文章目录
一、基于网络的信息系统基本结构
基于网络的信息系统结构应包括网络运行环境、网络系统、网络操作系统。
1.网络运行环境
网络运行环境指为了保障网络系统安全、可靠与正常运行所需的基本设施和设备条件,主要包括机房与电源两部分。
（1）机房和设备间、配线间。
机房用于放置交换机、核心路由器、服务器等核心设备,包括各建筑物中放置路由器、交换机与布线设施的设备间、配线间等场所。
（2）电源供电。
电源供电中断与故障会导致系统的关键设备停止工作,重要数据丢失与网络系统瘫痪,后果将十分严重。
2.网络系统
网络传输基础设施与网络设备是支持信息系统的网络所必备的两部分。
(1)网络传输基础设施。
按照距离、带宽、电磁环境与地理环境等要求完成的室内结构化布线系统、建筑物结构化布线系统、城域网主干光缆系统、广域网传输线路、微波和卫星通信系统等,都是网络传输的基础设施。
(2)网络设备。
网关、路由器、交换机、网桥、集线器、中继器、收发器、调制解调器、网卡和远程通信服务器等,都是常见的网络设备。
3.网络操作系统
网络操作系统主要凭借通信设施所提供的数据传输功能,为高层用户提供共享资源管理以及其他网络服务的功能。
4.网络应用运行环境与软件开发工具
(1)网络数据库管理系统。
网络数据库管理系统是开发网络应用系统的基础,不论是微小企业的还是覆盖全国的大型公司的数据管理都需要数据库管理系统的支持。
(2)网络软件开发工具。
数据库开发工具、Web应用开发工具与标准开发工具是主要的网络软件开发工具。
(3)网络应用系统。
在网络操作系统与网络应用软件开发工具的基础上,根据用户的需求而开发的通用或专用的系统就是网络应用软件系统。
5.管理与网络安全系统
实用的网络系统必须具备完善的网络管理系统。组建计算机网络的目的就是为联网的计算机系统提供性能良好、交流安全的通信环境。
网络安全技术就是通过解决存在的安全问题,达到信息在网络环境中安全存储、处理与传输的目的的方案。
二、划分网络系统组建工程阶段
划分网络系统组建工程阶段如图所示：
三、网络需求调研与系统设计原则
网络需求调研与系统设计的基本原则如下:
(1)进行充分调查,深入理解用户业务活动和用户信息需求。
(2)为了避免盲目性,要求在调查、分析基础上,充分考虑需求与制约条件(经费、工作基础与技术等方面)的前提下,对系统组建与系统开发的可行性进行充分论证。
(3)运用系统的观念,完成网络工程技术方案的规划和设计。
(4)充分考虑时限要求,将网络系统组建的任务按照设计、论证、实施、验收、用户培训、维护的不同阶段进行安排,大型网络系统建设的全过程都需要有专业的监理公司进行监理。
(5)各阶段文档资料必须具有完整性与规范性。
四、网络用户调查与网络工程需求分析
1.网络用户调查
网络用户调查是指与现有的或潜在的网络用户直接交流,了解他们对未来系统(如可靠性、可用性、安全性、可扩展性,对基于网络的信息系统用户请求的响应时间、流量等方面)的应用要求。开发基于网络的信息系统是用户组建网络的目的。明确用户建网的目的、要求与应用就是网络应用需求调查的主要任务。
2.网络节点的地理位置分布
在确定网络规模、布局与拓扑结构之前,需要对网络节点的地理位置分布情况有明确了解：
- 用户数量及各自分布的具体位置。
- 建筑物内部结构情况调查。
- 建筑物群情况调查。
3.应用概要分析
- Internet/Intranet服务
- 数据库服务
- 网络基础服务系统。
4.网络需求详细分析
网络需求详细分析主要包括:网络总体需求分析、综合布线需求分析、网络可角性与可靠性分析、网络安全性需求分析,以及分析网络工程造价估算几个方面。
五、网络总体设计基本方法
此阶段需要完成的任务如下:设计网络建设总体目标、确定网络系统方案设计原则、网络系统总体设计、设计网络拓扑结构、进行网络设备选型、网络系统安全设计。
1.网络工程建设总体目标与设计原则
网络系统设计的原则是实用性、开放性、高可靠性、安全性、先进性与可扩展性。
2.网络结构与拓扑构型设计方法
解决网络系统规模、结构和技术的复杂性的最有效方法是利用分层的思想来进行设计,大中型网络系统的设计必须基于此点。其中,核心层网络用于连接服务器集群、各建筑物子网交换路由器,以及与城域网连接的出口；汇聚层网络用于将分布在不同位置的子网连接到核心层网络,实现路由汇聚的功能；
接入层网络用于将终端用户计算机接入到网络之中。典型的系统核心路由器之间、核心路由器与汇聚路由器之间使用具有冗余链路的光纤连接;
汇聚路由器与接入路由器之间、接入路由器与用户计算机之间可以视情况而选择价格较低的非屏蔽双绞线(UTP)连接。
