网络技术 - 石头——路由、交换技术 - 51CTO技术博客-领先的IT技术博客

文章

IDC运维团队技术交流——借助网络拓朴对故障排查详解

2008-06-13 17:44:06

　　IDC运维团队技已经术交流活动进行了半个月时间了，期间学习到了不少东西；我们都要做到既能解决故障，也要把它写出来、讲出来————互相沟通的必要性。　　下面我就了解网络拓朴、借助拓朴判断及解决一些故障的思路跟大家一起探讨。　　一、网络拓朴——结构及功能　　网络结构及功能如下：　　1. 中国电信1G*4对光纤（端口汇聚）接入华为5500三层交换机；为了及时牵引大流量的攻击，避免造成城域网的畅通，中国电信的流量牵引系统起到针对某个公网IP进行封堵的作用。　　2. 华为5500三层交换机1G*4对光纤（端口汇聚）接入到四台金盾防火墙；5500交换机上划分了多个VLAN，设置了每个子网的网关地址；充当了网关的功能。　　3. 1G*4金盾防火墙做了集群，防火墙对CC攻击及DDOS攻击能够清晰的体现出来，对一些非法连接进行限制或禁止；作用可以让防火墙下面具体的IP——忽略所有流量（即透明模式，不过防火墙），或者屏蔽所有流量（禁止指定目的地的数据通过）等功能。　　4. 接入层交换机只作数据报转发，当某台服务器中毒或向外发起攻击等影响网络时可以在关闭交换机端口，进行隔离来保证网络畅通。　　　5. 服务器直接用双绞线上联到接入层交换机上，服务器�..

类别：网络技术 | 阅读全文(52) | 回复(1)

IDC运维团队技术交流——网络故障之DDOS攻击

2008-06-09 17:20:59

对于通信行业来说，南方是中国电信的天下，北方是中国网通称王；为了满足电信、网通用户的畅通互访需求，公司分别接入了中国电信的链路以及中国网通的链路；经过F5交换机的智能解析达到畅快的互访，同时也起到一个负载均衡的作用；这样公司就出现了的双线服务器的业务。随着双线业务的不断发展，一些游戏客户也乘虚而入，对双线网络的稳定性提出了更高要求。然而游戏服务器是受DDOS攻击最频繁的业务。那么怎么判断某台服务器正在受攻击呢？下面就此跟大家作个分享与讨论。一、网络结构：一条链路从中国电信接入到F5交换机上，另一条链路从中国网通接入到F5交换机上；然后从F5交换机上引出一条链路到二层交换机上，最后再从这台二层交换机上下连到接入层交换机。服务器就直接连接到接入层交换机。网络结构见下图：

二、故障现象：　　接入层的服务器客户报障说网络卡，紧跟着就有七、八个客户同时说网络卡，一般都是同一个接入层交换机的服务器出现网络卡，有时甚至服务器完全断网；当然�..

类别：网络技术 | 阅读全文(116) | 回复(1)

IDC运维团队技术交流——网络故障之ARP攻击

2008-06-07 16:54:16

　　前言：　　　　随着IDC业务的不断发展，为了适应不同客户的业务需求，要求我们不断的提升自身的技术水平及工作能力；对故障的准确定位及快速处理能力是至关重要的。首先要把思路理顺，面对故障要有条有理，逐步排查，这样才能从容应对。　　在这里本人将一些工作中的经验跟大家交流、分享。有不同意见或看法的欢迎大家指教。　　故障现象：　　客户反映说有ARP攻击他的服务器网页，服务器能正常远程登录及上网；但客户网站打开后就是乱码或者加了一条广告。明显网页在半路被人截了改后的网页。　　故障分析：按照故障现象分析故障类型为非单机故障的网络故障。　　故障排查：　　1. telnet到公司的华为三层交换机上，使用dis arp命令（思科设备命令show arp）查看有无arp网关欺骗，见下图————分别是华为设备和思科设备的查看方式：

结果没有，于是马上dis logbuffer（思科设备命令show logging）查看交换机日志，下面给出了思科设备的查看方式：　　

　　两个结果显示都很正常; 　　2. 仔细查看公司网络流量图（按客户所报IP的机位及相同网段）并没有异常；　　3. 于是叫客户在其服务器上运行arp -a后得到网关M..

