Tìm hiểu về cơ cấu làm việc của cơ sở hạ tầng Internet Thứ Sáu, Tháng 8 1 2008

Jeff Tyson

Một trong những thứ tuyệt vời nhất về Internet là không ai thực sự sở hữu được nó. Nó là một tập hợp (collection) các mạng mang tính toàn cầu, cả lớn và nhỏ. Các mạng này kết nối với nhau theo nhiều cách khác nhau để tạo thành một thực thể đơn nhất, cái mà chúng ta vẫn được biết đến với tên gọi Internet. Trong thực tế, tên này được xuất phát từ ý tưởng của các mạng kết nối chéo (interconnected networks), được lấy từ hai chữ này mà ra.

Từ những ngày đầu tiên được thành lập vào năm 1969, Internet đã phát triển lớn mạnh từ 4 hệ thống máy tính chủ đến hàng chục triệu chiếc như vậy. Mặc dù không ai sở hữu riêng Internet nhưng nó không có nghĩa nó không cần kiểm tra và duy trì dưới nhiều hình thức khác nhau. Internet Society, một nhóm phi lợi nhuận được thành lập vào năm 1992, đã giám sát việc hình thành các chính sách và giao thức để định nghĩa cách chúng ta sẽ sử dụng và tương tác với Internet như thế nào.

Trong bài này, chúng tôi sẽ giới thiệu cho các bạn những vấn đề cơ bản về cấu trúc của Internet. Bạn sẽ biết thêm được những vấn đề cơ bản về Hệ thống máy chủ tên miền (DNS), các điểm truy cập mạng (NAP) và các mạng xương sống. Tuy nhiên đầu tiên chúng tôi sẽ giới thiệu về cách kết nối máy tính của bạn với các máy tính khác như thế nào.

Internet: Kiến trúc mạng

Mỗi máy tính được kết nối với Internet đều được coi là một phần của mạng, thậm chí cả máy tính ở nhà của bạn. Ví dụ, bạn có thể sử dụng một modem và quay số để kết nối đến một Internet Service Provider (ISP). Ở nơi làm việc, bạn có thể là một phần nằm trong mạng nội bộ Local Area Network (LAN) của công ty, nhưng bạn vẫn có thể kết nối với Internet bằng cách sử dụng một ISP mà công ty của bạn đã ký kết hợp đồng cung cấp dịch vụ này. Khi kết nối với ISP của mình thì bạn sẽ trở thành một phần trong mạng của họ. ISP sau đó có thể kết nối với một mạng lớn hơn và lại trở thành một phần của mạng đó. Internet đơn giản là mạng của các mạng (network of networks).

Hầu hết các công ty truyền thông lớn đều có các mạng xương sống chuyên dụng của chính họ để kết nối giữa các vùng địa lý khác nhau. Trong mỗi vùng này, các công ty có điểm hiện diện – Point of Presence (POP). POP là một địa điểm mà những người dùng nội bộ có thể truy cập vào mạng công ty thông qua một số điện thoại nội bộ hoặc đường truyền riêng. Thứ làm kinh ngạc ở đây là không có vấn đề kiểm soát mạng mà thay vì đó là một số mạng mức cao kết nối với nhau thông qua các Network Access Point (NAP).

Ví dụ về mạng Internet

Đây là một ví dụ. Hãy hình dung rằng công ty A là một ISP lớn. Trong mỗi một thành phố lớn, công ty A này đều có một POP. POP trong mỗi thành phố đều có các hệ thống đường truyền có kết nối modem để khách hành của ISP này có thể quay số tới. Công ty này lắp đặt các đường truyền bằng cáp quang từ một công ty điện thoại để kết nối các POP này với nhau.

Tiếp theo, công ty B cũng là một ISP. Công ty B xây dựng tòa nhà lớn trong các thành phố lớn và các tập đoàn nằm trên những máy chủ Internet của họ trong các tòa nhà này. Công ty B lớn đến nỗi nó có thể chạy chính các đường cáp quang của họ giữa các tòa nhà để chúng được kết nối với nhau.

Trong kịch bản này, tất cả các khách hành của công ty A có thể trao đổi với nhau và tất cả các khách hàng của công ty B cũng có thể trao đổi với nhau, nhưng vẫn chưa có cách nào để trao đổi giữa các khách hàng của hai công ty này với nhau. Chính vì vậy, Công ty A và Công ty B cùng có một thỏa thuận kết nối qua NAP trong các thành phố khác, khi đó lưu lượng giữa 2 công ty này được lưu thông giữa các mạng tại NAP.

Trong thực tế, có đến hàng tá các nhà cung cấp dịch vụ Internet lớn có kết nối với nhau tại các NAP trong nhiều thành phố khác nhau, và có đến hàng tỉ tỉ byte dữ liệu được truyền đi truyền lại giữa các mạng với nhau qua các NAP này. Internet chính là một collection các mạng công ty khổng lồ đã thỏa thuận kết nối với nhau tại các NAP. Theo cách này, mỗi một máy tính nằm trong Internet đều có khả năng kết nối được với nhau.

Chức năng của Router

Tất cả những mạng này đều dựa vào các NAP, mạng xương sống và các router để truyền thông với nhau. Ở đây có một vấn đề khó tin về quá trình một thông báo có thể rời một máy tính này và di chuyển hầu như khắp thế giới thông qua các mạng khác nhau, đến được một máy tính khác trong một lượng thời gian rất ngắn (tính theo phân số của giây).

Các Router chỉ ra nơi để gửi thông tin từ một máy tính này đến máy tính khác, chúng chính là các máy tính đặc biệt dùng để gửi thông báo của bạn đến được các đích theo hàng nghìn đường khác nhau. Một router có hai vấn đề tách biệt nhưng có liên quan với nhau:
Bảo đảm thông tin không đi vào những nơi không cần thiết và cần phải có một số lượng phân vùng lớn dữ liệu để tránh cản trở các kết nối của những địa chỉ không liên quan (những địa chỉ không phải là đích đến).
Bảo đảm cho các thông tin đến được đúng đích như dự định

Trong quá trình thực thi hai công việc này, các router còn có tác dụng trong việc giao tiếp giữa hai mạng máy tính tách biệt nhau. Nó sẽ nối hai mạng này với nhau, gửi các thông tin từ mạng này sang mạng kia và ngược lại. Bảo vệ các mạng, ngăn chặn lưu lượng trên một mạng không cần thiết tràn vào một mạng khác. Không quan tâm về số lượng các mạng được gắn kèm, hoạt động và chức năng cơ bản của các router hoàn toàn giống nhau. Internet là một mạng lớn được thiết lập từ hàng chục nghìn mạng nhỏ hơn nên sự sử dụng các router là tuyệt đối cần thiết.
Mạng xương sống

National Science Foundation (NSF) đã xây dựng một mạng xương sống tốc độ cao vào năm 1987. Mạng xương sống này có tên gọi NSFNET, nó là một đường trục T1 để kết nối 170 mạng nhỏ hơn với nhau và hoạt động với tốc độ 1,544 Mbps. IBM, MCI và Merit đã làm việc với NSF để tạo mạng xương sống và đã phát triển lên các hệ thống đường trục T3 (45Mbps) những năm sau đó.

Mạng xương sống điển hình là các đường trục cáp quang. Các đường trục này có nhiều cáp quang được kết hợp với nhau để tăng dung lượng. Cáp quang được thiết kế dưới các kiểu khác nhau dựa vào sóng mang quang học, chẳng hạn như OC-3, OC-12 hoặc OC-48. Đường OC-3 có khả năng truyền tải đến 155Mbps còn OC-48 có thể truyền tải 2.488 Mbps (2,488 Gbps). So với modem 56K truyền thống thì bạn có thể thấy được tốc độ của mạng xương sống nhanh hơn cỡ nào.

Ngày nay có nhiều công ty hoạt động trên các mạng xương sống dung lượng cao của chính họ, tất cả các mạng này đều kết nối với các NAP trên toàn thế giới. Theo cách này, mọi người trên Internet dù bất cứ nơi đâu, họ và những gì công ty họ sử dụng đều có khả năng truyền thông với nhau. Toàn bộ Internet là một sự thỏa thuận khổng lồ giữa các công ty để truyền thông dễ dàng.

Giao thức Internet: Địa chỉ IP

Mỗi máy tính trên mạng đều có một số nhận diện duy nhất được gọi là địa chỉ IP. IP là tên được viết tắt của Internet Protocol, đây là một ngôn ngữ mà các máy tính sử dụng nhằm mục đích truyền thông với nhau trên Internet. Một giao thức chính là cách đã được định nghĩa từ trước mà ai đó muốn sử dụng một dịch vụ để truyền thông với dịch vụ đó. “Ai đó” ở đây có thể là một người, nhưng thường nó là một chương trình máy tính như trình duyệt web chẳng hạn.

Một địa chỉ IP điển hình có dạng:

216.27.61.137

Để làm cho nó dễ dàng hơn trong việc ghi nhớ, các địa chỉ IP được trình bày theo định dạng hệ thập phân giống như trên. Tuy nhiên các máy tính lại truyền thông theo dạng nhị phân. Hệ thập phân của địa chỉ IP trên sẽ được trình bày trong dạng nhị phân khi các máy tính làm việc:

11011000.00011011.00111101.10001001

Bốn số trong một địa chỉ IP được gọi là các bộ tám (octet), vì chúng được thể hiện bằng 8 số nhị phân. Nếu sử dụng tất cả các vị trí này cùng nhau thì bạn sẽ có 32 bit, đó là lý do tại sao các địa chỉ IP được gọi là các số 32 bit. Do một trong 8 vị trí này đều có hai trạng thái khác nhau (1 và 0), nên nó có thể thể hiện được 28 hay 256 sự kết hợp. Chính vì vậy mỗi octet có thể gồm các giá trị từ 0 đến 255. Sự kết hợp của 232 này bạn sẽ có được 4.294. 967.296 giá trị.

Trong số gần 4,3 tỉ sự kết hợp này có một vài giá trị nào đó bị hạn chế trong sử dụng, nó sẽ không như một địa chỉ IP điển hình. Ví dụ như, địa chỉ 0.0.0.0 được dành riêng cho mạng mặc định và địa chỉ 255.255.255.255 được sử dụng cho quảng bá.

Các octet thực hiện một mục đích khác với việc phân chia một cách đơn giản các số. Chúng được sử dụng để tạo các lớp địa chỉ IP có thể được gán cho một doanh nghiệp, chính phủ hoặc một thực thể nào đó dựa trên kích thước và nhu cầu. Các octet được chia thành hai phần: Phần Net và phần Host. Phần Net luôn chứa octet đầu. Nó được sử dụng để phân biệt mạng mà máy tính nằm trong đó. Host (đôi khi được nói đến như một Nút – Node) để phân biệt các máy tính trong mạng với nhau. Phần Host luôn chứa các octet còn lại. Có 5 lớp IP cộng với các địa chỉ đặc biệt nào đó. Để tìm hiểu thêm về địa chỉ IP chúng tôi sẽ dành riêng một bài nào đó để chỉ cho các bạn rõ về địa chỉ IP là gì.

Giao thức Internet: Hệ thống tên miền (DNS)

Khi Internet ngay từ thủa sơ khai, nó đã xem xét đến một số lượng các máy tính nhỏ được kết nối với nhau bằng các modem và đường điện thoại. Bạn chỉ có thể tạo các kết nối bằng cách cung cấp địa chỉ IP của máy tính mà bạn muốn thiết lập một liên kết với nó. Ví dụ, một địa chỉ IP điển hình có thể là 216.27.22.162. Mọi thứ đều sẽ hoạt động tốt nếu chỉ có một vài host, tuy nhiên nó sẽ trở nên cồng kềnh và khó nhớ khi ngày càng nhiều hệ thống online.

Giải pháp đầu tiên để giải quyết vấn đề này là một file văn bản đơn giản được dùy trì bởi Network Information Center dùng để ánh xạ hóa các tên thành địa chỉ IP. Càng ngày văn bản này trở lên quá lớn trong việc quản lý. Năm 1983, Đại học Wisconsin đã tạo được Domain Name System (DNS), để ánh xạ hóa các tên văn bản thành địa chỉ IP một cách tự động. Theo cách này, bạn chỉ cần nhớ đến tên miền www.quantrimang.com thay vì phải nhớ địa chỉ IP của nó.

URL: Uniform Resource Locator

Khi bạn sử dụng Web hoặc gửi một email, bạn thường sử dụng tên miền để thực hiện điều đó. Ví dụ, Uniform Resource Locator (URL) “http://www.quantrimang.com” có chứa tên miền quantrimang.com. Mỗi lần sử dụng một tên miền, bạn sẽ dụng các máy chủ DNS của Internet để thông dịch tên miền mà con người có khả năng đọc thành các địa chỉ IP mã máy.

Các tên miền cấp 1, được gọi là tên miền mức đầu tiên bao gồm .COM, .ORG, .NET, .EDU và .GOV. Bên trong mỗi tên miền cấp 1 này lại có một danh sách lớn các miền cấp thứ hai. Ví dụ như trong miền mức đầu tiên .COM ở đây là: QuanTriMang.com

Mỗi một miền trong miền hàng đầu top-level .COM phải là duy nhất. Từ gần bên trái nhất và sau www, chính là tên host. Nó chỉ định tên của một máy nào đó (với địa chỉ IP cụ thể) trong một miền. Một miền nào đó được cho có thể gồm đến hàng triệu tên host miễn là chúng đều duy nhất bên trong miền đó.

