4_Communication and Network security

[rainit2006]

[rainit2006]

Committed Information Rate （CIR）

認定情報速度と呼ばれ、フレームリレーサービスにおいて、軽輻輳時においても最低限保証される伝送速度を表す。多くの商用FRサービスにおいて、アクセス回線速度とともに、CIRは料金計算に用いられる。

FDDI, FDDI-2

Fiber-distributed data interface (FDDI). a standard for data transmission in a local area network. The FDDI 1 protocol is based on the token ring protocol.
FDDI is a token-passing network that uses a pair of rings with traffic flowing in opposite directions. FDDI 2 is an extended version of FDDI. It extends FDDI by adding capability to handle voice and video signals. Further, FDDI-2 has a new mode of operation called the Hybrid Mode. In addition to asynchronous and synchronous types of frames, hybrid mode uses a 125 microsecond cycle to transport isochronous traffic.

FDDI-2 provides fixed bandwidth that can be allocated for specific applications. This makes it work more like a broadband connection, allowing voice, video, and data to travel over the same lines.

A dual-attachment station (DAS) has two ports and each port provides a connection for both the primary and the secondary rings.  ## ISDN A Bearer Channel (B Channel) is defined at a rate of 64 kbps. It can be used to carry digital data, digital voice and any other low data rate information. A data channel (D channel) carry control signal for bearer channels. ISDNでは一つの回線を複数のデータの流路に分けてそれぞれ独立に通信することができ、この仮想的な通信路のことをチャネル（channel）という。様々なチャネルの規格があるが、最も基本的なものにはデータ通信用のBチャネルと通信制御用のDチャネルで、この組み合わせで回線を構成することが多い。 アナログ電話回線と同じ銅線（メタル回線）を使用する最も基本的な回線構成はBRI（Basic Rate Interface）と呼ばれ、2つのBチャネルと1つのDチャネルを組み合わせた「2B+D」と呼ばれる構造になっている。 BRI: Provides two bearer or two B and 1 D PRI: Provides 23 B and 1 D. ## T-carrier T-carrier is a member of the series of carrier systems developed by AT&T Bell Laboratories for digital transmission of multiplexed telephone calls.  ## DSL (Digital Subscriber Line) デジタル加入者線のことでありツイストペアケーブルの通信経路で 　高速デジタルデータ通信を行う技術です。先進国では電話線としても利用している既存のメタルケーブル 　（銅線）の加入者線を利用できるというメリットがある。 - ADSL ( Asymmetric DSL ): Downstream traffic flow is faster than upstream traffic. - VDSL (Very high bitrate DSL) : 下りが最大100Mbps、上りが最大40Mbpsの高速通信を実現したDSL。ADSL同様に非対称。 Dial-up service is initiated "on-demand" by the end-user, but xDSL service is a dedicated connection, meaning that it is "**always on**."

[rainit2006]

frequency hopping spread spectrum (FHSS)

短距離向けの無線通信規格であるBluetoothなどが、FHSSの方式を採用している。 FHSSと同様、IEEE 802.11規格に基づいた無線通信方式としては、DSSS（Direct Sequence Spread Spectrum）方式がある。 ## Direct Sequence Spread Spectrum (DSSS) DSSS technology breaks down the transmitted stream of data into small pieces across a frequency channel. A redundant bit pattern (known as a chipping code) is generated for each bit transmitted. 802.11b, cordless phone uses DSSS. ## 直交周波数分割多重方式 (Orthogonal frequency-division multiplexing、OFDM) OFDM is a multicarrier modulation technique that divides a high data rate modulating stream to slowly modulated narrowband close-spaced subcarriers.  OFDMは、IFFT（逆フーリエ変換）で変調し、FFT（フーリエ変換）で復調します。  **OFDM offers the greatest throughput with the least interference** 802.11a, 802.11g, 802.11n use OFDM. 無線LANやWiMAX、ADSLなどとして広く利用されています。 OFDMは複数の情報を複数の搬送波に乗せて送れる「マルチキャリア伝送」のひとつです。複数の搬送波が利用できるので、それだけ多くの情報を送れるのが特徴です。 欠点: 1. 同一周波数帯を使う他の機器に干渉しやすい点です。2. OFDMのような信号を処理するためには、デジタル回路が必須とされています。

[rainit2006]

Session Initiation Protocol (SIP)

When Voice over IP (VoIP) is used, it employs the Session Initiation Protocol (SIP), which sets up and breaks down the call sessions, just as SS7 does for non-IP phone calls. SIP is an application layer protocol that can work over TCP or UDP. SIP provides the foundation to allow the more complex phone-line features that SS7 provides, such as causing a phone to ring, dialing a phone number, generating busy signals, and so on. SIP（Session Initiation Protocol，会话初始协议）是由IETF（Internet Engineering Task Force，因特网工程任务组）制定的多媒体通信协议。它是一个基于文本的应用层控制协议，用于创建、修改和释放一个或多个参与者的会话。广泛应用于CS（Circuit Switched，电路交换）、NGN（Next Generation Network，下一代网络）以及IMS（IP Multimedia Subsystem，IP多媒体子系统）的网络中，可以支持并应用于语音、视频、数据等多媒体业务，同时也可以应用于Presence（呈现）、Instant Message（即时消息）等特色业务。

VoIPとは、インターネット上で音声データを送受信するための技術です。 IP電話をする際、VoIPゲートウェイという機器を用います。VoIPゲートウェイが音声信号をデジタル化し、IPパケットに変換します。 音声情報をパケット化する前に電話を接続するための処理を行わなければなりません。その際に使われるプロトコルが「SIP」です。SIPとは、データをパケット化して送信する際に必要な「呼制御」を行うためのプロトコルです。 VoIP是技术的泛称，SIP是协议。

SNMP( Simple Network Management Protocol)

UDP/IPベースのネットワーク監視、ネットワーク管理を行うためのプロトコルです。ルーター、スイッチなどのネットワーク機器、WindowsやUNIXサーバーなどの状態監視、リソース監視、パフォーマンス監視、トラフィック監視を行うために使用します。 SNMPコミュニティとは、SNMPで管理するネットワークシステムの範囲のことです。

SNMP v3: ユーザ単位の暗号化されたパスワード認証。SNMPトラップにおける再送確認あり。

STP

STP（Spanning Tree Protocol）は、円環上（ループ状）に形成されたレイヤー2ネットワークにおいて データトラフィックが永続的に流れ続けることを防止するプロトコルです。

token passing

A deterministic, i.e., noncontentious, access method used in Token-Passing Ring,Token Ring, and Token Bus local area networks (LANs). The token, which consists of a specific bit pattern, indicates the status of the network -- available or unavailable. The token is generated by a centralized master control station and transmitted across the network.

IPng

IP version 6, also called IP next generation (IPng), has an address space of 128 bits, auto-configuration (which makes administration easier), and IPsec integrated, but it does not require NAT. NAT was developed when |Pv4 addresses were running out. The IP address size could make NAT obsolete for the purpose of saving public addresses.

IP v6

IPv6 over IPv4トンネリングプロトコル

IPv6 over IPv4トンネリングプロトコル: Teredo，6to4. 6to4ではIPv4グローバルアドレスが6to4クライアントに割り当てられているか、 接続しているネットワークに6to4リレールータが存在する必要があります。 それに対して、 TeredoではTeredoクライアントがNATによってIPv4グローバルインターネットから隔離され、 IPv4プライベートアドレスしか割り当てられていなくても、 IPv6による通信が可能な点が特徴として挙げられます。 Teredo: Tunneling IPv6 over UDP through Network Address Translations Teredoは、IPv6パケットをIPv4のUDPパケットにカプセル化し、 複数のIPv4 NATを超えてIPv6の通信を行えるように設計されています。

IPv6 Multicast

IPv6 multicast addresses are defined in "IP Version 6 Addressing Architecture" [RFC4291]. This defines fixed scope and variable scope multicast addresses. Similar to a unicast address, the prefix of an IPv6 multicast address specifies its scope, however, the set of possible scopes for a multicast address is different. The 4-bit sc (or scope) field (bits 12 to 15) is used to indicate where the address is valid and unique.

