H3C IPTV LAN接入网解决方案技术白皮书
H3C无感知认证技术白皮书
H3C无感知认证技术白皮书1概述当下，各种智能终端层出不穷，特别是以iPhone、iPad等为代表的智能终端的流行，促使多媒体业务的应用急剧增加、人们对移动无线上网体验的要求也越来越高。
无线通信市场竞争的热点逐渐从技术转向了用户体验上。
用户体验的好坏，逐渐成为人们无线上网选择的重要标准。
目前Portal认证是WLAN网络的主流接入认证方式之一。
当采用Portal认证时，用户每次接入WLAN网络时都需要在Portal页面中输入用户账号/密码信息，操作较为不便。
特别是当前使用WiFi网络的iPad、智能手机等终端设备越来越多，而此类终端受到屏幕、浏览器等资源限制，在Portal页面中输入用户名/密码等信息时极为不便，使得用户上网体验大打折扣。
针对此问题，H3C特提出Portal无感知认证方案，大大简化Portal接入流程，提升用户的接入体验。
Portal无感知认证方案具备“一次认证，多次使用”用户体验。
如果开通了Portal无感知认证，用户首次登陆Portal页面成功认证后，后续只要关联WLAN SSID就可以用轻松实现认证上网。
2首次接入，Portal认证并绑定MAC在Portal无感知认证解决方案，用户首次接入WLAN网络认证流程如图1所示。
具体认证流程如下：步骤1、用户连接WLAN网络SSID，并通过DHCP服务器获取IP地址信息。
步骤2、AC将监控用户的上网流量。
步骤3、当AC监控的用户流量达到阈值时，（例如流量阀值可设置为5分钟累积流量10KB），AC将向iMC UAM （负责对MAC地址进行绑定）服务器发起MAC 查询请求。
步骤4、iMC UAM服务器向AC返回查询结果：此终端MAC信息未绑定。
（由于此终端用户是首次连接WLAN网络，所以iMC UAM服务器中无此终端的MAC地址信息）步骤5、AC将按照正常Portal流程向终端重定向Portal认证页面。
步骤6、用户终端输入用户名、密码信息发起Portal认证。
H3C SDN DFW技术白皮书
H3C SDN DFW技术白皮书Copyright © 2016 杭州华三通信技术有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
本文档中的信息可能变动，恕不另行通知。
目录1 概述 (1)1.1 产生背景 (1)1.2 技术优点 (1)2 技术实现 (1)2.1 概念介绍 (1)2.1.1 状态 (1)2.1.2 分布式防火墙 (2)2.1.3 分布式防火墙策略 (2)2.1.4 规则 (2)2.1.5 分布式防火墙子策略 (2)2.1.6 IP地址集 (2)2.2 运行机制 (2)2.3 应用限制 (6)3 典型组网应用 (7)3.1 云数据中心部署DFW的典型应用 (7)1 概述1.1 产生背景传统的集中式防火墙一般用来做边界防护，但是云数据中心不仅仅要求边界保护，还要求对内网虚机之间的流量进行安全防护，如果这些流量全部绕行到集中式防火墙，随着网络的升级和扩容，这种方式就难以满足大容量、高性能、可扩展的要求和挑战，容易形成性能瓶颈。
因此，把安全功能嵌入数据中心内主机节点的分布式防火墙应运而生。
当前业界SDN控制器提供的嵌入式安全主要通过安全组的ACL功能实现。
ACL功能是通过在虚拟交换机上下发ACL规则来控制虚拟机的流量。
在企业的网络规划日渐复杂的情况下，这种方式已经不能满足企业的需求，主要表现为：∙仅检查当前报文的信息，不关心连接状态，安全性低。
∙部署方式复杂，不容易维护。
DFW（Distributed Firewall，分布式防火墙）是一种分布式状态监测防火墙，可记录并跟踪各种网络连接（如TCP连接等），并对各种类型的报文进行检查和处理。
1.2 技术优点DFW具有以下技术优点：∙为整个数据中心提供了无所不在的安全防护，让安全机制既具有广泛性，又具有精确度；虚机之间的流量无须因为安全防护绕行，可扩展性好。
本体WT1024-X-HI无线接入设备白皮书
RealTime Spectrum Guard(RTSG) 是 H3C 创新提出的针对无线环境频谱状态的专业监控方案。H3C 终结者 AP 内置射频采集模 块，实现深度融合的射频监控和实时频谱防护。 RTSG 的控制台融合部署于 H3C iMC 智能管理中心，通过 CAPWAP 管理隧道，与 Sensor AP 进行通信和数据采集，实现 7X24 小时的无线环境质量监控、无线网络能力趋势评估以及非许可干扰告警。通过图形化方式，主动探测和识别所有 2.4GHz/5GHz 波段 的射频干扰源(Wi-Fi 或非 Wi-Fi)，可提供实时 FFT 图、频谱密度图、光谱图、占空比图、事件光谱图、频道功率、干扰功率等； 可自动识别干扰源，确定有问题的无线设备的位置，确保无线网络发挥更好的性能。结合 H3C iAR 智能报表组件，可实现全覆盖 区内的射频质量历史记录的存储、追溯、回放等，自动生成客户化的趋势、合规和审计报告。针对用户无线环境监管的不同层次需求， RTSG 方案的部署可以灵活采用 Local mode 或 Monitor Mode。当工作在 Local Mode 时，可以在获得有效的频谱防护前提下， 保持 正常的用户接入和数据包转发。
支持物联网扩展
H3C WT1024-X-HI 的所有 WTU 口（下行口）可作为 IoT 接口，支持外接 T300 系列物联网模块，混合扩展 ZigBee/RFID/BLE 等 全制式物联网协议。
提供本地转发功能
当 H3C 终结者 AP 通过广域网方式转发时，无线接入设备部署在分支机构，而无线控制器部署在总部，所有用户数据由无线接入
