1588V2技术白皮书
1588v2技术白皮书
Prepared by
拟制Date 日期
Reviewed by
审核Date 日期
Reviewed by
审核Date 日期
Approved by
批准
Date
日期
Huawei Technologies Co., Ltd.
华为技术有限公司
All rights reserved
版权所有侵权必究
目录
2019-7-25
1背景介绍 (6)
1.1同步概述 (6)
1.1.1频率同步 (6)
1.1.2时间同步 (6)
1.1.3时间同步与频率同步的区别 (7)
1.2移动承载网络的同步需求 (7)
1.2.1不同无线制式对同步的要求 (7)
1.2.2现有的时间同步解决方案 (8)
1.2.31588v2同步传送方案 (9)
21588v2技术介绍 (10)
2.11588V2标准介绍 (10)
2.21588V2版本新增的特性 (10)
2.31588v2协议简介 (11)
2.3.1网络节点模型 (11)
2.3.21588V2时戳 (16)
2.3.31588报文 (16)
2.3.4同步实现过程 (25)
2.3.5建立主从层次 (25)
2.3.6频率同步 (28)
2.3.7时间同步 (29)
31588v2典型应用场景 (32)
3.1全网同步（BC模式） (32)
3.2时间透传（TC模式） (33)
3.3网络保护 (34)
41588v2部署考虑 (35)
4.11588V2网络规划 (35)
4.2物理拓扑对同步精度的影响 (35)
4.3准确度问题 (36)
2019-7-25
4.4系统实现问题 (36)
4.5性能考虑 (37)
2019-7-25
图表目录
图1 时间同步与频率同步示意图 (7)
图2 现有时间同步解决方案 (9)
图3 1588v2同步传送方案 (10)
图4 BMC算法示意图 (26)
图5 简单主从时钟体系 (27)
图6 修剪后的MESH网络拓扑 (28)
图7 1588V2频率同步原理 (29)
图8 Delay-Req机制测量平均路径延时原理 (30)
图9 Pdelay机制测量平均路径延时原理 (31)
图10 时间校正 (32)
图11 1588v2全网同步应用场景 (32)
图12 1588v2时间透传应用场景 (33)
图13 1588v2网络保护应用场景 (34)
图14 1588v2同步网络架构 (35)
2019-7-25
表格目录
表1 不同无线制式对时钟精度的要求 (7)
2019-7-25
1 背景介绍
1.1 同步概述
现代通信网络对于同步的需求主要包括频率同步和时间同步两类需求。
1.1.1 频率同步
频率同步，大家通常称之为时钟同步，是指信号之间的频率或相位上保持某种严格的特定关系，其相对应的有效瞬间以同一平均速率出现，以维持通信网络中所有的设备以相同的速率运行。
数字通信网中传递的是对信息进行编码后得到的PCM（Pulse Code Modulation）离散脉冲。若两个数字交换设备之间的时钟频率不一致，或者由于数字比特流在传输中因干扰损伤，而叠加了相位漂移和抖动，就会在数字交换系统的缓冲存储器中产生码元的丢失或重复，导致在传输的比特流中出现滑动损伤。
1.1.2 时间同步
一般所说的“时间”有两种含义：时刻和时间间隔。前者指连续流逝的时间的某一瞬间，后者是指两个瞬间之间的间隔长度。
时间同步的操作就是按照接收到的时间来调控设备内部的时钟和时刻。时间同步的调控原理与频率同步对时钟的调控原理相似，它既调控时钟的频率又调控时钟的相位，同时将时钟的相位以数值表示，即时刻，表示当前的年、月、日、时、分、秒、毫秒、纳秒。时间同步接受非连续的时间参考源信息校准设备时间，使时刻达到同步；而时钟同步是跟踪时钟源达到频率同步。
时间同步有两个主要的功能：授时和守时。用通俗的语音描述，授时就是“对表”。通过不定期的对表动作，将本地时刻与标准时刻相位同步；守时就是前面提到的频率同步，保证在对表的间隙里，本地时刻与标准时刻偏差不要太大。
2019-7-25
2019-7-25 1.1.3 时间同步与频率同步的区别
图1 时间同步与频率同步示意图
上图给出了时间同步与频率同步的区别。如果两个表（Watch A 与Watch B ）每时每刻的时间都保持一致，这个状态叫时间同步（Phase synchronization ）；如果两个表的时间不一样，但是走得一样快，始终保持一个恒定的差，比如6小时，那么这个状态称为频率同步(Frequency synchronization)。
1.2 移动承载网络的同步需求
在移动承载网络中，除了TDM 业务本身的需求，往往还需要给无线基站提供同步参考源。随着无线技术向3G 和LTE 演进，时间同步逐渐成为主流。这就对承载网提出了时间同步的新需求。
1.2.1 不同无线制式对同步的要求
无线技术存在多种制式，不同制式下对同步有不同的需求，下表是常见的一些无线制式对同步的需求。
表1 不同无线制式对时钟精度的要求
2019-7-25
总的来看，以GSM/WCDMA 为代表的欧洲标准采用的是FDD 制式，只需要频率同步，精度要求0.05ppm （或者50ppb ）。而以TD-SCDMA/CDMA2000代表的TDD 制式，同时需要频率同步和时间同步。
无线基站之间在软切换时，如果基站管理器（RNC ）和基站（NodeB ）没有时间同步，可能导致在选择器中发生邮件指令不匹配，从而使通话连接不能建立起来。时间和频率的偏差还会影响移动台在基站间切换的成功率。另外，时间同步能够有效提高无线空间频谱利用率，即使是传统GSM 系统，在增加时间同步后，频谱利用率可以大幅提高。因此，时间同步将成为未来无线系统发展的趋势。
1.2.2 现有的时间同步解决方案
传统的时间同步链路是采用NTP 传送方式实现，该协议最大的缺点只能满足ms 级别的时间传递精度，这对于无线时间同步基站所需的us 级时间精度是远远不够的。而在基站侧，目前是采用GPS 解决频率和时间同步问题。
图2 现有时间同步解决方案
但是采用GPS进行时间同步存在诸多问题：
1、安装选址难，尤其是室内覆盖基站；
2、维护困难，GPS系统故障率高，超过了1%，出现故障时需要上站维护；
3、馈线铺设困难，馈线较长时需要加装放大器并考虑馈电，室内覆盖基站馈线长，情况更加复杂；
4、安全隐患高，这种方法依赖于美国GPS系统，紧急情况下整网可能因失步而瘫痪，且GPS系统目前存在失效的可能；
5、成本高，每一个基站均需要配置一套GPS系统，安装、维护成本更高（尤其是在海外）。
针对无线时间同步基站高精度时间的需求以及现有GPS解决方案的种种弊端，运营商迫切希望能够有一种高精度的地面传送时间同步方案。
1.2.3 1588v2同步传送方案
IEEE协议组织提出了IEEE1588V2精确时间传送协议，该协议可以实现亚微秒级精度的时间同步，精度与当前的GPS实现方案类似，但是在成本、维护、安全等方面有一定的优势，成为业界最热门的时间传递协议，其主要优势有：
1、空间本地化：应用于支持多播消息的局域网（包括但不限于以太网）通信；
2、高同步精度：ns级别；免管理；协议完善的状态机和管理消息减少人工干预；
3、低成本：最小化网络资源和处理器计算资源需求，以实现低成本应用；
4、符合网络转型趋势：IP网络-承载未来的融合网络。
下图是一个典型的1588v2同步传送方案，时间源通过GPS/北斗/GLONASS等多种方式注入，承载设备通过1588v2协议传送时间信息，基站可通过1588v2或1pps+TOD接口从承载设备获取时间信息，达到与时间源同步的目的，精度可达到ns级，完全能够满足无线基站要求。
2019-7-25
图3 1588v2同步传送方案
2 1588v2技术介绍
2.1 1588V2标准介绍
IEEE1588的全称是《IEEE Standard for a Precision Clock Synchronization Protocol for Networked Measurement and Control Systems》（即《网络测量和控制系统的精密时钟同步协议标准》），2002年底通过IEEE标准委员会认证，1588V1正式发布。随着1588在工业控制的广泛应用，以及逐渐引入电信网络，提出了1588V1版本存在的一些缺陷。IEEE又于2006年6月份输出1588 V2版本草稿，并在2007年完成修订，在2008年3月份正式发布了1588V2版本协议。
2.2 1588V2版本新增的特性
相对于1588V1版本，1588V2版本新增的主要特性如下：
1、更高的精度，在物理接口采用硬件打戳，获得ns级的精度；
2、更快的Sync报文速率；