Các máy chủ DNS chấp nhập yêu cầu từ các chương trình và máy chủ tên khác để chuyển đổi các tên miền thành địa chỉ IP. Khi một yêu cầu nào đó được đưa ra, máy chủ DNS có thể thực hiện một trong bốn thứ dưới đây:

1. Có thể trả lời yêu cầu cho một địa chỉ IP vì nó đã biết địa chỉ IP cho miền được yêu cầu.

2. Có thể liên lạc với máy chủ DNS khác và tìm ra địa chỉ IP cho tên đã được yêu cầu. Có thể phải thực hiện việc tìm kiếm này nhiều lần.

3. Nó có thể báo rằng: “Không biết địa chỉ IP cho miền mà bạn yêu cầu nhưng đây là địa chỉ IP cho một máy chủ DNS mà nó biết.”

4. Có thể trả về một thông báo lỗi vì tên miền yêu cầu không hợp lệ hay không tồn tại.

Một ví dụ về DNS

Hãy giả dụ rằng bạn đánh URL www.quantrimang.com vào trình duyệt của mình. Trình duyệt sẽ liên lạc với DNS server để lấy về địa chỉ IP. DNS server sẽ bắt đầu công việc tìm kiếm địa chỉ IP của nó bằng cách liên lạc với một trong các máy chủ DNS gốc (root DNS server). Các máy chủ gốc biết địa chỉ IP của tất cả các máy chủ DNS mà nó quản lý miền cấp 1 (COM, .NET, .ORG, …). DNS server của bạn sẽ hỏi máy chủ gốc về www.quantrimang.com, máy chủ gốc sẽ nói nó không biết địa chỉ IP cho www.quantrimang.com nhưng đây là địa chỉ IP cho máy cho DNS .COM.

Sau đó máy chủ tên miền của bạn sẽ gửi một truy vấn đến máy chủ DNS .COM yêu cầu xem nó có biết địa chỉ IP cho www.quantrimang.com hay không. Máy chủ DNS cho miền .COM biết các địa chỉ IP cho máy chủ tên miền đang quản lý miền www.quantrimang.com, vì vậy nó gửi trả về các vấn đề được yêu cầu.

Máy chủ tên miền của bạn sẽ liên hệ với máy chủ DNS về www.quantrimang.com và hỏi xem nó có biết địa chỉ IP cho www.quantrimang.com hay không. Và ở đây máy chủ DNS về www.quantrimang.com sẽ đáp trả địa chỉ IP cho máy chủ DNS của bạn, sau đó máy chủ DNS sẽ trả nó về trình duyệt, và có thể liên lạc với máy chủ về www.quantrimang.com để lấy được nội dung của trang.

Một trong những khía cạnh làm cho những thao tác trên làm việc là có rất nhiều máy chủ DNS. Rất nhiều máy chủ DNS ở các mức, chính vì vậy nếu một máy chủ DNS nào đó bị lỗi thì vẫn có nhiều máy chủ khác quản lý các yêu cầu. Khía cạnh khác là việc lưu trữ. Khi một máy chủ DNS nào đó giải quyết một yêu cầu thì sẽ lưu địa chỉ IP mà nó nhận. Khi đã tạo một yêu cầu cho máy chủ DNS gốc về miền .COM thì nó sẽ biết địa chỉ IP cho máy chủ DNS đang quản lý miền .COM, vì vậy sẽ không bị rối với các máy chủ DNS gốc về các thông tin đó. Các máy chủ DNS có thể thực hiện nhiệm vụ này với mọi yêu cầu và việc lưu trữ này cũng giúp ích khi gặp một số vấn đề xảy ra.

Máy chủ (Server) và máy khách (Client) Internet

Tất cả các máy tính trên Internet đều là máy chủ hoặc máy khách. Tuy nhiên có sự phân biệt giữa chúng. Các máy tính có khả năng cung cấp dịch vụ cho các máy tính khác được gọi là máy chủ. Còn máy tính mà được sử dụng để kết nối đến các dịch vụ đó là máy khách. Có nhiều máy chủ Web, email server, FTP server và chính vì vậy nó mới có thể phục vụ được nhiều nhu cầu của tất cả người dùng trên toàn thế giới.

Khi bạn kết nối đến www.quantrimang.com để đọc các trang thông tin, bạn sẽ là một người dùng đang dùng máy khách của mình đề truy cập vào máy chủ chứa nội dung trang này. Máy chủ tìm trang mà bạn yêu cầu và gửi nó đến cho bạn. Các máy khách truy cập vào máy chủ thực hiện như vậy với một ý định cụ thể, vì vậy các máy khách hướng yêu cầu của chúng đến một máy chủ phần mềm cụ thể đang chạy trên máy chủ. Ví dụ, nếu bạn đang chạy một trình duyệt web trên máy của mình, nó sẽ thông báo cho máy chủ Web trên máy chủ chứ không phải máy chủ email.

Một máy chủ có một địa chỉ IP tĩnh không thay đổi thường xuyên còn máy tính ở nhà của bạn khi thực hiện quay số hay ADSL qua một modem có địa chỉ IP thay đổi được gán bởi ISP mỗi lần kết nối. Địa chỉ IP đó là duy nhất với phiên làm việc hiện tại của bạn và có thể khác nhau trong những lần kết nối tiếp theo. Theo cách này, một ISP chỉ cần một địa chỉ IP cho mỗi một modem mà nó hỗ trợ chứ không phải mỗi một IP cho một khách hàng.

Các cổng và HTTP

Bất kỳ máy chủ nào cung cấp các dịch vụ có sẵn đều sử dụng các cổng có đánh số – một trong những dịch vụ có sẵn trên máy chủ. Ví dụ, nếu một máy chủ đang chạy Web server và một máy chủ giao thức truyền tải file FTP, máy chủ Web sẽ có sẵn trên cổng 80, và máy chủ FTP sẽ có sẵn trên cổng 21. Các máy khách kết nối tới dịch vụ ở một địa chỉ IP nào đó và trên một số cổng cụ thể.

Khi một client kết nối với dịch vụ trên một cổng nào đó thì nó có thể truy cập vào dịch vụ bằng cách sử dụng một giao thức nào đó. Các giao thức thường là các văn bản và đơn giản mô tả cách client và máy chủ sẽ truyền thông với nhau như thế nào. Mọi Web server trên Internet đều thích nghi với giao thức hypertext transfer protocol (HTTP).

Các mạng, router, NAP, ISP, DNS và các máy chủ khác, tất cả làm cho Internet được hiện hữu. Hoàn toàn không ngạc nhiên khi bạn nhận ra rằng tất cả các thông tin này đều được gửi khắp thế giới trong một phần mili giây. Chúng là các thành phần rất quan trọng trong đời sống hiện đại, không có chúng sẽ không hề có Internet. Và không có Internet, đời sống sẽ rất khó khăn cho chúng ta.
Văn Linh (Theo How Stuff Work)

Leave a Response »

 

IDS – IPS – IDP đôi điều cần biết – phần cuối Thứ Tư, Tháng 7 30 2008

Các hệ thống IPS có thể được triển khai dưới hình thức các Gateway để phát hiện và ngăn chặn một cách hiệu quả các cuộc tấn công mạng, giảm thiểu thời gian chết của mạng và các chi phí ảnh hưởng đến hiệu quả họat động của mạng. Các hệ thống này được triển khai ở những vị trí nằm ngòai phạm vi kiểm sóat của tường lửa, có khả năng phát hiện các cuộc tấn công một cách chính xác thông qua phân tích lưu lượng mạng dưới nhiều phương pháp nhằm đi đến kết luận chính xác về mục đích thật sự của một kết nối đến mạng vì vậy có thể hiểu được đó là một kết nối tin cậy hay là không tin cậy. Từ việc phân tích trên, hệ thống có thể thực hiện nhiều tác vụ như ghi chép (tạo thành file nhật ký), cảnh báo, xóa các kết nối không tin cậy từ đó người quản trị mạng sẽ có những đáp ứng kịp thời với các tình trạng bị tấn công nguy hiểm hoặc là có các hành động hợp lý đối với từng trường hợp. Ngòai ra các hệ thống IPS còn cung cấp các công cụ phân tích và điều tra giúp cho người quản trị mạng hiểu được về những gì đang diễn ra trên mạng và đưa ra các quyết định sáng suốt, góp phần làm tăng hiệu quả của giải pháp an ninh mạng.

Nhiều hệ thống IPS còn có khả năng triển khai ở chế độ thụ động để thu nhận và phân tích gói dữ liệu cho phép quản trị mạng có được thông tin về lưu lượng và những nguy cơ tồn tại trên mạng. Tuy vậy chúng vẫn có thể được chuyển sang chế độ dự phòng hoặc chế độ gateway ngay khi người quản trị mạng cảm thấy rằng hệ thống đang bị xâm nhập, tấn công để có thể phản ứng trước các cuọoc tấn công, loại bỏ lưu lượng hoặc các kết nối khả nghi để đảm bảo rằng các cuộc tấn công đó không thể gây ảnh hưởng đến hệ thống…
Tác giả: Five – Consultant avnol

Tôi xin tóm tắt 1 số ý về hệ thống IDS/IPS
- IDS: phát hiện xâm nhập
- IPS: phát hiện và ngăn chặn xâm nhập

Được chia làm 2 loại chính:
- HIDS (và cả IPS): triển khai trên máy trạm hoặc server quan trọng, chỉ để bảo vệ riêng từng máy
- NIDS: đặt tại những điểm quan trọng của hệ thống mạng, để phát hiện xâm nhập cho khu vực đó.

Công việc chính của IDS/IPS:
- Nếu hoạt động theo kiểu nhận dạng mẫu packet thì nó sẽ so trùng từng packet với những mẫu tấn công mà nó có, nếu trùng ==> là loại packet tấn công ==> cảnh báo hoặc ngăn cản luôn. Hiện nay đa số IDS/IPS hoạt động theo kiểu này. Tuy nhiên nếu kiểu tấn công mới thì IDS không nhận biết được, nên phải cập nhật lỗi thường xuyên giống như cập nhật virus.
- Nếu hoạt động theo kiểu heuristic thông minh (không biết dịch thế nào cho phải) thì IDS theo dõi mạng xem có hiện tượng bất thường hay không, và phản ứng lại. Lợi điểm là có thể nhận biết các kiểu tấn công mới, nhưng nhiều trường hợp bị báo động nhầm (không phải trường hợp tấn công mà vẫn gây báo động).

Nhân tiện nói về IDS, vậy ta làm một phép so sánh thử giữa IDS và IPS xem sao :

- Hiện nay, Công nghệ của IDS đã được thay thế bằng các giải pháp IPS. Nếu như hiểu đơn giản, ta có thể xem như IDS chỉ là một cái chuông để cảnh báo cho người quản trị biết những nguy cơ có thể xảy ra tấn công. Dĩ nhiên ta có thể thấy rằng, nó chỉ là một giải pháp giám sát thụ động, tức là chỉ có thể cảnh báo mà thôi, việc thực hiện ngăn chặn các cuộc tấn công vào hệ thống lại hoàn toàn phụ thuộc vào người quản trị. Vì vậy yêu cầu rất cao đối với nhà quản trị trong việc xác định các lưu lượng cần và các lưu lượng có nghi vấn là dấu hiệu của một cuộc tấn công. Và dĩ nhiên công việc này thì lại hết sức khó khăn. Với IPS, người quản trị không nhũng có thể xác định được các lưu lượng khả nghi khi có dấu hiệu tấn công mà còn giảm thiểu được khả năng xác định sai các lưu lượng. Với IPS, các cuộc tấn công sẽ bị loại bỏ ngay khi mới có dấu hiệu và nó hoạt động tuân theo một quy luật do nhà Quản trị định sẵn.

- IDS hiện nay chỉ sử dụng từ một đến 2 cơ chế để phát hiện tấn công. Vì mỗi cuộc tấn công lại có các cơ chế khác nhau của nó (Có thể tham khảo thêm các bài viết về DoS của tui ), vì vậy cần có các cơ chế khác nhau để phân biệt. Với IDS, do số lượng cơ chế là ít nên có thể dẫn đến tình trạng không phát hiện ra được các cuộc tấn công với cơ chế không định sẵn, dẫn đến khả năng các cuộc tấn công sẽ thành công, gây ảnh hưởng đến hệ thống. Thêm vào đó, do các cơ chế của IDS là tổng quát, dẫn đến tình trạng báo cáo nhầm, cảnh báo nhầm, làm tốn thời gian và công sức của nhà quản trị. Với IPS thì được xây dựng trên rất nhiều cơ chế tấn công và hoàn toàn có thể tạo mới các cơ chế phù hợp với các dạng thức tấn công mới nên sẽ giảm thiểu được khả năng tấn công của mạng, thêm đó, độ chính xác của IPS là cao hơn so với IDS.

- Nên biết rằng với IDS, việc đáp ứng lại các cuộc tấn công chỉ có thể xuất hiện sau khi gói tin của cuộc tấn công đã đi tới đích, lúc đó việc chống lại tấn công là việc nó gửi các yêu cầu đến các máy của hệ thống để xoá các kết nối đến máy tấn công và máy chủ, hoặc là gửi thông tin thông báo đên tường lửa ( Firewall) để tường lửa thực hiện chức năng của nó, tuy nhiên, việc làm này đôi khi lại gây tác động phụ đến hệ thống. Ví dụ như nếu Attacker giả mạo (sniffer) của một đối tác, ISP, hay là khách hàng, để tạo một cuộc tấn công từ chối dịch vụ thì có thể thấy rằng, mặc dù IDS có thể chặn được cuộc tấn công từ chối dịch vụ nhưng nó cũng sẽ Block luôn cả IP của khách hàng, của ISP, của đối tác, như vậy thiệt hại vẫn tồn tại và coi như hiệu ứng phụ của DoS thành công mặc dù cuộc tấn công từ chối dịch vụ thất bại. Nhưng với IPS thì khác nó sẽ phát hiện ngay từ đầu dấu hiệu của cuộc tấn công và sau đó là khoá ngay các lưu lượng mạng này thì mới có khả năng giảm thiểu được các cuộc tấn công.

