网桥

透明网桥 Transparent Bridging 用于连接物理介质类型相同的局域网，主要应用在以太网环境中。透明网桥通常保存着一张 网桥表 ，该网桥表记录 目的 MAC 地址 与 接口 之间的对应关系

• 网桥依据网桥表转发，网桥表由 MAC 地址和接口两部分组成
• 网桥与物理网段相连时，会监测该物理网段上的所有以太网帧
  • 一旦监测到某个接口上节点发来的以太网帧，就提取出该帧的源 MAC 地址，并将该 MAC 地址与接收该帧的接口之间的对应关系加入到网桥地址表中

网桥在以下场景中尤为适用

Host A                                    Host C
192.168.1.2                               192.168.2.2
AA:AA:AA:AA:AA:01                         CC:CC:CC:CC:CC:01

     以太网帧
┌───────────────────────┐
│ Src = AA:AA:AA:AA:01  │
│ Dst = CC:CC:CC:CC:01  │
└───────────────────────┘

     │
     ▼

 [接口1] → [网桥] → [接口2]

 网桥查表：

 CC:CC:CC:CC:CC:01 → 接口2

 因此转发到接口2

     │
     ▼

 Host C 收到

Host A                                    Host B
192.168.1.2                               192.168.1.3
AA:AA:AA:AA:AA:01                         BB:BB:BB:BB:BB:01

     以太网帧
┌───────────────────────┐
│ Src = AA:AA:AA:AA:01  │
│ Dst = BB:BB:BB:BB:01  │
└───────────────────────┘

     │
     ▼

 [接口 1] → [网桥]

 网桥查表：

 BB:BB:BB:BB:BB:01 → 接口 1

 目的接口 = 接收接口

 因此：
      ╳ 不转发
      ╳ 不发送到接口2

 Host B 已经直接在以太网 1 上收到该帧

Host A
192.168.1.2
AA:AA:AA:AA:AA:01

     以太网帧
┌───────────────────────┐
│ Src = AA:AA:AA:AA:01  │
│ Dst = EE:EE:EE:EE:01  │
└───────────────────────┘

     │
     ▼

 [接口 1] → [网桥]

 查表：

 EE:EE:EE:EE:EE:01
      ↓
 未找到

 因此进行泛洪(Flooding)

                 ┌─────────────► Host C
                 │
 [接口1] → [网桥]
                 │
                 └─────────────► Host D

Host A

     以太网帧
┌─────────────────────────┐
│ Src = AA:AA:AA:AA:AA:01 │
│ Dst = FF:FF:FF:FF:FF:FF │
└─────────────────────────┘

     │
     ▼

 [接口 1] → [网桥]

 广播地址

 FF:FF:FF:FF:FF:FF

 网桥必须转发到其它接口

                 ┌─────────────► Host C
                 │
 [接口1] → [网桥]
                 │
                 └─────────────► Host D

地址学习过程：

步骤 1

Host A 发帧

AA:AA:AA:AA:AA:01
        │
        ▼
      接口 1

网桥记录：

AA:AA:AA:AA:AA:01 → 接口 1


步骤 2

Host B 回复

BB:BB:BB:BB:BB:01
        │
        ▼
      接口 1

网桥记录：

BB:BB:BB:BB:BB:01 → 接口 1


步骤 3

Host C 发帧

CC:CC:CC:CC:CC:01
        │
        ▼
      接口 2

网桥记录：

CC:CC:CC:CC:CC:01 → 接口 2


步骤 4

Host D 发帧

DD:DD:DD:DD:DD:01
        │
        ▼
      接口 2

网桥记录：

DD:DD:DD:DD:DD:01 → 接口 2

最终网桥掌握整个二层网络拓扑：

IP 地址仅用于主机通信

网桥工作在数据链路层（第二层），学习和转发依据的是 MAC 地址而非 IP 地址

私有接口不会将任何流量转发到任何其他被指定为私有接口的端口。所有流量均被无条件阻止，因此不会转发任何以太网帧，包括 ARP 数据包

若需有选择地阻止流量，应使用防火墙

镜像端口会将网桥收到的每一个以太网帧复制一份发送出去

• 可为网桥配置多个镜像端口，但如果某个接口被指定为镜像端口，则不能同时作为普通的网桥端口使用

此功能最适合在另一台主机上通过网桥的镜像端口被动监控网桥网络

例如，要将所有帧的副本发送到名为 em4 的接口：

$ ifconfig bridge0 span em4

如果一个网桥成员接口被标记为 sticky ，那么动态学习到的地址条目会被当作静态条目处理，并存储在转发缓存中。即使该地址在另一个接口上被检测到，sticky 条目也永远不会从缓存中被删除或替换

这提供了静态地址条目的优势，而无需预先填充转发表

客户端在网桥的某个段上学习到的地址不能跳转到其他段

将 sticky 地址与 VLAN 结合使用的一个例子是：隔离客户网络，而不浪费 IP 地址空间。假设 CustomerA 在 vlan100 上，CustomerB 在 vlan101 上，且网桥有地址 192.168.0.1：

$ ifconfig bridge0 addm vlan100 sticky vlan100 addm vlan101 sticky vlan101
$ ifconfig bridge0 inet 192.168.0.1/24

在这个例子中，两个客户都将 192.168.0.1 作为默认网关

由于网桥缓存是 sticky 的，一个主机无法伪造另一个客户的 MAC 地址来截取其流量

可使用防火墙或如上所示的私有接口来阻止 VLAN 之间的任何通信：

$ ifconfig bridge0 private vlan100 private vlan101

这样，客户完全相互隔离，并且可在不划分子网的情况下，分配整个 /24 地址范围

也可限制每个接口后面的唯一源 MAC 地址数量。达到限制后，具有未知源地址的数据包将被丢弃，直到现有主机的缓存条目过期或被移除。以下示例将 CustomerA 在 vlan100 上的以太网设备数量限制为 10：

$ ifconfig bridge0 ifmaxaddr vlan100 10

网桥接口还支持监控模式，在这种模式下，数据包在 bpf(4) 处理后会被丢弃，不会进一步处理或转发

这可用于将两个或更多接口的输入多路复用到单个 bpf(4) 流中

此功能适用于重建网络 Tap 的流量，尤其是那些通过两个独立接口输出 RX/TX 信号的 Tap

例如，要将四个网络接口的输入作为一个流读取：

$ ifconfig bridge0 addm em0 addm em1 addm em2 addm em3 monitor up

$ tcpdump -i bridge0