- 企业网络安全建设最佳实践
- 张敬 李江涛 张振峰等编著
- 7162字
- 2021-06-09 16:36:03
2.1 网络及办公网简介
2.1.1 概述
1.网络概述
对于网络初学者,很难理解网络是什么。网络是由我们家庭里一台台小路由器连接起来的吗?答案肯定不是。作者在做以网络为主的相关工作的时候,也曾试图用简单的语言给非网络专业的人员描述什么是网络,但发现越说对方越糊涂。反而引出了对方的一句总结“微软是造车的,你们是修路的”,虽然描述不严谨,但我至今仍觉得比较形象。计算机网络就是利用通信线路,将地理位置分散的、具有独立功能的许多计算机系统连接起来,按照某种协议进行数据通信,实现资源共享的信息系统。如图2-2所示,网络拓扑是由一个个节点通过线路连接,形成小范围的网络,每一个小范围的网络再进行连接,最终形成全球互联的网络。
图2-2 网络拓扑
2.办公网概述
办公网是计算机网络的商业应用,企业为了更加有效地办公,自行建设公司内部的计算机服务系统,将所有的办公计算机和系统进行连接,实现统一管理、文件共享等目标。例如,公司为每个员工配备计算机,员工使用这些计算机编写文档、设计产品等,完成后在公司内部的办公网络中自由地传输。在企业网中存在的最大问题是资源共享,资源共享的目的是让企业中的任何人都可以访问相应的程序、设备或数据。在公司中员工可以共享打印机的使用,这不仅降低了公司的花费,而且使打印机更容易维护。
有些企业的全部员工都集中在一个办公区域,而有些公司的员工分散在不同的办事处和工厂中,如上海的销售人员有时候需要访问北京的销售系统。这时就需要为企业办公网引入“虚拟专用网”(Virtual Private Network,VPN)的网络技术,将不同地点的网络连接成一个虚拟的内网。
2.1.2 网络的类型
1.按照网络规模分类
网络按照网络规模分类可分为广域网、城域网、局域网(校园网属于局域网)3 种,如图2-3所示。
图2-3 广域网、城域网、局域网
1)广域网
广域网(Wide Area Network,WAN)又称外网、公网,是连接不同地区局域网或城域网计算机通信的远程网。通常跨接很大的物理范围,所覆盖的范围从几十千米到几千千米,它能连接多个地区、城市和国家,或横跨大洲提供远距离通信,形成国际性的远程网络。
现在很多人认为互联网即广域网,需要注意的是,广域网和互联网并不是等同的,二者所包含的网络规模和范围都没有特定的要求。互联网上的计算机可以位于世界上的任何地方,即使天各一方、相距万里,也可以通过互联网进行通信。互联网可以看作使用广域网将多个局域网连接起来形成的网络。
2)城域网
城域网(Metropolitan Area Network,MAN)的范围可覆盖一个城市。一般采用具有有源交换元件的局域网技术,传输时延较短,其传输媒介主要采用光缆,传输速率在1Gbps 以上。城域网作为城市范围的骨干网,将整个城市不同地点的主机、业务系统及局域网连接起来。
3)局域网
局域网(Local Area Network,LAN)是一种私有网络,一般在一座建筑物内或建筑物附近,如家庭、办公室或工厂。局域网被广泛用来连接个人计算机和消费类电子设备,使它们能够共享资源(如打印机)和交换信息。当局域网用于公司时,就被称为企业网络。局域网可分为小型局域网和大型局域网。小型局域网是指占地空间小、规模小、建网经费少的计算机网络,常用于办公室、学校多媒体教室、游戏厅、网吧,甚至家庭中的两台计算机也可以组成小型局域网。大型局域网主要用于企业 Internet 信息管理系统、金融管理系统等,同时负责大量终端计算机接入网络,从而构成企业办公网。
2.按照使用者分类
1)公用网
公用网是指电信公司/电信运营商(国有或私有)出资建造的大型网络,如联通、电信、移动提供的宽带、手机网络等,我们日常上网大多使用的是公用网络。
2)专用网