3.核心层网络结构设计
整个网络系统的主干部分是核心层网络,它是设计与建设的重点。目前应用于核心层网络的技术标准主要是GE/10GE,核心设备是高性能交换路由器,连接核心路由器的是具有冗余链路的光纤。整个网络流量的40%-60%都需要由核心层网络来承载。
核心层网络中存在着为整个网络服务的服务器集群的连接,从提高服务器集群可用性的角度，连接方案有如图所示两种
其中,图a中采取链路冗余的办法直接连接两台核心路由器,其特点是直接利用了核心路由器的带宽,但是占用的核心路由器端口较多,而高端路由器的端口价格很高,所以设备成本会上升;图b采取专用服务器交换机,在两台核心路由器之上再增加一台连接服务器集群的交换机,同时采用链路冗余的办法,间接地连接到两台核心路由器,其优点是可以分担核心路由器的带宽,缺点是会形成带宽瓶颈,存在单点故障的潜在危险。
4汇聚层网络与接入层网络结构设计
汇聚层网络可以将位于不同位置的子网连接到核心层网络,实现路由汇聚的功能。当网络规模一般时,或者在一期工程的建设中,为了增加端口密度,可采用多个并行的GE/10GE交换机堆叠的方式,由一台交换机使用光端口通过光纤向上级联，将汇聚层与接入层合并成一层。
如图所示就是汇聚层与接入层网络的两种设计方案。
实际情况验证：层次之间的上联带宽与下一级带宽之比—般控制在1：20。（带宽计算）
5.网络攻击历年真题
网络攻击相关知识点
1.、SYN Flooding攻击: 使用无效的IP地址,利用TCP连接的三次握手过程,使得受害主机处于开放会话的请求之中,直至连接超时。在此期间，受害主机将会连续接受这种会话请求，最终因耗尽资源而停止响应。
2、DDos(分布式拒绝服务攻击) 攻击： 利用攻破的多个系统发送大量请求去集中攻击其他目标，受害设备因为无法处理而拒绝服务。
3、SQL 注入攻击： 属于利用系统漏洞，基于网络的入侵防护系统和基于主机入侵防护系统都难以阻断。防火墙（基于网络的防护系统)无法阻断这种攻击。
4、Land 攻击： 向某个设备发送数据包，并将数据包的源 IP 地址和目的地址都设置成攻击目标的地址。
5、协议欺骗攻击: 通过伪造某台主机的IP地址窃取特权的攻击。有以下几种:
(1) IP 欺骗攻击。
(2) ARP欺骗攻击。
(3)DNS欺骗攻击。
(4)源路由欺骗攻击。
6、DNS 欺骗攻击： 攻击者采用某种欺骗手段，使用户查询服务器进行域名解析时获得一个错误的 IP 地址，从而可将用户引导到错误的 Internet 站点。
7、IP 欺骗攻击： 通过伪造某台主机的 IP 地址骗取特权，进而进行攻击的技术。
8.、Cookie 篡改攻击： 通过对 Cookie 的篡改可以实现非法访问目标站点,基于网络的入侵防护系统无法阻断。
9、Smurf攻击: 攻击者冒充受害主机的IP地址,向一个大的网络发送 echo request 的定向广播包，此网络的许多主机都做出回应,受害主机会收到大量的echo reply消息。基于网络的入侵防护系统可以阻断 Smurf攻击。
10、于网络的防护系统无法阻断Cookie篡改、DNS欺骗、SQL注入。
11、基于网络的入侵防护系统和基于主机入侵防护系统都难以阻断的是跨站脚本攻击、SQL注入攻击。
相关历年真题
第1题:攻击者利用攻破的多个系统发送大量请求去集中攻击其他目标,受害设备因为无法处理而拒绝服务。这种攻击被称为 ( )。
A、APT 攻击
B、DDoS 攻击
C、 SQL注入
D、暴力攻击
正确答案：B
参考解析:
【解析】 APT攻击:利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式,此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞,利用这些漏洞组建攻击者所需的网络,并利用0day漏洞进行攻击。DDoS攻击(分布式拒绝服务攻击) :攻击者攻破了多个系统,并利用这些系统去集中攻击其他目标,成百上千的主机发送大量的请求，受害设备因无法处理而拒绝服务。SQL注入就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。具体来说,它是利用现有应用程序,将(恶意的) SQL命令注入到后台数据库引擎执行的能力,它可以通过在Web表单中输入（恶意的) SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。暴力破解攻击是指攻击者通过系统地组合所有可能性(例如登录时用到的账户名、密码) ,尝试所有的可能性破解用户的账户名、密码等敏感信息。攻击者会经常使用自动化脚本组合出正确的用户名和密码。故选择B选项。
