同交换机下TCP/UDP数据包传输路径及速率相关技术咨询

核心问题 #

处于同一交换机同一网段的UDP/TCP数据包是否会发送至路由器/防火墙？

假设网络环境 #

• ISP的互联网路由器/调制解调器连接至运行PfSense的防火墙设备的1Gb/s入站端口。
• 该防火墙设备另有两个1Gb/s以太网端口，分别分配不同的IP网段（例如192.168.100.x、192.168.101.x）。
• 防火墙的这两个出站端口均物理连接至同一台24端口10Gb/s交换机。
• 该交换机已划分为两个不同的LAN（即各12个端口，LAN1和LAN2）。
• 计算机A和B位于LAN1，所属IP网段为192.168.100.x。
• 计算机X位于LAN2，与A、B同属一台物理交换机，但IP网段为192.168.101.x。
• 所有计算机均运行Web服务器，且使用同一台交换机但分属不同IP网段。

延伸疑问 #

1. 从计算机A向B（同LAN网段）拷贝文件时，所有数据包是否需要先经过防火墙？即尽管处于同一10Gb/s交换机，流量是否会受限于防火墙的1Gb/s端口速率？
2. 从计算机A向X（不同网段、不同IP范围）拷贝文件时，所有数据包是否需要先经过防火墙？即尽管处于同一10Gb/s交换机，流量是否会受限于防火墙的1Gb/s端口速率？

问题解答 #

核心问题答案 #

同一交换机同一网段的UDP/TCP数据包不会发送至路由器/防火墙。

交换机是二层网络设备，依靠MAC地址表完成流量转发。同一网段内的设备通信时，发送方会通过ARP协议获取目标设备的MAC地址，随后直接将数据包发送到交换机对应端口，整个过程完全在交换机内部完成，不涉及三层路由设备（防火墙/路由器）。

延伸疑问解答 #

1. A到B（同LAN网段）的文件拷贝
   数据包不需要经过防火墙，流量完全在10Gb/s交换机内部转发，不会受限于防火墙的1Gb/s端口速率。因为A和B处于同一IP网段且在交换机的同一LAN划分中，交换机直接完成二层转发，不走防火墙的三层路由路径。

2. A到X（不同网段）的文件拷贝
   所有数据包必须经过防火墙，流量会受限于防火墙的1Gb/s端口速率。原因如下：

• A和X属于不同IP网段，A的默认网关是防火墙的192.168.100.x端口，X的默认网关是防火墙的192.168.101.x端口。
• A发送给X的数据包会先发给默认网关（防火墙），防火墙完成三层路由转发后，再发送到X所在网段的端口，最后由交换机转发给X。整个流量路径必须经过防火墙的两个1Gb/s端口，因此速率会被防火墙的端口带宽限制。

内容的提问来源于stack exchange，提问作者Anon Ymous