vault backup: 2026-05-27 23:01:37
This commit is contained in:
@@ -29,41 +29,48 @@ VLAN（Virtual Local Area Network，虚拟局域网）允许在一台物理交
|
||||
### 带 802.1Q Tag 的帧
|
||||
|
||||
```
|
||||
┌──────────┬──────────┬──────┬───┬──────┬─────────────┬──────┐
|
||||
│ Dest MAC │ Src MAC │Type │TPID │ TCI │ Payload │ FCS │
|
||||
│ 6 bytes │ 6 bytes │ 2B │2B │ 2B │ 46-1500 B │ 4 B │
|
||||
│ │ │0x0800│8100 │ VID │ │ │
|
||||
└──────────┴──────────┴──────┴───┴──────┴─────────────┴──────┘
|
||||
←── 14 ──→ │←──4──→│ ←──MTU──→ ←── 4 ──→
|
||||
↑ 新增 4-byte Tag
|
||||
┌──────────┬──────────┬──────┬──────┬──────────┬─────────────┬──────┐
|
||||
│ Dest MAC │ Src MAC │ TPID │ TCI │Org.EType │ Payload │ FCS │
|
||||
│ 6 bytes │ 6 bytes │ 2B │ 2B │ 2B │ 46-1500 B │ 4 B │
|
||||
│ │ │0x8100│ VID │ 0x0800 │ │ │
|
||||
└──────────┴──────────┴──────┴──────┴──────────┴─────────────┴──────┘
|
||||
←── 14 ──→ │←4 Tag→│ ←───── 4+MTU ─────→ ←── 4 ──→
|
||||
↑ 新增 4-byte Tag
|
||||
```
|
||||
|
||||
> [!important] TPID 替换了 EtherType
|
||||
> TPID（0x8100）**占据**了原帧中 EtherType 的位置，原 EtherType（如 0x0800）被后移到 TCI 之后、Payload 之前。交换机通过识别 TPID=0x8100 来判断这是一帧 802.1Q 标记帧。
|
||||
|
||||
### TCI (Tag Control Information) 位图
|
||||
|
||||
```
|
||||
Bit 15 Bit 13-12 Bit 11-0
|
||||
────────────────────────────────────
|
||||
CFI | PCP (优先级) | VID (VLAN ID)
|
||||
(1bit) | (3 bits) | (12 bits)
|
||||
Bit 15-13 Bit 12 Bit 11-0
|
||||
─────────────────────────────────────────
|
||||
PCP (优先级) | DEI/CFI | VID (VLAN ID)
|
||||
(3 bits) | (1 bit) | (12 bits)
|
||||
```
|
||||
|
||||
| 字段 | 大小 | 取值范围 | 说明 |
|
||||
|------|------|---------|------|
|
||||
| CFI | 1 bit | 0 或 1 | Canonical Format Indicator，传统以太网固定为 0 |
|
||||
| PCP | 3 bit | 0–7 | Priority Code Point，QoS 优先级（见下表） |
|
||||
| VID | 12 bit | 0–4095 | VLAN Identifier，**实际可用 1–4094** |
|
||||
| DEI | 1 bit | 0 或 1 | Drop Eligible Indicator，指示该帧在拥塞时可被丢弃。在 802.1Q-2011 前称为 CFI（Canonical Format Indicator），传统以太网固定为 0 |
|
||||
| VID | 12 bit | 0–4095 | VLAN Identifier，**实际可用 1–4094**（0 仅用于优先级帧，4095 保留） |
|
||||
|
||||
### PCP 优先级对照
|
||||
|
||||
| PCP | 用途 | 典型场景 |
|
||||
|-----|------|---------|
|
||||
| 0 | Best Effort | 普通数据流量 |
|
||||
| 1 | Background | 后台低优先级的备份任务 |
|
||||
| 2–3 | Excellent Effort | 文件传输等中等业务 |
|
||||
| 4 | Critical Applications | 视频流会议 |
|
||||
| 5 | Voice | 语音通话 VoIP（最高优先） |
|
||||
| 6 | Network Control | 网络管理协议 |
|
||||
| 7 | Reserved | 保留 |
|
||||
