常见的网络设备类型及其功能

现代 IT 基础设施由多种相互连接的网络组件构成，使组织内的通信与资源共享成为可能。无论是保护敏感数据、促进协作，还是仅仅确保不间断的访问，都离不开由设备组成的网络——而这些设备的各项要素对于企业的成功运转至关重要。

在下文中，我们将探讨 网络设备 的定义、类型、功能，以及在维持业务效率、安全性和可靠性方面的重要性。

网络设备的定义

网络设备是用于支撑计算机与互联网网络之间通信的硬件或软件组件。常见的网络设备包括：

• 路由器
• 交换机
• 集线器
• 调制解调器
• 防火墙
• 接入点

网络设备负责管理流量流向并转发数据包，提供安全保障，并实现网络分段之间或与 Internet 之间的连接。每台设备都承担特定的用途，从而使组织的 IT 生态系统中信息与连接能够顺畅无缝地运行。

网络设备的重要性

网络设备承担两个关键作用：

1. 第一步是建立网络连接，正如路由器或调制解调器所做的那样。
2. 第二步是像集线器、中继器、交换机或网关那样，维护、保护并增强这种连接

网络设备对于建立和管理网络至关重要。计算机网络的目的，是在组织的用户和设备之间共享文件、打印机以及互联网连接等资源。它们确保数据能够被准确路由并得到安全保护，从而支持网络服务与应用程序的有效、可靠运行。如果没有网络设备，你的 IT 基础设施将缺乏管理数据流量的能力，进而导致效率低下、数据丢失以及安全漏洞。网络设备还能让企业具备可扩展性，使网络能够适应不断变化的业务需求，而这对维持最佳性能并防护网络威胁至关重要。

网络设备的功能

网络设备用于以下一般目的：

• 促进设备之间的数据传输与通信
• 实现高效且安全的网络连接
• 提升网络性能并优化数据流量
• 通过实施访问控制和威胁防护来提供网络安全
• 简化网络管理与配置
• 扩展网络覆盖范围，并克服信号限制

网络设备的类型

了解不同类型的网络设备对于优化并保障贵组织的网络基础设施至关重要。下面，我们提供了一份网络设备示例列表，这些设备构成了高效网络管理与通信的基础：

• 中继器
• 集线器
• 网桥
• 交换机
• 路由器
• 网关
• Brouter
• 网络接口卡

让我们分析这些网络设备的每一种类型及其子类型。

中继器

数字信号在沿着电缆传输时，最多只能走到一定距离，之后就会发生退化。这种逐渐变弱称为衰减率（attenuation rate）。工作在 OSI 模型物理层（第 1 层）的中继器是一种有电源的设备，会重新增强信号，以便信号继续向前传输。如今专用中继器很少使用，因为带电源的集线器、交换机和路由器都能完成中继器的功能。不过，中继器有时也会被用来扩展远程无线接入点的覆盖范围。

集线器

网络集线器是一种必不可少的多端口设备，可将多个以太网设备连接到同一个广播网络段，从而容易导致网络拥塞。集线器主要有三种类型：

• 被动集线器
• 主动集线器
• 智能集线器

让我们逐一看看这些：

• 被动集线器: 无需电源即可连接无需放大的设备。
• 有源集线器： 该集线器在广播之前会放大传入的信号，并且需要外部供电。因此，它相当于中继器。
• 智能集线器： 包含网络管理、监控和诊断功能。

过去曾经很普遍，但现在由于交换机已经取代了它们，集线器几乎不再使用。和中继器一样，集线器在 OSI 模型的物理层（第 1 层）运行。

网桥

虽然集线器（hub）可以连接多个设备，但网络网桥（network bridge）会连接两个或多个网络段，并对它们之间的流量进行过滤。它们的作用是隔离本地网段的通信，减少流量拥塞，从而提升网络性能。本地网桥（local bridge）连接同一物理位置或 LAN 内的两个或多个网络段。相对而言，远程网桥（remote bridge）连接在地理位置上相隔的网络段，通常通过 WAN 链路实现。

网桥的类型

网桥有两种类型：

• 透明网桥
• 源桥

让我们逐一看看这些：

• 透明网桥 通过检查传入帧的源地址来构建并维护 MAC 地址表，然后通过将目的 MAC 地址与该表进行对照来做出转发决策。
• 源桥 采用了不同的方法，且常用于令牌环网络（几乎已被淘汰）。网桥工作在 OSI 模型的数据链路层（第 2 层）。你今天很可能再也不会接触这两种类型的网桥。

交换机

如今有许多不同类型的交换机可供选择，例如：

• 非网管交换机
• 网管交换机
• 智能交换机
• 二层交换机
• 三层交换机
• PoE 交换机
• 千兆交换机
• 机架式交换机
• 桌面交换机
• 模块化交换机

路由器

路由器的主要工作是引导网络流量。路由器通过使用不同的网络拓扑在相互连接的网络设备之间规划路径，将数据包转发到其目的地。它们是智能设备，会存储有关其连接网络的信息。路由器通常使用访问控制列表（ACL）来过滤流量；有些甚至可以充当基于数据包的过滤防火墙。

路由器还可以将内部网络划分为两个或多个子网，并且可以在内部与其他路由器连接，形成可独立运行的区域。路由器通过维护有关目的地和本地连接的表来建立通信。路由器还包含它们所连接的路由器的信息，并使用这些信息将数据包转发到任何它不认识的目的地。路由器在 OSI 模型的网络层（第 3 层）工作。路由器有两种类型：

1. 静态路由器
2. 动态路由器

让我们逐一看看它们。

静态路由器

静态路由器 使用手动配置的路由来引导网络流量，以确保一致且预先定义的数据包路径，而无需在网络发生变化时自动调整。它们适用于较小的网络。

动态路由器

一个 dynamic router 会自动与其他 dynamic router 通信，根据实时网络状况修改其路由表。它使用 OSPF、RIP 或 BGP 等动态路由协议，与其他路由器交换有关网络拓扑和链路状态的信息。这些协议使路由器能够发现最佳路径、适应网络变化，并高效地重新路由流量。dynamic router 会持续更新其路由表，从而实现自动故障切换和负载均衡。它们还能通过查找替代路径，快速响应网络故障或拥塞。这种灵活性使其非常适合手动配置不切实际的大型、复杂网络。

