Cisco CRS：概述，管理，安全性

yxixi

思科电信级路由系统
多种服务。一个网络。
无限的可能性。

思科电信级路由系统
思科电信级路由系统（CRS-1）是第一个可以在帮助服务供应商提高业务盈利能力、技术灵活性和运营效率的同时，在一个高度可用的、便于扩展的、集成化的分组基础设施上提供一组全面的服务（包括数据、语音和视频）的分组通信系统。Cisco CRS-1的主要特性包括：
　　无与伦比的系统寿命
Cisco CRS-1是业界唯一可以扩展到每秒92Tb（Tbps）的电信级路由系统。它采用了第一个OC-768c/STM-256c IP接口，最多可以支持1152个40Gbps的线卡插槽。它不仅简化了今天的网络，而且可以在未来十年内保护客户的投资。
　　不间断的系统运行
Cisco CRS-1建立在Cisco IOS XR软件的基础之上。该软件是业界唯一一个适用于多机架的Tb级别电信级基础设施的自恢复式操作系统。这个基于微内核的操作系统可以提供精确的独立流程、故障限制和隔离功能。利用这些独特的功能，客户可以在不对服务造成任何影响的情况下，维护、升级、改进和扩展Cisco CRS-1。
　　利用思科智能化服务灵活性设计实现前所未有的服务灵活性
Cisco CRS-1采用了思科硅芯片分组处理器（SPP）——全球最先进的40Gbps ASIC，具有独特的服务分离架构的Cisco IOS XR软件，以及服务智能交换矩阵——因而可以提供最大限度的服务灵活性和功能。利用全面的服务隔离和完整的线速功能灵活性，Cisco CRS-1可以提供今天的集成化网络服务所需要的各种功能。

　　网络和服务融合平台
　　服务供应商已经意识到，针对特定服务的网络、复杂的网络架构和单纯的连接服务已经无法满足他们的业务需要和不断增长的客户需求。过去，网络接入点（POP）的各项功能（例如核心、对等通信、汇聚和边缘）都是由供应商通过部署具有特定功能的路由节点而实现的，以满足每种网络功能的独特需求。这种传统的POP设计需要服务供应商每隔三到五年就要重新设计一次他们的网络，以适应增长的需要和不断变化的服务要求。而且，为了提高效率和盈利能力，服务供应商必须在努力扩大他们的客户群和提高销售收入的同时，设法降低资本和运营开支。
　　为了达到客户的服务需求和股东提出的业务指标，服务供应商希望通过实现网络和服务融合简化他们的POP架构，从而实现他们的业务、技术和运营目标。
　　Cisco CRS-1是第一个可以真正地将多项POP功能集成到单个系统的路由系统。它为网络融合提供了很高的可扩展性和可靠性，并为数据、语音和视频服务的融合提供了强大的服务智能性。Cisco CRS-1模糊了传统的核心、对等通信、汇聚和边缘功能之间的界限——让服务供应商可以克服现有的网络设计限制，获得一个统一、可靠、可扩展的路由系统所带来的优势。
　　现在部署Cisco CRS-1的服务供应商可以立即改进他们的核心网络——单个Cisco CRS-1 16插槽机架系统可以取代多个现有的路由节点，并可以提供以前无法在分组网络中实现的可靠性和服务灵活性。运营商可以通过扩展Cisco CRS-1的规模、体积和功能，加入其他的POP功能，例如对等通信、汇聚和高速边缘服务，从而满足未来十年中出现的网络和服务需求。

　　系统概述和特性
　　系统概述
Cisco CRS-1可以采用两种配置：单机架系统和多机架系统。单机架系统将创新的多级交换功能集成到了单个线卡机箱中。它可以提供1.2Tbps的交换容量和16个40G线卡插槽。多机架系统最多可以容纳72个线卡机箱，它们之间通过8个交换矩阵互联，最高可以提供1152个40Gbps线卡插槽和92Tbps的总交换容量。
　　无与伦比的系统寿命
Cisco CRS-1可以在不对服务造成任何影响的情况下，从单机架系统无缝地扩展到多机架系统，从而让服务供应商可以在未来十年中，在同一个系统上规划、设计、测试和部署各种服务。Cisco CRS-1将控制、数据和管理面板完全隔离，从而让该系统可以独一无二地扩展各种功能，例如：
　　控制面板
单个系统处理器可以放置在特定的路由处理器上，或者在各种路由处理资源之间实现一定的“凝聚力”。分布式路由处理器（DRP）可以被添加到系统中任何可用的线卡插槽中——从而可以提供几乎无限的控制面板扩展能力。
　　数据面板
通过对1152个OC-768c/STM-256c接口、4608个OC-192c/STM-64c接口和18432个OC-48c/STM-16c接口的支持，CRS-1可以在不对服务造成影响的情况下扩展到92Tbps。
　　管理面板
Cisco CRS-1管理数据库可以通过CLI或者基于XML的界面，提供对该系统的全面管理。基于XML的Craft Works 界面（CWI）是一个可视化的管理工具，可以无缝地管理单机架或者多机架系统。
　　不间断的系统运行
基于思科在网络领域长达20多年的硬件和软件创新经验，Cisco CRS-1可以提供不间断的系统运行。在这个高度可靠的平台上，服务供应商可以通过一个始终可用的自恢复网络提供服务。服务卡、路由处理器、控制器卡、电源和风扇等各种系统组件都是完全冗余的。借助Cisco IOS XR软件——业界第一个采用内存保护机制的、基于微内核的、针对Tb级电信级基础设施的操作系统，客户可以在不对服务造成任何影响的情况下，维护、升级、改进和扩展Cisco CRS-1。
　　自恢复式软件
Cisco IOS XR软件采用了一种自恢复的工作方式，即首先限制任何故障或者系统错误的影响范围，然后利用自动的流程恢复功能安全地重启和恢复流程的正常运行。
　　在线系统升级
Cisco IOS XR软件可以在不对服务造成任何影响的情况下，实现精确的软件升级——从软件维护升级到重要功能的升级。只有那些在升级包中发生改动的流程会被改变，从而缩短了测试周期并提高了系统的可靠性。
　　在线功能改进
服务供应商可以在不关闭系统或者中断现有流量、服务的情况下，向Cisco CRS-1添加新的服务包，例如多协议标签交换（MPLS）或者组播。这使得服务供应商可以逐步推出新型服务。此外，分布式路由处理器（DRP）可以被安放到任何可用的线卡插槽中，以便扩展服务和分配流程。
　　
　　自防御系统
Cisco CRS-1系统的自防御功能使它可以自动识别分布式拒绝服务（DDoS）攻击，防止系统发生过载——即使在遭受攻击时。利用一个内嵌的事件管理器和安全的数据跟踪记录，Cisco CRS-1可以主动地监控和防范攻击，同时提供必要的工具来跟踪违反网络安全策略的事件。
　　在线扩展
Cisco CRS-1系统可以在不对服务造成任何影响的情况下，通过添加一些借助交换矩阵机架互联的线卡机架完成在线扩展——从1.2Tbps到92Tbps。
　　系统运行和管理
Cisco CRS-1提供了一个经过改进的命令行界面（CLI）和路由策略语言（RPL）；离线配置开发和错误检查功能，以及可定制的配置恢复功能；自动的、主动的系统监控；基于角色的管理功能。
　　思科智能化服务灵活性设计
思科智能化服务灵活性设计使Cisco CRS-1成为唯一可以将特定服务网络的所有有益组件与IP/MPLS网络的全面的服务灵活性、扩展能力结合到一起的路由系统。利用Cisco CRS-1，运营商可以在不提高资本和运营开支的情况下，迅速地适应他们的业务战略的变化。
　　思科智能化服务灵活性设计包括：

