pfSense book之網(wǎng)絡(luò)概念

網(wǎng)絡(luò)概念

• 了解公共和私人IP地址

• IP子網(wǎng)劃分概念

• IP地址，子網(wǎng)和網(wǎng)關(guān)配置

• 了解CIDR子網(wǎng)掩碼表示法

• CIDR概述

• 廣播域名

• IPv6

本書(shū)不是對(duì)網(wǎng)絡(luò)的介紹，但有一些網(wǎng)絡(luò)概念需要解決。 對(duì)于沒(méi)有基本的網(wǎng)絡(luò)基礎(chǔ)知識(shí)的讀者，我們建議找到更多的介紹性材料，因?yàn)楸菊虏粫?huì)提供所有必要的信息。 IPv6概念將在本章后面的IPv6中介紹。 為了清楚起見(jiàn)，傳統(tǒng)的IP地址被稱(chēng)為IPv4地址。 除另有說(shuō)明外，大多數(shù)功能都可以使用IPv4或IPv6地址。 通用術(shù)語(yǔ)IP地址是指IPv4或IPv6。

OSI模型層簡(jiǎn)介

OSI模型具有由七層組成的網(wǎng)絡(luò)框架。 這些圖層按從低到高的順序排列。 下面解釋了每個(gè)級(jí)別的簡(jiǎn)要信息。 更多信息可以在維基百科中找到(http://en.wikipedia.org/wiki/OSI_model)。

了解公共和私人IP地址

私人IP地址 

網(wǎng)絡(luò)標(biāo)準(zhǔn)RFC 1918定義了保留的IPv4子網(wǎng)，僅用于私有網(wǎng)絡(luò)（表RFC 1918專(zhuān)用IP地址空間）。 RFC 4193為IPv6（RFC 4193唯一本地地址空間）定義了唯一的本地地址（ULA）。 在大多數(shù)環(huán)境中，RFC 1918的私有IP子網(wǎng)被選擇并用于所有內(nèi)部網(wǎng)絡(luò)設(shè)備。 然后通過(guò)實(shí)施網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）軟件（如pfSense）的防火墻或路由器將設(shè)備連接到Internet。 IPv6通過(guò)全球單播地址（GUA）從內(nèi)部網(wǎng)絡(luò)完全路由而無(wú)需NAT。 NAT將在網(wǎng)絡(luò)地址轉(zhuǎn)換中進(jìn)一步解釋。

特殊用途IPv4網(wǎng)絡(luò)的完整列表可以在RFC 3330中找到。有一些私有IPv4地址，例如1.0.0.0/8和2.0.0.0/8，這些IPv4地址已經(jīng)分配給日益縮小的IPv4池。 使用這些地址是有問(wèn)題的，不建議使用。 此外，避免使用169.254.0.0/16，根據(jù)RFC 3927保留“Link-Local”自動(dòng)配置。 它不應(yīng)該由DHCP分配或手動(dòng)設(shè)置，并且路由器將不允許來(lái)自該子網(wǎng)的數(shù)據(jù)包在特定的廣播域外傳播。 RFC 1918有足夠的地址空間，所以不需要突破RFC 1918私有IP地址空間中的地址范圍。 不正確的尋址會(huì)導(dǎo)致網(wǎng)絡(luò)故障，應(yīng)該予以糾正。

公共 IP地址

除最大的網(wǎng)絡(luò)外，公共IP地址由互聯(lián)網(wǎng)服務(wù)提供商分配。需要數(shù)百或數(shù)千個(gè)公共IP地址的網(wǎng)絡(luò)通常具有直接從其地區(qū)互聯(lián)網(wǎng)注冊(cè)機(jī)構(gòu)（RIR）分配的地址空間。 RIR是一個(gè)監(jiān)督在世界指定地區(qū)分配和注冊(cè)公共IP地址的組織。

