任务一 三层交换机与硬件防火墙
知识点
1.项目三要学什么？
项目导读（一句话抓重点）：三层交换机是具有部分路由器功能的交换机，工作在 OSI 模型的第三层——网络层，能加快大型局域网内部的数据交换，做到**“一次路由，多次转发”；硬件防火墙是部署在内外网边界上的访问控制设备**，用来防止未经授权的通信进出被保护的内部网络；路由器是工作在网络层的设备，把按协议处理后的数据包传送到目标节点，这个选择数据传输路径的过程就叫路由；网关在网络层实现网络互连，既可用于广域网互连，也可用于局域网互连。
| 目标类别 | 内容 |
|---|---|
| 知识目标 | ① 了解网络层的主要功能及设备；② 理解三层交换机的工作过程；③ 熟悉硬件防火墙的工作原理及过程；④ 了解网络层设备的共同功能；⑤ 理解路由器的工作原理及过程；⑥ 熟悉网关的作用 |
| 能力目标 | ① 掌握三层交换机的工作过程；② 掌握硬件防火墙的工作过程及分类；③ 了解不同硬件防火墙的对比；④ 掌握路由器的工作原理；⑤ 掌握路由的分类和优先级；⑥ 了解网关在两个网络互连过程中的作用 |
| 素质目标 | ① 规范学生对网络层设备的理解与认识；② 增强分析网络层设备共性及在网络中功能的能力；③ 规范对网络层设备功能实现、工作过程的认识；④ 增强对在不同层次进行网络互连的理解 |
本项目的四个主角：
| 设备 | 工作层次 | 一句话定位 |
|---|---|---|
| 三层交换机 | 网络层（以二层交换为主，加路由模块） | 带路由功能的交换机，快 |
| 路由器 | 网络层 | 连接不同网络、选路转发，慢但灵活 |
| 硬件防火墙 | 网络层（含应用层检测） | 边界访问控制，保安全 |
| 网关 | 传输层及以上（网络层互连设备） | 不同体系结构网络之间的“关口” |
2.网络层的功能与二、三层设备的分工
网络层（第三层）主要完成三件事：路由选择、拥塞控制、网络互联。
二层设备的局限：模块六介绍的交换机是传统交换机，属于数据链路层（二层）设备，只能识别数据帧中的 MAC 地址，把 MAC 地址与端口的对应关系记录在地址表中，再按 MAC 地址把数据帧向特定端口转发。
三层设备（路由器）的代价：路由器在工作过程中，要对二层的数据帧与三层的数据包进行相互转换，以完成网络层的各个功能。这种转换造成了很大的时延，从而影响了数据传输速率。
一句话对比：
- 交换机：只看帧头 MAC，只把数据升到数据链路层处理 → 快；
- 路由器：要看包头的 IP，要把数据升到网络层处理 → 慢但能跨网络。
3.三层交换机的定义
定义：三层交换机就是具有部分路由器功能的交换机，其主要目的是加快数据交换速度，能够做到**“一次路由，多次转发”**。
软硬分工（必背的分界线）：
| 工作内容 | 由谁完成 | 原因 |
|---|---|---|
| 数据包转发等规律性操作 | 硬件高速实现 | 动作固定、可流水线化，快 |
| 路由信息更新、路由表维护、路由计算、路由确定 | 软件实现 | 需要运算与决策，慢但次数少 |
一句话：第一次跨网段转发要“问路”（软件路由），问过之后就“记住路”（硬件转发），所以叫“一次路由，多次转发”。
4.三层交换机的工作过程
前提：三层交换技术就是在二层交换的基础上完成三层数据的转发。传统交换在第二层进行，三层交换技术则在第二层实现了对第三层数据包的高速转发——既可实现网络路由的功能，又能根据不同的网络状况做到最优的网络性能。
场景设定（图 7-11）：节点 A 通过三层交换机与节点 B 相连，A 要向 B 发送数据，已知 B 的 IP 地址。A 先用自己的 IP 与子网掩码计算取得网络地址，判断 B 是否与自己在同一网段。
情形一：A、B 在同一网段
- A 不知道 B 的 MAC 地址，于是发送一个 ARP 请求；
- B 返回其 MAC 地址；
- A 用此 MAC 地址封装数据帧并发送给交换机；
- 交换机启用二层交换模块，查找 MAC 地址表，把数据帧转发到相应端口。