IPv6アドレス - EUI-64で自動生成するインターフェースID

https://www.infraexpert.com/study/ipv6z4.html

スコープフィードについて https://www.infraexpert.com/study/ipv6z10.html

DHCP Snooping

DHCP Snoopingは、DHCPサーバーとDHCPクライアントでやり取りされるDHCPパケットをAPRESIAでスヌーピング(覗き見)し、端末に払い出されたIPアドレス情報をもとに、DHCPクライアントが接続されたポートに対して、払い出されたIPアドレスを送信元とする通信を許可する機能です

DHCP snooping is a layer 2 security technology built into the operating system of a capable network switch that drops DHCP traffic determined to be unacceptable. The fundamental use case for DHCP snooping is to prevent unauthorized (rogue) DHCP servers offering IP addresses to DHCP clients.2 SIP（Session Initiation Protocol）は、アプリケーション層で2つ以上の相手に対して、音声や映像、テキストメッセージの交換などを行うために必要なセッションの生成・変更・切断を行うプロトコルです。

A community string is basically a password a manager uses to request data from the agent, and there are two main community strings with different levels of access: read-only and read-write. As the names imply, the read-only community string allows a manager to read data held within a device’s MIB, and the read-write string allows a manager to read the data and modify them.

IGMP

Internet Group Management Protocol (IGMP) とは、IPネットワーク上でマルチキャスト（特定の一対多または多対多通信）を行うために、マルチキャストに参加するホストのグループを設定し、ネットワークに通知するための通信プロトコルである。

MPLS

MPLS（ Multi-Protocol Label Switching ）は、ラベルと呼ばれるタグを使用したパケット転送技術です。 MPLSではIPv4、IPv6、IPXなど様々なプロトコルに対応したラベルを付加しデータをスイッチングできます。 MPLS (Multiprotocol Label Switching) is a high-throughput high-performance network technology that directs data across a network based on short path labels rather than longer network addresses. This technique saves significant time over traditional IP-based routing processes, which can be quite complex. Furthermore, MPLS is designed to handle a wide range of protocols through encapsulation. Thus, the network is not limited to TCP/IP and compatible protocols. This enables the use of many other networking technologies, including T1/E1, ATM, Frame Relay, SONET, and Digital Subscriber Line (DSL).

https://www.youtube.com/watch?v=Sz1PThotOUQ

[rainit2006]

ISO

Layer 2 (data link layer)

LLC

The data link layer has two sub-layers, the Logical Link Control (LLC) and Media Access Control (MAC) layers. The LLC provides a standard interface for whatever network protocol is being used. This provides an abstraction layer so that the network protocol does not need to be programmed to communicate with all of the possible MAC level protocols (Ethernet, Token Ring, WLAN, FDDI, etc..)

SDLC，HDLC

一组用于在网络结点间传送数据的协议。各项数据和控制信息都以比特为单位，采用“帧”的格式传输。 IBM提出的SDLC，ISO建议的HDLC。PPP协议就是基于HDLC的。 PPP 协议是在高级数据链路控制协议（HDLC）的基础上设计的，因此，其基本格式与 HDLC 相同，只是地址域和控制域已经被固定。

在HDLC协议中，有三种不同的站点类型，分别是：主站、从站、复合站。

TCP

RST

RSTパケットとは、TCPで接続を中断・拒否する際に送られるパケット。TCPヘッダの制御フラグでRSTフィールド（RSTフラグ）が1にセットされたパケットのこと。接続要求を拒絶したり、確立された接続を一方的に切断する際に送られる。

Data

[rainit2006]

bluesnarfing

the unauthorized access of information from a wireless device through a Bluetooth connection, often between phones, desktops, laptops, and PDAs (personal digital assistant).

Both Bluesnarfing and Bluejacking exploit others' Bluetooth connections without their knowledge. While Bluejacking is essentially harmless as it only transmits data to the target device, Bluesnarfing is the theft of information from the target device.

The countermeasure is to put the device into "nondiscoverable" mode.

WAP gap

A gap in WAP between WTLS(Wireless Transport Layer Security) decryption and SSL/TLS encryption where data is plaintext.

WAP (Wireless Application Protocol)

携帯電話などのデバイスでインターネット閲覧などのサービスが行えるようにする為の技術仕様である。 wap是Wireless Application Protocol 即：无线应用协议。那个时候基本上pc站是没法在手机上打开，手机上的wap站在pc上访问也非常不方便。 wap面临着淘汰。

WAP 1.xのプロトコルは、より低速で遅延性の高い携帯電話ネットワークに最適化するという意図のもと、WTP（ワイヤレストランスポートプロトコル）、WSP（ワイヤレスセッションプロトコル）、WTLS（ワイヤレストランスポートレイヤーセキュリティ）などがIP層の上位にのせられることになった。これらのプロトコルは携帯電話の世界でしか使われず、また、TCP/IPの対応するプロトコルと比べるとかなり複雑なものであって、その効果と存在理由について主にインターネット側から多くの批判がなされてきた。WAP 2.0でWAP自体がトランスポートプロトコルとしてTCPを併記する形で採用し、最終的にこの論争には終止符が打たれた。

WEP

https://eset-info.canon-its.jp/malware_info/special/detail/151117.html WEP的安全性问题--IV：

実はこのIVの値は、あまり役に立たないことが後になって判明する。暗号解読の難易度は、暗号鍵の長さと暗号化するアルゴリズムの複雑さによって決まるのだが、WEPの場合、１）もともとの秘密鍵がいつも同じであること、２）しかも、それが場合によっては40ビットしかなく解読されやすいこと、そして、３）IVの数値が暗号化されずにデータに付加されて送られること、さらに、４）IVに対して実際に毎回異なる数値を使用していたとしても、通常のデータのやりとりならば6時間程度で一巡してしまうので、また同じ数値を使わねばならないこと、この4点によって、送信データが傍受された場合、いともたやすくデータを第三者に読まれてしまうのである。

WPA

目的是为了替代不安全的WEP，但是它后来发现也存在脆弱性。于是后来发展了WPA2或802.11i

WPA2 或 802.11i

目前被认为是安全的。 WPA2中使用更强的AES（Advanced Encryption Standard）加密算法取代WPA中的RC4，也使用了更强的完整性检验算法CCMP。 到现在，一共有三种认证方法：开放式认证、预共享密钥(PSK)认证、802.1X认证。 现在，在路由器设置的加密方式里看到wpa-personal、wpa2-personal、wpa-enterprise、wpa2-enterprise时就不会晕了。 personal指的PSK认证，enterprise指的便是802.1X认证。

WPA3

WPA3には「個人用（WPA3-Personal）」と「企業用（WPA3-Enterprise）」の2種類があります。 WPA2にはKRACKsと呼ばれる深刻な脆弱性がありました。これは攻撃者が中間者攻撃をしかけることにより、暗号化通信の盗聴や改ざんが行われてします脆弱性です。

1. WPA3ではKRACKsへの対策を施すSAE（Simultaneous Authentication of Equals）ハンドシェイクを導入しました。これは仮にパスワードが漏えいしても、通信内容を暗号化し解読不可能にする技術です。これによりKRACKsを無効化できるようになりました。
2. WPA3には、誤ったパスワードによるログイン試行が一定回数続くと、ログインをブロックする機能が追加されました。
3. 企業向けのWPA3-Enterpriseでは192ビット暗号化システムのCNSA（Commercial National Security Algorithm）が実装され強固なセキュリティを実現しています。
4. WPA3には「Easy Connect」機能が搭載されています。これはディスプレイを持たない、IoT機器などを安全かつ簡単にネットワークへと参加させる機能です。QRコードをスキャンするだけで、様々なIoT機器をWi-Fiへと接続できます。

802.1x

認証方式	クライアント認証	サーバ認証	認証局	動的WEP	セキュリティ	特徴
MD5	ユーザ名/パスワード	なし	不要	不可	×	・　Windows PCで標準搭載　・　チャレンジレスポンスによる認証　・　サーバ認証なし、WEPキーは固定
LEAP	ユーザ名/パスワード	ユーザ名/パスワード	不要	可	△	・　Cisco独自の認証方式　・　EAP-MD5よりもセキュリティが高い　・　辞書攻撃による脆弱性が発覚
EAP-FAST	ユーザ名/パスワード	ユーザ名/パスワード	不要	可	○	・　Cisco独自の認証方式　・　辞書攻撃による脆弱性を解消　・　セキュリティレベルが高く認証局も不要
TLS	証明書	証明書	必要	可	◎	・　Windows PC で標準搭載　・　最もセキュリティレベルの高い方式　・　証明書発行などのスキルが要求される
TTLS	ユーザ名/パスワード	証明書	必要	可	○	・　対応していないWindows製品がある　・　ユーザIDと証明書のハイブリッド認証　・　TLSの拡張版
PEAP	ユーザ名/パスワード	証明書	必要	可	○	・　Windows PCで標準搭載　・　ユーザIDと証明書のハイブリッド認証　・　人気のある認証方式

