項(xiàng)目8-流量整形系統(tǒng)

網(wǎng)絡(luò)安全技術(shù)項(xiàng)目化教程主編段新華宋風(fēng)忠中國(guó)水利水電出版社項(xiàng)目8流量整形系統(tǒng)

項(xiàng)目導(dǎo)讀互聯(lián)網(wǎng)正飛速改變著全球企業(yè)的經(jīng)營(yíng)模式，電子商務(wù)的崛起，企業(yè)都以嶄新且有效的方式與客戶(hù)、員工、供應(yīng)商及業(yè)務(wù)伙伴進(jìn)行溝通。隨著互聯(lián)網(wǎng)的普及，用戶(hù)對(duì)互聯(lián)網(wǎng)依賴(lài)越來(lái)越深，同時(shí)網(wǎng)絡(luò)給用戶(hù)帶來(lái)的煩惱也日益嚴(yán)重，用戶(hù)常常覺(jué)得自己的帶寬不夠用。其中一個(gè)原因就是網(wǎng)絡(luò)應(yīng)用的迅猛發(fā)展，尤其最近幾年出現(xiàn)的P2P軟件和網(wǎng)絡(luò)病毒，極大的消耗了有限的網(wǎng)絡(luò)資源。本項(xiàng)目以神州數(shù)碼DCFS流量整形網(wǎng)關(guān)為例，解決網(wǎng)絡(luò)擁塞等問(wèn)題。教學(xué)目標(biāo)認(rèn)識(shí)流量整形系統(tǒng)及初始環(huán)境搭建。DCFS流量整形系統(tǒng)管理與維護(hù)。控制策略快速攔截P2P。限制P2P應(yīng)用流量。限制IP地址段中每個(gè)IP的帶寬。限制用戶(hù)會(huì)話(huà)數(shù)。任務(wù)1認(rèn)識(shí)流量整形系統(tǒng)及初始環(huán)境搭建任務(wù)描述了解流量整形系統(tǒng)的關(guān)鍵技術(shù)，掌握深層速率控制技術(shù)原理和帶寬管理的方法。通過(guò)搭建配置環(huán)境來(lái)管理流量整形系統(tǒng)。任務(wù)要求了解流量整形的工作原理及關(guān)鍵技術(shù)。掌握web網(wǎng)頁(yè)方式管理流量整形系統(tǒng)。。實(shí)現(xiàn)方法1．確認(rèn)安裝環(huán)境和客戶(hù)端環(huán)境DCFS流量控制網(wǎng)關(guān)產(chǎn)品是一臺(tái)標(biāo)準(zhǔn)的19英寸設(shè)備，除以下基本要求外，對(duì)安裝環(huán)境沒(méi)有其他特別的要求：溫度：10-40攝氏度。相對(duì)濕度：運(yùn)行濕度：10-90%。標(biāo)稱(chēng)電壓：220V50Hz。網(wǎng)絡(luò)接口：10/100/1000BaseTX/SX。由于流量控制網(wǎng)關(guān)產(chǎn)品的客戶(hù)端管理工具是基于WEB方式的，所以客戶(hù)端不需要安裝特殊的軟件，只要有通用的瀏覽器軟件即可。建議客戶(hù)端運(yùn)行環(huán)境為：操作系統(tǒng)：WindowsXP或Windows7瀏覽器：IE6.0顯示器設(shè)置：分辨率1024*768，小字體2．確認(rèn)并使用默認(rèn)參數(shù)登錄服務(wù)器地址：54。管理界面URL：54:9999/。管理員名稱(chēng)：admin。缺省密碼：Admin123（注意A為大寫(xiě)）。Console口管理員：root。Console口密碼：abc123。2．確認(rèn)并使用默認(rèn)參數(shù)登錄管理員可在任何一臺(tái)可以訪(fǎng)問(wèn)到流量控制網(wǎng)關(guān)設(shè)備網(wǎng)絡(luò)地址的計(jì)算機(jī)上，打開(kāi)瀏覽器，在地址欄輸入IP地址，協(xié)議為https，訪(fǎng)問(wèn)端口為9999，即輸入https://54:9999，然后選擇“是”確認(rèn)安全警告，則進(jìn)入管理員登錄界面。