构建企业IP网,暨AT&T MPLS/ IP VPN解决方案研讨会

最近厂家的研讨会、发布会特别的多，上周刚参加了Juniper的巡展，这周又有IBM和AT&T的研讨会，可谓是热闹得很啊。最终和公司同事与9/12日参加了AT&T MPLS/ IP VPN解决方案研讨会 。以下为个人的一些收获和感受：
1、了解了at&t公司的业务范围很大，西南贝尔的合并后，新的AT&T成为美国最大的电信公司，也是全世界最大的电信公司之一。
2、目前各大跨国企业的企业内部组网普遍的采用MPLS/ IP VPN解决方案。
3、未来IMS将会是主导未来通讯的方向。
4、at&t在全世界大多数的国家和地区都能够提供MPLS/IP VPN的安全有效的接入，助力企业的国际化进程。
5、AT&T实验室VPN战略总监Tom Siracusa先生还是比较幽默风趣的，中途提到了首次来到中国，因此使用筷子不是很熟练导致领带都弄脏了，对此表示抱歉。
6、亚太区的中国区总经理廖维康先生的中文说得比较难受，虽然也还能够听懂，但是我希望他还是用英语可能会更好些，尽管我英语听得不是很明白，最起码感官上也是一种享受。哈哈

IT的昨天、今天发展很快，明天将会是怎么样？
我的昨天、今天生活还好，明天将会怎么样呢？

与IT努力前行，争取更美好的我和IT的明天！

附录AT&T的邀请函

构建企业IP网
暨AT&T MPLS/ IP VPN解决方案研讨会 邀请函
尊敬的先生/女士：
随着全球经济的迅速兴起和中国经济的高速发展，越来越多的企业意识到公司网络架构和网络整合对整个企业发展的重要性，要实现企业有效的经济规模，运用IP平台整合企业网络已成为主要发展趋势。

 您是否有满足总部与分支机构、分支机构之间，以及与客户、合作伙伴之间广泛通信的需要？
 您是否有满足企业语音、数据以及视频通信传输的各类需求？
 您是否想了解不同VPN技术之间的区别和基于MPLS/IP VPN的应用？
 您是否想借鉴其他跨国企业利用IP建网的经验？

如对以上问题希望找到满意的解答，我们诚恳地邀请您参加"构建企业IP网 暨AT&T MPLS/ IP VPN解决方案研讨会"。本次研讨会我们邀请到AT&T实验室VPN战略总监Tom Siracusa先生以及AT&T商业部中国区总经理廖维康先生和大家分享企业网络技术发展趋势以及MPLS/ IP VPN的特点及最新应用。同时，您还有机会了解全球在华各大跨国公司的网络构架案例分析。
AT&T于一八八五年由电话之父亚历山大•贝尔在美国创立。发展至今，已成为全球首屈一指的语音、图像、无线通信及数据通信服务的供应商，为广大个人消费者、商业客户及政府机构服务。
在2005年完成与西南贝尔的合并后，新的AT&T成为美国最大的电信公司，也是全世界最大的电信公司之一。同时，AT&T还是构成道琼斯工业平均指数的30家上市公司之一。新的AT&T二零零五年年收益超过660.2亿美元。AT&T 为中国提供通信服务已有超过二十二年的历史。主要业务包括通过本地的服务商为广大跨国商业客户提供传统的国际语音和数据方案，包括国际专线、国际帧中继、ATM 、IP VPN 和互联网拨号等，AT&T也是为中国ISP接入互联网提供高速带宽的主要供应商之一。AT&T也为在华的商业客户和通信运营商提供整套的网络专业服务。
AT&T公司诚挚邀请您光临"构建企业IP网 暨AT&T MPLS/ IP VPN解决方案研讨会"！

主讲嘉宾 Tom Siracusa AT&T 实验室VPN 战略总监

Tom Siracusa先生现任 AT&T 实验室VPN战略总监，在AT&T数据网络设计和网络性能分析领域拥有17余年的工作经验。Tom 目前担任AT&T VPN 战略工作， 主要负责支持语音、 视频和数据传输的IP，MPLS 技术以及服务等级和服务质量方面的工作， Tom 一直致力于服务客户，为客户介绍AT&T网络目标和战略，帮助客户设计符合其需要的数据和IP网络。

此次研讨会中您不仅可以听到国外知名专家为您进行的主题演讲和案例分享，更可与专家进行面对面的交流，同时亦可收获精美小礼品。
请赶快报名登记参加"构建企业IP网 暨AT&T MPLS/ IP VPN解决方案研讨会"！

AT&T公司敬邀
　二OO六年八月
会议安排：

时间：2006年9月12日下午1：30时
地点：深圳威尼斯皇冠假日酒店 1F 大宴会厅II
地址：深圳市华侨城深南大道9026号

“线速”的真正意义

"线速"的真正意义

　　谈到 "线速"的问题，有很多人认为链路就是用百兆或者千兆速度来全部全部数据。我在这里想提醒读者的是：链路是不会用自身的全部带宽来处理数据包的，实际情况是它的一部分带宽"开了小差"，被用来做其他用了。在这里，我将用测试仪器向大家实地展示根据线速的标准，到底实际传输数据的速率是多少。

