我们知道防火墙有四种类型：集成防火墙功能的路由器，集成防火墙功能的代理服务器，专用的软件防火墙和专用的软硬件结合的防火墙。Cisco的防火墙解决方案中包含了四种类型中的第一种和第四种，即：集成防火墙功能的路由器和专用的软硬件结合的防火墙。
一、 集成在路由器中的防火墙技术
1、 路由器IOS标准设备中的ACL技术
ACL即Access Control Lis t（访问控制列表），简称Access List（访问列表），它是后续所述的IOS Firewall Feature Set的基础，也是Cisco全线路由器统一界面的操作系统IOS（Internet Operation System，网间操作系统）标准配置的一部分。这就是说在购买了路由器后，ACL功能已经具备，不需要额外花钱去买。
2、 IOS Firewall Feature Set（IOS防火墙软件包）
IOS Firewall Feature Set是在ACL的基础上对安全控制的进一步提升，由名称可知，它是一套专门针对防火墙功能的附加软件包，可通过IOS升级获得，并且可以加载到多个Cisco路由器平台上。
目前防火墙软件包适用的路由器平台包括Cisco 1600、1700、2500、2600和3600，均属中、低端系列。对很多倾向与使用”all-in-one solution”（一体化解决方案），力求简单化管理的中小企业用户来说，它能很大程度上满足需求。之所以不在高端设备上实施集成防火墙功能，这是为了避免影响大型网络的主干路由器的核心工作–数据转发。在这样的网络中，应当使用专用的防火墙设备。
Cisco IOS防火墙特征：
l 基于上下文的访问控制（CBAC）为先进应用程序提供基于应用程序的安全筛选并支持最新协议
l Java能防止下载动机不纯的小应用程序
l 在现有功能基础上又添加了拒绝服务探测和预防功能，从而增加了保护
l 在探测到可疑行为后可向中央管理控制台实时发送警报和系统记录错误信息
l TCP/UDP事务处理记录按源/目的地址和端口对跟踪用户访问
l 配置和管理特性与现有管理应用程序密切配合
订购信息
Cisco 1600系列Cisco IOS防火墙特性
IP/Firewall CD16-BW/EW/CH-11.3=
IP/Firewall CD16-BY/EY/CH-11.3=
IP/IPX/Firewall Plus CD16-C/BHP-11.3=
Cisco 2500系列Cisco IOS防火墙特性
IP/Firewall CD25CH-11.2=
IP/IPX/AT/DEC/Firewall Plus CD25-BHP-11.2=
二、 专用防火墙–PIX
PIX（Private Internet eXchange）属于四类防火墙中的第四种–软硬件结合的防火墙，它的设计是为了满足高级别的安全需求，以较好的性能价格比提供严密的、强有力的安全防范。除了具备第四类防火墙的共同特性，并囊括了IOS Firewall Feature Set的应有功能。
PIX成为Cisco在网络安全领域的旗舰产品已有一段历史了，它的软硬件结构也经历了较大的发展。现在的PIX有515和520两种型号（520系列容量大于515系列），从原来的仅支持两个10M以太网接口，到10/100M以太网、令牌环网和FDDI的多介质、多端口（最多4个）应用；其专用操作系统从v5.0开始提供对IPSec这一标准隧道技术的支持，使PIX能与更多的其它设备一起共同构筑起基于标准VPN连接。
Cisco的PIX Firewall能同时支持16，000多路TCP对话，并支持数万用户而不影响用户性能，在额定载荷下，PIX Firewall的运行速度为45Mbps，支持T3速度，这种速度比基于UNIX的防火墙快十倍。
主要特性：
l 保护方案基于适应性安全算法（ASA），能提供任何其它防火墙都不能提供的最高安全保护
l 将获专利的”切入代理”特性能提供传统代理服务器无法匹敌的高性能
l 安装简单，维护方便，因而降低了购置成本
l 支持64路同时连接，企业发展后可扩充到16000路
l 透明支持所有通用TCP/IP Internet服务，如万维网（WWW）文件传输协议（FTP）、Telnet、Archie、Gopher和rlogin
l 支持多媒体数据类型，包括Progressive网络公司的Real Audio，Xing技术公司的Steamworks，White Pines公司腃USeeMe，Vocal Te公司的Internet Phone，VDOnet公司的VDOLive，Microsoft公司的NetShow和Uxtreme公司的Web Theater 2
l 支持H323兼容的视频会议应用，包括Intel的Internet Video Phone和Microsoft的NetMeeting
l 无需因安装而停止运行
l 无需升级主机或路由器
l 完全可以从未注册的内部主机访问外部Internet
l 能与基于Cisco IOS的路由器互操作
订购信息
带2个10/100BaseT NIC的64路PIX PIX-64-A-CH
带2个10/100BaseT NIC的1024路PIX PIX1K-A-CH
带2个10/100BaseT NIC的16K路（不限）PIX PIXUR-A-CH
带2个10/100BaseT NIC的64路200MHZ PIX PIX64-B-CH
带2个10/100BaseT NIC的1024路200MHZ PIX PIX1K-B-CH
带2个10/100BaseT NIC的16K路200MHZ PIX PIXUR-B-CH
10/100M bps以太网接口，RJ45 PIX-1FE=
4/16Mbps令牌环网接口 PIX-1TR=
PIX软件版本升级 SWPIX-VER=
三、 两种防火墙技术的比较
IOS FIREWALL FEATURE SET PIX FIREWALL
网络规模 中小型网络，小于250节点的应用。 大型网络，可支持多于500用户的应用
工作平台 路由器IOS操作系统 专用PIX工作平台
性能 最高支持T1/E1（2M）线路 可支持多条T3/E3（45M）线路
工作原理 基于数据包过滤，核心控制为CBAC 基于数据包过滤，核心控制为ASA
配置方式 命令行或图形方式（通过ConfigMaker） 命令行方式或图形方式（通过Firewall Manager）
应用的过滤 支持Java小程序过滤 支持Java小程序过滤
身份认证 通过IOS命令，支持TACACS+、RADIUS服务器认证。 支持TACACS+、RADIUS集中认证
虚拟专网（VPN） 通过IOS软件升级可支持IPSec、L2F和GRE隧道技术，支持40或56位DES加密。 支持Private Link或IPSec隧道和加密技术
网络地址翻译（NAT） 集成IOS Plus实现 支持
冗余特性 通过路由器的冗余协议HSRP实现 支持热冗余
自身安全 支持Denial-of-Service 支持Denial-of-Service
代理服务 无，通过路由器的路由功能实现应用 切入的代理服务功能
管理 通过路由器的管理工具，如Cisco Works 通过Firewall Manager实现管理
审计功能 一定的跟踪和报警功能 状态化数据过滤，可通过Firewall Manager实现较好的额监控、报告功能
四、 Centri防火墙
主要特性：
l 核心代理体系结构
l 针对Windows NT定制TCP/IP栈
l 图形用户结构可制订安全政策
l 可将安全政策拖放到网络、网络组、用户和用户组
l ActiveX、Java小应用程序、Java和Vb模块
l 通用资源定位器（URL）模块
l 端口地址转换
l 网络地址转换
l 透明支持所有通用TCP/IP应用程序，包括WWW、文件传输协议（FTP）Telnet和邮件
l 为Web、Telnet和FTP提供代理安全服务
l 根据IP地址、IP子网和IP子网组进行认证
l 使用sl口令和可重复使用口令Telnet、Web和ftp提供联机用户认证
l 使用Windows NT对所有网络服务进行带外认证
l 防止拒绝服务型攻击，包括SYN Flood、IP地址哄骗和Ping-of-Death
订购信息
Cisco Centri产品
Centri Firewall v4.0 for Windows NT,50个用户 Centri-50
Ce
ntri Firewall v4.0 for Windows NT,100个用户 Centri-100
Centri Firewall v4.0 for Windows NT,250个用户 Centri-250