2．確認(rèn)并使用默認(rèn)參數(shù)登錄管理員輸入正確的用戶(hù)名和口令并提交后，則進(jìn)入WEB管理工具的主菜單，如下圖8-1所示，從上到下，共分為五個(gè)功能區(qū)：系統(tǒng)管理、網(wǎng)絡(luò)管理、對(duì)象管理、控制策略、系統(tǒng)監(jiān)控。此時(shí)管理員即可開(kāi)始對(duì)系統(tǒng)進(jìn)行操作，任何時(shí)候如果管理員連續(xù)十五分鐘沒(méi)有任何操作而且沒(méi)有退出登錄，則系統(tǒng)自動(dòng)強(qiáng)制該管理員退出登錄狀態(tài)，管理員要想重新使用WEB管理工具，必須重新登錄。任務(wù)2DCFS流量整形系統(tǒng)管理與維護(hù)任務(wù)描述本任務(wù)主要是掌握系統(tǒng)管理的功能，這一部分功能區(qū)的菜單結(jié)構(gòu)如下：|----添加/修改管理員|----修改管理員口令|----設(shè)置系統(tǒng)時(shí)間|----保存全部配置|----查詢(xún)操作日志|----更新/升級(jí)系統(tǒng)|----協(xié)議庫(kù)升級(jí)|----系統(tǒng)升級(jí)|----配置文件管理|----配置文件下載

|----配置文件上傳|----重啟/關(guān)閉系統(tǒng)|----恢復(fù)出廠(chǎng)設(shè)置|----設(shè)置許可協(xié)議|----注銷(xiāo)。任務(wù)要求掌握流量整形系統(tǒng)的系統(tǒng)管理功能，能夠添加或修改管理員用戶(hù)，管理配置文件及完成系統(tǒng)升級(jí)等任務(wù)。實(shí)現(xiàn)方法1．添加和修改管理員（1）這部分菜單完成對(duì)系統(tǒng)管理員的管理，包括添加管理員、設(shè)置管理員屬性、刪除管理員等。該菜單進(jìn)入“管理用戶(hù)列表”頁(yè)面實(shí)現(xiàn)方法1．查看當(dāng)前配置和導(dǎo)入導(dǎo)出配置（2）如果當(dāng)前登錄的管理員有足夠的權(quán)限，可以點(diǎn)擊鏈接“刪除”刪除管理員，也可以點(diǎn)擊鏈接“修改”修改管理員信息，此時(shí)進(jìn)入“修改管理員屬性”頁(yè)面實(shí)現(xiàn)方法2．設(shè)置系統(tǒng)時(shí)間單擊設(shè)置系統(tǒng)時(shí)間菜單，進(jìn)入“設(shè)置系統(tǒng)時(shí)間”頁(yè)面，管理員可以重新設(shè)置系統(tǒng)時(shí)間。為保證安全，必須同時(shí)正確輸入admin的密碼，才能提交此操作。注意：不恰當(dāng)?shù)男薷南到y(tǒng)時(shí)間可能引起嚴(yán)重的系統(tǒng)錯(cuò)誤，請(qǐng)謹(jǐn)慎進(jìn)行此操作。實(shí)現(xiàn)方法3．保存全部配置單擊保存全部配置菜單進(jìn)入“保存設(shè)置”頁(yè)面，輸入管理員的密碼，點(diǎn)擊“保存設(shè)置”按鈕可以保存當(dāng)前全部設(shè)置信息，包括網(wǎng)絡(luò)設(shè)置、規(guī)則設(shè)置等。實(shí)現(xiàn)方法4．查詢(xún)操作日志單擊查詢(xún)操作日志菜單進(jìn)入“查詢(xún)操作日志”頁(yè)面，在這里可以根據(jù)管理員名稱(chēng)、操作時(shí)間或者管理員的登錄地址等條件查詢(xún)管理員的操作日志。實(shí)現(xiàn)方法5．