- 交换机类型
- 交换机内存
- 网络标准
- 交换方式
- 背板带宽
- 包转发率
- VLAN支持
- MAC地址
- TRUNK(端口汇聚)
- Throughout(吞吐率)
- 全双工
- 传输速度
- 端口类型
- 端口数
- 模块化插槽数
- 网络管理
- 堆叠
- IGMP
- MPLS
- SSL VPN
交换技术语-交换机类型
交换机的分类标准多种多样，常见的有以下几种：
（一）根据网络覆盖范围分
局域网交换机和广域网交换机。
（二）根据传输介质和传输速度划分
以太网交换机、快速以太网交换机、千兆以太网交换机、10千兆以太网交换机、ATM交换机、FDDI交换机和令牌环交换机。
（三）根据交换机应用网络层次划分
企业级交换机、校园网交换机、部门级交换机和工作组交换机、桌机型交换机。
（四）根据交换机端口结构划分
固定端口交换机和模块化交换机。
（五）根据工作协议层划分
第二层交换机、第三层交换机和第四层交换机。
（六）根据是否支持网管功能划分
网管型交换机和非网管理型交换机。
交换技术语--交换机内存
交换机中可能有多种内存，例如Flash（闪存）、DRAM（动态内存）等。内存用作存储配置、作为数据缓冲等。 交换机采用了以下几种不同类型的内存，每种内存以不同方式协助交换机工作。
1.只读内存（ROM）
只读内存（ROM）在交换机中的功能与计算机中的ROM相似，主要用于系统初始化等功能。
顾名思义，ROM是只读存储器，不能修改其中存放的代码。如要进行升级，则要替换ROM芯片。
2.闪存（Flash）
闪存（Flash）是可读可写的存储器，在系统重新启动或关机之后仍能保存数据。
3.随机存储器(RAM)
RAM也是可读可写的存储器，但它存储的内容在系统重启或关机后将被清除。
交换技术语--网络标准
局域网（LAN）的结构主要有三种类型：以太网（Ethernet）、令牌环（Token Ring）、令牌总线(Token Bus)以及作为这三种网的骨干网光纤分布数据接口（FDDI）。它们所遵循的都是IEEE（美国电子电气工程师协会）制定的以802开头的标准,目前共有11个与局域网有关的标准,它们分别是：
IEEE 802.1── 通用网络概念及网桥等
IEEE 802.2── 逻辑链路控制等
IEEE 802.3──CSMA/CD访问方法及物理层规定
IEEE 802.4──ARCnet总线结构及访问方法,物理层规定
IEEE 802.5──Token Ring访问方法及物理层规定等
IEEE 802.6── 城域网的访问方法及物理层规定
IEEE 802.7── 宽带局域网
IEEE 802.8── 光纤局域网(FDDI)
IEEE 802.9── ISDN局域网
IEEE 802.10── 网络的安全
IEEE 802.11── 无线局域网
交换技术语--交换方式
目前交换机在传送源和目的端口的数据包时通常采用直通式交换、存储转发式和碎片隔离方式三种数据包交换方式。目前的存储转发式是交换机的主流交换方式。
1、直通交换方式（Cut-through）
采用直通交换方式的以太网交换机可以理解为在各端口间是纵横交叉的线路矩阵电话交换机。它在输入端口检测到一个数据包时，检查该包的包头，获取包的目的地址，启动内部的动态查找表转换成相应的输出端口，在输入与输出交叉处接通，把数据包直通到相应的端口，实现交换功能。由于它只检查数据包的包头（通常只检查14个字节），不需要存储，所以切入方式具有延迟小，交换速度快的优点。所谓延迟（Latency）是指数据包进入一个网络设备到离开该设备所花的时间。