Centri Firewall v4.0 for Windows NT,用户不限 Centri-UNR
Centri Firewall v4.0 for Windows NT,从100个用户升级到250个 Centri-UDP-100-250
Centri Firewall v4.0 for Windows NT,从250个用户升级到无穷多 Centri-250-UNR
五、Cisco PIX防火墙的安装流程
1. 将PIX安放至机架，经检测电源系统后接上电源，并加电主机。
2. 将CONSOLE口连接到PC的串口上，运行HyperTerminal程序从CONSOLE口进入PIX系统；此时系统提示pixfirewall>。
3. 输入命令：enable,进入特权模式，此时系统提示为pixfirewall#。
4. 输入命令： configure terminal,对系统进行初始化设置。
5. 配置以太口参数:
interface ethernet0 auto （auto选项表明系统自适应网卡类型 ）interface ethernet1 auto
6. 配置内外网卡的IP地址：
ip address inside ip_address netmask
ip address outside ip_address netmask
7. 指定外部地址范围：
global 1 ip_address-ip_address
8. 指定要进行要转换的内部地址：
nat 1 ip_address netmask
9. 设置指向内部网和外部网的缺省路由
route inside 0 0 inside_default_router_ip_address
route outside 0 0 outside_default_router_ip_address
10. 配置静态IP地址对映:
static outside ip_address inside ip_address
11. 设置某些控制选项：
conduit global_ip port<-port> protocol foreign_ip global_ip 指的是要控制的地址
port 指的是所作用的端口，其中0代表所有端口
protocol 指的是连接协议，比如：TCP、UDP等
foreign_ip 表示可访问global_ip的外部ip，其中表示所有的ip。
12. 设置telnet选项：
telnet local_ip
local_ip 表示被允许通过telnet访问到pix的ip地址（如果不设此项， PIX的配置只能由consle方式进行）。
13. 将配置保存：
wr mem
14. 几个常用的网络测试命令：
#ping
#show interface 查看端口状态
#show static 查看静态地址映射
六、PIX与路由器的结合配置
（一）、PIX防火墙
1、设置PIX防火墙的外部地址：
ip address outside 131.1.23.2
2、设置PIX防火墙的内部地址：
ip address inside 10.10.254.1
3、设置一个内部计算机与Internet上计算机进行通信时所需的全局地址池：
global1 131.1.23.10-131.1.23.254
4、允许网络地址为10.0.0.0的网段地址被PIX翻译成外部地址：
nat 110.0.0.0
5、网管工作站固定使用的外部地址为131.1.23.11：
static 131.1.23.11 10.14.8.50
6、允许从RTRA发送到到网管工作站的系统日志包通过PIX防火墙：
conduit 131.1.23.11514 udp 131.1.23.1 255.255.255.255
7、允许从外部发起的对邮件服务器的连接（131.1.23.10）：
mailhost 131.1.23.10 10.10.254.3
8、允许网络管理员通过远程登录管理IPX防火墙：
telnet 10.14.8.50
9、在位于网管工作站上的日志服务器上记录所有事件日志：
syslog facility 20.7
syslog host 10.14.8.50
（二）、路由器RTRA
RTRA是外部防护路由器，它必须保护PIX防火墙免受直接攻击，保护FTP/HTTP服务器，同时作为一个警报系统，如果有人攻入此路由器，管理可以立即被通知。
1、阻止一些对路由器本身的攻击：
no service tcps mall-servers
2、强制路由器向系统日志服务器发送在此路由器发生的每一个事件:
3、此地址是网管工作站的外部地址，路由器将记录所有事件到此主机上：
logging 131.1.23.11
4、保护PIX防火墙和HTTP/FTP服务器以及防卫欺骗攻击（见存取列表）：
enable secret xxxxxxxxxxx
interface Ethernet 0
ipaddress 131.1.23.1 255.255.255.0
interfaceSerial 0
ip unnumbered ethernet 0
ip access-group 110 in
5、禁止任何显示为来源于路由器RTRA和PIX防火墙之间的信息包，这可以防止欺骗攻击：
access-list 110 deny ip 131.1.23.0 0.0.0.255 anylog
6、防止对PIX防火墙外部接口的直接攻击并记录到系统日志服务器任何企图连接PIX防火墙外部接口的事件：
access-list 110 deny ip any host 131.1.23.2 log
7、允许已经建立的TCP会话的信息包通过：
access-list 110 permit tcp any 131.1.23.0 0.0.0.255 established
8、允许和FTP/HTTP服务器的FTP连接：
access-list 110 permit tcp any host 131.1.23.3 eq ftp
9、允许和FTP/HTTP服务器的FTP数据连接：
access-list 110 permit tcp any host 131.1.23.2 eq ftp-data
10、允许和FTP/HTTP服务器的HTTP连接：
access-list 110 permit tcp any host 131.1.23.2 eq www
11、禁止和FTP/HTTP服务器的别的连接并记录到系统日志服务器任何企图连接FTP/HTTP的事件：
access-list 110 deny ip any host 131.1.23.2 log
12、允许其他预定在PIX防火墙和路由器RTRA之间的流量：
access-list 110 permit ip any 131.1.23.0 0.0.0.255
13、限制可以远程登录到此路由器的IP地址：
line vty 0 4
login
password xxxxxxxxxx
access-class 10 in
14、只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改：
access-list 10 permit ip 131.1.23.11
（三）、路由器RTRB
RTRB是内部网防护路由器，它是你的防火墙的最后一道防线，是进入内部网的入口。
1、记录此路由器上的所有活动到网管工作站上的日志服务器，包括配置的修改：
logging trap debugging
logging 10.14.8.50
2、允许通向网管工作站的系统日志信息：
interface Ethernet 0
ip address 10.10.254.2 255.255.255.0
no ip proxy-arp
ip access-group 110 in
access-list 110 permit udp host 10.10.254.0 0.0.0.255
3、禁止所有别的从PIX防火墙发来的信息包：
access-list 110 deny ip any host 10.10.254.2 log
4、允许邮件主机和内部邮件服务器的SMTP邮件连接：
access-list permit tcp host 10.10.254.31 0.0.0.0 0.255.255.255 eq smtp
5、禁止别的来源与邮件服务器的流量：
access-list deny ip host 10.10.254.31 0.0.0.0 0.255.255.255
6、防止内部网络的信任地址欺骗：
access-list deny ip any 10.10.254.0 0.0.0.255