第2题:攻击者使用无效的IP地址,利用TCP连接的三次握手过程,使得受害主机处于开放会话的请求之中,直至连接超时。在此期间，受害主机将会连续接受这种会话请求，最终因耗尽资源而停止响应。这种攻击被称为（）。
A、 DDoS 攻击
B、Land 攻击
C、Smurf 攻击
D、SYN Flooding攻击
正确答案：D
参考解析:
【解析】 DDoS攻击是指攻击者攻破多个系统,利用这些系统集中攻击其他目标,大量请求使被害设备因为无法处理而拒绝服务; Land攻击是指向某个设备发送数据包,把源IP地址和目的IP地址均设为攻击目标地址; Smurf攻击指攻击者冒充被害主机IP地址向大型网络发送echo request定向广播包,此网络大量主机应答,使受害主机收到大量echo reply消息。SYN Flooding攻击即为题目中所述情况。所以答案是D。
第3 题：网络防火墙不能够阻断的攻击是（ ）。
A、DoS
B、SQL注入
C、 Land攻击
D、SYN Flooding
正确答案：B
参考解析:
【解析】网络防火墙可以检测流入和流出的数据包和具有防攻击能力，可以阻断DoS攻击,而C, D也都属于常见的DoS攻击。常见的DoS攻击包括Smurf攻击、SYN Flooding、分布式拒绝服务攻击(DDOS) 、Ping of Death, Tear doop和Land攻击。B项属于系统漏洞，防火墙无法阻止其攻击。
第4题:下列攻击手段中,基于网络的入侵防护系统无法阻断的是（ ）。
第 41 题：在下面的攻击手段中，基于网络和主机的入侵防护系统都难于阻断的是（）。
A、SYN Flooding
B、SQL注入
C、 DDOS
D、Ping of Death
正确答案：B
参考解析:
【解析】所谓SQL注入,就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串中,最终达到欺骗服务器执行恶意的SQL命令。如先前的很多影视网站泄露VIP会员密码,大多就是通过Web表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击。SQL注入为漏洞入侵,采用应用入侵保护系统。其它的都是采用基于网络的入侵防护系统。
正确答案：B
参考解析:
【解析】基于主机的入侵防护系统可以阻断缓冲区溢出,改变登陆口令,改变动态链接库以及其他试图从操作系统夺取控制权的入侵行为。基于网络的入侵防护系统主要进行包过滤保护,如丢弃含有攻击性的数据包或者阻断连接。应用入侵防护系统能够阻止如Cookie篡改, SQL代码嵌入,参数篡改,缓冲区溢出,强制浏览,畸形数据包和数据类型不匹配等攻击。选项B属于应用入侵防护系统功能,故选择B选项。
第49 题：在下面的攻击手段中，基于网络的入侵防护系统和基于主机的入侵防御系统都难于阻断的是（）。
A、 SYN Flooding攻击
B、跨站脚本攻击
C、 Teardrop
D、Smurt攻击
正确答案：B
参考解析：
【解析】基于主机的入侵防护系统可以阻断缓冲区溢出，改变登陆口令，改变动态链接库以及其他试图从操作系统夺取控制权的入侵行为。基于网络的入侵防护系统主要进行包过滤保护,如丢弃含有攻击性的数据包或者阻断连接。应用入侵防护系统能够阻止如Cookie篡改， SQL代码嵌入，参数篡改，缓冲区溢出，强制浏览，畸形数据包和数据类型不匹配等攻击。选项A和C属于拒绝服务攻击,可以通过基于主机的入侵防护系统阻挡,选项D属于病毒攻击可以通过基于网络的入侵防护系统阻挡。选项B属于应用入侵防护系统功能，故选B选项。
第5 题:在下面的攻击手段中,基于网络的入侵防护系统 可以阻断的是()。
A、 Cookie篡改攻击
B、 DNS欺骗攻击
C、 Smurf攻击
D、SQL注入
正确答案：C
参考解析:
【解析】基于网络的入侵检测系统用原始的网络包作为数据源,实时接收和分析网络中流动的数据包,从而检测是否存在入侵行为。Cookie篡改攻击,通过对Cookie的篡改可以实现非法访问目标站点。DNS欺骗是攻击者冒充域名服务器的一种欺骗行为。SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。以上三种方式都不是通过阻塞网路或者耗费网络资源等来进行的攻击。Smur攻击,攻击者冒充受害主机的ip地址,向一个大的网络发送echo request的定向广播包,此网络的许多主机都做出回应,受害主机会收到大量的echo reply消息。基于网络的入侵防护系统可以阻断Smurf攻击。故C选项正确。
