RCNA07 廣域網(wǎng)接入技術(shù)

PAGE7第七章廣域網(wǎng)接入技術(shù)7.1廣域網(wǎng)接入技術(shù)概述7.1.1廣域網(wǎng)的概念局域網(wǎng)只能在一個相對比較短的距離內(nèi)實現(xiàn)，當(dāng)主機(jī)之間的距離較遠(yuǎn)時，例如，相隔幾十或幾百公里，甚至幾千公里，局域網(wǎng)顯然就無法完成主機(jī)之間的通信任務(wù)。這時就需要另一種結(jié)構(gòu)的網(wǎng)絡(luò)，即廣域網(wǎng)。廣域網(wǎng)(WideAreaNetworks，WAN)的地理覆蓋范圍可以從數(shù)公里到數(shù)千公里，可以連接若干個城市、地區(qū)甚至跨越國界，遍及全球的一種計算機(jī)網(wǎng)絡(luò)。它將地理上相隔很遠(yuǎn)的局域網(wǎng)互連起來。由于廣域網(wǎng)的造價較高，一般都是由國家或較大的電信公司出資建造。廣域網(wǎng)是互聯(lián)網(wǎng)的核心部分，其任務(wù)是通過長距離運送主機(jī)所發(fā)送的數(shù)據(jù)。連接廣域網(wǎng)各結(jié)點交換機(jī)的鏈路都是高速鏈路，其距離可以是幾千公里的光纜線路，也可以是幾萬公里的點對點衛(wèi)星鏈路。需要澄清的一個概念是廣域網(wǎng)不等于互聯(lián)網(wǎng)。在互聯(lián)網(wǎng)中，為不同類型、協(xié)議的網(wǎng)絡(luò)“互聯(lián)”才是它的主要特征。廣域網(wǎng)由一些結(jié)點交換機(jī)以及連接這些交換機(jī)的鏈路組成。結(jié)點交換機(jī)的任務(wù)是將分組存儲轉(zhuǎn)發(fā)，結(jié)點之間都是點到點連接，但為了提高網(wǎng)絡(luò)的可靠性，通常一個結(jié)點交換機(jī)往往與多個結(jié)點交換機(jī)相連。受經(jīng)濟(jì)條件的限制，廣域網(wǎng)都不使用局域網(wǎng)普遍采用的多點接入技術(shù)。從層次上考慮，廣域網(wǎng)和局域網(wǎng)的區(qū)別很大，因為局域網(wǎng)使用的協(xié)議主要在數(shù)據(jù)鏈路層，而廣域網(wǎng)使用的協(xié)議在網(wǎng)絡(luò)層。7.1.2廣域網(wǎng)接入技術(shù)分類NetworkLayer(網(wǎng)絡(luò)層)X.25

PLPDataLinkLayer（數(shù)據(jù)鏈路層）

LLCLAPBFiameReiayHDLCMAC(Sublayer)SMDSPPPSDLCPhysicalLayer(物理層)X.21BisEIA/TIA-232EIA/TIA-449V.24

V.35HSSIG.73EIA-530點對點鏈路點對點鏈路提供的是一條預(yù)先建立的從客戶端經(jīng)過運營商網(wǎng)絡(luò)到達(dá)遠(yuǎn)端目標(biāo)網(wǎng)絡(luò)的廣域網(wǎng)通信路徑。一條點對點鏈路就是一條租用的專線，可以在數(shù)據(jù)收發(fā)雙方之間建立起永久性的固定連接。網(wǎng)絡(luò)運營商負(fù)責(zé)點對點鏈路的維護(hù)和管理。點對點鏈路可以提供兩種數(shù)據(jù)傳送方式。一種是數(shù)據(jù)報傳送方式，該方式主要是將數(shù)據(jù)分割成一個個小的數(shù)據(jù)幀進(jìn)行傳送，其中每一個數(shù)據(jù)幀都帶有自己的地址信息，都需要進(jìn)行地址校驗。另外一種是數(shù)據(jù)流傳送方式，該方式與數(shù)據(jù)報傳送方式不同，用數(shù)據(jù)流取代一個個的數(shù)據(jù)幀作為數(shù)據(jù)發(fā)送單位，整個流數(shù)據(jù)具有一個地址信息，只需要進(jìn)行一次地址驗證即可。下圖所顯示的就是一個典型的跨越廣域網(wǎng)的點對點鏈路。