【正文】 斷通信雙方的客戶/服務(wù)器聯(lián)接，同時(shí)為這個(gè)通信過程維系兩個(gè)分立的聯(lián)接，即從通信發(fā)起方到防火墻的聯(lián)接和從防火墻到通信接受方的聯(lián)接，另外，對(duì)不同的應(yīng)用需要不同的代理進(jìn)程來實(shí)現(xiàn)?；趹?yīng)用代理的防火墻技術(shù)可以實(shí)現(xiàn)安全性最高的控制，但是，由于實(shí)現(xiàn)繁瑣，技術(shù)上限制了系統(tǒng)處理能力的提高。狀態(tài)檢測(cè)技術(shù)兼具系統(tǒng)處理速度快，安全性高的特點(diǎn)，是當(dāng)前硬件防火墻中普遍采用的主流安全控制技術(shù)。這種技術(shù)在技術(shù)實(shí)現(xiàn)上并不打斷正常的客戶/服務(wù)器通信聯(lián)接，而是在數(shù)字鏈路層和網(wǎng)絡(luò)層之間檢測(cè)過濾所有的數(shù)據(jù)包，按安全過濾規(guī)則從中抽取與通信狀態(tài)相關(guān)的信息，并把這些狀態(tài)信息維持在動(dòng)態(tài)的狀態(tài)信息表中，作為對(duì)后續(xù)通信數(shù)據(jù)的合法性進(jìn)行判決的依據(jù)。抽取的狀態(tài)信息可以涵蓋從網(wǎng)絡(luò)層到應(yīng)用層的各個(gè)通信協(xié)議層，這主要取決于防火墻廠家采用的專利算法。以太網(wǎng)最初是由Xerox公司開發(fā)的一種基帶局域網(wǎng)技術(shù)，使用同軸電纜作為網(wǎng)絡(luò)媒體，采用載波多路訪問和沖突檢測(cè)（CSMA/CD）機(jī)制,數(shù)據(jù)傳輸速率達(dá)到10Mbps。以太網(wǎng)被設(shè)計(jì)用來滿足非持續(xù)性網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)男枰?，而IEEE 。 Equipment Corporation、Intel和Xerox三家公司聯(lián)合開發(fā)，與IEEE 。共享式以太網(wǎng)傳輸介質(zhì)在共享式以太網(wǎng)之時(shí)，使用一種稱為抽頭的設(shè)備建立與同軸電纜的連接。須用特殊的工具在同軸電纜里挖一個(gè)小洞，然后將抽頭接入。此項(xiàng)工作存在一定的風(fēng)險(xiǎn)：因?yàn)槿魏问韬?，都有可能使電纜的中心導(dǎo)體與屏蔽層短接，導(dǎo)致這個(gè)網(wǎng)絡(luò)段的崩潰。同軸電纜的致命缺陷是：電纜上的設(shè)備是串連的，單點(diǎn)的故障可以導(dǎo)致這個(gè)網(wǎng)絡(luò)的崩潰。178。 10Base5：粗同軸電纜（5代表電纜的字段長(zhǎng)度是500米）178。 10Base2：細(xì)同軸電纜（2代表電纜的字段長(zhǎng)度是200米）在共享式以太網(wǎng)中，所有的主機(jī)都以平等的地位連接到同軸電纜上，但如果以太網(wǎng)中主機(jī)數(shù)目較多，則存在以下嚴(yán)重問題，其中介質(zhì)可靠性差是共享式以太網(wǎng)的主要問題。178。 介質(zhì)可靠性差178。 沖突嚴(yán)重178。 廣播泛濫178。 無任何安全性標(biāo)準(zhǔn)以太網(wǎng)178。 標(biāo)準(zhǔn)以太網(wǎng)（10Mbit/s）通常只定位在網(wǎng)絡(luò)的接入層，新一代多媒體、影像和數(shù)據(jù)庫(kù)產(chǎn)品很容易將10Mbit/s運(yùn)行的以太網(wǎng)的帶寬吞沒。10Mbit/s的以太網(wǎng)可以實(shí)現(xiàn)100m距離的連接。178。 模型分類178。 網(wǎng)絡(luò)定位178。 接入層178。 最終用戶和接入層交換機(jī)之間的連接178。 匯聚層178。 通常不使用178。 核心層178。 通常不使用178。 80年代末期，非屏蔽雙絞線（UTP）出現(xiàn)，并迅速得到廣泛的應(yīng)用。UTP的巨大優(yōu)勢(shì)在于：178。 價(jià)格低廉；178。 