Vấn đề IDS/IPS trong wireless
Vấn đề bảo mật cho Wireless hiện nay đã được nói rất nhiều. Hiện tại hầu hết các mô hình đang ứng dụng công nghệ WEP. Một giải pháp được đưa ra mới hơn đó là giải pháp Radius.
- Giải pháp WEP được đưa ra để có thể khống chế các truy cập không được phép do đòi hỏi các user muốn đăng nhập phải cung cấp Key cho AP nhằm xác thực việc truy cập của User. Độ dài của Key là do bạn quy định 64 bit, 128 bit. Việc Crack WEP tương đối khó. Bạn có thể tham khảo thêm các bài viết trên diễn đàn tại BOX Wireless. Nhưng WEP lại gặp một khó khăn đó là nếu có một người trong công ty bạn nắm được Key, nếu người đó tiết lộ ra ngoài sẽ gây ảnh hưởng đến vấn đề truy cập của hệ thống.TUy cung cấp đến 4 key để truy cập, tuy nhiên tại mỗi thời điểm, bạn chỉ có thể sử dụng 1 Key duy nhất cho mạng mà thôi. Một cách cũng được sử dụng để khống chế vấn đề truy cập mạng Wireless đó là sử dụng Access Control List trên chính AP.
- Đối với Radius, mỗi máy sẽ được cấp 1 Key và công nghệ này đang được ứng dụng để triển khai các mạng Wireless lớn. Radius hiện nay đã hỗ trợ trên các thiết bị mới và đang được đặt rất nhiều hy vọng. Bạn có thể thao khảo qua mô hình bên dưới. Việc triển khai Radius có thể giúp cho các ISP thực hiện việc tính cước khi các máy tham gia truy cập. Chẳng hạn như bán thẻ trả trước như các thẻ VNN hiện nay.

Leave a Response »

 

IDS – IPS – IDP đôi điều cần biết – phần 1 Thứ Tư, Tháng 7 30 2008

<sưu tầm>

Hệ thống ngăn chặn xâm nhập IPS – Bảo vệ chống xâm nhập và phân tích biến cố
IPS – Intrusion Prevention System

Có 3 lý do để người ta xem xét sử dụng hệ thống ngăn chặn xâm nhập:

- Cung cấp khả năng điều khiển truy cập mạng

- Tăng mức độ kiểm sóat những gì đang chạy trên mạng ( gồm có giám sát, lập hồ sơ, kiểm tra các điều kiện)

- Được cảnh báo về nguy cơ tấn công và ngăn chặn những cuộc tấn công mạng:

+ Khuynh hướng vĩ mô: phát hiện và ngăn chặn càng nhiều càng tốt, đây là khuynh hướng của hệ thống phát hiện xâm nhập IDS(Cái này đã từng được giới thiệu).

+ Khuynh hướng vi mô: Trước hết là ngăn chặn tất cả các cuộc tấn công có tính chất nghiêm trọng đối với mạng đang họat động, sau đó là phân tích các điều kiện có thể xảy ra các cuộc tấn công mới, nhằm mục đích giảm thiểu đến mức tối đa các cuộc tấn công mạng.

Các hệ thống IPS có thể được triển khai dưới hình thức các Gateway để phát hiện và ngăn chặn một cách hiệu quả các cuộc tấn công mạng, giảm thiểu thời gian chết của mạng và các chi phí ảnh hưởng đến hiệu quả họat động của mạng. Các hệ thống này được triển khai ở những vị trí nằm ngòai phạm vi kiểm sóat của tường lửa, có khả năng phát hiện các cuộc tấn công một cách chính xác thông qua phân tích lưu lượng mạng dưới nhiều phương pháp nhằm đi đến kết luận chính xác về mục đích thật sự của một kết nối đến mạng vì vậy có thể hiểu được đó là một kết nối tin cậy hay là không tin cậy. Từ việc phân tích trên, hệ thống có thể thực hiện nhiều tác vụ như ghi chép (tạo thành file nhật ký), cảnh báo, xóa các kết nối không tin cậy từ đó người quản trị mạng sẽ có những đáp ứng kịp thời với các tình trạng bị tấn công nguy hiểm hoặc là có các hành động hợp lý đối với từng trường hợp. Ngòai ra các hệ thống IPS còn cung cấp các công cụ phân tích và điều tra giúp cho người quản trị mạng hiểu được về những gì đang diễn ra trên mạng và đưa ra các quyết định sáng suốt, góp phần làm tăng hiệu quả của giải pháp an ninh mạng.

Nhiều hệ thống IPS còn có khả năng triển khai ở chế độ thụ động để thu nhận và phân tích gói dữ liệu cho phép quản trị mạng có được thông tin về lưu lượng và những nguy cơ tồn tại trên mạng. Tuy vậy chúng vẫn có thể được chuyển sang chế độ dự phòng hoặc chế độ gateway ngay khi người quản trị mạng cảm thấy rằng hệ thống đang bị xâm nhập, tấn công để có thể phản ứng trước các cuọoc tấn công, loại bỏ lưu lượng hoặc các kết nối khả nghi để đảm bảo rằng các cuộc tấn công đó không thể gây ảnh hưởng đến hệ thống…

Tác giả: Five – Consultant avnol

IPS đôi điều cần biết

——————————————————————————–

Hệ thống ngăn chặn xâm nhập IPS – Bảo vệ chống xâm nhập và phân tích biến cố
IPS – Intrusion Prevention System

Có 3 lý do để người ta xem xét sử dụng hệ thống ngăn chặn xâm nhập:

- Cung cấp khả năng điều khiển truy cập mạng

- Tăng mức độ kiểm sóat những gì đang chạy trên mạng ( gồm có giám sát, lập hồ sơ, kiểm tra các điều kiện)

- Được cảnh báo về nguy cơ tấn công và ngăn chặn những cuộc tấn công mạng:

+ Khuynh hướng vĩ mô: phát hiện và ngăn chặn càng nhiều càng tốt, đây là khuynh hướng của hệ thống phát hiện xâm nhập IDS(Cái này đã từng được giới thiệu).

+ Khuynh hướng vi mô: Trước hết là ngăn chặn tất cả các cuộc tấn công có tính chất nghiêm trọng đối với mạng đang họat động, sau đó là phân tích các điều kiện có thể xảy ra các cuộc tấn công mới, nhằm mục đích giảm thiểu đến mức tối đa các cuộc tấn công mạng.

Các hệ thống IPS có thể được triển khai dưới hình thức các Gateway để phát hiện và ngăn chặn một cách hiệu quả các cuộc tấn công mạng, giảm thiểu thời gian chết của mạng và các chi phí ảnh hưởng đến hiệu quả họat động của mạng. Các hệ thống này được triển khai ở những vị trí nằm ngòai phạm vi kiểm sóat của tường lửa, có khả năng phát hiện các cuộc tấn công một cách chính xác thông qua phân tích lưu lượng mạng dưới nhiều phương pháp nhằm đi đến kết luận chính xác về mục đích thật sự của một kết nối đến mạng vì vậy có thể hiểu được đó là một kết nối tin cậy hay là không tin cậy. Từ việc phân tích trên, hệ thống có thể thực hiện nhiều tác vụ như ghi chép (tạo thành file nhật ký), cảnh báo, xóa các kết nối không tin cậy từ đó người quản trị mạng sẽ có những đáp ứng kịp thời với các tình trạng bị tấn công nguy hiểm hoặc là có các hành động hợp lý đối với từng trường hợp. Ngòai ra các hệ thống IPS còn cung cấp các công cụ phân tích và điều tra giúp cho người quản trị mạng hiểu được về những gì đang diễn ra trên mạng và đưa ra các quyết định sáng suốt, góp phần làm tăng hiệu quả của giải pháp an ninh mạng.

Nhiều hệ thống IPS còn có khả năng triển khai ở chế độ thụ động để thu nhận và phân tích gói dữ liệu cho phép quản trị mạng có được thông tin về lưu lượng và những nguy cơ tồn tại trên mạng. Tuy vậy chúng vẫn có thể được chuyển sang chế độ dự phòng hoặc chế độ gateway ngay khi người quản trị mạng cảm thấy rằng hệ thống đang bị xâm nhập, tấn công để có thể phản ứng trước các cuọoc tấn công, loại bỏ lưu lượng hoặc các kết nối khả nghi để đảm bảo rằng các cuộc tấn công đó không thể gây ảnh hưởng đến hệ thống…
Tác giả: Five – Consultant avnol

Tôi xin tóm tắt 1 số ý về hệ thống IDS/IPS
- IDS: phát hiện xâm nhập
- IPS: phát hiện và ngăn chặn xâm nhập

Được chia làm 2 loại chính:
- HIDS (và cả IPS): triển khai trên máy trạm hoặc server quan trọng, chỉ để bảo vệ riêng từng máy
- NIDS: đặt tại những điểm quan trọng của hệ thống mạng, để phát hiện xâm nhập cho khu vực đó.

Công việc chính của IDS/IPS:
- Nếu hoạt động theo kiểu nhận dạng mẫu packet thì nó sẽ so trùng từng packet với những mẫu tấn công mà nó có, nếu trùng ==> là loại packet tấn công ==> cảnh báo hoặc ngăn cản luôn. Hiện nay đa số IDS/IPS hoạt động theo kiểu này. Tuy nhiên nếu kiểu tấn công mới thì IDS không nhận biết được, nên phải cập nhật lỗi thường xuyên giống như cập nhật virus.
- Nếu hoạt động theo kiểu heuristic thông minh (không biết dịch thế nào cho phải) thì IDS theo dõi mạng xem có hiện tượng bất thường hay không, và phản ứng lại. Lợi điểm là có thể nhận biết các kiểu tấn công mới, nhưng nhiều trường hợp bị báo động nhầm (không phải trường hợp tấn công mà vẫn gây báo động).

IPS đôi điều cần biết

——————————————————————————–

Hệ thống ngăn chặn xâm nhập IPS – Bảo vệ chống xâm nhập và phân tích biến cố
IPS – Intrusion Prevention System

Có 3 lý do để người ta xem xét sử dụng hệ thống ngăn chặn xâm nhập:

- Cung cấp khả năng điều khiển truy cập mạng

- Tăng mức độ kiểm sóat những gì đang chạy trên mạng ( gồm có giám sát, lập hồ sơ, kiểm tra các điều kiện)

- Được cảnh báo về nguy cơ tấn công và ngăn chặn những cuộc tấn công mạng:

+ Khuynh hướng vĩ mô: phát hiện và ngăn chặn càng nhiều càng tốt, đây là khuynh hướng của hệ thống phát hiện xâm nhập IDS(Cái này đã từng được giới thiệu).

+ Khuynh hướng vi mô: Trước hết là ngăn chặn tất cả các cuộc tấn công có tính chất nghiêm trọng đối với mạng đang họat động, sau đó là phân tích các điều kiện có thể xảy ra các cuộc tấn công mới, nhằm mục đích giảm thiểu đến mức tối đa các cuộc tấn công mạng.

Các hệ thống IPS có thể được triển khai dưới hình thức các Gateway để phát hiện và ngăn chặn một cách hiệu quả các cuộc tấn công mạng, giảm thiểu thời gian chết của mạng và các chi phí ảnh hưởng đến hiệu quả họat động của mạng. Các hệ thống này được triển khai ở những vị trí nằm ngòai phạm vi kiểm sóat của tường lửa, có khả năng phát hiện các cuộc tấn công một cách chính xác thông qua phân tích lưu lượng mạng dưới nhiều phương pháp nhằm đi đến kết luận chính xác về mục đích thật sự của một kết nối đến mạng vì vậy có thể hiểu được đó là một kết nối tin cậy hay là không tin cậy. Từ việc phân tích trên, hệ thống có thể thực hiện nhiều tác vụ như ghi chép (tạo thành file nhật ký), cảnh báo, xóa các kết nối không tin cậy từ đó người quản trị mạng sẽ có những đáp ứng kịp thời với các tình trạng bị tấn công nguy hiểm hoặc là có các hành động hợp lý đối với từng trường hợp. Ngòai ra các hệ thống IPS còn cung cấp các công cụ phân tích và điều tra giúp cho người quản trị mạng hiểu được về những gì đang diễn ra trên mạng và đưa ra các quyết định sáng suốt, góp phần làm tăng hiệu quả của giải pháp an ninh mạng.

Nhiều hệ thống IPS còn có khả năng triển khai ở chế độ thụ động để thu nhận và phân tích gói dữ liệu cho phép quản trị mạng có được thông tin về lưu lượng và những nguy cơ tồn tại trên mạng. Tuy vậy chúng vẫn có thể được chuyển sang chế độ dự phòng hoặc chế độ gateway ngay khi người quản trị mạng cảm thấy rằng hệ thống đang bị xâm nhập, tấn công để có thể phản ứng trước các cuọoc tấn công, loại bỏ lưu lượng hoặc các kết nối khả nghi để đảm bảo rằng các cuộc tấn công đó không thể gây ảnh hưởng đến hệ thống…
Tác giả: Five – Consultant avnol

Tôi xin tóm tắt 1 số ý về hệ thống IDS/IPS
- IDS: phát hiện xâm nhập
- IPS: phát hiện và ngăn chặn xâm nhập

Được chia làm 2 loại chính:
- HIDS (và cả IPS): triển khai trên máy trạm hoặc server quan trọng, chỉ để bảo vệ riêng từng máy
- NIDS: đặt tại những điểm quan trọng của hệ thống mạng, để phát hiện xâm nhập cho khu vực đó.

