第 16 讲网络层 (5)

第16讲网络层(5)

知识回顾 • 路由算法 • 自治系统 • 内部网关协议 • RIP • OSPF

本讲内容和目标 • 了解外部网关协议BGP的工作机制 • 了解路由器的内部结构及转发的含义 • 理解VPN概念及其工作原理 • 理解NAT基本概念及其工作原理 • 了解IPV6技术

外部网关协议 • 边界网关协议（BGP, Border Gateway Protocol）是互联网的核心路由协议。它通过维护路由表来实现自治系统（AS）之间的可达性，属于矢量路由协议。BGP不使用传统域内路由协议的距离度量，而是基于路径、网络策略和规则集来决定路由。 • 自从1994年以来，BGP版本4在互联网上广泛使用。版本4的主要改进在于支持无类型域间路由（CIDR）并使用路由聚类来减小路由表的尺寸。从最早的RFC 1771开始，经过超过20版草稿，BGP版本4最终在2006年1月发行的RFC 4271內定案。

BGP 使用的环境却不同 • 因特网的规模太大，使得自治系统之间路由选择非常困难。对于自治系统之间的路由选择，要寻找最佳路由是很不现实的。 • 当一条路径通过几个不同 AS 时，要想对这样的路径计算出有意义的代价是不太可能的。 • 比较合理的做法是在 AS 之间交换“可达性”信息。 • 自治系统之间的路由选择必须考虑有关策略。 • 因此，边界网关协议 BGP 只能是力求寻找一条能够到达目的网络且比较好的路由（不能兜圈子），而并非要寻找一条最佳路由。

BGP发言人(BGP speaker) • 每一个自治系统的管理员要选择至少一个路由器作为该自治系统的“BGP 发言人” 。 • 一般说来，两个 BGP 发言人都是通过一个共享网络连接在一起的，而 BGP 发言人往往就是 BGP 边界路由器，但也可以不是 BGP 边界路由器。

BGP 交换路由信息 • 一个 BGP 发言人与其他自治系统中的 BGP 发言人要交换路由信息，就要先建立 TCP 连接，然后在此连接上交换 BGP 报文以建立 BGP 会话(session)，利用 BGP 会话交换路由信息。 • 使用 TCP 连接能提供可靠的服务，也简化了路由选择协议。 • 使用 TCP 连接交换路由信息的两个 BGP 发言人，彼此成为对方的邻站或对等站。

BGP 发言人和自治系统 AS 的关系 BGP 发言人 BGP 发言人 AS1 AS2 BGP 发言人 BGP 发言人 AS3 BGP 发言人 AS4 AS5

AS2 AS1 AS3 AS4 AS5 AS 的连通图举例 • BGP 所交换的网络可达性的信息就是要到达某个网络所要经过的一系列 AS。 • 当 BGP 发言人互相交换了网络可达性的信息后，各 BGP 发言人就根据所采用的策略从收到的路由信息中找出到达各 AS 的较好路由。

本地 ISP（AS4） N1， N2 本地 ISP（AS5） N3， N4 BGP 发言人交换路径向量自治系统 AS2的 BGP 发言人通知主干网的 BGP 发言人：“要到达网络 N1, N2, N3 和 N4 可经过 AS2。” 地区 ISP （AS2）主干网（AS1）本地 ISP（AS6） N5 地区 ISP （AS3）本地 ISP（AS7） N6， N7

本地 ISP（AS6） N5 本地 ISP（AS7） N6， N7 BGP 发言人交换路径向量主干网还可发出通知：“要到达网络 N5, N6 和 N7 可沿路径（AS1, AS3）。” 本地 ISP（AS4） N1， N2 地区 ISP （AS2）本地 ISP（AS5） N3， N4 主干网（AS1）地区 ISP （AS3）

BGP 协议的特点 • BGP 协议交换路由信息的结点数量级是自治系统数的量级，这要比这些自治系统中的网络数少很多。 • 每一个自治系统中 BGP 发言人（或边界路由器）的数目是很少的。这样就使得自治系统之间的路由选择不致过分复杂。 • BGP 支持 CIDR，因此 BGP 的路由表也就应当包括目的网络前缀、下一跳路由器，以及到达该目的网络所要经过的各个自治系统序列。 • 在BGP 刚刚运行时，BGP 的邻站是交换整个的 BGP 路由表。但以后只需要在发生变化时更新有变化的部分。这样做对节省网络带宽和减少路由器的处理开销方面都有好处。