IEEE 802.1Xを使った認証システムは、以下のものから構成される。

• サプリカント（Supplicant） - 認証クライアント・ソフトウェア。接続しようとするパソコン上で必要である。
• オーセンティケータと呼ばれる802.1Xに対応したLANスイッチ
• 認証サーバ - 認証を判断するサーバ。RADIUSまたはDIAMETER認証サーバでもよい。

IEEE 802.1Xを使った認証動作は以下の3段階からなる。

• 接続
• EAP（Extended authentication protocol）による認証
• 認証完了

802.1Xに使用できるEAPはいくつかあるが、サプリカントと認証サーバの両方が対応している必要がある。

• EAP-MD5: EAP-MD5（EAP-Message digest algorithm 5）はIDとパスワードで認証する方式。パスワードはチャレンジ＆レスポンス方式で暗号化されて送信される。無線LANでは安全ではない。
• EAP-TLS: EAP-TLS（EAP-Transport layer security）はデジタル電子証明書を使って認証する方式。IDやパスワードは使用されない。スマートカードやUSBキー（ドングル）と組み合わせて使用されることが多い。無線LANでもほぼ安全。服务端和设备端都需要证书认证。
• PEAP: PEAP（Protected EAP）は米マイクロソフト社が開発したEAP規格でIDとパスワードで認証する方式。SSL（Secure Sockets Layer）と同じ暗号化技術によって認証通信全体が暗号化されている。暗号化のために認証サーバにデジタル電子証明書が必要。無線LANでもほぼ安全。
• LEAP: LEAP（Lightweight EAP）は米シスコシステムズ社が開発したEAP製品 （已经被PEAP或EAP-TLS取代）。
• EAP-TTLS: EAP-TTLS（EAP-Tunneled transport layer security）は米ファンク・ソフトウェア社（Funk Software）が開発したEAP製品。好处：设备端末不需要证书认证。

	EAP-TLS	EAP-TTLS	EAP-PEAP
概要	・セキュリティ強度が高い・相互に電子証明書を発行するため、電子証明書の発行および管理負担とコストがかかる	・EAP-TLSを拡張したもの・クライアント証明書の管理の必要がなく、手軽な方式・ユーザーは、ユーザー名とパスワードを覚える必要があり、万が一ユーザー名とパスワードが盗まれた場合、不正アクセスされる危険性有	・EAP-TTLSと認証手順および認証方式がほぼ同じだが、EAP-PEAPは、Windows7には標準搭載している
セキュリティ強度	◎	○	○
端末側の認証	電子証明書	ID/パスワード	ID/パスワード
サーバー側の認証	電子証明書	電子証明書	電子証明書

802.1x/EAP

IEEE 802.1X 是 IEEE 制定关于用户接入网络的认证标准，它为想要连接到 LAN 或 WLAN 的设备提供了一种认证机制，通过EAP协议（Extensible Authentication Protocol）进行认证，控制一个端口是否可以接入网络。 802.1X工作在二层，加上EAP只是一个框架，可以由厂商实现具体的认证方法，因此具有非常好的扩展性，在办公网络的很多方案中得到应用。不同的厂商也衍生出一大堆LEAP、PEAP、EAP-TLS、EAP-MD5等等具体的认证协议。

制订802.1x协议的初衷是为了解决无线局域网用户的接入认证问题。 IEEE 802.1X是根据用户ID或设备，对网络客户端(或端口)进行鉴权的标准。该流程被称为“端口级别的鉴权”。 它采用RADIUS(远程认证拨号用户服务)方法。

使用802.1X的系统为典型的客户端/服务器的体系结构，包括3个实体，分别是客户端、设备端和认证服务器。 （1）客户端：局域网用户终端设备，但必须是支持局域网可扩展认证协议EAPOL的设备，可通过启动客户端设备上安装的802.1x客户端软件（Windows XP系统自带客户端）发起802.1x认证。 （2）设备端：支持802.1x协议的网络设备（如交换机），对所连接的客户端进行认证。它为客户端提供接入局域网的端口。 （3）认证服务器：为设备端802.1x协议提供认证服务的设备，是真正进行认证的设备，实现对用户进行认证、授权和计费，可以是交换机设备端自带的本地认证，但通常为RADIUS服务器或者TACACS服务器。

802.1x协议规定在完成认证之前是不允许信息交互的，因此手持终端与AC在认证之前只能通过802.1x协议规定的EAP（Extensible Authentication Protocol，可扩展认证协议）帧交换认证信息。 目前大多数手持终端都支持基于802.1x的EAP认证，输入相应的用户名密码，即可自动完成认证，这种方式称为EAP-PEAP，即Protected-EAP（受保护的可扩展的身份验证协议）。 已被Wi-FI联盟WPA和WPA2批准的有两个子类型：PEAPV0-MSCHAPV2和PEAPV1-GTC。又由于PEAP是一个框架协议，目前业界使用最广的是由微软提出的PEAP-MSCHAPV2协议，又被称作MS-PEAP，也就是我们在iPhone上看到的WPA/WPA2企业级认证方式。

https://zhuanlan.zhihu.com/p/28927420 ## PEAP (Protected EAP) PEAP是可扩展的身份验证协议 (EAP) 家族的一个成员。它使用 TLS 为进行PEAP验证的客户端和服务器间创建加密隧道。PEAP没有指定具体的认证方法，可搭配选择多种认证方式如 EAP-MSCHAPv2 、EAP-TLS等。 PEAP的认证过程分为两个阶段： 1.服务器身份验证和建立TLS安全隧道。Server向Client发送证书信息实现“Client对Server的认证”； 2.客户端身份认证。在TLS隧道内通过多种认证方法（一般为EAP-TLS 或 EAP-MSCHAPv2） 与 PEAP 共用实现“Server对Client的认证”； PEAP 使用 PKI 来确保用户验证过程不会被黑客或恶意人员截获和破解，这与SSL采用PKI来确保网站或其它敏感网络应用在数据交换过程不被截获并破解的目的是一样的。 PEAP的weakness： “将根证书部署到每个客户端”这个要求实现起来比较麻烦，大部分企业直接忽视，客户端直接面对未经认证的证书，便留下了隐患。 http://drops.xmd5.com/static/drops/wireless-15269.html ## LEAP LEAP是针对WPA的TKIP的思科专有替代方案。这是为了在802.11i/WPA2系统被批准为标准之前消除TKIP的缺陷。 不推荐使用LEAP，如果一定要用，必须使用高强度的密码。 Unfortunately, LEAP has significant security issues as well and should not be used. Any modern hardware should support WPA2 and technologies like PEAP or EAP-TLS. ## MAC过滤 MAC过滤器是授权无线客户端接口MAC地址的列表，无线接入点使用该MAC地址来阻止对所有未授权设备的访问。 ## TKIP（Temporal Key Integrity Protocol） TKIP被设计为WEP的替代品，好处是不需要替换传统的无线硬件。TKIP以WPA（Wi-Fi保护访问）的名称实施到802.11无线网络中。 - 通信を繰り返して行う際に、暗号キーを毎回変更できるようにした方式。 - 暗号化アルゴリズムに**RC4を用い**、設定された暗号パスワードをそのまま使うのではなく、一定の送受信回数ごとに切り替わる一時鍵や、端末に固有で与えられたMACアドレスを暗号キーに加えるのが特徴だ。 暗号キーをひとつ見破られても、短時間でキーが変化するので、解読されたキーを次の通信では使用できない。そのため、TKIP以前に用いられていた方式よりも、高い安全性が確保できる。数週間から数ヶ月の間、データを収集しても解読が困難と言われている。 ## CCMP 创建CCMP以替换WEP和TKIP/WPA。CCMP使用带有128位密钥的AES(高级加密标准)。

[rainit2006]

