一.虚拟网技术
虚拟网技术主要基于近年发展的局域网交换技术(ATM和以太网交换）。交换技术将传统的基于广播的局域网技术发展为面向连接的技术。因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。
由以上运行机制带来的网络安全的好处是显而易见的：信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。但是，虚拟网技术也带来了新的安全问题：
执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象。
基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置。
基于MAC的VLAN不能防止MAC欺骗攻击。
以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入（改变）问题。
但是，采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。因此，VLAN的划分最好基于交换机端口。但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。
网络层通讯可以跨越路由器，因此攻击可以从远方发起。IP协议族各厂家实现的不完善，因此，在网络层发现的安全漏洞相对更多，如IP sweep, teardrop, sync-flood, IP spoofing攻击等。
二.防火墙枝术
网络防火墙技术是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备.它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态.
防火墙产品主要有堡垒主机,包过滤路由器,应用层网关(代理服务器)以及电路层网关,屏蔽主机防火墙,双宿主机等类型.
虽然防火墙是保护网络免遭黑客袭击的有效手段,但也有明显不足:无法防范通过防火墙以外的其它途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击.
自从1986年美国Digital公司在Internet上安装了全球第一个商用防火墙系统,提出了防火墙概念后,防火墙技术得到了飞速的发展.国内外已有数十家公司推出了功能各不相同的防火墙产品系列.
防火墙处于5层网络安全体系中的最底层,属于网络层安全技术范畴.在这一层上,企业对安全系统提出的问题是:所有的IP是否都能访问到企业的内部网络系统如果答案是"是",则说明企业内部网还没有在网络层采取相应的防范措施.
作为内部网络与外部公共网络之间的第一道屏障,防火墙是最先受到人们重视的网络安全产品之一.虽然从理论上看,防火墙处于网络安全的最底层,负责网络间的安全认证与传输,但随着网络安全技术的整体发展和网络应用的不断变化,现代防火墙技术已经逐步走向网络层之外的其他安全层次,不仅要完成传统防火墙的过滤任务,同时还能为各种网络应用提供相应的安全服务.另外还有多种防火墙产品正朝着数据安全与用户认证,防止病毒与黑客侵入等方向发展.
1、使用Firewall的益处
保护脆弱的服务
通过过滤不安全的服务，Firewall可以极大地提高网络安全和减少子网中主机的风险。
例如，Firewall可以禁止NIS、NFS服务通过，Firewall同时可以拒绝源路由和ICMP重定向封包。
控制对系统的访问
Firewall可以提供对系统的访问控制。如允许从外部访问某些主机，同时禁止访问另外的主机。例如，Firewall允许外部访问特定的Mail Server和Web Server。
集中的安全管理
Firewall对企业内部网实现集中的安全管理，在Firewall定义的安全规则可以运用于整个内部网络系统，而无须在内部网每台机器上分别设立安全策略。如在Firewall可以定义不同的认证方法，而不需在每台机器上分别安装特定的认证软件。外部用户也只需要经过—次认证即可访问内部网。
增强的保密性
使用Firewall可以阻止攻击者获取攻击网络系统的有用信息，如Finger和DNS。
记录和统计网络利用数据以及非法使用数据
Firewall可以记录和统计通过Firewall的网络通讯，提供关于网络使用的统计数据，并且，Firewall可以提供统计数据，来判断可能的攻击和探测。
策略执行
Firewall提供了制定和执行网络安全策略的手段。未设置Firewall时，网络安全取决于每台主机的用户。
2、 设置Firewall的要素
网络策略
影响Firewall系统设计、安装和使用的网络策略可分为两级，高级的网络策略定义允许和禁止的服务以及如何使用服务，低级的网络策略描述Firewall如何限制和过滤在高级策略中定义的服务。
服务访问策略
服务访问策略集中在Internet访问服务以及外部网络访问（如拨入策略、SLIP/PPP连接等）。
服务访问策略必须是可行的和合理的。可行的策略必须在阻止己知的网络风险和提供用户服务之间获得平衡。典型的服务访问策略是：允许通过增强认证的用户在必要的情况下从Internet访问某些内部主机和服务；允许内部用户访问指定的Internet主机和服务。
Firewall设计策略
Firewall设计策略基于特定的firewall，定义完成服务访问策略的规则。通常有两种基本的设计策略：
允许任何服务除非被明确禁止；
禁止任何服务除非被明确允许。
通常采用第二种类型的设计策略。
3、 Firewall的基本分类
包过滤型
包过滤型产品是防火墙的初级产品,其技术依据是网络中的分包传输技术.网络上的数据都是以"包"为单位进行传输的,数据被分割成为一定大小的数据包,每一个数据包中都会包含一些特定信息,如数据的源地址,目标地址,TCP/UDP源端口和目标端口等.防火墙通过读取数据包中的地址信息来判断这些"包"是否来自可信任的安全站点 ,一旦发现来自危险站点的数据包,防火墙便会将这些数据拒之门外.系统管理员也可以根据实际情况灵活制订判断规则.
包过滤技术的优点是简单实用,实现成本较低,在应用环境比较简单的情况下,能够以较小的代价在一定程度上保证系统的安全.
但包过滤技术的缺陷也是明显的.包过滤技术是一种完全基于网络层的安全技术,只能根据数据包的来源,目标和端口等网络信息进行判断,无法识别基于应用层的恶意侵入,如恶意的Java小程序以及电子邮件中附带的病毒.有经验的黑客很容易伪造IP地址,骗过包过滤型防火墙.
网络地址转换(NAT)
是一种用于把IP地址转换成临时的,外部的,注册的IP地址标准.它允许具有私有IP地址的内部网络访问因特网.它还意味着用户不许要为其网络中每一台机器取得注册的IP地址.
在内部网络通过安全网卡访问外部网络时,将产生一个映射记录.系统将外出的源地址和源端口映射为一个伪装的地址和端口,让这个伪装的地址和端口通过非安全网卡与外部网络连接,这样对外就隐藏了真实的内部网络地址.在外部网络通过非安全网卡访问内部网络时,它并不知道内部网络的连接情况,而只是通过一个开放的IP地址和端口来请求访问.OLM防火墙根据预先定义好的映射规则来判断这个访问是否安全.当符合规则时,防火墙认为访问是安全的,可以接受访问请求,也可以将连接请求映射到不同的内部计算机中.当不符合规则时,防火墙认为该访问是不安全的,不能被接受,防火墙将屏蔽外部的连接请求.网络地址转换的过程对于用户来说是透明的,不需要用户进行设置,用户只要进行常规操作即可.
