Access-list　　定义一个标准的IP ACL 

　　 Access-template　　在连接的路由器上手动替换临时访问列表入口 

　　 Appn　　向APPN子系统发送命令 

　　 Atmsig　　 执行ATM信令命令 

　　 B 　　手动引导操作系统 

　　 Bandwidth 　　设置接口的带宽 

　　 Banner motd 　　指定日期信息标语 

　　 Bfe 　　设置突发事件手册模式 

　　 Boot system 　　指定路由器启动时加载的系统映像 

　　 Calendar 　　设置硬件日历 

　　 Cd 　　更改路径 

　　 Cdp enable 　　允许接口运行CDP协议 

　　 Clear 　　复位功能 

　　 Clear counters 　　清除接口计数器 

　　 Clear interface 　　重新启动接口上的件逻辑 

　　 Clockrate 　　设置串口硬件连接的时钟速率，如网络接口模块和接口处理器能接受的速率 

　　 Cmt 　　开启/关闭FDDI连接管理功能 

　　 Config-register 　　修改配置寄存器设置 

　　 Configure 　　允许进入存在的配置模式，在中心站点上维护并保存配置信息 

　　 Configure memory 　　从NVRAM加载配置信息 

　　 Configure terminal 　　从终端进行手动配置 

　　 Connect 　　打开一个终端连接 

　　 Copy 　　复制配置或映像数据 

　　 Copy flash tftp 　　备份系统映像文件到TFTP服务器 

　　 Copy running-config startup-config 　　将RAM中的当前配置存储到NVRAM 

　　 Copy running-config tftp 　　将RAM中的当前配置存储到网络TFTP服务器上 

　　 Copy tftp flash 　　从TFTP服务器上下载新映像到Flash 

　　 Copy tftp running-config 　　从TFTP服务器上下载配置文件 

　　 Debug 　　使用调试功能 

　　 Debug dialer 　　显示接口在拨什么号及诸如此类的信息 

　　 Debug ip rip 　　显示RIP路由选择更新数据 

　　 Debug ipx routing activity 　　显示关于路由选择协议(RIP)更新数据包的信息 

　　 Debug ipx sap 　　显示关于SAP（业务通告协议）更新数据包信息 

　　 Debug isdn q921 　　显示在路由器D通道ISDN接口上发生的数据链路层（第2层）的访问过程 

　　 Debug ppp 　　显示在实施PPP中发生的业务和交换信息 

　　 Delete 　　删除文件 

　　 Deny 　　为一个已命名的IP ACL设置条件 

　　 Dialer idle-timeout  　　规定线路断开前的空闲时间的长度 

　　 Dialer map 　　设置一个串行接口来呼叫一个或多个地点 

　　 Dialer wait-for-carrier-time 　　规定花多长时间等待一个载体 

　　 Dialer-group 　　通过对属于一个特定拨号组的接口进行配置来访问控制 

　　 Dialer-list protocol 　　定义一个数字数据接受器（DDR）拨号表以通过协议或ACL与协议的组合来控制控制拨号 

　　 Dir 　　显示给定设备上的文件 

　　 Disable 　　关闭特许模式 

　　 Disconnect 　　断开已建立的连接 

　　 Enable 　　打开特许模式 

　　 Enable password 　　确定一个密码以防止对路由器非授权的访问 
          
          Enable password 　　设置本地口令控制不同特权级别的访问 

　　 Enable secret 　　为enable password命令定义额外一层安全性 (强制安全，密码非明文显示)

