计算机网络技术基础（中篇共上中下3篇）

局域网基础计算机网络技术基础局域网简介局域网和IEEE802标准学习目标常见的几种局域网

局域网简介01OPTION概述局域网（LocalAreaNetwork,简称LAN），即计算机局部区域网，它是在一个局部的地理范围内（通常网络连接的范围以几千米为限），将各种计算机、外围设备、数据库等通信设备互相连接起来组成的计算机通信网。特点：有限的地理位置（一般在10m到10km之内）。通常多个站共享一个传输介质（同轴电缆、双绞线、光纤）。具有较高的数据传输速率，高速局域网可达100Mbit/s以上。具有较低的时延。具有较低的误码率，一般在千万分之一到百万亿分之一之间。有限的站数。

局域网和IEEE802标准02OPTION局域网与OSI参考模型

局域网和IEEE802标准02OPTIONIEEE802协议IEEE802.1描述局域网体系结构以及网络互连。IEEE802.2定义了逻辑链路控制(LLC)子层的功能与服务。IEEE802.3描述CSMA/CD总线式介质访问控制协议及相应物理层规范。IEEE802.4描述令牌总线(TokenBus)式介质访问控制协议及相应物理层规范。IEEE802.5描述令牌环(TokenRing式介质访问控制协议及相应物理层规范。IEEE802.6描述市域网(MAN)的介质访问控制协议及相应物理层规范。IEEE802.7描述宽带技术进展。IEEE802.8描述光纤技术进展。IEEE802.9描述语音和数据综合局域网技术。IEEE802.10描述局域网安全与解密问题。IEEE802.11描述无线局域网技术。IEEE802.12描述用于高速局域网的介质访问方法和相应的物理层规范。

常见的几种局域网01OPTION以太网以太网由Xerox（施乐）公司最早开发，在Xerox、DEC和Intel公司的推动下形成了DIX（Digital/lntel/Xerox）标准。1985年，IEEE802委员会吸收以太网为IEEE802.3标准，并对其进行了修改。以太网最初被设计为使多台计算机通过一根共享的同轴电缆进行通信的局域网技术，随后又逐渐扩展到包括双绞线的多种共享介质上。

常见的几种局域网02OPTION令牌环令牌环（TokenRing）最早由IBM公司设计开发，最终被IEEE接纳，形成了IEEE802.5标准。令牌环网在物理上采用了星型拓扑结构。所有工作站通过IBM数据连接器(IBMdataconnector)和IBM第一类屏蔽双绞线（Type-1ShieldedTwistedPair）连接到令牌环集线器(Hub)上。但在逻辑上，所有工作站形成一个环形拓扑结构。

常见的几种局域网03OPTIONFDDI由于FDDI在早期局域网环境中具有带宽和可靠性优势，其主要应用于核心机房、办公室或建筑物群的主干网、校园网主干等。如下图描述了FDDI网络的结构。但是，随着以太网带宽的不断提高，可靠性的不断提升，以及成本的不断下降，FDDI的优势己不复存在。FDDI的应用日渐减少，主要存在于一些早期建设的网络中。

常见的几种局域网04OPTION无线局域网传统局域网技术都要求用户通过特定的电缆和接头接入网络，无法满足日益增长的灵活性、移动性接入需求。无线局域网(WirelessLocalAreaNetwork，WLAN)使计算机与计算机、计算机与网络之间可以在一个特定范围内进行快速的无线通信，因而在与便携式设备的互相促进中获得快速发展，得到了广泛应用。学习进步！计算机网络安全技术以太网技术计算机网络技术基础以太网简史以太网分类学习目标

以太网简史以太网发展

以太网分类以太网由Xerox公司PARC研究中心于1973年5月22日首次提出。以太网类型：10M以太网（标准以太网）100M以太网（快速以太网）1000M以太网（千兆以太网）

10G以太网（万兆以太网）……

以太网分类标准以太网10Base－2使用直径为0.2英寸、阻抗为50Ω细同轴电缆，也称细缆以太网，最大网段长度为185m，基带传输方法，拓扑结构为总线型；10Base－2组网主要硬件设备有：细同轴电缆、带有BNC插口的以太网卡、中继器、T型连接器、终结器等。10Base－T使用双绞线电缆，最大网段长度为100m，拓扑结构为星型。10Base－T组网主要硬件设备有：3类或5类非屏蔽双绞线、带有RJ-45插口的以太网卡、集线器、交换机、RJ-45插头等。10Base－5使用双绞线电缆，最大网段长度为500m，传输速度为1Mbps。技术标准标准以太网常见线缆类型传输距离10BASE-5粗同轴电缆500m10BASE-2细同轴电缆200m10BASE-T双绞线100m

以太网分类快速以太网100BASE-TX:采用两对屏蔽双绞线或高质量的5类非屏蔽双绞线；100BASE-FX:采用两根光纤，一根用于发送，一根用于接收。技术标准标准以太网常见线缆类型传输距离100Base—TXEIA/TIA5类（UTP）非屏蔽双绞线2对100m100Base—FX多模光纤（MMF）线缆550m-2km100Base—FX单模光纤（SMF）线缆大于2km

以太网分类千兆以太网1000BASE-T:IEEE802.3ab，5类非屏蔽双绞线1000BASE-X:IEEE802.3z，多模光纤、单模光纤和150欧平衡屏蔽式双绞线。1000BASE-CX:由于最大长度25米，现在应用已经很少。1000BASE-SX:短波850nm，激光范围（770～860nm）只用于多模光纤。1000BASE-LX:长波1310nm，激光范围（1270～1355nm）主要用于单模光纤，但也可以用于多模光纤。

以太网分类万兆以太网串行的10GBase-S/L/E-R/W：10GBase-S：短距；850nm；多模。10GBase-L：长距；1310nm；单模。10GBase-E：超长距；1550nm；单模。W=WANPHY广域网物理层,9.95328Gb/s码率,采用SONETSTS-192c及SDHVC-4-64C封装，可以使用DWDM或SDH/SONET光／传输网作传送，使10G以太网无缝接入SDH。R=LANPHY局域网物理层,10.3125Gb/s码率。4路并行WDM(波分复用)的10GBase-LX4：10GBase-LX4：1310nm；多模。10GBase-LX4：1310nm；单模。学习进步！计算机网络安全技术

