华为赛门铁克HSCDA认证培训网络课程数据通信.docx
《华为赛门铁克HSCDA认证培训网络课程数据通信.docx》由会员分享，可在线阅读，更多相关《华为赛门铁克HSCDA认证培训网络课程数据通信.docx（84页珍藏版）》请在冰豆网上搜索。
华为赛门铁克HSCDA认证培训网络课程数据通信
幻灯片1
幻灯片2
幻灯片3
幻灯片4
幻灯片5
幻灯片6
幻灯片7
物理层涉及到在通信信道（channel）上传输的原始比特流，它实现传输数据所需要的机械、电气、功能特性及过程等手段。
物理层涉及电压、电缆线、数据传输速率、接口等的定义。
物理层的主要网络设备为中继器、集线器等。
数据链路层的主要任务是提供对物理层的控制，检测并纠正可能出现的错误，使之对网络层显现一条无错线路，并且进行流量调控（可选）。
流量调控可以在数据链路层实现，也可以由传输层实现。
数据链路层与物理地址、网络拓扑、线缆规划、错误校验、流量控制等有关。
数据链路层主要设备为以太网交换机。
网络层检查网络拓扑，以决定传输报文的最佳路由，其关键问题是确定数据包从源端到目的端如何选择路由。
网络层通过路由选择协议来计算路由。
存在于网络层的设备主要有路由器、三层交换机等。
后面您将学习到更多关于网络层的知识。
传输层的基本功能是从会话层接受数据，并且在必要的时候把它分成较小的单元，传递给网络层，并确保到达对方的各段信息正确无误。
传输层建立、维护虚电路，进行差错校验和流量控制。
会话层允许不同机器上的用户建立、管理和终止应用程序间的会话关系，在协调不同应用程序之间的通信时要涉及会话层，该层使每个应用程序知道其它应用程序的状态。
同时，会话层也提供双工（duplex）协商、会话同步等等。
表示层关注于所传输的信息的语法和意义，它把来自应用层与计算机有关的数据格式处理成与计算机无关的格式，以保障对端设备能够准确无误地理解发送端数据。
同时，表示层也负责数据加密等。
应用层是OSI参考模型最靠近用户的一层，为应用程序提供网络服务。
应用层识别并验证目的通信方的可用性，使协同工作的应用程序之间同步。
幻灯片8
OSI参考模型依层次结构来划分：
第一层，物理层（Physicallayer）；第二层，数据链路层（datalinklayer）；第三层，网络层（networklayer）；第四层，传输层（transportlayer）；第五层，会话层（sessionlayer）；第六层，表示层（presentationlayer）；第七层，应用层
（applicationlayer）。
通常，我们把OSI参考模型第一层到第三层称为底层（lowerlayer），又叫介质层（MediaLayer）。
这些层负责数据在网络中的传送，网络互连设备往往位于下三层。
底层通常以硬件和软件相结合的方式来实现。
OSI参考模型的第五层到第七层称为高层（upperlayer），又叫主机层（hostlayer）。
高层用于保障数据的正确传输，通常以软件方式来实现。
七层OSI参考模型具有以下优点：
简化了相关的网络操作；
提供即插即用的兼容性和不同厂商之间的标准接口；
使各个厂商能够设计出互操作的网络设备，加快数据通信网络发展；
防止一个区域网络的变化影响另一个区域的网络，因此，每一个区域的网络都能单独快速升级；
把复杂的网络问题分解为小的简单问题，易于学习和操作。
需要注意的是，由于种种原因，现在还没有一个完全遵循OSI七层模型的网络体系，但OSI参考模型的设计蓝图为我们更好的理解网络体系，学习计算机通信网络奠定了基础。
幻灯片9
幻灯片10
地址解析协议ARP是一种广播协议，主机通过它可以动态地发现对应于一个IP地址的MAC层地址。
每一个主机都有一个ARP高速缓存（ARPcache），有IP地址到物理地址的映射表，这些都是该主机目前知道的一些地址。
当主机A欲向本局域网上的主机B发送一个IP数据报时，就先在其ARP高速缓存中查看有无主机B的IP地址。
如有，就可查出其对应的物理地址，然后将该数据报发往此物理地址。
也有可能查不到主机B的IP地址的项目。