思科服务分离架构
在Cisco CRS-1系统中，思科服务分离架构可以在单个服务或者客户的基础上完全地分离流量和网络操作。这种独特的功能让运营商可以隔离控制、数据和管理面板，以及线卡和路由处理器（RP），从而创建独立于系统其他部分的逻辑路由器。这种服务分离架构让运营商可以灵活地测试、部署和实施一组全面的集成化服务，同时确信他们可以达到服务水平协议些的要求。

可以加快服务推出速度的组件
全球最先进的ASIC——40Gbps思科SPP——和业界第一个基于微内核的、针对Tb级电信级基础设施的操作系统——Cisco IOS XR软件——的结合可以提供前所未有的服务功能，从而加快向客户推出服务的速度。每个思科SPP将188个32位RISC处理器集成到了一个100%可编程的芯片上。思科SPP在该芯片上采用了大规模并行处理技术，因而可以在不降低性能的前提下灵活地提供服务。Cisco CRS-1所采用的、高度模块化的软件可以通过各个功能集软件包缩短审核和测试时间，从而加快服务供应的速度。

具有服务智能的交换矩阵
Cisco CRS-1的一个重要优点是采用了一种基于Benes架构的、针对分组网络优化的三级交换矩阵。这种具有服务智能的交换矩阵的独特之处在于它可以利用固有的组播复制功能和集成化优先级队列改进传统的三级Benes架构。利用它的组播复制功能，服务供应商可以有效地进行扩展，从而在不影响系统或者网络性能的情况下，向大量客户提供同一项服务（例如视频广播）。另外，这种交换矩阵还采用了流量加速技术，它可以将流量速度提升250%，从而确保Cisco CRS-1中不会发生系统拥塞。

　　思科电信级路由系统

　　系统特性
　　高效的管理
Cisco CRS-1的设计人员从一开始就将提高管理效率作为一个重要的设计目标。重点在于提供一个统一的路由器视图——即使在大型的多机架安装中。CWI充分利用Cisco CRS-1上的可扩展标记语言（XML）接口提供了一个独立的、多机架的路由器管理工具。CWI可以提供直观的、基于GUI的配置和警报管理工具，以及一个全屏的配置文本编辑器。此外，Cisco IOS XR软件采用了一个组件管理系统（EMS）。这套全面的管理组件有助于建立一个自监控的、自恢复的网络，并为所有管理方式提供统一的界面和功能——无论是CLI、XML，还是简单网络管理协议（SNMP）。基于思科传输管理器的EMS采用了与思科光传输系统相同的管理系统，因而让网络管理人员可以为光传输和IP/MPLS路由部署相同的EMS。
　　

　　思科硅芯片分组处理器
Cisco CRS-1采用了思科SPP——全球目前最先进的40Gbps ASIC。思科SPP在每个芯片上集成了188个32位RISC处理器（每个都可以独立执行一项不同的任务），因而可以提供100%的灵活性和40Gbps的处理能力。思科SPP的灵活性让用户可以利用不同的软件代码，在相同的硬件上加载不同的核心、边缘和对等路由功能。这消除了为核心和边缘路由采用不同引擎的需要。因为只需要更新软件代码，所以新的功能、服务和应用的推出速度可以大大加快。
　　针对多机架电信级基础设施的专用操作系统
作为Cisco CRS-1的操作系统（OS），Cisco IOS XR软件采用了一种具有内存保护机制的、基于微内核的架构，以及控制面板分配功能，从而让系统可以从1.2Tbps扩展到92Tbps。微内核内部只负责处理最关键的OS服务，例如消息传送、内存保护和流程或线程调度。所有作为传统OS内核的组成部分的其他组件（例如文件系统、网络驱动程序和流程管理等）都被部署在内核之外。

　　这种新颖的OS架构设计使得Cisco IOS XR软件可以提供前所未有的可用性和可扩展性，并实现数据、控制和管理面板的完全隔离。精确的模块性确保了在流程发生错误或者软件进行升级时只需要重启必要的流程——从而实现软件的在线升级（ISSU）。此外，每个流程（例如BGP、IS-IS和OSPF）都可以被进一步分解为不同的线程，从而分散到不同的处理资源上。
　　系统组件
　　Cisco CRS-1的主要组件：
Cisco CRS-1 16插槽线卡机箱（LCC）
Cisco CRS-1矩阵卡机箱（FCC）

　　Cisco CRS-1 16插槽线卡机箱（LCC）
16个40Gbps线卡插槽——利用一个中央隔板设计，16插槽的LCC上有16个MSC位于机箱背部。每个MSC都通过中央隔板与位于机箱前部的一个接口模块相连。

16个40G线卡插槽
2个专用路由处理器插槽
8个专用交换矩阵卡插槽
2个专用机架控制器插槽
电源和风扇架

　　Cisco CRS-1矩阵卡机箱（FCC）
24个插槽最多可以支持24个二级矩阵卡
2个专用机架控制器插槽
电源和风扇架

　　系统配置
Cisco CRS-1可以采用两种不同的工作模式。所有容量升级和配置改动都可以在不影响服务的情况下完成。

　　系统规格
　　系统
　　CRS-1 系统概述
　　单机架系统配置

• 单个16插槽线卡机箱
  
• 集成化交换矩阵——不需要矩阵机箱
  
• 交换容量：1.2Tbps
  
• 支持16个40G线卡
  
  - 16个OC-768c/STM-256 POS端口
  - 64个 OC-192c/STM-64c POS/DPT端口
  - 64或者128个10GbE端口
  - 256个OC-48c/STM-16c POS/DPT端口
  
  
  

　　多机架系统配置

• 1到72个——16插槽线卡机箱
  
• 1到8个——矩阵卡机箱
  
• 交换容量：最高92Tbps
  
• 最高支持1152个40G线卡
  
  - 1152个OC-768c/STM-256 POS端口
  - 4608个 OC-192c/STM-64c POS/DPT端口
  - 4608或者9216个10GbE端口
  - 18432个 OC-48c/STM-16c POS/DPT端口
  
