局域网交换机内部结构

交换机的内部结构决定交换机的性能，采用的内部结构主要有4种：

（1）共享式存储器结构:共享储存器结构是帧直接从存储器传送到输出端口，各模块之间不需要用背板总线连接，依赖中心交换引擎来提供全端口的高性能连接，由中心交换引擎检查每个输入包以决定路由。这种方式容易实现，但需要很大的内存容量，很高的管理费用。且由于访问储存器需要时间，不可能在较大的端口数之间实现线速交换，因此比较适合于小系统交换机。

（2）交叉总线结构：交叉总线式结构在端口间建立直接的点对点连接，每一模块都直接和任何其他模块相连。每一模块自己处理连接问题。不需要中心交换陈列模块进行集中控制。这种结构适合单点传输，对于多点传输存在一定的问题。

（3）混合交叉总线结构：混合交叉总线结构是在交叉总线结构的基础上改进得来的。它是将一体的交叉总线矩阵划分成小的交叉矩阵，中间通过一条高性能的总线连接。优点是减少了交叉总线数，降低了成本，还减少了总线争用。但连接交叉矩阵的总线可能称为新的性能瓶颈。

（4）环形总线结构：这种结构在1个环内最多支持4个交换引擎并且允许不同速度的交换矩阵互联，环与环之间通过交换引擎连接。与前几种结构不同的是此种结构有独立的一条控制总线，用于搜集总线状态、处理路由、流量控制和清理数据总线。环形总线结构的最大优点是扩展能力强，成本低，因为采用环形结构，很容易聚集带宽，当端口数增加的时候，带宽就相应增加了。另外，它还有效的避免了系统扩展时造成的总线瓶颈。

局域网交换机交换方式

交换机的交换方式一般地，交换机主要通过以下4中方式实现交换。

（1）直通式：在这种模式下，交换机只需要知道帧的目的MAC地址就可以成功的将帧转发到目的地。在交换机读取到帧中足够的信息并能识别出目的地址后，它将立即把帧发送到目的端口。直通式的优点是由于不需要存储，延迟非常小，交换非常快。但是缺点是由于没有缓存，数据包内容并没有被以太网交换机保存下来，所以无法检查所传送的数据包是否有误，不能提供错误检测能力，而且容易丢包。

（2）存储转发：存储转发方式是将输入端口的数据包先存储起来，然后进行CRC检查，在对错误包处理后才取出数据包的目的地址，通过查找MAC地址表转换成输出端口送出包。由于这种方式可以对进入交换机的数据包进行错误检测，使网络中的无效帧大大减少，所以可有效的改善网络性能。但是缺点是由于需要存储再转发，导致数据处理时延大，然而随着ASIC的降低以及处理器的速度的增加，许多新的交换机都可以在很短的时间内完成整个帧的检查，所以这种交换方式应用比较广泛。

（3）碎片隔离：碎片隔离是上述两种技术的综合。它检查数据包的长度是否够64B，如果小于这个值，说明是假包，则丢弃该包；如果大于这个值，则发送该包。这种方式也不能提供数据校验。它的数据处理速度比存储转发方式快，但比直通式慢。

（4）智能交换模式:智能交换模式集中了直通式和存储转发式两者的优点。只要可能，交换机总是采用直通式模式，但是一旦网络出错率超过了事先设定的阈值，交换机将采用存储转发模式，当网络出错率下降后，又重新开始直通式模式。

局域网交换机特点

1.低交换延迟这是局域网交换机的主要特点，从传输延迟时间的量级来看，如果局域网交换机为几十μs，那么网桥为几百μs，而路由器为几千μs。

2.支持不同的传输速率和工作模式局域网交换机的端口可以设计成支持不同的传输速率，例如支持10Mb/s的端口、支持100Mb/s的端口、支持1000Mb/s的端口。同时，端口还可以设计成支持半双共和全双工两种工作模式。

3.支持虚拟局域网服务交换式局域网是虚拟局域网的基础，Ethernet交换机基本上都可以支持虚拟局域网服务。

4.高传输带宽

1.全双工局域网的概念，所有共享式局域网都是半双工方式的，即信道在任何时候只能在一个方向上传输数据，要么就是发送数据，要么就是接收数据，不能二者兼而有之。因为共享式局域网中所有的用户都依赖单条共享介质，所以在技术上不可能同时发送和接收数据。全双工局域网每个站点可以同时发送和接收数据，一对线用于发送数据，另一对线用于接收数据。交换技术是全双工以太网的必要前提，因为全双工要求只有两个站的点对点的连接。但有一点要注意，交换式局域网并不自动就是全双工操作，只有在交换器中设置了全双工端口以及做一些相应的改进，交换式局域网才是全双工局域网。