类别：网络技术 | 阅读全文(81) | 回复(0)

华为交换机多IP的设置——辅助（候补）IP

2008-06-04 22:53:33

　　今天身体有点不适，于是下班时间过了一会就收拾工具走人用餐去。刚吃好准备回宿舍休息时电话响了，同事说新开机柜上架的服务器无法远程。　　故障现象：服务器ping网关不通，同一条柜的内网能正常互访，也能互相远程；但外网无法远程这个机柜的服务器。　　故障分析：因为这个机柜的交换机是我亲手配置并检测过网络是正常的。所以到了现场后接上终端查看配置有没被同事更改过。配置一切正常，交换机上ping 同网段的非同一个柜的服务器正常，所以网络是正常的。于是问同事他配置的ip是什么？他回答说是：10.1.1.83以上的ip,　掩码是255.255.255.192　。听了这个IP,按照掩码可以算出，我个IP的网关是10.1.1.65；马上想到先前的网关只配置了10.1.1.1；而10.1.1.65是还没有配置启用。　　故障解决：原因分析出来了，于是telnet 到网关华为交换机上补上，具体命令如下：　　int vlan-interface 2200 进入业务vlan ip add 10.1.1.65 255.255.255.192 sub 设置业务vlan的第二个ip q save 最后保存配置　　　故障就这样解决了。

类别：网络技术 | 阅读全文(63) | 回复(2)

iptables 防火墙

2008-05-31 13:26:43

linux2.4.x内核中的防火墙工具--iptables的原理与配置，在tables与ipchains的区别。一、概述从1.1内核开始，linux就已经具有包过虑功能了，在2.0的内核中我们采用ipfwadm来操作内核包过虑规则。之后在2.2内核中，采用了大家并不陌生的ipchains来控制内核包过虑规则。现在最新linux内核版本是2.4.1，在2.4内核中我们不再使用ipchains，而是采用一个全新的内核包过虑管理工具--iptables。这个全新的内核包过虑工具将使用户更易于理解其工作原理，更容易被使用，当然也将具有更为强大的功能。我们说过iptables只是一个管理内核包过虑的工具，iptables 可以加入、插入或删除核心包过滤表格(链)中的规则。实际上真正来执行这些过虑规则的是netfilter(Linux 核心中一个通用架构)及其相关模块(如iptables模块和nat模块),下面我们一起来看看netfilter的工作原理。二、原理 netfilter是Linux 核心中一个通用架构，它提供了一系列的"表"(tables)，每个表由若干"链"(chains)组成，而每条链中可以有一条或数条规则(rule)组成。我们可以这样来理解，netfilter是表的容器，表是链的容器，而链又是规则的容器(如图一所示)。系统缺省的表为"filter"，该表中包含了INPUT、FORW..

类别：网络技术 | 阅读全文(32) | 回复(0)

LINUX系统的双网卡双IP(双链路)实现方式

2008-05-17 16:46:29

　　当你的服务器为了不间断的向外提供服务，需要选择两个或两个以上的运营商的数据接入时。路由就成为一个问题，如何使电信的客户使用电信的链路，网通的客户使用网通的链路访问服务器。下面就如何实现这一功能作详细的介绍：　　有此需求请联系0754-82702566

类别：网络技术 | 阅读全文(67) | 回复(0)

端口汇聚---聚合、以太信道

2008-05-02 20:10:20

所谓端口汇聚、聚合、以太信道；通俗的讲就是当1000M端口无法满足业务要求时，而业务需求为8G时的解决办法，第一种是增加网络设备（但这种方法比较不实际，经费较大）；第二种方法则是这里所说的端口汇聚、聚合、以太信道。实现方法就是用8根1000M线把两台网络设备连起来，实现一个虚拟的8G链路及负载均衡。但是如果直接连接将造成网络环路。端口汇聚、聚合、以太信道很好的解决这个网络环路及业务需求增长的问题。一、H3C及华为交换机的端口汇聚——两台网络设备都必须做
1.创建汇聚组1 link-aggregation group 1 mode static
2.进入端口后加入汇聚组1——要组成虚拟链路的每个端口都要做，而且所对应的组必须相同。 port link-aggregation group 1 二、思科交换机的快速以太信道（端口聚合）　　两台网络设备都必须做
　　要组成虚拟链路的每个端口都要做，而且所对应的组必须相同。　　配置Fast Ethernet0/1和0/2端口组合成一个逻辑链路；　　 Switch(config)#ingerface range fastethernet 0/1 - 2 Switch(config-if-range)#channel-group 1 mode desirable

