【文章內(nèi)容簡介】 送到接收終端，如果終端忙，則一直存儲在發(fā)送隊(duì)列中。 其實(shí)，對每個接口的發(fā)送隊(duì)列結(jié)構(gòu)進(jìn)行更改可以實(shí)現(xiàn)服務(wù)質(zhì)量功能。比如，我們?yōu)槊總€接口設(shè)計(jì)不止一個發(fā)送隊(duì)列，假設(shè)設(shè)置三個，則可以對這三個隊(duì)列進(jìn)行優(yōu)先級劃分，分成低，中，高三個優(yōu)先級，然后根據(jù)數(shù)據(jù)幀的優(yōu)先級字段（在以后介紹 VLAN 的時(shí)候?qū)⒅v述），把數(shù)據(jù)幀放到相應(yīng)的優(yōu)先級隊(duì)列中。在傳輸?shù)臅r(shí)候，可以優(yōu)先傳輸優(yōu)先級高的隊(duì)列，等高 優(yōu)先級隊(duì)列內(nèi)沒有數(shù)據(jù)了，再傳送優(yōu)先級低的隊(duì)列，依次類推。也可以實(shí)現(xiàn)一些其他的調(diào)度策略，比如 WFQ（基于優(yōu)先級的加權(quán)公平隊(duì)列）等調(diào)度技術(shù)。 交換機(jī)跟 HUB 的最大區(qū)別就是能做到接口到接口的轉(zhuǎn)發(fā)。比如接收到一個數(shù)據(jù)幀以后，交換機(jī)會根據(jù)數(shù)據(jù)幀頭中的目的 MAC 地址，發(fā)送到適當(dāng)?shù)亩丝?，?HUB 則不然，它把接收到的數(shù)據(jù)幀向所有端口轉(zhuǎn)發(fā)。交換機(jī)之所以能做到根據(jù) MAC 地址進(jìn)行選擇端口，完全依賴內(nèi)部的一個重要的數(shù)據(jù)結(jié)構(gòu)： CAM 表。交換機(jī)接收到一個數(shù)據(jù)幀，依靠該數(shù)據(jù)幀的目的 MAC 地址來查找 CAM 表，查找的結(jié)果是一個或一組端口，根 據(jù)查找的結(jié)構(gòu)，把數(shù)據(jù)包送到相應(yīng)端口的發(fā)送隊(duì)列。 CAM 表包含下面幾項(xiàng)內(nèi)容： MAC 地址 ； 一個或一組端口號 ； 如果交換機(jī)上劃分了VLAN，還包括 VLAN ID。 交換機(jī)根據(jù)接收到的數(shù)據(jù)幀的目的 MAC 地址，來查找該表格，根據(jù)找到的端口號，把數(shù)據(jù)幀發(fā)送出去。注意，上面一個 MAC 地址可能對應(yīng)多個端口，這樣的 MAC 地址一般是組播 MAC 地址，其中每個端口上連接一個組播組的成員。 二層交換機(jī)工作過程 交換機(jī)根據(jù)功能的不同，分為兩類：二層交換機(jī)和三層交換機(jī)。這里先介紹一下二層交換機(jī)的相關(guān)知識。上面提到了一個重 要的數(shù)據(jù)結(jié)構(gòu) CAM 表，該表包含了交換機(jī)用來轉(zhuǎn)發(fā)數(shù)據(jù)幀所涉及到的一些信息，對于交換機(jī)怎樣依據(jù)這個表格進(jìn)行數(shù)據(jù)幀的交換，上面部分已經(jīng)講明白了。但這又產(chǎn)生一個問題：這個 CAM 表是怎樣生成的呢？其實(shí)，這個表格可以通過兩種途徑生成： 1. 手工加入通過配置命令的形式告訴交換機(jī) MAC 地址和端口的對應(yīng)； 2. 交換機(jī)動態(tài)學(xué)習(xí)獲得交換機(jī)通過查看接收的每個數(shù)據(jù)幀來學(xué)習(xí)該表。 手工生成該表很簡單，不過配置麻煩，所以通常情況下是交換機(jī)自動獲得的。 二層交換機(jī)原理 交換機(jī)轉(zhuǎn)發(fā)數(shù)據(jù)幀的基本規(guī)則： 1. 