第四层交换机重要技术及安全控制

第四层交换机实际上就是在三层交换机增加了具有通过辨别第四层协议端口的能力，满足了用户更多的需求，在性能上也有了更多的改进。近年来，随着百兆、千兆、甚至万兆局域网的逐渐普及，宽带局域网，甚至带宽广域网的广泛应用，带动着交换器技术的不断发展。企业应用中，Internet的迅猛发展，电子商务、电子政务、电子贸易、电子期货等网络交易方式的采用，在加速物流、资金流周转的同时，也加速了信息急速骤增，给网络信息中心服务器增加了极大的压力。

什么是第四层交换机

第四层交换机是采用第四层交换技术而开发出来的交换机产品，当然它工作于OSI/RM模型的第四层，即传输层，直接面对具体应用。从功能来看，与其说第四层交换机是硬件网络设备，还不如说它是软件网络管理系统，换句话说就是一类以软件技术为主，以硬件技术为辅的网络管理交换设备。第四层交换机支持TCP/UDP第四层以下的所有协议，如HTTP，FTP、Telnet、SSL等，可识别至少80个字节的数据包包头长度，可根据TCP/UDP端口号来区分数据包的应用类型，从而实现应用层的访问控制和服务质量保证。

很多人在区分第四层交换器和第三层交换器原理时都有所混淆，认为所谓第四层交换机实际上就是在第三层交换机上增加了具有通过辨别第四层协议端口的能力，仅在第三层交换机上增加了一些增值软件罢了，并非工作在传输层，而是仍然在第三层上进行交换操作。而第四层交换机是根据TCP/UDP端口号来区分数据包的，也就是说第四层交换机不仅完全具备第三层交换机的所有交换功能和性能，还能支持第三层交换机不可能拥有的网络流量和服务质量控制的智能型功能。

第四层交换机支持的重要技术

不同于第二层交换设备依赖MAC地址和802.1Q协议的VLAN标签完成链路层交换过程，也不同于第三层交换/路由设备将IP地址信息用于网络路径选择来完成交换过程，第四层交换设备则是用传输层数据包的包头信息来帮助信息交换和传输处理的，也就是每个IP包中的所有协议或进程，这样使用的第四层交换协议其实就是TCP（用于基于连接的对话，例如FTP）和UDP（用基于无连接的通信，例如SNMP或SMTP）这两个协议。

由于TCP和UDP数据包的包头能够指明正在传输的数据包类型，因此，使用与特定应用有关的信息（端口号），就可以完成大量与网络数据及信息传输和交换相关的质量服务。其中有五项技术至关重要，也是第四层交换机普遍采用的主要技术。

一、包过滤/安全控制：

和传统的基于软件的路由器不一样，第四层交换区别于第三层交换的主要不同之处，就是在于这种过滤能力是在ASIC专用高速芯片中实现的，从而使这种安全过滤控制机制可以全线速地进行，极大地提高了包过滤速率。而采用第四层信息去定义过滤规则已经成为一般路由器的默认标准，它不仅能够允许或禁止IP子网间的链接，还可以控制指定TCP/UDP端口的通信。

二、服务质量：

在网络系统的层次结构中，TCP/UDP第四层信息，往往用于建立应用级通信优先权限。例如对于TCP/UDP中数据包的端口号进行交换。它允许根据应用程序划分通信数据的优先权，能够根据某种特定应用程度的通信量，将一定量的带宽用于重要的应用程序。从某种意义上讲，第四层交换提供了在网络中实现服务等级（COS）的方法。这样对于一个Intranet来说，它可以减少WWW或FTP的通信量，而给E-MAIL或Telent通信量设置更高的优先权。因此，第四层交换机基于如此功能就显得尤为重要了。如果在信息通信中，因缺乏第四层信息而受到妨碍导致优先权无从谈起，将大大阻止紧急应用在网络上的迅速传输。

三、服务器负载均衡：

第四层交换机所支持的服务器负载均衡方式，是将附加有负载均衡服务的IP地址，通过不同的物理服务器组成一个组，并为每个供搜寻使用的服务器组设立虚IP地址（VIP）。在域名服务器（DNS）中存储的每个应用服务器地址是VIP，而不是真实的服务器地址。当某用户申请应用时，一个带有目标服务器组的VIP连接请求（例如一个TCPSYN包）发给服务器交换机。服务器交换机在组中选取最好的服务器，将终端地址中的VIP用实际服务器的IP取代，只有通过交换机执行的网络地址转换（NAT）后，未被注册IP地址的服务器才能获得被访问的能力。通过这样的设定能够达到有效防止非授权访问的好处。

四、主机备用连接：

主机备用连接为端口设备提供了冗余连接，从而在交换机发生故障时有效保护系统。由于共享MAC地址，备份交换机接收到的数据和主单元全部一样，这使得备份交换机能够监视主交换机服务的通信内容。主交换机持续地通知备份交换机第四层的有关数据、MAC数据以及它的电源状况。主交换机遇到故障时，备份交换机就会自动接管，不会中断对话或连接。

五、统计：

第四层交换机通过查询第四层数据包，能够提供更详细的统计记录。这样，管理员根据需要可以收集到更详细的哪一个IP地址在进行通信的信息，甚至可根据通信中涉及到哪一个应用层服务来收集通信信息。这些统计对于考察服务器上每个应用的负载尤其有效，例如可以查看某项服务应用占据的系统资源等。

结束语：