| 0 | Best Effort（默认） | 普通数据流量，**大多数业务的默认值** |
|
||||
| 2 | Spare | 预留，可用于自定义业务 |
|
||||
| 3 | Excellent Effort | 关键业务数据（如 ERP、数据库同步） |
|
||||
| 4 | Video | 视频流（≤100ms 延迟要求） |
|
||||
| 5 | Voice | 语音通话 VoIP（≤10ms 延迟，**流控标记**） |
|
||||
| 6 | Internetwork Control | 路由协议等网络控制报文 |
|
||||
| 7 | Network Control | STP、LLDP 等二层协议，**不能被丢弃** |
|
||||
|
||||
> [!question] 为什么 PCP 0（Best Effort）不是最低优先级？
|
||||
> 这是 IEEE 802.1Q 历史遗留设计。PCP 1 的 "Background" 比默认更"低"，用于非紧急的大块传输（如备份），避免抢占默认业务的带宽。实际部署中 PCP 0 和 1 的区别不大，重点应关注 PCP 4–7。
|
||||
|
||||
## VLAN 端口类型
|
||||
|
||||
@@ -101,6 +108,30 @@ flowchart LR
|
||||
style SW2 fill:#98FB98,color:#000
|
||||
```
|
||||
|
||||
## Native VLAN（本征 VLAN）
|
||||
|
||||
Trunk 端口上有一个特殊概念：**Native VLAN**，默认为 VLAN 1。
|
||||
|
||||
```mermaid
|
||||
flowchart LR
|
||||
UH["不带标签的主机"] -->|"裸帧（无 Tag）"| TR["Trunk 端口"]
|
||||
TH["带 Tag 的主机"] -->|"Tag 帧（VID=10）"| TR
|
||||
TR -->|"识别为 Native VLAN"| NV["VLAN 1 域"]
|
||||
TR -->|"按 VID 转发"| V10["VLAN 10 域"]
|
||||
|
||||
style NV fill:#FFD700,color:#000
|
||||
style V10 fill:#87CEEB,color:#000
|
||||
```
|
||||
|
||||
**工作规则：**
|
||||
- **入方向**：Trunk 端口收到**不带标签的帧**时，自动归入 Native VLAN
|
||||
- **出方向**：属于 Native VLAN 的帧在发出时**剥离标签**（对端看到的是裸帧）
|
||||
|
||||
> [!warning] Native VLAN 必须两端一致
|
||||
> 如果 Trunk 两端交换机的 Native VLAN 设置不一致（一端是 VLAN 1，另一端是 VLAN 2），会导致：
|
||||
> 1. 流量被错误转发到非预期 VLAN
|
||||
> 2. 成为 VLAN Hopping 攻击的入口（见下一节）
|
||||
|
||||
## Router-on-a-Stick（单臂路由）
|
||||
|
||||
当路由器只有一个物理接口时，可以通过子接口 + VLAN 实现多个 VLAN 间路由：
|
||||
@@ -152,29 +183,46 @@ $ ip -d link show type vlan
|
||||
|
||||
### Docker 中利用 VLAN
|
||||
|
||||
> [!warning] Docker bridge 网络 ≠ VLAN
|
||||
> `docker network create --driver bridge` 创建的是**隔离的 Linux 网桥**，不会在帧上打 802.1Q Tag。它在逻辑上类似"独立广播域"，但不是真正的 VLAN。
|
||||
> 要让容器接入真实 VLAN，需使用 `macvlan` 或 `ipvlan` 驱动：
|
||||
|
||||
```yaml
|
||||
# docker-compose.yml
|
||||
# docker-compose.yml — 容器直接接入物理 VLAN
|
||||
services:
|
||||
web:
|
||||
web-vlan10:
|
||||
image: nginx
|
||||
networks:
|
||||
frontend: # VLAN 10
|
||||
office_net:
|
||||
ipv4_address: 192.168.10.10
|
||||
backend: # VLAN 20
|
||||
|
||||
app-vlan20:
|
||||
image: app:latest
|
||||
networks:
|
||||
server_net:
|
||||
ipv4_address: 192.168.20.10
|
||||
|
||||
networks:
|
||||
frontend:
|
||||
driver: bridge
|
||||
office_net:
|
||||
driver: macvlan
|
||||
driver_opts:
|
||||
parent: eth0.10 # 宿主机 VLAN 子接口
|
||||
ipam:
|
||||
config:
|
||||