制作簡(jiǎn)單；178。 收發(fā)使用不同的線纜；178。 邏輯拓?fù)湟琅f是總線的，但物理拓?fù)渥優(yōu)樾切危?78。 線纜178。 名稱178。 電纜178。 最大區(qū)間長(zhǎng)度178。 10BASE5178。 粗同軸電纜178。 500m178。 10BASE2178。 細(xì)同軸電纜178。 200m178。 10BASET178。 雙絞線178。 100m178。 10BASEF178。 光纖178。 2000m快速以太網(wǎng)178。 數(shù)據(jù)傳輸速率為100Mbps的快速以太網(wǎng)是一種高速局域網(wǎng)技術(shù)，能夠?yàn)樽烂嬗脩粢约胺?wù)器或者服務(wù)器集群等提供更高的網(wǎng)絡(luò)帶寬。178。 對(duì)目前已經(jīng)建好的標(biāo)準(zhǔn)以太網(wǎng)進(jìn)行升級(jí)的最佳方案就是將網(wǎng)絡(luò)的速度從10Mbit/s增加到100Mbit/s，用戶所需付出的升級(jí)費(fèi)用極低，只需將原有的10M集線器或者以太網(wǎng)交換機(jī)升級(jí)成快速以太網(wǎng)交換機(jī)，用戶更換一塊100Mbit/s的網(wǎng)卡即可。178。 快速以太網(wǎng)的應(yīng)用范圍較廣，可以直接用作接入層設(shè)備和匯聚層設(shè)備之間的連接鏈路，連接各個(gè)以太網(wǎng)段的數(shù)據(jù)流總和?？焖僖蕴W(wǎng)也可以用來提供匯聚層和核心層之間的連接，在這種應(yīng)用當(dāng)中，通常采用端口捆綁（Port aggregation）技術(shù)，提供更高的帶寬。許多實(shí)際運(yùn)行的網(wǎng)絡(luò)均存在眾多的客戶機(jī)試圖訪問同一臺(tái)服務(wù)器的情況，從而在服務(wù)器和以太網(wǎng)之間產(chǎn)生瓶頸，為了增強(qiáng)服務(wù)器的訪問性能，可以通過快速以太網(wǎng)連接以保證快速的訪問速度。，可以使用現(xiàn)有的UTP或者光纜介質(zhì)。但比之標(biāo)準(zhǔn)以太網(wǎng)，它的數(shù)據(jù)傳輸速率由10Mbit/s提高到100Mbit/s。同時(shí)，快速以太網(wǎng)也支持標(biāo)準(zhǔn)以太網(wǎng)10Mbit/s的工作方式，做到了良好的向下兼容性?？焖僖蕴W(wǎng)（100Mbit/s）的網(wǎng)絡(luò)定位模型分類網(wǎng)絡(luò)定位接入層為高性能的PC機(jī)和工作站提供100Mbit/s的接入?yún)R聚層提供接入層和匯聚層的連接，提供匯聚層到核心層的連接，提供高速服務(wù)器的連接核心層提供交換設(shè)備間的連接快速以太網(wǎng)傳輸距離技術(shù)標(biāo)準(zhǔn)線纜類型傳輸距離100BaseTXEIA/TIA 5類（UTP）非屏蔽雙絞線2對(duì)100m100BaseT4EIA/TIA 5類（UTP）非屏蔽雙絞線4對(duì)100m100BaseFX多模光纖（MMF）線纜550m2km單模光纖（SMF）線纜2km15km千兆以太網(wǎng)，在基于以太網(wǎng)協(xié)議的基礎(chǔ)之上，將快速以太網(wǎng)的傳輸速率100Mbps提高了10倍，達(dá)到了1Gbps。（光纖與銅纜）（雙絞線）。許多匯聚層的以太網(wǎng)交換機(jī)均提供千兆接口，用于連接其他的交換機(jī)，組成更大的網(wǎng)絡(luò)，許多支持堆疊功能的以太網(wǎng)交換機(jī)也是采用千兆接口實(shí)現(xiàn)堆疊功能的。所謂堆疊，是指通過軟硬件的支持，將一組交換機(jī)連接起來作為一個(gè)對(duì)象加以控制的方式，通常有菊花鏈模式和星型模式。其最大優(yōu)點(diǎn)在于可實(shí)現(xiàn)簡(jiǎn)單的本地管理，但由于是一種非標(biāo)準(zhǔn)技術(shù)，通常不支持各個(gè)廠家交換機(jī)的混合堆疊。某些高性能的UNIX或者視頻點(diǎn)播服務(wù)器很容易具有上百兆的帶寬需求，在這種情況下，采用千兆以太網(wǎng)進(jìn)行連接是非常好的選擇。