《华为赛门铁克HSCDA认证培训考试资料(数据通信).doc》由会员分享，可在线阅读，更多相关《华为赛门铁克HSCDA认证培训考试资料(数据通信).doc（65页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、幻灯片 1幻灯片 2幻灯片 3幻灯片 4幻灯片 5幻灯片 6幻灯片 7物理层涉及到在通信信道（channel）上传输的原始比特流，它实现传输数据所需要的机械、电气、功能特性及过程等手段。物理层涉及电压、电缆线、数据传输速率、接口等的定义。物理层的主要网络设备为中继器、集线器等。数据链路层的主要任务是提供对物理层的控制，检测并纠正可能出现的错误，使之对网络层显现一条无错线路，并且进行流量调控（可选）。流量调控可以在数据链路层实现，也可以由传输层实现。数据链路层与物理地址、网络拓扑、线缆规划、错误校验、流量控制等有关。数据链路层主要设备为以太网交换机。网络层检查网络拓扑，以决定传输报文的最佳路由，
2、其关键问题是确定数据包从源端到目的端如何选择路由。网络层通过路由选择协议来计算路由。存在于网络层的设备主要有路由器、三层交换机等。 后面您将学习到更多关于网络层的知识。传输层的基本功能是从会话层接受数据，并且在必要的时候把它分成较小的单元，传递给网络层，并确保到达对方的各段信息正确无误。传输层建立、维护虚电路，进行差错校验和流量控制。会话层允许不同机器上的用户建立、管理和终止应用程序间的会话关系，在协调不同应用程序之间的通信时要涉及会话层，该层使每个应用程序知道其它应用程序的状态。同时，会话层也提供双工（duplex）协商、会话同步等等。表示层关注于所传输的信息的语法和意义，它把来自应用层与计
3、算机有关的数据格式处理成与计算机无关的格式，以保障对端设备能够准确无误地理解发送端数据。同时，表示层也负责数据加密等。应用层是OSI参考模型最靠近用户的一层，为应用程序提供网络服务。应用层识别并验证目的通信方的可用性，使协同工作的应用程序之间同步。 幻灯片 8OSI参考模型依层次结构来划分：第一层，物理层（Physical layer）；第二层，数据链路层（data link layer）；第三层，网络层（network layer）；第四层，传输层（transport layer） ；第五层，会话层（session layer）；第六层，表示层（presentation layer）；第七层
4、，应用层（application layer）。通常，我们把OSI参考模型第一层到第三层称为底层（lower layer），又叫介质层(Media Layer)。这些层负责数据在网络中的传送，网络互连设备往往位于下三层。底层通常以硬件和软件相结合的方式来实现。OSI参考模型的第五层到第七层称为高层（upper layer），又叫主机层（host layer）。高层用于保障数据的正确传输，通常以软件方式来实现。七层OSI参考模型具有以下优点：简化了相关的网络操作；提供即插即用的兼容性和不同厂商之间的标准接口；使各个厂商能够设计出互操作的网络设备，加快数据通信网络发展；防止一个区域网络的变化影响另
5、一个区域的网络，因此，每一个区域的网络都能单独快速升级；把复杂的网络问题分解为小的简单问题，易于学习和操作。需要注意的是，由于种种原因，现在还没有一个完全遵循OSI七层模型的网络体系，但OSI参考模型的设计蓝图为我们更好的理解网络体系，学习计算机通信网络奠定了基础。 幻灯片 9幻灯片 10地址解析协议ARP是一种广播协议，主机通过它可以动态地发现对应于一个IP地址的MAC层地址。每一个主机都有一个ARP高速缓存（ARP cache），有IP地址到物理地址的映射表，这些都是该主机目前知道的一些地址。当主机A欲向本局域网上的主机B发送一个IP数据报时，就先在其ARP高速缓存中查看有无主机B的IP地
6、址。如有，就可查出其对应的物理地址，然后将该数据报发往此物理地址。也有可能查不到主机B的IP地址的项目。可能是主机B才入网，也可能是主机A刚刚加电，其高速缓存还是空的。在这种情况下，假定主机A需要知道主机B的MAC地址，主机A发送称为ARP请求的以太网数据帧给网段上的每一台主机，这个过程称为广播。发送的ARP请求报文中，带有自己的IP地址到MAC地址的映射，同时还带有需要解析的目的主机的IP地址。目的主机B收到请求报文后，将其中的主机A的IP地址与MAC地址的映射存到自己的ARP高速缓存中，并把自己的IP地址到MAC地址的映射作为响应发回主机A。主机A收到ARP应答，就得到了主机B的MAC地址