网关

用于连接网络的常见网络设备是网关。网关可连接不同的网络，并使它们之间能够通信。可以把网关理解为一种“翻译器”，它将来自一种协议或格式的数据转换为另一种协议或格式。这有助于确保不同网络环境之间的兼容性。网关对于必须跨越不同网络架构的通信至关重要。

网关示例

网关网络设备的典型例子是与广域网（WAN）或互联网相连的 LAN。此类设备通常工作在 OSI 模型的传输层和会话层（第 5 层和第 6 层）。网关还可能提供安全功能，例如防火墙，并提供网络性能优化功能。

Brouter

Brouter 是“bridge router（桥接路由器）”的缩写，同时结合了桥接器和路由器两者的功能。因此，它在 OSI 模型的数据链路层（第 2 层）和网络层（第 3 层）中工作。Brouter 会像桥接器一样根据 MAC 地址转发数据包，同时也会像路由器一样根据 IP 地址转发。由于大多数网络都使用专用路由器和交换机，Brouter 在今天已不再使用。

网络接口卡

任何联网设备都包含一张网络接口卡（Network Interface Card，NIC）。该卡为计算机与网络之间提供专用连接，并负责管理数据的发送与接收。之所以称为“卡”，是因为它最初被设计为插入主板插槽的扩展卡。如今，大多数 NIC 都直接集成在主板上。它们有多种类型，包括：

• 有线（例如：以太网）
• 无线（例如 Wi‑Fi）
• 光纤

网卡（NIC）通常由几个关键组件组成：

• 用于处理数据的控制器
• 用于连接网线或收发器的端口
• 用于连接到计算机的总线接口
• 用于在网络中识别的唯一 MAC 地址

虚拟网络设备

云计算催生了各种网络设备的变体。运行虚拟化基础设施（IaaS）包括前面讨论的网络设备类型，例如路由器、交换机、防火墙和网卡（接口卡）。它们既可以作为由组织自行运行的独立虚拟机存在，也可以作为所使用云服务所提供环境的一部分。

其他网络组件

以下是其他网络组件：

• 调制解调器
• 网络电缆
• 防火墙
• 无线接入点（WAP）
• 入侵检测与防护系统（IDPS）
• 虚拟专用网络（VPN）设备

调制解调器

调制解调器（modem，modulator-demodulator 的缩写）是一种设备，可将数字信号转换为不同频率的模拟信号，并将其传输到接收端的调制解调器。这些从调制解调器发出的信号可以通过电话线路、有线电视系统或其他通信介质进行传输。调制解调器还会将传入的模拟信号转换回数字数据。它们通常用于帮助互联网服务提供商（ISP）的客户实现互联网接入。

调制解调器的类型

调制解调器主要有四种类型：

1. DSL 调制解调器： 使用电话线，通常被认为是连接速度最慢的方式。
2. 有线电视调制解调器： 通过电视线路传输信息，比 DSL 更快。
3. 无线调制解调器： 使用 Wi‑Fi 网络连接设备，并依赖附近的 Wi‑Fi 信号。
4. 蜂窝调制解调器： 允许设备使用蜂窝网络而不是 Wi‑Fi 或有线连接来上网。

网络电缆

网络电缆是用于连接计算机网络中设备的物理介质。常见类型包括：

• 以太网电缆（例如 Cat5e、Cat6）
• 同轴电缆
• 光纤电缆。

这些电缆在传输速度、带宽和传输距离能力方面有所不同。以太网电缆通常用于将计算机或摄像机等设备连接到网络交换机。相比之下，光纤电缆将路由器连接到管道，用于承载高流量负载。无论哪种类型，电缆通常都由绝缘导体、屏蔽层以及两端的连接器组成，以便于设备连接。所有网络电缆都有衰减长度（attenuation length），这意味着它们只能在一定时间内传输数字信号，之后就需要由电源对其进行重新供能（energize）。该长度会根据电缆类型、质量以及所传输信号的频率而变化。

防火墙

防火墙是一种网络安全设备，用于在可信的内部网络与不可信的外部网络之间建立隔离屏障。防火墙会连接多个称为“区域（zones）”的区域，例如：

• LAN
• WAN
• DMZ

它们使用指定的安全策略，通过检查在不同区域之间流动的数据包来过滤网络流量。当然，互联网也是所有网络中最不值得信任的网络。防火墙还可以放置在内部网络中，以隔离承载敏感数据的内部部门，例如人力资源（HR）或财务（Finance）。防火墙可以是基于硬件、基于软件，或两者的组合。

防火墙可能会实施阻止列表（也称为拒绝列表 deny list），它允许所有流量，但会阻止某些特定类型。为了获得更严格的安全性，你可以实现允许列表（也称为 allow list），即阻止所有流量，除非是明确指定的内容。防火墙有多种类型，而哪一种适合你取决于你的具体运维方式。常见的防火墙类型包括：

• 数据包过滤
• 有状态检测
• 下一代防火墙（Next-Generation Firewall (NGFW)）

让我们详细阐述防火墙的三种类型。

数据包过滤

充当网络层检查点，根据 IP 地址、数据包类型、端口号或网络协议来分析数据包。

有状态检测

在网络和传输层分析数据，检查源 IP、目标 IP、源端口和目标端口。

下一代防火墙（Next-Generation Firewall，NGFW）

这款先进的网络安全设备超越了传统防火墙的能力，并在产品中集成了多种安全功能。举例来说，包括深度数据包检测（deep packet inspection）、入侵防御系统（IPS）、应用感知与控制，以及高级威胁检测。NGFW 还可能使用人工智能（AI），通过检查数据包内容并识别流量中的应用及潜在威胁来应对复杂威胁。