以太网工作原理计算机网络技术基础以太网帧格式MAC地址学习目标冲突域和广播域共享式以太网交换式以太网

以太网帧格式01OPTION概述以太网技术所使用的帧称为以太网帧(EthernetFrame)，或简称以太帧。以太帧的格式有两个标准：Ethernet_II格式和IEEE802.3格式。Ethernet_II格式D.MACS.MACType用户数据FCSD.MACS.MACLengthLLCSNAP用户数据FCSIEEE802.3格式OrgCodeType3B2B6B6B2B46-1500B4B6B6B2B38-1492B4B3B5B数据帧的总长度：64-1518

ByteMAC地址01OPTION什么是MAC地址MAC(MediumAccessControl)地址在网络中唯一标识一个网卡，每个网卡都需要并拥有有唯一的一个MAC地址。一块网卡的MAC地址是具有全球唯一性的。姓名：网卡MAC地址/以太网地址/物理地址：MAC地址是什么？我一出厂就有专属的MAC地址了MAC地址如同每个人都有身份证号码来标识自己一样，每块网卡也拥有一个用来标识自己的号码，即MAC地址。MAC地址02OPTIONMAC地址的表示一个MAC地址有48

bit，6

Byte。MAC地址通常采用“十六进制”+“-”表示。001E10DDDD02000000000001111000010000110111011101110100000010十六进制二进制0001=1幂位2322212084211110=8+4+2=14=E十六进制与二进制的转换6Byte48

bit如:00-1E-10-DD-DD-02，或001E-10DD-DD02232221208421MAC地址03OPTIONMAC地址构成及分类OUI（OrganizationallyUniqueIdentifier）：厂商代码，由IEEE分配，3

Byte，24

bit。制造商分配：3Byte，24

bitMAC地址分类：OUI制造商分配XXXXXXX0单播MAC地址组播MAC地址广播MAC地址XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX1XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX111111111111111111111111111111111111111111111111OUI非OUI非OUI00-1E-10-DD-DD-0201-80-C2-00-00-01FF-FF-FF-FF-FF-FF举例

冲突域和广播域01OPTION冲突域冲突域是指连接在同一共享介质上的所有节点的集合，冲突域内所有节点竞争同一带宽，一个节点发出的报文（无论是单播、组播、广播），其余节点都可以收到。主机A主机B主机C主机D早期的以太网1个冲突域在传统的以太网中，同一介质上的多个节点共享链路带宽，争用链路的使用权，这样就会发生冲突。同一介质上的节点越多，冲突发生的概率越大。主机A主机B主机C交换机A交换机B主机D交换机组网5个冲突域交换机不同的接口发送和接收数据独立，各接口属于不同的冲突域，因此有效地隔离了网络中物理层冲突域，使得通过它互连的主机（或网络）之间不必再担心流量大小对于数据发送冲突的影响。解决机制：CSMA/CD隔离冲突域每个接口相当于1个独立的冲突域冲突

冲突域和广播域02OPTION广播域广播报文所能到达的整个访问范围称为二层广播域，简称广播域，同一广播域内的主机都能收到广播报文。主机A主机B主机C主机D广播报文早期的以太网1个广播域主机A主机B主机C交换机A交换机B主机D交换机组网1个广播域广播报文在传统的以太网中，同一介质上的多个节点共享链路，一台设备发出的广播报文，所有设备均会收到。交换机对广播报文会向所有的接口都转发，所以交换机的所有接口连接的节点属于一个广播域。

共享式网络01OPTION概述Hub与同轴电缆都是典型的共享式以太网所使用的设备，工作在OSI模型的物理层。通过同轴电缆连接起来的设备共享信道，即在每一个时刻，只能有一台终端主机在发送数据，其它终端处于侦听状态，不能够发送数据。在集线器连接的网络中，每个时刻只能有一个端口在发送数据。它的功能是把从一个端口接收到的比特流从其它所有端口转发出去,如下图所示。Port1Port2Port3Port4HUB

共享式网络02OPTIONCSMA/CD工作机制根据以太网的最初设计目标，计算机和其他数字设备是通过一条共享的物理线路连接起来的。这样被连接的计算机和数字设备必须采用一种半双工的方式来访问该物理线路，而且还必须有一种冲突检测和避免的机制，以避免多个设备在同一时刻抢占线路的情况，这种机制就是所谓的CSMA/CD（CarrierSenseMultipleAccess/CollisionDetection,带冲突检测的载波监听多路访问）。CSMA/CD的工作过程如下：发前先听：发送数据前先检测信道是否空闲。如果空闲，则立即发送；如果繁忙，则等待。边发边听：在发送数据过程中，不断检测是否发生冲突（通过检测线路上的信号是否稳定判断冲突）。遇冲退避：如果检测到冲突，立即停止发送，等待一个随时时间（退避）。重新尝试：当随机时间结束后，重新开始发送尝试。

共享式网络02OPTIONCSMA/CD工作机制根据以太网的最初设计目标，计算机和其他数字设备是通过一条共享的物理线路连接起来的。这样被连接的计算机和数字设备必须采用一种半双工的方式来访问该物理线路，而且还必须有一种冲突检测和避免的机制，以避免多个设备在同一时刻抢占线路的情况，这种机制就是所谓的CSMA/CD（CarrierSenseMultipleAccess/CollisionDetection,带冲突检测的载波监听多路访问）。CSMA/CD的工作过程如下：发前先听：发送数据前先检测信道是否空闲。如果空闲，则立即发送；如果繁忙，则等待。边发边听：在发送数据过程中，不断检测是否发生冲突（通过检测线路上的信号是否稳定判断冲突）。遇冲退避：如果检测到冲突，立即停止发送，等待一个随时时间（退避）。重新尝试：当随机时间结束后，重新开始发送尝试。

交换式网络01OPTION概述交换机与Hub一样同为具有多个端口的转发设备，在各个终端主机之间进行数据转发。但相对于Hub的单一冲突域。交换机通过隔离冲突域，使得终端主机可以独占端口的带宽，并实现全双工通信，所以交换式以太网的交换效率大大高于共享式以太网。尽管外观相似，但是交换机对于数据的转发还是与Hub有很大的不同。交换机的端口在检测到网络中的比特流后，它会首先把比特流还原成数据链路层的数据帧，再对数据帧进行相应的操作。同样，交换机端口在发送数据时，会把数据帧转成比特流，再从端口发送出去。因此，交换机属于数据链路层的设备，可通过帧中的信息控制数据转发。