7、允许所有别的来源于PIX防火墙和路由器RTRB之间的流量：
access-list permit ip 10.10.254.0 0.0.0.255 10.0.0.0 0.255.255.255
8、限制可以远程登录到此路由器上的IP地址：
line vty 0 4
login
password xxxxxxxxxx
access-class 10 in
9、只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改：
access-list 10 permit ip 10.14.8.50
按以上设置配置好PIX防火墙和路由器后，PIX防火墙外部的攻击者将无法在外部连接上找到可以连接的
开放端口，也不可能判断出内部任何一台主机的IP地址，即使告诉了内部主机的IP地址，要想直接对它们进行Ping和连接也是不可能的。这样就可以对整个内部网进行有效的保护。
分类 : 娱乐休闲 | 发表时间 05-03-2006
分类 : 技术文摘 | 发表时间 10-02-2006
IPSEC是一套比较完整成体系的VPN技术，它规定了一系列的协议标准。如果不深入探究IPSEC的过于详细的内容，我们对于IPSEC大致按照以下几个方面理解。
1. 为什么要导入IPSEC协议
导入IPSEC协议，原因有2个，一个是原来的TCP/IP体系中间，没有包括基于安全的设计，任何人，只要能够搭入线路，即可分析所有的通讯数据。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。
另外一个原因，是因为Internet迅速发展，接入越来越方便，很多客户希望能够利用这种上网的带宽，实现异地网络的的互连通。IPSEC协议通过包封装技术，能够利用Internet可路由的地址，封装内部网络的IP地址，实现异地网络的互通。
2. 包封装协议
设想现实一种通讯方式。假定发信和收信需要有身份证（成年人才有），儿童没有身份证，不能发信收信。有2个儿童，小张和小李，他们的老爸是老张和老李。现在小张和小李要写信互通，怎么办？
一种合理的实现方式是：小张写好一封信，封皮写上 “小张–>小李”，然后给他爸爸，老张写一个信封，写上“老张–>老李”，把前面的那封信套在里面，发给老李，老李收到信以后，打开，发现这封信是给儿子的，就转给小李了。小李回信也一样，通过他父亲的名义发回给小张。
这种通讯实现方式要依赖以下几个因素：
* 老李和老张可以收信发信
* 小张发信，把信件交给老张。
* 老张收到儿子的来信以后，能够正确的处理（写好另外一个信封），并且重新包装过的信封能够正确送出去。
* 另外一端，老李收到信拆开以后，能够正确地交割小李。
* 反过来的流程一样。
把信封的收发人改成Internet上的IP地址，把信件的内容改成IP的数据，这个模型就是IPsec的包封装模型。小张小李就是内部私网的IP主机，他们的老爸就是VPN网关，本来不能通讯的两个异地的局域网，通过出口处的IP地址封装，就可以实现局域网对局域网的通讯。
引进这种包封装协议，实在是有点不得已。理想的组网方式，当然是全路由方式。任意节点之间可达（就像理想的现实通讯方式是任何人之间都可以直接写信互通一样）。
Internet协议最初设计的时候，IP地址是32位，当时是很足够了，没有人能够预料到将来Internet能够发展到现在的规模（相同的例子发生在电信短消息上面，由于160字节的限制，很大地制约了短消息的发展）。按照2的32次方计算，理论上最多能够容纳40亿个左右IP地址。这些IP地址的利用是很不充分的，另外大约有70％左右的IP地址被美国分配掉了（谁让人家发明并且管理Internet呢？）所以对于中国来说，可供分配的IP地址资源非常有限。
既然IP地址有限，又要实现异地lan-lan通讯，包封包，自然是最好的方式了。
3.安全协议（加密）
依然参照上述的通讯模型。
假定老张给老李的信件要通过邮政系统传递，而中间途径有很多好事之徒，很想偷看小张和小李（小张小李作生意，通的是买卖信息）通讯，或者破坏其好事。
解决这个问题，就要引进安全措施。安全可以让小李和小张自己来完成，文字用暗号来表示，也可以让他们的老爸代劳完成，写好信，交给老爸，告诉他传出去之前重新用暗号写一下。
IPSEC协议的加密技术和这个方式是一样的，既然能够把数据封装，自然也可以把数据变换，只要到达目的地的时候，能够把数据恢复成原来的样子就可以了。这个加密工作在Internet出口的VPN网关上完成。
4.安全协议（数据认证）
还是以上述通讯模型为例，仅仅有加密是不够的。
把数据加密，对应这个模型中间，是把信件的文字用暗号表示。
好事之徒无法破解信件，但是可以伪造一封信，或者胡乱把信件改一通。这样，信件到达目的地以后，内容就面目全非了，而且收信一方不知道这封信是被修改过的。
为了防止这种结果，就要引入数据防篡改机制。万一数据被非法修改，能够很快识别出来。这在现实通讯中间可以采用类似这样的算法，计算信件特征（比如统计这封信件的笔划、有多少字），然后把这些特征用暗号标识在信件后面。
收信人会检验这个信件特征，由于信件改变，特征也会变。所以，如果修改人没有暗号，改了以后，数据特征值就不匹配了。收信人可以看出来。
实际的IPSEC通讯的数据认证也是这样的，使用md5算法计算包文特征，报文还原以后，就会检查这个特征码，看看是否匹配。证明数据传输过程是否被篡改。
5.安全协议（身份认证）
还是假定小张小李通讯模型。
由于老张和老李不在一个地方，他们互相不能见面，为了保证他们儿子通讯的安全。老张和老李必须要相互确认对方是否可信。这就是身份认证问题。
假定老李老张以前见过面，他们事先就约定了通讯暗号，比如1234567890对应abcdefghij， 那么写个255，对应就是一个bee。
常见的VPN身份认证可以包括预共享密钥，通讯双方实现约定加密解密的密码，直接通讯就可以了。能够通讯就是朋友，不能通讯就是坏人，区分很简单。
其他复杂的身份认证机制包括证书（电子证书比如x509之类的），比较罗里罗嗦，这里就不具体展开了，怕有兄弟看了打瞌睡。如果需要，可以找我要更具体的技术白皮书以及相关的身份认证文档。如果有身份认证机制，密钥的经常更换就成为了可能。
6.其他
解决了上述的几个问题，基本可以保证VPN通讯模型能够建立起来了。
但是并不完美，这是最简单的VPN。即通过对端两个静态的IP地址，实现异地网络的互联。美国的很多VPN设备就作到这一级，因为美国IP地址充裕，分配静态IP地址没有问题。苦的是我等中国客户，2端都需要静态IP地址，相当于2根Internet专线接入。
VPN要在中国用起来，还要解决一堆的相关问题。下一个节将给大家描述IPSEC VPN在中国应用会遇到的哪些问题。
分类 : 技术文摘 | 发表时间 10-02-2006
最近SSL VPN的市场突飞猛进，各种媒体上相关SSL VPN的文章也很多，但是目前存在很多的关于SSL VPN的误区，随便在网上搜索就可以看到很多错误的说法:
1. SSL VPN和IPSec VPN各有优缺点，SSL VPN只能适用于web应用;
2. XX国内厂商推出了廉价集IPSec VPN与SSL VPN于一体的设备，必将大大促进VPN的市场推广;
3. 经过使用Spirent Avalanche测试，XX厂家的SSL VPN产品的TPS(每秒新建用户数)达到了1300， 最大在线用户数可以达到64’000个，完全可以适用大型的商业应用。
这就引入了几个问题:
1. 究竟SSL VPN有哪些功能?是否只能解决web应用?
2. 什么才是一个真正的SSL VPN产品?怎样区别市场上林林总总的号称的SSL VPN产品?
3. 如何衡量SSL VPN产品的性能?
下面逐个回答问题:
1 究竟SSL VPN有哪些功能?是否只能解决web应用?
SSL VPN的出现是为了解决IPSec VPN的固有缺点而出现的，SSL VPN继承了IPSec VPN的远程使用与内网使用体验一致、与应用无关的优点，避免了因有客户端而导致的使用维护不便、某些网络条件下无法接通、带来大量病毒和蠕虫的入侵、无法与企业现有认证服务器结合、无法审计等问题，从功能上有网络访问、网上应用程序、Windows文件共享、移动电子邮件、应用程序访问、传统主机、终端服务器等众多功能，可以提供C/S应用和B/S应用访问，并非只能解决web应用。这其中最为重要的是网络访问功能，SSL VPN的网络访问功能避免了IPSec VPN的缺点而又继承了IPSec VPN的优点。
2 什么才是一个真正的SSL VPN产品?怎样区别市场上林林总总的号称的SSL VPN产品?
