网络规划与设计期末复习

网络规划与设计期末复习

考试考前七章，除了第六章，还要看课后练习（重点 2.4.7章）

题型：简答题 论述题 应用题

课后练习：第一章P14-P15、第二章P39-P40、第三章P48-P49、第四章P67-P70、第五章P89-P90、第七章P120-P121

网络设计调研参数：网络设计解决的基本问题是综合布线，即保证物理介质（包括有线或无线）覆盖到需要的区域；其次是解决网络通信问题，即采用某些网络设备、协议和软件等保证通信正常，有需要的话还要保证介入Internet ；最后则是针对网络所要承载的应用以及要服务的用户，制定合理的安全策略和管理策略，保证用户获得满意的服务质量。（哪方面调研及设计参数）

网络生命周期：规划、设计、实现、运行、优化、退役

规划：确定详细的网络需求，并检查现有网络

设计：根据初始的需求和对现有网络分析中所收集到的额外信息设计

网络，并与用户一起改进设计方案 实现：根据得到认可的设计方案构建网络

运行：网络开始运转，并且受到监测，这个阶段是设计方案的最终测试 优化：发现和纠正一些问题，或在问题出现前或在发生故障后

退役：网络淘汰是不可避免的，当生机代价大时，必须考虑网络退役

*网络设计过程模型：（要求能画出来并能说出关系）

网络性能指标：网络宽带、吞吐量、差错率、网络延时、网络路由、效率

网络带宽：是指给定时间内通过某个网络的信息量，它与网络的传输容量和传输能力是息息相关的。（决定宽带的因素主要包括传输介质和广域网接入技术） 特点如下：

（1）宽带是有限的 （2）宽带不是免费的

（3）宽带是决定网络性能的重要因素

用户需求分析 逻辑网络设计

物理网络设计 部署网络 验收和调试

（4）用户对宽带的需求会快速增长

吞吐量：是指一组特定的数据在特定的时间段，经过特定的路径所传输的信息量的实际测量值。

影响吞吐量的因素：计算机性能（包括客户端和服务器性能）；LAN上其他用户的情况；网络拓扑设计；传输的数据类型；时间段

差错率：在数据链路层和网络层都存在差错控制。

网络延时：从发送报文的第一个数据包开始，到网络的接收方接收到这个报文的最后一个数据包所花费的时间

时延的组成部分：①处理时延、②排队时延、③传播时延、④传输时延

影响网络时延的因素主要与网络设备和传输媒体有关。

网络路由：

IP路由器主要是实现Internet和企业内部网、局域网之间的互联。路由器的主要功能是负责接收各个网络入口的分组，并把分组从相应的出口转发出去。

层次化网络模型：

核心层

分布层

接入层

接入层：为用户提供接入网络的服务，也称为访问层

分布层：提供用户到核心层之间的连接，也称为汇聚层

核心层：高速的网络骨干

企业复合网络模型（SAFE模型）：也是一种模块化设计方法，它与层次化相比可以支持更大的网络，更重要的是它阐明了网络中的功能界限。企业复合网络模型把网络分3个功能区：企业园区、企业边界、服务提供商边界。

局域网技术：局域网是整个网络的基础单元，无数的局域网构成了庞大的Internet。LAN 在有限的地理范围内运行；多个用户共享介质；共享底层传输介质；节点与节点之间的数据通信问题。

IEEE 802.11 ：无线局域网

局域网拓扑结构：星型网络、环型网络、总线型网络

以太网技术（详细描述工作过程）：以太网是目前最成功的局域网，它采用CSMA/CD技术共享传输介质。IEEE802.3及扩展的IEEE802.3x定义了一系列以太网标准。以太网的核心思想是各个站点共享传输介质传输数据，其基本特征是在MAC子层次采用载波监听多路访问/冲突检测（CDMA/CD）协议。

CSMA/CD 工作流程

*CSMA/CD 协议的工作原理：所有工作站在发送数据前都要侦听信道，如果信道空闲才开始发送数据，而且在发送数据过程中要不断地进行冲突检测，如果发生冲突则停止，等待后重发。（先听后发，边听边发，冲突停止，延时重发）

