by ·0评论

大部分交易所都转战海外了，国外还有很多交易所，这不是一个国家的政府能禁止的。

以下平台都是国际交易平台，不受国内监管，当然也有一个缺点，就是无法直接用人民币充值和提现，只能以比特币计价。

1.比特儿海外版：https://gate.io

国内不能炒币？国内交易所的海外版正式集体上线

现在起注册6个月内交易手续费手续费打9折

国内不能炒币？国内交易所的海外版正式集体上线
支持交易的币种现在有十几个，还在不断添加中，界面基本上是英语，布局和中文版几乎一模一样，还是原来的配方，原来的味道。
2.库币海外版：https://www.kucoin.com
国内不能炒币？国内交易所的海外版正式集体上线

现在办活动手续费2折，交易手续费低至万2。

国内不能炒币？国内交易所的海外版正式集体上线

支持的币种有十多种SNT,NEO,EOS和BTM等等，即将上线USDT美元代币交易区

3.中国比特币海外版：https://www.exx.com/

国内不能炒币？国内交易所的海外版正式集体上线

地址在香港，中信收购的中币海外版，在线外国客服，界面极其简洁，易于上手，有模拟金交易测试，方便新手朋友操作，支持主流的8个币种。

国内不能炒币？国内交易所的海外版正式集体上线

4.元宝海外版：https://www.allcoin.com/

国内不能炒币？国内交易所的海外版正式集体上线

全球唯一上市的数字资产交易平台，加拿大正规金融牌照， 这里交易最安全。

支持美元的充提，支持ICO代币的预售，支持交易十几种币种，元宝的下架币这里还能交易。

5.聚币的海外版：https://www.coolcoin.com/也有人说是 ：  https://coinegg.com

国内不能炒币？国内交易所的海外版正式集体上线

聚币下架的币这里都有，交易所坐标位于英国，好像现在所有币只能充值除了比特币之外都不能提现，.毕竟是个大赌场，不能提币简直就是耍流氓，完全的空气啊，不能提币前完全不考虑,不推荐大家去玩。

6.云币海外版：BigONE

国内不能炒币？国内交易所的海外版正式集体上线

云币网下架的币种这里都有交易，交易所的地点是美国，支持的币种有二十多种，大部分是以太系币种，交易界面和K线跟云币基本相似。

国内不能炒币？国内交易所的海外版正式集体上线

如果你手中有币，也可以在bitmex开户存放钱包，或者继续跟随行情做多、做空。前提是你有币。

by ·0评论

1、phpMyAdmin 阶段。

我们可以先进 phpMyAdmin 看一下 wp_users 这张表的结构，这里就是用户信息的数据库表，应该有 10 个字段，分别是 ID、user_login、user_pass、user_nicename、user_email、user_url、user_registered、user_activation_key、user_status、display_name。

我们可以在数据库里直接操作插入用户信息，但是这和在 WordPress 后台操作一样，一个两个还行，一旦有成百上千的用户需要开通，那工作量就比较大了，还得用到下面的方法。

2、Excel 阶段。

新建一个 excel 文档，把以上10个字段挨个输入到第一行中，因为并不是所有字段都是必填项，为了节省时间，我就只把必填项搞定了，当然，因为接下来的工作是导入数据库，即使你的必填项没有填写也可以导入成功，但是因为数据不完整，用户还是无法正常登录的。

必填字段1：ID。这个是主键，必填中的必填！而且只能从数字2开始填，然后3、4、5……这样递增，因为 ID 为1 的用户是默认的管理员，我们不能鸠占鹊巢是吧。

必填字段2：user_login。这个是登录 ID，只接受英文字符串，中文是不行滴。

必填字段3：user_pass。显而易见，这里是填密码，不过不能直接输入你想要的密码文本，这是经过 MD5 加密的，我建议用5d41402abc4b2a76b9719d911017c600作为统一的初始密码，经 MD5 翻译过来，就是 hello。hello 就是你的初始密码。

必填字段4：user_email。这个在 WordPress 后台就设为是必填的选项，所以必填就是必填。

必填字段5：user_activation_key。说实话，我不知道这个字段是干啥用的，但是看到已有管理员的这个字段是 GuoYobNSvydddtyeeS2Q，所以我把其他所有用户也都设成了 GuoYobNSvydddtyeeS2Q。不填这个字段就是登录不了，好吧，还是填一下咯。

都填完之后把这个 excel 文件保存为 .csv 格式，这个很重要，因为这是 phpMyAdmin 支持的导入格式。

3、Notepad++ 阶段。

不是一定要用 Notepad++，任何编辑器都可以，但是我还是推荐神器——notepad++。用 Notepad++ 打开刚才的 .csv 文件。然后：

a、把第一行字段删掉，那只是为了方便我们在 excel 中输入信息的抬头，在导入时完全不需要，删了吧。

b、把所有半角逗号批量替换成半角分号。

c、将文档格式转为 UTF-8 无 BOM 的编码格式。

d、保存。

4、phpMyAdmin 阶段 again。

回到 phpMyAdmin，回到 wp_users 这张表，在这张表下点击导入，把我们刚才保存的 .csv 格式文件上传并导入。如果操作一切顺利的话，我们可以在 wp_users 这张表里新增了一些刚才输入的用户信息。恭喜你，批量导入成功了。

by ·0评论

IIS与Apache还是有很大区别的，就wordpress的Permalinks来说，在具备mod_rewrite模块的apache环境下，wordpress的伪静态设置显得容易的多，直接后台设置一下就可以了。

IIS配置了rewrite以后，伪静态只能设置成以下的三种方式:
/post/%post_id%.html
/%year%/%monthnum%/%day%/%postname%.html
/%year%/%monthnum%/%day%/%postname%