STPに対して、シールド処理が施されていないツイストペアケーブルはUTP（Unshielded Twisted Pair）ケーブルと呼ばれる。 一般的に、STPはシールド処理された分だけUTPより高価になるが、より高精度でノイズを遮ることが可能である。 家庭内および通常のオフィス環境などでは、UTPでも特に問題なく利用できる場合が多いが、工場のよに電磁ノイズが多く発生する環境ではSTPが利用されることが多い。 **UDP is the least resistant to EMI** ### UTP Category Category 3 UTP cable is primarily used for phone cables and was also used for early **Ethernet networks** where it provided 10 Mbps of throughput. Cat 5 cable provides 100 Mbps (and 1000 Mbps if it is Cat 5e). Cat 6 cable can also provide 1000 Mbps. ## Coaxial Cable 中心導体に対して取り巻くように(同心円状に)、絶縁材とメッシュ状の外部導体を配置したケーブルのこと。シールド層があるため、電磁波の影響を受けにくく、物理的な強度も高いが, 操作性に欠ける。家庭ではテレビ・ FM 受信機などとアンテナをつなぐのに多く用いられる。 ## Keep in mind the below: - Twisted pair is the least secure. Susceptible to EMI, RFI. Remember, twisted is least secure but still the most popular. Reason is cheap and easy to work with. - Coaxial: not much flexible or easy to work with. Better security than twisted but still has many vulnerabilities - Fiber: most secure, light travels in fiber so no EMI or RFI - Cat 5 unshielded will emanate signal. Shielded will not. Cat6 is shielded. Coax is very shielded.

[rainit2006]

VPN

PPTP, L2F, L2TP, and IPsec are the most common VPN protocols. SPAP is the Shiva Password Authentication Protocol sometimes used with PPTP.

IP package in PPP frame

PPP ( Point to Point Protocol)

• PPP is used for dial-up connections for modems, IDSN, Frame Relay, and other technologies.
• PPP是一种链路层协议，这种协议最大的优势是可以支持用户名+密码方式的链路层认证。
• PPP主要就是用来做接入用户认证的，例如PPPoE就是承载在以太网链路上的PPP协议，用在用户的宽带接入场景。L2TP就是PPP OVER UDP，因此使用在用户接入VPN的场景。
• PPP支持地址信息的自动协商；LCP协议用于各种链路层参数的协商；NCP协议用于各网络层参数的协商，更好地支持了网络层协议（peer neighbor-route）。
• PPP支持两种认证协议： PAP 和 CHAP认证（可以基于接口的密码认证；也可以基于本地数据库AAA认证，提供认证、授权和审计），更好的保证了网络的安全性。
• PPP支持将多根链路进行捆绑（Multilink）；支持对所有类型的报文/报头进行压缩；无重传机制，网络开销小，速度快。 https://zhuanlan.zhihu.com/p/99174359

PPP carries out several functions, including the encapsulation of multiprotocol packets. It has a Link Control Protocol (LCP) that establishes, configures, and maintains the connection. Network Control Protocols (NCPs) are used for network layer protocol configuration, and it provides user authentication capabilities through PAP, CHAP, and EAP protocols.

The LCP is used to carry out the encapsulation format options, handle varying limits on sizes of packets, detect a looped-back link and other common misconfiguration errors, and terminate the link when necessary. LCP is the generic maintenance component used for each and every connection. So LCP makes sure the foundational functions of an actual connection work properly, and NCP makes sure that PPP can integrate and work with many different protocols. PPP has to “plug in” and work with different network layer protocols, and various network layer protocol configurations have to change as a packet moves from one network to another one. So PPP uses NCPs to be able to understand and work with different network layer protocols (IP, IPX, NetBEUI, AppleTalk).

PAP 和 CHAP

PAP（密码认证协议）和CHAP（挑战握手认证协议）。 PAP： PAP 密码认证协议又称为二次握手协议。比如有两台路由器相连：R1--------------R2,其中R1为主，R2为被动。之时就需要R2 给 R1 发送用户名密码。即Authentication- request 被认证方主动发送给主认证方，包含用户名密码，都是明文表示。主认证方收到后，在他的 AAA 数据库里包含用户名密码条目做一个匹配，匹配成功会返还 Authentication-ACK，失败返还 Authentication-NAK。

CHAPとは、PPPなどで利用される認証方式の一つ。パスワードを原文（平文）のまま送るのではなく、ハッシュ化して送ることで伝送路上での盗み見、漏洩を防止する。 CHAP也称为三次握手协议，密文认证。 Challenge：主认证方给被认证方发送，包含随机数（防止重放攻击）、报文 IP（用来做确认，是否包含主认证方的用户名是可选的）。 Response： 被认证方给主认证方发送的回应 包含用户名（被认证方接口配置的用户名）、散列值（密码：接口配置的密码+随机数+会话 ID、执行 MD5 计算），会话 ID（表示我这个 Response 是关于你 Challenge 的回应）主认证方收到后，做一个匹配，成功返还 success、失败返还 failure。

PPTP

送信元のPCのことをPACといいます。 受信側のサーバのことをPNSといいます。 GRE: Generic Routing Encapsulation

The more recently developed tunneling protocol, L2TP, allows for tunneling over frame relay and ATM as well as TCP/IP. PPTP can work only over IP networks. PPTP can encapsulate data other than IP, but it can move data only over networks that use the IP protocol.

L2TP

L2F: UDPを利用するトンネル技術ですが現在はあまり使われていません。 L2TPは、PPTPとL2Fをあわせたトンネル技術です。

为什么说L2TP会取代PPTP？ L2TP can use IPsec to provide encryption of traffic, ensuring confidentiality of the traffic carried via an L2TP VPN. PPTP sends the initial packets of a session in plaintext, potentially including usernames and hashed passwords.

既然IPsec有隧道模式，为什么还有L2TP+IPsec这样的组合？

https://www.zhihu.com/question/279686051 L2TP 是为了PPP协议而存在的，PPP是为了解决远程用户访问企业网络时的用户认证问题。 而L2TP是明文的的，所以需要再加上IPSec进行加密处理。

PPP是一种链路层协议，这种协议最大的优势是可以支持用户名+密码方式的链路层认证。因此，如果希望接入VPN服务器的时候，可以针对不同的用户进行权限验证等需求，IPSEC是很难支持的。

[rainit2006]

Package filter firewall

Stateful inspection firewall

SOCKS based firewall

SOCKS is an Internet protocol that exchanges network packets between a client and server through a proxy server. SOCKS performs at Layer 5 of the OSI model (the session layer）， A SOCKS server accepts incoming client connection on TCP port 108。

WAF

https://it-trend.jp/waf/article/162-0020

• HTTP通信を監視・制御するツール
• Webアプリケーションの脆弱性をカバー
• WAFはSSLで暗号化されたHTTPS通信の内容を見れない
• WAFにSSL証明書をインストールすれば監視可能に
• SSL機器の後ろにWAFを置くことでも監視可能

WAFの種類

https://dev.classmethod.jp/articles/getting-started-waf/

• クラウド型WAF
• バーチャルアプライアンス型WAF: 自ネットワーク内のEC2上に構築するWAFです。
• ホスト型WAF

### Circuit-based firewall Circuit-based proxy firewalls make decisions based on header information, not the protocol’s command structure. Application-based proxies are the only ones that understand this level of granularity about the individual protocols. - A circuit-level proxy creates a connection (circuit) between the two communicating systems. - It works at the session layer - It can only make access decisions based upon protocol header and session information that is available to it. - It looks at the data within the packet header rather than the data at the application layer of the packet. It does not know whether the contents within the packet are safe or unsafe; it only understands the traffic from a network-based view. - SOCKS is an example of a circuit-level proxy gateway that provides a secure channel between two computers. SOCKS：防火墙安全会话转换协议 （Socks: Protocol for sessions traversal across firewall securely） SOCKS协议提供一个框架，为在 TCP和UDP域中的客户机/服务器应用程序能更方便安全地使用网络防火墙所提供的服务。协议工作在OSI参考模型的第5层(会话层)，使用TCP协议传输数据，因而不提供如传递 ICMP信息之类的网络层网关服务。

[rainit2006]

[rainit2006]

IEEE 802.3

以太网（Ethernet）

Ethernet

Ethernet は LAN (Local Area Network: ローカルエリアネットワーク) の一種です。LAN 用の L2 通信は今は Ethernet が主流であるため、LAN = Ethernet と解釈されることも多いです。

Ethernet uses a bus topology. While devices may be physically connected to a switch in a physical topology that looks like a star, systems using Ethernet can all transmit on the bus simultaneously, possibly leading to collisions.

