第三层交换技术解析及在数据安全中的应用

整理：阿新 (Seraph Chutium)

三层交换技术解析

简单地说，三层交换技术就是：二层交换技术＋三层转发技术。它解决了局域网中网段划分之后，网段中子网必须依赖路由器进行管理的局面，解决了传统路由器低速、复杂所造成的网络瓶颈问题。

什么是三层交换

三层交换（也称多层交换技术，或IP交换技术）是相对于传统交换概念而提出的。众所周知，传统的交换技术是在OSI网络标准模型中的第二层——数据链路层进行操作的，而三层交换技术是在网络模型中的第三层实现了数据包的高速转发。简单地说，三层交换技术就是：二层交换技术＋三层转发技术。

三层交换技术的出现，解决了局域网中网段划分之后，网段中子网必须依赖路由器进行管理的局面，解决了传统路由器低速、复杂所造成的网络瓶颈问题。

三层交换原理

一个具有三层交换功能的设备，是一个带有第三层路由功能的第二层交换机，但它是二者的有机结合，并不是简单地把路由器设备的硬件及软件叠加在局域网交换机上。

其原理是：假设两个使用IP协议的站点A、B通过第三层交换机进行通信，发送站点A在开始发送时，把自己的IP地址与B站的IP地址比较，判断B站是否与自己在同一子网内。若目的站B与发送站A在同一子网内，则进行二层的转发。若两个站点不在同一子网内，如发送站A要与目的站B通信，发送站A要向“缺省网关”发出ARP(地址解析)封包，而“缺省网关”的IP地址其实是三层交换机的三层交换模块。当发送站A对“缺省网关”的IP地址广播出一个ARP请求时，如果三层交换模块在以前的通信过程中已经知道B站的MAC地址，则向发送站A回复B的MAC地址。否则三层交换模块根据路由信息向B站广播一个ARP请求，B站得到此ARP请求后向三层交换模块回复其MAC地址，三层交换模块保存此地址并回复给发送站A,同时将B站的MAC地址发送到二层交换引擎的MAC地址表中。从这以后，当A向B发送的数据包便全部交给二层交换处理，信息得以高速交换。由于仅仅在路由过程中才需要三层处理，绝大部分数据都通过二层交换转发，因此三层交换机的速度很快，接近二层交换机的速度，同时比相同路由器的价格低很多。

三层交换机种类

三层交换机可以根据其处理数据的不同而分为纯硬件和纯软件两大类。

（1）纯硬件的三层技术相对来说技术复杂，成本高，但是速度快，性能好，带负载能力强。其原理是，采用ASIC芯片，采用硬件的方式进行路由表的查找和刷新。如图1所示。

图1 纯硬件三层交换机原理

当数据由端口接口芯片接收进来以后，首先在二层交换芯片中查找相应的目的MAC地址，如果查到，就进行二层转发，否则将数据送至三层引擎。在三层引擎中，ASIC芯片查找相应的路由表信息，与数据的目的IP地址相比对，然后发送ARP数据包到目的主机，得到该主机的MAC地址，将MAC地址发到二层芯片，由二层芯片转发该数据包。

（2）基于软件的三层交换机技术较简单，但速度较慢，不适合作为主干。其原理是，采用CPU用软件的方式查找路由表。如图2所示。

图2 软件三层交换机原理

当数据由端口接口芯片接收进来以后，首先在二层交换芯片中查找相应的目的MAC地址，如果查到，就进行二层转发否则将数据送至CPU。CPU查找相应的路由表信息，与数据的目的IP地址相比对，然后发送ARP数据包到目的主机得到该主机的MAC地址，将MAC地址发到二层芯片，由二层芯片转发该数据包。因为低价CPU处理速度较慢，因此这种三层交换机处理速度较慢。

市场产品选型

近年来宽带IP网络建设成为热点，下面以适合定位于接入层或中小规模汇聚层的第三层交换机产品为例，介绍一些三层交换机的具体技术。在市场上的主流接入第三层交换机，主要有Cisco的Catalyst 2948G-L3、Extreme的Summit24和AlliedTelesyn的Rapier24等，这几款三层交换机产品各具特色，涵盖了三层交换机大部分应用特性。当然在选择第三层交换机时，用户可根据自己的需要，判断并选择上述产品或其他厂家的产品，如北电网络的Passport/Acceler系列、原Cabletron的SSR系列（在Cabletron一分四后，大部分SSR三层交换机已并入Riverstone公司）、Avaya的Cajun M系列、3Com的Superstack3 4005系列等。此外，国产网络厂商神州数码网络、TCL网络、上海广电应确信、紫光网联、首信等都已推出了三层交换机产品。下面就其中三款产品进行介绍，使您能够较全面地了解三层交换机，并针对自己的情况选择合适的机型。