专用网是指某个部门为满足本单位的特殊业务工作的需要而建造的网络。这类网络跟互联网通常没有直接连接或直接禁止连接,仅供部门内部使用,如电子政务外网是政府的业务专网,主要运行政务部门面向社会的专业性业务和不需要在内网上运行的业务。电子政务外网和互联网之间逻辑隔离,而电子政务内网是政务部门的办公网,与互联网物理隔离。除此之外,银行、税务、检察院、公安、法院、医疗等各个领域都有属于自己的一套专用网络。
3.按照传输介质分类
网络传输介质是指在网络中传输信息的载体,常用的传输介质分为有线传输介质和无线传输介质两大类。不同的传输介质,其特性也各不相同,它们不同的特性对网络中数据的通信质量和通信速度有较大影响。
1)有线网络
有线网络的传输介质又分为双绞线和光纤两种。
(1)双绞线
双绞线(Twisted Pair,TP),俗称网线,是综合布线工程中常用的一种传输介质。双绞线由两根具有绝缘保护层的铜导线组成。两根绝缘的铜导线按一定密度互相绞在一起,可降低信号干扰的程度,一根导线在传输中辐射的电波会被另一根导线上发出的电波抵消。如果把一对或多对双绞线放在一个绝缘套管中便成了双绞线电缆,也称双扭线电缆。与其他传输介质相比,双绞线在传输距离、信道宽度和数据传输速率等方面均受到一定限制,但其优点是价格较低廉。目前双绞线可分为非屏蔽双绞线(Unshielded Twisted Pair,UTP)和屏蔽双绞线(Shielded Twisted Pair,STP),如图2-4所示。
图2-4 双绞线
屏蔽双绞线在双绞线与外层绝缘封套之间有一个金属屏蔽层。该屏蔽层可减少辐射,防止信息被窃听,也可阻止外部电磁干扰的进入,使屏蔽双绞线比同规格的非屏蔽双绞线具有更高的传输速率。
非屏蔽双绞线是一种数据传输线,由 4 对不同颜色的传输线组成,广泛用于以太网络和电话线中。非屏蔽双绞线电缆最早在1881年被用于贝尔发明的电话系统中。
双绞线统一采用RJ45接口,RJ45是布线系统中信息插座(通信引出端)连接器的一种,连接器由插头(接头、水晶头)和插座(模块)组成,插头有8个凹槽和8个触点。RJ是Registered Jack的缩写,意思是“注册的插座”。在FCC(美国联邦通信委员会)标准和规章中,RJ是描述公用电信网络的接口。
双绞线共 8 根,分为 568A、568B。568A 的线序是绿白、绿、橙白、蓝、蓝白、橙、棕白、棕;568B 的线序是橙白、橙、绿白、蓝、蓝白、绿、棕白、棕。同设备间采用交叉线(两头不同的线序),不同设备间采用直通线,但目前几乎所有设备的网口已经适应,不再区分568A和568B线序。
常见的双绞线有五类线和超五类线、六类线及最新的七类线,网线外表皮标注的是“CATx”标识,如CAT5是五类线,CAT5e是超五类线。详述如下:
① 一类线:主要用于传输语音(主要用于 20 世纪 80 年代初之前的电话线缆),不同于数据传输。
② 二类线:传输频率为 1MHz,用于语音传输和最高传输速率为4Mbps的数据传输,常见于使用4Mbps规范令牌传递协议的旧令牌。
③ 三类线:指目前在 ANSI 和 EIA/TIA 568 标准中指定的电缆。该电缆的传输频率为16MHz,用于语音传输及最高传输速率为10Mbps的数据传输,主要用于10BASE-T。
④ 四类线:传输频率为 20MHz,用于语音传输和最高传输速率为 16Mbps 的数据传输,主要用于基于令牌的局域网和10BASE-T/100BASE-T。
⑤ 五类线:该类电缆增加了绕线密度,外套一种高质量的绝缘材料,传输频率为100MHz,用于语音传输和最高传输速率为10Mbps的数据传输,主要用于100BASE-T和10BASE-T网络,是常用的以太网电缆。
⑥ 超五类线:衰减小,串扰少,并且具有更高的衰减串扰比(ACR)和信噪比(Signal Noise Ratio)、更小的时延误差,性能得到很大提高,超五类线主要用于千兆位以太网(1000Mbps)。
