企业跨区域网络安全规划部分知识点

网络规划知识点一（基于ensp)

1、NAT技术

网络地址转换技术（Network Address Translation），主要是为了解决全球网络IP地址短缺的问题，提出的一种私转公有的地址的一种解决办法。这种办法可以有效隐藏主机原有IP地址、提高网络IP地址利用率，减少公有IP地址地址的使用数量，降低网络成本。
在平时上网的时候，通常会使用私网IP作为局域网的主机标识，使用公网IP作为互联网上的主机标识。在进行网络访问时，只能先由私网发起，公网无法主动访问私网内的主机。
NAT技术又分为静态NAT和动态NAT

（1）静态NAT
实现了私有地址和公有地址的一对一映射(称为一对一模型），但实际上静态NAT技术并没有缓解地址短缺的问题，只做到了将地址进行转换而已。

（2）动态NAT
动态NAT是利用地址池pool来实现的。当内部主机需要访问公网时，网关RTA会从配置的公网地址池中选择一个未使用的公网地址与之做映射。每台主机都会分配到地址池中的一个唯一地址。

2、VLAN技术

（1）虚拟局域网，在物理网络基础架构上，利用交换机和路由器的功能，通过软件策略配置网络的逻辑拓扑结构，将网络用户按性质及需要分成若干个工作组。由于消息实在VLAN之间进行传送，所以减少了数据窃听的可能性，增强了网络安全性。同时ＶＬＡＮ能提高信息系统的运作性能，均衡网络数据流量。
PS：HUB：集线器，一个集线器就是一个冲突域

（2）交换机端口类型：
a、ACCESS LINK：访问链接，交换机与主机之间使用
b、TRUNK LINK：汇聚链接，交换机与交换机，交换机与路由器之间
c、HYBRID LINK：混合链接
Hybrid和Trunk的区别：允许多个vlan报文发送时不打标签，trunk只允许缺省vlan发送报文时不打标签。

PS：缺省vlan：Access的端口默认vlan1，则他的缺省vlan是他所在的vlan1，默认情况下是不用设置的。

３、Trunk

Trunk时一种封装技术，是在两台交换机之间的一条点到点链路。如果交换机与交换机之间存在多条链路，交换机每增加一个vlan，交换机与交换机就会增加一条链路，很有可能会造成链路浪费，基于此就产生了DTP。

trunk的作用：
（1）传输vlan
（2）数据在trunk链路上传输要打标签，数据在离开trunk链路时要脱标签
（3）通过trunk的标签可以区分不同的流量
（4）trunk工作在数据链路层

4、VRRP

虚拟路由器冗余协议，属于路由容错技术，也可称为备份路由协议。通常网络内的主机都会设置一个缺省路由。

VRRP的作用就是充当网络中的一个默认网关，简单点说就是如果网络中的一个路由器罢工时，配置了VRRP的网络可以绕过该路由器有另外一台路由器来代替该路由器进行工作，保证网络通信的连续性和可靠性。

5、STP

STP，生成树协议，主要应用在树形拓扑结构的建立上，主要作用是防止网桥网络中的冗余链路形成环路工作。
生成树协议是工作在数据链路层的协议

6、防火墙

（1）防火墙主要的部署模式

a.路由模式

防火墙主要放置于内部网络与外部网络之间。主要的配置为trust、untrust、dmz之间的防火墙安全策略。

b.透明模式（可以说是网桥）

透明模式下的防火墙，他放置的位置跟路由模式的一样，只是在使用过程中用户感觉不到它的存在。这个模式的防火墙有点像路由器，起一个连接作用，不需要修改任何的网络拓扑结构，也不需要进行任何的配置。

c.混合模式

既可以工作于路由模式，也可以工作于透明模式，但混合模式主要用于透明模式的双热备份防火墙。