電路交換電路交換是廣域網(wǎng)所使用的一種交換方式?？梢酝ㄟ^運行商網(wǎng)絡(luò)為每一次會話過程建立，維持和終止一條專用的物理電路。電路交換也可以提供數(shù)據(jù)報和數(shù)據(jù)流兩種傳送方式。電路交換在電信運營商的網(wǎng)絡(luò)中被廣泛使用，其操作過程與普通的電話撥叫過程非常相似。綜合業(yè)務(wù)數(shù)字網(wǎng)（ISDN）就是一種采用電路交換技術(shù)的廣域網(wǎng)技術(shù)。包交換包交換也是一種廣域網(wǎng)上經(jīng)常使用的交換技術(shù)，通過包交換，網(wǎng)絡(luò)設(shè)備可以共享一條點對點鏈路通過運營商網(wǎng)絡(luò)在設(shè)備之間進(jìn)行數(shù)據(jù)包的傳遞。包交換主要采用統(tǒng)計復(fù)用技術(shù)在多臺設(shè)備之間實現(xiàn)電路共享。ATM，幀中繼，SMDS以及X.25等都是采用包交換技術(shù)的廣域網(wǎng)技術(shù)。虛擬電路虛擬電路是一種邏輯電路，可以在兩臺網(wǎng)絡(luò)設(shè)備之間實現(xiàn)可靠通信。虛擬電路有兩種不同形式,分別是交換虛擬電路（SVC）和永久性虛擬電路（PVC）。SVC是一種按照需求動態(tài)建立的虛擬電路，當(dāng)數(shù)據(jù)傳送結(jié)束時，電路將會被自動終止。SVC上的通信過程包括3個的階段，即電路創(chuàng)建，數(shù)據(jù)傳輸，和電路終止。電路創(chuàng)建階段主要是在通信雙方設(shè)備之間建立起虛擬電路；數(shù)據(jù)傳輸階段通過虛擬電路在設(shè)備之間傳送數(shù)據(jù)；電路終止階段則是撤消在通訊設(shè)備之間已經(jīng)建立起來的虛擬電路。SVC主要適用于非經(jīng)常性的數(shù)據(jù)傳送網(wǎng)絡(luò),這是因為在電路創(chuàng)建和終止階段SVC需要占用更多的網(wǎng)絡(luò)帶寬。不過相對于永久性虛擬電路來說，SVC的成本較低。PVC是一種永久性建立的虛擬電路，只具有數(shù)據(jù)傳輸一種模式。PVC可以應(yīng)用于數(shù)據(jù)傳送頻繁的網(wǎng)絡(luò)環(huán)境，這是因為PVC不需要為創(chuàng)建或終止電路而使用額外的帶寬，所以對帶寬的利用率更高。不過永久性虛擬電路的成本較高。7.1.3廣域網(wǎng)設(shè)備在廣域網(wǎng)環(huán)境中可以使用多種不同的網(wǎng)絡(luò)設(shè)備，下面，我們就著重介紹一些比較常用的廣域網(wǎng)設(shè)備。廣域網(wǎng)交換機(jī)廣域網(wǎng)交換機(jī)是在運營商網(wǎng)絡(luò)中使用的多端口網(wǎng)絡(luò)互聯(lián)設(shè)備。廣域網(wǎng)交換機(jī)工作在OSI參考模型的數(shù)據(jù)鏈路層，可以對幀中繼，X.25以及SMDS等數(shù)據(jù)流量進(jìn)行操作。右圖是位于廣域網(wǎng)兩端的兩臺路由器通過廣域網(wǎng)交換機(jī)進(jìn)行連接的示意圖。接入服務(wù)器接入服務(wù)器是廣域網(wǎng)中撥入和撥出連接的會聚點。左圖說明了接入服務(wù)器如何將多條撥出連接集合在一起接入廣域網(wǎng)。調(diào)制解調(diào)器調(diào)制解調(diào)器主要用于數(shù)字和模擬信號之間的轉(zhuǎn)換，從而能夠通過話音線路傳送數(shù)據(jù)信息。在數(shù)據(jù)發(fā)送方，計算機(jī)數(shù)字信號被轉(zhuǎn)換成適合通過模擬通信設(shè)備傳送的形式；而在目標(biāo)接收方，模式信號被還原為數(shù)字形式。CSU/DSU信道服務(wù)單元（CSU）/數(shù)據(jù)服務(wù)單元（DSU）類似數(shù)據(jù)終端設(shè)備到數(shù)據(jù)通信設(shè)備的復(fù)用器，可以提供以下幾方面的功能：信號再生，線路調(diào)節(jié)，誤碼糾正，信號管理，同步和電路測試等。