【正文】 模式就是100M全雙工，如果對(duì)端只支持全雙工模式和 10M的能力，則運(yùn)行模式就定為全雙工 10M模式。 以太網(wǎng)數(shù)據(jù)鏈路層 按照 ISO 的 OSI 七層參考模型，互連的各個(gè)系統(tǒng)把各個(gè)網(wǎng)絡(luò)功能分七個(gè)層次實(shí)現(xiàn)，各個(gè)層次之間相互獨(dú)立，互不干擾。這里需要注意的是，在以太網(wǎng)中，全雙工是物理層的概念，而針對(duì)物理層的雙工模式提供不同訪問(wèn)方式則是數(shù)據(jù)鏈路層的概念，這樣就形成了以太網(wǎng)的一個(gè)重要特點(diǎn)：數(shù)據(jù)鏈路層和物理層是相關(guān)的。 LLCM A C數(shù)據(jù)鏈路層物理層LL C 的位置網(wǎng)絡(luò)層M A CLLC 圖 24 數(shù)據(jù)鏈路層分層結(jié)構(gòu) 數(shù)據(jù)鏈路層分層結(jié)構(gòu)如圖 24 所示。 MAC 子層是物理層相關(guān)的，也就是說(shuō)， 不同的物理層有不同的 MAC 子層來(lái)進(jìn)行訪問(wèn)，比如物理層是工作在半雙工模式的雙絞線，則相應(yīng)的 MAC 子層為半雙工 MAC，如果物理層是令牌環(huán)，則有令牌環(huán) MAC 來(lái)進(jìn)行訪問(wèn)。其工作過(guò)程如下： 當(dāng) MAC 子層有數(shù)據(jù)要發(fā)送的時(shí)候，通過(guò)數(shù)據(jù)發(fā)送指示告訴物理層，然后把數(shù)據(jù)一個(gè)字節(jié)一個(gè)字節(jié)的通過(guò)數(shù)據(jù)發(fā)送線發(fā)送出去。 在這個(gè)過(guò)程中攙雜了校驗(yàn)等功能。 上層要發(fā)送數(shù)據(jù)的時(shí)候，把數(shù)據(jù)提交給 MAC 子層， MAC 子層有自己的緩沖區(qū)，把上層提交給自己的數(shù)據(jù)進(jìn)行緩存，然后增加上目的 MAC 地址和自己的 MAC 地址（源MAC 地址），計(jì)算出數(shù)據(jù)幀的長(zhǎng)度，形成的數(shù)據(jù)包 格式如圖 25 所示 。 上面介紹了數(shù)據(jù)的發(fā)送過(guò)程，下面說(shuō)一下數(shù)據(jù)接收過(guò)程： 在計(jì)算機(jī)的網(wǎng)卡中維護(hù)一張接收地址列表，每當(dāng)計(jì)算機(jī)網(wǎng)卡接收到一個(gè)數(shù)據(jù)幀之后，就把數(shù)據(jù)幀的目的 MAC 地址提取出來(lái)，跟列表中的條目進(jìn) 行比較，只要有一項(xiàng)匹配，則接收該數(shù)據(jù)幀，若無(wú)任何匹配的項(xiàng)目，則丟棄該數(shù)據(jù)幀。這個(gè)字段的長(zhǎng)度是 2 字節(jié)，根據(jù)取值的范圍有不同的含義，在小于或等于 1500 的情況下，該值代表數(shù)據(jù)幀數(shù)據(jù)部分的長(zhǎng)度，但當(dāng)大于 1500 的時(shí)候，則代表該幀的數(shù)據(jù)部分的類(lèi)型，比如該數(shù)據(jù)幀是哪個(gè)上層協(xié)議（比如 IP， IPX， DECNet， NETBEUI 等）的數(shù)據(jù)單元等。 