3、PTP报文长度更短，同时新增了单播协商报文，P2P 延时机制报文；
4、引入TC时钟；
5、故障容限，它用来保证不会因为某单一网络单元失效引起对端时钟也故障；
6、TLV扩展用来延伸协议特性和功能；
7、将1588映射到其他传输机制，如1588 over IPV4、IPV6。
2019-7-25
2.3 1588v2协议简介
2.3.1 网络节点模型
IEEE 1588v2定义了5种网络节点模型：OC（普通时钟）、BC（边界时钟）、E2E TC（E2E 透明时钟）、P2P TC（P2P 透明时钟）、管理节点。上图描述了用于同步的4种节点模型，管理节点仅用于同步节点的配置管理，本身不提供同步功能。由于大多数通信网络和设备本身就是有网管的，因此并非所有厂家都支持独立的管理节点，而是通过通信网络本身的网管来对1588V2同步网进行管理。
OC(Ordinary clock)：普通时钟
OC节点的设备模型如上图所示，其特征如下：
1）OC节点只包含一个物理接口：物理接口上有两个逻辑接口，分别是发送和接收Event 消息的Event接口和发送和接收general消息的general接口；
2）包含一个本地时钟：OC设备端口是从状态时，本地时钟同步于它的主时钟。如果端口是主状态，本地时钟自由运行或者可能同步于一个外部定时(例如GPS)。
2019-7-25
3）包含一个时间戳生成模块：时间戳生成模块基于本地时钟对Event消息打时间戳；
4）包含一个PTP协议引擎：发送和接收PTP消息，维护数据集，执行端口相关状态机，计算主时钟。
5）包含数据集：一个时钟数据集和一个端口数据集。
6）报文处理：除信令报文和管理报文外，其他报文均在OC节点终结或者产生。
由于OC节点只有一个物理端口，在实际应用中，要么是首节点Grand Master，要么是末节点Slave，如BITS一般配置为OC模式，作为整个网络的Grand Master；而基站作为最末端的Slave设备，也配置为OC模式。
BC(Boundary clock)：边界时钟
BC节点有多个物理接口同网络通信，每个物理端口行为都类似于Ordinary Clock的端口，可连接多个子域，主要特征如下：
1）BC设备包含有多个物理端口：每个物理端口通过两个逻辑接口（event和general 接口）来与网络通信。
2）包含一个本地时钟：BC设备的所有端口使用相同的本地时钟，它同步于一个外部定时。
2019-7-25
2019-7-25 3）包含N 个时钟戳生成模块：基于本地时钟对每个端口的EVENT 消息打时钟戳 4）包含N 个PTP 协议引擎：解析所有端口状态，以决定哪一个端口来提供用于同步本地时钟设备的时间信号。
5）包含数据集：一个时钟数据集，N 个端口数据集。
6）报文处理：除信令报文和管理报文外，其他报文均在BC 节点终结或者产生。 BC 节点在实际应用中，设备本身的时间同步于上游网元，同时把同步后的设备时间向下游设备分发。
E2E TC(End-to-end transparent clock)：
E2E
E2E TC 设备有多个接口，它转发所有PTP 消息，并测量PTP 事件消息经过该设备的驻留时间，并进行修正。
1）包含n 个物理端口，通过两个逻辑接口（event 和general 接口）来与网络通信。 包含N 个时钟戳生成模块：基于本地时钟对每个端口通过的Sync 和Follow_Up 消息打时钟戳。
2）包含1个驻留时间桥：修正Sync 和Follow_Up 消息的驻留时间并转发，更新数据集，透明转发其他PTP 消息。
驻留时间桥修正时间消息通过PTP节点引入的延时。驻留时间是指一个PTP event消息通过TC设备的时间，驻留时间的测量基于该event消息进入和离开TC设备时所生成的时间戳的差。适用于E2E TC设备和P2PTC设备。
驻留时间的修正值应该对应到设备的每一个输出端口和每一个消息。测量后的驻留时间会累计在PTP event消息或相关Follow_Up消息（Follow_Up或Pdelay_Resp_Follow_Up）里的correctionField字段。
P2P TC(Peer-to-peer transparent clock)：
P2P TC设备有多个接口，与E2E TC设备相比，它还可以测量该设备每个端口相连链路的延迟，并进行修正。
1）包含1个本地时钟RC或RE1：所有端口使用这个本地时钟产生修正驻留时间的时间戳，这两个本地时钟和E2E TC中的相同。
2019-7-25
2）包含N个本地时钟RE2(Rate Estimation relative to neighbor)：所有端口使用Pdelay 机制测量和相邻端口之间的链路延时，每个端口包含一个RE2来产生Pdelay相关消息的时间戳。
对于ONE-STEP P2P TC设备，将链路延时累积到sync消息里的correctionField字段中，在TC的出端口，将TC的驻留时间加入到Sync消息的correctionField中。
对于TWO-STEP P2P TC设备，将链路延时累积到sync消息关联的Follow_Up消息里的correctionField字段中，在TC的出端口，将TC的驻留时间加入到Follow_Up消息的correctionField中。
E2E TC和P2P TC的区别
1、P2P TC时钟设备在每个端口通过Pdelay机制测量该端口和相邻节点端口之间的链路延时。
2、E2E TC修正并转发所有PTP定时消息，这些消息中相应的correctionField根据下列数值予以更新：Sync消息在P2P TC内的驻留时间以及接收Sync消息的端口上的链路延时。
3、通过P2P TC组成的网络，最终提供给从时钟的定时信息，总是反映了网络的实际路径信息。而使用E2E方式修正延时，从时钟会等待基于Sync、Delay_Resp消息组合给出的新路径延时数值，这样会花费更多的时间。
4、使用Pdelay机制测量路径延时，这种方式与基于延时请求-响应机制的路径延时测量方式不能互通。同样的，E2E TC设备也只支持延时请求-响应机制，不支持Pdelay机制。如果一个网络在某个区域中有P2P TC设备，而在另外一个区域有E2E TC设备，这两个区域只能通过BC连接。
从上述描述可以看出，除信令报文和管理报文外，TC节点本身是不终结1588V2报文
2019-7-25
的。对于Event 报文，除了转发，还需要计算报文经过TC节点的驻留时间；对于General 报文，TC节点只做转发，不计算驻留时间。TC节点对1588V2报文的转发机制，不在IEEE 1588V2协议规定的范围内，取决于具体设备的转发机制，遵循转发协议的相关标准。
?PTP管理设备：
该设备具有多个接口，提供PTP管理消息的管理接口。由于管理节点不是重点，不做详细介绍。
2.3.2 1588V2时戳
当PTP消息穿过节点内的协议栈时，消息时间戳点通过协议栈定义的特定参考点（如A、B、C点）时产生时间戳。参考点越靠近实际的物理连接点，引起的定时误差就越小，下图中的A点即为最佳参考点。正是因为1588V2在最靠近物理层的PHY和MAC之间打戳，有效规避了协议层带来的不确定延时，才可以获得ns 级的同步精度，满足电信网络的高精度时间同步需求。
1588V2时戳实际上记录的是1588V2 EVENT报文到达设备物理端口的，经过时戳点时的时间，用一个80bit的计数值来表示，包含48bit的秒、32bit的纳秒部分。
图1 时间戳可能产生的位置
2.3.3 1588报文
?1588报文类型
1588V2报文分为两类：事件报文和通用报文。事件报文是时间概念报文，进出设备端口时需要打上精确的时间戳，而通用报文则是非时间概念报文，进出设备不会产生时戳。
2019-7-25
事件报文包含4个：Sync，Delay_Req，Pdelay_Req和Pdelay_Resp。
通用报文包含6个：Announce，Follow_Up，Delay_Resp，Pdelay_Resp_Follow_Up，Management和Signalling。
Sync、Delay_Req、Follow_Up、和Delay_Resp报文用于产生和通信定时报文，用延迟请求-响应机制来同步OC和BC设备需要这些定时报文。
Pdelay_Req、Pdelay_Resp和Pdelay_Resp_Follow_Up报文用于测量两个实现Pdelay机制的时钟端口间的链路延时，链路延时用于修正P2P TC系统中Sync和Follow_Up报文中的定时信息，OC和BC通过执行Pdelay机制应用测量的链路延时和Sync和Follow_Up报文中的信息实现同步。
Announce报文被用来建立同步体系。
