运维儿-优快云博客

原创 19.AAA技术详解：从认证、授权、计费到4A演进

本文介绍了AAA（认证、授权、计费）网络访问控制框架及其演进版本4A系统。AAA通过认证验证用户身份，授权确定访问权限，计费记录资源使用情况，采用RADIUS、TACACS+、Diameter等协议实现。4A在AAA基础上增加了账号管理和审计功能，形成统一账号、认证、授权、审计的安全管控体系，重点从计费转向安全追溯与合规管理。两者共同构成了现代网络访问控制和安全管理的基础架构。

2026-04-30 14:46:19 465

原创 18.即插即用网络的基石：DHCP协议深度解析

DHCP 实现 IP 动态分配与租约管理，是即插即用网络的核心。本文从 RARP/BOOTP 演进讲起，详解DHCP报文格式、DHCP角色、DORA 流程、DHCP服务模式、DHCP中继模式、DHCP续租/地址冲突检测deng ,DHCP Option 详解，Option43/Option82、PXE 及 DHCP Snooping

2026-04-28 15:07:20 503

Portal认证是一种基于应用层的网络准入控制技术，通过重定向用户至认证页面完成身份核验后授予网络访问权限。文章详细解析了Portal认证的技术原理、系统架构、协议演进和认证流程。系统由客户端、接入设备、Portal服务器和RADIUS服务器构成，支持二层、三层和二次地址分配三种认证方式。重点介绍了Portal协议报文结构、CHAP/PAP认证机制及HTTP/HTTPS重定向技术，并提供了华为设备的配置示例。Portal认证无需预装客户端，仅需浏览器即可完成，广泛应用于公共场所Wi-Fi、企业访客网络等场景

2026-04-24 16:22:31 985

原创 16.802.1X 认证详解到企业级安全准入方案

IEEE 802.1X是基于端口的网络访问控制协议，通过EAP（可扩展认证协议）实现客户端、接入设备与认证服务器之间的认证交互。该协议采用C/S架构，包含客户端、接入设备和RADIUS认证服务器三个组件，核心是在端口层面控制网络访问权限。802.1X通过EAPoL协议在数据链路层封装EAP报文，支持多种认证方法如EAP-MD5、EAP-TLS等。认证流程包括身份验证、挑战响应等步骤，最终由认证服务器决定是否授权访问。配置涉及RADIUS服务器设置、接入设备参数调整和客户端认证方式选择，同时支持哑终端MAC认

2026-04-23 09:42:22 552

原创 15.一文看懂网络准入控制 NAC

摘要：NAC（网络准入控制）是企业内网的安全管控体系，通过"准入前校验、接入中授权、接入后审计"实现终端全生命周期管理。其核心流程包括身份识别、合规检查、授权访问和持续审计，支持802.1X、Portal、MAC等多种认证方式。NAC能有效解决BYOD、IoT设备接入等安全风险，与防火墙形成"外防内控"的纵深防御体系，是零信任架构的基础组件。主流厂商解决方案包括思科ISE、华为iMaster等，部署架构通常由终端、接入层、认证策略层和身份源层组成。（149字）

2026-04-22 08:48:34 709

原创 14.MSTP 实战：CIST/IST/CST/MSTI 生成机制与负载分担详解

MSTP（多生成树协议）是增强型二层网络协议，通过构建多棵生成树实现流量负载分担。其核心机制包含：1）CIST作为全网基础骨架，由IST（域内生成树）和CST（域间生成树）组成；2）MSTI实现VLAN级流量工程，同一物理端口在不同实例中可呈现不同状态；3）通过选举总根、域根和Master端口建立无环拓扑。MSTP支持快速收敛，兼容STP/RSTP设备，能有效利用冗余链路资源。典型应用中，不同VLAN组通过映射到独立MSTI实例，实现在多条物理链路上的负载均衡，突破传统生成树协议带宽浪费的局限。

2026-04-21 08:24:01 469

原创 13.MSTP：多实例与跨域流量分担

MSTP协议在RSTP基础上扩展，通过多实例生成树（MSTI）和域管理体系解决传统STP/RSTP带宽浪费和流量不均衡问题。核心特点包括：1）将不同VLAN映射到独立实例，实现流量分流；2）通过MST域划分减少全网拓扑计算复杂度；3）兼容STP/RSTP设备，同时支持多实例独立拓扑计算。MSTP采用双层架构（CIST公共拓扑+MSTI实例拓扑），既保证全网无环，又能按业务需求优化流量路径，显著提升链路利用率。