无线接入点（WAPs）

无线接入点（WAP）是一种带有内置天线、发射器和适配器的网络设备。WAP 使用无线基础设施网络模式（wireless infrastructure network mode），以在 WLAN 与有线以太网 LAN 之间提供连接点。WLAN 本质上充当 WLAN 与固定有线网络之间的互连点。

连接到无线网络需要服务集标识符（SSID）名称。SID 用于识别属于同一网络的所有系统；客户端站点必须配置为带有 SSID，才能向 WAP 进行身份验证。WAP 可能会广播 SSID，使该区域内的所有无线客户端都能看到 WAP 的 SSID。然而出于安全原因，AP 可以被配置为不广播 SSID，这意味着管理员需要将 SSID 直接提供给客户端系统，而不是允许其自动被发现。无线设备出厂时通常带有默认 SSID、安全设置、信道、密码和用户名。出于安全原因，强烈建议尽快更改这些默认设置，因为许多互联网网站会列出制造商使用的默认设置。

根据网络规模的大小，可能需要一个或多个 WAP 才能实现全面覆盖。增加 WAP 后，可以让更多无线客户端接入，并扩大无线网络覆盖范围。每个 WAP 都受其传输范围限制——即客户端在仍能获得合理信号和数据处理速度的情况下，距离 WAP 的最远距离。该距离取决于无线标准、障碍物以及客户端与 WAP 之间的环境条件。高端 WAP 具备高功率天线，使无线信号的传播距离更远。

WAP 有多种类型，例如：

• 独立型接入点：
• 基于控制器的接入点
• 云端管理型接入点：
• USB 接入点

独立型接入点

这些独立设备可为客户端提供无线连接。这些设备适用于需要数量有限的接入点的小型企业或家庭网络。

基于控制器的接入点

这些 WAP 由中央无线 LAN 控制器进行管理，从而简化多个接入点的管理。它们非常适合规模更大的网络，在这种环境中，集中式管理对于高效运行和可扩展性至关重要。

云端管理接入点

这些设备通过基于云的管理平台进行管理，并提供远程管理与监控能力。它们非常适用于分布式网络和多站点企业：集中式云管理能够在多个地点之间实现高效的监管与控制。

USB 接入点

USB 接入点是小型、便携的设备，只需连接到 USB 端口即可创建无线热点。它们适用于临时搭建、出行旅行，或扩展小型家庭网络。

入侵检测与防护系统（Intrusion Detection & Preventing Systems，IDPS）

入侵检测与防护系统（Intrusion Detection and Prevention System，IDPS）是一种网络安全工具，可在计算机网络中监控、检测并阻止恶意活动和安全威胁。

其核心功能包括监控网络流量中的可疑活动、检测潜在威胁，并采取行动以预防或减轻可能的 攻击。IDPS 的关键组件包括入侵检测系统（Intrusion Detection System，IDS），它会监控可疑活动并生成告警；以及入侵防护系统（Intrusion Prevention System，IPS），它会主动阻止或防止已识别的威胁。

统一威胁管理（Unified Threat Management，UTM）

UTM 设备是一种安全设备（安全硬件/软件），将多种安全功能整合为单一的硬件或软件解决方案。IDPS 通常包含在统一威胁管理（Unified Threat Management，UTM）设备中，例如 NGFW。

虚拟专用网络（VPN）设备

传统的虚拟专用网络（VPN）是一种安全的连接方式，远程用户使用它来连接到企业网络。VPN 连接主要由两个组成部分构成：

• VPN 服务器（防火墙或专用 VPN 设备）
• 安装在连接设备上的 VPN 客户端应用

该连接会通过互联网创建一条加密隧道，从而加密 VPN 客户端设备与企业网络之间传输的所有数据。此外，还有第三方 VPN 服务订阅可帮助用户保护敏感信息、绕过地理限制，并保护其身份。

网络架构的组成部分

以下是网络架构的其他组成部分：

• 传输介质
• 协议
• 拓扑结构

传输介质

传输介质是指承载数据在网络中传输的物理路径，可将其理解为网络的“道路系统”。例如包括以太网电缆、光纤以及无线信号。传输介质的选择会影响数据传输的速度、传输距离和可靠性。

协议

协议是用于规范网络设备之间数据交换的规则集和约定。建立统一标准可确保不同厂商的不同产品之间具备互操作性。在网络设备及其管理的基于 IP 的协议家族中，常见的包括：

1. TCP
2. UDP
3. (S)HTTP
4. SSL/TLS
5. DHCP（Dynamic Host Resolution Protocol）

用于广域网的路由协议包括 BGP、网络地址转换（Network Address Translation，NAT）、端口地址转换（Port Address Translation，PAT），以及它们的组合使用；同时也包括诸如快速转发（fast forward） 或 存储转发（store and forward）。

拓扑

拓扑描述了网络的布局和结构，概述不同节点和设备之间如何相互连接。常见的拓扑包括星型、总线型、环型和网状型。在星型拓扑中，所有网络组件都连接到一个中心节点。经典例子是：一组台式电脑连接到集中式交换机。到目前为止，这也是今天最受欢迎的拓扑选择。每种拓扑都有其优缺点，可能会影响网络性能、可扩展性和容错能力。

网络设备管理中的常见挑战

如今的现代网络中有太多“活动部件”，而且许多事情都可能出错。由于互联设备的复杂性以及多样化的协议，网络管理变成了一项多方面的挑战。IT 专业人员必须在这样一个环境中工作：硬件故障、软件故障、带宽问题以及与用户相关的故障都可能随时发生。下面让我们来看看网络支持团队在管理网络设备时常见的挑战：

• 物理连接问题
• 故障的硬件设备
• DNS 问题
• 温度与通风问题
• 容量的过度使用
• 电源供给波动
• 电池过度使用

我们来逐一看看在计算机网络中管理网络设备所面临的各项挑战。

物理连接问题

当网络流量无法在两个点之间传输时，就会出现连接问题。该问题可能由损坏的电缆、故障的接头或运行异常的硬件引起，进而导致网络中断、连接时断时续、数据传输缓慢以及停机时间增加。尽管连接问题可能会显著扰乱业务，但它们往往也是最容易排查的故障之一。

