Byadmin
5
网络功能介绍
5.1 链路聚合
以太网链路聚合通过将多条以太网物理链路捆绑在一起形成一条以太网逻辑链路，实现增加链路带宽的目的，同时这些捆绑在一起的链路通过相互动态备份，可以有效地提高链路的可靠性。
5.1.1 聚合组
链路捆绑是通过接口捆绑实现的，多个以太网接口捆绑在一起后形成一个聚合组，而这些被捆绑在一起的以太网接口就称为该聚合组的成员端口。每个聚合组唯一对应着一个逻辑接口，称为聚合接口。聚合组与聚合接口的编号是相同的，例如聚合组1对应于聚合接口1。
聚合组/聚合接口可以分为以下两种类型：
·
二层聚合组/二层聚合接口：二层聚合组的成员端口全部为二层以太网接口，其对应的聚合接口称为二层聚合接口。
·
三层聚合组/三层聚合接口：三层聚合组的成员端口全部为三层以太网接口，其对应的聚合接口称为三层聚合接口。
聚合接口的速率和双工模式取决于对应聚合组内的选中端口：聚合接口的速率等于所有选中端口的速率之和，聚合接口的双工模式则与选中端口的双工模式相同。
5.1.2 选中/非选中状态
聚合组内的成员端口具有以下两种状态：
·
选中（Selected）状态：此状态下的成员端口可以参与数据的转发，处于此状态的成员端口称为“选中端口”。
·
非选中（Unselected）状态：此状态下的成员端口不能参与数据的转发，处于此状态的成员端口称为“非选中端口”。
5.1.3 操作Key
操作Key是系统在进行链路聚合时用来表征成员端口聚合能力的一个数值，它是根据成员端口上的一些信息（包括该端口的速率、双工模式等）的组合自动计算生成的，这个信息组合中任何一项的变化都会引起操作Key的重新计算。在同一聚合组中，所有的选中端口都必须具有相同的操作Key。
5.1.4 属性类配置
属性类配置：包含的配置内容如表5-1所示。在聚合组中，只有与对应聚合接口的属性类配置完全相同的成员端口才能够成为选中端口。
表5-1 属性类配置
配置项
内容
端口隔离
端口是否加入隔离组、端口所属的端口隔离组
VLAN配置
端口上允许通过的VLAN、端口缺省VLAN、VLAN报文是否带Tag配置
5.1.5 聚合模式
链路聚合分为静态聚合和动态聚合两种模式，处于静态聚合模式下的聚合组称为静态聚合组，处于动态聚合模式下的聚合组称为动态聚合组。
静态聚合和动态聚合工作时首先要选取参考端口，之后再确定成员端口的状态。
1. 静态聚合
(1)
选择参考端口
参考端口从本端的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
对于聚合组内处于up状态的端口，按照端口的高端口优先级->全双工/高速率->全双工/低速率->半双工/高速率->半双工/低速率的优先次序，选择优先次序最高、且属性类配置与对应聚合接口相同的端口作为参考端口；如果多个端口优先次序相同，首先选择原来的选中端口作为参考端口；如果此时多个优先次序相同的端口都是原来的选中端口，则选择其中端口号最小的端口作为参考端口；如果多个端口优先次序相同，且都不是原来的选中端口，则选择其中端口号最小的端口作为参考端口。
(2)
确定成员端口状态
静态聚合组内成员端口状态的确定流程如图5-1所示。
图5-1 静态聚合组内成员端口状态的确定流程
2. 动态聚合
动态聚合模式通过LACP（Link
Aggregation Control Protocol，链路聚合控制协议）协议实现，动态聚合组内的成员端口可以收发LACPDU（Link
Aggregation Control Protocol Data Unit，链路聚合控制协议数据单元），本端通过向对端发送LACPDU通告本端的信息。当对端收到该LACPDU后，将其中的信息与所在端其他成员端口收到的信息进行比较，以选择能够处于选中状态的成员端口，使双方可以对各自接口的选中/非选中状态达成一致。
(1)
选择参考端口
参考端口从聚合链路两端处于up状态的成员端口中选出，其操作Key和属性类配置将作为同一聚合组内的其他成员端口的参照，只有操作Key和属性类配置与参考端口一致的成员端口才能被选中。
·
首先，从聚合链路的两端选出设备ID（由系统的LACP优先级和系统的MAC地址共同构成）较小的一端：先比较两端的系统LACP优先级，优先级数值越小其设备ID越小；如果优先级相同再比较其系统MAC地址，MAC地址越小其设备ID越小。
·
其次，对于设备ID较小的一端，再比较其聚合组内各成员端口的端口ID（由端口优先级和端口的编号共同构成）：先比较端口优先级，优先级数值越小其端口ID越小；如果优先级相同再比较其端口号，端口号越小其端口ID越小。端口ID最小、且属性类配置与对应聚合接口相同的端口作为参考端口。
(2)
确定成员端口的状态
在设备ID较小的一端，动态聚合组内成员端口状态的确定流程如图5-2所示
图5-2 动态聚合组内成员端口状态的确定流程
与此同时，设备ID较大的一端也会随着对端成员端口状态的变化，随时调整本端各成员端口的状态，以确保聚合链路两端成员端口状态的一致。
3. 静态聚合和动态聚合的优点
静态聚合和动态聚合的优点分别为：
·
静态聚合模式：一旦配置好后，端口的转发流量的状态就不会受网络环境的影响，比较稳定。
·
动态聚合模式：能够根据对端和本端的信息调整端口的转发流量的状态，比较灵活。
5.2 风暴抑制
风暴抑制用于控制以太网上的报文风暴。配置该功能后，系统会按照配置的时间间隔统计端口收到的未知单播/组播/广播报文流量。如果某类报文流量超过上限阈值，系统会执行相应的控制动作，以及决定是否输出Trap和日志。控制动作包括：
·
无：在端口上不执行任何动作。
·
阻塞端口：端口将暂停转发该类报文（其它类型报文照常转发），端口处于阻塞状态，但仍会统计该类报文的流量。当该类报文的流量小于其下限阈值时，端口将自动恢复对此类报文的转发。
·
关闭端口：端口将被关闭，系统停止转发所有报文。当该类报文的流量小于其下限阈值时，端口状态不会自动恢复，需要手工启用接口或取消端口上流量阈值的配置来恢复。
5.3 端口隔离
为了实现端口间的二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限。采用端口隔离特性，用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。
隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。
5.4 VLAN
VLAN（Virtual Local Area Network，虚拟局域网）技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN，每个VLAN是一个广播域。处于同一VLAN的主机能够直接互通，而处于不同VLAN的主机不能够直接互通。
5.4.1 基于端口划分VLAN
VLAN可以基于端口进行划分。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。
在某VLAN内，可根据需要配置端口加入Untagged端口列表或Tagged端口列表（即配置端口为Untagged端口或Tagged端口），从Untagged端口发出的该VLAN报文不带VLAN Tag，从Tagged端口发出的该VLAN报文带VLAN Tag。
端口的链路类型分为三种。在端口加入某VLAN时，对不同链路类型的端口加入的端口列表要求不同：
·
Access：端口只能发送一个VLAN的报文，发出去的报文不带VLAN Tag。该端口只能加入一个VLAN的Untagged端口列表。
·
Trunk：端口能发送多个VLAN的报文，发出去的端口缺省VLAN的报文不带VLAN Tag，其他VLAN的报文都必须带VLAN Tag。在端口缺省VLAN中，该端口只能加入Untagged端口列表；在其他VLAN中，该端口只能加入Tagged端口列表。
·
Hybrid：端口能发送多个VLAN的报文，端口发出去的报文可根据需要配置某些VLAN的报文带VLAN Tag，某些VLAN的报文不带VLAN Tag。在不同VLAN中，该端口可以根据需要加入Untagged端口列表或Tagged端口列表。
5.4.2 VLAN接口
不同VLAN间的主机不能直接通信，通过设备上的VLAN接口，可以实现VLAN间的三层互通。VLAN接口是一种三层的虚拟接口，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，VLAN接口的IP地址可作为本VLAN内网络设备的网关地址，对需要跨网段的报文进行基于IP地址的三层转发。
5.5 MAC
MAC（Media Access Control，媒体访问控制）地址表记录了MAC地址与接口的对应关系，以及接口所属的VLAN等信息。设备在转发报文时，根据报文的目的MAC地址查询MAC地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果MAC地址表中没有包含报文目的MAC地址对应的表项时，设备将采取广播的方式通过对应VLAN内除接收接口外的所有接口转发该报文。
5.5.1 MAC地址表分类
MAC地址表项分为以下几种：
·
动态MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于目的是某个MAC地址的报文从对应接口转发出去，表项有老化时间。手工配置的动态MAC地址表项优先级等于自动生成的MAC地址表项。
·
