從網絡實現 實現層面 網絡可以劃分為以太網、令牌環(huán)、FDDI、ATM，它們都規(guī)定了各自的物理介質、網絡適配器（網卡）、數據傳輸協(xié)議。從網絡 覆蓋范圍 可以劃分為局域網、城域網、廣域網。但是 這只是意味著網絡的覆蓋范圍變大了而不是說網絡的實現發(fā)生了變化。以現在的網絡為例，無論是局域網、廣域網、還是整個互聯(lián)網基本上都是以太網 。
網卡網絡適配器即網卡，它是一個插在計算機主板上的（或者集成在主板上）硬件設備。在以太網中每個網卡都有一個全球唯一的48位標識就是我們常說的“MAC地址”（一般用每16進制每字節(jié)一組表示，比如：0a:00:27:00:00:06）。 當計算機通訊的時候網卡負責實現帶沖突檢測的載波監(jiān)聽多路訪問技術（CSMA/CD） ，網卡屬于OSI參考模型中的物理層和數據鏈路層。網絡層以上的部分則由操作系統(tǒng)中的協(xié)議棧實現，所以 TCP/IP協(xié)議棧其實只包含了網絡層（IP）和傳輸層（TCP、UDP） 。
集線器
如果僅僅是兩臺計算機通訊那么通過網絡傳輸介質（比如雙絞線）把二者的網卡連接起來，在操作系統(tǒng)中配置網絡層信息（配置IP地址）就可以了。如果三臺或者多臺計算機通訊則必須借助一些額外的設備，其中集線器就是其中一種。 集線器也叫Hub，它本質上是多端口的網卡，為了理解它的工作原理通過GNS3搭建一個網絡拓撲：
上面的拓撲中有三個終端，我們要做的實驗是當PC1和PC2通訊的時候，在Hub1-》PC3這條鏈路上是否能收到數據包。先配置PC1、PC2、PC3的IP地址
然后開啟Hub1到PC3之間的抓包，通過PC1 ping PC2。
ping一共產生了兩種數據包：ARP數據包是廣播包（目標地址是ff:ff:ff:ff:ff:ff:ff）只有廣播域內的終端可以收到;ICMP則是單播（有明確目標地址）包只有處于沖突域中才可能收到數據包。集線器互聯(lián)起來的機器都屬于同一個廣播域也屬于同一個沖突域，所以無論是什么樣的數據包，網絡中的每個節(jié)點都會收到（即便數據包和自己無關）。
集線器和每個終端都有一個物理鏈路，當PC1發(fā)送數據到PC2的時候首先到達集線器，而集線器則把數據 從自己的每個端口發(fā)送出去 。所以 即便這次通訊和PC3沒有任何關系但是Hub1到PC3之間的鏈路還是被占用了 ，如果此時PC3也有數據包要發(fā)送那么就會產生沖突（還記得以太網的原理嗎？共享介質中會有“碰撞”），而這種沖突對于PC3來說是非常“無辜”的（PC1和PC2通訊和PC3根本沒有任何關系）。
交換機有些交換機的樣子和集線器長的很像，但是二者有本質的區(qū)別。 交換機轉發(fā)數據的時候有一定的策略，它是依據mac地址表執(zhí)行的轉發(fā) 。
打開SwTIch和PC3之間開啟抓包，在SwTIch和PC2之間開啟抓包，然后從PC1 ping PC2（Wireshark會抓到交換機上的STP數據包，這是交換機產生的數據包，可以忽略）。
SW1《-》PC3 SW1《-》PC2
交換機非常“智能”，它“知道”PC1和PC2通訊不涉及到PC3所以只有廣播包轉發(fā)到PC3，而后續(xù)的單播數據包是直接發(fā)送到PC2所處的端口的。 區(qū)別于集線器，分割了沖突域，把一個大沖突域分割成了3個小沖突域（分別是SwTIch和PC1、SwTIch和PC2、Swtich和PC3），每個沖突域通訊的時候都不會影響另一個沖突域的終端（Swtich和PC1之間的數據包在PC2、PC3上都接收不到）;而廣播域沒有變化三個終端還是屬于同一個廣播域。 通過描述PC1和PC2的通訊過程來揭示交換機的工作原理：
PC1根據PC2的IP地址查詢去本地的ARP表中查詢對應的MAC地址;
PC1沒有找到MAC地址，則發(fā)送一條廣播包;
廣播包達到交換機，交換機把PC1的Mac地址和對應端口放入到MAC地址表;
交換機判斷是廣播包，則發(fā)起一次泛洪（從所有和PC1相同VLAN的端口發(fā)送出去）;
廣播數據包分別送到PC2和PC3。PC3發(fā)現和自己沒關系直接丟棄;PC2發(fā)現是發(fā)送給自己的數據包則接收數據包，進一步判斷是ARP數據包則返回一個ARP回復。PC2的ARP回復是一個單播數據包，目標地址是PC1的MAC地址，源地址是PC2的MAC地址。
PC2的ARP回復數據包達到交換機，交換機把PC2的MAC地址放入到MAC地址表;
交換機發(fā)現是單播包，目標地址是“00:50:79:66:68:01”，查詢得到對應端口是E0/1。則從E0/1把數據包發(fā)送出去;