更新和升級(jí)系統(tǒng)設(shè)備支持完善的系統(tǒng)升級(jí)，升級(jí)共分為兩種：一種是應(yīng)用協(xié)議庫(kù)的升級(jí)；另外一種是整個(gè)系統(tǒng)固件的升級(jí)。協(xié)議庫(kù)升級(jí)，廠(chǎng)家會(huì)定期發(fā)布協(xié)議庫(kù)升級(jí)的文件，用戶(hù)在界面點(diǎn)擊“瀏覽”選擇需要升級(jí)的協(xié)議庫(kù)文件即可。實(shí)現(xiàn)方法5．更新和升級(jí)系統(tǒng)系統(tǒng)升級(jí)，系統(tǒng)升級(jí)是系統(tǒng)固件的升級(jí)，升級(jí)之前需慎重，升級(jí)的過(guò)程不能被打斷，否則會(huì)出現(xiàn)設(shè)備不能正常啟動(dòng)的情況。系統(tǒng)的升級(jí)支持多種方式：HTTP、FTP以及TFTP，用戶(hù)需要準(zhǔn)備HTTP、FTP或者TFTPServer，將升級(jí)的固件文件放到相應(yīng)的Server目錄下，將URL（地址）輸入到輸入框中，輸入管理員的密碼，系統(tǒng)會(huì)自動(dòng)升級(jí)重啟，升級(jí)的開(kāi)始如果提示錯(cuò)誤，可能是輸入的地址錯(cuò)誤，也可能是升級(jí)包的版本或者兼容性的問(wèn)題，請(qǐng)聯(lián)系廠(chǎng)商。實(shí)現(xiàn)方法6．配置文件管理這部分菜單完成配置文件備份和重載的功能。配置文件下載，單擊配置文件下載菜單進(jìn)入“下載配置文件”頁(yè)面，可以把保存系統(tǒng)所有配置信息的配置文件下載到本地計(jì)算機(jī)備份。下載之前必須正確輸入管理員自己的密碼，點(diǎn)擊“下載”按鈕后選擇“將該文件保存到磁盤(pán)”，然后指定保存到本地的目錄和文件名即可。實(shí)現(xiàn)方法6．配置文件管理配置文件上傳，當(dāng)需要從備份的配置文件恢復(fù)系統(tǒng)時(shí)，點(diǎn)擊配置文件上傳菜單進(jìn)入“上傳配置文件”頁(yè)面，恢復(fù)配置需要重新啟動(dòng)系統(tǒng)。實(shí)現(xiàn)方法7．重啟和關(guān)閉系統(tǒng)單擊該菜單進(jìn)入重啟/關(guān)閉系統(tǒng)頁(yè)面，如下圖8-14所示，此頁(yè)面內(nèi)有兩個(gè)選項(xiàng)：“關(guān)閉電源”和“重新啟動(dòng)”，用戶(hù)可以選擇其中一項(xiàng)操作，點(diǎn)擊“確定”后進(jìn)入到另一個(gè)請(qǐng)求確認(rèn)的頁(yè)面，用戶(hù)可以選擇“取消”撤銷(xiāo)操作，或選擇“確認(rèn)”執(zhí)行操作。實(shí)現(xiàn)方法8．恢復(fù)出廠(chǎng)配置該功能可以將系統(tǒng)的配置恢復(fù)到出廠(chǎng)狀態(tài)，出廠(chǎng)設(shè)置需要在系統(tǒng)重新啟動(dòng)后方能生效，因此使用該功能系統(tǒng)需要重新啟動(dòng)?；謴?fù)出廠(chǎng)設(shè)置需要輸入admin密碼方能使用。點(diǎn)擊該菜單進(jìn)入恢復(fù)出廠(chǎng)設(shè)置頁(yè)面。實(shí)現(xiàn)方法9．軟件許可點(diǎn)擊設(shè)置許可協(xié)議菜單進(jìn)入“增加/修改許可協(xié)議”頁(yè)面，在這里可以輸入由生產(chǎn)廠(chǎng)商提供的許可協(xié)議，但必須同時(shí)輸入管理員密碼才能提交。注意：軟件許可協(xié)議是為了保護(hù)生產(chǎn)廠(chǎng)商知識(shí)產(chǎn)權(quán)采取的安全措施。