现在有很多厂商声称自己的产品是SSL VPN，或者说融合了IPSec VPN和SSL VPN的功能，实际上大部分的厂商只是实现了SSL VPN中的网上应用程序，也就是Web反向代理的功能，某国内厂商大肆宣称的集IPSec VPN与SSL VPN于一体的设备也只是在原有的IPSec VPN的设备上加了一个Web反向代理的功能而已，根本不能称之为真正的SSL VPN产品。那么什么才是一个真正的SSL VPN产品?
前文说到SSL VPN从功能上说有网络访问、网上应用程序、Windows文件共享、移动电子邮件、应用程序访问、传统主机、终端服务器等众多功能，其中网络访问是SSL VPN最为重要和标志性的功能，只有具备了网络访问这个看似IPSec VPN而又从根本上解决了IPSec VPN缺陷的功能才称得上是一款真正的SSL VPN产品。当然为了安全性考虑的终端安全检查和审计、与企业认证服务器的结合等功能也是一款优秀SSL VPN的必备功能。
www.vpnc.org中有通过该组织认证的SSL VPN厂商列表，也可以说，只有在这儿能够查到的SSL VPN厂商的产品，才是真正的SSL VPN产品。
3 如何衡量SSL VPN产品的性能?
谈到SSL VPN产品的性能，首先要区分的是SSL Server和SSL VPN，SSL Server相当于SSL VPN中的反向代理功能，二者的要求是不一样的，SSL Server面对的是业务系统，如电子商务网站、网上银行等等，它强调的是性能，目前国内可见的SSL Server产品性能可达20000TPS和4百万同时在线用户数;而SSL VPN面向的是远程接入即管理系统，它强调的是易于使用和管理、安全性等等，一个SSL VPN用户的登录包括SSL握手、认证、授权、记录日志等过程，其中认证、授权、记录日志所耗费的时间远远高于SSL握手，不可能达到SSL Server那样高的性能，如果需要非常高的性能，要使用多台SSL VPN堆叠来实现。
Spirent Avalanche是一款优秀的基于Web应用的测试仪器，但只适用于测试SSL Server性能，不适用于测试SSL VPN的性能，某厂商的设备集合了SSL Server 和SSL VPN的功能，虽然SSL Server的性能在业界根本不入流，但显然会高于SSL VPN的性能。该厂商利用大家对于SSL Server和SSL VPN之间认识的混淆，到处宣称使用Spirent Avalanche测试证明自己的SSL VPN具有很高的性能，实际上从测试过程可以发现，测试的只是其中SSL Server的性能。
SSL VPN的性能测试，因为涉及建立VPN隧道，非常复杂，只能使用业界某些测试软件如LoadRunner 加上厂家自己的动态库来实现，只能在厂家自己的测试实验室来做，试图用某种测试仪器来统一测试所有厂家的SSL VPN性能是行不通的，所以只能参考各个厂家自己提供的性能，当然，要区分大的上市企业公布的真实的性能指标的和某些小企业不负责任的信口胡言。
分类 : 技术文摘 | 发表时间 19-12-2005
有时成败的机会就是你使远程用户连接到你的网络。电子通勤有一些已被证明的生产力和环境的好处，但是它也并不是没有缺点――大部分是信息安全风险形式的缺点。如果你的远程用户的计算机带有病毒或者他们通过不安全的无线网络传送危险的电子邮件和及时消息，会发生什么?当没有完全保护的系统能够直接连接到你的网络会怎么样呢–因此提供直接来自外部网站的链接给每一个想要进入或恶意进入的人。
正如可论证的那样，很多不好的事可以发生。未批准的信息存取可能发生，信息泄漏可能发生，也有malware病毒通过僵硬的网络侵入的可能。
在你制定任何新的政策或关闭你的远程系统之前，测定目前你的环境中存在哪些远程存取漏洞是非常有益的。这样做不仅可以发现缺少的补丁，还可以进一步发现配置失当、不必要的占用，无效的会议连接和其它不能轻易发现的可能存在的漏洞。我建议你使用一个漏洞稽核工具例如Tenable Network Security的NeWT, GFI Software Ltd.的 LANguard Network Security Scanner (我喜欢的廉价稽核工具), Qualys Inc.的 QualysGuard (我最喜欢的稽核工具).
在笔记本或者台式机上为你的内部支持图像安装一个或多个这样的工具，如果该工具有效，那么也可以检测用户拥有的远程系统。如果后者不是因政治或者资源限制的原因，你可以轻易地向远程用户发布指示命他们自己检测。考虑让他们在他们地系统上安装运行Microsoft Baseline Security Analyzer (MBSA)并和你分享报告。你甚至可以通过注册脚本或者Windows的群组政策自动操作。切记，组织的资源必须被保护。
一旦你测定出漏洞在哪里，并标识出这些问题，使用下列普通的和专业的安全装置配置列表来确保你的远程系统已被锁定:
1. 确保已安装个人防火墙(Windows Firewall in XP SP2+, BlackICE 等)至少提供入站防护――外部应用保护也非常好，尤其是如果你可以设置好那么你的用户就不需要总是被外部链接请求阻碍。
2. 每一个系统都要求安装杀毒软件(antivirus 和antispyware)确保实时更新，如果可能防止不必要的病毒侵入。
3. 允许文件共享在远程硬盘驱动器和其它存储设备上――尤其在Windows 2000 和NT系统，使每个人都能完全存取。
4. 有一项管理补丁的书面政策和规定程序。例如，使用已存在的补丁管理系统确保实时自动更新或滚动补丁。
5. 防止空的会议链接，正如这里描述的，防止未授权用户名，安全政策信息和来自远程系统的更多信息的拾遗。
6. 实施VPN(免费的 Windows-based PPTP 是合适的选择)或者确保你在运行另一个安全的连接，例如Windows Remote Desktop 或 Citrix.
