本文简介：二层交换机 三层交换机 四层交换机的区别 -------------------------------------------------------------------------------- 二层交换技术是发展比较成熟，二层交换机属数据链路层设备，可以识别数据包中的MAC地 址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地 址表中。具体的工作流程如下
二层交换机 三层交换机 四层交换机的区别
--------------------------------------------------------------------------------
二层交换技术是发展比较成熟，二层交换机属数据链路层设备，可以识别数据包中的MAC地
址信息，根据MAC地址进行转发，并将这些MAC地址与对应的端口记录在自己内部的一个地
址表中。具体的工作流程如下：
（1） 当交换机从某个端口收到一个数据包，它先读取包头中的源MAC地址，这样它就知道
源MAC地址的机器是连在哪个端口上的；
（2） 再去读取包头中的目的MAC地址，并在地址表中查找相应的端口；
（3） 如表中有与这目的MAC地址对应的端口，把数据包直接复制到这端口上；
（4） 如表中找不到相应的端口则把数据包广播到所有端口上，当目的机器对源机器回应
时，交换机又可以学习一目的MAC地址与哪个端口对应，在下次传送数据时就不再需要对所
有端口进行广播了。
不断的循环这个过程，对于全网的MAC地址信息都可以学习到，二层交换机就是这样建立和
维护它自己的地址表。
从二层交换机的工作原理可以推知以下三点：
（1） 由于交换机对多数端口的数据进行同时交换，这就要求具有很宽的交换总线带宽，
如果二层交换机有N个端口，每个端口的带宽是M，交换机总线带宽超过N×M，那么这交换
机就可以实现线速交换；
（2） 学习端口连接的机器的MAC地址，写入地址表，地址表的大小（一般两种表示方式：
一为BEFFER RAM，一为MAC表项数值），地址表大小影响交换机的接入容量；
（3） 还有一个就是二层交换机一般都含有专门用于处理数据包转发的ASIC （Applicati
on specific Integrated Circuit）芯片，因此转发速度可以做到非常快。由于各个厂家
采用ASIC不同，直接影响产品性能。
以上三点也是评判二三层交换机性能优劣的主要技术参数，这一点请大家在考虑设备选型
时注意比较。
（二）路由技术
路由器工作在OSI模型的第三层---网络层操作，其工作模式与二层交换相似，但路由器工
作在第三层，这个区别决定了路由和交换在传递包时使用不同的控制信息，实现功能的方
式就不同。工作原理是在路由器的内部也有一个表，这个表所标示的是如果要去某一个地
方，下一步应该向那里走，如果能从路由表中找到数据包下一步往那里走，把链路层信息
加上转发出去；如果不能知道下一步走向那里，则将此包丢弃，然后返回一个信息交给源
地址。
路由技术实质上来说不过两种功能：决定较优路由和转发数据包。路由表中写入各种信息
，由路由算法计算出到达目的地址的较佳路径，然后由相对简单直接的转发机制发送数据
包。接受数据的下一台路由器依照相同的工作方式继续转发，依次类推，直到数据包到达
目的路由器。
而路由表的维护，也有两种不同的方式。一种是路由信息的更新，将部分或者全部的路由
信息公布出去，路由器通过互相学习路由信息，就掌握了全网的拓扑结构，这一类的路由
协议称为距离矢量路由协议；另一种是路由器将自己的链路状态信息进行广播，通过互相
学习掌握全网的路由信息，进而计算出较佳的转发路径，这类路由协议称为链路状态路由
协议。
由于路由器需要做大量的路径计算工作，一般处理器的工作能力直接决定其性能的优劣。
当然这一判断还是对中低端路由器而言，因为高端路由器往往采用分布式处理系统体系设
计。
（三）三层交换技术
近年来的对三层技术的宣传，耳朵都能起茧子，到处都在喊三层技术，有人说这是个非常
新的技术，也有人说，三层交换嘛，不就是路由器和二层交换机的堆叠，也没有什么新的
玩意，事实果真如此吗？下面先来通过一个简单的网络来看看三层交换机的工作过程。
组网比较简单
使用IP的设备A------------------------三层交换机------------------------使用IP的
设备B
比如A要给B发送数据，已知目的IP，那么A就用子网掩码取得网络地址，判断目的IP是否与
自己在同一网段。
如果在同一网段，但不知道转发数据所需的MAC地址，A就发送一个ARP请求，B返回其MAC地