management报文用来查询和更新时钟维护的PTP数据集，这些报文也被用来定制一个PTP系统、初始化和故障管理，管理报文用在管理节点和时钟设备间。
Signaling报文用在时钟设备间实现其他用途的通信，比如Signaling报文可用于协商在主从时钟间单播报文的速率。
1588的报文类型总结如下：
2019-7-25
?1588报文格式
1588报文PTP报文必须包含报文头、报文主体和报文扩展字节，扩展字节长度可能为0。除了以下几种情况外，保留字节必须将所有比特位填充为0发送，保留字节在接受端将被忽略：
1、报文包含新的固有特性并且在扩展协议中被特殊定义。
2、报文发起设备基于数据集或协议运行而特殊定义。
3、TWO-STEP的TC模式下，表示Sync和Follow_Up，Pdelay_Resp和Pdelay_Resp_Follow_Up相关连信息的特殊定义。
具体的报个格式相见IEEE1588V2协议。
?1588V2报文封装
IEEE 1588V2协议附录D定义了1588V2 over IPV4的报文封装，附录E定义了1588V2 over IPV6的报文封装，附录F定义了1588V2 over IEEE 802.3 /Ethernet的报文封装。
由于IEEE 802.3封装本身就很少使用，因此实际上大部分厂家只实现了1588V2 over Ethernet II封装。而IPV6封装，本身业务上的应用就还比较少，因此支持1588V2 over IPV6的厂家目前也比较少。其他如MPLS封装，业界还没有成熟的标准。除此之外，在实际应用中还可能携带VLAN，因此常见的1588V2封装目前主要有以下几种：
1、1588V2 over Ethernet II：不带VLAN和带VLAN
2、1588V2 over IPV4：不带VLAN和带VLAN
?PTP报文的识别及处理流程：
（1）以太封装的PTP报文
识别PTP报文处理：以太封装的PTP报文检测以太类型是否为16’h88F7，如果是则将此报文分流至1588协议处理模块；否则按照普通业务处理。
（2）IP封装的PTP报文
（a）识别PTP报文处理：以太类型为16’h0800，表示是IPV4封装的报文，以太类型为16’h86DD，表示是IPV6封装的报文，然后需检验协议字段值是否为17，是17则表示UDP，然后检测UDP头的DPN，以判断是否是PTP报文。EVENT报文的UDP目的端口2019-7-25
号要求319，组播General报文的UDP目的端口要求为320。
（b）报文分流处理：
对于IPV4，首先检测IPV4 header的首部校验和是否正确（如果为0则不必校验），然后需要校验UDP头的首部校验和（包括PTP报文）是否正确（如果为0则不必校验）。然后检测UDP长度字段中值是否与实际传送的报文一致。如果以上校验都通过，则该报文分流至1588协议处理模块；如果以上校验有一项未通过，则该报文错误，按照普通业务报文的出错处理方式进行处理（通常是丢弃）。
1588报文的封装格式
1、不带VLAN的Ethernet II 报文格式
Byte
图以太封装1588报文结构
表以太封装
1588报文结构描述
2019-7-25
各字段配置填充说明如下：
1）目的MAC地址：IEEE1588V2协议规定，当为组播报文时，要求peer delay mechanism 报文填充48’h01-80-C2-00-00-0E，其它报文填充48’h01-1B-19-00-00-00；当为单播报文时，根据软件配置填充相应的目的MAC地址或者自动学习接收的相关报文的SMAC。
2）源MAC地址：填充发送MAC地址；
3）Ethernet Type：固定填充16’h88F7，表示以太封装的1588v2报文格式；
4）Payload：1588v2报文净荷；
5）FCS：32bit的CRC校验值
2、带VLAN的Ethernet II 报文格式
2019-7-25
广电网络EPON产品--技术白皮书
广电网络EPON产品应用 技术白皮书
目录 1、前言 (3) 2、EPON技术简介 (4) 3、ACE公司EPON产品简介 (15) 3.1 ACE公司EPON产品 (15) 3.2 ACE公司EPON产品功能表 (23) 4、 EPON方式双向改选的业务能力分析 (25) 5、 ACE公司EPON产品与EOC技术的无缝对接 (26) 6、附件1：HFC双向改造成本核算与方案选择 (35)
1、前言 广电网络行业主要负责有线广播电视网络建设、开发、经营和管理及有线电视节目的收转和传送。 近年来广电行业的迅猛发展，建设投入的增加，其业务也逐渐扩大，逐渐形成了现有的以光纤为主的有线电视光纤、电缆混合网络。有线电视用户可通过有线广播电视光缆网收看到多套稳定、清晰的电视节目和收听多套广播电台高保真立体广播。 随着用户对新业务需求的增加，使得广电网络迫切的需求在开展广播电视基本业务的同时，利用有线广播电视网的宽带网络优势，开发广播电视网络的增值业务，例如宽带IP、数字电视、广播系统等。由于EPON系统在光纤网络传输方面的天然优势，使得它在广电网络应用中存在非常大的潜力。
2. 无源光纤网络（PON）技术简介 2.1 PON的演化与分类 业界多年来一直认为，PON是接入网未来的方向，它在解决宽频接入问题上普遍被看好，无论在设备或维运网管方面，它的成本相对便宜，提供的频宽足以应付未来的各种宽频业务需求。 PON自从在20世纪80年代被采用至今为止已经历经几个发展阶段，电信运营商和设备制造商开发了多种协议和技术以便使PON解决方案能更好的满足接入网市场要求。 最初PON标准是基于ATM的，即APON。APON是由FSAN/ITU定义了相应G..983建议，以ATM协议为载体，下行以155.52Mb/s或622.08Mb/s的速率发送连续的ATM信元，同时将物理层OAM信元插入数据流中。上行以突发的ATM的信元方式发送数据流，并在每个53字节长的ATM信元头增加3字节的物理层开销，用以支持突发发射和接收。 目前则有两个颇为引人注目的新的PON标准
迪普防火墙专业技术白皮书
迪普防火墙技术白皮书
————————————————————————————————作者：————————————————————————————————日期：
迪普FW1000系列防火墙 技术白皮书 1 概述 随着网络技术的普及，网络攻击行为出现得越来越频繁。通过各种攻击软件，只要具有一般计算机常识的初学者也能完成对网络的攻击。各种网络病毒的泛滥，也加剧了网络被攻击的危险。目前，Internet网络上常见的安全威胁分为以下几类： 非法使用：资源被未授权的用户（也可以称为非法用户）或以未授权方式（非法权限）使用。例如，攻击者通过猜测帐号和密码的组合，从而进入计算机系统以非法使用资源。 拒绝服务：服务器拒绝合法用户正常访问信息或资源的请求。例如，攻击者短时间内使用大量数据包或畸形报文向服务器不断发起连接或请求回应，致使服务器负荷过重而不能处理合法任务。 信息盗窃：攻击者并不直接入侵目标系统，而是通过窃听网络来获取重要数据或信息。 数据篡改：攻击者对系统数据或消息流进行有选择的修改、删除、延误、重排序及插入虚假消息等操作，而使数据的一致性被破坏。
?基于网络协议的防火墙不能阻止各种攻 击工具更加高层的攻击 ?网络中大量的低安全性家庭主机成为攻 击者或者蠕虫病毒的被控攻击主机 ?被攻克的服务器也成为辅助攻击者 Internet 目前网络中主要使用防火墙来保证内部网路的安全。防火墙类似于建筑大厦中用于防止 火灾蔓延的隔断墙，Internet防火墙是一个或一组实施访问控制策略的系统，它监控可信任 网络（相当于内部网络）和不可信任网络（相当于外部网络）之间的访问通道，以防止外部 网络的危险蔓延到内部网络上。防火墙作用于被保护区域的入口处，基于访问控制策略提供 安全防护。例如：当防火墙位于内部网络和外部网络的连接处时，可以保护组织内的网络和 数据免遭来自外部网络的非法访问（未授权或未验证的访问）或恶意攻击；当防火墙位于组 织内部相对开放的网段或比较敏感的网段（如保存敏感或专有数据的网络部分）的连接处时， 可以根据需要过滤对敏感数据的访问（即使该访问是来自组织内部）。 防火墙技术经历了包过滤防火墙、代理防火墙、状态防火墙的技术演变，但是随着各种 基于不安全应用的攻击增多以及网络蠕虫病毒的泛滥，传统防火墙面临更加艰巨的任务，不 但需要防护传统的基于网络层的协议攻击，而且需要处理更加高层的应用数据，对应用层的 攻击进行防护。对于互联网上的各种蠕虫病毒，必须能够判断出网络蠕虫病毒的特征，把网 络蠕虫病毒造成的攻击阻挡在安全网络之外。从而对内部安全网络形成立体、全面的防护。
第二、三章 以太网标准和物理层