  
  

　　线卡队列：

• 每个入口流量8000个队列（层次化排队）
  
• 每个出口流量8000个队列（层次化排队）
  

　　机箱
　　16插槽线卡机箱
　　设计、插槽和容量

• 中央隔板设计
  
• 交换容量：最高1.2Tbps
  
• 线卡：16×40G插槽
  
• 交换矩阵卡：8个专用插槽
  
• 路由处理器：2个专用插槽
  
• 风扇控制器：2个专用插槽
  

　　尺寸

• 没有线缆管理和前盖
  
• （高×宽×长）84×23.6×36in（213.36×59.94×91.44cm）
  
• 带有线缆管理和前盖
  
• （高×宽×长）84×23.6×39.71in（213.36×59.94×100.84cm）
  

　　重量

• 在只预装风扇架时的出厂重量为939lb（425kg）
  
• 在包括电源架（但是没有电源模块）时的出厂重量为1008lb（457kg）
  
• 最大重量1657lb（751kg），这时机箱配置齐全，包括所有线卡、电源架、线缆管理和前盖
  

　　电源

• 最大直流= 13.6KW@46,405 BTU/小时
  
• 最大交流= 15.5KW@52,888 BTU/小时
  

　　矩阵卡机箱
　　设计、插槽和容量

• 背板设计
  
• 交换卡：24个插槽
  
• 机架控制器：2个专用插槽
  

　　尺寸

• 没有线缆管理和前盖
  
• （高×宽×长）84×23.6×35in（213.36×59.94×88.9cm）
  
• 带有线缆管理和前盖
  
• （高×宽×长）84×23.6×41in（213.36×59.94×104.2cm）
  

　　重量

• 在只预装风扇盘时的出厂重量为644lb（292kg）
  
• 在包括电源架（但是没有电源模块）时的出厂重量为712.8lb（323kg）
  
• 最大重量1559lb（707kg），这时机箱配置齐全，包括所有线卡、电源架、线缆管理和前盖
  

　　电源

• 最大直流= 9.1KW@31,050 BTU /小时
  
• 最大交流= 10.4KW@32,668 BTU /小时
  

　　支持的硬件
　　组件

• 路由处理器
  
• 1个OC-768c/STM-256c POS接口模块（SR）
  
• 4个OC-192c/STM-64c POS/DPT 接口模块（VS,SR,IR,LR）
  
• 4个10GbE 接口模块（LR）
  
• 8个10GbE 接口模块（LR）
  
• 16个OC-48c/STM-16c POS/DPT接口模块
  
• 单端口OC-48c/STM-16c 可插拔光纤模块，1310 nm SM-SR-LC
  
• 单端口OC-48c/STM-16c可插拔光纤模块， 1550 nm SM-LR2-LC扩展温度
  
• 模块化服务卡
  

　　内存
　　模块化服务卡

• 2 GB缺省路由内存
  
• 每侧1 GB分组缓存（每个线卡共2GB[入口和出口]）
  

　　路由处理器

• 4 GB 缺省路由内存
  
• 64 MB启动闪存
  
• 2 MB非易失性RAM (NVRAM)
  
• 1个1GB闪存盘（可拆除）
  
• 1个40GB硬盘
  

　　协议

• POS/SDH
  
• RFC 1619/2615，基于SONET/SDH的点对点协议（PPP）
  
• RFC 1662，高级数据链路控制（HDLC）中的PPP——例如分帧
  
• RFC 2615，基于SONET/SDH的PPP
  
• HDLC
  

　　特性和功能
　　IP特性

• 控制面板分组处理
  
• IPv4主机服务
  
• IPv4单播转发
  
• IPv4 ECMP
  
• IPv6主机服务
  
• IPv6转发服务
  
• IPv6 ECMP
  

　　转发功能

• (X)ACL
  
• 使用MQC的QoS/CoS
  
• IP分组分类/标记
  
• 排队——入口和出口
  
• 监管（包括入口和出口）
  
• 诊断/网络管理支持
  

　　路由功能

• MP-BGP v4
  
• OSPFv2
  
• OSPFv3
  
• IS-IS
  
• 静态路由
  
• 路由策略语言（RPL）
  

　　IPv4 组播功能

• 利用IGMP的动态注册
  
• 组播反向路径转发（RPF）
  
• PIM-SM
  
• PIM-SSM
  
• AutoRP
  
• MSDP
  
• MBGP
  
• 双向PIM
  
• 针对特定来源的组播（采用IGMP v3）
  
• 直接跟踪用于IGMPv3的主机、群组和通道
  
• 组播NSF
  

　　MPLS功能

• MPLS转发和负载平衡
  
• LDP
  
• RSVP
  
• MPLS流程设计功能
  
• UNI
  
• LMP
  

　　高可用性功能

• RP冗余支持
  
• NSF – ISIS, OSPF, BGP, 组播, LDP, RSVP
  
• SONET APS (1:1)
  
• 线卡OIR支持
  
• 矩阵卡OIR支持
  
• 资源管理
  

　　安全功能

• MD5
  
• SSL
  
• SSH/SFTP
  
• SHTTP支持
  
• 控制分组监管
  
• IPSEC
  

　　可管理性功能

• 警报管理
  
• 配置管理
  
• 记帐和统计管理
  
• 性能管理
  
• 控制点和网络管理——一般性要求
  
• 终端服务改进
  
• 经过改进的CLI
  
• XML接口
  
• XML模式（参见上面的规格表）
  
• Craft Works界面
  
• CORBA支持
  
• SNMP和MIB支持
  

　　思科网络生命周期和支持服务
　　思科将帮助客户规划、设计、部署、使用和优化Cisco CRS-1电信级路由系统，从而在整个网络生命周期中提供全面的服务。这些服务包括：

• 高级服务团队，利用基于以前的Cisco CRS-1部署的方法和模板，在服务供应商环境中提供和部署CRS-1系统
  
• 技术支持服务，可以提供Cisco CRS-1的下一个工作日更换、质保和备件服务，或者现场硬件更换支持
  
• 训练有素的技术服务中心工程师在技术支持和产品特性方面拥有丰富的实践经验，可以在全球范围内为Cisco CRS-1提供24小时的支持。
  

　　----------------------------------------------------------------------------------------