交換機(jī)查 CAM 表，如果查找到結(jié)構(gòu)，根據(jù)查找結(jié)果進(jìn)行轉(zhuǎn)發(fā)； 2. 如果交換機(jī)在 CAM 表中查找不到結(jié)果，則根據(jù)配置進(jìn)行處 理，通常情況下是向所有的端口發(fā)送該數(shù)據(jù)幀，在發(fā)送數(shù)據(jù)幀的同時(shí)，學(xué)習(xí)到一條 CAM 表項(xiàng)。 3. 開始的時(shí)候，交換機(jī)的 CAM 表是空的，當(dāng)交換機(jī)接收到第一個數(shù)據(jù)幀的時(shí)候，查找 CAM 表失敗，于是向所有端口轉(zhuǎn)發(fā)該數(shù)據(jù)幀，在轉(zhuǎn)發(fā)數(shù)據(jù)幀的同時(shí)，交換機(jī)把接收到的數(shù)據(jù)幀的源 MAC 地址和接收端口進(jìn)行關(guān)聯(lián)，形成一項(xiàng)記錄，填寫到 CAM 表中，這個過程就是學(xué)習(xí)的過程。 4. 學(xué)習(xí)過程持續(xù)一段時(shí)間之后，交換機(jī)基本上把所有端口跟相應(yīng)端口下終 端設(shè)備的 MAC 地址都學(xué)習(xí)到了，于是進(jìn)入穩(wěn)定的轉(zhuǎn)發(fā)狀態(tài)，這時(shí)候，對于接收到的數(shù)據(jù)幀，總能在 CAM 表中查找到一個結(jié)果，于是數(shù)據(jù)幀的發(fā)送是點(diǎn)對點(diǎn)的，達(dá)到了理性的境界。 5. 交換機(jī)還為每個 CAM 表項(xiàng)提供了一個定時(shí)器，該定時(shí)器從一個初始值開始遞減，每當(dāng)使用了一次該表項(xiàng)（接收到了一個數(shù)據(jù)幀，查找 CAM 表后用該項(xiàng)轉(zhuǎn)發(fā)），定時(shí)器被重新設(shè)置。如果長時(shí)間沒有使用該 CAM 表的轉(zhuǎn)發(fā)項(xiàng)，則定時(shí)器遞減到零，于是該CAM 表項(xiàng)被刪除。 6. 一般不對幀格式進(jìn)行修改 (VLAN 要對幀格式進(jìn)行修改 ,打上 TAG 標(biāo)簽 ) 交換機(jī)對接收來的數(shù)據(jù)幀會采 用 下述 的交換模式 ： 到目前為止，僅有三種交換模式： （ 1） 直通模式：交換機(jī)接收到目的地址即開始轉(zhuǎn)發(fā)過程。 優(yōu)點(diǎn)：延遲?。? 缺點(diǎn)：交換機(jī)不能檢查出數(shù)據(jù)幀的錯誤。 （ 2） 儲存轉(zhuǎn)發(fā)模式：交換機(jī)將全部內(nèi)容接收才開始轉(zhuǎn)發(fā)過程。 優(yōu)點(diǎn)：交換機(jī)檢查出數(shù)據(jù)幀的錯誤，不會有錯幀； 缺點(diǎn)：延遲大。 （ 3） 幀自由模式：交換機(jī)接收完數(shù)據(jù)包的前 64 字節(jié)（一個最短幀長度），然后根據(jù)頭信息查表轉(zhuǎn)發(fā)。 優(yōu)點(diǎn)：結(jié)合了直通模式和儲存轉(zhuǎn)發(fā)模式的優(yōu)點(diǎn)； 缺點(diǎn)：延遲介于直通模式和儲存轉(zhuǎn)發(fā)模式之間 。 全雙工和二層交換機(jī)組建的以太網(wǎng)存在如下缺點(diǎn)： 廣播 泛濫；安全性仍舊無法得到有效的保證。 其中廣播泛濫嚴(yán)重是 L2 以太網(wǎng)的主要缺點(diǎn)。 三層交換機(jī)原理 具體地說三層交換機(jī) 是這樣的： 1. 在邏輯上，三層交換和路由是等同的，三層交換的過程就是 IP 報(bào)文選路的過程 2. 