access、trunk和协议剥离
  

zj樊迪 4831人觉得有帮助

{{ttag.title}}
access口和trunk口收数据和发送数据的条件不一样, 如下图所示, vid表示vlan id, pvid(port vlan id)表示的该物理口的所属的vlan id, AF上用native号表示.
393165fbb46d2e58c9.png
二层接口转发原理
1) 如何决定当前数据包所属vlan id的?
a. MAC头的type字段为0x8100, 则表示此数据帧带有vlan tag, 自然当前数据包所属vlan idvlan tag中的vlan id, 并且打上has_vlan_tag标记表示当前数据帧带vlan tag;
b. MAC头的type字段不等于0x8100, 则表示此数据帧不带vlan tag, 则当前数据包所属vlan id为当前入接口的vlan id, 并且has_vlan_tag标记赋值为0, 表示当前数据帧不带vlan tag;
2) 何谓虚拟网线口? 顾名思义, 就是将一对网口虚拟成一根网线, 虚拟网线口必须配对, 从一个口进来的数据必定要从配对的另外一个口出去, 类似一根网线; 这是软件意义上的.
3) 如何判断收到的数据是否合法?
a. vdb(vlan数据库)中必须存在当前数据包所属vlan的信息; vlan数据库是用来记录该vlan id所包含的trunk口和非trunk接口的列表; 也就是记录有哪些接口属于该vlan id; 若无此vlan id的记录, 则收到的数据是非法的, 直接丢弃;
b. 若数据包的入接口为trunk, 但是接受到的数据不带vlan tag, 则需把该数据所属的vlan更改成trunk口的native id, 然后查看该native id是否在vlan数据库中存在相应信息; 没有的话也丢弃数据包;
c. 若数据包的入接口为access口, 但是接受到的数据带有vlan tag, 而数据包的vlan id和当前access口的vlan id不相等, 则必须丢弃该数据包, 若相等的话还是会接收的;
d. 若数据包的入接口为trunk口, 则还需要检查该数据的vlan id是否在trunk范围内, 若不在范围内则不接受该数据包; 代表vlan范围的forbiden_vlans是一张位图, 1表示该vlan id在允许范围内. 如图所示:
107205fbb46de89fca.png
4) MAC全0要么就网卡异常, 要么就收到ARP攻击了, 直接丢弃该数据;
5) MAC全F的为广播包, 也不处理, 直接丢弃;
6) fdb为二层转发表, 将当前数据包的源MAC, 入接口, vlan id记录起来供转发查找出接口用; 有则更新时间戳, 无则新增; fdbhash, 以源MAC地址做hash;
7) 数据转发
协议剥离
何谓协议剥离? 就是计算出ipv4数据在数据包中的偏移. 目前支持以下几种协议剥离:
a. eth + ip
b. eth + vlan + ip
c. eth + vlan + pppoe + ip
d. eth + vlan + vlan + ip
e. eth + vlan + vlan + pppoe + ip
f. eth + pppoe + ip
这里所做的剥离, 不是把协议头去掉而是将网络层(ip)头部偏移和运输层(tcp,udp,icmp…)头部偏移加上ip头部的偏移;

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

沧海 发表于 2020-11-23 19:16
  

回帖奖励 +4

学习学习
水之蓝色 发表于 2020-11-24 19:38
  
学习了,感谢分享
新手018001 发表于 2020-11-25 12:44
  
学习了,感谢分享
bigfish520 发表于 2020-11-26 09:19
  

评论是对作者最大的鼓励! +8 S豆 详情>

身为网络工程师的我被这张图搞蒙了,这张图表示的是防火墙处理access和trunk数据吧?
zhao_HN 发表于 2020-11-26 10:06
  
感谢分享
至死不渝 发表于 2020-11-27 10:28
  

评论是对作者最大的鼓励! +8 S豆 详情>

慢慢看下来还真不错谢楼主分享
Sangfor2419 发表于 2020-12-1 18:58
  
感谢楼主分享,楼主的帖子清晰的展示了一个数据包经过AF的access口和trunk口时的标签变化,希望后续的帖子有更多丰富的案例可以让大家更好的理解access和vlan的使用场景。期待楼主有更加精彩的分享~
玉米 发表于 2021-4-22 13:23
  
感谢分享                                    
一个无趣的人 发表于 2021-11-21 11:49
  
楼主的文章图文并茂,清晰易懂,看完这波操作可以轻松上手了,如遇到问题再向楼主请教~
发表新帖
热门标签
全部标签>
每日一问
GIF动图学习
技术笔记
信服课堂视频
产品连连看
安装部署配置
项目案例
玩转零信任
在线直播
原创分享
新版本体验
专家分享
SANGFOR资讯
每日一记
技术咨询
VPN 对接
畅聊IT
专家问答
功能体验
SDP百科
答题自测
技术圆桌
日志审计
虚拟机
排障笔记本
干货满满
安全攻防
信服故事
MVP
网络基础知识
升级
上网策略
测试报告
问题分析处理
流量管理
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
技术顾问
标准化排查
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
存储
迁移
加速技术
产品预警公告

本版版主

397
104
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

新手58573...

本周分享达人

新手58573...

本周提问达人