對(duì)于高性能服務(wù)器比較集中的場(chǎng)合，通常也會(huì)需要使用千兆以太網(wǎng)交換機(jī)進(jìn)行網(wǎng)絡(luò)互連。千兆以太網(wǎng)是建立在以太網(wǎng)協(xié)議之上的，但它的數(shù)據(jù)傳輸速率是快速以太網(wǎng)的10倍，達(dá)到1000Mbit/s，由于千兆以太網(wǎng)使用的協(xié)議遵從許多原始的以太網(wǎng)規(guī)范，所以，客戶可以應(yīng)用現(xiàn)有的知識(shí)和技術(shù)進(jìn)行安裝、管理和維護(hù)千兆以太網(wǎng)。千兆（1000Mbit/s）以太網(wǎng)網(wǎng)絡(luò)定位模型分類網(wǎng)絡(luò)定位接入層一般不使用匯聚層提供接入層和匯聚層設(shè)備間的高速連接核心層提供匯聚層和高速服務(wù)器的高速連接，提供核心設(shè)備間的高速互聯(lián)千兆以太網(wǎng)使用1000BASEX（8B/10B）編碼可支持三種介質(zhì)：178。 光纖（單模和多模）；178。 使用4對(duì)線的5類UTP（1000BASET）；178。 特殊的兩對(duì)線STP電纜（也稱為短銅跳線Short Copper Jumper）1000BASEX支持三種光纖：178。 50um多模光纖178。 178。 9/10um單模光纖1000BASEX支持兩種用于激光驅(qū)動(dòng)器的光波長(zhǎng)：178。 短波（850nm，稱為1000BASESX）178。 長(zhǎng)波（1300nm，稱為1000BASELX）千兆以太網(wǎng)傳輸距離技術(shù)標(biāo)準(zhǔn)線纜類型傳輸距離1000BaseT銅質(zhì)EIA/TIA5類（UTP）非屏蔽雙絞線4對(duì)100m1000BaseCX銅質(zhì)屏蔽雙絞線25m1000BaseSX多模光纖，50/，使用波長(zhǎng)為850nm的激光550m/275m1000BaseLX單模光纖，9um光纖，使用波長(zhǎng)為1300nm的激光2km15km：178。 1000BaseLX是一種使用長(zhǎng)波激光作信號(hào)源的網(wǎng)絡(luò)介質(zhì)技術(shù)，在收發(fā)器上配置波長(zhǎng)為12701355nm（一般為1300nm）的激光，既可以驅(qū)動(dòng)多模光纖，也可以驅(qū)動(dòng)單模光纖。178。 1000BaseSX是一種使用短波激光作為信號(hào)源的網(wǎng)絡(luò)介質(zhì)技術(shù)，收發(fā)器上所配置的波長(zhǎng)為770860nm（一般為800nm）的激光傳輸器不支持單模光纖，只能驅(qū)動(dòng)多模光纖。178。 1000BaseCX使用的一種特殊規(guī)格的高質(zhì)量平衡雙絞線對(duì)的屏蔽銅纜，最長(zhǎng)有效距離為25米，使用9芯D型連接器連接電纜。：1000BaseT是一種使用5類UTP作為網(wǎng)絡(luò)傳輸介質(zhì)的千兆以太網(wǎng)技術(shù)，最長(zhǎng)有效距離與100BASETX一樣可以達(dá)到100米。用戶可以采用這種技術(shù)在原有的快速以太網(wǎng)系統(tǒng)中實(shí)現(xiàn)從100Mbps到1000Mbps的平滑升級(jí)。目前萬兆以太網(wǎng)已經(jīng)開始部署，預(yù)計(jì)未來將有大規(guī)模的應(yīng)用。其只有全雙工模式。萬兆以太網(wǎng)創(chuàng)造了一些新的概念，例如光物理媒體相關(guān)子層(PDM)。 LAN原理及組網(wǎng)半雙工CSMA/CD根據(jù)以太網(wǎng)的最初設(shè)計(jì)目標(biāo)，計(jì)算機(jī)和其他數(shù)字設(shè)備是通過一條共享的物理線路連接起來的。這樣被連接的計(jì)算機(jī)和數(shù)字設(shè)備必須采用一種半雙工的方式來訪問該物理線路，而且還必須有一種沖突檢測(cè)和避免的機(jī)制，來避免多個(gè)設(shè)備在同一時(shí)刻搶占線路的情況，這種機(jī)制就是所謂的CSMA/CD（帶碰撞檢測(cè)的載波監(jiān)聽多路訪問）。