WT1024-X-HI 无线接入本体设备外观图
产品特点
H3C S9500 MPLS二层VPN(VLL)技术白皮书
1 概述随着社会发展，经济全球化的趋势越来越明显，越来越多的企业分布范围日益扩大，公司员工的移动性也不断增加，迫切需要电信运营商提供链路以便企业将各分支机构连接起来，组成自己的企业网，同时方便公司出差员工在企业外部访问企业内部网络资源。
最初，电信运营商是以专线租赁的方式为企业提供专用链路，这种方式的主要缺点是：不适合于当前企业分支多、增加快的特点，且价格相对昂贵，难于管理。
此后，随着ATM和帧中继技术的兴起，电信运营商转而使用虚电路方式为客户提供点到点的二层链接，客户再在其上建立自己的三层网络以承载IP、IPX等数据流。
当今IP网络已经遍布全球，利用现有IP网络为企业提供低成本专网逐渐成为各大运营商的关注点。
因此，一种在IP网上提供VPN服务、可方便设定任意速率、配置简单的技术应运而生，这种技术即MPLS VPN业务。
MPLS（Multiprotocol Label Switching）是多协议标签交换的简称，它用短而定长的标签来封装网络层分组。
MPLS技术综合IP技术和ATM技术的优点，采纳了面向无连接的控制和面向连接的数据转发。
MPLS能从IP路由协议和控制协议中得到支持，同时，还支持基于策略的约束路由，它路由功能强大、灵活，可以满足各种新应用对网络的要求。
MPLS最初用来提高路由器的转发速度而提出一个协议，但是由于其固有的优点，它的用途已不仅仅局限于此，还在流量工程（Traffic Engineering）、VPN等方面得到广泛的应用，从而日益成为大规模IP网络的重要标准。
传统VPN使用第二层隧道协议（L2TP、L2F和PPTP等）或者第三层隧道技术（IPSec、GRE等），获得了很大成功，被广泛应用。
但是，随着VPN范围的扩大，传统VPN在可扩展性和可管理性等方面日益表现出不足；另外，QoS（Quality of Service）和安全问题也是传统VPN难以解决的问题。
通过MPLS技术可以非常容易地实现基于IP技术的VPN业务，而且可以满足VPN 可扩展性和易管理的需求。
H3CIPS技术白皮书讲解
H3C IPS技术白皮书杭州华三通信技术有限公司目录1.概述 (4)1.1.相关术语 (4)1.1.1.段(segment) (4)1.2.网络安全现状 (4)1.3.基于网络的攻击与检测技术 (6)2.威胁的识别 (6)2.1.基于滥用误用的带宽管理技术 (6)2.2.在应用中识别入侵威胁 (8)2.3.协议异常检测 (8)2.4.拒绝服务检测技术 (9)2.5.基于流状态特征检测技术 (11)3.安全响应 (11)3.1.允许 (11)3.2.阻断 (11)3.3.通知 (12)3.4.流量控制 (12)4.IPS 安全策略 (12)5.安全更新 (13)6.安全审计 (13)6.1.日志内容 (13)6.1.1.操作日志 (13)6.1.2.系统日志 (14)6.1.3.攻击日志 (14)6.2.日志的查询 (14)6.3.日志的输出 (14)7.典型组网案例 (14)7.1.企业出口部署 (14)7.2.保护IDC (15)7.3.旁路模式部署 (16)8.总结和展望 (16)1. 概述1.1. 相关术语1.1.1. 段(segment)段是一个物理组网下对经过IPS设备数据的一个逻辑划分，通常是一对或者多对接口，或者包含VLAN ID的接口数据流。
IPS相关的业务都基于Segment进行配置。
1.2. 网络安全现状融入全球化的Internet是企业网络发展的必然趋势，每个企业的Intranet都会有许多与外部连接的链路，如通过专线连入Internet，提供远程接入服务供业务伙伴和出差员工访问等，企业网络边界的淡化，使得企业所面临的威胁的增多了，只要一个访问入口防护不完整，则“黑客”将可以入侵企业，获取或者破坏数据。
随着全球化网络步伐的加快，威胁的涌现和传播速度也越来越快，如著名的SQL Slammer，在爆发时，每8.5秒感染范围就扩展一倍，在10分钟内感染了全球90％有漏洞的机器；威胁和应用也越来越息息相关，如下图体现了这个趋势：图1-1 威胁与应用息息相关同时随着网络越来越普及，攻击工具也越来越成熟、自动化程度变高以及趋于平民化，使用者无需了解太多的知识就可以完成一次攻击，如下图显示了这个趋势：图1-2 攻击正变的越来越简单目前Internet面临的安全威胁从方法上有如下几种：►漏洞利用，比如针对软件操作系统对内存操作的缺陷，采用缓冲区溢出方法，以获得高操作权限运行攻击代码；如著名的微软MS05-047 Windows UMPNPMGR wsprintfW 栈溢出漏洞（即Windows即插即用服务的缓存区存在的溢出漏洞）；►欺骗攻击，如IP地址欺骗等，其利用TCP/IP协议建立的未认证连接的缺陷进行源IP地址的伪造，从而达到访问关键信息的目的；►蠕虫/病毒，蠕虫/病毒是目前网络上最为常见的威胁，其具有传播快覆盖广的特点，如红色代码病毒(Code Red)，曾经在12小时之内，覆盖全部的Internet网络，给全球带来了极大的危害；通常蠕虫/病毒通过利用现有系统软件的一些漏洞，从而达到传播的目的；►木马，通常在系统中会秘密打开一个访问程序，以绕过系统的安全策略，从而达到获取信息的目的；►拒绝服务攻击，通常称之为DoS/DDoS，其通过单台或者多台设备作为攻击的发起者，对一个特定的目标进行DoS攻击，占用大量目标机的资源，让目标机无法为外界提供服务，从而达到破坏的目的。
H3C公司WLAN Mesh技术白皮书V1
