系统架构师笔记——计算机网络

本章要求考生掌握以下知识点： （1）信息系统综合知识：包括数据通信的基础知识、开放系统互连参考模型、常用的协议标 准、网络互连与常用网络设备、计算机网络的分类与应用、网络管理。 （2）系统架构设计案例分析：包括网络应用系统的设计。         计算机网络是计算机技术与数据通信技术的产物，要想深入地了解网络通信的工作原理，就必 须对信道特性、数据调制与编码技术等相关知识有深入的了解。

1.信道

信道的最高码元传输速率         任何实际信道都不是理想的，传输信号时会产生各种失真以及带来多种干扰。码元传输的速率越高，或信号传输的距离越远，在信道的输出端的波形失真就越严重。根据奈（Nyquist）准则（奈奎斯特定理），理想码元传输速率N=2W（Baud），其中W是理想低通信道的带宽，单位为赫兹（Hz），Baud是波特，是码元传输速率的单位，1波特为每秒传送1个码元。         实际信道能传输的最高码元速率，要低于奈氏准则的上限数值。波特（Baud）和比特（bit）是两个不同的概念。波特是码元传输的速率单位（每秒传输多少个码元）。码元传输速率也称为调制速率、波形速率或符号速率；比特是信息量的单位。比特速率为单位时间内传送数据量的多少，也称为数据传输速率。         信息的传输速率bps（比特/秒）与码元的传输速率Baud在数量上有一定的关系。若1个码元只携带1bit的信息量，则bps和Baud在数值上相等。 若1个码元携带n bit的信息量，则N Baud的码元传输速率所对应的信息传输速率为（N×n）bps。 信道的极限信息传输速率         香农（Shannon）用信息论的理论推导出了带宽受限且有高斯白噪声干扰的信道的极限、无差错的信息传输速率。信道的极限信息传输速率C可表达为：C = W log2 (1+S/N) bps 其中W为信道带宽（以Hz为单位），S为信道内所传信号的平均功率，N为信道内部的高斯噪声功率。         香农公式表明：信道的带宽或信道中的信噪比越大，则信息的极限传输速率就越高。若信道带宽W或信噪比S/N没有上限，则信道的极限信息传输速率C也就没有上限。实际信道上能够达到的信息传输速率要比香农的极限传输速率低不少。 码元与调制技术 码元是一个数据信号的基本单位，码元有多少个不同种类取决于其使用的调制技术。