静态MAC地址表项：由用户手工配置，用于目的是某个MAC地址的报文从对应接口转发出去，表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。
·
黑洞MAC地址表项：由用户手工配置，用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。
·
多端口单播MAC地址表项：由用户手工配置，用于目的是某个单播MAC地址的报文从多个接口复制转发出去，表项不老化。多端口单播MAC地址表项优先级高于自动生成的MAC地址表项。
·
安全服务MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于转发指定MAC地址的报文，表项不老化。
5.5.2 MAC地址表项老化时间
MAC地址表中自动生成的表项并非永远有效，每一条表项都有一个生存周期，这个生存周期被称作老化时间。配置动态MAC地址表项的老化时间后，超过老化时间的动态MAC地址表项会被自动删除，设备将重新进行MAC地址学习，构建新的动态MAC地址表项。如果在到达生存周期前某表项被刷新，则重新计算该表项的老化时间。
用户配置的老化时间过长或者过短，都可能影响设备的运行性能：
·
如果用户配置的老化时间过长，设备可能会保存许多过时的MAC地址表项，从而耗尽MAC地址表资源，导致设备无法根据网络的变化更新MAC地址表。
·
如果用户配置的老化时间太短，设备可能会删除有效的MAC地址表项，导致设备广播大量的数据报文，增加网络的负担。
用户需要根据实际情况，配置合适的老化时间。如果网络比较稳定，可以将老化时间配置得长一些或者配置为不老化；否则，可以将老化时间配置得短一些。比如在一个比较稳定的网络，如果长时间没有流量，动态MAC地址表项会被全部删除，可能导致设备突然广播大量的数据报文，造成安全隐患，此时可将动态MAC地址表项的老化时间设得长一些或不老化，以减少广播，增加网络稳定性和安全性。动态MAC地址表项的老化时间作用于全部接口上。
5.5.3 接口MAC地址学习
缺省情况下，MAC地址学习功能处于开启状态。有时为了保证设备的安全，需要关闭MAC地址学习功能。常见的危及设备安全的情况是：非法用户使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。在开启全局的MAC地址学习功能的前提下，用户可以关闭单个接口的MAC地址的学习功能。
如果MAC地址表过于庞大，可能导致设备的转发性能下降。通过配置接口的MAC地址数学习上限，用户可以控制设备维护的MAC地址表的表项数量。当接口学习到的MAC地址数达到上限时，该接口将不再对MAC地址进行学习，同时，用户还可以根据需要选择是否允许系统转发源MAC不在MAC地址表里的报文。
5.6 STP
生成树协议运行于二层网络中，通过阻塞冗余链路构建出无数据环路的树型网络拓扑，并在设备或数据链路故障时，重新计算出新的树型拓扑。
生成树协议包括STP、RSTP、PVST和MSTP。
·
STP：由IEEE制定的802.1D标准定义，是狭义的生成树协议。
·
RSTP：由IEEE制定的802.1w标准定义，它在STP基础上进行了改进，实现了网络拓扑的快速收敛。其“快速”体现在，当一个端口被选为根端口和指定端口后，其进入转发状态的延时将大大缩短，从而缩短了网络最终达到拓扑稳定所需要的时间。
·
PVST：可以在每个VLAN内都拥有一棵生成树，能够有效地提高链路带宽的利用率。
·
MSTP：由IEEE制定的802.1s标准定义，它可以弥补STP和RSTP的缺陷，既可以快速收敛，也能使不同VLAN的流量沿各自的路径转发，从而为冗余链路提供了更好的负载分担机制。
5.6.1 生成树工作模式
生成树的工作模式有以下几种：
·
STP模式：设备的所有端口都将向外发送STP BPDU。如果端口的对端设备只支持STP，可选择此模式。
·
RSTP模式：设备的所有端口都向外发送RSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是MSTP BPDU，则不会进行迁移。
·
PVST模式：设备的所有端口都向外发送PVST BPDU，每个VLAN对应一棵生成树。进行PVST组网时，若网络中所有设备的生成树维护量（使能生成树协议的VLAN数×使能生成树协议的端口数）达到一定数量，会导致CPU负荷过重，不能正常处理报文，引起网络震荡。不同型号的设备支持的生成树维护量不同，请以设备的实际情况为准。
·
MSTP模式：设备的所有端口都向外发送MSTP BPDU。当端口收到对端设备发来的STP BPDU时，会自动迁移到STP模式；如果收到的是RSTP BPDU，则不会进行迁移。
5.6.2 MSTP基本概念
MSTP把一个交换网络划分成多个域，这些域称为MST（Multiple
Spanning Tree Regions，多生成树域）域。每个域内形成多棵生成树，各生成树之间彼此独立并分别与相应的VLAN对应，每棵生成树都称为一个MSTI（Multiple
Spanning Tree Instance，多生成树实例）。CST（Common
Spanning Tree，公共生成树）是一棵连接交换网络中所有MST域的单生成树。IST（Internal
Spanning Tree，内部生成树）是MST域内的一棵生成树，它是一个特殊的MSTI，通常也称为MSTI 0，所有VLAN缺省都映射到MSTI 0上。CIST（Common and Internal Spanning
Tree，公共和内部生成树）是一棵连接交换网络内所有设备的单生成树，所有MST域的IST再加上CST就共同构成了整个交换网络的一棵完整的单生成树。
其中，对于属于同一MST域的设备具有下列特点：
·
都使能了生成树协议。
·
域名相同。
·
VLAN与MSTI间映射关系的配置相同。
·
MSTP修订级别的配置相同。
·
这些设备之间有物理链路连通。
5.6.3 生成树端口角色
生成树可能涉及到的端口角色有以下几种：
·
根端口（Root
Port）：在非根桥上负责向根桥方向转发数据的端口就称为根端口，根桥上没有根端口。
·
指定端口（Designated Port）：负责向下游网段或设备转发数据的端口就称为指定端口。
·
替换端口（Alternate Port）：是根端口或主端口的备份端口。当根端口或主端口被阻塞后，替换端口将成为新的根端口或主端口。
·
备份端口（Backup
Port）：是指定端口的备份端口。当指定端口失效后，备份端口将转换为新的指定端口。当使能了生成树协议的同一台设备上的两个端口互相连接而形成环路时，设备会将其中一个端口阻塞，该端口就是备份端口。
·
边缘端口（Edge Port）：不与其他设备或网段连接的端口就称为边缘端口，边缘端口一般与用户终端设备直接相连。
·
主端口（Master Port）：是将MST域连接到总根的端口（主端口不一定在域根上），位于整个域到总根的最短路径上。主端口是MST域中的报文去往总根的必经之路。主端口在IST/CIST上的角色是根端口，而在其他MSTI上的角色则是主端口。
·
域边界端口（Boundary Port）：是位于MST域的边缘、并连接其他MST域或MST域与运行STP/RSTP的区域的端口。主端口同时也是域边界端口。在进行MSTP计算时，域边界端口在MSTI上的角色与CIST的角色一致，但主端口除外——主端口在CIST上的角色为根端口，在其他MSTI上的角色才是主端口。
STP只涉及根端口和指定端口两种端口角色，RSTP的端口角色中新增了替换端口、备份端口和边缘端口三种端口角色，MSTP涉及所有的端口角色。
5.6.4 生成树端口状态
RSTP和MSTP中的端口状态可分为三种，如表5-2所示。
表5-2 RSTP和MSTP中的端口状态
状态
描述
Forwarding
该状态下的端口可以接收和发送BPDU，也转发用户流量
Learning
是一种过渡状态，该状态下的端口可以接收和发送BPDU，但不转发用户流量
Discarding
该状态下的端口可以接收和发送BPDU，但不转发用户流量
STP定义了五种端口状态：Disabled、Blocking、Listening、Learning和Forwarding。其中Disabled、Blocking和Listening状态都对应RSTP/MSTP中的Discarding状态。
5.7 LLDP
LLDP（Link Layer Discovery Protocol，链路层发现协议）提供了一种标准的链路层发现方式，可以将本端设备的信息（包括主要能力、管理地址、设备标识、接口标识等）组织成不同的TLV（Type/Length/Value，类型/长度/值），并封装在LLDPDU（Link Layer Discovery Protocol
Data Unit，链路层发现协议数据单元）中发布给与自己直连的邻居，邻居收到这些信息后将其以标准MIB（Management
Information Base，管理信息库）的形式保存起来，以供网络管理系统查询及判断链路的通信状况。
5.7.1 LLDP代理
LLDP代理是LLDP协议运行实体的一个抽象映射。一个接口下，可以运行多个LLDP代理。目前LLDP定义的代理类型包括：最近桥代理、最近非TPMR桥代理和最近客户桥代理。LLDP在相邻的代理之间进行协议报文交互，并基于代理创建及维护邻居信息。
5.7.2 LLDP报文的发送机制