路由器在网际互连中的作用路由器的结构 • 路由器是一种具有多个输入端口和多个输出端口的专用计算机，其任务是转发分组。也就是说，将路由器某个输入端口收到的分组，按照分组要去的目的地（即目的网络），把该分组从路由器的某个合适的输出端口转发给下一跳路由器。 • 下一跳路由器也按照这种方法处理分组，直到该分组到达终点为止。

典型的路由器的结构 路由选择处理机 3——网络层 2——数据链路层 1——物理层路由选择协议路由选择路由表输入端口输出端口 3 3 2 2 1 1 分组处理 … … 分组转发转发表输入端口输出端口交换结构 3 3 2 2 1 1

“转发”和“路由选择”的区别 • “转发”(forwarding)就是路由器根据转发表将用户的 IP 数据报从合适的端口转发出去。 • “路由选择”(routing)则是按照分布式算法，根据从各相邻路由器得到的关于网络拓扑的变化情况，动态地改变所选择的路由。 • 路由表是根据路由选择算法得出的。而转发表是从路由表得出的。 • 在讨论路由选择的原理时，往往不去区分转发表和路由表的区别，

IP 多播的基本概念 视频服务器 M 不使用多播时需要发送 90 次单播 90 个 R1 30 个 30 个 30个 R3 R2 R4 30 个 30 个 30 个 … … … 共有 90 个主机接收视频节目

多播可明显地减少网络中资源的消耗 视频服务器 M 发送 1 次多播 1 个 R1 复制 1 个 1 个 1 个 R3 R2 R4 1 个 1 个 1 个多播多播多播多播组成员共有 90 个 … … …

IP 多播的一些特点 (1) 多播使用组地址—— IP 使用 D 类地址支持多播。多播地址只能用于目的地址，而不能用于源地址。 (2) 永久组地址——由因特网号码指派管理局 IANA 负责指派。 (3) 动态的组成员 (4) 使用硬件进行多播

在局域网上进行硬件多播 • 因特网号码指派管理局 IANA 拥有的以太网地址块的高 24 位为 00-00-5E。 • 因此 TCP/IP 协议使用的以太网多播地址块的范围是：从 00-00-5E-00-00-00 到 00-00-5E-FF-FF-FF • D 类 IP 地址可供分配的有 28 位，在这 28 位中的前 5 位不能用来构成以太网硬件地址。 0 8 16 24 31 D 类 IP 地址 1110 0 1 0 0 5 E 0 00000001 00000000 01011110 表示多播最低 23位来自 D 类 IP 地址 48 位以太网地址

VPN技术概述 • VPN的概念 • 虚拟专用网（Virtual Private Network，VPN）被定义为通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。 • VPN依靠ISP（Internet服务提供商）和其他NSP（网络服务提供商），在公用网络中建立专用的数据通信网络的技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。 • VPN是对企业内部网的扩展。一般以IP为主要通讯协议。

VPN技术概述(续) • 隧道 • VPN是在公网中形成的企业专用链路。采用“隧道”技术，可以模仿点对点连接技术，依靠Internet服务提供商(ISP)和其他的网络服务提供商(NSP)在公用网中建立自己专用的“隧道”，让数据包通过这条隧道传输。对于不同的信息来源，可分别给它们开出不同的隧道。 • 隧道是一种利用公网设施，在一个网络之中的“网络”上传输数据的方法。隧道协议利用附加的报头封装帧，附加的报头提供了路由信息，因此封装后的包能够通过中间的公网。封装后的包所途经的公网的逻辑路径称为隧道。一旦封装的帧到达了公网上的目的地，帧就会被解除封装并被继续送到最终目的地。 • VPN的安装和使用 • http://www.ouyaoxiazai.com/article/24/300.html

VPN的基本功能 • VPN的主要目的是保护传输数据，是保护从信道的一个端点到另一端点传输的信息流。信道的端点之前和之后，VPN不提供任何的数据包保护。VPN的功能至少应包括： • 加密数据。以保证通过公网传输的信息即使被他人截获也不会泄露。 • 信息验证和身份识别。保证信息的完整性、合理性，并能鉴别用户的身份。 • 提供访问控制。不同的用户有不同的访问权限。 • 地址管理。VPN方案必须能够为用户分配专用网络上的地址并确保地址的安全性。 • 密钥管理。VPN方案必须能够生成并更新客户端和服务器的加密密钥。 • 多协议支持。VPN方案必须支持公共因特网络上普遍使用的基本协议，包括IP、IPX等。