H3C公司WLAN Mesh技术白皮书关键词：Mesh，WLAN, AP, AC摘要：本文介绍了WLAN Mesh技术的基本概念和工作原理，以及H3C公司WLAN Mesh解决方案的特点和典型组网应用。
缩略语：目录1 概述 (4)1.1 Mesh技术产生背景 (4)1.2 Mesh技术优点 (5)2 Mesh协议介绍 (6)2.1 基本概念 (6)2.2 Mesh帧格式 (7)2.2.1 扩展Mesh帧头 (7)2.2.2 多跳Action帧 (8)2.2.3 Mesh Profile (9)2.3 Mesh工作原理 (10)2.3.1 Mesh邻居发现 (10)2.3.2 Mesh连接管理 (11)2.3.3 Mesh安全机制 (12)2.3.4 Mesh选路 (14)2.3.5 Mesh转发 (14)2.4 应用限制 (14)3 H3C Mesh技术特色 (15)3.1 即插即用 (15)3.2 完全遵循802.11s标准 (16)3.3 灵活的选路策略 (16)3.4 支持故障自愈 (17)3.5 支持端到端安全 (17)3.6 支持VLAN Trunk (17)3.7 集中管理 (17)3.8 版本自动升级 (17)3.9 高速切换技术 (18)4 典型组网应用 (18)4.1 园区或热区覆盖 (18)4.2 无线视频监控 (19)4.3 轨道交通应用 (19)5 参考文献 (20)1 概述无线Mesh技术是基于IP协议的无线宽带接入技术，无线Mesh网络融合了传统WLAN网络和Adhoc网络的优势，支持多点对多点的网状结构，具有自组网、自修复、多跳级联等优点，是一种高可靠、广覆盖的WLAN网络。
1.1 Mesh技术产生背景传统的WLAN网络为非Mesh WLAN网络，其骨干网络均采用Ethernet技术，各AP之间通过有线方式进行互联，从而组成一个规模较大的WLAN网络。
接入在不同AP上的STA之间互访，需通过有线网络进行转发。
WA5320-SI室内无线接入设备产品白皮书
H3C WA5320-SI 室内放装型802.11ac 无线接入设备产品概述H3C WA5320-SI无线产品是新华三技术有限公司(H3C)自主研发的新一代基于 802.11ac wave2 MU-MIMO技术的超千兆高速无线接入设备(以下简称AP)，支持802.11ac Wave2最新技术标准，WA5320-SI为内置天线设计，安装方式灵活，适用于壁挂、吸顶等多种安装方式。
WA5320-SI 室内放装型 802.11ac 无线接入设备产品特点实现智能千兆云接入和优质的无线网络 TCOWA5320-SI 产品遵从最新 802.11ac Wave2 协议标准，可以有效地从覆盖范围、接入密度、运行稳定等方面提供更高性能的移动云接入服务并协助用户实现优质的无线网络 TCO(总拥有成本，Total Cost of Ownership)。
实现多终端同时通信，突破无线传统竞争弊端H3C WA5320-SI 产品支持 MU-MIMO 技术，MU-MIMO 是 802.11ac Wave 2 的最重要特性，通过 MU-MIMO 技术可实现 AP 同一时刻向多个终端发送数据，即 WA5320-SI 可同时为多个终端发送数据信息，根据终端流数的不同，WA5320-SI 可同时为多个单流终端发送数据报文，突破传统无线网络串行通信的机制，无线频谱资源利用率成倍提升，有效接入用户数得到了极大的提高，有效减少无线网络的部署开销，提升高密度用户情况下的用户体验。
绿色低碳设计提供 802.3af 兼容供电模式，802.3af 兼容模式是自动检测，无需用户干预。
1WA5320-SI 产品采用专业绿色低碳设计，支持动态 MIMO 省电模式(DMPS)与增强型自动省电传送(E-APSD)，智能辨识终端实际性能需求，合理化调配终端休眠队列，动态调整 MIMO 工作模式。
WA5320-SI 产品支持 Green AP 模式，实现单天线待机，最大程度的做到低碳环保。
H3C以太环网解决方案技术白皮书
以太环网解决方案技术白皮书关键词：RRPP摘要：以太环网解决方案主要以RRPP为核心的成本低高可靠性的解决方案。
缩略语清单：1介绍在数据通信的二层网络中，一般采用生成树(STP)协议来对网络的拓扑进行保护。
STP协议族是由IEEE实现了标准化，主要包括STP、RSTP和MSTP等几种协议。
STP最初发明的是目的是为了避免网络中形成环路，出现广播风暴而导致网络不可用，并没有对网络出现拓扑变化时候的业务收敛时间做出很高的要求。
实践经验表明，采用STP协议作为拓扑保护的网络，业务收敛时间在几十秒的数量级；后来的RSTP对STP机制进行了改进，业务收敛时间在理想情况下可以控制在秒级左右；MSTP主要是RSTP的多实例化，网络收敛时间与RSTP基本相同。
近几年，随着以太网技术在企业LAN网络里面得到广泛应用的同时，以太网技术开始在运营商城域网络发展；特别是在数据，语音，视频等业务向IP融合的趋势下，增强以太网本身的可靠性，缩短网络的故障收敛时间，对语音业务，视频等业务提供满意的用户体验，无论对运营商客户，还是对于广大的企业用户，都是一个根本的需求。
为了缩短网络故障收敛时间，H3C推出了革新性的以太环网技术——RRPP（Rapid Ring Protection Protocol，快速环网保护协议）。
RRPP技术是一种专门应用于以太网环的链路层协议，它在以太网环中能够防止数据环路引起的广播风暴，当以太网环上链路或设备故障时，能迅速切换到备份链路，保证业务快速恢复。
与STP协议相比，RRPP协议具有算法简单、拓扑收敛速度快和收敛时间与环网上节点数无关等显著优势。