大多數(shù)住宅互聯(lián)網(wǎng)連接被分配一個(gè)公共IPv4地址。大多數(shù)業(yè)務(wù)類(lèi)連接被分配多個(gè)公共IP地址。在許多情況下，單個(gè)公共IP地址就足夠了，可以與NAT一起使用，將數(shù)百個(gè)專(zhuān)用地址系統(tǒng)連接到Internet。這本書(shū)將有助于確定所需的公共IP地址的數(shù)量。

大多數(shù)IPv6部署將使最終用戶(hù)至少有一個(gè)/ 64前綴網(wǎng)絡(luò)用作路由內(nèi)部網(wǎng)絡(luò)。對(duì)于每個(gè)站點(diǎn)，大致有2 64個(gè)IPv6地址或18個(gè)地址，完全從Internet上路由而不需要NAT。

保留和文件地址

除了在RFC 1918中定義的范圍之外，RFC 5735還描述了為其他特殊用途（如文檔，測(cè)試和基準(zhǔn)測(cè)試）保留的IP范圍。 RFC 6598更新了RFC 5735，并為運(yùn)營(yíng)商級(jí)NAT定義了地址空間。 這些特殊的網(wǎng)絡(luò)包括：

在整本書(shū)中，我們使用了來(lái)自上述文檔范圍的地址以及RFC 1918網(wǎng)絡(luò)的示例，因?yàn)樗鼈儗?duì)用戶(hù)更為熟悉。

有些人發(fā)現(xiàn)這些地址昨時(shí)用于×××甚至本地網(wǎng)絡(luò)。 我們不推薦將它們用于除預(yù)定目的以外的任何其他用途，但是它們比RFC 1918網(wǎng)絡(luò)更不容易被看到。

IP子網(wǎng)劃分概念

在設(shè)備上配置TCP / IP設(shè)置時(shí)，必須指定子網(wǎng)掩碼（或IPv6的前綴長(zhǎng)度）。 此掩碼使設(shè)備能夠確定本地網(wǎng)絡(luò)上的哪些IP地址，以及設(shè)備路由表中的網(wǎng)關(guān)必須到達(dá)哪些IP地址。 默認(rèn)的LAN IP地址為192.168.1.1，掩碼為255.255.255.0或CIDR表示的/ 24的網(wǎng)絡(luò)地址為192.168.1.0/24。

IP地址，子網(wǎng)和網(wǎng)關(guān)配置

主機(jī)的TCP / IP配置由地址，子網(wǎng)掩碼（或IPv6的前綴長(zhǎng)度）和網(wǎng)關(guān)組成。 IP地址與子網(wǎng)掩碼的結(jié)合是主機(jī)如何識(shí)別本地網(wǎng)絡(luò)上的哪些IP地址。本地網(wǎng)絡(luò)以外的地址被發(fā)送到主機(jī)配置的默認(rèn)網(wǎng)關(guān)，它假定將把流量傳遞到所需的目的地。此規(guī)則的一個(gè)例外是指示設(shè)備聯(lián)系通過(guò)本地連接的路由器可達(dá)的特定非本地子網(wǎng)的靜態(tài)路由。網(wǎng)關(guān)和靜態(tài)路由的列表保存在每個(gè)主機(jī)的路由表上。

在典型的pfSense部署中，主機(jī)會(huì)在pfSense設(shè)備的LAN范圍內(nèi)分配一個(gè)IP地址，子網(wǎng)掩碼和網(wǎng)關(guān)。 pfSense上的LAN IP地址成為默認(rèn)網(wǎng)關(guān)。對(duì)于通過(guò)LAN以外的接口連接的主機(jī)，請(qǐng)使用適用于設(shè)備連接的接口的相應(yīng)配置。

一個(gè)網(wǎng)絡(luò)中的主機(jī)直接相互通信，而不需要默認(rèn)網(wǎng)關(guān)的參與。這意味著沒(méi)有防火墻（包括pfSense）可以控制網(wǎng)段內(nèi)的主機(jī)到主機(jī)的通信。如果需要此功能，則需要通過(guò)使用多個(gè)交換機(jī)，VLAN來(lái)分割主機(jī)，或使用PVLAN等同等交換機(jī)功能。虛擬局域網(wǎng)（VLAN）涵蓋VLAN。