交换式网络02OPTION交换机的转发行为Port1Port2Port3Port4交换机泛洪(Flooding)Port1Port2Port3Port4交换机转发(Forwarding)

Port1Port2Port3Port4交换机丢弃(Discarding)数据帧

交换式网络03OPTION交换机的MAC地址学习（1）GE0/0/1GE0/0/2主机1主机2IP2：MAC2：0050-5600-0002交换机的MAC地址表初始情况，交换机的MAC地址表是空的。交换机MAC地址Port1IP1：MAC1：0050-5600-0001

交换式网络03OPTION交换机的MAC地址学习（2）GE0/0/1GE0/0/2GE0/0/3主机1主机2主机1发出的数据帧交换机查MAC地址表（注：假设主机1已知主机2的MAC地址）源MAC：MAC1目的MAC：MAC2主机1发送数据帧给主机2。交换机GE0/0/1口接收到数据帧后，在MAC地址表中查询该帧的目的MAC地址，发现没有对应表项，则收到的数据帧是“未知单播帧”。交换机2IP2：MAC2：0050-5600-0002IP1：MAC1：0050-5600-0001MAC地址Port

交换式网络03OPTION交换机的MAC地址学习（3）GE0/0/1GE0/0/2GE0/0/3主机1主机2交换机在MAC地址表中没有查到对应表项，则交换机对该单播帧执行泛洪操作。同时，交换机学习该数据帧的源MAC地址，并创建对应的MAC地址表项，与接收口GE0/0/1关联。交换机3交换机查MAC地址表MAC地址PortMAC1GE0/0/1主机1发出的数据帧源MAC：MAC1目的MAC：MAC2IP2：MAC2：0050-5600-0002IP1：MAC1：0050-5600-0001

交换式网络03OPTION交换机的MAC地址学习（4）GE0/0/1GE0/0/2GE0/0/3主机1主机2主机2发出的数据帧源MAC：MAC2目的MAC：MAC1交换机其他端口连接的主机，也会收到该数据帧，但是会丢弃。主机2收到并处理该数据帧，向主机1回复，将数据帧发往交换机。交换机4IP2：MAC2：0050-5600-0002IP1：MAC1：0050-5600-0001

交换式网络03OPTION交换机的MAC地址学习（5）GE0/0/1GE0/0/2GE0/0/3主机1主机2交换机查MAC地址表MAC地址PortMAC1GE0/0/1MAC2GE0/0/2交换机在MAC地址表中查到了对应表项，则交换机对该单播帧执行转发操作，将数据帧从GE0/0/1口转发出去。同时，交换机学习该数据帧的源MAC地址，并创建对应的MAC地址表项，与接收口GE0/0/2关联。交换机5主机2发出的数据帧源MAC：MAC2目的MAC：MAC1IP2：MAC2：0050-5600-0002IP1：MAC1：0050-5600-0001学习进步！计算机网络安全技术

以太网端口技术计算机网络技术基础自动协商流量控制学习目标端口聚合

自动协商01OPTION概述802.3标准中的第28条是这样定义自动协商功能的:它允许一个设备向链路远端的设备通告自己所运行的工作方式，并且侦测远端通告的相应的运行方式。自动协商的目的是给共享条链路的两台设备提供一种交换信息的方法，并自动配置它们工作在最优能力下。当协商双方都支持一种以上的工作方式时，需要有一个优先级方案来确定一个最终工作方式。下图按优先级从高到底的顺序列出了IEEE802.3对上述几种工作方式优先级的排序。优先级顺序工作方式1100BASE-TX全双工2100BASE-T43100BASE-TX410BASE-T全双工510BASE-T自动协商优先级排序表流量控制01OPTION概述当通过交换机一个端口的流量过大，超过了它的处理能力时，就会发生端口阻塞。流量控制的作用是防止在出现阻塞的情况下丢帧在半双工方式下，流量控制是通过后退压力（backpressure）技术实现的，模拟产生碰撞，使得信息源降低发送速度。在全双工方式下流量控制一般遵循EEE8023X标准。IEEE802.3x规定了一种64字节的“PAUSE”MAC控制帧的格式。当端口发生阻塞时，交换机向信息源发送“PAUSE”帧，告诉信息源暂停一段时间再发送信息。PAUSE功能可以用来控制下列设备之间的数据流：一对终端（简单的两点网络）一个交换机和一个终端交换机和交换机之间的链路

端口聚合01OPTION技术背景设备之间存在多条链路时，由于STP的存在，实际只会有一条链路转发流量，设备间链路带宽无法得到提升。SW1SW2F转发流量的接口BSTP阻塞端口，不转发流量FFFBFBFBSTP根桥

端口聚合02OPTION概述以太网链路聚合Eth-Trunk：简称链路聚合，通过将多个物理接口捆绑成为一个逻辑接口，可以在不进行硬件升级的条件下，达到增加链路带宽的目的。SW1SW2Eth-TrunkFFFFFFFFF转发流量的接口

端口聚合03OPTION链路聚合的基本术语聚合组（LinkAggregationGroup，LAG）：若干条链路捆绑在一起所形成的的逻辑链路。每个聚合组唯一对应着一个逻辑接口，这个逻辑接口又被称为链路聚合接口或Eth-Trunk接口。成员接口和成员链路：组成Eth-Trunk接口的各个物理接口称为成员接口。成员接口对应的链路称为成员链路。活动接口和活动链路：活动接口又叫选中（Selected）接口，是参与数据转发的成员接口。活动接口对应的链路被称为活动链路（Activelink）非活动接口和非活动链路：又叫非选中（Unselected）接口，是不参与转发数据的成员接口。非活动接口对应的链路被称为非活动链路（Inactivelink）。聚合模式：根据是否开启LACP（LinkAggregationControlProtocol，链路聚合控制协议），链路聚合可以分为手工模式和LACP模式。其他概念：活动接口上限阈值和活动接口下限阈值。活动接口非活动接口SW1链路聚合接口链路聚合接口SUSUSUSW2SUSU成员接口成员链路聚合组LAG