RFC 1918 指明的专用地址(private address) • 10.0.0.0 到 10.255.255.255 • 172.16.0.0 到 172.31.255.255 • 192.168.0.0 到 192.168.255.255 • 这些地址只能用于一个机构的内部通信，而不能用于和因特网上的主机通信。 • 专用地址只能用作本地地址而不能用作全球地址。在因特网中的所有路由器对目的地址是专用地址的数据报一律不进行转发。

125.1.2.3 194.4.5.6 Y X 10.2.0.3 10.1.0.1 用隧道技术实现虚拟专用网本地地址全球地址本地地址隧道部门 B 部门 A R2 R1 因特网使用隧道技术

125.1.2.3 194.4.5.6 Y X 10.2.0.3 10.1.0.1 用隧道技术实现虚拟专用网本地地址全球地址本地地址隧道部门 B 部门 A R2 R1 因特网使用隧道技术网络地址 = 10.2.0.0 （本地地址）网络地址 = 10.1.0.0 （本地地址）

125.1.2.3 194.4.5.6 Y X 10.2.0.3 10.1.0.1 125.1.2.3 194.4.5.6 R2 Y R1 X 部门 B 部门 A 10.2.0.3 10.1.0.1 虚拟专用网 VPN 用隧道技术实现虚拟专用网加密的从X到Y的内部数据报源地址：125.1.2.3 目的地址：194.4.5.6 外部数据报的数据部分数据报首部隧道部门 B 部门 A R2 R1 因特网使用隧道技术

VPN的隧道技术 • VPN中的隧道是由隧道协议形成的，VPN使用的隧道协议主要有三种：点到点隧道协议（PPTP）、第二层隧道协议（L2TP）以及IPSec。PPTP和L2TP集成在Windows中，所以最常用。 • PPTP协议允许对IP、IPX或NetBEUI数据流进行加密，然后封装在IP包头中通过企业IP网络或公共因特网络发送。 • L2TP协议允许对IP，IPX或NetBEUI数据流进行加密，然后通过支持点对点数据报传递的任意网络发送，如IP，X.25，帧中继或ATM。 • IPSec隧道模式允许对IP负载数据进行加密，然后封装在IP包头中通过企业IP网络或公共IP因特网络如Internet发送。

点到点隧道协议（PPTP） • PPTP协议 • Point-to-Point Tunnel Protocol, 2层协议，需要把网络协议包封装到PPP包，PPP数据依靠PPTP协议传输 • PPTP通信时，客户机和服务器间有2个通道，一个通道是tcp 1723端口的控制连接，另一个通道是传输GRE PPP数据包的IP隧道 • PPTP没有加密、认证等安全措施，安全的加强通过PPP协议的MPPE(Microsoft Point-to-Point Encryption)实现 • windows中集成了PPTP Server和Client，适合中小企业支持少量移动工作者 • 如果有防火墙的存在或使用了地址转换，PPTP可能无法工作

IPSec协议 • IPSec协议 • 三层协议，直接传输网络协议数据包 • 基于TCP/IP的标准协议，集成到IPv6中，仅仅传输IP协议数据包 • 提供了强大的安全、加密、认证和密钥管理功能 • 适合大规模VPN使用，需要认证中心（CA）来进行身份认证和分发用户的公共密钥 • IPSec的工作模式 • 传输模式：只对IP数据包的有效负载进行加密或认证。此时，继续使用以前的IP头部，只对IP头部的部分域进行修改，而IPSec协议头部插入到IP头部和传输层头部之间。 • 隧道模式：对整个IP数据包进行加密或认证。此时，需要新产生一个IP头部，IPSec头部被放在新产生的IP头部和以前的IP数据包之间，从而组成一个新的IP头部。

IPSec协议(续) • IPSec协议安全要素 • ESP（Encapsulating Security Payload）。ESP协议主要用来处理对IP数据包的加密。ESP是与具体的加密算法相独立的，几乎支持各种对称密钥加密算法，默认为3DES和DES • AH(Authentication Header)。AH只涉及到认证，不涉及到加密 • IKE(Internet Key Exchange)。IKE协议主要是对密钥交换进行管理，它主要包括三个功能： • 对使用的协议、加密算法和密钥进行协商 • 方便的密钥交换机制(这可能需要周期性的进行) • 跟踪对以上这些约定的实施