H3C基于RRPP的以太环网解决方案可对数据，语音，视频等业务做出快速的保护倒换，协同高中低端交换机推出整体的环网解决方案，为不同的应用场景提供不同的解决方案。
2技术应用背景当前多数现有网络中采用星形或双归属组网模型，多会存在缺乏有效保护和浪费网络资源等诸多问题，如下图所示：图1 城域网现网存在的问题双归属网络中，汇接局和中心机房之间为了保证可靠性部署双链路上行，但实际应用中这两链路或光纤都处于一个地沟或管道中，这样就出现了SRG（shared risk group）共享风险组，链路保护无任何意义；同时该种网络中还会浪费核心交换机的端口资源和光纤资源。
H3CIPS技术白皮书讲解
H3C IPS技术白皮书杭州华三通信技术有限公司目录1.概述 (4)1.1.相关术语 (4)1.1.1.段(segment) (4)1.2.网络安全现状 (4)1.3.基于网络的攻击与检测技术 (6)2.威胁的识别 (6)2.1.基于滥用误用的带宽管理技术 (6)2.2.在应用中识别入侵威胁 (8)2.3.协议异常检测 (8)2.4.拒绝服务检测技术 (9)2.5.基于流状态特征检测技术 (11)3.安全响应 (11)3.1.允许 (11)3.2.阻断 (11)3.3.通知 (12)3.4.流量控制 (12)4.IPS 安全策略 (12)5.安全更新 (13)6.安全审计 (13)6.1.日志内容 (13)6.1.1.操作日志 (13)6.1.2.系统日志 (14)6.1.3.攻击日志 (14)6.2.日志的查询 (14)6.3.日志的输出 (14)7.典型组网案例 (14)7.1.企业出口部署 (14)7.2.保护IDC (15)7.3.旁路模式部署 (16)8.总结和展望 (16)1. 概述1.1. 相关术语1.1.1. 段(segment)段是一个物理组网下对经过IPS设备数据的一个逻辑划分，通常是一对或者多对接口，或者包含VLAN ID的接口数据流。
IPS相关的业务都基于Segment进行配置。
1.2. 网络安全现状融入全球化的Internet是企业网络发展的必然趋势，每个企业的Intranet都会有许多与外部连接的链路，如通过专线连入Internet，提供远程接入服务供业务伙伴和出差员工访问等，企业网络边界的淡化，使得企业所面临的威胁的增多了，只要一个访问入口防护不完整，则“黑客”将可以入侵企业，获取或者破坏数据。
随着全球化网络步伐的加快，威胁的涌现和传播速度也越来越快，如著名的SQL Slammer，在爆发时，每8.5秒感染范围就扩展一倍，在10分钟内感染了全球90％有漏洞的机器；威胁和应用也越来越息息相关，如下图体现了这个趋势：图1-1 威胁与应用息息相关同时随着网络越来越普及，攻击工具也越来越成熟、自动化程度变高以及趋于平民化，使用者无需了解太多的知识就可以完成一次攻击，如下图显示了这个趋势：图1-2 攻击正变的越来越简单目前Internet面临的安全威胁从方法上有如下几种：►漏洞利用，比如针对软件操作系统对内存操作的缺陷，采用缓冲区溢出方法，以获得高操作权限运行攻击代码；如著名的微软MS05-047 Windows UMPNPMGR wsprintfW 栈溢出漏洞（即Windows即插即用服务的缓存区存在的溢出漏洞）；►欺骗攻击，如IP地址欺骗等，其利用TCP/IP协议建立的未认证连接的缺陷进行源IP地址的伪造，从而达到访问关键信息的目的；►蠕虫/病毒，蠕虫/病毒是目前网络上最为常见的威胁，其具有传播快覆盖广的特点，如红色代码病毒(Code Red)，曾经在12小时之内，覆盖全部的Internet网络，给全球带来了极大的危害；通常蠕虫/病毒通过利用现有系统软件的一些漏洞，从而达到传播的目的；►木马，通常在系统中会秘密打开一个访问程序，以绕过系统的安全策略，从而达到获取信息的目的；►拒绝服务攻击，通常称之为DoS/DDoS，其通过单台或者多台设备作为攻击的发起者，对一个特定的目标进行DoS攻击，占用大量目标机的资源，让目标机无法为外界提供服务，从而达到破坏的目的。
网络故障管理技术白皮书--H3C
网络故障管理技术白皮书概述随着企业网络规模的日益扩大，网络业务的日趋复杂，网络的应用越发广泛，其承载的业务也越来越丰富。
因此，了解网络运行态势，掌握设备运行状况，以便及时的响应网络故障的处理，快速定位设备故障根源，迅速排除问题将损失降到最低，是当前网络管理面临的一大挑战。
另一方面，随着VPN、IPSec、MPLS等业务的增加，使得网络故障不再仅限于设备的物理故障，各种逻辑配置故障也会严重影响企业用户日常工作行为。
所以，用户越发迫切的需要一种集问题发现、问题分析、问题定位和问题解决于一身的全流程解决方案。
华为3Com公司的Quidview网管系统提供基于网络告警信息采集、分析和处理的系统，通过对网络中告警信息进行采集和分析，及时发现网络故障，监测到故障危及到的设备和网络的异常情况，并针对不同故障及时作出正确的处理方式，将由故障引起的经济损失消减到最少的全流程解决方案。
产品特点华为3COM公司Quidview网管系统为用户及时发现问题、深入分析问题、快速解决问题提供了全流程的支持。
Quidview网管系统故障管理包括以下几个层次：y故障上报：设备故障上报、网管周期轮询发现故障、性能指标超过阈值、配置文件定期审计发现变化等。
y故障接收，根据告警脚本中的事件定义，接收并解析发现的故障；Quidview网管系统根据标准mib中的trap信息预定义了大量告警脚本用于接收解析告警，同时支持Openview NNM告警定义格式的脚本定义，厂家私有告警可以通过Openview NNM告警格式定义集成到Quidview告警定义脚本中，Quidview网管系统同时提供自定义告警方式，用户可以在网管界面上对不识别告警进行定义，后面再收到该告警会按用户定义的格式进行解析。