　　 Encapsulation frame-relay 　　启动帧中继封装 

　　 Encapsulation novell-ether 　　规定在网络段上使用的Novell独一无二的格式 

　　 Encapsulation PPP 　　把PPP设置为由串口或ISDN接口使用的封装方法 

　　 Encapsulation sap 　　规定在网络段上使用的以太网802.2格式Cisco的密码是sap 

　　 End 　　退出配置模式 

　　 Erase 　　删除闪存或配置缓存 

　　 Erase startup-config 　　删除NVRAM中的内容 

　　 Exec-timeout 　　配置EXEC命令解释器在检测到用户输入前所等待的时间 

　　 Exit 　　退出所有配置模式或者关闭一个激活的终端会话和终止一个EXEC 

　　 Exit 　　终止任何配置模式或关闭一个活动的对话和结束EXEC 

　　 format 　　格式化设备 

　　 Frame-relay local-dlci 　　为使用帧中继封装的串行线路启动本地管理接口（LMI） 

　　 Help 　　获得交互式帮助系统 

　　 History 　　查看历史记录 

　　 Hostname 　　使用一个主机名来配置路由器，该主机名以提示符或者缺省文件名的方式使用 

　　 Interface 　　设置接口类型并且输入接口配置模式 

　　 Interface 　　配置接口类型和进入接口配置模式 

　　 Interface serial 　　选择接口并且输入接口配置模式 

　　 Ip access-group 　　控制对一个接口的访问 

　　 Ip address 　　设定接口的网络逻辑地址 

　　 Ip address 　　设置一个接口地址和子网掩码并开始IP处理 

　　 Ip default-network 　　建立一条缺省路由 

　　 Ip domain-lookup 　　允许路由器缺省使用DNS 

　　 Ip host 　　定义静态主机名到IP地址映射 

　　 Ip name-server 　　指定至多6个进行名字-地址解析的服务器地址 

　　 Ip route 　　建立一条静态路由 

　　 Ip unnumbered 　　在为给一个接口分配一个明确的IP地址情况下，在串口上启动互联网协议（IP）的处理过程 

　　 Ipx delay 　　设置点计数 

　　 Ipx ipxwan 　　在串口上启动IPXWAN协议 

　　 Ipx maximum-paths 　　当转发数据包时设置Cisco IOS软件使用的等价路径数量 

　　 Ipx network 　　在一个特定接口上启动互联网数据包交换（IPX）的路由选择并且选择封装的类型（用帧封        装） 

　　 Ipx router 　　规定使用的路由选择协议 

　　 Ipx routing 　　启动IPX路由选择 

　　 Ipx sap-interval 　　在较慢的链路上设置较不频繁的SAP（业务广告协议）更新 

　　 Ipx type-20-input-checks 　　限制对IPX20类数据包广播的传播的接受 

　　 Isdn spid1 　　在路由器上规定已经由ISDN业务供应商为B1信道分配的业务简介号（SPID） 

　　 Isdn spid2 　　在路由器上规定已经由ISDN业务供应商为B2信道分配的业务简介号（SPID） 

　　 Isdntch-type 　　规定了在ISDN接口上的中央办公区的交换机的类型 

　　 Keeplive 　　为使用帧中继封装的串行线路LMI（本地管理接口）机制 

　　 Lat 　　打开LAT连接 

　　 Line 　　确定一个特定的线路和开始线路配置 

　　 Line concole 　　设置控制台端口线路 

　　 Line vty 　　为远程控制台访问规定了一个虚拟终端 

　　 Lock 　　锁住终端控制台 

　　 Login 　　在终端会话登录过程中启动了密码检查 

　　 Login 　　以某用户身份登录，登录时允许口令验证 

         Logout 　　退出EXEC模式 

　　 Mbranch 　　向下跟踪组播地址路由至终端 

　　 Media-type 　　定义介质类型 

　　 Metric holddown 　　把新的IGRP路由选择信息与正在使用的IGRP路由选择信息隔离一段时间 

　　 Mrbranch 　　向上解析组播地址路由至枝端 

　　 Mrinfo 　　从组播路由器上获取邻居和版本信息 

　　 Mstat 　　对组播地址多次路由跟踪后显示统计数字 

　　 Mtrace 　　由源向目标跟踪解析组播地址路径 

　　 Name-connection 　　命名已存在的网络连接 

　　 Ncia 　　开启/关闭NCIA服务器 

　　 Network 　　把一个基于NIC的地址分配给一个与它直接相连的路由器把网络与一个IGRP的路由选择的过程联系起来在IPX路由器配置模式下，在网络上启动加强的IGRP 

　　 Network 　　指定一个和路由器直接相连的网络地址段 

　　 Network-number 　　对一个直接连接的网络进行规定 

　　 No shutdown 　　打开一个关闭的接口 

　　 Pad 　　开启一个X.29 PAD连接 

　　 Permit 　　为一个已命名的IP ACL设置条件 

　　 Ping 　　把ICMP响应请求的数据包发送网络上的另一个节点检查主机的可达性和网络的连通性对网络的基本连通性进行诊断 

　　 Ping 　　发送回声请求，诊断基本的网络连通性 

　　 Ppp 　　开始IETF点到点协议 

　　 Ppp 　　authentication 启动Challenge握手鉴权协议（CHAP）或者密码验证协议（PAP）或者将两者都启动，并且对在接口上选择的CHAP和PAP验证的顺序进行规定 