端口聚合04OPTION链路聚合的实现方式-手工负载分担模式手工模式：Eth-Trunk的建立、成员接口的加入均由手动配置，双方系统之间不使用LACP进行协商。正常情况下所有链路都是活动链路，该模式下所有活动链路都参与数据的转发，平均分担流量，如果某条活动链路故障，链路聚合组自动在剩余的活动链路中平均分担流量。当聚合的两端设备中存在一个不支持LACP协议时，可以使用手工模式。设备老旧、低端，不支持LACP协议。SW1SW2Eth-TrunkSSSSSSSS活动接口S

端口聚合04OPTION链路聚合的实现方式-静态LACP模式LACPDULACPDU设备优先级MAC地址接口优先级接口号……SW1SW2SSSSSSLACP模式Eth-Trunk链路聚合接口链路聚合接口SSLACP模式：采用LACP协议的一种链路聚合模式。设备间通过链路聚合控制协议数据单元（LinkAggregationControlProtocolDataUnit，LACPDU）进行交互，通过协议协商确保对端是同一台设备、同一个聚合接口的成员接口。LACPDU报文中包含设备优先级、MAC地址、接口优先级、接口号等。

端口聚合

静态LACP模式-系统优先级LACP模式下，两端设备所选择的活动接口数目必须保持一致，否则链路聚合组就无法建立。此时可以使其中一端成为主动端，另一端（被动端）根据主动端选择活动接口。通过系统LACP优先级确定主动端，值越小优先级越高。系统LACP优先级默认32768，越小越优，通常保持默认。当优先级一致时LACP会通过比较MAC地址选择主动端，MAC地址越小越优。LACPDU设备优先级MAC地址接口优先级接口号……LACPDU活动接口SSW1SW2SSSSSSLACP模式Eth-Trunk链路聚合接口链路聚合接口SS

端口聚合静态LACP模式-接口优先级选出主动端后，两端都会以主动端的接口优先级来选择活动接口，优先级高的接口将优先被选为活动接口。接口LACP优先级值越小，优先级越高。接口LACP优先级默认为32768，越小越优，通常保持默认，当优先级一致时LACP会通过接口编号选择活动接口，越小越优。

LACPDU设备优先级MAC地址接口优先级接口号……LACPDU活动接口SSW1SW2SSSSSSLACP模式Eth-Trunk链路聚合接口链路聚合接口SS

端口聚合静态LACP模式-最大活动接口数（1）LACP模式支持配置最大活动接口数目，当成员接口数目超过最大活动接口数目时会通过比较接口优先级、接口号选举出较优的接口成为活动接口，其余的则成为备份端口（非活动接口），同时对应的链路分别成为活动链路、非活动链路。交换机只会从活动接口中发送、接收报文。活动链路SW1SW2112233链路聚合接口链路聚合接口活动接口非活动接口非活动链路44LACP模式Eth-Trunk

端口聚合静态LACP模式-最大活动接口数（2）当活动链路中出现链路故障时，可以从非活动链路中找出一条优先级最高（接口优先级、接口编号比较）的链路替换故障链路，实现总体带宽不发生变化、业务的不间断转发。活动链路活动接口非活动接口非活动链路故障链路SW1SW2112233链路聚合接口链路聚合接口44LACP模式Eth-Trunk学习进步！计算机网络安全技术 VLAN技术计算机网络技术基础VLAN技术简介VLAN技术原理学习目标VLAN接口类型

VLAN技术简介01OPTION传统以太网的问题在典型交换网络中，当某台主机发送一个广播帧或未知单播帧时，该数据帧会被泛洪，甚至传递到整个广播域。广播域越大，产生的网络安全问题、垃圾流量问题，就越严重。单播帧PC1PC2有效流量垃圾流量SW1SW2SW3SW4SW5SW6SW7（注：假定此时SW1、SW3、SW7的MAC地址表中存在关于PC2的MAC地址表项，但SW2和SW5不存在关于PC2的MAC地址表项。）二层广播域(广播域)

VLAN技术简介02OPTION虚拟局域网

(VLAN,VirtualLAN)PC2SW1SW2SW3SW4SW5SW6SW7PC1VLAN网络(多个广播域)广播帧虚拟局域网VLAN可以隔离广播域。特点：不受地域限制。同一VLAN内的设备才能直接进行二层通信。VLAN技术原理01OPTION如何实现VLANSwitch1与Switch2同属一个企业，该企业统一规划了网络中的VLAN。其中VLAN10用于A部门，VLAN20用于B部门。A、B部门的员工在Switch1和Switch2上都有接入。PC1发出的数据经过Switch1和Switch2之间的链路到达了Switch2。如果不加处理，后者无法判断该数据所属的VLAN，也不知道应该将这个数据输出到本地哪个VLAN中。PC3VLAN20PC2PC1123Switch145543Switch221数据帧数据帧VLAN10VLAN20PC4VLAN10VLAN技术原理02OPTIONVLAN标签（VLANTAG）交换机如何识别接收到的数据帧属于哪个VLAN？VLAN10VLAN20收到了数据帧，它们属于哪个VLAN？20VLAN标签要使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN信息的字段。IEEE802.1Q协议规定，在以太网数据帧中加入4个字节的VLAN标签，又称VLANTag，简称Tag。SW1SW2VLAN技术原理03OPTIONVLAN数据帧TPID(0x8100)PRICFIVLANID16bit3bit1bit12bit目的MAC地址源MAC地址类型DataFCS原始以太网数据帧（无标记帧，Untagged帧）802.1QTag802.1Q帧（标记帧，Tagged帧）目的MAC地址源MAC地址类型DataFCSTag在此处插入802.1QTagTPID（标签协议标识符）：标识数据帧的类型，值为0x8100时表示802.1Q帧。PRI（优先级）：标识帧的优先级，主要用于QoS。CFI（标准格式指示符）：在以太网环境中，该字段的值为0。VLANID（VLAN标识符）：标识该帧所属的VLAN。VLAN技术原理04OPTIONVLAN的实现Switch1和Switch2之间的链路要承载多个VLAN的数据，需要一种基于VLAN的数据“标记”手段，以便对不同VLAN的数据帧进行区分。IEEE802.1Q标准（也被称为Dot1Q）定义了该“标记”方法。该标准对传统的以太网数据帧进行修改，在帧头中插入802.1QTag，而在该Tag中，便可以写入VLAN信息。PC3VLAN20PC2PC1123Switch145543Switch221VLAN10VLAN20PC4VLAN10原始数据帧1原始数据帧2原始数据帧2原始数据帧1打了标记的数据帧打了标记的数据帧VLAN技术原理05OPTIONVLAN的划分方式整个网络是如何划分VLAN的？SW1主机1主机2主机3主机4GE0/0/1GE0/0/2GE0/0/3GE0/0/4MAC1MAC2MAC3MAC4VLAN划分方式VLAN10VLAN20基于接口GE0/0/1，GE0/0/3GE0/0/2，GE0/0/4基于MAC地址MAC1，MAC3MAC2，MAC4基于IP子网划分10.0.1.*10.0.2.*基于协议划分IPIPv6基于策略10.0.1.*+GE0/0/1+MAC110.0.2.*+GE0/0/2+MAC2

