【互联网及其应用】第3章网络技术基础

一、网络互连与实现技术

通常将网络按照覆盖地理范围分为局域网、城域网、广域网3种。
网络互连通常是指将不同的网络用互连设备连接在一起而形成一个范围更大的网络，也可以是为增加网络性能和易于管理而将一个原来很大的网络划分为几个子网或网段。

1.1 网络互连技术

日前厂家广泛遵守的是国际标准化组织(ISO)制定的OSI七层参考模型。

在OSI参考模型中，由于网间通信是根据不同的层划分的，同等层间可以相互通信，所以根据连接层次的不同，网间连接设备可以分为中继器、网桥、路由器和网关。

网络技术的发展经历了从计算机间点对点的通信到主机间和异种网络间的互连。

中继器完成物理层间的互连，主要起到信号再生放大，延长网络距离的作用，也就是把比特流从一个物理段传输到另一个物理网段。

网桥完成数据链路层间的连接，可以将两个或多个网段连接起来，网桥可以过滤不跨网段传输的信息，避免线路的瓶颈。在局域网中，网桥实际上实现的是MAC子层的互连。

路由器进行网络层间的互连，提供各种子网间网络层的接口，提供子网间的路由选择，并对网络资源进行动态控制。在局域网上如果信息包不是发向本地网络，那么就由相应的路由器转发出去，路由器对每个信息包进行检验，以决定转向。路由器是依靠协议工作的，它必须经过某种协议完成信息的转发。

在七层协议参考模型中第三层以上的网间连接设备都叫网关，它的作用是连接多个高层协议不同的网络，使它们能够相互通信。

1.2 中继器

中继器( Repeater)是局域网环境下用来延长网络距离的最简单、最廉价的互连设备，操作在OSI的物理层。
中继器对在线路上衰减的信号具有放大再生的功能。一般情况下,中继器两端连接的既可以是相同的传输媒体,也可以是不同的传输媒体。但中继器只能连接相同数据传输速率的LAN。
中继器在执行信号放大功能时不需要任何智能或算法，只将来自一侧的信号转发到另一侧(双口中继器)或将来自一侧的信号转发到多个口(多口中继器)。

1.3 网桥

网桥( Bridge)也叫桥接器，是连接两个局域网的一种存储/转发设备,它能将一个较大的LAN分割为多个网段，或将两个以上的LAN互连为一个逻辑LAN，使LAN上的所有用户都可访问服务器。

网桥工作在物理层之上的数据链路层，即逻辑链路控制层(LLC)和媒体访问控制(MAC)子层。
网桥被用于局域网中MAC层的转换。它所连接的协议比中继器高，因此功能更强。
网桥用来控制数据流量、处理传送差错、提供物理寻址、介质访问算法。

用网桥划分网段的目的：一是减少每个LAN段上的通信量；二是确保网段间的通信量小于每个网段内部的通信量。

1.4 路由器

路由器是在网络层提供多个独立的子网间连接服务的一种存储/转发设备，路由器可以使用在数据链路层和物理层协议完全不同的网络互连中。
路由器提供的服务比网桥更为完善。路由器可根据传输费用、转接时延、网络拥塞或信源和终点间的距离来选择最佳路径。

路由器的服务常常要由用户端设备提出路由的请求，它处理的仅仅是由用户端设备要求寻址的报文。在实际应用时,它通常作为局域网与广域网连接的主要设备。

路由器的主要工作是为经过路由器的数据寻找一个最佳的传输路径，并将该数据有效地传送到目的地。

在路由器中最关键的就是它采用的路由算法一即最佳的传输路径算法。

路由表中存放着子网的标志信息、网中路由器的个数和下一个路由器的名字等内容。

路由表可以是事先固定设置好的,即静态路由表( Statie Routing)，一且固定下来，就不会随网络结构的变化面改变；也可以由系统动态修改，即动态路由表( Dynamic Routing)，是利用路由器自己的学习能力自动记忆网络运行情况，算出最佳传输路径，当网络的外部条件(如网络线路故障)改变结构时，路由器能很快重新自动学习、修改路由表，保证网络传递的实效性。

路由表可以由路由器自动调整,也可以由主机控制调整。

1.5 网关

网关是互联网中工作在OSI传输层以上的设施。之所以称为设施，是因为网关不一定是一台设备，有可能是在一台主机中实现网关功能的一个软件，多数网关是用来互联网络的专用系统，所以市场上从未有过出售网关的广告或公司。因此，在这种意义上，网关是一种概念或一种功能的抽象描述。

网关提供从传输层到应用层的转换服务，实现起来也是非常复杂的，工作效率也很难提高，一般网关只提供有限的几种协议转换。比如，IBM的SNA与 Internet的TCP/IP互连就需要网关进行转换； Windows操作系统与UNIX操作系统互操作时就需要应用系统转换网关；Intermet上用简单邮件传输协议(SMTP)进行传输电子邮件，如果与微软公司的Ex-change进行互通，也需要电子邮件网关；Oracle数据库的数据与Sybase数据库的数据交换时也需要数据库网关。