7、，同时，主机A缓存主机B的IP地址到MAC地址映射。 幻灯片 11在进行地址转换时，有时还要用到反向地址转换协议RARP。RARP常用于X终端和无盘工作站等，这些设备知道自己MAC地址，需要获得IP地址。为了使RARP能工作，在局域网上至少有一个主机要充当RARP服务器。以上图为例，无盘工作站需要获得自己的IP地址，向网络中广播RARP请求，RARP服务器接收广播请求，发送应答报文，无盘工作站获得IP地址。对应于ARP、RARP请求以广播方式发送，ARP、RARP应答一般以单播方式发送，以节省网络资源。 幻灯片 12幻灯片 13每个IP地址是一个写成4个8位字节的32比特值。这就意味着存在4个
8、组，每个组包括8个二进制位，如上图所示。 幻灯片 14幻灯片 15幻灯片 16PPP协议也提供了可选的认证配置参数选项，缺省情况下点对点通信的两端是不进行认证的。在LCP的Config-Request报文中不可一次携带多种认证配置选项，必须二者择其一（PAP/CHAP），选择最希望的那一种，一般是在PPP设备互连的设备上进行配置的，但一般设备会默认支持一个缺省的认证方式（PAP是大部分设备所默认的认证方式）。当对端收到该配置请求报文后，如果支持配置参数选项中的认证方式，则回应一个Config-Ack报文；否则回应一个Config-Nak报文，并附带上自希望双方采用的认证方式。当对方接收到Con
9、fig-Ack报文后就可以开始进行认证了，而如果收到得是Config-Nak报文，则根据自身是否支持Config-Nak报文中的认证方式来回应对方，如果支持则回应一个新的Config-Request（并携带上Config-Nak报文中所希望使用的认证协议），否则将回应一个Config-Reject报文，那么双方就无法通过认证，从而不可能建立起PPP链路。PPP支持两种授权协议：PAP（Password Authentication Protocol）和CHAP（Challenge Hand Authentication Protocol）。 我们所知两个设备在使用PAP进行认证之前，应该确认那
10、一方是验证方，那一方是被验证方。实际上对于使用PPP协议互连的两端来说，既可作为认证方，也可作为被认证方。但通常情况下，PAP只使用一个方向上的认证。一般在两端设备使用PAP协议之前，均会设备上进行一些相应的配置，对于宽带工程师而言MA5200可谓是大家最熟悉的产品了，它默认就作为验证方，但可通过使用命令PAP Authentication PAP/CHAP来更改认证方式，而对于被验证方而言只需设置用户名和密码即可。PAP认证是两次握手，在链路建立阶段，依据设备上的配置情况，如果是使用PAP认证，则验证方在发送Config-Request报文时会携带认证配置参数选项，而对于被验证方而言则是不需
11、要，它只需要收到该配置请求报文后根据自身的情况给对端返回相应的报文。如果点对点的两端设备采用的是PAP双向认证时，也即是它同时也作为验证方，则此时需要在配置请求报文中携带认证配置参数选项。因此，我们可以总结一下，如果对于点对点的两个设备在PPP链路建立的过程中使用的认证方式为PAP的话，那么验证方在其Config-Request报文中必须含有认证配置参数选项，且该认证配置参数选项的数据域为0xC023 。当通信设备的两端在收到对方返回的Config-Ack报文时，就从各自的链路建立阶段进入到认证阶段，那么作为被验证方此时需要向验证方发送PAP认证的请求报文，该请求报文携带了用户名和密码，当验证
12、方收到该认证请求报文后，则会根据报文中的实际内容查找本地的数据库，如果该数据库中有与用户名和密码一致的选项时，则回向对方返回一个认证请求响应，告诉对方认证已通过。反之，如果用户名与密码不符，则向对方返回验证不通过的响应报文。如果双方都配置为验证方，则需要双方的两个单向验证过程都完成后，方可进入到网络层协议阶段，否则在一定次的认证失败后，则会从当前状态返回链路不可用状态。例10： 如图4-1所示，当路由器A（被验证方）收到了路由器B 的Config-Ack报文后，因为是使用PAP认证，所以作为被验证方的路由器A应主动向验证方（路由器B）发送认证请求报文（PAP Authenticate），用户名