y故障分析，对接收到的故障进行告警相关性分析，屏蔽噪音事件，自动确认相关告警。
y故障报告：告警灯、告警音、告警转发（E-mail，短信，其它网管）。
y故障修复：告警定位，告警确认，系统预安装修复建议。
【VIP专享】H3C VRF白皮书
上面组网中 VPN 的设计思想是很巧妙的，但存在如下几个问题： 1、 本地路由冲突问题，即：在 BLUE 和 YELLOW 两个 VPN 中可能会使用相同的 IP 地址段，
比如 10.1.1.0/24，那么在 PE 上如何区分这个地址段的路由是属于哪个 VPN 的。 2、 路由在网络中的传播问题，上述问题会在整个网络中存在。 3、 PE 向 CE 的报文转发问题，当 PE 接收到一个目的地址在 10.1.1.0/24 网段内的 IP 报文时，
VRF 技术白皮书
1 原理简介
近年来网络 VPN 技术方兴未艾，日益成为业界关注的焦点。根据 VPN 实现的技术特点，可以把 VPN 技 术分为以下三类：
传统 VPN：FR 和 ATM CPE-based VPN：L2TP 和 IPSec 等 Provider Provisioned VPNs ( PP-VPN )：MPLS L2VPN 和 MPLS L3VPN。 本文介绍的 VRF 特性是 MPLS VPN 中经常使用的技术，中文含义为 VPN 路由转发实例。鉴于 VRF 与 MPLS VPN 密切相关，下面首先对 MPLS VPN 作简要介绍。
图 1 是一个典型的 MPLS L3VPN 的组网图，运营商通过自己的 IP/MPLS 核心网络为 BLUE 和 YELLOW 两个客户提供 VPN 服务。SITE1 和 SITE3 分别为 VPN BLUE 的两个站点，SITE2 和 SITE4 分别为 VPN YELLOW 的两个站点。VPN BLUE 两个站点内的主机可以互访，但不能访问 VPN YELLOW 内的主机。 同样，VPN YELLOW 两个站点内的主机可以互访，但不能访问 VPN BLUE 内的主机。从而实现了两个 VPN 间的逻辑划分和安全隔离。 CE 设备的作用是把用户网络连接到 PE，与 PE 交互 VPN 用户路由信息：向 PE 发布本地路由 并从 PE 学习远端站点路由。 PE 作用是向直连的 CE 学习路由，然后通过 IBGP 与其他 PE 交换所学的 VPN 路由。PE 设备 负责 VPN 业务的接入。 P 设备是运营商网并不能感知到 VPN 的 存在。
H3CS7500EIPv6技术白皮书
H3CS7500EIPv6技术白皮书H3C S7500E IPv6技术白皮书关键词：IPv6，隧道摘要：本文介绍了IPv6的产生背景、技术要点和组网策略。
缩略语：缩略语英文全名中文解释ND Neighbour Discovery Protocol 邻居发现协议PMTUD Path MTU Discovery Protocol 路径MTU发现协议ISATAP Intra-Site Automatic Tunnel AddressingProtocol站点内自动隧道地址协议Teredo Tunneling IPv6 over UDP through NATs IPv6 使用IPv4 UDP隧道穿越NAT RIPng Route Information Protocol Next Generation下一代RIP协议OSPFv3 Open Short Path First Prtocol Version 3 开放最短路径优先协议版本3 BGP4+ Boarder Gateway Protocol 4＋边际网关协议4+目录1 IPv6概述 (4)1.1 IPv6产生的背景 (4)1.2 IPv6的优点 (6)2 IPv6基本概念 (10)2.1 IPv6报文格式 (10)2.1.1 IPv6报文基本头格式 (10)2.1.2 IPv6报文扩展头格式 (11)2.1.3 IPv6 ICMP报文格式 (13)2.2 IPv6地址结构定义 (13)2.2.1 IPv6地址表示 (13)2.2.2 IPv6地址前缀表示 (14)2.3 IPv6地址分类 (14)2.3.1 IPv6单播地址 (15)2.3.2 IPv6泛播地址 (16)2.3.3 IPv6多播地址 (16)2.3.4 嵌入IPv4地址的IPv6地址 (18)2.3.5 IPv6中特殊的地址 (19)2.3.6 节点和路由器必须支持的IPv6地址 (19) 2.4 IPv6地址分配 (20)2.4.1 全球单播地址空间分配 (20)2.4.2 IPv6实验网络地址分配（6BONE） (21)3 IPv6基本功能 (21)3.1 IPv6邻居发现协议 (21)3.1.1 邻居发现 (21)3.1.2 路由器发现 (23)3.1.3 IPv6无状态地址自动配置 (24)3.1.4 重定向 (24)3.2 IPv6路径MTU发现协议 (25)3.3 IPv6域名解析 (25)4 IPv4向IPv6过渡技术 (26)4.1 IPv6手工配置隧道 (28)4.2 6to4自动隧道 (29)4.3 ISATAP隧道 (30)5 IPv6单播路由技术 (32)5.1 RIPng (32)5.2 OSPFv3 (32)5.3 ISISv6 (33)5.4 BGP4+ (33)5.5 S7500E IPv6单播路由规格 (34)6 IPv6部署策略 (34)7 S7500E典型组网应用介绍 (35)7.1 核心层应用 (36)7.2 汇聚层应用 (36)7.3 数据中心互联 (37)7.4 IPv6过渡应用 (37)8 相关协议标准 (38)1 IPv6概述1.1 IPv6产生的背景IPv6是IPv4的未来替代协议。
