Day05-03｜2.5.3 网络技术：从局域网互联到可编程网络

对应教材：上篇·综合知识·第 2 章“计算机系统基础知识”·2.5.3 网络技术

学习定位：网络技术把通信协议、交换、路由、无线接入、虚拟化和安全机制组合成可运行的网络。系统架构设计师需要理解网络设备和协议如何协同，掌握二层交换、三层路由、TCP/IP、无线网络、虚拟局域网、VPN、SDN 等核心概念，才能做出应用部署、数据中心、园区网和云平台的架构判断。

一、今日目标

完成本节后，应能区分集线器、交换机、路由器和网关的职责；理解 MAC、ARP、IP、子网、路由表和 NAT；掌握 VLAN、STP、无线接入和 VPN 的基本思想；了解虚拟化网络、Overlay、SDN 和网络功能虚拟化；能够从转发、广播、路由、拥塞、隔离和安全角度分析网络案例。

二、网络设备的分工

网络设备处于协议栈的不同层次，解决的问题不同。集线器在物理层广播信号，所有端口共享冲突域；交换机通常根据 MAC 地址在局域网内转发帧；路由器根据 IP 地址和路由表在不同网络之间转发分组；网关可以完成协议、地址或应用语义转换。

设备名称不能代替功能分析。现代设备可能同时具备交换、路由、防火墙、负载均衡和 VPN 能力。架构师要明确每个功能所在的安全域、故障域和流量路径，避免把所有能力都堆在一台设备上。

三、局域网与以太网

以太网使用帧作为链路层传输单位，帧中包含目的和源 MAC 地址、类型或长度、数据和校验信息。交换机学习源 MAC 与端口的对应关系，把目的帧转发到相应端口；未知目的或广播帧可能被泛洪到多个端口。

交换机将端口分隔成不同冲突域，全双工环境下可以减少传统冲突问题。交换机转发表需要学习和老化，拓扑变化、环路和 MAC 欺骗都会影响转发。广播域过大时，广播和未知单播可能消耗大量带宽；广播域过小又会增加路由和管理复杂度。

VLAN 在逻辑上把同一物理网络划分为多个广播域。不同 VLAN 之间需要三层设备路由，并可以结合安全策略限制互访。VLAN 有利于隔离办公、服务器、管理、访客和物联网流量，但不能把 VLAN 单独当作完整安全边界，仍需防火墙、身份认证和端口安全。

四、MAC、ARP 与 IP

MAC 地址用于本地链路通信，IP 地址用于跨网络寻址。主机发送 IP 分组前，需要知道下一跳的链路地址；IPv4 环境通常通过 ARP 将 IP 映射为 MAC。ARP 缓存减少广播，但缓存污染、地址冲突和欺骗会带来通信和安全风险。

IP 分组包含源地址、目的地址、生存时间、协议标识和分片等信息。路由器根据目的地址和路由表选择下一跳，逐跳转发，TTL 防止分组在路由环路中无限循环。子网掩码决定网络部分和主机部分，合理划分子网有利于地址利用、路由汇总、广播控制和安全隔离。

IPv4 地址有限，NAT 允许多个私网主机共享公网地址，但会破坏端到端可达性，增加连接跟踪和端口耗尽风险。IPv6 提供更大的地址空间和不同的自动配置机制，但迁移需要考虑双栈、隧道、应用兼容和安全策略。

五、路由与路由协议

路由表记录目的网络、下一跳、出接口和度量值。静态路由配置简单、路径可控，适合规模小和变化少的网络；动态路由根据链路状态和策略自动计算路径，适合大型或变化频繁的网络，但需要收敛、稳定性和策略管理。

内部网关协议用于自治系统内部，外部网关协议用于自治系统之间。路由协议要处理路径选择、故障发现、更新传播、环路避免和策略。收敛期间可能出现短暂不可达、绕路或丢包，实时业务要结合连接重试、冗余和应用超时设计。

