某企业数据中心拓扑如图2-1所示，均采用互联网双线接入，实现冗余和负载。两台核心交换..

免费智能真题库 > 历年试卷 > 网络规划设计师 > 2020年下半年网络规划设计师下午试卷案例

第2题

知识点：负载均衡交换机存储系统加密链路虚拟专用网

某企业数据中心拓扑如图2-1所示，均采用互联网双线接入，实现冗余和负载。两台核心交换机通过虚拟化配置实现关键链路冗余和负载均衡，各服务器通过SAN存储网络与存储系统连接。关键数据通过虚拟专用网络加密传输，定期备份到异地灾备中心，实现数据冗余。

问题：2.1 (8分)
在①处部署(1)设备,实现链路和业务负载，提高线路和业务的可用性。
在②处配置(2)实现SwitchA与两台核心交换机之间的链路冗余。
在③处部署(3)设备，连接服务器HBA卡和各存储系统，在该设备上配置(4)将连接在SAN网络中的设备划分为不同区域，隔离不同的主机和设备。

问题：2.2 (8分）
为保障关键数据安全，利用虚拟专用网络，在本地数据中心与异地灾备中心之间建立隧道，使用IPSec协议实现备份数据的加密传输，IPSec使用默认端口。
根据上述需求回答以下问题：
1.应在④处部署什么设备实现上述功能需求？
2.在两端防火墙上需开放UDP4500和什么端口?
3.在有限带宽下如何提高异地备份时的备份效率？
4.请简要说明增量备份和差异备份的区别。

问题：2.3 （6分）
分布式存储解决方案在实践中得到广泛应用。请从成本、扩容、IOPS、冗余方式、稳定性五个方面对传统集中式存储和分布式存储进行比较，并说明原因。

问题：2.4 （3分）
数据中心设计是网络规划设计的重要组成部分，请简述数据中心选址应符合的条件和要求。（至少回答3点）


知识点讲解
· 负载均衡 · 交换机 · 存储系统 · 加密 · 链路 · 虚拟专用网

负载均衡

负载均衡是由多台服务器以对称的方式组成一个服务器集合，每台服务器都具有等价的地位，都可以单独对外提供服务而无需其他服务器的辅助。通过某种负载分担技术，将外部发送来的请求均匀地分配到对称结构中的某一台服务器上，而接收到请求的服务器独立地回应客户的请求。

目前，比较常用的负载均衡技术主要有：

（1）基于DNS的负载均衡。在DNS中为多个地址配置同一个名字，因而查询这个名字的客户机将得到其中一个地址，从而使得不同的客户访问不同的服务器，达到负载均衡的目的。DNS负载均衡是一种简单而有效的方法，但是它不能区分服务器的差异，也不能反映服务器的当前运行状态。

（2）代理服务器负载均衡。使用代理服务器，可以将请求转发给内部的服务器，使用这种加速模式可以提升静态网页的访问速度。然而，可以考虑这样一种技术，使用代理服务器将请求均匀转发给多台服务器，从而达到负载均衡的目的。

（3）地址转换网关负载均衡。支持负载均衡的地址转换网关，可以将一个外部IP地址映射为多个内部IP地址，对每次TCP连接请求动态使用其中一个内部地址，达到负载均衡的目的。

（4）协议内部支持负载均衡。有的协议内部支持与负载均衡相关的功能，如HTTP协议中的重定向能力等。

（5）NAT（Network Address Translation，网络地址转换）负载均衡。NAT是将一个IP地址转换为另一个IP地址，一般用于未经注册的内部地址与合法的、已获注册的Internet IP地址间进行转换。适用于解决Internet IP地址紧张、不想让网络外部知道内部网络结构等的场合下。

（6）反向代理负载均衡。普通代理方式是代理内部网络用户访问Internet上服务器的连接请求，客户端必须指定代理服务器，并将本来要直接发送到Internet上服务器的连接请求发送给代理服务器处理。反向代理方式是指以代理服务器来接受Internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给Internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器。反向代理负载均衡技术是把将来自Internet上的连接请求以反向代理的方式动态地转发给内部网络上的多台服务器进行处理，从而达到负载均衡的目的。