Công việc chính của IDS/IPS:
- Nếu hoạt động theo kiểu nhận dạng mẫu packet thì nó sẽ so trùng từng packet với những mẫu tấn công mà nó có, nếu trùng ==> là loại packet tấn công ==> cảnh báo hoặc ngăn cản luôn. Hiện nay đa số IDS/IPS hoạt động theo kiểu này. Tuy nhiên nếu kiểu tấn công mới thì IDS không nhận biết được, nên phải cập nhật lỗi thường xuyên giống như cập nhật virus.
- Nếu hoạt động theo kiểu heuristic thông minh (không biết dịch thế nào cho phải) thì IDS theo dõi mạng xem có hiện tượng bất thường hay không, và phản ứng lại. Lợi điểm là có thể nhận biết các kiểu tấn công mới, nhưng nhiều trường hợp bị báo động nhầm (không phải trường hợp tấn công mà vẫn gây báo động).

Nhân tiện nói về IDS, vậy ta làm một phép so sánh thử giữa IDS và IPS xem sao :

- Hiện nay, Công nghệ của IDS đã được thay thế bằng các giải pháp IPS. Nếu như hiểu đơn giản, ta có thể xem như IDS chỉ là một cái chuông để cảnh báo cho người quản trị biết những nguy cơ có thể xảy ra tấn công. Dĩ nhiên ta có thể thấy rằng, nó chỉ là một giải pháp giám sát thụ động, tức là chỉ có thể cảnh báo mà thôi, việc thực hiện ngăn chặn các cuộc tấn công vào hệ thống lại hoàn toàn phụ thuộc vào người quản trị. Vì vậy yêu cầu rất cao đối với nhà quản trị trong việc xác định các lưu lượng cần và các lưu lượng có nghi vấn là dấu hiệu của một cuộc tấn công. Và dĩ nhiên công việc này thì lại hết sức khó khăn. Với IPS, người quản trị không nhũng có thể xác định được các lưu lượng khả nghi khi có dấu hiệu tấn công mà còn giảm thiểu được khả năng xác định sai các lưu lượng. Với IPS, các cuộc tấn công sẽ bị loại bỏ ngay khi mới có dấu hiệu và nó hoạt động tuân theo một quy luật do nhà Quản trị định sẵn.

- IDS hiện nay chỉ sử dụng từ một đến 2 cơ chế để phát hiện tấn công. Vì mỗi cuộc tấn công lại có các cơ chế khác nhau của nó (Có thể tham khảo thêm các bài viết về DoS của tui ), vì vậy cần có các cơ chế khác nhau để phân biệt. Với IDS, do số lượng cơ chế là ít nên có thể dẫn đến tình trạng không phát hiện ra được các cuộc tấn công với cơ chế không định sẵn, dẫn đến khả năng các cuộc tấn công sẽ thành công, gây ảnh hưởng đến hệ thống. Thêm vào đó, do các cơ chế của IDS là tổng quát, dẫn đến tình trạng báo cáo nhầm, cảnh báo nhầm, làm tốn thời gian và công sức của nhà quản trị. Với IPS thì được xây dựng trên rất nhiều cơ chế tấn công và hoàn toàn có thể tạo mới các cơ chế phù hợp với các dạng thức tấn công mới nên sẽ giảm thiểu được khả năng tấn công của mạng, thêm đó, độ chính xác của IPS là cao hơn so với IDS.

- Nên biết rằng với IDS, việc đáp ứng lại các cuộc tấn công chỉ có thể xuất hiện sau khi gói tin của cuộc tấn công đã đi tới đích, lúc đó việc chống lại tấn công là việc nó gửi các yêu cầu đến các máy của hệ thống để xoá các kết nối đến máy tấn công và máy chủ, hoặc là gửi thông tin thông báo đên tường lửa ( Firewall) để tường lửa thực hiện chức năng của nó, tuy nhiên, việc làm này đôi khi lại gây tác động phụ đến hệ thống. Ví dụ như nếu Attacker giả mạo (sniffer) của một đối tác, ISP, hay là khách hàng, để tạo một cuộc tấn công từ chối dịch vụ thì có thể thấy rằng, mặc dù IDS có thể chặn được cuộc tấn công từ chối dịch vụ nhưng nó cũng sẽ Block luôn cả IP của khách hàng, của ISP, của đối tác, như vậy thiệt hại vẫn tồn tại và coi như hiệu ứng phụ của DoS thành công mặc dù cuộc tấn công từ chối dịch vụ thất bại. Nhưng với IPS thì khác nó sẽ phát hiện ngay từ đầu dấu hiệu của cuộc tấn công và sau đó là khoá ngay các lưu lượng mạng này thì mới có khả năng giảm thiểu được các cuộc tấn công.

IPS đôi điều cần biết

——————————————————————————–

Hệ thống ngăn chặn xâm nhập IPS – Bảo vệ chống xâm nhập và phân tích biến cố
IPS – Intrusion Prevention System

Có 3 lý do để người ta xem xét sử dụng hệ thống ngăn chặn xâm nhập:

- Cung cấp khả năng điều khiển truy cập mạng

- Tăng mức độ kiểm sóat những gì đang chạy trên mạng ( gồm có giám sát, lập hồ sơ, kiểm tra các điều kiện)

- Được cảnh báo về nguy cơ tấn công và ngăn chặn những cuộc tấn công mạng:

+ Khuynh hướng vĩ mô: phát hiện và ngăn chặn càng nhiều càng tốt, đây là khuynh hướng của hệ thống phát hiện xâm nhập IDS(Cái này đã từng được giới thiệu).

+ Khuynh hướng vi mô: Trước hết là ngăn chặn tất cả các cuộc tấn công có tính chất nghiêm trọng đối với mạng đang họat động, sau đó là phân tích các điều kiện có thể xảy ra các cuộc tấn công mới, nhằm mục đích giảm thiểu đến mức tối đa các cuộc tấn công mạng.

Leave a Response »

 

Hoạt động của Switch. – phần 2 (phần cuối) ( sưu tầm) Thứ Tư, Tháng 7 30 2008

Các bảng dùng trong quá trình switching

Các Catalyst switch duy trì vài bảng trong quá trình hoạt động. Các bảng này đuợc dùng trong quá trình chuyển mạch L2 hoặc MLS và được lưu trong các bộ nhớ rất nhanh sao cho nhiều trường trong gói tin hay frame có thể được so sánh song song.

Bảng CAM

Tất cả các kiểu Catalyst switch dùng bảng CAM cho quá trình L2 switching. Khi frame đến trên switchport, địa chỉ nguồn MAC sẽ được học và lưu trong bảng CAM. Port đầu vào và thông tin VLAN tương ứng sẽ được học. Nếu một địa chỉ MAC học được trên một switch port sau đó được chuyển sang một port khác, địa chỉ MAC và các nhãn thời gian tương ứng sẽ được lưu lại trên port mới nhất. Sau đó, thông tin cũ trong bảng MAC sẽ bị xóa. Nếu một địa chỉ MAC được nhận ra đã có sẵn trên chính port đó, chỉ có nhãn thời gian (timestamp) là được cập nhật.

Các switch thông thường có bảng CAM lớn sao cho nhiều địa chỉ có thể tìm kiếm. Tuy nhiên, sẽ không có đủ chổ cho tất cả các địa chỉ có thể trên một hệ thống mạng lớn. Để quản lý không gian của bảng CAM, các entry cũ (không được cập nhật) sẽ được xóa ra khỏi bảng CAM. Mặc định, các hàng trong bảng CAM này có thời gian aged-out là 300 giây. Để thay đổi thời gian mặc định này, ta có thể dùng lệnh

Switch(config)# mac address-table aging-time seconds

Mặc định, các địa chỉ MAC có thể được học động khi có frame đi vào. Bạn cũng có thể cấu hình MAC tĩnh. Lúc này, hãy dùng lệnh:

Switch(config)# mac address-table static mac-address vlan vlan-id interface type mod/num

Bảng TCAM

Trong quá trình định tuyến truyền thống, ACL có thể lọc hay kiểm soát traffic. Các ACL có thể được tạo ra bởi một hoặc nhiều đối tượng hoặc các phát biểu match có thể được tính toán theo trình tự. Việc tính toán một ACL có thể tốn thêm thời gian, làm tăng độ trễ của gói tin. Trong MLS, tất cả các tiến trình so sánh của ACL đều hiện thực bằng phần cứng. TCAM cho phép một gói tin được kiểm tra với toàn bộ ACL chỉ thông qua một động tác tìm kiếm đơn giản. Phần lớn các switch có nhiều bảng TCAM để các ACL về bảo mật và QoS có thể được kiểm nghiệm đồng thời và xử lý song song với các quyết định đẩy gói tin ở L2 và L3.

- Có hai thành phần trong bảng TCAM:

Feature Manager: sau khi một ACL được tạo ra hoặc cấu hình, FM sẽ biên dịch và trộn các hàng của ACL vào bảng TCAM. Bảng TCAM sau đó sẽ được tham chiếu ở tốc độ chuyển frame.
Switching Database Manager SDM: bạn có thể chia bảng TCAM trên vài Catalyst switch ra thành các vùng có chức năng khác nhau.

Cấu trúc bảng TCAM:

TCAM là một mở rộng của khái niệm bảng CAM. Hãy nhớ rằng một bảng CAM sẽ dùng một index hoặc một giá trị khóa (thường là địa chỉ MAC)

Các hàng trong bảng TCAM thường bao gồm các giá trị Value, Mask và result. Các trường từ gói frame hoặc gói tin sẽ được nạp vào bảng TCAM, trong đó các trường này sẽ so sánh với các cặp value/match.

Cột giá trị (value) luôn là 134bit, có thể chưa địa chỉ nguồn và địa chỉ đích và các thông tin liên quan khác. Thông tin kết hợp để hình thành nên cột value này phụ thuộc vào kiểu của ACL. Trường mask cũng có chiều dài 134bit. Mask giúp chỉ ra các bit đang quan tâm. Cột kết quả là các con số chỉ ra hành động cần phải thực hiện sau khi bảng TCAM đã được tìm kiếm. Cần lưu ý là so với ACL truyền thống, bảng TCAM cho phép một số result có thể. Ví dụ result có thể là permit/deny hoặc một giá trị index đến một chính sách QoS hoặc một pointer đến giá trị nexthop khác.

Leave a Response »

 

Hoạt động của Switch. – phần 1 ( sưu tầm) Thứ Tư, Tháng 7 30 2008

Hoạt động của Switch

I. Layer 2 Switch

Trong các hệ thống mạng dùng shared Ethernet, thiết bị hub thường được dùng. Nhiều host sẽ được kết nối như là một miền broadcast và miền xung đột (collision). Nói cách khác, các thiết bị shared Ethernet hoạt động ở L1.

Mỗi host lúc này phải chia sẽ băng thông sẵn có cho tất cả các host khác đang kết nối vào hub. Khi có một hoặc nhiều host cố gắng truyền ở một thời điểm, xung đột sẽ xảy ra; lúc này tất cả các host phải lui về và chờ một khoảng thời gian để truyền lại. Cơ chế này áp đặt kiểu hoạt động half-duplex cho các host, nghĩa là các host hoặc là truyền, hoặc là nhận ở một thời điểm. Thêm vào đó, khi một host gửi ra một frame, tất cả các host sẽ nghe frame đó.

Ở mức cơ bản nhất, một Ethernet switch sẽ tách các host kết nối vào nó theo những cách sau:

Mỗi collision domain sẽ bị giới hạn lại. Trên từng switchport, mỗi collision domain bao gồm chính port của switch đó và bao gồm các thiết bị kết nối vào port switch. Thiết bị kết nối này có thể là một host hoặc có thể là một hub khác.

Các host có thể hoạt động ở chế độ fullduplex bởi vì không có sự cạnh tranh trên đường truyền. Các host có thể truyền và nhận ở cùng một thời điểm.

Băng thông không còn chia sẻ, thay vào đó, mỗi switchport cung cấp một phần băng thông dành riêng trên switch fabric từ port này đến port kia. Các kết nối này luôn biến động.

Lỗi trong các frame sẽ không được truyền. Thay vào đó, các frame nhận đươc trên từng port sẽ được kiểm tra lỗi. Các frame tốt sẽ được tái tạo khi nó tiếp tục được chuyển đi. Cơ chế này còn gọi là store-and-forward.

Bạn có thể giới hạn broadcast traffic đến một mức cho trước.
Switch có thể hỗ trợ các kiểu lọc traffic thông minh.

Khái niệm transparent bridging (TB)

Một layer 2 switch là một transparent bridge có nhiều cổng, trong đó mỗi switchport là một Ethernet segment, tách biệt với những segment khác. Quá trình đẩy frame đi chỉ dựa hoàn toàn vào địa chỉ MAC chứa bên trong từng frame. Một switch sẽ không chuyển một frame cho đến khi nào nó biết địa chỉ đích của frame.

Toàn bộ quá trình đẩy các Ethernet frame đi trở thành quá trình tìm ra những địa chỉ MAC address nào kết hợp với switchport nào. Một switch phải được chỉ dẫn từong minh các host nằm ở đâu (cấu hình MAC tĩnh) hoặc phải tự học các thông tin này. Nếu cấu hình MAC address tĩnh, quá trình này sẽ nhanh chóng quá tải khi các host thay đổi port.