H3C网吧行业技术白皮书
H3C网吧行业技术白皮书随着Internet在全球的广泛推广，用户数量的迅速增加，Internet成为全球通信的热点。
我国作为信息产业的后起之秀，网络进展更是迅速。
基于国内网络的接入现状，利用网吧等公众场所上网者占着不小的比例，以一个网络普及场所身份出现的网吧或者网络咖啡屋，凭借舒适宽松的上网环境与高速便利的上网服务，吸引了越来越多网民的光顾，使得网民的数量呈现出高速增长的态势，网吧这种经营模式早已被广大用户所同意，各大城市的网吧得到了迅猛的进展，从最初的几台计算机，到现在几百台，甚至上千台计算机。
大大小小的网吧已遍及全国，不管是大中城市还是小城市直到很小的县城。
但同时，随着网吧的增多，行业之间的竞争也越来越猛烈，为了在猛烈的竞争中立足，网吧的成本操纵、运行性能、管理保护都成为极其重要的因素，因此，如何设计与实现一个低成本、高性能、易管理的网吧网络解决方案显得尤为重要。
网吧常见问题1．频繁掉线导致客户流失：下列是某网吧老板赵先生的埋怨：“自从买了**厂家的设备，我的网吧就变得不太平了，每天都在提心吊胆中度过。
不忙的时候还好一点，电脑掉线了，跟大家打个招呼就过去了。
可一忙起来，假如电脑突然掉线，就骂声一片！我是开门做生意的，总希望客户越多越好，可现在老客户都走得差不多了！”相信网吧老板赵先生的情况很多网吧业主都经历过。
在早期，偶尔出现的延迟、掉线等现象，关于用户来说影响并不是十分显著。
但是随着实时在线网络游戏的流行，每一次掉线，关于玩家来说都是直接经济利益的缺失（掉线，关于网络游戏来说，缺失的是经验值、等级、装备等），有些缺失甚至是不可弥补的，将导致直接的客户流失。
2．上网速度慢引起网民埋怨山西某网吧的业主张小姐最近非常烦恼“网吧内上网人数一旦超过80人，电脑就很难登陆QQ，即使上了速度也很慢，而且多台电脑打开网页都需要10秒钟！上不了网、没法聊QQ，还叫网吧吗？眼看往常的老顾客越来越少了，急死人了！”张小姐的遭遇也是非常的普遍。
H3C公司IPV6网络WLAN接入服务技术白皮书 v2.00
H3C公司IPv6网络WLAN接入服务技术白皮书关键词：WLAN, Station, AC, AP, WTP，IPV6, CAPWAP摘要：现在WLAN应用已经非常普遍，在很多场所被部署，例如公司，校园，工厂，甚至咖啡厅等等。
本文介绍了WLAN在IPv6网络中的应用，H3C公司的WLAN不但可以穿过IPv6网络建立WLAN网络，而且可以将IPv6孤岛网络连接到一个WLAN网络。
缩略语清单：目录1 概述 (3)2 技术应用背景 (3)3 特性介绍 (5)4 H3C公司集中管理WLAN实现的技术特色 (6)5 典型组网案例 (7)6 支持组建IPv6 WLAN网络技术的产品（或单板） (10)7 总结和展望 (10)8 参考文献 (11)9 附录 (11)1 概述WLAN，全称Wireless Local Area Network，即无线局域网，和传统的有线接入方式相比无线局域网让网络使用更自由：1. 无线局域网彻底摆脱了线缆和端口位置的束缚，用户不在为四处寻找有线端口和网线而苦恼，接入网络如喝咖啡般轻松和惬意。
2. 无线局域网具有便于携带，易于移动的优点，无论是在办公大楼、机场候机大厅、酒店，用户都可以随时随地自由接入网络办公、娱乐。
另外，WLAN最大的优势就是免去或减少了繁杂的网络布线，一般只要在安放一个或多个接入点(Access Point)设备就可建立覆盖整个建筑或地区的局域网络。
另外对于地铁、公路交通监控等难于布线的场所，无线局域网的应用越来越广泛。
和有线相比，无线局域网的启动和实施相对简单，后期维护容易，整个建网和维护的成本更低廉。
随着以IPv4为核心技术的Internet获得巨大成功，促使IP技术广泛应用，从而产生对IP地址的巨大需求，但IPv4地址资源紧张直接限制了IP技术应用的进一步发展。
IETF在20世纪90年代提出下一代互联网协议-IPv6被公认的IPv4未来的升级版本。
IPv6将地址长度由32为增加到128位，从本质上改进了地址资源紧缺问题――几乎达到了无限的地址空间。
WA5530室内无线接入设备产品白皮书
H3C WA5530 室内放装型802.11ac 无线接入设备产品概述H3C WA5530 系列无线产品是杭州华三通信技术有限公司(H3C)自主研发的新一代整机八条流业务最高端产品，采用三频802.11AC 设计，双频802.11ac Wave2 设计可广泛应用在高密用户接入和电子书包等场景。
WA5530 系列目前有WA5530 一款产品，全部内置天线阵列，支持三个频段接入，外型小巧美观，安装方式灵活，适用于壁挂、吸顶等多种安装方式。
WA5530 系列室内放装型802.11ac 无线接入设备产品特点业界领先的三射频创新设计传统的无线接入AP 通常采用双频方案,分别在2.4GHz 和5GHz 两个频段上提供无线信号接。
H3C WA5530 产品创新的采用三频设计，在保留原有双射频的同时，增加了一个四流802.11ac wave2 射频。
随着技术的不断发展，5G 802.11ac Wave2 终端也逐渐成为主流，AP 的2.4G 频段逐渐变为兼容低端终端的作用，WA5530 增加了第三个射频模块之后，WA5530 的接入速率最高可达13Gbps，非常适合在电子书包场景，高密度接入场景使用。