从SEO角度出发，这三种方式并不是我所喜欢的，只因自己对RwiterURL规则的写法基本上属于空白阶段，目前我还是选用了/%year%/%monthnum%/%day%/%postname%这种方式。

ISAPI筛选器的配置很简单，不在赘述，直接给出相关文件下载：
Rewrite相关
内有readme，按部就班即可。

by ·一条评论

07年搞的PJblog，玩了半年，数据库才35M出头，页面就狂慢，后来无暇再弄就关闭了。

今天闲来无事，翻出以前的PJblog，转成了wordpress，转换的还算比较满意，文章内容和评论等都迁移过来了。Wordpress比较干净，至于杂七杂八的插件，以后再慢慢装吧。

方法如下：

  1. 将 LBS 或 PJBlog 的数据库改名为 blog.mdb
  2. 将 asp2wp.asp 以及 blog.mdb 上传到同一 ASP 空间目录下
  3. 运行程序根据需求点击相应的按钮获取 xml 格式的导出数据
  4. 进入已安装好的 WordPress 后台依次打开“管理”->“导入”->“WordPress”，根据提示导入之前获取的　xml 格式数据文件

注：如果数据文件比较大，可以使用压缩包内所提供的 XML 分割软件分割成多个小尺寸数据文件依次导入。

下载地址：点此下载

by ·0评论
在windows xp中，微软第一次引入了upnp的概念。upnp在xp中默认是开启并工作的，一直不引人注目，后来随着upnp的漏洞而名声大噪，导致大家纷纷关闭xp中upnp来提高系统的安全性。下面我们来分析一下upnp的好处和与其相关的一些概念，并看看xp中upnp是如何设置并让其正常工作从而方便我们在网上冲浪。

首先我们先解释几个名词。

1.ip地址
ip地址是网络中用于标识通讯双方的一个地址。正因为如此，一个通讯的网络中不允许有相同的ip地址，否则会导致通讯混乱。internet是一个全球性的大网，包含了无数的设备，每个设备都需要ip地址来标识自己，所以internet使用了许许多多的ip地址。因为ip地址的数量是有限的，给所有设备分配一个地址不可行（数量不够），所以ip地址中指定了一些地址用于私有网络。因为私有网络间没有通讯的要求，所以这些地址可以重复使用，比如10.0.0.0网段，还有172.16.0.0-172.31.0.0网段和192.168.0.0网段。这些地址叫私有地址，因为可以被不同的单位重复使用，所以这些地址不能直接进入到internet进行通讯。
ip地址包含在ip包的包头中，网络设备通过对包头中ip地址的分析来确定如何发送这些ip包。

2.NAT技术
internet的边缘路由器上禁止了私有地址进入internet，但是采用私有地址建网的单位肯定会有上internet的要求，这样就引入了NAT的概念。
NAT实际上是一台ip地址的转换机器。它一边连接互联网，有一个internet上使用的公网地址，一边连接单位的私有网络。当私有网络中有些ip包要发送到互联网时，NAT把这些包中的源ip地址（私网地址）替换成NAT服务器上的公网地址，这样internet上的设备就认为这些包是来自公网的合法ip，从而允许其进入internet。当然，对这些包的答复包的目的地址也是NAT上的公网地址，到达NAT服务器后被替换成私有网络的地址，并把这些答复包发送到私有网络中发送源包的机器上。这样，私网中的机器就可以和internet通讯了。

3.端口
一个ip地址可以同时使用多种不同的服务，这是通过端口来实现的。比如我们可以在某一个ip上同时开启web服务和FTP服务，因为这两种服务占用的是不同的端口，所以互相之间不会冲突。如果想在私网地址上给公网提供服务，必须把NAT服务器上的公网ip的某个端口映射到私网ip上。这样，在internet有人试图访问你NAT服务器上的公网ip的该端口的时候，实际上提供服务的是你私网的某台机器的某个端口。假设我的ip是192.168.0.100，通过路由器上网，想对外提供FTP服务，那么必须在路由器上设置，把路由器的公网ip的21和20端口映射到192.168.0.100这个ip上，而我告诉别人的地址的是路由器上的公网ip，别人访问的却是我开在192.168.0.100上的FTP服务。

4.pnp
这个大家比较熟悉了，即插即用技术。符合pnp规范的硬件安装以后，操作系统可以直接使用它。

5.upnp
通用即插即用技术。这实际上是网络中的pnp技术。一个设备加入到网络后，只要符合upnp规范，其他的upnp设备也可以直接识别并使用它。

upnp的原理不在本文探讨范围内，不多说明了。

upnp的好处是什么？
在上面3的说明中，我们知道端口映射可以解决提供服务的问题。但是，假设我们要提供的服务所用到的端口是随机的，这样就麻烦了。一种做法是映射所有的端口到私网ip上，这就是平时我们用到的DMZ，这样虽然可以提供服务，但随之而来是安全性的问题很难解决。
这时，我们看到upnp的好处了。如果我提供服务的程序，NAT都支持upnp，因为支持upnp的设备可以自动发现，协调，那么端口映射的问题就是支持upnp的设备自己主动去协商了，而不需要人工干预，并且在使用完服务以后，支持upnp的设备会自动释放用过的端口，大大减少了我们配置的复杂程度。

6.upnp的安全性
upnp因为安全问题而导致世人瞩目，但是现在UPnP中的这个安全性漏洞已经得到了修补。只要运行了windows update 或手工下载安装了upnp的安全补丁，upnp还是很安全的。

7.upnp的安装
a.点击”开始”，点击”控制面板”，然后点击”添加或删除程序”。
b.在”添加或删除程序”对话框中，点击”添加/删除Windows组件”。
c.在”Windows组件向导”中，点击”网络服务”，点击”详细”，然后选择”通用即插即用”复选框。
d.点击”确定”，然后点击”Windows组件向导”对话框中的”下一步”。安装过程中可能需要提供Windows XP安装CD。