代理型
代理型防火墙也可以被称为代理服务器,它的安全性要高于包过滤型产品,并已经开始向应用层发展.代理服务器位于客户机与服务器之间,完全阻挡了二者间的数据交流.从客户机来看,代理服务器相当于一台真正的服务器;而从服务器来看,代理服务器又是一台真正的客户机.当客户机需要使用服务器上的数据时,首先将数据请求发给代理服务器,代理服务器再根据这一请求向服务器索取数据,然后再由代理服务器将数据传输给客户机.由于外部系统与内部服务器之间没有直接的数据通道,外部的恶意侵害也就很难伤害到企业内部网络系统.
代理型防火墙的优点是安全性较高,可以针对应用层进行侦测和扫描,对付基于应用层的侵入和病毒都十分有效.其缺点是对系统的整体性能有较大的影响,而且代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置,大大增加了系统管理的复杂性。
监测型监测型
防火墙是新一代的产品,这一技术实际已经超越了最初的防火墙定义.监测型防火墙能够对各层的数据进行主动的,实时的监测,在对这些数据加以分析的基础上,监测型防火墙能够有效地判断出各层中的非法侵入.同时,这种检测型防火墙产品一般还带有分布式探测器,这些探测器安置在各种应用服务器和其他网络的节点之中,不仅能够检测来自网络外部的攻击,同时对来自内部的恶意破坏也有极强的防范作用.据权威机构统计,在针对网络系统的攻击中,有相当比例的攻击来自网络内部.因此,监测型防火墙不仅超越了传统防火墙的定义,而且在安全性上也超越了前两代产品
虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙,但由于监测型防火墙技术的实现成本较高,也不易管理,所以在实用中的防火墙产品仍然以第二代代理型产品为主,但在某些方面也已经开始使用监测型防火墙.基于对系统成本与安全技术成本的综合考虑,用户可以选择性地使用某些监测型技术.这样既能够保证网络系统的安全性需求,同时也能有效地控制安全系统的总拥有成本.
实际上,作为当前防火墙产品的主流趋势,大多数代理服务器(也称应用网关)也集成了包过滤技术,这两种技术的混合应用显然比单独使用具有更大的优势.由于这种产品是基于应用的,应用网关能提供对协议的过滤.例如,它可以过滤掉FTP连接中的PUT命令,而且通过代理应用,应用网关能够有效地避免内部网络的信息外泄.正是由于应用网关的这些特点,使得应用过程中的矛盾主要集中在对多种网络应用协议的有效支持和对网络整体性能的影响上。
4、 建设Firewall的原则
分析安全和服务需求
以下问题有助于分析安全和服务需求：
√ 计划使用哪些Internet服务(如http，ftp，gopher)，从何处使用Internet服务(本地网，拨号，远程办公室)。
√ 增加的需要，如加密或拔号接入支持。
√ 提供以上服务和访问的风险。
√ 提供网络安全控制的同时，对系统应用服务牺牲的代价。
策略的灵活性
Internet相关的网络安全策略总的来说，应该保持一定的灵活性，主要有以下原因：
√ Internet自身发展非常快，机构可能需要不断使用Internet提供的新服务开展业务。新的协议和服务大量涌现带来新的安全问题，安全策略必须能反应和处理这些问题。
√ 机构面临的风险并非是静态的，机构职能转变、网络设置改变都有可能改变风险。
远程用户认证策略
√ 远程用户不能通过放置于Firewall后的未经认证的Modem访问系统。
√ PPP/SLIP连接必须通过Firewall认证。
√ 对远程用户进行认证方法培训。
拨入/拨出策略
√ 拨入/拨出能力必须在设计Firewall时进行考虑和集成。
√ 外部拨入用户必须通过Firewall的认证。
Information Server策略
√ 公共信息服务器的安全必须集成到Firewall中。
√ 必须对公共信息服务器进行严格的安全控制，否则将成为系统安全的缺口。
√ 为Information server定义折中的安全策略允许提供公共服务。
√ 对公共信息服务和商业信息(如email)讲行安全策略区分。
Firewall系统的基本特征
√ Firewall必须支持．“禁止任何服务除非被明确允许”的设计策略。
√ Firewall必须支持实际的安全政策，而非改变安全策略适应Firewall。
√ Firewall必须是灵活的，以适应新的服务和机构智能改变带来的安全策略的改变。
√ Firewall必须支持增强的认证机制。
√ Firewall应该使用过滤技术以允许或拒绝对特定主机的访问。
√ IP过滤描述语言应该灵活，界面友好，并支持源IP和目的IP，协议类型，源和目的TCP/UDP口，以及到达和离开界面。
√ Firewall应该为FTP、TELNET提供代理服务，以提供增强和集中的认证管理机制。如果提供其它的服务(如NNTP，http等)也必须通过代理服务器。
√ Firewall应该支持集中的SMTP处理，减少内部网和远程系统的直接连接。
√ Firewall应该支持对公共Information server的访问，支持对公共Information server的保护，并且将Information server同内部网隔离。
√ Firewall可支持对拨号接入的集中管理和过滤。
√ Firewall应支持对交通、可疑活动的日志记录。
√ 如果Firewall需要通用的操作系统，必须保证使用的操作系统安装了所有己知的安全漏洞Patch。
√ Firewall的设计应该是可理解和管理的。
√ Firewall依赖的操作系统应及时地升级以弥补安全漏洞。
5、选择防火墙的要点
(1) 安全性：即是否通过了严格的入侵测试。
(2) 抗攻击能力：对典型攻击的防御能力
(3) 性能：是否能够提供足够的网络吞吐能力
(4) 自我完备能力：自身的安全性，Fail-close
(5) 可管理能力：是否支持SNMP网管
(6) VPN支持
(7) 认证和加密特性
(8) 服务的类型和原理
(9)网络地址转换能力
三.病毒防护技术
病毒历来是信息系统安全的主要问题之一。由于网络的广泛互联，病毒的传播途径和速度大大加快。
我们将病毒的途径分为：
(1 ) 通过FTP，电子邮件传播。
(2) 通过软盘、光盘、磁带传播。
(3) 通过Web游览传播，主要是恶意的Java控件网站。
(4) 通过群件系统传播。
病毒防护的主要技术如下：
(1) 阻止病毒的传播。
在防火墙、代理服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。在桌面PC安装病毒监控软件。
(2) 检查和清除病毒。
使用防病毒软件检查和清除病毒。