### CSMA/CD Ethernet networks use Carrier-Sense Multiple Access with Collision Detection (CSMA/ CD) technology. When a collision is detected and a jam signal is sent, hosts wait **a random period of time** before attempting retransmission. ## IEEE 802.1 - IEEE 802.1AR ‐ セキュアデバイス - IEEE 802.1AS ‐ 時刻同期 (AVブリッジ) ## 802.1i IEEE 802.11iとは、Wi-Fi（無線LAN）における通信の暗号化や認証など、セキュリティ技術の仕様を定めて標準規格の一つ。 ## 802.1x IEEE 802.1Xは、有線／無線のEthernetで認証システム（正確に書けばPort-Based Network Access Control）を構築するための標準規格である。

[rainit2006]

Network convergence

Network convergence refers to the provision of telephone, video and data communication services within a single network. In other words, one company provides services for all forms of communication. Network convergence is primarily driven by development of technology and demand.

FTP, TFTP, FTPS

• tftp(Trivial File Transfer Protocol)・・・ftpよりさらに単純。ユーザ認証もなし。
• sftp(Secure File Transfer Protocol)・・・ftpをssh 内で行う。セキュリティ有り。
• FTPS(File Transfer Protocol over SSL/TLS): FTPの脆弱性をカバーするために、転送される情報を「SSL/TLS」を利用して暗号化するプロトコルのことです。

[rainit2006]

IEEE 802.3

以太网（Ethernet）

IEEE 802.1

• IEEE 802.1AR ‐ セキュアデバイス
• IEEE 802.1AS ‐ 時刻同期 (AVブリッジ)

802.1i

IEEE 802.11iとは、Wi-Fi（無線LAN）における通信の暗号化や認証など、セキュリティ技術の仕様を定めて標準規格の一つ。

802.1x

IEEE 802.1Xは、有線／無線のEthernetで認証システム（正確に書けばPort-Based Network Access Control）を構築するための標準規格である。

IEEE 802.11i

IEEE 802.11iとは、Wi-Fi（無線LAN）における通信の暗号化や認証など、セキュリティ技術の仕様を定めて標準規格の一つ。2004年6月にIEEEによって策定された。

従来のWEPによる暗号化が脆弱であることから、新たな暗号化の標準としてTKIP（Temporal Key Integrity Protocol）やAES（Advanced Encryption Standard）、CCMP（Counter mode with CBC-MAC Protocol）などの技術が採用された。

利用者や機器の認証方式として、有線LANや通信サービスにも用いられるEAP（Extensible Authentication Protocol）およびIEEE 802.1Xが採用された。これにより認証情報をより安全に交換でき、大規模ネットワークにおいて認証サーバによる認証の一元管理が可能となった。

業界団体のWi-Fi Allianceでは、IEEE 802.11iのドラフト版（草案）の仕様を元に2002年にWPA（Wi-Fi Protected Access）を、完成した規格の仕様を元に2004年にWPA2（Wi-Fi Protected Access 2）を策定し、対応機器の試験や認証を行っている。

802.11 规格

新名称	規格名	最大通信速度	周波数
Wi-Fi 6	IEEE 802.11ax	9.6Gbps	2.4GHz帯/5GHz帯
Wi-Fi 5	IEEE 802.11ac	6.9Gbps	5GHz帯
Wi-Fi 4	IEEE 802.11n	600Mbps	2.4GHz帯/5GHz帯
--	IEEE 802.11g	54Mbps	2.4GHz帯
--	IEEE 802.11a	54Mbps	5GHz帯
--	IEEE 802.11b	11Mbps	2.4GHz帯
--	IEEE 802.11	2Mbps	2.4GHz帯

WPA/WPA2认证

WPA认证基本是最常见的一种无线接入认证方式，其版本分为WPA和WPA2，二者的区别在于加密算法：WPA使用TKIP，而WPA2使用AES。WPA和WPA2指的是版本上的区别，目前WPA3已经在2018年发布，其目的也是取代WPA2。

WPA包括两种认证：WPA/WPA2-PSK（即WPA/WPA2-个人）、WPA/WPA2-802.1x（即WPA/WPA2-企业）。WPA-个人版是我们生活中家用WiFi最常用的一种认证方式，而802.1x认证的方式通常存在于企业等大型网络认证，因为其需要特定的802.1x认证服务器，但就安全性而言802.1x认证方式要强很多，几乎是几种安全认证中最强的。

[rainit2006]

WAN

Category

1. dedicated line: always on and waiting for traffic.
2. nondedicated line：
   • Standard moderm，
   • DSL（upgrade telephone network）：ADSL, xDSL, CDSL, HDSL, SDSL, RASDSL, IDSL, and VDSL
   • ISDN：fully digital telephone network.
     Two format: (1)BRI: two B channels and D channel
     (2)PRI: 64kbpsのデータチャネルが23個 + D channel Primary Rate Interface, can use between 2 and 23 64 Kbps channels, with a maximum potential bandwidth of 1.544 Mbps. Actual speeds will be lower due to the D channel, which can’t be used for actual data transmission

WAN Connection Technologies

Devices: WAN switch, CSU/DSU Technologies:

X.25:

older packet-switching technology, use PVC(Permanent Virtual Circuit)s.

Frame Relay:

• unlike X.25, Frame Relay supports multiple PVCs over a single WAN carrier service connection.
• packet-switching technology that also uses PVCs.
• Layer2. uses packet-switching technology to establish virtual circuits between communication endpoints.
• Cost is primarily based on the amount of data transferred.
• Committed information rate (CIR): the guaranteed minimum bandwidth.
• Replaced by MPLS.

  ATM:

• a cell-switching WAN communication technology.
• Use of fixed-length cells(53 bytes).
• ATM can use either PVCs or SVCs.
• ATM providers can guarantee a minimum bandwidth and a specific level of quality to their leased services.
• ATM is now an older technology that is being phased out

  SMDS (Switched Multimegabit Data Service)

• a connectionless packet-switching technology.
• SMDS is used to connect multiple LANs to form a metropolitan area network (MAN) or a WAN.
• SMDS supports high-speed bursty traffic and bandwidth on demand. It fragments data into small transmission cells.

  SDH, SONET:

• fiber-optic high-speed networking standards.
• SDH and SONET are mostly hardware or physical layer standards.
• use synchronous time-division multiplexing (TDM).
• SDH and SONET both support mesh and ring topologies

Specialized Protocols

• Synchronous Data Link Control (SDLC)
• High-Level Data Link Control (HDLC)
• Dial-Up Encapsulation Protocols The Point-to-Point Protocol (PPP) is an encapsulation protocol designed to support the transmission of IP traffic over dial-up or point-to-point links.

[rainit2006]

SDN（Software-defined network）

是一种思想，是为了实现网络控制平面和数据平面解耦的技术统称。实现数控分离。 在传统网络中，控制平面功能是分布式的运行在各个网络节点中的，如果想支持一个新的网络功能，就必须将所有网络设备进行升级，这极大地限制了网络创新，更不符合云计算网络中快速变更和迭代的需求。数控分离后，数据平面只需要关注通用的转发，尽可能的利用各种技术提高封包、拆包和转发的速率，控制平面则专注于抉择转发路径，同时扩展、迭代新功能以便支持业务需求。

• 所爱隔山海，山海难平——浅谈SDN： https://www.sdnlab.com/24294.html
• 8年SDN之路的回顾总结：https://www.sdnlab.com/23681.html

Software-defined networking(SDN) separates the control plane from the data plane. Network devices then do not contain complex logic themselves but receive instructions from the SDN.