第 6 题：在下面的攻击手段中，基于网络的入侵防护系统 无法阻断的是（）。
第 36 题：在下面的攻击手段中，基于网络的入侵防护系统和基于主机入侵防御系统 都难于阻断的是（）。
A、SYN Flooding攻击
B、Cookie篡改攻击
C、DDOS攻击
D、Smurf攻击
正确答案：B
参考解析:
【解析】 SYN Flooding攻击、DDOS攻击和Smurt攻击都属于拒绝服务攻击,可以被基于网络的入侵防护系统阻断。因此，B选项正确
第6题:攻击者采用某种手段,使用户访问某网站时获得一个其他网站的IP地址,从而将用户的访问引导到其他网站,这种攻击手段称为（ ）。
A、 DNS欺骗攻击
B、ARP欺骗攻击
C、暴力攻击
D、重放攻击
正确答案：A
参考解析：
【解析】 DNS欺骗攻击是攻击者采用某种欺骗手段，使用户查询服务器进行域名解析时获得一个错误的IP地址，从而可将用户引导到错误的Internet站点。因此A选项正确
第7题:下列方式中,利用主机应用系统漏洞进行攻击的是()
A、 Land攻击
B、暴力攻击
C、源路由欺骗攻击
D、SQL注入攻击
正确答案：D
参考解析:
【解析】应用入侵防护系统能够防止诸多入侵,其中包括Cookie篡改、SQL代码嵌入、参数算改、缓冲器溢出、强制浏览、畸形数据包、数据类型不匹配以及其他已知漏洞等。由此可见,SQL注入攻击属于利用主机应用系统的漏洞而进行的攻击类型，故答案选D。
第13 题:包过滤路由器能够阻断的攻击是（)。
A、Teardrop
B、跨站脚本
C、Cookie篡改
D、SQL注入
正确答案：A
参考解析:
【解析】路由器通常具有包过滤功能,可以将从某一端口接收到的符合一定特征的数据包进行过滤而不再转发。Teardrop是基于UDP的病态分片数据包的攻击方法,其工作原理是向被攻击者发送多个分片的IP包。包过滤路由器可以对接收到的分片数据包进行分析，计算数据包的片偏移量(Offset)是否有误。从而阻断Teardrop攻击。跨站脚本攻击(也称为XsS)指利用网站漏洞从用户那里恶意盗取信息。cookie篇改(cookie poisoning)是攻击者修改cookie(网站用户计算机中的个人信息)获得用户未授权信息,进而盗用身份的过程。SQL注入是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。因此A选项正确。
第15 题：通过伪造某台主机的IP地址窃取特权的攻击方式属于（）。
A.、木马入侵攻击
B、 漏洞入侵攻击
C、协议欺骗攻击
D、拒绝服务攻击
正确答案：C
参考解析：
【解析】协议欺骗攻击方式有以下几种：
(1) IP欺骗攻击。
(2) ARP欺骗攻击。
(3) DNS欺骗攻击。
(4)源路由欺骗攻击。
其中IP欺骗攻击是通过伪造某台主机的IP地址骗取特权，进而进行攻击的技术。因此C选项正确。
第 21 题：攻击者向某个设备发送数据包，并将数据包的源IP地址和目的IP地址都设置成攻击目标的地址。这种攻击被称为（）。
A、SYN Flooding攻击
B、 DDoS攻击
C、Ping Of Death攻击
D、Land攻击
正确答案：D
参考解析:
【解析】 SYN Flooding攻击:利用TCP连接的3次握手过程进行攻击。攻击者主机使用无效的IP地址。与受害主机进行TCP3次握手。DDoS分布式拒绝服务攻击:攻击者攻破了多个系统。并利用这些系统去集中攻击其他目标。成千上万的主机发送大量的请求,受害设备因为无法处理而拒绝服务。Ping of Death攻击:通过构造出重缓冲区大小异常的ICMP包进行攻击。Land攻击：向某个设备发送数据包，并将数据包的源IP和目的IP都设置成攻击目标的地址。
第 57 题：下列入侵检测系统结构中，出现单点故障影响最严重的的是（ ）。
A、协作式
B、层次式
C、集中式
D、对等式
正确答案：C
参考解析:
【解析】集中式入侵检测系统最大的问题就是单点失效的问题,即一旦自身受到攻击而停止工作,则整个网络系統将处于危险之中。而层次式入侵检测系统的主要问题是不能很好地适应网络拓扑结构的变化，较难部署，而且上层的入侵检测模块若受到攻击，则其入侵检测的有效性将大大地降低。协作式入侵检测系统仍由一个统一的中央控制机制进行协调，单点失效的风险仍然存在。对等模型的应用使得分布式入侵检测系统真正避免了单点失效的发生。故选择C选项.