(3) 病毒数据库的升级。
病毒数据库应不断更新，并下发到桌面系统。
(4) 在防火墙、代理服务器及PC上安装Java及ActiveX控制扫描软件，禁止未经许可的控件下载和安装。
四.入侵检测技术
利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险。但是，仅仅使用防火墙、网络安全还远远不够：
(1) 入侵者可寻找防火墙背后可能敞开的后门。
(2) 入侵者可能就在防火墙内。
(3) 由于性能的限制，防火焰通常不能提供实时的入侵检测能力。
入侵检测系统是近年出现的新型网络安全技术，目的是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复、断开网络连接等。
实时入侵检测能力之所以重要首先它能够对付来自内部网络的攻击，其次它能够缩短hacker入侵的时间。
入侵检测系统可分为两类：
√ 基于主机
√ 基于网络
基于主机的入侵检测系统用于保护关键应用的服务器，实时监视可疑的连接、系统日志检查，非法访问的闯入等，并且提供对典型应用的监视如Web服务器应用。
基于网络的入侵检测系统用于实时监控网络关键路径的信息，其基本模型如右图示：
上述模型由四个部分组成：
(1) Passive protocol Analyzer网络数据包的协议分析器、将结果送给模式匹配部分并根据需要保存。
(2) Pattern-Matching Signature Analysis根据协议分析器的结果匹配入侵特征，结果传送给Countermeasure部分。
(3) countermeasure执行规定的动作。
(4) Storage保存分析结果及相关数据。
基于主机的安全监控系统具备如下特点：
(1) 精确，可以精确地判断入侵事件。
(2) 高级，可以判断应用层的入侵事件。
(3) 对入侵时间立即进行反应。
(4) 针对不同操作系统特点。
(5) 占用主机宝贵资源。
基于网络的安全监控系统具备如下特点：
(1) 能够监视经过本网段的任何活动。
(2) 实时网络监视。
(3) 监视粒度更细致。
(4) 精确度较差。
(5) 防入侵欺骗的能力较差。
(6) 交换网络环境难于配置。
基于主机及网络的入侵监控系统通常均可配置为分布式模式：
(1) 在需要监视的服务器上安装监视模块(agent)，分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案。
(2) 在需要监视的网络路径上，放置监视模块(sensor),分别向管理服务器报告及上传证据，提供跨网络的入侵监视解决方案。
选择入侵监视系统的要点是：
(1) 协议分析及检测能力。
(2) 解码效率(速度)。
(3) 自身安全的完备性。
(4) 精确度及完整度，防欺骗能力。
(5) 模式更新速度。
五.安全扫描技术
网络安全技术中，另一类重要技术为安全扫描技术。安全扫描技术与防火墙、安全监控系统互相配合能够提供很高安全性的网络。
安全扫描工具源于Hacker在入侵网络系统时采用的工具。商品化的安全扫描工具为网络安全漏洞的发现提供了强大的支持。
安全扫描工具通常也分为基于服务器和基于网络的扫描器。
基于服务器的扫描器主要扫描服务器相关的安全漏洞，如password文件，目录和文件权限，共享文件系统，敏感服务，软件，系统漏洞等，并给出相应的解决办法建议。通常与相应的服务器操作系统紧密相关。
基于网络的安全扫描主要扫描设定网络内的服务器、路由器、网桥、变换机、访问服务器、防火墙等设备的安全漏洞，并可设定模拟攻击，以测试系统的防御能力。通常该类扫描器限制使用范围(IP地址或路由器跳数)。网络安全扫描的主要性能应该考虑以下方面：
(1) 速度。在网络内进行安全扫描非常耗时。
(2) 网络拓扑。通过GUI的图形界面，可迭择一步或某些区域的设备。
(3) 能够发现的漏洞数量。
(4) 是否支持可定制的攻击方法。通常提供强大的工具构造特定的攻击方法。因为网络内服务器及其它设备对相同协议的实现存在差别，所以预制的扫描方法肯定不能满足客户的需求。
(5) 报告，扫描器应该能够给出清楚的安全漏洞报告。
(6) 更新周期。提供该项产品的厂商应尽快给出新发现的安生漏洞扫描特性升级，并给出相应的改进建议。
安全扫描器不能实时监视网络上的入侵，但是能够测试和评价系统的安全性，并及时发现安全漏洞。
六. 认证和数宇签名技术
认证技术主要解决网络通讯过程中通讯双方的身份认可，数字签名作为身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可抵赖要求的实现。
认证技术将应用到企业网络中的以下方面：
(1) 路由器认证，路由器和交换机之间的认证。
(2) 操作系统认证。操作系统对用户的认证。
(3) 网管系统对网管设备之间的认证。
(4) VPN网关设备之间的认证。
(5) 拨号访问服务器与客户间的认证。
(6) 应用服务器(如Web Server)与客户的认证。
(7) 电子邮件通讯双方的认证。
数字签名技术主要用于：
(1) 基于PKI认证体系的认证过程。
(2) 基于PKI的电子邮件及交易(通过Web进行的交易)的不可抵赖记录。
认证过程通常涉及到加密和密钥交换。通常，加密可使用对称加密、不对称加密及两种加密方法的混合。
UserName/Password认证
该种认证方式是最常用的一种认证方式，用于操作系统登录、telnet、rlogin等，但由于此种认证方式过程不加密，即password容易被监听和解密。
使用摘要算法的认证
Radius(拨号认证协议)、路由协议(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要算法(MD5)进行认证，由于摘要算法是一个不可逆的过程，因此，在认证过程中，由摘要信息不能计算出共享的security key，敏感信息不在网络上传输。市场上主要采用的摘要算法有MD5和SHA-1。
基于PKI的认证
使用公开密钥体系进行认证和加密。该种方法安全程度较高，综合采用了摘要算法、不对称加密、对称加密、数字签名等技术，很好地将安全性和高效率结合起来。后面描述了基于PKI认证的基本原理。这种认证方法目前应用在电子邮件、应用服务器访问、客户认证、防火墙验证等领域。
该种认证方法安全程度很高，但是涉及到比较繁重的证书管理任务。
② SDN技术的应用场景
SDN技术的应用场景
SDN网络能力开放化的特点，使得网络可编程，易快捷提供的应用服务，网络不再仅仅是基础设施，更是一种服务，SDN的应用范围得到了进一步的拓展。下面是我带来的SDN的五大应用场景，希望对你有帮助!
