L2、L3协议开发之以太网交换机基础

1、以太网的基础

以太网是一种能够使计算机进行相互传递信息的介质，它利用二进制位形成一个个的字节，这些字节然后组合成一帧帧的数据。帧有一个起点，我们称之为帧头；也有终点，我们称之为作帧尾。在每个帧报头中，都包含有一个目地介质访问控制地址（MAC）和一个源MAC地址，目的MAC地址就可以告诉网络设备帧是否是对它进行直接访问。如果设备发现帧的目的MAC地址与自己的MAC不匹配，设备将对不处理该帧。

1.1 MAC地址

MAC地址有48位，它可以转换成12位的十六进制数。每个地址由两部分组成，分别是供应商代码和序列号。供应商代码代表NIC（网络接口卡）制造商的名称，它占用MAC的前六位12进制数字，即24位二进制数字。序列号由供应商管理，它占用剩余的6位地址，或最后的24位二进制数字。从实际使用的角度看，以太网的MAC地址可以分为三类，分别是单播地址、多播地址、广播地
址：

• 单播地址：第一字节最低位为0，00e0.fc00.0006。用于网段中两个特定设备之间的通信，可以作为以太网帧的源和目的MAC地址；
• 多播地址：第一字节最低位为1，01e0.fc00.0006。用于网段中一个设备和其他多个设备通信，只能作为以太网帧的目的MAC；
• 广播地址：48位全1，ffff.ffff.ffff。用于网段中一个设备和其他所有设备通信，只能作为以太网帧的目的MAC。

1.2以太网帧格式

1.2.1 以太网Ⅱ

帧头的作用是标识封装在帧中的第3层信息包的类型。以太网Ⅱ使用类型字段，其长度为2个字节。这种帧格式是目前最常用的以太网帧格式。

1.2.2 带有802.2逻辑链路控制的IEEE 802.3

IEEE 802.3的以太网帧报头和以太网Ⅱ的帧报头非常相似，不过其类型字段的长度有所变化，它增加了一个称作逻辑链路控制（LLC）的字段。LLC用来识别信息包中使用的第3层协议。LLC报头或IEEE报头都包含DSAP（destination service access point，目的服务访问点）、SSAP（source service access point，源服务访问点）和控制字段。DSAP和SSAP合并后就可标识第3层协议的类型。

1.2.3 IEEE 802.3子网访问协议（以太网SNAP）

这种帧格式称为以太网子网访问协议，有时候也称为以太网SNAP。这种格式的帧报头以“AA”取代DSAP和SSAP。在DSAP和SSAP字段中出现“AA”时，帧是一个以太网SNAP帧。这时，第3层协议将在OUI（Organizational unique identifier，组织唯一标识）字段后的类型字段中表示。QUI是一个6位的十六进制数，它可以唯一地标识一个组织。IEEE对QUI进行赋值。

1.2.4 Novell以太网

Novell以太网帧类型只适用于IPX通信。Novell以前没有考虑IPX将附属于其他第3层协议。所以，也就没有必要用字段来识别第3层协议。如果你运行的是Novell网络，就可以使用IPX。Novell以太网帧格式以一个长度字段来取代类型字段，与前面的IEEE的做法一样。不过长字段后没有LLC字段。

1.3 CSMA/CD

以太网使用CSMA/CD（Carrier Sense Multiple Access with Collision Detection，带有冲突监测的载波侦听多址访问）。在CSMA/CD方式下，在一个时间段，只有一个节点能够在导线上传送数据。如果其他节点想传送数据，必须等到正在传输的节点的数据传送结束后才能开始传输数据。以太网之所以称作共享介质就是因为节点共享同一根导线这一事实。

2、二层交换机原理

2.1 二层交换机

交换机接收到一个以太网帧后，然后根据该帧的目的MAC，把报文从正确的端口转发出去，该过程称为二层交换，对应的设备称为二层交换机。在二层交换机之前用于二层交换机的设备是透明网桥，它和二层交换机的最大区别就是：透明网桥只有两个端口，而交换机的端口数目远远超过两个。
目前交换机都采用硬件转发，对于二层交换机来说，需要维护一张二层转发表L2FDB（Layer 2 forwarding database），表项的主要内容是MAC地址和交换机端口的对应关系。
交换机从端口1接收到一个以太网帧，其转发流程如下：

• 根据帧的目的MAC查MAC转发表(即L2FDB)，查找相应的出端口。根据现有L2FDB表，报文应该从端口2发送出去；
• 如果在L2FDB表中查找不到该目的MAC，则该报文将通过广播的方式向交换机所有端口转发；
• 同时该以太网帧的源MAC将被学习到接收到报文的端口上，即端口1；
• L2FDB表中MAC地址通过老化机制来更新；
• 在转发的过程中，不会对帧的内容进行修改。