故障的硬件设备

当您的网络设备发生故障或无法以最佳状态运行时，可能会导致数据传输速率降低、延迟增加、数据包丢失，甚至引发网络完全停机。即使失去单个集中式网络组件，也可能显著扰乱业务运作并降低生产力，因此如今内置的韧性（resiliency）至关重要。

DNS 问题

DNS 是 Domain Name System（域名系统）的缩写。它是一个用于连接到互联网或专用网络的计算机、服务以及其他资源的分层且分布式命名系统。DNS 问题会通过扰乱名称解析流程，显著影响网络功能。如果没有可用的 DNS 服务器，您将无法浏览互联网、查看电子邮件，甚至无法登录 Windows 域。

温度与通风问题

服务器和网络设备（网络设备柜）内部都包含会产生大量热量的处理器。过热可能会损坏网络设备、缩短产品使用寿命，甚至触发意外关机。因此，存放网络设备的房间必须具备适当的冷却和通风。必须对包含设备的数据中心或机柜（closet）内的温度进行监控，以应对任何温度上升。

容量的过度利用

网络过度利用类似于高峰时段拥堵的高速公路。当网络流量超过其设计容量时，就会导致数字化“交通堵塞”（gridlock）。这种拥堵会表现为响应时间变慢、延迟增大以及数据包丢失。用户可能会遇到令人沮丧的现象，例如视频流播放过程中的缓冲、VoIP 通话中断，以及网页应用性能迟缓。

电源供电波动

贵公司的网络由电力驱动。电源供电波动可能导致间歇性的连接问题、数据包丢失以及延迟增加。持续的电力变化也会缩短网络设备的使用寿命，从而由于更频繁的更换而产生更高的运维成本。使用不间断电源（UPS）、浪涌保护器以及对电气系统进行适当的维护，对于降低这些风险至关重要。

电池过度使用

电池迅速耗尽会导致设备降低性能；随着时间推移，还可能降低网络交互的响应速度并延长连接时间。频繁的断开与重新连接循环会增加信令负载和数据使用量，从而可能导致网络拥塞。

网络设备安全最佳实践

了解当今可用的不同类型网络设备，是构建可靠网络的第一步。然而，确保网络安全、运行高效，并且不会随着时间推移而变得容易受到攻击，同样至关重要。下面列出了一些最佳实践，帮助你避免连接与安全问题：

• 选择多供应商支持
• 优先处理关键告警
• 主动监控并排查问题
• 获得更深入的可视性
• 自动化基本任务
• 明确硬件依赖关系和流程
• 排查电缆连接问题
• 处理故障端口
• 验证流量过载
• 定期执行固件和软件更新
• 加固所有网络设备
• 实施强有力的用户管理和访问控制
• 使用网络分段和 VLAN
• 监测异常活动
• 定期进行安全评估

选择多供应商支持

多元化供应商关系是寻求最优 IT 解决方案的组织的一种战略性做法。通过避免供应商锁定，企业可以根据自身需求及变化选择同类中的最佳产品与服务。这一策略能让组织在协商更具竞争力的定价以及争取更有利的支持协议方面拥有更大的谈判筹码，并适应不断变化的技术环境。它还使企业能够把握来自不同供应商的创新成果，从而确保在 IT 运营中保持敏捷与高效。

优先处理关键告警

网络设备会生成大量告警、通知和日志文件。IT 支持团队需要一种方法来过滤这些噪声并识别相关事件。对关键告警进行优先级排序至关重要，可确保最严重的问题得到及时且高效的处理，从而缩短发现和修复时间。

主动监控并排查问题

主动式方法的含义，是在问题出现时再进行被动应对，而是提前避免潜在的网络问题。通过预先预判可能出现的问题，你可以更好地避免造成中断的停机、性能瓶颈以及安全事件。该方法有助于优化网络资源、提升用户体验、保持合规性，并增强网络的韧性。

获得更深入的可视化

现代 IT 网络的“引擎盖”下面正在发生很多事情，而要有效管理它，你需要能够清楚地访问并掌握其中的所有内容。你拥有的可视性越高，就越能更好地识别并修复问题。你也无法保护你看不见的内容。对所有网络区域的可视性有助于早期发现可疑活动和潜在威胁，从而降低对潜在威胁作出响应所需的平均时间（MTTR）。可视性还能帮助你规划容量，并分配网络资源以满足当前与未来的需求。

自动化基本任务

自动化可确保标准化流程和可重复的作业每次都以既定且一致的方式执行。将手动的日常例行任务实现自动化，可以减少人为错误，并释放 IT 团队宝贵的时间——他们还有更多更关键的工作需要处理。从长期来看，自动化还能够带来显著的成本节约。

明确硬件依赖关系和流程

由于网络依赖许多不同的组件，它的运作方式可能像一排多米诺骨牌：如果一台设备发生故障，其他设备可能很快也会相继倒下。其结果可能是网络中出现级联的性能问题和故障。理解网络应用程序与工作负载之间的依赖关系，可以让支持团队主动识别并在小问题升级为更严重的问题之前及时解决。

排查电缆连接问题

故障电缆可能导致连接间歇、数据传输变慢，甚至造成网络完全中断。及时识别并解决这些问题，可以降低网络受到潜在干扰的风险。在大多数情况下，更换电缆是一个简单有效的修复方法。

处理故障端口

只需将网线插入到另一个端口，就很容易排除端口故障行为。这个快速操作可以立即排除或确认是否存在与端口相关的特定问题。如果端口确实有问题，下一步应通过交换机管理界面验证端口配置。错误的 VLAN 分配是端口配置错误的典型示例。有时问题也可能与硬件有关，这就可能意味着需要更换。