根據(jù) Length/T 字段的取值，來(lái)把接收到的數(shù)據(jù)幀提交給上層協(xié)議模塊，是這樣進(jìn)行的：每個(gè)上層協(xié)議都提供了一個(gè)回調(diào)函數(shù)，這個(gè)回調(diào)函數(shù)在數(shù)據(jù)鏈路層是可見(jiàn)的而且可以調(diào)用的，這樣當(dāng)數(shù)據(jù)鏈路層接收到一個(gè)數(shù)據(jù)幀之后，根據(jù)數(shù)據(jù)幀里的 Length/T 字段的取值來(lái)判斷相應(yīng)的協(xié)議模塊，然后調(diào)用相應(yīng)協(xié)議的回調(diào)函數(shù)（把數(shù)據(jù)幀的數(shù)據(jù)部分作為參數(shù)），該回調(diào)函數(shù)執(zhí)行的結(jié)果就是把數(shù)據(jù)幀的數(shù)據(jù)部分掛到上層協(xié)議的接收隊(duì)列中， 然后給上層協(xié)議發(fā)送 一個(gè)消 息，告訴上層協(xié)議有一個(gè)數(shù)據(jù)包到來(lái)，然后返回，其他的事情就由 上層協(xié)議來(lái)做了。 這些服務(wù)都是在 LLC 子層中實(shí)現(xiàn)的， LLC 子層的幀格式 如圖 26 所示 ： D M AC S M AC Le ng t h D SA P SSAP C on tro l D AT A/FC SLLC 圖 26 LLC 子層的幀格式 可以看出，該數(shù)據(jù)幀的結(jié)構(gòu)在 MAC 子層上是保持統(tǒng)一的，但 MAC 子層數(shù)據(jù)幀的Length/T 字段現(xiàn)在已經(jīng)完全成了 Length，指示 MAC 數(shù)據(jù)幀數(shù)據(jù)部分的長(zhǎng)度，然后在數(shù)據(jù)部分增加了一個(gè) LLC 頭，這個(gè)頭由 DSAP（目的服務(wù)訪問(wèn)點(diǎn)）， SSAP（源服務(wù)訪問(wèn)點(diǎn)）和控制字段組成。性能更高的交換機(jī)內(nèi)部可能是一個(gè)交換網(wǎng)絡(luò)，該網(wǎng)絡(luò)完成任意端口之間的兩兩交換。如果交換機(jī)要把接收的數(shù)據(jù)發(fā)送給某一終端，這時(shí)候，交換機(jī)把要發(fā)送的數(shù)據(jù)發(fā)往該接收終端所在端口的發(fā)送隊(duì)列，然后 再 發(fā)送到接收終端，如果終端忙，則一直存儲(chǔ)在發(fā)送隊(duì)列中。也可以實(shí)現(xiàn)一些其他的調(diào)度策略，比如 WFQ（基于優(yōu)先級(jí)的加權(quán)公平隊(duì)列）等調(diào)度技術(shù)。交換機(jī)接收到一個(gè)數(shù)據(jù)幀，依靠該數(shù)據(jù)幀的目的 MAC 地址來(lái)查找 CAM 表，查找的結(jié)果是一個(gè)或一組端口，根 據(jù)查找的結(jié)構(gòu)，把數(shù)據(jù)包送到相應(yīng)端口的發(fā)送隊(duì)列。 二層交換機(jī)工作過(guò)程 交換機(jī)根據(jù)功能的不同，分為兩類(lèi)：二層交換機(jī)和三層交換機(jī)。 手工生成該表很簡(jiǎn)單，不過(guò)配置麻煩，所以通常情況下是交換機(jī)自動(dòng)獲得的。 5. 交換機(jī)還為每個(gè) CAM 表項(xiàng)提供了一個(gè)定時(shí)器，該定時(shí)器從一個(gè)初始值開(kāi)始遞減，每當(dāng)使用了一次該表項(xiàng)（接收到了一個(gè)數(shù)據(jù)幀，查找 CAM 表后用該項(xiàng)轉(zhuǎn)發(fā)），定時(shí)器被重新設(shè)置。 （ 2） 儲(chǔ)存轉(zhuǎn)發(fā)模式：交換機(jī)將全部?jī)?nèi)容接收才開(kāi)始轉(zhuǎn)發(fā)過(guò)程。 全雙工和二層交換機(jī)組建的以太網(wǎng)存在如下缺點(diǎn)： 廣播 泛濫；安全性仍舊無(wú)法得到有效的保證。 注：三層交換機(jī)實(shí)質(zhì)就是一種特殊的路由器，有很強(qiáng)交換能力而價(jià)格低廉的路由器。路由接口是與 VLAN 是對(duì)應(yīng)的關(guān)系，而每個(gè)VLAN 可能對(duì)應(yīng)很多個(gè)物理端口，因此路由接口和物理端口沒(méi)有一一對(duì)應(yīng)的關(guān)系。 