它的缺点主要有三个方面：一是因为数据包内容并没有被以太网交换机保存下来，所以无法检查所传送的数据包是否有误，不能提供错误检测能力；第二，由于没有缓存，不能将具有不同速率的输入／输出端口直接接通，而且容易丢包。如果要连到高速网络上，如提供快速以太网（100BASE－T）、FDDI或ATM连接，就不能简单地将输入／输出端口“接通”，因为输入／输出端口间有速度上的差异，必须提供缓存；第三，当以太网交换机的端口增加时，交换矩阵变得越来越复杂，实现起来就越困难。
2、存储转发方式（Store-and-Forward）
存储转发（Store and Forward）是计算机网络领域使用得最为广泛的技术之一，以太网交换机的控制器先将输入端口到来的数据包缓存起来，先检查数据包是否正确，并过滤掉冲突包错误。确定包正确后，取出目的地址，通过查找表找到想要发送的输出端口地址，然后将该包发送出去。正因如此，存储转发方式在数据处理时延时大，这是它的不足，但是它可以对进入交换机的数据包进行错误检测，并且能支持不同速度的输入／输出端口间的交换，可有效地改善网络性能。它的另一优点就是这种交换方式支持不同速度端口间的转换，保持高速端口和低速端口间协同工作。实现的办法是将10Mbps低速包存储起来，再通过100Mbps速率转发到端口上。
3、碎片隔离式（Fragment Free）
这是介于直通式和存储转发式之间的一种解决方案。它在转发前先检查数据包的长度是否够64个字节（512 bit），如果小于64字节，说明是假包（或称残帧），则丢弃该包；如果大于64字节，则发送该包。该方式的数据处理速度比存储转发方式快，但比直通式慢，但由于能够避免残帧的转发，所以被广泛应用于低档交换机中。
使用这类交换技术的交换机一般是使用了一种特殊的缓存。这种缓存是一种先进先出的FIFO（First In First Out），比特从一端进入然后再以同样的顺序从另一端出来。当帧被接收时，它被保存在FIFO中。如果帧以小于512比特的长度结束，那么FIFO中的内容（残帧）就会被丢弃。因此，不存在普通直通转发交换机存在的残帧转发问题，是一个非常好的解决方案。数据包在转发之前将被缓存保存下来，从而确保碰撞碎片不通过网络传播，能够在很大程度上提高网络传输效率。
交换技术语--背板带宽
交换机的背板带宽，是交换机接口处理器或接口卡和数据总线间所能吞吐的最大数据量。背板带宽标志了交换机总的数据交换能力，单位为Gbps，也叫交换带宽，一般的交换机的背板带宽从几Gbps到上百Gbps不等。一台交换机的背板带宽越高，所能处理数据的能力就越强，但同时设计成本也会越高。
一般来讲，计算方法如下:
1）线速的背板带宽
考察交换机上所有端口能提供的总带宽。计算公式为端口数*相应端口速率*2（全双工模式）如果总带宽≤标称背板带宽，那么在背板带宽上是线速的。
2）第二层包转发线速
第二层包转发率=千兆端口数量×1.488Mpps+百兆端口数量*0.1488Mpps+其余类型端口数*相应计算方法，如果这个速率能≤标称二层包转发速率，那么交换机在做第二层交换的时候可以做到线速。
3）第三层包转发线速
第三层包转发率=千兆端口数量×1.488Mpps+百兆端口数量*0.1488Mpps+其余类型端口数*相应计算方法，如果这个速率能≤标称三层包转发速率，那么交换机在做第三层交换的时候可以做到线速。
那么，1.488Mpps是怎么得到的呢?