2026-04-17 08:43:52 410

原创 12.RSTP：端口角色精简与 PA 机制实现快速收敛

RSTP（快速生成树协议）是对传统STP的重大改进，通过重构端口角色与状态、优化BPDU处理机制、引入快速收敛机制等方式，将网络收敛时间从30-50秒缩短至1-2秒。主要改进包括：将端口角色扩展为5种（新增Alternate/Backup/Edge端口），状态精简为3种；采用主动BPDU发送机制和6秒超时判定；引入P/A握手实现秒级收敛；优化拓扑变更处理为去中心化模式；新增多种安全保护机制。RSTP通过本地决策和预先备份机制实现快速故障切换，但Alternate端口仍需传统慢收敛。最终形成无环拓扑的同时大幅

2026-04-16 08:15:56 519

原创 11. TCN BPDU：揭秘 STP 拓扑变更的通知与收敛机制

摘要：STP协议通过TCN机制实现拓扑变更快速收敛。当链路故障发生时，非根桥发送TCNBPDU（0x80类型）逐级上报至根桥；上游设备回复TC=1/TCA=1的配置BPDU确认并提前通知下游刷新MAC表。根桥收到TCN后泛洪TC=1的配置BPDU（持续35秒），全网设备将MAC老化时间缩短至ForwardDelay（15秒）。整个过程包含TCN上报、TCA确认和TC泛洪三个阶段，确保在50秒内完成拓扑收敛，避免临时环路。（149字）

2026-04-15 08:22:34 501

原创 10.BPDU 解码：透视 STP 生成树的底层协议逻辑

文章摘要： BPDU是生成树协议（STP）的核心控制报文，用于交换机间交换拓扑信息并选举根桥、端口角色。其类型字段决定用途（如配置BPDU用于选举），携带根桥ID、路径开销等关键参数。STP通过周期性发送BPDU（默认2秒）实现拓扑同步，端口状态经历阻塞、监听、学习、转发等阶段，收敛时间受MaxAge（20秒）和ForwardDelay（15秒）约束。网络直径建议≤7跳，以确保BPDU有效传播且拓扑快速收敛（冷启动30秒，旧BPDU场景50秒）。最终形成无环逻辑树，避免二层环路。

2026-04-14 08:22:10 424

原创 9.STP：二层环路的规避与冗余保障

二层环路主要由人为冗余备份和意外自环导致，会引发广播风暴和MAC地址表漂移。STP（生成树协议）通过选举根桥、根端口和指定端口来消除环路：首先选举桥ID最小的交换机作为根桥；然后在非根桥上选举根端口（到达根桥最优路径）；最后在每条链路上选举指定端口（转发流量的最优端口）。未被选中的端口将被阻塞，从而形成无环树形拓扑。STP有效解决了二层环路问题，确保网络稳定运行。

2026-04-10 08:18:06 405

原创 8.QinQ：解决多用户 VLAN 管理困境

QinQ技术通过双层VLAN标签解决城域网VLAN资源不足问题。基本QinQ基于端口统一封装外层VLAN，适用于家庭宽带和企业专线；灵活QinQ则根据VLAN ID、优先级或流策略动态封装外层VLAN，实现业务隔离和QoS保障。配置时需在接入端口设置外层VLAN封装，上行口允许外层VLAN透传。该技术实现了4096×4096的VLAN扩展能力，既解决编号冲突问题，又支持精细化业务管理。

2026-04-09 08:24:42 528

原创 7.ARP 代理与端口隔离：满足通信需求，保证通信安全

ARP代理技术解析：实现隔离网络的互通桥梁 ARP代理技术通过三种方式解决网络隔离场景下的通信问题：路由式ProxyARP实现跨广播域的同网段通信，VLAN内ProxyARP突破端口隔离限制，VLAN间ProxyARP连接不同VLAN的同网段设备。其核心机制是路由器代为响应ARP请求，用自身MAC地址建立通信桥梁。配合端口隔离技术（port-isolate enable），可在保障网络安全隔离的同时，通过三层转发实现必要的跨隔离通信。该技术广泛应用于企业网络、酒店WiFi等需要隔离与互通并存的场景，有效平衡

2026-04-09 08:13:56 589

原创 6.网络层到链路层的地址解析：ARP 协议

摘要：ARP协议负责IP地址与MAC地址的映射解析，通过广播请求和单播响应实现地址查询。其报文包含硬件/协议类型、地址信息等字段，支持动态表项（可老化）和静态表项（手工配置）。特殊类型包括免费ARP（地址冲突检测）和RARP（反向解析）。配置涉及动态ARP的老化时间、探测方式，以及长/短静态ARP表项。该协议是局域网通信的基础，确保数据包正确封装传输。（149字）