ISDN終端適配器ISDN終端適配器是用來連接ISDN基本速率接口（BRI）到其它接口，如EIA/TIA-232的設(shè)備。從本質(zhì)上說，ISDN終端適配器就相當(dāng)于一臺ISDN調(diào)制解調(diào)器。路由器(Router)提供諸如局域網(wǎng)互連、廣域網(wǎng)接口等多種服務(wù)。7.1.4廣域網(wǎng)中的數(shù)據(jù)鏈路層協(xié)議廣域網(wǎng)數(shù)據(jù)鏈路層是將數(shù)據(jù)傳輸?shù)竭h(yuǎn)程站點，定義了數(shù)據(jù)是如何進(jìn)行封裝的。廣域網(wǎng)數(shù)據(jù)鏈路層協(xié)議描述了幀如何在系統(tǒng)之間單一數(shù)據(jù)路徑上進(jìn)行傳輸，數(shù)據(jù)幀是如何傳送的，包括點對點，多點和多路訪問交換服務(wù)所設(shè)計的協(xié)議。1．點到點協(xié)議(PPP)PPP是一個面向連接但不可靠的面向字節(jié)的連接，使用無編號幀。PPP也可以工作在可靠的面向比特的模式。PPP包含用于標(biāo)志網(wǎng)絡(luò)層協(xié)議的字段。PPP是目前較為流行的數(shù)據(jù)鏈路層協(xié)議（請參看7.2節(jié)）。2．高級數(shù)據(jù)鏈路控制(HDLC)協(xié)議IEEE的標(biāo)準(zhǔn)，既支持點對點配置又支持多點配置，它實現(xiàn)起來非常簡潔，但安全、靈活性不如PPP協(xié)議。HDLC可能因不同廠商提供的產(chǎn)品而不兼容，因為它們實現(xiàn)的方法不同。3．幀中繼(FrameRelay)幀中繼是一種面向連接的、沒有內(nèi)在的糾錯機(jī)制的協(xié)議，使用高質(zhì)量的數(shù)字設(shè)備，采用簡化的成幀技術(shù)。僅當(dāng)幀中繼網(wǎng)絡(luò)本身的誤碼率非常低時，幀中繼技術(shù)才是可行的7.1.5點對點協(xié)議PPPPPP(Point-to-PointProtocol)是SLIP(SerialLineIPprotocol)的繼承者，它提供了跨過同步和異步電路實現(xiàn)路由器到路由器(router-to-router)和主機(jī)到網(wǎng)絡(luò)(host-to-network)的連接。7.1.5.1PPP協(xié)議的特點1992年InternetIETF成立了一個小組來制定點到點的數(shù)據(jù)鏈路協(xié)議——Intemet標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)命名為PPP（Point-to-PointProtocol），即點到點協(xié)議，經(jīng)過1993年和1994年的修訂，現(xiàn)在已成為因特網(wǎng)的正式標(biāo)準(zhǔn)。PPP能支持差錯檢測，支持各種協(xié)議，在連接時IP地址可復(fù)制，具有身份驗證功能，可以以各種方式壓縮數(shù)據(jù)、支持動態(tài)地址協(xié)商、支持多鏈路捆綁等等。這些豐富的選項增強(qiáng)了PPP的功能。同時，不論是異步撥號線路還是路由器之間的同步鏈路均可使用。PPP不僅適用于撥號用戶，而且適用于租用的路由器對路由器線路。PPP協(xié)議是目前使用最廣泛的廣域網(wǎng)協(xié)議，這是因為它具有以下特性：（1）能夠控制數(shù)據(jù)鏈路的建立；（2）能夠?qū)P地址進(jìn)行分配和使用；（3）允許同時采用多種網(wǎng)絡(luò)層協(xié)議；（4）能夠配置和測試數(shù)據(jù)鏈路；（5）能夠進(jìn)行錯誤檢測；（6）有協(xié)商選項，能夠?qū)W(wǎng)絡(luò)層的地址和數(shù)據(jù)壓縮等進(jìn)行協(xié)商。