验证流量是否过载

当你的网络某些区域变得过度繁忙时，电话就会响个不停，用户也会报告性能变慢的问题。网络管理员需要识别潜在的瓶颈位置——即流量汇聚并超过容量的地方。使用 网络监控工具 将使他们能够检测网络流量中的异常激增或持续增加。网络连接的利用率长期居高不下，往往表明需要增加带宽。

定期执行固件和软件更新。

所有设备都需要定期更新，以清除漏洞并继续保持正常运行。由于黑客不断设计新的入侵网络并窃取信息的方法，网络设备需要更频繁的更新。检查固件和软件更新对于在满负荷状态下维护可正常运行的基础设施至关重要。

加固所有网络设备

通常，网络设备的默认配置过于宽松，会增加恶意行为者入侵网络的风险。务必确保每台设备的设置都依据您的协议和行业标准进行加固。禁用所有不必要的功能、服务和端口，并要求在认证时使用强密码。

实施强有力的用户管理和访问控制

实施最小特权原则 将用户的访问权限限制为其工作职能所必需的最低范围。这种做法会限制已授权用户对敏感数据和网络的访问，从而降低发生未经授权的操作或 数据泄露的风险。保留访问列表，并实施控制措施，确保没有人进入他们不该进入的区域。理想情况下，应将长期的特权账户替换为 just-in-time access（即时授权） 以进一步增强安全性。

用户网络分段与 VLAN

网络分段会在更大的网络中创建子网络，以帮助阻止不受欢迎的访问者进入敏感文件。这有助于缩小网络攻击的“爆炸半径”，并为安全人员赢得更多时间来响应并加以缓解。实施 VLAN，确保只有特定设备才能访问分段后的网络，从而获得进一步保护。

监控异常活动

异常或可疑活动可能意味着恶意活动，但它通常是一个关键信号，表明可能会发生某些不祥之事。正是在这里，持续的 network activity monitoring 就派上用场了。确定网络中的“正常”行为是什么至关重要。这可以通过随着时间推移维护所有用户和设备的全面日志来实现。一旦建立了行为基线，就可以更有效地发现并处理那些偏离既定模式的可疑活动。

定期进行安全评估

仅仅因为您部署了安全网络设备，就不要假设一切都已覆盖到位。最好始终拥有某种验证手段。对网络基础设施进行定期审计有助于提供这种验证手段。这些审计可以在内部开展，也可以由专门从事这些工作的外部机构执行。定期安全评估不仅是最佳实践，而且往往还会被各种监管或行业框架所要求，例如 HIPAA 或 GDPR。

Netwrix 如何提供帮助

Netwrix Auditor for Network Devices 提供对您网络设备的全面可视性。它可自动化审计配置更改，跟踪来自远程访问和可疑 IP 地址的设备登录，并通过统一平台扫描安全威胁和设备故障。借助 Netwrix Auditor，您将能够轻松提升业务连续性，并随时掌握网络安全威胁。

结论

从路由器和交换机到防火墙和接入点，网络中的每一台设备都扮演着重要角色。对这些设备进行正确管理，可以优化网络性能，并快速排查问题。全面了解网络的构成，有助于在组织的业务与技术需求发生变化时更轻松地进行调整与演进。IT 团队在管理和保障网络安全时，也必须坚持最佳实践。通过优先培养该领域的知识与技能，IT 专业人员可以确保其网络保持韧性、响应迅速，并随时准备应对企业所服务的互联世界带来的挑战。

现代企业网络由数十个物理和虚拟设备组成，每个设备负责特定任务。路由器负责网络间的流量引导。交换机连接网络内部的设备。防火墙决定哪些流量允许通过，哪些不允许。入侵防御系统实时监控威胁。

以下内容涵盖最常见的网络设备类型、它们的分类方式以及每种设备的重要安全影响。

什么是网络设备？

这些设备中的每一个也是潜在目标：根据Netwrix Cybersecurity Trends Report 2025，2025年有28%的组织经历了针对其本地基础设施的定向攻击。

网络设备管理流量，转发数据包，执行安全策略，并实现网络段或互联网之间的连接。了解每个设备的功能及其可能被利用的地方，是任何管理现代环境的IT或安全团队的基础。

网络设备为何重要

它们定义了您的攻击面

常见的网络设备包括路由器、交换机、防火墙、集线器、调制解调器和无线接入点。一些设备，如交换机和路由器，负责传输数据。其他设备，如防火墙和入侵检测系统，控制允许的流量并标记可疑流量。大多数现代网络依赖这两类设备协同工作。

网络设备是计算机与其他连接系统之间通信所必需的硬件或软件组件。这些设备管理流量，指引数据包，提供安全保障，并实现网络段或互联网之间的连接。每个设备都有特定的用途，使信息能够在组织的IT生态系统内流动。

网络设备不仅仅是您IT环境的管道。它们是决定您的安全态势、攻击暴露以及出现问题时损害扩散范围的基础设施。

它们允许或阻止横向移动

他们是外部威胁行为者的主要目标

网络设备类型

每个面向互联网或配置错误的网络设备都可能成为攻击者的入口点。 开放端口的路由器、过于宽松的防火墙规则或使用默认凭据的无线接入点，都是您外围防御的漏洞。Netwrix Cybersecurity Trends Report 2025还发现，51%的组织在过去12个月中经历了足以需要安全团队专门响应的严重安全事件，而面向外围的网络设备通常是响应的起点。

重复器

网络设备运行软件，而这些软件存在漏洞。Cisco、Fortinet、Ivanti 和 Palo Alto Networks 在2024年和2025年发布了关键的设备级 CVE。攻击者常在补丁应用前利用这些漏洞，且许多组织的固件更新周期远落后于威胁。了解您正在使用哪些设备及其适用的 CVE，是维护安全态势的核心部分。