8.upnp的检验和配置
如果你的系统中存在UPnP设备，在打开”网络邻居”之后，你就应该能够看见它们了。同时，在显示网络连接中也可以看到相关的设备，如图所示。

by ·0评论

       近期，“ARP欺骗”木马在互联网上迅速扩散，很多计算机感染了此病毒，有的网络甚至因为它而全面瘫痪。
  笔者一直在关注此病毒，积累了一些心得，希望与大家共享。
  下面，笔者就从ARP木马欺骗中毒现象、危害、成因、检测、处理和预防措施等几个方面入手，与大家共同探讨应对ARP欺骗木马的方法。

ARP木马中毒现象
  ARP欺骗木马的中毒现象表现为：使用校园网时会突然掉线，过一段时间后又会恢复正常。比如客户端状态频频变红，用户频繁断网，IE浏览器频繁出错，以及一些常用软件出现故障等。
  如果校园网是通过身份认证上网的，会突然出现可认证，但不能上网的现象（无法ping通网关），重启机器或在MS-DOS窗口下运行命令arp -d后，又可恢复上网。

ARP木马破坏性分析
  ARP欺骗木马十分猖狂，危害也特别大，各大学校园网、小区网、公司网和网吧等局域网都出现了不同程度的灾情，带来了网络大面积瘫痪的严重后果。
ARP欺骗木马只需成功感染一台电脑，就可能导致整个局域网都无法上网，严重的甚至可能带来整个网络的瘫痪。
  该木马发作时除了会导致同一局域网内的其他用户上网出现时断时续的现象外，还会窃取用户密码。如盗取QQ密码、盗取各种网络游戏密码和账号去做金钱交易，盗窃网上银行账号来做非法交易活动等，这是木马的惯用伎俩，给用户造成了很大的不便和巨大的经济损失。目前，已经发现一些用户密码被窃取的情况。
  这次大面积的木马病毒不仅会影响用户自己的上网和网络安全，还会波及整个单位，对学校、公司的网络运行和安全构成了严重的威胁。

欺骗成因和攻击方式
  该病毒主要通过ARP（Address Resolution Protocol，地址解析协议）欺骗实施攻击和破坏行为。
  它通过交换机的MAC地址学习机制，伪造网关。其原理是建立假的网关，让被它欺骗的计算机向假网关发送数据，而不是通过正常的路由器或交换机途径寻找网关，造成同一网关内的所有计算机无法访问网络。
  以校园网为例，ARP欺骗问题一般是由传奇外挂携带的ARP木马攻击引起的。当有同学在校园网内使用上述传奇外挂时，外挂携带的病毒会将该机器的MAC地址映射到网关的IP地址上，向局域网内大量发送ARP数据包，从而致使同一网段地址内的其他机器误将其作为网关。这就是为什么掉线时内网是互通的，计算机却不能上网的原因。
  还有的ARP欺骗是有一定时间限制的，这也是网络时断时续的原因。

检测进程
  方法一：
  同时按住键盘上的“Ctrl+Alt+Del”键，选择“任务管理器”，选中“进程”标签，察看其中是否有一个名为“MIR0.dat”进程。如果有，则说明已经中毒。
右键点击此进程后,选择“结束进程”。
  方法二：
  如果用户突然发现无法上网，可以通过如下方法验证是否中此木马病毒：
  （1）点“开始→运行”，输入cmd，再输入arp －d，回车。
  （2）重新尝试上网，若能短暂正常访问，则说明此次断网是受木马病毒影响。
  该病毒发作后，在系统进程列表中会有“MIR0.dat”这个进程存在，可通过上述方法一来查看。

定位ARP欺骗
  方法一：
  对于利用三层交换机设备接入校园网的单位，可以检查其三层交换机设备上的ARP表。如果发现有多个IP地址对应同一MAC地址，则说明此MAC地址对应的计算机很可能中了此木马病毒。
  然后可通过下连的二层交换机的转发表查到此MAC对应的交换机端口，从而定位出有问题的计算机，关闭此端口，通知用户查杀病毒结束后再开放端口。
  方法二：
  在局域网内通过交换机端口镜像进行抓包，凡大量发送ARP请求的均可能是本木马感染者。立即关闭端口，通过交换端口确定上网用户，通知用户查杀病毒后再开放端口。
  方法三：
  扫描本子网内的全部IP地址，然后再查ARP表。如果有一个IP地址对应的MAC与网关的MAC地址相同，那么这个IP地址和MAC地址就是中毒计算机的IP地址和MAC地址。
  方法四：
  检查网内感染“ARP欺骗”木马染毒的计算机。在“开始→程序→附件”菜单下调出“命令提示符”，输入并执行ipconfig命令。
  记录网关IP地址，即“Default Gateway”对应的值，例如“192.168.1.1”。再输入并执行arp －a命令，在“Internet Address”下找到上步记录的网关IP地址，记录其对应的物理地址，即“Physical Address”值，例如“00-01-02-03-04-05”。
  在网络正常时，这就是网关的正确物理地址。在网络受“ARP欺骗”木马影响而不正常时，它就是木马所在计算机的网卡物理地址。

处理方案
1.静态ARP绑定网关
  步骤一：
  在能正常上网时，进入MS-DOS窗口，输入命令：arp －a，查看网关的IP对应的正确MAC地址， 并将其记录下来。
  注意：如果已经不能上网，则先运行一次命令arp －d将arp缓存中的内容删空，计算机可暂时恢复上网（攻击如果不停止的话）。一旦能上网就立即将网络断掉（禁用网卡或拔掉网线），再运行arp －a。

