安全运维总结——网络设备

相关概念

网段

• 指一个计算机网络中使用同一物理层设备（传输介质，中继器，集线器等）能够直接通讯的那一部分【一个冲突域】。
• 同一网段指的是地址和子网掩码相与得到相同的网络地址。

冲突域（物理分段）

• 使用同一物理层设备（传输介质，中继器，集线器等）能够直接通讯的一部分

• 冲突域中的每一个节点都能收到所有的帧（如果同一网段通信，那么自己也会收到）

  • 同一冲突域内通信，主机A向主机B发送一条消.息，数据将会随着传输介质发送给冲突域内的每一个主机，主机A也会收到这则消息。
  • 跨冲突域通信，交换机划分了A，B两个冲突域，A中的一个主机向B中某个主机发送一条消息，交换机会把消息转发给B冲突域，B中的每一个主机都会收到这个消息

广播域

• 接收同一广播消息的节点的集合。（和上面不同的是，冲突域不管什么消息都会发给每一个结点，广播域只有广播信息/泛洪才会发给每一个结点）

• 由于许多设备都极易产生广播，所以就有了网桥/交换机，它们不能分割广播域，但是可以进行转发/过滤，只对需要广播的帧进行广播（ARP请求）

• 广播域内通信

  • 假设交换机划分了A，B两个网段，A中的一个主机向B中某个主机发送一条消息，如果交换机知道B网段对应哪个端口，则定向转发；不知道则转发到每一个端口。最终消息会转发给B网段中的每一个主机。

泛洪

• 泛洪（Flooding）是交换机和网桥使用的一种数据流传递技术，将从某个接口收到的数据流向除该接口之外的所有接口发送出去。

• 与广播的区别

  • 广播是交换机所有的端口（包括传入的那个端口）发送消息。
  • 泛洪不包括传入的那个端口。

广播

广播风暴

• 当广播数据充斥网络无法处理，并占用大量网络带宽，导致正常业务不能运行，甚至彻底瘫痪
• 第二层网络设备可以解决冲突域问题，（可以过滤一部分的广播数据）但无法解决广播域问题，第三层设备才能解决

第二层广播

• 也称硬件广播，链路层广播，mac广播，通过链路层协议在以太网上实现的，对该网段内的所有主机进行广播MAC帧，例：ARP请求报文
• 第二层广播一般不会穿过局域网的边界，假如使用ARP协议找另外一个网段的主机的mac地址，那么路由器是会转发这个ARP请求报文的，也由该路由器返回ARP响应报文

第三层广播

• 也叫IP广播，IP地址主机号全1，直接广播地址，网络号段上所有的主机都将收到，路由器会转发（如果本机权在该网络号段上的话）
• 直接广播地址：主机号全1，可用于本地网络，也可以跨网段广播，前提是之间的路由器要开启定向广播功能
• 受限广播地址：32位全1，受限广播地址，本子网上所有机器都会收到，只会在当前子网上进行广播，路由器不会转发。
• 三层广播最终是依赖于二层广播的。

 

网络层以上设备

家用路由器（网关）

网关与默认网关

• ‘网关’是一个大概念，不具体特指一类产品，只要连接两个不同的网络的设备都可以叫网关；而‘路由器’一般特指能够实现路由寻找和转发的特定类产品，路由器很显然能够实现网关的功能。
• PC本身不具备路由寻址能力，所以（只要涉及到跨子网通信）PC要把所有的IP包发送到一个默认的中转地址上面进行转发，也就是默认网关。
• 如果PC的默认网关设置错误，则无法实现跨子网通信，因为帮它跨子网通信的路由器找不着了，但仍然可以和同一个子网下的设备通信（交换机）。

家用路由器和路由器

• 家用无线路由器和书上学的路由器不是一个东西，严格来说产品名称应该是家庭网关（事实上这些设备的名称确实是“XX网关”，只是大家习惯称呼它为路由器）可以看作一些功能的集合，路由器功能（NAT地址转换），二层交换机，防火墙，无线AP，DHCP服务器，PPPOE拨号功能。

具有的功能

• 课本上“路由器”的功能

  • NAT地址转换

  • 隔离广播域

    • 两个广播域，一个是使用私有地址的LAN网络，一个是WAN口所在的网络

  • 简陋的路由转发功能

    • 家用路由器中没有存放路由表，只是把发给非LAN域的东西统统发给WAN口的网关（ISP的网关）进行转发，确实是简陋的三层转发，但理论上也可以认为没有路由功能

• 防火墙

  • 根据TCP，UDP的端口号，IP 的协议号，对IP地址进行简单过滤的防火墙

    • 所以把家用路由器归纳为网络层之上设备

• DHCP

  • 每台设备连接上WIFI后，通过DHCP服务器，动态分配一个内网IP，这个IP是变化的

• PPPOE拨号

  • 启动路由器，通过PPPOE拨号，获得一个公网IP地址，这个公网IP地址是ISP动态分配的，每次启动路由器是不同的。

    • PPPoE是基于以太网点对点通信协议（广域网），通常我们上网都是需要通过PPPOE拨号上网，虽然现在我们上网似乎用不到，但是其实在路由器或者光猫端还是需要进行PPPOE拨号来连接网络的，因为ISP给了我们一个账号和密码，在首次配置完成后，以后再启动路由器就自动拨号上网了，但如果家里只有猫，没有路由器的话，那么每次上网都需通过电脑上的“宽带连接“，然后输入账号密码

