迈向千兆WiFi必杀:初窥802.11ac/ad标准

–转载于新浪

WiFi网络发展至今,已经可以说是达到了一个非常不错的水准。今天在市面上能见到的先进无线局域网设备普遍都能支持802.11n标准,达到300Mbps的无线传输速率对我们来说已经是非常简单的事情。

  我们知道,11n标准最高可支持高达600Mbps的无线传输速率,也就是说目前成熟的技术标准还可以将现有传输速率提高一倍,但对于600Mbps速率的情绪波动也不再如802.11n刚出现那时能对802.11b时代引起轰动的那般强烈。

以上这些是当前无线网络传输技术发展的状况,但802.11标准工作小组可并不满足于此,一个全新的雄心勃勃的无线传输速率升级计划已经诞生–超越1Gbps的吞吐量。

  千兆无线传输登场 迈出关键第一步

  WiFi传输千兆标准的确立是无线传输史上的里程碑,标准制定小组在经过了仔细而周全的计划后针对未来无线网络应用方向最终提出了两个具体方案–802.11ac与802.11ad标准。

  两大标准的确立为无线传输技术的发展奠定了方向,不过由于针对不同的应用要求来考虑,两者也有明显的差异,下面的文章中我们便要为大家解决以下三个问题,让大家对千兆WiFi有一个真正整体的了解。

  1.什么是802.11ac标准?

  2.何为802.11ad标准?

  3.同为WiFi千兆标准的代言人,两者之间有何联系?

802.11ac–传统延续 吞吐量称王

  两大千兆标准草案中我们首先要来介绍的是802.11ac,作为802.11n标准的延续,11ac工作频段被设计为6GHz频率下以及支持大家熟知的11n标准中让我们眼前一亮的MIMO技术,并在此基础上技术改进与创新,以求达到1Gbps吞吐量的目标。

从诞生的时间上来看,早在2008年上半年802.11ac项目就已经开始着手,当时被称为“Very High Throughput(甚高吞吐量)”,目标直接就是达到1Gbps。

  从技术要求上观察,802.11ac支持更加宽广的频率分布以便让更高标准的无线传输速度成为可能。正如当初802.11n将支持的单通道工作频率由20MHz翻番变为40MHz一样,11ac将此频率再翻番甚至可以翻两番,达到80MHz或160MHz。

  不过更大的单通道工作频率也将为其带来更大的频道布局挑战,即使在广阔的5GHz频段。除此之外,提高数据传输速率效率也是每一个新802.11标准的重要目标。

  我们可以看到,其效率在802.11开始之时仅为0.1Mbps/MHz,现在的802.11n标准已经将这个数字推至7.5Mbps/MHz,而摆在我们面前的802.11ac必须通过多路MIMO技术来将效率推至更加出色的位置,难度可不小。

  此外,802.11ac还将向后兼容802.11全系列现有及即将发布的所有标准和规范。安全性方面,它将完全遵循802.11i安全标准的所有内容,使得无线WiFi能够在安全性方面满足企业级用户的需求。

  根据 802.11ac的实现目标,未来802.11ac将可以帮助企业或家庭实现无缝漫游,并且在漫游过程中支持WiFi产品相应的安全、管理以及诊断等应用。

802.11ad–应用至上 满足多彩生活

  802.11ad的出现针对的是多路高清视频和无损音频超过1Gbps的码率的要求,它将被用于实现家庭内部无线高清音视频信号的传输,为家庭多媒体应用带来更完备的高清视频解决方案。

从无线传输最为重要的频段使用上分析,由于应用难度的增大,6GHz一下的频段都不能满足要求,经过标准制定小组的确定,高频载波60GHz频谱成为了11ad的工作频段。

  目前看来,在此频段上世界上大多数国家具备足够空间以供其工作。并且通过对MIMO技术的支持,在实现多路传输的基础上,将使单一信道传输速率过1GHz,目前802.11ad草案中显示的资料表明其将支持近7GHz的吞吐量。

  面对如此惊人的无线传输能力,背后肯定将有一些短板来限制标准达到这一水平。由于60MHz频率的载波穿透能力很差,在空气中信号衰减也比较严重,这就严重限制了其传输距离与信号覆盖范围,有效连接只能局限于一个不大的范围内。

  不过虽然其信号覆盖范围受限制,但其频谱将会比以往更加“纯净”,因为现在来看,当今在此频率下工作的设备还比较少。

  所以从应用的角度来看,11ad的出现主要是用来服务于家庭中各个房间内设备的高速无线传输,比如实现高清信号的传输就相当不错。

Posted in 计算机网络 | Tagged , | Leave a comment

ASA防火墙应用(结合VMware和QEMU搭建仿真环境)