Centralized SDN Controller Architecture

## Openflow ONF（Open Networking Foundation）が策定しているプロトコルで、 「送信元 / 宛先MACア ドレス」や「プロトコル」 など、 レイヤー1からレイヤー4までの情報を使って、経路制御が可能なプロトコルです。 CプレーンとDプレーンを分離して、 Cプレーンをネットワーク機器から分離します。 ## SD-WAN https://zhuanlan.zhihu.com/p/87281219 ## SAN FC是部署最多的SAN协议了，大家都很熟悉。iSCSI和FCoE都运行在以太网上，因此可以帮助企业节省IT架构的投入成本和复杂度。特别是iSCSI，可以直接沿用企业现有的IT架构，对很多中小型企业这是不可忽视的优势。 ### iSCSI Small Computer System Interface (iSCSI) is a networking storage standard based on IP. This technology can be used to enable location- independent file storage, transmission, and retrieval over LAN, WAN, or public internet connections. iSCSI is often viewed as a low-cost alternative to Fibre Channel. ### FCoE FCoE（Fibre Channel over Ethernet）とは、SAN（Storage Area Network）とLAN（Local Area Network）をイーサネットで統合することを目的に考え出されたプロトコルで、ANSI T11委員会において標準化が完了しています。 FCoE是FC跑在以太网，是为了解决FC-SAN的課題： - 大規模なシステムでは、LANのほかにストレージ用のネットワークであるSANも構築しなければならず、ネットワーク構成が複雑になっていました。複雑なネットワーク構成は、コストや消費電力にも影響します。 - 例えば、サーバにはEthernetのLANボードとFC-SANに接続するためにHBA（Host Bus Adapter）が必要です。冗長化させると、各ボードが2枚ずつ、合計4枚の搭載が求められ、4本のケーブルが差し込まれます。 iSCSIは小規模なネットワークに、FCoEはデータセンターなど大規模なネットワークに使用されていくでしょう。 ### SAN vs NAS SANはStorage Area Networkの略。**ブロックストレージ**専用の高速ネットワークです。 ブロックストレージ: NASはNetwork Attached Storageの略。ストレージは**ファイルストレージ**で、イーサネットに接続されます。 ファイルストレージ:

[rainit2006]

RADIUS

https://www.designet.co.jp/faq/term/?id=UkFESVVT44K144O844OQ

認証方式

従来、RADIUSサーバでよく使われていた認証方式は、PAPとCHAPです。

• PAPは、単純にユーザ名とパスワードを送ります（暗号化せず）。
• CHAPは、RADIUSクライアントとRADIUSサーバの両方で、パスワードを同じ方法で処理し、結果をつき合わせる方式です。 このパスワードの処理には非可逆の暗号方式が使われます。

  通信的暗号化

  RADIUSサーバ側のSSL証明書だけを使って、通信経路を暗号化するEAP-PEAPという拡張暗号方式もよく使われています。

  Software

  OSSのFreeRADIUS。 Red Hat Enterprise Linuxなどにも同梱されていて、比較的簡単に入手することができます。

[rainit2006]

メールプロトコルの概要: STMP, POP3, IMPA, MIME

https://docs.grapecity.com/help/securemail-dotnet-4/MailProtocolsOverview.html https://docs.grapecity.com/help/securemail-dotnet-4/BriefHistory.html

現在の E メールモデルは、SMTP、POP、IMAP、MIME（およびその他の数多くの技術）の複合体です。メッセージ送信には SMTP が、受信側メールサーバー上で、ダウンロードを待つメッセージをキューイングするには POP が、受信側メールサーバー上でメッセージを保管し、サーバー側からの操作を可能にするためには IMAP が、ASCII 以外のデータの送信方法を定義するには MIME がそれぞれ使用されています。次の図は、この関係を示します。

Email Security Solutions

Secure Multipurpose Internet Mail Extensions (S/MIME)

an email security standard that offers authentication and confidentiality to email through public key encryption and digital signatures. Authentication is provided through X.509 digital certificates. Privacy is provided through the use of Public Key Cryptography Standard (PKCS) encryption.

Two types of messages can be formed using S/MIME: signed messages and secured enveloped messages. A signed message provides integrity, sender authentication, and nonrepudiation. An enveloped message provides integrity, sender authentication, and confidentiality.

MIME Object Security Services (MOSS)

provide authentication, confidentiality, integrity, and nonrepudiation for email messages. MOSS employs Message Digest 2 (MD2) and MD5 algorithms; Rivest–Shamir–Adleman (RSA) public key; and Data Encryption Standard (DES) to provide authentication and encryption services.

Privacy Enhanced Mail (PEM)

an email encryption mechanism that provides authentication, integrity, confidentiality, and nonrepudiation. PEM uses RSA, DES, and X.509.

DomainKeys Identified Mail (DKIM)

a means to assert that valid mail is sent by an organization through verification of domain name identity. 用来确保发件人地址真实存在，邮件内容未被篡改。

Pretty Good Privacy (PGP)

a public- private key system that uses a variety of encryption algorithms to encrypt files and email messages.

Sender Policy Framework (SPF)

To protect against spam and email spoofing. SPF operates by checking that inbound messages originate from a host authorized to send messages by the owners of the SMTP origin domain.

历史

1. 先产生的PEM （只能适用于text格式）
2. 随着MIME的出现，发展出了MOSS。 MOSS和PEM一样，需要发行证书，所以并没有被广泛的应用。
3. PGP的出现，支持MIME，并且不需要第三方发行证书
4. S/MIME，目标建立标准化
5. PGP发展成Open PGP也目标于标准化。至今Open PGP和S/MIME并存。 https://i.impressrd.jp/files/images/bn/pdf/im199811-306-SemiMIME.pdf

DKIM， SPF， DMARC

DKIM和DMARC以及SPF一样，都是用来防止在邮件中进行网络钓鱼攻击的主要方法。

SPF: 判断邮件来源的IP DKIM： 原理是由发送域的邮件服务器在邮件中添加数字签名，收件方通过数字签名判断邮件是否被修改。 DMARC： 将确认收件栏中的邮箱是否和SPF以及DKIM中的邮件域是否相匹配。SPFやDKIMの認証が失敗した場合の対応策を定めたもの。送信側は受信側の認証失敗時の推奨アクションをDNSに「DMARCポリシー」として宣言しておき、受信側は認証失敗時にこのDMARCポリシーを参照して、受信メールをどう扱う（拒绝，隔离，接受）か判断します。

这三种方法都是基于DNS来提供策略的，即域的所有者需要将域中所需要的策略添加到DNS设置的特殊的SPF当中。

DKIM

DKIMでは電子署名を使って認証を行います。

DKIM では、送信側のドメインの DNS サーバーに署名に利用する公開鍵を公開します。そして送信サーバーでメールに電子署名できように設定します。 ### SPF（Sender Policy Framework） SPF: 送信元メールサーバのIPアドレスで判別  ### DMARC これはSPFやDKIMの認証が失敗した場合の対応策を定めたもの。送信側は受信側の認証失敗時の推奨アクションをDNSに「DMARCポリシー」として宣言しておき、受信側は認証失敗時にこのDMARCポリシーを参照して、受信メールをどう扱うか判断します。  ### Sender ID： ユーザが意図せずマルウェアをダウンロードしたり、ログイン情報を迷惑メール業者に渡してしまうのを防ぐために、Microsoftにより開発されました。Sender IDでメールを認証することで、氾濫する迷惑メールの中から正当なメールをより分けることができます。Sender IDはすでに時代遅れだという意見もあります。

[rainit2006]

NAT

一般来说都是由私网内主机主动发起连接，数据包经过NAT地址转换后送给公网上的服务器，连接建立以后可双向传送数据，NAT设备允许私网内主机主动向公网内主机发送数据,但却禁止反方向的主动传递，但在一些特殊的场合需要不同私网内的主机进行互联（例如P2P软件、网络会议、视频传输等），TCP穿越NAT的问题必须解决。