2.数据调制与编码

        人类在社会活动中需要不断地交往和传递信息。传递信息的过程就叫做通信。通过通信媒体发送信息之前，信息必须被编码形成信号。将数据由一地传送到另一地时，必须将其转换为信号。 模拟通道传送模拟数据         模拟数据通过模拟通道传送的调制方式主要有调幅（Amplitude Modulation，AM）、调频 （Frequency Modulation，FM）和调相（Phase Modulation，PM）几种方式。         调幅技术最常见的应用是收音机，调幅是载波频率固定，载波的振幅随着原始数据的幅度变化而变化；调频和调相都属于调度调制。调频即载波的频率随着基带数字信号而变化，调相即载波的初始相位随着基带数字信号而变化。 数字通道传送模拟数据 模拟数据必须转变为数字信号，才能在数字通道上传送，这个过程称为“数字化”。脉码调制是模拟数据数字化方法，PCM要经采样、量化、编码三个步骤。  （1）要据奈奎斯特采样定理，取样速率大于模拟信号的最高频率的2倍。例如人耳能识别的最高频率为22KHz，因此，采样率一般必须达到44KHz。 （2）量化是将样本的连续值转换成离散值，采用的方法类似于求圆周长时用内切正多边形的方法。而我们平时提到的8位、16位的声音，指的就是28 、2 16 位量化。 （3）编码就是将量化后的样本值变成相应的二进制代码。 模拟通道传送数字数据         计算机拨号上网，电话网络传送的是模拟数据，而计算机只能收发数字数据，这就涉及到模拟信道传送数字信号的变换问题。也就是一个数据调制与解调的问题。数字数据调制为模拟信号，选取某一频率的正弦信号作为载波用以运载所要传送的数字数据。用待传送的数字数据改变载波的幅值、频率、或相位，到达目的地后进行分离。而在接收端则通过解调以还原信号。 数字通道传送数字数据         在数据通信中，编码的作用是用信号来表示数字信息。例如单极性编码、极化编码、双极性编码等。 （1）非归零编码（Non-Return Zero，NRZ）：归零指的是编码信号量是否回归到零电平。非归零编码的码元信号的电压位或正或负（当“1”出现时电平翻转，“0”出现时电平不翻转）。 与采用线路空闲态代表0比特的单极性编码法不同，在非归零编码系统中，如果线路空闲意味着没有任何信号正在传输中。        非归零编码又可以分为非归零电平编码（No Return Zero-Level，NRZ-L）和非归零反相编码（None Return Zero-Inverse，NRZ-I）。在NRZ-L编码方式中，信号的电平是根据它所代表的比特位决定的。一个正电压值代表比特0，一个负电压代表比特1（或相反）。在NRZ-L中，当数据流中存在一连串1或0时，也会出现与单极性编码中同样的同步问题。         在NRZ-I编码方式中，信号电平的一次反转代表比特1。就是说是从正电平到负电平的一次跃迁（而不是电压值本身）来代表一个比特1。0比特由没有电平变化的信号代表。NRZ-I相对NRZ-L的优点在于：因为每次遇到比特1都发生电平跃迁，这能提供一种同步机制。 （2）归零编码（Return Zero，RZ）：码元中间的信号回归到0电平（正电平到零电平的转换表示码元0，负电平到零电平的转换表示码元1）。（3）双相位编码：现在对同步问题最好的解决方案就是双相位编码。通过不同方向的电平翻转（低到高代表0，高到低代表1），这样不仅可以提高抗干扰性，还可以实现自同步。双相位编码有 两种方法，第一种是曼彻斯特编码，主要用在以太局域网中；第二种是差分曼彻斯特编码，主要用 在令牌环局域网中。         曼彻斯特编码用低到高的电平转换表示0，用高到低的电平转换表示1。差分曼彻斯特编码是在曼彻斯特编码的基础上加上了翻转特性，遇0翻转，遇1不变，常用于令牌环网。一个知识点是：使用曼彻斯特编码和差分曼彻斯特编码时，每传输1bit的信息，就要求线路上有2次电平状态变化（2 Baud），因此要实现100Mbps的传输速率，需要有200MHz的带宽，编码效率只有50%。 （4）mBnX编码：正是因为曼彻斯特编码的编码效率不高，所以在带宽资源宝贵的广域网与高速局域网中，显得不能得到有效利用。mBnX编码是将m比特位编码成n位波特（代码位）的编码。

