考点19 三层交换机与硬件防火墙《计算机网络》河北省（对口招生）计算机类 知识点讲解

河北省（计算机类）对口招生《计算机网络》 复习讲义 模块 3 广域网技术 考点19 三层交换机与硬件防火墙 【考纲要求】 1.理解三层交换机的工作过程； 2.熟悉硬件防火墙的工作原理及工作过程； 【知识网络】 【知识和技能要点】 一、三层交换机 1.三层交换机概述 三层交换机 = 二层交换技术 + 三层路由技术，同时工作在 OSI 参考模型的数据链路层（第 2 层）和网络层（第 3 层）。 （1）二层交换机：只处理二层帧，依据MAC 地址表转发，只能实现同一个 VLAN 内部通信，无法实现 VLAN 之间互相访问。 （2）三层交换机：把路由功能集成到交换机硬件芯片，硬件完成路由转发，解决局域网内 VLAN 之间高速互通问题。 2.三层交换机工作过程 三层交换机存在两种通信场景：同一 VLAN 内部通信（二层交换）、不同 VLAN 之间通信（三层 VLAN 间路由），核心机制为一次路由，多次交换。 （1）同一 VLAN 内部通信 ①源主机封装数据帧发送到三层交换机。 ②交换机读取帧的目的 MAC 地址，查询MAC 地址表。 ③根据 MAC 地址表找到输出端口，直接转发数据帧。 （2） 不同 VLAN 之间主机通信 ①源主机判断目标 IP 不在同一网段，把报文发给本 VLAN 的 SVI 网关；帧的目的 MAC 填写网关的 MAC，源 IP、目的 IP 不变。 ②三层交换机收到帧，识别目的 MAC 是本机 SVI 接口，报文上交三层路由模块。 ③三层模块查询路由表，找到目标网段对应的 SVI 接口。 ④重写二层帧头部：更换源 MAC、目的 MAC；IP 包头的源 IP、目的 IP 保持不变。 ⑤数据帧从目标 VLAN 端口转发，送达目的主机；应答报文反向重复上述过程。 （3）一次路由，多次交换 数据流第一个数据包：CPU 完成路由处理，同时在硬件生成流表。该流后续数据包：直接硬件根据流表转发，不再经过 CPU 路由计算，转发速度大幅提升。 2、 硬件防火墙 1. 概念 把防火墙功能固化在专用硬件设备上，集成专用处理器、操作系统，部署在网络边界（内网与外网之间），依据预先配置的安全策略，对进出网络的数据包进行过滤、检测，实现访问控制，隔离内外网络，防范网络攻击。 2. 硬件防火墙的功能 硬件防火墙部署于网络边界，能够依据安全策略完成数据包过滤与访问控制，实现 NAT 网络地址转换以隐藏内网地址、节约公网 IP，同时支持会话状态检测、用户身份认证，抵御 SYN 洪水、IP 欺骗等网络攻击，具备日志记录、安全告警审计功能，还可提供 VPN 接入能力，实现对内网网络资源的安全防护。 3. 防火墙的类型 分为：包过滤防火墙、代理防火墙（应用代理）、状态检测防火墙和复合型防火墙。 （1） 包过滤防火墙（网络层防火墙） 工作在 OSI 网络层、传输层。 依据 IP 包头、TCP/UDP 头部信息过滤：源 IP、目的 IP、源端口、目的端口、协议类型。 对每个独立数据包逐一检查，不跟踪连接状态。 ①优点 · 处理速度快，开销小； · 价格较低； · 对用户透明，不需要客户端额外配置。 ②缺点 · 不跟踪会话状态，容易被欺骗攻击； · 只能识别网络层、传输层信息，无法识别应用层内容； · 规则多后管理复杂； · 不能防范基于应用层的攻击。 （2）代理防火墙（应用代理防火墙，应用层防火墙） 工作在 OSI 应用层。 防火墙充当 “中间人”，内外网之间没有直接连接。内网用户访问外网，全部由代理防火墙代替完成请求，再把结果返回给内网主机。内外网不直接互通。 ①优点 · 可以解析应用层协议，能够检测应用层攻击； · 内外网完全隔离，安全性高； · 支持用户身份认证。 ②缺点 · 所有业务都由代理处理，处理速度慢，性能低； · 每一种应用都需要对应代理程序，新应用支持差； · 需要客户端配置代理，使用不透明； · 并发量大容易成为性能瓶颈。 （3）状态检测防火墙（状态包检测防火墙，目前主流硬件防火墙） 工作在网络层传输层，兼顾部分应用层检测。 不只看单个数据包，维护一张连接状态表，跟踪 TCP/UDP 整个会话连接状态。只允许合法会话的回应数据包通过。 ①优点 ·跟踪连接会话，安全性高于普通包过滤； ·性能优于应用代理防火墙，速度快； ·对用户透明，不用修改客户端配置； ·可以抵御部分欺骗类攻击，是现在硬件防火墙主流技术。 ②缺点 ·主要检测网络层、传输层，深度应用层防护能力弱于应用代理； ·状态表占用设备内存，大并发会话会消耗设备资源； ·无法抵御部分应用层恶意攻击。 （4）复合型防火墙 复合型防火墙：将包过滤技术、状态检测技术、应用代理（应用网关）技术中的两种或多种技术结合在同一台防火墙设备上，取长补短，综合各类防火墙的优势，弥补单一防火墙技术的缺陷。 ①优点 · 安全性更高：同时具备网络层、传输层、应用层多层防护，弥补单一技术的安全短板。既能防网络层攻击，又可以检测应用层恶意行为。 · 兼顾性能与安全：不需要全部流量都经过低效的应用代理；普通流量高速转发，只有特定流量做深度代理检测，缓解性能瓶颈。 · 功能丰富：支持访问控制、会话状态跟踪、应用内容过滤、用户身份认证。 · 灵活性强：可以根据安全策略，指定哪些流量走代理深度检测，哪些流量直接状态转发。 ②缺点 · 设备复杂度高：多种安全模块集成，硬件、软件结构复杂，设备成本更高。 · 配置维护难度增大：包过滤规则、状态策略、代理策略需要协同配置，规则配置不当容易出现安全漏洞或者业务不通。 · 部分经过代理的业务流量，仍然会存在一定性能损耗。 【练习题】 一、填空题 1.三层交换机集成了二层交换技术与______技术，能够解决局域网内不同VLAN之间的高速互通问题。 2.二层交换机只能依据______地址表转发数据帧，无法实现VLAN之间的互相访问。 3.硬件防火墙能够实现______网络地址转换，从而隐藏内网地址并节约公网IP。 4.包过滤防火墙工作在OSI的______层和传输层，依据IP包头和TCP/UDP头部信息进行过滤。 5.同一VLAN内主机通信，三层交换机仅进行________层转发，不需要路由处理。 6.不同VLAN主机通信时，数据包的________地址不变，仅改写二层MAC地址。 7.三层交换机高速转发的核心机制是________，首包CPU路由，后续包硬件转发。 8.防火墙的________技术可以实现私网IP访问公网，同时隐藏内网真实地址、节约公网IP。 9.防火墙通过________功能校验接入用户身份，防止非法用户接入内网。 10.代理防火墙工作在OSI的______层，充当“中间人”角色，内外网之间没有直接连接。 二、选择题 1.三层交换机同时工作在OSI参考模型的（ ） A. 物理层和数据链路层 B. 数据链路层和网络层 C. 网络层和传输层 D. 传输层和应用层 2.二层交换机只能实现同一个VLAN内部通信，其转发数据帧的依据是（ ） A. IP地址 B. MAC地址 C. 端口号 D. 协议类型 3.三层交换机在跨VLAN转发数据时，对数据包的修改情况是（ ） A. 源IP、目的IP、源MAC、目的MAC全部更改 B. 仅更改源IP和目的IP C. 仅更改源MAC和目的MAC D. 所有字段均不更改 4.硬件防火墙通过实现（ ）功能来隐藏内网地址并节约公网IP。 A. VPN B. NAT C. IDS D. IPS 5.下列防火墙工作在OSI的应用层，且内外网之间没有直接连接的是（ ） A. 包过滤防火墙 B. 状态检测防火墙 C. 代理防火墙 D. 复合型防火墙 6.包过滤型防火墙原理上是基于( )进行分析的技术。 A. 物理层 B. 数据链路层 C. 网络层 D. 应用层 7.关于防火墙的功能，下列说法哪项是错误的( )。 A. 防火墙可以检查进出内部网的通信量 B. 防火墙可以使用应用网关技术在应用层上建立协议过滤和转发功能 C. 防火墙可以使用过滤技术在网络层对数据包进行选择 D. 防火墙可以阻止来自内部的威胁和攻击 8.状态检测防火墙的缺点是（ ） A. 容易被欺骗攻击 B. 状态表占用设备内存，大并发会话消耗资源 C. 需要客户端配置代理 D. 无法识别网络层信息 9.三层交换机把路由功能集成到交换机硬件芯片，其主要目的是（ ） A. 降低设备成本 B. 实现VLAN之间高速互通 C. 替代路由器连接广域网 D. 增加设备的物理端口 10.下列关于代理防火墙的描述，错误的是（ ） A. 工作在OSI应用层 B. 能够检测应用层攻击 C. 处理速度快，适合高并发环境 D. 内外网之间没有直接连接 三、判断题 1.二层交换机能够实现同一个VLAN内部通信，也可以实现VLAN之间的互相访问。（ ） 2.三层交换机把路由功能集成到硬件芯片中，解决了局域网内VLAN之间高速互通的问题。（ ） 3.在三层交换机跨VLAN通信时，源主机发出的数据帧的目的MAC填写的是目的主机的MAC地址。（ ） 4.三层交换机在重写二层帧头部进行跨VLAN转发时，IP包头的源IP和目的IP也会随之更改。（ ） 5.在“一次路由，多次交换”机制中，数据流的第一个数据包由CPU完成路由处理，后续数据包直接由硬件根据流表转发。（ ） 6.硬件防火墙部署在网络边界，主要作用是隔离内外网络并防范网络攻击。（ ） 7.代理防火墙工作在应用层，内外网之间没有直接连接，所有请求均由代理防火墙代替完成。（ ） 8.状态检测防火墙的缺点是状态表会占用设备内存，大并发会话时会消耗设备资源。（ ） 9.在三层交换机同一VLAN内部通信过程中，数据报文需要上交三层路由模块进行处理。（ ） 10.复合型防火墙由于所有流量都必须经过低效的应用代理，因此性能损耗极大。（ ） 【答案】 一、填空题 1.三层路由 2.MAC 3.NAT 4.网络 5. 二 6.IP 7.一次路由，多次交换 8. NAT 9. 身份认证 10.应用 二、选择题 1.B 2.B 3.C 4.B 5.C 6.C 7.D 8. B 9.B 10.C 三、判断题 1.× 2.√ 3. × 4.× 5.√ 6.√ 7.√ 8. √ 9.× 10.× 原创精品资源学科网独家享有版权，侵权必究 学科网（北京）股份有限公司 学科网（北京）股份有限公司 $