上一次，我們?cè)谒奚崂锝M建了一個(gè)本地的局域網(wǎng) LAN，可以愉快地玩游戲了。這是一個(gè)非常簡(jiǎn)單的場(chǎng)景，因?yàn)橹挥幸慌_(tái)交換機(jī)，電腦數(shù)目很少。今天，讓我們切換到一個(gè)稍微復(fù)雜一點(diǎn)的場(chǎng)景，辦公室。

拓?fù)浣Y(jié)構(gòu)是怎么形成的?

我們常見到的辦公室大多是一排排的桌子，每個(gè)桌子都有網(wǎng)口，一排十幾個(gè)座位就有十幾個(gè)網(wǎng)口，一個(gè)樓層就會(huì)有幾十個(gè)甚至上百個(gè)網(wǎng)口。如果算上所有樓層，這個(gè)場(chǎng)景自然比你宿舍里的復(fù)雜多了。具體哪里復(fù)雜呢?我來(lái)給你具體講解。

[[250929]]

首先，這個(gè)時(shí)候，一個(gè)交換機(jī)肯定不夠用，需要多臺(tái)交換機(jī)，交換機(jī)之間連接起來(lái)，就形成一個(gè)稍微復(fù)雜的拓?fù)浣Y(jié)構(gòu)。

我們先來(lái)看兩臺(tái)交換機(jī)的情形。兩臺(tái)交換機(jī)連接著三個(gè)局域網(wǎng)，每個(gè)局域網(wǎng)上都有多臺(tái)機(jī)器。如果機(jī)器 1 只知道機(jī)器 4 的 IP 地址，當(dāng)它想要訪問(wèn)機(jī)器 4，把包發(fā)出去的時(shí)候，它必須要知道機(jī)器 4 的 MAC 地址。

于是機(jī)器 1 發(fā)起廣播，機(jī)器 2 收到這個(gè)廣播，但是這不是找它的，所以沒它什么事。交換機(jī) A 一開始是不知道任何拓?fù)湫畔⒌模谒盏竭@個(gè)廣播后，采取的策略是，除了廣播包來(lái)的方向外，它還要轉(zhuǎn)發(fā)給其他所有的網(wǎng)口。于是機(jī)器 3 也收到廣播信息了，但是這和它也沒什么關(guān)系。

當(dāng)然，交換機(jī) B 也是能夠收到廣播信息的，但是這時(shí)候它也是不知道任何拓?fù)湫畔⒌模蚨彩沁M(jìn)行廣播的策略，將包轉(zhuǎn)發(fā)到局域網(wǎng)三。這個(gè)時(shí)候，機(jī)器 4 和機(jī)器 5 都收到了廣播信息。機(jī)器 4 主動(dòng)響應(yīng)說(shuō)，這是找我的，這是我的 MAC 地址。于是一個(gè) ARP 請(qǐng)求就成功完成了。

在上面的過(guò)程中，交換機(jī) A 和交換機(jī) B 都是能夠?qū)W習(xí)到這樣的信息：機(jī)器 1 是在左邊這個(gè)網(wǎng)口的。當(dāng)了解到這些拓?fù)湫畔⒅?，情況就好轉(zhuǎn)起來(lái)。

當(dāng)機(jī)器 2 要訪問(wèn)機(jī)器 1 的時(shí)候，機(jī)器 2 并不知道機(jī)器 1 的 MAC 地址，所以機(jī)器 2 會(huì)發(fā)起一個(gè) ARP 請(qǐng)求。

這個(gè)廣播消息會(huì)到達(dá)機(jī)器 1，也同時(shí)會(huì)到達(dá)交換機(jī) A。這個(gè)時(shí)候交換機(jī) A 已經(jīng)知道機(jī)器 1 是不可能在右邊的網(wǎng)口的，所以這個(gè)廣播信息就不會(huì)廣播到局域網(wǎng)二和局域網(wǎng)三。