⑦ 六类线:该类电缆的传输频率为1~250MHz,六类布线系统在200MHz时综合衰减串扰比(PS-ACR)应该有较大的余量,其提供两倍于超五类线的带宽。六类布线的传输性能远远高于超五类标准,适用于传输速率高于1Gbps的应用。
⑧ 七类线:国际标准 ISO/IEC 11801 七类/F 级标准中最新的一种双绞线。为了适应万兆位以太网技术的应用和发展,其可以提供至少500MHz的综合衰减串扰比和600MHz的整体带宽,传输速率可达10Gbps。
(2)光纤
图2-5 光纤结构
光纤是由纤芯和包层构成的同心玻璃体,呈柱状,其结构如图 2-5 所示。光纤按光在光纤中的传输模式可分为单模光纤和多模光纤,如图2-6所示。
单模光纤是指在工作波长中,只能传输一个传播模式的光纤,通常外皮呈黄色,目前在有线电视和光通信中应用最广泛。光纤的玻璃芯很细(芯径一般为 9μm 或 10μm),模间色散(Intermodal Dispersion,光纤中不同模式的光束有不同的群速度,在传输过程中,不同模式的光束的时间延迟不同而产生的色散)很小,适用于远程通信。
图2-6 不同传输模式的光纤
多模光纤:光纤玻璃芯较粗(芯径一般为 50μm 或62.5μm),可传输多种模式的光,但其模间色散较大,这就限制了传输数字信号的频率,而且随着距离的增加会更加严重。主要用于建筑物内或地理位置相邻的环境中。
光纤通信采用的接口是光模块(见图 2-7),光模块由光电子器件、功能电路和光接口等组成。简单来说,光模块就是实现光电信号转换的物理元件,发送端把电信号转换成光信号,通过光纤传输后,接收端再把光信号转换成电信号。
图2-7 光模块
2)无线网络
无线网络依靠的无线电,又称无线电波或射频电波,是指在自由空间(包括空气和真空)传播的电磁波,在电磁波谱上,其波长长于红外线光(IR),频率范围为 300GHz以下,其对应的波长范围为 1mm 以上。人工生产的无线电波,应用于无线通信、广播、雷达、通信卫星、导航系统、计算机网络等。无线网络主要有以下6种。
(1)WLAN
无线局域网(Wireless Local Area Network,WLAN)是计算机网络与无线通信技术相结合的产物。通俗来说,无线局域网就是不采用传统电缆线,但提供传统有线局域网所有功能的网络。
(2)移动通信
1G 语音时代:第一代移动通信技术使用了多重蜂窝基站,允许用户在通话期间自由移动并在相邻基站之间无缝传输通话,如“大哥大”手机。
2G 短信时代:第二代移动通信技术与第一代相比,使用了数字传输取代模拟传输,并提高了电话寻找网络的效率。这一时期手机用户数量急速增长,预付费电话流行,短信功能首先在 GSM 平台应用,后来扩展到所有手机制式。从这一代开始手机也可以上网了,不过人们只能浏览一些文本信息。
3G 图片时代:第三代移动通信技术的最大特点是在数据传输中使用分组交换取代了电路交换。在 3G 下,有了高频宽和稳定的传输,影像和大量数据的传送更普遍,移动通信有更多样化的应用,因此3G被视为开启行动通信新纪元的关键。
4G 视频时代:第四代无线蜂窝电话通信协议,具备速度更快、通信灵活、智能性高、通信质量高、费用便宜等特点,并能够满足几乎所有用户对于无线服务的要求。
5G 物联网时代:国际电信联盟将 5G 应用场景划分为移动互联网和物联网两大类。凭借低时延、高可靠性、低功耗的特点,5G 的应用领域非常广泛,不仅能提供超高清视频、浸入式游戏等交互方式的再升级,而且支持海量的机器通信,服务智慧城市、智慧家居,在车联网、移动医疗、工业互联网等垂直行业“一展身手”。
(3)RFID