2.2 支持VLAN的二层交换机

为什么要引入vlan? 路由器基于第3层报头、目标IP寻址作出转发决定，不能对广播进行转发。所以通过路由器可以限制广播的转发，形成更多的广播域或逻辑网段。虽然，路由器能达到限制以太网广播域的作用，但其有一定的限制：

• 路由器成本较高；
• 路由器端口数目较少；

2.2.1 VLAN的概念

VLAN-Virtual Local Area Network，称为虚拟局域网，是将一组位于不同物理网段上的工作站和服务器从逻辑上划分成不同的逻辑网段，可以提供一定范围内终端系统的互联和传输。
VLAN优点：

• 限制了网络中的广播：支持VLAN的LAN交换机可以有效地用于控制广播流量，广播流量仅仅在VLAN内被复制。
• 虚拟工作组：使用VLAN的另一个目的就是建立虚拟工作站模型。当企业级的VLAN建成之后，某一部门或分支机构的职员可以在虚拟工作组模式下共享同一个“局域网”。
• 安全性：配置了VLAN后，一个VLAN的数据包不会发送到另一个VLAN，确保了该VLAN的信息不会被其他VLAN的人窃听，从而实现了信息的保密。
• 减少移动和改变的代价：当一个用户从一个位置移动到另一个位置是，他的网络属性不需要重新配置，而是动态的完成。

2.2.2 VLAN的标准

802.1Q的VLAN帧格式就是在原来以太网帧的源MAC地址之后加入了4个字节的VLAN TAG Header。其中，前两个字节Etype为固定值0x8100；后两个字节为802.1p/Q Label，即802.1P优先级和VLAN ID的定义。802.1P优先级为高3位，即优先级0-7；VLAN ID为后12位，即ID的范围为0-4095。

2.2.3 数据帧处理规则

为了快速高效处理，交换机内部的数据帧一律都带有VLAN标签，以统一方式处理。由VLAN构建的二层交换网络中，存在三种类型的链路：

• Access链路：access类型的端口只能属于1个VLAN，从access口出来的数据帧不带VLAN标签，一般用于连接计算机。
• Trunk链路：trunk类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的数据帧，一般用于交换机之间级联。
• Hybrid 链路：hybrid端口同时兼有access口和trunk口的特点。可以根据需要，设置某些VLAN帧从hybrid口出去时带VLAN标签，某些VLAN帧不带VLAN标签。

在VLAN技术中，PVID（端口缺省VLAN ID）是端口的一个重要概念，PVID的作用是：当一个数据帧进入交换机端口时，如果没有带VLAN标签，且该端口上配置了PVID，那么，该数据帧就会被打上端口的PVID。如果进入的帧已经带有VLAN标签，那么交换机不会再增加VLAN标签，即使端口已经配置了PVID。

2.2.3.1 交换机端口接收数据帧的处理规则

Access端口：
（1）收到一个二层帧
（2）判断是否有VLAN标签：没有则转到第3步，有则转到第4步
（3）打上端口的PVID，并进行交换转发
（4）若VLAN标签和PVID一致，转发VLAN帧；否则丢弃
trunk端口：
（1）收到一个二层帧
（2）判断是否有VLAN标签：没有则转到第3步，有则转到第4步
（3）打上端口的PVID，并进行交换转发
（4）判断该trunk端口是否允许该VLAN帧进入：允许则转发，否则丢弃
trunk口允许或不允许VLAN帧，是对进入的帧而言的，对出去的帧没有限制

trunk口和hybrid口对接收到的数据帧的处理规则是一样的。

2.2.3.2 交换机端口转发数据帧的处理规则

Access端口：
（1）将二层帧的VLAN标签剥离，直接发送出去
trunk端口：
（1）比较端口的PVID和将要发送二层帧的VLAN标签
（2）如果两者相等则转到第3步，否则转到第4步
（3）剥离VLAN标签，再发送
（4）直接发送
hybrid端口：
（1）判断VLAN在本端口的属性。用“dis interface”可看到该端口对哪些VLAN是untag，哪些VLAN是tag
（2）如果是untag则转到第3步，如果是tag则转到第4步
（3）剥离VLAN标签，再发送
（4）直接发送
说明：

• Hybrid口中允许的VLAN分为untag和tag两类，untag和tag是对出去的帧而言的，对进入的帧没有限制
• 例如：“Untagged VLAN ID : 2,3”表示VLAN 2和VLAN 3的帧，从本hybrid口发送出去时，将被剥离VLAN标签
• 例如：“tagged VLAN ID : 4,5”表示VLAN 4和VLAN 5的帧，从本hybrid口发送出去时，直接发送，不剥离VLAN标签