當(dāng)機(jī)器 3 要訪問(wèn)機(jī)器 1 的時(shí)候，也需要發(fā)起一個(gè)廣播的 ARP 請(qǐng)求。

這個(gè)時(shí)候交換機(jī) A 和交換機(jī) B 都能夠收到這個(gè)廣播請(qǐng)求。交換機(jī) A 當(dāng)然知道主機(jī) A 是在左邊這個(gè)網(wǎng)口的，所以會(huì)把廣播消息轉(zhuǎn)發(fā)到局域網(wǎng)一。

同時(shí)，交換機(jī) B 收到這個(gè)廣播消息之后，由于它知道機(jī)器 1 是不在右邊這個(gè)網(wǎng)口的，所以不會(huì)將消息廣播到局域網(wǎng)三。

如何解決常見的環(huán)路問(wèn)題?

這樣看起來(lái)，兩臺(tái)交換機(jī)工作得非常好。隨著辦公室越來(lái)越大，交換機(jī)數(shù)目肯定越來(lái)越多。當(dāng)整個(gè)拓?fù)浣Y(jié)構(gòu)復(fù)雜了，這么多網(wǎng)線，繞過(guò)來(lái)繞過(guò)去，不可避免地會(huì)出現(xiàn)一些意料不到的情況。其中常見的問(wèn)題就是環(huán)路問(wèn)題。

例如這個(gè)圖，當(dāng)兩個(gè)交換機(jī)將兩個(gè)局域網(wǎng)同時(shí)連接起來(lái)的時(shí)候。你可能會(huì)覺得，這樣反而有了高可用性。但是卻不幸地出現(xiàn)了環(huán)路。出現(xiàn)了環(huán)路會(huì)有什么結(jié)果呢?

我們來(lái)想象一下機(jī)器 1 訪問(wèn)機(jī)器 2 的過(guò)程。一開始，機(jī)器 1 并不知道機(jī)器 2 的 MAC 地址，所以它需要發(fā)起一個(gè) ARP 的廣播。廣播到達(dá)機(jī)器 2，機(jī)器 2 會(huì)把 MAC 地址返回來(lái)，看起來(lái)沒有這兩個(gè)交換機(jī)什么事情。

但是問(wèn)題來(lái)了，這兩個(gè)交換機(jī)還是都能夠收到廣播包的。

交換機(jī) A 一開始是不知道機(jī)器 2 在哪個(gè)局域網(wǎng)的，所以它會(huì)把廣播消息放到局域網(wǎng)二，在局域網(wǎng)二廣播的時(shí)候，交換機(jī) B 右邊這個(gè)網(wǎng)口也是能夠收到廣播消息的。

交換機(jī) B 會(huì)將這個(gè)廣播息信息發(fā)送到局域網(wǎng)一。局域網(wǎng)一的這個(gè)廣播消息，又會(huì)到達(dá)交換機(jī) A 左邊的這個(gè)接口。

交換機(jī) A 這個(gè)時(shí)候還是不知道機(jī)器 2 在哪個(gè)局域網(wǎng)，于是將廣播包又轉(zhuǎn)發(fā)到局域網(wǎng)二。左轉(zhuǎn)左轉(zhuǎn)左轉(zhuǎn)，好像是個(gè)圈哦。

可能有人會(huì)說(shuō)，當(dāng)兩臺(tái)交換機(jī)都能夠逐漸學(xué)習(xí)到拓?fù)浣Y(jié)構(gòu)之后，是不是就可以了?

別想了，壓根兒學(xué)不會(huì)的。機(jī)器 1 的廣播包到達(dá)交換機(jī) A 和交換機(jī) B 的時(shí)候，本來(lái)兩個(gè)交換機(jī)都學(xué)會(huì)了機(jī)器 1 是在局域網(wǎng)一的，但是當(dāng)交換機(jī) A 將包廣播到局域網(wǎng)二之后，交換機(jī) B 右邊的網(wǎng)口收到了來(lái)自交換機(jī) A 的廣播包。