　　 Ppp chap hostname 　　当用CHAP进行身份验证时，创建一批好像是同一台主机的拨号路由器 

　　 Ppp chap password 　　设置一个密码，该密码被发送到对路由器进行身份验证的主机命令对进入路由器的用户名/密码的数量进行了限制 

　　 Ppp pap sent-username 　　对一个接口启动远程PAP支持，并且在PAP对同等层请求数据包验证过程中使用sent-username和password 

　　 Protocol 　　对一个IP路由选择协议进行定义，该协议可以是RIP，内部网关路由选择协议（IGRP），开放最短路径优先（OSPF），还可以是加强的IGRP 

　　 Pwd 　　显示当前设备名 

　　 Reload 　　关闭并执行冷启动；重启操作系统 

　　 Rlogin 　　打开一个活动的网络连接 

　　 Router 　　由第一项定义的IP路由协议作为路由进程，例如：router rip 选择RIP作为路由协议 

　　 Router igrp 　　启动一个IGRP的路由选择过程 

　　 Router rip 　　选择RIP作为路由选择协议 

　　 Rsh 　　执行一个远程命令 

　　 Sdlc 　　发送SDLC测试帧 

　　 Send　　 在tty线路上发送消息 

　　 Service password-encryption 　　对口令进行加密 

　　 Setup 　　运行Setup命令 

　　 Show 　　显示运行系统信息 

　　 Show access-lists 　　显示当前所有ACL的内容 

　　 Show buffers 　　显示缓存器统计信息 

　　 Show cdp entry 　　显示CDP表中所列相邻设备的信息 

　　 Show cdp interface 　　显示打开的CDP接口信息 

　　 Show cdp neighbors 　　显示CDP查找进程的结果 

　　 Show dialer 　　显示为DDR（数字数据接受器）设置的串行接口的一般诊断信息 

　　 Show flash 　　显示闪存的布局和内容信息 

　　 Show frame-relay lmi 　　显示关于本地管理接口（LMI）的统计信息 

　　 Show frame-relay map 　　显示关于连接的当前映射入口和信息 

　　 Show frame-relay pvc 　　显示关于帧中继接口的永久虚电路（pvc）的统计信息 

　　 Show hosts 　　显示主机名和地址的缓存列表 

　　 Show interfaces 　　显示设置在路由器和访问服务器上所有接口的统计信息 

　　 Show interfaces 　　显示路由器上配置的所有接口的状态 

　　 Show interfaces serial 　　显示关于一个串口的信息 

　　 Show ip interface 　　列出一个接口的IP信息和状态的小结 

　　 Show ip interface 　　列出接口的状态和全局参数 

　　 Show ip protocols 　　显示活动路由协议进程的参数和当前状态 

　　 Show ip route 　　显示路由选择表的当前状态 

　　 Show ip router 　　显示IP路由表信息 

　　 Show ipx interface 　　显示Cisco IOS软件设置的IPX接口的状态以及每个接口中的参数 

　　 Show ipx route 　　显示IPX路由选择表的内容 

　　 Show ipx servers 　　显示IPX服务器列表 

　　 Show ipx traffic 　　显示数据包的数量和类型 

　　 Show isdn active 　　显示当前呼叫的信息，包括被叫号码、建立连接前所花费的时间、在呼叫期间使用的自动化操作控制（AOC）收费单元以及是否在呼叫期间和呼叫结束时提供AOC信息 

