身的闭环反馈。在所有的预测中，闭环反馈提供反映服务器现有业务量的最精确的检测。 <BR><BR>　　c,表容量 <BR><BR>　　应注意的是，进行第四层交换的交换机需要有区分和存贮大量发送表项的能力。交换机在一个企业网的核心时尤其如此。许多第二/ 三层交换机倾向发送表的大小与网络设备的数量成正比。对第四层交换机，这个数量必须乘以网络中使用的不同应用协议和会话的数量。因而发送表的大小随端点设备和应用类型数量的增长而迅速增长。第四层交换机设计者在设计其产品时需要考虑表的这种增长。大的表容量对制造支持线速发送第四层流量的高性能交换机至关重要. <BR>　　 <BR>　　d,冗余 <BR>　 <BR>　　第四层交换机内部有支持冗余拓扑结构的功能。在具有双链路的网卡容错连接时，就可能建立从一个服务器到网卡，链路和服务器交换器的完全冗余系统。<BR><BR></DIV>]]> 星期一, 17 十二月 2007 06:35:16 GMT http://blog.china.com:80/u/071212/104206/200712/1529388.html 2007-12-17T06:35:16Z http://blog.china.com:80/u/071212/104206/200712/1529364.html <![CDATA[ <DIV>如果不太懂地址转换（NAT）就进来看看 <BR>偶然发现以前学习nat时的东西。 <BR><BR><BR>*******************************全部采用端口************************ <BR>ISP分配的IP202.99.160.129 <BR><BR>interface fastethernet0/0 <BR>ip address 192.168.1.1 255.255.255.0 <BR>duplex auto <BR>speed auto <BR>in nat inside <BR>no shutdown <BR><BR>interface fastethernet0/1 <BR>ip address 192.168.2..1 255.255.255.0 <BR>duplex auto <BR>speed auto <BR>in nat outside <BR>no shutdown <BR><BR>ip nat pool OnlyYou 202.99.160.130 202.99.160.130 netmask 255.255.255.252 <BR>//OnlyYou代表地址池的名称。 2个202.99.160.130是代表只用一个ip做转换后ip. <BR>access-list 1 permit 192.168.1.0 0.0.0.255 <BR>access-list 1 permit 192.168.2.0 0.0.0.255 <BR>ip nat inside source list1 pool OnlyYou overload <BR><BR><BR><BR><BR>***********************动态地址转换+端口*********************** <BR>ISP分配的IP 有：202.99.160.130~190 255.255.255.192 <BR><BR>Interface fastethernet0/1 <BR>Ip address 192.168.1.1 255.255.255.0 <BR>Ip address 192.168.2.1 255.255.255.0 secondary <BR>Duplex auto <BR>Speed auto <BR>Ip nat inside <BR>No shutdown <BR><BR>Interface serial 0/0 <BR>Ip address 202.99.160.129 255.255.255.192 <BR>Duplex auto <BR>Speed auto <BR>Ip nat outside <BR>No shutdwon <BR><BR>Ip nat pool OutPort 202.99.160.190 202.99.160.190 netmask 255.255.255.192 <BR>Ip nat pool OutPool 202.99.160.130 202.99.160.190 netmask 255.255.255.192 <BR>Ip nat inside source list1 pool OutPort //192.168.1.0段主机全部转成202.99.160.190 <BR>Ip nat inside source list2 pool OutPool <BR>//出于访问ftp站点等考虑：192.168.2.0和192.168.3.0段主机全部 <BR>//转成202.99.160.130到202.99.160.189中的所有地址。 <BR>Access-list1 permit 192.168.1.0 0.0.0.255 <BR>Access-list2 permit 192.168.2.0 0.0.0.255 <BR>Access-list2 permit 192.168.3.0 0.0.0.255 <BR><BR><BR><BR>***********************静态地址转换*********************** <BR><BR><BR>ISP分配的IP地址是:211.82.220.80~211.82.220.87 <BR>211.82.220.81 255.255.255.248 <BR>要求Intranet上的Web.E-mail.Ftp.Media可以被外部访问. <BR>Interface fastethernet0/0 <BR>Ip address 192.168.1.1 255.255.255.0 <BR>Duplex auto <BR>Speed auto <BR>Ip nat inside <BR>No