2.全双工局域网的优点由于同时发送和接收，这在理论上可以使传输速度翻一番。例如工作于全双工模式的10BASE-T双绞线链路速率可达20Mbit/s。网段长度不再受共享介质半双工局域网计时要求的限制，它只受介质系统本身传输信号能力的限制。例如，在半双工模式下，100BASE-FX光纤网段长度限制为412m，而同样的介质系统在全双工模式下的长度可达2000m。3.全双工局域网标准IEEE与1997年3月正式制定了802.3x全双工局域网标准。该标准规定了全双工操作的使用方法以及全双工流量控制机制。IEEE802.3x标准规定全双工操作应该满足以下要求：物理介质必须不受干扰地支持同步发送和接收信号；全双工点对点链路必须连接两个站点；局域网上的两个站点都可以而且已配置成使用全双工模式。这意味着两个局域网接口必须可以同时发送和接收帧。

局域网交换机定义

VLAN大致等效于一个广播域，即VLAN模拟了一组终端设备，虽然它们位于不同的物理网段上，但是并不受物理位置的束缚，相互间通信就好像它们在同一个局域网中一样。VLAN从传统LAN的概念上引申出来，在功能和操作上与传统LAN基本相同，提供一定范围内终端系统的互联和数据传输。它与传统LAN的主要区别在于“虚拟”二字，即网络的构成与传统LAN不同，由此也导致了性能上的差异。

局域网交换机分类

(1)端口VLAN，端口VLAN又分为单交换机端口定义VLAN和多交换机端口定义VLAN两种。

(2)MACVLAN，基于MAC定义的VLAN可视为基于用户的VLAN。这种VLAN要求所有的用户在初始阶段必须配置到至少一个VLAN中，初始配置由人工完成，随后就可以自动跟踪用户。

局域网交换机主要优点

(1)减少工作站移动和变化所需的费用。

(2)VLAN和交换技术使每个网段包含更少的用户，而广播域却扩大到1000或者更多的用户。

交换式局域网所有站点都连接到一个交换式集线器或局域网交换机上。交换式集线器或局域网交换机具有交换功能，它们的特点是：所有端口平时都不连通，当工作站需要通信时，交换式集线器或局域网交换机能同时连通许多端口，使每一对端口都能像独占通信媒体那样无冲突的传输数据，通信完成后断开连接。由于消除了公共的通信媒体，每个站点独自使用一条链路，不存在冲突问题，可以提高用户的平均数据传输速率，即容量得以扩大。交换式局域网的优点：（1）采用星型的拓扑结构，容易扩展，而且每个用户的带宽并不因为互连的设备增多而降低。（2）由于消除了公共的通信媒体，每个站点独自使用一条链路，不存在冲突问题，可以提高用户的平均数据传输速度。交换式局域网无论是从物理上还是逻辑上都是星形拓扑结构，多台交换式集线器可以串接，连成多级星形结构。

大型局域网总是由多个局域网通过多种网络互连设备，如网桥、路由器或交换机等连接而成的。由于对局域网带宽不断增长的要求必须在以太网或令牌环网固定的10Mbps或16Mbps的带宽限制下，所以在一个典型的局域网设计中不同局域网段的数目正迅速性地增长着。交换式局域网，作为一种能通过增加网段提高局域网容量的技术，已经迅速地确立了它自己的地位。这是因为局域网交换机能够以较低的成本在多个网段提供高质量的报文传输服务。这正如以前的路由器，作为连接局域网段的互连设备曾大量替代了互连网桥，而交换机趋向于替代局域网中的路由器。

交换式局域网中路由选择的作用：在了解局域网中交换和路由选择各自的作用之前，首先应该明白这两种技术的差别。局域网交换机有点象网桥，通常它们互连同种类型的局域网段，如都是以太网段或都是令牌环网段的情形。它们在端口之间透明地传送信息，以令牌环网为例，就是用源路由选择的方法。透明交换机对端站是不可见的，它们通过检查传送到它们端口的局域网段中的所有信息包来进行学习，从而得知各站点的位置，并根据在每个信息包中的目的网络地址把信息包送往适当的端口。这也意味着它们的运作独立于与端站之间互相通信的协议，不管是TCP/IP协议，还是NovellIPX，NETBIOS或者IBM的SNA协议。令牌环网的源路由选择交换机与透明交换机不同之处仅在于，源路由选择交换机是根据由端站往每个信息包中插入的信息来把信息包送往相应的端口，同样这也是独立于下层网络协议的。