UDP hole punching

http://www.wata-lab.meijo-u.ac.jp/file/seminar/2006/2006-SEMI2-Yutaka_Miyazaki.pdf ### STUN STUN（Session Traversal Utilities for NAT，NAT会话穿越应用程序）是一种网络协议，它允许位于NAT（或多重NAT）后的客户端找出自己的公网地址，查出自己位于哪种类型的NAT之后以及NAT为某一个本地端口所绑定的Internet端端口。这些信息被用来在两个同时处于NAT路由器之后的主机之间创建UDP通信。 是不是感觉STUN干的活儿非常熟悉，没错，STUN负责的就是前面提到的Server1所做的内容。只不过STUN协议还具备另一个关键功能，就是确认Client的NAT类型（网络类型）。 ### TURN TURN（全名Traversal Using Relay NAT），是一种数据传输协议（data-transfer protocol）。允许在TCP或UDP的连接跨越NAT或防火墙。 TURN是一个client-server协议。TURN的NAT穿透方法与STUN类似，都是通过获取应用层中的公有地址达到NAT穿透。但实现TURN client的终端必须在通信开始前与TURN server进行交互，并要求TURN server产生"relay port"，也就是relayed-transport-address。这时TURN server会创建peer，即远程端点（remote endpoints），开始进行中继（relay）的动作，TURN client利用relay port将数据发送至peer，再由peer转传到另一方的TURN client。 ### ICE 交互式连接创建（Interactive Connectivity Establishment），一种综合性的NAT穿越的技术。 交互式连接创建是由IETF的MMUSIC工作组开发出来的一种framework，可集成各种NAT穿透技术，如STUN、TURN（Traversal Using Relay NAT，中继NAT实现的穿透）、RSIP（Realm Specific IP，特定域IP）等。该framework可以让SIP的客户端利用各种NAT穿透方式打穿远程的防火墙。 ### Skype 高效连接的秘密 https://www.atmarkit.co.jp/fwin2k/experiments/skype02/skype02_03.html

[rainit2006]

Wireless network Mode

Ad hoc mode

peer-to-peer mode, independent mode, IBSS ( Independent Basic Service Set ) Don't require AP(access point).

### infrastructure mode Requires AP(access point) - stand-alone mode the wireless access point connect wireless clients to each other but not to any wired resources - wired extension mode the wireless access point acts as a connection point to link the wireless clients to the wired network - enterprise extended mode multiple wireless access points (WAPs) are used to connect a large physical area to the same wired network. - bridge mode a wireless connection is used to link two wired networks.

[rainit2006]

DNS poisoning， DNS spoofing， ARP spoofing

• DNS poisoning occurs when an attacker changes the domain name to IP address mappings of a system to redirect traffic to alternate systems.
• DNS spoofing occurs when an attacker sends false replies to a requesting system, beating valid replies from the actual DNS server.
• ARP spoofing provides a false hardware address in response to queries about an IP. ARP spoofing is often done to replace a target’s cache entry for a destination IP, allowing the attacker to conduct a man-in-the-middle attack.
• Cain & Abel is a powerful Windows hacking tool, but a Cain attack is not a specific type of attack.

Teardrop attack：

A teardrop attack uses fragmented packets to target a flaw in how the TCP stack on a system handles fragment reassembly. If the attack is successful, the TCP stack fails, resulting in a denial of service. パケットの分割と再構築の機能を悪用したDos攻撃の一種です。 パケットを再構築する際に参照するフラグメントオフセットの値を改ざんすることで受信側のIPモジュールに異常動作を起こさせてサービスを不能状態にしてしまう攻撃をTeardropといいます。 最大伝送単位(MTU)を超えるパケットは分割されて送信されるが、分割されたパケットを組み立てるためのオフセット情報に故意に不整合な値をセットし、送信先のコンピュータを誤動作させる攻撃。

Christmas tree

Christmas tree attacks set all of the possible TCP flags on a packet, thus “lighting it up like a Christmas tree. 参考：https://medium.com/cryptogennepal/did-you-know-about-the-xmas-attack-c6daae776a0e

SYN flood attack

DoS攻撃（サービス拒否攻撃）のひとつ。SYN flood 攻撃は、 TCP接続時にACK返答の操作を意図的に行わないようにして、サーバを「中途半端な」状態にすることである。SYN flood攻撃をおこなう (悪意ある) クライアントは、サーバに大量の SYN パケットを送ったあと、サーバから返された SYN ACK パケットを無視して、そのまま放置する。

対策：SYN proxies，which limit the number of open and abandoned network connections. The SYN proxy is a piece of software that resides between the sender and receiver, and only sends TCP traffic to the receiving system if the TCP handshake process completes successfully.

Crosstalk

Crosstalk occurs when data transmitted on one set of wires is picked up on another set of wires.

SPIT

Spam over Internet Telephony (SPIT) attacks against VoIP.

[rainit2006]

Screen scrapers

• Screen scrapers copy the actual screen displayed and display it at a remote location.

RDP

• RDP provides terminal sessions without doing screen scraping, remote node operation is the same as dial-up access.
• RDPとは、サーバコンピュータの画面をネットワークを通じて別のコンピュータ（クライアント）に転送して表示・操作するリモートデスクトップあるいは仮想デスクトップで、サーバとクライアントの通信に用いられる通信プロトコル（通信規約）の一つ

Remote control

• Remote control is a means of controlling a remote system (screen scraping is a specialized subset of remote control).

Secure RPC (SRPC)

Basic RPC does not have authentication capabilities, which allows for masquerading attacks to take place. Secure RPC (SRPC) can be implemented, which requires authentication to take place before remote systems can communicate with each other. Authentication can take place using shared secrets, public keys, or Kerberos tickets.

RPC 呢，是 Remote Procedure Call Protocol 的简写，它可以实现客户端像调用本地服务(方法)一样调用服务器的服务(方法)。而 RPC 可以基于 TCP/UDP，也可以基于 HTTP 协议进行传输的。

[rainit2006]

Routing Protocols

• Distance-vector protocols use metrics including the direction and distance in hops to remote networks to make decisions. 隣接するルータ間でルーティングテーブル（経路表）を交換し合い、どの隣接ルータを経由すれば最短のホップ数で宛先に届くかを基準に経路を指定する方式。RIPやIGRPなどが採用している。

  RIP

  RIP（Routing Information Protocol ，路由信息协议），是应用较早使用较为普遍的内部网关协议（Internal Gateway Protocol ， 简称IGP）。是基于UDP，端口520的应用层协议。 适用范围：小型同类网络，是典型的距离矢量协议 距离：[ --R1------R2------2.2.2.0/24 ] 如图，对于路由器R1来说发送数据包到达2.2.2.0/24网段，就有1跳（距离）。 矢量：也就是方向的意思，也就是路由器应该往哪个方向或者说是使用哪个接口转发数据包。 https://zhuanlan.zhihu.com/p/110599663 https://www.zhihu.com/question/62872429

• A link-state routing protocol considers the shortest distance to a remote network. どのルータとどのルータが隣接しているかという接続情報（リンクステート）を交換し合い、この情報の集合に基づいて経路を選択する方式(この接続情報を元に、宛先までの最短の経路を探索して経路を決定する。)。OSPFやIS-ISなどが採用している。 OSPF比RIP强大的地方是，OSPF对整网的拓扑结构了如指掌，一旦某一条路径断了，可以及时选择备份链路，对通信的影响小。

[rainit2006]

Baseband and Broadband Cables

XXyyyyZZ.

• XX represents the maximum speed the cable type offers, such as 10 Mbps for a 10Base2 cable.
• yyyy, represents the baseband or broadband aspect of the cable, such as baseband for a 10Base2 cable.
• ZZ, either represents the maximum distance the cable can be used or acts as shorthand to represent the technology of the cable

[rainit2006]

war driving

ウォードライビング (war driving) は、自動車などで移動しながら無線LANのアクセスポイント（AP）を探す行為である。 Warbiking, warcycling, warwalking and similar use the same approach but with other modes of transportation.

site survey

the process of investigating the presence, strength, and reach of wireless access points deployed in an environment.

evil twin attack

An evil twin attack is a hack attack in which a hacker sets up a fake Wi-Fi network that looks like a legitimate access point to steal victims’ sensitive details.