修订记录 第二章以太网标准 目标： 了解以太网标准结构。 熟悉各以太网标准定义的内容 一、以太网标准 局域网(LAN)技术用于连接距离较近的计算机，如在单个建筑或类似校园的集中建筑中。城市区域网(MAN)是基于10－100Km的大范围距离设计的，因此需要增强其可靠性。但随着通信的发展，从技术上看，局域网和城域网有融合贯通的趋势。 IEEE是电气和电子工程师协会（Institute of Electrical and Electronics Engineers）的简称，IEEE组织主要负责有关电子和电气产品的各种标准的制定。 IEEE于1980年2月成立了IEEE 802委员会，专门研究和指定有关局域网的各种标准。IEEE 802委员会由6个分委员会组成，其编号分别为802.1至802.6，其标准分别称为标准802.1至标准802.6，目前它已增加到12个委员会，这些分委员会的职能如下： ·802.1--高层及其交互工作。提供高层标准的框架，包括端到端协议、网络互 连、网络管理、路由选择、桥接和性能测量。 ·802.2--连接链路控制LLC，提供OSI数据链路层的高子层功能，提供LAN 、 MAC子层与高层协议间的一致接口。 ·802.3--以太网规范，定义CSMA/CD标准的媒体访问控制（MAC）子层和物理 层规范。 ·802.4--令牌总线网。定义令牌传递总线的媒体访问控制（MAC）子层和物理 层规范。 ·802.5--令牌环线网，定义令牌传递环的媒体访问控制（MAC）子层和物理层 规范。 ·802.6--城域网MAN，定义城域网（MAN）的媒体访问控制（MAC）子层和物理
redware技术白皮书
RedWare 随着IT信息技术的高速更新，以及基于Internet应用的迅猛发展，市场需求已经从最初的PC时代，业已流行的internet时代，快速演变到目前所有以应用为重的网络应用时代。 在当今相互连接的世界，大型企业、金融机构、电信、能源等各行业均通过应用的网络化和基于Web的应用推动自身生产力或收益的增长。然而，基于网络的关键业务，也同样面临爆炸式访问量的增长压力；黑客泛滥背景下的安全威胁；以及各网络设备或应用的不稳定风险，一旦关键业务应用遇到这些困难，将使企业面临具额的经济损失。例如，对于一个中型企业而言，应用故障每分钟造成的平均损失可高达50.000美元，更不用提可能高达数百万美元的应用部署管理费用、基础设施投资和应用交付成本。因此，如何保证关键业务应用的可用性、提高性能和保证安全性？如何使关键业务具有最大的增长潜力，降低部署复杂度，并提高对IT基础设施和人员的投资收益等问题，成为各行业在建设或扩展网络，发布应用时最关心的问题之一。 Radware公司的APSolute智能应用网络解决方案，以智能应用技术为基础，将先进的负载均衡、应用交换、应用优化和包括业界领先的防Dos攻击，IPS，带宽管理等技术在内的应用安全解决方案进行整合，是一个使网络能够尽快的满足动态的应用和业务需要而设计的集成的解决方案，采用Radware的APSolute智能应用网络解决方案可以解决应用发布时遇到的流量过载、交易故障、数据拥塞，服务器性能瓶颈，安全漏洞、高昂的升级成本以及网络管理等问题。 APSolute 智能应用网络解决方案包括以下三个部分的内容： APSolute 应用访问提供完整的远程访问解决方案，该解决方案将诸多功能汇聚一身，例如多链路的WAN连接管理、访问控制、带宽管理、点到点压缩、集成VPN网关、入侵防范和服务保护的拒绝等；同时，这个强大的全企业范围内的解决方案支持“无服务器”分支体系结构，大大的简化了远程应用部署，能够在混合的公共和租赁线路中提供全面的灵活性。APSolute 应用访问降低了WAN的复杂性，提高了网络性能、降低了网络连接的费用，同时降低了网络基础设施的投资和运行成本。APSolute应用访问解决方案支持Radware公司下一代APSolute OS应用感知软件体系结构的全部功能。包括LinkProof系列产品。 APSolute应用前端为数据中心最优化提供统一的解决方案。该解决方案支持Radware公司下一代APSolute OS应用智能软件体系结构的全部功能，能够为企业和电信运营商智能优化数据中心，保障网络应用的高可用性、提升网络性能，加强安全性，全面提升IT服务器等网络基础设施的升值潜力；包括APPDirector 和APPXcel系列产品。 APSolute应用安全解决方案的系列产品全面提升了入侵防护和防Dos攻击性能，能够保证用户、网络应用和网络自身不受攻击，同时为企业和电信运营商优化了精益求精的网络安全防护工具，保护了网络应用，驱动了网络安全性能的全面提升。该解决方案充分利用了APSolute OS内含的安全功能，以实现集成的入侵防范和Dos保护。一旦被激活，APSolute OS IPS和DOS功能就能通过在攻击和恶意活动接近应用之前对其进行阻止，来确保关键任
防火墙攻击防范技术白皮书
防火墙攻击防范技术白皮书
关键词：攻击防范，拒绝服务 摘要：本文主要分析了常见的网络攻击行为和对应的防范措施，并且介绍了H3C防火墙攻击防范的主要特色和典型组网应用。
目录 1 概述 (3) 1.1 产生背景 (3) 1.2 技术优点 (4) 2 攻击防范技术实现 (4) 2.1 ICMP 重定向攻击 (4) 2.2 ICMP 不可达攻击 (4) 2.3 地址扫描攻击 (5) 2.4 端口扫描攻击 (5) 2.5 IP 源站选路选项攻击 (6) 2.6 路由记录选项攻击 (6) 2.7 Tracert 探测 (7) 2.8 Land 攻击 (7) 2.9 Smurf 攻击 (8) 2.10 Fraggle 攻击 (8) 2.11 WinNuke 攻击 (8) 2.12 SYN Flood 攻击 (9) 2.13 ICMP Flood 攻击. (9) 2.14 UDP Flood 攻击 (10) 3 H3C 实现的技术特色 (10) 4 典型组网应用 (11) 4.1 SYN Flood 攻击防范组网应用. (11)
1 概述 攻击防范功能是防火墙的重要特性之一，通过分析报文的内容特征和行为特征判断报文是否具有攻 击特性，并且对攻击行为采取措施以保护网络主机或者网络设备。 防火墙的攻击防范功能能够检测拒绝服务型( Denial of Service ，DoS )、扫描窥探型、畸形报 文型等多种类型的攻击，并对攻击采取合理的防范措施。攻击防范的具体功能包括黑名单过滤、报 文攻击特征识别、流量异常检测和入侵检测统计。 1.1 产生背景 随着网络技术的普及，网络攻击行为出现得越来越频繁。另外，由于网络应用的多样性和复杂性， 使得各种网络病毒泛滥，更加剧了网络被攻击的危险。 目前，Internet 上常见的网络安全威胁分为以下三类： DoS 攻击 DoS 攻击是使用大量的数据包攻击目标系统，使目标系统无法接受正常用户的请求，或者使目标 主机挂起不能正常工作。主要的DoS攻击有SYN Flood、Fraggle等。 DoS攻击和其它类型的攻击不同之处在于，攻击者并不是去寻找进入目标网络的入口，而是通过 扰乱目标网络的正常工作来阻止合法用户访问网络资源。 扫描窥探攻击 扫描窥探攻击利用ping扫描(包括ICMP和TCP )标识网络上存在的活动主机，从而可以准确地 定位潜在目标的位置；利用TCP和UDP端口扫描检测出目标操作系统和启用的服务类型。攻击 者通过扫描窥探就能大致了解目标系统提供的服务种类和潜在的安全漏洞，为进一步侵入目标系统 做好准备。 畸形报文攻击 畸形报文攻击是通过向目标系统发送有缺陷的IP报文，如分片重叠的IP报文、TCP 标志位非法的报文，使得目标系统在处理这样的IP报文时崩溃，给目标系统带来损 失。主要的畸形报文攻击有Ping of Death 、Teardrop 等。 在多种网络攻击类型中，DOS攻击是最常见的一种，因为这种攻击方式对攻击技能 要求不高，攻击者可以利用各种开放的攻击软件实施攻击行为，所以DoS 攻击的威 胁逐步增大。成功的DoS攻击会导致服务器性能急剧下降，造成正常客户访问失败；同时，提供 服务的企业的信誉也会蒙受损失，而且这种危害是长期性的。 防火墙必须能够利用有效的攻击防范技术主动防御各种常见的网络攻击，保证网络在遭受越来越频
工业以太网与现场总线的优缺点 整理