但在一些情况中，交换机可用来互连不同类型的局域网，例如，一些交换机可互连FDDI主干网和以太网段。在这种情形下，交换机只是在以太网和FDDI帧之间作些简单的转换工作，这样就遵循了对端站的透明性原则。另一方面，路由器被设计成具有把任何类型的网络信息包传送到任何其他类型网络的能力，它们对端站是不透明的：事实上，当一个以太网的端站想要路由器另一端的站点进行通信时，它只是对相应的路由器进行寻址，而不是目的站点。当一个路由器从一个以太网段收到一个要发往另一个网段的信息包时，路由器取出报文的头部，检查报头中的目的地址，然后根据这些信息查询相应的表，确定这个目的站点是否位于它的一个直接相连的局域网段中，否则，该信息包应被送往另一个路由器，在作出相应的决定后，这个路由器将为这个信息包添加新的报头并将它发送出去。

为了确定信息包往哪一个端口转发，路由器要维护复杂的查找表，这些表是由每个路由器与网络中的其它路由器相互合作而构造的，这些路由器相互传递经过这个网络的路由状态信息，在路由选择中涉及到的协议和过程是复杂的，需要进行大量的计算，并且占用内存。总而言之，在局域网中交换与路由选择最显著的差异在于：信息包经过路由器要比经过交换机需要复杂得多的处理。因此，在取得同一性能水平的前提下，路由器的花费比交换机的花费多许多，而且，一个包经过交换机比要经过路由器花的时间少一些，从而交换机提供了更短的延迟；但另一方面，可以用路由器的处理能力来提供比交换机更大程度的控制。

网络设计的目标交换式局域网的一些常见的设计目标：1、以合理的成本取得较高的处理能力。2、更低的端到端的迟延。3、具有对通信模式进行调节的弹性。4、容易配置和安装。5、最小化的管理负担。6、对网络资源访问的有效控制交换技术作为主导技术，而路由选择技术扮演重要但较小角色的局域网设计能最好地符合上述大部分的设计目标。在这个混合中高比例的交换技术通常是令人满意的，因为交换技术比路由选择技术更能以较低的成本提供更大的通信处理能力，而且交换机更易于安装、配置和管理。

路由选择在交换式局域网中担任的角色在交换式局域网中，由路由器完成的基本功能主要有四种，对它们有清楚的了解有助于明白路由选择在交换式局域网中担任的角色，这四个功能为：1、把交换式局域网分割成多个广播域，并且把这些域连接在一起。2、在不同子网间进行信息包的传送。3、作为互连不同局域网的技术。4、提供对从属在局域网上的资源进行安全访问的机制当然，路由器完成的功能不止这些。当将局域网连接到广域网上时，路由器承担了许多协议的转换工作，如从局域网的协议到针对专用线路或电话线路连接的点到点协议（PPP），或者帧中继。

（1）把交换式局域网分割成多个广播域一些局域网技术（如以太网和令牌环网）提供让任一个站点可发送一信息包给局域网中的所有其它站点的能力，这也就是所谓广播。几乎所有局域网的网络协议都是用广播来实现操作和管理的机制的。例如，使客户机能定位服务器，允许散播有关可利用的网络资源的信息等等。一般而言，越多的站点连接到同一个局域网上，产生的广播通信量就越大。对于通过网桥或交换机连接多个局域网段而形成的大型局域网而言，这种情况仍成立。

（2）广播通信流在一个局域网中的广播通信量不仅仅取决于连接到局域网上的站点数目，还有许多其他因素的影响，如在局域网上的服务器和路由器的数目，所用的协议类型、用户启动和终止网络应用程序的频率等等。同时，令牌环网中可观察到的广播特征不同于以太网，因为令牌环网用一种称为源路由探测帧（SourceRouteEXPloreFrames），这种帧在经过桥接的网络时如果面临多个路由选择就会复制自己。由于影响局域网广播通信量的因素很多，因此很难给出一个通用的衡量指标。然而，实际的网络测定表明，即使用一般的网桥或交换机连接有几百个甚至几千个结点的局域网。

