跳过导航链接 | |
退出打印视图 | |
![]() |
在 Oracle Solaris 11.1 中保护网络安全 Oracle Solaris 11.1 Information Library (简体中文) |
请参见 Triple-DES(三重 DES)。
高级加密标准 (Advanced Encryption Standard)。一种对称的 128 位块数据加密技术。美国政府在 2000 年 10 月采用该种算法的 Rijndael 变体作为其加密标准。AES 从而取代了 DES 成为政府的加密标准。
为一组接口(通常属于不同的节点)指定的 IPv6 地址。发送到任播地址的包将被路由到最近的具有该地址的接口。包的路由符合路由协议的距离度量原则。
一组具有相同任播 IPv6 地址的接口。Oracle Solaris 实现的 IPv6 不支持创建任播地址和任播组。不过,Oracle Solaris IPv6 节点可以将通信流量发送到任播组。
一种加密系统,消息的发送者和接收者使用不同的密钥对消息进行加密和解密。非对称密钥用于为对称密钥加密建立一个安全信道。Diffie-Hellman algorithm(Diffie-Hellman 算法)就是一种非对称密钥协议。该加密系统与 symmetric key cryptography(对称密钥密码学)相对。
为 IP 数据报提供验证和完整性而不提供保密性的扩展头。
主机根据站点前缀和本地 MAC 地址自动配置其 IPv6 地址的过程。
可以双向传输数据报的隧道。
一种对称块加密算法,它采用 32 位到 448 位的可变长度密钥。其作者 Bruce Schneier 声称 Blowfish 已针对密钥不经常更改的应用程序进行优化。
IPv4 网络地址,其主机部分的所有位全为 0 (10.50.0.0) 或全为 1 (10.50.255.255)。从本地网络上的计算机发送到广播地址的包将被传送到该网络中的所有计算机。
可信任的第三方组织或公司,可以颁发用于创建数字签名和公钥/私钥对的数字证书。CA 保证被授予唯一证书的个人的身份。
已由 CA 撤销的公钥证书的列表。CRL 存储在 CRL 数据库中,该数据库通过 IKE 进行维护。
一种不基于网络类(A、B 和 C 类)的 IPv4 地址格式。CIDR 地址的长度为 32 位。它们使用标准的 IPv4 点分十进制表示法格式,并添加网络前缀。此前缀定义网络号和网络掩码。
在 IPQoS 中,具有类似特征的一组网络流。可以在 IPQoS 配置文件中定义类。
请参见 IP datagram(IP 数据报)。
Data Encryption Standard(数据加密标准)。一种对称密钥加密方法,开发于 1975 年,1981 年由 ANSI 标准化为 ANSI X.3.92。DES 使用 56 位密钥。
也称为公钥密码学。Diffie 和 Hellman 于 1976 年开发的非对称密钥一致性协议。使用该协议,两个用户可以在以前没有任何密钥的情况下通过不安全的介质交换密钥。IKE 协议需要使用 Diffie-Hellman。
Internet 工程任务组体系结构标准,用于在 IP 网络上实现区分服务。主要模块是分类器、计量器、标记器、调度程序和丢包器。IPQoS 实现分类器、计量器和标记器模块。diffserv 模型在 RFC 2475 An Architecture for Differentiated Services 中进行了介绍。
附加到以电子方式传输的消息的数字代码,可唯一地标识发送者。
DOI 定义数据格式、网络通信流量交换类型和安全相关信息的命名约定。安全策略、加密算法和加密模式都属于安全相关信息。
一个 6 位值,包含在 IP 数据包头的 DS 字段中时指示必须转发包的方式。
Digital Signature Algorithm(数字签名算法)。一种公钥算法,采用大小可变(512 位到 4096 位)的密钥。美国政府标准 DSS 可达 1024 位。DSA 的输入依赖于 SHA-1。
一种 TCP/IP 协议栈,IPv4 和 IPv6 均位于网络层,栈的其余部分是完全相同的。如果在安装 Oracle Solaris 的过程中启用 IPv6,则主机将收到 TCP/IP 的双栈版本。