可能是主机B才入网，也可能是主机A刚刚加电，其高速缓存还是空的。
在这种情况下，假定主机A需要知道主机B的MAC地址，主机A发送称为ARP请求的以太网数据帧给网段上的每一台主机，这个过程称为广播。
发送的ARP请求报文中，带有自己的IP地址到MAC地址的映射，同时还带有需要解析的目的主机的IP地址。
目的主机B收到请求报文后，将其中的主机A的IP地址与MAC地址的映射存到自己的ARP高速缓存中，并把自己的IP地址到MAC地址的映射作为响应发回主机A。
主机A收到ARP应答，就得到了主机B的MAC地址，同时，主机A缓存主机B的IP地址到MAC地址映射。
幻灯片11
在进行地址转换时，有时还要用到反向地址转换协议RARP。
RARP常用于X终端和无盘工作站等，这些设备知道自己MAC地址，需要获得IP地址。
为了使RARP能工作，在局域网上至少有一个主机要充当RARP服务器。
以上图为例，无盘工作站需要获得自己的IP地址，向网络中广播RARP请求，RARP服务器接收广播请求，发送应答报文，无盘工作站获得IP地址。
对应于ARP、RARP请求以广播方式发送，ARP、RARP应答一般以单播方式发送，以节省网络资源。
幻灯片12
幻灯片13
每个IP地址是一个写成4个8位字节的32比特值。
这就意味着存在4个组，每个组包括8个二进制位，如上图所示。
幻灯片14
幻灯片15
幻灯片16
PPP协议也提供了可选的认证配置参数选项，缺省情况下点对点通信的两端是不进行认证的。
在LCP的Config-Request报文中不可一次携带多种认证配置选项，必须二者择其一（PAP/CHAP），选择最希望的那一种，一般是在PPP设备互连的设备上进行配置的，但一般设备会默认支持一个缺省的认证方式（PAP是大部分设备所默认的认证方式）。
当对端收到该配置请求报文后，如果支持配置参数选项中的认证方式，则回应一个Config-Ack报文；否则回应一个Config-Nak报文，并附带上自希望双方采用的认证方式。
当对方接收到Config-Ack报文后就可以开始进行认证了，而如果收到得是Config-Nak报文，则根据自身是否支持Config-Nak报文中的认证方式来回应对方，如果支持则回应一个新的Config-Request（并携带上Config-Nak报文中所希望使用的认证协议），否则将回应一个Config-Reject报文，那么双方就无法通过认证，从而不可能建立起PPP链路。
PPP支持两种授权协议：
PAP（PasswordAuthenticationProtocol）和CHAP（ChallengeHandAuthenticationProtocol）。
我们所知两个设备在使用PAP进行认证之前，应该确认那一方是验证方，那一方是被验证方。
实际上对于使用PPP协议互连的两端来说，既可作为认证方，也可作为被认证方。
但通常情况下，PAP只使用一个方向上的认证。
一般在两端设备使用PAP协议之前，均会设备上进行一些相应的配置，对于宽带工程师而言MA5200可谓是大家最熟悉的产品了，它默认就作为验证方，但可通过使用命令PAPAuthenticationPAP/CHAP来更改认证方式，而对于被验证方而言只需设置用户名和密码即可。
PAP认证是两次握手，在链路建立阶段，依据设备上的配置情况，如果是使用PAP认证，则验证方在发送Config-Request报文时会携带认证配置参数选项，而对于被验证方而言则是不需要，它只需要收到该配置请求报文后根据自身的情况给对端返回相应的报文。
如果点对点的两端设备采用的是PAP双向认证时，也即是它同时也作为验证方，则此时需要在配置请求报文中携带认证配置参数选项。
因此，我们可以总结一下，如果对于点对点的两个设备在PPP链路建立的过程中使用的认证方式为PAP的话，那么验证方在其Config-Request报文中必须含有认证配置参数选项，且该认证配置参数选项的数据域为0xC023。