路由聚合可以减少路由表规模和更新传播，但地址规划必须预留层次。多路径路由可以提高带宽和容错，却要处理哈希、会话、乱序和链路不对称。架构师应关注控制平面和数据平面：路由学习正确，不代表数据转发资源足够。

六、传输层与 TCP/IP

TCP 通过端口、连接、序号、确认、窗口和拥塞控制提供可靠字节流；UDP 提供无连接数据报。TCP 的三次握手建立连接，四次挥手释放连接；大量短连接会消耗 CPU、端口和握手时间。连接复用和 Keep-Alive 可以降低开销，但空闲连接也会占用文件描述符和中间设备状态。

TCP 接收窗口反映接收方缓存和处理能力，拥塞窗口反映网络可承受的流量。有效发送量受两者共同限制。丢包可能触发重传和拥塞窗口下降，使吞吐显著降低；高延迟链路在窗口不足时也难以充分利用带宽。排查要观察 RTT、重传、窗口、连接状态、队列和应用读写速度。

七、无线网络技术

无线网络通过共享空口提供接入，面临覆盖、干扰、漫游、信道竞争和安全等问题。无线局域网适合高带宽局部接入，蜂窝网络适合广域移动，低功耗广域技术适合少量数据和电池设备。无线接入点需要进行信道规划、功率控制、认证、加密和容量评估。

漫游会引起接入点切换和短暂中断，应用应具备重连、离线缓存、重复提交保护和数据同步。无线系统的标称速率通常高于实际有效吞吐，共享用户数量、信号质量、协议开销和环境变化都会影响体验。工业现场还要考虑电磁干扰、金属遮挡、温度和应急通信。

八、VPN、隧道与 Overlay

VPN 在不可信网络上建立逻辑安全通道，通常通过认证、加密和完整性保护实现远程接入或网络互联。隧道把一个协议或网络包封装在另一个协议中，可以跨越原本不直接支持的网络。代价是额外首部、加密计算、路径变化和 MTU 问题。

云数据中心常使用 Overlay 网络，在底层 IP 网络之上构建虚拟二层或三层网络，实现租户隔离和灵活迁移。Overlay 便于平台化管理，但故障排查路径更长，需要同时观察虚拟网络、隧道端点、底层链路、控制器和安全策略。分片、封装开销和隧道 MTU 配置错误，可能导致大报文丢失或应用间歇性失败。

九、SDN 与网络功能虚拟化

软件定义网络 SDN 强调控制平面与数据平面分离，通过集中或逻辑集中的控制器下发转发策略。这样可以统一编程、自动化配置和全局优化，但控制器可用性、南向协议、状态一致性和网络分区成为新的关注点。

网络功能虚拟化 NFV 把防火墙、负载均衡、路由和入侵检测等网络功能软件化，运行在通用计算、虚拟机或容器上。NFV 提高部署灵活性和资源利用率，但性能、数据面加速、生命周期、故障隔离和运维工具必须验证。

SDN/NFV 架构需要把控制器、编排器、虚拟网络功能和物理转发设备分层。控制面异常不能让所有数据面立即失效，应有缓存策略、独立转发、冗余控制器和安全默认策略。自动化提高了变更速度，也提高了错误配置的传播速度，所以必须有模板校验、审批、灰度和回滚。

十、网络安全技术

网络安全技术包括访问控制列表、防火墙、入侵检测与防御、VPN、TLS、网络分区、零信任、DDoS 防护和安全审计。安全策略应围绕资产、身份、流量和风险制定，而不是简单地把“内网”视为可信。

安全设备可能成为性能和可用性瓶颈。启用深度检测、TLS 终止、日志审计和连接跟踪都会消耗 CPU、内存和状态表。需要评估峰值连接数、包速率、吞吐、P99 延迟、故障切换和日志容量，并设置管理面、数据面和控制面的隔离。