3.网络架构

        在网络架构方面，主要考查开放系统互连参考模型、网络地址与网络协议、子网掩码、网络分类、802.3系列协议、虚拟局域网，以及计算机网络系统平台的划分等。 网络的分类         不同传输距离的网络可以分为局域网、城域网和广域网三种。局域网的相关技术是由处理近距离传输设计和发展而来的，而广域网的相关技术是由处理远距离传输设计和发展而来的，城域网则是为一个城市网络设计的相关技术。 局域网         局域网（Local Area Network，LAN）是在传输距离较短的前提下所发展的相关技术的集合， 用于将小区域内的各种计算机设备和通信设备互联在一起组成资源共享的通信网络。在局域网中常 见的传输媒介有双绞线、细/粗同轴电缆、微波、射频信号和红外线等。其主要特点如下： （1）距离短：0.1km～25km，可以是一个建筑物内、一个校园内或办公室内。 （2）速度快：4Mbps～1Gbps，从早期的4Mbps、10Mbps及100Mbps发展到现在的1000Mbps（1Gbps），而且还在不断向前发展。 （3）高可靠性：由于距离很近，传输相当可靠，有极低的误码率。 （4）成本较低：由于覆盖地域较小，传输媒介、网络设备的价格都相对较便宜，管理也较简单。         根据技术的不同，局域网有以太网（Ethernet）、令牌环网络（Token Ring）、Apple Talk网 络和ArcNet网络等几种类型。几乎所有的局域网都是基于以太网实现的。随着应用需求的不断提高，也对局域网技术提出了新的挑战，出现了一批像FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）一样的技术。 广域网         广域网（Wide Area Network，WAN）是在传输距离较长的前提下所发展的相关技术的集 合，用于将大区域范围内的各种计算机设备和通信设备互联在一起组成一个资源共享的通信网络。 其主要特点如下： （1）长距离：跨越城市，甚至联通全球进行远距离连接。 （2）低速率：这是与局域网的速度相比而言的，一般情况下，广域网的传输速率是以Kbps为单位的。现在也出现了许多像ISDN（Integrated Services Digital Network，综合业务数字网）和ADSL（Asymmetric Digital Subscriber Line，非对称数字用户线路）这样的高速广域网，其传输速率也能达到Mbps，当然费用也大大地提高了。 （3）高成本：相对于城域网和局域网来说，广域网的架设成本是很昂贵的，当然它所带来的经济效益也是极大的。         WAN由通信子网与资源子网两部分组成，通信子网通常由通信节点和通信链路组成。通信节点往往就是一台计算机，它一方面提供通信子网与资源子网的接口，另一方面对其他节点而言又是—个存储转发节点。作为网络接口节点，它能提供信息的接口，并对传输及网络信息进行控制。通信子网中，软件必须遵循网络协议，实现对链路及节点存储器的管理，还必须提供与主处理器、终端集中器进行信息交换的接口。资源子系统是指连在网上的各种计算机、终端和数据库等。这不仅指硬件，也包括软件和数据资源。通信子网主要使用分组交换技术，根据网络通信原理，局域网与广域网的互联一般是通过第三层设备路由器实现的。 城域网         城域网（Metropolitan Area Network，MAN）的覆盖范围介于局域网和广域网之间，城域网的主要技术是DQDB（Distributed Queue Dual Bus，分布式队列双总线），即IEEE 802.6。DQDB是由双总线构成的，所有的计算机都连接在上面。所谓宽带城域网，就是在城市范围内，以IP（Internet Protocol，网际协议）和ATM（Asynchronous Transfer Mode，异步传输模式）电信技术为基础，以光纤作为传输媒介，集数 据、语音和视频服务于一体的高带宽、多功能及多业务接入的多媒体通信网络