系統(tǒng)使用時(shí)間超過(guò)軟件許可協(xié)議允許的期限后，系統(tǒng)將不能繼續(xù)工作，必須與生產(chǎn)廠(chǎng)商聯(lián)系索取新的許可協(xié)議。任務(wù)3控制策略任務(wù)描述這一部分功能區(qū)主要設(shè)置流量控制網(wǎng)關(guān)的策略設(shè)置，掌握控制策略的設(shè)置，菜單包含參數(shù)設(shè)置、預(yù)置安全策略、應(yīng)用訪(fǎng)問(wèn)控制、帶寬通道管理、帶寬分配策略、二級(jí)帶寬策略、分區(qū)統(tǒng)計(jì)策略。任務(wù)要求掌握流量整形系統(tǒng)的控制策略。實(shí)現(xiàn)方法1．參數(shù)設(shè)置。單擊參數(shù)設(shè)置菜單進(jìn)入“參數(shù)設(shè)置”頁(yè)面，如下圖共三個(gè)頁(yè)面，可以對(duì)系統(tǒng)處理TCP/IP協(xié)議的一些重要參數(shù)進(jìn)行設(shè)置。實(shí)現(xiàn)方法2．預(yù)置安全規(guī)則。當(dāng)系統(tǒng)受到攻擊或者是系統(tǒng)連接的某些線(xiàn)路出現(xiàn)問(wèn)題時(shí)，用戶(hù)可能會(huì)需要暫時(shí)禁止某些來(lái)源IP和端口的訪(fǎng)問(wèn)，也可能因?yàn)槟承┌踩?，系統(tǒng)需要禁止目標(biāo)IP和端口的訪(fǎng)問(wèn)，此時(shí)需要預(yù)置安全規(guī)則來(lái)做簡(jiǎn)單的安全策略。打開(kāi)“預(yù)置安全策略”。實(shí)現(xiàn)方法3．應(yīng)用訪(fǎng)問(wèn)規(guī)則。應(yīng)用訪(fǎng)問(wèn)規(guī)則是針對(duì)應(yīng)用協(xié)議的訪(fǎng)問(wèn)控制，利用應(yīng)用訪(fǎng)問(wèn)規(guī)則可以快速的禁止管理員指定的應(yīng)用協(xié)議，如BT、MSN、QQ等協(xié)議。單擊應(yīng)用訪(fǎng)問(wèn)規(guī)則菜單進(jìn)入應(yīng)用訪(fǎng)問(wèn)規(guī)則列表頁(yè)面，可以看到系統(tǒng)當(dāng)前應(yīng)用訪(fǎng)問(wèn)規(guī)則的列表。實(shí)現(xiàn)方法4．帶寬通道管理。單擊帶寬通道管理菜單進(jìn)入“帶寬通道管理”頁(yè)面，如下圖所示。圖中顯示了當(dāng)前全部的帶寬分配策略。帶寬分配策略為樹(shù)狀結(jié)構(gòu)，可以分為多個(gè)分支，每一個(gè)分支內(nèi)分配策略的最低帶寬之和不得大于該分支母節(jié)點(diǎn)的帶寬。用鼠標(biāo)左鍵點(diǎn)擊一條分配策略，可以選擇“修改”或“刪除”分別修改或刪除該條策略。實(shí)現(xiàn)方法5．帶寬分配策略。定義了帶寬分配策略后就可以給不同的網(wǎng)絡(luò)應(yīng)用和來(lái)源/目標(biāo)地址指定不同的分配策略。點(diǎn)擊該菜單進(jìn)入“帶寬分配策略”頁(yè)面，顯示系統(tǒng)所有的帶寬處理規(guī)則。需要指出的是，系統(tǒng)匹配規(guī)則時(shí)是按照列表中自上而下的順序檢查，當(dāng)檢查到第一條匹配的規(guī)則后，系統(tǒng)將不再繼續(xù)檢查后面的規(guī)則。處理規(guī)則在規(guī)則列表中的位置可以調(diào)整。帶寬處理規(guī)則列表中每條規(guī)則的“移動(dòng)”項(xiàng)都有鏈接向上或向下箭頭或二者都有。