针对网络的主要参与实体进行梳理后，SDN的应用场景基本聚焦到电信运营商、政府及企业客户、数据中心服务商以及互联网公司。关注的SDN应用场景主要聚焦在：数据中心网络、数据中心间的互联、政企网络、电信运营商网络、互联网公司业务部署。
场景1：SDN在数据中心网络的应用
数据中心网络SDN化的需求主要表现在海量的虚拟租户、多路径转发、VM(虚拟机)的智能部署和迁移、网络集中自动化管理、绿色节能、数据中心能力开放等几个方面。
SDN控制逻辑集中的特点可充分满足网络集中自动化管理、多路径转发、绿色节能等方面的要求;SDN网络能力开放化和虚拟化可充分满足数据中心能力开放、VM的智能部署和迁移、海量虚拟租户的需求。
数据中心的建设和维护一般统一由数据中心运营商或ICP/ISP维护，具有相对的封闭性，可统一规划、部署和升级改造，SDN在其中部署的可行性高。数据中心网络是SDN目前最为明确的应用场景之一，也是最有前景的应用场景之一。
场景2：SDN在数据中心互联的应用
数据中心之间互联网的网络具有流量大、突发性强、周期性强等特点，需要网络具备多路径转发与负载均衡、网络带宽按需提供、绿色节能、集中管理和控制的能力。如下图所示的SDN技术在多数据中心互联场景下的应用架构图所示，引入SDN的网络可通过部署统一的控制器来收集各数据中心之间的流量需求，进而进行统一的计算和调度、实施带宽的灵活按需分配、最大程度优化网络、提升资源利用率。
目前Google已经在其数据中心之间应用了SDN技术，将数据中心之间的链路利用率提升至接近100%，成效显着。
场景3：SDN在政企网络中的应用
政府及企业网络的业务类型多，网络设备功能复杂、类型多，对网络的安全性要求高，需要集中的管理和控制，需要网络的灵活性高，且能满足定制化需求。
SDN转发与控制分离的架构，可使得网络设备通用化、简单化。SDN将复杂的业务功能剥离，由上层应用服务器实现，不仅可以降低设备硬件成本，更可使得企业网络更加简化，层次更加清晰。同时，SDN控制的逻辑集中，可以实现企业网络的集中管理与控制，企业的安全策略集中部署和管理，更可以在控制器或上层应用灵活定制网络功能，更好满足企业网络的需求。
由于企业网络一般由企业自己的信息化部门复杂建设、管理和维护，具有封闭性，可统一规划、部署和升级改造，SDN部署的可行性高。
场景4：SDN在电信运营商网络的应用
电信运营商网络包括了宽带接入层、城域层、骨干层等层面。具体的网络还可分为有线网络和无线网络，网络存在多种方式，如传输网、数据网、交换网等。总的来说，电信运营商网络具有覆盖范围大、网络复杂、网络安全可靠性要求高、涉及的网络制式多、多厂商共存等特点。
SDN的转发与控制分离特点可有效实现设备的逐步融合，降低设备硬件成本。SDN的控制逻辑集中特点可逐步实现网络的集中化管理和全局优化，有效提升运营效率，提供端到端的`网络服务;SDN的网络能力虚拟化和开放化，也有利于电信运营商网络向智能化，开放化发展，发展更丰富的网络服务，增加收入。
例如NTT和德国电信都开始试验部署SDN，其中NTT搭建了很快日本和美国的试验环境，实现网恋过虚拟化，并故那里跨数据中心的WAN网络;而德国电信在云数据中心、无线、固定等接入环境使用SDN。
但是，SDN技术目前尚不够成熟，标准化程度也不够高。大范围、大量网络设备的管理问题，超大规模SDN控制器的安全性和稳定性问题，多厂商的协同和互通问题，不同网络层次/制式的协同和对接问题等均需要尽快得到解决。目前SDN技术在电信运营商网络大规模应用还难以实现，但可在局部网络或特定应用场景逐步使用，如移动回传网络场景、分组与光网络的协同场景等。
场景5：SDN在互联网公司业务部署中的应用
SDN即软件定义网络，然而笔者认为SDN的研究重点不应放在软件如何定义网络，而应在于如何开放网络能力。网络的终极意义在于为上层应用提供网络服务，承载上层应用。NaaS是网络的最终归宿。互联网公司业务基于SDN架构部署，将是SDN的重要应用场景。
SDN具有网络能力开放的特点，通过SDN控制器的北向接口，向上层应用提供标准化、规范化的网络能力接口，为上层应用提供网络能力服务。ICP/ISP可根据需要获得相应的网络服务，有效提升最终用户的业务体验。
国内企业如腾讯、网络等都在加快SDN的实验室部署，例如腾讯，利用SDN实现差异化的路径计算、流量控制和服务，为用户提供更好体验。
;③ 在“下一代网络”热潮中，中国SDN（软件定义网络）会怎么走
SDN，即Software-Defined Network（软件定义网络），由于传统的网络设备（交换机、路由器）的固件是由设备制造商锁定和控制，所以SDN希望将网络控制与物理网络拓扑分离，从而摆脱硬件对网络架构的限制。这样企业便可以像升级、安装软件一样对网络架构进行修改，满足企业对整个网站架构进行调整、扩容或升级。而底层的交换机、路由器等硬件则无需替换，节省大量的成本的同时，网络架构迭代周期将大大缩短。举个不恰当的例子，SDN技术就相当于把每人家里路由器的的管理设置系统和路由器剥离开。以前我们每台路由器都有自己的管理系统，而有了SDN之后，一个管理系统可用在所有品牌的路由器上。如果说现在的 网络系统是功能机，系统和硬件出厂时就被捆绑在一起，那么SDN就是 Android系统，可以在很多智能手机上安装、升级，同时还能安装更多更强大的手机App（SDN应用层部署）。昨天，中国第一届开放网络峰会在北京召开，参会商除了有网络、腾讯、阿里巴巴等互联网公司，还包括如NEC、NTT Communications等国内外一些运营商、软硬件公司。既然如此，就让我们从这次大会来看看，中国的SDN普及之路会怎么走？现状 在国内，SDN技术仍处在实验的阶段。作为从斯坦福出来的新兴网络技术，高校自然会更早的接触和研究这类技术。目前国内一些院校已经开始对SDN技术进行了大量的研究测试，比如清华研究院博士生亓亚烜介绍了清华SDN团队在架构、安全性、资源管理等方面的研究进程，到目前为止已经运行一年之久。而亓亚烜也和另外两位Founder成立了SDN相关服务公司，开始进入SDN技术商业应用之路。北邮院长张杰则称：到2016年，思科预测全球每年的IP流量将达到Zettabyte级别（1ZB=1024EB，1EB=1024PB）。所以他们也在利用SDN技术在尝试一种可大大减少网络流量的交换损耗的灵活光联网。另外上海交大的金耀辉教授在会上也介绍了他们在OpenStack中的SDN技术的使用情况，以及OpenStack中网络模块的实现效果等。