包转发线速的衡量标准是以单位时间内发送64byte的数据包（最小包）的个数作为计算基准的。对于千兆以太网来说，计算方法如下：1，000，000，000bps/8bit/（64＋8＋12）byte=1,488,095pps 说明：当以太网帧为64byte时，需考虑8byte的帧头和12byte的帧间隙的固定开销。故一个线速的千兆以太网端口在转发64byte包时的包转发率为1.488Mpps。快速以太网的线速端口包转发率正好为千兆以太网的十分之一，为148.8kpps。
*对于万兆以太网，一个线速端口的包转发率为14.88Mpps。
*对于千兆以太网，一个线速端口的包转发率为1.488Mpps。
*对于快速以太网，一个线速端口的包转发率为0.1488Mpps。
*对于OC－12的POS端口，一个线速端口的包转发率为1.17Mpps。
*对于OC－48的POS端口，一个线速端口的包转发率为468MppS。
所以说，如果能满足上面三个条件，那么我们就说这款交换机真正做到了线性无阻塞
背板带宽资源的利用率与交换机的内部结构息息相关。目前交换机的内部结构主要有以下几种：一是共享内存结构，这种结构依赖中心交换引擎来提供全端口的高性能连接，由核心引擎检查每个输入包以决定路由。这种方法需要很大的内存带宽、很高的管理费用，尤其是随着交换机端口的增加，中央内存的价格会很高，因而交换机内核成为性能实现的瓶颈；二是交叉总线结构，它可在端口间建立直接的点对点连接，这对于单点传输性能很好，但不适合多点传输；三是混合交叉总线结构，这是一种混合交叉总线实现方式，它的设计思路是，将一体的交叉总线矩阵划分成小的交叉矩阵，中间通过一条高性能的总线连接。其优点是减少了交叉总线数，降低了成本，减少了总线争用；但连接交叉矩阵的总线成为新的性能瓶颈。
交换技术语--包转发率
包转发率标志了交换机转发数据包能力的大小。单位一般位pps（包每秒），一般交换机的包转发率在几十Kpps到几百Mpps不等。包转发速率是指交换机每秒可以转发多少百万个数据包（Mpps），即交换机能同时转发的数据包的数量。包转发率以数据包为单位体现了交换机的交换能力。
其实决定包转发率的一个重要指标就是交换机的背板带宽，背板带宽标志了交换机总的数据交换能力。一台交换机的背板带宽越高，所能处理数据的能力就越强，也就是包转发率越高。
交换技术语--VLAN支持
VLAN，是英文Virtual Local Area Network的缩写，中文名为"虚拟局域网"，VLAN是一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。
VLAN这一新兴技术主要应用于交换机和路由器中，但目前主流应用还是在交换机之中。不过不是所有交换机都具有此功能，只有三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。VLAN的好处主要有三个：
(1)端口的分隔。即便在同一个交换机上，处于不同VLAN的端口也是不能通信的。这样一个物理的交换机可以当作多个逻辑的交换机使用。
(2)网络的安全。不同VLAN不能直接通信，杜绝了广播信息的不安全性。
(3)灵活的管理。更改用户所属的网络不必换端口和连线，只更改软件配置就可以了。
VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。
VLAN在交换机上的实现方法，可以大致划分为六类:
1. 基于端口的VLAN
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址的VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
由这种划分的机制可以看出，这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
3. 基于网络层协议的VLAN
VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。这种按网络层协议来组成的VLAN，可使广播域跨越多个VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