情形二：A、B 不在同一网段
- 在流缓存表中查找有没有对应的 MAC 地址；
- 如果没有，就把数据帧封装为数据包，发送给 A 的默认网关——即第三层的路由模块；
- 三层模块收到数据包后，查询路由表确定通向 B 的路由，由对应端口转发此数据包；
- 此时 A、B 的 MAC 地址与转发端口的对应关系被记录在流缓存表中；
- 以后 A 到 B 的数据帧，就由二层交换模块根据流缓存表直接完成，不再经过三层路由。
这就是“一次路由，多次转发”：由于数据在第二层即被转发，节约了数据帧与数据包相互封装、转换的时间，减小了网络延时，极大改善了网络性能。
两种情形对照表：
| 比较项 | 同一网段 | 不同网段 |
|---|---|---|
| 查什么表 | MAC 地址表 | 先查流缓存表，没有则查路由表 |
| 谁处理 | 二层交换模块 | 首次由三层路由模块，之后由二层 |
| 是否经过路由 | 不经过 | 首次经过，之后不再经过 |
| 地址解析 | ARP 得到目的主机 MAC | 得到下一跳（网关） MAC |
5.图 7-11 内部结构解读
图中三层交换机的内部由三块组成，左右两侧标出了各自承担的功能：
| 图中部件 | 承担的功能（图中标注） |
|---|---|
| 二层交换结构（含端口 MAC R1、MAC R2） | 左侧三点：建立转发表、转发 MAC 帧、VLAN 划分 |
| 背板总线 | 连接二层交换结构与路由模块，负责内部高速传送 |
| 路由模块 | 右侧三点：运行路由协议、建立路由表、完成 IP 分组转发 |
结论（教材原文）：三层交换机内部其实是一个增加了路由模块的二层交换机。路由模块完成路由选择、维护路由表、分组转发；二层交换机完成基于 MAC 地址的转发、维护 MAC 地址与端口对应表、VLAN 划分。这种结构可以确保经过一次路由模块处理后，在二层的 MAC 地址与端口对应表中产生相应的记录，从而加快后续数据包的传递速度。
考点提示：三层交换机不是“交换机 + 路由器”两台设备拼起来，而是一块背板 + 一个路由模块——路由模块只负责“算路”，真正搬数据包的是二层交换结构。
6.硬件防火墙的定义与特征
定义：防火墙是设置在被保护网络和外部网络之间的一道屏障，以防发生不可预测的、潜在的破坏性侵入。硬件防火墙工作在网络层，是保障内部网络安全的一道重要屏障，直接关系到整个内部网络的安全。它可通过监测、限制或更改穿越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此实现网络的安全保护。
三个基本特征（必背）：
- 由内网到外网和由外网到内网的所有数据流动都必须通过它；
- 只有本地安全策略所定义的合法访问才被允许通过；
- 防火墙本身无法被穿透。
硬件防火墙与软件防火墙：
| 比较项 | 硬件防火墙 | 软件防火墙 |
|---|---|---|
| 实现方式 | 硬件和软件相结合 | 纯软件方式实现功能 |
| 效果 | 效果较好 | 只能按一定规则限制非法用户访问 |
| 价格 | 价格较贵 | 价格很便宜 |
| 适用对象 | 通常意义上所讲的防火墙；小型企业和个人很难实现 | 个人、小型环境 |
7.防火墙的三项功能
① 保护那些易受攻击的服务——防火墙能过滤不安全的服务，只有预先被允许的服务才能通过，这样降低了受到非法攻击的风险，提高了企业内部网的安全。
② 控制对特殊站点的访问——有些主机能被外部网络访问，有些则要被保护起来，防止不必要的访问。通常内部网中只有 Mail 服务器、FTP 服务器和 WWW 服务器能被外部网访问，其他服务器的访问则被防火墙禁止。
③ 对网络访问进行记录和统计——如果所有对 Internet 的访问都经过防火墙，防火墙就能记录这些访问，并提供网络使用情况的统计数据；当发生可疑操作时，防火墙能够报警并提供网络是否受到监测和攻击的详细信息。
记忆口诀：该放的放（服务）、该关的关（站点）、来过都记账（记录统计）。