7.1.5.2PPP的功能和層次結(jié)構(gòu)1．PPP的功能PPP主要實現(xiàn)以下3部分功能：（1）在串行鏈路上封裝數(shù)據(jù)報的方法：PPP采用高級數(shù)據(jù)鏈路控制(HDLC)作為在點對點的鏈路上封裝數(shù)據(jù)報的基本方法。（2）鏈路控制協(xié)議LCP(LinkControlProtocol)用于啟動線路、測試、任選功能的協(xié)商及關(guān)閉連接。（3）網(wǎng)絡(luò)控制協(xié)議NCP(NetworkControlProtocol)用來建立和配置不同的網(wǎng)絡(luò)層協(xié)議。PPP協(xié)議允許同時采用多種網(wǎng)絡(luò)層協(xié)議，如IP協(xié)議、IPX協(xié)議和DECnet協(xié)議。PPP協(xié)議使用NCP對多種協(xié)議進(jìn)行封裝。2．PPP中各層的功能PPP協(xié)議由層次結(jié)構(gòu)組成如下(見表7-1-5-2-1)。表7-1-5-2-1PPP的層次結(jié)構(gòu)表網(wǎng)絡(luò)層IPIPXOTHERIPCPIPXCPBCPNCP數(shù)據(jù)鏈路層LCP物理層EIA/TIA-232、449、530V.21、V.35PPP協(xié)議使用物理層的功能，PPP協(xié)議能夠使用：（1）同步物理介質(zhì)：如綜合業(yè)務(wù)數(shù)字網(wǎng)(ISDN)的介質(zhì)。（2）異步物理介質(zhì)：如用來建立撥號連接的電話網(wǎng)絡(luò)。PPP協(xié)議的高層功能利用NCP在多個網(wǎng)絡(luò)層協(xié)議之間傳遞數(shù)據(jù)報。PPP的高層協(xié)議包括：（1）BCP(BridgeControlProtocol)網(wǎng)橋控制協(xié)議；（2）IPCP(InternetProtocolControlProtocol)IP控制協(xié)議；（3）IPXCP(InternetWorkPacketExchangeControlProtocol)IPX控制協(xié)議。7.1.5.3PPP會話建立的過程PPP提供了建立、配置、維護(hù)和終止點到點連接的方法。從開始發(fā)起呼叫到最終通信完成后釋放鏈路，PPP經(jīng)過以下4個階段在一個點到點的鏈路上建立通信連接。1．鏈路的建立和配置協(xié)調(diào)：通信的發(fā)起方發(fā)送LCP幀來配置和檢測數(shù)據(jù)鏈路，主要用于協(xié)商選擇將要采用的PPP參數(shù)，包括身份驗證、壓縮、回叫、多鏈路等。2．鏈路質(zhì)量檢測：在鏈路建立、協(xié)調(diào)之后，這一階段是可選的。3．網(wǎng)絡(luò)層協(xié)議配置協(xié)調(diào)：通信的發(fā)起方發(fā)送NCP幀以選擇并配置網(wǎng)絡(luò)層協(xié)議。配置完成后，通信雙方可以發(fā)送各自的網(wǎng)絡(luò)層協(xié)議數(shù)據(jù)報。4．關(guān)閉鏈路：通信鏈路將一直保持到LCP或NCP幀關(guān)閉鏈路，或者是發(fā)生一些外部事件(如空閑時間超長或用戶干預(yù))。PPP的工作經(jīng)歷了一系列的過程，下面用一個實例來描述這一過程。PC終端首先通過調(diào)制解調(diào)器呼叫遠(yuǎn)程訪問服務(wù)器，如ISP的路由器。當(dāng)路由器上的遠(yuǎn)程訪問模塊應(yīng)答了這個呼叫后，就建立起一個初始的物理連接。接下來，PC終端和遠(yuǎn)程訪問服務(wù)器之間開始傳送一系列經(jīng)過PPP封裝的LCP分組。如果有一方要求認(rèn)證，接下來就開始認(rèn)證過程。