五大网络技术Word下载.docx
- 文档编号:22422555
- 上传时间:2023-02-04
- 格式:DOCX
- 页数:14
- 大小:27.43KB
五大网络技术Word下载.docx
《五大网络技术Word下载.docx》由会员分享,可在线阅读,更多相关《五大网络技术Word下载.docx(14页珍藏版)》请在冰豆网上搜索。
网络应用程序
网络应用程序不是一个新概念,它在很早以前就出现了。
早在1990年,Oracle提出瘦客户端概念,并野心勃勃的准备以此挑战微软,但计算机硬件的快速发展阻止了这一计划的成功。
而在过去的十年中,使用Ajax技术的Web2.0应用的发展,已经预示出这样一个未来:
我们只需要在机器上安装一个浏览器,就可以通过网页使用不同的应用程序,大部分的计算将在远端服务器完成。
2010年,Google将发布ChromeOS,这款基于浏览器的操作系统将拥有颠覆微软帝国的潜力。
第1名:
MozillaFirefox
对今天的人们来说,Firefox只不过是一款浏览器。
但在这十年中,它的出现毫无疑问的成为网络工业的转折点。
2002年,IE6占到95%的浏览器市场份额,Netscape被彻底打败。
但从此微软就将开发中心转移到智能客户端上,IE的开发几乎被搁置。
在当时,网络应用程序很难开发,粗糙且蹩脚。
Firefox最初是作为一个实验项目被开发的,它给网络开发人员提供了丰富的工具,让开发人员可以更快速方便的制作拥有Ajax功能的网络应用,也给其他的浏览器厂商带来了信心和勇气。
Firefox也改变了人们对浏览器的看法,展示了浏览器所能拥有的潜力和达到的高度。
如果没有Firefox,也许就没有Web2.0时代,因此,它将当之无愧的排在第一位!
下个十年的网络还能发生多少的创新呢?
让我们拭目以待!
为什么我们不能直接使用应用服务器?
首先我们应该对应用服务器和web服务器有一个清晰的概念。
所谓的应用服务器,就是提供应用的服务器,这里的应用有很多,比如java应用,ruby应用,或者c#应用。
那么什么是web服务器呢?
就是提供了web功能的服务器,主要就是http服务,包括图片的下载,等等一系列和web相关的。
为什么我们不能直接使用应用服务器?
应用服务器也提供了http服务,比如tomcat。
那么我们从实际出发。
当你浏览一个网页的时候,什么情况下你会觉得速度很慢?
我们仅仅考虑页面本身。
那当然是图片越多显示得越慢。
好吧,我们至少认识到一点,一些静态资源,例如图片,会严重影响页面打开的速度。
当然,这仅仅是一个方面。
那么web服务器有什么用呢?
web服务器一个优点就是在处理静态信息上。
例如一些静态的html,图片,等等其他静态的东西。
那为什么tomcat不能具备这些优点?
这个问题我们可以换一个说法:
为什么会计不能做市场营销呢?
所以嘛,臣家要分工明确,应用服务器就做好它该做的:
如何解释一个jsp,如何处理java文件等等,做好这一点就足够了。
而web服务器也做好它该做的:
如何快速向浏览器传递信息,如何快速地让浏览器下载图片。
那你又问了,那为啥tomcat还提供一个http服务?
那不是让你开发方便嘛!
千万别把tomcat的http服务当成是一个web服务器。
说了这么多,那么我们对应用服务器和web服务器的整合也应该心里有数了。
就拿tomcat和iis整合来说事吧!
我们到底想干什么呢?
很明显,我们想让tomcat处理对java应用的请求,而iis应该处理图片,css等等其他静态资源的事情。
具体的细节不谈了,无非就是配置ispai_redirect这个东东。
因为我们主要说的分工问题,所以还是说说这个uriworkermap.properties文件。
这个文件就是处理分工的用的。
例如我定义成如下这个样子:
/
那么就告诉了isapi_redirect,以上4种请求,都交给tomcat处理。
那么其他的请求呢?