对于SDN对现有网络的革命性改变，谁也不会否认。世纪互联顾问厉建宇称企业SDN网络部署能够提高网络利用率、简化网络交换设备、简化传统的CDN流量工程等，另外在成本、能耗等方面也都有较大的提高。国外包括Google、微软、Facebook等很多厂商都已经进入了部署阶段。NEC中国研究院院长杜军也介绍说他们已经开始了SDN相关的研发工作，其SDN相关产品在日本、美国都有了一些的客户。而作为 Open Networking Foundation（开放网络基金会）8位董事会成员之一NTT Communications，其SDN负责人Ito 则认为中国是全球业务中不可或缺的一部分，而且由于其本身和电信、联通、移动以及华为、中兴等SDN相关厂商一直有合作，所以他们很愿意在国内的SDN发展上起到一定的推动作用。尽管上面的NTT、NEC都有了一些SDN产品，但不得不承认，这些产品和技术都还没有进入中国。限于中国的特殊环境和大企业的保守，中国在普及SDN技术上还有一定的困难，包括运营商、网络服务商等都处在一种观望的状态，所以SDN普及还需时日。使用者态度 下午，腾讯、阿里巴巴、新浪、网络等国内互联网巨头也谈到了SDN对他们的意义。作为SDN技术的直接使用者，他们看到了SDN对硬件和网络设施的巨大影响，但毫不例外的是，大家也都谈到了现有的SDN技术还有很多问题需要解决。这四家公司都已经开始对SDN进行了相关研究，但发现目前使用SDN来构建IDC还是会遇到一些瓶颈，比如阿里提到的运营数据挖掘、故障诊断和及时修复、以及一次性购买成本等问题。当然，除了怀疑，国内互联网公司也在努力做相关的开发工作。其中网络就已有了几块成型的SDN产品，他们的Traffic Engineering系统就是基于SDN网络架构的产品，未来还会做出更多地尝试和SDN应用的产品。阻碍 美国ONF（开放网络基金会）去年才刚刚成立，SDN对于很多人来说还相当陌生。限于国内技术水平、国家政策和环境特殊性以及运营商的垄断地位，国内的SDN发展还没法和美国等国家相比。另外，由于SDN切断了网络硬件设备和网络系统的捆绑，所以从某种角度来讲，这对华为、中兴这些硬件制造商并不利。虽然他们不会阻止这种趋势，但目前国内还很难依靠他们来推动SDN的发展。而且由于国内的技术型创业公司极少，目前还很难有 Nicira、 Contrail Systems、 Xsigo这样优秀的SDN创业公司的出现。未来 就像锐捷网络产品研发总监刘茗说的那样：“参加了这次峰会之后，我仍然看不清楚未来。”SDN目前在国内仍然没有成功的应用案例，持怀疑态度的还是大有人在。所以要想让SDN快速发展起来，这仍然是一个很不轻松的过程。
④ 简述如何利用SDN技术解决网络安全问题
SDN的三个特征：
1、控制平面与数据平面的分离： 此处的分离是指控制平面与数据平面的解耦合。控制平面和数据平面之间不再相互依赖， 两者可以独立完成体系结构的演进， 双方只需要遵循统一的开放接口进行通信即可。 控制平面与数据平面的分离是 SDN 架构区别于传统网络体系结构的重要标志，是网络获得更多可编程能力的架构基础。
2、网络开放可编程： SDN 建立了新的网络抽象模型，为用户提供了一套完整的通用 API，使用户可以在控制器上编程实现对网络的配置、 控制和管理， 从而加快网络业务部署的进程。
3、逻辑上的集中控制： 主要是指对分布式网络状态的集中统一管理。 在 SDN 架构中，控制器会担负起收集和管理所有网络状态信息的重任。 逻辑集中控制为软件编程定义网络功能提供了架构基础，也为网络自动化管理提供了可能。
在这三个特征中，控制平面和数据平面分离为逻辑集中控制创造了条件，逻辑集中控制为开放可编程控制提供了架构基础，而网络开放可编程才是 SDN 的核心特征。
网络可视性将确保更好的网络监控。以安全为中心的SDN的范式包含五个基本属性，从数据平面解耦安全、监控和交换元件，这将允许企业更好地控制流经网络的流量。网络可视性将确保更好 的网络监控。简化的安全基础设施将提高网络的灵活性，从而更好地整合多种安全设备和解决方案。这种灵活性使企业能够将多个最佳安全解决方案编排为统一的优 化的防御层。另外，自动化配置不仅能够减少网络复杂性，还能够支持更好的访问管理。总而言之，这五个属性能够大大提高网络的安全性。
这种网络中的每个现有安全组件随后都可以分配为解决特定的风险和漏洞问题。这种网络作为一个整体，能够根据所检测到的威胁来调整自己的行为，转移可疑流 量、改变安全设备的响应，或者阻止数据包，所有这些操作几乎不需要人为干预。这种以安全为中心的SDN还能够承担多个安全工具的职责，抵御攻击
⑤ 在金融行业内网中，SDN/SD-WAN实现怎样的应用
可以参考这篇文章：金融业SDN应用策略
金融行业网络面对金融科技发展浪潮，必须结合自身实际，积极应对业务快速发展和变化的需要。SDN为未来金融业网络发展插上了智能和开放的翅膀，成为重构金融业数据中心网络和数据中心互联网络的重要技术。
一是主动适应传统数据中心向云数据中心、虚拟化数据中心发展趋势，积极引入SDN技术和思想，采用VXLAN等大二层技术，结合SDN控制器，实现多租户的云化、自动化运维的数据中心虚拟网络，大幅提升网络运维效率，支持更灵活和更便捷的业务发展需求。
二是基于金融业普遍“两地三中心”甚至多中心的格局，积极在数据中心间互联的广域网部分引入SDN技术，实现更加高效、便捷的广域网流量调度和运维管理，进一步提升广域网带宽价值。
三是尽量采用公有、标准化的SDN技术和产品，实现最广泛软硬件兼容，提升投资价值。
四是利用SDN全局视角特点，进一步采集各种流量、告警、状态等数据，结合大数据分析、人工智能等技术，分析应用流量和安全流量，逐步实现真正智能的SDN网络。
⑥ 华为认证分哪些
为匹配华为公司未来长期战略，紧随ICT技术演进趋势，华为于2019年1月2日起正式启动华为认证体系升级及相关更新工作。3月1日，华为发布华为认证全新体系，并执行新的进阶和重认证规则。
华为认证级别名称由原“HCNA、HCNP、HCIE”等9个升级为“HCIA、HCIP、HCIE”3个，其中新名称中“I”统一表示“ICT（Information and Communications Technology 信息通信技术）”
上面为最新的华为认证体系，华为认证会不断更新和升级，可以到智汇云校华为授权培训中心了解最新的华为认证。
⑦ SDN与NFV
