本文档主要讲的是ARP与VLAN技术。包括RFC 826ARP、IEEE 802.1QVLAN、IEEE 802.1sMSTP等相关知识。目录一、ARP协议1.1 ARP标准工作流程1.2 ARP扩展机制与安全规范1.3 ARP报文结构二、VLAN技术2.1 VLAN技术背景2.2 802.1Q帧封装规范2.3 Native VLAN规范2.4 VLAN与生成树协议的联动2.5 二层交换机接口类型2.6 VLAN划分方式三、VLAN应用与跨VLAN通信3.1 核心应用场景3.2 跨VLAN通信规范四、核心流程串联跨VLAN通信完整流程五、小结一、ARP协议Address Resolution ProtocolRFC 826ARP是TCP/IP协议栈中二层与三层之间的衔接协议核心功能是实现同一广播域内IP地址到MAC地址Media Access Control Address媒体访问控制地址的动态映射。1.1 ARP标准工作流程ARP交互分为请求、响应两个阶段全程在二层广播域内完成ARP请求广播报文源主机已知目标IP但未知目标MAC时构造ARP Request报文目的MAC字段填充为FF-FF-FF-FF-FF-FF广播地址操作码Opcode置为1。报文发送后交换机收到该广播帧后执行两项操作将源MAC与入接口的映射关系写入CAM表Content Addressable MemoryMAC地址表底层存储将该报文泛洪至除入接口外的所有同广播域接口。ARP响应单播报文仅目标IP匹配的设备会回复ARP Reply报文操作码置为2目的MAC置为源主机的MAC地址以单播形式发送。交换机收到后查询CAM表将报文精准转发至源主机接口。映射缓存双方将“IP-MAC”映射关系存入本地ARP缓存表Windows系统默认老化时间为1200秒Linux系统默认60秒支持静态绑定条目静态条目优先级高于动态条目永不老化。1.2 ARP扩展机制与安全规范免费ARPGratuitous ARP属于特殊ARP请求Sender IP与Target IP字段填充为自身IP操作码为1。核心作用IP冲突检测若收到响应则说明局域网内存在IP地址冲突地址变更通告虚拟机迁移、VRRP主备切换时发送触发全网设备更新ARP缓存。ARP缓存老化机制动态条目超时后会自动删除下次通信需重新发起ARP请求避免目标设备离线后仍保留无效映射。ARP欺骗防护ARP协议无身份认证机制攻击者可伪造ARP响应实施中间人攻击。标准防护方案网关侧静态绑定合法设备的IP-MAC映射交换机开启DAIDynamic ARP Inspection动态ARP检测仅转发与DHCP Snooping绑定表匹配的ARP报文。ARP泛洪防护攻击者伪造大量虚假ARP请求填满交换机CAM表导致设备拒绝服务。防护方案配置端口安全Port Security限制单接口最大MAC地址学习数量默认1个可按需调整。1.3 ARP报文结构ARP报文封装在以太网帧的数据段结构如下注以太网帧总长度为14字节帧头 28字节ARP 4字节FCS不足64字节时需填充符合IEEE 802.3最小帧长规范。二、VLAN技术Virtual Local Area NetworkIEEE 802.1QVLAN是将物理二层网络逻辑划分为多个独立广播域的技术核心作用是缩小广播域范围、提升网络安全性、简化网络管理。2.1 VLAN技术背景传统二层网络中所有设备处于同一广播域广播帧ARP请求、DHCP Discover等会泛洪至所有设备存在三大问题带宽浪费广播流量占用有效链路带宽安全风险跨部门/跨租户数据可被任意监听性能下降CAM表规模随设备数量增长转发效率降低。VLAN通过逻辑隔离将广播域限制在单个VLAN内不同VLAN的广播帧无法互通仅能通过三层设备转发。2.2 802.1Q帧封装规范IEEE 802.1Q是VLAN的标准封装协议在以太网帧的源MAC地址与Type/Length字段之间插入4字节的Tag字段结构如下注插入Tag后以太网帧最大长度从1518字节变为1522字节称为“小巨型帧Baby Giant Frame”主流网络设备均支持。2.3 Native VLAN规范Native VLAN是Trunk链路的特殊配置当Trunk接口收到未携带802.1Q Tag的帧时默认将其归类到Native VLAN默认值为VLAN 1。兼容性设计用于对接不支持802.1Q的老式设备此类设备发送的帧无Tag交换机自动归入Native VLAN转发风险提示若Trunk链路两端的Native VLAN配置不一致会导致VLAN泄漏VLAN Leaking即A侧的VLAN X流量被B侧归入VLAN Y是网络运维的高危隐患生产环境需手动修改默认Native VLAN如改为VLAN 999。