*以太网的分类标准： 以太网物理层标准

802.3物理层标准

名 称 传输介质 最大段长度（单位：m ）

特 点 10Base5 粗同轴电缆 500 适合于主干 10Base2 细同轴电缆 200 低廉的网络 10Base-T 3类双绞线 100 新型拓扑，易于维护 10Base-F

光纤

2000

适合远程连接

快速以太网物理层标准

快速以太网物理层标准

名 称 传输介质 最大段长度（单位：

m ）

特 点 100Base-TX 两对5类双绞线 100 全双工 100Base-T4 四对3、4、5类双绞

线 100 不对称 100Base-FX 单模或多模光纤

2000或412

全双工

发送数据

工作站侦听信道

等待 发送 停止发送，等

待 信道是否

空闲？ 检测是否有冲突？ yes

no no yes

千兆以太网物理层标准

千兆以太网物理层标准

名 称 传输介质 最大段长度（单位：m ）

1000Base-SX 多模光纤 220-550 1000Base-LX 单模光纤 多模光纤 5000 550 1000Base-CX 同轴电缆 75 1000Base-T

四对5类双绞线

100

万兆以太网物理层标准

802.3ae 万兆以太网物理层标准

名 称 传输介质 最大段长度（单位：m ）

10GBase-SW 多模光纤，短波 2-300 10GBase-LW 单模光纤，长波 2-10000 10GBase-EW

单模光纤，超长波

2-4000

802.3an 万兆以太网物理层标准

名 称 传输介质 最大段长度（单位：m ）

10Base-T

6类双绞线 超6类双绞线 7类双绞线

100

网络互联设备：

OSI 七层网络层：应用层、表示层、会话层、传输层、网络层、数据链路层、物理层

OSI 七层参考模型

广播域：指网络中的某一设备同时向网络中所有的其它设备发送数据，这个数据所能广播到的范围。广播域是基于第二层(链路层)

广播风暴：是指由于网络拓扑的设计和连接问题或其他原因使广播帧在局域网内循环传

Switch 、Bridge Router

Hub 、Repeater

播，导致网络性能下降甚至网络瘫痪的情况。

配置VLAN：

基于端口划分VLAN

按照交换机端口分组，一组划分成一个VLAN

基于MAC地址划分VLAN

根据主机MAC地址划分VLAN。主机移动时不会影响VLAN的划分

VLAN的划分方式：基于端口划分VLAN、基于MAC地址划分VLAN

基于端口划分VLAN：按照交换机端口分组，一组划分成一个VLAN

基于MAC地址划分VLAN：根据主机MAV地址划分VLAN，主机移动时不会

影响VLAN的划分

双绞线（参数和线序）：

双绞线的最大传输距离是100 m

EIA/TIA标准的非屏蔽双绞线类型（了解）参数：

1类：用于电话通信，一般不适合传输数据

2类：可用于传输数据，最大数据率为4Mb/s

3类：用于以太网，最大数据率为10Mb/s

4类：用于令牌环网，最大数据率为16Mb/s

5类：用于快速以太网，最大数据率为100Mb/s

6类：用于万兆比特以太网，最大数据率为1Gb/s

7类：用于万兆比特以太网，最大数据率为1Gb/s

EIA/TIA的布线标准中两种双绞线的顺序：

568A：绿白 - 绿 - 橙白–蓝–蓝白–橙 - 棕白 - 棕

568B：橙白 - 橙–绿白 - 蓝–蓝白 - 绿–棕白 - 棕

同轴电缆（工作方式和相关标准）：

同轴电缆的传输距离：细缆185米，粗缆500米（100-500 m）

工作方式：同轴电缆由里到外分为四层：中心铜线，塑料绝缘体，网状导电层和电线外皮。中心铜线和网状导电层形成电流回路。中心电线发射出来的无线电被网状导电层所隔离，网状导电层可以通过接地的方式来控制发射出来的无线电。

同轴电缆采用GB/T14864-1993国家标准

光纤（工作原理和相关参数）：

原理：光导纤维是由两层折射率不同的玻璃组成。内层为光内芯，直径在几微米至几十微米，外层的直径0.1～0.2mm。一般内芯玻璃的折射率比外层玻璃大1%。根据光的折射和全反射原理,当光线射到内芯和外层界面的角度大于产生全反射的临界角时，光线透不过界面，全部反射。