一种功能,允许您在系统运行的同时重新配置系统,而对正在进行的操作影响很小或者没有任何影响。并非所有 Oracle Sun 平台都支持 DR。有些 Oracle Sun 平台可能仅支持某些类型硬件(例如 NIC)的 DR。
为数据报提供完整性和保密性的扩展头。ESP 是 IP 安全体系结构 (IPsec) 的五个组件之一。
在第一个包中放置头和有效负荷的过程,随后将第一个包放置在第二个包的有效负荷中。
IPQoS 配置文件中定义类特性的规则集合。IPQoS 系统选择符合其 IPQoS 配置文件中过滤器的任何通信流以进行处理。请参见 packet filter(包过滤器)。
将组织的专用网络或内联网与 Internet 隔离,从而防止它受到外部侵入的任何设备或软件。防火墙可以包括包过滤、代理服务器和 NAT(network address translation,网络地址转换)。
在 IPQoS 中,累积和记录有关通信流的信息的过程。通过在 IPQoS 配置文件中定义 flowacct 模块的参数,可以建立流记帐。
请参见 IP header(IP 数据包头)。
用于进行消息验证的加密散列方法。HMAC 是密钥验证算法。HMAC 与重复加密散列函数(例如 MD5 或 SHA-1)以及机密共享密钥配合使用。HMAC 的加密能力取决于底层散列函数的特性。
用于标识分隔两个主机的路由器数量的度量。如果源主机和目标主机之间有三个路由器,则这两个主机之间有四个跃点。
不执行包转发的系统。在安装 Oracle Solaris 时,系统在缺省情况下成为主机,即系统无法转发包。一个主机通常具有一个物理接口,尽管它可以具有多个接口。
Internet Control Message Protocol(Internet 控制消息协议)。用于处理错误和交换控制消息。
发送到 Internet 上的计算机以要求响应的包。此类包通常称为 "ping" 包。
Internet Key Exchange(Internet 密钥交换)。IKE 用于自动为 IPsec 安全关联 (security association, SA) 提供经过验证的加密材料。
在 Internet 上将数据从一台计算机发送到另一台计算机所用的方法或协议。
通过 IP 传输的信息包。IP 数据报包含头和数据。头包括数据报的源地址和目标地址。头中的其他字段有助于标识和重新组合目标中数据报附带的数据。
唯一标识 Internet 包的二十字节数据。该头包括包的源地址和目标地址。头中存在一个选项,该选项允许添加更多字节。
封装在 IP 包中的 IP 包的隧道传送机制。
通信工具或介质,节点可以通过它在链路层上进行通信。链路层是紧邻 IPv4/IPv6 层的下一层。例如以太网(简单或桥接)或 ATM 网络。可以将一个或多个 IPv4 子网号或前缀指定给一个 IP 链路。不能将一个子网号或前缀指定给多个 IP 链路。在 ATM LANE 中,一个 IP 链路便是一个仿真 LAN。在使用 ARP 时,ARP 协议的范围是单个 IP 链路。
TCP/IP 经常被称为“栈”。这是指数据交换的客户机端和服务器端的所有数据传送时所经过的各层(TCP 层、IP 层,有时还经过其他层)。
一种软件功能,提供 diffserv model(diffserv 模型)标准的实现以及虚拟 LAN 的流记帐和 802.1 D 标记。使用 IPQoS,可以为用户和应用程序提供不同级别的网络服务(如 IPQoS 配置文件中所定义)。
IP security(IP 安全性)。为 IP 数据报提供保护的安全体系结构。
Internet 协议版本 4IPv4 有时称为 IP。此版本支持 32 位地址空间。
Internet 协议版本 6IPv6 支持 128 位地址空间。
管理安全关联 (security association, SA) 的方式。
管理员为 network interface card, NIC(网络接口卡)上的存储区域(或密钥库)指定的名称。密钥库名称也称为标记或标记 ID。
在 IPv6 中,用于在单个链路上寻址以实现诸如自动配置地址目的的标识。缺省情况下,链路本地地址是从系统的 MAC 地址创建的。
在一组接口中分配传入或传出通信的过程。通过负荷分配,可以获得较高的吞吐量。仅当网络通信流向使用多个连接的多个目标时,才会发生负荷分配。负荷分配有两种类型: 传入负荷分配(对于传入通信)和传出负荷分配(对于外发通信)。
只能在本地范围内(在子网内或在用户网络内)路由的单播地址。此地址还可以具有本地或全局唯一性范围。