根據(jù)學(xué)習(xí)機(jī)制，這徹底損壞了交換機(jī) B 的三觀，剛才機(jī)器 1 還在左邊的網(wǎng)口呢，怎么又出現(xiàn)在右邊的網(wǎng)口呢?哦，那肯定是機(jī)器 1 換位置了，于是就誤會(huì)了，交換機(jī) B 就學(xué)會(huì)了，機(jī)器 1 是從右邊這個(gè)網(wǎng)口來(lái)的，把剛才學(xué)習(xí)的那一條清理掉。同理，交換機(jī) A 右邊的網(wǎng)口，也能收到交換機(jī) B 轉(zhuǎn)發(fā)過(guò)來(lái)的廣播包，同樣也誤會(huì)了，于是也學(xué)會(huì)了，機(jī)器 1 從右邊的網(wǎng)口來(lái)，不是從左邊的網(wǎng)口來(lái)。

然而當(dāng)廣播包從左邊的局域網(wǎng)一廣播的時(shí)候，兩個(gè)交換機(jī)再次刷新三觀，原來(lái)機(jī)器 1 是在左邊的，過(guò)一會(huì)兒，又發(fā)現(xiàn)不對(duì)，是在右邊的，過(guò)一會(huì)，又發(fā)現(xiàn)不對(duì)，是在左邊的。

這還是一個(gè)包轉(zhuǎn)來(lái)轉(zhuǎn)去，每臺(tái)機(jī)器都會(huì)發(fā)廣播包，交換機(jī)轉(zhuǎn)發(fā)也會(huì)復(fù)制廣播包，當(dāng)廣播包越來(lái)越多的時(shí)候，按照上一節(jié)講過(guò)一個(gè)共享道路的算法，也就是路會(huì)越來(lái)越堵，最后誰(shuí)也別想走。所以，必須有一個(gè)方法解決環(huán)路的問(wèn)題，怎么破除環(huán)路呢?

STP 協(xié)議中那些難以理解的概念

在數(shù)據(jù)結(jié)構(gòu)中，有一個(gè)方法叫作最小生成樹。有環(huán)的我們常稱為圖。將圖中的環(huán)破了，就生成了樹。在計(jì)算機(jī)網(wǎng)絡(luò)中，生成樹的算法叫作STP，全稱Spanning Tree Protocol。

STP 協(xié)議比較復(fù)雜，一開始很難看懂，但是其實(shí)這是一場(chǎng)血雨腥風(fēng)的武林比武或者華山論劍，最終決出五岳盟主的方式。

在 STP 協(xié)議里面有很多概念，譯名就非常拗口，但是我一作比喻，你很容易就明白了。

• Root Bridge，也就是根交換機(jī)。這個(gè)比較容易理解，可以比喻為“掌門”交換機(jī)，是某棵樹的老大，是掌門，最大的大哥。
• Designated Bridges，有的翻譯為指定交換機(jī)。這個(gè)比較難理解，可以想像成一個(gè)“小弟”，對(duì)于樹來(lái)說(shuō)，就是一棵樹的樹枝。所謂“指定”的意思是，我拜誰(shuí)做大哥，其他交換機(jī)通過(guò)這個(gè)交換機(jī)到達(dá)根交換機(jī)，也就相當(dāng)于拜他做了大哥。這里注意是樹枝，不是葉子，因?yàn)槿~子往往是主機(jī)。
• Bridge Protocol Data Units (BPDU) ，網(wǎng)橋協(xié)議數(shù)據(jù)單元?？梢员扔鳛?ldquo;相互比較實(shí)力”的協(xié)議。行走江湖，比的就是武功，拼的就是實(shí)力。當(dāng)兩個(gè)交換機(jī)碰見的時(shí)候，也就是相連的時(shí)候，就需要互相比一比內(nèi)力了。BPDU 只有掌門能發(fā)，已經(jīng)隸屬于某個(gè)掌門的交換機(jī)只能傳達(dá)掌門的指示。
• Priority Vector，優(yōu)先級(jí)向量?？梢员扔鳛閷?shí)力 (值越小越牛)。實(shí)力是啥?就是一組 ID 數(shù)目，[Root Bridge ID, Root Path Cost, Bridge ID, and Port ID]。為什么這樣設(shè)計(jì)呢?這是因?yàn)橐丛趺磥?lái)比實(shí)力。

先看 Root Bridge ID。拿出老大的 ID 看看，發(fā)現(xiàn)掌門一樣，那就是師兄弟;再比 Root Path Cost，也即我距離我的老大的距離，也就是拿和掌門關(guān)系比，看同一個(gè)門派內(nèi)誰(shuí)和老大關(guān)系鐵;最后比 Bridge ID，比我自己的 ID，拿自己的本事比。

STP 的工作過(guò)程是怎樣的?