　　 Show isdn ststus 　　显示所有isdn接口的状态、或者一个特定的数字信号链路（DSL）的状态或者一个特定isdn接口的状态 

　　 Show memory 　　显示路由器内存的大小，包括空闲内存的大小 

　　 Show processes 　　显示路由器的进程 

　　 Show protocols 　　显示设置的协议 

　　 Show protocols 　　显示配置的协议。这条命令显示任何配置了的第3层协议的状态 

　　 Show running-config 　　显示RAM中的当前配置信息 

　　 Show spantree 　　显示关于虚拟局域网（VLAN）的生成树信息 

　　 Show stacks 　　监控和中断程序对堆栈的使用，并显示系统上一次重启的原因 

　　 Show startup-config 　　显示NVRAM中的启动配置文件 

　　 Show ststus 　　显示ISDN线路和两个B信道的当前状态 

　　 Show version 　　显示系统硬件的配置，软件的版本，配置文件的名称和来源及引导映像 

　　 Shutdown 　　关闭一个接口 

　　 Telnet 　　开启一个telect连接 

　　 Term ip 　　指定当前会话的网络掩码的格式 

　　 Term ip netmask-format 　　规定了在show命令输出中网络掩码显示的格式 

　　 Timers basic 　　控制着IGRP以多少时间间隔发送更新信息 

　　 Trace 　　跟踪IP路由 

　　 Username password 　　规定了在CHAP和PAP呼叫者身份验证过程中使用的密码 

　　 Verify　　 检验flash文件 

　　 Where　　 显示活动连接 

　　 Which-route　　 OSI路由表查找和显示结果 

　　 Write　　 运行的配置信息写入内存，网络或终端 

　　 Write erase 　　现在由copy startup-config命令替换 

　　 X3 　　在PAD上设置X.3参数 

　　 Xremote 　　进入XRemote模式

　　一 前言

　　首先要澄清一下名字的混淆：
　　1 SSL(Secure SocketLayer)是netscape公司设计的主要用于web的安全传输协议。这种协议在WEB上获得了广泛的应用。
　　2 IETF(http://www.ietf.org/)将SSL作了标准化，即RFC2246,并将其称为TLS（TransportLayer Security），从技术上讲，TLS1.0与SSL3.0的差别非常微小。由于本文中没有涉及两者间的细小差别，本文中这两个名字等价。
　　3 在WAP的环境下，由于手机及手持设备的处理和存储能力有限，wap论坛（http://www.wapforum.org/）在TLS的基础上做了...S协议（Wireless Transport Layer Security），以适应无线的特殊环境。

　　我们从各式各样的文章中得知，SSL可以用于保密的传输，这样我们与web server之间传输的消息便是“安全的”。
　　而这种“安全”究竟是怎么实现的，最终有能实现多大程度的保密？本文希望能用通俗的语言阐明其实现原理。

　　二 整体结构概览

　　SSL是一个介于HTTP协议与TCP之间的一个可选层，其位置大致如下：

　　－－－－－－－－－
　　| HTTP |
　　－－－－－－－－－
　　| SSL |
　　－－－－－－－－－
　　| TCP |
　　－－－－－－－－－
　　| IP |
　　－－－－－－－－－

　　如果利用SSL协议来访问网页，其步骤如下：
　　用户：在浏览器的地址栏里输入https://www.sslserver.com/
　　HTTP层：将用户需求翻译成HTTP请求，如
　　GET /index.htm HTTP/1.1
　　Host http://www.sslserver.com/

　　SSL层: 借助下层协议的的信道安全的协商出一份加密密钥，并用此密钥来加密HTTP请求。
　　TCP层：与web server的443端口建立连接，传递SSL处理后的数据。

　　接收端与此过程相反。

　　SSL在TCP之上建立了一个加密通道，通过这一层的数据经过了加密，因此达到保密的效果。

　　SSL协议分为两部分：Handshake Protocol和Record Protocol,。其中HandshakeProtocol用来协商密钥，协议的大部分内容就是通信双方如何利用它来安全的协商出一份密钥。 Record Protocol则定义了传输的格式。
三 需要的加密方面的基础知识

　　了解SSL原理需要一点点加密的概念，这里把需要的概念做一下简单阐述：

　　加密一般分为三类，对称加密，非对称加密及单向散列函数。

　　对称加密：又分分组密码和序列密码。
　　分组密码是将明文按一定的位长分组，明文组经过加密运算得到密文组，密文组经过解密运算
　　（加密运算的逆运算），还原成明文组。
　　序列密码是指利用少量的密钥（制乱元素）通过某种复杂的运算（密码算法）产生大量的伪随机位流，用于对明文位流的加密。
　　解密是指用同样的密钥和密码算法及与加密相同的伪随机位流，用以还原明文位流。 ??

　　CBC(Cipher Block Chaining)模式这个词在分组密码中经常会用到，它是指一个明文分组在被加密之前要与前一个的密文分组进行异或运算。当加密算法用于此模式的时候除密钥外，还需协商一个初始化向量（IV），这个IV没有实际意义，只是在第一次计算的时候需要用到而已。采用这种模式的话安全性会有所提高。

　　分组密码的典型例子为DES,RC5,IDEA。
　　序列密码的典型例子为RC4。

　　公钥加密：
　　简单的说就是加密密钥与解密密钥不同，分私钥和公钥。这种方法大多用于密钥交换，RSA便是一个我们熟知的例子。
　　还有一个常用的称作DH，它只能用于密钥交换，不能用来加密。