點(diǎn)擊向上箭頭則該規(guī)則向前移動(dòng)一個(gè)位置，點(diǎn)擊向下箭頭策略向后移動(dòng)一個(gè)位置。實(shí)現(xiàn)方法6．二級(jí)帶寬策略。一般的情況下不需要二級(jí)帶寬策略，在較特殊需求的情況下，需要使用二級(jí)帶寬策略，例如這樣的需求：學(xué)校需要限制每個(gè)學(xué)生的帶寬總量，在此基礎(chǔ)上，學(xué)校需要限制總出口P2P的流量。舉個(gè)例子：學(xué)校共有100M帶寬，學(xué)校限制每個(gè)學(xué)生512K上網(wǎng)帶寬（不管什么應(yīng)用），然后學(xué)校還需要在總出口處限制P2P的流量不超過(guò)10M，兩個(gè)簡(jiǎn)單的策略不能實(shí)現(xiàn)這種需求，必須使用二級(jí)帶寬策略（否則會(huì)出現(xiàn)主機(jī)流量疊加的情況），做法如下：先生成一條帶寬分配策略，功能是“限制每個(gè)學(xué)生512K上網(wǎng)帶寬”，做完這條策略后，需要做一條二級(jí)帶寬策略，這條二級(jí)帶寬策略的做法類(lèi)似于前面帶寬通道管理，但是有兩點(diǎn)區(qū)別：一是帶寬通道的位置，按照帶寬通道管理的做法，我們需要建立一個(gè)10M的P2P帶寬通道，因?yàn)槭嵌?jí)帶寬通道使用的策略，所以如果都屬于總出口的子通道，會(huì)出現(xiàn)重復(fù)統(tǒng)計(jì)的問(wèn)題，因此此處所作的通道必須與總出口的通道屬于同一級(jí)。任務(wù)4快速攔截P2P應(yīng)用任務(wù)描述P2P軟件對(duì)網(wǎng)絡(luò)流量的使用較大,在局域網(wǎng)內(nèi)最明顯,有的P2P軟件,如終結(jié)者可以直接對(duì)你的電腦進(jìn)行流量控制,因此有的時(shí)候出現(xiàn)的網(wǎng)絡(luò)速度非常慢，甚至導(dǎo)致整個(gè)網(wǎng)絡(luò)出現(xiàn)問(wèn)題，我們可以通過(guò)流量整形系統(tǒng)來(lái)進(jìn)行限制。任務(wù)要求限制內(nèi)網(wǎng)的P2P應(yīng)用，特別是目前常用的一些P2P應(yīng)用。實(shí)現(xiàn)方法1．流量控制網(wǎng)關(guān)一個(gè)很常見(jiàn)的應(yīng)用就是攔截目前流行的P2P應(yīng)用，將設(shè)備使用橋接方式接入網(wǎng)絡(luò)后，進(jìn)入管理界面，點(diǎn)擊菜單“控制策略”→“應(yīng)用訪(fǎng)問(wèn)控制”。實(shí)現(xiàn)方法2．進(jìn)入“應(yīng)用訪(fǎng)問(wèn)控制”頁(yè)面之后，點(diǎn)擊右上角按鈕“新增規(guī)則”，將操作選擇為“攔截”實(shí)現(xiàn)方法3．單擊“應(yīng)用”項(xiàng)頁(yè)面，選擇與P2P相關(guān)的應(yīng)用協(xié)議，然后“設(shè)定”即可。任務(wù)5限制P2P應(yīng)用的流量任務(wù)描述現(xiàn)實(shí)生活中，不可能完全限制P2P應(yīng)用，我們可以通過(guò)限制P2P應(yīng)用的流量，使得P2P應(yīng)用的流量不會(huì)對(duì)網(wǎng)絡(luò)造成很大的影響,也不會(huì)影響P2P應(yīng)用。任務(wù)要求限制P2P應(yīng)用流量是流量控制網(wǎng)關(guān)的一個(gè)很常見(jiàn)的應(yīng)用實(shí)例，例如總的帶寬為100M，現(xiàn)在準(zhǔn)備將P2P應(yīng)用限制為10M（單向10M，雙向20M）。