Để học vị trí của một máy, một switch sẽ lắng nghe các frame đi vào và lưu giữ một bảng các thông tin địa chỉ. Khi một frame đến một switchport, switch sẽ kiểm tra MAC nguồn. Nếu địa chỉ MAC nguồn này chưa có trong bảng MAC, địa chỉ MAC, vị trí port và cả thông tin VLAN sẽ được lưu trong bảng. Như vậy, quá trình học vị trí của một host thì dễ dàng và nhanh chóng.

Các frame đi vào cũng có chứa địa chỉ MAC. Một lần nữa, switch sẽ tìm kiếm địa chỉ này trong bảng MAC với hy vọng tìm thấy cổng ra của switch. Nếu tìm thấy, frame có thể được chuyển đi. Nếu địa chỉ không tìm thấy, switch sẽ phát tán frame ra tất cả các port nằm trong cùng một vlan. Động thái này gọi là unknow unicast flooding. Xem hình bên dưới.

Một switch sẽ liên tục lắng nghe các frame đi vào trên các switchport của nó, học các địa chỉ MAC. Tuy nhiên, quá trình này chỉ được phép chỉ khi STP đã quyết định là một port có ổn định cho quá trình sử dụng bình thường hay không. Thuật toán STP sẽ quan tâm đến việc duy trì một mạng không bị loop, khi mà frame không bị đẩy vào vòng bất tận. Đối với các frame chứa địa chỉ broadcast, frame cũng sẽ bị phát tán.

Dòng chảy của frame trong switch

Phần này sẽ khảo sát tiến trình của một frame khi nó đi qua một L2 switch. Khi một frame đến trên một port, frame sẽ được đặt vào hàng đợi inbound. Mỗi hàng đợi có thể chứa các frame các mức ưu tiên khác nhau. Switchport có thể được hiệu chỉnh sao cho các frame quan trọng được xử lý trước. Chức năng này cho phép các dữ liệu quan trọng không bị loại bỏ khi có nghẽn xảy ra.

Khi các hàng đợi được phục vụ và frame được giải phóng ra khỏi hàng đợi, switch phải xác định không chỉ port đích mà còn phải xác định là có nên đẩy các frame đó không (whether) và bằng cách nào (how). Ba quyết định cơ bản cần phải được thực hiện: một quyết định liên quan đến tìm ra cổng ra, hai quyết định còn lại là tìm ra chính sách để đẩy frame đi. Cả ba quyết định này được thực hiện đồng thời bởi các thành phần phần cứng độc lập của switch. Các thành phần này là:

Bảng L2 forwarding: Địa chỉ đích chứa trong frame sẽ đựoc dùng như là thông số để so sánh vào bảng CAM. Nếu địa chỉ là tìm thấy, cổng ra của switch và thông tin vlan tương ứng sẽ được đọc và sử dụng. Nếu không tìm thấy, frame sẽ được đánh dấu để phát tán.
Các ACL bảo mật có thể đựoc dùng để lọc các frame theo địa chỉ MAC, kiểu giao thức, thông tin L4. Bảng TCAM sẽ chứa các ACL trong một dạng đã được biên dịch sao cho quyết định forward một frame hay không sẽ được thực hiện chỉ trong một động tác tìm kiếm bảng TCAM.

Các QoS ACL có thể phân loại các frame đi vào theo các thông số QoS hoặc để định hình hay kiểm soát tốc độ của dòng traffic. Bảng TCAM cũng được dùng trong quá trình quyết định này.

Sau khi quá trình tìm kiếm trong bảng CAM hay TCAM đã diễn ra, frame sẽ được đặt bên trong hàng đợI của outbound switchport. Các hàng đợi outbound được xác định bằng các thông số QoS chứa trong frame hay thông số được truyền cùng với frame.

Hoạt động của Multilayer switch

Các Catalyst switch, chẳng hạn như 3560, 4500 và 6500 có thể đẩy các frame dựa trên thông tin L3 và L4 chứa trong gói tin. Tiến trình này gọi là chuyển mạch đa tầng (multilayer switching – MLS). Một cách tự nhiên, tiến trình L2 switch cũng phải được thực hiện vì suy cho cùng, các giao thức lớp cao hơn vẫn phải chứa trong các Ethernet frame.

Các kiểu MLS

Có hai thế hệ MLS: route-caching (thế hệ đầu) và topology-based (thế hệ thứ 2). Hiện nay các dòng switch như 3560, 4500 và 6500 chỉ hỗ trợ thế hệ thứ hai của MLS.

Route-caching: Thế hệ đầu. Kiểu công nghệ này đòi hỏi về mặt phần cứng phải trang bị thêm một route processor RP và một switch engine SE. RP phải xử lý gói tin đầu tiên của một dòng các traffic để tìm ra địa chỉ đích. SE sau đó sẽ lắng nghe cả gói tin đầu tiên và địa chỉ đích cần đích, sau đó tạo ra một đường đi tắt trong cache. SE sau đó sẽ đẩy các gói tin kế tiếp trong cùng một dòng traffic dựa trên thông tin trong cache. Kiểu hoạt động MLS này còn được gọi là netflow LAN Switching, flow-based hoặc “route once, switch many”. Ngay cả khi ngày nay kiểu chuyển mạch này không được dùng trong các Catalyst switch, kỹ thuật này vẫn được dùng để tạo ra các thông tin về dòng lưu lượng và các thông tin thống kê.

Topology-based: Thế hệ thứ hai của MLS sử dụng các phần cứng chuyên dụng. Các thông tin định tuyến lớp 3 sẽ được xây dựng và đưa vào một cơ sở dữ liệu về toàn bộ sơ đồ mạng. Cơ sở dữ liệu này, bản chất sẽ được kèm theo một cơ chế tìm kiếm bằng phần cứng rất hiệu quả, sẽ được tham khảo sao cho các gói tin có thể được đẩy đi ở tốc độ rất cao. Khi có một so trùng dài nhất được tìm thấy (longest match), kết quả này sẽ được dùng. Khi cấu trúc mạng thay đổi, database chứa trong phần cứng này cũng sẽ được cập nhật động trong thời gian rất ngắn. Kiểu MLS này được gọi là Cisco Express Forwarding CEF. Một tiến trình định tuyến chạy trên phần cứng của switch sẽ download bảng định tuyến thông thường vào trong bảng FIB.

Dòng chảy của gói tin trong switch L3

Đường đi mà một gói tin lớp 3 đi vào một MLS thì cũng tương tự như của L2 switch. Rõ ràng, một vài cách thức để xử lý thông tin lớp 3 cần phải được thêm vào. Hình dưới đây mô tả một MLS switch tiêu biểu và các tiến trình quyết định bên trong.

Các gói tin đến một switchport sẽ được đặt trong hàng đợi phù hợp giống như trong L2 switch.

Mỗi gói tin sẽ được lấy ra khỏi hàng đợi và kiểm tra cả thông tin L2 và L3. Ở thời điểm này, switch quyết định đẩy gói tin về đâu sẽ được dựa trên hai bảng địa chỉ. Cũng giống như trong L2 switching, tất cả các quyết định chuyển mạch MLS sẽ được thực hiện đồng thời bằng phần cứng.

Bảng L2 forwarding: Địa chỉ MAC được dùng như một thông số trong bảng CAM. Nếu frame chứa một gói tin L3 cần phải được chuyển đi, địa chỉ MAC đích là địa chỉ MAC của port L3 trên switch. Trong trường hợp này, kết quả của bảng CAM chỉ được dùng để quyết định rằng frame nên được xử lý ở L3.

Bảng L3 forwarding: Khi switch tham khảo đến bảng FIB, địa chỉ đích của gói tin sẽ được dùng. Nếu tìm thấy một hàng trong bảng FIB theo nguyên tắc longest match (trùng cả phần địa chỉ và phần mask), địa chỉ next-hop L3 sẽ được ghi nhận. Bảng FIB cũng chứa địa chỉ L2 MAC và cổng ra của switch sao cho quá trình tìm kiếm trong bảng về sau là không cần thiết.

Các ACL bảo mật sẽ được biên dịch vào thành các hàng của bảng TCAM sao cho các quyết định đẩy gói tin sẽ chỉ cần xác định thông qua một động tác tìm kiếm trong bảng.

Các chức năng QoS khác như phân loại gói tin, định hình và đánh dấu có thể được thực hiện như là một quá trình tìm kiếm duy nhất trong bảng TCAM. Cũng giống như trong L2 switch, cuối cùng, gói tin cũng phải được đặt trong các hàng đợi phù hợp trên cổng ra của switch.

Tuy nhiên cũng cần nhớ rằng trong quá trình chuyển mạch MLS, địa chỉ next-hop sẽ nhận được từ bảng FIB cũng giống như một router nào đó. Sau khi đã có địa chỉ L3, thông thường router/L3 switch sẽ xác định giá trị nexthop và tìm địa chỉ L2 của nó. Sau đó, chỉ có địa chỉ L2 được dùng, sao cho L2 frame có thể được gửi. Tiến trình này chính là quá trình encapsulation. Địa chỉ L2 nexthop phải được đặt vào frame thay cho địa chỉ đích ban đầu (chính là địa chỉ L2 của MLS switch). Địa chỉ nguồn L2 của frame cũng sẽ được đổi lại thành địa chỉ L2 của MLS switch trước khi nó được gửi đến thiết bị nexthop. Nghĩa là, cả địa chỉ nguồn MAC và địa chỉ đích MAC của một frame khi đi qua một L3 switch sẽ phải thay đổi.

Ngoài ra, cũng giống như trong routers, giá trị TTL trong gói tin L3 phải được trừ đi 1. Bởi vì nội dung của gói tin L3 (giá trị TTL) đã thay đổi, giá trị L3 header checksum phải được tính toán lại. Và bởi vì cả nội dung L2 và L3 cũng đã thay đổi, giá trị L2 checksum cũng phải được tính toán lại. Nói cách khác, toàn bộ frame phải được viết lại trước khi nó đi ra hàng đợi bên ngoài. Toàn bộ quá trình này hoàn tất bằng phần cứng.

Các ngoại lệ đối với quá trình MLS

Để đẩy gói tin đi dùng các quyết định đồng thời được mô tả ở trên, gói tin phải là dạng “MLS-ready”. Ví dụ, CEF có thể đẩy gói tin IP đi trực tiếp giữa các host. Điều này diễn ra khi cả địa chỉ nguồn và địa chỉ đích là đã biết và không có một thông số IP nào cần phải thao tác. Các gói tin dạng khác không thể chuyển mạch theo kiểu CEF thì phải được xử lý chi tiết hơn. Các gói tin/ traffic dạng như sau sẽ bị đánh dấu và gửi về CPU của switch để xử lý theo kiểu process switching:

ARP requests and replies.
IP packets requiring a response from a router (TTL has expired, MTU is exceeded, fragmentation is needed, and so on)
IP broadcasts that will be relayed as unicast (DHCP requests, IP helper-address functions).
Routing protocol updates.
Cisco Discovery Protocol packets.
IPX routing protocol and service advertisements.
Packets needing encryption.
Packets triggering Network Address Translation (NAT)
Other non-IP and non-IPX protocol packets (AppleTalk, DECnet, and so on)

Leave a Response »

 

Tìm hiểu về giao thức Thứ Tư, Tháng 7 30 2008

Khái niệm về giao thức:
Thực thể của mạng muốn trao đổi thông tin với nhau phải bắt tay , đàm phàn về một số quy tắc…..cùng phải “ nói chung một ngôn ngữ”.Tập qui tắc hội thoại được gọi là giao thức (Protocol).Các thành phần chính của 1 giao thức bao gồm:
+ Cú pháp: định dạng dữ liệu, phương thức mã hoá và các mức tín hiệu.
+ Ngữ nghĩa: thông tin điều khiển , điều khiển lưu lượng và xữ lý lỗi……
Việc trao đôi thông tin giữa 2 thực thể có thế là trực típ or gián típ.Trong 2 hệ thống kết nối điểm – điểm (point to point) , các thực thể có thể trao đổi thông tin trực típ ko có sự can thiệp của các thực thể trung gian.Trong cấu trúc đa điểm or quảng bá (Point to Multipoint or Broadcastinh), 2 thực thể trao đổi dữ liệu với nhau thông qua thực thể trung gian.Nó sẽ phức tạp hơn khi các thực thể ko chia sẻ trên cùng 1 mạng chuyển mạch, kết nối gián tip phải qua nhiều mạng con.