当通信设备的两端在收到对方返回的Config-Ack报文时，就从各自的链路建立阶段进入到认证阶段，那么作为被验证方此时需要向验证方发送PAP认证的请求报文，该请求报文携带了用户名和密码，当验证方收到该认证请求报文后，则会根据报文中的实际内容查找本地的数据库，如果该数据库中有与用户名和密码一致的选项时，则回向对方返回一个认证请求响应，告诉对方认证已通过。
反之，如果用户名与密码不符，则向对方返回验证不通过的响应报文。
如果双方都配置为验证方，则需要双方的两个单向验证过程都完成后，方可进入到网络层协议阶段，否则在一定次的认证失败后，则会从当前状态返回链路不可用状态。
例10：
如图4-1所示，当路由器A（被验证方）收到了路由器B的Config-Ack报文后，因为是使用PAP认证，所以作为被验证方的路由器A应主动向验证方（路由器B）发送认证请求报文（PAPAuthenticate），用户名和密码均为163，报文的内容如下：
7EFF03C0230101000C03313633033136337E
下划线的前四个字节是用户名，后四个字节是密码。
当路由器B收到了该报文后，会向路由器A回应一个PAPAuthenticateAck报文，报文内容如下：
7EFF03802102010005007E
此时所回应的报文中，并未携带任何数据，如果是认证不通过，则会在返回的报文中指是因何原因无法认证通过，可能是无此用户名或密码不匹配。
幻灯片17
与PAP认证比起来，CHAP认证更具有安全性，从前面认证过程的数据包交换过程中不然发现，采用PAP认证时，被验证是采用明文的方式直接将用户名和密码发送给验证方的，而对于PAP认证则不一样。
CHAP为三次握手协议，它只在网络上传送用户名而不传送口令，因此安全性比PAP高。
在验证一开始，不像PAP一样是由被验证方发送认证请求报文了，而是由验证方向被验证方发送一段随机的报文，并加上自己的主机名，我们通称这个过程叫做挑战。
当被验证方收到验证方的验证请求，从中提取出验证方所发送过来的主机名，然后根据该主机名在被验证方设备的后台数据库中去查找相同的用户名的记录，当查找到后就使用该用户名所对应的密钥，然后根据这个密钥、报文ID和验证方发送的随机报文用Md5加密算法生成应答，随后将应答和自己的主机名送回，同样验证方收到被验证方发送回应后，提取被验证方的用户名，然后去查找本地的数据库，当找到与被验证方一致用户名后，根据该用户名所对应的密钥、保留报文ID和随机报文用Md5加密算法生成结果，和刚刚被验证方所返回的应答进行比较，相同则返回Ack，否则返回Nak。
例11：
如图4-2所示，当路由器A（被验证方）收到了路由器B的Challenge报文后，报文内容如下：
7EFF03C2230101001C10FF41CF22AA8EF1B9999A79A75678C4A74d4135323030417E
下划线的前16个字节是验证方随机产生的一段报文，后7个字节是验证方的主机名（MA5200A），而且单个字节10表示随机报文的长度。
而此时路由器A会根据用户名所对应的密钥使用报文的ID和该报文的内容生成一个回应报文，报文内容如下：
7EFF03C2230201001F10188622FFCE81D068FF808500A7E385357070 6B697373406875617E
我们将这个回应报文与验证方发送的挑战报文进行比较，报文的代码域已由原01改为02，总报文的长度有变化，主要后而一个下划线的内容是被验证方的主机名（ppkiss@hua），而且此时回应的16个字节的报文已经是经过MD5算法加密过的。
当验证方收到了这个回应报文后，会根据报文中被验证方的主机名（ppkiss@hua）在本地的数据库中去查找密钥，然后再对原发先发送的那段挑战报文进行MD5的算法加密，如果所得的结果与对方刚发过来的16个字节的加密值一样的话，则就会发送一个报文通知被验证方，你的认证已经通过，我们可以进入到下一个阶段了。
在实际应用当中，我们很多都是使用PC机来进行拨号这个过程，实际中当验证方发送挑战后，PC机只接收而并不去查本地数据库，而直接使用在拨号对话框中所输入的密码和报文的ID及报报文的内容进行MD5算法加密（这个在PC机采用PPPOE软件拨入到MA5200时就是这样的）。