RFID 是射频识别技术(Radio Frequency Identification)的英文缩写,又称为电子标签。射频识别技术是20世纪90年代兴起的一种自动识别技术,是一项利用射频信号通过空间耦合(交变磁场或电磁场)实现无接触信息传递并通过所传递的信息达到识别目的的技术。射频识别技术可应用的领域十分广泛,具体包括:
● 钞票及产品防伪技术。
● 身份证、通行证(包括门票)。
● 电子收费系统,如公交卡。
● 家畜或野生动物的识别。
● 病人识别及电子病历。
● 物流管理。
● 行李分拣。
(4)NFC
NFC(Near Field Communication,近场通信)又称为近距离无线通信,是一种短距离的高频无线通信技术,允许电子设备之间进行非接触式点对点(在 10cm 内)的数据交换。NFC 是在 RFID 和互联网技术的基础上融合演变而来的新技术,是对非接触技术与RFID 技术的发展与创新,是一种短距离无线通信技术标准。它的发展为所有消费性电子产品提供了一个极为便利的通信方式,使手机成为一种安全、便捷、快速与时尚的非接触式支付和票务工具。NFC的应用除RFID可以实现的连接外,还可以实现:
● 蓝牙自动连接。
● 交换手机名片。
● 电子支付。
● 电子车票。
(5)蓝牙
蓝牙是一种无线数据和语音通信开放的全球规范,其基于低成本近距离的无线连接。蓝牙系统的基本单元是一个微微网(Piconet),每个微微网都包含一个主节点,在10m 距离之内最多有 7 个活跃的从节点。每个独立的同步蓝牙网络都被称为一个微微网,微微网是通过蓝牙技术以特定的方式连接起来的一种微型网,在同一个大房间中可以同时存在多个微微网,它们可以通过一个桥节点连接起来,该桥节点必须加入多个微微网。一组相互连接的微微网称为一个散网(Scatternet)。常用的蓝牙场景就是蓝牙通信,如蓝牙耳机、智能穿戴设备与手机之间的通信等。
(6)红外
红外是红外线的简称,其是一种电磁波,可以实现数据的无线传输。自 1800 年被发现以来,已经被普遍应用,如红外线鼠标、红外线打印机、红外线键盘等。红外传输是一种点对点的传输方式,点与点不能离得太远且要对准方向,如果中间有障碍物就不能穿过。
4.按照拓扑结构分类
1)总线型
将所有的节点都连接到一条电缆上,这条电缆称为总线。总线型网络拓扑如图2-8所示,其连接形式简单,易于安装,成本低,增加和撤销网络设备比较灵活,但总线型拓扑结构中,任意节点发生故障都会导致网络阻塞,同时这种拓扑结构难以查找故障。
2)星形
网络中的各节点通过点到点的方式连接到一个中央节点,由该中央节点向目的节点传送信息。中央节点执行集中式通信控制策略,因此中央节点相当复杂,负担比各节点重得多。星形网络拓扑如图2-9所示,在星形网络中,任何两个节点进行通信都必须经过中央节点控制。
图2-8 总线型网络拓扑
图2-9 星形网络拓扑
3)环形
入网设备通过转发器接入网络,一个转发器发出的数据只能被另一个转发器接收并转发,所有的转发器及其物理线路构成的环形网络拓扑,如图 2-10 所示。节点故障会引起全网故障,故障检测困难。
4)树形
树形网络可以包含分支,每个分支又可包含多个节点。如图 2-11 所示,树形网络拓扑是总线型网络拓扑的扩充形式,其传输介质是不封闭的分支电缆,树形网络拓扑和总线型网络拓扑一样,一个站点发送数据,其他站点都能接收。
图2-10 环形网络拓扑
图2-11 树形网络拓扑
5)网状形
各节点通过传输线互相连接起来,并且每一个节点至少与其他两个节点相连,网状形网络拓扑结构如图 2-12 所示,其具有较高的可靠性,但结构复杂,实现起来费用较高,不易管理和维护,故不常用于局域网。
图2-12 网状形网络拓扑
2.1.3 网络传输模式
在数据通信中,数据在线路上的传输方式可以分为单工通信、半双工通信和全双工通信3种。
1.单工通信
单工通信是指信息只能单方向传输的工作方式,如家电的红外遥控器,它只能发送数据给家电,但不能接收由家电发来的数据。