Chức năng của giao thức:
Đóng gói : trong quá trình trao đổi thông tin , các gói dữ liệu được thêm vào 1 số thông tin điều khiển , bao gồm địa chỉ đích , mã phát hiện lỗi , điều khiển giao thức …việc thêm thông tin điều khiển vào gói dữ liệu được gọi là quá trình đóng gói (Encapsulation).Bên thu sẽ được thực hiện ngược lại , thông tin điều khiển sẽ được gỡ bỏ khi gói tin chuyển từ tầng dưới lên tầng trên.
Phân đoạn và hợp lại: mạng truyên thông chỉ chấp nhận kích thước các gói dữ liệu cố định.Các giao thức ở các tầng thấp cần phải cắt dữ liệu thành những gói có kích thước qui định.Quá trình này gọi là quá trình phân đoạn.Ngược với quá trình phân đoạn bên phát là quá trình hợp lại bên thu.Dữ liệu phân đoạn cần phải được hợp lại thành thông điệp thích hợp ở tầng ứng dụng (application).Vì vậy vấn đề bảo đảm thứ tự các gói đến đích là rất quan trọng .Gói dữ liệu trao đổi giữa hai thực thể qua giao thức gọi là đơn vị giao thức dữ liệu PDU (Protocol Data Unit).
Điểu khiển liên kết : Trao đổi thông tin giữa các thực thể có thể thực hiện theo 2 phương thức : hướng liên kết (Connection — Oriented) và ko liên kết (Connectionless). Truyền thông liên kết ko yêu cầu có độ tin cậy cao, ko yêu cầu chất lượng dịch vụ và ko yêu cầu xác nhận (do giao thức UDP đảm nhận).Ngược lại truyền theo phương thức hướng liên kết yêu cầu độ tin cậy cao, đảm bảo chất lượng dịch vụ và có xác nhận , trước khi 2 thực thể trao đổi thông tin với nhau giữa chúng 1 kết nối được thiết lập và sau khi trao đôi xong kết nối sẽ được giải phóng (do giao thức TCP đảm nhận).
Giám sát : các gói tin PDU có thể lưu chuyển độc lập theo các con đườn khác nhau, khi đến đích có thể ko theo thứ tự như khi phát.Trong phương thức hướng liên kết , các gói tin phải được yêu cầu giám sát. Mỗi một PDU có một mã tậphợp duy nhất và được đăng ký theo tuần tự. Các thực thể nhận sẽ khôi phục thứ tự các gói tin như thứ tự bên phát.
Điều khiển lưu lượng liên quan đến khả năng tiếp nhận các gói dữ liệu của thực thể bên thu và số luợng or tốc độ của dữ liệu được truyền bởi thực thể bên phát sao cho bên thu ko bị tràn ngập, đảm bảo tốc độ cao nhất.Một dạng đơn giản của điều khiển lưu lượng là thủ tục dừng và đợi (Stop anh wait) , trong đó mỗi PDU đã phát cần phải được xác nhận trước khi truyền gói tin tiếp theo.Có độ tin cậy cao khi truyền 1 số lượng nhất định dữ liệu mà ko cần xác nhận.Kỹ thuật cửa sổ trượt là thí dụ cơ chế này. Điều khiển lưu lượng là 1 chức năng quan trọng cần phải được thực hiện trong 1 số giao thức.
Điêu khiển lỗi là kỹ thuật cần thiết nhằm bảo vệ dữ liệu ko bị mất or bị hỏng trong qua trình trao đổi thông tin.Phát hiện và sửa lỗi bao gồm việc phát hiện lỗi trên cở sở kiểm tra khung và truyền lại các PDU khi có lỗi.Nếu một thực thể nhận xác nhận PDU lỗi , thông thường gói tin đó sẽ được gửi trả lại.
Đồng bộ hoá : các thực thể giao thức có các tham số về các trạng thái và định nghĩa trạng thái, đó lá các tham số về kích thước cửa sổ, tham số liên kết và giá trị thời gian. Hai thực thể truyền thông trong giao thức mạng.cần phải đồng thời trong cùng 1 trạng thái xác định.Ví dụ cùng trạng thái khởi tạo, điểm kiểm tra và huỷ bỏ , được gọi là đồng bộ hoá. Đồng bộ hoá sẽ khó khăn nếu thực chỉ xác định được trạng thái của hực thể khác khi nhận các gói tin.Các gói tin ko đến ngay mà phải mất 1 thời gian để lưu chuyển từ nguồn đến đích và các gói tin PDU cũgn có thể bị thất lạc trong quá trình truyền.
Địa chỉ hoá : 2 thực thể có thể truyền thông được với nhau cần phải nhận dạng được nhau.Trong mạng quảng bá các thực thể phải nhạn dạng định danh của nó trong gói tin. Trong gói các mạng chuyển mạch , mạng cần phân biệt thực thể đích để định tuyến dữ liệu trước khi thiết lập kết nối
sưu tầm

Leave a Response »

 

Giới thiệu về địa chỉ IPv6 – phần cuối Thứ Tư, Tháng 7 30 2008

Phần cuối
Trong bài viết này, chúng tôi đã trình bày cho các bạn sự khác nhau đáng kể về các bit trong địa chỉ IPv6. Phần cuối đã đi thẳng vào thảo luận sự khác nhau giữa các loại địa chỉ IPv6. Trong phần 3 chúng tôi sẽ tiếp tục thảo luận bằng việc nói về các địa chỉ multicast và anycast.

Trong phần 2 của loạt bài này, chúng tôi đã giới thiệu cho các bạn về ba loại khác nhau của địa chỉ IPv6: unicast, multicast và anycast. Trong bài viết này, chúng tôi sẽ giải thích vắn tắt các địa chỉ unicast được sử dụng để nhận dạng một host riêng lẻ trên mạng. Các địa chỉ multicast chỉ nhận một nhóm giao diện mạng cư trú điển hình trên các máy tính phức hợp. Khi một gói dữ liệu được gửi đến địa chỉ multicast thì gói đó được gửi đến tất cả các giao diện mạng trong nhóm multicast. Giống như địa chỉ multicast, các địa chỉ anycast cũng nhận dạng một nhóm cụ thể các giao diện mạng thường cư trú trên những máy tính phức hợp. Sự khác nhau ở đây là khi gói được gửi đến địa chỉ multicast, chúng được gửi đến tất cả các giao diện mạng (nút mạng) trong nhóm. Ngược lại, khi gói dữ liệu được gửi đến một địa chỉ anycast thì các gói này không được gửi đến toàn bộ nhóm và thay vào đó chúng chỉ được gửi đến thành viên gần nhất về mặt vật lý với người gửi.

Như bạn thấy, thực sự có một chút khá giống nhau giữa hai địa chỉ multicast và anycast. Trong bài viết này chúng tôi sẽ kết luận loạt bài này bằng việc thảo luận chi tiết hơn về multicast và anycast.

Địa chỉ Multicast

Như chúng tôi đã giải thích ở phần trước, các địa chỉ multicast được sử dụng để nhận dạng một nhóm các giao diện mạng, được biết đến như một nhóm multicast. Các giao diện mạng điển hình được định vị trên các máy tính phức hợp nhưng đây không phải là một thiết bị thuần túy. Các địa chỉ multicast được sử dụng để gửi thông tin đến bất kỳ giao diện mạng nào đã được định nghĩa thuộc về nhóm multicast.

Một trong những điều thú vị nhất về các địa chỉ multicast đó là chúng hoàn toàn riêng biệt, một giao diện mạng có một địa chỉ multicast không có nghĩa là máy đó không thể có một địa chỉ unicast hoặc là nằm trong các nhóm multicast khác Trong thực tế, một vài hệ điều hành đã thêm vào đó một adapter mạng của máy tính đối với các nhóm multicast khác nhau tại thời điểm địa chỉ unicast của adapter được định nghĩa. Ví dụ: hệ điều hành Solaris tự động thêm vào các adapter mạng vào nút Solicited và các nhóm multicast tất cả các nút (hoặc tất cả các router). Trong trường hợp bạn không quen với Solaris, nhóm nút Solicited được sử dụng cho việc phát hiện ra IPv6 khác đã kích hoạt các thiết bị trên mạng. Windows Vista cũng có một chức năng tương tự.

Chúng tôi đã giải thích cho các bạn nghe về các địa chỉ multicast được sử dụng cho những địa chỉ multicast trông như thế nào. Mặc dù một địa chỉ IPv6 dài 128 bit nhưng 8 bit đầu tiên của địa chỉ lại định nghĩa cho địa chỉ multicast. Mỗi một địa chỉ multicast sử dụng một định dạng tiền tố là 11111111. Khi được biểu diễn trong ký hiệu hex và “:” thì một địa chỉ multicast luôn luôn bắt đầu bằng FF.

Bốn bit tiếp theo của địa chỉ multicast là các bit cờ (flag). Tại thời điểm hiện tại, ba bit đầu trong nhóm bốn bit là không dùng đến (chính vì vậy chúng được thiết lập là 0). Bit cờ thứ tư được biết đến như một bit nốt đệm. Nhiệm vụ của nó là để biểu thị xem địa chỉ đó là một địa chỉ tạm thời hay thường xuyên. Nếu địa chỉ đó là địa chỉ thường xuyên thì bit này sẽ được gán bằng 0 còn ngược lại nó sẽ được gán bằng 1.

Bốn bit tiếp theo trong địa chỉ multicast được biết đến như các bit ID Scope. Số lượng của không gian dự trữ cho các bit Scope ID là 4 bit, điều đó có nghĩa là có 16 giá trị khác nhau được biểu thị. Mặc dù không phải tất cả 16 giá trị đều được sử dụng tại thời điểm hiện tại, 7 trong số các giá trị đó được sử dụng để xác định phạm vi của địa chỉ. Ví dụ: nếu một địa chỉ có phạm vi toàn cầu thì địa chỉ là hợp lệ trên toàn bộ Internet. Hiện tại đã sử dụng các bit Scope ID như sau:
Code:
Giá trị thập phân Giá trị nhị phân Phạm vi địa chỉ
0 0000 Dự trữ
1 0001 Phạm vi nút nội bộ
2 0010 Phạm vi liên kết nội bộ
5 0101 Phạm vi trang nội bộ
8 1000 Phạm vi tổ chức nội bộ
14 1110 Phạm vi toàn cầu
15 1111 Dự trữ
112 bit còn lại được sử dụng cho nhóm ID. Kích thước của nhóm ID cho phép các địa chỉ multicast dùng hết 1/256 phần không gian địa chỉ của IPv6.

Để đặt lược đồ địa chỉ này trong phần sắp tới, chúng tôi cho bạn xem một số địa chỉ multicast được sử dụng thường xuyên nhất:

FF0×0:0:0:0:0:1
Đây là một multicast cho tất cả các nút. Bạn có thể phải lưu ý đến chữ “x” trong địa chỉ, nó không phải là một kí tự hệ số hex. Nó là một trình giữ chỗ cho phạm vi. Địa chỉ cụ thể này có thể sử dụng phạm vi nút nội bộ (FF01:0:0:0:0:0:1) hoặc phạm vi liên kết nội bộ (FF02:0:0:0:0:0:1).

FF0x:0:0:0:0:0:2
Địa chỉ multicast này được gán cho tất cả các router bên trong phạm vi đã định nghĩa. Ở đây cũng có kí tự “x”, nó cũng có chức năng tương tự. Các phạm vi hợp lệ là nút nội bộ (FF01:0:0:0:0:0:2), liên kết nội bộ (FF02:0:0:0:0:0:2) và trang nội bộ (FF05:0:0:0:0:0:2).

Địa chỉ Anycast

Nếu đã nghiên cứu giao thức IPv4 thì bạn có thể biết được rằng các khái niệm của unicast và multicast cũng tồn tại ở IPv4, mặc dù vậy ở IPv6 chúng được bổ sung nhiều vấn đề khác. Anycast là duy nhất với IPv6. Anycast làm việc giống như một sự kết hợp các địa chỉ unicast và multicast. Một địa chỉ unicast được sử dụng để gửi dữ liệu đến một người nhận cụ thể nào đó, một địa chỉ multicast được sử dụng để gửi dữ liệu đến một nhóm người nhận còn một địa chỉ anycast thì được sử dụng để gửi dữ liệu đến một người nhận cụ thể ở ngoài nhóm người nhận.

Trong trường hợp bạn đang phân vân rằng anycast được tạo như một cách làm cân bằng tải trở lên dễ dàng hơn. Hãy hình dung một tình huống bạn cần cung cấp một số lượng lớn người dùng để họ có thể truy cập đến các dịch vụ hoặc đến một router của họ. Trong tình huống như vậy thì nó thường làm cho bạn phải sử dụng nhiều máy chủ để cấu hình dịch vụ đang được cung cấp hoặc sử dụng các router phức hợp hay bất cứ trường hợp nào có thể. Lý do ở đây là vì nó có thể cho phép phân phối luồng công việc giữa các thiết bị phức hợp.

Loại cân bằng tải này thực hiện rất khó khăn nếu sử dụng Ipv4 (mặc dù nó đã được thực hiện). Siệc sử dụng các địa chỉ anycast với IPv6 sẽ cho hiệu quả tuyệt đối với việc cân bằng tải. Bạn cần gửi một yêu cầu người dùng đến một trong những thiết bị, trong khi không thể quan tâm đến các thiết bị đã được chỉ định quản lý yêu cầu mà chỉ là yêu cầu phải được quan tâm. Bằng việc sử dụng các địa chỉ anycast, mỗi yêu cầu sẽ tự động gửi đến thiết bị gần nhất về mặt địa lý đến máy tính đưa ra yêu cầu. Trong một số tình huống, anycast thậm có thể được sử dụng để cung cấp lỗi dung sai cho một router lỗi. Lỗi có thể được phát hiện và các yêu cầu có thể được gửi lại vòng qua một router khác lân cận.

Vấn đề kỳ lạ nhất với các địa chỉ anycast là không có lược đồ định địa chỉ đặc biệt nào. Với những gì trong bài viết này, bạn đã thấy được có rất nhiều loại nguyên tắc bao trùm sử dụng và cấu trúc của các địa chỉ unicast và multicast là để gán cùng một địa chỉ unicast cho các host phức hợp. Với cách làm như vậy các địa chỉ unicast trở thành một địa chỉ anycast.

Kết luận

Trong loạt bài viết này, chúng tôi đã cố gắng lướt qua một cách cơ bản về giao thức IPv6. Hầu hết các quản trị viên có thể không cần phải trở thành các chuyên gia ngay lập tức nhưng IPv6 là một thành phần cần thiết trong Windows Vista và Longhorn Server. Chính vì vậy, chúng ta tìm hiểu để biết chút ít về nó là một việc làm cần thiết.
sưu tầm

Leave a Response »

 

Giới thiệu về địa chỉ IPv6 – phần 2 Thứ Tư, Tháng 7 30 2008

Phần 2

Bài viết này sẽ tiếp tục giới thiệu cho các bạn giao thức IPv6 bằng cách thảo luận về việc định dạng địa chỉ và các loại địa chỉ khác nhau của IPv6.