十一、案例分析：跨 VLAN 服务访问异常

某企业将办公、服务器和访客终端划分到不同 VLAN。服务器之间访问正常，但办公用户访问某应用时偶发超时，抓包发现部分请求重传。请分析排查路径。

参考答案：先确认应用访问的真实路径，包括 DNS、网关、三层交换、防火墙、负载均衡和服务器返回路径，排除非对称路由。检查 VLAN 标签、Trunk、网关接口、ACL、安全组和 NAT，确认是否只有某个源网段或端口受影响。再观察 ARP 缓存、MTU、TCP 重传、连接状态、设备 CPU、会话表和策略命中。

偶发超时可能来自链路丢包、双工/速率协商、设备队列、MTU 不一致、会话表耗尽或防火墙策略超时。若小报文正常、大报文失败，要重点检查隧道或安全设备造成的 MTU 变化；若新连接失败而已有连接正常，要检查端口、连接跟踪和负载均衡。修复后进行不同 VLAN、大小报文、并发连接、故障切换和安全策略回归，不能只凭一次 ping 成功判断。

十二、综合知识练习

练习 1

下列关于网络设备的说法正确的是（ ）。

A. 交换机主要依据 IP 地址转发所有帧

B. 路由器主要用于不同网络之间的分组转发

C. VLAN 可以替代所有防火墙和身份控制

D. 防火墙不需要考虑吞吐和连接状态容量

答案：B。 交换机通常依据 MAC 转发；VLAN 是逻辑隔离手段，不是完整安全体系；安全设备需要容量评估。

练习 2

为什么 TCP 重传会导致吞吐下降？

答案： 重传消耗链路带宽和设备队列，丢包还会触发拥塞控制，使发送窗口缩小；若 RTT 较大，恢复速度更慢。应检查链路质量、设备队列、MTU、窗口、应用读写和拥塞，而不是盲目增加线程。

练习 3

SDN 的控制平面与数据平面分离会带来什么收益和风险？

答案： 收益是统一编程、自动化配置、全局视图和策略集中管理；风险是控制器故障、控制与转发状态不一致、网络分区和错误配置集中传播。应采用控制器冗余、策略校验、缓存转发、灰度和回滚，并明确控制面异常时的数据面行为。

十三、论文素材

在网络平台设计中，我按照业务流量、地址规划、安全域和故障域划分接入、汇聚、核心及虚拟网络，明确交换、路由、NAT、VPN、防火墙和负载均衡的职责。通过 VLAN、子网和访问控制实现租户及业务隔离，针对高并发连接和跨地域访问采用连接复用、路径冗余、就近接入和合理的 MTU 配置；在引入 SDN 或虚拟网络功能时，设计控制器冗余、配置校验、灰度发布和数据面降级。运行中监控吞吐、包速率、RTT、重传、队列、会话表和切换时间，并通过链路、设备和策略故障演练验证恢复能力。

网络论文需要把设备、协议、策略和业务访问路径串起来。只写“部署交换机、防火墙和 VPN”不能体现架构设计，必须说明流量如何走、为什么隔离、故障如何切换以及指标如何验证。

十四、今日复盘

1. 集线器、交换机、路由器和网关各解决什么问题？
2. VLAN 为什么有利于广播和安全隔离？它有什么边界？
3. ARP、IP、路由表和 NAT 如何协同？
4. TCP 接收窗口与拥塞窗口有什么区别？
5. 无线网络的标称速率为什么高于有效吞吐？
6. VPN 和 Overlay 带来了什么收益与 MTU 风险？
7. SDN 的控制面故障如何避免造成全网失效？
8. 如何验证网络设备和安全设备的真实容量？
9. 跨 VLAN 服务偶发超时应按什么路径排查？

本节核心记忆句是：网络技术的本质是按照层次、地址、策略和路径组织数据转发；架构师要同时关注数据面性能、控制面可靠性、安全隔离和故障域，不能把网络设计简化为设备采购清单。