如果認(rèn)證失敗，如錯誤的用戶名、密碼，則鏈路被終止，雙方負(fù)責(zé)通信的設(shè)備或模塊(如用戶端的調(diào)制解調(diào)器或服務(wù)器端的遠(yuǎn)程訪問模塊)將關(guān)閉物理鏈路回到空閑狀態(tài)。如果認(rèn)證成功，通信雙方開始交換一系列的NCP分組來配置網(wǎng)絡(luò)層。如果網(wǎng)絡(luò)層使用的是IP協(xié)議，此過程是由IPCP完成的。當(dāng)NCP配置完成后，雙方的邏輯通信鏈路就建立好了，雙方可以開始在此鏈路上交換上層數(shù)據(jù)。當(dāng)數(shù)據(jù)傳送完成后，一方會發(fā)起斷開連接的請求。這時，首先使用NCP來釋放網(wǎng)絡(luò)層的連接，歸還IP地址，然后利用LCP來關(guān)閉數(shù)據(jù)鏈路層連接，最后，雙方的通信設(shè)備或模塊關(guān)閉物理鏈路回到空閑狀態(tài)。7.1.5.4PAP和CHAP原理PPP提供了兩種可選的身份認(rèn)證方法：口令驗證協(xié)議(PasswordAuthenticationProtocol，PAP)和質(zhì)詢握手協(xié)議(ChallengeHandshakeAuthenticationProtocol，CHAP)。1．PAPPAP是一個簡單的、實用的身份驗證協(xié)議，PAP認(rèn)證進(jìn)程只在雙方的通信鏈路建立初期進(jìn)行。如果認(rèn)證成功，在通信過程中不再進(jìn)行認(rèn)證。如果認(rèn)證失敗，則直接釋放鏈路。PAP的弱點是用戶的用戶名和密碼是明文發(fā)送的，有可能被協(xié)議分析軟件捕獲而導(dǎo)致安全問題。但恰恰是這樣，認(rèn)證只在鏈路建立初期進(jìn)行，因此節(jié)省了寶貴的鏈路帶寬。PAP認(rèn)證可以在一方進(jìn)行，即由一方認(rèn)證另一方的身份，也可以進(jìn)行雙向身份認(rèn)證。這時，要求被認(rèn)證的雙方都要通過對方的認(rèn)證程序，否則，無法建立二者之間的鏈路。下面以單方認(rèn)證為例分析PAP配置過程。當(dāng)雙方都封裝了PPP協(xié)議且要求進(jìn)行PAP身份認(rèn)證，同時它們之間的鏈路在物理層己激活后，認(rèn)證服務(wù)器會不停地發(fā)送身份認(rèn)證要求，直到身份認(rèn)證成功。當(dāng)認(rèn)證客戶端(被認(rèn)證一端)路由器Router2發(fā)送了用戶名或口令后，認(rèn)證服務(wù)器會將收到的用戶名和口令與本地數(shù)據(jù)庫中的口令信息比對，如果正確則身份認(rèn)證成功。2．CHAPCHAP認(rèn)證比PAP認(rèn)證更安全，因為CHAP不在線路上發(fā)送明文密碼，而是發(fā)送經(jīng)過摘要算法加工過的隨機(jī)序列，也被稱為“挑戰(zhàn)字符串”。同時，身份認(rèn)證可以隨時進(jìn)行，包括在雙方正常通信過程中。因此，非法用戶就算截獲并成功破解了一次密碼，此密碼也將在一段時間內(nèi)失效。CHAP對系統(tǒng)要求很高，因為需要多次進(jìn)行身份質(zhì)詢、響應(yīng)。這需要耗費較多的CPU資源，因此只用在對安全要求很高的場合。因為CHAP不在線路上發(fā)送明文密碼，因此CHAP認(rèn)證比PAP認(rèn)證更安全。同PAP一樣，CHAP認(rèn)證可以在一方進(jìn)行，即由一方認(rèn)證另一方的身份，也可以進(jìn)行雙向身份認(rèn)證。這時，要求被認(rèn)證的雙方都要通過對方的認(rèn)證程序，否則，無法建立二者之間的鏈路。與PAP不同的是，這時認(rèn)證服務(wù)器發(fā)送的是“挑戰(zhàn)”字符串。下面以一個實例來分析CHAP認(rèn)證配置過程。PPP認(rèn)證配置CHAP和PAP通常被用于在PPP封裝的串行線路上提供安全性認(rèn)證。使用CHAP和PAP認(rèn)證，每個路由器通過名字來識別，可以防止未經(jīng)授權(quán)的訪問。要使用CHAP/PAP必須使用PPP封裝。