三層交換機(jī)與路由器在轉(zhuǎn)發(fā)操作上的主要區(qū)別在于其實(shí)現(xiàn)的方式： （ 1） 三層交換機(jī)通過硬件實(shí)現(xiàn)查找和轉(zhuǎn)發(fā) ； （ 2） 傳統(tǒng)路由器通過微處理器上運(yùn)行的軟件實(shí)現(xiàn)查找和轉(zhuǎn)發(fā) ； （ 3） 三 層交換機(jī)的轉(zhuǎn)發(fā)路由表與路由器一樣， 需要軟件通過路由協(xié)議來建立和維護(hù)。 3． 在局域網(wǎng)中引入三層交換能夠更加經(jīng)濟(jì)的替代傳 統(tǒng)路由器 。 注：三層交換機(jī)實(shí)質(zhì)就是一種特殊的路由器，有很強(qiáng)交換能力而價(jià)格低廉的路由器。 無論對路由器還是對三層交換機(jī)而言，接口都存在路由接口和物理接口的概念：路由接口是掛接在 IP 協(xié)議棧下的邏輯接口，每個接口都對應(yīng)一個 IP 網(wǎng)段，通常稱為Interface； 物理接口是在機(jī)箱外面，看得見、摸得著、能插電纜的實(shí)際接口，通常稱為Port。 但是從路由器的角度理解的端口和從三層交換機(jī)的角度理解的端口是有所不同：三層交換機(jī)上，在不同的物理端口之間還提供二層交換的功能。 VLAN 內(nèi)部通過二層交換通信， VLAN 之間通過三層路由 來通信。路由接口是與 VLAN 是對應(yīng)的關(guān)系，而每個VLAN 可能對應(yīng)很多個物理端口，因此路由接口和物理端口沒有一一對應(yīng)的關(guān)系。（ 有關(guān) VLAN 技術(shù) 將在后面詳細(xì) 介紹 ） 具體一臺具有三層功能的交換機(jī)對幀是二層還是三層交換 應(yīng) 遵循以下規(guī)則。 IP 網(wǎng)絡(luò)的規(guī)則： 1. 相同網(wǎng)段內(nèi)部的通信，通過二層功能完成互通，當(dāng)主機(jī)與對端主機(jī)通信的時(shí)候，根據(jù)自身的 IP 地址和子網(wǎng)掩碼來確定對方是否在系統(tǒng)網(wǎng)段內(nèi)，如果判定在相同網(wǎng)段內(nèi)，則直接通過 ARP 查找對方的 MAC 地址，然后把對方的 MAC 地址填入以太網(wǎng)幀頭的目的 MAC 地址域； 2. 不同網(wǎng)段的 主機(jī)通信的時(shí)候，主機(jī)發(fā)現(xiàn)對方在不同的網(wǎng)段內(nèi)，則主機(jī)就會自動借助網(wǎng)關(guān)來進(jìn)行通信，主機(jī)首先通過 ARP 來查找設(shè)定的網(wǎng)關(guān)的 MAC 地址，然后把網(wǎng)關(guān)的 MAC 地址（而不是對方主機(jī)的 MAC 地址，因?yàn)橹鳈C(jī)認(rèn)為通信對端不是本地主機(jī)）填入以太網(wǎng)幀頭的目的 MAC 地址域。 根據(jù)以上規(guī)則，三層交換機(jī)根據(jù)以太網(wǎng)幀的目的 MAC 地址域的地址來判斷是進(jìn)行二層轉(zhuǎn)發(fā)還是三層轉(zhuǎn)發(fā)，如果是給某個 VLAN 指定的路由接口的 MAC 地址，則進(jìn)行三層轉(zhuǎn)發(fā)，否則在 VLAN 內(nèi)部進(jìn)行二層轉(zhuǎn)發(fā)。 3 VLAN 技術(shù)和網(wǎng)絡(luò)安全 VLAN技術(shù)概述 虛擬局域網(wǎng)（ VLAN—— Virtual Local Area Network）邏輯上把網(wǎng)絡(luò)資源和網(wǎng)絡(luò)用戶按照一定的原則進(jìn)行劃分，把一個物理上實(shí)際的網(wǎng)絡(luò)劃分成多個小的邏輯的網(wǎng)絡(luò)。這些小的邏輯的網(wǎng)絡(luò)形成各自的廣播域，也就是虛擬局域網(wǎng) VLAN。例如幾個部門都使用一個中心交換機(jī)，但是各個部門屬于不同的 VLAN，形成各自的廣播域，廣播報(bào)文不能跨越這些廣播域傳送。