8.防火墙的四类类型
防火墙大致可划分为包过滤防火墙、应用网关防火墙、状态检测防火墙、复合型防火墙 4 类。
（1）包过滤防火墙
定义：最简单的防火墙，通常只包括对源和目的 IP 地址及端口的检查，一般在路由器上实现，通过检查网络层的数据包过滤掉用户定义的内容（如 IP 地址）。因为对应用层信息无感知（不能识别隐藏在应用层数据中的潜在威胁），所以存在安全隐患。
工作原理：在网络中的适当位置对数据包进行过滤，根据检查数据流中每个数据包的源地址、目标地址、通信的 TCP 端口号和 TCP 链路状态等要素，依据一组预定义的规则，确定允许合乎规则的数据包通过防火墙进入内部网络，而将不合乎规则的数据包丢弃。
为什么能这样做：在 Internet 这种分组交换网络上，所有往来的信息都被分割成许多一定长度的数据包，包中有发送者的 IP 地址和接收者的 IP 地址；包被送上 Internet 时，路由器读取接收者的 IP 地址并选择一条物理线路发送出去；数据包可能以不同路线抵达，到达目的地后被重新组装还原。包过滤防火墙就是检查所有通过的数据包里的 IP 地址，按管理员设定的过滤规则过滤；如果设定某一 IP 地址为危险，从这个地址来的所有数据包都会被屏蔽掉。
| 优点 | 缺点 |
|---|---|
| 价格较低 | 配置比较复杂，需具备网络、数据传输甚至应用协议的细节知识 |
| 对用户透明 | 对 IP 欺骗式攻击比较敏感（黑客修改包头中的 IP 地址，改成可被接受的地址，骗取对内部网的访问） |
| 速度快，对网络性能影响很小 | 没有用户的使用记录，不能从访问记录中发现黑客的攻击记录 |
| 易于维护 | 只检查 IP 与端口，对应用层数据控制很弱 |
（2）应用网关防火墙（代理服务器防火墙）
定义：使用一个客户程序与特定的中间节点（防火墙）连接，然后中间节点与服务器进行实际连接。
地位：应用网关技术是防火墙技术中最受推崇的一种安全技术措施，它可以把被保护网络的内部结构屏蔽起来，增强网络的安全性能，同时可用于实施较强的数据流监控、过滤、记录和报告等功能。它检查所有应用层的信息包，以剔除用户指定特征的信息包，从而提高网络的安全性。
代价：这种防火墙隔断了客户机与服务器的连接模式，每个客户机/服务器的通信被分成两个连接：从客户端到防火墙，再从防火墙到服务器，所以应用网关防火墙具有可伸缩性差的缺点。
工作原理：应用网关运行在两个网络之间，它对于客户来说像是一台真的服务器，而对于外界的服务器来说，它又是一台客户机。收到用户请求后，检查用户请求的站点是否符合单位的要求；如果允许访问，应用网关以客户机的身份去那个站点取回所需信息再转发给客户。应用网关像一堵墙那样挡在内部网络和外部网络之间，从外面只能看到应用网关而看不到任何内部资源（如用户的 IP 地址）。
| 优点 | 缺点 |
|---|---|
| 可以将被保护的网络内部结构屏蔽起来，增强安全性 | 访问速度变慢（不允许用户直接访问网络，需网关中转） |
| 可用于实施较强的数据流监控、过滤、记录和报告 | 需要针对每一个特定的 Internet 服务安装相应的应用网关软件，用户不能使用尚未被支持的服务 |
| — | 不能支持所有的 Internet 访问类型 |
（3）状态检测防火墙
解决了什么：克服了包过滤防火墙仅检查进出的数据包、不检测数据包状态的缺点。
工作原理：在防火墙的核心部分建立状态连接表，维护了连接，将收到的数据包逐个进行处理，这种防火墙对应用层是透明的。状态检测包过滤防火墙规范了网络层和传输层行为，而应用代理型防火墙则是规范了特定的应用协议上的行为。
检测模块：状态检测防火墙在网关运行一个实现网络安全策略的软件引擎，称为检测模块。检测模块在不影响网络正常工作的前提下，抽取相关网络数据对网络通信的各层实施监测，并将抽取的数据动态保存作为以后安全决策的参考。在用户的访问被提交到网关操作系统之前，检测模块要根据网络配置和安全规定做出接纳、拒绝、鉴定或给该通信加密等决定；一旦某个访问违反安全规定，系统会拒绝该访问、进行记录，同时向系统管理员报告网络状态。