接下來(lái)，我們來(lái)看 STP 的工作過(guò)程。

一開始，江湖紛爭(zhēng)，異?；靵y。大家都覺得自己是掌門，誰(shuí)也不服誰(shuí)。于是，所有的交換機(jī)都認(rèn)為自己是掌門，每個(gè)網(wǎng)橋都被分配了一個(gè) ID。這個(gè) ID 里有管理員分配的優(yōu)先級(jí)，當(dāng)然網(wǎng)絡(luò)管理員知道哪些交換機(jī)貴，哪些交換機(jī)好，就會(huì)給它們分配高的優(yōu)先級(jí)。這種交換機(jī)生下來(lái)武功就很高，起步就是喬峰。

既然都是掌門，互相都連著網(wǎng)線，就互相發(fā)送 BPDU 來(lái)比功夫唄。這一比就發(fā)現(xiàn)，有人是岳不群，有人是封不平，贏的接著當(dāng)掌門，輸?shù)木椭缓米鲂〉芰恕．?dāng)掌門的還會(huì)繼續(xù)發(fā) BPDU，而輸?shù)娜司蜎]有機(jī)會(huì)了。它們只有在收到掌門發(fā)的 BPDU 的時(shí)候，轉(zhuǎn)發(fā)一下，表示服從命令。

數(shù)字表示優(yōu)先級(jí)。就像這個(gè)圖，5 和 6 碰見了，6 的優(yōu)先級(jí)低，所以乖乖做小弟。于是一個(gè)小門派形成，5 是掌門，6 是小弟。其他諸如 1-7、2-8、3-4 這樣的小門派，也誕生了。于是江湖出現(xiàn)了很多小的門派，小的門派，接著合并。

合并的過(guò)程會(huì)出現(xiàn)以下四種情形，我分別來(lái)介紹。

情形一：掌門遇到掌門

當(dāng) 5 碰到了 1，掌門碰見掌門，1 覺得自己是掌門，5 也剛剛跟別人 PK 完成為掌門。這倆掌門比較功夫，最終 1 勝出。于是輸?shù)舻恼崎T 5 就會(huì)率領(lǐng)所有的小弟歸順。結(jié)果就是 1 成為大掌門。

情形二：同門相遇

同門相遇可以是掌門與自己的小弟相遇，這說(shuō)明存在“環(huán)”了。這個(gè)小弟已經(jīng)通過(guò)其他門路拜在你門下，結(jié)果你還不認(rèn)識(shí)，就 PK 了一把。結(jié)果掌門發(fā)現(xiàn)這個(gè)小弟功夫不錯(cuò)，不應(yīng)該級(jí)別這么低，就把它招到門下親自帶，那這個(gè)小弟就相當(dāng)于升職了。

我們?cè)賮?lái)看，假如 1 和 6 相遇。6 原來(lái)就拜在 1 的門下，只不過(guò) 6 的上司是 5，5 的上司是 1。1 發(fā)現(xiàn)，6 距離我才只有 2，比從 5 這里過(guò)來(lái)的 5(=4+1)近多了，那 6 就直接匯報(bào)給我吧。于是，5 和 6 分別匯報(bào)給 1。

同門相遇還可以是小弟相遇。這個(gè)時(shí)候就要比較誰(shuí)和掌門的關(guān)系近，當(dāng)然近的當(dāng)大哥。剛才 5 和 6 同時(shí)匯報(bào)給 1 了，后來(lái) 5 和 6 再比較功夫的時(shí)候發(fā)現(xiàn)，5 你直接匯報(bào)給 1 距離是 4，如果 5 匯報(bào)給 6 再匯報(bào)給 1，距離只有 2+1=3，所以 5 干脆拜 6 為上司。