了解不同类型的网络设备有助于优化和保护您组织的网络基础设施。下表将每个设备映射到其OSI层和主要功能，随后是每种类型的详细解析。

一旦攻击者在网络内部站稳脚跟，他们会横向移动，从一个设备跳到另一个设备，以到达敏感系统。通过托管交换机和防火墙实施的适当分段网络，限制了这种移动的范围。在扁平网络中，攻击者如果攻破一台工作站，可以访问环境中的所有服务器，但在适当分段的网络中，攻击者会遇到边界。了解lateral movement以及网络设备如何促进或限制它，是网络安全设计的核心。

枢纽

网络集线器将多个以太网设备连接到单个网络段。有三种类型：

从安全角度来看，中继器不提供流量检查或过滤。它们会放大所有流量，包括恶意流量。如果中继器位于您的网络路径中，它不会为通过的流量提供任何保护。

数字信号会随着距离衰减，这一过程称为衰减。工作在OSI模型物理层（第1层）的中继器会再生信号，使其能够无损耗地传输更远。专用中继器在现代网络中较为罕见，因为交换机和路由器在其标准操作中已包含此功能。但在工业环境和需要信号扩展且不增加路由复杂性的远程无线设置中，仍然可以找到它们。

• 无源集线器： 连接设备，无需放大且不需要电源。

桥

• 主动集线器： 在转发信号前放大输入信号，需外部电源，实际上充当中继器。
• 智能集线器： 添加基本的网络管理、监控和诊断功能。

集线器已被弃用。IEEE 802.3 标准于2011年正式弃用集线器，且管理型交换机已取代几乎所有现代网络中的集线器。原因很简单：集线器会将传入数据广播到所有连接端口，而不管目标地址。任何连接在该集线器上的设备都能拦截所有流量，使得数据包捕获变得非常容易。如果您的网络仍在使用集线器，应优先用管理型交换机替换。

网络桥接连接两个或多个网络段，并过滤它们之间的流量。集线器向所有连接的设备广播，而桥接则检查传入帧的源MAC地址，并根据其维护的MAC地址表做出转发决策，从而减少不必要的流量并提升网络性能。有两种类型：

• 源桥： 依赖于不同的转发方式，这在现已基本废弃的令牌环网络中很常见。

无线桥接通过无线连接连接两个网络段，是专用桥接设备最常见的现代用例。在大多数现代环境中，管理型交换机将桥接作为其核心操作的一部分。

• 透明桥接： 通过检查传入帧的源地址，自动构建和维护MAC地址表。当前使用的标准类型。

开关

• 未管理： 具有固定配置的即插即用设备。无远程访问，无监控。仅适用于小型或家庭网络。
• 智能： 介于未管理和完全管理之间，提供基本的基于网络的管理功能。

交换机是任何网络中最重要的设备之一。它连接局域网中的多个设备，并将传入数据定向到目标端口，而不是像集线器那样广播到所有端口。交换机有多种类型，按管理能力、OSI层和外形尺寸区分：

• 管理： 可通过网页界面、CLI或SNMP完全配置。支持VLAN、端口安全、802.1X认证和流量监控。
• 第2层： 在数据链路层运行，使用MAC地址在局域网内转发流量，通过将流量分割到独立的冲突域来减少冲突。
• 千兆位： 支持1 Gbps或更高的数据传输速率。
• 第3层： 结合交换和路由，使用IP地址实现VLAN和子网之间的流量路由。
• PoE (Power over Ethernet): 通过单根以太网线缆传输数据和电力，常用于摄像头、VoIP电话和无线接入点。
• 机架式： 设计用于适配标准的19英寸服务器机架，常见于数据中心和服务器机房。
• 桌面： 适合小型办公室或家庭环境的紧凑型交换机。

路由器

• 模块化： 支持附加模块或扩展卡以实现未来的可扩展性。
• 静态路由器： 使用手动配置的路由。可靠且可预测。适合小型稳定网络。

管理型交换机，包括其Layer 2、Layer 3和PoE变体，是网络分段的基础。通过为不同的用户组、服务器、物联网设备和访客创建独立的VLAN，可以限制攻击者在入侵单个端点后的移动范围。端口安全控制哪些MAC地址可以连接到每个端口，802.1X要求设备认证后才能授予网络访问权限。

路由器的主要任务是引导网络间的流量。路由器通过使用IP地址追踪互联设备之间的路径，将数据包传输到目的地。它们维护路由表，将目标网络映射到最佳路径，并在使用动态路由协议如OSPF、RIP或BGP时自动更新。路由模式有两种：

网关

• 动态路由器： 自动与其他路由器通信，实时更新路由表。支持复杂大规模网络中的故障转移和负载均衡。

网络接口卡 (NIC)

现代路由器越来越多地集成了额外功能，包括防火墙功能、VPN端点，以及在企业环境中的SD-WAN支持。从安全角度看，路由器是主要的外部攻击目标。默认凭据、过于宽松的访问控制列表（ACL）和未打补丁的固件是最常被利用的路径。路由器还将网络划分为子网，是任何分段策略的核心。

网关连接使用不同协议或架构的网络，并在它们之间进行转换。路由器连接使用相同协议（IP）的网络，而网关则实现根本不同系统之间的通信。通过ISP连接到互联网的局域网是一个经典例子：网关在您的内部网络和更广泛的互联网基础设施之间进行转换。

• 有线以太网： 使用RJ45连接器进行物理电缆连接。

网关通常在传输层和会话层（第4层和第5层）运行，但包括Web应用网关和API网关在内的应用层网关运行在第7层。大多数现代家庭和中小企业路由器将路由和网关功能结合在一个设备中。在企业环境中，网关越来越多地以云交付服务的形式出现，特别是用于混合云和多云连接。

网络接口卡（NIC），也称为以太网卡或网络适配器，将设备连接到网络并管理数据的传输和接收。每个联网设备，包括服务器、工作站、打印机和接入点，都包含一个NIC，作为物理扩展卡或直接集成在主板上的组件。常见的NIC类型包括：

• 无线： 使用集成或外部天线通过Wi-Fi连接。

调制解调器

• 光纤： 使用光学连接器实现高速远距离连接。
• 有线调制解调器： 通过电视基础设施传输数据，比DSL更快。
• DSL调制解调器： 使用电话线路。常见调制解调器类型中速度最慢。