  步骤二：
  如果计算机已经有网关的正确MAC地址，在不能上网只需手工将网关IP和正确的MAC地址绑定，即可确保计算机不再被欺骗攻击。
  要想手工绑定，可在MS-DOS窗口下运行以下命令：
  arp －s 网关IP 网关MAC
  例如：假设计算机所处网段的网关为192.168.1.1，本机地址为192.168.1.5，在计算机上运行arp －a后输出如下：
  C:Documents and Settings>arp -a
  Interface:192.168.1.5 — 0x2
  Internet Address Physical Address Type
  192.168.1.1  00-01-02-03-04-05 dynamic
  其中，00-01-02-03-04-05就是网关192.168.1.1对应的MAC地址，类型是动态（dynamic）的，因此是可被改变的。
  被攻击后，再用该命令查看，就会发现该MAC已经被替换成攻击机器的MAC。如果希望能找出攻击机器，彻底根除攻击，可以在此时将该MAC记录下来，为以后查找该攻击的机器做准备。
  手工绑定的命令为：
  arp －s 192.168.1.1  00-01-02-03-04-05
  绑定完，可再用arp －a查看arp缓存：
  C:Documents and Settings>arp -a
  Interface: 192.168.1.5 — 0x2
  Internet Address Physical Address Type
  192.168.1.1  00-01-02-03-04-05 static
  这时，类型变为静态（static），就不会再受攻击影响了。
  但是，需要说明的是，手工绑定在计算机关机重启后就会失效，需要再次重新绑定。所以，要彻底根除攻击，只有找出网段内被病毒感染的计算机，把病毒杀掉，才算是真正解决问题。
2．制作批处理文件
  在客户端做对网关的arp绑定，具体操作步骤如下：
  步骤一：
  查找本网段的网关地址，比如192．168．1．1，以下以此网关为例。在正常上网时，“开始→运行→cmd→确定”，输入：arp －a，点回车，查看网关对应的Physical Address。
比如：网关192.168.1.1 对应00－01－02－03－04－05。
  步骤二：
  编写一个批处理文件rarp.bat，内容如下：
  @echo off
  arp －d
  arp -s  192.168.1.1  00－01－02－03－04－05
  保存为：rarp.bat。
  步骤三：
  运行批处理文件 将这个批处理文件拖到“Windows→开始→程序→启动”中，如果需要立即生效，请运行此文件。

  注意：以上配置需要在网络正常时进行

3．利用安全工具软件
  及时下载Anti ARP Sniffer软件保护本地计算机正常运行。潮流风软件下载站http://www.beewind.net已经收录了两个版本的anti arp sniffer，一个是绿色版，一个是3.5版，都很有效果,我用v2绿色版很快就找到了局域网中arp病毒的机器，需要的朋友可以去http://www.beewind.net/soft/10006.htm下载该软件，最新版本是安装版的v3.5版，同样给出下载地址http://www.beewind.net/soft/10005.htm，需要的朋友可以去下载，用法很简单，参考下压缩包里的文档就可以了。
  如果已有病毒计算机的MAC地址，可使用NBTSCAN等软件找出网段内与该MAC地址对应的IP，即感染病毒的计算机的IP地址，然后报告单位的网络中心对其进行查封。
  或者利用单位提供的集中网络防病毒系统来统一查杀木马。另外还可以利用木马杀客等安全工具进行查杀。
４.应急方案
  网络管理管理人员利用上面介绍的ARP木马检测方法在局域网的交换机上查出受感染该病毒的端口后，立即关闭中病毒的端口，通过端口查出相应的用户并通知其彻底查杀病毒。而后，做好单机防范，在其彻底查杀病毒后再开放相应的交换机端口，重新开通上网。

预防和注意事项
  预防ARP欺骗木马病毒的最根本的措施其实还是老生常谈的那几项：定期更新操作系统，下载和安装最新的系统补丁；安装杀毒软件，并及时升级病毒库；提高上网用户的网络安全防范意识和能力。
笔者在这里要特别强调一下，一定要努力提高上网用户的网络安全防范意识和水平。
  要知道，网络安全问题不是网络中心一个部门就能解决的，需要所有上网用户的配合和支持。因为蠕虫、病毒和木马等在网络中的传播速度越来越快，任何一个用户受到病毒感染，都可能给整个网络带来致命的影响。应该通过培训和讲座提高用户的网络安全防范意识和能力，提高整体的防毒意识。
只有靠大家共同努力，才可能营造一个稳定、安全、畅通的网络环境。

by ·0评论

1、使用静态ARP缓存（应急办法）
用arp -s命令在各主机上绑定网关的IP和MAC地址，同时在网关上绑定各主机的IP和MAC地址的方法。
如果是WIN主机可编写一个批处理文件rarp.bat内容如下：（其中192.168.16.254 00-22-aa-00-22-aa是网关的IP和MAC地址）
@echo off
arp -d
arp -s 192.168.16.254 00-22-aa-00-22-aa
将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。
将这个批处理软件拖到“windows–开始–程序–启动”中。

arp 命令简介：
arp –a ：显示ARP高速缓存中所有的内容
arp –d [IP地址 MAC地址]：删除指定的IP-MAC条目，若不指定就清空ARP高速缓存
arp –s [IP地址 MAC地址] ：手工设置IP-MAC静态条目
（注：在不同的系统中，手工设置的arp静态条目是有区别的。在linux和win2000中，静态条目不会因为伪造的arp响应包而改变，而动态条目会改变。而在win98中，手工设置的静态条目会因为收到伪造的arp响应包而改变。）
使用静态ARP缓存增大了网络维护量，在较大的网络或经常移动主机的网络中这样做更为困难。使用静态ARP缓存只能防止ARP欺骗，对IP地址冲突、Flood攻击仍然没有办法阻止，因此不推荐这样做。