　　单向散列函数：
　　由于信道本身的干扰和人为的破坏，接受到的信息可能与原来发出的信息不同，一个通用的办法就是加入校验码。
　　单向散列函数便可用于此用途，一个典型的例子是我们熟知的MD5,它产生128位的摘要，在现实中用的更多的是安全散列算法（SHA），SHA的早期版本存在问题，目前用的实际是SHA－1，它可以产生160位的摘要，因此比128位散列更能有效抵抗穷举攻击。

　　由于单向散列的算法都是公开的，所以其它人可以先改动原文，再生成另外一份摘要。解决这个问题的办法可以通过HMAC（RFC 2104）,它包含了一个密钥，只有拥有相同密钥的人才能鉴别这个散列。

　　四 密钥协商过程

　　由于对称加密的速度比较慢，所以它一般用于密钥交换，双方通过公钥算法协商出一份密钥，然后通过对称加密来通信，当然，为了保证数据的完整性，在加密前要先经过HMAC的处理。

　　SSL缺省只进行server端的认证，客户端的认证是可选的。以下是其流程图（摘自TLS协议）。

　　Client Server

　　Clienth*llo -------->

　　Serverh*llo
　　Certificate*
　　ServerKeyExchange*
　　CertificateRequest*
　　<-------- Serverh*lloDone
       Certificate*
　　ClientKeyExchange
　　CertificateVerify*
　　[ChangeCipherSpec]
　　Finished -------->

　　[ChangeCipherSpec]
　　<-------- Finished
　　Application Data <-------> Application Data

　　简单的说便是：SSL客户端（也是TCP的客户端）在TCP链接建立之后，发出一个Clienth*llo来发起握手，这个消息里面包含了自己可实现的算法列表和其它一些需要的消息，SSL的服务器端会回应一个Serverh*llo，这里面确定了这次通信所需要的算法，然后发过去自己的证书（里面包含了身份和自己的公钥）。Client在收到这个消息后会生成一个秘密消息，用SSL服务器的公钥加密后传过去，SSL服务器端用自己的私钥解密后，会话密钥协商成功，双方可以用同一份会话密钥来通信了。

　　五 密钥协商的形象化比喻

　　如果上面的说明不够清晰，这里我们用个形象的比喻，我们假设A与B通信，A是SSL客户端，B是SSL服务器端，加密后的消息放在方括号[]里，以突出明文消息的区别。双方的处理动作的说明用圆括号（）括起。

　　A：我想和你安全的通话，我这里的对称加密算法有DES,RC5,密钥交换算法有RSA和DH，摘要算法有MD5和SHA。

　　B：我们用DES－RSA－SHA这对组合好了。
　　这是我的证书，里面有我的名字和公钥，你拿去验证一下我的身份（把证书发给A）。
　　目前没有别的可说的了。

　　A：（查看证书上B的名字是否无误，并通过手头早已有的CA的证书验证了B的证书的真实性，如果其中一项有误，发出警告并断开连接，这一步保证了B的公钥的真实性）
　　（产生一份秘密消息，这份秘密消息处理后将用作加密密钥，加密初始化向量和hmac的密钥。将这份秘密消息-协议中称为per_master_secret-用B的公钥加密，封装成称作ClientKeyExchange的消息。由于用了B的公钥，保证了第三方无法窃听）
　　我生成了一份秘密消息，并用你的公钥加密了，给你（把ClientKeyExchange发给B）
　　注意，下面我就要用加密的办法给你发消息了！
　　（将秘密消息进行处理，生成加密密钥，加密初始化向量和hmac的密钥）
　　[我说完了]

　　B：（用自己的私钥将ClientKeyExchange中的秘密消息解密出来，然后将秘密消息进行处理，生成加密密钥，加密初始化向量和hmac的密钥，这时双方已经安全的协商出一套加密办法了）
　　注意，我也要开始用加密的办法给你发消息了！
　　[我说完了]
　　A: [我的秘密是...]
　　B: [其它人不会听到的...]