NIC通过唯一的MAC（媒体访问控制）地址在网络上进行识别。从安全角度来看，NIC固件攻击是一个新兴的关注点。攻击者若破坏了NIC固件，可能会在操作系统级别以下持续存在，能够在重启甚至重新安装操作系统后依然存活。

调制解调器（modem，调制器-解调器的缩写）将您的网络中的数字数据转换为适合通过模拟媒介（如电话线、有线系统或蜂窝网络）传输的格式，并将接收的信号转换回数字数据。它是您的内部网络连接到互联网服务提供商（ISP）的节点。有四种主要类型：

• 无线调制解调器： 使用附近的Wi-Fi信号连接设备。
• 蜂窝调制解调器： 通过蜂窝网络连接互联网，而不是通过Wi-Fi或固定电话线。

网络安全设备

防火墙

更改默认用户名和密码，禁用不需要的远程管理，并保持固件更新，是生产环境中任何调制解调器的最低安全措施。

在许多现代部署中，光纤连接的建筑使用光网络终端（ONT）代替传统调制解调器。带有默认凭据的消费级调制解调器是一个持续存在且经常被利用的攻击向量。

连接设备传输数据。安全设备控制数据。这一部分的设备构成了您网络的主动防御层：监控流量、执行策略、检测威胁并保护远程访问。在任何处理敏感数据的环境中，这些设备决定攻击是成功还是被阻止。

防火墙根据预定义的安全规则监控和控制进出网络流量，在受信任的内部网络和不受信任的外部网络之间建立屏障。它连接多个区域，包括LAN、WAN和DMZ，并对它们之间流动的流量应用安全策略。防火墙经历了三代的发展：

• 有状态检测： 跟踪活动连接的状态，区分合法的返回流量和未经请求的入站数据包。

无线接入点（WAP）

• 数据包过滤： 按IP地址、端口号和协议检查单个数据包。快速但无状态。无法跟踪数据包是否属于合法的正在进行的连接。

防火墙也可以作为云交付服务（Firewall-as-a-Service）部署，这种模式在分布式环境中越来越普遍。配置错误的防火墙，包括过于宽松的规则、未使用的端口开放以及暴露于互联网的管理接口，是数据泄露的最常见原因之一。

• 下一代防火墙（NGFW）： 不仅限于流量过滤，还包括深度包检测、集成入侵防御、应用感知和AI辅助威胁检测。NGFW通过行为而非端口号识别应用，这在攻击者使用常见端口掩盖恶意流量时尤为重要。

无线接入点（WAP）通过内置天线和发射器，为无线设备与有线网络之间提供连接点。WAP主要有三种部署模型：

• 基于控制器： 中央无线局域网控制器管理多个WAP，实现集中策略、漫游支持和统一监控。企业环境的标准。
• 自主（独立型）： 每个WAP独立配置和管理。适用于接入点数量有限的小型网络。

WAP具有重要的安全隐患。主要风险包括默认SSID和密码未更改、弱加密（WPA2与WPA3）以及员工或攻击者设置的恶意接入点。

• 云端管理： 配置和监控通过云平台进行。非常适合管理多个站点访问点的分布式组织。

企业级WAP支持802.1X认证，要求连接设备在获得访问权限前必须通过RADIUS服务器认证。消费级WAP很少支持此功能，因此不适合处理敏感数据的环境。

入侵检测与防御系统（IDPS）

这两个组件协同工作：入侵检测系统（IDS）识别并警报可疑流量，而入侵防御系统（IPS）则主动丢弃恶意数据包或在损害发生前终止会话。现代IDPS解决方案依赖两种检测方法：

• 行为分析： 标记偏离既定基线的流量，通常使用人工智能捕捉被忽略的威胁特征。

VPN设备

入侵检测和防御系统（IDPS）监控网络流量中的可疑活动，检测潜在威胁，并采取措施阻止或遏制它们。

• 基于签名的检测： 将流量与已知攻击模式数据库进行匹配。
• 站点到站点 VPN： 连接整个网络，例如，通过加密隧道将分支机构连接到总部。
• 远程访问VPN： 允许个人用户从网络外部安全连接。远程工作人员的标准模式。

IDPS功能通常集成在NGFW和Unified Threat Management（UTM）设备中，提供网络中威胁的整合视图。与SIEM平台的集成使IDPS警报能够输入集中式日志记录和事件响应工作流程，且 网络设备的持续监控 使该响应周期更有效。

VPN设备在公共网络上创建加密隧道，允许远程用户或分支机构安全连接到企业网络。连接由VPN服务器（通常是专用设备或具有VPN功能的防火墙）和连接设备上的VPN客户端应用程序组成。VPN设备支持两种主要部署模型：

VPN固件漏洞近年来已成为最常被利用的攻击类别之一。攻击者积极利用Ivanti、Pulse Secure、Cisco和Palo Alto Networks VPN产品中的关键CVE，通常在披露后数天内。保持VPN固件更新并监控认证日志中的异常访问尝试是不可或缺的安全措施。

配置漂移和错误配置

网络设备管理中的常见挑战

对于远程访问安全，在迈向Zero Trust的环境中，Zero Trust Network Access（ZTNA）是新兴的继任者。VPN在认证后授予广泛的网络访问权限，而ZTNA仅授予用户被授权访问的特定资源，大大减少了被攻破账户的影响范围。

现代网络由数十个或数百个互联设备组成，多个因素可能削弱其安全性。以下挑战不是硬件故障或通风问题，而是导致现实攻击的安全相关漏洞。

过时的固件和未修补的漏洞

网络设备出厂时采用默认配置，优先考虑易于设置而非安全性。默认凭据、开放的管理接口以及过于宽松的防火墙规则是常见的起点，如果团队未在部署前主动强化设备，这些设置通常会保持不变。随着时间推移，设备上的渐进式更改会累积，您的网络实际状态会偏离任何已记录的基线。这就是配置漂移。