平均的广播通信量一般不会超过每秒10-30个信息包，在偶尔发生的高峰期每秒也最多只有100-150个信息包。而每秒30个广播包意味占用大约以太网信道的千分之二点五，（这里假定广播信息包平均长度为100字节）。因此广播流对整个网络性能的影响是可以忽略的。尽管局域网上的广播流对网络性能的影响甚微，但同样的情况却不适用于广域网的连接。在这种情形下，广播通信流将占用宝贵的广域网带宽的相当一部分，而路由器在这种环境中起着最小化广播通信的影响的作用。当前对网络协议和软件的类型和用法的趋势是：倾向于减少在局域网中的广播通信流量。

（3）广播风暴（BroadcastStorm）具有多年网络管理经验的系统管理员可能知道广播风暴。在一个大型网络中，一个高等级的广播通信流可能暂时轰炸网络的某一部分，造成站点失去与服务器的连接，于是当这些站点试图重建它们的连接时引发了更多的广播通信流，因此引起的连锁反应就是广播风暴。最终迅速增长的广播通信流会淹没整个网络，使整个网络陷入瘫痪。路由器能很好地解决广播风暴问题。客户机发出用来寻找服务器的广播包在路由器处被截获。由路由器进行向前转发。因此路由器提供了一类针对广播包的防火墙。从而抑制了可能引发广播风暴的连锁反应。对广播风暴的恐惧，造成了局域网设计时常常以路由器为中心。后面我们将说明以路由器为中心的网络结构。毫无疑问，在今天通过网桥互连的大型局域网中，广播风暴会导致十分严重的网络服务丢失问题。然而，该问题的出现主要源于迄今为止仍缺乏足够重视的三个事实：

使用远程网桥通过低速专用线路连接外部网点。这种原始的远程局域网网桥具有很少的或者没有广播包的过滤能力。因此原本在10Mbps的以太网中占用微不足道带宽的广播通信流量可能很快轰炸64Kbps的线路。站点间失去连接的结果很容易引发广播风暴。实践中往往采用路由器支持低速线路连接远程网点，利用路由器来防止远程线路被广播包轰炸。端站实现IP协议栈时的特性也容易引发广播风暴。在有关IP的资料中记述了许多早期实现IP协议栈的方式，它们都可能引发广播风暴。如在早期的BerkeleyUNIX版本中站点在收到一个错误IP的信息包会继续转发它，以及站点可能会对特定的广播包发出ICMP错误信息。当前的IP实现的版本已经消除了这个问题。

端站的网络接口和协议栈的糟糕的实现。由于历史的原因，不足的处理能力，不足的缓冲内存，以及对协议栈的不成熟的软件实现，造成了对局域网中的广播通信流的过度的敏感。若在相对较低等级的广播通信流的情况下，局域网的接口变得拥塞，则连接可能会失去，站点试图重建连接的努力又形成了引发广播风暴的条件。经历了十多年的技术发展，局域网的接口能处理很高的广播流了。可能引发广播风暴的通信流的下限也提高很多了。总而言之，今天的交换式局域网中广播风暴的风险被极大地夸大了。如果把适度的注意点移到如何更好的配置交换式局域网上，那没有理由不能构建拥有数千个结点的大型局域网，而且仍具有良好的性价比和可扩展性等好处。

（4）子网间信息包的传输大量应用的网络协议如IP和IPX以及NetBIOS等提供了一个独立于下层局域网传输的网络层寻址结构。IP和IPX都是可寻址的协议。也就是说它们实现了分层次的寻址方案，用如来标识所有的网络主机。NetBIOS是一个不可寻址的协议，因为网络主机只是简单的用一个名字标识它，而没有层次结构。网络协议的寻址结构对交换式局域网的设计具有重要的意义。因为网络地址的层次特性需要把网络主机分成许多的组，每组中的主机具有相同的网络标识号。在某一组中的一个主机想和另一组中的主机进行通信的唯一办法是把信息包送往路由器，由路由器进行转发。

文献1

存储转发方式

计算机网络领域应用最为广泛的方式，它把输入端口的数据包先存储起来，然后进行CRC检查，在对错误包处理后才取出数据包的目的地址，通过查找表转换成输出端口送出包。　正因如此，存储转发方式在数据处理时延时大，这是它的不足，单是它可以对进入局域网交换机的数据包进行错误检测，尤其重要的是它可以支持不同速度的输入输出端口间的转换，保持高速端口与低速端口间的协同工作。