VLAN接口类型01OPTION以太网二层接口类型Access接口Trunk接口接口类型Access接口交换机上常用来连接用户PC、服务器等终端设备的接口。Access接口所连接的这些设备的网卡往往只收发无标记帧。Access接口只能加入一个VLAN。Trunk接口Trunk接口允许多个VLAN的数据帧通过，这些数据帧通过802.1QTag实现区分。Trunk接口常用于交换机之间的互联，也用于连接路由器、防火墙等设备的子接口。Hybrid接口Hybrid接口与Trunk接口类似，也允许多个VLAN的数据帧通过，这些数据帧通过802.1QTag实现区分。用户可以灵活指定Hybrid接口在发送某个（或某些）VLAN的数据帧时是否携带Tag。VLAN10VLAN10VLAN20VLAN20

VLAN接口类型

Access接口；GE0/0/1Access（VLAN10）交换机内部接收帧发送帧10无标记帧接口收到Untagged帧：接收该帧，并打上该接口PVID的Tag。GE0/0/1Access（VLAN10）交换机内部10接口收到Tagged帧：当该帧的VLANID与该接口的PVID相同时，接收该帧。当该帧的VLANID与该接口的PVID不同时，丢弃该帧。GE0/0/1Access（VLAN10）交换机内部无标记帧帧的VLANID与接口PVID相同：先剥离该帧的Tag，然后再将其从该接口发出。GE0/0/1Access（VLAN10）交换机内部20帧的VLANID与接口PVID不同：禁止将该帧从该接口发出。1010无标记帧标记帧10

VLAN接口类型Trunk接口GE0/0/1Trunk（PVID=10）交换机内部10无标记帧接口收到Untagged帧：该帧打上PVID，当PVID在该接口允许通过的VLAN列表里时接收该帧；当PVID不在允许通过的VLAN列表里时，丢弃该帧。交换机内部10接口收到Tagged帧：当该帧的VLANID在该接口允许通过的VLAN列表里时，接收该帧，否则丢弃该帧。交换机内部无标记帧帧的VLANID与接口PVID相同：当该帧的VLANID在该接口允许通过的VLAN列表中，则将该帧的Tag剥除，然后将其从该接口发送出去；如果VLANID不在允许通过的VLAN列表中则禁止将该帧从该接口发出。交换机内部20帧的VLANID与接口PVID不同：当该帧的VLANID在该接口允许通过的VLAN列表中，则保留该帧的Tag，然后将其从该接口发送出去；如果VLANID不在允许通过的VLAN列表中则禁止将该帧从该接口发出。1010允许通行的VLAN：10GE0/0/1Trunk（PVID=1）允许通行的VLAN：10GE0/0/1Trunk（PVID=10）允许通行的VLAN：10GE0/0/1Trunk（PVID=10）允许通行的VLAN：2020接收帧发送帧无标记帧标记帧10

VLAN接口类型Access接口与Trunk接口举例请描述主机之间数据访问的全流程。SW1与SW2的Trunk接口SW1主机1主机2主机3主机4VLAN10VLAN10VLAN20VLAN20SW2PVID10PVID20PVID10PVID20PVID1PVID11020Access接口Trunk接口允许通过列表VLANID11020

VLAN接口类型Hybrid接口GE0/0/1Hybrid（PVID=10）交换机内部10接口收到Untagged帧：打上PVID，当PVID在该接口允许通过的VLAN列表里时接收该帧；当PVID不在允许通过的VLAN列表里时，丢弃该帧。交换机内部10接口收到Tagged帧：当该帧的VLANID在该接口允许通过的VLAN列表里时，接收该帧，否则丢弃该帧。交换机内部无标记帧帧的VLANID是该接口允许通过的VLANID：当管理员通过命令设置发送该VLAN的帧时不携带Tag，则将该帧的Tag剥除，然后将其从该接口发送出。交换机内部20帧的VLANID是该接口允许通过的VLANID：当管理员通过命令设置发送该VLAN的帧时携带Tag，则保留该帧的Tag，然后将其从该接口发送出去。1010允许通行的VLAN：10GE0/0/1Hybrid（PVID=1）允许通行的VLAN：10GE0/0/1Hybrid（PVID=10）允许通行的VLAN：10GE0/0/1Hybrid（PVID=10）允许通行的VLAN：2020无标记帧无标记帧标记帧10接收帧发送帧

VLAN接口类型Hybrid接口举例请描述主机访问服务器的全流程。主机1主机2服务器VLAN10VLAN100VLAN20PVID10PVID1PVID11020SW1SW2Port1交换机1的允许通过列表Port1PVID20Port2PVID100Port1Port3Port3Port2Port3交换机2的允许通过列表Port1Port3Hybrid接口UntaggedVLANID110100UntaggedVLANID120100TaggedVLANID1010100TaggedVLANID1020100UntaggedVLANID11020100