在指定类型LLDP代理下，当端口工作在TxRx或Tx模式时，设备会以报文发送时间间隔为周期，向邻居设备发送LLDP报文。如果设备的本地配置发生变化则立即发送LLDP报文，以将本地信息的变化情况尽快通知给邻居设备。但为了防止本地信息的频繁变化而引起LLDP报文的大量发送，可以配置限制发送报文速率的令牌桶大小来作限速处理。
当设备的工作模式由Disable/Rx切换为TxRx/Tx，或者发现了新的邻居设备（即收到一个新的LLDP报文且本地尚未保存发送该报文设备的信息）时，该设备将自动启用快速发送机制，即将LLDP报文的发送周期设置为快速发送周期，并连续发送指定数量（快速发送LLDP报文的个数）的LLDP报文后再恢复为正常的发送周期。
5.7.3 LLDP报文的接收机制
当端口工作在TxRx或Rx模式时，设备会对收到的LLDP报文及其携带的TLV进行有效性检查，通过检查后再将邻居信息保存到本地，并根据Time
To Live TLV中TTL（Time To Live，生存时间）的值来设置邻居信息在本地设备上的老化时间，若该值为零，则立刻老化该邻居信息。
由于TTL＝Min（65535，（TTL乘数×LLDP报文的发送间隔＋1）），即取65535与（TTL乘数×LLDP报文的发送间隔＋1）中的最小值，因此通过调整TTL乘数可以控制本设备信息在邻居设备上的老化时间。
5.7.4 端口初始化延迟时间
当端口的LLDP工作模式发生变化时，端口将对协议状态机进行初始化操作。为了避免端口工作模式频繁改变而导致端口不断执行初始化操作，可配置端口初始化延迟时间，当端口工作模式改变时延迟一段时间再执行初始化操作。
5.7.5 LLDP
Trap功能
如果开启了发送LLDP
Trap功能，设备可以通过向网管系统发送Trap信息以通告如发现新的LLDP邻居、与原来邻居的通信链路发生故障等重要事件。
5.7.6 LLDP
TLV
TLV是组成LLDP报文的单元，每个TLV都代表一个信息。LLDP可以封装的TLV包括基本TLV、802.1 TLV、802.3 TLV和LLDP-MED（Link Layer Discovery Protocol
Media Endpoint Discovery，链路层发现协议媒体终端发现） TLV。
基本TLV是网络设备管理基础的一组TLV，802.1 TLV、802.3 TLV和LLDP-MED TLV则是由标准组织或其他机构定义的TLV，用于增强对网络设备的管理，可根据实际需要选择是否在LLDPDU中发送。
5.7.7 兼容CDP功能
开启本功能后，设备可以利用LLDP来接收、识别Cisco的IP电话发送的CDP报文，并向其回应CDP报文。
5.8 DHCP
Snooping
DHCP Snooping是DHCP的一种安全特性，具有如下功能：
1. 保证客户端从合法的服务器获取IP地址
网络中如果存在私自架设的非法DHCP服务器，则可能导致DHCP客户端获取到错误的IP地址和网络配置参数，从而无法正常通信。为了使DHCP客户端能通过合法的DHCP服务器获取IP地址，DHCP
Snooping安全机制允许将端口设置为信任端口和不信任端口：
·
信任端口正常转发接收到的DHCP报文。
·
不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文。
在DHCP
Snooping设备上指向DHCP服务器方向的端口需要设置为信任端口，其他端口设置为不信任端口，从而保证DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。
2. 记录DHCP Snooping表项
DHCP
Snooping通过监听DHCP-REQUEST报文和信任端口收到的DHCP-ACK报文，记录DHCP Snooping表项，其中包括客户端的MAC地址、DHCP服务器为DHCP客户端分配的IP地址、与DHCP客户端连接的端口及VLAN等信息。利用这些信息可以实现ARP Detection功能，即根据DHCP Snooping表项来判断发送ARP报文的用户是否合法，从而防止非法用户的ARP攻击。
3. 备份DHCP Snooping表项
DHCP Snooping设备重启后，设备上记录的DHCP Snooping表项将丢失。如果DHCP Snooping与其他模块配合使用，则表项丢失会导致这些模块无法通过DHCP Snooping获取到相应的表项，进而导致DHCP客户端不能顺利通过安全检查、正常访问网络。
DHCP Snooping表项备份功能将DHCP Snooping表项保存到指定的文件中，DHCP Snooping设备重启后，自动根据该文件恢复DHCP Snooping表项，从而保证DHCP Snooping表项不会丢失。
4. 支持Option 82功能
Option 82记录了DHCP客户端的位置信息。管理员可以利用该选项定位DHCP客户端，实现对客户端的安全和计费等控制。Option 82包含两个子选项：Circuit ID和Remote ID。
支持Option
82功能是指设备接收到DHCP请求报文后，根据报文中是否包含Option 82以及用户配置的处理策略及填充模式等对报文进行相应的处理，并将处理后的报文转发给DHCP服务器。当设备接收到DHCP服务器的响应报文时，如果报文中含有Option 82，则删除Option 82，并转发给DHCP客户端；如果报文中不含有Option 82，则直接转发。
具体的处理方式见表5-3。
表5-3 Option 82处理方式
收到DHCP请求报文
处理策略
DHCP Snooping对报文的处理
收到的报文中带有Option 82
Drop
丢弃报文
Keep
保持报文中的Option 82不变并进行转发
Replace
根据DHCP Snooping上配置的填充模式、内容、格式等填充Option 82，替换报文中原有的Option 82并进行转发
收到的报文中不带有Option 82
-
根据DHCP
Snooping上配置的填充模式、内容、格式等填充Option 82，添加到报文中并进行转发
5.9 IP
5.9.1 IP地址分类和表示
IP地址是每个连接到IPv4网络上的设备的唯一标识。IP地址长度为32比特，通常采用点分十进制方式表示，即每个IP地址被表示为以小数点隔开的4个十进制整数，每个整数对应一个字节，如10.1.1.1。
IP地址由两部分组成：
·
网络号码字段（Net-id）：用于区分不同的网络。网络号码字段的前几位称为类别字段（又称为类别比特），用来区分IP地址的类型。
·
主机号码字段（Host-id）：用于区分一个网络内的不同主机。
IP地址分为5类，每一类地址范围如表5-4所示。目前大量使用的IP地址属于A、B、C三类。
表5-4 IP地址分类
地址类型
地址范围
说明
A
0.0.0.0～127.255.255.255
IP地址0.0.0.0仅用于主机在系统启动时进行临时通信，并且永远不是有效目的地址
127.0.0.0网段的地址都保留作环回测试，发送到这个地址的分组不会输出到链路上，它们被当作输入分组在内部进行处理
B
128.0.0.0～191.255.255.255
-
C
192.0.0.0～223.255.255.255
-
D
224.0.0.0～239.255.255.255
组播地址
E
240.0.0.0～255.255.255.255
255.255.255.255用于广播地址，其它地址保留今后使用
5.9.2 子网和掩码
随着Internet的快速发展，IP地址已近枯竭。为了充分利用已有的IP地址，可以使用子网掩码将网络划分为更小的部分（即子网）。通过从主机号码字段部分划出一些比特位作为子网号码字段，能够将一个网络划分为多个子网。子网号码字段的长度由子网掩码确定。
子网掩码是一个长度为32比特的数字，由一串连续的“1”和一串连续的“0”组成。“1”对应于网络号码字段和子网号码字段，而“0”对应于主机号码字段。
多划分出一个子网号码字段会浪费一些IP地址。例如，一个B类地址可以容纳65534（216-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。但划分出9比特长的子网字段后，最多可有512（29）个子网，每个子网有7比特的主机号码，即每个子网最多可有126（27-2，去掉主机号码字段全1的广播地址和主机号码字段全0的网段地址）个主机号码。因此主机号码的总数是512*126=64512个，比不划分子网时要少1022个。
若不进行子网划分，则子网掩码为默认值，此时子网掩码中“1”的长度就是网络号码的长度，即A、B、C类IP地址对应的子网掩码默认值分别为255.0.0.0、255.255.0.0和255.255.255.0。
5.9.3 IP地址的配置方式
接口获取IP地址有以下几种方式：
·
通过手动指定IP地址
·
通过DHCP分配得到IP地址
5.9.4 接口MTU
当设备收到一个报文后，如果发现报文长度比转发接口的MTU值大，则进行下列处理：
·
如果报文不允许分片，则将报文丢弃；
·
如果报文允许分片，则将报文进行分片转发。
为了减轻转发设备在传输过程中的分片和重组数据包的压力，更高效的利用网络资源，请根据实际组网环境设置合适的接口MTU值，以减少分片的发生。
5.10 ARP
ARP（Address Resolution Protocol，地址解析协议）是将IP地址解析为以太网MAC地址（或称物理地址）的协议。
设备通过ARP协议解析到目的MAC地址后，将会在自己的ARP表中增加IP地址和MAC地址映射关系的表项，以用于后续到同一目的地报文的转发。