7. 记得将远程用户、计算机和应用软件包括在你的安全事件回应计划和灾难恢复计划中。那些是经常被忽略，可如果它们没有被防护很可能威胁系统。
8. 你的用户可能下载并安装IM, P2P和其它你支持或威胁的应用软件，所以首先准备好通过帐户阻止软件，发出尽量少的特权(想一想Windows Vista 的新特点)，同时定期扫描系统寻找这些软件。或者将一小部分你可以管理的应用程序标准化。无论如何用户总是要安装应用软件，所以后者似乎更简单。
因为系统设定使用基于802.11的无线网络(或者将来使用)，所以不要忘记以下安全措施:
1. 使WEP保持最小值 因为在最小值比没有好，但是最好让用户实现有可靠密码(20+ 任意字符)的WPA2-PSK
2. 要求用户使用方向天线而不是全方位方向天线――实际上所有的APs都装有
3. 提供MAC地址控制，可以帮助non-techies查看或进入你的网络(techies知道怎样查看MAC地址)
4. 如果可能，要求具体的AP vendor/model和无线NIC来确保依据你的要求他们始终如一地安全，所以你可以与任何主要的安全防护和防火墙或软件更新保持一致。
5. 记得用户可能通过公共无线上网据点连接到你的网络，所以确保你和用户了解安全涵义，有恰当的安全措施。
6. 提供安全消息，如果没有通过POP3s,SMTPs, 通过HTTPS的网络邮件的VPN或者其它无线上网据点保护和其它内部控制。
7. 不支持蓝牙如果不需要。否则，默认支持太冒险所以关闭。
这些相对简单、最自由的远程存取安全措施，与合理的信息安全保护程序相结合，将会保护远程计算机同时保护那些你不能丢失的信息。
分类 : 技术文摘 | 发表时间 12-12-2005
在经过数月的评估、测试、购置等工作，部署好入侵检测系统后，别以为事情就已完成，其实还有很多等待你去做。
入侵检测系统（Intrusion Detection System IDS）如同一个三岁的早熟小孩，需要你时刻注意他，否则他就不高兴。这种说法可能有些离谱，但IDS确实不象其它安全系统那样，在安装后可以置之不理，而是需要与你沟通，需要你的特别留意。
防火墙有可能不需要你的理会，因为它只是默默地驻守在网络的旁边，隔断所有不受欢迎的网包，保护你的网络不受拒绝服务攻击或惹上其它与IP有关的麻烦。 认证系统、VPN 以及其它大部分安全设备也都不需要你的理会。你越不理会它们的存在，它们越能各尽其职。
相反，IDS需要你不断地敦促才能”进入状态”，这样才会告诉你它正在扫描端口，有无诸如”SYN风暴” 及其它各种各样的”鬼东西”正在攻击你的网络及系统。所以，如果你考虑把IDS作为网络安全架构的一部分，你就不仅要考虑哪些方案最能满足你的需要，还要考虑你在”安装后的生活状况”。也就是说，你将如何监控你的系统，谁去监管这些系统，以及最重要一点–IDS半夜三更发出警报时，你该怎麽办？
不仅仅是”即插即用”
要好好利用IDS，因为安装后不仅意味着你拥有探测器及监控器，同时，你将拥有技术和人力资源的定制权、监控权、反应权及改正权。
定制 是指更精细地调校IDS，使IDS有能力找出与你网络有关的事件。统计数据显示：大部分攻击是由来自企业内部DMZ (非军事区)的人发动的，所以这个寻找过程不仅限于消除来自网上的假警报。
监控 是指对IDS资源的理解，包括知道什么是假警报以及如何调查及处理那些看来是真的警示。
反应 是指当有真警报发生时所采取的行动。攻击者究竟想达到什么目的？攻击者来了没有？如果你的Web 服务器已被破坏，你要做什么？把服务器关掉，还是进入离线状态？是否要发动反击？你是否准备进行犯案分析，来判断真正发生了什么事情，然后采取法律行动？
改正是指堵塞漏洞–漏洞的范围很广泛，可以是一个配置不良的服务器，或是一个过时的安全政策和一个不充分安全的网络边界。
IDS 监控及程序 在把整个安全架构捆绑在一起时，你有没有考虑清楚到底要监控什么？你有没有决定一旦发生事故后要采取什么行动？一旦检测到入侵事件， 你有没有一套纠正问题的机制？ 如果你不能回答这些问题，你就没有资格讨论网络安全这一问题。
入侵检测系统：回顾
在深入探讨如何监控IDS 及如何对攻击或滥用等行为报告反应前，我们应该先回顾现在市场上最常见的IDS系统。一般来说，IDS 由探测器及管理器组成，探测器负责寻找出攻击， 而管理器整理探测器收集的数据并把结果报告给操作员。
IDS探测器基本上分两类： 基于网络的和基于主机的。基于网络的探测器负责嗅探网络的连接，监视例如TCP包的流量等，看看有没有被攻击的迹象；基于主机的探测器在你重要的系统服务器、工作站或用户机器上运行，监视OS或系统事件级别的可疑活动。这些探测器可寻找潜在的可疑活动（如尝试登录失败）。IDS管理器则是一个中央监控中心，不断接收来自探测器及警报器的数据。
基于网络的IDS 基于网络的IDS如同”超级”探测器，即它们在TCP/IP层（或更低层）监视流量，看看有没有已知的攻击模式（如Ping-of-death 或Web 服务器的攻击）。这些系统的工作极富挑战性，因为探测器看不到网上所有流量的交换环境。此外，绝大部分基于网络的IDS只能找出与黑客攻击类似的滥用模式。基于网络的IDS容易出现假警报。例如，当你的Web 服务器已超载，不能够再处理更多的连接请求时， IDS会以为你正在受到拒绝服务的攻击，但是真实的情况并不是这样。通常，基于网络的IDS不会搜索其它可疑活动，如某个邮递工作人员试图访问你公司的财务数据等。当然，网络嗅探器可以被调校成只搜索某一类攻击，但要找出每种攻击情景是个相当费事的过程。假如很多破坏安全的事件是由内部人所为，而你只用IDS监视网络边界来搜索攻击，这在某种程度还不能达到你投资IDS的目的。
基于主机的IDS 这种检测系统采取不同的方法搜索攻击模式。基于主机的IDS与嗅探器不同，检测事件要靠操作系统的日志，因此它不能目击发生在网络层的攻击。 如同基于网络的IDS，这些基于主机的IDS迫使你定义清楚哪些是你认为不合法的活动，然后就把这种安全政策转换成IDS规则。基于主机的IDS也可以被配置成搜索某类指定的攻击而忽略其它的模式。同样，调校探测器的过程也是非常费时的。
混合型IDS
供应商已知道纯粹基于主机或基于网络的IDS拥有很多功能上的局限性，所以，大约在一年前，他们就开始推出新系统。他们把这两类IDS的最好功能结合起来，形成了新的IDS探测架构。ISS 的RealSecure,、NAI 的CyberCop 及ODS 网络公司的CMDS 就采取了这种混合方法来提供入侵检测的解决方案。
RealSecure 原本依赖基于网络的探测器探测，但现在也包括了基于主机的入侵检测系统。ISS也融合了监控路由器系统日志的功能，所以，现在你的路由器也可以是个IDS探测器。CyberCop现在不仅提供基于主机的IDS，它也正在朝融合架构的方向发展，把网络嗅探器放在它们的主机代理中。而CMDS 同时使用网络及主机信息来搜索攻击模式。
智能IDS管理器
典型的IDS，不管是基于主机的、基于网络的或是两类型的混合，仍然需要你对它们进行调校及定制。但有一种新型的IDS，名叫”智能系统”IDS，它可以减轻你部分工作量。 这种系统不只可以从特别的探测器中读取数据，还可以从网络中每一台设备读取信息。它们会聆听路由器及操作系统的系统日志，吸纳防火墙的日志文件及IDS探测器信息，然后通过整理这批数据来判断你的网络究竟发生了什么事情。
这样的智能系统也试图通过智能调校灵敏度以消除假警报。 例如：CMDS就有一个检测不正常活动的工具，它可在某段时间内收集网络的数据，然后用基于网络的方法建立新的用户简表。一旦建立了新的简表，所有超出简表范围的事件都会触发警报。例如，如果用户Bob一般都是在正常工作时间登录网络，但有一次，Bob半夜三点钟从家里登录并开始下载文件。虽然Bob并没有做错事，IDS同样会向你发出警报。
其它产品也开始相继融合了类似的高级智能功能。例如CyberSafe 的Centrax 融合了安全政策、评估及监控功能，成为单一的管理控制台。 ISS 的RealSecure 的Fusion 技术就是结合了多个探测器的结果，不论这些探测器是基于主机的还是网络的、路由器或防火墙的，根据横跨这些设备的多阶段事件，IDS就可以作出明智的决定。例如，由网络探测器检测出缓冲器溢出，同时，主机探测器检测到根登录，这两者结合就可能是非法操作，IDS便会发出警报。
其它供应商也正在努力改进系统，使IDS更能减轻行政管理的负担。Axent 的NetProwler 可以先扫描你的网络，看看网络有哪些系统，然后自动配
