三級網(wǎng)絡(luò)技術(shù):轉(zhuǎn)發(fā)過濾提高安全性能

沃貝網(wǎng)絡(luò)

當(dāng)數(shù)據(jù)幀到達(dá)交換機(jī)接口時，交換機(jī)就將數(shù)據(jù)幀的目的地址與轉(zhuǎn)發(fā)/過濾MAC數(shù)據(jù)庫中的地址進(jìn)行比較，如果目的硬件地址是已知的且已經(jīng)在交換機(jī)的MAC數(shù)據(jù)庫中，幀就只會被發(fā)送到正確的外出接口。交換機(jī)將不會把幀送往除了目的地接口之外的任何其他接口，這就保留了在其它網(wǎng)段上的帶寬。這種技術(shù)就是交換機(jī)的轉(zhuǎn)發(fā)過濾技術(shù)。
　　這種技術(shù)對于提高網(wǎng)絡(luò)性能與網(wǎng)絡(luò)安全很有作用。筆者將通過兩個例子來談?wù)勥@種技術(shù)對于交換式網(wǎng)絡(luò)的重要意義。
　　案例：利用二層交換機(jī)來隔離沖突域
　　如現(xiàn)在有一臺交換機(jī)連著四臺主機(jī)，分別為A、B、C、D。假設(shè)現(xiàn)在主機(jī)A要發(fā)一個數(shù)據(jù)包給主機(jī)D。當(dāng)交換機(jī)收到主機(jī)A發(fā)過來的數(shù)據(jù)幀之后，該如何處理呢?
　　1、 若交換機(jī)中沒有主機(jī)A或者主機(jī)D的MAC地址信息
　　如果這個網(wǎng)絡(luò)是剛剛組建，又或則出于某種原因，網(wǎng)絡(luò)管理員把交換機(jī)重置后，則交換機(jī)的轉(zhuǎn)發(fā)/過濾表會被清除。此時，由于主機(jī)A的MAC地址不在轉(zhuǎn)發(fā)/過濾表中，考試,大提示:交換機(jī)會將主機(jī)A的MAC地址和端口添加到自己的MAC數(shù)據(jù)庫中，然后再把幀轉(zhuǎn)發(fā)到主機(jī)D中。但是，如果主機(jī)D的MAC地址不在交換機(jī)的MAC數(shù)據(jù)庫中，則交換機(jī)會將幀轉(zhuǎn)發(fā)到除了主機(jī)A連接的接口之外的其他所有接口中。也就是說，在交換機(jī)不知道目的主機(jī)MAC地址的時候，則交換機(jī)上的除了本臺設(shè)備之外的其他任何設(shè)備，如主機(jī)B、C、D都將收到主機(jī)A發(fā)出的數(shù)據(jù)包。很明顯，此時交換機(jī)的一些帶寬就會被浪費掉。在這種情形下，轉(zhuǎn)發(fā)過濾技術(shù)并不能夠帶來多大的益處。
　　2、 若交換機(jī)知道目的主機(jī)的MAC地址
　　假設(shè)交換機(jī)通過ARP等機(jī)制，在自己的MAC地址庫中已經(jīng)知道了所連接設(shè)備的MAC地址，如主機(jī)A、B、C、D的MAC地址。要了解這些信息不難。只要這個網(wǎng)絡(luò)存在一定時間，則通過地址學(xué)習(xí)功能，交換機(jī)可以記錄相關(guān)設(shè)備的MAC地址信息。
　　在交換機(jī)已經(jīng)了解了其相鄰設(shè)備的MAC地址后，當(dāng)交換機(jī)接收到主機(jī)A發(fā)過來的數(shù)據(jù)幀之后，會如何處理呢?交換機(jī)首先會讀取數(shù)據(jù)幀中的目的MAC地址。然后在自己的MAC地址庫中進(jìn)行查找。發(fā)現(xiàn)有匹配的MAC地址后，就從MAC地址庫中查詢中對應(yīng)的交換機(jī)出口。然后再把數(shù)據(jù)幀從這個出口轉(zhuǎn)發(fā)出去。從這個轉(zhuǎn)發(fā)的過程中，我們可以看到數(shù)據(jù)幀是一進(jìn)一出。而不像集線器一樣，是一進(jìn)多出;或者像上面提到的不知道目的MAC地址那樣，也是一進(jìn)多出。在這種情形下，交換機(jī)直接把數(shù)據(jù)幀準(zhǔn)確無誤的轉(zhuǎn)發(fā)到對應(yīng)的接口上。很明顯，此時就不會對其他網(wǎng)段的帶寬帶來不利的影響。
　　通過這種轉(zhuǎn)發(fā)過濾技術(shù)，就可以在最大限度內(nèi)避免沖突域的產(chǎn)生，從而在很大程度上提高網(wǎng)絡(luò)性能。
　　在利用二層交換機(jī)來隔離沖突域時，要注意一個問題。當(dāng)交換機(jī)不知道目的MAC地址的話，則交換機(jī)并不能夠起到隔離沖突域的作用。因為此時，交換機(jī)仍然會把數(shù)據(jù)幀轉(zhuǎn)發(fā)到所有的交換機(jī)接口中。故當(dāng)網(wǎng)絡(luò)管理員利用交換機(jī)組建比較大型的網(wǎng)絡(luò)時，不要頻繁的重復(fù)啟動交換機(jī)等網(wǎng)絡(luò)設(shè)備。因為重新啟動后，其MAC地址庫中的內(nèi)容可能會丟失。如此的話，交換機(jī)就又要重零開始學(xué)習(xí)MAC地址以及MAC地址與端口的對應(yīng)表。