3 VLAN 技術(shù)和網(wǎng)絡(luò)安全 VLAN技術(shù)概述 虛擬局域網(wǎng)（ VLAN—— Virtual Local Area Network）邏輯上把網(wǎng)絡(luò)資源和網(wǎng)絡(luò)用戶按照一定的原則進(jìn)行劃分，把一個(gè)物理上實(shí)際的網(wǎng)絡(luò)劃分成多個(gè)小的邏輯的網(wǎng)絡(luò)。 VLAN 與傳統(tǒng)的 LAN 相比，具有以下優(yōu)勢(shì)： 1. 減少移動(dòng)和改變的代價(jià) 即所說(shuō)的動(dòng)態(tài)管理網(wǎng)絡(luò)，也就是當(dāng)一個(gè)用戶從一個(gè)位置移動(dòng)到另一個(gè)位置是，他的網(wǎng)絡(luò)屬性不需要重新配置，而是動(dòng)態(tài)的完成，這種動(dòng)態(tài)管理網(wǎng)絡(luò)給網(wǎng)絡(luò)管理者和使用者都帶來(lái)了極大的好處，一個(gè)用戶，無(wú)論他到哪里，他都能不做任何修改地接入網(wǎng)絡(luò)，這種前景是非常美好的。這個(gè)功能的目標(biāo)就是建立一個(gè)動(dòng)態(tài)的組織環(huán)境， 當(dāng)然，這只是一個(gè)理想的目標(biāo)，要實(shí)現(xiàn)它，還需要一些其他方面的支持。 5. 增強(qiáng)網(wǎng)絡(luò)的健壯性： 當(dāng)網(wǎng)絡(luò)規(guī)模增大時(shí)，部分網(wǎng)絡(luò)出現(xiàn)問(wèn)題往往會(huì)影響整個(gè)網(wǎng)絡(luò)，引入 VLAN 之后，可以將一些網(wǎng)絡(luò)故障限制在一個(gè) VLAN 之內(nèi)。 下面是確定元素的最重要的幾種方式： 基于端口的 VLAN 最簡(jiǎn)單，也是最直接的方式就是手工指定，這種方式也是最容易理解的。 具體如圖 31和表 31 所示 ： 主機(jī)主機(jī) A 主機(jī)主機(jī) B 主機(jī)主機(jī) C 主機(jī)主機(jī) D以太網(wǎng)交換機(jī)以太網(wǎng)交換機(jī)E1E 2 E 7E 1 0V L A N 5V L A N 1 0 圖 31 基于端口劃分 VLAN 表 31 端口與 VLAN 對(duì)應(yīng)關(guān)系 基于 MAC 地址的 VLAN 在基于端口的 VLAN 方式下，我們?cè)诮粨Q機(jī)上進(jìn)行了設(shè)置，來(lái)決定 VLAN 包含那些端口。根據(jù)這樣兩個(gè)關(guān)系，交 換機(jī)可以創(chuàng)建 VLAN 跟端口號(hào)之間的對(duì)應(yīng)關(guān)系了，具體過(guò)程如下： 端口 所屬 VLAN E1 VLAN 5 E2 VLAN 10 ．．．．．． ．．．．．． E7 VLAN 5 ．．．．．． ．．．．．． E10 VLAN 10 表 32 MAC 地址與 VLAN 對(duì)應(yīng)關(guān)系 1. 交換機(jī)把手工創(chuàng)建的 MAC 地址跟 VLAN 號(hào)之間的對(duì)應(yīng)關(guān)系下載到本地； 2. 從該對(duì)應(yīng)關(guān)系中讀出一行，如果該行對(duì)應(yīng)的 VLAN 不存在，則創(chuàng)建該 VLAN，然后以 MAC 地址為索引依據(jù)，到 CAM 表中查找對(duì)應(yīng)的端口號(hào)，把找到的端口號(hào)加入剛剛創(chuàng)建的 VLAN； 3. 若讀出的該行所包含的 VLAN 已經(jīng)存在，則僅僅依據(jù) MAC 地址查詢 CAM 表，把找到的端口號(hào)加入已經(jīng)存在的 VLAN 里面； 4. 重復(fù)這個(gè)過(guò)程，直到該對(duì)應(yīng)關(guān)系掃描完畢。 