• 无线AP

  • 作为一个无线网络的接入点，即WIFI功能

• 数模转换

  • 如果是光纤入户，家用路由器承担一个数模转换的功能

网络层设备

路由器 Router

• 路由器是一种具有多个输入端口和多个输出端口的专用计算机，其任务是转发分组。 从路由器某个输入端口收到的分组，按照分组要去的目的地（即目的网络〉，把该分组从路由器的某个合适的输出端口转发给下一跳路由器。下一跳路由器也按照这种方法处理分组， 直到该分组到达终点为止。路由器的转发分组正是网络层的主要工作
• 路由器有多个端口，每个端口都有一个IP地址，连接本局域网的端口会占据本局域网内的一个私有地址，我们可以认为这个地址就是默认网关

路由器的功能

• 划分广播域，抑制广播风暴
• 连接异构网络

如果一个存储转发设备实现了某个层次的功能，那么它就可以互联两个在该层次上使用不同协议的网段（网络）。如果网桥实现了物理层和数据链路层，那么网桥可以互联两个物理层和数据链路层不同的网段；但中继器实现了物理层后，却不能互联两个物理层不同的网段，这是因为中继器不是存储转发设备，它属于直通式设备。

• 转发基于目的IP地址的数据包
• 通过路由选择算法决定最优路径
• 支持多种网络层协议，提供不同协议之间的分组转发

路由器的构成

• 路由选择（控制部分）

  • 路由选择处理机
  • 路由选择协议
  • 路由表

• 分组转发

  • 交换结构
  • 输入端口
  • 输出端口

路由表与转发表

”转发“是指路由器根据转发表把收到的IP数据报从路由器合适的端口转发出去，仅涉及到一个路由器

”路由“，即“路由选择”，涉及到很多路由器，路由表是许多路由器按照复杂的路由算法协同工作的结果

• 转发表

  • 转发表是从路由表得出的

  • 转发表的结构应使查找过程最优

  • 转发表则可用特殊的硬件来实现

  • 表项

    • 目的IP地址
    • 下一跳地址(MAC地址)

• 路由表

  • 路由表总是用软件实现的
  • 路由表需对网络拓扑变化的计算最优化

• 表项

  • 目的网络IP地址
  • 子网掩码
  • 下一跳IP地址
  • 接口

   

数据链路层设备

网桥 Bridge

根据MAC帧的目的地址对帧进行转发和过滤

网桥接收网段1发送的数据帧，检查数据帧中的地址，如果是网段2的地址，那么就转发给网段2【转发功能】；如果是网段1的地址，那么就将其丢弃【过滤功能】，因为源站和目的站处在同一个网段，目的站能够直接收到这个帧而不需要借助网桥转发。

交换机 Switch

也叫交换式集线器，本质上说，交换机是一个多端口网桥，但也有一些不同

工作过程

• 从端口x收到无差错的帧，如果MAC地址表中没有源MAC地址，就将键值对（源MAC地址，x）写入MAC地址表中。

• 交换机将数据帧中的目的MAC地址同已建立的MAC地址表进行比较，以决定由哪个端口进行转发。

  • 如数据帧中的目的MAC地址在MAC地址表中，则向该MAC地址所对应的端口转发。
  • 如数据帧中的目的MAC地址不在MAC地址表中，则向所有端口转发（不包括进入的接口）。这一过程称之为泛洪(flood)。
  • （因为采用的是泛洪，所以像（3.3）的情况，在全网交换机走一遍后，大家把它的【MAC地址，端口】记下来后，这个帧就不会有交换机再转发了。下一次，第一个交换机也就知道，该帧是同一网段内，无需转发）
  • 如MAC地址表中查到的端口与x相同，则丢弃该帧。

• 广播帧和组播帧向所有的端口转发。

工作特性

• 交换机不隔绝广播，划分了VLAN的交换机隔离广播域（跨网段需要路由器进行通信）
• 交换机依据帧头的信息进行转发，因此说交换机是工作在数据链路层的网络设备
• 一般都工作在全双工方式