分类 : 技术文摘 | 发表时间 09-12-2005
信息来源： 古典辣M°的书房
最近，咱们网管大黑的心里塌实多了，而且心安理得地睡了几个好觉，原因不在吃了什么“脑心舒”，而是单位最近安装的一套入侵检测系统（IDS）。IDS系统被认为是防火墙之后的第二道安全闸门，它可从计算机网络系统中的若干关键点收集信息，并分析这些信息，检查网络中是否有违反安全策略的行为和遭到袭击的迹象。有了这套软件，来自外部的攻击数据一目了然，难怪大黑感到省心多了。再加上防火墙、杀毒软件、漏洞分析软件等工具的配合，系统开始正常运行了。刚开始几天，系统静悄悄的，显得很稳定。安安稳稳中，阿黑倒也睡了几个好觉。
星期一早上9:30，大黑比平时晚了一个小时赶到办公室，刚到就听到机房里面传来“嘀嘀嘀”的报警声，这是大黑在入侵检测系统中设置的一个报警程序，问题来了！坐到电脑前，大黑对症状进行了分析。病毒？对方根据邮件地址、相关IP地址、漏洞等得到相关信息，然后使用漏洞扫描器“入侵”？对方获得了一定的权限进行破坏？根据黑客入侵的路线，大黑对入侵者的蛛丝马迹进行了逆向侦察。
防火墙端口检查
首先大黑进行了端口分析。一个端口就是一个潜在的通信通道，也就是一个入侵通道。对目标计算机进行端口扫描，能得到许多有用的信息，从而发现系统的安全漏洞。通过执行端口扫描，大黑注意到有一台服务器的135、139、389和445端口都是开放的，因为单位的复杂人事关系，这台机器必须这样设置。
大黑撇了撇嘴，先看看防火墙。由于木马类型的病毒可轻易地打开网络，即使防火墙将所有的端口关闭。当机器感染特洛伊木马，它仍然可以让网络后门大开。一般来说，防火墙是被连接到互联网任一个网络的整体部分。如果没有安装防火墙，许多攻击可能在管理员不知道的情况下发生，而这样的攻击可能是很致命的，会直接导致计算机宕机，如果没有防火墙，可用路由器过滤掉易被入侵者利用来攻击网络的不需要的协议和端口。最多被使用的是TCP/IP协议。低端的TCP端口135，139，和445 ，以及UDP端口135，137，和445应该被阻拦，还有其它所有未使用的端口。你可以认为防火墙是修筑在你的网络附近的物理墙壁。每次打开端口，就在墙壁打了一个孔来安装窗口。 一些窗口向外，另外一些向内。入侵者能利用窗口但只能看到网络里面有什么。你安装窗口(端口)越多，你的墙壁将变得更加透明。
大黑在命令行中输入“netstat –a”，查看是否有可疑的地方，然后用Fport端口查看工具，查看使用端口的进程。大多数木马或者后门都会打开一个自己的端口单独使用，因此从端口上查看能够发现一些木马后门的踪迹。但是，这并不能对付所有的木马，而且一些打开系统后门的方法也不能这样来检查。大黑注意到机器的端口80和443也是开放的，因此，大黑对这个活动进行了检测。首先，发生了端口扫描，在扫描的过程中，网络的通信量有一个突然的增加。端口扫描通常表现为持续数分钟的稳定的通信量增加，时间的长短取决于扫描端口的多少。键入以下命令：Netstat -p tcp -n ，得到以下结果：
Active Connections
Proto Local Address Foreign Address State
TCP 202.109.100.*:2572 127.199.34.42:135 TIME_WAIT
TCP 202.109.100.*:2984 127.199.34.42:1027 TIME_WAIT
TCP 202.109.100.*:3106 127.199.34.42:1444 SYN_SENT
TCP 202.109.100.*:3107 127.199.34.42:1445 SYN_SENT
TCP 202.109.100.*:3108 127.199.34.42:1446 SYN_SENT
TCP 202.109.100.*:3109 127.199.34.42:1447 SYN_SENT
TCP 202.109.100.*:3110 127.199.34.42:1448 SYN_SENT
TCP 202.109.100.*:3111 127.199.34.42:1449 SYN_SENT
TCP 202.109.100.*:3112 127.199.34.42:1450 SYN_SENT
TCP 202.109.100.*:3113 127.199.34.42:1451 SYN_SENT
TCP 202.109.100.*:3114 127.199.34.42:1452 SYN_SENT
小提示：在安全检测的过程中，端口能直接反映问题所在，在安全测试过程中一般都需要对端口进行详细地检查。
以上信息中，大黑注意到在本地和外部地址上有大量的SYN_SENT信息，同时还有一些ESTABLISHED或TIME_WAIT信息。可以判断，入侵信息的关键在于连续的端口序列和来自同一主机的大量连接。大黑心里纳闷并琢磨着，有连接未必不是好事情，问题的关键在于：他是怎么和大黑进行连接的？
用户追踪
病毒发展迅速，并且许多新病毒每周被发布，谨慎的大黑通过几个大型杀毒站点看了看最新的病毒信息。不过，公司的系统也安装了抗病毒软件，除了定期升级抗病毒软件，病毒软件也被设置为最高安全性，这样，任一种恶意病毒活动的形式都将被禁止。
为了进一步提高安全性，大黑打开任务管理器，看看有没有一些异常的进程，对于每个进程，大黑根据经验进行了比较，特别是类似于系统名称的进程也进行了比较，因为入侵者命名的进程往往很接近系统的进程名。当然，不排除一些入侵者使用可隐藏的进程通过系统进程来达到目的。根据机器的状况和侦察软件的配合，没有发现异常情况。从目前的情况看，系统内还没有木马之类的入侵程序。
公司的人员分布比较广泛，全国各地都有办事机构。因此，大黑采用了限制拨号用户的接入和限制用户从远程登入的功能，并且记录用户活动。使用VPN访问网络是一种可信任的安全方法。比正常PPP 连接，VPN连接的数据相是较不易受拦截。在高安全环境下设定远程连接要求证件检验。在客户端证明上使用强的密码认证方法。远程存取依然是最微弱的链接，如果不正确地实施，在许多情况下将会被入侵者寻找利用。另外，从公司网络划分出独立的网段给拨号用户是一个不错的方法。这种解答可能有许多功能特点。如果网络用户需要拨号回到被预先决定的数字是一个好方式，这样可以保证后面设置连接确实连接到用户的家里。另一考虑是，用户不能在本地机器存放密码，他访问网络的密码不应该被保存，应该在每次连接时键入。
为了确定黑客是否进入了系统，大黑打开“计算机管理”，查看是否有可疑用户出现，即在各个用户组里面是否存在不该有的账号，特别是administrators管理员组，按照一些黑客教程的惯用手法，他们通常把Guest、TsInternetUser 这样的系统提供的账户添加到管理员组里面去。
大黑根据自己的猜测进行了测试，首先是寻找网络中的弱点。Windows网络口令用于使用Web服务器上的Web服务，这些网络登录信息对大黑来说是最有用的，因此大黑决定朝这个方向试一试。首先从一个机器下载账号名列表，从中选出一个很少使用的，例如guest账号。大黑用这个账号尝试多次登录直到它被锁住，这样大黑就能推测设置的是什么账号锁住策略了。大黑启动脚本，并运行Whisker扫描器程序，它使用大黑为IIS服务器编写的一个脚本，来试探公共代理服务器信息。现在，可以坐等结果了。
为了验证猜测，大黑根据系统的特点，在“性能”里面进行了一些设置。果然，在大黑的探测过程中，从一些关键入侵检测记数器指标中接收到许多警报信息。第一个是Web Service-Connection Attempts/sec，在此之前，大黑进行了设置，首先打开“管理工具”中的“性能”图标添加计数器。
根据大黑的经验，这个指标能显示出Web信息量的突然增加。另一个非常重要的记数
分类 : 技术文摘 | 发表时间 07-12-2005
有关VLAN的技术标准IEEE 802.1Q早在1999年6月份就由IEEE委员正式颁布实施了，而且最早的VLNA技术早在1996年Cisco（思科）公司就提出了。随着几年来的发展，VLAN技术得到广泛的支持，在大大小小的企业网络中广泛应用，成为当前最为热门的一种以太局域网技术。本篇就要为大家介绍交换机的一个最常见技术应用–VLAN技术，并针对中、小局域网VLAN的网络配置以实例的方式向大家简单介绍其配置方法。
一、VLAN基础