下面来看一下验证通过时，验证方给被验证方所发送的一段报文内容：
7EFF03C2230301001757656C636F6D6520746F204D4135323030412E7E
此时所回应的报文的代码域为03，且报文的实际内容是，WelcomtoMA5200A。
幻灯片18
随着宽带网络技术的不断发展，以xDSL、CableModem和以太网为主的几种主流宽带接入技术的应用已开展的如火如荼。
同时又给各大网络运营商们带来了种种困惑，无论使用哪种接入技术，对于他们而言可盼和可求的是如何有效的管理用户，如何从网络的投资中收取回报，因此对于各种宽带接入技术的收费的问题就变得更加敏感。
在传统的以太网模型中，我们是不存在所谓的用户计费的概念，要么用户能设置/获取IP地址上网，要么用户就无法上网。
IETF的工程师们在秉承窄带拨号上网的运营思路（使用NAS设备终结用户的PPP数据包），制定出了在以太网上传送PPP数据包的协议（PointToPointProtocolOverEthernet），这个协议出台后，各网络设备制造商也相继推出自已品牌的宽带接入服务器（BAS），它不仅能支持PPPOE协议数据报文的终结，而且还能支持其它许多协议。
如华为公司的MA5200和ISN8850。
PPPOE协议提供了在广播式的网络（如以太网）中多台主机连接到远端的访问集中器（我们对目前能完成上述功能的设备为宽带接入服务器）上的一种标准。
在这种网络模型中，我们不难看出所有用户的主机都需要能独立的初始化自已的PPP协议栈，而且通过PPP协议本身所具有的一些特点，能实现在广播式网络上对用户进行计费和管理。
为了能在广播式的网络上建立、维持各主机与访问集中器之间点对点的关系，那么就需要每个主机与访问集中器之间能建立唯一的点到点的会话。
幻灯片19
幻灯片20
“以太网”一词是指以CSMA/CD作为MAC算法的一类LAN。
1973年，位于加利福尼亚PaloAlto的Xerox公司提出并实现了最初的以太网。
RobertMetcalfe博士被公认为以太网之父，他研制的实验室原型系统运行速度是2.94兆比特每秒（3Mb/s）。
这个实验性以太网（在Xerox公司中被称为“X-Wire”）用在了Xerox公司早期的一些产品中，包括世界上第一台配备网络功能、带有图形用户接口的个人工作站—XeroxAlto。
Xerox没能成功地将Alto或3Mb/s以太网商品化。
这两项实验性技术几乎完全保留在Xerox公司内部，没有向外部传播。
1979年，Xerox与DEC公司（DigitalEquipmentCorporation）联合起来，致力于以太网技术的标准化和商品化，并促进该项技术在网络产品中的应用。
这是一个很理想的组合：
Xerox有专利和技术，而DEC是当时最大的网络计算机供应商。
为了能确保容易地将商品化以太网集成到廉价芯片中，在Xerox的要求下，Intel公司也加入了这个联盟，负责提供这方面的指导。
由它们组成的DEC-Intel-Xerox（DIX）三驾马车，1980年9月开发并发布了10Mb/s版的以太网标准[DIX80]。
这个标准所支持的唯一一种物理介质是粗同轴电缆。
1982年，发布了该标准的第2版。
这一版以太网对信令做了略微修改，并增加了网络管理功能。
幻灯片21
从共享式以太网发展到交换式以太网过渡时期，出现了中继器和集线器两种互连的网络设备。
这两种设备基本原理都一样，那么单独讲解一下集线器。
其实集线器（HUB）和中继器都是物理层上的连接设备，那为什么这样说呢？
接下去我们共同来学习一下集线器的工作原理。
幻灯片22
既然集线器（HUB）存在以上问题，我们一起来看看以太网交换机。
以太网交换机是我们现在组建以太网的必备的设备。
接下去讲讲以太网交换机（另称多端口网桥）。
相比较HUB而言,交换机是工作在数据链路层的设备。
为什么这么说呢?