2、用可防ARP攻击的交换机（彻底防治，推荐）
使用三层交换机，绑定端口-MAC-IP，限制ARP流量，及时发现并自动阻断ARP攻击端口，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击。

by ·0评论

随着Internet的迅速增长和要求唯一IP地址的无线设备的激增，IPv4开始有点力不从心了，而下一代协议IPv6的脚步声则越来越近了。目前，所面临的已经不是是否应当由IPv4转到IPv6的问题，而是何时转到IPv6的问题。随着IP地址需求量的指数增长，IPv4已经不再适用了。

　　各种任务数量的增长，推动了今天IPv4网络向IPv6网络的发展，人们所面临的问题是它们的长期合作和共存。许多技术将逐渐适应存在于现有IPv4网络上的新的IPv6应用，转换的主要要求有3个：既不中断IPv4服务，任何时候、任何地点可用IPv6服务，以及最低限度的运作成本、学习和支持。 　　IPv6的优点对IP地址日益增长的需要是IPv6发展的主要催化剂。据估计，仅在无线领域，需要接入Internet的移动电话、PDA和其它的无线设备就超过10亿个，而且每个设备都需要自己唯一的IP地址。数十亿个新的家庭Internet应用——从电视到冰箱再到电表，它们也将通过各种技术连接，而这些设备也都需要自己的IP地址。

　　以前，像MIT和AT&T都分配了A类IP网址。到今天，它们每一个都控制了160亿个以上的地址，而整个中国只拥有90亿个不连续的地址块。因此，如今申请IP地址的公司只能使用剩下的B类和C类IP网的地址部分了。IPv4拥有32比特的地址空间，而IPv6所拥有的地址空间则为128比特。

　　IPv6带来的并不仅仅是地址的扩展。它的自动配置或自动发现特性将淘汰需要大量人力的昂贵方法，这种方法是管理动态主机配置协议(DHCP)服务器的，而多数大型机构都利用这种服务器来管理它们的IPv4地址。IPv6将使用一种无国籍的自动配置方法，这种配置方法与一个接口ID相结合，例如机器现有的MAC地址，以及来自本地路由器的网络前缀等，以便为其分配IP地址而不是由DHCP服务器来分配。

　　IPv6也将提供一个对等网应用的基础设施，这个基础设施将允许使用端到端的全球寻址机制。这种设置将消除在一些大型企业网络边缘对网络地址转换(NAT)设备的需求，因为这些设备会减慢加密过程，而且对于VoIP、移动IP等应用效率很低。

　　IPv6的实施方案在IETF的下一代转换工作组(NGtrans WG)中，Cisco在IPv6基础设施的定义和配置中扮演了一个领导者的角色。Cisco的6Bone路由器是6Bone基础设施的一个关键部分，这个设施是一个建立于现有Internet上的IPv6的实验网络，它为IPv6的开展和实施提供了一个真实的实验平台。另外，Cisco还发布了支持新的IPv6特性的Cisco IOS 12.2(2)T，这个版本允许在适应期期间IPv4和IPv6两种协议共存。 　　

　　1.IPv6在IPv4核心网上建通道

　　许多数据封装技术在6Bone实验网络上使用已经多年了。这种技术将IPv6流量压缩到IPv4数据包内，并通过IPv4核心网或Internet来发送数据包。它只要求客户配置Cisco IOS入口和出口路由器，这要优于对整个网络范围内IP基础设施的升级。

　　2.IPv6的专用数据链路层

　　这些年来，通过发展帧中继和ATM等第二层技术，许多服务提供商已设计了用于数据服务的WAN和MAN。在这些基础设施上，通过配置ATM上的IPv6或挂接于IPv6路由器上的帧中继永久虚电路(PVC)来提供专用的IPv6服务。

　　这种方法的优点在于它隔离了IPv6和IPv4流量，因而如果在IPv6链接上发生了故障，就可以减小对IPv4网络的影响。

　　日本的IIJ公司已在日本及日本和美国之间建起了最大的IPv6主干网之一，并于2000年9月开始提供本地IPv6服务。IIJ直接通过专用的接入串行线来传输IPv6流量，它也开展了用于网络和服务器管理的IPv6数据中心服务。

　　3.使用MPLS的IPv6主干网

　　Cisco相信，随着将来IPv6流量的大量增长，多协议标记交换技术(MPLS)将成为ISP转向IPv6的一个最佳选择。这是因为它的开发成本更低，VPN配置更简单，而且还具有流量管理的能力。自2001年中期起，一半以上已配置了Cisco 12000 Internet路由器的客户，或者考虑或者已经配置了MPLS。

　　利用MPLS，客户就能更容易地扩展流量。由于MPLS路由器交换数据包是基于标记而不是基于地址查找的，因而带给硬件的负担就更小。利用MPLS进行转发并利用IPv6来传递应用，ISP就能在MPLS路径上发送IPv6。这种方法将使ISP得到与如今的ASIC交换相似的强大性能，却无须对硬件基础设施进行成本高昂的升级。

　　Cisco设计了一种称为6PE(IPv6 Provider Edge Router over MPLS)的特性来支持MPLS，这种特性将允许服务提供商在任何时间、任何地点将IPv6与MPLS网络相结合。6PE现在正处于开发之中，它将于2001年下半年发布。

　　双堆栈网络:从IPv4到IPv6在开展双堆栈网络时，主机同时运行两种协议，使应用一个一个地转向IPv6进行传输。它主要用于与IPv4和IPv6设备都进行通信的应用。双堆栈将在Cisco IOS软件平台上使用，以支持应用和Telnet、SNMP以及在IPv6传输上的其它协议等。对于ISP来说，双堆栈带来了很多优点。