VNF Descriptor (VNFD): 属于TOSCA标准的YMAL格式配置模板，主要描述了实例化一个VNF所需要的资源信息以及操作行为，主要用于VNF实例化以及生命周期管理。
NFV即Network Functions Virtualization（网络功能虚拟化），就是将传统的CT业务部署到云平台上（云平台是指将物理硬件虚拟化所形成的虚拟机平台，能够承载CT和IT应用），从而实现软硬件解耦合。
NFV的本质: 络设备的IT化和云化
在NFV架构下，以下哪些是IMS切新平台及虚拟化的价值？ abc
A 推动TTM大幅下降（Time To Market）
B 降低CAPEX/OPEX
C 提升网络灵活性和开放性
D 增加IMS系统新特性XXXXXXXXX
cordless telephone CT
VXLAN隧道支持跨数据中心建立
SDN云数据中心场景使用VXLAN作为转发隧道，对于BUM报文设备不会向所有的VXLAN隧道泛洪。
VXLAN集中式网关不适合大型的数据中心。
VXLAN隧道支持跨数据中心建立
在SDN云数据中心场景中，AC控制器通过什么协议向underlay网络中的设备下发配置？ Netconf
在SDN云网一体化场景中，AC控制器通过什么协议和OpenStack的Neutron实现对接？ Restful
BUM(Broadcast 广播,unknown unicast, multicast)报文
01 SDN概述与发展趋势
8.SDN网络与传统IP网络的区别？
SDN利用控制转发相互分离从架构上解决根本问题：让网络敏捷起来，更快的部署新业务与快速定位故障点。采用资源集中和统一调度、能力开放的策略；让软件来干硬件的活；
02 DCI: Data Center interconnect, 用于数据中心的互联网络
1什么是DCI？
未来超过80%的业务将部署在云上 我们云数据中心需要基于用户体验进行层次化布局，而网络则需要以数据中心为中心组网进行重构，在这样的大背景下，DCI网络孕育而生。
DCI：Data center interconnect 指的是用于数据中心之间互联的网络，实现以数据中心为中心组网的基础承载网。
2为什么需要新建DCI网络？
高扩展性、低成本 资源丰富 温度适宜等条件使得云数据中心建设位置要求
某运营商新建大型云数据中心与传统骨干网位置不重合
云业务对网络要求
1云计算对时延有非常严格的要求，如跨DC同步计算、虚拟机热迁移等业务要求都在10ms以下
2 DC间流量具有突发性和不均衡性，需采用SDN计数进行实时智能调控，而现有网络复杂。新技术难部署。
------很难重用现有骨干网，需要新建DCI网络。
3给予SDN的DCI方案总览
顶层端到端协同，实现包含DC云与DC承载网的云网资源的一站式提供和端到端业务自动化协同发放。总的来说在多地区 多运营商部署多个数据中心的方式 目前已经成为了互联网行业普遍认可的最有效的解决用户覆盖提高用户业务体验的方案，建设并运营一张安全可靠、可灵活调度的多数据中心互联网络（DCI网络），也成为了各大互联网公司在基础架构方面的工作之重，DCI建成后 可以为宽带 4/3G用户提供更好的访问体验外另一方面可以为互联网公司政府企业客户的云提供给更好的承载服务。
现在DCI面临的实际问题：网络不灵活难以跟住业务快速迭代的步伐、链路利用率较低 以及居高不下的OPEX压力等。华为SDN DCI 整体解决方案可以支撑云数据中心业务的端到端的运营，整体架构包括承载层和控制层，需要在网络基础承载层上引入部署SDN的控制层，
控制层是网络的业务发放管理平台和网络智能控制中心，该层主要功能部件为：
业务发放平台：提供业务自动化入口实现租户业务自助发放以及网络资源状态的可视个运维管理入口
业务协同平台：DCI业务需求分解和DC和IDC的协同实现端到端的跨控制器资源的协同分解
云平台：接受业务发放平台的业务分解，进行DC运业务分解和协同，实现DC的内存储 计算和网络的协同
DC控制器：接受OpenStack业务分解同一控制DC的NVE和VxLAN GW 实现DC内网络自动部署和控制
DCI控制器：接受业务协同平台资源的分解，实现Underlay网络部署的自动化和网络流量的智能优化
流量采集工具、调优策略的输入、流量采集组件可以基于端口TE隧道进行流量采集和分析并提供网络流量可视化界面
DCI骨干网解决方案承载层是租户业务的承载实体负责跨DC网络的连接以及业务宽带和SLA保证，骨干网支持VxLAN技术提供了大二层组网的能力，能够跨越广域网和多个物理DC构建Vdc网络,实现跨区域的资源节点的互备和虚机动态迁移，有效提升了DC云资源的利用效率，骨干网部署业界广泛使用的MPLS TE流量工程技术为租户业务提供端到端的宽带保证，提升了网络资源的利用效率，特别是提供了基于租户和业务的差异化的服务能力，网络承载支持采用Overlay技术，Overlay业务网络基于云业务驱动支持快速的业务开通 Underlay物理网络按需提供网络资源，实现端到端的SLA保障和智能流量的优化，目前IP Core网络中存在如下一些流量调整需求：实现IGW出口、DC出口的流量均衡 降低不同ISP网间费用的结算 提升VIP用户体验 针对这些需求 当前主要依赖于手工调整BGP路由策略 ：
1监控链路带宽利用率
2识别出需要调整的流
3基于流制作BGP策略下发给设别
4循环操作，直到流量符合期望目标的要求
4 智能流量调优方案：RR+方案
手工方法不能实时调整，耗时长、配置和维护复杂问题，RR+方案用于解决这问题。
RR+方案在IP core现网中加入SDN Controller，实现集中控制，智能化调优
RR+可以带来什么？
1最大化IGW带宽利用率均衡链路间流量的分布，降低网间结算费用，不同客户提供不同SLA服务
2自动调整流量，取代复杂的手工操作
3基于标准BGP通讯，可以和现网设备平滑兼容。
5什么时PCE+方案 Path Computation Element
路由转发用最短路径算法不考虑带宽，存在利用率低的问题 PCE+为了解决这一问题
PCE+通过在网络中部署PCE server（就是SDN Controller），使用StatefulPCE技术，为 MPLS TE LSP集中算路。
使网络带宽资源使用尽量达..到最优。该架构方案中需要新部署的网元是PCE Server，转发设备为 PCE Client。PCE Client需要计算LSP时会向PCE Server发出计算请求，server计算后结果反馈给client，client然后进行LSP隧道建立。
思考：什么是DCI?