Cisco CRS-1的可管理性

思科运营商路由系统可以通过内嵌的可管理性，支持不间断的系统运行和服务灵活性。这种可管理性能够不断改进，满足路由技术和服务供应商的各种要求。
　　为多机架管理做好准备
在今天的服务供应商网络中，大部分核心路由器都是拥有大量接口，并且可以扩展到数千个的单机架系统。在管理这些路由器时，需要采集、处理和转发的数据的数量将与有效接口的数量成比例增长。
这种方式的扩展能力如何？假设有一台具有几百个接口的路由器，它的一个或者多个接口发生故障。这时，会生成一个或者一组警报，并将其发送到一个事件控制台。控制台将关联该警报，并通知操作人员。关联、通知，甚至故障的解决都可能在几秒钟或者几分钟之内完成。
现在设想一下将同样的接口设置成具有数千个通道化接口的中继时发生的情况。当一个或者多个接口发生故障时，大量的警报会被发送到事件控制台，从而迫使操作人员利用脚本语言——例如实际抽取报告语言（PERL）和工具命令语言（TCL）——分析警报，以确定故障的性质。尽管这种使用顶置脚本处理事件的常见做法变得越来越复杂和费时，但是它仍然很有效。故障会在可以接受的时间内被诊断和解决。
现在，设想一台具有数百个40Gbps插槽的Tb级多机架路由系统。它包含了几千个接口，可以为数万个客户提供支持。尽管比管理单独的、可以提供相同容量的组件简便得多，但是警报个数仍然会以指数形式迅速增长。事件管理系统能否通过扩展，支持这些负载？事件关联和响应能否以足够快的速度进行，以便为受到某个故障影响的客户保持不间断的服务和服务水平协议（SLA）？
随着多机架路由系统的出现，进行处理的时间和地点必须进行相应的改变。通过管理多个网络组件的组件管理系统（EMS）现在需要负责管理多个系统和逻辑组件。集成流程过去只需要将单个机箱的管理数据发送到北向运营支持系统（OSS）应用，而现在则必须从一个更加抽象的数据源中获得数据，再提供给这些应用。
长期以来，大型网络的操作人员一直期望和提倡将网络管理智能转移到网络本身。为了在多机架路由平台上保持不间断的系统运行，必须使用嵌入式、模块化的检测技术来自动执行运营、管理、维护和供应（OAM&P）任务。故障、配置、记帐、性能和安全（FCAPS）的管理必须符合业界标准，以提供与现有OSS应用（例如供应和计费）的集成，从而提高收入和降低运营成本。
　　Cisco CRS-1的可管理性
思科运营商路由系统（图1）是一个多机架路由平台，它建立在一个微内核、分布式、模块化的操作系统——Cisco IOS XR——的基础上。

图1 思科运营商路由系统

实现这种可管理性需要跟上高端路由技术的发展步伐。Cisco CRS-1根据多机架路由环境的要求设计了CRS-1的可管理性。在这种环境下，CRS-1的新型分布式、模块化架构不仅对可管理性提出了新的要求，而且还为管理流程带来了便利。
在这种微内核架构中，每个管理流程都具有全面的内存保护和故障隔离。通过将流程分配到不同的面板，管理面板既不会影响控制和数据面板上的流程，本身也不会受这些流程的影响。这种模块性不仅带来了更高的安全性，而且提供了在不影响路由控制功能或者网络流量的情况下修改管理流程的能力。
为了在一个分布式管理环境中保持性能，CRS-1分布式路由处理器架构可以在多个路由处理器之间平衡处理需求。在面临沉重的网络管理负载（例如数据采集或者警报处理）时，任务会被分配到任何可用的资源，以避免对关键任务造成不利的影响。为了支持OAM&P功能，闪存提供了永久存储，而硬盘资源可用于存储临时性的调制和诊断数据。
为了支持不间断的系统运行和灵活的管理服务，CRS-1具有三个关键的内嵌式管理功能：内嵌检测、内嵌接口、内嵌应用服务。
　　内嵌检测
路由器的检测和管理接口是其可管理性的两个最重要的方面。如果路由器没有合适的检测功能来提供信息和控制，操作人员和OSS应用就无法对其进行有效的管理。
Cisco CRS-1提供了远远超出简单的路由器检测的嵌入式FCAPS管理。通过执行很多以前由外部管理应用执行的管理任务，CRS-1能够以快于单机箱平台的速度响应事件和请求，并可以对数据进行整理，以帮助OSS系统扩展规模。

• 嵌入式故障管理
  高度可扩展的多机架平台需要处理大量的流量和生成大量的警报，所以对现有的事件管理平台提出了独特的要求。
  嵌入式CRS-1事件管理器支持自主的事件关联和过滤，以降低来自于数十万个接口的大量事件信息。由用户定义的过滤和关联规则可以支持很高的精确度，而事件关联功能可以自动地对像启动系统恢复任务这样的事件采取措施，例如保护交换机或者采用用户提供的TCL脚本。
  例如，单个事件——例如线卡在线插拔（OIR）——可能会导致多个应用通信和接口故障警报。用户可以定义一个关联规则，将所有有关的事件连接到某个指定的根事件——假设它们都在设定的时间间隔内到达。因此，只有根事件会被转发，从而大大降低事件管理系统的警报负载。（用户仍然可以查询相关事件。）
  事件管理器还支持一个由用户设置的警报缓存。一个外部管理系统或者操作人员可以组织或者查询缓存中的警报，以便分析状态或趋势。因为CRS-1的架构具有很高的可用性，缓存中的警报会进行校验，以防止警报在路由处理器进行故障切换或者流程重启时丢失。
  

• 嵌入式配置管理
  尽管系统停机通常是由于网络以外的来源所导致的，但是它也有可能是由网络附近的来源——操作人员——所导致。因为多机架路由器的配置非常复杂，而且故障或者延迟可能会对客户服务造成严重的影响，所以需要一个嵌入式的、智能的配置流程来保持不间断的系统运行和迅速的实施。
  内嵌的CRS-1配置管理器可以在启动、运行和OIR事件期间优化路由器的配置流程。通过同时和批量在启动和OIR事件时分配和执行改动，平均修复时间（MTTR）将会最大限度地缩短。通过校验逐步进行的配置升级，配置管理器让CRS-1可以在正常运行过程中支持配置升级上载或者恢复。
  为了解决大型边界网关协议（BGP）路由配置在多机架路由环境中带来的挑战，Cisco IOS XR软件还提供了一种新的路由策略语言（RPL），它能够将数千个BGP对等操作集中到一个或者多个紧凑的逻辑路由器配置中。
  

• 嵌入式记帐
  记帐是网络管理在流量工程、计费和安全方面的一个不可或缺的重要组成部分。
  为了支持嵌入式记帐管理，CRS-1提供了一个新版本的NetFlow——静态NetFlow。NetFlow是动态的，可以采集、汇聚和输出大量的数据进行分析，而静态NetFlow对分组流的处理方式与访问控制列表（ACL）类似，但是具有扩展字段，例如源和目的地的自主系统编号和多协议标签交换（MPLS）标签。利用静态NetFlow，可以定义一个具有扩展ACL的流量过滤器，以便跟踪某个特定数据流的分组和字节计数器。静态NetFlow计数器的存储和接收方式与可扩展标记语言（XML）或者简单网络管理协议（SNMP）计数器相同。
  为了提高效率，静态NetFlow部署在CRS-1的硬件中（以微代码的形式），以便最大限度地降低对路由器的CPU性能的影响。一旦计数器被采集，它们就将通过线卡数据接口，输出到外部采集器。这消除了对性能的负面影响，因为CRS-1可以在控制面板和数据面板之间提供完全的隔离。
  