1.6防火墙

防火墙是一个位于局域网和外网之间，或计算机和它所连接的网络之间的软硬件设备。它主要是对流经的通信流量进行访间控制，过滤和阻断未经容许的访问。
防火墙可以对流经它的网络通信进行端口扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，而目它还能禁止特定端口的流出通信，封镇特洛伊木马。它可以禁止来自特殊结点的访间，从而防止来自不明入侵者的所有
通信。
防火墙具有很好的保护作用。入侵者必细首先穿越防火墙的安全防线，才能接触目标计算机。可以将防火墙配置成许多不同保护级别，高级别的保护可能会禁止一些服务，如视频等。

防火墙有不同类型。一个防火墙可以是一个独立的硬件，也可以附加到某些网络互连设备中，如路由器等。同时防火墙也可以是一个软件系统，它可以在一个独立的机器上运行，该机器作为它背后网络中所有计算机的代理。最后，直接接入因特网的机器可以使用个人防火墙。

通常防火墙是工作在第三层的，对IP数据包进行控制，称为网络级防火墙。有些防火墙可以工作在应用层，它能够对不同的网络应用进行控制，通常称为应用级防火墙。

1.7 缓冲器

缓冲器( Cache)是一种对于繁访问Web信息的请求在本地实现的设备，它将Web页的内容存储在本地存储设备上，使得Web查找变得更快。（一种是代理服务器，一种是专业网络cache服务器）

1.8 网络互连实例

通常将网络中直接面向用户连接或访问网络的部分称为接入层，将位于接入层和核心层之间的部分称为分布层、汇接层或汇聚层。接入层的目的是允许终端用户连接到网络，因此接入层交换机具有低成本和高端口密度特性。汇聚层交换机是多台接入层交换机的汇聚点，它必须能够处理来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚层交换机与接入层交换机相比，需要更高的性能、更少的接口和更高的交换速率。而将网络主干部分称为核心层，核心层的主要目的是通过高速转发通信，提供优化、可靠的骨干传输结构，因此核心层交换机应拥有更高的可靠性、性能和吞吐量。

=========================================================================================================

二、交换式局域网

传统的共享LAN都是局限于许多站点共享一个公共通信介质的访问。

2.1 交换的基本概念

交换技术就是为终端用户提供专用点对点连接的技术，它把传统以太网一次只能为一个用户服务的“独占”的网络结构，转变成一个平行处理系统，为每个用户提供一条交换通道，把它们连接到一个高速背板总线，所有连接设备均可获得10Mbit/s、100Mbit/s、1000Mbit/s以太网，16Mbit/s令牌环带宽。

各设备间都能以端口速度互相访问，每个与网络连接的设备均可独立与交换机连接。

2.2 交换的实现方法

在以太网的交换实现技术上通常分为静态交换和动态交换两种方式。在静态交换中又分为静态端口交换和静态模块交换，在动态交换中又分为动态端口交换和动态段交换。

【静态交换】
静态以太网交换是在传统的共享式网络中，网络管理员在网管软件的支持下，把共享局城网总线上的工作站或服务器移到另一个共享局域网总线上，完成网络配置的增加、移动及改变。

它需要网络管理员的人工干预，每次网络结点的移动和增加，网络管理员必须通过网络管理软件进行操作。
一旦静态交换操作完成，用户或工作站将被移到一个新的共享网段，直到下一次新的操作。

在静态交换中,网络管理员可以将交换机一个端口连接的用户工作站从一条共享以太网总线移到另一条上，这种交换叫静态端口交换。
静态模块交换是将整个模块(包括该模块上的所有端口)从一条共享总线移到另一条共享总线。
在模块交换时,每个模块中都会有一部分端口未用，造成低效和浪费。静态交换不能改变带宽(性能)，用户唯一可以提高网络性能的方法是将工作站从拥挤的网段移到空闲的网段。

【动态交换】
动态以太网交换的最初设计思路来源于电话网，即在一个系统内同时存在许多点对点会话。

动态以太网交换可以在不改变标准以太网结点设备的同时(即工作站和服务器采用标准以太网卡、驱动程序、电缆和应用程序)，提高网络的带宽。

动态交换检查由一个工作站发往另一个工作站的数据包，在它们之间动态建立一条专用的10/100/1000Mbit/s链路，一且端口完成通信，动态交换便释放此链路。在动态交换的内部不再存在标准以太网采用的载波帧听多路访问/冲突检测方法(CS-MA/CD)的存取机制，与以太网相依存的“冲突”显著变小或不复存在,每个用户均可独立享受局域网的全部带宽，所有的数据包都通过专用的点对点10/100/1000Mbit/s链路进行交换，因此以太网交换为客户/服务器应用、分布式数据库、图像处理、多媒体、CAD等数据密集型网络应用提供了足够的带宽。因为数据不传送到所有的端口，网络也难以被窃听，所以动态交换环境比共享式以太网更安全。