VLAN（Virtual Local Area Network）的中文名为”虚拟局域网”，注意不是”VPN”（虚拟专用网）。VLAN是一种将局域网设备从逻辑上划分（注意，不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。
IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
交换技术的发展，也加快了新的交换技术（VLAN）的应用速度。通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（MAC地址）组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的 VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据用户工作站的MAC地址来划分VLAN的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
VLAN网络可以是有混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。
VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。 VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
二、VLAN的划分方法
VLAN在交换机上的实现方法，可以大致划分为六类:
1. 基于端口划分的VLAN
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址划分VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的 MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
由这种划分的机制可以看出，这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
3. 基于网络层协议划分VLAN
VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。这种按网络层协议来组成的 VLAN，可使广播域跨越多个VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
4. 根据IP组播划分VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同
分类 : 技术文摘 | 发表时间 27-10-2005
使用了TCP/IP，ADO及XML(需要安装Microsoft XML 4.0。)。分服务器和客户端两部分，服务器可以多用户同时连接。远程连接Access数据库有很多方法，我以前已经比较详细的回答过(见下面所列的5种方法)，我现在这个例子属于其中的第3种方法(不需要使用RDS或Web服务器)。
————————————-
远程连接access数据库的几个方法:
1.建立VPN(Virtual Private Network)，这样你的电脑和主机的连接就与局域网无异，然后把服务器中mdb文件所在的Folder共享即可。ADO连接如下:
oConn.Open “Provider=Microsoft.Jet.OLEDB.4.0;Data Source=\\ServerName\DatabaseFolder\Database.mdb;Jet OLEDB:Database Password=databasepw;Persist Security Info=False”
2.把Database放在Web Server上，使ADO或RDO通过RDS(Remote Data Service)及IIS来实现:
如果服务器像上面Jave大侠说那样设置了ODBC DSN的话:
oConn.Open “Provider=MS Remote;” & _
”Remote Server=http://myServerName;” & _
”Remote Provider=MSDASQL;” & _
”DSN=AdvWorks;” & _
”Uid=myUsername;” & _
”Pwd=myPassword”
如果设置的是OLE DB Provider 的话:
oConn.Open “Provider=MS Remote;” & _
”Remote Server=http://myServerName;” & _
”Remote Provider=Microsoft.Jet.OLEDB.4.0;” & _
”Data Source=c:\somepath\mydb.mdb”, _
”admin”, “”
3.自己编写服务器程序，通过TCP/IP，传递Recordset。
4.使用第三方控件，如:ADO Anywhere或UDAParts RDB等。具体查看
http://www.adoanywhere.com
http://www.udaparts.com/
5.使用XMLHTTP
————————————–
附 远程连接SQL Server的方法:
ConnStr = “Provider=SQLOLEDB.1;Network Library=DBMSSOCN;Persist Security Info=True;User ID=UserName;Password=Password;Initial Catalog=远程数据库名;Data Source=203.129.92.1″
分类 : 技术文摘 | 发表时间 07-10-2005
1. 前言
随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域，但随之而来产生了数据的安全问题。各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视。数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，关系到企业兴衰、国家安全。因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究的重要课题之一，本文就安全防入侵技术做简要的讨论。
数据库系统的安全除依赖自身内部的安全机制外，还与外部网络环境、应用环境、从业人员素质等因素息息相关，因此，从广义上讲，数据库系统的安全框架可以划分为三个层次：
⑴ 网络系统层次；
⑵ 宿主操作系统层次；
⑶ 数据库管理系统层次。
这三个层次构筑成数据库系统的安全体系，与数据安全的关系是逐步紧密的，防范的重要性也逐层加强，从外到内、由表及里保证数据的安全。下面就安全框架的三个层次展开论述。
2. 网络系统层次安全技术
从广义上讲，数据库的安全首先依赖于网络系统。随着Internet的发展和普及，越来越多的公司将其核心业务向互联网转移，各种基于网络的数据库应用系统如雨后春笋般涌现出来，面向网络用户提供各种信息服务。可以说网络系统是数据库应用的外部环境和基础，数据库系统要发挥其强大作用离不开网络系统的支持，数据库系统的用户（如异地用户、分布式用户）也要通过网络才能访问数据库的数据。网络系统的安全是数据库安全的第一道屏障，外部入侵首先就是从入侵网络系统开始的。网络入侵试图破坏信息系统的完整性、机密性或可信任的任何网络活动的集合，具有以下特点：
a) 没有地域和时间的限制，跨越国界的攻击就如同在现场一样方便；
b) 通过网络的攻击往往混杂在大量正常的网络活动之中，隐蔽性强；
c) 入侵手段更加隐蔽和复杂。
计算机网络系统开放式环境面临的威胁主要有以下几种类型：
a) 欺骗(Masquerade)；
b) 重发(Replay)；
c) 报文修改(Modification of message)；
d) 拒绝服务(Deny of service)；
e) 陷阱门(Trapdoor)；
f) 特洛伊木马(Trojan horse)；
g) 攻击，如透纳攻击（Tunneling Attack）、应用软件攻击等。这些安全威胁是无时、无处不在的，因此必须采取有效的措施来保障系统的安全。
从技术角度讲，网络系统层次的安全防范技术有很多种，大致可以分为防火墙、入侵检测、协作式入侵检测技术等。