• 嵌入式性能监控
  在基于单机箱平台的大型网络中，性能监控和趋势分析很难实现。来自于为数众多的网络组件的大量可用数据通常会超出负责采集、存储、管理和处理数据的OSS性能监控组件的能力。这些数据还可能会对组件和采集器之间的网络流量造成严重的影响。通常，可以通过只针对平台中的特定目标——而不是分析整个网络的趋势——限制所采集的数据的容量。
  因为多机架路由器的规模很大，传统的基于某个集中应用的数据轮询已经无法满足需要，而且效率极低。因此，CRS-1上的性能统计数据和计数器的采集是由内嵌的性能监视器执行的。
  Cisco CRS-1的性能监控能力让操作人员可以定义所要采集的统计数据、采集的频率，以及内存中保存的样本总数。采集操作可以被设置为按需运行或者定期运行（用于分析趋势）。按需采集通常用于进行迅速的调试和诊断，例如查看利用率。无论是按需还是定期采集，数据采集都不会影响同时进行的其他采集流程。在采集阶段结束之后，数据可以被外部采集器轮询，或者输出到外部采集器。
  CRS-1的性能监视器可以在所有支持的实体上，将本地的计数器与用户设置的阈值相比较，例如比较错误计数器和MPLS的接口、连接利用率。阈值条件被定义为对某个相对于阈值（使用百分比或者绝对值）的属性值的逻辑操作。阈值规则将在每次采集期间进行评估。一旦达到或者超过某个阈值条件或者标准，就会立即生成一个阈值超越警报（TCA）。范围操作功能让用户可以跟踪计数器在某个特定范围中的值（例如，CPU利用率介于20%到60%之间），因而可以在系统性能超出预定范围时提供一个功能强大的通知机制。阈值重设规则指定了是否生成阈值通知——即使已经达到阈值条件。这避免了在某些情况下生成大量的阈值通知，例如在很短的时间或者间隔内阈值条件被反复超过。
  搜集到的所有数据都会进行校验，以防止数据在路由处理器进行故障切换或者流程重启 时丢失。与其他事件一样，由嵌入式性能监视器生成的TCA可以像“嵌入式故障管理”部分介绍的那样，自动地对事件采取措施。
  

• 嵌入式安全
  尽管必须通过检测功能防止服务供应商遭受安全故障所导致的损失，但是对这些检测功能的使用也必须得到保护。
  Cisco CRS-1的安全管理访问功能是通过基于安全套接字层（SSL）、Secure Shell（SSH）协议、IP安全（IPSec）、TACACS+和RADIUS的身份验证、授权和记帐（AAA）实现的。另外，新的基于ID的安全功能可以对每项任务提供比典型的、基于角色的访问控制更加精确的控制。在基于任务ID的安全中，可以定义不同的用户类型，并将其分为不同的群组。每个群组都与某个特定的任务组——例如BGP和MPLS任务——相关联，并且设有明确的权限（读取或者写入）。
  任务ID还可以在路由器管理任务授权方面提供灵活性。为了确保软件镜像的完整性，可加载的软件会在安装期间，由安装管理员进行数字签名和身份验证。如果某个软件包没有通过身份验证，它就无法执行。
  　　嵌入式接口
  为了使用嵌入式检测功能提供的信息和控制，路由平台必须通过接口--通常是通过硬件和软件--提供访问途径，即所谓的应用编程接口（API）。这些接口应当是开放的，并且建立在行业标准的基础上。如果接口是专用的，服务供应商就需要为将路由器集成到他们现有的OSS基础设施中付出高得多的成本。而且，随着OSS的发展，他们还将承担更高的维护成本，从而提高了路由器的总拥有成本。
  Cisco CRS-1可通过物理接口和标准的API（如图2所示）访问Cisco IOS XR软件中内嵌的检测功能，其中包括一个内部元数据模型，它可在命令行界面（CLI）、SNMP或XML之间保持管理一致性：
  
  
  
  
  图2 Cisco CRS-1可管理性架构
  
  
  
  
  • 物理接口--因为指向某个发生故障的或者正在初始化的设备的网络连接并不总是可用的，所以CRS-1可以在路由处理器和分布式路由处理器上支持串行控制台/辅助端口和10/100/1000以太网管理接口。作为CRS-1的管理入口，以太网接口都是可路由端口，能够通过ACL控制，根据安全策略过滤管理访问流量。
    
  • Cisco CRS-1 CLI--与大部分网络设备一样，CLI是一种为操作人员所熟悉的传统管理方法。熟悉Cisco IOS CLI的用户将能够迅速地学会和适应Cisco IOS XR CLI。
    
  • SNMP--尽管不一定总是最有效的方法，但是SNMP是管理系统使用的最为普遍的协议之一。为了支持与大部分OSS应用--尤其是事件管理--的集成，Cisco IOS XR软件支持一个广泛的MIB列表和多个SNMP版本，包括SNMPv1、v2c和v3。
    
  • XML--XML也许是最常用的供应集成ARP。它可以为在路由器和管理应用之间格式化、编码和传输复杂的数据提供一个出色的机制。
    
  CRS-1的可编程接口是通过XML提供的。它的丰富机制让操作人员可以迅速地为路由器配置和监控开发管理脚本和顶置的应用。利用XML接口，客户端应用可以将查询请求封装在XML流中，并通过多种传输方法--例如公共对象请求代理体系结构（CORBA）--将其发送到路由器，从而访问CRS-1的管理数据。查询结果将作为一个由XML编码的响应流，返回到客户端。路由器XML机制文档中定义和公布了XML标签。客户端应用可以利用这些标签编码和解码XML流。一个带有标签的响应可以被用于定制外观和设定数据显示的格式，从而不需要分析没有格式化的ASCII文本--在基于文本的响应中经常需要这样做。
  　　嵌入式应用服务--Craft Works接口
  作为一个更加有效、界面更加友好的多机架管理工具，Craft Works接口（CWI）是一个使用了CRS-1 XML接口的内嵌式Java应用，它支持增强的CLI功能、一个文本编辑器和一个可以从Web浏览器启动的GUI（CWI Desktop）。
  　　CWI Config Editor
  利用CWI Config Editor，用户可以在不对目前正在运行的配置造成任何影响的情况下，修改配置和保存配置改动。网络操作人员可以获得标准的全屏编辑功能，例如区块复制和粘贴，命令自动输入，以及检查语法、在最后提交之前查看改动和在实际应用之前验证配置的功能。
  　　CWI CLI
  Cisco IOS XR的CLI支持增强的功能，例如历史命令调用和批处理，从而让CRS-1的管理变成了一种更加个性化的体验。在SSH/Telnet窗口中提供了一个本地命令缓存，将常用命令保存在每个用户的本地存储中。管理人员在登陆到每台路由器之后，可以调用这些常用命令，以加快管理速度和简化应用。另外，管理人员还能够以批处理的方式执行一个事先存储的命令文件。
  　　CWI Desktop
  CWI Desktop（如图3所示）提供了一个GUI，它让操作人员可以直观地查看系统的各个组件及其状态。它提供了对一些由CRS-1支持的、重要的嵌入式FCAPS功能的访问：
  