总结

Access接口接收数据帧Untagged数据帧，打上PVID，接收。Tagged数据帧，与PVID比较，相同则接收；不同则丢弃。Trunk接口接收数据帧Untagged数据帧，打上PVID，且VID在允许列表中，则接收；VID不在允许列表，则丢弃。Tagged数据帧，查看VID是否在允许列表中，在允许列表中，则接收；VID不在允许列表，则丢弃。Hybrid接口接收数据帧Untagged数据帧，打上PVID，且VID在允许列表中，则接收；VID不在允许列表中，则丢弃。Tagged数据帧，查看VID是否在允许列表中，在允许列表中，则接收；VID不在允许列表，则丢弃。发送数据帧VID与PVID比较，相同则剥离标签发送；不同则丢弃。发送数据帧VID在允许列表中，且VID与PVID一致，则剥离标签发送。VID在允许列表，但VID与PVID不一致，则直接带标签发送。不在允许列表中，则直接丢弃。发送数据帧VID不在允许列表中，直接丢弃。VID在Untagged列表中，剥离标签发送。VID在Tagged列表中，带标签直接发送。学习进步！计算机网络安全技术 IP路由基础计算机网络技术基础什么是路由路由的原理学习目标路由的来源VLAN间路由静态路由技术

什么是路由01OPTION概述路由是指导报文转发的路径信息，通过路由可以确认转发IP报文的路径。路由设备是依据路由转发报文到目的网段的网络设备，最常见的路由设备：路由器。路由设备维护着一张路由表，保存着路由信息。网关网关R1R2R3NMR4DATA路由指导报文转发路径依据路由转发路由设备路由的原理01OPTION路由表[Huawei]displayiprouting-tableRouteFlags:R-relay,D-downloadtofib-------------------------------------------------------------RoutingTables:Public

Destinations:2Routes:2Destination/MaskProtoPreCostFlagsNextHopInterface/0Static600DSerial1/0/0/8RIP1003DSerial1/0/0/8OSPF1050DEthernet2/0/0/16RIP1004DSerial1/0/0/8Static600DSerial2/0/0/8Direct00DEthernet2/0/0/32Direct00DLoopBack0路由表中包含了路由器可以到达的目的网络。目的网络在路由表中不存在的数据包会被丢弃。

路由的来源01OPTION路由的生成方式路由器依据路由表进行路由转发，为实现路由转发，路由器需要发现路由，以下为常见的路由获取方式。GE0/0/0/24/24GE0/0/1GE0/0/1/24/24GE0/0/2直连路由路由来源目的网络/掩码出接口直连/24GE0/0/0直连/24GE0/0/1静态路由动态路由路由来源目的网络/掩码出接口静态/24GE0/0/1动态路由协议OSPF路由来源目的网络/掩码出接口动态路由协议/24GE0/0/2由设备自动生成指向本地直连网络由网络管理员手工配置的路由条目路由器运行动态路由协议学习到的路由

VLAN间路由01OPTION技术背景实际网络部署中一般会将不同IP地址段划分到不同的VLAN。同VLAN且同网段的PC之间可直接进行通信，无需借助三层转发设备，该通信方式被称为二层通信。VLAN之间需要通过三层通信实现互访，三层通信需借助三层设备。VLAN10VLAN20三层通信/24/24二层通信二层通信二层交换机

VLAN间路由02OPTION实现方式-每个VLAN一个物理连接路由器三层接口作为网关，转发本网段前往其它网段的流量。路由器三层接口无法处理携带VLANTag的数据帧，因此交换机上联路由器的接口需配置为Access。路由器的一个物理接口作为一个VLAN的网关，因此存在一个VLAN就需要占用一个路由器物理接口。路由器作为三层转发设备其接口数量较少，方案的可扩展性太差。物理连接图GE0/0/3Access(VLAN10）GE0/0/1Access(VLAN10）GE0/0/2Access(VLAN20)GE0/0/4Access(VLAN20)GE0/0/154GE0/0/254R1SW1VLAN10PC1/24默认网关:54VLAN20PC2/24默认网关:54

VLAN间路由02OPTION实现方式-单臂路由子接口（Sub-Interface）是基于路由器以太网接口所创建的逻辑接口，以物理接口ID+子接口ID进行标识，子接口同物理接口一样可进行三层转发。子接口不同于物理接口，可以终结携带VLANTag的数据帧。基于一个物理接口创建多个子接口，将该物理接口对接到交换机的Trunk接口，即可实现使用一个物理接口为多个VLAN提供三层转发服务。GE0/0/1Access(VLAN10）GE0/0/2Access(VLAN20)GE0/0/1.1054GE0/0/1.2054R1G0/0/24TrunkVLAN10

20物理连接图SW1VLAN10PC1/24默认网关:54VLAN20PC2/24默认网关:54

VLAN间路由02OPTION实现方式-三层交换二层交换机（Layer2Switch）指的是只具备二层交换功能的交换机。三层交换机（Layer3Switch）除了具备二层交换机的功能，还支持通过三层接口（如VLANIF接口）实现路由转发功能。VLANIF接口是一种三层的逻辑接口，支持VLANTag的剥离和添加，因此可以通过VLANIF接口实现VLAN之间的通信。VLANIF接口编号与所对应的VLANID相同，如VLAN10对应VLANIF10。VLAN10VLAN20交换模块路由模块VLANIF10VLANIF20可直接内部通信三层交换机

静态路由01OPTION应用场景GE0/0/1/24GE0/0/0/24GE0/0/1/24GE0/0/0/24RTARTCRTB前往/24目的网络来源下一跳静态直连静态路由静态路由由网络管理员手动配置，配置方便，对系统要求低，适用于拓扑结构简单并且稳定的小型网络。缺点是不能自动适应网络拓扑的变化，需要人工干预。RTA上转发目的地址属于/24的报文，在只有直连路由的情况下没有路由匹配。此时可以通过手动配置静态路由，使RTA发送前往/24网段的报文交给下一跳转发。

静态路由02OPTION静态路由配置[Huawei]iproute-staticip-address

{

mask

|

mask-length

}nexthop-address关联下一跳IP的方式[Huawei]iproute-staticip-address

{

mask

|

mask-length

}interface-typeinterface-number关联出接口的方式[Huawei]iproute-staticip-address{mask|mask-length}interface-typeinterface-number[nexthop-address]关联出接口和下一跳IP方式在创建静态路由时，可以同时指定出接口和下一跳。对于不同的出接口类型，也可以只指定出接口或只指定下一跳。对于点到点接口（如串口），必须指定出接口。对于广播接口（如以太网接口）和VT（Virtual-template）接口，必须指定下一跳。