工业以太网与现场总线的优缺点 1 引言 用于办公室和商业的以太网伴随着现场总线大战硝烟已悄悄地进入了控制领域，近年来以太网更是走向前台，发展迅速，颇引人注目。究其原因，主要由于工业自动化系统正向分布化、智能化的实时控制方面发展，其中通信已成为关键，用户对统一的通信协议和网络的要求日益迫切。另一方面，Intranet/Internet等信息技术的飞速发展，要求企业从现场控制层到管理层能实现全面的无缝信息集成，并提供一个开放的基础构架，而目前的现场总线尚不能满足这些要求。 现场总线的出现确实给工业自动化带来一场深层次的革命，但多种现场总线互不兼容，不同公司的控制器之间不能实现高速的实时数据传输，信息网络存在协议上的鸿沟,导致“自动化孤岛”现象的出现，促使人们开始寻求新的出路并关注到以太网。同时现场总线的传输速率也远远不如工业以太网传输速率快。 2 以太网与工业以太网 2.1 什么是以太网与工业以太网 以太网是当今现有局域网采用的最通用的通信协议标准。该标准定义了在局域网（LAN）中采用的电缆类型和信号处理方法。以太网在互联设备之间以10～100Mbps的速率传送信息包，双绞线电缆型号为10 Base T。以太网由于其低成本、高可靠性以及10Mbps的速率而成为应用最为广泛的以太网技术。直扩的无线以太网可达11Mbps，许多制造供应商提供的产品都能采用通用的软件协议进行通信，开放性好。 普通以太网应用到工业控制系统，这种网络叫工业以太网。 2.2 以太网具有的优点 （1）具有相当高的数据传输速率（目前已达到100Mbps），能提供足够的带宽； （2）由于具有相同的通信协议，Ethernet和TCP/IP很容易集成到IT（信息技术）世界； （3）能在同一总线上运行不同的传输协议，从而能建立企业的公共网络平台或基础构架；
H3C以太环网解决方案技术白皮书
以太环网解决方案技术白皮书 关键词：RRPP 摘要：以太环网解决方案主要以RRPP为核心的成本低高可靠性的解决方案。 缩略语清单： 1介绍 在数据通信的二层网络中，一般采用生成树(STP)协议来对网络的拓扑进行保护。STP协议族是由IEEE实现了标准化，主要包括STP、RSTP和MSTP等几种协议。STP最初发明的是目的是为了避免网络中形成环路，出现广播风暴而导致网络不可用，并没有对网络出现拓扑变化时候的业务收敛时间做出很高的要求。实践经验表明，采用STP协议作为拓扑保护的网络，业务收敛时间在几十秒的数量级；后来的RSTP对STP机制进行了改进，业务收敛时间在理想情况下可以控制在秒级左右；MSTP主要是RSTP的多实例化，网络收敛时间与RSTP基本相同。 近几年，随着以太网技术在企业LAN网络里面得到广泛应用的同时，以太网技术开始在运营商城域网络发展；特别是在数据，语音，视频等业务向IP融合的趋势下，增强以太网本身的可靠性，缩短网络的故障收敛时间，对语音业务，视频等业务提供满意的用户体验，无论对运营商客户，还是对于广大的企业用户，都是一个根本的需求。 为了缩短网络故障收敛时间，H3C推出了革新性的以太环网技术——RRPP（Rapid Ring Protection Protocol，快速环网保护协议）。RRPP技术是一种专门应用于以太网环的链路层协议，它在以太网环中能够防止数据环路引起的广播风暴，当以太网环上链路或设备故障时，能迅速切换到备份链路，保证业务快速恢复。与STP协议相比，RRPP协议具有算法简单、拓扑收敛速度快和收敛时间与环网上节点数无关等显著优势。 H3C基于RRPP的以太环网解决方案可对数据，语音，视频等业务做出快速的保护倒换，协同高中低端交换机推出整体的环网解决方案，为不同的应用场景提供不同的解决方案。 2技术应用背景 当前多数现有网络中采用星形或双归属组网模型，多会存在缺乏有效保护和浪费网络资源等诸多问题，如下图所示：
迪普防火墙技术白皮书 (1)
迪普FW1000系列防火墙 技术白皮书 1概述 随着网络技术的普及，网络攻击行为出现得越来越频繁。通过各种攻击软件，只要具有一般计算机常识的初学者也能完成对网络的攻击。各种网络病毒的泛滥，也加剧了网络被攻击的危险。目前，Internet网络上常见的安全威胁分为以下几类： 非法使用：资源被未授权的用户（也可以称为非法用户）或以未授权方式（非法权限）使用。例如，攻击者通过猜测帐号和密码的组合，从而进入计算机系统以非法使用资源。 拒绝服务：服务器拒绝合法用户正常访问信息或资源的请求。例如，攻击者短时间内使用大量数据包或畸形报文向服务器不断发起连接或请求回应，致使服务器负荷过重而不能处理合法任务。 信息盗窃：攻击者并不直接入侵目标系统，而是通过窃听网络来获取重要数据或信息。 数据篡改：攻击者对系统数据或消息流进行有选择的修改、删除、延误、重排序及插入虚假消息等操作，而使数据的一致性被破坏。
?基于网络协议的防火墙不能阻止各种 攻击工具更加高层的攻击 ?网络中大量的低安全性家庭主机成为 攻击者或者蠕虫病毒的被控攻击主机 ?被攻克的服务器也成为辅助攻击者 Internet 止火灾蔓延的隔断墙，Internet防火墙是一个或一组实施访问控制策略的系统，它监控可信任网络（相当于内部网络）和不可信任网络（相当于外部网络）之间的访问通道，以防止外部网络的危险蔓延到内部网络上。防火墙作用于被保护区域的入口处，基于访问控制策略提供安全防护。例如：当防火墙位于内部网络和外部网络的连接处时，可以保护组织内的网络和数据免遭来自外部网络的非法访问（未授权或未验证的访问）或恶意攻击；当防火墙位于组织内部相对开放的网段或比较敏感的网段（如保存敏感或专有数据的网络部分）的连接处时，可以根据需要过滤对敏感数据的访问（即使该访问是来自组织内部）。 防火墙技术经历了包过滤防火墙、代理防火墙、状态防火墙的技术演变，但是随着各种基于不安全应用的攻击增多以及网络蠕虫病毒的泛滥，传统防火墙面临更加艰巨的任务，不但需要防护传统的基于网络层的协议攻击，而且需要处理更加高层的应用数据，对应用层的攻击进行防护。对于互联网上的各种蠕虫病毒，必须能够判断出网络蠕虫病毒的特征，把网络蠕虫病毒造成的攻击阻挡在安全网络之外。从而对内部安全网络形成立体、全面的
工业以太网的意义和应用分析
以太网技术在工业控制领域的应用及意义 随着计算机和网络技术的飞速发展，在企业网络不同层次间传送的数据信息己变得越来越复杂，工业网络在开放性、互连性、带宽等方面提出了更高的要求。现场总线技术适应了工业网络的发展趋势，用数字通信代替传统的模拟信号传输，大量地减少了仪表之间的连接电缆、接线端口等，降低了系统的硬件成本，被誉为自动化领域的计算机局域网。 现场总线的出现，对于实现面向设备的自动化系统起到了巨大的推动作用，但现场总线这类专用实时通信网络具有成本高、速度低和支持应用有限等缺陷，以及总线通信协议的多样性使得不同总线产品不能直接互连、互用和互可操作等，无法达到全开放的要求，因此现场总线在工业网络中的进一步发展受到了限制。 随着Internet技术的不断发展，以太网己成为事实上的工业标准，TCP/IP 的简单实用已为广大用户所接受，基于TCP/IP协议的以太网可以满足工业网络各个层次的需求。目前不仅在办公自动化领域，而且在各个企业的上层网络也都广泛使用以太网技术。由于它技术成熟，连接电缆和接口设备价格较低，带宽也在飞速增加，特别是快速Ethernet与交换式Ethernet的出现，使人们转向希望以物美价廉的以太网设备取代工业网络中相对昂贵的专用总线设备。 Ethernet通信机制 Ethernet是IEEE802. 3所支持的局域网标准，最早由Xerox开发，后经数字仪器公司、Intel公司和Xerox联合扩展，成为Ethernet标准。Ethernet采用星形或总线形结构，传输速率为10Mb/s，100 Mb/s，1000 Mb/s或是更高，传输介质可采用双绞线、光纤、同轴电缆等，网络机制从早期的共享式发展到目前盛行的交换式，工作方式从单工发展到全双工。 在OSI/ISO 7层协议中，Ethernet本身只定义了物理层和数据链路层，作为一个完整的通信系统，它需要高层协议的支持。自从APARNET将TCP/IP和Ethernet捆绑在一起之后，Ethernet便采用TCP/IP作为其高层协议，TCP用来保证传输的可靠性，IP则用来确定信息传递路线。 Ethernet的介质访问控制层协议采用CSMA/CD，其工作原理如下：某节点要
华为-VLAN技术白皮书
VLAN技术白皮书 华为技术有限公司 北京市上地信息产业基地信息中路3号华为大厦 100085 二ＯＯ三年三月
摘要 本文基于华为技术有限公司Quidway 系列以太网交换产品详细介绍了目前以太网平台上的主流VLAN技术以及华为公司在VLAN技术方面的扩展，其中包括基于端口的VLAN划分、PVLAN，动态VLAN注册协议，如GVRP和VTP等等。本文全面地总结了当前的VLAN技术发展，并逐步探讨了Quidway 系列以太网交换产品在VLAN技术方面的通用特性和部分独有特性，并结合每个主题，简要的介绍了系列VLAN技术在实际组网中的应用方式。 关键词 VLAN，PVLAN， GVRP，VTP