  
  
  
  图3 CWI Desktop
  
  
  
  
  • 设备树--因为CRS-1是一个多机架系统，所以左栏（如图4所示）中显示的设备树提供了系统的物理机箱或者逻辑路由器视图。这个设备栏可以显示机架、板卡、插槽和端口信息，或者将它们输出到一个结构化的文件格式。每个树条目的颜色代表该组件的状态，并且建立在所生成的最高级别的警报的基础上。CWI警报视图是上下文相关的；如果只针对某个特定的组件启动，那么就只会显示该组件的警报状态。
    
  
  
  
  图4 CWI设备和警报视图
  
  
  
  
  • 警报面板--警报面板（如图5所示）显示了隶属于每种警报严重性等级（严重、重要、次要、警报和不确定）的现有警报的总数。最右侧的计数器表示在现有进程中收到的警报总数。
    
  
  
  
  图5 CWI警报面板
  
  
  
  
  • 机架视图--熟悉CiscoView的网络操作人员会很快适应CWI机架视图工具的可视化外观。通过编程，板卡视图中的LED可以传达查看机箱视图的网络运营中心（NOC）操作人员向物理机箱所在地的现场技术人员发出的简单讯息。例如，NOC操作人员可以在某个物理卡上创建一个文本消息，告知现场技术人员该卡需要移除。
    
  
  
  
  图6 CWI机架视图
  
  
  
  
  • 配置桌面--配置桌面（如图7所示）为简化路由策略、ACL、服务质量（QoS）和多种协议（例如BGP、中间系统－中间系统（IS-IS）、开放最短路径优先（OSPF）、MPLS-TE和资源预留协议（RSVP））的设置提供了一个GUI。例如，假设必须在所有接口上设置一个新的MTU。如果接口不多，可以使用CLI。但是，如果接口有几百个，甚至上千个，CLI设置就需要投入大量的人力。然而，操作人员只需点击几下鼠标，就可以利用CWI配置桌面，将这项改动统一地应用于所有的接口，从而提高生产率和降低运营成本。
    
  
  
  
  图7 CWI配置桌面
  
  　　结论
  高利润的服务供应商网络依赖于可以提供不间断的系统运行和出色的服务灵活性的下一代路由平台。要为核心路由平台提供极高的可用性和方便的服务供应，关键是采用一个强大的可管理性解决方案。通过支持嵌入式检测、接口和应用服务，思科运营商路由系统为集成在现有OSS环境中的路由和可管理性技术提供了一个重要的发展方向。
  如需了解更多关于补充性EMS和OSS解决方案的信息，请联络您的思科客户代表。
  　　参考资料
  　　思科网络管理系统：最佳实践 (PDF)
  http://www.cisco.com/warp/public/126/NMS_bestpractice.pdf
  　　Cisco CRS-1系统概述
  http://www.cisco.com
  　　Cisco CRS-1的高可用性
  http://www.cisco.com
  　　Cisco CRS-1的安全性
  http://www.cisco.com
  
  
• 　　------------------------------------------------------------------
  安全性
  思科运营商路由系统和它的分布式、模块化Cisco IOS XR软件微内核架构可以通过跨越管理、控制和数据面板的内嵌检测、访问控制和流程隔离技术，支持高度安全、持续的系统运营。
  　　服务供应商利润面临的威胁
  对于服务供应商而言，网络安全与业务发展息息相关。由于病毒、入侵、操作错误和软件配置错误所导致的安全事件可能会导致广泛的相关成本提高和一系列后果，例如服务中断、经济损失、客户不满、生产率降低，甚至媒体关注。为了保护收入和利润，服务供应商必须保护他们的基础设施，为安全连接、威胁防范和终端保护提供可管理的服务。
  为了在一个安全威胁（例如拒绝服务[DDoS]攻击）层出不穷和策略日益复杂的环境中保持很高的可用性，服务供应商希望采用新的路由和交换解决方案。这些解决方案应当可以提供有效、内嵌、基于硬件的安全检测，从而建立自我防御网络。这些新的不间断系统运营解决方案必须支持：
  
  
  
  • 访问隔离、故障隔离和内存保护
    
  • 无缝的软件和硬件恢复
    
  • 配置和管理保护
    
  • 主动、迅速的响应
    
  　　思科运营商路由系统
  思科运营商路由系统（CRS-1）是一个多机架路由平台，采用了一个模块化、分布式的微内核操作系统——Cisco IOS XR（如图1所示）。
  
  
  
  图1 Cisco IOS XR软件的体系结构
  
  在设计CRS-1时，思科的开发人员利用了Cisco IOS软件的互联网安全经验。Cisco IOS XR软件的模块化架构在逻辑上和物理上都具有分布式的特性（如图1所示），因而可以在创建一个高度可用的、安全的路由平台和网络方面提供巨大的优势。分散的软件组件（子系统）被部署为独立的软件流程，运行在它们自己的受保护的内存地址空间中。这可以在发生安全事件时实现真正的故障隔离和分区，防止一个子系统中发生的故障对其他的子系统造成不利影响。
  与像FreeBSD UNIX这样的单内核架构不同，网络堆栈（例如TCP）作为一个单独的进程，在微内核之外运行。因此，即使TCP堆栈受到安全威胁，系统仍然可以正常运行。在需要恢复服务时，相关流程会自动重启，不需要人为干预。此外，模块化软件架构和服务中软件升级（ISSU）支持让用户可以在不关闭整个系统的情况下，迅速地安装一个补丁。
  在Cisco IOS XR软件中保持深入的故障隔离和实现安全检测的关键是，它在三个面板之间对流程进行了逻辑分配。每个面板都采用了自己的访问控制机制，以实现网络的安全运行。这三个面板分别是：
  
  
  
  • 控制面板
    
  • 数据面板
    
  • 管理面板
    
  　　控制面板保护
  所有路由控制信息都在控制面板进行交换，这使得控制面板及其组件成为了一个攻击目标。因为控制面板的永续性取决于CPU的处理能力和可扩展性，所以针对CPU的“资源耗尽式”攻击并不少见。
  为了支持可扩展性和性能，CRS-1控制面板采用了分布式、冗余的路由处理器——对称式多处理器（SMP）CPU。在正常情况下，CRS-1所传输的流量由它的线卡以线速进行处理。但是，在发生意外情况时，分组被转发到路由器本身。这些包括路由协议、互联网控制消息协议（ICMP）和网络管理分组在内的“转移分组”将从线卡分组处理器发送到线卡CPU或者路由处理器CPU。
  为了防止控制面板在一个开放的环境中遭受DoS攻击，CRS-1在线卡和它的分组处理器中分配了多种层次化的安全功能。这些功能包括：
  