当然是交给iis了。
如果我定义成这个样子:
/*=ajp13
这下可惨了,iis被你浪费了,就好像你招聘了一个会计和一个推销的人员,但是让会计干财务的活之外,还干了推销。
而推销人员给闲置了。
至于uriworkermap.properties的详细配置,可以参考tomcat网站,上面有详细的讲解。
两种服务器的整合虽然不难,但是如果不明白其中的意义和原理,一旦项目配置有所变化,那就是没有葫芦就画不出来瓢了。
网络工程师:
教你关于全面了解IPS工作原理
IPS(IntrusionPreventionSystem,入侵防护系统)可以解决企业网络感染病毒、遭受攻击等。
随着网络入侵事件的不断增加和黑客攻击水平的不断提高,一方面企业网络感染病毒、遭受攻击的速度日益加快,另一方面企业网络受到攻击作出响应的时间却越来越滞后。
要解决这一矛盾,传统的防火墙或入侵检测技术(IDS)显得力不从心,这时一种新的技术出现了,它就是IPS(IntrusionPreventionSystem,入侵防护系统)。
IPS原理
防火墙是实施访问控制策略的系统,对流经的网络流量进行检查,拦截不符合安全策略的数据包。
入侵检测技术(IDS)通过监视网络或系统资源,寻找违反安全策略的行为或攻击迹象,并发出报警。
传统的防火墙旨在拒绝那些明显可疑的网络流量,但仍然允许某些流量通过,因此防火墙对于很多入侵攻击仍然无计可施。
绝陆多数IDS系统都是被动的,而不是主动的。
也就是说,在攻击实际发生之前,它们往往无法预先发出警报。
而IPS则倾向于提供主动防护,其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截,避免其造成损失,而不是简单地在恶意流量传送时或传送后才发出警报。
IPS是通过直接嵌入到网络流量中实现这一功能的,即通过一个网络端口接收来自外部系统的流量,经过检查确认其中不包含异常活动或可疑内容后,再通过另外一个端口将它传送到内部系统中。
这样一来,有问题的数据包,以及所有来自同一数据流的后续数据包,都能在IPS设备中被清除掉。
IPS工作原理
IPS实现实时检查和阻止入侵的原理在于IPS拥有数目众多的过滤器,能够防止各种攻击。
当新的攻击手段被发现之后,IPS就会创建一个新的过滤器。
IPS数据包处理引擎是专业化定制的集成电路,可以深层检查数据包的内容。
如果有攻击者利用Layer2(介质访问控制)至Layer7(应用)的漏洞发起攻击,IPS能够从数据流中检查出这些攻击并加以阻止。
传统的防火墙只能对Layer3或Layer4进行检查,不能检测应用层的内容。
防火墙的包过滤技术不会针对每一字节进行检查,因而也就无法发现攻击活动,而IPS可以做到逐一字节地检查数据包。
所有流经IPS的数据包都被分类,分类的依据是数据包中的报头信息,如源IP地址和目的IP地址、端口号和应用域。
每种过滤器负责分析相对应的数据包。
通过检查的数据包可以继续前进,包含恶意内容的数据包就会被丢弃,被怀疑的数据包需要接受进一步的检查。
针对不同的攻击行为,IPS需要不同的过滤器。
每种过滤器都设有相应的过滤规则,为了确保准确性,这些规则的定义非常广泛。
在对传输内容进行分类时,过滤引擎还需要参照数据包的信息参数,并将其解析至一个有意义的域中进行上下文分析,以提高过滤准确性。
过滤器引擎集合了流水和大规模并行处理硬件,能够同时执行数千次的数据包过滤检查。
并行过滤处理可以确保数据包能够不间断地快速通过系统,不会对速度造成影响。
这种硬件加速技术对于IPS具有重要意义,因为传统的软件解决方案必须串行进行过滤检查,会导致系统性能大打折扣。
IPS的种类:
基于主机的入侵防护(HIPS)
HIPS通过在主机/服务器上安装软件代理程序,防止网络攻击入侵操作系统以及应用程序。
基于主机的入侵防护能够保护服务器的安全弱点不被不法分子所利用。
Cisco公司的Okena、NAI公司的McAfeeEntercept、冠群金辰的龙渊服务器核心防护都属于这类产品,因此它们在防范红色代码和Nimda的攻击中,起到了很好的防护作用。
基于主机的入侵防护技术可以根据自定义的安全策略以及分析学习机制来阻断对服务器、主机发起的恶意入侵。