在該種方式下，只要告訴交換機(jī)，上層協(xié)議跟 VLAN 之間的對(duì)應(yīng)關(guān) 系即可，比如，我們把所有運(yùn)行 IPX 的計(jì)算機(jī)都劃分到 VLAN 5 里面，只要告訴交換機(jī)（通過(guò)命令行的方式） IPX 和 VLAN 5 的對(duì)應(yīng)關(guān)系即可。 實(shí)際上 ，可以把某個(gè)組播地址對(duì)應(yīng)的接口列表劃分到一個(gè) VLAN 里面。 協(xié)議類(lèi)型 所屬 VLAN IPX 協(xié)議 VLAN 5 IP 協(xié)議 VLAN 10 ．．．．．． ．．．．．． 主機(jī)主機(jī) A 主機(jī)主機(jī) B 主機(jī)主機(jī) C 主機(jī)主機(jī) D以太網(wǎng)交換機(jī)以太網(wǎng)交換機(jī)1. 1. 1. 51. 1. 1. 1. 1. 2. 881. 1. 2. 1. 1. 1. 81. 1. 1. 1. 1. 2. 991. 1. 2.V L A N 5V L A N 1 0 圖 34 基于子網(wǎng)劃分 VLAN 表 34 子網(wǎng)與 VLAN 對(duì)應(yīng)關(guān)系 基于策略的 VLAN 這是最復(fù)雜的一種 VLAN 劃分方式，也是最靈活的劃分方式。在一個(gè)交換機(jī)的情況下，一個(gè) VLAN 端口接收到的數(shù)據(jù)可以根據(jù)交換機(jī)內(nèi)部的一張 VLAN 和端口對(duì)應(yīng)表來(lái)確定該 VLAN 所有的端口，因而一個(gè) VLAN 的數(shù)據(jù)在同一個(gè)交換機(jī)上不可能被錯(cuò)誤轉(zhuǎn)發(fā)到另外一個(gè) VLAN 當(dāng)中。 在這種情況下，可以在發(fā)給另外一個(gè)交換機(jī)的數(shù)據(jù)幀上附加 VLAN 信息來(lái)區(qū)分?jǐn)?shù)據(jù)幀所屬的 VLAN，這便是 （簡(jiǎn)稱(chēng) 1Q）幀格式。 TPID 包含了一個(gè)固定的值 0x8100。 Canonical Format Indicator( CFI )： CFI 值為 0 說(shuō)明是規(guī)范格式， 1 為非規(guī)范格式。當(dāng)引入這種帶 VLAN 標(biāo)記 的數(shù)據(jù)幀以后，交換機(jī)的端口就有了類(lèi)別了：有些端口能夠且僅僅能夠識(shí)別這種帶 VLAN 標(biāo)記的數(shù)據(jù)幀，我們把這種端口稱(chēng)為 TAG 端口（標(biāo)記端口），有的端口不能識(shí)別這種帶標(biāo)記的數(shù)據(jù)幀，我們稱(chēng)為非 TAG端口，還有一些端口，不僅能識(shí)別帶標(biāo)記的數(shù)據(jù)幀，而且能識(shí)別不帶標(biāo)記的數(shù)據(jù)幀，這樣的端口我們稱(chēng)為混合端口。所以，在配置混合端口的時(shí)候，一般 情況下指定一個(gè)默認(rèn) VLAN，如果不指定，系統(tǒng)可能會(huì)自己指定一個(gè) VLAN，一般是 VLAN1。 其次，就是把交換機(jī) 的端口加入 VLAN。 如果 VLAN 跨越了交換機(jī)，必須配置交換機(jī)之間的連接，使之能傳送特定 VLAN的數(shù)據(jù)。 計(jì)算機(jī)網(wǎng)絡(luò)安全的重要性 1. 網(wǎng)絡(luò)已成為敵對(duì)勢(shì)力、不法分子新的攻擊目標(biāo)。 5. 計(jì)算機(jī)網(wǎng)絡(luò)安全問(wèn)題涉及許多學(xué)科領(lǐng)域，是一個(gè)非常復(fù)雜的綜合問(wèn)題，隨著系 統(tǒng)應(yīng)用環(huán)境的變化而不斷變化。 