（7）混合型负载均衡。在有些大型网络，由于多个服务器群内硬件设备、各自的规模、提供的服务等的差异，可以考虑给每个服务器群采用最合适的负载均衡方式，然后又在这多个服务器群间再一次负载均衡或集群起来以一个整体向外界提供服务（即把这多个服务器群当做一个新的服务器群），从而达到最佳的性能。这种方式称为混合型负载均衡，这种方式有时也用于单台均衡设备的性能不能满足大量连接请求的情况下。

交换机

机架式交换机是一种插槽式的交换机，这种交换机扩展性较好，可支持不同的网络类型，如以太网、快速以太网、千兆位以太网、ATM、令牌环及FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）等，但价格较贵。固定配置式带扩展槽交换机是一种有固定端口数并带少量扩展槽的交换机，这种交换机在支持固定端口类型网络的基础上，还可以支持其他类型的网络，价格居中。固定配置式不带扩展槽交换机仅支持一种类型的网络，但价格最便宜。

交换机的性能指标主要有机架插槽数、扩展槽数、最大可堆叠数、最小／最大端口数、支持的网络类型、背板吞吐量、缓冲区大小、最大物理地址表大小、最大电源数、支持协议和标准、支持第3层交换、支持多层（4～7层）交换、支持多协议路由、支持路由缓存、支持网管类型、支持端口镜像、服务质量（Quality of Service，QoS）、支持基于策略的第2层交换、每端口最大优先级队列数、支持最小／最大带宽分配、冗余、热交换组件、负载均衡等。

存储系统

存储器的层次结构

计算机的三层存储体系结构如下图所示。

存储器层次结构示意框图

三层存储结构是高速缓存（Cache）、主存储器（Main Memory，MM）和辅助存储器（外存储器）。若将CPU内部寄存器也看作存储器的一个层次，那么存储器的层次分为4层。若有些计算机没有高速缓存，那么存储器的层次分为两层，即只有主存和辅存。

存储器的分类

1）按位置分类

存储器按位置分类，可分为内存和外存。

（1）内存（主存）：用来存储当前运行所需要的程序和数据，速度快，容量小。

（2）外存（辅存）：用来存储目前不参与运行的数据，容量大但速度慢。

2）按材料分类

存储器按材料分类，可分为磁存储器、半导体存储器和光存储器。

（1）磁存储器：用磁性介质做成的，如磁芯、磁泡、磁盘、磁带等。

（2）半导体存储器：根据所用元件又可分为双极型和MOS型；根据是否需要刷新又可分为静态和动态两类。

（3）光存储器：由光学、电学和机械部件等组成，如光盘存储器。

3）按工作方式分类

存储器按工作方式分类，可分为读写存储器和只读存储器。

（1）读写存储器：既能读取数据也能存入数据的存储器。

（2）只读存储器：根据数据写入方式，又可细分为固定只读存储器、可编程只读存储器、可擦除可编程只读存储器、电擦除可编程只读存储器和闪速存储器。

4）按访问方式分类

存储器按访问方式分类，可分为按地址访问的存储器和按内容访问的存储器。

5）按寻址方式分类

存储器按寻址方式分类，可分为随机存储器、顺序存储器和直接存取存储器。

（1）随机存储器（RandomAccessMemory，RAM）：这种存储器可对任何存储单元存入或读取数据，访问任何一个存储单元所需时间都是相同的。

（2）顺序存储器（SequentiallyAddressedMemory，SAM）：访问数据所需时fi间与数据所在存储位置有关，磁带是典型的顺序存储器。

（3）直接存取存储器（DirectAddressedMemory，DAM）：采用介于随机存取和顺序存取之间的一种寻址方式。磁盘是一种直接存取控制器，它对磁道的寻址是随机的，而在一个磁道内，则是顺序寻址。

相联存储器

相联存储器是一种按内容访问的存储器。其工作原理是把数据或数据的某一部分作为关键字，将该关键字与存储器中的每一单元进行比较，找出存储器中所有与关键字相同的数据字。

高速缓冲存储器（可简称为高速缓存或缓存）可用在相联存储器中，在虚拟存储器中用来作段表、页表或块表存储器，还可以用在数据库和知识库中。

高速缓存

高速缓存（Cache）是位于CPU和主存之间的高速存储子系统。采用高速缓存的主要目的是提高存储器的平均访问速度，使存储器的速度与CPU的速度相匹配。Cache的存在对程序员是透明的。其地址变换和数据块的替换算法均由硬件实现。通常Cache被集成到CPU内，以提高访问速度，其主要特点是容量小、速度快、成本高。