2026-04-08 08:20:00 406

原创 5.VLAN的高级技术MUX VLANSuper VLANVLAN Mapping

摘要：MUXVLAN、SuperVLAN和VLANMapping是三种高级VLAN技术，分别解决不同网络问题。MUXVLAN通过主/从VLAN架构实现精细的访问控制，适用于企业内网隔离；SuperVLAN通过VLAN聚合共享网关，节省IP地址资源，适合用户密集场景；VLANMapping通过标签转换解决跨网络VLANID冲突，常用于运营商网络对接。这三种技术从访问控制、资源优化和网络互通三个维度提升了网络部署的灵活性和效率，满足不同业务场景需求。

2026-04-07 18:45:00 450 1

原创 2.二层网络为什么存在冲突？如何解决冲突和冲突域？

摘要：冲突域指共享传输介质的设备集合，易因信号干扰导致数据传输冲突，常见于早期以太网（如集线器连接的半双工网络）。解决方法包括：1. CSMA/CD机制，通过监听、冲突检测及随机退避减少冲突；2. 交换机隔离，基于MAC地址定向转发，为设备提供独立通道；3. VLAN划分，逻辑分割网络以限制冲突域范围。现代交换机和全双工技术已基本消除冲突问题，提升网络效率。

2026-04-07 18:30:00 416

原创 3.冲突域与广播域：二层网络的关键概念

广播域指网络中能接收任一设备广播帧的所有设备集合。广播是设备向网络内所有设备发消息的通信方式，如 ARP 请求通过广播获取目标主机 MAC 地址。广播域基于设备相互发现和共享信息的需求存在，但广播消息会占用网络带宽。

2026-04-07 18:30:00 76

原创 4.VLAN 技术：二层网络的优化之道

VLAN技术通过虚拟划分广播域有效解决了传统网络中的冲突域和广播风暴问题。该技术通过在数据帧中添加VLAN标签（包含12位VLAN ID和优先级等信息），实现不同VLAN间的逻辑隔离。VLAN支持多种划分方式（基于端口、MAC、IP子网等）和接口类型（Access、Trunk、Hybrid），能够根据网络需求灵活配置。这种技术显著提升了网络性能（减少广播流量）、增强了安全性（隔离敏感数据）并提高了管理灵活性，成为现代二层网络的核心优化方案。典型应用包括企业按部门划分VLAN，实现部门间网络隔离与带宽优化。

2026-04-07 18:30:00 338

原创 1.二层网络通信原理--集线器网桥交换机

二层网络通信通过MAC地址实现数据传输，借助ARP协议获取目的MAC地址。集线器广播数据至所有设备，效率低；网桥能学习MAC地址并隔离冲突域，减少广播范围；交换机基于MAC地址表精准转发，性能更高。数据封装时添加源/目的MAC地址，解封装时目标设备校验地址后提取数据。三者区别在于工作层次、转发方式和地址学习能力，交换机最优。

2026-04-07 11:39:58 415

原创云计算网络知识学习-linux网络基础

1 linux虚拟网络基础1.1 Device在linux里面devic(设备)与传统网络概念里的物理设备(如交换机、路由器)不同，Linux所说的设备，其背后指的是一个类似于数据结构、内核模块或设备驱动这样的含义。就是说device可能只是软件系统里的一个驱动，一个函数接口。1.2 TapTap位于二层数据链路层，tun位于三层网络层，两者在linux里的函数结构几乎一致，除了一...

2019-12-06 17:43:41 815

转载微服务、SOA、ESB比较

很多时候会听到微服务、SOA、ESB之间有着联系也有着区别，有时候了解了一下，过段时间有混肴模糊了今天看了一篇文章写的很好，特地记录一下。原文地址：https://mp.weixin.qq.com/s/fCsVP5pO2vJX3DlMb-RdrA一、SOA架构解析SOA 全称是: Service Oriented Architecture，中文释义为 “面向服务的架构”它是一种设...

2019-12-02 08:36:03 311

原创 ForCES是什么意思

ForCES是Forwarding and Control Element Separation的简称。2003年，IETF就提出ForCES的框架，将转发元件(FE)与控制元件(CE)分离，然后通过标准的接口实现控制，旨在加速转发平面和控制平面的创新。CE通过ForCES协议来控制FE的转发。...

2019-11-19 00:10:07 670

转载理解Scale Out和Scale Up

Scale Out是指Application可以在水平方向上扩展。一般对数据中心的应用而言，Scale out指的是当添加更多的机器时，应用仍然可以很好的利用这些机器的资源来提升自己的效率从而达到很好的扩展性。Scale Up是指Application可以在垂直方向上扩展。一般对单台机器而言，Scale Up值得是当某个计算节点（机器）添加更多的CPU Cores，存储设备，使用更大的内存时，...