| 优点 | 缺点 |
|---|---|
| 支持多种协议和应用程序，很容易实现应用和服务的扩充 | 配置非常复杂 |
| 会监测 RPC 和 UDP 之类的端口信息（包过滤和应用网关都不支持对此类端口的性能检测） | 会降低网络速度 |
（4）复合型防火墙
定义：集防火墙、入侵检测、安全评估、虚拟专用网 4 大功能模块于一体，以防火墙功能为基础平台，以其他安全模块为多层次应用环境，构筑一套完整的、立体的网络安全解决方案。
| 功能模块 | 作用 |
|---|---|
| 防火墙 | 基础平台，做访问控制 |
| 入侵检测 | 内核采用智能 IP 识别技术，对多种网络对象进行有效访问监控；通过监视网络中的数据包发现黑客入侵企图，可对 20 多类、1000 多种攻击方式进行鉴别，发现入侵时立即通知防火墙自动生成规则，第一时间封禁攻击 |
| 安全评估 | 主动检测内部网络，对主机信息、端口、各种漏洞、RPC 远程过程调用和服务中可能存在的弱密码进行扫描，生成分析报告并提供解决办法 |
| 虚拟专用网（VPN） | 使用隧道、加解密、密钥管理、使用者与设备身份认证技术，在公共网络中建立专用网络，数据通过**“加密通道”**传播；以防火墙为基石，解决访问控制之后再解决安全传输 |
复合型防火墙的定位：是一种综合了状态检测与透明代理的新一代防火墙，把防病毒、内容过滤整合进防火墙，还包括 VPN、IDS 等功能，多个功能单元融为一体。常规防火墙并不能防止隐藏在网络流量里的攻击，而复合型防火墙能够发现隐藏在数据流量中的病毒及攻击行为，是网络与信息安全的发展方向。
9.四类防火墙对比（教材原文结论）
| 类型 | 检查范围 | 是否建立连接状态表 | 控制能力强弱 |
|---|---|---|---|
| 包过滤防火墙 | 不检查数据部分 | 不建立 | 前后报文独立检查，对应用层数据控制很弱 |
| 应用网关防火墙 | 不检查 IP、TCP 协议的报头 | 不建立 | 对网络层数据保护比较弱 |
| 状态检测防火墙 | 不检查数据部分 | 建立 | 对前后报文进行相关性检查，对应用层数据控制很弱 |
| 复合型防火墙 | 可以检查整个数据包内容 | 根据需要建立 | 对网络层数据保护强，对应用层控制全面，对会话层控制较弱 |
记忆口诀：包过滤看头不看身、代理看身不看头、状态检测记连接、复合型全看。
10.任务实施要点
- 以 “三层交换机” 为关键词搜索，浏览其工作原理；
- 搜索硬件防火墙的工作原理、分类；
- 以图片方式搜索两种设备，查看外观、接口；
- 检索国产品牌的三层交换机和硬件防火墙。
速查表
| 问题 | 答案 |
|---|---|
| 三层交换机工作在哪一层 | 网络层（第三层） |
| 三层交换机的核心口号 | 一次路由，多次转发 |
| 哪些操作由硬件完成 | 数据包转发等规律性操作 |
| 哪些操作由软件完成 | 路由信息更新、路由表维护、路由计算、路由确定 |
| 跨网段首次转发查什么表 | 流缓存表（没有则查路由表） |
| 记录 MAC 与端口对应关系的是 | 流缓存表 |
| 三层交换机内部实质是 | 增加了路由模块的二层交换机 |
| 硬件防火墙工作在哪一层 | 网络层 |
| 防火墙的三个特征 | 所有数据流必须通过、只允许合法访问、本身无法被穿透 |
| 防火墙的三项功能 | 保护易受攻击的服务、控制对特殊站点的访问、记录和统计访问 |
| 最简单的防火墙 | 包过滤防火墙（一般在路由器上实现） |
| 最受推崇的防火墙技术 | 应用网关（代理服务器）技术 |
| 应用网关的最大缺点 | 可伸缩性差（通信被拆成两个连接） |
| 能监测 RPC 与 UDP 端口的 | 状态检测防火墙 |
| 复合型防火墙的四大模块 | 防火墙、入侵检测、安全评估、VPN |
| 常被外部访问的三类服务器 | Mail、FTP、WWW 服务器 |