以太网技术大全（5）

在以太网络中主要网络元素包括：交换机、路由器、防火墙、服务器和客户端。通过对以太网网络元素和网络本身的测试，可以优化网络结构，排除网络故障，把握网络性能。以太网的测试也有章可循，如人们熟知的RFC2544/RFC1242、RFC2889/RFC2285、RFC2647，国内的YD/T1099-2001（千兆比以太网交换机设备技术规范）。

RFC2544/1242网络基准测试

在RFC2544/1242中主要定义四个重要指标：吞吐量、延迟、丢包和背靠背，这些指标是评价网络设备的基础，当然也是评价以太网设备的基础，适合于所有以太网互联设备。在测试中，测试条件的设置非常重要，如测试包长、测试时间、测试速率等。在不同的条件下进行测试，测试的结果会有差别。在进行吞吐量、延迟和丢包测试的时候，进行多流的测试更能体现以太网设备支持实际网络流量的性能情况。在多流的测试中，用户可以通过测试仪表仿真成百上千的用户流量，每条流具有不同源/目的MAC地址、源/目的ip地址、协议封装、包长度等。

RFC2285/2889以太网交换机基准测试

RFC2285/2889中定义了以太网交换机测试中的重要测试项目：转发测试、拥塞控制、地址学习速率、地址表容量、错误过滤、广播转发、广播延迟、转发压力等。这些测试指标主要是针对2层以太网交换设备，也是目前国内进行二层以太网交换机测试中使用最广的测试项目。测试的条件涉及到包的长度、测试时间、测试拓扑结构等。

服务质量和规则的测试

正如人们日益关心电信服务质量一样，人们也开始关心以太网的服务质量，关心以太网的可治理性，关心以太网的智能化。目前的以太网设备不仅要求能高质量地对数据进行准确的转发，而且要能够根据设定的规则进行转发。进行QoS和规则测试，首先要根据被测设备（DUT）实施的规则来进行测试，通常也需要进行多流的测试。测试指标包括：吞吐量、丢包和延迟等。

路由测试

路由技术进入以太网是以太网发展的要害，它大大扩大了以太网的应用范围。常见的路由协议有RIP、OSPF、BGP4、IS-IS。路由测试分为控制面测试和数据面测试两个部分。在我们前面介绍的测试都主要是通过数据面测试来完成的。考虑三层交换机和路由器对数据包的转发是根据路由控制来完成的，在路由测试中需要同时进行路由控制和数据流量的测试，需要测试仪表模拟一定规模的路由网络并同时进行流量发生和分析。主要的测试项目包括：路由表容量、会聚时间、吞吐量、延迟等。路由测试中还需要通过仪表来仿真以太网中的路由震荡事件，对以太网设备在这种变化下的性能进行测试。在这种测试中，模拟的路由震荡事件应该尽可能的多。

4~7层测试

4～7层测试的结果往往直接反映对用户的服务质量，如并发TCP/HTTP连接数、响应时间等。对于防火墙类的产品，还需要测试其抗攻击能力和在应用防御规则后实际的性能指标。对于入侵检测系统，需要测试入侵识别率、是否有漏报。服务器测试和防火墙测试可以参见最近《网络世界》进行的比较评测报告。

10GE设备和IPv6测试

对10GE以太网设备进行测试，不仅仅要看端口处理能力，更要看在10GE的速率下，设备进行路由和转发的性能、是否能够进行服务质量的控制。

在以太网上应用IPv6只是时间问题，IPv6的测试目前正得到国内的广泛关注。IPv6的测试包括IPv6协议一致性能的测试、IPv6路由协议一致性的测试、数据转发性能的测试、IPv6路由表容量、IPv6路由性能测试、IPv6 over IPv4/IPv4 over IPv6隧道的测试、混合流量的测试。

在以太网测试中还会涉及到电缆测试，采用高质量的网络电缆对于测试非常重要。在以太网测试中常见的测试仪器包括：电缆测试仪、网络协议分析仪、网络性能分析仪、4～7层仿真和性能分析仪等。

以太网安全

以太网的安全技术一般可以分为访问控制、认证、加密，对交换机治理的安全保护和一些附加的功能。

访问控制

VLAN——这是最传统的以太网安全技术，它通过分割多个广播域，在2层VLAN之间无法互访，VLAN之间的访问需通过三层，可以用更为多样的手段进行过滤和控制，避免一些潜在的安全隐患。

端口隔离——很多厂商的交换机上都支持这一功能，实际上可以理解为VLAN技术的一种扩展，很多交换机把每个端口设为一个VLAN，端口之间在2层不能进行互访。

MAC地址过滤——很多交换机提供了对MAC地址的过滤功能，在交换机中设定了某个主机的MAC地址之后，来自和去向它的数据包将被丢弃，用户可以通过这样的方法对不安全的计算机进行控制。

MAC地址的捆绑——一些交换机有这样的功能，这样就可以将主机的MAC与交换机的端口、VLAN等捆绑在一起。防止外来的PC非法的登录到网络上。

三层ACL——访问控制列表已经越来越广泛地应用在交换机上，原来在三层交换机上，现在已经出现在2层交换机上。

四层ACL——四层访问控制列表可以通过对数据包第四层信息的识别，比如TCP或者UDP端口号的识别，根据策略决定是否丢弃数据包。

认证

IEEE 802.1x——IEEE 802.1x 称为基于端口的访问控制协议，这是业内今年谈论最多的技术。该技术协议实现简单，认证和业务分离。

PPPoE——有人认为是过时的技术，但是在今天的宽带城域网中仍然普遍使用。

Web/Portal认证——这也是基于业务类型的认证，不需要安装其他客户端软件，只需要浏览器就能完成，就用户来说较为方便。

PEAP—PEAP（PRotected Extensible Authentication Protocol）是一项IETF标准，它是IEEE 802.1x的修正，可以用于有线和无线以太网认证工作。这一技术利用TLS（Transport Layer Security），通过设置一个端到端的通道传输用户的认证信息，比如密码等等，而不需要必须在用户的终端上安装证书。这一技术具备更简单的安全架构。

TTLS——用于在无线或者有线以太网中完成身份认证的工作。这一技术与PEAP技术的体系结构相类似，也使用TLS，在认证过程中对用户端的要求相对较低，它与PEAP是相互竞争的技术。

SSH——在一些厂家新推出的交换机产品上已经支持SSH，可以把所有传输的数据进行加密。

治理的安全保护

SNMPv3——具有多种安全处理模块，有极好的安全性和治理功能，弥补了前两个版本在安全方面的不足。

网络设备的访问控制——大多数的交换机都可以通过设置访问密码来防止对交换机非法的访问和控制。另外，用户的telnet或者其他方式的访问，在一定时间内没有使用时，很多交换机都会中断连接，防止他人在网管员不在的情况下对交换机进行操作。

附加功能

VPN——用户在使用基于以太网技术的宽带接入时都可以使用IPSec的VPN技术。

交换机的附加功能——一些领先厂商的交换机上已经有不同的安全模块。有的交换机有一些日志功能，有些交换机还能够对DHCP的过程进行跟踪。