数据层面：
FPM Flexible Packet Matching
FPM是CisCOIOS新一代的ACL根据任意条件，无无状态的匹配数据包的头部负载，或者全部分析协议，更易于规则的创建用于替代传统ACL，对特定恶意流量的基础架构过滤
- 无状态
- ipv4单播
- 不支持option选项
- 不支持tunnel接口
- 不支持WAN
- 不支持初始化分片
匹配流量方式：
- the use of a Protocol Header Description File (PHDF)
- direct matching of traffic based on length and offset
- a mix of the two
查看fpm文件
more system:/fpm/phdf/ip.phdf
more system:/fpm/phdf/tcp.phdf
more system:/fpm/phdf/udp.phdf
more system:/fpm/phdf/icmp.phdf
moresystem:/fpm/phdf/ether.phdf
上传文件后加载
load protocol system:/fpm/phdf/ip.phdf
load protocol system:/fpm/phdf/tcp.phdf
load protocol system:/fpm/phdf/udp.phdf
NetFlow介绍
■提供高层次的诊断，·分类和识别网络异常。
■使用netflow来检查那些行为改变明显的攻击是非常有效的
■就像wiretap一样捕获数据包
■NetFlow像电话账单
·通过学习话单，你可以学习到很多：谁在和谁进行通话，通过什么协议和端口，多长时间，速度如何，持续多久等等。
·NetFlow是某种形式上的遥感技术，路由器和交换机作为一个感应器，推送流量信息到NetFlow collector。
标准 只能对 键值
灵活 键值和非键值
用途：
Network monitoring(网络监控)
Application monitoring and profiling(应用监控和分析)
User monitoring and profiling（用户监控和分析）
Network planning and analysis（网络规划和分析）
Security analysis(安全分析)
Billing and accounting(记账和审计)
netflow 组件：
实验：
!
flow record QYT-Record
match ipv4 source address
match ipv4 destination address
collect counter bytes
!
!
flow exporter Netflow-Exporter
destination 202.100.1.241
transport udp 666
export-protocol'netflow-v9
flow monitor Monitor1
exporter Netflow-Exporter
record QYT-Record
!
!
flow monitor Monitor2
exporter Netflow-Exporter
record netflow ipv4 original-input
!
!
interface GigabitEthernet1
ip flow monitor Monitor2 input
ip address 202.100.1.10 255.255.255.0
!
interface GigabitEthernet2
ip flow monitor Monitor1 input
ip address 10.1.1.10 255.255.255.0
!
ip flow-top-talkers
top 5
sort-by packets
match protocol 1
!
flow-sampler-map QYT
mode random one-out-of 10
!
interface GigabitEthernet1
flow-sampler QYT
!
show flow exporter statistics
show flow monitor name Monitor1 cache format table
show ip flow top-talkers
PRGT 图形工具
控制层面
- 为数据层面构建路由表和转发表
- 在进程级别上运行
- 与慢速数据路径进程(slow data path processes)和管理进程分享CPU资源
- 默认情况下，也分享到主CPU的路径(队列)
CoPP提供基本的资源保护功能
- 允许或拒绝到控制层面的访问
- 对访问控制层面的流量限速
- 比基础设施ACL更便于管理
- 在一个虚拟Control Plane接口上配置一个Service Policy
CPPr提供灵活的资源保护和设备防火墙功能
- 创建多个队列到进程级别
- 自动分离主机终结的流量和慢速过境的数据层面流量
- 配置一个ServicePolicy并在一个虚拟Control Plane子接口上调用
host subinterface ：SSH、SNMP、BGP、OSPF、EIGRP
transit subinterface：数据包并非直接发往路由器本身，而是穿越路由器的流量
CEF-exception subinterface：i.e. ARP, L2 Keepalives and all non-IP host traffic
管理层面
- 提供对设备管理特性的访问
- 在进程级别上运行
- 与慢速数据路劲进程和control plane进程分享CPU资源
- 默认情况下，也分享到主CPU的路径(队列)
可以过滤抵达设备的管理访问，使用多重的独立机制：接口ACL、服务特殊的ACL、CoPP、MPP
CPU/MEM通告
系统调用)