1）Cache的组成

Cache的组成如下图所示。Cache由两部分组成，即控制部分和缓存部分。缓存部分用来存放主存的部分复制信息。控制部分的功能是：判断CPU要访问的信息是否在Cache中，若在即为命中，若不在则没有命中。命中时直接对Cache寻址；未命中时，要按照替换原则，决定主存的一块信息放到Cache的哪一块里面。

高速缓存的组成框图

2）Cache中的地址映像方法

因为处理机访问都是按主存地址访问的，而应从Cache中读写信息，因此这就需要地址映像，即把主存中的地址映射成Cache中的地址。地址映像的方法有3种，即直接映像、全相联映像和组相联映像。

（1）直接映像就是主存的块与Cache中块的对应关系是固定的。主存中的块只能存放在Cache的相同块号中。因此，只要主存地址中的主存区号与Cache中的主存区号相同，则表明访问Cache命中。一旦命中，以主存地址中的区内块号立即可得到要访问的Cache中的块。这种方式的优点是地址变换很简单，缺点是灵活性差。

（2）全相联映像允许主存的任一块可以调入Cache的任何一块的空间中。在地址变换时，利用主存地址高位表示的主存块号与Cache中的主存块号进行比较，若相同则为命中。这种方式的优点是主存的块调入Cache的位置不受限制，十分灵活；其缺点是无法从主存块号中直接获得Cache的块号，变换比较复杂，速度比较慢。

（3）组相联映像是前面两种方式的折中。具体做法是将Cache中的块再分成组。组相联映像就是规定组采用直接映像方式而块采用全相联映像方式。这种方式下，通过直接映像方式来决定组号，在一组内再用全映像方式来决定Cache中的块号。由主存地址高位决定主存区号，与Cache中区号比较可决定是否命中。主存后面的地址即为组号，但组块号要根据全相联映像方式，由记录可以决定组内块号。

3）替换算法

选择替换算法的目标是使Cache获得最高的命中率。常用的替换算法有以下几种。

（1）随机替换（RAND）算法：用随机数发生器产生一个要替换的块号，将该块替换出去。

（2）先进先出（FIFO）算法：将最先进入的Cache信息块替换出去。

（3）近期最少使用（LRU）算法：将近期最少使用的Cache中的信息块替换出去。这种算法比先进先出算法要好些，但此法也不能保证过去不常用的将来也不常用。

（4）优化替换（OPT）算法：先执行一次程序，统计Cache的替换情况。有了这样的先验信息，在第二次执行该程序时便可以用最有效的方式来替换，达到最优的目的。

4）Cache的性能分析

若H为Cache的命中率，t_c为Cache的存取时间，t_m为主存的访问时间，则Cache的等效访问时间t_a为

t_a=Ht_c+(1-H)t_m

使用Cache比不使用Cache的CPU访问存储器的速度提高的倍数r可以用下式求得，即

虚拟存储器

虚拟存储器是由主存、辅存、存储管理单元及操作系统中存储管理软件组成的存储系统。程序员使用该存储系统时，可以使用的内存空间远远大于主存的物理空间，但实际上并不存在那么大的主存，故称其为虚拟存储器。虚拟存储器的空间大小取决于计算机的访存能力而不是实际外存的大小，实际存储空间可以小于虚拟地址空间。从程序员的角度看，外存被看作逻辑存储空间，访问的地址是一个逻辑地址（虚地址），虚拟存储器使存储系统既具有相当于外存的容量又有接近于主存的访问速度。

虚拟存储器的访问也涉及虚地址与实地址的映像、替换算法等，这与Cache中的类似。前面讲的地址映像以块为单位，而在虚拟存储器中，地址映像以页为单位。设计虚拟存储系统需考虑的指标是主存空间利用率和主存的命中率。按存储映像算法，可将虚拟存储器的管理方式分为以下3种。