4.网络互连模型

        在网络互连方面，国际上通用的模型是开放系统互连参考模型（Open System  Interconnection/Reference Model，OSI/RM），该模型最初用来作为开发网络通信协议族的一个工业参考标准，是各个层上使用的协议国际化标准。严格遵守OSI/RM模型，不同的网络技术之间可以轻而易举地实现互操作。整个OSI/RM模型共分7层，从下往上分别是物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。 1．物理层         物理层的所有协议规定了不同种类的传输设备、传输媒介如何将数字信号从一端传送到另一端，而不管传送的是什么数据。它是完全面向硬件的，通过一系列协议定义了通信设备的机械、电气、功能和规程特征。 （1）机械特征：规定线缆与网络接口卡的连接头的形状、几何尺寸、引脚线数、引线排列方式和锁定装置等一系列外形特征。 （2）电气特征：规定了在传输过程中多少伏特的电压代表1，多少伏特代表0。 （3）功能特征：规定了连接双方每个连接线的作用，即哪些是用于传输数据的数据线，哪些是用于传输控制信息的控制线，哪些是用于协调通信的定时线，哪些是用于接地的地线。 （4）过程特征：具体规定了通信双方的通信步骤。 2．数据链路层         数据链路层在物理层已能将信号发送到通信链路中的基础上，负责建立一条可靠的数据传输通道，完成相邻结点之间有效地传送数据的任务。正在通信的两个站点在某一特定时刻，一个发送数据，一个接收数据。数据链路层通过一系列协议实现以下功能。 （1）封装成帧：把数据组成一定大小的数据块（帧），然后以帧为单位发送、接收和校验数据。 （2）流量控制：根据接收站的接收情况，发送数据的一方实时地进行传输速率控制，以免出现发送数据过快，接收方来不及处理而丢失数据的情况。 （3）差错控制：当接收到数据帧后，接收数据的一方对其进行检验，如果发现错误，则通知发送方重传。 （4）传输管理：在发送端与接收端通过某种特定形式的对话来建立、维护和终止一批数据的传输过程，以此对数据链路进行管理。         就发送端而言，数据链路层将来自上层的数据按一定规则转化为比特流送到物理层进行处理；就接收端而言，它通过数据链路层将来自物理层的比特流合并成完整的数据帧供上层使用。        最典型的数据链路层协议是IEEE（Institute of Electrical and Electronics Engineers ，美国电气和电子工程师协会）开发的802系列规范，在该系列规范中将数据链路层分成了两个子层：逻辑链路控制层（Logic Link Control，LLC）和介质访问控制层（Media Access Control，MAC）。LLC层负责建立和维护两台通信设备之间的逻辑通信链路；MAC层控制多个信息通道复用一个物理介质。MAC层提供对网卡的共享访问与网卡的直接通信。网卡在出厂前会被分配给唯一的由12位十六进制数表示的MAC地址（物理地址），MAC地址可提供给LLC层来建立同一个局域网中两台设备之间的逻辑链路。 IEEE802规范目前主要包括以下内容。 （1）802.1：802协议概论，其中802.1A规定了局域网体系结构，802.1B规定了寻址、网络互连与网络管理。 （2）802.2：LLC协议。 （3）802.3：以太网的CSMA/CD（Carrier Sense Multiple Access/Collision Detect，载波监听多路访问/冲突检测）协议，其中802.3i规定了10Base-T访问控制方法与物理层规范，802.3u规定了100Base-T访问控制方法与物理层规范，802.3ab-规定了1000Base-T访问控制方法与物理层规范，802.3z规定了1000Base-SX和1000Base-LX访问控制方法与物理层规范。 （4）802.4：令牌总线（Token Bus）访问控制方法与物理层规范。 （5）802.5：令牌环访问控制方法。 （6）802.6：城域网访问控制方法与物理层规范。 （7）802.7：宽带局域网访问控制方法与物理层规范。 （8）802.8：FDDI访问控制方法与物理层规范。 （9）802.9：局域网上的语音/数据集成规范。 （10）802.10：局域网安全互操作标准。 （11）802.11：无线局域网（Wireless Local Area Network ，WLAN）标准协议。 （12）802.12：100VG-Any局域网访问控制方法与物理层规范  （13）802.14：协调混合光纤同轴网络的前端和用户站点间数据通信的协议。  （14）802.15：无线个人网技术标准，其代表技术是蓝牙。 （15）802.16：无线MAN空中接口规范。 3．网络层         网络层用于从发送端向接收端传送分组，负责确保信息到达预定的目标。其存在的主要目的是解决以下问题： （1）通信双方并不相邻。在计算机网络中，通信双方可能是相互邻接的，但也可能并不是邻接的。当一个数据分组从发送端发送到接收端时，就可能要经过多个其他网络结点，这些结点暂时存储“路过”的数据分组，再根据网络的“交通状况”选择下一个结点将数据分组发出去，直到发送到接收方为止。 （2）由于OSI/RM模型出现在许多网络协议之后，因此，为了与使用这些已经存在的网络协议的计算机进行互联，就需要解决异构网络的互联问题。 4．传输层         传输层实现发送端和接收端的端到端的数据分组传送，负责保证实现数据包无差错、按顺序、无丢失和无冗余地传输。在传输层上，所执行的任务包括检错和纠错。它的出现是为了更加有效地利用网络层所提供的服务。它的作用主要体现在以下两方面： （1）将一个较长的数据分成几个小数据包发送。在网络中实际传递的每个数据帧都是有一定大小限制的。假设如果要传送一个字串“123456789”，它太长了，网络服务程序一次只能传送一个数字（当然在实际中不可能这么小，这里仅是为了方便讲解所做的假设），因此网络就需要将其分成9次来传递。就发送端而言，当然是从1传到9的，但是由于每个数据分组传输的路径不会完全相同 （因为它是要根据当时的网络“交通状况”而选择路径的），先传送出去的包，不一定会先被收 到，因此接收端所收到的数据的排列顺序是与发送的顺序不同的。而传输层的协议就给每一个数据组加入排列组合的记号，以便接收端能根据这些记号将它们重组成原来的顺序。 （2）解决通信双方不只有一个数据连接的问题。这个问题从字面上可能不容易理解，来看一个例子，比如用一台电脑与另一台电脑连接复制数据的同时，又通过一些交谈程序进行对话。这个时 候，复制的数据与对话的内容是同时到达的，传输的协议负责将它们分开，分别传给相应的程序端 口，这也就是端到端的通信。 5．会话层         会话层主要负责管理远程用户或进程间的通信。该层提供名字查找和安全验证等服务，允许两个程序能够相互识别并建立和维护通信连接。会话层还提供数据同步和检查点功能，这样当网络失效时，会对失效后的数据进行重发。在OSI/RM模型中，会话层的规范具体包括通信控制、检查点设置、重建中断的传输链路、名字查找和安全验证服务。 6．表示层         表示层以下的各层只关心从源地到目的地可靠地传输数据，而表示层则关心的是所传送信息的语义与语法。它负责将收到的数据转换为计算机内的表示方法或特定程序的表示方法。也就是说，它负责通信协议的转换、数据的翻译、数据的加密、数据的压缩、字符的转换等工作。在OSI/RM模型中表示层的规范具体包括数据编码方式的约定和本地句法的转换。各种表示数据的格式的协议也属于表示层，例如，数据压缩和编码等。 7．应用层         应用层是直接提供服务给使用者的应用软件的层，比如电子邮件和在线交谈程序都属于应用层的范畴。应用层可实现网络中一台计算机上的应用程序与另一台计算机上的应用程序之间的通信，就像在同一台计算机上操作一样。在OSI/RM模型中应用层的规范具体包括各类应用过程的接口和用户接口。 8．模型的工作模式         当接收数据时，数据是自下而上传输的；当发送数据时，数据是自上而下传输的。在网络数据通信的过程中，每一层要完成特定的任务。当传输数据的时候，每一层接收上一层格式化后的数据，对数据进行操作，然后把它传给下一层。当接收数据的时候，每一层接收下一层传过来的数 据，对数据进行解包，然后把它传给上一层。这就实现了对等层之间的逻辑通信。OSI/RM模型并未确切描述用于各层的协议和服务，它仅仅告诉我们每一层该做些什么