址，A用此MAC封装数据包并发送给交换机，交换机起用二层交换模块，查找MAC地址表，将
数据包转发到相应的端口。
如果目的IP地址显示不是同一网段的，那么A要实现和B的通讯，在流缓存条目中没有对应
MAC地址条目，就将较早个正常数据包发送向一个缺省网关，这个缺省网关一般在操作系统
中已经设好，对应第三层路由模块，所以可见对于不是同一子网的数据，较先在MAC表中放
的是缺省网关的MAC地址；然后就由三层模块接收到此数据包，查询路由表以确定到达B的
路由，将构造一个新的帧头，其中以缺省网关的MAC地址为源MAC地址，以主机B的MAC地址
为目的MAC地址。通过一定的识别触发机制，确立主机A与B的MAC地址及转发端口的对应关
系，并记录进流缓存条目表，以后的A到B的数据，就直接交由二层交换模块完成。这就通
常所说的一次路由多次转发。
以上就是三层交换机工作过程的简单概括，可以看出三层交换的特点：
由硬件结合实现数据的高速转发。
这就不是简单的二层交换机和路由器的叠加，三层路由模块直接叠加在二层交换的高速背
板总线上，突破了传统路由器的接口速率限制，速率可达几十Gbit/s。算上背板带宽，这
些是三层交换机性能的两个重要参数。
简洁的路由软件使路由过程简化。
大部分的数据转发，除了必要的路由选择交由路由软件处理，都是又二层模块高速转发，
路由软件大多都是经过处理的高效优化软件，并不是简单照搬路由器中的软件。
结论
二层交换机用于小型的局域网络。这个就不用多言了，在小型局域网中，广播包影响不大
，二层交换机的快速交换功能、多个接入端口和低谦价格为小型网络用户提供了很完善的
解决方案。
路由器的优点在于接口类型丰富，支持的三层功能强大，路由能力强大，适合用于大型的
网络间的路由，它的优势在于选择较佳路由，负荷分担，链路备份及和其他网络进行路由
信息的交换等等路由器所具有功能。
三层交换机的较重要的功能是加快大型局域网络内部的数据的快速转发，加入路由功能也
是为这个目的服务的。如果把大型网络按照部门，地域等等因素划分成一个个小局域网，
这将导致大量的网际互访，单纯的使用二层交换机不能实现网际互访；如单纯的使用路由
器，由于接口数量有限和路由转发速度慢，将限制网络的速度和网络规模，采用具有路由
功能的快速转发的三层交换机就成为首选。
一般来说，在内网数据流量大，要求快速转发响应的网络中，如全部由三层交换机来做这
个工作，会造成三层交换机负担过重，响应速度受影响，将网间的路由交由路由器去完成
，充分发挥不同设备的优点，不失为一种好的组网策略，当然，前提是客户的腰包很鼓，
不然就退而求其次，让三层交换机也兼为网际互连。
第四层交换的一个简单定义是：它是一种功能，它决定传输不仅仅依据MAC地址(第二层网
桥)或源/目标IP地址(第三层路由),而且依据TCP/UDP(第四层) 应用端口号。第四层交换功
能就象是虚IP，指向物理服务器。它传输的业务服从的协议多种多样，有HTTP、FTP、NFS
、Telnet或其他协议。这些业务在物理服务器基础上，需要复杂的载量平衡算法。在IP世
界，业务类型由终端TCP或UDP端口地址来决定，在第四层交换中的应用区间则由源端和终
端IP地址、TCP和UDP端口共同决定。
在第四层交换中为每个供搜寻使用的服务器组设立虚IP地址（VIP），每组服务器支持
某种应用。在域名服务器（DNS）中存储的每个应用服务器地址是VIP，而不是真实的服务
器地址。
当某用户申请应用时，一个带有目标服务器组的VIP连接请求（例如一个TCP SYN包）发
给服务器交换机。服务器交换机在组中选取较好的服务器，将终端地址中的VIP用实际服务
器的IP取代，并将连接请求传给服务器。这样，同一区间所有的包由服务器交换机进行映
射，在用户和同一服务器间进行传输。
第四层交换的原理
OSI模型的第四层是传输层。传输层负责端对端通信，即在网络源和目标系统之间协调
通信。在IP协议栈中这是TCP（一种传输协议）和UDP（用户数据包协议）所在的协议层。
在第四层中，TCP和UDP标题包含端口号（portnumber），它们可以唯一区分每个数据包
包含哪些应用协议（例如HTTP、FTP等）。端点系统利用这种信息来区分包中的数据，尤其
是端口号使一个接收端计算机系统能够确定它所收到的IP包类型，并把它交给合适的高层
软件。端口号和设备IP地址的组合通常称作“插口（socket）”。
1和255之间的端口号被保留，他们称为“熟知”端口，也就是说，在所有主机TCP/I
P协议栈实现中，这些端口号是相同的。除了“熟知”端口外，标准UNIX服务分配在256到
1024端口范围，定制的应用一般在1024以上分配端口号.
