61网络层向传输层提供的服务.ppt

Chapter6Networklayer6.1网络层向传输层提供的服务6.2虚电路与数据报虚电路的特点Virtualcircuits:signalingprotocols数据报的特点Datagramnetworks:theInternetmodel6.3路由算法6.3.1Dijkstra最短通路搜索算法利用Dijkstra算法求A到D的最短通路6.3.2距离矢量（DistanceVector）路由算法问题水平分割算法6.3.3链路状态（LinkState）路由算法DistanceVectorvs.LinkState分级路由选择（hierarchicalrouting）分级路由示例6.4拥塞控制拥塞控制与流量控制6.4.1拥塞控制的一般原理6.4.2拥塞控制的策略虚电路中的拥塞控制
采用接纳控制（admissioncontrol）的三种策略：
一旦出现拥塞的信号，就不再创建任何虚电路，直至拥塞解除。
允许建立新的虚电路，但要仔细选择路由，以便所有新的虚电路绕过拥塞的区域。
在虚电路建立时，子网与主机对所需服务质量进行协商。若不能满足主机最低要求，则拒绝建立连接；否则就保留连接所需的多种资源，避免拥塞发生。服务质量（QoS)服务质量（QoS)控制方法漏桶算法举例令牌桶法举例C=250kB服务质量（QoS)控制技术6.5网络互连为什么需要互连？/怎样互连？互连设备互连设备的功能RepeatersSegmentedBasebandwithRepeatersRepeaterscandoMediaConversionHubsBridgesBridgeOperationSwitches&SwitchedHubsCapacitywithSwitchedHubSwitch
ApplicationsRoutersPerPacketProcessinginanIProuterGateway防火墙技术防火墙的功能
访问控制
授权认证
内容安全：病毒扫描、URL扫描、HTTP过滤
加密
路由器安全管理
地址翻译
均衡负载
日志记帐、审计报警防火墙的技术分类包过滤型防火墙包过滤防火墙过滤规则举例包过滤防火墙IP过滤路由器

双宿主主机防火墙
包过滤的优点：
一个包过滤路由器即可保护整个网络
不需要用户软件支撑，不需要对用户作特别培训
包过滤产品比较容易获得
包过滤的缺点：
包过滤规则配置比较困难
对包过滤规则配置的测试比较麻烦
包过滤功能有种种局限性
状态检测防火墙应用级网关型防火墙应用级网关(ApplicationLevelGateway)

建立在网络应用层上基于主机的协议过滤、转发器，在用户和应用层之间提供访问控制。

HTTP网关前三种防火墙的比较代理服务型防火墙代理服务器防火墙(ProxyServer)
不允许外部网与内部网的直接通信，内外计算机应用层的连接由终止于ProxyServer上的连接来实现。复合型防火墙屏蔽主机防火墙体系结构堡垒主机屏蔽子网防火墙体系结构
在主机过滤结构中增加一层停火区(DMZ)的安全机制，
使内部网与外部网之间有两层隔断。
屏蔽子网防火墙体系结构(续）小结