　　1.管理并解决双控制面网络的故障。2.选择并配置内部网间路由协议(IGP)。这个协议包括一个综合协议，例如中间级系统到中间级系统协议，这个协议为IPv4和IPv6路由计算SPF(短径优先)；也包括用于IPv4的OSPFv2协议和用于IPv6的OSPFv3。3.完成全面的网络升级以得到IPv6对所有网络设备的支持。

　　这些网络设备或者仅是软件，或者同时包括硬件和软件，因为高速接口可能需要IPv6的硬件转发。Cisco方案提供了这种配置能力，但是要进行精密的计划和网络管理可能还需要在实施之前做更多的调查研究。

　　例如，Zama在西雅图、圣何塞、洛杉矶、香港、汉城和东京等地建立了IPv6的节点，并通过租用线路将它们连接。Zama使用了运行Cisco IOS 12.2T的Cisco 7200和Cisco 7500路由器，当IPv6可使用它的Cisco IOS版本时，它们就升级到Cisco 12000 Internet路由器和Catalyst交换器。

　　Zama计划实施双堆栈和NAT协议转换(NAT-PT)，NAT-PT是由IETF NGtrans WG所指定的。它们为早期用户提供了IPv6的商业级支持和网络服务，也在亚洲和北美的早期用户之间架起了一座桥梁。它们的网络能够传输本地的IPv6流量和IPv4流量。当需要在仅使用IPv4协议和仅使用IPv6协议的主机之间进行双向转换时，NAT-PT是一个很好的选择。NAT可与现有的Internet客户/服务器模式(服务器具有正式的IPv4地址，客户端在NAT设备之后)相匹配。Cisco IOS软件也为IPv4提供了实施NAT的一个强大工具，使它成为Cisco IPv6业务的一个关键组成部分。与IPv4使用的NAT不同，NAT-PT将成为转换到IPv6过程中的一个暂时的桥梁。

　　无线成为IPv6的第一个应用无线可能会成为IPv6的第一个“杀手”应用程序，这是由于在Internet的每个接入点，移动设备都需要一个全球范围的正式IP地址。例如，最近英国电信向RIPE-NCC申请3000万个IPv4地址以提供通用分组无线服务(GPRS)，因为英国目前已经拥有了一些IPv4地址。由于10亿个以上的用户都希望到2005年能够进行全球移动，所以都得到IPv4地址就不太容易了。

　　在2000年发布的3GPPP规范中，IPv6成了无线的第三代标准。到2002年，IPv6将进入无线IP多媒体子系统中，这个子系统包括将语音和数据拆分后送到网络中的路由器及服务器。这意味着新
的IPv6设备能对手持设备分配IPv6地址。

　　UMTS在其第5版规范中，要求在IP多媒体部分使用专用的IPv6，这个规范有望于2002年上半年发布。NTT DoCoMo今天已经拥有2000万个无线用户，它也正计划提供IPv6服务而不是利用双NAT层来提供服务。

　　在对IPv6进行了多年的早期测试并对其实施了某些应用之后，由IPv4转向IPv6获得了巨大的动力。IPv6将把人们带回到一个端到端的全球寻址的基础设施，消除了破坏这种性能的应用网关和NAT。对于处理大量增长的Cable、DSL、Ethernet及无线设备等在线设备来说，端到端的寻址变得重要起来。

by ·0评论

一、 集成在路由器中的防火墙技术

　　1、 路由器IOS标准设备中的ACL技术

　　ACL即Access Control Lis t(访问控制列表)，简称Access List(访问列表)，它是后续所述的IOS Firewall Feature Set的基础，也是Cisco全线路由器统一界面的操作系统IOS(Internet Operation System，网间操作系统)标准配置的一部分。这就是说在购买了路由器后，ACL功能已经具备，不需要额外花钱去买。

　　2、 IOS Firewall Feature Set(IOS防火墙软件包)

　　IOS Firewall Feature Set是在ACL的基础上对安全控制的进一步提升，由名称可知，它是一套专门针对防火墙功能的附加软件包，可通过IOS升级获得，并且可以加载到多个Cisco路由器平台上。

　　目前防火墙软件包适用的路由器平台包括Cisco 1600、1700、2500、2600和3600，均属中、低端系列。对很多倾向与使用"all-in-one solution"(一体化解决方案)，力求简单化管理的中小企业用户来说，它能很大程度上满足需求。之所以不在高端设备上实施集成防火墙功能，这是为了避免影响大型网络的主干路由器的核心工作–数据转发。在这样的网络中，应当使用专用的防火墙设备。

　　Cisco IOS防火墙特征:

　　基于上下文的访问控制(CBAC)为先进应用程序提供基于应用程序的安全筛选并支持最新协议

　　Java能防止下载动机不纯的小应用程序

　　在现有功能基础上又添加了拒绝服务探测和预防功能，从而增加了保护

　　在探测到可疑行为后可向中央管理控制台实时发送警报和系统记录错误信息

　　TCP/UDP事务处理记录按源/目的地址和端口对跟踪用户访问

　　配置和管理特性与现有管理应用程序密切配合

二、 专用防火墙–PIX

　　PIX(Private Internet eXchange)属于四类防火墙中的第四种–软硬件结合的防火墙，它的设计是为了满足高级别的安全需求，以较好的性能价格比提供严密的、强有力的安全防范。除了具备第四类防火墙的共同特性，并囊括了IOS Firewall Feature Set的应有功能。

　　PIX成为Cisco在网络安全领域的旗舰产品已有一段历史了，它的软硬件结构也经历了较大的发展。现在的PIX有515和520两种型号(520系列容量大于515系列)，从原来的仅支持两个10M以太网接口，到10/100M以太网、令牌环网和FDDI的多介质、多端口(最多4个)应用;其专用操作系统从v5.0开始提供对 IPSec这一标准隧道技术的支持，使PIX能与更多的其它设备一起共同构筑起基于标准VPN连接。

