日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

思科運營商路由系統(tǒng)CRS-1的安全性( 三 )

云知道


RPL還采用了集合的概念 。它是可以被用于路由屬性匹配和設(shè)置操作中的類似數(shù)據(jù)的容器 。有多種不同的集合類型，例如前綴集合、公共集合、as-path集合和擴(kuò)展公共集合，它們包含了相應(yīng)的群組 。這些集合分別類似于傳統(tǒng)的Cisco IOS軟件配置中的前綴列表、公共列表、as-path列表和擴(kuò)展公共列表，但是兩者之間存在一個重要的區(qū)別 。集合并不包括Cisco IOS軟件配置中的“接受”和“拒絕”的概念 。集合僅僅是數(shù)據(jù)的容器 。大部分集合還擁有一個內(nèi)嵌變量，它答應(yīng)在完全在內(nèi)部指定的數(shù)據(jù)值，而不需要引用某個只包含部分?jǐn)?shù)據(jù)的特定集合 。
決策——例如接受還是丟棄路由——完全取決于所制定的策略 。RPL讓用戶可以將匹配的操作符（可能使用集合數(shù)據(jù)）和傳統(tǒng)布爾邏輯操作符（“與”、“或”和“非”）集成到復(fù)雜的條件表達(dá)式中 。所有匹配操作符都會返回一個“真”或“偽”結(jié)果 。這些條件表達(dá)式的執(zhí)行和相關(guān)操作都可以由用戶所指定的、簡單的“if-then，else-if，else”結(jié)構(gòu)控制 。這使得策略的評估路徑可以完全由用戶設(shè)置 。
隨著RPL的采用，對等策略預(yù)計將會比現(xiàn)有的、基于路由圖的對等語句更加模塊化和更有效率 。RPL可以提供必要的可擴(kuò)展性，使得用戶能夠通過一個多機(jī)架路由系統(tǒng)（例如CRS-1）與數(shù)千個對等主機(jī)進(jìn)行對等通信 。
數(shù)據(jù)面板保護(hù)
數(shù)據(jù)面板可以接收、處理和傳輸網(wǎng)絡(luò)組件之間的網(wǎng)絡(luò)數(shù)據(jù)，控制進(jìn)出路由器的大量網(wǎng)絡(luò)流量 。為了防止數(shù)據(jù)面板流量遭受已知的攻擊，CRS-1的轉(zhuǎn)發(fā)引擎中內(nèi)置了一些缺省的完整性檢查（基于互聯(lián)網(wǎng)行業(yè)積累的知識） 。此外，CRS-1還提供了多種功能和工具，例如ACL、單播反向路徑轉(zhuǎn)發(fā)（uRPF）和NetFlow記帳，并在MSC上進(jìn)行專門的輸入和輸出處理 。
ACL——ACL（包括IPv4和IPv6）是很多路由器數(shù)據(jù)面板應(yīng)用——例如分組分類、速率限制、統(tǒng)計和審核——的一個重要組成部分 。它實際上是一個針對分組的準(zhǔn)許－拒絕操作符 。Cisco CRS-1的設(shè)計目的是滿足最嚴(yán)格的性能和可擴(kuò)展性要求，因而它能夠在網(wǎng)絡(luò)負(fù)載繁重的情況下以線速處理ACL 。例如，在處理200萬個路由和500個BGP對等主機(jī)的同時，CRS-1可以在不影響性能的情況下處理數(shù)千個ACL及其條目 。
uRPF——Cisco CRS-1支持uRPF（嚴(yán)格和松散模式） 。它使得Cisco CRS-1可以通過丟棄缺乏可驗證的IP源地址的IP分組，解決因為在網(wǎng)絡(luò)中引入錯誤的或者偽裝的IP源地址所導(dǎo)致的問題 。當(dāng)某個接口啟用uRPF嚴(yán)格模式時，路由器會檢查接收到的所有分組，驗證源地址和接口是否出現(xiàn)在路由表中，以及與收到分組的接口是否匹配 。uRPF松散模式是在ISP行業(yè)廣泛使用的觸發(fā)式黑洞過濾技術(shù)的基礎(chǔ) 。在松散模式下，uRPF可以根據(jù)源IP地址有效地丟棄DoS和DDoS攻擊分組，并在很短的時間內(nèi)將該方案發(fā)送到數(shù)百臺路由器 。
NetFlow——記帳是網(wǎng)絡(luò)治理在流量工程、網(wǎng)絡(luò)監(jiān)控和計費領(lǐng)域的一個不可或缺的組成部分 。NetFlow最初是一個記帳應(yīng)用，可以為查看單個分組報頭的內(nèi)部信息、按照不同的流量等級匯總分組，以及搜集每個流量等級的統(tǒng)計數(shù)據(jù)和具體路由信息提供一個有效的機(jī)制 。部署于Cisco IOS XR軟件中的NetFlow統(tǒng)計數(shù)據(jù)構(gòu)成了一個重要的數(shù)據(jù)庫 。它可以精確地發(fā)現(xiàn)流量的細(xì)微行為，從而為流量工程和安全分析提供支持 。
靜態(tài)NetFlow和分組監(jiān)聽——Cisco IOS XR軟件還支持功能超過NetFlow的靜態(tài)NetFlow 。與動態(tài)的NetFlow不同，靜態(tài)NetFlow對待分組流的方式與ACL處理數(shù)據(jù)的方式很類似，但是它具有一些擴(kuò)展字段，例如源或者目的地自治系統(tǒng)號和多協(xié)議標(biāo)簽交換（MPLS）標(biāo)簽 。利用靜態(tài)NetFlow，治理員可以定義一個帶有擴(kuò)展ACL的數(shù)據(jù)流過濾器，以跟蹤某個特定數(shù)據(jù)流的分組或者字節(jié)計數(shù)器 。大量的NetFlow數(shù)據(jù)能夠與某個擴(kuò)展ACL關(guān)聯(lián)，從而讓操作人員可以過濾其他數(shù)據(jù)，直接找到他們所感愛好的數(shù)據(jù)流，從而為防御DoS和DDoS攻擊創(chuàng)造了又一個有效的工具 。

推薦閱讀