六、网络关键设备选型
1.网络关键设备选型的基本原则
（1）厂商与产品系列的选择。
核心路由器、汇聚路由器等关键的网络设备一定要选择成熟的主流产品而且最好用同一厂家的产品。
（2）网络的可扩展性考虑。
进行主干网络设备选取时,必须留有一定的余量,保证系统的可扩展性。
(3)网络技术先进性考虑。
网络设备与技术的更新速度快,人们往往用“摩尔定律”描述网络设备的价值,设备选型风险比较大,要广纳意见,实地考察产品与服务,慎重决策。
2.路由器选型的依据
(1)路由器的分类。
路由器性能主要指路由器背板交换能力,背板交换能力大于40Gbit/s的称作高端路由器;背板交换能力低于40Gbit/s的称为中低端路由器。按照路由器在网络中所处的位置划分,则可分为用作核心层主干设备的高端路由器,用于汇聚层的企业级路由器以及用于接入层的低端路由器。
(2)路由器的关键技术指标。
①吞吐量。
路由器的吞吐量是指它的包转发能力,涉及两个方面的内容:端口吞吐量与整机吞吐量。路由器的吞吐量与路由器的端口数量和速率、包类型、包长度关系密切。
②背板能力。
背板是路由器输入端与输出端之间的物理通道,它决定了路由器的吞吐量。高性能路由器一般采用交换式结构,而传统的路由器采用的是共享背板的结构。
③延时与延时抖动。
延时与包长度、链路传输速率有关,它标志着路由器转发包的处理时间。延时对网络性能影响很大,高速路由器一般要求长度为1518B的IP包,延时不大于1ms。
④丢包率。
丢包率是指在持续的、稳定的负荷情况下,由于包转发能力的限制而造成的包丢失的概率。它常被用作路由器超负荷工作时的性能衡量指标。
⑤突发处理能力。
我们常以最小帧间隔发送数据包而不引起丢失的最大发送速率来衡量突发处理能力。
⑥服务质量。
路由器的服务质量主要表现在队列管理机制、端口硬件队列管理和支持Qos协议上。队列管理机制是指路由器的队列调度算法与拥塞管理机制。队列调度算法的策略主要包括:支持公平排队算法、支持加权公平排队算法、拥塞控制、虚拟输出队列、优先级管理等方面。端口硬件队列管理是由端口硬件来实现,而每个队列中的优先级由队列调度算法来控制。路由器应能支持区分服务(DiffServ)协议、资源预留协议(RSVP)与多协议标记交换(MPLS)协议。
⑦路由表容量。
路由表是路由器用来决定包转发路径的主要依据。建立和维护与当前网络链路状态与节点状态相适应的路由表是路由器的主要任务之一。
⑧可靠性与可用性。
路由器可靠性与可用性的主要指标表现在设备的冗余、无故障工作时间、内部时钟精度、热插拔组件等方面。
典型的高端路由器的可靠性与可用性指标应该达到以下几点。
- 无故障连续工作时间(MTBF)大于10万小时,且系统故障恢复时间小于30min。
- 系统具有自动保护切换功能,主备用切换时间小于50ms。
- SDH与ATM接口自动保护切换功能,切换时间小于50ms
- 路由器系统内部不存在单故障点。
- 主处理器、主存储器、交换矩阵、电源、总线管理器与网络管理接口等主要部件需要有热插拔冗余备份,线卡要求有备份,并提供远程测试诊断能力。
⑨网管能力。
路由器的网络管理能力表现在网络管理员可以通过网络管理程序和通用的网络管理协议SNMPv2等,对网络资源进行集中管理与操作。网络管理粒度标志着路由器管理的精细程度。网络管理包括配置管理、记账管理、性能管理、故障管理与安全管理5部分。路由端口、网段、IP地址或MAC地址的管理都属于网络管理的范畴。
3.交换机的类别与主要技术指标
(1)交换机的分类。
①按所支持的技术类型,可以将交换机分为10Mbit/s Ethernet交换机、FastEthernet交换机速率达与1Gbit/s的GE交换机。
②按内部结构,可以将交换机分为模块式交换机与固定端口交换机。模块式交换机又称为机架式交换机。其机箱内部有冗余电源、内置电源与多插槽主机机柜。插槽可用于插入扩展的交换模块和网管模块。这种模块式交换机的优点是功能强、可靠性高,可根据网络规模的大小、接入节点的数量与带宽,进行模块的灵活选择和配置。
固定端口交换机只能支持一种局域网协议,含有少量扩展槽且端口数量固定。这种交换机外观上像机架式集线器,常见的有8个RJ 45端口,此外， 16/24/48/80端口交换机也都是比较常用的类型。一般具有1-2个固定的100Mbit/s或1000Mbit/s的上联端口。固定端口交换机的优点是价格便宜、安装简便,较适宜作为小型局域网节点的连接设备或大型网络的接入设备。
③按应用规模，可以将交换机分为：企业级交换机、部门级交换机与工作组级交换机。