1 VLAN概述 VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。 VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。 VLAN在交换机上的实现方法，可以大致划分为4类: 1、基于端口划分的VLAN 这种划分VLAN的方法是根据以太网交换机的端口来划分，比如Quidway S3526的1~4端口为VLAN 10，5~17为VLAN 20，18~24为VLAN 30，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机 1 的1~6端口和交换机 2 的1~4端口为同一VLAN，即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最广泛的方法，IEEE 802.1Q规定了依据以太网交换机的端口来划分VLAN的国际标准。 这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果VLAN A的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。 2、基于MAC地址划分VLAN 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。尤其是用户的MAC地址用变换的时候就要重新配置。基于MAC地址划分VLAN所付出的管理成本比较高。 3、基于网络层划分VLAN
第五章 快速以太网技术
、局域网的拓扑结构 装帧发送、接收拆帧、传输介质共享与竞争。
目的工作站时保留某个帧。
且，当以太网络交换机的端口增加时，交换矩阵变的越来越复杂，实现起来 间的协同工作。 六、第二层和第三层交换及其与路由器方案的竞争 局域网交换机是工作在OSI第二层的，可以理解为一个多端口网桥，传统上称为第二层交换；交换技术已经延伸到OSI第三层的部分功能，即所谓第三层交换，第三层交换可以不将广播封包扩散，直接利用动态建立的MAC地址来通信，具有多路广播和虚拟网间基于IP、IPX等协议的路由功能。七、虚拟局域网技术 虚拟局域网（VLAN）： 允许区域分散的用户在逻辑上成为一个新的工作组，而且同一工作组的成员能够改变其物理地址而不必重新配置节点。 VLAN主要特点： ?子网分段：用交换机建立虚拟网就是使原来的一个大广播区（交换机的所有端口）逻辑的分为若干个“子广播区”，在子广播区里的广播封包只会在该广播区内传送，其它的广播区是收不到的。 ?逻辑隔离：VLAN通过交换技术将通信量进行有效分离，从而更好地利用带宽，并可从逻辑的角度将实际的LAN基础设施分割成多个子网，它允许各个局域网运行不同的应用协议和拓扑结构。
三、千兆以太网类型 1、1000BASE-LX：较长波长的光纤，支持550m长的多模光纤（62.5um或50um）或5Km长的单模光纤（10um），波长范围为1270到1355nm； 2、1000BASE-SX：较短波长的光纤，支持275m长的多模光纤（62.5um）或550m长的多模光纤（50um），波长范围为770到860nm； 3、1000BASE-CX：支持25m长的短距离屏蔽双绞线，主要用于单个房间内或机架内的端口连接； 4、1000BASE-T：支持4对100m长的UTP5线缆，每对线缆传输250Mbps数据。5.5 应用实例 一、快速以太网典型拓扑 它由快速以太网交换机（100M交换机）构成主干，10M集线器构成分支接入PC机及服务器，局域网再通过路由器连接到广域网。
华为FTTH技术白皮书V2
华为技术有限公司 FTTH技术白皮书 1 FTTH技术简介 1.1 光纤接入网（OAN）的发展 接入网作为连接电信网和用户网络的部分，主要提供将电信网络的多种业务传送到用户的接入手段。接入网是整个电信网的重要组成部分，作为电信网的"最后一公里"，是整个电信网中技术种类最多、最为复杂的部分。电信业务发展的目标是实现各种业务的综合接入能力，接入网也必须向着宽带化、数字化、智能化和综合化的方向发展。 由于传统语音业务逐渐被移动、VOIP蚕食，宽带业务成为给固网运营商带来收入的主攻方向，运营商希望通过提供丰富多彩的业务体验来吸引用户。业务的发展尤其是视频类业务的逐渐推广，使用户对网络带宽和稳定性要求越来越高。随着光纤成本的下降，网络的光纤化成为发展趋势，原来主要用于长途网和城域网的光纤也开始逐步引入到接入网馈线段、配线段和引入线，向最终用户不断推进。 通常的OAN是指采用光纤传输技术的接入网，泛指端局或远端模块与用户之间采用光纤或部分采用光纤做为传输媒体的系统，采用基带数字传输技术传输双向交互式业务。它由一个光线路终端OLT(optical line terminal)、至少一个光配线网ODN(optical distribution network)、至少一个光网络单元ONU(optical network unit)组成。如图1所示。
图1. 光接入网参考配置 OLT的作用是为光接入网提供网络侧接口并经一个或多个ODN与用户侧的ONU通信，OLT 与ONU的关系为主从通信关系。 ODN为OLT与ONU之间提供光传输手段，其主要功能是完成光信号功率的分配任务。ODN 是由无源光元件（诸如光纤光缆、光连接器和光分路器等）组成的纯无源的光配线网。 ONU的作用是为光接入网提供远端的用户侧接口，处于ODN的用户侧。 1.2 光接入网的几种应用类型 光纤接入网（OAN）是采用光纤传输技术的接入网，即本地交换局和用户之间全部或部分采用光纤传输的通信系统。光纤接入网又可划分为无源光网络(PON)和有源光网络(AON)，相比这两种光网络，从成本上看，无源光网络发展将会更快些。按照ONU在光接入网中所处的具体位置不同，可以将OAN划分为几种基本不同的应用类型：FTTCab，FTTCub，FTTB，FTTH和FTTO。 （1）光纤到交接箱（FTTCab） 光纤到交接箱（fiber to the cabinet，FTTCab）是宽带光接入网的典型应用类型之一，其特征是以光纤替换传统馈线电缆，光网络单元（ONU）部署在交接箱（FP）处，ONU下采用其他介质接入到用户。例如采用现有的铜缆或者无线，每个ONU支持数百到1 000左右用户数。 国内外与FTTCab概念相当的其他术语有：光纤到节点或光纤到邻里（fiber to the node 或neighborhood，FTTN），光纤到小区（fiber to the zone，FTTZ）。 （2）光纤到路边（FTTCub）
工业以太网的特色技术及其应用选择
工业以太网的特色技术及其应用选择 发布时间：2007-05-15 浏览次数：105 | 我要说几句 | ?? 用户解决方案2012优秀论文合订本 ?? NIDays2012产品演示资料套件 ?? 《提高测量精度的七大技巧》资源包 ?? LabVIEW 2012评估版软件 关键词：工业以太网实时特色技术 编者按：工业以太网成为自动化领域业界的技术热点已有时日，其技术本身尚在发展之中，还没有走向成熟，还存在许多有待解决的问题。究竟什么是工业以太网，它有哪些特色技术，如何应用与选择适合自己需求的工业以太网技术与产品，依然是今天人们所关心的问题。 一什么是工业以太网 工业以太网技术，是以太网或者说是互联网系列技术延伸到工业应用环境的产物。前者源于后者又不同于后者。以太网技术原本不是为工业应用环境准备的。经过对工业应用环境适应性的改造，通信实时性改进，并添加了一些控制应用功能后，形成了工业以太网的技术主体。因此，工业以太网是一系列技术的综称。 二工业以太网涉及企业网络的各个层次
企业网络系统按其功能划分，一般称为以下三个层次：企业资源规划层(Enterprise Resource Plan NI ng, ERP)、制造执行层(Manufacturing Excurtion System, MES)和现场控制层(Field Control System，FCS)。通过各层之间的网络连接与信息交换，构成完整的企业信息系统。( 见图1) 图中的ERP与MES功能层属于采用以太网技术构成信息网络。这个层次的工业以太网，其核心技术依然是信息网络中原本的以太网以及互联网系列技术。工业以太网在该层次的特色技术是对其实行的工业环境适应性改造。而现场控制层FCS中，基于普通以太网技术的控制网络、实时以太网则属于该层次中工业以太网的特色技术范畴。可以把工业以太网在该层的特色技术看作是一种现场总线技术。除了工业环境适应性改造的内容之外，通信实时性、时间发布与同步、控制应用的功能与规范，则成为工业以太网在该层次的技术核心。
华为USG6000系列防火墙产品技术白皮书(总体)