　　我这次采用的是Spirent通信公司的SmartBits测试仪器，本次测试次仅仅用到其中的两个端口作演示，将这两个端口分别用网线接到一台百兆交换机的两个端口上，我设定测试仪上的两个端口互发64字节大小的数据包，测试时间两分钟，然后我们来再看最后测试数据，在最终的测试结果中，有一项是包转发率（fps），记录了端口每秒转发的数据包数，由于链路的吞吐量是一定的，那么大数据包的转发率会比小数据包的转发率要小。在这里64字节显示的是148，809。那现在我们可以利用这个数据来计算交换机一个端口实际处理数据包的带宽大小，计算方法是：148，809×64（字节）×8（1Byte=8bit）=76,190,208≈76Mbps，通过以上的计算，我们看到实际上只有76Mbps的带宽用来实际处理数据。其他带宽都干吗去了？

　　在以太网中，每个帧头都要加上了8个字节的前导符，前导符的作用在于告诉监听设备数据将要到来。然后，以太网中的每个帧之间都要有帧间隙，即每发完一个帧之后要等待一段时间再发另外一个帧，在以太网标准中规定最小是12个字节，然而帧间隙在实际应用中有可能会比12个字节要大，在这里我用了最小值。每个帧都要有20个字节的固定开销，现在我们再来算一下交换机单个端口的实际吞吐量：148，809×（64+8+12）×8≈100Mbps，我想我说到这里大家已经明白我的意思了，交换机端口链路的"线速"数据吞吐量实际上只有76Mbps，另外一部分被用来处理了额外的开销，这两者加起来才是标准的百兆或者千兆。

　　文章到这里还没结束，还忘了提示大家一点，根据以上的计算方法，我们也可以倒推出来千兆、百兆交换机单个端口链路64字节以及其他字节数据包下的线速包转发率，例如：百兆交换机的一个端口的线速包转发速率为：100Mbps÷8÷（64＋8＋12）=0.1488Mpps，那么千兆交换机的单个端口线速包转发速率就应该是乘以10的关系,数值就应该是1.488 Mpps。

ACL可以对单个IP进行IP+MAC+端口进行绑定，不用deny all，不影响其他用户DHCP获取地址

ACL可以对单个IP进行IP+MAC+端口进行绑定，不用deny all，不影响其他用户DHCP获取地址

access-list 99 deny 10.2.3.17 0
access-group ip-group 99
access-list 98 permite 10.2.3.17 0
access-list 200 permit ingress interface ethernet 0/5 00:0d:87:74:92:8a ff:ff:ff:ff:ff:ff egress interface ethernet 0/1
access-group link-group 200 ip-group 98

D-LINK交换机密码忘记的处理流程

1、获取该交换机的型号以及mac地址。

2、通过D-LINK800热线8008296688查询超级密码。

3、进入D-LINK交换机通过输入超级密码进行访问。

ieee oui MAC地址查询网站

ieee oui MAC地址查询网站
OUI（Organizationally Unique Identifier）

http://standards.ieee.org/regauth/oui/index.shtml

Foundry公司负载均衡产品

今天参加了Foundry公司负载均衡产品的交流会，主要收获如下
1、负载均衡的应用
通过Foundry公司负载均衡交换机可以下挂N台服务器，公用一个对外的交换机IP地址，所有的服务器都可以协同的工作，在外部开来就相当于一台超大型的服务器在工作。目前网站服务器基本上都是通过Foundry公司负载均衡交换机下挂N台服务器这种方式进行工作。例如，AOL据说有几千台服务器在通过Foundry公司负载均衡交换机进行协同工作。

2、防范DOS和DDOS(DDoS:Distributed Denial of Service)
DOS概念介绍与防范
大量的发起TCP SYN给服务器，服务器的TCP链路很快的被占用完。目前的防火墙可以对该类型的攻击给予识别和阻断。

DDOS概念介绍与防范
DDOS拥有完整的TCP三次握手
简单的说，三次握手如下：
在第一步中，客户端向服务端提出连接请求。这时TCP SYN标志置位。客户端告诉服务端序列号区域合法，需要检查。客户端在TCP报头的序列号区中插入自己的ISN。服务端收到该TCP分段后，在第二步以自己的ISN回应(SYN标志置位)，同时确认收到客户端的第一个TCP分段(ACK标志置位)。在第三步中，客户端确认收到服务端的ISN(ACK标志置位)。到此为止建立完整的TCP连接，开始全双工模式的数据传输过程。

完成三次握手之后，不从服务器上面取数据。一般来说完成三次握手的TCP连接都是正常的联接，防火墙无法判断和识别。目前Foundry公司负载均衡交换机的做法是通过设备本身的高性能来与攻击硬抗。一般来说服务器只有几千的TCP连接数。而Foundry公司负载均衡交换机可以达到几百万的TCP连接数。完全可以应付DDOS攻击。