(2)交换机的主要技术指标。
交换机的主要技术指标包括:背板带宽、全双工端口总带宽、交换方式、帧转发速率、延时、模块式或固定端口配置、支持VLAN能力等。
①背板带宽。
交换机的背板是指交换机输入端与输出端之间的物理通道。背板带宽越宽,交换机的数据处理能力就越快,数据包转发延迟就越小,性能也就越优越。
②全双工端口带宽。
全双工端口带宽的计算方法如下:端口数端口速率x2交换机选型中一个重要的数据指标就是背板带宽/全双工端口的总带宽的比值。比值越高,交换机就越趋近于高性能线速无阻塞交换机,其性能也就越好,造价也就越高。
③帧转发速率。
帧转发速率是指交换机每秒钟能够转发的帧的最大数量。延时是指从帧的第一个字节进入交换机,到该帧最后一个字节离开交换机输出端口的时间。
④支持VLAN能力。用户在选择交换机时,很关心其是否支持VLAN能力。除了部分支持Cisco专用的组管理协议(CGMP)的交换机外,大部分交换机都支持802.1Q协议。VLAN的划分可以是基于端口的,也可以是基于MAC地址或IP地址的。
④支持VLAN能力。用户在选择交换机时,很关心其是否支持VLAN能力。除了部分支持Cisco专用的组管理协议(CGMP)的交换机外,大部分交换机都支持802.1Q协议。VLAN的划分可以是基于端口的,也可以是基于MAC地址或IP地址的。
⑤模块式交换机(机箱式交换机)的扩张能力。
可扩展性是模块式交换机的主要特点。该类交换机可通过选取类型不同的控制模块,如FE模块、GE模块、ATM模块等,或者不同模块的数量来达到支持不同类型的协议与不同端口带宽的目的。
(3)交换机的配置选择。
配置选择是交换机选型时不可忽略的问题。交换机的配置有以下几个方面。
①扩展槽数：扩展槽数指的是固定端口式交换机的扩展槽最多可以安插的模块数。
②机架插槽数:机架插槽数指的是模块式交换机最多能够安插的模块数。
③最大可堆叠数:最大可堆叠数指的是单个堆叠单元中可最大堆叠的交换机数。
④最大/最小GE端口数:最大/最小GE端口数指的是一台交换机所能够支持的最大/最小的1000Mbit/s速率的端口的数量。
⑤端口密度与端口类型:端口密度是指一台交换机所能够支持的最大/最小的端口数量,端口类型指全双工或单工。
⑥缓冲区大小:缓冲区的作用是协调不同端口之间的速率匹配。
⑦支持的网络协议类型:通常,不带扩展槽的或者固定配置的交换机只支持一种协议(如Ethernet协议) ,带有扩展槽的或机架式交换机可支持多种协议(如GE、FE、FDDI协议等)。同时,也要关注交换机所支持的第2层交换的策略,如802.3x的拥塞控制与流量控制协议、802.1d的生成树算法、802.1p优先级队列控制等。
⑧MAC地址表大小:连接在不同端口上的主机或设备的MAC地址都存储于交换机的MAC地址表中,交换机根据此表确定帧转发的端口,且此表要时刻更新。
⑨设备冗余:避免存在单点故障的威胁对要求较高的应用很重要。
⑩可管理性:不同的交换机支持的网络管理协议不尽相同,常用的的网络管理协议与软件包括SNMP、HPOpenview、IBMNetView等。
七、网络服务器选型
1.网络服务器的分类
①Internet/Intranet通用服务器。
②数据库服务器。
③文件服务器。
共享硬盘服务系统的缺点是: 用户每次使用服务器硬盘时需要先进行链接,且需要用户自己使用DOS命令建立专用盘体上的DOS文件目录结构,并进行维护,所以不方便使用,且效率和安全性都得不到保证。
④应用服务器。
应用服务器是一类提供专用服务的网络服务器,基于浏览器/服务器(Browser/Server.B/S)工作模式。应用服务器的主要技术特点如下：
- 应用服务器将网络应用建立在Web服务的基础上,在客户与服务器之间采用浏览器/服务器模式进行软件系统的设计。
- 网络组建单位在购得设备后,无须用户进行专门配置,且使用方便,性价比高。
- 传统的C/S结构数据库服务器采用的是客户与服务器2层结构,而应用服务器形成了3层体系结构。
(2)按应用规模分类,网络服务器可以分为:基础级服务器、工作组级服务器、部门级服务器、企业级服务器。
各类级别服务器的比较
| 服务器类型 | 配置 | 性能 | 应用范围 |
|---|---|---|---|
| 基础级服务器 | 一般是只有1 个 CPU、配置较低的PC服务器 | 数据处理能力一般 | 一般用于办公室文件与打印机共享的小型局域网服务器 |