13、和密码均为163，报文的内容如下：7E FF 03 C0 23 01 01 00 0C 03 31 36 33 03 31 36 33 7E下划线的前四个字节是用户名，后四个字节是密码。当路由器B收到了该报文后，会向路由器A回应一个PAP Authenticate Ack报文，报文内容如下：7E FF 03 80 21 02 01 00 05 00 7E此时所回应的报文中，并未携带任何数据，如果是认证不通过，则会在返回的报文中指是因何原因无法认证通过，可能是无此用户名或密码不匹配。 幻灯片 17与PAP认证比起来，CHAP认证更具有安全性，从前面认证过程的数据包交换过程中不然发现，采用PAP认
14、证时，被验证是采用明文的方式直接将用户名和密码发送给验证方的，而对于PAP认证则不一样。CHAP为三次握手协议，它只在网络上传送用户名而不传送口令，因此安全性比PAP高。在验证一开始，不像PAP一样是由被验证方发送认证请求报文了，而是由验证方向被验证方发送一段随机的报文，并加上自己的主机名，我们通称这个过程叫做挑战。当被验证方收到验证方的验证请求，从中提取出验证方所发送过来的主机名，然后根据该主机名在被验证方设备的后台数据库中去查找相同的用户名的记录，当查找到后就使用该用户名所对应的密钥，然后根据这个密钥、报文ID和验证方发送的随机报文用Md5加密算法生成应答，随后将应答和自己的主机名送回，同
15、样验证方收到被验证方发送回应后，提取被验证方的用户名，然后去查找本地的数据库，当找到与被验证方一致用户名后，根据该用户名所对应的密钥、保留报文ID和随机报文用Md5加密算法生成结果，和刚刚被验证方所返回的应答进行比较，相同则返回Ack，否则返回Nak。例11： 如图4-2所示，当路由器A（被验证方）收到了路由器B 的Challenge报文后，报文内容如下：7E FF 03 C2 23 01 01 00 1C 10 FF 41 CF 22 AA 8E F1 B9 99 9A 79 A7 56 78 C4 A7 4d 41 35 32 30 30 41 7E下划线的前16个字节是验证方随机产生的一
16、段报文，后7个字节是验证方的主机名（MA5200A），而且单个字节10表示随机报文的长度。而此时路由器A会根据用户名所对应的密钥使用报文的ID和该报文的内容生成一个回应报文，报文内容如下：7E FF 03 C2 23 02 01 00 1F 10 18 86 22 FF CE 81 D0 68 FF 80 85 00 A7 E3 85 35 70 706B 69 73 73 40 68 75 61 7E我们将这个回应报文与验证方发送的挑战报文进行比较，报文的代码域已由原01改为02，总报文的长度有变化，主要后而一个下划线的内容是被验证方的主机名（ppkisshua），而且此时回应的16个字节的
17、报文已经是经过MD5算法加密过的。当验证方收到了这个回应报文后，会根据报文中被验证方的主机名（ppkisshua）在本地的数据库中去查找密钥，然后再对原发先发送的那段挑战报文进行MD5的算法加密，如果所得的结果与对方刚发过来的16个字节的加密值一样的话，则就会发送一个报文通知被验证方，你的认证已经通过，我们可以进入到下一个阶段了。在实际应用当中，我们很多都是使用PC机来进行拨号这个过程，实际中当验证方发送挑战后，PC机只接收而并不去查本地数据库，而直接使用在拨号对话框中所输入的密码和报文的ID及报报文的内容进行MD5算法加密（这个在PC机采用PPPOE软件拨入到MA5200时就是这样的）。下面
18、来看一下验证通过时，验证方给被验证方所发送的一段报文内容：7E FF 03 C2 23 03 01 00 17 57 65 6C 63 6F 6D 65 20 74 6F20 4D 41 35 32 30 30 41 2E 7E此时所回应的报文的代码域为03，且报文的实际内容是，Welcom to MA5200A。 幻灯片 18随着宽带网络技术的不断发展，以xDSL、CableModem和以太网为主的几种主流宽带接入技术的应用已开展的如火如荼。同时又给各大网络运营商们带来了种种困惑，无论使用哪种接入技术，对于他们而言可盼和可求的是如何有效的管理用户，如何从网络的投资中收取回报，因此对于各种宽带