华为USG6000系列下一代防火墙技术白皮书 文档版本V1.1 发布日期2014-03-12
版权所有? 华为技术有限公司2014。保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。 商标声明 和其他华为商标均为华为技术有限公司的商标。 本文档提及的其他所有商标或注册商标，由各自的所有人拥有。 注意 您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或暗示的声明或保证。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 华为技术有限公司 地址：深圳市龙岗区坂田华为总部办公楼邮编：518129 网址：https://www.360docs.net/doc/3213407962.html, 客户服务邮箱：ask_FW_MKT@https://www.360docs.net/doc/3213407962.html, 客户服务电话：4008229999
目录 1 概述 (1) 1.1 网络威胁的变化及下一代防火墙产生 (1) 1.2 下一代防火墙的定义 (1) 1.3 防火墙设备的使用指南 (2) 2 下一代防火墙设备的技术原则 (1) 2.1 防火墙的可靠性设计 (1) 2.2 防火墙的性能模型 (2) 2.3 网络隔离 (3) 2.4 访问控制 (3) 2.5 基于流的状态检测技术 (3) 2.6 基于用户的管控能力 (4) 2.7 基于应用的管控能力 (4) 2.8 应用层的威胁防护 (4) 2.9 业务支撑能力 (4) 2.10 地址转换能力 (5) 2.11 攻击防范能力 (5) 2.12 防火墙的组网适应能力 (6) 2.13 VPN业务 (6) 2.14 防火墙管理系统 (6) 2.15 防火墙的日志系统 (7) 3 Secospace USG6000系列防火墙技术特点 (1) 3.1 高可靠性设计 (1) 3.2 灵活的安全区域管理 (6) 3.3 安全策略控制 (7) 3.4 基于流会话的状态检测技术 (9) 3.5 ACTUAL感知 (10) 3.6 智能策略 (16) 3.7 先进的虚拟防火墙技术 (16) 3.8 业务支撑能力 (17) 3.9 网络地址转换 (18)
以太网的相关标准
10Base5以太网 一种以太网标准，该标准用于使用粗同轴电缆、速度为10Mbps的基带局域网络，在总线型网络中，最远传输距离为500米。网络节点装有收发器，该收发器插在网卡上的15针连接单元接口（Attachment Unit Interface）中，并接到电缆上。也作thick Ethernet,ThickNet,ThickWare。另见coaxial cable,Ethernet 指的是使用标准的（粗）50Ω基带同轴电缆的10Mbit/s的基带以太网规范。它是IEEE802.3基带物理层规范的一部分，在每个网段上的距离限制是500m,整个网络最大跨度为2500m，每个网段最多终端数量为100台，每个工作站距离为2.5m的整数倍。 10BASE5的命名原则 10代表传输速度为10Mbps，BASE指的是基带传输，5指的是大致的传输距离，10BASE5的最大传输距离不会超过500米。 10base2 10Base2，也叫做便宜网路或细缆，是一个10-Mbps 基带以太网标准，其使用50 欧姆的细同轴电缆。10Base2，其被定义在IEEE 802.3a 标准中，每段有185 米的长度限制。10Base2 基于曼彻斯特信号编码通过细同轴电缆进行传输。 其中的10代表传输速率10Mbps，BASE代表表示基带传输，2表示最大传输距离185米。 1000BASE-T使用非屏蔽双绞线作为传输介质传输的最长距离是100米。 10base2 ：细同轴电缆，接头采用工业标准的bnc 连接器组成 t 型插座；使用范围只有200米，每一段内仅能使用30 台计算机，段数最高为 30。其匹配电阻为50欧。 100base-tx：使用 5 类以上双绞线，网段长度最长可为100m。 100base-fx ：使用一对多模或者单模光纤，使用多模光纤的时候，计算机到集线器之间的距离最大可到2km，使用单模光纤时最大可达10km。 1000base-t：使用 5 类以上双绞线，网段长度最长可为100m。 1000base-f：使用一对多模或者单模光纤，使用多模光纤的时候，计算机到集线器之间的距离最大可到300-550m（500m），使用单模光纤时最大可达3km。 1000base-lx可以接单、多模光纤； 1000base-sx只能接多模光纤。 1000base-lx用单模光纤传 5公里 1000base-lx用多模光纤(50um)传 550m 1000base-lx用多模光纤(62.5um)传 550m 1000base-sx用多模光纤(50um)传 275m 1000base-sx用多模光纤(62.5um)传 550m 100base-fx单模模块用单模光纤传 10-20 公里 100base-fx多模模块用多模光纤传 2 公里 信号以其基带进行的传输。 一种不搬移基带信号频谱的传输方式。未对载波调制的待传信号称为基带信号，它所占的频带称为基带，基带的高限频率与低限频率之比通常远大于1。 1000Base-T以太网技术
华为802.1X技术白皮书
华为 802.1X 技术白皮书
华为802.1X技术 白皮书
华为 802.1X 技术白皮书
目录
1 2 概述...........................................................................................................................................1 802.1X 的基本原理..................................................................................................................1 2.1 体系结构...........................................................................................................................1 2.1.1 端口 PAE...................................................................................................................2 2.1.2 受控端口 ...................................................................................................................2 2.1.3 受控方向 ...................................................................................................................2 2.2 工作机制...........................................................................................................................2 2.3 认证流程...........................................................................................................................3 3 华为 802.1X 的特点.................................................................................................................3 3.1 基于 MAC 的用户特征识别............................................................................................3 3.2 