D4-02 8–10 分钟 重要程度：高
网络设备、分段、VLAN 与 NAT
网络安全设计重在分段和边界。要分清集线器、交换机、路由器、网关、代理、VLAN、NAT 和 PAT。
一、必须记住
- 集线器工作在第 1 层，所有端口共享冲突域和广播域。
- 交换机主要工作在第 2 层，可分隔冲突域；VLAN 可分隔广播域。
- 路由器工作在第 3 层，分隔广播域和冲突域。
- 网关用于连接不同协议网络，常见于第 7 层。
- VLAN 是第 2 层逻辑分段；子网是第 3 层 IP 分段。
- NAT 隐藏内部地址，PAT 用端口让多个内部主机共享公网地址。
二、核心概念
设备与层级
中继器、集线器、放大器在第 1 层；网桥和交换机在第 2 层；路由器在第 3 层；网关做协议转换，常在第 7 层。
VLAN 与子网
VLAN 在交换机上把同一物理 LAN 划成多个广播域。不同 VLAN 间通信通常需要三层设备。VLAN 类似子网，但不是子网。
NAT 与私有地址
NAT 将内部地址转换为公网地址。私有 IPv4 常见范围包括 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。APIPA 在 DHCP 失败时分配本地链路地址。
三、CISSP 判断规则
- 问隔离部门广播流量，优先 VLAN。
- 问不同 VLAN 通信，优先路由器或三层交换。
- 问隐藏内部 IP 和拓扑，优先 NAT。
- 问多个内部主机共用一个公网 IP，优先 PAT。
四、常见陷阱
- VLAN 不能替代完整访问控制策略。
- NAT 不是加密，也不能替代防火墙。
- 集线器会让同一冲突域内主机看到更多流量，已不推荐使用。
五、英文关键字
Hub （集线器） 定义：第 1 层设备，所有端口共享冲突域和广播域。 Switch （交换机） 定义：主要第 2 层设备，依据 MAC 转发帧，可分隔冲突域。 Router （路由器） 定义：第 3 层设备，依据 IP 路由数据包。 Gateway （网关） 定义：连接不同协议网络并进行协议转换。 Proxy （代理） 定义：代表客户端请求服务，可隐藏客户端地址并执行过滤或缓存。 VLAN （虚拟局域网） 定义：第 2 层逻辑分段，用于划分广播域。 Subnet （子网） 定义：第 3 层 IP 地址和子网掩码划分。 NAT （网络地址转换） 定义：把内部地址转换为公网地址，隐藏内部地址结构。 PAT （端口地址转换） 定义：用端口让多个内部主机共享公网地址。 APIPA （自动私有 IP 分配） 定义：DHCP 失败时分配本地链路地址。
小测验
1. 哪种技术可在二层交换机上把一个物理 LAN 划分为多个广播域？
VLAN 是二层逻辑分段，可限制广播范围并提升安全性。
2. 多个内部主机共享同一个公网 IP 时，通常使用什么？
PAT 使用端口多路复用，让多个内部主机共享公网地址。
3. 连接不同协议网络并进行协议转换的设备通常是？
网关用于连接不同协议网络并进行协议转换。
本节进度
完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。
尚未完成