19、接入技术的收费的问题就变得更加敏感。在传统的以太网模型中，我们是不存在所谓的用户计费的概念，要么用户能设置/获取IP地址上网，要么用户就无法上网。IETF的工程师们在秉承窄带拨号上网的运营思路（使用NAS设备终结用户的PPP数据包），制定出了在以太网上传送PPP数据包的协议（Point To Point Protocol Over Ethernet），这个协议出台后，各网络设备制造商也相继推出自已品牌的宽带接入服务器（BAS），它不仅能支持PPPOE协议数据报文的终结，而且还能支持其它许多协议。如华为公司的MA5200和ISN8850。PPPOE协议提供了在广播式的网络（如以太网）中多台主机连
20、接到远端的访问集中器（我们对目前能完成上述功能的设备为宽带接入服务器）上的一种标准。在这种网络模型中，我们不难看出所有用户的主机都需要能独立的初始化自已的PPP协议栈，而且通过PPP协议本身所具有的一些特点，能实现在广播式网络上对用户进行计费和管理。为了能在广播式的网络上建立、维持各主机与访问集中器之间点对点的关系，那么就需要每个主机与访问集中器之间能建立唯一的点到点的会话。幻灯片 19幻灯片 20“以太网”一词是指以CSMA/CD作为MAC算法的一类LAN。1973年，位于加利福尼亚Palo Alto 的Xerox公司提出并实现了最初的以太网。Robert Metcalfe博士被公认为以太网
21、之父，他研制的实验室原型系统运行速度是2.94兆比特每秒(3Mb/s)。这个实验性以太网(在Xerox公司中被称为“X-Wire”)用在了Xerox公司早期的一些产品中，包括世界上第一台配备网络功能、带有图形用户接口的个人工作站Xerox Alto。Xerox没能成功地将Alto或3Mb/s以太网商品化。这两项实验性技术几乎完全保留在Xerox公司内部，没有向外部传播。1979年，Xerox与DEC公司(Digital Equipment Corporation)联合起来，致力于以太网技术的标准化和商品化，并促进该项技术在网络产品中的应用。这是一个很理想的组合：Xerox有专利和技术，而DEC
22、是当时最大的网络计算机供应商。为了能确保容易地将商品化以太网集成到廉价芯片中，在Xerox的要求下，Intel公司也加入了这个联盟，负责提供这方面的指导。由它们组成的DEC-Intel-Xerox (DIX)三驾马车，1980年9月开发并发布了10Mb/s版的以太网标准DIX80。这个标准所支持的唯一一种物理介质是粗同轴电缆。1982年，发布了该标准的第2版。这一版以太网对信令做了略微修改，并增加了网络管理功能。幻灯片 21从共享式以太网发展到交换式以太网过渡时期，出现了中继器和集线器两种互连的网络设备。这两种设备基本原理都一样，那么单独讲解一下集线器。其实集线器（HUB）和中继器都是物理层上
23、的连接设备，那为什么这样说呢？接下去我们共同来学习一下集线器的工作原理。幻灯片 22既然集线器（HUB）存在以上问题，我们一起来看看以太网交换机。以太网交换机是我们现在组建以太网的必备的设备。接下去讲讲以太网交换机（另称多端口网桥）。相比较HUB而言,交换机是工作在数据链路层的设备。为什么这么说呢?主要是以太网交换机或者网桥需要完成二个基本功能：MAC地址学习；转发和过滤决定；幻灯片 23幻灯片 24交换机基于MAC地址表进行转发，MAC地址表是目的MAC地址和目的端口的对应关系。1：假设PCA向PCB发送一个数据帧，此数据帧的目的MAC地址设置为PCB的MAC地址00-0D-56-BF-88
24、-20，交换机SWA接收到此数据帧之后，需要查找MAC地址表，根据MAC地址表中的记录，将数据帧从E0/3口向外转发。交换机在转发数据帧的时候，对数据帧不做任何修改，如果交换机接收到的是一个广播数据帧，则向所有端口转发。2：交换机SWB接收到了此数据帧之后，查找MAC地址表，根据MAC地址表中的记录，将数据从E0/6端口上转发出去，此次转发仍然不会对数据帧做任何修改。3：PCB接收到数据帧之后，查看目的MAC地址，由于目的MAC地址为接收者本身，所以PCB处理此数据帧并上送上层协议处理数据帧所携带的数据。幻灯片 25如果交换机从一个端口上接收到的是一个广播数据帧，则向所有其它端口转发，而且交换