实现多终端同时通信，突破无线传统竞争弊端H3C WA5530 系列AP 支持MU-MIMO 技术，MU-MIMO 是802.11ac Wave 2 的最重要特性，通过MU-MIMO 技术可实现AP 同一时刻向多个终端发送数据，即WA5530 可同时为多个终端发送数据信息，根据终端流数的不同，整机三频设计和MU-MIMO 的完美结合，WA5530 整机最多可以同时为6 个终端发送无线报文，突破传统无线网络串行通信的机制，无线频谱资源利用率成倍提升，有效接入用户数得到了极大的提高，有效减少无线网络的部署开销，提升高密度用户情况下的用户体验。
实现智能双千兆云接入和优质的无线网络TCOWA5530 系列AP 遵从802.11ac 协议标准，能提供3 个不同的频段接入，实现1733Mbps+867Mbps+400Mbps 的无线传输速率以及最高两千兆的有线接入能力，是相同环境下802.11n 产品5 倍左右。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
IPTV LAN接入网解决方案技术白皮书杭州华三通信技术有限公司Catalog 目录1前言 (5)2方案简介 (5)3技术特色 (6)3.1.1业务分离 (6)3.1.2接入认证 (7)3.1.3组播复制 (7)3.1.4QOS (9)3.1.5安全 (9)3.1.6频道快速切换 (10)3.1.7接入交换机未知组播丢弃 (10)4总结 (10)Table List 表目录1前言 (5)2方案简介 (5)3技术特色 (6)3.1.1业务分离 (6)3.1.2接入认证 (7)3.1.3组播复制 (7)3.1.4QOS (9)3.1.5安全 (9)3.1.6频道快速切换 (10)3.1.7接入交换机未知组播丢弃 (10)4总结 (10)Figure List 图目录图1DHCP+认证 (7)关键词：IPTV摘要：为IPTV业务在LAN接入组网模式下开展提供解决方案缩略语清单：缩略语英文全名中文解释Box 机顶盒STB Set-TopPUPV Per-User Per-Vlan 每用户一VLANPSPV Per-Service Per-Vlan 每业务一VLANBTV BroadcastTV 广播电视/直播电视NVOD Near Video On Demand 准VOD，节目轮流播放1 前言IPTV即交互式网络电视，是一种利用宽带网络，集互联网、多媒体、通讯等多种技术于一体，向家庭用户提供包括数字电视在内的多种交互式服务的崭新技术。
它能够很好地适应当今网络飞速发展的趋势，充分有效地利用网络资源。
IPTV包含了BTV、VOD、nVOD等业务内容，有效开展IPTV业务必须有接入承载网、终端、内容网络以及业务软件系统等各组件的支持。
仅接入承载网就包含了DSL接入、LAN接入、FTTx等多种模式，本文将重点描述LAN接入网承载IPTV业务的相关技术。
2 方案简介在本方案中，根据IPTV业务特性，对VOD、接入认证等这部分通常采用单播方式来处理，对于BTV、nVOD这样的业务则采用组播方式来处理。
针对上网业务精细化管理的需求，对上网用户采用PUPV的VLAN划分方式，而对于IPTV 用户，可以根据具体情况，采用PUPV(一用户一VLAN)或PSPV（一业务一VLAN）方式来进行VLAN划分。
对于VOD和认证等基于单播数据流的业务，数据转发比较简单，这里不再赘述。
IPTV接入网的难点在于BTV业务组播流的处理，结合IPTV在国内尚处于初期发展阶段，现网中设备大都无法直接支持IPTV业务的现状，提出了集中组播复制和边缘组播复制两种解决方案。
在IPTV发展初期，用户量较少时，采用集中复制。
而在业务规模开展时，采用边缘复制。
这样将组播复制的压力分散在楼道交换机上，可以满足大量IPTV用户接入的要求。
方案支持PPPOE和DHCP+认证方式。
通过VLAN隔离或端口隔离来避免用户间的影响。
同时通过灵活QINQ来解决精确定位用户和VLAN资源问题。
另外，利用BRAS和家庭网关对用户的流量和优先级进行设定，可以有效的控制接入网中的流量，配合QOS的队列调度机制保证IPTV业务的视频质量。
方案中关注如下问题¾业务分离通过VLAN来区分不同业务¾接入认证问题采用PPPOE认证或DHCP+认证¾组播复制集中复制边缘复制¾QOS和安全队列调度DHCP SNOOPING OPT82用户隔离¾频道快速切换¾接入交换机未知组播丢弃3 技术特色3.1.1 业务分离用户业务主要为HSI（上网业务）、IPTV业务和VOIP业务，每种业务对网络的要求各不相同，为了便于QOS和安全策略的部署，因此我们必须将业务进行区分。
最简单的办法就是通过不同VLAN来标记不同的业务。
考虑到业务特性，上网业务通常需要对用户进行精细化管理，而对IPTV业务通常采用较粗犷的管理模式，因此我们建议通过如下方式来做VLAN规划：对上网业务，采用PUPV（每用户一VLAN），对于IPTV/VOIP业务，采用PSPV（每业务一VLAN），即同一园区内的IPTV/VOIP用户采用同一VLAN，不同园区的IPTV/VOIP用户采用不同的业务VLAN，在局端，通过灵活QINQ对上网业务的VLAN打外层标签，对于IPTV业务的VLAN不打外层标签。
如上图所示，VLAN21和VLAN22为上网业务，在局端打上外层标签100透传到BRAS，而VLAN3和VLAN4分别为IPTV和VOIP的业务VLAN，VLAN5为组播VLAN（为了节约带宽而专门承载组播业务的VLAN，其对IPTV用户不可见），对于VLAN3/4/5在局端不作处理，直接透传到BRAS或SR上。
不同业务的VLAN具体划分是通过家庭网关来实现的。