第二层和第三层交换及其与路由器方案的竞争

局域网交换机是工作在OSI第二层的，可以理解为一个多端口网桥，因此传统上称为第二层交换；最新的交换技术已经延伸到OSI第三层的部分功能，既所谓第三层交换，第三层交换可以不将广播封包扩散，直接利用动态建立的MAC地址来通信，似乎可以看懂第三层的信息，如IP地址、ARP等，具有多路广播和虚拟网间基于IP、IPX等协议的路由功能，这方面功能的顺利实现得力于专用集成电路(ASIC)的加入，把传统的由软件处理的指令改为ASIC芯片的嵌入式指令，从而加速了对包的转发和过滤，使得高速下的线性路由和服务质量都有了可靠的保证。如果没有上广域网的需要，在建网方案中一般不再应用价格昂贵、带宽有限的路由器。

虚拟局域网技术

交换技术的发展，允许区域分散的组织在逻辑上成为一个新的工作组，而且同一工作组的成员能够改变其物理地址而不必重新配置节点，这就是用到所谓的虚拟局域网技术(VLAN)。用局域网交换机建立虚拟网就是使原来的一个大广播区(交换机的所有端口)逻辑的分为若干个"子广播区"，在子广播区里的广播封包只会在该广播区内传送，其它的广播区是收不到的。VLAN通过交换技术将通信量进行有效分离，从而更好地利用带宽，并可从逻辑的角度出发将实际的LAN基础设施分割成多个子网，它允许各个局域网运行不同的应用协议和拓扑结构，对这部分详细内容感兴趣的读者可以参考IEEE802.10规定。

局域网交换机维护

局域网交换机简介<>Catalyst6000系列简介<>Catalyst5000系列简介<>Catalyst6000系列和Catalyst5000系列的基本维护命令。

局域网交换机的概述

局域网交换机将人们从传统意义上共享的HUB式局域网发展到更广阔的空间。以Cisco公司出品的Catalyst5000系列局域网交换机为例，它包括一个集成的交换硬件结构，支持交换的10-Mbps以太网和100-Mbps快速以太网，可通过快速以太网、FDDI、交换式令牌环和第3层交换处理能力。该类交换机可向局域网内的工作站、服务器、网段、骨干网或其它用户提供交换接入。

交换式局域网可向用户提供共享式局域网不能实现的一些功能，主要包括以下几个方面：

（1）隔离冲突域在共享式以太网中，使用CSMA/CD算法来进行介质访问控制。如果两个或者更多站点同时检测到信道空闲而有帧准备发送，它们将发生冲突。一组竞争信道访问的站点称为冲突域。显然同一个冲突域中的站点竞争信道，便会导致冲突和退避。而不同冲突域的站点不会竞争公共信道，它们则不会产生冲突。在交换式局域网中，每个交换机端口就对应一个冲突域，端口就是冲突域终点，由于交换机具有交换功能，不同端口的站点之间不会产生冲突。如果每个端口只连接一台计算机站点，那么在任何一对站点之间都不会有冲突。若一个端口连接一个共享式局域网，那么在该端口的所有站点之间会产生冲突，但该端口的站点和交换机其他端口的站点之间将不会产生冲突。因此，交换机隔离了每个端口的冲突域。

（2）扩展距离交换机可以扩展LAN的距离。每个交换机端口可以连接不同的LAN，因此，每个端口都可以达到不同LAN的技术所要求的最大距离，而与连接到其他交换机端口LAN的长度无关。

（3）增加总容量在共享式LAN中，其容量由所有接入设备共享。而在交换式局域网中，由于交换机的每个端口具有专用容量，交换式局域网总容量随着交换机的端口数量而增加。所以交换机提供的数据数传输容量比共享式LAN大得多。

（4）数据率灵活性对于共享式LAN，不同LAN采用不同数据率，但连接到同一共享式LAN的所有设备必须使用同样的数据率。而对于交换式局域网，交换机的每个端口可以使用不同的数据率，所以可以以不同数据率部署站点，非常灵活。

交换式局域网的核心设备是局域网交换机，局域网交换机可以在它的多个端口之间建立多个并发连接。典型的交换式局域网是交换式以太网（switchedEthernet），它的核心部件是以太网交换机（Ethernetswitch）。以太网交换机可以有多个端口，每个端口可以单独与一个结点连接，也可以与一个共享介质式的以太网集线器连接。1.局域网交换机的分类：按照所执行的功能不同，局域网交换机可以分为两种。（1）二层交换：执行桥接功能，是根据MAC地址转发数据，交换速度快，但控制功能弱，没有路由选择功能。（2）三层交换：是根据IP地址转发数据，具有路由功能。三层交换是二层交换与路由功能的有机组合。