全雙工以太網(wǎng)和以太網(wǎng)交換機(jī)把雙絞線作為以太網(wǎng)的傳輸介質(zhì)不但提高了靈活性和降低了成本，而且引入了一種高效的運(yùn)行模式——全雙工模式。所謂全雙工，就是數(shù)據(jù)的發(fā)送和接收可以同時(shí)進(jìn)行，互不干擾。傳統(tǒng)的網(wǎng)絡(luò)設(shè)備 HUB 是不支持全雙工的，因?yàn)? HUB 的內(nèi)部是一條總線，數(shù)據(jù)接收和發(fā)送都是在該總線上進(jìn)行，沒有辦法進(jìn)行全雙工通信，因此，要實(shí)現(xiàn)全雙工通信，必須引入一種新的設(shè)備，即現(xiàn)在的交換機(jī)。交換機(jī)跟HUB的外觀相同，都是一個(gè)多端口設(shè)備，每個(gè)端口可以連接終端設(shè)備和其他多端口設(shè)備。但在交換機(jī)內(nèi)部就不是一條共享總線了，而是一個(gè)數(shù)字交叉網(wǎng)絡(luò)，該數(shù)字交叉網(wǎng)絡(luò)能把各個(gè)終端進(jìn)行暫時(shí)的連接，互相獨(dú)立的傳輸數(shù)據(jù)，而且交換機(jī)還為每個(gè)端口設(shè)置了緩沖區(qū)，可以暫時(shí)緩存終端發(fā)送過來的數(shù)據(jù)，等資源空閑之后再進(jìn)行交換。正是交換機(jī)的出現(xiàn)，使以太網(wǎng)技術(shù)由原來的 10M/100M 共享結(jié)構(gòu)轉(zhuǎn)變?yōu)?20M/200M 獨(dú)占帶寬的結(jié)構(gòu)，大大提高了效率，而且可以在交換機(jī)上施加一些軟件策略，來實(shí)現(xiàn)附加的服務(wù)，比如 VLAN（虛擬局域網(wǎng)），優(yōu)先級(jí)，冗余鏈路等，這些技術(shù)增加了業(yè)務(wù)的豐富性，是以太網(wǎng)技術(shù)的靈魂所在，也是本文的重點(diǎn)內(nèi)容。1000M 以太網(wǎng)和 10G 以太網(wǎng)隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展，一些新興的應(yīng)用逐漸顯現(xiàn)，比如大型的分布式數(shù)據(jù)庫(kù)和高速的視頻圖象傳輸?shù)?。這些應(yīng)用需要大量的帶寬，傳統(tǒng)的快速以太網(wǎng)（100M）已經(jīng)不能滿足要求，這時(shí)候迫切再次提高以太網(wǎng)的運(yùn)行速度，提高到 1000M 是最直接的，即所謂的千兆以太網(wǎng)。千兆以太網(wǎng)的數(shù)據(jù)鏈路層基本上沿用了傳統(tǒng)的以太網(wǎng)的鏈路層（只在半雙工運(yùn)行模式下，與傳統(tǒng)以太網(wǎng)的鏈路層稍微有不同），這樣可以很好的保護(hù)了投資。但在物理層上做了改變（為了在物理介質(zhì)上傳送高達(dá) 1000M 的數(shù)據(jù)比特，千兆以太網(wǎng)沿用了光纖通道的技術(shù)），對(duì)目前來說，千兆以太網(wǎng)只能用光纖作為物理傳輸介質(zhì)，但基于同軸電纜和五類雙絞線的千兆以太網(wǎng)正在研制當(dāng)中，估計(jì)不久的將來會(huì)投入使用。 千兆以太網(wǎng)技術(shù)現(xiàn)在已經(jīng)完全成熟并大量投入使用，主要應(yīng)用在數(shù)據(jù)網(wǎng)絡(luò)的骨干位置，也應(yīng)用于連接一些高端的數(shù)據(jù)庫(kù)服務(wù)器。正在研究當(dāng)中的 10G 以太網(wǎng)也已經(jīng)初具雛形，到能夠商用的地步還有一段時(shí)間，但可以預(yù)計(jì)，在不久的將來，1000M 以太網(wǎng)和 10G 以太網(wǎng)將象現(xiàn)在的 10M 以太網(wǎng)和快速以太網(wǎng)一樣普遍。