光纤：分为单模光纤和多模光纤；光纤传输距离取决于激光器的功率，通信领域中是光模块的激光功率决定。光模块一般分为短距（几百米）、中距（10公里）、长距（40公里）和超长距（80公里）

综合布线（工作范围）：

综合布线系统是建筑物与建筑群综合布线系统

综合布线系统包含6个子系统：

工作区子系统：处于用户终端设备和水平子系统的信息插座之间，起着搭桥的作用

水平布线子系统：指每个楼层配线架至工作区信息插座之间的线缆、信息插座、转接点及配套设施组成的系统。

管理子系统：由交连、互连和输入/输出（I/O）组成，为连接其他子系统提供连接手段。垂直干线子系统：每个建筑物内由主交换间至楼层交换间之间的缆线及配套设施组成的系统。

设备间子系统：由设备室的电缆、连接器和相关支撑硬件组成，它在中继线交叉处和布线交叉连接处将公用系统的各种不同设备互联起来。

建筑群干线子系统：指由楼群配架线与其他建筑物配线架之间的缆线及配套设施组成的系统。

电路交换：是指每次为通信会话建立、保持和终止一条专用物理电路。

报文交换：当源节点有数据要发送时，首先把要先把发送的数据给中间节点，中间节点将数据存储起来，然后选择一条合适的出口将数据转发给下一个中间节点，如此循环直到数据发送到目的节点。

分组交换（工作方式、优缺点、原理）：

工作方式：分组交换是对报文交换的改进。在采用分组交换的网络中，必须将用户数据划分成一个个分组，而且每个分组都含有目的地址和源地址。

原理：分组交换的基本原理是采用“存储——转发”技术，从源站发送报文时，将报文划分成有固定格式的分组（Packet），把目的地址添加在分组中，然后网络中的交换机将源站的分组接收后暂时存储在存储器中，再根据提供的目的地址，不断通过网络中的其它交换机选择空闲的路径转发，最后送到目的地址。

优缺点：

优点：利用率高、数据率、排队机制、优先级

缺点：时延抖动、开销大

广域网接入技术（熟悉中英文的写法）：

公共电话交换网（PSTN）：就是我们打电话所用到的语音传输网络

数字数据网（DDN）：是一种半永久性连接电路的公共数字数据传输网络

公共分组交换网（X.25）：是由ITU-T制定的公用分组网络，分为分组终端和非分组终端

帧中继（FRN）：是一种分组交换技术，可以看做是X.25的简化和改进

综合业务数据网（ISDN ）：利用公共电话网向用户提供端对端数字信息连接服务

非对称数字用户线（ADSL ）：传输速率更高的技术，传输分为上行、下行两个信道且两个信道传输速率不对称

异步传输模式（ATM ）：是在分组交换技术的基础上发展起来的快速分组交换技术

网络地址转换（NAT ）：在使用私有地址的网络中，当数据被发送到Internet 时，内部私有地址必须转换成公有地址，当数据从互联网返回内部网络时，这些共有地址又必须转换回私有地址

网络地址转换（NAT ）案例：

某单位有一段C 类地址202.4.130.0，但是在企业内部网中使用私有地址段172.16.0.0为各个主机分配IP 地址。内部主机与Internet 进行通信时，必须由路由器为其分配公有地址（路由器可以动态从202.4.130.0这个网段中分配共有地址），当数据由Internet 返回内部网络时，公有地址必须转换成私有地址，才能将数据转发给相应的主机。

如图所示：

NAT 转换过程

Internet

IP 包B SA ：202.4.130.11 DA ：166.111.4.100 IP 包A

SA ：172.16.0.3

DA ：166.111.4.100

IP 包D SA ：166.111.4.100 DA ：172.16.0.3 IP 包C

SA ：166.111.4.100 DA ：202.3.130.11 NAT 内部 NAT 外部 NAT 表

划分子网：

例: C类IP地址段192.168.3.0来分配

(1)需要12个子网

(2) 每个子网中最多有10台主机

解: 2（4）>=12, 所以子网位数=4

则主机位数=8-4=4

每个子网段最多可有2(4)-2=14台主机2(4):2的四次方(主机位全0用于子网地址，主机位全1用于广播地址)

计算子网地址：

192.168.3 192.168.3 192.168.3 192.168.3 192.168.3

.