125.1.2.3 194.4.5.6 R2 Y R1 X 部门 B 部门 A 10.2.0.3 10.1.0.1 虚拟专用网 VPN 内联网 intranet 和外联网 extranet（都是基于 TCP/IP 协议） • 由部门 A 和 B 的内部网络所构成的虚拟专用网 VPN 又称为内联网(intranet)，表示部门 A 和 B 都是在同一个机构的内部。 • 一个机构和某些外部机构共同建立的虚拟专用网 VPN 又称为外联网(extranet)。

远程接入VPN(remote access VPN) • 有的公司可能没有分布在不同场所的部门，但有很多流动员工在外地工作。公司需要和他们保持联系，远程接入 VPN 可满足这种需求。 • 在外地工作的员工拨号接入因特网，而驻留在员工 PC 机中的 VPN 软件可在员工的 PC 机和公司的主机之间建立 VPN 隧道，因而外地员工与公司通信的内容是保密的，员工们感到好像就是使用公司内部的本地网络。

IPSecVPN系统的组成 • IPSecVPN的实现包含管理模块、密钥分配和生成模块、身份认证模块、数据加密/解密模块、数据分组封装/分解模块和加密函数库几部分组成。

VPN的类型 • VPN的分类方法比较多，实际使用中，需要通过客户端与服务器端的交互实现认证与隧道建立。基于二层、三层的VPN，都需要安装专门的客户端系统（硬件或软件），完成VPN相关的工作。 • 一个VPN解决方案不仅仅是一个经过加密的隧道，它包含 • 访问控制、认证、加密、隧道传输、路由选择、过滤、高可用性、服务质量以及管理 • VPN系统大体分为4类 • 专用的VPN硬件 • 支持VPN的硬件或软件防火墙 • VPN软件 • VPN服务提供商

网络地址转换 NAT • 网络地址转换 NAT (Network Address Translation)方法于1994年提出。 • 需要在专用网连接到因特网的路由器上安装 NAT 软件。装有 NAT 软件的路由器叫做 NAT路由器，它至少有一个有效的外部全球地址 IP地址。 • 所有使用本地地址的主机在和外界通信时都要在 NAT 路由器上将其本地地址转换成 IP地址才能和因特网连接。 • http://www.ipv6.ru/english/documents/theory/nat.php

地址转换初步 • 地址转换功能将内部网络的私有地址转换为可路由的公共地址。 • 这一功能一方面节约了大量公共IP地址，同时也增加了内部网络的安全性。 • 两种主要的地址转换模式： • 内部地址翻译NAT（Translation inside local addresses) • 内部全局地址复用PAT（Overloading inside glogal addresses）

内部地址翻译NAT • 内部地址翻译（Translation inside local addresses) ： • 位于inside网络和outside网络中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。内部网络的主机不可能同时进行网络的外部通信，所以一般同一时刻，只有一部分内部地址需要翻译。 • NAT的翻译可以采取静态翻译（static translation）和动态翻译（dynamic translation）两种。静态翻译将内部地址和外部地址一对一对应。当NAT需要确认哪个地址需要翻译，翻译时采用哪个地址pool时，就使用了动态翻译。

网络地址转换 NAT • 本地地址和全局地址. • 在内部网络中本地地址可见.

内部全局地址复用PAT • 内部全局地址复用（overloading inside global addresses）： • 采用port multiplexing技术，或改变外出数据的源port技术可以将多个内部IP地址影射到同一个外部地址，这就是PAT（port address translator）。和内部地址翻译一样，NAT router同样也负责查表和翻译内部IP地址，唯一的区别就是由于使用了overloading，router将复用同样的内部全局IP地址，并存储足够的信息以区分它和其他地址，这样查询出来的是extended entry。 • NAT router和外部主机的通讯采用翻译过的内部全局地址，故同一般的通信没有差别，router到内部主机通讯时，同样要查NAT表。