主要是以太网交换机或者网桥需要完成二个基本功能：
MAC地址学习；
转发和过滤决定；
幻灯片23
幻灯片24
交换机基于MAC地址表进行转发，MAC地址表是目的MAC地址和目的端口的对应关系。
1：
假设PCA向PCB发送一个数据帧，此数据帧的目的MAC地址设置为PCB的MAC地址00-0D-56-BF-88-20，交换机SWA接收到此数据帧之后，需要查找MAC地址表，根据MAC地址表中的记录，将数据帧从E0/3口向外转发。
交换机在转发数据帧的时候，对数据帧不做任何修改，如果交换机接收到的是一个广播数据帧，则向所有端口转发。
2：
交换机SWB接收到了此数据帧之后，查找MAC地址表，根据MAC地址表中的记录，将数据从E0/6端口上转发出去，此次转发仍然不会对数据帧做任何修改。
3：
PCB接收到数据帧之后，查看目的MAC地址，由于目的MAC地址为接收者本身，所以PCB处理此数据帧并上送上层协议处理数据帧所携带的数据。
幻灯片25
如果交换机从一个端口上接收到的是一个广播数据帧，则向所有其它端口转发，而且交换机在转发数据帧的时候，对数据帧不做任何修改，因此，如果交换网络中有环路，则广播帧会被无限期的转发，形成广播风暴。
幻灯片26
幻灯片27
幻灯片28
幻灯片29
幻灯片30
如前所述，对于物理层和数据链路层可以正常工作，并且开启了RSTP的交换机端口，RSTP共定义了四种端口角色，稳定时处于转发状态的有根端口和指定端口。
底层没有开启的端口称为Disable端口。
幻灯片31
一个非根交换机选举出一个新的根端口之后，如果以前的根端口已经不处于Forwarding状态，则新的根端口立即进入转发状态。
本例中：
SWC上与LANB相连的端口为根端口，假设此端口断开，即不再处于转发状态，则SWC需要重新选择一个根端口，与LANC相连的端口于是从预备端口成为新的根端口。
由于旧的根端口已经不再处于转发状态，因此网络中没有环路风险，因此新的根端口可以立即进入转发状态。
幻灯片32
边缘端口（EdgePort）是指不连接任何交换机的端口。
当把一个交换机端口配置成为边缘端口之后，一旦端口被启用，则端口立即成为指定端口（DesignatedPort），并进入转发状态。
幻灯片33
传统的局域网使用的是HUB，HUB只有一根总线，一根总线就是一个冲突域。
所以传统的局域网是一个扁平的网络，一个局域网属于同一个冲突域。
任何一台主机发出的报文都会被同一冲突域中的所有其它机器接收到。
后来，组网时使用网桥（二层交换机）代替集线器（HUB），每个端口可以看成是一根单独的总线，冲突域缩小到每个端口，使得网络发送单播报文的效率大大提高，极大地提高了二层网络的性能。
假如一台主机发出广播报文，设备仍然可以接收到该广播信息，我们通常把广播报文所能传输的范围称之为广播域，网桥在传递广播报文的时候依然要将广播报文复制多份，发送到网络的各个角落。
随着网络规模的扩大，网络中的广播报文越来越多，广播报文占用的网络资源越来越多，严重影响网络性能，这就是所谓的广播风暴的问题。
由于网桥二层网络工作原理的限制，网桥对广播风暴的问题无能为力。
为了提高网络的效率，一般需要将网络进行分段：
把一个大的广播域划分成几个小的广播域。
幻灯片34
VLAN与传统的LAN相比，具有以下优势：
限制广播包，提高带宽的利用率：
有效地解决了广播风暴带来的性能下降问题。