未经授权的访问和权限滥用

Netwrix 2025年网络安全趋势报告发现，54%的被保险组织必须将补丁管理控制作为保险覆盖的条件。建立固件更新节奏，跟踪环境中每个设备型号的CVE，并对网络设备应用与服务器和端点相同的补丁管理纪律，可显著降低您的风险暴露。

单个配置错误的防火墙规则可能会将内部系统暴露于互联网。使用默认凭据的交换机会让攻击者获得对您的网络分段的管理控制权。将诸如 SMB 等服务协议在网络分段间开放访问，会进一步扩大这种暴露。持续监控和自动配置审计是最有效的防御措施。无法检测的风险无法修正。

网络设备固件存在漏洞，攻击者密切关注CVE披露。从漏洞发布到组织应用补丁之间的时间差是利用的活跃窗口。VPN设备、路由器和防火墙是固件利用中最常被攻击的设备类别。2024年和2025年许多重大网络安全事件都始于未打补丁的外围设备。

网络设备安全的最佳实践

在部署前强化所有设备配置

网络设备通过特权账户进行管理，这些账户是高价值目标。共享的管理员凭据、从不轮换的账户以及可从更广泛网络访问的管理接口都会增加未经授权访问的风险。攻击者如果获得核心交换机或路由器的管理访问权限，可能重新配置网络分段、拦截流量或完全禁用安全控制。

了解不同类型的网络设备是基础。保护它们决定了您的网络能否抵御真实攻击。以下做法适用于所有设备类型，是任何可防御网络基础设施的基线。

适用于用户账户的相同原则也适用于设备管理：最小权限、不共享凭据，以及所有管理接口上的多因素认证（MFA）。TACACS+ 和 RADIUS 为网络设备管理提供集中认证，确保每个管理会话都被记录并绑定到个人账户。网络设备上的未经授权的权限使用是实现环境内横向移动的主要途径之一。

使用VLAN对网络进行分段

保持固件最新

网络设备的默认配置优先考虑易用性而非安全性。在任何设备投入生产之前，请更改默认凭据，禁用未使用的服务和端口，并将管理协议从不安全的选项（Telnet、HTTP）切换到加密选项（SSH、HTTPS）。针对特定设备型号应用CIS基准加固指南。大多数主要供应商免费提供这些指南。以默认配置部署的设备从第一天起就是一个风险。

强制执行最小权限管理访问

持续监控设备活动

进行定期的安全评估

网络分段限制了攻击者在获得立足点后能移动的范围。使用管理型交换机为不同环境创建独立的VLAN：用户工作站、服务器、物联网设备和访客访问应各自存在于自己的分段中，并有明确的规则管理跨界通信。网络安全最佳实践指南详细介绍了分段的实施。分段是限制安全漏洞影响范围的最有效单一控制措施。

将网络设备固件视为服务器操作系统补丁：一个安全关键的更新周期，跳过会有实际后果。订阅您环境中每个设备型号的供应商安全公告，并建立反映每个CVE严重性的补丁SLA。面向互联网的设备（包括路由器、防火墙和VPN设备）上的关键漏洞需要紧急修补。不再从供应商处接收固件更新的设备存在无法缓解的风险，应予以更换。

每个网络设备都应拥有单独且符合角色的管理员账户。不要依赖共享凭据。最小权限原则在此直接适用：每个账户只应拥有其角色所需的权限，不多不少。使用TACACS+或RADIUS进行集中认证，确保每个管理会话都有记录并绑定到特定用户。对管理界面应用多因素认证，尤其是对互联网可访问的设备。对于关键基础设施上的高权限操作，即时访问模型限制凭据被滥用的时间窗口。

Netwrix Auditor for Network Devices 如何帮助您保护网络设备

网络设备的配置更改、身份验证事件和流量异常都应汇入集中日志。未经授权的防火墙规则更改、路由器管理界面上的登录失败尝试或交换机的出站流量激增，都是需要调查的信号。有效的网络监控将设备日志转化为可操作的安全情报，缩短了入侵与检测之间的时间。

自动化配置变更审计

远程和可疑访问跟踪

了解如何应对配置漂移、未经授权的访问和未修补的固件是一个问题。在您的环境中对每个路由器、交换机和防火墙始终如一地执行则是另一个问题。Netwrix Auditor for Network Devices通过提供跨Cisco、Fortinet、Palo Alto、SonicWall、Juniper、Cisco Meraki、HPE Aruba和Pulse Connect Secure设备的单一可视化源，弥补了这一差距。

不要假设您的网络设备是安全的。定期的配置审核会将每个设备的运行配置与您批准的基线进行比较，在发生安全漏洞之前发现偏差。专门针对网络基础设施的渗透测试揭示了您的分段、过滤规则和访问控制在现实攻击条件下的表现。 CIS Control 13 提供了一个详细的网络监控和防御框架，直接对应本指南中的设备安全控制。

覆盖Cisco、Fortinet、HP、Juniper和SonicWALL的统一平台

它会标记来自意外账户、位置或时间的登录和访问尝试。如果有人在凌晨2点从不熟悉的IP地址访问核心交换机，或无管理员权限的账户认证到路由器管理界面，您会立即发现，而不是事后在事件响应时才知道。

监控设备上的每次配置更改都会自动记录，并关联到执行更改的账户。您无需等到几周后的定期审计才发现偏离的防火墙规则，而是在更改发生时就收到警报，并清楚记录是谁、何时以及更改了什么。这使得配置偏离从周期性清理任务变成了实时捕捉的事件。

多供应商环境通常意味着多个控制台，每个都有自己的日志格式和警报特点。将所有八个供应商的活动整合到一个平台，意味着您的团队无需从八个不同地方拼凑日志来回答发生了什么变化以及谁进行了更改。

请求演示，了解 Netwrix 如何帮助您审核网络设备配置、检测未经授权的更改，并保持整个网络基础设施的持续可见性。