[ZT]企业级路由器的重要功能

企业级路由器的重要功能

根据不同需求，开发者可以采用网络处理器灵活构造不同规模的处理平台，如单个网络处理器构成的小型单板设备；多个网络处理器构成的中型单板设备；多个线卡通过交换组织构成多板大型设备。例如使用八个Intel的IXP1200构建的OC-48光速2～7层包服务器的路由器。基于两个Intel的 IXP1200网络处理器阵列千兆防火墙安全设备等。作为第三方软件开发商，Deceng公司推出基于Intel的IXP2400的Snort千兆网络入侵检测系统软件解决方案。IXP2850更是以面向10-Gbit/s的IPSEC VPN设备市场而引起安全设备生产厂商的高度注意。在个人消费领域，家庭路由器和家庭网关是家庭网络的核心设备，需要根据具体家庭用户，快速、综合实现各种服务：如安全访问控制、VPN、视频流QOS保障、网络存储、计费管理等。低端NP正好完全满足家庭网关个性化、多变性、高性能要求特点。那么，对于路由器而言重要的功能包括那些呢？

一、网络服务质量(quality of service，简称QoS)
Q0s网络服务质量是网络于用户之间以及网络上互相通信的用户之间关于信息传输与共享的质的约定，例如，传输延迟允许时间、最小传输画面失真度以及声像同步等。在Internet等计算机网络上为用户提供高质量的QoS必须解决以下问题：
1. QoS的分类与定义。对QoS进行分类和定义的目的是使网络可以根据不同类型的QoS进行管理和分配资源。例如 ，给实时服务分配较大的带宽和较度的CPU处理时间等，另一 方面，对QoS进行分类定义也方便用户根据不同的应用提出QoS需求。
2. 准入控制和协商。即根据网络中资源的使用情况，允许用户进入网络进行多媒体信息传输并协商其QoS。
3. 资源预约。为了给用户提供满意的QoS，必须对端系统、路由器以及传输带宽等相应的资源进行预约，以确保这些资源不被其他应用所强用。
4. 资源调度与管理。对资源进行预约之后，是否能得到这些资源，还依赖于相应的资源调度与管理系统。
路由器的Qos可以通过以下几种方法获得：
通过大带宽得到
在路由器上除增加接口带宽以外不作任何额外工作来保障QoS。由于数据通信没有相应公认的数学模型作保障，该方法只能粗略地使用经验值作估计。通常认为当带宽利用率到达50％以后就应当扩容，保证接口带宽利用率小于50％。
通过端到端带宽预留实现
该方法通过使用RSVP或者类似协议在全网范围内通信的节点间端到端预留带宽。该方法能保证QoS，但是代价太高，通常只在企业网或者私网上运行，在大网公网上无法实现。
通过接入控制、拥塞控制和区分服务等方式得到
该方式无法完全保证QoS。这能与增加接口带宽等方式结合使用，在一定程度上提供相对的CoS。
通过MPLS流量工程得到
直观的来说。Qos为路由器带来的最大好处在于端口的带宽控制，带宽控制即可以限制端口带宽，从而限制端口的数据流量。我们知道，如今的交换技术已经可以在局网内部实现10M/100M甚至1000M的传输速度，但我们却可以通过设置将某一端口的带宽为30K，例如在商业企业中，一台网络中的计算机使用较高的带宽，或许就与工作无关了。又或者说，当网络中的某一项应用需要较大带宽时，对其他与本应用无关的节点计算机进行带宽限制，则有助于需要较大带宽的网络应用，例如视讯会议能够流畅无延迟的进行；有了网络带宽控制功能，网络管理员就可以设定不同的带宽等级，保证高层领导资源优势、尽量减少网络塞车现象的产生。对网吧而言，带宽控制功能则使网吧的分区分速则有助于提升网吧的服务质量，例如，对于只有QQ上网需求的用户，只需要分配给他们较小的带宽，对于既有 QQ上网需求，又有视频需求的用户则可以分配多一些带宽，而对于3D网游区和内部联网对战区，也可以设置合适的网络带宽，综上所述，端口带宽控制的目的在于更加合理有效的利用网络带宽。

 

二、VPN

VPN技术简介:
VPN，即Virtual Private Network虚拟私用网，是利用Internet来传输私有信息而形成的逻辑网络，它可为企业级用户提供比专线价格低廉和高安全性的资源共享和互连的服务，具有同私有网络相同的安全性、优先级特性、易管理性和稳定性，可以满足客户对企业内部局域网与Remote Office、移动用户、远程用户间无缝连接的要求，又可将网络连接扩展到客户、供货商、合作者和关键用户以形成Extranet来降低商业运作开支和提升服务质量并包括速度、简便性和保密性上的提升。企业内部组织地理上分散而需要内部网络互联，或者客户有将企业内部局域网与Remote Office、移动用户、远程用户间无缝连接的要求，或者有将网络连接扩展到客户、供货商、合作者和关键用户以形成Extranet的需求，VPN提供了一定程度的企业信息安全性，和较低的通信费用.