一个VLAN形成一个小的广播域，同一个VLAN成员都在由所属VLAN确定的广播域内，那么，当一个数据包没有路由时，交换机只会将此数据包发送到所有属于该VLAN的其他端口，而不是所有的交换机的端口，这样，就将数据包限制到了一个VLAN内。
在一定程度上可以节省带宽；
减少移动和改变的代价：
即所说的动态管理网络，也就是当一个用户从一个位置移动到另一个位置时，他的网络属性不需要重新配置，而是动态的完成，这种动态管理网络给网络管理者和使用者都带来了极大的好处，一个用户，无论他到哪里，他都能不做任何修改地接入网络，这种前景是非常美好的。
当然，并不是所有的VLAN定义方法都能做到这一点；
创建虚拟工作组：
使用VLAN的最终目标就是建立虚拟工作组模型，例如，在企业网中，同一个部门的就好像在同一个LAN上一样，很容易的互相访问，交流信息，同时，所有的广播包也都限制在该虚拟LAN上，而不影响其他VLAN的人。
一个人如果从一个办公地点换到另外一个地点，而他仍然在该部门，那么，该用户的配置无须改变；同时，如果一个人虽然办公地点没有变，但他更换了部门，那么，只需网络管理员更改一下该用户的配置即可。
这个功能的目标就是建立一个动态的组织环境，当然，这只是一个理想的目标，要实现它，还需要一些其他方面的支持。
用户不受到物理设备的限制，VLAN用户可以处于网络中的任何地方，VLAN对用户的应用不产生影响；
增强通讯的安全性：
一个VLAN的数据包不会发送到另一个VLAN，这样，其他VLAN用户的网络上是收不到任何该VLAN的数据包，确保了该VLAN的信息不会被其他VLAN的人窃听，从而实现了信息的保密；
增强网络的健壮性：
当网络规模增大时，部分网络出现问题往往会影响整个网络，引入VLAN之后，可以将一些网络故障限制在一个VLAN之内。
由于VLAN是逻辑上对网络进行划分，组网方案灵活，配置管理简单，降低了管理维护的成本。
幻灯片35
接入链路指的是用于连接主机和交换机的链路。
通常情况下主机并不需要知道自己属于哪些VLAN，主机的硬件也不一定支持带有VLAN标记的帧。
主机要求发送和接收的帧都是没有打上标记的帧。
接入链路属于某一个特定的端口，这个端口属于一个并且只能是一个VLAN。
这个端口不能直接接收其它VLAN的信息，也不能直接向其它VLAN发送信息。
不同VLAN的信息必须通过三层路由处理才能转发到这个端口上。
干道链路是可以承载多个不同VLAN数据的链路。
干道链路通常用于交换机间的互连，或者用于交换机和路由器之间的连接。
干道链路的英文叫做“trunklink”。
数据帧在干道链路上传输的时候，交换机必须用一种方法来识别数据帧是属于哪个VLAN的。
IEEE802.1Q定义了VLAN帧格式，所有在干道链路上传输的帧都是打上标记的帧（taggedframe）。
通过这些标记，交换机就可以确定哪些帧分别属于哪个VLAN。
和接入链路不同，干道链路是用来在不同的设备之间（如交换机和路由器之间、交换机和交换机之间）承载VLAN数据的，因此干道链路是不属于任何一个具体的VLAN的。
通过配置，干道链路可以承载所有的VLAN数据，也可以配置为只能传输指定的VLAN的数据。
干道链路虽然不属于任何一个具体的VLAN，但是可以给干道链路配置一个pvid（portVLANID）。
当干道链路不论因为什么原因，trunk链路上出现了没有带标记的帧，交换机就给这个帧增
升级会员 