交换机的分类

• 存储转发

  • 转发之前必须接收整个帧，存入高速缓存，并进行检错，如无错误再将这一帧发向目的地址。

• 直通式

  • 交换机只需要打开帧头中的目的地址（6B）就立即转发该帧
    物理层设备

物理层设备

中继器 Repeater

扩展网络距离，将衰减的数字信号经过再生放大（再生放大，而非简单放大）

• 使用中继器相联的主机属于同一冲突域，共享带宽
• 中继器两端可以连接不同传输媒体（物理链路）
• 中继器不具有存储转发功能，所以中继器不能连接两个速率不同的网段。（百科上写的不对）

如果一个存储转发设备实现了某个层次的功能，那么它就可以互联两个在该层次上使用不同协议的网段（网络）。如网桥实现了物理层和数据链路层，那么网桥可以互联两个物理层和数据链路层不同的网段；但中继器实现了物理层后，却不能互联两个物理层不同的网段，这是因为中继器不是存储转发设备，它属于直通式设备。

• 互相串联的中继器不能超过4个，且遵循“5-4-3”原则

放大器 amplifier

中继器再生数字信号，相应的对于模拟信号传输，使用放大器（amplifier）放大衰减的信号

集线器 Hub

又叫多端口转发器，实质上是一个多端口中继器，也是对接收到的信号进行再生整形放大（重点是再生），从除输入端口外的把所有端口广播出去

• 半双工通信
• 共享带宽
• 物理上星型，逻辑上总线（一般只说拓扑结构指的是物理结构）

调制解调器 Modem

俗称“猫”，计算机内的信息是由“0”和“1”组成数字信号，而在电话线上传递的却只能是模拟电信号。于是，当两台计算机要通过电话线进行数据传输时，就需要一个设备负责数模的转换。

复用器 multiplexer & 分用器 demultiplexer

在复用器和分用器之间是用户共享的高速信道（多路复用）。分用器的作用正好和复用器相反，它把高速信道传送过来的数据进行分用，分别送交到相应的用户

 

概念区分

路由器与交换机的区别与联系

工作位置区别

根据 OSI模型的网络体系划分，自底向上，路由器工作在第三层（网络层），而我们常说的交换机工作在第二层（链路层）（目前有更加高级的三层交换机，四层交换机，甚至还有七层交换机）

工作方式区别

它们的主要工作如下：

路由器：寻址，转发（依靠 IP 地址）
交换机：过滤，转发（依靠 MAC 地址）

我们可以看出这两者的主要工作就是转发数据，但是不同之处是，依靠的地址不同，这是一个根本区别！

路由器内有一份路由表，里面有它的寻址信息（就像是一张地图），它收到网络层的数据报后，会根据路由表和选路算法将数据报转发到下一站（可能是路由器、交换机、目的主机）

交换机内有一张MAC表，里面存放着和它相连的所有设备的MAC地址，它会根据收到的数据帧的首部信息内的目的MAC地址在自己的表中查找，如果有就转发，如果没有就放弃

通过拓扑图我们应该知道：

每一个路由器与其之下连接的设备，其实构成一个局域网
交换机工作在路由器之下，就是也就是交换机工作在局域网内
交换机用于局域网内网的数据转发
路由器用于连接局域网和外网

两个中能否少一个

交换机在局域网内工作，它根据 MAC 地址转发数据，如果没有了路由器在网络层寻址，那么我们的数据就不能发送到其他网络终端上去了

路由器内集成了交换机的功能，主机与路由器相连也可以实现数据转发，但是不足之处是：
可扩展的接口不如交换机多
交换机通常由硬件加速转发，路由器主要靠软件寻址，速度慢

实际网络数据转发过程

你的电脑先在应用层打包一个 HTTP报文，然后在传输层在打包成 TCP报文，然后再根据 DNS 查到的 IP 在网络层打包成 IP数据报，然后在通过链路层打包成以太网数据帧，发送给你的交换机：

你的交换机收到后，重新包装数据帧，再发送给你的路由器：

你的路由器利用 NAT(Network Address Translation)，将你的主机IP（局域网IP）转换为外网IP，还会修改端口号，对外完全隐藏你的主机，再根据路由表选择一条合适的路径进行转发：

在接下来的过程中，每个节点都只改变 MAC 地址，然后在网络中一路向着目的地发送。

 

关于NAT

NAT是一种网络隐蔽技术，它通过建立IP地址映射来隐藏内部的网络
它的主要功能有：

• 提高内部网络的安全性
• 共享网络地址，减少地址消耗

NAT主要有三种实现方式：

• 静态NAT（Basic NAT）：最基本的网络转换实现，只转换IP地址，建立IP地址的一对一映射，不支持端口转换
• 网络地址端口转换（NAPT）：这种方式支持端口的映射，并允许多台主机共享一个公网IP地址
• 端口多路复用（Port address Translation,PAT)：是指改变外出数据包的源端口并进行端口转换，即端口地址转换.采用端口多路复用方式。

 

原文链接：https://blog.csdn.net/baidu_32045201/article/details/78305586