ARP表项分为两种：动态ARP表项、静态ARP表项。
5.10.1 动态ARP表项
动态ARP表项由ARP协议通过ARP报文自动生成和维护，可以被老化，可以被新的ARP报文更新，可以被静态ARP表项覆盖。当到达老化时间、接口状态down时，系统会删除相应的动态ARP表项。
动态ARP表项可以固化为静态ARP表项，但被固化后无法再恢复为动态ARP表项。
为了防止部分接口下的用户占用过多的ARP资源，可以通过设置接口学习动态ARP表项的最大个数来进行限制。
5.10.2 静态ARP表项
静态ARP表项通过手工创建或由动态ARP表项固化而来，不会被老化，不会被动态ARP表项覆盖。
配置静态ARP表项可以增加通信的安全性。静态ARP表项可以限制和指定IP地址的设备通信时只使用指定的MAC地址，此时攻击报文无法修改此表项的IP地址和MAC地址的映射关系，从而保护了本设备和指定设备间的正常通信。
在配置静态ARP表项时，如果管理员希望用户使用某个固定的IP地址和MAC地址通信，可以将该IP地址与MAC地址绑定；如果进一步希望限定用户只在指定VLAN的特定接口上连接，则需要进一步指定报文转发的VLAN和出接口。
一般情况下，ARP动态执行并自动寻求IP地址到以太网MAC地址的解析，无需管理员的介入。
当静态ARP表项中的IP地址与VLAN虚接口的IP地址属于同一网段时，该静态ARP表项才能正常指导转发。
5.10.3 代理ARP
如果ARP请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理ARP功能的设备就可以回答该请求，这个过程称作代理ARP。
代理ARP功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。
代理ARP分为普通代理ARP和本地代理ARP，二者的应用场景有所区别：
·
普通代理ARP：想要互通的主机分别连接到设备的不同三层接口上，且这些主机不在同一个广播域中。
·
本地代理ARP：想要互通的主机连接到设备的同一个三层接口上，且这些主机不在同一个广播域中。
在配置本地代理ARP时，用户也可以指定进行ARP代理的IP地址范围。
5.10.4 免费ARP
免费ARP报文是一种特殊的ARP报文，该报文中携带的发送端IP地址和目标IP地址都是本机IP地址。
设备通过对外发送免费ARP报文来实现以下功能：
·
确定其它设备的IP地址是否与本机的IP地址冲突。当其它设备收到免费ARP报文后，如果发现报文中的IP地址和自己的IP地址相同，则给发送免费ARP报文的设备返回一个ARP应答，告知该设备IP地址冲突。
·
设备改变了硬件地址，通过发送免费ARP报文通知其它设备更新ARP表项。
1. 学习免费ARP报文功能
启用了学习免费ARP报文功能后，设备会根据收到的免费ARP报文中携带的信息（发送端IP地址、发送端MAC地址）对自身维护的ARP表进行修改。设备先判断ARP表中是否存在与此免费ARP报文中的发送端IP地址对应的ARP表项：
·
如果没有对应的ARP表项，设备会根据该免费ARP报文中携带的信息新建ARP表项；
·
如果存在对应的ARP表项，设备会根据该免费ARP报文中携带的信息更新对应的ARP表项。
关闭学习免费ARP报文功能后，设备不会根据收到的免费ARP报文来新建ARP表项，但是会更新已存在的对应ARP表项。如果用户不希望通过免费ARP报文来新建ARP表项，可以关闭学习免费ARP报文功能，以节省ARP表项资源。
2. 回复免费ARP报文功能
开启回复免费ARP报文功能后，当设备收到非同一网段的ARP请求时发送免费ARP报文。关闭该功能后，设备收到非同一网段的ARP请求时不发送免费ARP报文。
3. 接口定时发送免费ARP报文功能
用户可以配置某些接口定时发送免费ARP报文，以便及时通知下行设备更新ARP表项或者MAC地址表项，主要应用场景如下：
·
防止仿冒网关的ARP攻击
如果攻击者仿冒网关发送免费ARP报文，就可以欺骗同网段内的其它主机，使得被欺骗的主机访问网关的流量被重定向到一个错误的MAC地址，导致其它主机用户无法正常访问网络。
为了降低这种仿冒网关的ARP攻击所带来的影响，可以在网关的接口上启用定时发送免费ARP功能。启用该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样，每台主机都可以学习到正确的网关，从而正常访问网络。
·
防止主机ARP表项老化
在实际环境中，当网络负载较大或接收端主机的CPU占用率较高时，可能存在ARP报文被丢弃或主机无法及时处理接收到的ARP报文等现象。这种情况下，接收端主机的动态ARP表项会因超时而老化，在其重新学习到发送设备的ARP表项之前，二者之间的流量就会发生中断。
为了解决上述问题，可以在网关的接口上启用定时发送免费ARP功能。启用该功能后，网关接口上将按照配置的时间间隔周期性发送接口主IP地址和手工配置的从IP地址的免费ARP报文。这样，接收端主机可以及时更新ARP映射表，从而防止了上述流量中断现象。
5.10.5 ARP攻击防御
ARP协议有简单、易用的优点，但是也因为其没有任何安全机制而容易被攻击发起者利用。目前ARP攻击和ARP病毒已经成为局域网安全的一大威胁，为了避免各种攻击带来的危害，设备提供了多种技术对攻击进行防范、检测和解决。
不同设备支持配置的ARP攻击防御功能如下：
·
网关设备支持配置的功能包括：ARP黑洞路由、ARP源抑制、源MAC地址一致性检查、ARP主动确认、源MAC地址固定的ARP攻击检测、授权ARP和ARP扫描；
·
接入设备支持配置的功能包括：ARP报文限速、ARP网关保护、ARP过滤保护和ARP Detection。
1. ARP防止IP报文攻击功能
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：
·
设备向目的网段发送大量ARP请求报文，加重目的网段的负载。
·
设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。
为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：
·
ARP黑洞路由功能：开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。
·
ARP源抑制功能：如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，如果网络中每5秒内从某IP地址向设备某接口发送目的IP地址不能解析的IP报文超过了设置的阈值，则设备将不再处理由此IP地址发出的IP报文直至该5秒结束，从而避免了恶意攻击所造成的危害。
2. ARP报文源MAC地址一致性检查功能
ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。
配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。
3. ARP主动确认功能
ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。
启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。
使能严格模式后，新建ARP表项前，ARP主动确认功能会执行更严格的检查：
·
收到目标IP地址为自己的ARP请求报文时，设备会发送ARP应答报文，但不建立ARP表项；
·
收到ARP应答报文时，需要确认本设备是否对该报文中的源IP地址发起过ARP解析：若发起过解析，解析成功后则设备启动主动确认功能，主动确认流程成功完成后，设备可以建立该表项；若未发起过解析，则设备丢弃该报文。
4. 源MAC地址固定的ARP攻击检测功能
本特性根据ARP报文的源MAC地址对上送CPU的ARP报文进行统计，在5秒内，如果收到同一源MAC地址（源MAC地址固定）的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印日志信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的检查模式为监控模式，则只打印日志信息，不会将该源MAC地址发送的ARP报文过滤掉。
对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该设备存在攻击也不会被检测、过滤。
5. 授权ARP功能
所谓授权ARP，就是动态学习ARP的过程中，只有和DHCP服务器生成的租约或DHCP中继生成的安全表项一致的ARP报文才能够被学习。
使能接口的授权ARP功能后，系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。
6. ARP扫描功能
启用ARP扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。
ARP扫描功能一般与ARP固化功能配合使用。ARP固化功能用来将当前的ARP动态表项（包括ARP扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效防止攻击者修改ARP表项。
建议在网吧这种环境稳定的小型网络中使用这两个功能。
7. ARP报文限速功能