（1）低交换延迟。这是交换机的主要特点。从传输延迟的量级来看，如果交换机为几十微秒，则网桥为几百微秒，路由器为几千微秒。

（2）支持不同的传输速率和工作模式。交换机的端口可以支持不同的传输速率，如支持10Mbps、100Mbps等。端口可以支持两种工模式全双工和半双工。

（3）高传输宽带。

（4）支持虚拟局域网服务。交换局域网是虚拟局域网的基础，当前的交换机基本上都只持虚拟局域网。

1、群组级交换网络：典型的群组，可以使用基本的10Mbit/s以太网交换机，附带一些100Mbit/s端口，可以和一个或多个本地文件服务器连接。

2、部门级交换网络：几个群组交换网络结合到一起就形成了部门级交换网络，它一般是两级交换式网络。第一级或低一级的交换机专门支持特定的群组，包括本地服务器。上一级的一个或几个交换机，用来连接群组交换机的部门服务器。群组用户对部门服务器的访问需要跨越群组的界限，即通过主干交换机。

3、企业级交换网络：如果在部门级交换机之上，需要利用路由器连接地理上分散的部门，便构成了一个企业级交换网络。

《局域网交换机安全》是迄今为止国内引进的第一本专门介绍第二层交换环境安全技术的图书。作者在书中通过一个个鲜活的第二层攻击场景，以及针对这些攻击的化解之策，来强调第二层安全的重要性。这些针对第二层协议的攻击场景，囊括了读者所知的任何一种第二层协议(STP、VRRP/HSRP、LACP/PagP、ARP等)。书中给出了针对上述攻击的各种反制措施。

除了攻击与对抗攻击之外，作者还高屋建瓴般地展望了未来以及正在流行的第二层安全体系结构及技术，这包括线速的ACL、IEEE802.1AE、CiscoINBS以及结合IPSec与L2TPv3的安全伪线。读完《局域网交换机安全》之后，读者将会加深对网络整体安全性的理解：网络安全并不能只靠防火墙、入侵检测系统甚至是内容过滤设备。如果没有上述这些设备，在网络的第二层利用交换机同样可以实施网络安全。

《局域网交换机安全》适合从事计算机网络设计、管理和运维工作的工程技术人员阅读，可以帮助网络(安全)工程师、网络管理员快速、高效地掌握各种第二层网络安全技术。《局域网交换机安全》同样可以作为高校计算机和通信专业本科生或研究生学习网络安全的参考资料。

《Cisco局域网交换机配置手册（第2版 修订版）》是一本关于在Cisco Catalyst交换机上进行特性配置的内容全面的参考书。《Cisco局域网交换机配置手册（第2版 修订版）》共分为14章，分别介绍了CLI用法、交换机功能性、Supervisor引擎、2层配置、3层配置、VLAN与Trunking技术、STP协议、高可用特性、多播技术、服务器负载均衡、流控与访问控制、交换机管理、QoS，以及语音技术。本书附录中收录了知名的协议号、端口号与其他编号，以及一份用于现场布线的快速参考表。　　《Cisco局域网交换机配置手册（第2版 修订版）》层次分明、阐述清晰、分析透彻、理论与实践并重，不仅适合准备CCNA、CCNP或CCIE认证考试的人员阅读，也是从事计算机网络设计、交换机管理和运维工作的工程技术人员必不可少的现场参考资料。

作者：（美国）维恩克（Eric vyncke） （美国）培根（Christopher paggen） 译者：孙余强 孙剑

维恩克（Eric Vymcke），获得比利时列日大学计算机科学工程系硕士学位后在该校任助理研究员。随后进入比利时网络研究院，出任研发部门的领导。之后加盟西门子出任多个安全项目（包括-个代理防火墙项目）的项目经理。自1997年起，他被Cisco公司委以杰出咨询工程师一职，担当公司欧洲地区的安全技术顾问。20年来，Eric从事的专业领域一直在从第二层到应用层的网络安全方面。Eric还是几所比利时大学安全研讨班的客座教授，经常参加各种安全活动.（如Cisco Live的Networkers、RSA大会）并发言。

培根（Christopher Paggen），于1996年加入Cisco，一直从事以局域网交换和安全方面为主的工作。之后，转而负责公司当前和未来高端防火墙的产品需求定义。Christopher持有几项美国专利，其中一项与动态ARP检测（Dynamic ARP Inspection，DAI）有关。除CCIE证书（CCIE#2659）外，Christopher还曾获得HEMES大学（比利时）计算机科学学士学位，并继续在I.IMS大学（比利时）学习了两年经济学。