了解CIDR子網(wǎng)掩碼表示法

在配置地址和網(wǎng)絡(luò)時(shí)，pfSense使用CIDR（Classless Inter-Domain Routing，也叫無(wú)類(lèi)別域間路由，它消除了傳統(tǒng)的A類(lèi)、B類(lèi)和C類(lèi)地址以及劃分子網(wǎng)的概念，因而可以更加有效地分配IPv4的地址空間。它可以將好幾個(gè)IP網(wǎng)絡(luò)結(jié)合在一起，使用一種無(wú)類(lèi)別的域際路由選擇算法，使它們合并成一條路由從而較少路由表中的路由條目減輕Internet路由器的負(fù)擔(dān)。）表示法，而不是通用子網(wǎng)掩碼255.x.x.x。 請(qǐng)參閱下表CIDR子網(wǎng)表：查找十進(jìn)制子網(wǎng)掩碼的CIDR值。

注意

使用/ 31網(wǎng)絡(luò)是RFC 3021定義的特殊情況，其中子網(wǎng)中的兩個(gè)IP地址可用于點(diǎn)對(duì)點(diǎn)鏈接以節(jié)省IPv4地址空間。 并非所有操作系統(tǒng)都支持RFC 3021，所以請(qǐng)謹(jǐn)慎使用。 在不支持RFC 3021的系統(tǒng)上，子網(wǎng)不可用，因?yàn)樽泳W(wǎng)掩碼定義的唯一兩個(gè)地址是空路由和廣播，并且沒(méi)有可用的主機(jī)地址。

pfSense 2.3.4-RELEASE-p1支持使用/ 31網(wǎng)絡(luò)接口和虛擬IP地址。

那么CIDR值從哪里來(lái)？

當(dāng)轉(zhuǎn)換為二進(jìn)制時(shí)，CIDR值來(lái)自子網(wǎng)掩碼中的數(shù)字。

常見(jiàn)的子網(wǎng)掩碼255.255.255.0是二進(jìn)制的11111111.11111111.11111111.00000000。 這加起來(lái)有24個(gè)，因此是/24。

子網(wǎng)掩碼255.255.255.192是二進(jìn)制的11111111.11111111.11111111.11000000，或者26個(gè)，因此是/ 26。

CIDR概述

除了指定子網(wǎng)掩碼之外，CIDR還可以用于IP或網(wǎng)絡(luò)匯總目的。 CIDR子網(wǎng)表中的“總IP地址”列指出給定CIDR掩碼總結(jié)了多少個(gè)地址。 出于網(wǎng)絡(luò)匯總的目的，“24網(wǎng)絡(luò)數(shù)量”列是有用的。 CIDR匯總可用于pfSense Web界面的多個(gè)部分，包括防火墻規(guī)則，NAT，虛擬IP，IPsec和靜態(tài)路由。

可以包含在單個(gè)CIDR掩碼中的IP地址或網(wǎng)絡(luò)被稱(chēng)為“CIDR可匯總的”。

在設(shè)計(jì)網(wǎng)絡(luò)時(shí)，確保在特定位置使用的所有專(zhuān)用IP子網(wǎng)都是CIDR可匯總的。 例如，如果在一個(gè)位置需要三個(gè)/ 24子網(wǎng)，則應(yīng)使用子網(wǎng)劃分為四個(gè)/ 24網(wǎng)絡(luò)的一個(gè)/ 22網(wǎng)絡(luò)。 下表顯示了與子網(wǎng)10.70.64.0/22一起使用的四個(gè)/ 24個(gè)子網(wǎng)。