1. diffserv 体系结构和 IPQoS 中的一个模块,它使用指示包转发方式的值标记 IP 包的 DS 字段。在 IPQoS 实现中,标记器模块是 dscpmk。
2. IPQoS 实现中的一个模块,它使用用户优先级值标记以太网数据报的虚拟 LAN 标记。用户优先级值指示使用 VLAN 设备在网络中转发数据报的方式。此模块称为 dlcosmk。
一种重复加密散列函数,用于进行消息验证(包含数字签名)。该函数于 1991 年由 Rivest 开发。
MAC 可确保数据的完整性,并验证数据的来源。MAC 不能防止窃听。
diffserv 体系结构中的一个模块,用于度量特定类的通信流速率。IPQoS 实现包括以下两个计量器:tokenmt 和 tswtclmt。
家乡代理、外地代理和移动节点支持的可选 IPv4 嵌套隧道传送形式。最小封装的系统开销比 IP-in-IP 封装少 8 或 12 个字节。
Maximum Transmission Unit(最大传输单元)。可以通过链路传输的大小,以八位字节表示。例如,以太网的 MTU 是 1500 个八位字节。
以特定方式标识一组接口的 IPv6 地址。发送到多播地址的包将被传送到组中的所有接口。IPv6 多播地址与 IPv4 广播地址具有类似的功能。
具有多个物理接口且不执行包转发的系统。多宿主主机可以运行路由协议。
对相邻节点的请求消息的响应,或一个节点发送未经请求的相邻节点通告以通告链路层地址更改的过程。
一种 IP 机制,使主机可以查找驻留在已连接链路上的其他主机。
由一个节点发送的请求,用于确定相邻节点的链路层地址。相邻节点请求还通过高速缓存的链路层地址验证相邻节点是否仍然可以访问。
NAT。将一个网络中使用的 IP 地址转换为另一个网络中已知的不同 IP 地址的过程。用于限制所需的全局 IP 地址的数目。
作为网络接口的网络适配卡。一些 NIC 可以具有多个物理接口,如 igb 卡。
在 IPv6 中,启用了 IPv6 的任何系统,而不管是主机还是路由器。
作为计量通信流量的结果而执行的操作。IPQoS 计量器具有三种结果:红色、黄色和绿色,如在 IPQoS 配置文件中所定义。
一种防火墙功能,可以配置为允许或禁止指定的包通过防火墙。
请参见 IP header(IP 数据包头)。
通过通信线路作为一个单位传输的一组信息。包含 IP header(IP 数据包头)以及 payload(有效负荷)。
通过包传输的数据。有效负荷不包括将包传输到其目标所需的头信息。
为通信类指定的优先级。PHB 指示该类的流相对其他通信类的优先顺序。
在 PFS 中,不能使用保护数据传输的密钥派生其他密钥。此外,也不能使用保护数据传输的密钥的源派生其他密钥。
PFS 仅适用于经过验证的密钥交换。另请参见 Diffie-Hellman algorithm(Diffie-Hellman 算法)。
系统与链路的连接。此连接通常作为设备驱动程序以及网络接口卡 (network interface card, NIC) 实现。一些 NIC 可以具有多个连接点,例如 igb。
Public Key Infrastructure(公钥基础结构)。由数字证书、证书颁发机构和其他注册机构组成的系统,用于检验和验证 Internet 事务中涉及的各方的有效性。
无法通过 Internet 进行路由的 IP 地址。无需 Internet 连通性的主机上的家乡网络可以使用专用地址。这些地址在 Address Allocation for Private Internets 中进行了定义,通常称为 "1918" 地址。
请参见 IP stack(IP 栈)。
位于客户机应用程序(如 Web 浏览器)和另一个服务器之间的服务器。用于过滤请求-例如,阻止对某些 Web 站点的访问。
一种加密系统,它使用两种不同的密钥。公钥对所有用户公开。私钥只对消息接收者公开。IKE 为 IPsec 提供公钥。
在路由器中,通告主机有一个更好的第一跃点节点可以到达特定目标。
检测 NIC 或从 NIC 到某个第 3 层设备的路径在出现故障后何时开始正常工作的过程。
在 IPsec 中,侵入者捕获了包的攻击。存储的包稍后将替换或重复原先的包。为了避免遭到此类攻击,可以在包中包含一个字段,并使该字段在包的保护密钥的生命周期内递增。
开始于移动节点的转交地址并结束于家乡代理的隧道。