DCI即Data center interconnect 指的是用于数据中心之间互联的网络 DCI网络正是实现“以数据为中心的中心组网”的基础承载网。
03 文档 SDN网络解决方案
NFV （Network Function Virtulization）采用虚拟化技术，将传统电信设备的软件和硬件解耦，基于通用计算、存储、网络设备实现电信网络功能，提升管理和维护效率，增强系统灵活性
SDN关键特征：集中控制、优化全局效率；开放接口、加快业务上线；网络抽象，屏蔽底层差异
NFV关键特征：上层业务云化， 底层硬件标准化，分层运营，加快业务上线与创新
nfv —> 4-7层
sdn —> 1-3层 物理、数据、网络
SDN主要技术流派：ONF （Open networking foundation）, IETF, 大T
PCEP（Path Computation Element Protocol）协议
ONOS --> Open-Source SDN Stack --> ONF
OpenDaylight --> IETF --> Cisco, 基于XML Schema实现SDN
华为是NFV担任职位、贡献文稿最多的Vendor
RAN：无线接入网(Radio Access Network)
可以利用华为私有MSCP（类似OPENFLOW）进行南向设备的控制
基于MBH虚拟接入解决方案，简化运维
01NFV技术概述与发展趋势
1CT当前面临的结构性挑战
增收方面：用户饱和，传统业务下滑
节流方面：CT投入成本下降，IT部分的投入从2002年6%增加到2013年13%，
创新方面：CT界一年5个创新 IT界32000倍
商用速度：CT每个月6个上市 IT每小时12个
什么是NFV？
NFV (Network Function Virtualization) 网络功能虚拟化，ETSI组织下组建的。
希望通过采用通用服务器 交换机和存储设备实现传统电信网络的功能。通过IT的虚拟化技术，许多类型的网络设备可以合并到工业界标准中，servers switchs storages 需要用软件实现网络功能并能在一系列工业标准服务器硬件上运行，可以根据需要迁移，实例化部署在网络的不同位置而不需要部署新设备，需要大容量Server存储和大容量以太网 不同应用以软件形式远程自动部署在统一的基础设施上。
三个关键点：软硬件解耦 开放 自动化
2NFV将IP基因融入电信网络
传统电信网软硬件绑定，更新困难，管理维护困难。采用虚拟化技术和云计算的网络，硬件采用标准的服务器 存储设备和交换机，虚拟化之后 上层业务通过软件形式运行在统一的标准的硬件基础之上 。
虚拟化后的网络好处：易于更新、硬件通用化支持异构，资源归一 简化管理与运维
3NFV正走向成熟
2015~2016年稳步爬升 趋于成熟
1.NNFV生态系统：
ETSI在2012年成立了 NFV ISG来研究网络功能虚拟化
随后，涌现了一批NFV的开源组织，比如OPNFV，OpenStack
NFV产业联盟，秉承开发、创新、协同、落地的宗旨，集多长家和合作伙伴进行联合创新，成为开放联盟的引领者。
2.NFV框架
NFV框架主要包括3大组件：NFVI、VNF、和MANO解释：
框架中最底层的是硬件，包括计算、存储、和网络资源
往上的云操作系统，完成虚拟化和云化的相关的功能，硬件和云操作系统成为NFVI。
I指的是instruction，设施的意思，这些设都是有VIM来管理。
在往上是虚拟网路功能，比如vIMS提供IMS的语音业务，vEPC提供4G的数据网络功能。
虚拟网络功能由VNFM来管理，提供VNF的声明周期管理。
在往上是网络管理层及网管，网管我们可以配套NFVO进行网络业务生命周期的管理
3.NFV三大组件的关键要求
【1】组件MANO：包括NFVO（网络业务生命周期管理）、VNFM和VIM，
要求VNFM适配不同厂商NFVO和VIM；并且MANO系统(NFVO+VNFM+VIM)应该尽量减少对现有的OSS/BSS的冲击。比如要求MANO支持和现有传统平台（如U2000）的对接
【2】组件VNF(虚拟化网络功能)：要求它可以运行在不同厂商的NFVI；
对应传统的电信业务网络，每个物理网元映射为一个虚拟网元VNF。
【3】组件NFVI-云操作系统要求优选基于OpenStack的云操作系统
将物理计算/存储/交换网络资源通过虚拟化计算转换为虚拟的计算/存储/交换网络资源
【4】组件NFVI-硬件
要求它优选具有虚拟化辅助功能的芯片的COTS
同时具备高IOPS与高可靠性的磁阵
低RAID等级的磁阵建议冗余组网
03 FV关键能力
4．高可靠性
应用层、云操作系统层、硬件层都有相应的冗余机制。
应用层高可靠性可以通过主备和负荷分担方式实现主备VM之间的冗余。确保应用层会话0中断，99.999%的可用性。
云操作系统的可靠性可以通过虚拟机快速重建冗余机制来实现。
硬件层高可靠性主要通过族化以及物料冗余机制来实现计算、存储、网络等硬件设备的冗余
硬件层、VM层、业务层各层可靠性各自独立，高度互补确保整体可用性。
5.高性能
NFV业界最权威的评估公司SPECvirt。华为的FusionSphere性能得分为4.6，排第一。
呼叫处理方面华为的FusionSphere比第二名的Vmware高17%。
高性能技术的关键技术：NUMA亲和性、CPU绑定、DPDK、透明巨页、虚拟中断优化等
6.NFV存在的问题
（1）标准不成熟，技术架构实现上有分歧；
（2）多供应商、集成复杂。
（3）部件兼容性风险大。
（4）NFV工程难度大。
（5）网络功能虚拟化技术滞后
（6）虚拟化可靠性不足。传统电信要求99.999%可靠性
⑧ 网络安全都需要考什么证书呢
一、CISP（Certified Information Security Professional）证书
中文叫注册信息安全专业人员，由中国信息安全产品测评认证中心实施的国家认证。可以说，这是目前国内对于个人来说认可度最高的信息安全人员资质，堪称最权威、最专业、最系统。根据实际岗位的不同，CISP又分为CISE（注册信息安全工程师）、CISO（注册信息安全管理人员）、CISP-A(注册信息安全审核员）以及CISD（注册信息安全开发者）。CISP的关注点是信息安全的管理和业务流程。中国信息安全产品测评认证中心的主管部门是中国国家Security部门。总体来说，CISP偏重于信息安全管理。