Trong phần một của loạt bài này, chúng tôi đã giới thiệu một số cách khác nhau biểu diễn địa chỉ IPv6 so với cách được sử dụng để biểu diễn trong IPv4. Trong bài viết này, chúng tôi muốn tiếp tục thảo luận bằng việc nói về những vấn đề bên trong địa chỉ IPv6, cách mà các địa chỉ IPv6 được thiết lập cho mạng cấp dưới và các loại IPv6 khác nhau.

Nếu đã quen với IPv4 thì bạn phải biết rằng một địa chỉ IPv4 gồm có 4 phần, mỗi phần được phân biệt với nhau bằng dấu chấm. Một phần trong địa chỉ này biểu thị số mạng và các bit còn lại dùng để phân biệt một host cụ thể trên mạng. Số của các bit thực được thiết kế cho số mạng và số host khác nhau phụ thuộc vào subnet mask.

Một địa chỉ IPv4 được chia thành các phần khác nhau, trong địa chỉ IPv6 cũng vậy. Trong bài trước, bạn đã biết được về các địa chỉ IPv6 có 128 bit chiều dài. Khi một địa chỉ IPv6 được viết theo dạng đầy đủ, nó được diễn tả thành 8 phần khác nhau, mỗi phần có 4 số và được phân tách bằng dấu “:”. Mỗi phần có 4 chữ số này biểu thị 16 bit dữ liệu, mỗi trường 16 bit này lại được sử dụng cho các mục đích riêng biệt.

Cụ thể, mỗi một địa chỉ IPv6 được phân thành ba phần khác nhau đó là: site prefix, subnet ID, interface ID. Ba thành phần này được nhận dạng bởi vị trí của các bit bên trong một địa chỉ. Ba trường đầu tiên trong IPv6 được biểu thị site prefix, trường tiếp theo biểu thị subnet ID còn 4 trường cuối biểu thị cho interface ID.

Site prefix cũng giống như số mạng của IPv4. Nó là số được gán đến trang của bạn bằng một ISP. Điển hình, tất cả các máy tính trong cùng một vị trí sẽ được chia sẻ cùng một site prefix. Site prefix hướng tới dùng chung khi nó nhận ra mạng của bạn và cho phép mạng có khả năng truy cập từ Internet.

Không giống như site prefix, subnet ID mang tính riêng bởi vì nó ở bên trong mạng của bạn, subnet ID miêu tả cấu trúc trang của mạng. Subnet ID làm việc rất giống với cách mà mạng con làm việc trong giao thức IPv4. Sự khác nhau lớn nhất ở đây là các mạng có đó có thể dài 16 byte là được biểu thị trong định dạng hex nhiều hơn là ký hiệu chữ thập phân có nhiều dấu chấm. Một IPv6 subnet điển hình tương đương với một nhánh mạng đơn (trang) như một subnet của IPv4.

Interface ID làm việc giống như một ID cấu hình IPv4. Số này nhận dạng duy nhất một host riêng trong mạng. Interface ID (thứ mà đôi khi được cho như là một thẻ) được cấu hình tự động điển hình dựa vào địa chỉ MAC của giao diện mạng. ID giao diện có thể được cấu hình bằng định dạng EUI-64.

Để xem một địa chỉ IPv6 được phân chia như thế nào thành các phần con khác nhau của nó, bạn hãy quan sát đến địa chỉ dưới đây:

2001:0f68:0000:0000:0000:0000:1986:69af

Phần site prefix của địa chỉ này là: 2001:0f68:0000. Trường tiếp theo là 0000 biểu thị subnet ID. Các byte còn lại (0000:0000:1986:69af) biểu thị interface ID.

Điển hình khi một tiền tố được biểu diễn, nó được viết trong một định dạng đặc biệt. Các số 0 trong đó đã giải thích trong bài viết trước và các tiền tố được theo sau bởi một dấu sổ và số. Số sau dấu sổ chỉ số lượng của các bit trong tiền tố. Trong ví dụ trước tôi đã đề cập đến site prefix cho địa chỉ 2001:0f68:0000:0000:0000:0000:1986:69af là 2001:0f68:0000. Khi tiền tố này có chiều dài 48 bit thì chúng ta nên thêm vào đó a /48 để kết thúc nó hợp thức. Với các con số 0 đã bỏ, tiền tố đó sẽ viết như sau: 2001:f68::/48

Các loại địa chỉ IPv6

IPv6 có ba loại địa chỉ khác nhau: Unicast, Multicast và Anycast.

Địa chỉ Unicast được sử dụng để phân biệt các host đơn lẻ trên một mạng. Các địa chỉ Multicast lại sử dụng để phân biệt một nhóm các giao diện mạng cư trú điển hình trong các máy tính phức hợp. Khi một gói dữ liệu được gửi đến địa chỉ multicast thì gói đó được gửi đến tất cả các giao diện mạng trong nhóm multicast.

Giống như các địa chỉ multicast, các địa chỉ anycast cũng phân biệt một nhóm cụ thể các giao diện mạng thường cư trú trong các máy tính phức hợp. Vậy cái gì tạo tuyến anycast khác với một nhóm multicast? Khi các gói được gửi đi đến một địa chỉ multicast chúng được gửi đến tất cả các giao diện mạng trong nhóm. Trái ngược với điều đó, khi các gói dữ liệu được gửi đi đến một địa chỉ anycast thì các gói này không gửi đến toàn bộ nhóm mà thay vì đó chúng chỉ được gửi đến thành viên gần nhất về mặt vật lý với người gửi.

Các địa chỉ Unicast

Chúng tôi đã giới thiệu cho các bạn định dạng của một địa chỉ IPv6 và những vị trí bit khác nhau được sử dụng. Quả thực có hai loại địa chỉ unicast khác nhau đó là: toàn cục và liên kết cục bộ. Một địa chỉ unicast toàn cục có thể truy cập rộng rãi trong khi đó địa chỉ unicast liên kết cục bộ chỉ có thể truy cập đến các máy tính khác mà chia sẻ liên kết. Định dạng địa chỉ IP mà tôi đã giới thiệu cho các bạn ở phần trước là một địa chỉ unicast toàn cục. Chúng tôi đã nói về loại địa chỉ này bởi vì nó là loại địa chỉ chung nhất.

Các địa chỉ unicast liên kết cục bộ đã sử dụng một định dạng địa chỉ khác với các địa chỉ unicast toàn cục. Giống như các địa chỉ unicast toàn cục, các địa chỉ unicast liên kết cục bộ cũng gồm 128 byte chiều dài. Sự khác nhau ở hai loại này là các byte được phân phối khác nhau và địa chỉ sử dụng một site prefix đặc biệt.

Trong một địa chỉ unicast liên kết nội bộ, một site prefix chiếm 10 bit đầu tiên của địa chỉ thay vì 48 bit đầu như trong trường hợp của địa chỉ unicast toàn cục. Site prefix được sử dụng bằng một địa chỉ unicast liên kết cục bộ là: fe80.

Khi site prefix được viết ngắn lại (so với một địa chỉ unicast toàn cục), bạn có thể không ngạc nhiên khi thấy rằng số lượng của không gian chỉ định trong subnet ID đã được mở rộng từ 16 bit thành 64 bit. Những gì ở đây là 64 bit đó không thực sự được sử dụng. Nhớ rằng một địa chỉ IP liên kết cục bộ chỉ hợp lệ cho các máy tính đang chia sẻ một liên kết chung. Như vậy, không có lý do nào để cần phải có một subnet ID. 64 bit của không gian địa chỉ mà được dành riêng cho subnet ID được biểu diễn như những số 0.

Interface ID cho một địa chỉ unicast liên kết cục bộ có chiều dài 54 bit. Interface ID hầu như luôn được bắt nguồn từ 48 bit địa chỉ MAC đã gán vào card giao diện mạng để giao thức được phân danh giới. Dưới đây là một ví dụ về một địa chỉ unicast liên kết cục bộ.

Fe80:0000:0000:0000:0000:0000:23a1:b152

Tất nhiên khi các địa chỉ IPv6 được viết ra thì chúng thường được diễn tả với một loạt con số 0 đã bị triệt tiêu. Chính vì vậy, một công thức viết tắt đúng kỹ thuật địa chỉ này là:

Fe80::23a1:b152

Khi các địa chỉ đã diễn tả với các số 0 đã bị triệt tiêu, thì địa chỉ đầu tiên trông giống như bất kỳ địa chỉ IPv6 nào. Nhớ rằng bạn có thể nói được sự khác nhau giữa một địa chỉ unicast liên kết cục bộ với các địa chỉ khác bởi vì một địa chỉ unicast cục bộ sẽ luôn luôn bắt đầu với fe80.

Kết luận

Trong bài viết này, chúng tôi đã trình bày cho các bạn sự khác nhau đáng kể về các bit trong địa chỉ IPv6. Phần cuối đã đi thẳng vào thảo luận sự khác nhau giữa các loại địa chỉ IPv6. Trong phần 3 chúng tôi sẽ tiếp tục thảo luận bằng việc nói về các địa chỉ multicast và anycast.

Leave a Response »

 

Giới thiệu về địa chỉ IPv6 – phần 1 Thứ Tư, Tháng 7 30 2008

Trong cả hai hệ điều hành Windows Vista và Longhorn Server đều chạy hai giao thức IPv6 và IPv4, các giao thức này hiện nay đang được sử dụng rất rộng rãi. Tuy nhiên có một vài tính năng trong các hệ điều hành này sẽ không làm việc trừ khi IPv6 được sử dụng. Trong trường hợp đó chúng ta nên bắt đầu tìm hiểu thêm một chút về IPv6 xem chúng làm việc như thế nào. Nếu đó không phải là một lý do đủ sức thuyết phục thì một lý do nữa là số lượng địa chỉ IPv4 có thể hoàn toàn cạn kiệt vào khoảng 2009. Chính vì vậy, chính phủ liên bang Mỹ dự kiến triển khai IPv6 đến tất cả các mạng xương sống được hoàn thành vào năm 2008.

Như vậy, giao thức IPv6 sẽ được sử dụng phổ biến trong một vài năm tới và chúng tôi viết loạt bài viết này như một cách nhằm giới thiệu cho các bạn về giao thức IPv6.

Không gian địa chỉ IPv6

Sự khác nhau đáng kể nhất giữa hai giao thức này là chiều dài của địa chỉ nguồn và địa chỉ của chúng. Việc chuyển sang sử dụng IPv6 là do ngày càng thiếu về số địa chỉ IP. Giao thức IPv6 này có một không gian địa chỉ lớn hơn so với giao thức IPv4.

Giao thức IPv4 sử dụng một địa chỉ nguồn và địa chỉ đích là 32bit. Các địa chỉ này được biểu diễn thành bốn phần. Một địa chỉ IPv4 điển hình có dạng như 192.168.0.1.

Tương phản với IPv4, địa chỉ IPv6 có chiều dài là 128bit. Điều đó cho phép có thể biểu diễn đến 3.4×1038 (340.000.000.000.000.000.000.000.000.000.000.000.0 00) địa chỉ. Có một vài sự khác nhau trong cách biểu diễn địa chỉ của IPv6. Một địa chỉ IPv6 thường được viết thành 8 nhóm, mỗi nhóm gồm có 4 số hex và mỗi nhóm được tách biệt với nhau bằng dấu “:”. Ví dụ như sau thể hiện điều này 2001:0f68:0000:0000:0000:0000:1986:69af.

Bạn đang xem xét địa chỉ mẫu ở trên và nghĩ rằng việc đánh một địa chỉ IPv6 phải rất mất thời gian và công sức? Nhưng không phải như vậy, địa chỉ IPv6 chỉ có thể được viết vắn tắt bằng việc giảm thiểu các số 0. Có hai nguyên tắc phải tuân theo ở đây khi biểu diễn một địa chỉ IP. Đầu tiên, một dãy bốn số 0 liên tục có thể được thay thế bằng hai dấu “::”. Bằng cách đó địa chỉ IPv6 ở trên có thể được viết tắt như sau: 2001:0f68::0000:0000:0000:1986:69af.

Trong ví dụ ở trên, chúng ta chỉ có thể ước lượng một khối các chữ số 0 bởi vì nguyên tắc này phát biểu rằng chỉ có một cặp “::” trong một địa chỉ. Rõ ràng, địa chỉ mà đang ví dụ ở trên vẫn còn rất nhiều chữ số cần phải đánh. Tuy nhiên, nguyên tắc thứ hai sẽ cho phép bạn thực hiện địa chỉ này ngắn hơn. Nguyên tắc thứ hai nói rằng, các số 0 trong một nhóm có thể được bỏ qua. Nếu một khối 4 số bắt đầu của nó là số 0 thì số 0 này có thể được lược bỏ bớt để lại là 3 số 0 trong khối. Nếu khối ba số đó cũng lại bắt đầu với một số 0 đứng đầu thì ta có thể tiếp tục loại bỏ. Và cứ như vậy đến khi gặp số khác 0 trong nhóm thì dừng. Trường hợp nếu 4 số trong nhóm đều là 0 thì số được giữ lại cuối cùng là một số 0. Nếu cứ nói mãi mà không biểu diễn trong ví dụ cụ thể để các bạn dễ theo dõi thì đó là một thiếu sót. Dưới đây là những gì mà chúng ta có thể áp dụng cả hai nguyên tắc đó cho địa chỉ ví dụ:

2001:0f68:0000:0000:0000:0000:1986:69af
2001:f68:000:000:000:000:1986:69af
2001:f68:00:00:00:00:1986:69af
2001:f68:0:0:0:0:1986:69af
2001:f68::1986:69af

Lưu ý rằng trong mỗi dòng, chúng tôi đã lược bỏ bớt một số 0 trong mỗi nhóm. Khi mà các phần còn lại là các con số 0 chúng ta lại có thể áp dụng thay thế 4 số 0 liên tiếp bằng hai dấu “::”. Điều này chỉ có thể thực hiện được nếu bốn số 0 đi liền nhau mà thôi. Nếu không thỏa mãn điều kiện đó thì chúng ta phải để nguyên các số 0.