3、关于ARP欺骗的探讨
目前的防火墙也比较难以防止ARP攻击，建议回头咨询一下防火墙厂商。

D-LINK交换机密码忘记的处理流程

1、获取该交换机的型号以及mac地址。

2、通过D-LINK800热线8008296688查询超级密码。

3、进入D-LINK交换机通过输入超级密码进行访问。

ieee oui MAC地址查询网站

ieee oui MAC地址查询网站
OUI（Organizationally Unique Identifier）

http://standards.ieee.org/regauth/oui/index.shtml

Foundry公司负载均衡产品

今天参加了Foundry公司负载均衡产品的交流会，主要收获如下
1、负载均衡的应用
通过Foundry公司负载均衡交换机可以下挂N台服务器，公用一个对外的交换机IP地址，所有的服务器都可以协同的工作，在外部开来就相当于一台超大型的服务器在工作。目前网站服务器基本上都是通过Foundry公司负载均衡交换机下挂N台服务器这种方式进行工作。例如，AOL据说有几千台服务器在通过Foundry公司负载均衡交换机进行协同工作。

2、防范DOS和DDOS(DDoS:Distributed Denial of Service)
DOS概念介绍与防范
大量的发起TCP SYN给服务器，服务器的TCP链路很快的被占用完。目前的防火墙可以对该类型的攻击给予识别和阻断。

DDOS概念介绍与防范
DDOS拥有完整的TCP三次握手
简单的说，三次握手如下：
在第一步中，客户端向服务端提出连接请求。这时TCP SYN标志置位。客户端告诉服务端序列号区域合法，需要检查。客户端在TCP报头的序列号区中插入自己的ISN。服务端收到该TCP分段后，在第二步以自己的ISN回应(SYN标志置位)，同时确认收到客户端的第一个TCP分段(ACK标志置位)。在第三步中，客户端确认收到服务端的ISN(ACK标志置位)。到此为止建立完整的TCP连接，开始全双工模式的数据传输过程。

完成三次握手之后，不从服务器上面取数据。一般来说完成三次握手的TCP连接都是正常的联接，防火墙无法判断和识别。目前Foundry公司负载均衡交换机的做法是通过设备本身的高性能来与攻击硬抗。一般来说服务器只有几千的TCP连接数。而Foundry公司负载均衡交换机可以达到几百万的TCP连接数。完全可以应付DDOS攻击。

3、关于ARP欺骗的探讨
目前的防火墙也比较难以防止ARP攻击，建议回头咨询一下防火墙厂商。

网管 license 的升级方法

License的升级方法：

1、 删除当前软件的目录下的License.dat文件。

2、 启动网管软件提示找不到license文件，根据向导完成升级更换。

反极性信号的包文分析

IAD通过计费器计费是通过反极性信号实现的，反极性信号在MGCP协议的RQNT包文里面，详细地情况请看如下的截图：

反极性信号+,开始计费


反极性信号-,结束计费

ARP攻击与ARP欺骗的解决方法

1、通过ACL对ARP攻击进行控制，只允许网关的ARP通过

access-list 200 deny arp ingress any egress any
access-list 300 permit 64646401 ffffffff 50

access-group link-group 200 subitem 0
access-group user-group 300 subitem 0

说明：
根据接口地址，添加允许的目的地址IP的ARP。
access-list 300 permit 64646401 ffffffff 50

其中64646464代表目的接口IP 100.100.100.01
ffffffff代表掩码的位数
50是包文的偏移量，ARP的目的地址IP的偏移量。

类似的如果我们需要多允许接口地址为100.100.101.1的ARP，那么acl如下：
access-list 301 permit 64646501 ffffffff 50

同理可以添加所有的接口。

关于偏移量的说明：
偏移量从零开始，一直计算到需要控制的字节。
另外，针对以太网帧的数据，需要注意以下增量：
untag 报文：基本的偏移量加上以太网的12字节
tag报文： 基本的偏移量加上以太网和tag头的8字节

2、做好端口隔离

防止ARP对最终用户欺骗

3、ARP对网关的欺骗

网关接口路由器或者三层交换机做好ARP静态绑定，防止ARP对网关的ARP欺骗。
由于对于运营商来说，LAN下面的用户量巨大，所以该方法比较笨，可是，目前也没有更好的办法。

4、其他的一些辅佐方法

a、查找中毒电脑，让客户进行杀毒或者重装系统。
b、通过对中毒电脑进行mac地址封杀，暂时性的减轻影响。

从抓包查看ARP攻击与欺骗的包文类型

ARP攻击
发送大量的ARP请求报文，冲击网关，导致网关CPU资源耗尽。

ARP欺骗
中毒的电脑（例如ＩＰ＝１９２．１６８．１．１０）发送欺骗ＡＲＰ，欺骗网关说自己的ＩＰ是１９２．１６８．１．１－１９２．１６８．１．２５４，然后网关就会学习到这些ＡＲＰ，更新自己的ＡＲＰ表项，导致其他正常的用户不能够正常上网．