情形三：掌門與其他幫派小弟相遇

小弟拿本幫掌門和這個(gè)掌門比較，贏了，這個(gè)掌門拜入門來(lái)。輸了，會(huì)拜入新掌門，并且逐漸拉攏和自己連接的兄弟，一起棄暗投明。

例如，2 和 7 相遇，雖然 7 是小弟，2 是掌門。就個(gè)人武功而言，2 比 7 強(qiáng)，但是 7 的掌門是 1，比 2 牛，所以沒辦法，2 要拜入 7 的門派，并且連同自己的小弟都一起拜入。

情形四：不同門小弟相遇

各自拿掌門比較，輸了的拜入贏的門派，并且逐漸將與自己連接的兄弟棄暗投明。

例如，5 和 4 相遇。雖然 4 的武功好于 5，但是 5 的掌門是 1，比 4 牛，于是 4 拜入 5 的門派。后來(lái)當(dāng) 3 和 4 相遇的時(shí)候，3 發(fā)現(xiàn) 4 已經(jīng)叛變了，4 說(shuō)我現(xiàn)在老大是 1，比你牛，要不你也來(lái)吧，于是 3 也拜入 1。

最終，生成一棵樹，武林一統(tǒng)，天下太平。但是天下大勢(shì)，分久必合，合久必分，天下統(tǒng)一久了，也會(huì)有相應(yīng)的問(wèn)題。

如何解決廣播問(wèn)題和安全問(wèn)題?

畢竟機(jī)器多了，交換機(jī)也多了，就算交換機(jī)比 Hub 智能一些，但是還是難免有廣播的問(wèn)題，一大波機(jī)器，相關(guān)的部門、不相關(guān)的部門，廣播一大堆，性能就下來(lái)了。

就像一家公司，創(chuàng)業(yè)的時(shí)候，一二十個(gè)人，坐在一個(gè)會(huì)議室，有事情大家討論一下，非常方便。但是如果變成了 50 個(gè)人，全在一個(gè)會(huì)議室里面吵吵，就會(huì)亂的不得了。

你們公司有不同的部門，有的部門需要保密的，比如人事部門，肯定要討論升職加薪的事兒。

由于在同一個(gè)廣播域里面，很多包都會(huì)在一個(gè)局域網(wǎng)里面飄啊飄，碰到了一個(gè)會(huì)抓包的程序員，就能抓到這些包，如果沒有加密，就能看到這些敏感信息了。

還是上面的例子，50 個(gè)人在一個(gè)會(huì)議室里面七嘴八舌的討論，其中有兩個(gè) HR，那他們討論的問(wèn)題，肯定被其他人偷偷聽走了。

那咋辦，分部門，分會(huì)議室唄。那我們就來(lái)看看怎么分。

有兩種分的方法，一個(gè)是物理隔離。每個(gè)部門設(shè)一個(gè)單獨(dú)的會(huì)議室，對(duì)應(yīng)到網(wǎng)絡(luò)方面，就是每個(gè)部門有單獨(dú)的交換機(jī)，配置單獨(dú)的子網(wǎng)，這樣部門之間的溝通就需要路由器了。路由器咱們還沒講到，以后再說(shuō)。

這樣的問(wèn)題在于，有的部門人多，有的部門人少。人少的部門慢慢人會(huì)變多，人多的部門也可能人越變?cè)缴?。如果每個(gè)部門有單獨(dú)的交換機(jī)，口多了浪費(fèi)，少了又不夠用。

另外一種方式是虛擬隔離，就是用我們常說(shuō)的VLAN，或者叫虛擬局域網(wǎng)。使用 VLAN，一個(gè)交換機(jī)上會(huì)連屬于多個(gè)局域網(wǎng)的機(jī)器，那交換機(jī)怎么區(qū)分哪個(gè)機(jī)器屬于哪個(gè)局域網(wǎng)呢?