2.2.3.3 交换机转发二层帧的一个浅显的比喻

• 旅客进入候机室
  我们把交换机比作机场的候机室，所有不同航班的旅客（相当于不同VLAN的数据帧）都通过候机室进行“转发”。旅客可能会从四面八方、从不同的“入口”进入候机室，“入口”会有所不同（相当于端口有access、trunk和hybrid类型）。
  不同的旅客，手里拿的机票会不一样（相当于打了不同VLAN标签的数据帧）。候机室的有些入口，如access入口，是有检票功能的。当旅客手里拿有机票进入时，会检查机票和本access入口通往的航班（相当于缺省PVID）是否一致。一致则让旅客进入；不一致，则拒绝旅客进入（直接丢弃）。就像到海南的机票，却在北京入口处检票一样，当然不让旅客进入了。如果旅客没有机票，则access入口会让他买本航班的机票（打上本端口的PVID）。
  如果候机室的入口是trunk入口，也就是说这个入口是公共的入口，那么，持不同航班机票（相当于不同VLAN标签）的旅客可以带着机票进入。当然，如果trunk入口限制某些航班不在此入口进入，则会把这些航班的旅客拦住的（直接丢弃）。同时，如果旅客没有机票，入口处会让你买票的（打上端口的PVID）。
  如果候机室的入口是hybrid类型的，其情形和trunk类型时是一样的。
• 旅客走出候机室
  现在，我们已经知道，在候机室（交换机）内部，所有旅客都是带有机票的了（交换机内部的所有数据帧都带有VLAN标签，以方便统一处理）。在候机室内部，旅客们怎么知道各自该往哪里走呢？
  旅客们抬头一看，发现了一块巨大的电子公告牌，上面显示着某某航班从哪个出口登机，登机时间是什么，等等（这个电子公告牌对应的是交换机内部的MAC表。MAC表指明了目的MAC地址和到达此目的MAC地址的出口的对应关系）。所以，旅客们就知道各自要怎么找到出口了。
  如果出口是access出口，那么，出口通往的就是飞机了（对应地，access口一般接的是计算机），access出口会把旅客的机票收下来（剥掉VLAN标签），把旅客送到飞机上（对应地，是access出口剥去VLAN标签，把VLAN帧变成标准的以太网帧，发送给计算机）。
  如果出口是trunk出口，那么，这个trunk出口连接的是另外一个候机室。如果旅客的机票与trunk出口的PVID一致，他就知道：从这个trunk出口出去后，就可以找到飞机了，所以，trunk出口会把旅客的机票没收下来（剥掉VLAN标签），旅客也就可以放心地出去了。如果机票与PVID不一致，他就知道，我的航班不在本trunk出口，是在后面出口检票，所以trunk出口会让旅客带着机票出去（相当于把VLAN帧透传出去）。
  如果出口是hybrid口，它兼有access出口和trunk出口的特点，即某些航班的旅客可以在hybrid出口处检票后登机，某些航班的旅客可以带着机票走向另外的入口。当hybrid出口设置了对某些航班进行检票（untagged）时，它就相当于access出口的功能，收下旅客的机票（剥离VLAN标签），再把旅客送出去。当hybrid出口设置了对某些航班不进行检票（tagged）时，旅客们可以带着机票走出去，这时候hybrid出口又相当trunk出口。

3、三层交换机原理

3.1 三层交换机的提出

三层交换技术和交换机的提出主要基于以下原因：

• 二层交换技术极大的提升了以太网的性能，但仍然不能完全满足局域网的需要；
• 为了将广播和本地流量限制在一定的范围内，交换式以太网采取划分逻辑子网（VLAN）的方式；
• VLAN间的互通传统上需要由路由器来完成，但路由器配置复杂，造价昂贵，而且转发速度容易成为网络的瓶颈；
• 新20/80规则的兴起，80%的流量需要跨越VLAN，路由器不堪重负；

3.2 三层交换机基本特征

三层交换机与传统路由器具有相同的功能：

• 根据IP地址进行选路
• 进行三层的校验和
• 使用生存时间（TTL）
• 对路由表进行更新和维护

二者最大的区别在于三层交换采用ASIC硬件进行包转发，而传统路由器采用CPU进行包转发。所以，相比于传统路由器三层交换具有以下优点：

• 基于硬件的包转发，转发效率高
• 低时延
• 低花费

3.3 三层交换机的功能模型

一般来说，三层交换机的功能分别通过二层VLAN转发引擎和三层转发引擎两个部分来实现：二层VLAN引擎与支持VLAN的二层交换机的二层转发引擎是相同的，是用硬件支持多个VLAN的二层转发；三层转发引擎使用硬件ASIC技术实现高速的IP转发。三层交换机对应到IP网络模型中，每个VLAN对应一个IP网段，三层交换机中的三层转发引擎在各个网段（VLAN）间转发报文，实现VLAN之间的互通，因此三层交换机的路由功能通常叫做VLAN间路由（Inter-VLAN Routing）
对应于二层交换引擎，三层交换机的如下图所示：