HIPS可以阻断缓冲区溢出、改变登录口令、改写动态链接库以及其他试图从操作系统夺取控制权的入侵行为,整体提升主机的安全水平。
在技术上,HIPS采用独特的服务器保护途径,利用由包过滤、状态包检测和实时入侵检测组成分层防护体系。
这种体系能够在提供合理吞吐率的前提下,最大限度地保护服务器的敏感内容,既可以以软件形式嵌入到应用程序对操作系统的调用当中,通过拦截针对操作系统的可疑调用,提供对主机的安全防护;
也可以以更改操作系统内核程序的方式,提供比操作系统更加严谨的安全控制机制。
由于HIPS工作在受保护的主机/服务器上,它不但能够利用特征和行为规则检测,阻止诸如缓冲区溢出之类的已知攻击,还能够防范未知攻击,防止针对Web页面、应用和资源的未授权的任何非法访问。
HIPS与具体的主机/服务器操作系统平台紧密相关,不同的平台需要不同的软件代理程序。
基于网络的入侵防护(NIPS)
NIPS通过检测流经的网络流量,提供对网络系统的安全保护。
由于它采用在线连接方式,所以一旦辨识出入侵行为,NIPS就可以去除整个网络会话,而不仅仅是复位会话。
同样由于实时在线,NIPS需要具备很高的性能,以免成为网络的瓶颈,因此NIPS通常被设计成类似于交换机的网络设备,提供线速吞吐速率以及多个网络端口。
NIPS必须基于特定的硬件平台,才能实现千兆级网络流量的深度数据包检测和阻断功能。
这种特定的硬件平台通常可以分为三类:
一类是网络处理器(网络芯片),一类是专用的FPGA编程芯片,第三类是专用的ASIC芯片。
在技术上,NIPS吸取了目前NIDS所有的成熟技术,包括特征匹配、协议分析和异常检测。
特征匹配是最广泛应用的技术,具有准确率高、速度快的特点。
基于状态的特征匹配不但检测攻击行为的特征,还要检查当前网络的会话状态,避免受到欺骗攻击。
协议分析是一种较新的入侵检测技术,它充分利用网络协议的高度有序性,并结合高速数据包捕捉和协议分析,来快速检测某种攻击特征。
协议分析正在逐渐进入成熟应用阶段。
协议分析能够理解不同协议的工作原理,以此分析这些协议的数据包,来寻找可疑或不正常的访问行为。
协议分析不仅仅基于协议标准(如RFC),还基于协议的具体实现,这是因为很多协议的实现偏离了协议标准。
通过协议分析,IPS能够针对插入(Insertion)与规避(Evasion)攻击进行检测。
异常检测的误报率比较高,NIPS不将其作为主要技术。
应用入侵防护(AIP)
NIPS产品有一个特例,即应用入侵防护(ApplicationIntrusionPrevention,AIP),它把基于主机的入侵防护扩展成为位于应用服务器之前的网络设备。
AIP被设计成一种高性能的设备,配置在应用数据的网络链路上,以确保用户遵守设定好的安全策略,保护服务器的安全。
NIPS工作在网络上,直接对数据包进行检测和阻断,与具体的主机/服务器操作系统平台无关。
NIPS的实时检测与阻断功能很有可能出现在未来的交换机上。
随着处理器性能的提高,每一层次的交换机都有可能集成入侵防护功能。
IPS技术特征
嵌入式运行:
只有以嵌入模式运行的IPS设备才能够实现实时的安全防护,实时阻拦所有可疑的数据包,并对该数据流的剩余部分进行拦截。
深入分析和控制:
IPS必须具有深入分析能力,以确定哪些恶意流量已经被拦截,根据攻击类型、策略等来确定哪些流量应该被拦截。
入侵特征库:
高质量的入侵特征库是IPS高效运行的必要条件,IPS还应该定期升级入侵特征库,并快速应用到所有传感器。
高效处理能力:
IPS必须具有高效处理数据包的能力,对整个网络性能的影响保持在最低水平。
IPS面临的挑战
IPS技术需要面对很多挑战,其中主要有三点:
一是单点故障,二是性能瓶颈,三是误报和漏报。
设计要求IPS必须以嵌入模式工作在网络中,而这就可能造成瓶颈问题或单点故障。
如果IDS出现故障,最坏的情况也就是造成某些攻击无法被检测到,而嵌入式的IPS设备出现问题,就会严重影响网络的正常运转。
如果IPS出现故障而关闭,用户就会面对一个由IPS造成的拒绝服务问题,所有客户都将无法访问企业网络提供的应用。
即使IPS设备不出现故障,它仍然是一个潜在的网络瓶颈,不仅会增加滞后时间,而且会降低网络的效率,IPS必须与数千兆或者更大容量的网络流量保持同步,尤其是当加载了数量庞大的检测特征库时,设计不够完善的IPS嵌入设备无法支持这种响应速度。