静态路由静态路由配置举例S1/0/0/24GE0/0/0/24S1/0/0/24GE0/0/0/24RTARTCRTB前往/24前往/24[RTA]iproute-static[RTC]iproute-staticS1/0/0RTA的配置如下：RTC的配置如下：RTA与RTC上配置静态路由，实现/24与/24的互通。因为报文是逐跳转发的，所以每一跳路由设备上都需要配置到达相应目的地址的路由。另外需要注意通信是双向的，针对通信过程中的往返流量，都需关注途径设备上的路由配置。

静态路由03OPTION缺省路由缺省路由是一种特殊的路由，当报文没有在路由表中找到匹配的具体路由表项时才使用的路由。如果报文的目的地址不能与路由表的任何目的地址相匹配，那么该报文将选取缺省路由进行转发。缺省路由在路由表中的形式为/0，缺省路由也被叫做默认路由。[RTA]iproute-static0RTARTB/24/24.GE0/0/0GE0/0/0/24/24.RTA前往非本地直连网段，将报文转发给。/24学习进步！计算机网络安全技术WLAN技术介绍计算机网络技术基础WLAN技术标准WLAN频段学习目标

WLAN技术介绍01OPTION概述无线局域网(WirelessLocalAreaNetwork，WLAN)是计算机网络技术和无线通信技术相结合的产物，它利用无线通信技术在一定的局部范围内建立网络，提供传统有线局域网(LocalAreaNetwork，LAN)的功能，通过无线通信技术将该范围内的计算机等设备互相连接起来，实现这些计算机设备相互通信以及资源共享等。WLAN技术标准01OPTION技术标准WLAN对应的技术标准IEEE802.11是由电气与电子工程师协会（InstituteofElectricalandElectronicsEngineers，IEEE）802标准化委员会下的第11标准工作组制定的系列标准。从1990年IEEE802标准化委员会成立了IEEE802.11标准工作组以来，已经发布了很多版本，其中既有正式的版本，又有对现有的标准的修订案。本节内容主要介绍802.11a/b/g/n标准，如表5-1所示。标准版本IEEE802.11IEEE802.11bIEEE802.11gIEEE802.11aIEEE802.11n发布时间1997年6月1999年9月2003年6月1999年9月2009年9月工作频段2.4GHz2.4GHz2.4GHz5GHz2.5GHz/5GHz合法频宽83.5MHz83.5MHz83.5MHz325MHz83.5MHz&325MHz频率范围2.4-2.4835GHz2.4-2.4835GHz2.4-2.4835GHz5.150-5.350GHz5.725-5.850GHz（中国）2.4-2.4835GHz5.150-5.350GHz5.725-5.850GHz非重叠信道33313(中国5个)2.4G3个5G13个调制技术FHSS/DSSSCCK/DSSSCCK/OFDMOFDMMIMOOFDM速率Mbit/s1,21,2,5.5,111,2,5.5,11,6,9,12,18,24,36,48,546,9,12,18,24,36,48,54支持速率由调制编码策略MCS(ModulationandCodingScheme)决定。理论支持最大速率为600表5-1WLAN技术标准WLAN频段01OPTION2.4GHz频段IEEE802.11b/g/n工作在2.4GHz的频段，该频段被划分为14个交叠的、错列的无线载波信道，每个信道的带宽为22MHz（IEEE802.11n2.4GHz频段每个信道带宽为20MHz），中心频率间隔为5MHz，如图5-1所示。中心频率和信道号之间的关系如式所示。信道中心频率=2047+5×n_ch(MHz)其中，n_ch=1,2,⋯,13。图5-12.4GHz频段示意图WLAN频段01OPTION2.4GHz频段在不同的国家，2.4GHz频段使用的信道号不一定相同。表5-2给出了几个国家信道使用的情况。其中美国和加拿大，仅允许使用信道1到11；中国、欧洲、澳大利亚允许使用信道1到13；日本可以使用14个信道，但第14个信道仅在IEEE802.11b中使用。表5-22.4GHz频段信道分配表信道中心频率(MHz)频率范围（MHz）中国、欧洲、澳大利亚美国、加拿大日本124122401～2423是是是224172406～2428是是是324222411～2433是是是424272416～2438是是是524322421～2443是是是624372426～2448是是是724422431～2453是是是824472436～2458是是是924522441～2463是是是1024572446～2468是是是1124622451～2473是是是1224672456～2478是否是1324722461～2483是否是1424842473～2495否否802.11bonlyWLAN频段02OPTION5GHz频段IEEE802.11a/n/ac工作在5GHz的频段，可使用无许可证的国家信息基础设施（UnlicensedNationalInformationInfrastructure,UNII）的UNII-1（5.15GHz～5.25GHz）、UNII-2（5.25GHz～5.35GHz）、UNII-3（5.725GHz～5.825GHz）和UNII-2e（5.470GHz～5.725GHz）频段，如图5-2所示。WLAN5G频段的每个信道的带宽为5MHz，其中心频率和信道号之间的关系如式所示。信道中心频率=5000+5×n_ch(MHz)

其中，n_ch=0,1,2,⋯,200，共有201个信道。图5-25GHz频段示意图WLAN频段02OPTION5GHz频段WLAN传输数据的物理信道需要20MHz的带宽，其相邻两个物理信道中心频率间隔为20MHz。对于UNII中低频段来说（UNII-1和UNII-2），共计有200MHz带宽，有8个对应的载波，其中心频率对应的信道号分别为：36、40、44、48、52、56、60、64。对于UNII高频段来说（UNII-3），共计有100MHz带宽，有4个对应的载波，其中心频率对应的信道号分别为：149、153、157、161。具体信道配置如表5-3所示。WLAN频段02OPTION5GHz频段表5-35GHz频段信道分配表信道编号Nch中心频率MHz频率范围（MHz）美国中国3651805170～5190是否4052005190～5210是否4452205210～5230是否4852405230～5250是否5252605250～5270是否5652805270～5290是否6053005290～5310是否6453205310～5330是否10055005490～5510是已公示10455205510～5530是已公示10855405530～5550是已公示11255605550～5570是已公示11655805570～5570是已公示12056005590～5610是已公示12456205610～5630是已公示12856405630～5650是已公5670是已公5690是已公5710是已公5730是5775是5795是是16158055795～5815是是16558255815～5835是是WLAN频段03OPTION信道绑定信道绑定将两个或者多个20MHz的信道捆绑成一个传输信道，使得信道的带宽成倍增加，传输速率也成倍增长。比如可以将两个相邻的20MHz的信道捆绑成一个40MHz的传输信道，将4个相邻的20MHz信道捆绑成一个80MHz的传输信道。对于WLAN2.4GHz频段来说，由于其不重叠的频点少，无法实现两个相互不干扰的40MHz信道的划分，因此在实际应用中，不建议将2.4GHz频段的20MHz信道捆绑成40MHz信道。对于WLAN5GHz频段来说，由于其不重叠的频点较多，因此可以将20MHz的信道捆绑成40MHz或者80MHz的信道。在中国大陆，WLAN5GHz频段使用的频点只有5个，分别为149、153、157、161、165。将两个连续信道进行信道捆绑时，其中一个作为主信道，另一个作为次信道，所有的控制帧和管理帧在主信道上传输，而数据帧在主信道和次信道捆绑的40MHz信道上传输。学习进步！计算机网络技术基础WLAN原理及组建计算机网络技术基础WLAN工作原理WLAN网络组建学习目标CAPWAP隧道建立WLAN安全WLAN中的VLAN