我們只需要在原來(lái)的二層的頭上加一個(gè) TAG，里面有一個(gè) VLAN ID，一共 12 位。為什么是 12 位呢?因?yàn)?12 位可以劃分 4096 個(gè) VLAN。這樣是不是還不夠啊?，F(xiàn)在的情況證明，目前云計(jì)算廠商里面絕對(duì)不止 4096 個(gè)用戶。當(dāng)然每個(gè)用戶需要一個(gè) VLAN 了啊，怎么辦呢，這個(gè)我們?cè)诤竺娴恼鹿?jié)再說(shuō)。

如果我們買的交換機(jī)是支持 VLAN 的，當(dāng)這個(gè)交換機(jī)把二層的頭取下來(lái)的時(shí)候，就能夠識(shí)別這個(gè) VLAN ID。這樣只有相同 VLAN 的包，才會(huì)互相轉(zhuǎn)發(fā)，不同 VLAN 的包，是看不到的。這樣廣播問(wèn)題和安全問(wèn)題就都能夠解決了。

我們可以設(shè)置交換機(jī)每個(gè)口所屬的 VLAN。

如果某個(gè)口坐的是程序員，他們屬于 VLAN 10;如果某個(gè)口坐的是人事，他們屬于 VLAN 20;如果某個(gè)口坐的是財(cái)務(wù)，他們屬于 VLAN 30。

這樣，財(cái)務(wù)發(fā)的包，交換機(jī)只會(huì)轉(zhuǎn)發(fā)到 VLAN 30 的口上。程序員啊，你就監(jiān)聽 VLAN 10 吧，里面除了代碼，啥都沒有。

而且對(duì)于交換機(jī)來(lái)講，每個(gè) VLAN 的口都是可以重新設(shè)置的。一個(gè)財(cái)務(wù)走了，把他所在的作為的口從 VLAN 30 移除掉，來(lái)了一個(gè)程序員，坐在財(cái)務(wù)的位置上，就把這個(gè)口設(shè)置為 VLAN 10，十分靈活。

有人會(huì)問(wèn)交換機(jī)之間怎么連接呢?將兩個(gè)交換機(jī)連接起來(lái)的口應(yīng)該設(shè)置成什么 VLAN 呢?對(duì)于支持 VLAN 的交換機(jī)，有一種口叫作Trunk 口。它可以轉(zhuǎn)發(fā)屬于任何 VLAN 的口。交換機(jī)之間可以通過(guò)這種口相互連接。

好了，解決這么多交換機(jī)連接在一起的問(wèn)題，辦公室的問(wèn)題似乎搞定了。然而這只是一般復(fù)雜的場(chǎng)景，因?yàn)槟隳芙佑|到的網(wǎng)絡(luò)，到目前為止，不管是你的臺(tái)式機(jī)，還是筆記本所連接的網(wǎng)絡(luò)，對(duì)于帶寬、高可用等都要求不高。就算出了問(wèn)題，一會(huì)兒上不了網(wǎng)，也不會(huì)有什么大事。

我們?cè)谒奚?、學(xué)?；蛘咿k公室，經(jīng)常會(huì)訪問(wèn)一些網(wǎng)站，這些網(wǎng)站似乎永遠(yuǎn)不會(huì)“掛掉”。那是因?yàn)檫@些網(wǎng)站都生活在一個(gè)叫做數(shù)據(jù)中心的地方，那里的網(wǎng)絡(luò)世界更加復(fù)雜。在后面的章節(jié)，我會(huì)為你詳細(xì)講解。

小結(jié)

好了，這節(jié)就到這里，我們這里來(lái)總結(jié)一下：

• 當(dāng)交換機(jī)的數(shù)目越來(lái)越多的時(shí)候，會(huì)遭遇環(huán)路問(wèn)題，讓網(wǎng)絡(luò)包迷路，這就需要使用 STP 協(xié)議，通過(guò)華山論劍比武的方式，將有環(huán)路的圖變成沒有環(huán)路的樹，從而解決環(huán)路問(wèn)題。
• 交換機(jī)數(shù)目多會(huì)面臨隔離問(wèn)題，可以通過(guò) VLAN 形成虛擬局域網(wǎng)，從而解決廣播問(wèn)題和安全問(wèn)題。