（1）页式虚拟存储器。以页为信息传送单位的虚拟存储器。为实现页式管理，须建立实页与虚页间的关系表，称为页表；在页表及变换软件的控制下，可将程序的虚拟地址变换为内存的实地址。页式虚拟存储器的优点是：页表硬件少，查表速度快；主存零头少。页式虚拟存储器的缺点是：分页无逻辑意义，不利于存储保护。

（2）段式虚拟存储器。以程序的逻辑结构形成的段作为主存分配依据的一种管理方法。为实现段式管理，须建立段表；在段地址变换机构及软件的控制下，可将程序的虚拟地址变换为主存的实地址。段式虚拟存储器的优点是：段的界线分明；支持程序的模块化设计；易于对程序段的编译、修改和保护；便于多道程序的共享。段式虚拟存储器的主要缺点是：主存利用率不高，查表速度慢。

（3）段页式虚拟存储器。这是将段式虚拟存储器和页式虚拟存储器结合的一种管理方式。在这种虚拟存储器中，程序按逻辑结构分段，每一段再分成若干大小固定的页。程序的调入调出是按页进行的，而程序又可按段实现保护。这种管理方式兼有两者的优点，但地址变换速度比较慢。

外存储器

外存储器用来存放暂时不用的程序和数据，并且以文件的形式存储。CPU不能直接访问外存中的程序和数据，将其以文件为单位调入主存后方可访问。外存由磁表面存储器（如磁盘、磁带）及光盘存储器构成。

1）磁盘存储器

（1）磁盘存储器的构成。磁盘存储器由盘片、驱动器、控制器和接口组成。盘片用来存储信息；驱动器用于驱动磁头沿盘面径向运动以寻找目标磁道位置，驱动盘片以额定速率稳定旋转，并且控制数据的写入和读出；控制器接收主机发来的命令，将它转换成磁盘驱动器的控制命令，并实现主机和驱动器之间数据格式的转换及数据传送，以控制驱动器的读写操作；接口是主机和磁盘存储器之间的连接逻辑。

（2）磁盘存储器的种类。根据所用材质的不同，磁盘存储器分为软盘和硬盘。

①软盘。为了正确存储信息，将盘片划成许多同心圆，称为磁道，从外到里编号，最外一圈为0道，往内道号依次增加。沿径向的单位距离的磁道数称为道密度，单位为tpi。将一个磁道沿圆周等分为若干段，每段称为一个扇段或扇区，每个扇区内可存放一个固定长度的数据块。磁道上单位距离可记录的比特数称为位密度，单位为bpi。因为每条磁道上的扇区数相同，而每个扇区的大小又一样，所以每个磁道都记录同样多的信息。又因为里圈磁道的圆周比外圈磁道的圆周小，所以里圈磁道的位密度要比外圈磁道的位密度高。最内圈的位密度称为最大位密度。

磁盘容量有两种指标：一种是非格式化容量，它是指一个磁盘所能存储的总位数；另一种是格式化容量，它是指各扇区中数据区容量的总和。计算公式分别为：

非格式化容量=面数×(磁道数/面)×内圆周长×最大位密度

格式化容量=面数×(磁道数/面)×(扇区数/道)×(字节数/扇区)

②硬盘。按盘片是否固定、磁头是否移动等指标，硬盘可分为移动磁头固定盘片的磁盘存储器、固定磁头的磁盘存储器、移动磁头可换盘片的磁盘存储器和温彻斯特磁盘存储器（简称温盘）。一个硬盘驱动器内可装多个盘片，组成盘片组，每个盘片都配有一个独立的磁头。所以记录面上相同序号的磁道构成一个圆柱面，其编号与磁道编号相同。文件存储在硬盘上时尽可能放在同一圆柱面上，或者放在相邻柱面上，这样可以缩短寻道时间。

2）光盘存储器

（1）光盘存储器的类型。根据性能和用途，可分为只读型光盘、只写一次型光盘和可擦除型光盘。

（2）光盘存储器的组成及特点。光盘存储器由光学、电学和机械部件等组成。特点是：记录密度高；存储容量大；采用非接触式读写信息；信息可长期保存；采用多通道记录时数据传输率可超过200Mb/s；制造成本低；对机械结构的精度要求不高；存取时间较长。

