网络安全之交换技术篇

阿kan阚

已于 2022-12-01 09:30:42 修改

阅读量1.5k

点赞数

分类专栏：网络安全文章标签：安全

于 2022-06-06 10:35:48 首次发布

本文链接：https://blog.csdn.net/belife9999/article/details/125142322

版权

本文详细介绍了交换技术的基础知识，包括局域网基础、VLAN、Trunk、VTP技术及其在防环中的应用。同时，探讨了STP协议的选举机制、链路收敛以及增强特性，强调了交换在网络中的安全角色，如端口安全。通过对单臂路由、三层交换和DHCP的阐述，展示了交换在通信中的作用。

摘要由CSDN通过智能技术生成

交换基础

不用设置静态路由，有交换机，设置好地址之后，直接可以ping通

局域网基础

单播、组播、广播

单工、半双工、全双工

冲突域、广播域

我发一个包大家都能接收到，我们就在一个广播域里，我发一个包大家都不能收到，就在冲突域里
冲突域现在很少讨论，以前主要在hub里，第一代互联网的产品，没有大脑，是一种物理产品，看不懂包里的IP等，工作原理，任意一个机器丢一个包出来，它会往所有的包都丢去
冲突域环境中，不管设备发送任意类型的数据，都会收到
中继器和集线器链接的网络，都属于同一个冲突域
冲突域，100m的网络，算上大家冲突占用的带宽，实际利用率只有20%~30%，利用率非常低。有一个特殊的场景使用，抓包

广播域

一个设备发送一个包，其他的设备都能收到
广播域环境下，只有出现广播数据，其他设备才都会接收到此数据
交换机相连的网络处于同一广播域，但是，不同的接口处在不同的冲突域

广播包只能在这个网络这个网段内

路由器相连的网络处在不同的广播域，不同接口在不同广播域

CSMA/CD

局域网设备

局域网标准

链路标准

IEEE802.3：标准以太网 10M
IEEE802.3u：快速以太网100M
IEEE802.3z：吉比特以太网1000M

物理标准

（base 基带 10 100··通信的·· tx 双绞线 f光纤）
10baseT
100baseT
100baseTX
1000baseFX

帧标准

PDU:协议数据单元，每一层对数据的叫法不同
应用层：DATA数据
传输层：Segment数据段
网络层：Packet 数据包
链路层：Frame数据帧
物理层：Bit比特

Ethernet II格式
IEE802.2/3格式：MAC和LLC子层

## 交换机原理 ### 基本功能帧转发（转发数据）地址学习（建立MAC表）环路防止（基于STP协议）

转发原则

1、基于MAC地址学习，基于目标MAC地址转发
2、同一地址可以学习到多个MAC地址
3、同一个MAC地址从多个接口学习到，并且选择后学习到的接口（后到优先）
4、收到未知/广播/组播帧，向本VLAN的其他所有接口转发
5、一旦地址表满，就会从本VLAN其他接口泛洪新收到的帧，直到现存地址条目老化为止

泛洪的意思是交换机接收到的mac地址已经满了，mac地址表已经放不下了，这时候一个新的pc发送数据包过来，新mac地址接收不了，交换机就将数据包转给本vlan其他所有接口

转发方式

直通转发
cut-through
定义：交换机检测到目标地址（前14字节）后即转发帧
特征：延迟小、无错误校验

每次转发的时候只看头部

存储转发
store and forward
定义：完整地收到帧并检查无错后才转发
特征：延迟大、有CRC校验

片段转发
fragment free
定义：交换机检测到帧的前64字节后即转发
特征：延迟小、有最小帧大小校验

VLAN技术

1、背景/概述
Virtual Lan,虚拟局域网，可以用于实现广播域隔离并且实现局域网内部安全互访

2、原理
（1）、范围 0~4095 VXLAN ，拓展vlan技术，属于云计算网络里的概念，像阿里云
0,4095–保留，仅限系统使用，用户不能查看和使用这些vlan 头部和尾部基本不用
1~正常，cisco默认vlan，用户能够使用该vlan，但是无法删除
2~1001，正常，用于以太网的vlan，用户可以随意创建，使用和删除这些vlan
1002 ~ 1005，正常，用于FDDI和令牌环的Cisco默认vlan，用户不能删除vlan1002~1005
1005~ 1024，保留，仅限系统使用，用户不能查看和使用这些vlan
1025~4094，拓展vlan，仅用于以太网vlan

常看vlan的语句：

show mac-address-table 
show vlan-switch brief

（2）分类
数据VLAN：最常规的VLAN，连接主机
管理VLAN：用于管理员对交换机进行管理
语音VLAN：用于连接语音电话把vlan插在电话上，通过网线设置电话网，连到交换机
私有VLAN：用于实现进一步的安全隔离
本征VLAN：自然VLAN，用于实现标签优化
我们经常使用的vlan是数据vlan，默认的vlan1一般是管理vlan

3、部署
查看VLAN
SW1#show vlan-switch brief //查看交换机本地VLAN信息
（默认交换机有1，1002~1005几个vlan，所有接口默认处于VLAN1）

创建VLAN
SW1#vlan database //进入VLAN数据库
SW1(vlan)#vlan 10 name XZ //创建vlan并给名字
SW1(vlan)#vlan 20 name sj
SW1(vlan)#exit //保存并退出