| 工作组级服务器 | 一般支持1-2个CPU,配置热插拔折叠大容量硬盘，各用电源等 | 具有较好的数据处理能力、容易性与可扩展性 | 适用于处理数据量大、高处理速度和可靠性要求较高的应用领域，可用于Internet 接入，也可用于替代传统企业级 PC 服务器的升级 |
| 部门级服务器 | 一段支持2-4个CPU,采用对称多处理(SMP)技术，配置热插拔大容量硬盘、备用电源等 | 具有较好的数据处理能力、容易性与可扩展性 | 适合作为中小型网络的应用服务器、小型数据库服务器、Web服务器企业级服务器 |
| 企业级服务器 | 一般支撑4-8个CPU,采用最新的CPU与对称多处理（SMP）技术，支持双PCI 通速与高内有带宽。配置大容量热拔把线盘各用电器，并且关键部件有冗余 | 具有较好的数据处理能力、容易性与可扩展性 | 目前广泛应用于金融、证券、检介、都电与通信行业 |
（4）服务器采用的相关技术
为了提高网络服务器的性能，很多服务器都在设计中采用了不同的技术：
- 热插拔技术。
- 集群（Cluster）技术。
- 高性能存储与智能I/O技术。
- 对称多处理(Symmetric Multi Processing,SMP)技术。
- 应急管理端口(Emergence Management Port,EMP)技术。
- 非一致内存访问(Non Uniform Memory Access,NUMA)技术。
- 服务处理器与Inte1服务器控制(Intel Server Control, ISC)技术。
热插拔功能可以实现用户在不断电的情况下进行故障硬盘、板卡等部件的更换,所以使得系统应对突发事件能力大大提高。另外,高端应用的磁盘镜像系统提高了磁盘的热拔插功能,大大缩减了系统故障修复时间。集群(Cluster)技术大大提高了系统的数据处理能力。它是向一组独立的计算机提供高速通信线路,并使其组成一个共享数据存储空间的服务器系统。如果其中某台主机出现故障,该主机所运行的程序将立即转移到其他主机运行,可见集群计算技术可以使服务器的可用性、可靠性与容灾能力得到大大提高。但是对系统的性能是有影响的。
衡量服务器性能与选型的重要指标之一就是存储能力。 存储系统总线必须采用小型机系统接口(Small Computer System Interface, SCSI)标准,同时采用独立磁盘冗余阵列(Redundant Array of Independent Disk, RAID)技术,将若干个硬盘驱动器组成一个整体,由阵列管理器管理;在提高磁盘容量的基础上,通过改善并行读写能力,提高磁盘的存取速度和吞吐量;为了达到均衡负荷与提高系统效率的目的,可以利用智能I/0系统来负责中断处理、缓冲区存储与数据传输的工作。
2.网络服务器性能
服务器的性能主要表现在：磁盘存储能力、运算处理能力、高可用性、可扩展性与可管理性等。
（1）磁盘存储能力。
磁盘存储容量与1/0服务速度是磁盘存储能力的重要指标 ,而硬盘与磁盘接口总线又是决定这两个重要指标的主要因素。硬盘性能的参数包括:主轴转速、内部传输率、单碟容量、平均巡道时间与缓存。磁盘接口总线目前主要是SCSI标准。
(2)运算处理能力。
高速度的CPU可以大大提高服务器的运算能力,然而影响服务器处理能力的因素又是多方面的。以Inte1的CPU结构为例,实际构成CPU的部件包括: CPU内核(Pentium Processor Core)、一级缓存(L1 Cache)、二级缓存(L2 Cache)、前端总线(FrontSide Bus,FSB)、后端总线(BackSide Bus,BSB)。其中, CPU内核负责执行指令和处理数据,其性能直接与运算处理能力相关。一级缓存为CPU直接提供计算所需要的指令与数据;二级缓存主要用于存储控制器、存储器、缓存检索表数据。前端总线是连接CPU与主机芯片组的总线。后端总线是连接CPU内核与二级缓存的总线。
CPU的速度与服务器性能的关系说明如下。
如果CPUa与CPUb采用相同的技术, CPUa的主频为Ma, CPUb的主频为Mb, Mb>Ma,且Mb Ma<200MHz,则配置CPUb比配置CPUa的服务器性能提高(Mb Ma) /Max50%,这就是CPU的50%定律。
CPU的数量与服务器性能的关系说明如下。
如果一高端服务器支持8路SMP的CPU，且其内存、网络速度与硬盘速度都足够使用,即不存在增加CPU给系统带来的瓶颈,则从单个CPU增加到2个CPU,系统性能是单CPU的170%;增加到4个CPU,系统性能是单CPU的300%;增加到8个CPU,系统性能是单CPU的500%。并且有研究表明,L1 Cache、 L2 Cache、 FSB与BSB对系统总体性能的影响也很显著。