25、机在转发数据帧的时候，对数据帧不做任何修改，因此，如果交换网络中有环路，则广播帧会被无限期的转发，形成广播风暴。幻灯片 26幻灯片 27幻灯片 28幻灯片 29幻灯片 30如前所述，对于物理层和数据链路层可以正常工作，并且开启了RSTP的交换机端口，RSTP共定义了四种端口角色，稳定时处于转发状态的有根端口和指定端口。底层没有开启的端口称为Disable端口。幻灯片 31一个非根交换机选举出一个新的根端口之后，如果以前的根端口已经不处于Forwarding状态，则新的根端口立即进入转发状态。本例中：SWC上与LANB相连的端口为根端口，假设此端口断开，即不再处于转发状态，则SWC需要重新选择一
26、个根端口，与LANC相连的端口于是从预备端口成为新的根端口。由于旧的根端口已经不再处于转发状态，因此网络中没有环路风险，因此新的根端口可以立即进入转发状态。幻灯片 32边缘端口（Edge Port）是指不连接任何交换机的端口。当把一个交换机端口配置成为边缘端口之后，一旦端口被启用，则端口立即成为指定端口（Designated Port），并进入转发状态。幻灯片 33传统的局域网使用的是HUB，HUB只有一根总线，一根总线就是一个冲突域。所以传统的局域网是一个扁平的网络，一个局域网属于同一个冲突域。任何一台主机发出的报文都会被同一冲突域中的所有其它机器接收到。后来，组网时使用网桥（二层交换机）代
27、替集线器（HUB），每个端口可以看成是一根单独的总线，冲突域缩小到每个端口，使得网络发送单播报文的效率大大提高，极大地提高了二层网络的性能。假如一台主机发出广播报文，设备仍然可以接收到该广播信息，我们通常把广播报文所能传输的范围称之为广播域，网桥在传递广播报文的时候依然要将广播报文复制多份，发送到网络的各个角落。随着网络规模的扩大，网络中的广播报文越来越多，广播报文占用的网络资源越来越多，严重影响网络性能，这就是所谓的广播风暴的问题。由于网桥二层网络工作原理的限制，网桥对广播风暴的问题无能为力。为了提高网络的效率，一般需要将网络进行分段：把一个大的广播域划分成几个小的广播域。幻灯片 34VLA
28、N与传统的LAN相比，具有以下优势：限制广播包，提高带宽的利用率：有效地解决了广播风暴带来的性能下降问题。一个VLAN形成一个小的广播域，同一个VLAN成员都在由所属VLAN确定的广播域内，那么，当一个数据包没有路由时，交换机只会将此数据包发送到所有属于该VLAN的其他端口，而不是所有的交换机的端口，这样，就将数据包限制到了一个VLAN内。在一定程度上可以节省带宽；减少移动和改变的代价：即所说的动态管理网络，也就是当一个用户从一个位置移动到另一个位置时，他的网络属性不需要重新配置，而是动态的完成，这种动态管理网络给网络管理者和使用者都带来了极大的好处，一个用户，无论他到哪里，他都能不做任何修改
29、地接入网络，这种前景是非常美好的。 当然，并不是所有的VLAN定义方法都能做到这一点；创建虚拟工作组：使用VLAN的最终目标就是建立虚拟工作组模型，例如，在企业网中，同一个部门的就好像在同一个LAN上一样，很容易的互相访问，交流信息，同时，所有的广播包也都限制在该虚拟LAN上，而不影响其他VLAN的人。一个人如果从一个办公地点换到另外一个地点，而他仍然在该部门，那么，该用户的配置无须改变；同时，如果一个人虽然办公地点没有变，但他更换了部门，那么，只需网络管理员更改一下该用户的配置即可。这个功能的目标就是建立一个动态的组织环境，当然，这只是一个理想的目标，要实现它，还需要一些其他方面的支持。用户
30、不受到物理设备的限制，VLAN用户可以处于网络中的任何地方，VLAN对用户的应用不产生影响；增强通讯的安全性：一个VLAN的数据包不会发送到另一个VLAN，这样，其他VLAN用户的网络上是收不到任何该VLAN的数据包，确保了该VLAN的信息不会被其他VLAN的人窃听，从而实现了信息的保密；增强网络的健壮性：当网络规模增大时，部分网络出现问题往往会影响整个网络，引入VLAN之后，可以将一些网络故障限制在一个VLAN之内。由于VLAN是逻辑上对网络进行划分，组网方案灵活，配置管理简单，降低了管理维护的成本。幻灯片 35接入链路指的是用于连接主机和交换机的链路。通常情况下主机并不需要知道自己属于哪些