路由器通告其存在以及各种链路和 Internet 参数的过程,要么是定期进行通告,要么是作为对路由器请求消息的响应进行通告。
主机查找驻留在已连接链路上的路由器的过程。
主机请求路由器以立即(而非下一个预定时间)生成路由器通告的过程。
通常具有多个接口、运行路由协议并转发包的系统。如果只有一个接口的系统是 PPP 链路的端点,则可以将该系统配置为路由器。
获取数字签名和公钥密码系统的方法。该方法于 1978 年首次由其开发者 Rivest、Shamir 和 Adleman 介绍。
Security Associations Database(安全关联数据库)。指定密钥和加密算法的表。在数据的安全传输中会使用这些密钥和算法。
请参见 streams control transport protocol(流控制传输协议)。
指定从一个主机到另一个主机的安全属性的关联。
指定安全关联数据库 (security associations database, SADB) 中接收者应该用来对收到的包进行解密的行的一个整数。
指定应用于包的保护级别的数据库。SPD 对 IP 通信流量进行过滤,以确定一个包是应该被废弃、应该以明文方式进行传递还是应该用 IPsec 进行保护。
一个元素,专门用于定义应用于特定类的包的条件,以便从网络流中选择该类通信流量。可以在 IPQoS 配置文件的过滤子句中定义选定器。
Secure Hashing Algorithm(安全散列算法)。该算法可以针对长度小于 264 的任何输入进行运算,以生成消息摘要。SHA-1 算法是 DSA 的输入。
用于在单个站点上寻址的标识。
使用从远程位置定向到一个 IP broadcast address(广播地址)或多个广播地址的 ICMP 回显请求包以造成严重的网络拥塞或故障。
在计算机网络中窃听-通常作为自动化程序的一部分,以便从线路中筛选出信息,如明文口令。
使用一个 IP 地址(该地址指示消息来自受信任主机)向计算机发送消息,以获取对该计算机的未经授权的访问。要进行 IP 电子欺骗,黑客必须先使用各种方法查找受信任主机的 IP 地址,然后修改包头以便使这些包看起来像是来自该主机。
请参见 IP stack(IP 栈)。
不用来传输数据通信流量的物理接口,除非某个其他物理接口出现故障。
可以监视活动连接的状态和使用获取的信息确定允许哪些网络包通过 packet filter(包过滤器)的 firewall(防火墙)。通过跟踪和匹配请求与回复,有状态包过滤器可以筛选出与请求不匹配的回复。
主机通过组合其 MAC 地址和 IPv6 前缀(由本地 IPv6 路由器通告)生成自己的 IPv6 地址的过程。
以与 TCP 类似的方式提供面向连接的通信的传输层协议。此外,SCTP 还支持连接多宿主,即连接的端点之一可以具有多个 IP 地址。
一种加密系统,其中消息的发送者和接收者共享一个公用密钥。此公用密钥用于对消息进行加密和解密。对称密钥用于对在 IPsec 中大量传输的数据进行加密。DES 就是一个对称密钥系统。
TCP/IP(Transmission Control Protocol/Internet Protocol,传输控制协议/Internet 协议)是 Internet 的基本通信语言或协议。它还可以在专用网络(内联网或外联网)中用作通信协议。
Triple-Data Encryption Standard(三重数据加密标准)。一种对称密钥加密方法。三重 DES 要求密钥长度为 168 位。三重 DES 也写作 3DES。
datagram(数据报)在被封装时跟踪的路径。请参见 encapsulation(封装)。
标识启用了 IPv6 的节点的单个接口的 IPv6 地址。单播地址包括以下几部分:站点前缀、子网 ID 和接口 ID。
一个实现服务类标记的 3 位值,它定义如何在 VLAN 设备网络中转发以太网数据报。
在 IP 协议栈的以太网(数据链路)级别上提供通信流量转发的网络接口。
提供虚拟网络连通性(不论是否是在物理网络接口上配置的)的伪接口。容器(如专用 IP 区域)在 VNIC 上配置以形成虚拟网络。
软件和硬件网络资源以及作为单个软件项同时管理的功能组合。内部 虚拟网络将网络资源整合到单个系统,有时称为“网络集成 (network in a box)”。
单个安全逻辑网络,使用跨公共网络(如 Internet)的隧道进行传输。