4. 根据IP组播的VLAN
IP组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。
5. 按策略划分的VLAN
基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。
6. 按用户定义、非用户授权划分的VLAN
基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
交换技术语--MAC地址表
交换机之所以能够直接对目的节点发送数据包，而不是像集线器一样以广播方式对所有节点发送数据包，最关键的技术就是交换机可以识别连在网络上的节点的网卡MAC 地址，并把它们放到一个叫做MAC地址表的地方。这个MAC地址表存放于交换机的缓存中，并记住这些地址，这样一来当需要向目的地址发送数据时，交换机就可在MAC地址表中查找这个MAC地址的节点位置，然后直接向这个位置的节点发送。所谓MAC地址数量是指交换机的MAC地址表中可以最多存储的MAC地址数量，存储的MAC地址数量越多，那么数据转发的速度和效率也就就越高。
但是不同档次的交换机每个端口所能够支持的MAC数量不同。在交换机的每个端口，都需要足够的缓存来记忆这些MAC地址，所以Buffer（缓存）容量的大小就决定了相应交换机所能记忆的MAC地址数多少。通常交换机只要能够记忆1024个MAC地址基本上就可以了，而一般的交换机通常都能做到这一点，所以如果对网络规模不是很大的情况下，这参数无需太多考虑。当然越是高档的交换机能记住的MAC地址数就越多，这在选择时要视所连网络的规模而定了。
交换机术语－－TRUNK（端口汇聚）
TRUNK（端口汇聚）
通常被用于将多个端口聚合在一起，从而形成一个高带宽的数据传输通道。交换机把聚集在一起的所有端口看作一个逻辑端口。
交换机术语－－Throughout(吞吐率)
Throughout(吞吐率)
吞吐率是指在一指定时间内由一处传输到另一处或被处理的数据量。以太网吞吐率的单位为"兆比特每秒"或"Mb/s"。
交换技术语--全双工
交换机的全双工是指交换机在发送数据的同时也能够接收数据，两者同步进行，这好像我们平时打电话一样，说话的同时也能够听到对方的声音。目前的交换机都支持全双工。
全双工的好处在于迟延小，速度快。
提到全双工，就不能不提与之密切对应的另一个概念，那就是“半双工”，所谓半双工就是指一个时间段内只有一个动作发生，举个简单例子，一天窄窄的马路，同时只能有一辆车通过，当目前有两量车对开，这种情况下就只能一辆先过，等到头儿后另一辆再开，这个例子就形象的说明了半双工的原理。早期的对讲机、以及早期集线器等设备都是实行半双工的产品。随着技术的不断进步，半双工会逐渐退出历史舞台。
交换技术语--传输速度
交换机的传输速度是指交换机端口的数据交换速度。目前常见的有10Mbps、100Mbps、1000Mbps等几类。除此之外，还有10GMbps交换机，但目前很少。
10M/100Mbps自适应交换机适合工作组级别使用，纯100Mbps或1000Mbps交换机一般应用在部门级以上的应用或骨干级别的应用当中。10GMbps的交换机主要用在电信等骨干网络上，其他应用很少涉及到。
交换技术语--端口类型
端口类型是指交换机上的端口是以太网、令牌环、FDDI还是ATM等类型，一般来说固定端口交换机只有单一类型的端口，适合中小企业或个人用户使用，而模块化交换机由于可以有不同介质类型的模块可供选择，故端口类型更为丰富，这类交换机适合部门级以上级别用户选择。
快速以太网交换机端口类型一般包括10Base-T、100Base-TX、100Base-FX，其中10Base-T和100Base-TX一般是由10M/100M自适应端口提供，即通常我们所讲的RJ-45端口。如下图左图所示为10Base-T网RJ-45端口，而右图所示的为10/100Base-TX网RJ-45端口。其实这两种RJ-45端口仅就端口本身而言是完全一样的，但端口中对应的网络电路结构是不同的，所以也不能随便接。