.

. 192.168.3

0000

0001

0010

0011

0100

.

.

.

1111

0000

0000

0000

0000

0000

.

.

.

0000 .

.

.

.

.

.

第1个子网第2个子网第3个子网第4个子网第5个子网

.

.

.

第16个子网

=192.168.3.0

=192.168.3.16

=192.168.3.32

=192.168.3.48

=192.168.3.64

.

.

.

=192.168.3.240 网络位子网位主机位

IP地址类型：主要分为5类（A、B、C、D、E）

A类网络：（1--126）X.X.X 主机部分共24位，适合大型网络使用

B类网络：（128--191）X.X.X 主机部分共16位，适合中型网络使用

C类网络：（192--223）X.X.X 主机部分共8位，适合小型网络使用

D类网络：（224--239）X.X.X 是组播地址，适用于在网络中广播

E类网络：（240--255）X.X.X 是保留地址，被用作试验

求子网

例：设IP地址为192.168.10.2，子网掩码为255.255.255.240，求网络地址

答：用“与”运算。将十进制转换成二进制进行与运算

IP地址：11000000 10101000 00001010 00000010

掩码： 11111111 11111111 11111111 11110000

AND运算：

－－－－－－－－－－－－－－－－－－－－－－－

11000000 10101000 00001010 00000000

则可得其网络标识为192.168.10.0

求网络标识(ID)和主机标识(ID)

例：设IP地址为192.168.10.250，子网掩码为255.255.255.240，求网络标识(ID)和主机标识(ID)

答：用“与”运算。将十进制转换成二进制进行与运算

IP地址：11000000 10101000 00001010 11111010

掩码： 11111111 11111111 11111111 11110000

AND运算：

－－－－－－－－－－－－－－－－－－－－－－－

11000000 10101000 00001010 11110000

则可得其网络标识为192.168.10.240

主机ID为：10（二进制中所有和0对应的位 1010 ）

确定变长子网掩码的步骤：

1.确定要划分的子网的数量，并将其转换为二进制。

2.计算子网掩码所需的二进制位数。

3.以高位顺序（从左至右）将所需的位数转换为十进制数。

CIDR（无类别区域间路由）格式：A.B.C.D /n（路由器发送路由更新信息时，必须携带网络位的长度）

CIDR将路由集中起来，使一个IP地址代表主要骨干提供商服务的几千个IP地址，从而减轻Internet路由器的负担。

CIDR采用可变网络ID，而不是A-B-C类网络ID所用的固定的8、16和24位CIRR格式

例:网络号58.154.0.0,网络掩码: 255.254.0.0

CIDR格式:

58.154.0.0/15

*路由的工作原理：路由器由输入端口、输出端口、交换结构、路由选择处理器组成输入端口：将一条输入的物理链路与路由器相连接；对数据链路层的数据进行处理；

查找数据分组要转发的输出端口

交换结构：将路由器的输入端口和输出端口相连接。这种交换结构完全被包含在路由器中，是一个路由器中的网络

输出端口：存储从交换结构接收到的分组，并通过执行必要的物理层和数据链路层功能在输入链路上传输这些分组。当一条链路是双向的时，输入端口和输出

端口常在同一线路卡上成对出现

路由选择处理器：执行路由选择协议维护路由选择表以及连接的链路状态信息，并为路由器计算转发表。也可以执行网络管理功能

*路由协议

路由协议：在将每个报文按照到目的的网络的最佳路径转发时，路由器必须使用一定的路由协议才能彼此学习路由信息，为报文选择最佳路径。

路由协议分类：

内部与外部路由协议：常见的IGP协议有RIP和OSPF

距离矢量和链路状态路由协议：更新信息，发送协议（周期性的向邻居路由器发送更新信息）

混合型路由协议：向邻居路由器发送变动的信息

平面型与层次型路由协议：根据路由协议的扩散区域划分

类别化与无类别化：发送的路由更新信息

路由信息协议RIP：是基于距离矢量算法的路由协议，利用跳数来作为计量标准。在带宽、配置和管理方面要求较低，主要适合于规模较小的网络中

OSPF：是一个内部网关协议，用于在单一自治系统内决策路由。是对链路状态路由协议的一种实现，隶属内部网关协议，故运作于自治系统内部

IPV4向IPV6的迁移：

双协议栈机制：主机同时运行IPv4和IPv6两套协议栈，同时支持两套协议

隧道技术：将IPv6的分组封装到IPv4的分组中，封装后的IPv4分组将通过IPv4的路由体系传输，分组报头的“协议"城设置为41

NAT-PT（网络地址转换-协议转换）：利用转换网关来在IPv4和IPv6网络之间转换IP报头的地址，同时根据协议不同对分组做相应的语义翻译，从而使纯Pv4和纯IPv6站点之间

能够透明通信

无线网技术： 无线局域网标准

IEEE 是无线网络标准的主要发布者，已发布的相关标准有:

802.11: 速率1~2Mbps,使用DSSS (顺序扩频)技术、2.4GHz 频段

802.11b (Wi-Fi) :速率11Mbps (通常为2~4Mbps)，使用DSSS 技术、2.4GHz 频段 802.11a: 速率54Mbps (通常为20~26Mbps)，使用DSSS 技术、5GHz 频段

802.11g: 兼容11Mbps 和54Mbps,使用OFDM(正交频分复用Orthogonal Frequency DivisionMultiplexing)调制技术

AD-HOC （点对点）模式：AD-HOC 模式就和以前的直连双绞线概念一样，是P2P 的连接，所以也就无法与其它网络沟通了。一般无线终端设备像PMP 、PSP 、DMA 等用的就是ad-hoc 模式

无线局域网吞吐量：距离发射装置越近，吞吐量就越大

CSMA/CA 协议: 是由一种称为CSMA/CD 的协议来完成调节，来完成无线局域网下的冲突检测和避免，如果某站点有数据要发送，它首先侦听信道，并根据不同的情况进行相应的处理

CSMA/CD 协议的工作流程图

帧等待传输 等IFS 等待直到传输

完毕

等IFS

传输帧

指数后退 传输帧

介质空？ 介质空?

介质空？

SSID：用来区分不同的网络，最多可以有32个字符；无线网卡设置了不同的SSID就可以进入不同的网络，SSID通常由AP广播出来主机通过扫描可以看出当前区域内的SSID。

WEP：通过对无线客户端和AP之间的流量实施加密可以缓解SSID广播问题。

恶意软件的分类：病毒、蠕虫、特洛伊木马、黑客攻击

拒绝服务攻击(DOS、DDOS原理，如何攻击和防范)

拒绝服务攻击DOS原理：就是通过合法的手段使服务器不能正常提供服务的攻击方式，利用合理的服务请求占用过多的服务器资源，从而使合法用户无法得到服务器的响应。

攻击方式：使用常见的SYN泛洪，在这种攻击下服务器很快就被初始的连接淹没。

DDos攻击：分布式拒绝服务攻击，是目前Dos攻击的主要方式，借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。

攻击方式：攻击者首先利用漏洞控制一批主机，然后在这些主机上远程安装DDOS主控端软件，把这些主机变成主控端，然后依次扫描它们所在局域网，寻找可以破坏的主机，将它们变成DDOS代理。

防范：DDoS 必须透过网络上各个团体和使用者的共同合作，制定更严格的网络标准来解决。每台网络设备或主机都需要随时更新其系统漏洞、关闭不需要的服务、安装必要的防毒和防火墙软件、随时注意系统安全，避免被黑客和自动化的 DDoS 程序植入攻击程序，以免成为黑客攻击的帮凶。

防火墙的分类：

包过滤型：作用在网络层和传输层，它根据分组包头源地址、目的地址和端口号、协议类型等标志确定是否允许数据包通过。只有满足过滤逻辑的数据包才被转发到相应的目的地出口端，其余数据包则被从数据流中丢弃。

应用网关型：指在网络应用层上建立协议过滤和转发功能。

代理服务型：作用在应用层，它用来提供应用层服务的控制，在内部网络向外部网络申请服务时可起到中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他接点的直接请求。