shutdown <BR><BR>Interface fastethernet0/1 <BR>Ip address 211.82.220.81 255.255.255.248 <BR>Speed auto <BR>Duplex auto <BR>Ip nat outside <BR>No shutdown <BR><BR>Ip nat pool Outpool 211.82.220.86 211.82.20.86 netmask 255.255.255.248 <BR>Access-list 1 permit 192.168.1.2 0.0.0.255 <BR>Access-list 1 permit 192.168.1.3 0.0.0.255 <BR>Access-list 1 permit 192.168.1.4 0.0.0.255 <BR>Access-list 1 permit 192.168.1.5 0.0.0.255 <BR>Ip nat inside source list1 pool Outpool overload <BR>Ip nat inside source static 192.168.1.2 211.82.220.82 <BR>Ip nat inside source static 192.168.1.3 211.82.220.83 <BR>Ip nat inside source static 192.168.1.4 211.82.220.84 <BR>Ip nat inside source static 192.168.1.5 211.82.220.85 <BR><BR><BR><BR><BR>******************NAT映射**************************** <BR>如果ISP提供的IP地址比较多还可以,但如果不是的时候(如就两个时),一个用于内网地址转换,另一个用于对外网提供服务. <BR>ISP提供的内网上网IP <BR><BR>Interface ethernet0 <BR>Ip address 192.168.1.1 255.255.255.0 <BR>Duplex auto <BR>Speed auto <BR>Ip nat inside <BR>No shutdown <BR>Interface fastethernet0/0 <BR>Ip address 211.82.220.129 255.255.255.248 <BR>Duplex auto <BR>Speed auto <BR>Ip nat outside <BR>No shutdown <BR><BR>Access-list 1 permit 192.168.1.0 0.0.0.255 <BR>Ip nat pool Everybody 211.82.220.130 211.82.220.130 network 255.255.255.252 <BR>Ip nat inside source list1 pool Everybody overload <BR>Ip nat inside source static tcp 192.168.1.2 80 202.99.220.130 80 <BR>Ip nat inside source static tcp 192.168.1.3 21 202.99.220.130 21 <BR>Ip nat inside source static tcp 192.168.1.4 25 202.99.220.130 25 <BR>Ip nat inside source static tcp 192.168.1.5 110 202.99.220.130 110 <BR><BR><BR><BR>*******************利用地址转换实现负载均衡******************** <BR>;当有如象腾讯公司似的多服务器时,使用路由器实现负载平衡,可以使它们有平等的访问机会. <BR>Interface fastethernet0/1 <BR>Ip address 192.168.1.1 255.255.255.0 <BR>Duplex auto <BR>Speed auto <BR>Ip nat inside <BR>No shutdown <BR><BR>Interface fastethernet0/0 <BR>Ip address 202.110.198.81 255.2555.255.248 <BR>Duplex auto <BR>Speed auto <BR>Ip nat outside <BR>Access-list 1 permit 202.110.198.82 <BR>Access-list 2 permit 202.110.198.83 <BR>Access-list 3 permit 192.168.1.0 0.0.0.255 <BR>Ip nat pool Webser 192.168.1.2 192.168.1.3 255.255.255.248 type rotary <BR>Ip nat pool Ftpser 192.168.1.4 192.168.1.5 255.255.255.248 type rotary <BR>Ip nat pool normal 202.110.198.84 202.110.198.84 netmask 255.255.255.248 <BR>Ip nat inside destination list 1 pool Webser <BR>Ip nat inside destination list 2 pool Ftpser</DIV>]]> 星期一, 17 十二月 2007 06:30:56 GMT http://blog.china.com:80/u/071212/104206/200712/1529364.html 2007-12-17T06:30:56Z http://blog.china.com:80/u/071212/104206/200712/1529330.html <![CDATA[ <DIV> <H2>Cisco设备上设置DHCP实例</H2> <DIV class=t_msgfont id=postmessage_3182> <DIV class=notice style="WIDTH: 500px">以下内容需要回复才能看到</DIV><BR>一位客户想把DHCP SERVER迁移到6509交换机的MSFC上,要求还挺复杂:<BR>　　<BR>　　1.