基于QOS的高效安全網(wǎng)絡(luò)研究

穆曉龍

（河北省保定市家具工業(yè)公司 網(wǎng)絡(luò)中心，河北 保定 071000）

1 網(wǎng)絡(luò)現(xiàn)狀分析

隨著互聯(lián)網(wǎng)技術(shù)的高速發(fā)展，計算機(jī)網(wǎng)絡(luò)遍及世界，人們通過網(wǎng)絡(luò)來完成各種工作。但是網(wǎng)絡(luò)的廣泛應(yīng)用也給人們帶來了難以處理的問題，例如安全性、帶寬、穩(wěn)定性、費用等。因此一個穩(wěn)定、安全、廉價的網(wǎng)絡(luò)變得尤為重要，在構(gòu)建這個網(wǎng)絡(luò)之前需要認(rèn)識當(dāng)前我們所面臨的問題。

1.1 網(wǎng)絡(luò)安全問題

在15年之前，網(wǎng)絡(luò)安全是一個很簡單的問題，同樣也十分容易解決。因為當(dāng)時網(wǎng)絡(luò)范圍很小，僅局限于幾所大學(xué)和政府機(jī)構(gòu)的鏈接，用戶僅需使用密碼對賬戶進(jìn)行加密即可，同時使用簡單的包過濾防火墻限制流量。然而隨著網(wǎng)絡(luò)的發(fā)展壯大，黑客攻擊、蠕蟲、病毒和其他網(wǎng)絡(luò)威脅也日益增多，安全性成為網(wǎng)絡(luò)主要的問題之一。而且隨著對Internet探索的不斷深入，軟件應(yīng)用的增加以及日漸頻繁的黑客攻擊，網(wǎng)絡(luò)安全成為十分復(fù)雜的問題，需要制定一個很周密的安全方案來解決當(dāng)前的問題。此類方案既不能影響用戶的正常業(yè)務(wù)，又要有足夠的靈活度來適應(yīng)未來網(wǎng)絡(luò)的擴(kuò)充和技術(shù)的拓展。

1.2 實時數(shù)據(jù)傳輸問題

當(dāng)前網(wǎng)絡(luò)承載著大量的實時數(shù)據(jù)，如視頻會議、網(wǎng)絡(luò)教學(xué)、IP電話等。此類數(shù)據(jù)的特點是數(shù)據(jù)量大、對延遲相當(dāng)敏感，需要較大帶寬的支持，用戶才可以得到清晰和連續(xù)的語音和視頻服務(wù)。然而用戶通常會走入一個誤區(qū)，即一味的增加帶寬和更新設(shè)備而不去做詳細(xì)規(guī)劃，其實多數(shù)的園區(qū)網(wǎng)絡(luò)帶寬和設(shè)備足以滿足用戶的所有需求，只是缺乏詳細(xì)的規(guī)劃，網(wǎng)絡(luò)中有大量帶寬被垃圾數(shù)據(jù)侵占，同時各種下載流量也是帶寬消耗的重要原因。因此，如果能合理地規(guī)劃分配帶寬，用戶就可以在同樣的硬件基礎(chǔ)上實現(xiàn)更高的應(yīng)用要求。

1.3 內(nèi)外網(wǎng)絡(luò)負(fù)載均衡

負(fù)載均衡設(shè)備近些年被人們逐漸重視起來。事實上，負(fù)載均衡的機(jī)制一直都在我們身邊，只不過沒能真正被人們使用。用戶普遍認(rèn)為負(fù)載均衡設(shè)備僅適用于帶寬的負(fù)載，其實負(fù)載均衡涉及到多個層面，例如帶寬、鏈路、設(shè)備等等都使用了負(fù)載均衡的機(jī)制。另外，人們對負(fù)載均衡的考慮大多都是局限在外網(wǎng)，很少考慮到內(nèi)網(wǎng)，然而事實證明，內(nèi)網(wǎng)的負(fù)載不均所引起的網(wǎng)絡(luò)故障遠(yuǎn)遠(yuǎn)多于外網(wǎng)，而且由于用戶對網(wǎng)絡(luò)負(fù)載均衡設(shè)備認(rèn)識不深，一味地增加網(wǎng)絡(luò)負(fù)載均衡設(shè)備，在無形當(dāng)中也增加了網(wǎng)絡(luò)的單點故障率，同時產(chǎn)生了帶寬瓶頸。

1.4 資金問題

網(wǎng)絡(luò)設(shè)備的價格一直都是用戶所關(guān)心的問題，一個網(wǎng)絡(luò)設(shè)備具備高性能的同時也代表了高昂的價格。一些資金充裕的用戶為了追求高性能，使用多種不同的專業(yè)設(shè)備，耗費大量資金打造高性能的網(wǎng)絡(luò)環(huán)境。這樣做往往不是一個好的選擇，由于設(shè)備種類繁多，對日常維護(hù)人員的技術(shù)要求也是一個考驗，而且隨著設(shè)備的增多，網(wǎng)絡(luò)故障率也在無形之中增大。對于那些資金不足的用戶來說，更是無力支付高昂的設(shè)備及其維護(hù)費用。