2.4 VLAN与生成树协议的联动VLAN解决了广播域过大的问题但物理环路仍需生成树协议Spanning Tree ProtocolSTP防环主流方案有两种PVSTPer-VLAN Spanning Tree PlusCisco私有协议为每个VLAN独立运行一棵生成树链路利用率高但设备资源消耗大MSTPMultiple Spanning Tree ProtocolIEEE 802.1s国际标准将多个VLAN映射到一个MST实例MSTI默认所有VLAN归属于实例0IST内部生成树大幅降低设备资源消耗是企业级网络的主流选择。2.5 二层交换机接口类型华为VRP系统标准定义交换机二层接口按VLAN处理方式分为三类Access接口类比专属通道应用场景连接PC、打印机等终端设备核心规则仅能属于一个VLAN接口PVIDPort VLAN ID端口默认VLAN唯一处理逻辑入方向收到未标记帧时打上PVID收到已标记帧时仅当VLAN ID等于PVID时接收否则直接丢弃出方向强制剥离VLAN Tag因为终端设备网卡不支持802.1Q解析收到带Tag的帧会直接丢弃。Trunk接口类比跨设备中继通道应用场景连接交换机、路由器等网络设备核心规则允许指定VLAN列表通过需配置Allowed VLAN List处理逻辑入方向收到未标记帧时打上Native VLAN的PVID收到已标记帧时仅当VLAN ID在Allowed VLAN List内时接收否则丢弃出方向仅Native VLAN的帧剥离Tag其余VLAN的帧保留Tag转发。Hybrid接口华为私有类比多功能通道应用场景灵活适配IP电话、服务器等特殊设备无需修改接口类型即可调整Tag处理规则核心规则可独立配置Tagged VLAN List发送时保留Tag和Untagged VLAN List发送时剥离Tag典型场景连接IP电话时语音VLAN配置为Tagged电话下挂的PC VLAN配置为Untagged一个接口同时支持两类设备接入。2.6 VLAN划分方式IEEE 802.1Q支持的标准分类三、VLAN应用与跨VLAN通信3.1 核心应用场景部门隔离不同业务部门如财务部、研发部划分至独立VLAN广播流量与数据完全隔离防止敏感信息泄露多租户隔离写字楼、IDC机房中不同租户分配独立VLAN共用物理网络设备但数据互不干扰等同于逻辑独立网络语音与数据隔离语音流量划入独立VLAN配置最高PRI优先级保障通话质量即使网络拥塞也不影响语音传输。3.2 跨VLAN通信规范VLAN天然隔离二层广播不同VLAN间的通信必须通过三层设备路由器或三层交换机转发核心铁律同一VLAN内的设备必须处于同一IP子网跨VLAN通信必须经过网关。单臂路由Router-on-a-Stick实现原理路由器物理接口创建多个子接口Sub-interface每个子接口对应一个VLAN的网关终结802.1Q Tag后执行三层路由转发配置要点子接口必须手动开启arp broadcast enable因为华为VRP系统默认子接口不转发广播ARP请求否则无法解析对端MAC地址局限性所有VLAN间流量均经过单一物理接口存在带宽瓶颈与单点故障风险仅适用于小型网络。三层交换机企业主流方案实现原理交换机内置路由引擎通过SVISwitched Virtual Interface交换虚拟接口华为设备中称为Vlanif接口作为VLAN的网关转发基于硬件ASIC专用集成电路实现支持线速路由核心技术遵循“一次路由多次交换”原则首个数据包由CPU完成路由查表后续同数据流的数据包由ASIC直接转发转发效率远高于单臂路由优势无单点故障、无带宽瓶颈支持大规模网络部署。四、核心流程串联跨VLAN通信完整流程以财务部VLAN 10IP网段192.168.10.0/24主机A访问研发部VLAN 20IP网段192.168.20.0/24主机B为例ARP请求阶段主机A发现目标IP跨网段向网关192.168.10.1三层交换机Vlanif10接口发送ARP请求报文为无Tag的广播帧Access接口入方向处理交换机连接主机A的Access接口收到帧后打上VLAN 10的TagTrunk链路传输若跨交换机转发Tag保留通过Trunk链路传输至三层交换机三层转发三层交换机Vlanif10接口收到帧后剥离Tag查询路由表发现目标网段为192.168.20.0/24对应出接口为Vlanif20重新打上VLAN 20的TagTrunk链路传输携带VLAN 20 Tag的帧通过Trunk链路传输至研发部所在交换机Access接口出方向处理连接主机B的Access接口收到帧后剥离VLAN 20的Tag将无Tag的帧发送至主机BARP响应阶段主机B回复的ARP响应与数据帧沿原路径反向传输流程一致。五、小结ARP负责“认脸”IP转MACVLAN负责“划区”隔离广播域二者结合配合三层路由共同构成了现代企业网络隔离广播、安全互通的基石。