磁盘阵列技术

磁盘阵列是由多台磁盘存储器组成的、快速大容量且高可靠的外存子系统。现在常见的廉价冗余磁盘阵列（Redundant Array of Inexpensive Disks，RAID），就是一种由多块廉价磁盘构成的冗余阵列。虽然RAID包含多块磁盘，但是在操作系统下是作为一个独立的大型存储设备出现的。RAID技术分为几种不同的等级，分别可以提供不同的速度、安全性和性价比，如下表所示。

廉价冗余磁盘阵列（RAID）

加密

保密与加密

保密就是保证敏感信息不被非授权的人知道。加密是指通过将信息进行编码而使得侵入者不能够阅读或理解的方法，目的是保护数据和信息。解密是将加密的过程反过来，即将编码信息转化为原来的形式。古时候的人就已经发明了密码技术，而现今的密码技术已经从外交和军事领域走向了公开，并结合了数学、计算机科学、电子与通信等诸多学科而成为了一门交叉学科。现今的密码技术不仅具有保证信息机密性的信息加密功能，而且还具有数字签名、身份验证、秘密分存、系统安全等功能，来鉴别信息的来源以防止信息被篡改、伪造和假冒，保证信息的完整性和确定性。

加密与解密机制

加密的基本过程包括对原来的可读信息（称为明文或平文）进行翻译，译成的代码称为密码或密文，加密算法中使用的参数称为加密密钥。密文经解密算法作用后形成明文，解密算法也有一个密钥，这两个密钥可以相同也可以不相同。信息编码的和解码方法可以很简单也可以很复杂，需要一些加密算法和解密算法来完成。

从破译者的角度来看，密码分析所面对的问题有三种主要的变型：①“只有密文”问题（仅有密文而无明文）；②“已知明文”问题（已有了一批相匹配的明文与密文）；③“选择明文”（能够加密自己所选的明文）。如果密码系统仅能经得起第一种类型的攻击，那么它还不能算是真正的安全，因为破译者完全可能从统计学的角度与一般的通信规律中猜测出一部分的明文，而得到一些相匹配的明文与密文，进而全部解密。因此，真正安全的密码机制应使破译者即使拥有了一些匹配的明文与密文也无法破译其他的密文。

如果加密算法是可能公开的，那么真正的秘密就在于密钥了，密钥长度越长，密钥空间就越大，破译密钥所花的时间就越长，破译的可能性就越小。所以应该采用尽量长的密钥，并对密钥进行保密和实施密钥管理。

国家明确规定严格禁止直接使用国外的密码算法和安全产品，原因主要有两点：①国外禁止出口密码算法和产品，目前所出口的密码算法都有破译手段，②国外的算法和产品中可能存在“后门”，要防止其在关键时刻危害我国安全。

密码算法

密码技术用来进行鉴别和保密，选择一个强壮的加密算法是至关重要的。密码算法一般分为传统密码算法（又称为对称密码算法）和公开密钥密码算法（又称为非对称密码算法）两类，对称密钥密码技术要求加密解密双方拥有相同的密钥。而非对称密钥密码技术是加密解密双方拥有不相同的密钥。

对称密钥密码体制从加密模式上可分为序列密码和分组密码两大类（这两种体制之间还有许多中间类型）。

序列密码是军事和外交场合中主要使用的一种密码技术。其主要原理是：通过有限状态机产生性能优良的伪随机序列，使用该序列将信息流逐比特加密从而得到密文序列。可以看出，序列密码算法的安全强度由它产生的伪随机序列的好坏而决定。分组密码的工作方式是将明文分成固定长度的组（如64比特一组），对每一组明文用同一个密钥和同一种算法来加密，输出的密文也是固定长度的。在序列密码体制中，密文不仅与最初给定的密码算法和密钥有关，同时也是被处理的数据段在明文中所处的位置的函数；而在分组密码体制中，经过加密所得到的密文仅与给定的密码算法和密钥有关，而与被处理的明数据段在整个明文中所处的位置无关。