防火墻的類(lèi)型和結(jié)構(gòu) 從實(shí)現(xiàn)原理上分，防火墻的技術(shù)包括 3 大類(lèi)： 網(wǎng)絡(luò)級(jí)防火墻（也叫包過(guò)濾型防火墻）、應(yīng)用級(jí)網(wǎng)關(guān)、電路級(jí)網(wǎng)關(guān) ， 它們之間各有所長(zhǎng)，具體使用哪一種或是否混合使用，要看具體需要。如果沒(méi)有一條規(guī)則能符合，防火墻就會(huì)使用默認(rèn)規(guī)則，一般情況下，默認(rèn)規(guī)則就是要求防火墻丟棄該包。 應(yīng)用網(wǎng)關(guān)對(duì)某些易于登錄和控制所有輸出輸入的通信的環(huán)境給予嚴(yán)格的控制，以防有價(jià)值的程序和數(shù)據(jù)被竊取。這種代理服務(wù)準(zhǔn)許網(wǎng) 管員允許或拒絕特定的應(yīng)用程序或一個(gè)應(yīng)用的特定功能?？梢愿鶕?jù)實(shí)際情況合理配備 GE 和 FE 的數(shù)量。 獨(dú)有的資源智能調(diào)度技術(shù)克服了已有技術(shù)中槽位上行帶寬分配不夠靈活的缺點(diǎn)，可以在交換機(jī)上動(dòng)態(tài)分配上行帶寬：在為大流量的業(yè)務(wù)板提供無(wú)阻塞的業(yè)務(wù)的同時(shí)將上行帶寬分配到更多的槽位上面，滿足小 業(yè)務(wù)流量槽位的要求。 3. S3026 交換機(jī) 圖 47 S3026 前視圖 圖 48 S3026 后視圖 如圖 47 所示： 正面 24 個(gè)固定的 10/100BaseTX 以太網(wǎng)端口 ； 如圖 48 所示 ： 背面 2 個(gè)擴(kuò)展模塊插槽 （ 100M / 1000M） ； 可選模塊 ： 1 端口 LANSWITCH 百兆透?jìng)靼?； 1 端口 LANSWITCH 百 兆電口板（ 100 m， RJ45） ； 1 端口百兆以太網(wǎng)多模光接口模塊（ 1310nm,2km,SC)； 1 端口百兆以太網(wǎng)單模光接口模塊（ 1310nm,15km,SC)； 1 端口千兆以太網(wǎng)電接口模塊 (RJ45)； 1 端口千兆以太網(wǎng)多模光接口模塊 (850nm,550m,SC)； 1 端口千兆以太網(wǎng)單模光接口模塊 (1310nm,10km,SC)； 1 端口千兆以太網(wǎng)單模光接口模塊（ 1550nm,40km,LC） ； 1 端口千兆以太網(wǎng)單模光接口模塊（ 1550nm,70km,LC） ； 1 端口 LANSWITCH 堆疊模塊 。 Eudemon 200 外觀如圖 49 所示。 5. 服務(wù)器的配置要求： 服務(wù)器名稱(chēng)：正睿 產(chǎn)品型號(hào)： 1241739S 處理器： Xeon 5310 四核處理器可增強(qiáng)至八核 內(nèi)存： 1G FBDIMM DDR2 ECC 硬盤(pán)： SATAII 250G 該服務(wù)器做為網(wǎng)管服務(wù)器，連在核心交換機(jī)或路由器上，用于對(duì)整個(gè)網(wǎng)絡(luò)的管理，可實(shí)現(xiàn)網(wǎng)絡(luò)環(huán)境監(jiān)控，遠(yuǎn)程登陸， ftp 服務(wù)器，本地 radius 計(jì)費(fèi)等功能。而且， 14 層是頂層，這里是健身運(yùn)動(dòng)的場(chǎng)所，對(duì)網(wǎng)絡(luò)帶寬的要求不高，所以用電纜是最佳也是最實(shí)惠的選擇。每個(gè)樓層為一個(gè)公司，所以每個(gè)樓層劃到一個(gè) VLAN 里， IP 地址 掩碼 24 位 ， 地址容量大， 便于以后新的 PC 機(jī)的接入。我們還要加入一個(gè)服務(wù)器，用于內(nèi)部網(wǎng)絡(luò)管理，如 tel 網(wǎng)絡(luò)中的 每臺(tái)設(shè)備 ,做 內(nèi)部 ftp， ， web服務(wù)器 ,本 地 radius 認(rèn)證計(jì)費(fèi)