2 QOS綜合實現(xiàn)多種網(wǎng)絡(luò)需求

QOS（Quality of Service）即服務(wù)質(zhì)量。相對于網(wǎng)絡(luò)應(yīng)用流量，服務(wù)質(zhì)量包括傳輸帶寬、傳送時延、丟包率等。在網(wǎng)絡(luò)中可以通過規(guī)定傳輸帶寬、減少傳送時延、降低丟包率以及時延抖動等方式來保證服務(wù)質(zhì)量。

網(wǎng)絡(luò)資源是有限的，只要存在搶占網(wǎng)絡(luò)資源的情況，就會影響服務(wù)質(zhì)量。服務(wù)質(zhì)量是相對網(wǎng)絡(luò)應(yīng)用而言的，在保證某方面服務(wù)質(zhì)量的同時，可能就是在影響其他方面服務(wù)質(zhì)量。因此，網(wǎng)絡(luò)管理者需要依據(jù)各種應(yīng)用的特點來對網(wǎng)絡(luò)資源進(jìn)行合理的分配和計劃，從而使網(wǎng)絡(luò)資源得到高效利用。

2.1 QOS的安全策略的實施

常規(guī)意義的安全設(shè)備在對網(wǎng)絡(luò)進(jìn)行安全保護(hù)時，通過IP包頭的源地址和目的地址進(jìn)行策略的操作，一些高端的功能是對內(nèi)容和狀態(tài)進(jìn)行控制，但是對內(nèi)容和狀態(tài)進(jìn)行控制最大的問題就是對網(wǎng)絡(luò)產(chǎn)生巨大的延遲，當(dāng)然高處理能力的安全設(shè)備也可以減小延遲，但是用戶最常使用的就是基于源目的和協(xié)議的安全控制。對于這些常規(guī)的用戶要求，QOS提供的功能完全可以完成同樣的操作。QOS的實質(zhì)功能是對易識別數(shù)據(jù)進(jìn)行帶寬的分配，因此可以配合標(biāo)準(zhǔn)和擴(kuò)展ACL進(jìn)行安全的控制，實現(xiàn)對匹配數(shù)據(jù)進(jìn)行0帶寬分配以實現(xiàn)對被標(biāo)記數(shù)據(jù)的丟棄，從而完成對網(wǎng)絡(luò)的保護(hù)。而且當(dāng)前很多路由，包括智能交換設(shè)備，都具有流量識別功能，可以幫助用戶對數(shù)據(jù)進(jìn)行分類和統(tǒng)計，類似CISCO NBR功能，利用此類功能我們就可以完成所有日常所需的安全控制，同時由于使用了QOS，用戶可以減少網(wǎng)絡(luò)中安全設(shè)備的數(shù)量，從而降低網(wǎng)絡(luò)的故障率。

2.2 QOS對實時數(shù)據(jù)的處理

QOS在發(fā)展之初就是為了更有效地使用網(wǎng)絡(luò)帶寬。QOS可以為實時數(shù)據(jù)（例如語音視頻）分配固定帶寬，即使網(wǎng)絡(luò)處于繁忙狀態(tài)，此類數(shù)據(jù)也可以順暢地被傳輸。由于QOS中有豐富的隊列控制機(jī)制和擁塞控制，可以對不同種類的數(shù)據(jù)使用不同的隊列機(jī)制，常見的隊列機(jī)制有四種：FIFO、PQ、CQ、和WFQ。

（1）FIFO是傳統(tǒng)的先入先出隊列。

（2）PQ（優(yōu)先級隊列）共四個優(yōu)先級：High、Medium、Normal、Low。擁有高優(yōu)先級的優(yōu)先發(fā)送，常應(yīng)用于不重要的應(yīng)用，它不能保證各種應(yīng)用服務(wù)的質(zhì)量。

（3）CQ（用戶定制隊列），顧名思義，就是用戶可以預(yù)定義接口的隊列，最多可以定義16個，另外有一個系統(tǒng)隊列供系統(tǒng)調(diào)用，因此共17個隊列。用戶可以根據(jù)協(xié)議類型、報文大小、端口以及ACL規(guī)則為每個隊列分配帶寬，每個隊列根據(jù)預(yù)定的帶寬發(fā)送數(shù)據(jù)，CQ效率很高，但是其配置復(fù)雜，需對機(jī)制有深入理解。

（4）WFQ（加權(quán)公平隊列）可按照不同的數(shù)據(jù)流和IP優(yōu)先級，自動按照HASH算法，分配不同的隊列，在保證高優(yōu)先級業(yè)務(wù)的同時，按照權(quán)重的不同將帶寬公平的分給低優(yōu)先級的隊列，配置簡單，能夠智能規(guī)劃隊列和調(diào)度，但是比較耗費系統(tǒng)資源。對于實時數(shù)據(jù)可以使用高優(yōu)先級的隊列機(jī)制進(jìn)行控制以及流量分配，并且配合QOS的擁塞控制和避免機(jī)制來實現(xiàn)重要數(shù)據(jù)的無障礙發(fā)送。