虛擬局域網(wǎng)將一組位于不同物理網(wǎng)段上的用戶在邏輯上劃分成一個局域網(wǎng)內(nèi)，在功能和操作上與傳統(tǒng) LAN 基本相同，可以提供一定范圍內(nèi)終端系統(tǒng)的互聯(lián) 。 VLAN 與傳統(tǒng)的 LAN 相比，具有以下優(yōu)勢： 1. 減少移動和改變的代價(jià) 即所說的動態(tài)管理網(wǎng)絡(luò)，也就是當(dāng)一個用戶從一個位置移動到另一個位置是，他的網(wǎng)絡(luò)屬性不需要重新配置，而是動態(tài)的完成，這種動態(tài)管理網(wǎng)絡(luò)給網(wǎng)絡(luò)管理者和使用者都帶來了極大的好處，一個用戶，無論他到哪里，他都能不做任何修改地接入網(wǎng)絡(luò)，這種前景是非常美好的。 當(dāng)然，并不是所有的 VLAN 定義方法都能做到這一點(diǎn) 。 2. 虛擬工作組 模型 使用 VLAN 的最終目標(biāo)就是建立虛擬工作組模型，例如，在企業(yè)網(wǎng)中，同一個部門的就好像在同一個 LAN 上一樣，很容易的互相 訪問，交流信息，同時(shí)，所有的廣播包也都限制在該虛擬 LAN 上，而不影響其他 VLAN 的人。一個人如果從一個辦公地點(diǎn)換到另外一個地點(diǎn)，而他仍然在該部門，那么，該用戶的配置無須改變；同時(shí)，如果一個人雖然辦公地點(diǎn)沒有變，但他更換了部門，那么，只需網(wǎng)絡(luò)管理員更改一下該用戶的配置即可。這個功能的目標(biāo)就是建立一個動態(tài)的組織環(huán)境， 當(dāng)然，這只是一個理想的目標(biāo)，要實(shí)現(xiàn)它，還需要一些其他方面的支持。 3. 限制廣播包，提高帶寬的利用率： 有效地解決了廣播風(fēng)暴帶來的性能下降問題。一個 VLAN 形成一個小的廣播域，同一個 VLAN 成員都在 由所屬 VLAN 確定的廣播域內(nèi)，那么，當(dāng)一個數(shù)據(jù)包沒有路由時(shí)，交換機(jī)只會將此數(shù)據(jù)包發(fā)送到所有屬于該 VLAN 的其他端口，而不是所有的交換機(jī)的端口，這樣，就將數(shù)據(jù)包限制到了一個 VLAN 內(nèi)，在一定程度上可以節(jié)省帶寬。 4. 增強(qiáng)通訊的安全性： 一個 VLAN 的數(shù)據(jù)包不會發(fā)送到另一個 VLAN，這樣，其他 VLAN 的用戶的網(wǎng) 絡(luò)上是收不到任何該 VLAN 的數(shù)據(jù)包，這樣就確保了該 VLAN 的信息不會被其他 VLAN的人竊聽，從而實(shí)現(xiàn)了信息的保密 。 5. 增強(qiáng)網(wǎng)絡(luò)的健壯性： 當(dāng)網(wǎng)絡(luò)規(guī)模增大時(shí)，部分網(wǎng)絡(luò)出現(xiàn)問題往往會影響整個網(wǎng)絡(luò)，引入 VLAN 之后，可以將一些網(wǎng)絡(luò)故障限制在一個 VLAN 之內(nèi)。由于 VLAN 是邏輯上對網(wǎng)絡(luò)進(jìn)行劃分，組網(wǎng)方案靈活，配置管理簡單，降低了管理維護(hù)的成本。 VLAN的劃分方式 按照上面的概念， VLAN 是交換機(jī)上的一個集合，該集合的元素就是端口。我們用一個 VLAN 標(biāo)識 來表示該集合，這樣當(dāng)在交換機(jī)上創(chuàng)建一個集合后， 就開始 確定其中的元素（端口） 。 下面是確定元素的最重要的幾種方式： 基于端口的 VLAN 最簡單，也是最直接的方式就是手工指定，這種方式也是最容易理解的。 