概述
如今网络安全日益重要,网络面临的威胁也越来越大,来自企业网内部和外部的网络攻击可能为企业带来严重的损失,问题产生时我们该如何解决?
防火墙是我们的首选考虑。思科防火墙在业界一直享有盛名,它集高安全性和高可扩展性于一身,能够对病毒、垃圾邮件、非授权访问等进行实时监控,企业用户的理想选择。前期在讲授网络高级课程安全模块时,防火墙技术主要是以讲解理论为主,配合ASA模拟器介绍常用命令的用法。没有把ASA放在一个具体的生产环境中来研究它是如何工作的,最近研究了一下VMware和QEMU,发现完全可以把二者结合起来,这样基于ASA的实验就更加完整了。同时,对于那些技术爱好者来说,也是不错的选择。于是我整理了一下文档,以一个企业常见拓扑为例来介绍ASA的典型配置。

文档分2部分:
第一部分:搭建VMware+ASA环境
第二部分:配置ASA应用

PS:由于实验过程截图较多,需要的朋友通过后面的链接下载附件。这里仅列出主要配置。

应用案例:

企业需求:

1、初始化配置
2、接口参数配置
3、配置远程管理接入
4、配置ASA静态路由
5、配置网络地址转换NAT
6、配置ACL实现内网正常访问外网
7、发布DMZ区域web服务器
8、配置URL过滤
9、其它配置

1、初始化配置命令
  hostname ciscoasa  ————————-//配置主机名
  domain-name cisco.com ————————-//配置域名
 enable password ciscoasa ————————-//配置特权模式密码
 passwd telciscoasa ————————-//配置telnet密码
 show firewall  ————————-//查看ASA工作模式(路由和透明)
 
 2、接口参数配置
 int e0/0 ————————-//进入接口模式
 nameif outside ————————-//命名接口
 security-level 0 ————————-//安全级别设置为0
 ip address 200.1.1.1 255.255.255.0 ————————-//配置outside接口IP地址
 no shutdown ————————-//开启端口
 exit
 int e0/1 ————————-//同上
 nameif inside
 security-level 100
 ip address 192.168.1.1 255.255.255.0
 no shutdown
 exit
 int e0/2 ————————-//同上
 nameif dmz
 security-level 50
 ip address 172.16.1.1 255.255.255.0
 no shutdown
 exit
 show interface interface brief ————————-//查看接口IP信息
 
 3、配置远程管理接入
  username admin password admin privilege 15 ————————-//建立本地特权用户账号
  telnet 192.168.1.0 255.255.255.0 inside ————————-//允许内网机器从inside接口接入
  telnet timeout 60 ————————-//超时时间为60秒
  aaa authentication telnet console LOCAL ————————-//启用本地账户身份验证
 
  crypto key generate rsa modu 1024 ————————-//生成RSA密钥对
  ssh 0 0 outside  ————————-//允许任意机器从outside接口加密连接
  ssh timeout 60 ————————-//超时时间为60秒
  ssh ver 2 ————————-//启用SSH 版本2
  aaa authentication ssh console LOCAL  //认证使用本地数据库
 
 4、配置ASA静态路由
  route outside 0 0 200.1.1.2 ————————-//配置缺省路由
  sh route ————————-//查看路由表
 
  5、配置网络地址转换NAT
  nat (inside) 1 192.168.1.0 255.255.255.0 ————————-//设置被转换地址范围及local接口
  global (outside) 1 interface ————————-//设置转换地址及global接口
  global (dmz) 1 interface ————————-//设置转换地址及global接口
  sh xlate ————————-//查看NAT转换表
 
  6、配置ACL实现内网正常访问外网
  access-list 101 extended permit tcp 192.168.1.0 255.255.255.0 any eq 80 ————————-//允许内部网段访问外部http服务
  access-list 101 extended permit tcp 192.168.1.0 255.255.255.0 any eq 53
  access-list 101 extended permit udp 192.168.1.0 255.255.255.0 any eq 53 ————————-//允许内部网段访问外部DNS服务
  access-list 101 extended permit tcp 192.168.1.0 255.255.255.0 any eq 554 ————————-//允许内部网段访问外部流媒体服务
  access-group 101 in interface inside ————————-//应用ACL到inside接口进方向
 