动态端口交换是把每个端口连接到单一的工作站或服务器。每个端口可被赋予一个独立的10/100/1000Mbit/s专用以太网链路，可以赋予每个工作站或服务器更高的网络带宽。只有动态以太网交换才可以增加标准以太网的带宽及性能。

动态段交换是指每个动态段交换端口可以连接一个传统的共享以太网网段，而不只是一个工作站或服务器。动态段交换通过对大量MAC地址的识别来完成此功能。用端口连接整个网段，使动态段交换取代现今分段网络中的路由器及网桥。

2.3 三层交换技术

三层交换技术也称为IP交换技术或高速路由技术，它利用第三层协议中的路由交换来加强原来第二层基于网卡MAC地址的交换，以达到提升交换速度的目的。
三层交换技术(IP交换技术或高速路由技术)：利用第三层路由协议来确定要传送的路径，为数据包建立一条虚电路，绕过路由器快速转发出去。一次选路，多次交换。

2.4 高层交换技术

【第四层交换技术】
第四层交换技术：利用第三层和第四层包头中的信息来识别应用数据流会话，包括TCP/UDP端口号、标记应用会话开始结束的标记位、源和目的IP地址。

第四层交换技术是用于传输数据和实现多台服务器间负载均衡的理想机制。

第四层交换技术是利用第三层和第四层包头中的信息来识别应用数据流会话，包括TCP/UDP端口号、标记应用会话开始结束的标记位、源和目的IP地址等，利用这些信息，第四层交换机可以决定向何处转发会话传输流，它能识别哪个包在前，哪个包在后，可以从头到尾跟踪和维护各个会话，是真正的“会话交换机”。它可根据会话和应用层信息作出转发决定，所以用户的请求可以根据不同的规则被转发到最佳的服务器上。

第四层交换技术是用于传输数据和实现多台服务器间负载均衡的理想机制。

第四层交换机是为高速的企业网应用所设计的，可以起到负载均衡作用，基于应用类型和用户1D的传输流控制功能，防止非法访问服务器，采用多级排队技术，根据应用来标记传输流以及为传输流分配优先级。

第四层交换机可以监测Web服务器的可用性，包括物理连接、Web服务器主机、Http服务器本身的性能状态。当发现某台Web服务器不能提供服务时,交换机自动把Web请求分配到其他Wcb服务器。交换机还可以通过设置每台Wcb服务器能承受的最大会话数、设置溢出Wcb服务器、备份Web服务器等保证Web服务器的可靠性。

【第七层交换技术】
第七层交换技术：能够对传输流和内容进一步智能控制，可以根据应用的类型做出智能的负载均衡。

=========================================================================================================

三、虚拟局域网技术

虚拟局域网技术( Virtual Local Area Network，VLAN)是把处于同一桥接网络上的不同主机及网络设备逻辑地分割成不同的组，组与组间不能直接进行数据交互，这样就避免了不同组的相互干扰，也保证了同一组内数据的安全。VLAN通常也简称为虚拟网络。

第一代的虚拟局域网是基于OSI模型的第二层桥。如IEEE802.10、局域网仿真(LANE)和内部交换连接(ISL)。

虚拟局域网的主要协议为IEEE 802.10或IEEE 802.1Q。协议结合了鉴别和加密技术;为了避免出现循环，采用了IEEE802.1d(生成树)算法。

VLAN中创建逻辑组合广播域的方法（VLAN的划分）：
①通过端口：一个端口一个VLAN，也叫基于网段的VLAN，没有第三层地址识别能力，需要通过路由器。
②通过网络地址：一个端口若干个VLAN，不必经过路由器。
③根据网络层划分VLAN：是根据主机的网络层地址或协议类型划分的，根据生成树算法进行基于网桥的交换。
④通过用户定义：根据帧中任何字段特定值。

VLAN间的通信，网络互连设备中能完成路由功能的设备有路由器和3层以上的交换机。

=========================================================================================================

四、虚拟专用网络

虚拟专用网络( Virtual Private Network，VPN)由在公共网络上提供安全路径的路由器以及防火墙组成。在电话网、X.25网、帧中继网和以太网上，都可以构成VPN。它可以降低费用，减轻维护负担，比较容易地扩展网络的覆盖范围等。它是采用隧道技术以及加密、身份认证等方法，在公共网络上构建企业网络的技术。

隧道技术是VPN的核心。隧道是基于网络协议在两点或两端建立的通信，隧道由隧道开通器和隧道终端器建立。隧道开通器的任务是在公共网络中开出一条隧道。隧道包括点到点隧道和端到端降道。

VPN网络中通常还有一个或多个安全服务器。其中最重要的是远程认证拨入用户服务器( RADIUS- Remote Authorization Dial-In User Service)。VPN根据RADIUS服务器上的用户中心数据库对访问用户进行权限控制。RADIUS服务器确认用户是否有存取权限，同时RADIUS
服务器向被访问的设备发送用户的IP地址分配、用户最长接人时间及该用户被允许使用的拨入电话号码等。

VPN在协议级解决了虚拟工作组的问题。