WLAN工作原理01OPTIONWLAN组成原理WLAN网络的组成主要包括4个部分，分别为分布式系统（DistributionSystem,DS）、接入点（AccessPoint,AP）、无线介质（WirelessMedium,WM）和站点（Station,STA），如图5-3所示。其中，DS主要是将多个接入点直接相互连起来，从而实现接入点之间可以进行数据通信。接入点主要的功能是向下提供无线网络服务，向上和分布式系统连接，为无线网络和分布式系统之间提供桥接。这里的无线介质主要是指大气，主要完成站点和接入点提供传输介质。站点主要是可以接入无线网络终端设备，包括可移动的手机、笔记本电脑等，也包括使用无线网卡连接到无线网络的固定的台式电脑等。图5-3WLAN的组成

WLAN工作原理02OPTIONWLAN的基本元素基本服务集（BasicServiceSet,BSS）是由一组相互通信的站点构成，是802.11网络的基本组件。BSS覆盖的范围称为基本服务区（Basicservicearea,BSA）,在此区域内，站点之间可以相互通信。每个BSS都有一个基本服务集标识（BasicServiceSetIdentifier,BSSID），是无线访问节点（WirelessAccessPoint,WAP）的MAC地址，是BSS的二层标识符。

WLAN工作原理02OPTIONWLAN的基本元素服务集标识（ServiceSetIdentifier,SSID）是802.11无线网络的逻辑名字，即WIFI名称。在使用笔记本电脑等无线站点搜索可接入网络时，显示出的网络名称就是SSID，当然也可以将网络的SSID也可以隐藏起来。采用SSID技术可以将一个无线局域网分为几个逻辑子网络，每个子网可以设置不同的身份认证方式供不同的客户使用。如图5-4所示，一个AP可以支持多个SSID，该网络有两个SSID，分别是Guest和Employee。这两个SSID有不同的BSSID一一对应，并且可以根据需求设置成不同的访问权限。图5-4多SSID

WLAN工作原理03OPTIONWLAN拓扑结构BSS根据接入点功能差异，可分为独立基本服务集（IndependentBSS,IBSS）、基础结构模式基本服务集（InfrastructureBSS）、扩展服务集（ExtendedServiceSet，ESS）等组网方式。独立基本服务集（如图5-5所示）中的站点之间可以直接通信，一般来说，IBSS主要用于临时组建的网络，当任务完成后，该网络就会瓦解。由于该网络通信采用竞争的方式，因此规模不能太大。其BSSID是一个由46位的随机码产生本地管理的MAC地址。图5-5独立基本服务集

WLAN工作原理03OPTIONWLAN拓扑结构基础结构模式基本服务集（如图5-6所示）中，一个BSS包含一个AP和若干个STA。该架构中的站点间通信不能跟IBSS中的站点一样可以直接互相通信，其站点必须通过AP才能将数据发给目标站点。其BSSID就是AP的MAC地址。图5-5独立基本服务集

WLAN工作原理03OPTIONWLAN拓扑结构扩展服务集就是利用骨干网络将多个BSS串联起来，以扩大无线覆盖范围，位于同一个ESS的接入点将会使用相同的SSID，如图5-7所示。每个ESS都有一个扩展服务集标识（ESSIdentifier,ESSID），实质上就是ESS中的BSS共用的SSID。为了减少干扰，同一个ESS中相邻的AP之间要使用不同的信道。为了实现用户从一个BSA到另一个BSA间的无缝漫游，两个BSA覆盖区域需要部分重叠。图5-7ESS示意图WLAN网络组建01OPTIONWLAN组网方式在无线局域网中，FatAP是一个独立的接入点，可以提供无线信号、用户安全管理和接入访问策略等。其安装方便，一般家庭或者小型企业会采用这种组网模式。如图5-8所示，是FatAP在家庭或SOHO网络中的应用。家庭中使用的无线路由器就是一个FatAP，通过ADSLModem或者光猫连接到internet。无线路由器和FatAP的区别在于，无线路由器不仅提供无线服务外，还提供了WAN口和LAN口的有线接口功能。图5-8FatAP组网WLAN网络组建FATAP如图5-9所示，是FatAP在小型企业网络中的应用。FatAP通过交换机连接到企业核心网。如果企业核心网中部署了网管系统，也可以对所有的AP进行远程管理。该网络架构仅适合AP数量不多的情况。对于大型的企业，随着AP数量的增多，每个FatAP需要单独配置，从而导致管理员工作量的大量提升。而且FatAP组网无法实现漫游，导致用户从一个FatAP的覆盖区走到另一个FatAP的覆盖区，会重新连接信号强的FatAP，因此，在企业的组网中，一般都采用AC+FitAP的组网方式。图5-9FatAP组网WLAN网络组建FitAPFitAP本身不能单独组网，也不能进行数据配置，需要一台专门的无线控制器AC设备进行集中控制管理配置，如图5-10所示。在AP数量众多的时候，使用AC+FitAP的架构进行无线网覆盖，只需控制器来管理配置，会减少大量的工作。其中，AC主要完成安全、控制和管理功能，包括移动管理、身份认证、射频资源管理和数据包的转发等等。FitAP主要无线射频接入功能，包括无线射频接入、报文的加解密、数据传输等。图5-10FitAP组网WLAN网络组建