31、VLAN，主机的硬件也不一定支持带有VLAN标记的帧。主机要求发送和接收的帧都是没有打上标记的帧。接入链路属于某一个特定的端口，这个端口属于一个并且只能是一个VLAN。这个端口不能直接接收其它VLAN的信息，也不能直接向其它VLAN发送信息。不同VLAN的信息必须通过三层路由处理才能转发到这个端口上。干道链路是可以承载多个不同VLAN数据的链路。干道链路通常用于交换机间的互连，或者用于交换机和路由器之间的连接。干道链路的英文叫做“trunk link”。数据帧在干道链路上传输的时候，交换机必须用一种方法来识别数据帧是属于哪个VLAN的。IEEE 802.1Q定义了VLAN帧格式，所有在干道链路
32、上传输的帧都是打上标记的帧（tagged frame）。通过这些标记，交换机就可以确定哪些帧分别属于哪个VLAN。和接入链路不同，干道链路是用来在不同的设备之间（如交换机和路由器之间、交换机和交换机之间）承载VLAN数据的，因此干道链路是不属于任何一个具体的VLAN的。通过配置，干道链路可以承载所有的VLAN数据，也可以配置为只能传输指定的VLAN的数据。 干道链路虽然不属于任何一个具体的VLAN，但是可以给干道链路配置一个pvid（port VLAN ID）。当干道链路不论因为什么原因，trunk链路上出现了没有带标记的帧，交换机就给这个帧增加带有pvid的VLAN标记，然后进行处理。幻灯片
33、 36这四个字节的802.1Q标签头包含了2个字节的标签协议标识（TPID）和2个字节的标签控制信息（TCI）。TPID（Tag Protocol Identifier）是IEEE定义的新的类型，表明这是一个加了802.1Q标签的帧。TPID包含了一个固定的值0x8100。TCI是包含的是帧的控制信息，它包含了下面的一些元素：Priority：这3 位指明帧的优先级。一共有8种优先级，07。IEEE 802.1Q标准使用这三位信息。Canonical Format Indicator( CFI )：CFI值为0说明是规范格式，1为非规范格式。它被用在令牌环/源路由FDDI介质访问方法中来指示封
34、装帧中所带地址的比特次序信息。VLAN Identified( VLAN ID ): 这是一个12位的域，指明VLAN的ID，从0到4095，共4096个，每个支持802.1Q协议的交换机发送出来的数据包都会包含这个域，以指明自己属于哪一个VLAN。在一个交换网络环境中，以太网的帧有两种格式：有些帧是没有加上这四个字节标志的，称为未标记的帧（ungtagged frame），有些帧加上了这四个字节的标志，称为带有标记的帧（tagged frame）。幻灯片 37Hybrid端口与Trunk端口的不同之处在于hybrid端口可以允许多个VLAN的报文不打标签，而trunk端口只允许缺省VLAN的
35、报文不打标签。在同一个交换机上hybrid端口和trunk端口不能并存。幻灯片 38当Access端口收到帧时如果该帧不包含802.1Q tag header，将打上端口的PVID；如果该帧包含802.1Q tag header，交换机不作处理，直接丢弃。当Access端口发送帧时剥离802.1Q tag header，发出的帧为普通以太网帧幻灯片 39当Trunk端口收到帧时如果该帧不包含802.1Q tag header，将打上端口的PVID；如果该帧包含802.1Q tag header，则不改变。当Trunk端口发送帧时当该帧的VLAN ID与端口的PVID不同时，直接透传；当该帧的V
36、LAN ID与端口的PVID相同时，则剥离802.1Q tag header 幻灯片 40Hybird端口收到帧时的动作与Trunk端口相同；Hybird端口发出帧时首先判断VLAN在本端口的属性。用“dis interface”可看到该端口对哪些VLAN是untag，哪些VLAN是tag，如果是untag则剥离802.1Q tag header 再发送，如果是tag则直接透传。幻灯片 41幻灯片 42幻灯片 43幻灯片 44幻灯片 45幻灯片 46幻灯片 47幻灯片 48幻灯片 49幻灯片 50路由器的功能有很多，主要功能：一提供了异构网互联的机制，怎么提供的呢？一台路由器有多接口，每接口在
