「网络安全」网络设备篇（6）——四层交换机

科技 07-06 来源：成长点滴

什么是第四层交换机？

第四层交换机在业界有一通用的名字叫做“应用交换机”。它是一种功能，它决定传输不仅仅依据MAC地址(第二层网桥)或源/目标IP地址(第三层路由)，而且依据TCP/UDP(第四层)应用端口号。

第四层交换功能就像是虚IP，指向物理服务器。在第四层交换中为每个供搜寻使用的服务器组设立虚IP地址(VIP)，每组服务器支持某种应用。在域名服务器(DNS)中存储的每个应用服务器地址是VIP，而不是真实的服务器地址。

第四层交换机传输业务服从的协议多种多样，有HTTP、FTP、NFS、Telnet或其他协议。这些业务在物理服务器基础上，需要复杂的载量平衡算法。在IP世界，业务类型由终端TCP或UDP端口地址来决定，在第四层交换中的应用区间则由源端和终端IP地址、TCP和UDP端口共同决定。

第四层交换机工作原理

OSI模型的第四层是传输层。传输层负责端对端通信，即在网络源和目标系统之间协调通信。在IP协议栈中这是TCP(一种传输协议)和UDP(用户数据包协议)所在的协议层。
在第四层中，TCP和UDP标题包含端口号(portnumber)，它们可以唯一区分每个数据包包含哪些应用协议(例如HTTP、FTP等)。端点系统利用这种信息来区分包中的数据，尤其是端口号使一个接收端计算机系统能够确定它所收到的IP包类型，并把它交给合适的高层软件。端口号和设备IP地址的组合通常称作“插口(socket)”。

1和255之间的端口号被保留，他们称为“熟知”端口，也就是说，在所有主机TCP/IP协议栈实现中，这些端口号是相同的。除了“熟知”端口外，标准UNIX服务分配在256到1024端口范围，定制的应用一般在1024以上分配端口号.分配端口号的最近清单可以在RFc1700”Assigned Numbers”上找到。TCP/UDP端口号提供的附加信息可以为网络交换机所利用，这是第4层交换的基础。"熟知"端口号例如：23（TELNET）、25（SMTP）、80（HTTP）、119（NNTP）、16（NNMP）。

TCP/UDP端口号提供的附加信息可以为网络交换机所利用，这是第四层交换的基础。具有第四层功能的交换机能够起到与服务器相连接的“虚拟IP”(VIP)前端的作用。每台服务器和支持单一或通用应用的服务器组都配置一个VIP地址。
这个VIP地址被发送出去并在域名系统上注册。在发出一个服务请求时，第四层交换机通过判定TCP开始，来识别一次会话的开始。然后它利用复杂的算法来确定处理这个请求的最佳服务器。一旦做出这种决定，交换机就将会话与一个具体的IP地址联系在一起，并用该服务器真正的IP地址来代替服务器上的VIP地址。

当某用户申请应用时，一个带有目标服务器组的VIP连接请求(例如一个TCP SYN包)发给服务器交换机。服务器交换机在组中选取最好的服务器，将终端地址中的VIP用实际服务器的IP取代，并将连接请求传给服务器。这样，同一区间所有的包由服务器交换机进行映射，在用户和同一服务器间进行传输。

每台第四层交换机都保存一个与被选择的服务器相配的源IP地址以及源TCP 端口相关联的连接表。然后第四层交换机向这台服务器转发连接请求。所有后续包在客户机与服务器之间重新影射和转发，直到交换机发现会话为止。在使用第四层交换的情况下，接入可以与真正的服务器连接在一起来满足用户制定的规则，诸如使每台服务器上有相等数量的接入或根据不同服务器的容量来分配传输流。

第四层交换机作用

四层交换机不仅可以完成端到端交换，还能根据端口主机的应用特点，确定或限制它的交换流量。简单地说，四层交换机是基于传输层数据包的交换过程的，是一类基于TCP/IP协议应用层的用户应用交换需求的新型局域网交换机。

四层交换机支持TCP/UDP第四层以下的所有协议，可识别至少80个字节的数据包包头长度，可根据TCP/UDP端口号来区分数据包的应用类型，从而实现应用层的访问控制和服务质量保证。所以，与其说四层交换机是硬件网络设备，还不如说它是软件网络管理系统。也就是说，四层交换机是一类以软件技术为主，以硬件技术为辅的网络管理交换设备。

数据包的第二层IEEE802.1P字段或第三层IP ToS字段可以用于区分数据包本身的优先级。四层交换机是基于第四层数据包交换，它可以根据第四层TCP/UDP端口号来分析数据包应用类型，即四层交换机不仅完全具备三层交换机的所有交换功能和性能，还能支持三层交换机不可能拥有的网络流量和服务质量控制的智能型功能。