端口地址转换 PAT

IPv6 • 从计算机本身发展以及从因特网规模和网络传输速率来看，现在 IPv4 已很不适用。 • 最主要的问题就是 32 位的 IP 地址不够用。要解决 IP 地址耗尽的问题的措施： • 采用无类别编址 CIDR，使 IP 地址的分配更加合理。 • 采用网络地址转换 NAT 方法以节省全球 IP 地址。 • 采用具有更大地址空间的新版本的 IP 协议 IPv6。 • IPv6的基本首部 • IPv6 仍支持无连接的传送所引进的主要变化如下 • 更大的地址空间。IPv6 将地址从 IPv4 的 32 位增大到了 128 位。 • 扩展的地址层次结构。 • 灵活的首部格式。 • 改进的选项。 • 允许协议继续扩充。 • 支持即插即用（即自动配置） • 支持资源的预分配。

IPv6 数据报的一般形式 有效载荷选项基本首部扩展首部 1 扩展首部 N … 数据部分 IPv6 数据报 • IPv6 将首部长度变为固定的 40 字节，称为基本首部(base header)。 • 将不必要的功能取消了，首部的字段数减少到只有 8 个。 • 取消了首部的检验和字段，加快了路由器处理数据报的速度。 • 在基本首部的后面允许有零个或多个扩展首部。 • 所有的扩展首部和数据合起来叫做数据报的有效载荷(payload)或净负荷。

IPv6 与 IPv4 数据报首部的对比 有变化取消比特 0 4 8 16 19 24 31 首部长度服务类型总长度版本固定部分 20 字节标志标识片偏移首部检验和生存时间协议 IPv4 首部源地址目的地址可变部分可选字段（长度可变）填充上面是 IPv4 数据报的首部

比特 0 4 12 16 24 31 版本通信量类流标号有效载荷长度下一个首部跳数限制 IPv6 的基本首部 40 B 源地址（128 bit）目的地址（128 bit）源地址—— 128 bit。是数据报的发送站的 IP 地址。目的地址—— 128 bit。是数据报的接收站的 IP 地址。

冒号十六进制记法 • 每个 16 bit 的值用十六进制值表示，各值之间用冒号分隔。 68E6:8C64:FFFF:FFFF:0:1180:960A:FFFF • 零压缩(zero compression)，即一连串连续的零可以为一对冒号所取代。 • FF05:0:0:0:0:0:0:B3 可以写成：FF05::B3 • 0:0:0:0:0:0:128.10.2.1再使用零压缩即可得出： ::128.10.2.1

特殊地址 未指明地址这是 16 字节的全 0 地址，可缩写为两个冒号“::”。这个地址只能为还没有配置到一个标准的 IP 地址的主机当作源地址使用。环回地址即 0:0:0:0:0:0:0:1（记为 ::1）。基于 IPv4 的地址前缀为 0000 0000 保留一小部分地址作为与 IPv4 兼容的。本地链路单播地址课件制作人：谢希仁

IPv6的安装和配置 • IPv6协议的下载 • http://nic.jlu.edu.cn/ipv6/software/tpipv6-001205-SP3-IE6.zip • IPv6协议安装 • 网络－添加 • 命令行状态 • Ipv6 install • Ping6 0:0:0:0:0:0:0:1

点分十进制记法的后缀 • CIDR 的斜线表示法仍然可用 • 60 bit的前缀 12AB00000000CD3 可记为： 12AB:0000:0000:CD30:0000:0000:0000:0000/60 或12AB::CD30:0:0:0:0/60 或12AB:0:0:CD30::/60

本讲小结 • 本讲介绍了VPN技术，其中包括VPN概念及基本功能、相关技术以及VPN的分类。 • 举例说明了VPN在现代企业网中的典型应用。 • 介绍了NAT技术，包括NAT基本概念、NAT工作原理及典型应用。 • IPV6技术

作业 1. 利用Windows2000 Server建立VPN应用系统。 2. 随着IPv4地址的减少，私有地址的使用越来越广泛。然而，私有地址并不能够直接在Internet上访问资源。某单位内部有1200台主机需要访问Internet。同时有WWW服务器、E-mail服务器及ERP应用服务器各一台，这些服务器需要能够被Internet用户直接访问。请回答以下问题： ⑴ 写出Internet三类私有地址范围。 ⑵ 作为网络管理员需要使用什么技术来满足该单位的网络需求，简述其工作原理。 ⑶ 根据技术分类，写出1200台主机及服务器分别使用哪种技术，需要多少个公网地址。

第 16 讲 网络层 (5)