  
  
  • 动态控制面板保护（DCPP）
    
  • 自动控制面板拥塞过滤器
    
  • 控制面板生存时间（TTL）完整性检查（RFC 3682，通用TTL安全机制（GTSM））
    
  • 边界网关协议（BGP）路由协议过滤和路由策略语言（RPL）
    
  　　动态控制面板保护
  由于违反规定的行为（例如入侵者转移或者分析网络流量）所导致的未经授权的或者恶意的路由更新可能会威胁网络安全。部署基于报文摘要算法5（MD5）的相邻路由器身份验证是避免伪装的一种常用方法，它实际上确保了路由器从某个可靠的来源获得可靠的信息——但是这仅仅是第一步。如果伪装的BGP分组开始涌向路由器，接收路径访问控制列表（ACL）和模块化QoS CLI（MQC）速率限制能够准确地控制这些分组的传输。但是，ACL和MQC控制并不是自动进行的。如果BGP对等主机关机或者重启，第四层端口编号就会随着每个进程的重新建立而改变。因此，网络设计人员一直在寻找一种自动、动态的方式来准许经过设置的BGP对等进程和丢弃未经设置的进程。
  为此，CRS-1为线卡分组处理提供了一个DCPP方法。利用DCPP，经过正确设置的BGP对等进程会自动获得足够的资源，而未经设置的进程则会被丢弃或者获得最低限度的处理。这种准许－拒绝模式建立在静态设置的IP地址和动态的第四层端口号之间的关联关系的基础上。在身份验证和建立最大限度的准入控制之前，需要为初始连接设置不同的资源策略。控制面板分组必须经过是一个多层次的事先筛选流程，直到得到一个内部搜索表的授权之后，它们才会获得足够的资源。这种自动化的流程可以节约网络管理员为了其他关键任务进行手动设置所需要的时间。
  　　自动控制面板拥塞过滤器
  在严重的DoS或者DDoS攻击导致线卡超出CRS-1的插槽容量时，控制机制会以特定用途集成电路（ASIC）的速度执行，将超出线卡容量的分组导入第三层模块化服务卡（MSC）上的硅分组处理器，从而确保控制面板分组得到优先处理。在网络管理员利用其他安全工具安装缓解方案以解决问题时，这种功能可以保持拓扑的完整性。
  　　控制面板TTL完整性检查（RFC 3682，GTSM）
  大部分控制协议对等进程都建立在相邻或者直连的路由器之间。在GTSM（过去被称为BGP TTL安全破解[BTSH]）出现之前，从非定向对等节点发往路由器的BGP分组必须由路由器CPU进行处理。在生成大量这类分组时，它会导致一个严重的DDoS攻击，从而耗尽CPU资源。现在，管理员可以利用GTSM对BGP对等分组进行TTL检查，从而在MSC SPP中有效地阻止所有非定向BGP伪装分组。
  这些技术还可用于很多其他的应用，例如标签分发协议（LDP）和资源预留协议（RSVP）。RSVP可以利用通用GTSM的功能。由于CRS-1采用了完全可编程的MSC架构，GTSM对于其他应用协议的支持可以被方便地添加到MSC。
  　　BGP路由协议过滤和RPL
  BGP是互联网上最基础的路由协议之一。不幸的是，如果BGP在没有采用适当的前缀过滤措施的情况下遭受攻击，互联网上将会出现大量的“垃圾”流量。因此，前缀过滤多年以来一直是互联网服务供应商（ISP）行业的最佳实践之一。（如需了解更多信息，请访问http://www.ispbook.com）
  但是，随着路由策略的日益复杂和每台对等路由器必须交互的对等主机的不断增多，服务供应商在如何成功地部署前缀过滤方面面临着艰巨的挑战。为此，思科推出了RPL，并将其集成到了Cisco IOS XR软件中。针对大规模路由配置而开发的RPL具有一些重要的功能，可以改进传统路由图中的设置，以及ACL或者面向前缀列表的配置。
  第一项改进是模块化的策略组件。这样，通用的策略模块可以独立地定义和维护。这些通用模块可用于其他策略模块，以构成完整的策略，从而减少需要维护的配置信息。另外，可以为这些通用策略模块设置参数。这使得网络管理员可以将那些具有相同结构，但是特定参数不同的策略作为独立的策略模块进行维护。例如，三个除了本地优先值以外完全相同的策略可以表示为一个统一的策略，并使用不同的本地优先值作为策略的参数。
  RPL还采用了集合的概念。它是可以被用于路由属性匹配和设置操作中的类似数据的容器。有多种不同的集合类型，例如前缀集合、公共集合、as-path集合和扩展公共集合，它们包含了相应的群组。这些集合分别类似于传统的Cisco IOS软件配置中的前缀列表、公共列表、as-path列表和扩展公共列表，但是两者之间存在一个重要的区别。集合并不包括Cisco IOS软件配置中的“接受”和“拒绝”的概念。集合仅仅是数据的容器。大部分集合还拥有一个内嵌变量，它允许在完全在内部指定的数据值，而不需要引用某个只包含部分数据的特定集合。
  决策——例如接受还是丢弃路由——完全取决于所制定的策略。RPL让用户可以将匹配的操作符（可能使用集合数据）和传统布尔逻辑操作符（“与”、“或”和“非”）集成到复杂的条件表达式中。所有匹配操作符都会返回一个“真”或“伪”结果。这些条件表达式的执行和相关操作都可以由用户所指定的、简单的“if-then，else-if，else”结构控制。这使得策略的评估路径可以完全由用户设置。
  随着RPL的采用，对等策略预计将会比现有的、基于路由图的对等语句更加模块化和更有效率。RPL可以提供必要的可扩展性，使得用户能够通过一个多机架路由系统（例如CRS-1）与数千个对等主机进行对等通信。
  
  　　数据面板保护
  数据面板可以接收、处理和传输网络组件之间的网络数据，控制进出路由器的大量网络流量。为了防止数据面板流量遭受已知的攻击，CRS-1的转发引擎中内置了一些缺省的完整性检查（基于互联网行业积累的知识）。此外，CRS-1还提供了多种功能和工具，例如ACL、单播反向路径转发（uRPF）和NetFlow记帐，并在MSC上进行专门的输入和输出处理。
  
  
  