2.3 QOS模擬負(fù)載均衡

在QOS中用戶可以自定義流量的路徑，以此來實現(xiàn)負(fù)載均衡的效果。傳統(tǒng)意義上的負(fù)載均衡設(shè)備主要分為兩個方面，分別是鏈路負(fù)載均衡設(shè)備和IP流負(fù)載均衡設(shè)備。一般情況下鏈路負(fù)載均衡設(shè)備安放在網(wǎng)絡(luò)的出口位置，提供物理線路上的負(fù)載均衡，但其價格十分昂貴，很少有網(wǎng)絡(luò)配置。IP負(fù)載均衡設(shè)備，使用在網(wǎng)絡(luò)內(nèi)部，提供輸出流量的負(fù)載分擔(dān)，此類設(shè)備的工作原理和QOS中策略路由很相似，通常情況下QOS技術(shù)通過ACL或是TOS字段等標(biāo)記工具來匹配自定義流量，并對流量進(jìn)行下一條路徑的指定，而且當(dāng)前QOS還可以根據(jù)802.1P決定二層數(shù)據(jù)發(fā)送次序。802.1P協(xié)議頭包括一個3位優(yōu)先級字段，3位的優(yōu)先級字段可使802.1P的優(yōu)先級分為8種。官方定義最高優(yōu)先級為7，應(yīng)用于關(guān)鍵性數(shù)據(jù)流量，如路由選擇信息協(xié)議（RIP）和開放最短路徑優(yōu)先（OSPF）協(xié)議的路由表更新。優(yōu)先級6和5主要用于對延遲敏感（delay-sensitive）應(yīng)用程序，例如交互式視頻和語音。優(yōu)先級4到1主要適用于受控負(fù)載（controlled-load）應(yīng)用程序，如流式多媒體（streaming multimedia）和關(guān)鍵性業(yè)務(wù)流量（business-critical traffic）中的SAP數(shù)據(jù)以及“l(fā)oss eligible”流量。優(yōu)先級0是缺省值，在沒有設(shè)置其他優(yōu)先級值的情況下自動啟用。當(dāng)然以上參數(shù)也可以通過自定義設(shè)定來實現(xiàn)個性化的負(fù)載均衡要求。由此可見，可以使用QOS來完成二、三層的流量負(fù)載均衡，來滿足我們?nèi)粘Ｋ琛?/p>

2.4 QOS低成本的優(yōu)勢

不管是安全設(shè)備還是流控設(shè)備，網(wǎng)絡(luò)硬件設(shè)備都有一個共同特點，這就是高昂的價格。對于資金不充足的客戶，價格會是一個巨大的阻礙。但是QOS可以解決此類問題，由于人們對于QOS技術(shù)的認(rèn)識僅僅局限在實時數(shù)據(jù)的處理上，忽視了QOS技術(shù)全面的功能。事實上，從另一個角度去理解QOS，可以使用戶操作實時數(shù)據(jù)按照人們的需要傳輸，同樣也可以使用QOS技術(shù)操作其他類型的數(shù)據(jù)傳輸。QOS技術(shù)已經(jīng)出現(xiàn)多年，但其價值一直沒有被人們所重視。其實一個基于高效處理平臺的QOS技術(shù)完全可以充當(dāng)一個綜合的網(wǎng)管設(shè)備，同時給人們提供安全、流控以及負(fù)載均衡的功能。這樣一來，在網(wǎng)絡(luò)設(shè)計中使用過多的專業(yè)設(shè)備來完成特定的工作，可以為用戶節(jié)省巨額的費用，同時也可以減少網(wǎng)絡(luò)中的單點故障率。

3 結(jié)束語

對于QOS技術(shù)，傳統(tǒng)的認(rèn)識僅僅局限在語音視頻數(shù)據(jù)操作方面，本文通過對QOS技術(shù)的深入剖析，提出將QOS技術(shù)應(yīng)用于綜合網(wǎng)絡(luò)規(guī)劃當(dāng)中，同時解決了網(wǎng)絡(luò)中的安全、流控、成本等問題，實現(xiàn)了一個安全、高效、廉價的網(wǎng)絡(luò)環(huán)境。

［1］Mike Flannagan，Richard Froom.Quality of Service in Campus Networks［M］.San Francisco：Cisco Press June 06，2003.

［2］Srinivas Vegesna.IPQuality of Service［M］.San Francisco：Cisco Press，2000.

［3］Richard A.Deal.Cisco Router Firewall Security［M］.San Francisco：Cisco Press，2004.

［4］Eric Vyncke，Christopher Paggen.LAN Switch Security［M］.San Francisco：Cisco Press，2007.

［5］W.Richard Stevens.TCP/IP Illustrated［M］.北京：機(jī)械工業(yè)出版社，2000.