(3)系统高可用性。
系统高可用性可以用如下公式描述:系统高可用性=MTBF/ (MTBF+MTBR)其中, MTBF为平均无故障时间; MTBR为平均修复时间。
如果系统高可用性达到99.9%,那么每年的停机时间<8.8小时;系统高可用性达到99.99%,每年的停机时间<53分钟;系统高可用性达到99.999%,每年的停机时间<5分钟。
(4)可扩展性。
系统的可扩展性主要表现在处理器和存储设备的扩展能力上。
(5)可管理性。
系统的可管理性表现在:友好的管理软件界面、完善的远程监控管理能力,支持硬盘、内存、处理器、电源等设备的热插拔功能,便于拆装、维护和升级。
3.服务器选型的基本原则
- 根据产品的不同需求选择服务器。
- 根据不同的行业特点选择服务器。
- 根据不同的应用特点选择服务器。
八、网络系统安全设计基本方法
1.网络安全技术涉及的基本内容
网络安全技术就是通过解决网络安全方面存在的问题,从而达到信息在网络环境中的存储、处理与传输的安全目标。网络系统安全设计应重点考虑以下方面。
（1） 网络中的信息安全问题。
网络中的信息安全主要包括信息存储安全、信息传输安全及密码技术。信息存储安全是指保证存储在计算机中的信息不被未授权的网络用户非法使用。信息传输安全是指保证信息在网络传输的过程中不被泄露与不被攻击。信息在传输中的安全威胁主要有:截获信息、窃听信息、篡改信息与伪造信息。数据的加密与解密是密码学研究的主要问题,同时也是保证网络系统中信息安全的主要技术。用户可以在存储或传输过程中用密文表示需要保护的重要信息,以保证明文的安全。
小提示: 加密指的是将明文变换成密文的过程,解密指的是将密文经过逆变换恢复成明文的过程。
（2）网络防攻击技术。
Internet中对网络的攻击可以分为服务攻击与非服务攻击。从黑客攻击的手段上又可以大致分为以下8种：系统入侵类攻击、缓冲区溢出攻击、拒绝服务类攻击、欺骗类攻击、病毒类攻击、木马程序攻击、后门攻击与防火墙攻击。
服务攻击是指对为网络提供某种服务的服务器发起攻击,造成该服务器的“拒绝服务”, 使网络工作不正常。拒绝服务攻击会导致某种服务的合法使用者不能访问自己有权访问的服务,表现为带宽与计算资源的消耗、系统和应用的崩溃等方面。特定的网络服务包括E-mail、Telnet、FTP、WWW服务等。
例如，Telnet服务在众所周知的TCP 23端口上提供远端连接, WWW服务在TCP 80端口等待客户的浏览请求。由于TCP/IP缺乏保密措施与认证,就为攻击者提供了条件。攻击者可能针对某网站的www服务进行攻击,设法使其服务器瘫痪或者修改其主页,使得该网站www不能够再正常工作。
非服务攻击不针对某项具体应用服务,而是针对网络层等低层协议进行的。 它往往利用协议或操作系统实现协议时的漏洞来达到攻击的目的,更为隐蔽,且常常被人们所忽略,因而是一种更为危险的攻击手段。源路由攻击和地址欺骗都属于这一类。攻击者可能会对网络通信设备发起攻击,使其工作阻塞或瘫痪,致使子网或局域网瘫痪。TCP/IP (尤其是IPv4)自身安全机制的不足更是为攻击者提供了方便。
网络防攻击研究主要应解决以下几个问题。
①攻击者可能是哪些人。
②攻击手段与类型可能有哪些。
③及时检测并报告网络被攻击。
④如何采取相应的网络安全策略与网络安全防护体系。
（3）防抵赖问题。
防抵赖是指如何防止发送方事后对自身所发送的信息进行否认,或者接收方否认已收到的信息。
（4）网络内部安全防范。
网络内部安全防范指如何防止内部具有合法身份的用户有意或无意对网络与信息安全进行有害的行为。它主要有:违反网络安全规定,绕过防火墙,私自和外部网络连接,造成系统安全漏洞;有意或无意地泄露网络用户或网络管理员口令;违反网络使用规定,越权查看、修改和删除系统文件、应用程序及数据;违反网络使用规定,越权修改网络系统配置,造成网络工作不正常。
工作人员必须从技术与管理两方面解决来自网络内部的不安全因素。一方面通过网络管理软件随时监控用户工作状态与网络运行状态,对重要资源的使用情况进行记录与审计;另一方面制定和不断完善网络使用和管理制度,加强用户培训与管理。
除以上4点之外,网络安全漏洞与对策的研究,垃圾邮件、灰色软件与流氓软件,网络防病毒以及网络数据备份与灾难恢复也是网络系统安全设计应重点考虑的方面。
2.网络系统安全设计的原则
从网络工程的角度,网络系统安全设计需要遵循的基本原则如下。
①整体设计的原则；
②全局考虑的原则；
③等级性原则；
④自主性与可控性原则；
⑤有效性与实用性的原则；
⑥安全有价原则。