如果雙方協(xié)商達(dá)成一致，也可以不使用任何身份認(rèn)證方法。PAP一方認(rèn)證的配置共分為三個步驟：建立本地口令數(shù)據(jù)庫，要求進(jìn)行PAP認(rèn)證，PAP認(rèn)證客戶端配置。1．建立本地口令數(shù)據(jù)庫通過全局模式下的命令usenameusernamepasswordpassword來為本地口令數(shù)據(jù)庫添加記錄，如下所示。Router1(config)#usernameRouter2passwordpass22．要求進(jìn)行PAP認(rèn)證這需要在相應(yīng)接口配置模式下使用命令PPPauthenticationpap來完成，如下所示。Router1(config)#interfaceserial0Router1(config—if)#PPPauthenticationpap3．PAP認(rèn)證客戶端的配置只需要一條命令，即將用戶名和口令發(fā)送到對端，如下所示。Router2(config—if)#PPPpapsent-usernameRouter1passwordpass1CHAP一方認(rèn)證的配置共分為二個步驟：建立本地口令數(shù)據(jù)庫，要求進(jìn)行CHAP認(rèn)證。1．建立本地口令數(shù)據(jù)庫通過全局模式下的命令usenameusernamepasswordpassword來為本地口令數(shù)據(jù)庫添加記錄，如下所示。Router1(config)#usernameRouter2passwordpass22．要求進(jìn)行CHAP認(rèn)證這需要在相應(yīng)接口配置模式下使用命令PPPauthenticationchap來完成，如下所示。Router1(config)#interfaceserial0Router1(config—if)#PPPauthenticationchap7.1.5.5.1PPP的封裝對于同步串行接口，可以使用命令EncapsulationPPP將封裝格式設(shè)為PPP，如圖7-3-1所示。S0：192.200.10.1S0：192.200.10.1/24S0：192.200.10.1/24Router1Router2圖7-1-5-5-1-1PPP串行封裝當(dāng)通信雙方的某一方封裝格式為非PPP(如HDLC)時，而另一方為PPP時，雙方關(guān)于封裝協(xié)議的協(xié)商將失敗。此時，鏈路處于協(xié)議性關(guān)閉(Protocoldown)狀態(tài)，通信無法進(jìn)行。這時，在路由器Router1與路由器Router2的鏈路沒有成功建立之前，路由器Router1及Router2的路由表將為空。當(dāng)路由器Router1的串行接口Serial0又改為封裝成PPP協(xié)議時，雙方的通信將恢正常。在路由器Router1上輸出的Debugpppevents命令將從新建立連接?？梢园l(fā)現(xiàn)，成功地安裝了此鏈路的路由條目，同時，系統(tǒng)提示該鏈路協(xié)議被激活，鏈路可用。7.1.5.5.2CHAP認(rèn)證如圖7-3-2所示。S0：192.200.10.1S0：192.200.10.1/24DTES0：192.200.10.1/24DCERouter1Router2圖7-1-5-5-2CHAP認(rèn)證路由器Router1和Router2的S0口均封裝PPP協(xié)議，采用CHAP做認(rèn)證，在Router1中應(yīng)建立一個用戶，以對端路由器主機(jī)名作為用戶名，即用戶名應(yīng)為router2。同時在Router2中應(yīng)建立一個用戶，以對端路由器主機(jī)名作為用戶名，即用戶名應(yīng)為router1。所建的這兩用戶的password必須相同。設(shè)置如下：Router1：#hostnamerouter1Router1(config)#usernamero