用户特征绑定...................................................................................................................4 3.3 认证触发方式...................................................................................................................4 3.3.1 标准 EAP 触发方式 .................................................................................................4 3.3.2 DHCP 触发方式 .......................................................................................................4 3.3.3 华为专有触发方式 ...................................................................................................4 3.4 TRUNK 端口认证 ..............................................................................................................4 3.5 用户业务下发...................................................................................................................5 3.5.1 VLAN 业务 ................................................................................................................5 3.5.2 CAR 业务 ..................................................................................................................5 3.6 PROXY 检测 ......................................................................................................................5 3.6.1 Proxy 典型应用方式 ................................................................................................5 3.6.2 Proxy 检测机制 ........................................................................................................5 3.6.3 Proxy 检测结果处理 ................................................................................................6 3.7 IP 地址管理 ......................................................................................................................6 3.7.1 IP 获取 ......................................................................................................................6 3.7.2 IP 释放 ......................................................................................................................6 3.7.3 IP 上传 ......................................................................................................................7 3.8 基于端口的用户容量限制...............................................................................................7 3.9 支持多种认证方法...........................................................................................................7 3.9.1 PAP 方法 ...................................................................................................................7 3.9.2 CHAP 方法 ...............................................................................................................8 3.9.3 EAP 方法 ..................................................................................................................8 3.10 独特的握手机制...............................................................................................................8 3.11 对认证服务器的兼容.......................................................................................................8 3.11.1 EAP 终结方式 ..........................................................................................................8 3.11.2 EAP 中继方式 ..........................................................................................................9 3.12 内置认证服务器...............................................................................................................9 3.13 基于 802.1X 的受控组播.................................................................................................9 3.14 完善的整体解决方案.....................................................................................................10 4 典型组网.................................................................................................................................10
1