- subnet: 192.168.10.0/24
|
||||
backend:
|
||||
driver: bridge
|
||||
gateway: 192.168.10.1
|
||||
server_net:
|
||||
driver: macvlan
|
||||
driver_opts:
|
||||
parent: eth0.20
|
||||
ipam:
|
||||
config:
|
||||
- subnet: 192.168.20.0/24
|
||||
gateway: 192.168.20.1
|
||||
```
|
||||
|
||||
容器通过 macvlan 驱动直接收发带 802.1Q 标签的帧，与物理网络中的 VLAN 设备无缝互通。
|
||||
|
||||
## VLAN 边界与跨 Switch
|
||||
|
||||
```mermaid
|
||||
@@ -191,6 +239,39 @@ sequenceDiagram
|
||||
|
||||
**核心要点：** VLAN 信息随 802.1Q Tag 穿过 Trunk 链路传递到下一台交换机。每台交换机根据自己的 VLAN 数据库独立处理。
|
||||
|
||||
## VLAN Hopping 攻击与防御
|
||||
|
||||
VLAN Hopping 是通过协议漏洞非法访问其他 VLAN 的二层攻击，主要有两种方式：
|
||||
|
||||
### 攻击一：Double Tagging（双标签攻击）
|
||||
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant A as 攻击者 (VLAN 10)
|
||||
participant S as Switch
|
||||
participant V as VLAN 20 目标主机
|
||||
|
||||
A->>S: 外层 Tag VID=1 (Native VLAN)<br/>内层 Tag VID=20 (目标 VLAN)
|
||||
S->>S: 剥离外层 Tag (Native VLAN=1)
|
||||
S->>V: 帧到达 VLAN 20！（内层 Tag 未被检查）
|
||||
```
|
||||
|
||||
**原理**：攻击者发送双标签帧，外层使用 Native VLAN ID。Switch 剥离外层 Tag 后，内层 Tag 暴露，帧被转发到目标 VLAN。此攻击**单向**，且需要攻击者在 Native VLAN 中。
|
||||
|
||||
> [!important] 防御：将 Native VLAN 设为未使用的 VLAN（如 VLAN 999），并确认所有 Trunk 端口都显式允许所需的 VLAN（不要用 `allowed vlan all`）
|
||||
|
||||
### 攻击二：DTP 欺骗
|
||||
|
||||
若端口启用了 DTP（Dynamic Trunking Protocol），攻击者可伪装成交换机，诱使端口切换为 Trunk 模式，从而访问所有 VLAN。
|
||||
|
||||
**防御**：在所有接入端口上关闭 DTP 自动协商：
|
||||
```bash
|
||||
# Cisco: 关闭 DTP
|
||||
switchport nonegotiate
|
||||
# Huawei: 关闭自动协商
|
||||
undo negotiation auto
|
||||
```
|
||||
|
||||
## 最佳实践
|
||||
|
||||
| 项目 | 建议 |
|
||||
@@ -199,10 +280,10 @@ sequenceDiagram
|
||||
| Native VLAN | 修改默认 native VLAN（避免用 1），防 VLAN Hopping |
|
||||
| VLAN 数量 | 单台交换机支持最大 4094 个 VLAN |
|
||||
| Inter-VLAN 路由 | >10 个 VLAN 用三层交换机而非单臂路由 |
|
||||
| 安全 | 未使用的端口划入"黑洞 VLAN"（无 IP 段），关闭 DTP 自动协商 |
|
||||
| 安全 | 未使用的端口划入"黑洞 VLAN"（无 IP 段），**关闭 DTP**（Dynamic Trunking Protocol，Cisco 私有自动协商协议）|
|
||||
|
||||
## 关联笔记
|
||||
|
||||
- [[hhs/NETWORK/Ethernet帧结构]] — 802.1Q Tag 插入在 Ethertype 位置之前
|
||||
- [[hhs/NETWORK/Switch与路由器]] — Switch 如何基于 VLAN 隔离广播域
|
||||
- [[hhs/NETWORK/MAC地址与广播域]] — VLAN 缩小了广播域的规模
|
||||
- [[hhs/NETWORK/02-链路层/01-Ethernet帧结构]] — 802.1Q Tag 的 TPID 替换了原始帧的 EtherType 位置
|
||||
- [[hhs/NETWORK/02-链路层/04-Switch与路由器]] — Switch 如何基于 VLAN 隔离广播域
|
||||
- [[hhs/NETWORK/02-链路层/03-MAC地址与广播域]] — VLAN 缩小了广播域的规模
|
||||
|
||||
Reference in New Issue
Block a user