6、路由交换安全跟vpn讲义.pptVIP

路由交换安全与VPN讲义 中山大学信息科学与技术学院 王常吉 副教授 2006年11月 局域网与VLAN 局域网标准 冲突域与广播域 虚拟局域网（VLAN） 局域网设备在OSI/RM中的位置 路由器 网络层 网络地址寻址、路由 网桥/交换机 数据链路层 用MAC地址寻址 集线器/中继器 工作物理层 ，没有寻址能力 局域网标准 IEEE, 1884 年成立，320,000 成员，147国家 IEEE 802.2 LLC IEEE 802.3 Ethernet IEEE 802.5 Token Ring IEEE 802.6 MAN(DQDB) IEEE 802.10 ，1Q VLAN IEEE 802.11 Wireless LAN FDDI, ANSI ATM , ATM Forum ITU-T How Switches Learn Host Locations How Switches Learn Hosts Locations How Switches Learn Host Locations How Switches Filter Frames 广播域和冲突域 冲突域：在同一个冲突域中的每一个节点都能收到所有被发送的帧 广播域：网络中能接收任一设备发出的广播帧的所有设备的集合 广播域可以跨网段，而冲突域只是发生的同一个网段。 HUB 所有端口都在同一个广播域，冲突域内。Switch所有端口都在同一个广播域内，而每一个端口就是一个冲突域。 冲突域和广播域 广播风暴引起的性能问题 广播风暴 通过路由器隔离广播域 VLAN的类型 基于物理端口划分的VLAN 基于MAC地址划分的VLAN 基于网络层协议划分的VLAN 基于网络层地址（IP地址）的VLAN 基于物理端口分组（Port Based） 基于物理端口分组（Port Based） 优点 配置简单 缺点 不允许一个端口同时属于多过VLAN 当终端计算机位置变化时，必须由管理员重新配置VLAN的接口。 基于MAC 地址分组（MAC Based） 二层VLAN：根据MAC Address分组 MAC Address VLAN 1212354145121 1 2389234873743 2 3045834758445 2 5483573475843 1 基于MAC 地址分组（MAC Based） 基于MAC 地址分组（MAC Based） 优点 工作站物理移动时，不需要重新配置，依然属于原来的VLAN。 缺点 在初始时所有的用户必须在至少一个VLAN上初始化 基于网络层协议分组 基于网络地址分组 基于网络地址分组 优点 可以根据协议类型划分 物理移动时，无需修改网络地址 缺点 交换机检查网络层协议信息，消耗资源 对于没有层次结构的协议（不可路由）不适用 交换机之间传输VLAN成员信息 交换机之间必须知道每个工作站属于哪一个VLAN，否则VLAN只能限制在同一台交换机上。 交换机之间三种交换信息的方式 Trunk Tagging Sigaling Time-Division Multiplexing 交换机之间传输VLAN成员信息 Frame Tagging 在交换机之间的主干链路（Trunck-Link）上传输的Frame中，在MAC头标中插入VLAN标识符 Signalling 当一台工作站发送第一个frame时，交换机记录它的MAC地址、端口，在地址表中缓存，并定期向其他的交换机广播。 Time Division Multiplexing 通过时分多路复用技术，在交换机之间的链路上为每个VLAN建立一个独立的信道 VLAN的优点 易于维护－容易解决人员位置的变动 有效地控制广播流量，提高性能 增强网络安全性 VLAN的优点 — 易于维护 公司每年有20%-40%的工作人员需要改变工作位置。这种移动、添加和改变是网络管理中开支的重点。许多移动需要重新布线、重新分配地址、重新配置HUB和路由器。 VLAN提供了一种有效的机制来管理这种业务。 同一VLAN中的用户，不管其位置如何，都可以使用同一网络地址。当用户移动时，只要还连接至交换机并在同一个VLAN 中，就可以使用原来的网络地址。 VLAN需要很少的重新布线、配置和调试，是对传统LAN技术的重大改进。路由器的配置也不受影响，当用户搬