在二层上，VLAN之间是隔离的，VLAN内主机可以互通，这一点跟二层交换机中的交换引擎的功能一模一样。一般来说，三层交换机的每个VLAN对应一个网段，不同的IP网段之间的访问要跨越VLAN，要使用三层交换引擎提供的VLAN间路由功能（相当于路由器）。 在使用二层交换机和路由器的组网中，每个需要与其它IP网段（VLAN）通信的IP网段（VLAN）都需要使用一个路由器接口做网关。三层交换机的应用也同样符合IP的组网模型，三层转发引擎就相当于传统组网中的路由器的功能，当需要与其他VLAN通信的时候也要为之在三层交换引擎上分配一个路由接口，用来做VLAN内主机的网关。三层交换机上的这个路由接口是通过配置转发芯片来实现的，与路由器的接口不同，这个接口不是直观可见的。给VLAN指定路由接口的操作，实际上就是为VLAN指定一个IP地址、子网掩码和MAC地址，MAC地址是由设备制造过程中分配的，在配置过程中由交换机自动配置。

3.4 三层交换机转发流程

3.4.1 IP网络规则

每个网络主机、工作站或者服务器都有自己的IP地址和子网掩码。当主机与服务器进行通信的时候，根据自身的IP地址和子网掩码、以及服务器的IP地址，来确定服务器是否和自己处于相同的网段：

1. 如果判定在相同网段内，则直接通过地址解析协议（ARP）查找对方的MAC地址，然后把对方的MAC地址填入以太网帧头的目的MAC地址域，将报文发送出去，通过二层交换实现通信；
2. 如果判定在不同的网段内，则主机就会自动借助网关来进行通信。主机首先通过ARP来查找设定的网关的MAC地址，然后把网关的MAC地址（而不是对方主机的MAC地址，因为主机认为通信对端不是本地主机）填入以太网帧头的目的MAC地址域，将报文发送给网关，通过三层路由实现通信。

3.4.2 三层转发流程

对于网络设备而言（如三层交换机），接收到一个报文后选择二层转发还是三层转发，判断的依据主要是：报文的目的MAC地址。如果该目的MAC地址和设备内某个VLAN指定的路由接口MAC地址相同，则进行三层转发，否则在VLAN内部进行二层转发。当然，严格地说，设备对报文的目的IP也需要进行判断，因为报文有可能是直接发送给该VLAN接口的。
下面我们来具体看一下三层交换机的转发流程，以下图为例。

交换机上划分了两个VLAN，在VLAN 1、VLAN 2上配置了路由接口用来实现VLAN 1 和VLAN 2之间的互通。A、B的网关是VLAN 1虚接口地址，C的网关是VLAN 2虚接口地址。
二层交换过程（以A向B发起ping请求为例）：

1. A检查报文的目的IP地址，发现和自己在同一个网段；
2. A---->B ARP请求报文，该报文在VLAN 1内广播；
3. B---->A ARP回应报文；
4. A---->B ICMP request;
5. B---->A ICMP reply。

三层转发过程（以A向C发起ping请求为例）：

1. A检查要通信C的目的IP地址，发现和自己不在同一个网段，因此要借助于A的网关来和C通信；
2. A向交换机的VLAN 1虚接口发送ARP请求报文，请求A的网关MAC地址（即VLAN1该报文在VLAN1 内广播；
3. 网关向A回应ARP应答报文；
4. A向交换机发送ICMP request（目的MAC是VLAN 1虚接口的MAC，源MAC是A的MAC，目的IP是C的IP，源IP是A的IP）；
5. 交换机收到报文后根据目的MAC判断出是三层的报文。检查报文的目的IP地址，发现是在自己的直连网段（VLAN 2虚接口所在网段）；
6. 交换机通过VLAN虚接口向C发送ARP请求报文，请求C的目的MAC，该报文在VLAN2 内广播； C向交换机发送ARP回应报文；
7. 交换机通过VLAN 2虚接口向C转发ICMP request （目的MAC是C的MAC，源MAC是VLAN2虚接口的MAC，目的IP是C的IP，源IP是A的IP）报文。同步骤4相比，报文的MAC头进行了重新的封装，而IP层以上的字段基本上不变；
8. C向A回应ICMP reply，这以后的处理同icmp request的前面过程基本相同。

需要说明的是，以上的各步处理中，如果ARP表中已经有了相应的表项，则不会给对方发ARP请求报文

3.4.3 选路过程

实际上，三层交换机在接收到一个报文后，在需要进行三层转发时，其选路和转发的过程还是比较复杂的，在后续章节会讲到。