分配端口号的较近清单可以在RFc1700”Assigned Numbers”上找到。TCP／UDP端
口号提供的附加信息可以为网络交换机所利用，这是第4层交换的基础。
"熟知"端口号举例:
应用协议 端口号
FTP 20（数据）
21（控制）
TELNET 23
SMTP 25
HTTP 80
NNTP 119
NNMP 16
162（SNMP traps）
TCP/UDP端口号提供的附加信息可以为网络交换机所利用，这是第四层交换的基础。
具有第四层功能的交换机能够起到与服务器相连接的“虚拟IP”(VIP)前端的作用。
每台服务器和支持单一或通用应用的服务器组都配置一个VIP地址。这个VIP地址被发送出
去并在域名系统上注册。
在发出一个服务请求时，第四层交换机通过判定TCP开始，来识别一次会话的开始。然
后它利用复杂的算法来确定处理这个请求的较佳服务器。一旦做出这种决定，交换机就将
会话与一个具体的IP地址联系在一起，并用该服务器真正的IP地址来代替服务器上的VIP地
址。
每台第四层交换机都保存一个与被选择的服务器相配的源IP地址以及源TCP 端口相
关联的连接表。然后第四层交换机向这台服务器转发连接请求。所有后续包在客户机与服
务器之间重新影射和转发，直到交换机发现会话为止。
在使用第四层交换的情况下，接入可以与真正的服务器连接在一起来满足用户制定的规
则，诸如使每台服务器上有相等数量的接入或根据不同服务器的容量来分配传输流。
如何选用合适的第四层交换
a,速度
为了在企业网中行之有效，第四层交换必须提供与第三层线速路由器可比拟的性能。也
就是说，第四层交换必须在所有端口以全介质速度操作，即使在多个千兆以太网连接上亦
如此。千兆以太网速度等于以每秒1488000 个数据包的较大速度路由(假定较坏的情形,即
所有包为以及网定义的较小尺寸,长64字节)。
b,服务器容量平衡算法
依据所希望的容量平衡间隔尺寸，第四层交换机将应用分配给服务器的算法有很多种，
有简单的检测环路较近的连接、检测环路时延或检测服务器本身的闭环反馈。在所有的预
测中，闭环反馈提供反映服务器现有业务量的较精确的检测。
c,表容量
应注意的是，进行第四层交换的交换机需要有区分和存贮大量发送表项的能力。交换机
在一个企业网的核心时尤其如此。许多第二/ 三层交换机倾向发送表的大小与网络设备的
数量成正比。对第四层交换机，这个数量必须乘以网络中使用的不同应用协议和会话的数
量。因而发送表的大小随端点设备和应用类型数量的增长而迅速增长。第四层交换机设计
者在设计其产品时需要考虑表的这种增长。大的表容量对制造支持线速发送第四层流量的
高性能交换机至关重要.
