第7章网络技术.ppt
第7章 网络技术,18:41,第7章 网络技术 计算机网络,2,本章内容,1VLAN技术 2冗余链路 3网络地址转换 4 访问控制列表,18:41,第7章 网络技术 计算机网络,3,1VLAN技术,VLAN是指一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟网络的一种技术，这一技术主要应用于交换机中。VLAN技术是在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的虚拟网，限制不同网间的用户互访，每个虚拟网就是一个虚拟局域网。,18:41,第7章 网络技术 计算机网络,4,VLAN虚拟网的特点是可以限制广播范围，对交换网络进行隔离划分VLAN的端口不受地理位置的限制第二层的单播、广播和多播帧在一个VLAN内转发、扩散，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN网络可以是混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。,18:41,第7章 网络技术 计算机网络,5,VLAN种类,VLAN 的种类有基于端口的划分、基于协议的划分、基于MAC地址的划分等，目前主流应用的是基于端口的划分。,18:41,第7章 网络技术 计算机网络,6,VLAN帧结构,18:41,第7章 网络技术 计算机网络,7,VLAN的实现,1）单交换机VLAN划分实现机制2）跨交换机的VLAN内通信实现机制,18:41,第7章 网络技术 计算机网络,8,冲突域和广播域,冲突域 冲突域（Collision Domain）是基于物理层的，指在网络内部两个数据分组同时进行传输时，产生与发生冲突的区域，所有共享介质环境都是一个冲突域，即当一个站点向另一个站点发出信号时，除目的站点外，能收到这个信号的所有站点构成的区域即为一个冲突域。广播域是基于第二层数据链路层的，指网段上所有设备的集合。这些设备收听送往本网段的所有广播。,18:41,第7章 网络技术 计算机网络,9,【例】如图所示，由集线器、交换机和路由器搭建一个网络，交换机上连接一台计算机PC1，集线器上连接两台计算机PC2和PC3，路由器上连接计算机PC4。,冲突域：有4个广播域：有2个,18:41,第7章 网络技术 计算机网络,10,VLAN工作原理,IEEE 802.3一种类型帧 数据帧中加入VLAN识别信息的IEEE802.1q格式,18:41,第7章 网络技术 计算机网络,11,18:41,第7章 网络技术 计算机网络,12,VLAN实现机制,单交换机VLAN划分机制,跨交换机VLAN实现机制实例,18:41,第7章 网络技术 计算机网络,13,基于交换机的端口(一个端口只属于一个VLAN),VLAN端口：Port VLAN,Port VLAN设置在连接主机的端口,F0/1,F0/2,F0/3,18:41,第7章 网络技术 计算机网络,14,Port-vlan原理,F0/1,F0/2,F0/3,A,B,C,Vlan 10,Vlan 20,Vlan 10,A BA C,X,18:41,第7章 网络技术 计算机网络,15,Switch B,VLAN30,VLAN20,VLAN10,Tag VLAN,1.传输多个VLAN的信息2.实现同一VLAN跨越不同的交换机,VLAN的类型:Tag VLAN,在Trunk链路上传输多个VLAN信息要求Trunk至少要100M。,18:41,第7章 网络技术 计算机网络,16,802.1q数据帧只在交换机的trunk链路上传输，对于用户是完全透明的。默认条件下，Trunk上会转发交换机上存在的所有VLAN的数据。,A,交换机1,交换机2,802.1q工作原理,B,数据帧,Tag标签,18:41,第7章 网络技术 计算机网络,17,2冗余链路,在许多交换机或交换机设备组成的网络环境中，通常都使用一些备份连接，以提高网络的健全性、稳定性。备份连接也叫冗余链路。,18:41,第7章 网络技术 计算机网络,18,冗余链路存在问题,1广播风暴2重复非广播帧传输 3MAC地址表不稳定性,18:41,第7章 网络技术 计算机网络,19,生成树协议,生成树协议的种类有STP、RSTP和MSTP等。STP协议的主要作用是避免回路、冗余备份。,18:41,第7章 网络技术 计算机网络,20,链路聚合,链路聚合技术也称端口聚合，它使用802.3ad标准。802.3ad标准定义了将两个以上的以太网链路组合起来，为高带宽网络连接实现负载共享和负载平衡。端口聚合（Aggregate Port，AP）将交换机上的多个端口在物理上连接起来，在逻辑上捆绑在一起，形成一个拥有较大宽带的端口，形成一条干路，可以实现均衡负载，并提供冗余链路。,18:41,第7章 网络技术 计算机网络,21,3网络地址转换,随着Internet的快速发展，IPv4地址已经耗尽。在IPv6使用之前，网络地址转换技术是解决IP地址不够问题的一个最主要的技术手段。通过地址转换技术，得以让使用私有地址的用户能够访问Internet。,18:41,第7章 网络技术 计算机网络,22,NAT分类,NAT设置可以分为三种类型：静态NAT（Static NAT）、动态地址NAT（Pooled NAT）、网络地址端口转换NAPT（PortLevel NAT）。静态NAT是最为简单和最容易实现的一种，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址动态地址NAT则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络NAPT则是把内部地址映射到外部网络的一个IP地址的不同端口上。,18:41,第7章 网络技术 计算机网络,23,NAT 的优缺点,优点：地址转换可以使内部网络用户方便的访问Internet。地址转换可以使内部局域网的许多主机共享一个IP 地址上网大大节约了合法的IP 地址。地址转换可以屏蔽内部网络的用户提高内部网络的安全性。地址转换同样可以提供给外部网络WWW、FTP、Telnet 等服务。地址转换技术可以使得内部局域网的IP 地址分配变得容易维护，不会因为合法地址转换的缺乏而不容易合理分配内部局域网的IP 地址，并且当外部有变化的时候也不需要改动内部局域网内部的配置。,18:41,第7章 网络技术 计算机网络,24,NAT 的优缺点,缺点：地址转换对于报文内容中含有有用的地址信息的情况需要做特殊处理，这种情况的代表协议是FTP。