同时为多个VLAN的客户机分配地址<BR>　　2.VLAN内有部分地址采用手工分配的方式<BR>　　3.为客户指定网关、Wins服务器等<BR>　　4.VLAN 2的地址租用有效期限为1天,其它为3天<BR>　　5.按MAC地址为特定用户分配指定的IP地址 <BR>　　<BR>　　最终配置如下： <BR>　　ip dhcp excluded-address 10.1.1.1 10.1.1.19 //不用于动态地址分配的地址<BR>　　<BR>　　ip dhcp excluded-address 10.1.1.240 10.1.1.254<BR>　　<BR>　　ip dhcp excluded-address 10.1.2.1 10.1.2.19<BR>　　<BR>　　!<BR>　　<BR>　　ip dhcp pool global //global是pool name， 由用户指定<BR>　　<BR>　　network 10.1.0.0 255.255.0.0 //动态分配的地址段<BR>　　<BR>　　domain-name client.com //为客户机配置域后缀<BR>　　<BR>　　dns-server 10.1.1.1 10.1.1.2 //为客户机配置dns服务器<BR>　　<BR>　　netbios-name-server 10.1.1.5 10.1.1.6 //为客户机配置wins服务器<BR>　　<BR>　　netbios-node-type h-node //为客户机配置节点模式（影响名称解释的顺利,如h-node=先通过wins服务器解释...）<BR>　　<BR>　　lease 3 //地址租用期限: 3天<BR>　　<BR>　　ip dhcp pool vlan1<BR>　　<BR>　　network 10.1.1.0 255.255.255.0 //本pool是global的子pool, 将从global pool继承domain-name等option<BR>　　<BR>　　default-router 10.1.1.100 10.1.1.101 //为客户机配置默认网关<BR>　　<BR>　　!<BR>　　<BR>　　ip dhcp pool vlan2 //为另一VLAN配置的pool<BR>　　<BR>　　network 10.1.2.0 255.255.255.0<BR>　　<BR>　　default-router 10.1.2.100 10.1.2.101 <BR>　　<BR>　　lease 1<BR>　　<BR>　　!<BR>　　<BR>　　ip dhcp pool vlan1_john //总是为MAC地址为...的机器分配...地址<BR>　　<BR>　　host 10.1.1.21 255.255.255.0<BR>　　<BR>　　client-identifier 010050.bade.6384 //client-identifier=01加上客户机网卡地址<BR>　　<BR>　　!<BR>　　<BR>　　ip dhcp pool vlan1_tom<BR>　　<BR>　　host 10.1.1.50 255.255.255.0<BR>　　<BR>　　client-identifier 010010.3ab1.eac8<BR>　　<BR>　　相关的DHCP调试命令：<BR>　　<BR>　　no service dhcp //停止DHCP服务[默认为启用DHCP服务]<BR>　　<BR>　　sh ip dhcp binding //显示地址分配情况<BR>　　<BR>　　show ip dhcp conflict //显示地址冲突情况<BR>　　<BR>　　debug ip dhcp server {events | packets | linkage} //观察DHCP服务器工作情况<BR>　　<BR>　　如果DHCP客户机分配不到IP地址，常见的原因有两个。第一种情况是没有把连接客户机的端口设置为Portfast方式。MS客户机开机后检查网卡连接正常，Link是UP的，就开始发送DHCPDISCOVER请求，而此时交换机端口正在经历生成树计算，一般需要30-50秒才能进入转发状态。MS客户机没有收到DHCP SERVER的响应就会给网卡设置一个169.169.X.X的IP地址。解决的方法是把交换机端口设置为Portfast方式：<BR>　　<BR>　　CatOS(4000/5000/6000): set spantree portfast mod_num/port_num enable; IOS(2900/3500): interface ... ; spanning-tree portfast。 <BR>　　<BR>　　另外一种情况是DHCP服务器和DHCP工作站不在同一个VLAN，这时候通常通过设置ip helper-address来解决： <BR>　　<BR>　　interface vlan1<BR>　　<BR>　　ip address 10.1.1.254 255.255.255.0 //假设DHCP服务器地址为10.1.1.8<BR>　　<BR>　　interface Vlan2<BR>　　<BR>　　ip address 10.1.2.254 255.255.255.0<BR>　　<BR>　　ip helper-address 10.1.1.8 //假设这是DHCP客户机所在的VLAN</DIV></DIV>]]> 星期一, 17 十二月 2007 06:25:53 GMT http://blog.china.com:80/u/071212/104206/200712/1529330.html 2007-12-17T06:25:53Z http://blog.china.com:80/u/071212/104206/200712/1509511.html <![CDATA[ <DIV>Windows XP PRO with SP2 VOL 繁體中文版 官方原版<BR>【軟體名稱】：Windows XP PRO with SP2 VOL 繁體中文版<BR>【軟體格式】：rar → ISO<BR>【解壓密碼】：<BR><BR>QUOTE:<BR><A href="http://student-land.com/" target=_blank>http://student-land.com/</A><BR>【軟體大小】：596MB<BR>【軟體語言】：繁體中文<BR>【軟體用途】：作業系統<BR>【驗證代碼】：cfed1d8ffac09ceaa8c545b3d6a2747bccd0879c<BR>【軟體說明】：<BR><BR>**** 此版係以官方原版的VOL繁體中文企業版,輸入序號(內附)就可<BR><A href="http://tinypic.com/ezrabs.jpg" target=_blank><IMG src="http://tinypic.com/ezrabs.jpg" onload="if(this.width>490)this.width=490">&nbsp;</A>【軟體說明】：<BR><BR>目前WINXP市面上的版本大概有以下幾種<BR>Windows XP Home Edition(家用版)<BR>Windows XP Professional(商用版)<BR>Windows XP Media Center Edition(多媒體)<BR>Windows XP Tablet PC Edition(平板電腦專用)<BR>Windows XP 64 bit(64位元版本)<BR><BR>一般消費者會用到的應該只有 家用版(Home) or 商用版(Pro)<BR>家用版分為 " 零售版(Retail) "、" 隨機版(OEM) "、都是需要啟動、<BR>商用版分為 " 零售版(Retail) "、" 隨機版(OEM) "、" 企業版 "、" 企業大量授權版(VOL) " 前三種版本都是需要啟動</DIV> <DIV><FONT color=#009900><STRONG>至於企業大量授權版(VOL)、如果序號對了就可以不用"啟動"<BR><BR></STRONG>★㊣★僅供測試無販售行為及獲得任何利益！！★㊣★<BR>★㊣★並請於下載後24小時以內將檔案刪除！！★㊣★<BR>★㊣★滿意者請購買正版並尊重智慧財產權！！<BR>★㊣★</FONT></DIV> <DIV><FONT color=#000000>下载地址:http://www.fenearz.cn/thread-179-1-1.html</FONT></DIV>]]> 星期五, 14 十二月 2007 04:13:33 GMT http://blog.china.com:80/u/071212/104206/200712/1509511.html 2007-12-14T04:13:33Z http://blog.china.com:80/u/071212/104206/200712/1507344.html <![CDATA[ <DIV><STRONG><FONT size=2><FONT color=#ff0000>1、思科网络路由协议 网络/路由（Network/Routing）</FONT> <BR><FONT color=darkorange>CGMP</FONT>：思科组管理协议 （CGMP：Cisco Group Management Protocol） <BR><FONT color=darkorange>EIGRP</FONT>：增强的内部网关路由选择协议 （EIGRP：Enhanced Interior Gateway Routing Protocol） <BR><FONT color=darkorange>IGRP</FONT>：内部网关路由协议 （IGRP：Interior Gateway Routing Protocol） <BR><FONT color=darkorange>HSRP</FONT>：热备份路由器协议 （HSRP：Hot Standby Routing Protocol） <BR><FONT color=darkorange>RGMP</FONT>：Cisco Router Port Group Management Protocol <BR><FONT color=darkorange>CGMP</FONT>：思科组管理协议 <BR><FONT color=darkorange>CGMP</FONT>：Cisco Group Management Protocol <BR>思科组管理协议 CGMP 主要用来限定只向与 IP 组播客户机相连的端口转发 IP 组播数据包。这些客户机自动加入和离开接收 IP 组播流量的组，交换机根据请求动态改变其转发行为。CGMP 主要提供以下服务： <BR>允许 IP 组播数据包被交换到具有 IP 组播客户机的那些端口。 <BR>将网络带宽保存在用户字段，不致于转播不必要的IP组播流量。 <BR>不需要改变终端主机系统。 <BR>在为交换网络中的每个组播组创建独立 VLAN 时不会产生额外开销。 <BR>一旦 CGMP 被激活使用，它能自动识别与 CGMP-Capable 路由器连接的端口。CGMP 通过缺省方式被激活，它支持最大为64的 IP 组播组注册。支持 CGMP 的组播路由器周期性地相发送 CGMP 加入信息（Join Messages），用来通告自己执行网络交换行为。接收交换机保存信息，并设置一个类似于路由器保持时间（Holdtime）的定时器（Timer）。