ARP报文限速功能是指对上送CPU的ARP报文进行限速，可以防止大量ARP报文对CPU进行冲击。例如，在配置了ARP Detection功能后，设备会将收到的ARP报文重定向到CPU进行检查，这样引入了新的问题：如果攻击者恶意构造大量ARP报文发往设备，会导致设备的CPU负担过重，从而造成其他功能无法正常运行甚至设备瘫痪，这个时候可以启用ARP报文限速功能来控制上送CPU的ARP报文的速率。
建议用户在配置了ARP Detection或者发现有ARP泛洪攻击的情况下，使用ARP报文限速功能。
配置ARP报文限速功能后，如果用户开启了ARP限速日志功能，则当接口上单位时间收到的ARP报文数量超过用户设定的限速值，设备将这个时间间隔内的超速峰值作为日志的速率值发送到设备的信息中心，通过设置信息中心的参数，最终决定日志报文的输出规则（即是否允许输出以及输出方向）。为防止过多的日志信息干扰用户工作，用户可以设定日志信息的发送时间间隔。当用户设定的时间间隔超时时，设备执行发送日志的操作。
8. ARP网关保护功能
在设备上不与网关相连的接口上配置此功能，可以防止伪造网关攻击。
在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址是否和配置的被保护网关的IP地址相同。如果相同，则认为此报文非法，将其丢弃；否则，认为此报文合法，继续进行后续处理。
9. ARP过滤保护功能
ARP过滤保护功能用来限制接口下允许通过的ARP报文，可以防止仿冒网关和仿冒用户的攻击。
在接口上配置此功能后，当接口收到ARP报文时，将检查ARP报文的源IP地址和源MAC地址是否和允许通过的IP地址和MAC地址相同：
·
如果相同，则认为此报文合法，继续进行后续处理；
·
如果不相同，则认为此报文非法，将其丢弃。
10. ARP
Detection功能
ARP Detection功能主要应用于接入设备上，对于合法用户的ARP报文进行正常转发，否则直接丢弃，从而防止仿冒用户、仿冒网关的攻击。
ARP Detection包含三个功能：用户合法性检查、ARP报文有效性检查、ARP报文强制转发。
(1)
用户合法性检查
如果仅在VLAN上开启ARP Detection功能，则仅进行用户合法性检查。
对于ARP信任接口，不进行用户合法性检查；对于ARP非信任接口，需要进行用户合法性检查，以防止仿冒用户的攻击。
用户合法性检查是根据ARP报文中源IP地址和源MAC地址检查用户是否是所属VLAN所在接口上的合法用户，包括基于IP Source Guard静态绑定表项的检查、基于DHCP Snooping表项的检查。只要符合任何一个，就认为该ARP报文合法，进行转发。如果所有检查都没有找到匹配的表项，则认为是非法报文，直接丢弃。
(2)
ARP报文有效性检查
对于ARP信任接口，不进行报文有效性检查；对于ARP非信任接口，需要根据配置对MAC地址和IP地址不合法的报文进行过滤。可以选择配置源MAC地址、目的MAC地址或IP地址检查模式。
·
源MAC地址的检查模式：会检查ARP报文中的源MAC地址和以太网报文头中的源MAC地址是否一致，一致则认为有效，否则丢弃报文；
·
目的MAC地址的检查模式（只针对ARP应答报文）：会检查ARP应答报文中的目的MAC地址是否为全0或者全1，是否和以太网报文头中的目的MAC地址一致。全0、全1、不一致的报文都是无效的，需要被丢弃；
·
IP地址检查模式：会检查ARP报文中的源IP或目的IP地址，如全1、或者组播IP地址都是不合法的，需要被丢弃。对于ARP应答报文，源IP和目的IP地址都进行检查；对于ARP请求报文，只检查源IP地址。
(3)
ARP报文强制转发
对于从ARP信任接口接收到的ARP报文不受此功能影响，按照正常流程进行转发；对于从ARP非信任接口接收到的并且已经通过用户合法性检查的ARP报文的处理过程如下：
·
对于ARP请求报文，通过信任接口进行转发；
对于ARP应答报文，首先按照报文中的以太网目的MAC地址进行转发，若在MAC地址表中没有查到目的MAC地址对应的表项，则将此ARP应答报文通过信任接口进行转发。
5.11 DNS
DNS（Domain Name System，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与地址之间的转换。IPv4 DNS提供域名和IPv4地址之间的转换，IPv6 DNS提供域名和IPv6地址之间的转换。
设备作为DNS客户端，当用户在设备上进行某些应用（如Telnet到一台设备或主机）时，可以直接使用便于记忆的、有意义的域名，通过域名系统将域名解析为正确的地址。
域名解析分为动态域名解析和静态域名解析两种。动态域名解析和静态域名解析可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析需要域名服务器的配合，会花费一定的时间，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。
5.11.1 动态域名解析
使用动态域名解析时，需要手工指定域名服务器的地址。
动态域名解析通过向域名服务器查询域名和地址之间的对应关系来实现将域名解析为地址。
动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。
使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：
·
如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。
·
如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。
·
如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查询终止符。带有查询终止符的域名，称为FQDN（Fully Qualified
Domain Name，完全合格域名）。
5.11.2 静态域名解析
手工建立域名和地址之间的对应关系。当用户使用域名进行某些应用时，系统查找静态域名解析表，从中获取指定域名对应的地址。
5.11.3 DNS代理
DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。
使用DNS
proxy功能后，当DNS
server的地址发生变化时，只需改变DNS
proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。
5.12 DDNS
DNS仅仅提供了域名和地址之间的静态对应关系，当节点的地址发生变化时，DNS无法动态地更新域名和地址的对应关系。此时，如果仍然使用域名访问该节点，通过域名解析得到的地址是错误的，从而导致访问失败。
DDNS（Dynamic Domain Name System，动态域名系统）用来动态更新DNS服务器上域名和地址之间的对应关系，保证通过域名解析到正确的地址。
使用DDNS服务前，用户需要先登录DDNS服务器，注册账户。设备作为DDNS客户端，在地址变化时，向DDNS服务器发送更新域名和地址对应关系的DDNS更新请求，更新请求中携带用户的账户信息（用户名和密码）。DDNS服务器对账户信息认证通过后，通知DNS服务器动态更新域名和地址之间的对应关系。
目前，只有IPv4域名解析支持DDNS，IPv6域名解析不支持DDNS，即只能通过DDNS动态更新域名和IPv4地址之间的对应关系。
为了简化配置，设备通过DDNS策略来管理和维护DDNS客户端的参数，如DDNS服务提供商信息（即DDNS服务器信息）、用户的账户信息（用户名和密码）、更新时间间隔、关联的SSL客户端策略等。创建DDNS策略后，可以在不同的接口上应用相同的DDNS策略，从而简化DDNS的配置。
5.13 IPv6
IPv6（Internet Protocol Version 6，互联网协议版本6）是网络层协议的第二代标准协议，也被称为IPng（IP
Next Generation，下一代互联网协议），它是IETF（Internet
Engineering Task Force，互联网工程任务组）设计的一套规范，是IPv4的升级版本。IPv6和IPv4之间最显著的区别为：地址的长度从32比特增加到128比特。
5.13.1 IPv6地址表示方式
IPv6地址被表示为以冒号（:）分隔的一连串16比特的十六进制数。每个IPv6地址被分为8组，每组的16比特用4个十六进制数来表示，组和组之间用冒号隔开，比如：2001:0000:130F:0000:0000:09C0:876A:130B。
为了简化IPv6地址的表示，对于IPv6地址中的“0”可以有下面的处理方式：
·
每组中的前导“0”可以省略，即上述地址可写为2001:0:130F:0:0:9C0:876A:130B。
·
如果地址中包含一组或连续多组均为0的组，则可以用双冒号“::”来代替，即上述地址可写为2001:0:130F::9C0:876A:130B。
IPv6地址由两部分组成：地址前缀与接口标识。其中，地址前缀相当于IPv4地址中的网络号码字段部分，接口标识相当于IPv4地址中的主机号码部分。
地址前缀的表示方式为：IPv6地址/前缀长度。其中，前缀长度是一个十进制数，表示IPv6地址最左边多少位为地址前缀。
5.13.2 IPv6地址分类
IPv6主要有三种类型的地址：单播地址、组播地址和任播地址。
·
