局域網(wǎng)(LAN)簡介資料

局域網(wǎng)（LAN）局域網(wǎng)（LocalAreaNetwork，LAN）是指在某一區(qū)域內(nèi)由多臺計算機互聯(lián)成的計算機組。一般是方圓幾千米以內(nèi)。局域網(wǎng)可以實現(xiàn)文件管理、應(yīng)用軟件共享、打印機共享、工作組內(nèi)的日程安排、電子郵件和傳真通信服務(wù)等功能。局域網(wǎng)是封閉型的，可以由辦公室內(nèi)的兩臺計算機組成，也可以由一個公司內(nèi)的上千臺計算機組成。定義:為了完整地給出LAN的定義，必須使用兩種方式:一種是功能性定義,另一種是技術(shù)性定義。功能性定義將LAN定義為一組臺式計算機和其它設(shè)備,在物理地址上彼此相隔不遠(yuǎn)，以允許用戶相互通信和共享諸如打印機和存儲設(shè)備之類的計算資源的方式互連在一起的系統(tǒng)。這種定義適用于辦公環(huán)境下的LAN、工廠和研究機構(gòu)中使用的LAN。就LAN的技術(shù)性定義而言,它定義為由特定類型的傳輸媒體(如電纜、光纜和無線媒體)和網(wǎng)絡(luò)適配器(亦稱為網(wǎng)卡)互連在一起的計算機,并受網(wǎng)絡(luò)操作系統(tǒng)監(jiān)控的網(wǎng)絡(luò)系統(tǒng)。功能性和技術(shù)性定義之間的差別是很明顯的,功能性定義強調(diào)的是外界行為和服務(wù)；技術(shù)性定義強調(diào)的則是構(gòu)成LAN所需的物質(zhì)基礎(chǔ)和構(gòu)成的方法。局域網(wǎng)(LAN)的名字本身就隱含了這種網(wǎng)絡(luò)地理范圍的局域性。由于較小的地理范圍的局限性。由于較小的地理范圍,LAN通常要比廣域網(wǎng)(WAN)具有高的多的傳輸速率,例如，目前LAN的傳輸速率為10Mb/s,FDDI的傳輸速率為100Mb/s,而WAN的主干線速率國內(nèi)目前僅為64kbps或2.048Mbps,最終用戶的上線速率通常為14.4kbps。LAN的拓?fù)浣Y(jié)構(gòu)目前常用的是總線型和環(huán)行。這是由于有限地理范圍決定的。這兩種結(jié)構(gòu)很少在廣域網(wǎng)環(huán)境下使用。LAN還有諸如高可靠性、易擴縮和易于管理及安全等多種特性。與廣域網(wǎng)(WLAN)區(qū)別:廣域網(wǎng)（WAN），就是我們通常所說的Internet，它是一個遍及全世界的網(wǎng)絡(luò)。局域網(wǎng)（LAN），相對于廣域網(wǎng)（WAN）而言，主要是指在小范圍內(nèi)的計算機互聯(lián)網(wǎng)絡(luò)。這個“小范圍”可以是一個家庭，一所學(xué)校，一家公司，或者是一個政府部門。BT中常常提到的公網(wǎng)、外網(wǎng)，即廣域網(wǎng)（WAN）；BT中常常提到私網(wǎng)、內(nèi)網(wǎng)，即局域網(wǎng)（LAN）。\o"查看圖片"局域網(wǎng)為是控制網(wǎng)絡(luò)廣播風(fēng)暴的一種基本手段，但其實也是保證網(wǎng)絡(luò)安全的一項重要措施。其目的就是將非法用戶與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽，網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。目前，海關(guān)的局域網(wǎng)大多采用以交換機為中心、路由器為邊界的網(wǎng)絡(luò)格局，應(yīng)重點挖掘中心交換機的訪問控制功能和三層交換功能，綜合應(yīng)用物理分段與邏輯分段兩種方法，來實現(xiàn)對局域網(wǎng)的安全控制。