像FDDI等高性能交换机还提供100BASE-FX、千兆FL光纤接口。这种接口就是我们平时所说的SC端口，它是用于与光纤的连接如图所示。
交换技术语--端口数
交换机设备的端口数量是交换机最直观的衡量因素，通常此参数是针对固定端口交换机而言，常见的标准的固定端口交换机端口数有8、12、16、24、48等几种。而非标准的端口数主要有：4端口，5端口、10端口、12端口、20端口、22端口和32端口等。
固定端口交换机虽然相对来说价格便宜一些，但由于它只能提供有限的端口和固定类型的接口，因此，无论从可连接的用户数量上，还是所从可使用的传输介质上来讲都具有一定的局限性，但这种交换机在工作组中应用较多，一般适用于小型网络、桌面交换环境。
交换技术语--模块化插槽数
模块化插槽数量是针对模块化交换机而言，这个参数对固定端口交换机没有实际意义。模块化插槽数量就是指模块化交换机所能安插的最大模块数。在模块化交换机中，为用户预留了不同数量的空余插槽，以方便用户扩充各种接口，预留的插槽越多，用户扩充的余地就越大，一般来说，这种结构的交换机的插槽数量不能低于2个。
模块化交换机配备了多个空闲的插槽，用户可任意选择不同数量、不同速率和不同接口类型的模块，以适应千变万化的网络需求。但拥有更大的灵活性和可扩充性。像这样模块化交换机的端口数量就取决于模块的数量和插槽的数量。一般来说，企业级交换机应考虑其扩充性、兼容性和排错性，因此，应当选用模块化交换机以获取更多的端口。
交换技术语--网络管理
网络管理，是指网络管理员通过网络管理程序对网络上的资源进行集中化管理的操作，包括配置管理、性能和记账管理、问题管理、操作管理和变化管理等。一台设备所支持的管理程度反映了该设备的可管理性及可操作性。
而交换机的管理功能是指交换机如何控制用户访问交换机，以及用户对交换机的可视程度如何。通常，交换机厂商都提供管理软件或满足第三方管理软件远程管理交换机。一般的交换机满足SNMP MIB I / MIBII统计管理功能。而复杂一些的交换机会增加通过内置RMON组（mini-RMON）来支持RMON主动监视功能。有的交换机还允许外接RMON探监视可选端口的网络状况。常见的网络管理方式有以下几种：
（1）SNMP管理技术
（2）RMON管理技术
（3）基于WEB的网络管理 SNMP是英文“Simple Network ManagementProtocol”的缩写，中文意思是“简单网络管理协议”。SNMP首先是由Internet工程任务组织(InternetEngineering Task Force)(IETF)的研究小组为了解决Internet上的路由器管理问题而提出的。
SNMP是目前最常用的环境管理协议。SNMP被设计成与协议无关，所以它可以在IP，IPX，AppleTalk，OSI以及其他用到的传输协议上被使用。SNMP是一系列协议组和规范（见下表），它们提供了一种从网络上的设备中收集网络管理信息的方法。SNMP也为设备向网络管理工作站报告问题和错误提供了一种方法。
目前，几乎所有的网络设备生产厂家都实现了对SNMP的支持。领导潮流的SNMP是一个从网络上的设备收集管理信息的公用通信协议。设备的管理者收集这些信息并记录在管理信息库（MIB）中。这些信息报告设备的特性、数据吞吐量、通信超载和错误等。MIB有公共的格式，所以来自多个厂商的SNMP管理工具可以收集MIB信息，在管理控制台上呈现给系统管理员。
通过将SNMP嵌入数据通信设备，如交换机或集线器中，就可以从一个中心站管理这些设备，并以图形方式查看信息。目前可获取的很多管理应用程序通常可在大多数当前使用的操作系统下运行，如Windows3.11、Windows95 、Windows NT和不同版本UNIX的等。
一个被管理的设备有一个管理代理，它负责向管理站请求信息和动作，代理还可以借助于陷阱为管理站提供站动提供的信息，因此，一些关键的网络设备（如集线器、路由器、交换机等）提供这一管理代理，又称SNMP代理，以便通过SNMP管理站进行管理。
交换技术语--堆叠
