如何解决局域网广播风暴 (2)

交换式以太网技术是近年来迅速发展起来的一种网络新技术。交换式以太网技术采用了与传统的网桥相类似的工作机制。与网桥所不同的是，连接至交换机的不是网段而是网络站点。当以太网交换机从一个端口收到数据帧后，并不像传统的共享式集线器那样简单地将信号转发至所有端口，而是对数据帧中所包含的mac地址进行分析，并利用交换机中的端口-mac地址映射表将数据帧转发至相应的端口。因此各端口独自享有10m、100m乃至1000m的的网络带宽，从而解决了信道的冲突，缓解了网络带宽不足的问题。二、在网络层进行网络分段广播风暴(broadcaststorm)是由于网络中的广播数据包过多而造成网络通信性能下降的现象，它的形成与网络中所使用的网络层协议和站点的数量有关。虽然网桥和交换机都能够解决信道冲突，但对于广播风暴却束手无策。其原因在于它们只是利用了mac地址对数据链路层的数据帧进行了转发，而对于网络的高层协议而言则是透明的。因此，通过网桥和交换机组成的网络仍属于同一个广播域(在不考虑虚拟网的情况下)，网络中任何一个站点发出的广播数据包都可被其它站点所接收。因此网桥和交换机不能抑制广播风暴。路由器的出现早于以太网交换机，它工作在网络的第三层(网络层)。路由器利用网络分组中包含的网络地址，通过寻径表来决定将网络分组转发至哪个网络。路由器可以区分一些常见的网络层协议，如ip、ipx和decnet等协议。连接至路由器的网段分属于不同的广播域，一个广播域内的广播数据包不会穿透路由器到达另一个广播域。因此路由器可以在一定程度上抑制广播风暴。三、第二层分段与第三层分段的应用同网桥和交换技术相比较，路由器在网络的更高层次实现网络分段，可以在一定程度上解决广播风暴问题。但是，路由器技术非常复杂，成本也更高。特别是在安装的初始阶段要进行大量的手工配置，而交换机则无需进行太多的配置就可以使用。同交换机基于硬件的数据交换不同，由于路由器大量采用了软件技术，在转发网络分组时造成了较大的延时，因此路由器的工作速度远不如交换机。在实际的网络环境中，路由器和交换机在各自的领域进行着网络分段。如果单位中各部门的位置较为集中(通常在一栋建筑物内)，并且允许将整个网络系统设计为单一的广播域，则可以采用以交换机为中心的网络主干结构。采用这种结构的网络，充分利用了交换技术的特点，部门之间的信息交换通过主干交换机进行，部门用户和信息中心服务器组存在直接连接，因此可以保证足够的网络带宽。但是，由于该结构是单一广播域，因此广播数据包会穿透主干交换机到达其它部门，有可能形成广播风暴。对于单位中各部门的地理位置较为分散，或者由于安全性等原因不允许设计成单一广播域结构的情况，可以采用以路由器为中心的网络主干结构。采用这种结构的网络，通过路由器将各部门划分成独立的子网，形成各自的广播域。部门之间的信息交换通过主干路由器进行，因此各子网的广播数据包不会穿透路由器到达其它部门。但是部门用户和信息中心服务器组之间由于路由器的存在而不存在直接连接，访问速度会受到一定的影响。当前，随着入网用户和对网络带宽需求的不断增加，传统的网桥和路由器已显得“力不从心”，而vlan(虚拟局域网)和第三层交换等网络新技术则为我们提供了更多和更加有效的网络分段方法。四、利用vlan进行网络分段为了克服以太网的广播问题，除了上述方法外，还可以运用VLAN(虚拟局域网)技术，将以太网通信变为点到点通信，防止大部分基于网络侦听的入侵。目前的VLAN技术主要有三种：基于交换机端口的VLAN、基于节点MAC地址的VLAN和基于应用协议的VLAN。基于端口的VLAN虽然稍欠灵活，但却比较成熟，在实际应用中效果显著，广受欢迎。基于MAC地址的VLAN为移动计算提供了可能性，但同时也潜藏着遭受MAC欺诈攻击的隐患。而基于协议的VLAN，理论上非常理想，但实际应用却尚不成熟。在集中式网络环境下，我们通常将中心的所有主机系统集中到一个VLAN里，在这个VLAN里不允许有任何用户节点，从而较好地保护敏感的主机资源。在分布式网络环境下，我们可以按机构或部门的设置来划分VLAN。各部门内部的所有服务器和用户节点都在各自的VLAN内，互不侵扰。VLAN内部的连接采用交换实现，而VLAN与VLAN之间的连接则采用路由实现。目前，大多数的交换机都支持RIP和OSPF这两种国际标准的路由协议。如果有特殊需要，必须使用其他路由协议(如CISCO公司的EIGRP或支持DECnet的IS-IS)，也可以用外接的多以太网口路由器来代替交换机，实现VLAN之间的路由功能。当然，这种情况下，路由转发的效率会有所下降。无论是交换式集线器还是VLAN交换机，都是以交换技术为核心，它们在控制广播、防止黑客上相当有效，但同时也给一些基于广播原理的入侵监控技术和协议分析技术带来了麻烦。因此，如果局域网内存在这样的入侵监控设备或协议分析设备，就必须选用特殊的带有SPAN(Switch Port Analyzer)功能的交换机。这种交换机允许系统管理员将全部或某些交换端口的数据包映射到指定的端口上，提供给接在这一端口上的入侵监控设备或协议分析设备。五、利用第三层交换技术进行网络分段第三层交换是，在网络交换机中引入路由模块而实现交换与路由相结合的网络技术。它根据实际应用时的情况，灵活地在网络第二层或者第三层进行网络分段。在具体讨论该技术之前，我们先回顾在一个由交换机和路由器组成的网络中站点是怎样通过ip进行通信的。首先，要发送信息的站点根据子网掩码分析信宿的ip地址，如果信宿机和信源机在同一个ip子网内，则信源机发出arp数据包以获取信宿机的mac地址，在获取了该mac地址后，信源机向信宿机发送ip数据包。如果信宿机和信源机不在同一个ip子网内，则信源机将ip数据包发送至ip子网中的默认路由器。路由器通过对信宿ip地址进行分析，并和路由器寻径表进行比较，以确定如何转发该数据包。在利用了第三层交换技术的多层交换机中，交换机具有第二层交换模块和第三层交换模块。第二层交换模块应具有虚拟局域网功能，将连接在多层交换机的网络站点划分成若干个虚拟局域网。多层交换机的第三层交换模块具有一个或者多个ip地址和mac地址，形成了若干逻辑路由器端口。它的功能类似于将几个局域网连接在一起的路由器，而挂接在逻辑路由器端口的是由第二层交换模块所构成的虚拟子网。