三、防火墙

谈到VPN就不得不谈谈防火墙。传统的防火墙产品功能单一，仅扮演安全网关入口作用，随着企业网络安全意识提升和网络安全隐患的不断增加，路由器和防火墙合而为一将更有助于提供企业级安全路由方案，防火墙路由器因此应运而生，一般而言,防火墙都有静态路由的功能；随着VPN技术的发展和应用领域的不断拓宽，传统网络产品上融入VPN技术并逐渐成为企业级网络的一部分属于必然趋势，事实上,VPN网关本身所处的位置与防火墙一样位于企业网络与外部网络之间，因此防火墙与VPN功能的集成也就顺理成章。

四、VLAN特性

VLAN，是英文Virtual Local Area Network的缩写，中文名为"虚拟局域网"， VLAN是一种将局域网（LAN）设备从逻辑而非物理上划分成一个个网段或更小的局域网LAN，从而实现虚拟工作组的数据交换技术。
VLAN 这一新兴技术既应用于交换机也应用于路由器中，但由于只有三层以上交换机才具有此功能，事实上三层交换机又过于昂贵，而对于许多企业或行业用户而言，他们对交换机的要求也仅仅是停留在二层应用上。因此，VLAN功能的路由器具有更好的性价比。VLAN的好处主要有三个：
1、端口的分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能通信的。这样一个物理的交换机可以当作多个逻辑的交换机使用。
2、网络的安全。不同VLAN不能直接通信，杜绝了广播信息的不安全性。
3、灵活的管理。更改用户所属的网络不必换端口和连线，只更改软件配置就可以了。
VLAN 技术使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。在网吧的环境里，众多的上网者使用着各种各样的软件：游戏，QQ，视频通信，浏览器，这些应用会在通信时会产生无数的数据包在网内和向网外传输，而这种传输是基于广播的机制在局域网的交换机环境进行，所以会产生不可避免的广播扩散和碰撞。当有很多客户机，但这些客户机都同属于一个子网时，这个局域网经常会发生广播风暴，这个后果是网络的传输性能整体下降。我们要采用VLAN来划分这个大的广播域为几个更小的广播域，这样各个小广播域内产生的广播会被局限在它内，广播风暴的产生几率就会降至最低。

　　VLAN的类型大致划分为六类:
1. 基于端口的VLAN
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。这种划分的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址的VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
3. 基于网络层协议的VLAN
VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。这种按网络层协议来组成的VLAN，可使广播域跨越多个 VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
4. 根据IP组播的VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。
5. 按策略划分的VLAN
基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。
6. 按用户定义、非用户授权划分的VLAN
基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。

五、端口镜像

什么是端口镜像:把一个或多个端口（VLAN）的数据镜像到一个或多个端口的方法。 那么，我们为什么需要端口镜像呢 ?
通常，为了部署 IDS 产品需要监听网络流量（网络分析仪同样也需要），但是在目前广泛采用的交换网络中监听所有流量有相当大的困难，因此需要通过配置交换机来把一个或多个端口（VLAN）的数据转发到某一个端口来实现对网络的监听。
端口镜像工作原理是，通过抓取网络数据包，然后将其发送到指定的端口输出存档，既可以只抓取某一端口也可以抓取全部端口，可以是上行传输数据或下行传输数据也可以是上下行双向传输数据，网络管理员可以自己灵活设置。通过端口镜像功能网络管理员可以掌握整个局域网中计算机对网络的操作行为。这一点对于许多商业和科技企业来说都尤为重要，商业泄秘可能会对企业造成致命打击或者是蒙受巨大的商业损失；利用端口镜像功能可以监控网络进出数据流，为企业的商业机密提供安全保障。对于网吧而言，如果具备网络监控功能，就可以实时监控是否有上网者在在浏览非法的或色情内容的网站，就上述几个方面而沿，端口镜像对于企业级用户和网吧级用户而言，都是相当实用和重要的功能。

端口镜像通常有以下几种别名：

●Port Mirroring
通常指允许把一个端口的流量复制到另外一个端口，同时这个端口不能再传输数据。
●Monitoring Port
监控端口
●Spanning Port
通常指允许把所有端口的流量复制到另外一个端口，同时这个端口不能再传输数据。
●SPAN port
SPAN 通常指 Switch Port ANalyzer。某些交换机的 SPAN 端口不支持传输数据。
●Link Mode port

当然，端口镜像也存在一定的缺点， 例如，它会加重交换机负载，造成设备不稳定；在某些情况下会丢包，不能保证 100% 镜像流量。比方说，由于多个源端口镜像到一个目的端口，可能造成目的端口无法处理造成丢包；