　　六 加密的计算

　　上一步讲了密钥的协商，但是还没有阐明是如何利用加密密钥，加密初始化向量和hmac的密钥来加密消息的。
　　其实其过程不过如此：
　　1 借助hmac的密钥，对明文的消息做安全的摘要处理，然后和明文放到一起。
　　2 借助加密密钥，加密初始化向量加密上面的消息。
七 安全性

　　SecurityPortal在2000年底有一份文章《The End of SSL and SSH?》激起了很多的讨论，
　　目前也有一些成熟的工具如dsniff（http://www.monkey.org/~dugsong/dsniff/）可以
　　通过man in the middle攻击来截获https的消息。
　　从上面的原理可知，SSL的结构是严谨的，问题一般出现在实际不严谨的应用中。常见的攻击就是
　　middle in the middle攻击，它是指在A和B通信的同时，有第三方C处于信道的中间，可以完全
　　听到A与B通信的消息，并可拦截，替换和添加这些消息。

　　1 SSL可以允许多种密钥交换算法，而有些算法，如DH，没有证书的概念，这样A便无法验证B的公钥
　　和身份的真实性，从而C可以轻易的冒充，用自己的密钥与双方通信，从而窃听到别人谈话的内容。
　　而为了防止middle inthe middle攻击，应该采用有证书的密钥交换算法。
　　2 有了证书以后，如果C用自己的证书替换掉原有的证书之后，A的浏览器会弹出一个警告框进行警告，但又有多少人会注意这个警告呢？
　　3 由于美国密码出口的限制，IE，netscape等浏览器所支持的加密强度是很弱的，如果只采用浏览器自带的加密功能的话，理论上存在被破解可能。

　　八 代理

　　下面探讨一下SSL的代理是怎样工作的(可参见[6])。这可能与你开始想的不太一样：）

　　当在浏览器里设置了https的代理，而且在浏览器里输入了https://www.example.com之后，
　　浏览器会与proxy建立tcp链接，然后向其发出这么一段消息：
　　CONNECT server.example.com:443 HTTP/1.1
　　Host: server.example.com:443
　　然后proxy会向webserver端建立tcp连接,之后，这个代理便完全成了个内容转发装置。浏览器
　　与web server会建立一个安全通道，因此这个安全通道是端到端的，尽管所有的信息流过了proxy,
　　但其内容proxy是无法解密和改动的（当然要由证书的支持，否则这个地方便是个manin the middle攻击的好场所，见上面的讨论）。

　　九 关于证书

　　注意，如果对于一般的应用，管理员只需生成“证书请求”（后缀大多为.csr），它包含你的名字和公钥，然后把这份请求交给诸如verisign等有CA服务公司（当然，连同几百美金），
　　你的证书请求经验证后，CA用它的私钥签名，形成正式的证书发还给你。管理员再在webserver上导入这个证书就行了。如果你不想花那笔钱，或者想了解一下原理，可以自己做CA。

　　从ca的角度讲，你需要CA的私钥和公钥。从想要证书的服务器角度将，需要把服务器的证书请求交给CA.

　　如果你要自己做CA，别忘了客户端需要导入CA的证书（CA的证书是自签名的，导入它意味着你“信任”这个CA签署的证书）。
　　而商业CA的一般不用，因为它们已经内置在你的浏览器中了。

　　十 wtls

　　在WAP的环境中，也有安全加密的需求，因此wapforum参照在WWW世界里最为流行的SSL协议设计了WTLS.从原理上说，这份协议与SSL是基本相同的，但在具体的地方作了许多改动。这些改动的大多没有什么技术上的需要，而是由于考虑到手持设备运算与存储的局限而尽量做了简化。不过我的感觉是这些改动意义实在不大，其获得的计算和存储上节省出来的时间和空间并不多。在硬件速度突飞猛进的时代，这种改动能获得的好处也许并不很多（一个新的协议便需要大量新的投入，而且与原有体制并不兼容，关于这点有文章[7]做了精彩阐述，可参看）。

　　这里我简单举一些SSL与WTLS的差别。

　　1 WTLS在一般udp这类不可靠信道之上工作，因此每个消息里要有序列号，协议里也要靠它来处理丢包，重复等情况。
　　此外，拒绝服务攻击也因此变得更加容易。
　　2 WTLS建立的安全连接是在wap网关和手持设备之间，wap网关和web server之间如果也要保密，便要采再用SSL，即在这种模型中无法实现端到端的加密。

　　---------- ------------- ---------
　　| Mobile |----------->| WAP |---------->| WEB |

　　| Device |<-----------| Gateway |<----------|Server |

　　| | WTLS | | SSL | |
　　---------- ------------- ---------

　　3 WTLS协议里加了一种成为key_refresh的机制,当传递了一定数量数据包后，双方通过同样的算法将自己的密钥做一下更新。付出了很小的代价，安全性得以增强。