不同于传统的对称密钥密码体制，非对称密码算法要求密钥成对出现，一个为加密密钥（可以公开），另一个为解密密钥（用户要保护好），并且不可能从其中一个推导出另一个。公共密钥与专用密钥是有紧密关系的，用公共密钥加密的信息只能用专用密钥解密，反之亦然。另外，公钥加密也用来对专用密钥进行加密。

公钥算法不需要联机密钥服务器，只在通信双方之间传送专用密钥，而用专用密钥来对实际传输的数据加密解密。密钥分配协议简单，所以极大简化了密钥管理，但公共密钥方案较保密密钥方案处理速度慢，因此，通常把公共密钥与专用密钥技术结合起来实现最佳性能。

密钥及密钥管理

密钥是密码算法中的可变参数。有时候密码算法是公开的，而密钥是保密的，而密码分析者通常通过获得密钥来破译密码体制。也就是说，密码体制的安全性建立在对密钥的依赖上。所以，保守密钥秘密是非常重要的。

密钥管理一般包括以下8个内容。

（1）产生密钥：密钥由随机数生成器产生，并且应该有专门的密钥管理部门或授权人员负责密钥的产生和检验。

（2）分发密钥：密钥的分发可以采取人工、自动或者人工与自动相结合的方式。加密设备应当使用经过认证的密钥分发技术。

（3）输入和输出密钥：密钥的输入和输出应当经由合法的密钥管理设备进行。人工分发的密钥可以用明文形式输入和输出，并将密钥分段处理；电子形式分发的密钥应以加密的形式输入和输出。输入密钥时不应显示明文密钥。

（4）更换密钥：密钥的更换可以由人工或自动方式按照密钥输入和密钥输出的要求来实现。

（5）存储密钥：密钥在加密设备内采用明文形式存储，但是不能被任何外部设备访问。

（6）保存和备份密钥：密钥应当尽量分段保存，可以分成两部分并且保存在不同的地方，例如一部分存储在保密设备中，另一部分存储在IC卡上。密钥的备份也应当注意安全并且要加密保存。

（7）密钥的寿命：密钥不可以无限期使用，密钥使用得越久风险也就越大。密钥应当定期更换。

（8）销毁密钥：加密设备应能对设备内的所有明文密钥和其他没受到保护的重要保护参数清零。

链路

链路（link）指的是从发信点到收信点（即从信源到信宿）的一串结点和线路。链路通信是指端到端的通信。

计算机网络从逻辑结构上可以分成两部分：负责数据处理、向网络用户提供各种网络资源及网络服务的外层用户资源子网和负责数据转发的内层通信子网。通信子网由分组交换结点（简记为R）及连接这些结点的链路组成，负责在主机（Host，H）间传输分组。资源子网由连在网上的主机构成，为网上用户提供共享资源，入网途径和方法。局域网中的每台主机都通过网卡连接到传输介质上，网卡负责在各个主机间传递数据，显然，网卡和传输介质构成了局域网的通信子网，而主机集合则构成了资源子网。用户子网指的是由主计算机、终端、通信控制设备、连网外设、各种软件资源等组成。通信子网分为点对点通信子网和广播式通信子网。它主要有三种组织形式：结合型、专用型和公用型，如下图所示。

网络的组织形式

计算机网络也可以看作是在物理上分布的相互协作的计算机系统。其硬件部分除了单体计算机、光纤、同轴电缆以及双绞线等传输媒体之外，还包括插入计算机中用于收发数据分组的各种通信网卡（在操作系统中，这些网卡不当成一种外部设备），把多台计算机连接到一起的集线器（hub，该设备近年正逐步被相应的交换机取代），扩展带宽和连接多台计算机用的交换机（switch）以及负责路径管理、控制网络交通情况的路由器或ATM交换机等。其中路由器或ATM交换机是构成广域网络的主要设备，而交换机和集线则是构成局域网络的主要设备。这些设备都可看作一种专用的计算机。

综上所述，计算机网络是一个由不同传输媒体构成的通信子网，与这个通信子网连接的多台地理上分散的具有唯一地址的计算机，将数据划分为不同长度分组进行传输和处理的协议软件以及应用系统所组成的传输和共享信息的系统。