单播地址：用来唯一标识一个接口，类似于IPv4的单播地址。发送到单播地址的数据报文将被传送给此地址所标识的接口。
·
组播地址：用来标识一组接口（通常这组接口属于不同的节点），类似于IPv4的组播地址。发送到组播地址的数据报文被传送给此地址所标识的所有接口。
·
任播地址：用来标识一组接口（通常这组接口属于不同的节点）。发送到任播地址的数据报文被传送给此地址所标识的一组接口中距离源节点最近（根据使用的路由协议进行度量）的一个接口。
IPv6中没有广播地址，广播地址的功能通过组播地址来实现。
IPv6地址类型是由地址前面几位（称为格式前缀）来指定的，主要地址类型与格式前缀的对应关系如表5-5所示。
表5-5 IPv6地址类型与格式前缀的对应关系
地址类型
格式前缀（二进制）
IPv6前缀标识
简介
单播地址
未指定地址
00...0 (128 bits)
::/128
不能分配给任何节点。在节点获得有效的IPv6地址之前，可在发送的IPv6报文的源地址字段填入该地址，但不能作为IPv6报文中的目的地址
环回地址
00...1 (128 bits)
::1/128
不能分配给任何物理接口。它的作用与在IPv4中的环回地址相同，即节点用来给自己发送IPv6报文
链路本地地址
1111111010
FE80::/10
用于邻居发现协议和无状态自动配置中链路本地上节点之间的通信。使用链路本地地址作为源或目的地址的数据报文不会被转发到其他链路上
全球单播地址
其他形式
-
等同于IPv4公网地址，提供给网络服务提供商。这种类型的地址允许路由前缀的聚合，从而限制了全球路由表项的数量
组播地址
11111111
FF00::/8
-
任播地址
从单播地址空间中进行分配，使用单播地址的格式
-
5.13.3 IEEE
EUI-64生成接口标识
IPv6单播地址中的接口标识符用来唯一标识链路上的一个接口。目前IPv6单播地址基本上都要求接口标识符为64位。
不同接口的IEEE
EUI-64格式的接口标识符的生成方法不同，分别介绍如下：
·
所有IEEE 802接口类型（例如，以太网接口、VLAN接口）：IEEE EUI-64格式的接口标识符是从接口的链路层地址（MAC地址）变化而来的。IPv6地址中的接口标识符是64位，而MAC地址是48位，因此需要在MAC地址的中间位置（从高位开始的第24位后）插入十六进制数FFFE（1111111111111110）。为了使接口标识符的作用范围与原MAC地址一致，还要将Universal/Local (U/L)位（从高位开始的第7位）进行取反操作。最后得到的这组数就作为EUI-64格式的接口标识符。
·
Tunnel接口：IEEE EUI-64格式的接口标识符的低32位为Tunnel接口的源IPv4地址，ISATAP隧道的接口标识符的高32位为0000:5EFE，其他隧道的接口标识符的高32位为全0。
·
其他接口类型（例如，Serial接口）：IEEE EUI-64格式的接口标识符由设备随机生成。
5.13.4 接口上全球单播地址的配置方法
IPv6全球单播地址可以通过下面几种方式配置：
·
采用EUI-64格式形成：当配置采用EUI-64格式形成IPv6地址时，接口的IPv6地址的前缀需要手工配置，而接口标识符则由接口自动生成；
·
手工配置：用户手工配置IPv6全球单播地址；
·
无状态自动配置：根据接收到的RA报文中携带的地址前缀信息及使用EUI-64功能生成的接口标识，自动为接口生成IPv6全球单播地址；
·
有状态获取地址：通过DHCPv6服务器自动获取IPv6地址。
一个接口上可以配置多个全球单播地址。
5.13.5 接口上链路本地地址的配置方法
IPv6的链路本地地址可以通过两种方式获得：
·
自动生成：设备根据链路本地地址前缀（FE80::/10）及使用EUI-64功能生成的接口标识，自动为接口生成链路本地地址；
·
手工指定：用户手工配置IPv6链路本地地址。
每个接口只能有一个链路本地地址，为了避免链路本地地址冲突，推荐使用链路本地地址的自动生成方式。
配置链路本地地址时，手工指定方式的优先级高于自动生成方式。即如果先采用自动生成方式，之后手工指定，则手工指定的地址会覆盖自动生成的地址；如果先手工指定，之后采用自动生成的方式，则自动配置不生效，接口的链路本地地址仍是手工指定的。此时，如果删除手工指定的地址，则自动生成的链路本地地址会生效。
5.14 ND
IPv6邻居发现（Neighbor Discovery，ND）协议使用五种类型的ICMPv6消息（如表5-6所示），实现地址解析、验证邻居是否可达、重复地址检测、路由器发现/前缀发现、地址自动配置和重定向等功能。
表5-6 ND使用的ICMPv6消息
ICMPv6消息
类型号
作用
邻居请求消息NS（Neighbor
Solicitation）
135
获取邻居的链路层地址
验证邻居是否可达
进行重复地址检测
邻居通告消息NA（Neighbor
Advertisement）
136
对NS消息进行响应
节点在链路层变化时主动发送NA消息，向邻居节点通告本节点的变化信息
路由器请求消息RS（Router
Solicitation）
133
节点启动后，通过RS消息向路由器发出请求，请求前缀和其他配置信息，用于节点的自动配置
路由器通告消息RA（Router Advertisement）
134
对RS消息进行响应
在没有抑制RA消息发布的条件下，路由器会周期性地发布RA消息，其中包括前缀信息选项和一些标志位的信息
重定向消息（Redirect）
137
当满足一定的条件时，缺省网关通过向源主机发送重定向消息，使主机重新选择正确的下一跳地址进行后续报文的发送
5.14.1 邻居表项
邻居表项保存的是设备在链路范围内的邻居信息，设备邻居表项可以通过邻居请求消息NS及邻居通告消息NA来动态创建，也可以通过手工配置来静态创建。
目前，静态邻居表项有两种配置方式：
·
配置本节点的三层接口相连的邻居节点的IPv6地址和链路层地址；
·
配置本节点VLAN中的二层端口相连的邻居节点的IPv6地址和链路层地址。
对于VLAN接口，可以采用上述两种方式来配置静态邻居表项：
·
采用第一种方式配置静态邻居表项后，设备还需要解析该VLAN下的二层端口信息。
·
采用第二种方式配置静态邻居表项后，需要保证该二层端口属于指定的VLAN，且该VLAN已经创建了VLAN接口。
5.14.2 RA报文
设备为同一链路上的主机发布RA报文，主机可以根据RA报文中的信息进行无状态自动配置等操作。设备可以抑制RA报文的发送，也可以周期性发送RA报文，相邻两次RA报文发送时间间隔是在最大时间间隔与最小时间间隔之间随机选取的一个值。最小时间间隔应该小于等于最大时间间隔的0.75倍。
RA报文中的参数和参数描述如表5-7所示。
表5-7 RA报文中的参数
参数
描述
地址前缀/前缀长度
主机根据该地址前缀/前缀长度生成对应的IPv6地址，完成无状态自动配置操作
有效生命期
表示前缀有效期。在有效生命期内，通过该前缀自动生成的地址可以正常使用；有效生命期过期后，通过该前缀自动生成的地址变为无效，将被删除
首选生命期
表示首选通过该前缀无状态自动配置地址的时间。首选生命期过期后，节点通过该前缀自动配置的地址将被废止。节点不能使用被废止的地址建立新的连接，但是仍可以接收目的地址为被废止地址的报文。首选生命期必须小于或等于有效生命期
不用于无状态配置标识
选择了该标识，则指定前缀不用于无状态地址配置
不是直连可达标识
选择了该标识，则表示该前缀不是当前链路上直连可达的
MTU
发布链路的MTU，可以用于确保同一链路上的所有节点采用相同的MTU值
不指定跳数限制标识
选择了该标识，则表示RA消息中不带有本设备的跳数限制
被管理地址配置标志位（M flag）
用于确定主机是否采用有状态自动配置获取IPv6地址
如果选择了该标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取IPv6地址；否则，将通过无状态自动配置获取IPv6地址，即根据自己的链路层地址及路由器发布的前缀信息生成IPv6地址
其他信息配置标志位（O flag）
用于确定主机是否采用有状态自动配置获取除IPv6地址外的其他信息
如果选择了其他信息配置标志位，主机将通过有状态自动配置（例如DHCPv6服务器）来获取除IPv6地址外的其他信息；否则，将通过无状态自动配置获取其他信息
路由器生存时间（Router Lifetime）
用于设置发布RA消息的路由器作为主机的默认路由器的时间。主机根据接收到的RA消息中的路由器生存时间参数值，就可以确定是否将发布该RA消息的路由器作为默认路由器。发布RA消息中路由器生存时间为0的路由器不能作为默认路由器
邻居请求重传间隔（Retrans Timer）
设备发送NS消息后，如果未在指定的时间间隔内收到响应，则会重新发送NS消息
配置路由优先级
( Router Preference )
用于设置发布RA消息的路由器的路由器优先级，主机根据接收到的RA消息中的路由器优先级，可以选择优先级最高的路由器作为默认网关。在路由器的优先级相同的情况下，遵循“先来先用”的原则，优先选择先接收到的RA消息对应的发送路由器作为默认网关
保持邻居可达时间（Reachable Time）
当通过邻居可达性检测确认邻居可达后，在所设置的可达时间内，设备认为邻居可达；超过设置的时间后，如果需要向邻居发送报文，会重新确认邻居是否可达
5.14.3 ND代理功能