复合型防火墙；将包过滤和代理服务两种方法结合起来，形成新的防火墙。

防火墙的工作原理：防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉。在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。

防火墙的部署：

（1）局域网内的VLAN之间控制信息流向时加入防火墙

（2）Internet与Internet连接时加入防火墙

（3）总部局域网和分支机构相连时，需要采用防火墙隔离

（4）利用一些防火墙提供的负载均衡功能，在公共服务器和客户端之间加入防火墙实现负载均衡、流量控制和日志记录等

（5）两网对接时，利用硬件防火墙实现地址转换（NAT）和网络隔离等

入侵检测（ID）:是对入侵行为的发觉。它通过对计算机网络或计算机系统中得若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。

入侵检测系统(IDS)：进行入侵检测的软件与硬件的组合便是入侵检测系统。与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。

虚拟专用网（VPN）：是一种利用公共网络来构建私人专用网络的技术，用于构建VPN的公共网络包括Internet、帧中继和ATM等

VPN部署：因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM(异步传输模式〉、Frame Relay （帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。

VPN功能：信息包分类、带宽管理、通信量管理、公平带宽、传输保证

VPN工作方式：

实现以下四种方式：

VPN服务器：在大型局域网中，可以通过在网络中心搭建VPN服务器的方法实现VPN。

软件VPN：可以通过专用的软件实现VPN。

硬件VPN：可以通过专用的硬件实现VPN。

集成VPN：某些硬件设备，如路由器、防火墙等，都含有VPN功能，但是一般拥有VPN功能的硬件设备通常都比没有这一功能的要贵。

VPN常用技术：隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。

隧道技术：实现VPN，最关键部分是在公网上建立虚信道，而建立虚信道是利用隧道技术实现的，IP隧道的建立可以是在链路层和网络层。

隧道协议：隧道是利用一种协议传输另一种协议的技术，即用隧道协议来实现VPN功能。为创建隧道，隧道的客户机和服务器必须使用同样的隧道协议。

PPTP（点到点隧道协议）：是一种用于让远程用户拨号连接到本地的ISP，通过因特网安全远程访问公司资源的新型技术。

L2TP协议：L2TP是PPTP与L2F（第二层转发）的一种综合，他是由思科公司所推出的一种技术。

IPSec协议：是一个标准的第三层安全协议，它是在隧道外面再封装，保证了在传输过程中的安全。IPSec的主要特征在于它可以对所有IP级的通信进行加密。

加解密技术：加解密技术是数据通信中一项较成熟的技术，VPN 可直接利用现有技术实现加解密。

密匙管理技术：密匙管理技术的主要任务是如何在公用数据网上安全地传递密匙而不被窃取。

使用者与设备身份认证技术：使用者与设备认证及时最常用的是使用者名称与密码或卡片式认证等方式。

SSL ：是保证浏览器和Web 服务器通过安全连接进行通信的技术。在这种安全连接上，数据在发送前经过加密，然后在接收时先解密在进行处理，浏览器和服务器在发送任何数据之前都对所有流量加密。

SSL 在TCP/IP 协议栈中的位置：

HTTP

LDAP

IMAP

SSL

TCP/IP

SSL 在TCP/协议栈中的位置

IPSEC 与SSL VPN : IPSEC VPN 多用于“网-网”连接，SSL VPN 用于“移动客户-网”连接。SSL VPN 的移动用户使用标准的浏览器，无需安装客户端程序；而IPSEC VPN 的移动用户需要安装专门的IPSEC 客户端软件

SSLVPN 是基于应用层的VPN, 而IPsec VPN 是基于网络层的VPN 。

SSL VPN 用户不受上网方式限制，SSL VPN 隧道可以穿透Firewall;而IPSec 客户端需要支持“NAT 穿透”功能才能穿透Firewall.

SSLVPN 更容易提供细粒度访问控制，可以对用户的权限、資源、服务、文件进行更加细致的控制，与第三方认证系统(如:radius 、AD 等)结合更加便捷。而IPSecVPN 主要基于IP 五元组对用户进行访问控制。

应用层

网络层