以太網(wǎng)各層相關(guān)設(shè)備網(wǎng)線，集線器，中繼器－－－－物理層網(wǎng)卡，網(wǎng)橋，交換機(jī)－－－－數(shù)據(jù)鏈路路由器，三層交換機(jī)－－－－－網(wǎng)絡(luò)層Lan組網(wǎng)介紹IP網(wǎng)絡(luò)結(jié)構(gòu)IP網(wǎng)絡(luò)可以分成：骨干網(wǎng)絡(luò)和本地網(wǎng)絡(luò)骨干網(wǎng)絡(luò)根據(jù)網(wǎng)絡(luò)規(guī)模和覆蓋面可分為：國(guó)家級(jí)骨干網(wǎng)絡(luò)、省級(jí)骨干網(wǎng)絡(luò)、城域網(wǎng)城域網(wǎng)分為：核心層、匯聚層和接入層三個(gè)層次數(shù)據(jù)網(wǎng)絡(luò)的分層結(jié)構(gòu)－組網(wǎng)模型寬帶接入組網(wǎng)結(jié)構(gòu) LAN典型組網(wǎng)應(yīng)用 VLAN原理及規(guī)劃方法以太網(wǎng)交換機(jī)一般有十幾個(gè)或幾十個(gè)端口，默認(rèn)情況下，連接到這些端口的計(jì)算機(jī)能夠無阻隔的進(jìn)行二層通信。但有些情況下，人們希望某些端口上的計(jì)算機(jī)不能被其他端口上的計(jì)算機(jī)訪問，這時(shí)候采用這種默認(rèn)的工作方式就不行了，我們需要引入這樣一種功能：可以把交換機(jī)上任意數(shù)目的端口進(jìn)行組合，這些組合的端口成為一個(gè)封閉的系統(tǒng)，連接到該封閉系統(tǒng)的計(jì)算機(jī)可以通信，但跟不在該端口集合內(nèi)的其他端口上的計(jì)算機(jī)，則無法進(jìn)行二層通信。這個(gè)組合的概念便是 VLAN（虛擬局域網(wǎng)）。按照上面的概念，VLAN 是交換機(jī)上的一個(gè)集合，該集合的元素就是端口。我們用一個(gè)整數(shù)來表示該集合，這樣當(dāng)在交換機(jī)上創(chuàng)建一個(gè)集合后，就面臨一個(gè)問題：怎樣為該集合確定其中的元素（端口）下面是確定元素的最重要的幾種方式?；诙丝诘腣LAN最簡(jiǎn)單，也是最直接的方式就是手工指定，也就是說，一旦在交換機(jī)上創(chuàng)建一個(gè) VLAN，我們可以手工指定該 VLAN 包含哪些端口。在該方式下，我們只要在交換機(jī)上進(jìn)行一些簡(jiǎn)單的配置就可以了。這種方式是最直接的，也是最容易理解的。 基于MAC地址的VLAN在基于端口的 VLAN 方式下，我們?cè)诮粨Q機(jī)上進(jìn)行了設(shè)置，來決定 VLAN包含那些端口。但有些情況下，我們希望把終端系統(tǒng)進(jìn)行分類，使它們屬于指定的 VLAN。這時(shí)候，我們可以手工建立終端系統(tǒng)的標(biāo)識(shí)跟 VLAN之間的關(guān)系。在以太網(wǎng)上，MAC地址可以唯一的標(biāo)識(shí)一個(gè)終端系統(tǒng)，于是，我們就建立 MAC地址跟VLAN之間的對(duì)應(yīng)關(guān)系。基于第三層協(xié)議的VLAN有些情況下，人們往往對(duì)網(wǎng)絡(luò)做一些限制，讓網(wǎng)絡(luò)上的終端系統(tǒng)只運(yùn)行一種網(wǎng)絡(luò)協(xié)議，比如，在一個(gè)有大量 NOVELL 服務(wù)器的網(wǎng)絡(luò)上，可能只存在 IPX協(xié)議，這樣做的目的主要是節(jié)省資源，因?yàn)槿绻\(yùn)行其他的路由協(xié)議，一些服務(wù)進(jìn)程會(huì)跟所有運(yùn)行的協(xié)議綁定，這樣該服務(wù)就會(huì)通過該協(xié)議對(duì)應(yīng)的廣播地址（比如，IP 協(xié)議的廣播地址是 ）發(fā)送通告消息，以表明自己的存在。這樣必然產(chǎn)生大量的廣播包，嚴(yán)重浪費(fèi)資源。在這些情況下，人們可以根據(jù)運(yùn)行的協(xié)議不同來劃分 VLAN。在該種方式下，只要告訴交換機(jī)，上層協(xié)議跟 VLAN 之間的對(duì)應(yīng)關(guān)系即可，比如，我們把所有運(yùn)行 IPX 的計(jì)算機(jī)都劃分到 V