地址转换不能处理IP 报头加密的情况。地址转换由于隐藏了内部主机地址有时候会使网络调试变得复杂。,18:41,第7章 网络技术 计算机网络,25,NAT 的适用范围,NAT 的适用范围如下：连接到Internet，但却没有足够的合法地址分配给内部主机。更改到一个需要重新分配地址的ISP。有相同的IP 地址的两个Internat 合并。支持负载均衡（主机）。,18:41,第7章 网络技术 计算机网络,26,NAT技术的基本原理,NAT就是将网络地址从一个地址空间转换到另外一个地址空间的一个行为。NAT的类型NAT（Network Address Translation）转换后，一个本地IP地址对应一个全局IP地址NAPT（Network Address Port Translation）转换后，多个本地地址对应一个全局IP地址,18:41,第7章 网络技术 计算机网络,27,NAT/NAPT的术语,内部网络 Inside外部网络 Outside内部本地地址Inside Local Address内部全局地址Inside Global Address,18:41,第7章 网络技术 计算机网络,28,NAT工作原理,168.168.12.1,192.168.12.2,18:41,第7章 网络技术 计算机网络,29,NAPT工作原理,200.168.12.2,168.168.12.1,192.168.12.2,192.168.12.3,Web服务,18:41,第7章 网络技术 计算机网络,30,动态NAPT配置,1、定义内网接口和外网接口Router(config-if)#ip nat outsideRouter(config-if)#ip nat inside2、定义内部本地地址范围Router(config)#access-list 10 permit 192.168.1.0 0.0.0.2553、定义内部全局地址池Router(config)#ip nat pool abc 200.8.7.3 200.8.7.3 netmask 255.255.255.04、建立映射关系Router(config)#ip nat inside source list 10 pool abc overload,18:41,第7章 网络技术 计算机网络,31,NAT/NAPT的监视和维护命令,显示命令show ip nat statistics 显示翻译统计show ip nat translations verbose 显示活动翻译清除状态命令clear ip nat translation*从NAT转换表中清除所有动态地址转换项clear ip nat translation inside local-address global-address 清除一个包含指定内部翻译的转换项更多的命令用 clear ip nat?,18:41,第7章 网络技术 计算机网络,32,4 访问控制列表,访问控制列表ACL最直接的功能是包过滤。数据包过滤器是将数据包从一个网站向另一个网络传送的过程中，允许或阻止它们的通过。数据包过滤器是防火墙中应用的一项重要功能，它对 IP 数据包的报头进行检查以确定数据包的源地址、目的地址和数据包利用的网络传输服务。,18:41,第7章 网络技术 计算机网络,33,ACL的类型和格式,ACL的类型主要分为标准访问控制列表和扩展访问控制列表，主要动作为允许（Permit）和拒绝（Deny），主要的应用方法是入栈应用（In）和出栈应用（Out）。标准访问控制列表和扩展访问控制列表应用于路由器上，称为基于编号的访问控制列表；如果应用于三层交换机上，则称为基于名称的访问控制列表，这两种ACL的命令格式有所不同。,18:41,第7章 网络技术 计算机网络,34,基于编号的标准ACL,格式：access-list listnumber permit|deny source-addr source-mask,18:41,第7章 网络技术 计算机网络,35,反掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。在ACL中，为了指定具体的主机地址，应使用反掩码0.0.0.0，而表示任意地址的反掩码是255.255.255.255。路由器提供了通配符host和any来简化这两个特殊的反掩码，用host可以指定某个具体的主机地址，用any可以代替任意地址。,18:41,第7章 网络技术 计算机网络,36,基于编号的扩展ACL,格式：access-list listnumber permit|deny protocol source-addr source-mask source-port dest-addr dest-mask dest-port,18:41,第7章 网络技术 计算机网络,37,协议表项用于定义要过滤的协议，其关键字可以是TCP、UDP、IP、ICMP等。在过滤TCP和UDP的扩展ACL中，源端口号source-port和目的端口号dest-port可以用下列几种不同的方法来指定。已使用端口：0-1023注册端口：1024-49151动态或私有端口：49152-65535,18:41,第7章 网络技术 计算机网络,38,18:41,第7章 网络技术 计算机网络,39,基于命名的标准ACL,格式：ip access-list standard name！用名字来定义一条标准ACL并进入access-list配置模式deny SourceAddress source-wildcard-mask|host-source|any或permit SourceAddress source-wildcard-mask|host-source|any,18:41,第7章 网络技术 计算机网络,40,基于命名的扩展ACL,格式：Switch(config)#ip access-list extended name Switch(config-std-nacl)#deny|permit protocol SourceAddress source-wildcard-mask|host-source|any operator portSwitch(config-std-nacl)#DestinationAddress destination-wildcard-mask|host-destination|any operator port,