交换机每接收一个 CGMP 加入信息，定时器也随其不断更新。当路由器保持时间终止时，交换机负责将所有知道的组播组移出 CGMP。 <BR>CGMP 结合 IGMP 信息共同实现动态分配 Cisco Catalyst 交换机端口过程，从而 IP 组播流量只被转发给与 IP 组播客户机相连的那些端口。由于 CGMP-Capable IP 组播路由器看到所有 IGMP 数据包，因此它可以通知交换机特定主机什么时候加入或离开 IP 组播组。当 CGMP-Capable 路由器接收一个 IGMP 控制数据包时，它会创建一个包含请求类型（加入或离开）、组播组地址和主机有效 MAC 地址等的 CGMP 数据包。然后路由器将 CGMP 数据包发送到所有 Catalyst 交换机都知道的地址上。当交换机接收 CGMP 数据包时，交换机负责转换数据包同时更改组播组的转发行为。至此，该组播流量只被发送到与适当 IP 组播客户机相连的那些端口。该过程是自动实现的，无需用户参与。 <BR><FONT color=darkorange>EIGRP</FONT>：增强的内部网关路由选择协议 <BR><FONT color=darkorange>EIGRP</FONT>：Enhanced Interior Gateway Routing Protocol <BR>增强的内部网关路由选择协议 EIGRP 是增强版的 IGRP 协议。IGRP 是思科提供的一种用于 TCP/IP 和 OSI 英特网服务的内部网关路由选择协议。它被视为是一种内部网关协议，而作为域内路由选择的一种外部网关协议，它还没有得到普遍应用。 <BR>Enhanced IGRP 与其它路由选择协议之间主要区别包括：收敛宽速（Fast Convergence）、支持变长子网掩模（Subnet Mask）、局部更新和多网络层协议。执行 Enhanced IGRP 的路由器存储了所有其相邻路由表，以便于它能快速利用各种选择路径（Alternate Routes）。如果没有合适路径，Enhanced IGRP 查询其邻居以获取所需路径。直到找到合适路径，Enhanced IGRP 查询才会终止，否则一直持续下去。 <BR>EIGRP 协议对所有的 EIGRP 路由进行任意掩码长度的路由聚合，从而减少路由信息传输，节省带宽。另外 EIGRP 协议可以通过配置，在任意接口的位边界路由器上支持路由聚合。 <BR>Enhanced IGRP 不作周期性更新。取而代之，当路径度量标准改变时，Enhanced IGRP 只发送局部更新（Partial Updates）信息。局部更新信息的传输自动受到限制，从而使得只有那些需要信息的路由器才会更新。基于以上这两种性能，因此 Enhanced IGRP 损耗的带宽比 IGRP 少得多。 <BR><FONT color=darkorange>IGRP</FONT>：内部网关路由协议 <BR><FONT color=darkorange>IGRP</FONT>：Interior Gateway Routing Protocol <BR>内部网关路由协议（IGRP）是一种在自治系统（AS：autonomous system）中提供路由选择功能的路由协议。在上世纪80年代中期，最常用的内部路由协是路由信息协议（RIP）。尽管 RIP 对于实现小型或中型同机种互联网络的路由选择是非常有用的，但是随着网络的不断发展，其受到的限制也越加明显。思科路由器的实用性和 IGRP 的强大功能性，使得众多小型互联网络组织采用 IGRP 取代了 RIP。早在上世纪90年代，思科就推出了增强的 IGRP，进一步提高了 IGRP 的操作效率。 <BR>IGRP 是一种距离向量（Distance Vector）内部网关协议（IGP）。距离向量路由选择协议采用数学上的距离标准计算路径大小，该标准就是距离向量。距离向量路由选择协议通常与链路状态路由选择协议（Link-State Routing Protocols）相对，这主要在于：距离向量路由选择协议是对互联网中的所有节点发送本地连接信息。 <BR>为具有更大的灵活性，IGRP 支持多路径路由选择服务。在循环（Round Robin）方式下，两条同等带宽线路能运行单通信流，如果其中一根线路传输失败，系统会自动切换到另一根线路上。多路径可以是具有不同标准但仍然奏效的多路径线路。例如，一条线路比另一条线路优先3倍（即标准低3级），那么意味着这条路径可以使用3次。只有符合某特定最佳路径范围或在差量范围之内的路径才可以用作多路径。差量（Variance）是网络管理员可以设定的另一个值。 <BR><FONT color=darkorange>HSRP</FONT>：热备份路由器协议 <BR><FONT color=darkorange>HSRP</FONT>：Hot Standby Router Protocol <BR>热备份路由器协议（HSRP）的设计目标是支持特定情况下 IP 流量失败转移不会引起混乱、并允许主机使用单路由器，以及即使在实际第一跳路由器使用失败的情形下仍能维护路由器间的连通性。换句话说，当源主机不能动态知道第一跳路由器的 IP 地址时，HSRP 协议能够保护第一跳路由器不出故障。该协议中含有多种路由器，对应一个虚拟路由器。HSRP 协议只支持一个路由器代表虚拟路由器实现数据包转发过程。终端主机将它们各自的数据包转发到该虚拟路由器上。 <BR>负责转发数据包的路由器称之为主动路由器（Active Router）。一旦主动路由器出现故障，HSRP 将激活备份路由器（Standby Routers）取代主动路由器。HSRP 协议提供了一种决定使用主动路由器还是备份路由器的机制，并指定一个虚拟的 IP 地址作为网络系统的缺省网关地址。如果主动路由器出现故障，备份路由器（Standby Routers）承接主动路由器的所有任务，并且不会导致主机连通中断现象。 <BR>HSRP 运行在 UDP 上，采用端口号1985。