d,冗余
第四层交换机内部有支持冗余拓扑结构的功能。在具有双链路的网卡容错连接时，就可
能建立从一个服务器到网卡，链路和服务器交换器的完全冗余系统。
总之，禁止交换机上网,限制交换机上网,监控交换机上网,过滤交换机上网,控制交换机上网,屏蔽交换机上网,阻断交换机上网,拦截交换机上网,封堵交换机上网,禁用交换机上网,禁交换机上网,限交换机上网,封交换机上网,禁交换机上网,限交换机上网,封交换机上网,交换机上网端口,交换机上网协议,交换机上网服务器IP,如何控制交换机上网,如何禁止交换机上网,如何限制交换机上网,如何封堵交换机上网,如何监控交换机上网,如何管理交换机上网等等这些功能，聚生上网管局域网流量控制软件可以实现！
安企神较简单禁止QQ聊天、限制登录QQ等聊天软件
QQ目前是国内各行业企事业单位员工日常交流、工作联系使用较普遍的即时通讯软件之一。但是QQ在便利了员工工作联系、交流的同时，也极容易成为员工侃大山、进行闲聊的工具。因此，企事业单位常常需要关闭QQ聊天，禁止员工工作时间使用QQ闲聊。
由于QQ服务器IP地址众多，QQ端口也变幻莫测。因此，网管常常要为禁用QQ聊天而准备几套方案，怎么样才能禁用内部员工使用QQ聊天呢？笔者给大家讲解四种方法来封堵QQ聊天。
一、使用专业的网管软件控制QQ聊天，阻断QQ登录。
当前，国内很多流行的网管软件一般均可以有效控制聊天软件。笔者在此推荐一款叫做安企神（官网：/）的网络控制软件。聚生网络监控软件与国内其他网管软件不同，只需要部署在局域网一台电脑就可以完全控制整个局域网的上网行为，可以完全控制局域网电脑聊天、禁止局域网P2P下载、禁止局域网电脑网址访问等。安企神安企神系统在拦截QQ登录，过滤QQ聊天的功能启用极为简单，只需要在“聊天限制”里面勾选禁止QQ聊天，则QQ就无法登录了，同时已经登录的QQ会很快掉线。同时，聚,生网管还可以禁止QQ文件传输，只允许特定的QQ号码登录，同时还可以检测QQ登录账号等，从而可以为网管人员精准控制QQ提供了极大的便利。如图所示：
安企神阻断QQ聊天截图
二、使用防火墙禁止QQ端口的方式禁用QQ聊天
QQ聊天使用的默认系统端口是UDP4000，我们可以使用防火墙将这个端口关闭，那么你的电能就不能聊QQ了。但是如果较新版的QQ登录端口会自动切换，如果防火墙关闭了UDP4000端口之后，则QQ会选择使用其他端口，如80端口和443端口进行登录。因此，通过防火墙限制QQ登录，阻止QQ聊天变得不太现实。同理，通过路由器禁止QQ登录，路由器控制QQ聊天也不太可行。下面的办法只是针对QQ2022版本的禁用方案。
防火墙过滤QQ聊天操作步骤如下：
金山网镖6的设置方法（其他防火墙参照此例）：
点击菜单“工具”→“综合设置”→“IP过滤”→“添加”，弹出新窗口。在“端口”栏输入“4000”，在“协议”栏选择“UDP”，在“操作”栏选择“禁止”，这样就将UDP4000端口关闭了。再操作一次，只是在 “协议”栏选择“TCP”，将TCP4000端口关闭。可以看到已经禁止了UDP4000和TCP4000端口。
但是这种方法有一个局限性，那就是你只开一个QQ登陆窗口有效，但是登陆更多的时候就会失效了。这个是为什么呢？这个是因为在一个电脑进行多次QQ登录时，后来的QQ使用的端口号会是4001、4002、4003，即每运行一个QQ，使用的UPD 端口会加1。由于我们同时运行了两个QQ，第二个QQ使用的端口号是UDP4001，而不是UDP4000，当然能够登录成功了。为了保险起见，我们需要封 4000到4009，九个端口就可以了。你的同事总不能在一个QQ不能登录时，会同时运行10个登录窗口吧。
三、QQ目录定义文件属性禁止QQ聊天
QQ要运行必须调用“LoginUinList.dat”文件，这个文件存储着用户的账户信息，所以QQ要正常运行必须保证此文件可写。
所以要禁止QQ聊天，可以将这个文件设置成不可写。设置方法如下：
找到QQ安装目录(默认为C:\ProgramFiles\Tencent\QQ)，在其上点击鼠标右键，在弹出的菜单中选择“属性” ，然后在弹出的窗口
将其属性设置为“只读”，再点击“确定”，此时会弹出一个“确认属性更改的”对话框，选中“将更改应用于该文件夹、子文件夹和文件 ”按钮，连续两次点击“确定”按钮，关闭属性对话框。现在重新启动QQ，QQ号码就不能再登录了。当你需要用QQ时，去掉该安装目录和该目录下所有文件的只读属性就可以了。
综上所述，无论是通过防火墙禁止QQ聊天,防火墙限制QQ聊天,防火墙过滤QQ聊天,防火墙监控QQ聊天,防火墙控制QQ聊天；还是通过路由器禁止QQ聊天,路由器限制QQ聊天,路由器过滤QQ聊天,路由器监控QQ聊天,路由器控制QQ聊天，在一定条件下都可以起到一定的作用。但是，综合各方面来说，通过网管软件限制QQ聊天部署较快捷、使用较简单，比较适合国内网管人员的使用。
本文为 网管知识 收集整理，文章部分观点不代表本站观点，如有侵权或其它问题请反馈客服。/cjwt/11652.html