 
  7、发布DMZ区域web服务器
  static (dmz,outside) 200.1.1.1 tcp interface 172.16.1.2 www ————————-//设置静态NAT并进行端口映射
  access-list 102 extended permit tcp any interface outside eq 80 ————————-//开启访问outside接口80端口
  access-group 102 in interface outside ————————-//应用ACL102到outside接口进方向
 
  8、配置URL过滤
  step1:定义Regex(正则表达式)-定义URL匹配的字符串
  step2:创建class-map(类映射)-识别传输流量,分类流量
  step3:创建policy-map(策略映射)-针对不同的类执行不同的操作
  step4:应用policy-map应用接口上
 
   regex url1 “\.sohu\.com”
—————————————————————————————————–
   access-list tcp_filter permit tcp 192.168.10.0 255.255.255.0 any eq www
   class-map tcp_filter_class
   match access-list tcp_filter 
—————————————————————————————————–
   class-map type inspect http http_class
   match request header host regex url1
—————————————————————————————————–
   policy-map type inspect http http_url_policy
   class http_class
   drop-connection log 
—————————————————————————————————–
   policy-map inside_http_url_policy 
   class tcp_filter_class
   inspect http http_url_policy
—————————————————————————————————–
   service-policy inside_http_url_policy interface inside
 
 
  其他配置
  清空当前ASA相关协议配置
  clear config route|static|nat|global
 
  清空ASA所有配置
  clear config all
 
  配置ASA日志管理服务器
  logging enable
  logging trap informational
  logging host inside 192.168.1.2
 
  高级配置
  启用IDS功能
  ASA防火墙上配置IPSecVPN
  ASA上配置SSL/Easy Vpn
  配置Failover增加可用性
  配置负载均衡
  希望大家继续关注!

配置ASA防火墙

Posted in 网络安全, 计算机网络 | Tagged , , , | Leave a comment

网络工程&情书

下面是位高人对于网络工程的一点看法,非常形象和生动,特转载过来,让我们来感受一下作者对于技术的热爱和雅兴。

我以为我们同属于/30,ping出timed out才明白处于不同的VLAN. 我尝试着用爱做route,并用Tracer来验证,complete的结果曾经让我感到兴奋无比.

接着,我试着用net use 打开你的心扉,我才发现原来你的net share并没有为我而start. 我开始急了,于是使用ping flood,希望有一天你能为我的执着而感动,可是TTL一次又一次过去了,你依然no response.我开始绝望了,可是一次偶然的机会让我发现原来你并没有处在DMZ里面,我才了解你还是很受伤的,才会把自己禁锢在intranet里面,但是我心里一直期待着vpn那天的到来,希望有一天你能够将我放在你的ACL内,到那时,我将会把我对你的爱用md5 encrypt,借着L2TP向你转达我对你的思念;

同时,你也可以用IPSEC向我倾诉你的寂寞,我深信,我们的爱经受得住IP V6的考验,因为我们的心与心之间,已经建立起了基于TB Fiber带宽的IP Tunnel.

——-为什么爱情不能像设置VLAN一样把不同的“IP”的人绑在一起.

为什么周遭的事物不能像创建ACL那样随心所欲的控制. 为什么相爱的人远在天涯却不能像做VPN一样,拉到近在咫尺. 为什么你我之间没有一个边界路由呢?我已经给你发了公告包了,可是你却没有学习我的路由表,你甚至连一个Default Route的机会都不给我. 你把自己一层一层的封闭,telnet…enable…conf t…ip router…是谁给了你address,是谁给了你router table,是谁给了你access-list,你的生活又遵循怎样的NAT.我想要加入你的网络,让你所有子网路由都向我发公告包吧!我能承受.

人生有太多太多的选择了,但是正是因为有了太多的选择,迷茫了~~~懊悔了~~~,不知道自己真正需要的是什么. 回头才发现,原来—我只要我们在一起,其它一切都是假的. 我从modem这样的一层设备一层层的爬,发现二层的switch不适合我,三层的router也不是我的归宿. 现在的我就像一个边界路由,不知道那些数据包应该何去何从.没有了你就没有了table,我要大喊一声,你就是我的机架,让我回到我的机架上吧!

直到有一天,“四层协议”告诉我,原来address是可以伪造的,就连MAC—Address都是可以伪造的.这一切都是假的,我被下层设备欺骗了.那些我曾经不屑的modem,switch…

你让我如何相信还有爱情….

Posted in 网络安全, 计算机网络 | Tagged , | Leave a comment