本文档主要讲的是ARP与VLAN技术。包括RFC 826ARP、IEEE 802.1QVLAN、IEEE 802.1sMSTP等相关知识。目录一、ARP协议1.1 ARP标准工作流程1.2 ARP扩展机制与安全规范1.3 ARP报文结构二、VLAN技术2.1 VLAN技术背景2.2 802.1Q帧封装规范2.3 Native VLAN规范2.4 VLAN与生成树协议的联动2.5 二层交换机接口类型2.6 VLAN划分方式三、VLAN应用与跨VLAN通信3.1 核心应用场景3.2 跨VLAN通信规范四、核心流程串联跨VLAN通信完整流程五、小结一、ARP协议Address Resolution ProtocolRFC 826ARP是TCP/IP协议栈中二层与三层之间的衔接协议核心功能是实现同一广播域内IP地址到MAC地址Media Access Control Address媒体访问控制地址的动态映射。1.1 ARP标准工作流程ARP交互分为请求、响应两个阶段全程在二层广播域内完成ARP请求广播报文源主机已知目标IP但未知目标MAC时构造ARP Request报文目的MAC字段填充为FF-FF-FF-FF-FF-FF广播地址操作码Opcode置为1。报文发送后交换机收到该广播帧后执行两项操作将源MAC与入接口的映射关系写入CAM表Content Addressable MemoryMAC地址表底层存储将该报文泛洪至除入接口外的所有同广播域接口。ARP响应单播报文仅目标IP匹配的设备会回复ARP Reply报文操作码置为2目的MAC置为源主机的MAC地址以单播形式发送。交换机收到后查询CAM表将报文精准转发至源主机接口。映射缓存双方将“IP-MAC”映射关系存入本地ARP缓存表Windows系统默认老化时间为1200秒Linux系统默认60秒支持静态绑定条目静态条目优先级高于动态条目永不老化。1.2 ARP扩展机制与安全规范免费ARPGratuitous ARP属于特殊ARP请求Sender IP与Target IP字段填充为自身IP操作码为1。核心作用IP冲突检测若收到响应则说明局域网内存在IP地址冲突地址变更通告虚拟机迁移、VRRP主备切换时发送触发全网设备更新ARP缓存。ARP缓存老化机制动态条目超时后会自动删除下次通信需重新发起ARP请求避免目标设备离线后仍保留无效映射。ARP欺骗防护ARP协议无身份认证机制攻击者可伪造ARP响应实施中间人攻击。标准防护方案网关侧静态绑定合法设备的IP-MAC映射交换机开启DAIDynamic ARP Inspection动态ARP检测仅转发与DHCP Snooping绑定表匹配的ARP报文。ARP泛洪防护攻击者伪造大量虚假ARP请求填满交换机CAM表导致设备拒绝服务。防护方案配置端口安全Port Security限制单接口最大MAC地址学习数量默认1个可按需调整。1.3 ARP报文结构ARP报文封装在以太网帧的数据段结构如下注以太网帧总长度为14字节帧头 28字节ARP 4字节FCS不足64字节时需填充符合IEEE 802.3最小帧长规范。二、VLAN技术Virtual Local Area NetworkIEEE 802.1QVLAN是将物理二层网络逻辑划分为多个独立广播域的技术核心作用是缩小广播域范围、提升网络安全性、简化网络管理。2.1 VLAN技术背景传统二层网络中所有设备处于同一广播域广播帧ARP请求、DHCP Discover等会泛洪至所有设备存在三大问题带宽浪费广播流量占用有效链路带宽安全风险跨部门/跨租户数据可被任意监听性能下降CAM表规模随设备数量增长转发效率降低。VLAN通过逻辑隔离将广播域限制在单个VLAN内不同VLAN的广播帧无法互通仅能通过三层设备转发。2.2 802.1Q帧封装规范IEEE 802.1Q是VLAN的标准封装协议在以太网帧的源MAC地址与Type/Length字段之间插入4字节的Tag字段结构如下注插入Tag后以太网帧最大长度从1518字节变为1522字节称为“小巨型帧Baby Giant Frame”主流网络设备均支持。2.3 Native VLAN规范Native VLAN是Trunk链路的特殊配置当Trunk接口收到未携带802.1Q Tag的帧时默认将其归类到Native VLAN默认值为VLAN 1。兼容性设计用于对接不支持802.1Q的老式设备此类设备发送的帧无Tag交换机自动归入Native VLAN转发风险提示若Trunk链路两端的Native VLAN配置不一致会导致VLAN泄漏VLAN Leaking即A侧的VLAN X流量被B侧归入VLAN Y是网络运维的高危隐患生产环境需手动修改默认Native VLAN如改为VLAN 999。