绝大多数高端IPS产品供应商都通过使用自定义硬件(FPGA、网络处理器和ASIC芯片)来提高IPS的运行效率。
误报率和漏报率也需要IPS认真面对。
在繁忙的网络当中,如果以每秒需要处理十条警报信息来计算,IPS每小时至少需要处理36,000条警报,一天就是864,000条。
一旦生成了警报,最基本的要求就是IPS能够对警报进行有效处理。
如果入侵特征编写得不是十分完善,那么"
误报"
就有了可乘之机,导致合法流量也有可能被意外拦截。
对于实时在线的IPS来说,一旦拦截了"
攻击性"
数据包,就会对来自可疑攻击者的所有数据流进行拦截。
如果触发了误报警报的流量恰好是某个客户订单的一部分,其结果可想而知,这个客户整个会话就会被关闭,而且此后该客户所有重新连接到企业网络的合法访问都会被"
尽职尽责"
的IPS拦截。
IPS厂商采用各种方式加以解决。
一是综合采用多种检测技术,二是采用专用硬件加速系统来提高IPS的运行效率。
尽管如此,为了避免IPS重蹈IDS覆辙,厂商对IPS的态度还是十分谨慎的。
例如,NAI提供的基于网络的入侵防护设备提供多种接入模式,其中包括旁路接入方式,在这种模式下运行的IPS实际上就是一台纯粹的IDS设备,NAI希望提供可选择的接入方式来帮助用户实现从旁路监听向实时阻止攻击的自然过渡。
IPS的不足并不会成为阻止人们使用IPS的理由,因为安全功能的融合是大势所趋,入侵防护顺应了这一潮流。
对于用户而言,在厂商提供技术支持的条件下,有选择地采用IPS,仍不失为一种应对攻击的理想选择。
IPv6推广心有余而力不足解析双堆栈网络技术
在IPv4地址池逐渐耗尽的时候,要想创建双协议堆栈网络,重点应放在宽带服务供应商身上,导致IPv6技术的推广心有余而力不足有两种原因。
在IPv4地址池逐渐耗尽的时候,要想创建双协议堆栈网络,重点应放在宽带服务供应商身上,因为尽管IPv4地址池即将耗尽,他们仍然要继续为大量新客户提供地址。
下列两种原因导致IPv6技术的推广心有余而力不足。
几乎公共互联网上所有可用服务都仅限IPv4。
虽然新技术的替换很快,但是许多宽带用户运行的操作系统要么不支持IPv6,要么在对IPv6的支持方面还存在缺陷。
LSN(大规模NAT)是对运营级NAT(CGN)更新更准确的称呼。
它是位于服务供应商网络NAT,一般属于路由提供的一种服务,而不是一个单独的设备;
LSN是否能达到运营级的性能标准和规模,还要拭目以待。
NAT444是在运营商和客户之间提供IPv4地址的最简单的架构。
客户端网络中已有的NAT也可以被利用,而相同的NAT44基本功能也会在运营商LSN中得到利用。
但是,如我们在前面的文章中所提到的,在客户端连接上使用RFC1918地址需要考虑到一些问题,即客户端RFC1918地址和运营商指定的RFC1918地址之间的覆盖问题,以及相同LSN后客户之间的寻址问题。
此前我们建议保留一些IPv4地址作为共享地址,以此预防RFC1918地址的覆盖问题,而且也可以避免客户之间的地址过滤问题。
尽管如此,这也只是我们给出的建议,仅作参考,而目前尚未有人预留IPv4地址块作为共享地址。
而使用IPv6地址也是一种可行的方法。
IPv6地址不仅可以解决共享地址能够解决的问题,而且还能为那些需要分配和管理IPv4地址与IPv6地址的运营商减轻负担。
这一方法还能让运营商更接近自己的理想:
一个纯粹的IPv6架构。
而NAT464架构的不利面在于,CPENAT和LSN都必须进行IPv4与IPv6的转换,这种转换比较复杂,而且涉及很多性能,规模方面的问题。
Dual-StackLite是一种前景比较好的方法,因为它很好地利用了NAT464的优势又巧妙地避免了其不足:
它在运营商和客户之间只使用IPv6链接,但是却不使用NAT64转换。
当客户端网络的设备将IPv4数据包发送到外部终端时,IPv4数据包会被装载到一个IPv6数据包中,然后再将IPv6数据包发送到运营商网络。
在LSN中,该数据包又被解开,以NAT44的方式执行。
此隧道技术远比转换技术简单,因此性能和复杂性的顾虑全部被打消。
这样还不够,还要在LSN的NAT44中添加一项额外要素。
如果在对外数据包上执行内部IPv4源地址到外部IPv4源地址的简单映射,LSN可能无法区分不同客户网络中覆盖的RFC1918IPv4地址。