⑴ 防火墙。防火墙是应用最广的一种防范技术。作为系统的第一道防线，其主要作用是监控可信任网络和不可信任网络之间的访问通道，可在内部与外部网络之间形成一道防护屏障，拦截来自外部的非法访问并阻止内部信息的外泄，但它无法阻拦来自网络内部的非法操作。它根据事先设定的规则来确定是否拦截信息流的进出，但无法动态识别或自适应地调整规则，因而其智能化程度很有限。防火墙技术主要有三种：数据包过滤器(packet filter)、代理(proxy)和状态分析(stateful inspection)。现代防火墙产品通常混合使用这几种技术。
⑵ 入侵检测。入侵检测(IDS—Instrusion Detection System)是近年来发展起来的一种防范技术，综合采用了统计技术、规则方法、网络通信技术、人工智能、密码学、推理等技术和方法，其作用是监控网络和计算机系统是否出现被入侵或滥用的征兆。1987年，Derothy Denning首次提出了一种检测入侵的思想，经过不断发展和完善，作为监控和识别攻击的标准解决方案，IDS系统已经成为安全防御系统的重要组成部分。
入侵检测采用的分析技术可分为三大类：签名、统计和数据完整性分析法。
① 签名分析法。主要用来监测对系统的已知弱点进行攻击的行为。人们从攻击模式中归纳出它的签名，编写到IDS系统的代码里。签名分析实际上是一种模板匹配操作。
② 统计分析法。以统计学为理论基础，以系统正常使用情况下观察到的动作模式为依据来判别某个动作是否偏离了正常轨道。
③ 数据完整性分析法。以密码学为理论基础，可以查证文件或者对象是否被别人修改过。
IDS的种类包括基于网络和基于主机的入侵监测系统、基于特征的和基于非正常的入侵监测系统、实时和非实时的入侵监测系统等。
⑶ 协作式入侵监测技术
独立的入侵监测系统不能够对广泛发生的各种入侵活动都做出有效的监测和反应，为了弥补独立运作的不足，人们提出了协作式入侵监测系统的想法。在协作式入侵监测系统中，IDS基于一种统一的规范，入侵监测组件之间自动地交换信息，并且通过信息的交换得到了对入侵的有效监测，可以应用于不同的网络环境。
3. 宿主操作系统层次安全技术
操作系统是大型数据库系统的运行平台，为数据库系统提供一定程度的安全保护。目前操作系统平台大多数集中在Windows NT和Unix，安全级别通常为C1、C2级。主要安全技术有操作系统安全策略、安全管理策略、数据安全等方面。
操作系统安全策略用于配置本地计算机的安全设置，包括密码策略、账户锁定策略、审核策略、IP安全策略、用户权利指派、加密数据的恢复代理以及其它安全选项。具体可以体现在用户账户、口令、访问权限、审计等方面。
用户账户：用户访问系统的“身份证”，只有合法用户才有账户。
口令：用户的口令为用户访问系统提供一道验证。
访问权限：规定用户的权限。
审计：对用户的行为进行跟踪和记录，便于系统管理员分析系统的访问情况以及事后的追查使用。
安全管理策略是指网络管理员对系统实施安全管理所采取的方法及策略。针对不同的操作系统、网络环境需要采取的安全管理策略一般也不尽相同，其核心是保证服务器的安全和分配好各类用户的权限。
数据安全主要体现在以下几个方面：数据加密技术、数据备份、数据存储的安全性、数据传输的安全性等。可以采用的技术很多，主要有Kerberos认证、IPSec、SSL、TLS、VPN（PPTP、L2TP）等技术。
4. 数据库管理系统层次安全技术
数据库系统的安全性很大程度上依赖于数据库管理系统。如果数据库管理系统安全机制非常强大，则数据库系统的安全性能就较好。目前市场上流行的是关系式数据库管理系统，其安全性功能很弱，这就导致数据库系统的安全性存在一定的威胁。
由于数据库系统在操作系统下都是以文件形式进行管理的，因此入侵者可以直接利用操作系统的漏洞窃取数据库文件，或者直接利用OS工具来非法伪造、篡改数据库文件内容。这种隐患一般数据库用户难以察觉，分析和堵塞这种漏洞被认为是B2级的安全技术措
施。
数据库管理系统层次安全技术主要是用来解决这一问题，即当前面两个层次已经被突破的情况下仍能保障数据库数据的安全，这就要求数据库管理系统必须有一套强有力的安全机制。解决这一问题的有效方法之一是数据库管理系统对数据库文件进行加密处理，使得即使数据不幸泄露或者丢失，也难以被人破译和阅读。
我们可以考虑在三个不同层次实现对数据库数据的加密，这三个层次分别是OS层、DBMS内核层和DBMS外层。
⑴ 在OS层加密。在OS层无法辨认数据库文件中的数据关系，从而无法产生合理的密钥，对密钥合理的管理和使用也很难。所以，对大型数据库来说，在OS层对数据库文件进行加密很难实现。
⑵ 在DBMS内核层实现加密。这种加密是指数据在物理存取之前完成加/解密工作。这种加密方式的优点是加密功能强，并且加密功能几乎不会影响DBMS的功能，可以实现加密功能与数据库管理系统之间的无缝耦合。其缺点是加密运算在服务器端进行，加重了服务器的负载，而且DBMS和加密器之间的接口需要DBMS开发商的支持。
定义加密要求工具
DBMS
数据库应用系统
加密器
（软件或硬件）
⑶ 在DBMS外层实现加密。比较实际的做法是将数据库加密系统做成DBMS的一个外层工具，根据加密要求自动完成对数据库数据的加/解密处理：
定义加密要求工具加密器
（软件或硬件）
DBMS
数据库应用系统
采用这种加密方式进行加密，加/解密运算可在客户端进行，它的优点是不会加重数据库服务器的负载并且可以实现网上传输的加密，缺点是加密功能会受到一些限制，与数据库管理系统之间的耦合性稍差。
下面我们进一步解释在DBMS外层实现加密功能的原理：
数据库加密系统分成两个功能独立的主要部件：一个是加密字典管理程序，另一个是数据库加/解密引擎。数据库加密系统将用户对数据库信息具体的加密要求以及基础信息保存在加密字典中，通过调用数据加/解密引擎实现对数据库表的加密、脱密及数据转换等功能。数据库信息的加/解密处理是在后台完成的，对数据库服务器是透明的。
加密字典管理程序
加密系统
应用程序
数据库加解密引擎
数据库服务器
加密字典
用户数据
按以上方式实现的数据库加密系统具有很多优点：首先，系统对数据库的最终用户是完全透明的，管理员可以根据需要进行明文和密文的转换工作；其次，加密系统完全独立于数据库应用系统，无须改动数据库应用系统就能实现数据加密功能；第三，加解密处理在客户端进行，不会影响数据库服务器的效率。
数据库加/解密引擎是数据库加密系统的核心部件，它位于应用程序与数据库服务器之间，负责在后台完成数据库信息的加/解密处理，对应用开发人员和操作人员来说是透明的。数据加/解密引擎没有操作界面，在需要时由操作系统自动加载并驻留在内存中，通过内部接口与加密字典管理程序和用户应用程序通讯。数据库加/解密引擎由三大模块组成：加/解密处理模块、用户接口模块和数据库接口模块。其中，“数据库接口模块”的主要工作是接受用户的操作请求，并传递给“加/解密处理模块”，此外还要代替“加/解密处理模块”去访问数据库服务器，并完成外部接口参数与加/脱密引擎内部数据结构之间的转换。“加/解密处理模块”完成数据库加/解密引擎的初始化、内部专用命令的处理、加密字典信息的检索、加密字典缓冲区的管理、SQL命令的加密变换、查询结果的脱密处理以及加脱密算法实现等功能，另外还包括一些公用的辅助函数。
数据加/解密处理的主要流程如下：
1) 对SQL命令进行语法分析，如果语法正确，转下一步；如不正确，则转6)，直接将SQL命令交数据库服务器处理。
2) 是否为数据库加/脱密引擎的内部控制命令？如果是，则处理内部控制命令，然后转7)；如果不是则转下一步。
3) 检查数据库加/脱密引擎是否处于关闭状态或SQL命令是否只需要编译？如果是则转6)，否则转下一步。
4) 检索加密字典，根据加密定义对SQL命令进行加脱密语义分析。
5) SQL命令是否需要加密处理？如果是，则将SQL命令进行加密变换，替换原SQL命令，然后转下一步；否则直接转下一步。
6) 将SQL命令转送数据库服务器处理。
7) SQL命令执行完毕，清除SQL命令缓冲区。
以上以一个例子说明了在DBMS外层实现加密功能的原理。
5. 结束语
本文对数据库系统安全防入侵技术进行综述，提出了数据库系统的安全体系三个层次框架，并对三个层次的技术手段展开描述。文中还以在DBMS外层实现加密功能的原理为例，详细说明了如何应用数据库管理系统层次的安全技术。
数据库系统安全框架的三个层次是相辅相承的，各层次的防范重点和所采取的技术手段也不尽相同，一个好的安全系统必须综合考虑核运用这些技术，以保证数据的安全。