這使通過(guò)使用專(zhuān)用WAN線(xiàn)路或×××連接到另一個(gè)物理位置的多站點(diǎn)網(wǎng)絡(luò)的路由更易于管理。 使用CIDR可匯總的子網(wǎng)，一個(gè)路由目標(biāo)覆蓋每個(gè)位置的所有網(wǎng)絡(luò)。 沒(méi)有它，每個(gè)位置有幾個(gè)不同的目標(biāo)網(wǎng)絡(luò)。

可以在subnetmask.info網(wǎng)站上找到的網(wǎng)絡(luò)計(jì)算器進(jìn)行CIDR計(jì)算。

計(jì)算器從點(diǎn)分十進(jìn)制轉(zhuǎn)換為CIDR掩碼，反之亦然，如圖下圖所示。 如果本章提供的CIDR子網(wǎng)表不可用，可以使用此工具將CIDR前綴轉(zhuǎn)換為點(diǎn)分十進(jìn)制表示法。 輸入CIDR前綴或點(diǎn)分十進(jìn)制掩碼，然后單擊相應(yīng)的計(jì)算按鈕以查找轉(zhuǎn)換。

子網(wǎng)掩碼轉(zhuǎn)換

在Network/Node Calculator（網(wǎng)絡(luò)/節(jié)點(diǎn)計(jì)算器）部分輸入十進(jìn)制掩碼和IP地址， 點(diǎn)擊Calculate， 在下面就會(huì)顯示計(jì)算的結(jié)果。 在本例子中，網(wǎng)絡(luò)地址是10.70.64.0/22，可用的/ 24網(wǎng)絡(luò)是64到67。本表中的術(shù)語(yǔ)“Broadcast Address(廣播地址)”是指該范圍內(nèi)的最高地址。

Network/Node Calculator（網(wǎng)絡(luò)/節(jié)點(diǎn)計(jì)算器）

找到一個(gè)匹配的CIDR網(wǎng)絡(luò)

別名支持格式為x.x.x.x-y.y.y.y的IPv4地址范圍。 對(duì)于網(wǎng)絡(luò)類(lèi)型別名，IPv4范圍將自動(dòng)轉(zhuǎn)換為等效的CIDR塊。 對(duì)于主機(jī)類(lèi)型別名，范圍將轉(zhuǎn)換為IPv4地址列表。

如果不需要完全匹配，則可以將數(shù)字輸入到Network/Node Calculator（網(wǎng)絡(luò)/節(jié)點(diǎn)計(jì)算器）進(jìn)行計(jì)算。

廣播域名

廣播域是共享同一個(gè)第2層網(wǎng)段的網(wǎng)絡(luò)部分。在沒(méi)有VLAN的單個(gè)交換機(jī)的網(wǎng)絡(luò)中，廣播域就是整個(gè)交換機(jī)。在沒(méi)有使用VLAN的多個(gè)互連交換機(jī)的網(wǎng)絡(luò)中，廣播域包括所有這些交換機(jī)。

單個(gè)廣播域可以包含多個(gè)IPv4或IPv6子網(wǎng)，但是，這通常不被認(rèn)為是良好的網(wǎng)絡(luò)設(shè)計(jì)。應(yīng)通過(guò)使用單獨(dú)的交換機(jī)或VLAN將IP子網(wǎng)隔離到不同的廣播域中。例外是在單個(gè)廣播域內(nèi)運(yùn)行IPv4和IPv6網(wǎng)絡(luò)。這就是所謂的雙堆棧，它是一種常用且有用的技術(shù)，它為主機(jī)使用IPv4和IPv6連接。

廣播域可以通過(guò)將兩個(gè)網(wǎng)絡(luò)接口橋接在一起進(jìn)行組合，但是在這種情況下必須小心避免交換機(jī)環(huán)路。對(duì)于某些沒(méi)有組合廣播域但具有相同凈效應(yīng)的協(xié)議，也可以通過(guò)代理，例如將DHCP請(qǐng)求轉(zhuǎn)發(fā)到另一個(gè)接口上的廣播域的DHCP中繼。

翻譯自pfsense book！

2017-11-11