實(shí)現(xiàn)方法1．定義帶寬通道（2）打開(kāi)“帶寬通道管理”頁(yè)面后，點(diǎn)擊右上角按鈕“新增帶寬通道”，如圖8-34所示。圖中是定義出口通道，也就是其他待定義通道的父通道，定義好出口100M的父通道后，點(diǎn)擊右側(cè)的“新建子通道”，建立P2P帶寬通道。實(shí)現(xiàn)方法1．定義帶寬通道（3）圖中10M指的是單向流量，但是在監(jiān)控設(shè)置中默認(rèn)顯示的是雙向的流量，所以在“流量分析圖”中顯示的可能是20M左右的流量；如果想對(duì)P2P上行和下行流量做不對(duì)稱(chēng)的控制，帶寬上限的格式為：下載/上傳，如果限制P2P流量下載10M，上傳8M，則應(yīng)該在“帶寬上限”處寫(xiě)入的格式是：10M/8M。實(shí)現(xiàn)方法1．定義帶寬通道（4）因?yàn)閷?duì)P2P的流量控制一般不應(yīng)該超出其帶寬上限，所以應(yīng)該將“允許超出帶寬上限”勾去掉。實(shí)現(xiàn)方法1．定義帶寬通道（1）打開(kāi)菜單“控制策略”→“帶寬通道管理”實(shí)現(xiàn)方法2．帶寬分配策略（1）定義完帶寬通道后，通道并不生效，必須定義相應(yīng)的策略跟通道關(guān)聯(lián)，使其生效。單擊菜單“控制策略”→“帶寬分配策略”。實(shí)現(xiàn)方法2．帶寬分配策略（2）進(jìn)入“帶寬分配策略”頁(yè)面后，單擊按鈕“新增帶寬策略”，選擇我們上面所作的帶寬通道－P2P通道，接口選擇“內(nèi)網(wǎng)”到“外網(wǎng)”。實(shí)現(xiàn)方法2．帶寬分配策略（3）單擊“服務(wù)”頁(yè)面，選擇相關(guān)的P2P服務(wù)，點(diǎn)擊“設(shè)定”即可，勾選各種常用的P2P應(yīng)用。如果只針對(duì)某段地址限制，則需要在來(lái)源項(xiàng)指定來(lái)源地址。任務(wù)6限制IP地址段中每個(gè)IP的帶寬任務(wù)描述在實(shí)際的應(yīng)用中經(jīng)?？梢耘龅竭@種需求：限制某個(gè)或者某些IP地址段的帶寬，例如：在校園網(wǎng)中，需要對(duì)宿舍區(qū)限制帶寬，規(guī)定每個(gè)學(xué)生的帶寬不能超過(guò)1M，可以采用如下做法：假設(shè)校園網(wǎng)總出口為100M，準(zhǔn)備分配給學(xué)生宿舍區(qū)的帶寬為80M，每個(gè)學(xué)生限制為1M。任務(wù)要求限制學(xué)生宿舍區(qū)總帶寬為80M，并限制每個(gè)用戶(hù)或IP的帶寬為1M。實(shí)現(xiàn)方法1．配置地址組

設(shè)置地址組對(duì)象，將學(xué)生宿舍區(qū)的地址設(shè)置為一個(gè)對(duì)象，點(diǎn)擊菜單“對(duì)象管理”→“地址組管理”，點(diǎn)擊新增地址組，將學(xué)生宿舍區(qū)的地址寫(xiě)入。實(shí)現(xiàn)方法2．帶寬通道設(shè)置（1）配置完地址組后，應(yīng)該設(shè)置帶寬通道策略。首先設(shè)置出口帶寬通道，打開(kāi)“帶寬通道管理”頁(yè)面后，點(diǎn)擊右上角按鈕“新增帶寬通道”。實(shí)現(xiàn)方法2．帶寬通道設(shè)置（2）定義好出接口父帶寬通道后，點(diǎn)擊右側(cè)的“新建子通道”，定義學(xué)生宿舍區(qū)的帶寬，帶寬上限為80M。實(shí)現(xiàn)方法2．帶寬通道設(shè)置（3）因?yàn)樾枰拗泼總€(gè)學(xué)生的帶寬，所以必須限制每個(gè)終端的帶寬，點(diǎn)擊“終端設(shè)置”，將每個(gè)終端的帶寬設(shè)置為1