虚拟专用网

虚拟专用网络（Virtual Private Network，VPN）提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。与普通网络连接一样，VPN也由客户机、传输介质和服务器3部分组成，不同的是VPN连接使用隧道作为传输通道，这个隧道是建立在公共网络或专用网络基础之上的，如Internet或Intranet。

VPN可以实现不同网络的组件和资源之间的相互连接，利用Internet或其他公共互联网络的基础设施为用户创建隧道，并提供与专用网络一样的安全和功能保障。VPN允许远程通信方、销售人员或企业分支机构使用Internet等公共互联网络的路由基础设施以安全的方式与位于企业局域网端的企业服务器建立连接。VPN对用户端透明，用户好像使用一条专用线路在客户计算机和企业服务器之间建立点对点连接，进行数据的传输。

实现VPN的关键技术：

（1）安全隧道技术（tunneling）：隧道技术是一种通过使用互联网络的基础设施在网络之间传递数据的方式。使用隧道传递的数据（或负载）可以是不同协议的数据帧或包。隧道协议将这些其他协议的数据帧或包重新封装在新的包头中发送。新的包头提供了路由信息，从而使封装的负载数据能够通过互联网络传递。被封装的数据包在隧道的两个端点之间通过公共互联网络进行路由。被封装的数据包在公共互联网络上传递时所经过的逻辑路径称为隧道。一旦到达网络终点，数据将被解包并转发到最终目的地。隧道技术是指包括数据封装、传输和解包在内的全过程。

（2）加解密技术：VPN利用已有的加解密技术实现保密通信。

（3）密钥管理技术：建立隧道和保密通信都需要密钥管理技术的支撑，密钥管理负责密钥的生成、分发、控制和跟踪，以及验证密钥的真实性。

（4）身份认证技术：假如VPN的用户都要通过身份认证，通常使用用户名和密码，或者智能卡实现。

（5）访问控制技术：由VPN服务的提供者根据在各种预定义的组中的用户身份标识，来限制用户对网络信息或资源的访问控制的机制。

隧道技术可以分别以第2、3层隧道协议为基础。第2层隧道协议对应OSI模型中的数据链路层，使用帧作为数据交换单位。PPTP（Point to Point Tunneling Protocol，点对点隧道协议），L2TP（Layer Two Tunneling Protocol，第二层通道协议）和L2F（Level 2 Forwarding protocol，第2层转发）都属于第2层隧道协议，都是将数据封装在PPP帧中通过互联网络发送。第3层隧道协议对应OSI模型中的网络层，使用包作为数据交换单位。IPoverIP及IPSec（Internet Protocol Security，IP协议安全性）隧道模式都属于第3层隧道协议，都是将IP包封装在附加的IP包头中通过IP网络传送。

PPTP是一种支持多协议虚拟专用网络的网络技术。PPTP协议假定在PPTP客户机和PPTP服务器之间有连通并且可用的IP网络。因此如果PPTP客户机本身已经是IP网络的组成部分，那么即可通过该IP网络与PPTP服务器取得连接；而如果PPTP客户机尚未连入网络，比如在Internet拨号用户的情形下，PPTP客户机必须首先拨打NAS（Network Access Server，网络接入服务器）以建立IP连接。

L2TP是VPDN（Virtual Private Dail-up Network，虚拟专用拨号网络）技术的一种，专门用来进行第2层数据的通道传送，即将第2层数据单元，如点到点协议（Point-to-Point Protocol，PPP）数据单元，封装在IP或UDP载荷内，以顺利通过包交换网络（如Internet），抵达目的地。

如果需要在传输层实现VPN，则可使用TLS（Transport Layer Security，传输层安全协议）协议。TLS是确保互联网上通信应用和其用户隐私的协议。当服务器和客户机进行通信，TLS确保没有第三方能窃听或盗取信息。TLS是SSL的后继协议。TLS由两层构成：TLS记录协议和TLS握手协议。TLS记录协议使用机密方法（如DES）来保证连接安全。TLS记录协议也可以不使用加密技术。TLS握手协议使服务器和客户机在数据交换之前进行相互鉴定，并协商加密算法和密钥。

题号导航 2020年下半年网络规划设计师下午试卷案例

本试卷我的完整做题情况



	第2题在手机中做本题