如果NS请求是从一个网络的主机发往同一网段却不在同一物理网络上的另一台主机，那么连接它们的具有代理功能的设备就可以代答该请求，回应NA报文，这个过程称作ND代理（ND
Proxy）。
ND Proxy功能屏蔽了分离的物理网络这一事实，使用户使用起来，好像在同一个物理网络上。
ND Proxy功能根据应用场景不同分为普通ND Proxy和本地ND Proxy。
1. 普通ND Proxy
普通ND
Proxy的典型应用环境如图5-3所示。Device通过两个三层接口Int A和Int
B连接两个网络，两个三层接口的IPv6地址不在同一个网段，接口地址分别为4:1::99/64、4:2::99/64。但是两个网络内的主机Host A和Host B的地址通过掩码的控制，既与相连设备的接口地址在同一网段，同时二者也处于同一个网段。
图5-3 普通ND代理的典型应用环境
在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，此时的两台主机处于不同的广播域中，Host B无法收到Host A的NS请求报文，当然也就无法应答。
通过在Device上启用普通ND Proxy功能，可以解决此问题。在接口Int A和Int B上启用普通ND Proxy后，Router可以应答Host A的NS请求。同时，Device作为Host B的代理，把其它主机发送过来的报文转发给Host B。这样，实现Host A与Host B之间的通信。
2. 本地ND Proxy
本地ND
Proxy的应用场景如图5-4所示。Host A属于VLAN 2，Host
B属于VLAN 3，它们分别连接到端口Int A和Int C上。
图5-4 本地ND代理的应用场景
在这种组网情况下，当Host A需要与Host B通信时，由于目的IPv6地址与本机的IPv6地址为同一网段，因此Host A会直接发出请求Host B硬件地址的NS请求。但是，因为连接两台主机处于不同的VLAN中，Host
B无法收到Host A的NS请求报文。
通过在Device
A上启用本地ND Proxy功能，可以解决此问题。在接口Int B上启用本地ND Proxy后，Device A会代替Host B回应NA，Host A发给Host B的报文就会通过Device A进行转发，从而实现Host A与Host B之间的通信。
5.15 端口镜像
端口镜像通过将指定端口的报文复制到与数据监测设备相连的端口，使用户可以利用数据监测设备分析这些复制过来的报文（称为镜像报文），以进行网络监控和故障排除。
在端口镜像中涉及以下概念：
(1)
源端口：设备上被监控的端口。源端口上的报文会被复制一份到目的端口。源端口所在的设备称为源设备。
(2)
目的端口：设备上与数据监测设备相连的端口，源端口上的报文将被复制一份到此端口。目的端口所在的设备称为目的设备。
(3)
镜像组：源端口和目的端口的组合，它分为：
·
本地镜像组：当源端口和目的端口位于同一设备时，端口所在镜像组称为本地镜像组。
·
远程镜像组：当源端口和目的端口位于不同设备时，源端口和目的端口所在的镜像组分别称为远程源镜像组和远程目的镜像组，镜像报文通过远程镜像VLAN在源设备与目的设备之间传输。
5.16 静态路由
静态路由是一种特殊的路由，由管理员手工配置。当网络结构比较简单时，只需配置静态路由就可以使网络正常工作。静态路由不能自动适应网络拓扑结构的变化，当网络发生故障或者拓扑发生变化后，必须由管理员手工修改配置。
缺省路由是在没有找到匹配的路由表项时使用的路由。配置IPv4缺省路由时，指定目的地址为0.0.0.0/0；配置IPv6缺省路由时，指定目的地址为::/0。
5.16.1 RIP
RIP是一种基于距离矢量算法的协议，它通过UDP报文进行路由信息的交换，端口号为520。RIP主要用于规模较小的网络，比如校园网。大型网络一般不使用RIP。
RIP有两个版本：RIP-1和RIP-2。
·
RIP-1是有类别路由协议，它只支持以广播方式发布协议报文。RIP-1报文无法携带掩码信息，而且不支持不连续子网。
·
RIP-2是无类别路由协议，有两种报文传送方式：广播方式和组播方式，缺省将采用组播方式发送报文，使用的组播地址为224.0.0.9。当接口运行RIP-2广播方式时，也可接收RIP-1的报文。
有两种使能RIP的方式：启用网段和启用接口，启用接口的优先级高于启用网段。
在安全性要求较高的网络环境中，可以通过配置报文的认证方式来对RIP-2报文进行有效性检查和验证。RIP-2支持两种认证方式：简单认证和MD5认证。MD5认证包括RFC 2082和RFC 2453两种，具体情况请参见相应RFC文档。
RIP-1不支持认证。
5.17 策略路由
与单纯依照IP报文的目的地址查找路由表进行转发不同，策略路由是一种依据用户制定的策略进行路由转发的机制。策略路由可以对于满足一定条件（ACL规则）的报文，执行指定的操作（设置报文的下一跳）。
5.17.1 策略
策略用来定义报文的匹配规则，以及对报文执行的操作。一个策略可以由一个或者多个节点组成。节点的构成如下：
·
每个节点由节点编号来标识。节点编号越小节点的优先级越高，优先级高的节点优先被执行。
·
每个节点的具体内容由报文匹配规则和执行操作来指定。报文匹配规则定义该节点的匹配规则，执行操作定义该节点的动作。
·
每个节点对报文的处理方式由匹配模式决定。匹配模式分为允许和拒绝两种。
应用策略后，系统将根据策略中定义的匹配规则和操作，对报文进行处理：系统按照优先级从高到低的顺序依次匹配各节点，如果报文满足这个节点的匹配规则，就执行该节点的动作；如果报文不满足这个节点的匹配规则，就继续匹配下一个节点；如果报文不能满足策略中任何一个节点的匹配规则，则根据路由表来转发报文。
1. 报文匹配规则
通过配置ACL规则用于匹配报文，用于执行后续操作。
2. 执行操作
设置报文转发的下一跳，并为其配置与Track项关联或是指定当前下一跳是否为直连下一跳。
5.17.2 策略路由与Track联动
策略路由通过与Track联动，增强了应用的灵活性和对网络环境变化的动态感知能力。
策略路由可以在配置报文的下一跳时与Track项关联，根据Track项的状态来动态地决定策略的可用性。策略路由配置仅在关联的Track项状态为Positive或NotReady时生效。
5.18 IGMP snooping
IGMP snooping（Internet Group Management Protocol snooping，互联网组管理协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的IGMP报文建立IGMP
snooping转发表，并根据该表指导组播数据的转发。
IGMP snooping转发表的表项由VLAN、组播组地址、组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向组播组成员的端口。
5.19 MLD snooping
MLD snooping（Multicast Listener Discovery snooping，组播侦听者发现协议窥探）运行在二层设备上，通过侦听三层设备与接收者主机间的MLD报文建立MLD
snooping转发表，并根据该表指导IPv6组播数据的转发。
MLD snooping转发表的表项由VLAN、IPv6组播组地址、IPv6组播源地址和成员端口四个元素构成，其中成员端口是指二层设备上朝向IPv6组播组成员的端口。
5.20 DHCP
DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）用来为网络设备动态地分配IP地址等网络配置参数。
DHCP采用客户端/服务器通信模式，由客户端向服务器提出请求分配网络配置参数的申请，服务器返回为客户端分配的IP地址等配置信息，以实现IP地址等信息的动态配置。
在DHCP的典型应用中，一般包含一台DHCP服务器和多台客户端（如PC和便携机）。如果DHCP客户端和DHCP服务器处于不同物理网段时，客户端可以通过DHCP中继与服务器通信，获取IP地址及其他配置信息。
5.20.1 DHCP服务器
在以下场合通常利用DHCP服务器来完成IP地址分配：
·
网络规模较大，手工配置需要很大的工作量，并难以对整个网络进行集中管理。
·
网络中主机数目大于该网络支持的IP地址数量，无法给每个主机分配一个固定的IP地址。例如，Internet接入服务提供商限制同时接入网络的用户数目，用户必须动态获得自己的IP地址。
·
网络中只有少数主机需要固定的IP地址，大多数主机没有固定的IP地址需求。
DHCP服务器通过地址池来保存为客户端分配的IP地址、租约时长、网关信息、域名后缀、DNS服务器地址、WINS服务器地址、NetBIOS节点类型和DHCP选项信息。服务器接收到客户端发送的请求后，选择合适的地址池，并将该地址池中的信息分配给客户端。
DHCP服务器在将IP地址分配给客户端之前，还需要进行IP地址冲突检测。
1. DHCP地址池
地址池的地址管理方式有以下几种：
·
静态绑定IP地址，即通过将客户端的硬件地址或客户端ID与IP地址绑定的方式，实现为特定的客户端分配特定的IP地址；
·
动态选择IP地址，即在地址池中指定可供分配的IP地址范围，当收到客户端的IP地址申请时，从该地址范围中动态选择IP地址，分配给该客户端。
在DHCP地址池中还可以指定这两种类型地址的租约时长。
DHCP服务器为客户端分配IP地址时，地址池的选择原则如下：
(1)