因此,还要为地址映射添加一项额外要素:
要把用于封装的IPv6数据包的源地址添加到内部IPv4源地址。
因为IPv6地址对于每个客户而言都是独一无二的,所以IPv6源地址+IPv4源地址+端口以后,就能使映射清楚明确。
当作为响应的外部IPv4数据包被接收后,其IPv4终端地址和端口就可以与映射表中基于IPv6地址的NAT后的指定客户准确匹配;
该数据包的IPv4终端地址和端口可以被映射到内部IPv4终端地址和端口,再将映射的IPv6地址作为IPv6终端地址将其包装成IPv6数据包,转发给客户。
换句话说,映射的IPv6地址不仅仅消除了客户RFC1918地址产生的歧义,还为隧道端点提供了参考。
假设客户网络中存在多个终端系统,那么DSLite功能会出现在CPE设备上,如下图显示的家庭网关。
如果某设备发送了一个IPv6数据包,那么该数据包通常会被传送到IPv6终端。
如果某设备发送两个一个IPv4数据包,那么CPE网关会用IPv6包裹该IPv4数据包,再将IPv6数据包的终端地址设置为启用了DSLite的LSN地址。
这一模式允许在网关后使用双协议栈,纯粹的IPv4和IPv6设备。
通常,这一方法的缺陷在于,必须通过软件升级或替换的方法将DSLite功能添加到已有的客户CPE中。
宽带运营商一般不愿意造成客户使用上的不便,也不愿看到客户因更换设备而增加开支,因此往往只有新客户才会部署具备DSLite功能的CPE。
不过,由于并非只有新客户才需要新的IP地址,所以这一顾虑或许也不会成为很大的障碍。
现有客户的CPE升级可以作为正常设备更换的一部分按计划进行。
另一种DSLite模式,如下图所示,该模式在一个单独的终端系统上执行DSLite。
其设备支持双协议栈,因此可以发送和接收IPv4和IPv6数据包。
它不仅与连接了互联网的电脑客户相关,还对移动宽带具有潜在影响。
手机网络运营商也要解决智能手机和4G无线技术中出现的同类问题,如使用IPv6的LTE,但是还要为那些手机用户提供一种访问IPv4流量的方法。
最近《经济学家》杂志中有文章称,截止2015年,市场上所有的手机将全部具备IP功能,而且大多数笔记本都能提供4G的无线网卡。
移动宽带市场的强劲增长会带动IPv6的迅速普及,到时,它就像现在的DSL-和有线宽带一样,成为必不可少的技术。
网络工程看点:
802.11n网络规划3C的解决方案
至今仍没有人能够解释清楚802.11n网络规划是如何发挥作用的,或者更重要的是,它会在什么情况下发生故障!
但问题仍然存在,虽然802.11n的优势得到了WLAN设备厂商的持续重视,也在业界引起了大规模的讨论,但至今仍没有人能够解释清楚802.11n网络规划是如何发挥作用的,或者更重要的是,它会在什么情况下发生故障!
网络规划应注意三个方面的因素:
背景(Context)、覆盖(Coverage)与容量(Capacity),合称网络规划中的“3C”。
802.11n标准的技术进步使这三种因素都受到了影响。
就背景而言,网络规划者必须考虑新的40MHz信道干扰以及与特定现场复杂情况相关的多输入多输出(MIMO)技术对信道规划和接入点设置的影响。
就覆盖范围而言,设计者应了解802.11n与传统系统在覆盖上的区别,并根据网络需求对覆盖要求做出正确定义。
最后,802.11n标准的数据传输速度和MAC层效率都得到了提高,因此网络容量也会增加;
但是,只有对网络客户分布进行正确的规划才能使增加的容量得到充分利用。
802.11n规划遭遇的种种障碍说明正确规划802.11n网络是一项艰巨的任务,如果不利用特定场地相关的网络建模技术,这项工作将变得异常困难。
摩托罗拉为网络规划者提供的协助工具——LANPlanner11.0,无论是应对规划项目涉及彻底清除设计、淘汰与替代网络迁移,或是为分阶段迁移要求收集进行的简单的部署前调查,都能够满足802.11n的网络要求。
特定场地的性能预测
802.11a/b/g规划向来是一项计算密集型的
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络技术
![提示](https://static.bdocx.com/images/bang_tan.gif)