路由器转发协议数据包的源地址使用的是实际 IP 地址，而并非虚拟地址，正是基于这一点，HSRP 路由器间能相互识别。 <BR><FONT color=darkorange>RGMP</FONT>：思科路由器端口组管理协议 <BR><FONT color=darkorange>RGMP</FONT>：Cisco Router Port Group Management Protocol <BR>思科路由器端口组管理协议（RGMP）弥补了 Internet 组管理协议（IGMP：Internet Group Management Protocol）在 Snooping 技术机制上所存在的不足。RGMP 协议作用于组播路由器和交换机之间。通过 RGMP，可以将交换机中转发的组播数据包固定在所需要的路由器中。RGMP 的设计目标是应用于具有多种路由器相连的骨干交换网（Backbone Switched Networks）。 <BR>IGMP Snooping 技术的局限性主要体现在：该技术只能将组播流量固定在接收机间经过其它交换机直接或间接相连的交换端口，在 IGMP Snooping 技术下，组播流量不能固定在至少与一台组播路由器相连的端口处，从而引起这些端口的组播流量扩散。IGMP Snooping 是机制固有的局限性。基于此，路由器无法报告流量状态，所以交换机只能知道主机请求的组播流量类型，而不知道路由器端口接收的流量类型。 <BR>RGMP 协议支持将组播流量固定在路由器端口。为高效实现流量固定，要求网络交换机和路由器都必须支持 RGMP 。通过 RGMP，骨干交换机可以知道每个端口需要的组类型，然后组播路由器将该信息传送给交换机。但是路由器只发送 RGMP 信息，而忽视了所接收的 RGMP 信息。当组不再需要接收通信流量时，路由器会发送一个 RGMP 离开信息（Leave Message）。RGMP 协议中网络交换机需要消耗网络端口达到 RGMP 信息并对其进行处理操作。此外，RGMP 中的交换机不允许将接收到的 RGMP 信息转发/扩散到其它网络端口。 <BR>RGMP 的设计目标是与支持分配树 Join/Prune 的组播路由选择协议相结合使用。其典型协议为 PIM-SM。RGMP 协议只规定了 IP v4 组播路由选择操作，而不包括 IP v6。 <BR><FONT color=red>2、思科数据链路协议 数据链路 （Data Link）</FONT> <BR><FONT color=darkorange>CDP</FONT>：思科发现协议 （CDP：Cisco Discovery Protocol） <BR><FONT color=darkorange>DTP</FONT>：思科动态中继协议 （DTP：Dynamic Trunk Protocol） <BR>ISL &amp; DISL：思科交换链路内协议和动态 ISL 协议 （ISL：Inter-Switch Link Protocol） <BR><FONT color=darkorange>VTP</FONT>：思科VLAN中继协议 （VTP：VLAN Trunking Protocol） <BR><FONT color=darkorange>CDP</FONT>：思科发现协议 CDP <BR><FONT color=darkorange>CDP</FONT>：Cisco Discovery Protocol <BR>CDP基本上是用来获取相邻设备的协议地址以及发现这些设备的平台。CDP 也可为路由器的使用提供相关接口信息。CDP 是一种独立媒体协议，运行在所有思科本身制造的设备上，包括路由器、网桥、接入服务器和交换机。 <BR>SNMP 中结合使用 CDP 管理信息基础 MIB，能使网络管理应用获知设备类型和相邻设备的 SNMP 代理地址，并向这些设备发送 SNMP 查询请求。Cisco 发现协议支持 CISCO-CDP-MIB。 <BR>CDP 运行在所有的媒体上，从而支持子网访问协议 SNAP，包括局域网、帧中继和异步传输模式 ATM 物理媒体。CDP 只运行于数据链路层，因此，支持不同网络层协议的两个系统彼此相互了解。 <BR>CDP 配置的每台设备发送周期性信息，如我们所知的广告到组播地址。每台设备至少广告一个地址，在该地址下，它可以接收 SNMP 信息。广告包括生存期，或保持时间等信息，这些信息指出了在取消之前接收设备应该保持 CDP 信息的时间长短。此外每台设备还要注意其它设备发出的周期性 CDP 信息，从中了解相邻设备信息并决定那些设备的媒体接口什么时候增长或降低。 <BR><BR>CDP 版本2，是目前该协议使用最普遍的版本，它具有更高的智能设备跟踪等性能。支持该性能的报告机制，提供快速差错跟踪功能，有利于缩短停机时间（Downtime）。报告差错信息可以发送到控制台或日志服务器（Logging Server），这些差错信息包括连接端口上不匹配（Unmatching）的本地??VLAN IDs（IEEE 802.1Q）以及连接设备间不匹配的端口双向状态。 <BR><FONT color=darkorange>DTP</FONT>：思科动态中继协议 <BR><FONT color=darkorange>DTP</FONT>：Cisco Dynamic Trunking Protocol <BR>思科动态中继协议 DTP，是 VLAN 组中思科所有协议，主要用于协商两台设备间链路上的中继过程以及中继封装 802.1Q 类型。 <BR>中继协议有很多不同类型。如果端口被设置为 Trunk 端口，那么该端口便具有自动中继功能，在某些情况下，甚至具有协商端口中继类型的功能。这种与其它设备之间进行的协商中继方法的过程被称之为动态中继技术。 <BR>首先关注的是，中继电缆（Trunk Cable）终端最好对它们正在中继或它们将中继帧视为正常帧问题达成一致。在信息帧头另外添加标签信息容易导致终端站的混乱，这是因为终端站的驱动栈无法识别该标签信息，从而导致终端系统上锁或失败。为解决这个问题，思科创建了交换协议以实现通信目的。