例如：在海關(guān)系統(tǒng)中普遍使用的DECMultiSwitch900的入侵檢測功能，其實就是一種基于MAC地址的訪問控制，也就是上述的基于數(shù)據(jù)鏈路層的物理分段。以交換式集線器代替共享式集線器對局域網(wǎng)的中心交換機進行網(wǎng)絡(luò)分段后，以太網(wǎng)偵聽的危險仍然存在。這是因為網(wǎng)絡(luò)最終用戶的接入往往是通過分支集線器而不是中心交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當(dāng)用戶與主機進行數(shù)據(jù)通信時，兩臺機器之間的數(shù)據(jù)包（稱為單播包UnicastPacket）還是會被同一臺集線器上的其他用戶所偵聽。一種很危險的情況是：用戶TELNET到一臺主機上，由于TELNET程序本身缺乏加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機會。因此，應(yīng)該以交換式集線器代替共享式集線器，使單播包僅在兩個節(jié)點之間傳送，從而防止非法偵聽。當(dāng)然，交換式集線器只能控制單播包而無法控制廣播包（BroadcastPacket）和多播包（MulticastPacket）。所幸的是，廣播包和多播包內(nèi)的關(guān)鍵信息，要遠(yuǎn)遠(yuǎn)少于單播包。VLAN的劃分為了克服以太網(wǎng)的廣播問題，除了上述方法外，還可以運用VLAN（虛擬局域網(wǎng)）技術(shù)，將以太網(wǎng)通信變?yōu)辄c到點通信，防止大部分基于網(wǎng)絡(luò)偵聽的入侵。目前的VLAN技術(shù)主要有三種：基于交換機端口的VLAN、基于節(jié)點MAC地址的VLAN和基于應(yīng)用協(xié)議的VLAN?；诙丝诘腣LAN雖然稍欠靈活，但卻比較成熟，在實際應(yīng)用中效果顯著，廣受歡迎。基于MAC地址的VLAN為移動計算提供了可能性，但同時也潛藏著遭受MAC欺詐攻擊的隱患。而基于協(xié)議的VLAN，理論上非常理想，但實際應(yīng)用卻尚不成熟。在集中式網(wǎng)絡(luò)環(huán)境下，我們通常將中心的所有主機系統(tǒng)集中到一個VLAN里，在這個VLAN里不允許有任何用戶節(jié)點，從而較好地保護敏感的主機資源。在分布式網(wǎng)絡(luò)環(huán)境下，我們可以按機構(gòu)或部門的設(shè)置來劃分VLAN。各部門內(nèi)部的所有服務(wù)器和用戶節(jié)點都在各自的VLAN內(nèi)，互不侵?jǐn)_。VLAN內(nèi)部的連接采用交換實現(xiàn)，而VLAN與VLAN之間的連接則采用路由實現(xiàn)。目前，大多數(shù)的交換機（包括海關(guān)內(nèi)部普遍采用的DECMultiSwitch900）都支持RIP和OSPF這兩種國際標(biāo)準(zhǔn)的路由協(xié)議。如果有特殊需要，必須使用其他路由協(xié)議（如CISCO公司的EIGRP或支持DECnet的IS－IS），也可以用外接的多以太網(wǎng)口路由器來代替交換機，實現(xiàn)VLAN之間的路由功能。當(dāng)然，這種情況下，路由轉(zhuǎn)發(fā)的效率會有所下降。無論是交換式集線器還是VLAN交換機，都是以交換技術(shù)為核心，它們在控制廣播、防止黑客上相當(dāng)有效，但同時也給一些基于廣播原理的入侵監(jiān)控技術(shù)和協(xié)議分析技術(shù)帶來了麻煩。因此，如果局域網(wǎng)內(nèi)存在這樣的入侵監(jiān)控設(shè)備或協(xié)議分析設(shè)備，就必須選用特殊的帶有SPAN（SwitchPortAnalyzer）功能的交換機。這種交換機允許系統(tǒng)管理員將全部或某些交換端口的數(shù)據(jù)包