今天的CCNA课程和上一节课有点类似,也是讲关于网络架构的,不过上次是LAN的架构,今天是WAN的架构。另外还有牵扯到VPN的一些知识。我如果没记错的话,当时读书时候VPN算是比较重要的知识点,而且要求掌握配置方法,但是目前看新版CCNA似乎不需要了解配置,只需要有一个概念即可。

首先我们澄清一下WAN的概念,WAN和internet 不是一码事。WAN全面 wide area network 也就是广域网,这个概念是相对于LAN 局域网来说的。可以把WAN理解为更大区域的网络,比如几个不同国家的LAN合并在一起。很多人默认以为internet就是广域网,但是实际上internet可以理解为许多许多的广域网合并在一起。

有许多种WAN技术,使用了不同的线缆,接口,协议等等,有一些地方可能已经不再用这个了,但是在某一些地区可能仍然使用。比如像有的地方用电话拨号上网,有的地方用光纤,有的地方用UTP网线。

首先说一下专线:dedicated connection 或者leased line,这个国内外都很常见,一般是公司企业有业务需求,需要保证带宽或者私密性等,一般都是用专线,当然价格也不便宜。顾名思义,拉一条专有的线路从供应商到客户,或者客户不同的office之间。

比如下图,直接办公室拉到数据中心的专线,

另外一种比较常见的是办公室拉专线到服务供应商,可以通过网线,可以通过光纤,如下图所示

专线也有很多种类型,随着慢慢的发展速度越来越快,这些类型没必要都记住,大概了解一下即可,如下图所示

北美用T1 T2 T3,欧洲用E1 E2 E3

而实际上如果没有这种带宽或者数据安全需求的话,一般大家都是把路由器接到ethernet,然后可能很多个WAN共享ISP的设施,如果对数据安全有需求的话,那么需要VPN,如下图所示

那么zheli就引入到了MPLS的概念,其实MPLS一开始在很多地方都可以用,但是现在主要是供应商再用。所以才从这里引入MPLS的概念。

MPLS: multi protocol label switching,我们想一下,假如没有MPLS,客户的数据包发到供应商的路由器后需要拆包查看IP地址,然后再转发,中途经过多次转发后送达目的地。可是供应商的设备是很多个WAN共用的,那么这需要很多速度或者CPU资源来处理。而且信息的安全性得不到保障。那么使用MPLS呢,在数据进入到供应商这里后会添加一个labels,供应商的内部路由转发不会去查看IP,只是看labels,因此速度大大提升,等离开供应商后又把labels移除。这样即提高了速度,也增加了数据安全性。如下图所示

不论你使用什么线缆,什么协议,ISP都不在乎,只把包加上labels,然后转发后移除即可,可以把ISP看成一个大交换机。如下图所示

除了上述说的以外,一些家用的网络连接方式也可能用于WAN,比如小型办公室用电话和猫拨号上网(DSL, digital subsciber line)。如下图所示,

当然也有用电视线的CATV,如下图所示

然后如果预算充足,并且有备份或者保障需求的话,建议使用多个WAN链路,并且使用不同的ISP,如下图所示为常见的几种类型

最后讲一下VPN,VPN就是为了保证信息的私密性,不论是个人也好,公司也好,都连接到了共享的电信设施上,默认情况下是没有任何的加密安全设置,因此我们需要VPN。

常见的VPN有两种,

site to site VPNs using IPSec

Remote-access VPNs using TLS

Site to Site VPNs (IPsec) 就是在两个site的设备一般就是指路由器上进行配置,然后在共享的电信设备中建立一个IPsec VPN tunnel这么一个通道,两个点之间发出的数据包都会被加密,然后加上新的VPN header和IPheader来实现数据的安全,如下图所示

在图中可以看到,site内部的设备都不需要做出任何的设置,不需要了解什么信息,还是正常的发送数据,只是两个sites 的路由器加了加密和解密的动作。

标准的IPsec也有一些限制,比如IPsec不支持广播和组播,这就导致一些路由协议比如OSPF等无法使用。这里需要使用GRE over IPsec

GRE 就是 generic routing encapsulation,和IPsec类似,也是创建一个tunnel但是不加密,但是该封装协议支持3层协议,因此也就支持组播和广播,所以我们把GRE 和IPsec合起来用,GRE over IPsec就解决了刚才提到的问题。首先把原始的IP包加上GRE header 和IP header建立通道,这样可以实现组播和广播,然后再加密,加上IPsec header 和IP header 来实现数据的安全,如下图所示

另外一个注意的点是,假如有很多个sites,并且是用的full mesh拓扑架构,那么一个一个配置的工作会非常多,非常幸苦,因此可以使用思考的DMVPN

Dynamic multipoint VPN,只需要再hub 路由上配置好参数,它就会给其他路由配置信息来形成IPsec,如下图所示

除了site to site VPNs外,还有一种常见的就是我们经常见到的 remote-access VPNs,比如我们的手机啊,电脑啊安装的一些VPN软件,配置等等,这可以让我们的设备在任何环境都能接入并且访问公司的资源,并且数据是安全加密的。

这种一般使用的是TLS 也就是 transport layer security技术,像 HTTPS就是用的TLS,最早被称为SSL,实际应用如下图所示,

YouTube player
YouTube player

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

——————————————————-分隔符——————————————————————-

Day 53 Anki Flashcard下载:https://drive.google.com/file/d/1ua5zBtGtuD03LIQuuusdtXX9RVfMkJND/view?usp=sharing

Day 53 Cisco Packet Tracer 练习题下载:https://drive.google.com/file/d/1Thlx_5KSj3YxTCK5EDC2vu5ftD5v8Jnn/view?usp=sharing

Day 53 Cisco Packet Tracer 练习题完成下载:https://drive.google.com/file/d/19jQXTvzqBHOZ-TBAsTGRvLvWIrA8Ea7u/view?usp=sharing


Chao

一个三天打鱼两天晒网的博主 拖延症严重患者 干啥啥不行,学啥啥不会

0 条评论

发表回复

Avatar placeholder