  • ACL——ACL（包括IPv4和IPv6）是很多路由器数据面板应用——例如分组分类、速率限制、统计和审核——的一个重要组成部分。它实际上是一个针对分组的准许－拒绝操作符。 Cisco CRS-1的设计目的是满足最严格的性能和可扩展性要求，因而它能够在网络负载繁重的情况下以线速处理ACL。例如，在处理200万个路由和500个BGP对等主机的同时，CRS-1可以在不影响性能的情况下处理数千个ACL及其条目。
    
  • uRPF——Cisco CRS-1支持uRPF（严格和松散模式）。它使得Cisco CRS-1可以通过丢弃缺乏可验证的IP源地址的IP分组，解决因为在网络中引入错误的或者伪装的IP源地址所导致的问题。当某个接口启用uRPF严格模式时，路由器会检查接收到的所有分组，验证源地址和接口是否出现在路由表中，以及与收到分组的接口是否匹配。 uRPF松散模式是在ISP行业广泛使用的触发式黑洞过滤技术的基础。在松散模式下，uRPF可以根据源IP地址有效地丢弃DoS和DDoS攻击分组，并在很短的时间内将该方案发送到数百台路由器。
    
  • NetFlow——记帐是网络管理在流量工程、网络监控和计费领域的一个不可或缺的组成部分。NetFlow最初是一个记帐应用，可以为查看单个分组报头的内部信息、按照不同的流量等级汇总分组，以及搜集每个流量等级的统计数据和详细路由信息提供一个有效的机制。部署于Cisco IOS XR软件中的NetFlow统计数据构成了一个重要的数据库。它可以精确地发现流量的细微行为，从而为流量工程和安全分析提供支持。
    
  • 静态NetFlow和分组监听——Cisco IOS XR软件还支持功能超过NetFlow的静态NetFlow。与动态的NetFlow不同，静态NetFlow对待分组流的方式与ACL处理数据的方式很类似，但是它具有一些扩展字段，例如源或者目的地自治系统号和多协议标签交换（MPLS）标签。利用静态NetFlow，管理员可以定义一个带有扩展ACL的数据流过滤器，以跟踪某个特定数据流的分组或者字节计数器。大量的NetFlow数据能够与某个扩展ACL关联，从而让操作人员可以过滤其他数据，直接找到他们所感兴趣的数据流，从而为防御DoS和DDoS攻击创造了又一个有效的工具。
    
  从Cisco IOS XR静态NetFlow功能中衍生出来的带内分组监听采用了与静态NetFlow相同的功能，例如类似于ACL的过滤，且还可以搜集样本，并将它们转发到某个指定的目的地。
  　　管理面板保护
  管理面板是所有与路由平台的系统管理有关的流量的逻辑路径。在一个分布式、模块化的环境中，管理面板可以提供新的复杂度等级，因而提高了对于确保安全访问的要求。这种安全访问最好通过下列手段实现：
  
  
  
  • 拒绝缺省访问——一个已知的、常见的系统漏洞是在缺省情况下启用某些协议。这些开放的端口导致了一些让入侵者有可乘之机的安全漏洞。为了满足服务供应商的要求，CRS-1采用了专门的设计，即在缺省配置下关闭所有这些服务，直到由操作人员手动启用这些服务。
    
  • 身份验证、授权和记帐（AAA）和加密协议——所有对路由器的访问和路由器对外的访问都应当被加密和控制。Cisco CRS-1支持AAA身份验证和加密协议SSH、SSL、IPSec和SNMPv3。利用ACL，还可以使用其他的控制功能，将访问权限只限制于特定的源主机。每个用户都可以被明确归于某个AAA区域，以反映用户的访问权限。
    
  • 隔离管理端口——核心路由器和交换机通常都带有专用的管理以太网端口，它们可能会导致对设备的不安全访问。Cisco CRS-1以太网管理端口都是可以路由的，因而可以通过AAA访问控制和加密进行控制。隔离数据和控制面板流量可以防止它们不会“干扰”。ACL可以被用于阻塞干扰，而且管理员利用Cisco Craft Works界面（CWI），只需点击几下鼠标就可以在多个端口之间有效地部署ACL。CWI是一个专门为多机架路由器管理而设计的增值GUI工具。
    
  • 基于角色的权限模式——因为未经授权的或者缺乏经验的网络操作人员可能会对系统的可用性造成威胁，服务供应商需要用灵活的方法，根据用户所设定的标准分配操作人员的权限。
    
  Cisco IOS XR软件可以通过一种方便、灵活的方法，向特定的操作人员或团队分配适当的访问权限，从而实现一种基于角色的权限模式。它可以将各项操作业务设置为不同的任务。例如，BGP配置是一项任务，而开放最短路径优先（OSPF）是另外一项任务。系统重启也是另外一项任务。每项任务都具有一个与众不同的标识号——任务ID，并且具有指定的读取或者写入权限。用户可以与任务组关联，以继承相应的访问权限。为了确保安全，任务ID可以与AAA服务器配合，为访问路由器提供最大限度的集中控制。
  　　总结
  DoS和DDoS攻击是互联网现状的重要组成部分，也是服务供应商的盈利能力面临的最严重的威胁之一。为了保护利润，服务供应商必须在具有嵌入式安全检测功能的下一代路由系统的基础上建设一个自我防御网络。服务供应商应当确保该系统的成功，并在整个网络中采用最佳实践。
  Cisco CRS-1的分布式、模块化架构通过内存保护，逻辑路由器内部的服务隔离，以及管理、控制和数据面板之间的流程隔离，支持高度安全的、不间断的系统运营。
  除了CRS-1的内嵌功能和推荐的最佳实践以外，思科产品安全事件响应团队（PSIRT）是一个全球性的专家小组，每天24小时待命。他们能够迅速地解决涉及到思科产品的客户安全事件和消除产品的安全漏洞。借助于思科在网络市场上的领先优势，思科客户可以获得业界独一无二的、主动、迅速的响应服务。
  如需了解更多关于Cisco CRS-1安全功能的信息，请联络您的思科客户团队，或者访问http://www.cisco.com。如需了解关于思科PSIRT和现有建议的最新信息，请访问：http://www.cisco.com/go/psirt。
  　　参考资料
  “CRS-1 系统概述”
  http://www.cisco.com/
  Barry Greene 和Philip Smith, “ISP Essentials,”
  http://www.ispbook.com
  Vijay Gill、John Heasley和David Meyer, “RFC 3682—通用TTL安全机制(GTSM)”
  http://www.ietf.org/rfc/rfc3682.txt
  Vijay Gill, “缺少优先级排序功能，路由处理器会对系统的安全性造成不利影响”
  http://www.nanog.org/mtg-0302/gill.html
  “加强思科路由器的安全性”
  http://www.cisco.com/warp/public/707/21.html
  P. Ferguson 和 D. Senie, “RFC 2827—网络输入过滤: 阻止利用IP源地址伪装发动的拒绝服务攻击”
  http://www.ietf.org/rfc/rfc2827.txt