Sử dụng các địa chỉ IPv6 trong URL

Mặc dù các máy chủ DNS có thể truy cập vào một website bằng cách sử dụng tên miền thay cho sử dụng một địa chỉ IP, nhưng bạn vẫn có thể vào một địa chỉ IP thay cho một phần của một URL. Ví dụ, một website cá nhân sử dụng URL là www.tenmien.com, tương ứng với nó là địa chỉ IP 24.235.10.4. Với địa chỉ IP như vậy, tôi hoàn toàn có thể truy cập vào website bằng cách nhập vào URL: http://24.235.10.4

Hầu hết những người lướt web thường không sử dụng thói quen nhập vào địa chỉ IP. Tuy vậy, việc truy cập theo kiểu này vẫn tồn tại. Điều này đặc biệt đúng với các ứng dụng web riêng lẻ. Khi không liên quan đến một tên miền, một ứng dụng có khả năng tránh được người dùng trái phép dò dẫm và nhảy vào ứng dụng của bạn một cách tình cờ.

Khi một địa chỉ IP được sử dụng thay thế cho một tên miền, thì số cổng đôi lúc được chỉ định như một phần của địa chỉ. Nếu bạn chỉ đơn giản nhập vào sau HTTP:// sau đó là một địa chỉ thì trình duyệt sẽ thừa nhận rằng bạn muốn sử dụng cổng 80. Mặc dù vậy, bạn có thể chỉ định bất kỳ cổng nào để truy cập đến website, ví dụ nếu bạn muốn truy cập đến website www.tenmien.com bằng địa chỉ IP và cụ thể là cổng 80 được sử dụng thì lệnh nên dùng đó là http://24.235.10.4:80

Giao thức IPv6 cũng vậy, nó cũng được sử dụng như một phần của một URL. Nhưng nếu quan tâm đến định dạng IPv6 thì bạn nên lưu ý rằng một địa chỉ IPv6 gồm có rất nhiều dấu “:”. Điều này đã nảy sinh một vấn để khi trình duyệt của bạn xử lý bất cứ những cái gì đó phía sau dấu “:” như một số chỉ thị của cổng. Trong trường hợp đó, các địa chỉ IPv6 được phân biệt bên trong dấu ngoặc khi chúng được sử dụng như một phần của URL. Ví dụ: nếu bạn đã sử dụng địa chỉ IPv6 mẫu trong một URL thì nó sẽ giống như thế này:

HTTP://[2001:0f68:0000:0000:0000:0000:1986:69af]/

Giống như có thể chỉ định số của cổng với địa chỉ IPv4, bạn cũng có thể chỉ định số cổng khi sử dụng địa chỉ IPv6. Số cổng phải đi sau cùng một định dạng bắt buộc như khi sử dụng IPv4. Và ở bên ngoài các dấu ngoặc. Ví dụ, nếu bạn muốn truy cập vào website tại địa chỉ IPv6 mẫu trên theo cổng 80 thì URL nhập vào sẽ như sau:

HTTP://[2001:0f68:0000:0000:0000:0000:1986:69af]:80/

Lưu ý rằng số của cổng trong trường hợp này là 80, nằm giữa dấu đóng ngoặc và dấu sổ. Một dấu “:” cũng được sử dụng để định rõ số cổng như trong giao thức IPv4.

Kết luận

Chúng tôi đã giới thiệu cho các bạn những cách biểu diễn khác nhau của địa chỉ IPv6. Giống như giao thức IPv4, một chuỗi địa chỉ IPv6 có thể định địa chỉ mạng cấp dưới. Mặc dù khái niệm cơ bản của mạng cấp dưới làm việc giống như cách mà nó làm việc trong giao thức IPv4 nhưng phương pháp trình bày mạng cấp dưới đã được thay đổi một cách rõ ràng. Trong phần 2 của loạt bài viết này chúng tôi sẽ giới thiệu kí hiệu mạng, mạng cấp dưới và IPv6. Chúng tôi cũng sẽ giới thiệu thêm một số địa chỉ đặc biệt (các phân đoạn địa chỉ), chúng có ý nghĩa như thế nào đối với giao thức IPv6.

Leave a Response »

 

Tìm hiểuu 1 chút về bandwith nhi? Thứ Tư, Tháng 7 30 2008

Khái niệm về Bandwith

1/ Khái niệm :

Trước hết, chúng ta hãy tìm hiểu nghĩa của từ này

Bandwidth, theo Lạc Việt Từ Điển có nghĩa là “dải tần ( dải tần số )”, hay theo một số trang web thì nó là “băng thông”. Thực ra nếu những ai hoạt động trong lĩnh vực viễn thông thì chắc sẽ hiểu rõ hơn về khái niệm này. Tuy nhiên, chúng ta hãy cùng nhau lướt qua 1 số định nghĩa về bandwidth :

- Khái niệm Bandwidth (the width of a band of electromagnetic frequencies) ( dịch nôm na là độ rộng của một dải tần số điện từ ), đại diện cho tốc độ truyền dữ liệu của một đường truyền, hay, chuyên môn một chút, là độ rộng (width) của một dải tần số mà các tính hiệu điện tử chiếm giữ trên một phương tiện truyền dẫn.

- Nói chung, bandwidth đồng nghĩa với số lượng dữ liệu được truyền trên một đơn vị thời gian. Bandwidth cũng đồng nghĩa với độ phức tạp của dữ liệu đối với khả năng của hệ thống. Ví dụ, trong 1 giây, download 1 bức ảnh sẽ tốn nhiều bandwidth hơn là download 1 trang văn bản thô ( chỉ có chữ ).

- Trong lĩnh vực viễn thông, bandwidth biểu diễn cho tốc độ truyền dữ liệu (tính theo bit) trên một giây ( thường gọi là bps ). Vì thế, một modem với 57,600 bps ( thường gọi là 56K modem ) có bandwidth gấp đôi so với 28,800 bps modem.

- Trong từng ngữ cảnh riêng, việc định nghĩa bandwidth lại khác đi một chút, nhưng chúng ta sẽ không đi quá sâu, mà hãy quay lại với những gì gần gũi với chúng ta, đó là bandwidth với máy chủ, tác động của nó tới trang web của chúng ta. Và vì vậy, chúng ta sẽ hiểu một cách đơn giản, càng có nhiều bandwidth, website của chúng ta càng có nhiều khả năng xử lý các yêu cầu trong một khoảng thời gian nhất định.

2/ Ước lượng bandwidth thích hợp cho website :
Khi lựa chọn 1 host ( xin giữ nguyên từ mà không dịch ), lượng bandwidth mà bạn mua đóng vai trò quan trọng trong việc thành công của website. Để trả lời cho câu hỏi ” Bạn cần bao nhiêu bandwidth “, trước tiên, bạn cần giải quyết 2 vấn đề sau :

+ Ước lượng độ lớn của mỗi trang web ( ở đây là kích cỡ file tính theo byte )
+ Có bao nhiêu người sẽ xem ?

Chúng ta ước lượng độ lớn của một trang web ( cụ thể là 1 trang HTML ) bằng cách, cộng kích cỡ của tất cả hình ảnh trong trang web với kích cỡ của trang HTML. Sau đó chúng ta nhân con số tính được với số người dự tính sẽ xem trang web đó. Để dễ hiểu, chúng ta lấy một ví dụ. Bạn có 1 trang html có kích cỡ là 5k, trong đó có 3 file ảnh, mỗi file có độ lớn là 10K. Như vậy, bạn có 10+10+10+5 = 35k dữ liệu. Bạn ước lượng rằng sẽ có 1000 lượt người xem trang web đó trong 1 tháng, như thế, bandwidth trong một tháng của bạn sẽ là 35K*1000 = 35000K ( xấp xỉ 34MB ). Với 10 trang web như vậy, bạn tốn 340MB bandwidth .

Với cách tính như vậy, nếu website của bạn là website cá nhân, 500MB bandwidth là khá nhiều, nhưng vấn đề sẽ khác nếu bạn có một website lớn, nhiều người truy cập. Diendantinhoc.net cách đây 1 hay 2 tháng, với 10GB bandwidth, đã quá tải với hàng nghìn lượt truy cập trong 1 tháng , và không hoạt động được nữa, sau cùng họ phải bỏ bớt phòng chat đi để tiết kiệm bandwidth. Và nếu diendantinhoc.net là một website thương mại, thì chắc họ sẽ phải lỗ to khi ngưng hoạt động 1 thời gian như vậy ( May mắn là không ). Tiết kiệm là quốc sách ! Vậy làm thể nào để tiết kiệm ?

3 / Tiết kiệm bandwidth :
Có 3 điểm mấu chốt :

+ Giữ cho trang web của bạn càng nhỏ càng tốt : Điều ngày có nghĩa, hãy lưu ý kỹ đến mã HTML của bạn, cái gì bỏ đi được thì bỏ đi, loại bỏ các khoảng trắng không cần thiết,vv… ( thế mới thấy rõ hơn, HTML thật quan trọng :-p ). Nén hình ảnh của bạn tới mức có thể. Ví dụ khi thiết kế hình ảnh trong Photoshop, bạn có thể chọn chức năng save for web, và giảm chất lượng của nó đi miễn là hình ảnh vẫn còn chấp nhận được. Và, nên nhớ, dùng kiểu JPG cho các bức ảnh ( photos ), kiểu GIF cho các hình đồ hoạ ( graphics ).

+ Sử dụng những hình ảnh không lưu trữ trên máy chủ của bạn : Điều này là khá đơn giản, khi bạn tìm thấy 1 hình vừa ý ở 1 trang nào đó, thay vì download về và đưa lên máy chủ của mình, bạn chỉ việc trỏ thẳng tới địa chỉ của hình đó ( ví dụ <img src = “http://abc.com/abc.gif”; ). Tuy nhiên, đối với nhiều nơi, đây là một hành động ” ăn cắp bandwidth “, vì thế trước khi trỏ tới một hình ảnh, hãy chắc rằng bạn được phép làm điều đó, nếu bạn không muốn bị gắn cho cái mác ” kẻ cắp ” !.

+ Sử dụng CSS ( Cascading Style Sheets ) : CSS là một trợ thủ đắc lực trong công cuộc tiết kiệm bandwidth. Thay vì phải gõ đi gõ lại nhiều lần một thuộc tính nào đó, bạn chỉ việc định dạng nó trong 1 file css, và điều này làm giảm kích cỡ của trang web. Tại sao lại không nghiên cứu CSS nhỉ ? .

4 / Ngăn chặn việc “đánh cắp bandwidth” :

Đây là một điều quan trọng, khi bạn vừa muốn giữ bản quyền hình ảnh, lại vừa muốn tiết kiệm bandwidth. Và đây là điều mà đại đa số các webmaster phải giải quyết.

+ Kiểm soát : Đây là một cách khá phổ biến. Kiểm soát bằng cách phân tích các máy tìm kiếm ( search engine ), các file log, và các website khác để xác định, nơi nào, ai, đã và đang xử dụng bandwidth của bạn mà chưa được phép.

Khi đã xác định được đối tượng, liên lạc với họ và yêu cầu họ ngừng lại việc vi phạm này. Thật tiếc là không phải cứ yêu cầu là được, mà có thể, họ sẽ cho bạn 1 bài học về cái gọi là “của chung” trên cộng đồng Internet, và nhất là khi ở Việt Nam, chẳng có điều luật nào đề cập đến vấn đề này, thật nan giải. Đây quả là một công việc tốn nhiều thời gian và công sức !.

+ Sử dụng các phần mềm :
Có khá nhiều phần mềm dành cho công việc này, mặc dù ở Việt Nam là chưa phổ biến, nhưng rất nổi tiếng và được nhắc đến rất nhiều, như WebTrends, Artistscope , Digimarc,vv…

+ Còn một số phương pháp nữa, hiệu quả hay không là tuỳ thuộc vào khả năng của bạn, ví dụ như dùng lệnh trong file .htaccess, hoặc sử dụng sức mạnh của các ngôn ngữ lập trình web như perl, php, vv…

Nếu bạn chỉ có ý định xây dựng 1 website cá nhân, đem vào đó những tâm tư, sở thích của mình, với vài chục người bạn ghé thăm, bạn không phải quá quan tâm tới vấn đề này. Nhưng xin hãy có 1 cái nhìn nghiêm túc nếu bạn muốn thực hiện một cái gì đó lớn hơn, thu hút nhiều người hơn, và nhất là khi bạn muốn trở thành 1 webmaster thực thụ .

Hiểu biết về bandwidth giúp bạn có chiến lược tốt hơn cho website của mình, dễ dàng lựa chọn khi đăng ký host, và tránh được nhưng rủi ro không đáng có.

Bạn có thể vào website http://bandwidth.com/ để tìm hiểu kỹ hơn về khái niệm này.

Leave a Response »