2.4 VLAN与生成树协议的联动VLAN解决了广播域过大的问题但物理环路仍需生成树协议Spanning Tree ProtocolSTP防环主流方案有两种PVSTPer-VLAN Spanning Tree PlusCisco私有协议为每个VLAN独立运行一棵生成树链路利用率高但设备资源消耗大MSTPMultiple Spanning Tree ProtocolIEEE 802.1s国际标准将多个VLAN映射到一个MST实例MSTI默认所有VLAN归属于实例0IST内部生成树大幅降低设备资源消耗是企业级网络的主流选择。2.5 二层交换机接口类型华为VRP系统标准定义交换机二层接口按VLAN处理方式分为三类Access接口类比专属通道应用场景连接PC、打印机等终端设备核心规则仅能属于一个VLAN接口PVIDPort VLAN ID端口默认VLAN唯一处理逻辑入方向收到未标记帧时打上PVID收到已标记帧时仅当VLAN ID等于PVID时接收否则直接丢弃出方向强制剥离VLAN Tag因为终端设备网卡不支持802.1Q解析收到带Tag的帧会直接丢弃。Trunk接口类比跨设备中继通道应用场景连接交换机、路由器等网络设备核心规则允许指定VLAN列表通过需配置Allowed VLAN List处理逻辑入方向收到未标记帧时打上Native VLAN的PVID收到已标记帧时仅当VLAN ID在Allowed VLAN List内时接收否则丢弃出方向仅Native VLAN的帧剥离Tag其余VLAN的帧保留Tag转发。Hybrid接口华为私有类比多功能通道应用场景灵活适配IP电话、服务器等特殊设备无需修改接口类型即可调整Tag处理规则核心规则可独立配置Tagged VLAN List发送时保留Tag和Untagged VLAN List发送时剥离Tag典型场景连接IP电话时语音VLAN配置为Tagged电话下挂的PC VLAN配置为Untagged一个接口同时支持两类设备接入。2.6 VLAN划分方式IEEE 802.1Q支持的标准分类三、VLAN应用与跨VLAN通信3.1 核心应用场景部门隔离不同业务部门如财务部、研发部划分至独立VLAN广播流量与数据完全隔离防止敏感信息泄露多租户隔离写字楼、IDC机房中不同租户分配独立VLAN共用物理网络设备但数据互不干扰等同于逻辑独立网络语音与数据隔离语音流量划入独立VLAN配置最高PRI优先级保障通话质量即使网络拥塞也不影响语音传输。3.2 跨VLAN通信规范VLAN天然隔离二层广播不同VLAN间的通信必须通过三层设备路由器或三层交换机转发核心铁律同一VLAN内的设备必须处于同一IP子网跨VLAN通信必须经过网关。单臂路由Router-on-a-Stick实现原理路由器物理接口创建多个子接口Sub-interface每个子接口对应一个VLAN的网关终结802.1Q Tag后执行三层路由转发配置要点子接口必须手动开启arp broadcast enable因为华为VRP系统默认子接口不转发广播ARP请求否则无法解析对端MAC地址局限性所有VLAN间流量均经过单一物理接口存在带宽瓶颈与单点故障风险仅适用于小型网络。三层交换机企业主流方案实现原理交换机内置路由引擎通过SVISwitched Virtual Interface交换虚拟接口华为设备中称为Vlanif接口作为VLAN的网关转发基于硬件ASIC专用集成电路实现支持线速路由核心技术遵循“一次路由多次交换”原则首个数据包由CPU完成路由查表后续同数据流的数据包由ASIC直接转发转发效率远高于单臂路由优势无单点故障、无带宽瓶颈支持大规模网络部署。四、核心流程串联跨VLAN通信完整流程以财务部VLAN 10IP网段192.168.10.0/24主机A访问研发部VLAN 20IP网段192.168.20.0/24主机B为例ARP请求阶段主机A发现目标IP跨网段向网关192.168.10.1三层交换机Vlanif10接口发送ARP请求报文为无Tag的广播帧Access接口入方向处理交换机连接主机A的Access接口收到帧后打上VLAN 10的TagTrunk链路传输若跨交换机转发Tag保留通过Trunk链路传输至三层交换机三层转发三层交换机Vlanif10接口收到帧后剥离Tag查询路由表发现目标网段为192.168.20.0/24对应出接口为Vlanif20重新打上VLAN 20的TagTrunk链路传输携带VLAN 20 Tag的帧通过Trunk链路传输至研发部所在交换机Access接口出方向处理连接主机B的Access接口收到帧后剥离VLAN 20的Tag将无Tag的帧发送至主机BARP响应阶段主机B回复的ARP响应与数据帧沿原路径反向传输流程一致。五、小结ARP负责“认脸”IP转MACVLAN负责“划区”隔离广播域二者结合配合三层路由共同构成了现代企业网络隔离广播、安全互通的基石。