类别：网络技术 | 阅读全文(68) | 回复(1)

华为3026ef trunk端口环回问题

2008-05-01 23:17:25

3026ef trunk端口环回受控功能未关闭造成环路问题本博文由昆哥提供原稿，在此共享给有类似情况的同仁；以及对昆哥表示敬意！
现象描述：组网为S8016+++(trunk)+++3026EF+++2016
在没有改变组网的情况下S8016 1/0/0端口下带所有业务中断；其实S5000的交换机也有这种情况发生。
告警信息：%Jun 20 06:53:52 2004 s3026f DRV_NI/5/LOOP BACK:
Loopback does exist on port 10 vlan 100, please check it %Jun 20 06:54:22 2004 s3026f DRV_NI/5/LOOP BACK:
Loopback does exist on port 10 vlan 100, please check it
原因分析：登录3026EF，可以查看到有上述告警提示；
3026EF有环回检测功能，定时发送检测数据包，如果收到自己发送过来的数据包，则认为存在环路，同时删除对应端口的MAC地址并关闭MAC地址学习功能；
如果是ACCESS端口，这种处理方式可以方便查到对应哪个端口形成环路；
如果是TRUNK 端口，因为透传的VLAN 比较多，任意一个VLAN内形成环路，均会导致将TRUNK端口
锁定；从告警上看VLAN 100存在�..

类别：网络技术 | 阅读全文(52) | 回复(0)

华为交换机管理VLAN——ip设置

2008-03-14 21:44:25

　　华为交换机在原设有管理VLAN的情况下，相变更管理vlan的ID时需做些改动。　　例如原管理vlan是4094,需要改成4088则：　 [HuaWei]undo mangement-vlan 删除mangement-vlan [HuaWei] int vlan-interface 4094 进入vlan [HuaWei- vlan-interface4094 ]undo ip add 删除vlan ip [HuaWei]undo vlan 4094 删除vlan [HuaWei]vlan 4088 创建vlan [HuaWei-vlan-interface 4088]q [HuaWei]mangement-vlan 4088 创建mangement-vlan [HuaWei]interface vlan-interface 4088 进入vlan [HuaWei-vlan-interface 4088..

类别：网络技术 | 阅读全文(600) | 回复(0)

H3C交换机配置命令

2008-02-10 13:32:40

　　本文简要的介绍了H3C交换机的基本配置命令（原文参考《H3C交换机操作手册》）。         更详细命令请参考 http://www.h3c.com.cn/Service/Document_Center/IP_Network_Product/Switches/S 5500/S5500-EI/
配置终端操作密码：
[ST-ZC501-LSW-R4C14.I.S2403]user-interface aux 0     进入用户0模式
[ST-ZC501-LSW-R4C14.I.S2403-ui-aux0]authentication-mode password   配置密码无操作自动断开连接：
idle-timeout minutes 10    10分钟无操作自动断开连接
idle-timeout seconds 10    10秒钟无操作自动断开连接锁定用户：
<ST-ZC501-LSW-R4C14.I.S2403>lock   锁定当前用户(接着输入密码,解除按回车输入刚才的密码就行了)。开启telnet服务：
[ST-ZC501-LSW-R4C14.I.S2403]telnet server enable 启动telnet 服务(默认关闭) 强制用户下线：
<ST-ZC501-LSW-R4C14.I.S2403>free web-users all   强制所有在线WEB用户下线查看端口接收、传送、丢弃报文数：
<ST-ZC501-LSW-R4C14.I.S2403>display garp..

类别：网络技术 | 阅读全文(990) | 回复(0)

<< 1 2 3 4 >> 页数 ( 1/4 )