5.网络协议

        主要介绍TCP（Transmission Control Protocol，传输控制协议）/IP协议族中的一些主要 协议。TCP/IP不是一个简单的协议，而是一组小的、专业化协议。TCP/IP最大的优势之一是其可路由性，这也就意味着它可以携带能被路由器解释的网络编址信息。TCP/IP还具有灵活性，可在多个网络操作系统或网络介质的联合系统中运行。然而由于它的灵活性，TCP/IP需要更多的配置。        TCP/IP协议族可被大致分为应用层、传输层、网际层和网络接口层四层，如图所示。

6.网络地址与掩码

        连接到Internet上的每台计算机都必须有一个唯一地址，称为IP地址。IP地址是一个4字节（共 32位）的数字，被分为4段，每段8位，段与段之间用句点分隔。为了便于表达和识别，IP地址以十进制形式表示（例如212.152.200.12），每段所能表示的十进制数最大不超过255。IP地址由两部分组成，即网络号和主机号。网络号标识的是Internet上的一个子网，而主机号标识的是子网中的某台主机。 IP地址的分类 IP地址可分为5类，分别是A类、B类、C类、D类和E类，大量使用的仅为A类、B类、C类。 （1）A类地址：最前面1位为0，然后用7位来标识网络号，24位标识主机号。即A类地址的第一段取值介于1～126之间。A类地址通常为大型网络而提供，全世界总共只有126个可能的A类网络，每个A类网络最多可以连接224 -2台主机（两个保留地址）。 （2）B类地址：最前面2位是10，然后用14位来标识网络号，16位标识主机号。因此，B类地址的第一段取值介于128～191之间，第一段和第二段合在一起表示网络号。B类地址适用于中等规模的网络，每个B类网络最多可以连接216 -2台主机（两个保留地址）。 （3）C类地址：最前面3位是110，然后用21位来标识网络号，8位标识主机号。因此，C类地址的第一段取值介于192～223之间，前三段合在一起表示网络号。最后一段标识网络上的主机号。C类地址适用于校园网等小型网络，每个C类网络最多可以有28 -2台主机（两个保留地址）。 （4）D类地址：最前面4位为1110，D类地址不分网络地址和主机地址，它是一个专门保留的地址。它并不指向特定的网络，目前D类地址被用在多点广播中。多点广播地址用来一次寻址一组计 算机，它标识共享同一协议的一组计算机。 （5）E类地址：最前面5位为11110，E类地址也不分网络地址和主机地址，为将来使用所保留。         有几种特殊的情况需要注意，例如，主机号全为1的地址用于广播，称为广播地址。网络号全为0，则后面的主机号表示本网地址。主机号全为0，此时的网络号就是本网的地址。网络号全为1的地址和32位全为0的地址为保留地址。 子网掩码         子网指一个组织中相连的网络设备的逻辑分组。一般情况下，子网可表示为某地理位置内（某大楼或相同局域网中）的所有机器。将网络划分成一个个逻辑段（即子网）的目的是便于更好地管理网络，同时提高网络性能，增强网络安全性。另外，将一个组织内的网络划分成各个子网，只需要通过单个共享网络地址，即可将这些子网连接到互联网上，从而减缓了互联网IP地址的耗尽趋势。         掩码是一个32位二进制数字，用点分十进制来描述，默认情况下，掩码包含两个域，分别为网络域和主机域。这些内容分别对应网络号和本地可管理的网络地址部分，通过使用掩码可将本地可管理的网络地址部分划分成多个子网。         假设某个IP地址为176.68.160.12/22，则表示使用22位作为网络地址，那么主机地址就占10位。因此，此子网的主机数可以有210 -2个。该IP地址是个B类地址，默认掩码为255.255.0.0（B类地址的前16位为网络地址）。但这个地址中前22位作为网络地址，则子网掩码第三个字节的前6位为子网域，用1表示；剩余的位数为主机域，用0表示。即11111100 00000000，将这个二进制信息转换成十进制作为掩码的后半部分，则可得出完整掩码为255.255.252.0。 IPv6         前面介绍的IP地址协议的版本号是4（简称为IPv4），它的下一个版本就是IPv6。IPv6正处在不断发展和完善的过程中，它在不久的将来将取代目前被广泛使用的IPv4。与IPV4相比，IPV6具有以下几点优势： （1）IPv6具有更大的地址空间。IPv4中规定IP地址长度为32位，IPv6中IP地址的长度为128位。 （2）IPv6使用更小的路由表。IPv6的地址分配一开始就遵循聚类的原则，使得路由器能在路由表中用一条记录表示一个子网，减小了路由器中路由表的长度，提高了路由器转发数据包速度。  （3）IPv6增加了增强的组播支持及对流的支持，这使得网络上的多媒体应用有了长足发展的机 会，为服务质量（Quality of Service，QoS）控制提供了良好的网络平台。 （4）IPv6加入了对自动配置的支持。这是对DHCP协议的改进和扩展，使得网络（尤其是局域 网）的管理更加方便和快捷。 （5）IPv6具有更高的安全性。在使用IPv6网络时用户可以对网络层的数据进行加密并对IP报文 进行校验，极大地增强了网络的安全性。