推出的第一版本是 VTP，即 VLAN 中继协议，它与 ISL 共同作用。最新推出的版本，即动态中继协议 DTP 与 802.1Q 共同作用。 <BR>其次是创建 LANs。交换机要想实现独立配置 VLANs 交换，需要做很多工作并且容易引起较多矛盾，这是因为 VLAN 100 运行在一台交换机上，计费却在另一台上。这很容易破坏机器的 VLAN 安全模式，而故障恢复机制正是为此而设立的。此外也可通过 VTP/DTP 解决该问题。同一管理控制台可以在某台交换机上创建或删除一个 VTP，并使信息自动传播到交换机组上，这种交换机组可能是一个 VTP 域。 <BR><FONT color=darkorange>ISL &amp; DISL</FONT>：思科交换链路内协议和动态 ISL 协议 <BR><FONT color=darkorange>ISL &amp; DISL</FONT>：Cisco Inter-Switch Link Protocol and Dynamic ISL Protocol <BR>交换链路内协议（ISL），是思科私有协议，主要用于维护交换机和路由器间的通信流量等 VLAN 信息。 <BR>ISL 标签（Tagging）能与 802.1Q 干线执行相同任务，只是所采用的帧格式不同。ISL 干线（Trunks）是 Cisco 私有，即指两设备间（如交换机）的一条点对点连接线路。在“交换链路内协议”名称中即包含了这层含义。ISL 帧标签采用一种低延迟（Low-Latency）机制为单个物理路径上的多 VLANs 流量提供复用技术。ISL 主要用于实现交换机、路由器以及各节点（如服务器所使用的网络接口卡）之间的连接操作。为支持 ISL 功能特征，每台连接设备都必须采用 ISL 配置。ISL 所配置的路由器支持 VLAN 内通信服务。非 ISL 配置的设备，则用于接收由 ISL 封装的以太帧（Ethernet Frames），通常情况下，非 ISL 配置的设备将这些接收的帧及其大小归因于协议差错。 <BR>和 802.1Q 一样，ISL 作用于 OSI 模型第2层。所不同的是，ISL 协议头和协议尾封装了整个第2层的以太帧。正因为此，ISL 被认为是一种能在交换机间传送第2层任何类型的帧或上层协议的独立协议。ISL 所封装的帧可以是令牌环（Token Ring）或快速以太网（Fast Ethernet），它们在发送端和接收端之间维持不变地实现传送。ISL 具有以下特征： <BR>由专用集成电路执行（ASIC：application-specific integrated circuits） <BR>不干涉客户机站；客户机不会看到 ISL 协议头 <BR>ISL NICs 为交换机与交换机、路由器与交换机、交换机与服务器等之间的运行提供高效性能。 <BR>动态交换链路内协议（DISL），也属于思科协议。它简化了两台相互连接的快速以太网设备上 ISL 干线的创建过程。快速以太信道技术为高性能中枢连接提供了两个全双工快速以太网链路是集中性。由于 DISL 中只允许将一个链路终端配置为干线，所以 DISL 实现了最小化 VLAN 干线。 <BR><FONT color=darkorange>VTP</FONT>：思科VLAN中继协议 <BR><FONT color=darkorange>VTP</FONT>：Cisco VLAN Trunking Protocol <BR>VLAN 中继协议（VTP）是思科第2层信息传送协议，主要控制网络范围内 VLANs 的添加、删除和重命名。VTP 减少了交换网络中的管理事务。当用户要为 VTP 服务器配置新 VLAN 时，可以通过域内所有交换机分配 VLAN，这样可以避免到处配置相同的 VLAN。VTP 是思科私有协议，它支持大多数的 Cisco Catalyst 系列产品。 <BR>通过 VTP，其域内的所有交换机都清楚所有的 VLANs 情况，但当 VTP 可以建立多余流量时情况例外。这时，所有未知的单播（Unicasts）和广播在整个 VLAN 内进行扩散，使得网络中的所有交换机接收到所有广播，即使 VLAN 中没有连接用户，情况也不例外。而 VTP Pruning 技术正可以消除该多余流量。 <BR>缺省方式下，所有Cisco Catalyst交换机都被配置为 VTP 服务器。这种情形适用于 VLAN 信息量小且易存储于任意交换机（NVRAM）上的小型网络。对于大型网络，由于每台交换机都会进行 NVRAM 存储操作，但该操作对于某些点是多余的，所以在这些点必须设置一个“判决呼叫”（Judgment Call）。基于此，网络管理员所使用的 VTP 服务器应该采用配置较好的交换机，其它交换机则作为客户机使用。此外需要有某些 VTP 服务器能提供网络所需的一定量的冗余。 <BR>到目前为止，VTP 具有三种版本。其中 VTP v2 与 VTP v1 区别不大，主要不同在于：VTP v2 支持令牌环 VLANs，而 VTP v1 不支持。通常只有在使用 Token Ring VLANs 时，才会使用到 VTP v2，否则一般情况下并不使用 VTP v2。 <BR>VTPv3 不能直接处理 VLANs 事务，它只负责管理域（Administrative Domain）内不透明数据库的分配任务。与前两版相比，VTP v3 具有以下改进： <BR>支持扩展 VLANs。 <BR>支持专用 VLANs 的创建和广告。 <BR>提供服务器认证性能。 <BR>避免“错误”数据库进入 VTP 域。 <BR>与 VTP v1 和 VTP v2 交互作用。 <BR>支持每端口（On a Per-Port Basis）配置。 <BR>支持传播VLAN数据库和其它数据库类型。 <BR><FONT color=red>3、思科网络安全技术协议 网络安全技术 （Security/VPN）</FONT> <BR><FONT color=darkorange>L2F</FONT>：第二层转发协议 （Layer 2 Forwarding Protocol） <BR>TACACS：终端访问控制器访问控制系统 （TACACS：Terminal Access Controller Access Control System） <BR><FONT color=darkorange>L2F</FONT>：第二层转发协议 <BR><FONT color=darkorange>L2F</FONT>: Level 2 Forwarding protocol <BR>第二层转发协议（L2F）是一种用来建立跨越公用结构组织（如因特网）的安全隧道，为企业家庭通路连接一个 ISP POP 的协议。这个隧道建立了一个用户与企业客户网路间的虚拟点对点连接。 <BR>第二层转发协议（L2F）允许链路层协议隧道技术。使用这样的隧道，使得分离原始拨号服务器位置即拨号协议连接终止的位置与提供的网络访问的位置成为可能。 <BR>L2F 允许在 L2F 中封装 PPP/SLIP 包。ISP NAS 与家庭通路都需要请求一种常规封装协议，所以可以成功地传输或接收 SLIP/PPP 包。 <BR>相关链接 GRE、PPP、L2TP、PPTP、SLIP <BR>组织来源 L2F 由 Cisco 定义。 <BR>相关链接 </FONT></STRONG><A href="http://www.javvin.com/protocol/rfc2341.pdf" target=_blank><STRONG><FONT size=2>http://www.javvin.com/protocol/rfc2341.pdf</FONT></STRONG></A><STRONG><FONT size=2>： <BR>Cisco Layer Two Forwarding （Protocol） — “L2F” <BR><FONT color=darkorange>TACACS</FONT>：终端访问控制器访问控制系统 <BR><FONT color=darkorange>TACACS &amp; TACACS+：</FONT>Terminal Access Controller Access Control System <BR>终端访问控制器访问控制系统（TACACS）通过一个或多个中心服务器为路由器、网络访问控制器以及其它网络处理设备提供了访问控制服务。TACACS 支持独立的认证（Authentication）、授权（Authorization）和计费（Accounting）功能。 <BR>TACACS 允许客户机拥有自己的用户名和口令，并发送查询指令到 TACACS 认证服务器（又称之为TACACS Daemon 或 TACACSD）。通常情况下，该服务器运行在主机程序上。主机返回一个关于接收/拒绝请求的响应，然后根据响应类型，判断 TIP 是否允许访问。在上述过程中，判断处理采取“公开化（Opened Up）”并且对应的算法和数据取决于 TACACS Daemon 运行的对象。此外 TACACS 扩展协议支持更多类型的认证请求和响应代码。 <BR>当前 TACACS 具有三种版本，其中第三版 TACACS+ 与前两版不兼容。 <BR><FONT color=red>4 思科其他协议</FONT> <BR><FONT color=darkorange>SCCP</FONT>：信令连接控制协议 <BR><FONT color=darkorange>SCCP</FONT>：Skinny Client Control Protocol <BR>信令连接控制协议 SCCP 是用于思科呼叫管理及其 VOIP 电话之间的思科专有协议。其他供应商也支持该协议。 <BR>为解决 VOIP 问题，要求 LAN 或者基于 IP 的 PBX 的终点站操作简单，常见且相对便宜。相对于 H.323 推荐的相当昂贵的系统而言，SCCP 定义了一个简单且易于使用的结构。通过 SCCP，H.323 代理可以与 Skinny 客户机进行通信。在这样的情况下，电话充当了 IP 上的 Skinny 客户机。而代理服务主要用于 H.225 和 H.245 信令。 <BR>关于 SCCP 结构，作为 Cisco 呼叫管理的 H.323 代理服务器中存在大量的 H.323 处理源。终点站（电话）运行的客户机，该客户机只需消耗少量处理开销，客户机通过面向连接（基于 TCP/IP）的通信方式实现呼叫管理间的通信过程，从而与另一个适应的 H.323 终点站建立一个呼叫连接。一旦这样的呼叫连接建立起来，那么两个 H.323 终点站就可以通过无连接（基于 UDP/IP）通信方式实现音频传输。这样，通过限制建立呼叫管理的 H.323 呼叫装备的复杂性、以及为实际音频通信出入终点站提供 Skinny 协议来降低整个过程的费用和开销。 <BR><FONT color=darkorange>XOT</FONT>：基于 TCP 协议的 Cisco X.25（XOT：X.25 over TCP Protocol by Cisco） <BR>基于 TCP 协议的 Cisco X.25（XOT）是由思科开发的一种用于在 IP 英特网上实现 X.25 传输的协议。X.25 数据包层通常采用 LAPB，并且要求在其本身下面包含一个可靠的链路层。XOT 提供了一种在 IP 英特网上发送 X.25 数据包的方法，即将 X.25 数据包层封装在 TCP 数据包中。 <BR>TCP 具有一个可靠字节流。X.25 中要求其下面的层，特别是数据包间的边界包含信息语义。为了达到这个目标，要求 TCP 和 X.25 间的 XOT 协议头较小（大约4字节）。XOT 协议头包含一个长字段，用以分隔 TCP 流中的 X.25 数据包。 <BR>标准 X.25 协议数据包格式和状态转换规则通常应用于 XOT 中的 X.25 层。应注意例外情形</FONT></STRONG></DIV>]]> 星期四, 13 十二月 2007 15:06:30 GMT http://blog.china.com:80/u/071212/104206/200712/1507344.html 2007-12-13T15:06:30Z