单工通信是单向信道,如图 2-13 所示,发送方和接收方是固定的,发送方只能发送数据,接收方只能接收数据,数据流是单向的。
图2-13 单工通信
2.半双工通信
半双工通信是指数据可以沿两个方向传输,但是同一时刻一个信道只能单方向传输数据,又被称为双向交替通信,如图 2-14 所示。最常见的例子为对讲机,对讲机在同一时间只允许一方通话。
图2-14 半双工通信
3.全双工通信
全双工通信是指允许数据在两个方向上同时传输,其在能力上相当于两个单工通信方式的结合,如图 2-15 所示。全双工通信指可以同时进行信号的双向传输,是瞬时同步的。
图2-15 全双工通信
2.1.4 网络通信的类型
数据通信中,在网络中的通信方式可以分为单播、广播、组播3种。
1.单播
单播是主机之间“一对一”的通信模式,网络中的交换机和路由器对数据只进行转发而不进行复制,如果10个客户机需要相同的数据,则服务器需要逐一传送,重复10次相同的工作。网络中的路由器和交换机根据其目的地址选择传输路径,将 IP 单播数据传送到其指定的目的地。
单播的优点如下:
(1)服务器及时响应客户机的请求。
(2)服务器针对每个客户不同的请求发送不同的数据,容易实现个性化服务。
单播的缺点如下:
(1)服务器针对每个客户机发送数据流,服务器流量=客户机数量×客户机流量;在客户数量大、每个客户机流量大的情况下,流媒体应用服务器将不堪重负。
(2)现有的网络带宽是金字塔结构,城际、省际主干带宽仅相当于其所有用户带宽之和的5%。如果全部使用单播协议,将造成网络主干不堪重负。
2.广播
广播是主机之间“一对所有”的通信模式,网络对其中每一台主机发出的信号都进行无条件复制并转发,所有主机都可以接收到所有信息(不管是否需要),由于不用路径选择,所以网络成本可以很低。有线电视网就是典型的广播型网络,电视机实际上可接收到所有频道的信号,但只将一个频道的信号还原成画面。在数据网络中也允许广播的存在,但被限制在二层交换机的局域网范围内,禁止广播数据传送到路由器,防止广播数据影响大面积的主机。
广播的优点如下:
(1)网络设备简单,维护简单,布网成本低。
(2)由于服务器不用向每个客户机单独发送数据,所以流量负载极低。
广播的缺点如下:
(1)无法针对每个客户的要求和时间及时提供个性化服务。
(2)网络允许服务器提供数据的带宽有限,客户端的最大带宽=服务总带宽。即使服务商有更大的财力配置更多的发送设备,也无法向众多客户提供更多样化的服务。
(3)广播禁止在Internet宽带上传输。
3.组播
组播是主机之间“一对一组”的通信模式,加入了同一个组的主机可以接收到此组内的所有数据,网络中的交换机和路由器只向需求者复制并转发其所需数据。主机可以向路由器请求加入或退出某个组,网络中的路由器和交换机有选择地复制并传输数据,只将组内数据传输给加入组的主机。这样既能一次将数据传输给多个有需要(组内)的主机,又能保证不影响其他不需要(未加入组)的主机的其他通信。
组播的优点如下:
(1)需要相同数据流的客户端加入相同的组共享一条数据流,节省了服务器的负载,具备广播所具备的优点。
(2)由于组播协议是根据接收者的需要对数据流进行复制并转发,所以服务器端的服务总带宽不受客户接入端带宽的限制。IP 允许有两亿六千多万个组播,所以其提供的服务可以非常丰富。
(3)组播协议允许在Internet宽带上传输。
组播的缺点如下:
(1)与单播协议相比,组播协议没有纠错机制,发生丢包错包后难以弥补,但可以通过一定的容错机制和 QoS(Quality of Service,服务质量,指一个网络能够利用各种基础技术,为指定的网络通信提供更好的服务能力)加以弥补。
(2)现行网络虽然都支持组播传输,但在客户认证等方面还需要完善,这些缺点在理论上都有成熟的解决方案,只是需要逐步推广应用到现存网络中。