7.虚拟局域网

        虚拟局域网（Virtual Local Area Network，VLAN）是由一些主机、交换机或路由器等组成的一个虚拟的局域网。虚拟局域网超越了传统的局域网的物理位置局限，终端系统可以分布于网络中不同的地理位置，但都属于同一逻辑广播域。 VLAN的功能         管理员能够很容易地控制不同VLAN间的互相访问能力，可以将同一部门或属于同一访问功能组的用户划分在同一VLAN中，VLAN内的用户之间可以通过交换机或路由器相互连通。网络管理员甚至还可以通过VLAN的安全访问列表来控制不同VLAN之间的访问。         VLAN能够对广播信息进行有效的控制，最大限度地减少对终端工作站、网络服务器和处理关键业务数据的骨干部分的性能影响。采用VLAN还便于管理的更改，而整个网络范围内与用户增加、移动和物理位置变更相关的对管理工作的要求，也大为减少。这从很大程度上方便了网络系统的安全访问控制管理。         通过VLAN运行机制，可以给网络安全带来很多好处，比如信息只到达应该到达的地点，因此可防止大部分基于网络监听的入侵手段；通过VLAN设置的访问控制，也使在虚拟网外的网络节点不能直接访问虚拟网内节点。但是，VLAN技术也带来了新的问题：执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象；基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置；基于MAC的VLAN不能防止MAC欺骗攻击，因此采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。因此，VLAN的划分最好基于交换机端口，但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。         如果一个VLAN跨越多个交换机，则属于同一VLAN的工作站要通过Trunk（干道）线路互相通 信。Trunk是一种封装技术，它是一条点到点的链路，主要功能就是仅通过一条链路就可以连接多个交换机从而扩展已配置的多个VLAN。还可以采用通过Trunk技术和上级交换机级连的方式来扩展端口的数量，达到近似堆叠的功能，节省了网络硬件的成本，从而扩展整个网络。Trunk承载的VLAN范围，默认是1～1005，用户可以修改，但必须有一个Trunk协议。使用Trunk时，相邻端口上的协议要一致。 VLAN的划分方法 ： （1）按交换机端口号划分。将交换设备端口进行分组来划分VLAN，例如，一个交换设备上的 端口1、2、5、7所连接的客户工作站可以构成VLAN A，而端口3、4、6、8则构成VLAN B等。在 最初的实现中，VLAN是不能跨越交换设备的，后来进一步的发展使得VLAN可以跨越多个交换设 备。目前，按端口号划分VLAN仍然是构造VLAN的一个最常用的方法。这种方法比较简单并且非常有效。但仅靠端口分组而定义VLAN将无法使得同一个物理分段（或交换端口）同时参与到多个VLAN中，而且更重要的是当一个客户站从一个端口移至另一个端口时，网管人员将不得不对VLAN成员进行重新配置。 （2）按MAC地址划分。由网管人员指定属于同一个VLAN中的各客户端的MAC地址。由于MAC地址是固化在网卡中的，故移至网络中另外一个地方时将仍然保持其原先的VLAN成员身份而无需网管人员对之进行重新的配置，从这个意义讲，用MAC地址定义的VLAN可以看成是基于用户的VLAN。另外，在这种方式中，同一个MAC地址可以处于多个VLAN中。这种方法的缺点是所有的用户在最初都必须被配置到（手工方式）至少一个VLAN中，只有在这种手工配置之后方可实现对VLAN成员的自动跟踪。 （3）按第三层协议划分。在决定VLAN成员身份时，主要考虑协议类型（支持多协议的情况 下）或网络层地址（如TCP/IP网络的子网地址）。这种类型的VLAN划分需要将子网地址映射到 VLAN，交换设备则根据子网地址而将各机器的MAC地址同一个VLAN联系起来。交换设备将决定不同网络端口上连接的机器属于同一个VLAN。在第三层定义VLAN有许多优点。首先，可以根据协议类型进行VLAN的划分，这对于那些基于服务或基于应用VLAN策略的网管人员无疑是极具吸引力的。其次，用户可以自由地移动他们的机器而无需对网络地址进行重新配置，并且在第三层上定义VLAN将不再需要报文标识，从而可以消除因在交换设备之间传递VLAN成员信息而花费的开销。         与前

来源：来自深渊的祝福