Cisco Catalyst 2948G-L3交换机结合业界标准IOS提供完整解决方案，在版本12.0(10)以上全面支持IOS访问控制列表 ACL，配合核心Catalyst 6000，可完成端到端全面宽带城域网的建设（Catalyst 6000使用MSFC模块完成其多层交换服务，并已停止使用RSM路由交换模块，IOS版本6.1以上全面支持ACL)。

Extreme公司三层交换产品解决方案，能够提供独特的以太网带宽分配能力，切割单位为500kbps或200kbps，服务供应商可以根据带宽使用量收费，可实现音频和视频的固定延迟传输。

AlliedTelesyn公司Rapier24三层交换机提供的PPPoE特性，丰富和完善了用户认证计费手段，可适合多种接入网络，应用灵活，易于实现业务选择，同时又保护目前用户的已有投资，另可配合NAT（网络地址转换）和DHCP的Server等功能，为许多服务供应商看好。

总之，三层交换机从概念的提出到今天的普及应用，虽然只历经了几年的时间，但其扩展的功能也不断结合实际应用得到丰富。随着ASIC硬件芯片技术的发展和实际应用的推广，三层交换的技术与产品也会得到进一步发展。

使用三层交换保证数据安全

江西三九宜工股份有限公司主干网拓扑结构为多级星型千兆以太网。在科技楼的中心机房放置一台有多个千兆口和百兆口的高性能交换机Cisco Catalyst 4006，作为骨干网核心交换机。公司主服务器和高性能工作站使用中心交换机的千兆交换端口，性能较低和业务量相对较少的工作站连接到中心交换机的百兆口；在中心交换机的的背板插槽中安装光纤模块，通过光纤连接生产分厂的Catalyst 3512交换机，使各分厂中的工作站也可获得百兆带宽。

公司计算机网络配置为：服务器端是Windows NT Server ，客户端为Windows NT Workstation或Windows95/98；应用系统包括两个部分，第一部分是CAD/CAM/CAPP/PDM系统，另一个是企业资源计划管理（ERP）系统。中心机房有一台HP 6000作为Windows NT 主域控制器，同时也是ERP服务器，HP LH3作为一台独立CAD Server，另外还有一台邮件服务器，一台网管服务器，一台用作出图的PC 机，所有的产品图纸集中在计算机中心出图。

■安全要求

1. 为了防止CAD设计的产品图纸通过管理部门的计算机外泄，必须将两个应用系统划分到不同的网段分隔开来；

2. 整个系统只设一个主域控制器，中心机房的所有计算机属于CAD 网段，但又要求使用ERP服务器中的资源；

3. 公司级的主要领导属于ERP管理网段，但同时又要求管理和使用CAD网段中的资源。

■用VLAN解决

以太网是基于CSMA/CD机制的网络，不可避免地会产生包的广播和冲突，由于数据广播会占用带宽，也影响安全，尤其在基于Windows的网络中，所以有必要减少网络中的广播，需要使用VLAN。VLAN能将一个广播域划分为多个广播域，它的划分有三种方式，基于端口、基于MAC地址和基于网络协议。Cisco的解决方案是建议一个VLAN对应一个IP网段（TCP/IP网络），宜工目前采用的就是这种方式，并采用Trunk技术维持VLAN配置的一致性。Trunk是在交换机间或与路由间的点对点链路可同时传输多个VLAN数据，帮助把实现VLAN从一台交换机到另一台交换机的扩展。

在网络七层协议里，Hub是第一层设备，所连接的设备在同一冲突域和广播域内；交换机和网桥是第二层设备，所连接的设备在同一广播域内，每个端口是一个冲突域，所以交换机可以帮助减少冲突，并可实现双工通信，但不能减少广播流量；路由器是第三层设备，连接的设备在不同的广播域和冲突域内，可以通过路由功能控制广播和冲突。

■三层交换简化设置

划分了VLAN后，不同VLAN间就不能通讯了，所以需要路由器来连接不同的VLAN，但有了第三层交换机后就不必再那么麻烦。Catalyst 4006是Cisco公司推出的一款较先进的企业主干网交换机，拥有第三层交换能力，既解决了VLAN通讯问题，又消除了路由器带宽低的痼疾。4006的三层交换功能在4232-L3模块上实现，与5000系列和6000系列不同，4000系列交换机的三层交换是采用内部的两个虚拟千兆连接完成的。

中心交换机上共设计了两个VLAN，分别为CAD和普通用户使用，网段为192.168.66.0和192.168.67.0。交换机为两个VLAN提供了第三层交换功能，同时利用静态路由列表将某些特殊地址加入，实施一定的安全策略。

在实际网络中，管理模块上的两个和4306-GB模块上的五个通过光纤连接二级交换机，提供主干千兆。从4006角度看6/1和6/2是两条实现路由功能的接口（我们的三层模块插在交换机第六个槽），而对于三层交换模块来说，这两个端口是连接4006的接口。

通过第三层交换功能，实现了企业网络分段，从而提高了网络中数据的安全性。