如果存在将客户端MAC地址或客户端ID与IP地址静态绑定的地址池，则选择该地址池，并将静态绑定的IP地址和其他网络参数分配给客户端。
(2)
如果不存在静态绑定的地址池，则按照以下方法选择地址池：
·
如果客户端与服务器在同一网段，则将DHCP请求报文接收接口的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。
·
如果客户端与服务器不在同一网段，即客户端通过DHCP中继获取IP地址，则将DHCP请求报文中giaddr字段指定的IP地址与所有地址池配置的网段进行匹配，并选择最长匹配的网段所对应的地址池。
2. DHCP服务器分配IP地址的次序
DHCP服务器为客户端分配IP地址的优先次序如下：
(1)
与客户端MAC地址或客户端ID静态绑定的IP地址。
(2)
DHCP服务器记录的曾经分配给客户端的IP地址。
(3)
客户端发送的DHCP-DISCOVER报文中Option 50字段指定的IP地址。Option 50为客户端请求的IP地址选项（Requested IP Address），客户端通过在DHCP-DISCOVER报文中添加该选项来指明客户端希望获取的IP地址。该选项的内容由客户端决定。
(4)
按照动态分配地址选择原则，顺序查找可供分配的IP地址，选择最先找到的IP地址。
(5)
如果未找到可用的IP地址，则从当前匹配地址池中依次查询租约过期、曾经发生过冲突的IP地址，如果找到则进行分配，否则将不予处理。
3. DHCP选项
DHCP利用选项字段传递控制信息和网络配置参数，实现地址动态分配的同时，为客户端提供更加丰富的网络配置信息。
Web页面为DHCP服务器提供了灵活的选项配置方式，在以下情况下，可以使用Web页面DHCP选项功能：
·
随着DHCP的不断发展，新的DHCP选项会陆续出现。通过该功能，可以方便地添加新的DHCP选项。
·
有些选项的内容，RFC中没有统一规定。厂商可以根据需要定义选项的内容，如Option
43。通过DHCP选项功能，可以为DHCP客户端提供厂商指定的信息。
·
Web页面只提供了有限的配置功能，其他功能可以通过DHCP选项来配置。例如，可以通过Option 4，IP地址1.1.1.1来指定为DHCP客户端分配的时间服务器地址为1.1.1.1。
·
扩展已有的DHCP选项。当前已提供的方式无法满足用户需求时（比如通过Web页面最多只能配置8个DNS服务器地址，如果用户需要配置的DNS服务器地址数目大于8，则Web页面无法满足需求），可以通过DHCP选项功能进行扩展。
常用的DHCP选项配置如表5-8所示。
表5-8 常用DHCP选项配置
选项编号
选项名称
推荐的选项填充类型
3
Router Option
IP地址
6
Domain Name Server Option
IP地址
15
Domain Name
ASCII字符串
44
NetBIOS over TCP/IP Name Server Option
IP地址
46
NetBIOS over TCP/IP Node Type Option
十六进制数串
66
TFTP server name
ASCII字符串
67
Bootfile name
ASCII字符串
43
Vendor Specific Information
十六进制数串
4. DHCP服务器的IP地址冲突检测功能
为防止IP地址重复分配导致地址冲突，DHCP服务器为客户端分配地址前，需要先对该地址进行探测。
DHCP服务器的地址探测是通过ping功能实现的，通过检测是否能在指定时间内得到ping响应来判断是否存在地址冲突。DHCP服务器发送目的地址为待分配地址的ICMP回显请求报文。如果在指定时间内收到回显响应报文，则认为存在地址冲突。DHCP服务器从地址池中选择新的IP地址，并重复上述操作。如果在指定时间内没有收到回显响应报文，则继续发送ICMP回显请求报文，直到发送的回显显示报文数目达到最大值。如果仍然没有收到回显响应报文，则将地址分配给客户端，从而确保客户端获得的IP地址唯一。
5.20.2 DHCP中继
由于在IP地址动态获取过程中采用广播方式发送请求报文，因此DHCP只适用于DHCP客户端和服务器处于同一个子网内的情况。为进行动态主机配置，需要在所有网段上都设置一个DHCP服务器，这显然是很不经济的。
DHCP中继功能的引入解决了这一难题：客户端可以通过DHCP中继与其他网段的DHCP服务器通信，最终获取到IP地址。这样，多个网络上的DHCP客户端可以使用同一个DHCP服务器，既节省了成本，又便于进行集中管理。
1. DHCP中继用户地址表项记录功能
为了防止非法主机静态配置一个IP地址并访问外部网络，设备支持DHCP中继用户地址表项记录功能。
启用该功能后，当客户端通过DHCP中继从DHCP服务器获取到IP地址时，DHCP中继可以自动记录客户端IP地址与硬件地址的绑定关系，生成DHCP中继的用户地址表项。
本功能与其他IP地址安全功能（如ARP地址检查和授权ARP）配合，可以实现只允许匹配用户地址表项中绑定关系的报文通过DHCP中继。从而，保证非法主机不能通过DHCP中继与外部网络通信。
2. DHCP中继动态用户地址表项定时刷新功能
DHCP客户端释放动态获取的IP地址时，会向DHCP服务器单播发送DHCP-RELEASE报文，DHCP中继不会处理该报文的内容。如果此时DHCP中继上记录了该IP地址与MAC地址的绑定关系，则会造成DHCP中继的用户地址表项无法实时刷新。为了解决这个问题，DHCP中继支持动态用户地址表项的定时刷新功能。
DHCP中继动态用户地址表项定时刷新功能开启时，DHCP中继每隔指定时间采用客户端获取到的IP地址和DHCP中继接口的MAC地址向DHCP服务器发送DHCP-REQUEST报文：
·
如果DHCP中继接收到DHCP服务器响应的DHCP-ACK报文或在指定时间内没有接收到DHCP服务器的响应报文，则表明这个IP地址已经可以进行分配，DHCP中继会删除动态用户地址表中对应的表项。为了避免地址浪费，DHCP中继收到DHCP-ACK报文后，会发送DHCP-RELEASE报文释放申请到的IP地址。
如果DHCP中继接收到DHCP服务器响应的DHCP-NAK报文，则表示该IP地址的租约仍然存在，DHCP中继不会删除该IP地址对应的表项。
5.21 HTTP/HTTPS
为了方便用户对网络设备进行配置和维护，设备提供了Web登录功能。用户可以通过PC登录到设备上，使用Web界面直观地配置和维护设备。
设备支持的Web登录方式有以下两种：
·
HTTP登录方式：HTTP（Hypertext
Transfer Protocol，超文本传输协议）用来在Internet上传递Web页面信息。目前，设备支持的HTTP协议版本为HTTP/1.0。
·
HTTPS登录方式：HTTPS（Hypertext Transfer Protocol Secure，超文本传输协议的安全版本）是支持SSL（Secure Sockets Layer，安全套接字层）协议的HTTP协议。HTTPS通过SSL协议，能对客户端与设备之间交互的数据进行加密，能为设备制定基于证书属性的访问控制策略，提高了数据传输的安全性和完整性，保证合法客户端可以安全地访问设备，禁止非法客户端访问设备，从而实现了对设备的安全管理。
采用HTTPS登录时，设备上只需使能HTTPS服务，用户即可通过HTTPS登录设备。此时，设备使用的证书为自签名证书，使用的SSL参数为各个参数的缺省值。（自签名证书指的是服务器自己生成的证书，无需从CA获取）
通过引用ACL（Access
Control List，访问控制列表），可以对访问设备的登录用户进行控制：
·
当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；
·
当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户使用Web页面登录设备。
5.22 FTP
FTP用于在FTP服务器和FTP客户端之间传输文件，是IP网络上传输文件的通用协议。本设备可作为FTP服务器，使用20端口传输数据，使用21端口传输控制消息。
5.23 Telnet
设备可以开启Telnet服务器功能，以便用户能够通过Telnet登录到设备进行远程管理和监控。
通过引用ACL（Access Control List，访问控制列表），可以对访问设备的登录用户进行控制：
·
当未引用ACL、引用的ACL不存在或者引用的ACL为空时，允许所有登录用户访问设备；
·
当引用的ACL非空时，则只有ACL中permit的用户才能访问设备，其它用户不允许访问设备，可以避免非法用户通过Telnet访问设备。
5.24 NTP
NTP（Network Time Protocol，网络时间协议）可以用来在分布式时间服务器和客户端之间进行时间同步，使网络内所有设备的时间保持一致，从而使设备能够提供基于统一时间的多种应用。
NTP通过时钟层数来定义时钟的准确度。时钟层数的取值范围为1～15，取值越小，时钟准确度越高。
在某些网络中，例如无法与外界通信的孤立网络，网络中的设备无法与权威时钟进行时间同步。此时，可以从该网络中选择一台时钟较为准确的设备，指定该设备与本地时钟进行时间同步，即采用本地时钟作为参考时钟，使得该设备的时钟处于同步状态。该设备作为时间服务器为网络中的其他设备提供时间同步，从而实现整个网络的时间同步。
通过Web页面可以配置本地时钟作为参考时钟。