PC1收到PC2的ARP回復數據包，把PC2的MAC地址寫入到**本地的ARP表**;
PC1發(fā)送ICMP數據包，根據IP地址查詢MAC地址;找到PC2的MAC地址是“00:50:79:66:68:02”。發(fā)送單播包，目標地址是“00:50:79:66:68:02”;
單播數據包達到交換機，交換機判斷“00:50:79:66:68:02”在端口E0/2，則從E0/2端口發(fā)送出去;
PC2收到ICMP數據包，產生一條ICMP的回復數據包發(fā)送出去;
ICMP回復數據包達到交換機，交換機判斷目標地址是“00:50:79:66:68:01”（PC1）則從E0/1發(fā)送出去;
PC1收到ICMP的回復數據包，顯示一條 “84 bytes from 192.168.10.12 icmp_seq=1 ttl=64 time=0.649 ms”提示;
通過分析我們看出交換機中最重要的內容就是MAC地址表，它是交換機轉發(fā)數據包的依據。有了這張表交換機就可以知道數據包應該從哪個端口出去，而不是像Hub一樣從所有端口發(fā)送出去。 通過分析不難看出和Hub比較交換機中最重要的內容就是 MAC地址表，它是交換機轉發(fā)數據包的依據 。有了這張表交換機就可以知道數據包應該從哪個端口出去，而不是像Hub一樣從所有端口發(fā)送出去。 通過在交換機的CLI界面中輸入 show mac address-table 查看本臺交換機的MAC地址表
交換機中為了讀取速度會把MAC地址表保存在一種專用的存儲硬件上叫：CAM （Content Addressable Memory） ，這種存儲器區(qū)別于常見的內存，它的尋址方式是基于“內容”（內存是基于地址）。所以制作工藝上要復雜很多，價格也要貴很多，一般交換機配置的容量都不是特別大。交換機的這個“弱點”導致了一種“無解”的攻擊方法——通過向交換機發(fā)送大量的ARP信息塞滿CAM，讓交換機無法正常工作。
虛擬局域網交換機把以太網的沖突域切分成多個沖突域，提高了線路的利用率，但是所有人還是在同一個廣播域，這種網絡結構是早期的網絡結構，它只有一個廣播域，當網絡中任何一個終端發(fā)送廣播數據包其他節(jié)點都可以收到，因此而得名平面型網絡。這種網絡結構會產生如下問題： 1. 安全問題，大家都在同一個廣播域任何一個人中了病毒都會影響所有人;更要命的是如果有人非法接入到網絡中可以輕而易舉的監(jiān)聽到網絡中所有的數據包; 2. 帶寬利用問題，網絡中任何人都可能消耗大量帶寬，其他人可能會因此而受到影響——甚至無法正常使用網絡; 3. 廣播風暴，試想一個上百臺終端接入到網絡中，各種廣播數據包（ARP、DHCP等）會充斥在整個網絡中; 把一個大的LAN（廣播域）拆分成多個小的LAN不但安全、便于管理而且可以均衡資源利用、提高線路利用率。那么如何拆分呢？劃分方法還是體現在交換機上，我們?yōu)槊總€交換機端口設置一個數字標識，相同數字標識的端口屬于同一個廣播域。比如下圖中交換機E0/1、E0/2、E0/4、E0/7有相同的標識100;E0/3、E0/6相同的標識300（下圖是交換機的示意圖）
這種技術就叫——虛擬局域網（Virtual Local Area Network，VLAN），一個VLAN就代表一個廣播域（Broadcast Domain，BD），每個交換機端口都可以設置一個VLAN ID標識廣播域，交換機在相同VLAN ID內執(zhí)行廣播數據包叫 泛洪 。
通過在交換機的CLI界面中輸入 show vlan 查看本臺交換機的所有VLAN（或者叫廣播域、BD、在OpenStack之類的系統(tǒng)中叫網絡）
第一列VLAN表示VLAN ID，它是一個數字，name是一個備注名，ports表示當前有哪些端口屬于這個VLAN
我們做個試驗，把PC1和PC2放到VLAN 100，把PC3放到VLAN 200
此時，通過PC1 ping PC2是正常，PC1 ping PC3則失敗。
通過在SW1《-》PC3之間抓包我們發(fā)現ARP數據包根本沒有抵達這條鏈路上，說明SW1已經識別出它們屬于不同的VLAN（廣播域）所以不會把數據包轉發(fā)到這條鏈路上。
為了證明交換機轉發(fā)只和MAC地址有關系，我們把PC3的IP地址修改成192.168.10.10
發(fā)現PC1《-》PC2依舊可以正常通訊，證明交換機只查看數據包的MAC地址而完全無視IP地址。
那么如何實現不同的VLAN之間通訊呢？這就需要另一個網絡設備——路由器。這是一個非常復雜的課題，可以說它是構建互聯(lián)網的基礎，所以我們需要花費單獨的章節(jié)講解。
下載文檔