　　Cisco的PIX Firewall能同时支持16，000多路TCP对话，并支持数万用户而不影响用户性能，在额定载荷下，PIX Firewall的运行速度为45Mbps，支持T3速度，这种速度比基于UNIX的防火墙快十倍。

　　主要特性:

　　保护方案基于适应性安全算法(ASA)，能提供任何其它防火墙都不能提供的最高安全保护

　　将获专利的"切入代理"特性能提供传统代理服务器无法匹敌的高性能

　　安装简单，维护方便，因而降低了购置成本

　　支持64路同时连接，企业发展后可扩充到16000路

　　透明支持所有通用TCP/IP Internet服务，如万维网(WWW)文件传输协议(FTP)、Telnet、Archie、Gopher和rlogin

　　支持多媒体数据类型，包括Progressive网络公司的Real Audio，Xing技术公司的Steamworks，White Pines公司腃USeeMe，Vocal Te公司的Internet Phone，VDOnet公司的VDOLive，Microsoft公司的NetShow和Uxtreme公司的Web Theater 2

　　支持H323兼容的视频会议应用，包括Intel的Internet Video Phone和Microsoft的NetMeeting

　　无需因安装而停止运行

　　无需升级主机或路由器

　　完全可以从未注册的内部主机访问外部Internet

　　能与基于Cisco IOS的路由器互操作

三、 两种防火墙技术的比较

　　IOS FIREWALL FEATURE SET PIX FIREWALL

　　网络规模 中小型网络，小于250节点的应用。 大型网络，可支持多于500用户的应用

　　工作平台 路由器IOS操作系统 专用PIX工作平台

　　性能 最高支持T1/E1(2M)线路 可支持多条T3/E3(45M)线路

　　工作原理 基于数据包过滤，核心控制为CBAC 基于数据包过滤，核心控制为ASA

　　配置方式 命令行或图形方式(通过ConfigMaker) 命令行方式或图形方式(通过Firewall Manager)

　　应用的过滤 支持Java小程序过滤 支持Java小程序过滤

　　身份认证 通过IOS命令，支持TACACS+、RADIUS服务器认证。 支持TACACS+、RADIUS集中认证

　　虚拟专网(VPN) 通过IOS软件升级可支持IPSec、L2F和GRE隧道技术，支持40或56位DES加密。 支持Private Link或IPSec隧道和加密技术。

　　网络地址翻译(NAT) 集成IOS Plus实现 支持

　　冗余特性 通过路由器的冗余协议HSRP实现 支持热冗余

　　自身安全 支持Denial-of-Service 支持Denial-of-Service

　　代理服务 无，通过路由器的路由功能实现应用 切入的代理服务功能

　　管理 通过路由器的管理工具，如Cisco Works 通过Firewall Manager实现管理

　　审计功能 一定的跟踪和报警功能 状态化数据过滤，可通过Firewall Manager实现较好的额监控、报告功能

四、 Centri防火墙

　　主要特性:

　　核心代理体系结构

　　针对Windows NT定制TCP/IP栈

　　图形用户结构可制订安全政策

　　可将安全政策拖放到网络、网络组、用户和用户组

　　ActiveX、Java小应用程序、Java和Vb模块

　　通用资源定位器(URL)模块

　　端口地址转换

　　网络地址转换

　　透明支持所有通用TCP/IP应用程序，包括WWW、文件传输协议(FTP)Telnet和邮件

　　为Web、Telnet和FTP提供代理安全服务

　　根据IP地址、IP子网和IP子网组进行认证

　　使用sl口令和可重复使用口令Telnet、Web和ftp提供联机用户认证

　　使用Windows NT对所有网络服务进行带外认证

　　防止拒绝服务型攻击，包括SYN Flood、IP地址哄骗和Ping-of-Death

五、Cisco PIX防火墙的安装流程

　　1. 将PIX安放至机架，经检测电源系统后接上电源，并加电主机。

　　2. 将CONSOLE口连接到PC的串口上，运行HyperTerminal程序从CONSOLE口进入PIX系统;此时系统提示pixfirewall>。

　　3. 输入命令:enable,进入特权模式，此时系统提示为pixfirewall#。

　　4. 输入命令: configure terminal,对系统进行初始化设置。

　　5. 配置以太口参数:

　　interface ethernet0 auto (auto选项表明系统自适应网卡类型 )interface ethernet1 auto

　　6. 配置内外网卡的IP地址:

　　ip address inside ip_address netmask

　　ip address outside ip_address netmask

　　7. 指定外部地址范围:

　　global 1 ip_address-ip_address

　　8. 指定要进行要转换的内部地址:

　　nat 1 ip_address netmask

　　9. 设置指向内部网和外部网的缺省路由

　　route inside 0 0 inside_default_router_ip_address

　　route outside 0 0 outside_defau
lt_router_ip_address

　　10. 配置静态IP地址对映:

　　static outside ip_address inside ip_address

　　11. 设置某些控制选项:

　　conduit global_ip port protocol foreign_ip global_ip 指的是要控制的地址

　　port 指的是所作用的端口，其中0代表所有端口

　　protocol 指的是连接协议，比如:TCP、UDP等

　　foreign_ip 表示可访问global_ip的外部ip，其中表示所有的ip。

　　12. 设置telnet选项:

　　telnet local_ip

　　local_ip 表示被允许通过telnet访问到pix的ip地址(如果不设此项， PIX的配置只能由consle方式进行)。

　　13. 将配置保存:

　　wr mem

　　14. 几个常用的网络测试命令:

　　#ping

　　#show interface 查看端口状态

　　#show static 查看静态地址映射

六、PIX与路由器的结合配置

　　(一)、PIX防火墙

　　1、设置PIX防火墙的外部地址:

　　ip address outside 131.1.23.2

　　2、设置PIX防火墙的内部地址:

　　ip address inside 10.10.254.1

　　3、设置一个内部计算机与Internet上计算机进行通信时所需的全局地址池:

　　global1 131.1.23.10-131.1.23.254

　　4、允许网络地址为10.0.0.0的网段地址被PIX翻译成外部地址:

　　nat 110.0.0.0

　　5、网管工作站固定使用的外部地址为131.1.23.11:

　　static 131.1.23.11 10.14.8.50

　　6、允许从RTRA发送到到网管工作站的系统日志包通过PIX防火墙:

　　conduit 131.1.23.11514 udp 131.1.23.1 255.255.255.255

　　7、允许从外部发起的对邮件服务器的连接(131.1.23.10):

　　mailhost 131.1.23.10 10.10.254.3

　　8、允许网络管理员通过远程登录管理IPX防火墙:

　　telnet 10.14.8.50

　　9、在位于网管工作站上的日志服务器上记录所有事件日志:

　　syslog facility 20.7

　　syslog host 10.14.8.50

　　(二)、路由器RTRA

　　RTRA是外部防护路由器，它必须保护PIX防火墙免受直接攻击，保护FTP/HTTP服务器，同时作为一个警报系统，如果有人攻入此路由器，管理可以立即被通知。

　　1、阻止一些对路由器本身的攻击

　　no service tcps mall-servers

　　2、强制路由器向系统日志服务器发送在此路由器发生的每一个事件

BR>logging trapde bugging

　　3、此地址是网管工作站的外部地址，路由器将记录所有事件到此主机上:

　　logging 131.1.23.11

　　4、保护PIX防火墙和HTTP/FTP服务器以及防卫欺骗攻击(见存取列表):

　　enable secret xxxxxxxxxxx

　　interface Ethernet 0

　　ipaddress 131.1.23.1 255.255.255.0

　　interfaceSerial 0

　　ip unnumbered ethernet 0

　　ip access-group 110 in

　　5、禁止任何显示为来源于路由器RTRA和PIX防火墙之间的信息包，这可以防止欺骗攻击:

　　access-list 110 deny ip 131.1.23.0 0.0.0.255 anylog

　　6、防止对PIX防火墙外部接口的直接攻击并记录到系统日志服务器任何企图连接PIX防火墙外部接口的事件:

　　access-list 110 deny ip any host 131.1.23.2 log

　　
　　7、允许已经建立的TCP会话的信息包通过:

　　access-list 110 permit tcp any 131.1.23.0 0.0.0.255 established

　　8、允许和FTP/HTTP服务器的FTP连接:

　　access-list 110 permit tcp any host 131.1.23.3 eq ftp

　　9、允许和FTP/HTTP服务器的FTP数据连接:

　　access-list 110 permit tcp any host 131.1.23.2 eq ftp-data

　　10、允许和FTP/HTTP服务器的HTTP连接:

　　access-list 110 permit tcp any host 131.1.23.2 eq www

　　11、禁止和FTP/HTTP服务器的别的连接并记录到系统日志服务器任何企图连接FTP/HTTP的事件:

　　access-list 110 deny ip any host 131.1.23.2 log

　　12、允许其他预定在PIX防火墙和路由器RTRA之间的流量:

　　access-list 110 permit ip any 131.1.23.0 0.0.0.255

　　13、限制可以远程登录到此路由器的IP地址:

　　line vty 0 4

　　login

　　password xxxxxxxxxx

　　access-class 10 in

　　14、只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改:

　　access-list 10 permit ip 131.1.23.11

(三)、路由器RTRB

　　RTRB是内部网防护路由器，它是你的防火墙的最后一道防线，是进入内部网的入口。

　　1、记录此路由器上的所有活动到网管工作站上的日志服务器，包括配置的修改

　　logging trap debugging

　　logging 10.14.8.50

　　2、允许通向网管工作站的系统日志信息:

　　interface Ethernet 0

　　ip address 10.10.254.2 255.255.255.0

　　no ip proxy-arp

　　ip access-group 110 in

　　access-list 110 permit udp host 10.10.254.0 0.0.0.255

　　3、禁止所有别的从PIX防火墙发来的信息包:

　　access-list 110 deny ip any host 10.10.254.2 log

　　4、允许邮件主机和内部邮件服务器的SMTP邮件连接:

　　access-list permit tcp host 10.10.254.31 0.0.0.0 0.255.255.255 eq smtp

　　5、禁止别的来源与邮件服务器的流量:

　　access-list deny ip host 10.10.254.31 0.0.0.0 0.255.255.255

　　6、防止内部网络的信任地址欺骗:

　　access-list deny ip any 10.10.254.0 0.0.0.255

　　7、允许所有别的来源于PIX防火墙和路由器RTRB之间的流量:

　　access-list permit ip 10.10.254.0 0.0.0.255 10.0.0.0 0.255.255.255

　　8、限制可以远程登录到此路由器上的IP地址:

　　line vty 0 4

　　login

　　password xxxxxxxxxx

　　access-class 10 in

　　9、只允许网管工作站远程登录到此路由器，当你想从Internet管理此路由器时，应对此存取控制列表进行修改:

　　access-list 10 permit ip 10.14.8.50

　　按以上设置配置好PIX防火墙和路由器后，PIX防火墙外部的攻击者将无法在外部连接上找到可以连接的开放端口，也不可能判断出内部任何一台主机的IP地址，即使告诉了内部主机的IP地址，要想直接对它们进行Ping和连接也是不可能的。这样就可以对整个内部网进行有效的保护。