[rainit2006]

RFC 1918

RFC 1918 defines the following address ranges as private,

• 10.0. 0.0/8 (addresses 10.0. 0.0 through 10.255. 255.255 inclusive)
• 172.16. 0.0/12 (addresses 172.16. 0.0 through 172.31. 255.255 inclusive)
• 192.168. 0.0/16 (addresses 192.168. 0.0 through 192.168.255.255）

lookback address

The IP address 127.0.0.1 is a loopback address and will resolve to the local machine.
127.0.0.1 is a public address, non-RFC 1918, non-reserved addresses. ループバックアドレスはネットワーク上において自分自身を表す仮想的なアドレスであり、IPv4においては「127.0.0.1」、IPv6においては「::1」（0:0:0:0:0:0:0:1）が使われる。また、ホスト名としては慣用的に「localhost」が用いられる。 所以可以执行“ping 127.0.0.1”来检测自己PC的TCP/IP通信是否有效。

APIPA address

An APIPA address is a self-assigned address used when a DHCP server cannot be found. APIPA（Automatic Private IP Addressing，Auto IP） 169.254.0.0到169.254.255.255是B类网中保留地址，不是RFC 1918定义的私有地址。 如果你的IP地址是自动获取IP地址，而你在网络上又没有找到可用的DHCP服务器，这时你将会从169.254.0.1到169.254.255.254中临时获得一个IP地址。 如果系统里存在DHCP服务器的时候，APIPA是一个DHCP故障转移机制。当DHCP服务器出故障时， APIPA在169.254.0.1到 169.254.255.254的私有空间内分配地址，所有设备使用默认的网络掩码255.255.0.0。客户机调整它们的地址使用它们在使用ARP的局域网中是唯一的。APIPA可以为没有DHCP服务器的单网段网络提供自动配置TCP/IP协议的功能。

[rainit2006]

T-Carrier and E-Carrier

AT&T designed its T-carrier system to allow the grouping of individual channels together into larger units. A T2 line, for example, consists of four aggregated T1 lines. Similarly, a T3 line consists of 28 T1 lines. The system defined five levels — T1 through T5:

Name	Capacity (maximum data rate)	T1 multiples
T1	1.544 Mbps	1
T2	6.312 Mbps	4
T3	44.736 Mbps	28
T4	274.176 Mbps	168
T5	400.352 Mbps	250

[rainit2006]

[rainit2006]

Captive portal

中文通常译作“强制主页”或“强制登录门户”。是一个登录Web页面，通常由网络运营商或网关在用户能够正常访问互联网之前拦截用户的请求并将一个强制登录或认证主页呈现（通常是通过浏览器）给用户。该页面可能要求用户输入认证信息、支付、接受某些条款或者其他用户授权等，随后用户才能被授权访问互联网。该技术广泛用于移动和个人宽带服务，包括有线电视、商业WiFi、家庭热点等，也可用于访问企业和住宅区有线网络。 https://www.jianshu.com/p/b4da31480f2c

[rainit2006]

SSID

SSIDとは、無線LAN（Wi-Fi）におけるアクセスポイントの識別名。 混信を避けるために付けられる名前で、最大32文字までの英数字を任意に設定できる。 同一のネットワークで複数のアクセスポイントを設置する場合を考慮してネットワーク識別名に拡張したものをESSID（Extended SSID：拡張SSID）という。 Many modern wireless routers can provide multiple SSIDs.

[rainit2006]

• Latency is a delay in the delivery of packets from their source to their destination.
• Jitter is a variation in the latency for different packets.
• Packet loss is the disappearance of packets in transit that requires retransmission.
• Interference is electrical noise or other disruptions that corrupt the contents of packets.
• Tarpit: A tarpit is commonly a piece of software configured to emulate a vulnerable, running service. Once the attackers start to send packets to this “service,” the connection to the victim system seems to be live and ongoing, but the response from the victim system is slow and the connection may time out.

[rainit2006]

SASL (Simple Authentication and Security Layer)

Simple Authentication and Security Layer (SASL) is a protocol-independent authentication framework. It is a framework for authentication and data security in Internet protocols. It decouples authentication mechanisms from application protocols, with the goal of allowing any authentication mechanism supported by SASL to be used in any application protocol that uses SASL. SASL’s design is intended to allow new protocols to reuse existing mechanisms without requiring redesign of the mechanisms, and allows existing protocols to make use of new mechanisms without redesign of protocols. This means that any protocol that knows how to interact with SASL can use its various authentication mechanisms without having to actually embed the authentication mechanisms within its code.

SASL 为应用程序和共享库的开发者提供了用于验证、数据完整性检查和加密的机制。 开发者可通过 SASL 对通用 API 进行编码。 此方法避免了对特定机制的依赖性。 SASL 特别适用于使用POP3， IMAP、SMTP、ACAP 和 LDAP 协议的应用程序，因为这些协议全都支持 SASL。 RFC 2222 中对 SASL 进行了介绍。

SSLとSASLの明らかな違いは、SSLが証明書に基づいて認証を行うためにバインドされているのに対し、SASLではさまざまなメカニズムを選択してクライアントを認証できることです。 SASLでは、GSSAPI、Kerberos、NTLMなどの使用を選択できます。

SASL并不是一种协议，只是提供给应用和共享库的开发者一种认证、数据完整性校验和加密的机制的框架。

[rainit2006]

Session layer

Dialog Control 对话控制

This layer allows two systems to start communication with each other in half-duplex or full-duplex.

Token Management:

This layer prevents two parties from attempting the same critical operation at the same time.

Synchronization :

This layer allows a process to add checkpoints which are considered as synchronization points into stream of data.

[rainit2006]

Unified threat management (UTM)

Unified threat management (UTM) appliance products have been developed that provide all (or many) of these functionalities in a single network appliance. The goals of UTM are simplicity, streamlined installation and maintenance, centralized control, and the ability to understand a network’s security from a holistic point of view.

統合脅威管理は、コンピュータウイルスやハッキングなどの脅威からコンピュータネットワークを効率的かつ包括的に保護する管理手法。 ファイアウォール、VPN、アンチウイルス、不正侵入防御、コンテンツフィルタリング、アンチスパムなどの機能をセキュリティアプライアンスとしてゲートウェイ1台で処理する。

[rainit2006]

VLAN

network switch

The assignment of endpoint systems to VLANs is normally performed by a network switch.

VLAN hopping attack

https://networklessons.com/cisco/ccnp-switch/vlan-hopping https://en.wikipedia.org/wiki/VLAN_hopping VLAN Hopping is an attack where the attacker is able to send traffic from one VLAN into another. There are two different methods to accomplish this: 攻击技术1：交换欺骗 (Switch spoofing) 攻击技术2：双重标记 (Double tagging)

802.1Q:

IEEE 802.1Q, often referred to as Dot1q, is the networking standard that supports virtual LANs (VLANs) on an IEEE 802.3 Ethernet network. The standard defines a system of VLAN tagging for Ethernet frames and the accompanying procedures to be used by bridges and switches in handling such frames.

VXLAN

https://www.zhihu.com/topic/20214278/top-answers VXLAN 有几个常见的术语： VTEP（VXLAN Tunnel Endpoints，VXLAN 隧道端点） VXLAN 网络的边缘设备，用来进行 VXLAN 报文的处理（封包和解包）。VTEP 可以是网络设备（比如交换机），也可以是一台机器（比如虚拟化集群中的宿主机）。

VNI（VXLAN Network Identifier，VXLAN 网络标识符） VNI 是每个 VXLAN 段的标识，是个 24 位整数，一共有 $2^{24} = 16777216$（一千多万），一般每个 VNI 对应一个租户，也就是说使用 VXLAN 搭建的公有云可以理论上可以支撑千万级别的租户。

Tunnel（VXLAN 隧道） 隧道是一个逻辑上的概念，在 VXLAN 模型中并没有具体的物理实体向对应。隧道可以看做是一种虚拟通道，VXLAN 通信双方认为自己是在直接通信，并不知道底层网络的存在。从整体来说，每个 VXLAN 网络像是为通信的虚拟机搭建了一个单独的通信通道，也就是隧道。

上图所示为 VXLAN 的工作模型，它创建在原来的 IP 网络（三层）上，只要是三层可达（能够通过 IP 相互通信）的网络就能部署 VXLAN。在 VXLAN 网络的每个端点都有一个 VTEP 设备，负责 VXLAN 协议报文的解包和封包，也就是在虚拟报文上封装 VTEP 通信的报文头部。 物理网络上可以创建多个 VXLAN 网络，可以将这些 VXLAN 网络看成一个隧道，不同节点上的虚拟机/容器能够通过隧道直连。通过 VNI 标识不同的 VXLAN 网络，使得不同的 VXLAN 可以相互隔离。

overlay

オーバーレイ・ネットワーク (overlay network) とは、あるコンピュータネットワークの上に構築された別のコンピュータネットワークのことである。

underlay

インターネットなどの基盤となる、物理的に構築されたネットワークの総称。ルーター、サーバー、ケーブルなどで構成される。