這也是最常用的方法，因?yàn)檫@種方法特別的靈活， 新增用戶只要連接到屬于某個 VLAN 的端口，就可以在這個 VLAN 中進(jìn)行內(nèi)部通信，該用戶若是想離開這個 VLAN，只要斷開與這個端口的連接 就可以了。 也就是說，一旦在交換機(jī)上創(chuàng)建一個 VLAN，我們可以手工指定該 VLAN 包含哪些端口。在該方式下，我們只要在交換機(jī)上進(jìn)行一些簡單的配置就可以了。 具體如圖 31和表 31 所示 ： 主機(jī)主機(jī) A 主機(jī)主機(jī) B 主機(jī)主機(jī) C 主機(jī)主機(jī) D以太網(wǎng)交換機(jī)以太網(wǎng)交換機(jī)E1E 2 E 7E 1 0V L A N 5V L A N 1 0 圖 31 基于端口劃分 VLAN 表 31 端口與 VLAN 對應(yīng)關(guān)系 基于 MAC 地址的 VLAN 在基于端口的 VLAN 方式下，我們在交換機(jī)上進(jìn)行了設(shè)置，來決定 VLAN 包含那些端口。但有些情況下，我們希望把終端系統(tǒng)進(jìn)行分類，使它們屬于指定的 VLAN。這時(shí)候，我們可以手工建立終端系統(tǒng)的標(biāo)識跟 VLAN 之間的關(guān)系。在以太網(wǎng)上， MAC 地址可以唯一的標(biāo)識一個終端系統(tǒng)，于是，就建立 MAC 地址跟 VLAN 之間的對應(yīng)關(guān)系 ,如圖 32 和表 32 所示 : 主機(jī)主機(jī) A 主機(jī)主機(jī) B 主機(jī)主機(jī) C 主機(jī)主機(jī) D以太網(wǎng)交換機(jī)以太網(wǎng)交換機(jī)M A C A M A C B M A C C M A C D V L A N 5V L A N 1 0 圖 32 基于 MAC 地址劃分 VLAN 交換機(jī)僅僅根據(jù)這個 MAC 地址跟 VLAN 之間的對應(yīng)關(guān)系，不能創(chuàng)建 VLAN 跟端口的對應(yīng)關(guān)系，我們于是聯(lián)想到交換機(jī)內(nèi)部的另外一個關(guān)系： MAC 地址跟端口之間的關(guān)系（也就是 CAM 表，交換機(jī)根據(jù)該表格進(jìn)行數(shù)據(jù)幀的轉(zhuǎn)發(fā)）。根據(jù)這樣兩個關(guān)系，交 換機(jī)可以創(chuàng)建 VLAN 跟端口號之間的對應(yīng)關(guān)系了，具體過程如下： 端口 所屬 VLAN E1 VLAN 5 E2 VLAN 10 ．．．．．． ．．．．．． E7 VLAN 5 ．．．．．． ．．．．．． E10 VLAN 10 表 32 MAC 地址與 VLAN 對應(yīng)關(guān)系 1. 交換機(jī)把手工創(chuàng)建的 MAC 地址跟 VLAN 號之間的對應(yīng)關(guān)系下載到本地； 2. 從該對應(yīng)關(guān)系中讀出一行，如果該行對應(yīng)的 VLAN 不存在，則創(chuàng)建該 VLAN，然后以 MAC 地址為索引依據(jù)，到 CAM 表中查找對應(yīng)的端口號，把找到的端口號加入剛剛創(chuàng)建的 VLAN； 3. 若讀出的該行所包含的 VLAN 已經(jīng)存在，則僅僅依據(jù) MAC 地址查詢 CAM 表，把找到的端口號加入已經(jīng)存在的 VLAN 里面； 4. 重復(fù)這個過程，直到該對應(yīng)關(guān)系掃描完畢。 基于第三層協(xié)議的 VLAN 有些情況下，人們往往對網(wǎng)絡(luò)做一些限制，讓網(wǎng) 絡(luò)上的終端系統(tǒng)只運(yùn)行一種網(wǎng)絡(luò)協(xié)議，比如，在一個有大量 NOVELL 服務(wù)器的網(wǎng)絡(luò)上，可能只存在 IPX 協(xié)議，