需要强调的是，若楼道交换机比较老仅支持VLAN划分但无法支持如IGMP SNOOPIGN、边缘复制等组播特性时，则不能采用上述的将IPTV用户都划分到一个VLAN内（因为组播流将会在VLAN内广播），而是需要将IPTV用户也划分到不同VLAN内（即PUPV方式），此时需要通过园区交换机进行集中复制才能开展IPTV业务，后面会详细介绍这一点。
3.1.2 接入认证本方案中，上网业务采用PPPOE的认证方式，IPTV业务可以采用PPPOE或DHCP+认证。
PPPOE认证方式应用已经很广泛了，在此不再赘述。
DHCP+认证方式是利用DHCP定义的一些OPTION字段来实现的，如通过OPTION60来识别终端类型，通过OPTITON82来识别用户位置（实际上就是标记用户）。
图1DHCP+认证当网络设备收到STB的DHCP请求报文时，需要在报文后添加OPTION82字段，此时有两种模式进行DHCP+认证，一种是直接把DHCP报文送给DHCP服务器，由DHCP服务器根据OPT82字段来判断该用户是否为合法用户，从而决定是否为其分配IP地址。
另一种是DHCP报文先送到BRAS，由BRAS将OPT82字段放到RADIUS的一个子域里，通过RADIUS服务器来进行用户合法性认证，若用户合法，再由DHCP服务器分配IP地址。
3.1.3 组播复制根据楼道交换机支持的能力，组播复制方式可以采用边缘复制或集中复制。
若楼道交换机组播功能比较弱，则不能采用PSPV的VLAN划分方式，而是需要将IPTV用户分到不同VLAN内，此时采用集中组播复制方式。
否则可以采用组播边缘复制。
通常在组播点播时，若用户处在不同的VLAN内，则每个VLAN都会有一个组播流，即使用户点播的是同一个频道，链路上也会有多份相同的组播流，这样就浪费了大量的带宽。
因此我们引入组播VLAN这个概念，目的就是使用户共用一个走组播业务的VLAN，组播流只在这个VLAN内传输，直到面向最终用户时才进行复制，从而达到节省带宽的目的。
不管是集中复制还是边缘复制，都会有一个走组播业务的VLAN，只不过集中复制时这个组播VLAN在园区交换机（集中复制点）上，而边缘复制则在楼道交换机（边缘复制点）上。
边缘复制特性：边缘复制是在末端L2交换机上实现的特性，其作用有两个：1 将交换机下用户VLAN内的IGMP报文转到组播VLAN内上行；2 将下行组播VLAN内的组播流面向用户端口复制，此时面向用户端口出去的组播报文是不带VLAN TAG的。
在边缘复制中，支持对上行IGMP加入报文抑制和最后用户离开机制，当交换机收到多个对同一个组的加入报文时，将在组播VLAN内只向上透传一份，同样，当有用户离开某个组播组时，只有这个组的最后一个用户的IGMP离开报文才会在组播VLAN内向上透传。
从而大大减轻了了上层设备对IGMP报文的处理压力。
集中复制特性：集中复制特性是在支持L3特性的交换机上实现的特性。
上行IGMP加入报文处理基本上同边缘复制特性。
但组播数据流下行时，是根据组播转发表项来将走组播业务的VLAN内的组播数据流复制到用户VLAN中，从而在下行端口的组播数据流是带有用户VLAN ID的，这也是和边缘复制特性的主要不同之处。
同样集中复制特性也支持IGMP加入报文抑制和最后用户离开机制。
集中复制特性通常是在园区交换机上实现，由于需要面向用户进行跨VLAN的组播复制，因此对设备性能要求较高，同时这样的机制相比边缘复制而言，会占用较多的园区和楼道之间的带宽，因此建议只在IPTV业务开展初期，用户量较小且楼道交换机功能较弱时采用。
若IPTV业务规模发展，用户量较大，则采用边缘复制更为适合。
3.1.4 QOS方案中通过家庭网关设备在业务终端接入时就分配vlan和优先级标志，在网络中采用的是diffserv模型，针对不同的业务定义不同的COS值，L2交换机上采用SP队列调度，保证端口拥塞时高优先级业务优先传输。
3.1.5 安全IPTV承载网的安全性包括业务本身的安全（主要是防止非授权访问）和承载网自身的安全。
对于防止非授权用户的访问，可以通过在组播复制点上配置IGMP权限控制，丢弃非授权用户发出的IGMP加入报文，从而达到防止非法用户收看BTV频道的目的。
对于承载网自身的安全，主要依赖于用户隔离（通过VLAN隔离或端口隔离来实现）方式，这样避免了用户间的互相干扰，同时也避免了非法服务器接入等安全隐患。
另外可以通过DHCP SNOOPING OPT82来防范DHCP请求攻击造成的DHCP地址池枯竭问题，这是因为支持DHCP OPT82的DHCP服务器可以根据OPT82制定地址分配策略，保证对带有相同OPT82信息的DHCP请求只分配一个IP地址。
3.1.6 频道快速切换正常情况下，IGMP-Snooping在接收到IGMP Leave报文时不会直接将端口从组播组中删除，而是发送特定组查询报文，如果等待一段时间后没有得到响应，才将该端口从组播组中删除。
这样当用户切换频道时，就会出现在一个时段内，有多路组播流流向用户端口，占用带宽，甚至可能影响STB的收视效果。
为了解决这个问题，在面向用户组播复制点上要支持Igmp fastleave功能，使交换机收到Leave报文后，直接删除对应的组播转发表项。
使得STB不会同时收到多份组播流。
Igmp fastleave功能通常在组播复制点等能识别用户的设备上实现。
3.1.7 接入交换机未知组播丢弃边缘复制下，接入交换机使能了igmp fastleave功能时，会出现接入交换机删除了组播转发表项但上面的组播流仍然在短时间内会流到接入交换机上，这些组播流对接入交换机而言会当作未知组播处理，在同一个VLAN内广播，影响STB的收视效果，若多个用户在同一个VLAN时还会互相影响。
因此需要在接入交换机上使能未知组播丢弃，使这类组播流进入接入交换机后直接丢弃，不作为广播处理。