2019-11-19 00:07:09 2477

转载理解YANG

原文链接：https://www.jianshu.com/p/ca7f5fe11fae在研究netconf的时候，YANG(RFC6020)是一定绕不过的。花了一些时间看RFC6020，有一点初步的理解，记录下来方便后面查看。1 为什么要有YANGnetconf需要对设备的配置(configuration)和状态(state)做操作，例如编辑配置，获取状态，因此需要一种语言来对co...

2019-11-19 00:04:38 637

转载【交易技术前沿】海通证券金融云思考与实践（下）

海通证券信息技术管理部王洪涛、王朝阳、纪飞、魏勇、张真真上一期《海通证券金融云思考与实践(上)》一文中讲述了OpenStack架构设计和多类型底层存储资源池相关的内容，这篇文章将会重点讲述海通金融云SDN实践、CMP纳管异构资源池实现资源统一交付和海通证券金融云的未来规划等相关内容。1.云网联动、融合业务(SDN)海通证券研发测试云一期项目中，金融云团队充分的使用并发挥了软件SDN...

2019-10-29 17:16:42 1016

原创 NTP介绍与分析

NTP（Network Time Protocol，网络时间协议）采用的传输层协议为UDP，使用的UDP端口号为123。NTP基本工作原理NTP的基本工作原理如所示。Device A和Device B通过网络相连，Device A和Device B的时间不同，需要通过NTP实现时间的自动同步。为便于理解，作如下假设：·在Device A和Device B的时间...

2019-10-16 00:03:04 5986

原创 windows 2008 R2 搭建NTP服务器方法与分析

Windows 运行打开“regedit”编辑注册表；找到"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"，[Type]设定值修改为“NTP”；找到"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\C...

2019-10-16 00:01:48 1836

原创 centos bonding配置举例

centos操作系统停止NetworkManager进程。命令：systemctl stop NetworkManager 下次启动不开启进程 systemctl disable NetworkManager 创建bond0文件 [root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-bond0 NM_CO...

2019-10-16 00:00:28 462

原创 OSPF学习笔记

OSPF路由优先级缺省：OSPF内部：10静态：60OSPF外部（O_ASE）：150BGP：255OSPF基本概念与特点Open Shortest Path First，基于SPF算法的链路状态的内部网关协议适应范围广：支持各种规模的网络，最多可支持几百台路由器。快速收敛：在网络的拓扑结构发生变化后立即发送更新报文，使这一变化在自治系统中同步...

2019-10-15 23:54:41 4274

原创 H3C交换机命名与板卡命名

中端交换机命名规则A段：产品制造商：H3C-H3C产品，A-HP产品B段：交换机系列C段：交换机上行端口速率，5、7-万兆上行，9、10-40G上行，12-40G 100G上行D段：用于区分二层、三层交换机，5以下表示二层，5以上包括5在内表示三层E段：框式设备的线卡槽位数或进行子系列区分F段：增强型G段：特性区分 X-增强型，F-运营商，V-竖插结构，H3C 低端...

2019-10-15 23:53:20 5377

原创理解Cisco ACI

全称：Application Centric InfrastructureACI逻辑：租户逻辑接口逻辑：1 上线Spine设备和Leaf设备按照拓扑连接加电后拓扑和配置自动生产，无需人工干预，实现自动化上线（LLDP发现）控制器APIC封装在cisco自有的C系列服务器里，APIC接入到任意Leaf即可，三台APIC服务器尽量分别接入不同的leaf并双链路上行。...

2019-10-15 23:51:59 2094 1

原创大型数据中心内部路由选择：为何选择BGP而不是OSPF

大型数据中心fabric往往把BGP作为内部路由协议的原因：1.BGP比IGP具有更简单的状态机和数据库；2.BGP交换的是路由，直接命令，不需要运行算法(比如SPF)来计算路径；3.BGP支持逐跳流量工程；4.路由传播来说，BGP范围更小(对等体传播，OSPF需要链路状态泛洪)，因此更稳定。IBGP和EBGP的选择：1.EBGP会话一般建立在BGP对等体的链路上，IBGP一般建立在...

2019-10-15 23:49:35 2048

原创 SecureCrt VBS自动登录备份网络设备配置脚本

# $language = "VBScript"# $interface = "1.0"'先定义各厂商设备的备份脚本模块'定义华为脚本内容Function Huawei_DIS '执行dis cur命令 crt.Sleep 1000 crt.screen.send Chr(13) crt.Sleep 1000 crt.Screen.Send "...

2019-10-15 21:42:04 2710 1

原创 centos 链路捆绑（聚合）bonding配置举例

centos操作系统停止NetworkManager进程。命令：systemctl stop NetworkManager，下次启动不开启进程 systemctl disable NetworkManager创建bond0文件[root@localhost ~]# vi /etc/sysconfig/network-scripts/ifcfg-bond0NM_CONTROLLED=no ...

2019-03-13 09:08:16 2694

u010819622的博客