CISP为强制培训认证，也就是说，要取得这个证书，首先要参加中国信息安全产品测评认证中心授权机构进行的培训（自学或者无授权的机构培训的都不算数，无论你学的多牛掰，一般是交钱进行五天的培训），然后参加考试取证。（谈钱不伤感情）这个CISP的他们的培训及考试费用大概是人民币一万两三千的样子。由于是强制交费培训，想必你肯定跟培训机构一样嗨到翻。。。只不过，他们嗨的是专（sheng）心（yuan）培（o）训（o），你嗨的收（xin）获（teng）满（yin）满（zi）。
二、CISSP（Certified Information System Security Professional）证书
中文叫信息系统安全认证专业人员，由国际信息系统安全认证机构（International Information Systems Security Certification Consortiurm，ISC2）组织和管理。ISC21992年开始推广CISSP的认证考试，在国际上得到了广泛认可。ISC2在全球各地举办CISSP考试，符合考试资格的人员通过考试后授予CISSP认证证书。CISSP也是偏重于信息安全管理。个人经验，这个认证在国内远不如CISP好使。
CISSP认证其实是一个系列认证，包括注册信息系统安全师（CISSP）、注册软件生命周期安全师（CSSLP）、注册网络取证师（CCFPSM）、注册信息安全许可师（CAP）、注册系统安全员（SSCP、医疗信息与隐私安全员 (HCISPPSM)，此外还有CISSP 专项加强认证:CISSP-ISSAP (信息系统安全架构专家）、CISSP-ISSEP（信息系统安全工程专家）、CISSP-ISSMP（信息系统安全管理专家）等。
CISSP被吐槽的主要有两点，一是全英文考题，二是要考6个小时。题目共有250道，平均你得一分半钟搞定一道。很坑的是，250道题目中，有50道是不计分的。更坑的是，还不告诉你是哪50道。当然，你可以选择中文试题，但据说中文翻译的实在不咋地，还不如直接上英文题，毕竟咱考CISSP玩的就是国际范儿。
CISSP培训不强制，未经过培训也可直接考试，只要你够牛。考试费大概是600美元。
三、C-CCSK(China-Ceritificate of Cloud Security Knowledge)证书
本来吧，人家这个认证是CCSK（云安全知识认证），是由着名的国际云安全联盟（Cloud Security Alliance，CSA），CSA总部在美国，联盟成员中云大厂云集，比如谷歌、微软、惠普、阿里、Ctrix、MCafee等。2015年起，CSA看中了中国市场这块肥肉，推出专门服务咱泱泱中华的C-CCSK认证，即中国版云安全知识认证。C-CCSK认证的效力同国际版CCSK等同。泱泱中华的范围是大中华区！！！
C-CCSK认证特别有助于构建最佳实践（Best Practice）的安全基线（Baseline），范围涵盖云治理到技术安全控制配置等诸多方面，堪称中国云安全人才领域最权威的认证之一。
四、CISA（Certified Information Systems Auditor）证书
这是注册信息系统审计师证书，自1978年起，由国际信息系统审计和控制协会（ISACA）开始实施注册，目前，CISA认证已经成为全球公认的标准。这个证主要是用于信息系统审计的。在国外，信息系统审计非常吃香，不过，国内目前并不太重视。但是在中国的国际大厂都需要进行信息系统审计。
拿了这个证，你在信息系统审计、控制与安全、鉴证等领域就是专业大拿了。你的用武之地是，按照全球公认标准和指南对某机构的信息系统开展各项审查工作，确保该机构的信息技术与业务系统得到充分的控制、监控和评价。
五、CompTIA Security+
这个证书名字挺牛掰，叫国际信息安全技术专家，同CISP、CISSP偏重于信息安全管理不同，Security+起的是技术范儿， 更偏重信息安全技术和操作。
⑨ 三级架构“云-边-端”中的客户端算是SDN的网络架构吗
SDN网络是基于SDN（软件定义网络）技术、区块链技术、云计算、边缘计算打造的“云-边-端”结合的去中心化网络，能够为各种类型的应用提供关键性的数据、网络、计算支撑能力。SDN网络的出现标志着新式互联网时代已经到来，人们从单一的数据传递自由转向到数据价值传递自由。
跨越全球的SDN技术
SDN网络的强大，其中很大程度是有强大的SDN技术给与支持。
SDN即软件定义虚拟网络，是在物理网络（互联网和局域网）基础之上，采用Multi code packet encryption技术、Multi layered技术、Network Slicing技术、DLT技术、Next-Hops技术等技术，快速实现基于internet的点对点、点对网、网对网的安全私有虚拟网络搭建，完成人与物的可靠、高速、安全、互利连接，保证数据能够快速、准确、安全的从生产者抵达指定的消费者。
SDN云-边-端”三级架构
云：云管理平台
为整套系统提供账号认证、策略管理、网络中转、存储、应用、云计算、云云对接等基础服务，保证了用户、软硬件应用、开发者的一致性使用体验。
边：边缘服务器（Eege Server）
边缘服务器作为数据和网络中心，通过其上承载的各种应用，为用户提供数据存储等NAS功能、智能路由、边缘计算、远程办公等服务，提供“一站式”的数据解决方案。
端：终端
适配全平台的客户端程序，为手机、PC、Mac等个人终端提供数据的存取、分享。
什么是SDN网络?解读SDN网络技术架构
促进数据的高速流动
数据是万物互联时代最重要的价值载体，SDN网络让数据在人与人之间直接分享，让价值在数据的自由分享流动中提升。
在SDVN构建的高速网络之中，每个用户都可以作为数据的生产者和所有者为有需要的个人或组织提供服务，而消费者则可以经由承载数据的各类应用来获取自己需要的内容。
什么是SDN网络?解读SDN网络技术架构
安全的分布式边缘存储
SDN全球节点可以将自己的空闲存储空间通过分享的方式，提供给其他用户存储文件使用，以实现分布式、边缘化、分片、安全存储，减少云端建设成本，即使某个节点的硬盘损坏、遗失，也可从分片存储在SDN网络的其他节点中恢复。有了分布式边缘存储技术的赋能，SDN网络中的数据将获得加密保护，用户不再需要担心自己存储在云平台的数据被泄露曝光。
开放式的网络平台
SDN网络支持全球节点之间实现异地网络之间的“专线”级连接，无论身处何地，均可以随时访问其他边缘服务器节点所在的网络资源，解决跨地域/运营商组网问题。建立在SDN网络上的应用能够轻而易举的传递数据信息，数据处理不再孤岛化。