交换机堆叠是通过厂家提供的一条专用连接电缆，从一台交换机的"UP"堆叠端口直接连接到另一台交换机的"DOWN"堆叠端口。以实现单台交换机端口数的扩充。一般交换机能够堆叠4～9台。 为了使交换机满足大型网络对端口的数量要求，一般在较大型网络中都采用交换机的堆叠方式来解决。要注意的是只有可堆叠交换机才具备这种端口，所谓可堆叠交换机，就是指一个交换机中一般同时具有"UP"和"DOWN"堆叠端口（如图）。当多个交换机连接在一起时，其作用就像一个模块化交换机一样，堆叠在一起交换机可以当作一个单元设备来进行管理。一般情况下，当有多个交换机堆叠时，其中存在一个可管理交换机，利用可管理交换机可对此可堆叠式交换机中的其他“独立型交换机”进行管理。可堆叠式交换机可非常方便地实现对网络的扩充，是新建网络时最为理想的选择。
堆叠中的所有交换机可视为一个整体的交换机来进行管理，也就是说，堆叠中所有的交换机从拓扑结构上可视为一个交换机。堆栈在一起的交换机可以当作一台交换机来统一管理。交换机堆叠技术采用了专门的管理模块和堆栈连接电缆，这样做的好处是，一方面增加了用户端口，能够在交换机之间建立一条较宽的宽带链路，这样每个实际使用的用户带宽就有可能更宽（只有在并不是所有端口都在使用情况下）。另一方面多个交换机能够作为一个大的交换机，便于统一管理。
交换机术语－－IGMP
IGMP（Internet Group Management Protocol）
IP通过使用交换机、组播路由器、支持IGMP的主机来管理组播通信。一组主机、路由器(或交换机)与属于同一个组播组的成员交流组播数据流。并且在这个组的所有设备使用同一个组播组地址。IGMP Snooping技术针对视频点播等应用，大幅提高网络利用率。在网络中，当为各种各样的多媒体应用进行IP组播通信时，您可以通过在交换机每个端口上设置IGMP来减少不必要的带宽使用。
交换机术语－－MPLS
MPLS（MultiProtocol Label Switching，多协议标记交换）是IETF制定的第三层交换规范。MPLS类似Cisco的标记交换，也使用包含转发信息的标记，标记被位于网络边缘的路由器（称为标记边缘路由器，LER）附加到IP信息包。位于网络核心的路由器（称为标记交换路由器，LSR）查验标记，其查验速度比查找路由选择表中的目的地址快。如果在Internet上充分采用MPLS，MPLS有望提供充分支持实时音视频所需的服务质量（QoS）和保证带宽的服务级协议。
交换机术语－－SSL VPN
一、 SSL VPN的技术演变
演化过程
随着应用程序从C/S 结构向Web 的迁移，企业必须面对一个新的挑战，就是如何在不影响最终用户使用的前提下实现在任何地方灵活访问这些应用程序。在最近20 年间，用户和管理层听到因为安全原因不能够在公司以外访问内部应用程序的声音不绝于耳。在70 年代，人们对远程访问概念几乎等同于从远端的办公地点访问应用程序，这需要设置非常昂贵的WAN 网并租用连接线路。
到了80 年代，一小部分用户可以使用调制解调器直接拨号到modem banks 或他们自己的PC 上，但是使用费用相当高昂只能有非常有限的小部分人使用。而且在那时候，在家使用个人电脑才刚刚成为主流，远程访问需求还不是很大。随着90 年代的来临， 在家用PC 盛行的同时，移动电脑开始显现，在家办公也开始兴起。公司管理者和销售员们开始在外出出差的时候携带他们的笔记本电脑，他们需要实时访问公司内部信息，设立IPSec VPN 可以保护用户远程访问。它可以提供足够的安全性，但是问题是安装和维护相当麻烦。任何在PC 上的改变对VPN 而言可能都是一场灾难，最终用户不得不硬着头皮忍受这些变化，因为他们别无选择。即使是现在，你也很难找到一个用户，他的VPN 一点儿问题也没有。从管理员的角度来讲，使用IPSec VPN 不仅仅意味着要对客
户端进行安装和调试，而且还需要调整整个网络的结构。在数据包进行传输时NAT 不能完全工作正常，有时候会出现连接断开的现象，改变防火墙设置可以解决这一问题但是必须要做大量的管理工作。如果IT 管理部门可以完全控制从后端到客户的网络结构，其管理复杂性可以忍受；当IT 管理部门不能完全控制时，管理复杂性就要成倍增加。这种情况同样发生在本地NAT 和防火墙对合作伙伴，在家里或在酒店。