37、物理特性上或者电气特性上属于不同的网络类型，二把报文从一个网络发送到另外一个网络。互联的目的是通信，这就导出一个概念：路由。甚么是路由呢？路由是指导ip报文转发的路径信息。怎么转发的呢？这是任何一个交换设备必备的功能，他应该知道某条信息从哪里来到哪里去，这主要是通过一种表的形式表现出来的。幻灯片 51在路由表中有一个Protocol字段：指明了路由的来源，即路由是如何生成的。路由的来源主要有3 种： 链路层协议发现的路由（Direct）：开销小，配置简单，无需人工维护，只能发现本接口所属网段拓扑的路由。 手工配置的静态路由（Static）：静态路由是一种特殊的路由，它由管理员手工配置而成。通过
38、静态路由的配置可建立一个互通的网络，但这种配置问题在于：当一个网络故障发生后，静态路由不会自动修正，必须有管理员的介入。静态路由无开销，配置简单，适合简单拓扑结构的网络。 动态路由协议发现的路由（RIP、OSPF ）：当网络拓扑结构十分复杂时，手工配置静态路由工作量大而且容易出现错误，这时就可用动态路由协议，让其自动发现和修改路由，无需人工维护，但动态路由协议开销大，配置复杂。幻灯片 52到相同的目的地，不同的路由协议（包括静态路由）可能会发现不同的路由，但并非这些路由都是最优的。事实上，在某一时刻，到某一目的地的当前路由仅能由唯一的路由协议来决定。这样，各路由协议（包括静态路由）都被赋予了一
39、个优先级，这样，当存在多个路由信息源时，具有较高优先级（数值越小表明优先级越高）的路由协议发现的路由将成为最优路由，并被加入路由表中。不同厂家的路由器对于各种路由协议优先级的规定各不相同。华为 Quidway 路由器：0表示直接连接的路由，255 表示任何来自不可信源端的路由。幻灯片 53路由的花费（metric）标识出了到达这条路由所指的目的地址的代价，通常路由的花费值会受到线路延迟、带宽、线路占有率、线路可信度、跳数、最大传输单元等因素的影响，不同的动态路由协议会选择其中的一种或几种因素来计算花费值（如RIP用跳数来计算花费值）。该花费值只在同一种路由协议内有比较意义，不同的路由协议之间的
40、路由花费值没有可比性，也不存在换算关系。静态路由的花费值为0。幻灯片 54幻灯片 55幻灯片 56所有的动态路由协议在TCP/IP协议栈中都属于应用层的协议。但是不同的路由协议使用的底层协议不同。OSPF将协议报文直接封装在IP 报文中，协议号89，由于IP协议本身是不可靠传输协议，所以OSPF传输的可靠性需要协议本身来保证。BGP使用TCP作为传输协议，提高了协议的可靠性，TCP的端口号是179。RIP使用UDP作为传输协议，端口号520。 幻灯片 57一个AS是一组共享相似的路由策略并在单一管理域中运行的路由器的集合。一个AS可以是一些运行单个IGP（内部网关协议）协议的路由器集合，也可以
41、是一些运行不同路由选择协议但都属于同一个组织机构的路由器集合。不管是哪种情况，外部世界都将整个AS看作是一个实体。每个自治系统都有一个唯一的自治系统编号，这个编号是由因特网授权的管理机构IANA分配的。它的基本思想就是希望通过不同的编号来区分不同的自治系统。这样，当网络管理员不希望自己的通信数据通过某个自治系统时，这种编号方式就十分有用了。例如，该网络管理员的网络完全可以访问某个自治系统，但由于它可能是由竞争对手在管理，或是缺乏足够的安全机制，因此，可能要回避它。通过采用路由协议和自治系统编号，路由器就可以确定彼此间的路径和路由信息的交换方法。自治系统的编号范围是1到65535，其中1到654
42、11是注册的因特网编号，65412到65535是专用网络编号。幻灯片 58按照工作区域，路由协议可以分为IGP 和EGP：IGP（Interior gateway protocols）内部网关协议在同一个自治系统内交换路由信息，RIP 和IS-IS 都属于IGP。IGP的主要目的是发现和计算自治域内的路由信息。EGP（Exterior gateway protocols）外部网关协议用于连接不同的自治系统，在不同的自治系统之间交换路由信息，主要使用路由策略和路由过滤等控制路由信息在自治域间的传播，应用的一个实例是BGP。幻灯片 59距离矢量（DISTANCE-VECTOR，简称D-V）算法（也