如今， 公司开始把眼光放在他们是否选择了合适的安全远程访问系统上。使用IPSec VPN 和租用WAN 线路对于不经常更改网络结构的用户来说是非常好的选择。如果情况并非如此，用户就需要另做选择。现在，已经有公司开始考虑使用架构在因特网上的SSL 协议，在不破坏已有网络布局的前提下进行安全远程访问。SSL 是通过因特网进行加密传输保护一种常用方法，许多公司对他们的内部网和外部网执行了SSL 设置，通过SSL VPN 进行访问控制。
SSL VPN 的定义
SSL VPN 的发展对现有SSL 应用是一个补充，它增加了公司执行访问控制和安全的级别和能力。
SSL VPN 还对那些因为使用远程访问应用系统而降低公司安全性的企业有所帮助。从属性上讲，拨号可以保证相对安全性，因为特定的电话线可以确认用户的身份。客户端/服务器和旧版本的VPN 自身也拥有一定级别的安全保障能力，因为客户端软件是需要安装的。但是，以这样的安全策略和属性， 不可否认，黑客入侵、安全威胁、身份欺诈呈增长趋势。现在，使用SSL VPN，安全特性已经发生了改变，人们可以通过浏览器访问应用程序。
如果把SSL 和VPN 两个概念分开，大多数人都清楚他们的含义，但是有多少人知道他们合在一起的意思呢？从学术和商业的角度来讲，因为他们代表的含义有所不同，因而常常会被曲解。
SSL 通过加密方式保护在互联网上传输的数据安全性，它可以自动应用在每一个浏览器上。这里，需要提供一个数字证书给Web 服务器，这个数字证书需要付费购买，相对而言，给应用程序设立SSL 服务是比较容易的。如果应用程序本身不支持SSL， 那么就需要改变一些链接，这只与应用程序有关。对于出现较大信息量的情况，建议给SSL 进行加速以避免流量瓶颈。通常SSL 加速装置为热插拔装置。
VPN 则主要应用于虚拟连接网络，它可以确保数据的机密性并且具有一定的访问控制功能。过去，VPN 总是和IPSec 联系在一起，因为它是VPN 加密信息实际用到的协议。IPSec 运行于网络层，IPSec VPN 则多用于连接两个网络或点到点之间的连接。
以上我们简要介绍了SSL和VPN，现在我们要了解一下SSL和VPN是怎样结合在一起的？大量理论可以证明SSL的独特性以及VPN所能提供的安全远程访问控制能力。到目前为止，SSL VPN是解决远程用户访问敏感公司数据最简单最安全的解决技术。与复杂的IPSec VPN相比，SSL通过简单易用的方法实现信息远程连通。任何安装浏览器的机器都可以使用SSL VPN， 这是因为SSL 内嵌在浏览器中，它不需要象传统IPSec VPN一样必须为每一台客户机安装客户端软件。这一点对于拥有大量机器（包括家用机，工作机和客户机等等）需要与公司机密信息相连接的用户至关重要。人们普遍认为它将成为安全远程访问的新生代。
什么是SSL VPN？
很多因素都可以证明SSL VPN 是解决远程访问问题的救星。随着越来越多的公司挣扎于如何权衡访问控制、安全和用户易用， SSL VPN 已经给出了最好的答案。在最近Infonetics 的一份调查报告中，他们指出： “到2003 年， 59% 的移动用户会使用VPN， 到2005 年，这个数字将上升到74%；增加的部分大多来自SSL VPN， 因为它可以避免客户端安装和管理所带来的麻烦。" Gartner 副总裁John Girard 在最近的一份研究报告中为SSL VPN 做出了精彩评述：” 作为传统VPN 的升级，那些希望使用更加简单更加灵活的方式部署他们的安全远程访问系统的企业应该考虑使用SSL VPN 作为一项新的投资。现在，许多企业已经开始使用这项基于SSL 技术，简单、易用而且不需要高额费用的VPN 解决方案部署他们的系统了。“
SSL VPN 的价值包括许多方面，最主要的是提高访问控制能力，安全易用以及高额的投资回报率。
访问控制SSL VPN 对访问控制更加有效，因为实施了用户集中化管理。所有的远程访问都是通过SSL VPN 控制台进行控管，这样可以更加有效的监控用户使用权限，这些用户可能是公司内部员工，合作伙伴或客户。所有访问被限制在应用层，而且可以将权限细分到一个URL 或一个文件。
而使用IPSec VPN， 安全权限只局限到网络 |
发表于 2008-5-17 18:26:30