43、称BELLMAN-FORD 算法）周期性地将路由表信息的拷贝在路由器之间传送。当网络拓扑变化时，也会将更新信息及时传送给路由器。每一个路由器只能接收到网络中相邻路由器的路由表，就如图所示，路由器B接收到相邻路由器A的信息，通过增加一个距离矢量数（例如一个跳数）来增大距离矢量，然后将更新的路由表信息传送给相邻路由器C。这种逐步过程发生在相邻路由器之间。距离矢量算法的数学模型如下：我们用D（i，j）来表示从实体i到j的最佳路由的Metric，i、j可以是系统中的任意一对实体，用d（i，j）来表示单个跳数的花费，也就是从i直接到j的花费，如果i与j不是直接相邻的，则d（i，j）为无穷大。这样任意两个
44、实体间的最佳Metric可以表示如下：D（i，j）0 对所有的iD（i，j）min D（i，j）d（i，k） i不等于k时由于我们把非相邻两实体间的d（i，j）定义为无穷大，当表达式中k不是i的相邻主机或路由器时，D（i，j）永远不可能为最小，故我们也可以把k限定为与i相邻。由此我们可以得出一个基于这个数学模型的计算Metric的简单算法：实体i接收它的邻居们k发送给它的到目标主机j的距离评价，并加上d（i，j），在这里是通过i，k之间网络所需的cost 值，接下来i比较来自所需邻居的信息，并选择其中最小的。可以证明，在拓扑结构不变的情况下该算法在有限时间内收敛于正确的D（i，j）。距离矢量算
45、法通过上述方法累加网络距离，并维护网络拓扑信息数据库。使用这种算法，路由器并不能知道整个网络的确切拓扑结构。某种程度上，距离矢量信息类似十字路口上指向目的地的路标，沿着路标的指向前进，在下一个十字路口，会再看到一个路标，但在这个路标处，距离目的地就近了一些。只要路径中每下一个路标都能表示到目的地距离的缩短，则这个路径为最优的。 幻灯片 60OSPF最显著的特点是使用链路状态算法，区别于早先的路由协议使用的距离矢量算法，因此，本文首先介绍链路状态算法的路由计算基本过程。每个路由器通过泛洪链路状态通告（LSA）向外发布本地链路状态信息（例如可用的端口，可到达的邻居以及相邻的网段等等）。每一个路由器
46、通过收集其它路由器发布的链路状态通告以及自身生成的本地链路状态通告，形成一个链路状态数据库（LSDB）。LSDB描述了路由域内详细的网络拓扑结构。所有路由器上的链路状态数据库是相同的。通过LSDB，每台路由器计算一个以自己为根，以网络中其它节点为叶的最短路径树。每台路由器计算的最短路径树给出了到网络中其它节点的路由表。幻灯片 61RIP是Routing Information Protocol （路由信息协议）的简称。它是一种相对简单的动态路由协议，但在实际使用中有着广泛的应用。RIP是一种基于D-V算法的路由协议，它通过UDP交换路由信息，每隔30秒向外发送一次更新报文。如果路由器经过180
47、秒没有收到来自对端的路由更新报文，则将所有来自此路由器的路由信息标志为不可达，若在其后120 秒内仍未收到更新报文，就将该条路由从路由表中删除。RIP 使用跳数（Hop Count）来衡量到达目的网络的距离，称为路由权（Routing Metric）。在RIP中，路由器到与它直接相连网络的跳数为0，通过一个路由器可达的网络的跳数为1，其余依此类推。为限制收敛时间，RIP规定metric取值015之间的整数，大于或等于16的跳数被定义为无穷大，即目的网络或主机不可达。为提高性能，防止产生路由环路，RIP支持水平分割（Split Horizon）与路由中毒（Poison Reverse），并在路由中毒时采用触发更新（Triggered Update）。另外，RIP协议还允许引入其它路由协议所得到的路由。RIP包括RIP-1和RIP-2两个版本，RIP-1 不支持变长子网掩码(VLSM)，RIP-2 支持变长子网掩码(VLSM)，同时RIP-2支持明文认证和 MD5 密文认证。RIP-1使用广播发送报文，RIP-2有两种传送方式：广播方式和组播方式，缺省将采用组播发送报文，RIP-2的组播地址为224.0.0.9。组播发送报文的好处是在同一网络中那些没有运行RIP的网段可以避免接收RIP的广播报文；另外，组播发送报文还可以使运行RIP