然后我想到了远程的方式，但发现市面上没有一个软件能支持外接显示器以及 RDP 协议（微软官方的远程应用就是一个垃圾）；TeamViewer、Parsec 之类的视频流因为无法重定向麦克风等外设(对动态分辨率也不友好)就更算了，其实原因都类似于最早的 VNC。现有的不行，那咱们就自己动手；于是我自己撸了一个，没错，纯手工！效果如下：

可以看到，通过利用手机的多任务能力，可以同时使用手机软件以及电脑桌面，榨干其性能 ！！还能外接鼠标键盘，成为一台主机，哈哈。为了方便地在上下屏间进行切换，在鼠标点击应用的屏幕后会进入捕获模式，这时鼠标的移动就仅限于外接显示器里的内容；同时在系统后退键后，该捕获就会失效，因此可以在 PC 应用与手机应用间无缝切换。

更新：支持虚拟手柄啦

如果没有外接键盘，手机屏幕可以变成触摸板；同时三指轻击可以唤出触摸键盘，支持中文直接输入（甚至语音输入，体验下来真的非常好）。

当然如果你没有外设，也可以完美的利用折叠屏大屏的优势进行远程电脑操作。支持双指捏合放大或者缩小。

目唯一的问题是我的 MagicOS 以及自带的百度输入法会强制捕获如 win, shift 之类的快捷键。目前没有关闭方法，我目前通过安装 Hacker´s Keyboard 绕过了 shift 绑定，然后重启映射了如 alt+tab 之类的系统快捷键。

目前体验还不错，支持安卓 9 及以上设备。本项目已经开源：https://github.com/seflerZ/qidesk，如果觉得有用，可以上 Google Play 上购买支持一下我。

行前

出发

到了黄山脚下的汤口小镇，找了一个 150 元一夜的旅店（没错，我一个人主打一个极致节省，哈哈）。老板很好的，停车免费，还给讲解了黄山的注意事项。当他听我说要去爬天都峰时，他建议我早上 6 点出发。什么？我就爬一个山需要这么早，我当得很诧异。后面在酒店里准备订第二天的门票时才发现，天都峰 12 月就关闭了，因此近期爬天都峰的人非常多。打开黄山官方的售票小程序，都显示明天没有余票可订，也就是说我大老远的跑过来安顿好了后，却发现没法进山，这真是可笑至极。不过对我这种拥有非常丰富的经验的来说，车到山前必有路，我就不相信没有办法。为了保险起见，我还是月黑风高的时候，跑到了黄山的南大门，进行了研究。这个地方有一个座石坊，就是我当年骑车拍照的地方。只可惜这次担心明日是否可以进山的事，且有点小感冒，加上当时太黑了，没有拍照……

一个小插曲是在我探路的时候遇到一条特别大的狗，狗的主人以为半夜没人了，因此连绳子都没有套。远远的就听到有动物脚步的声音，靠近一看，好滴个乖乖，跟我差不多大，吓得我赶紧向公共厕所里跑。那主人看见了赶忙跑过来拉住，在那笑；我可笑不出来，要是那东西真的发起飙来，那可不是轻伤。

正式爬山

山门前

由于寒冬腊月，再加上之前一点小感冒一直没有好完（我感觉是阳了，被公司的人传染的），躺下后也一直没有睡着。本来定的是早上 7 点的闹钟，但是 4:30 就醒了，看着外面的天有亮的感觉，心想不如早点出发，或许可以解决门票的问题。穿好衣服下楼后才发现，原来大家都是这样想的，你能想像 5 点不到，陆继就有人开始向山里进军了吗？何况这还只是一个普通的周未并不是节假日。这样想想路上也不孤独，走起夜路也不怕了，换个角度想也是个好事。

快到山脚的时候，发展排除坐车上山的人已经起了长队。其实走路也就多 30 分钟的路，但大都选择了坐车。当时的队伍已经非常长了，估计排到上车，坐到山门，步行上山早就到了。这说明真正原因突破环境，独立判断并付之实践的人从来都是少数；大部分人都是从广告（抖音上甚至说除了坐车上山没有其他选择）、官网获知的消息。这就是主流意识，与我之前文章《无绝对独立意识》分析的是一样的。

慈光阁

走在路上也很清静，一路上遇到很多年轻小伙徙步上山。但也难免给我带来一私伤感，上次来还是跟他们一样，血气方刚；这次就是一位落单的中年大叔了。话说人活着是越来越孤独这一点没错，现在年龄相近的朋友、同学都是除了赚钱，什么都不想做，哪里都不想去的状态。我也不知道自己还能坚持多久，感觉最终都会归于一致。这真的是天道，没人规定这么做，但是大家都不约而同的执行了同样的选择，可以说是环境，但我更感觉那是自然法则。年轻时我们总以为自己可以改变一切，只要努力；但现实总是那么残酷。我些我都懂了，但是我就是不想认，所以趁我还能动，能折腾一点就折腾吧。

走了不到 30 分钟，就到了爬山的起点：慈光阁。这里是一个寺庙，近期刚翻修，此处可以远眺黄山，在朝阳的映衬下，相当壮观。

接下来就是一路爬行了，人比较多，但景色相当的风。“五岳归来不看山，黄山归来不看岳” 古人诚不欺我。

继续向上走，准备爬天都峰，不料来的人太多，老早就排起了长队。起初我还以为只是短暂的十几分钟的排队，但随着时间的流逝，发现我还是太小看天都峰的魅力了（难怪住宿的老板建议我 4 点就起床）；在一路走走停停，从早上 9 点一直到了 11 点还未见天者峰的入口（现在回想起来还真能站）。到了 11：30 的时候，突然听下来的人说还要排 2 ~ 3 个小时，我霎时没有继续的想法，就想着转一圈就回去了，于上脱离排队排队伍向上去；没想到的是，我才走了 10 多分钟，就到了天都峰的入口，这让我十分尴尬，心想这就太可惜了，于是赶紧跑回去。幸运的是，排在我进后的两位驴友人还很好，看见我回来了，就直接让我插了回去了，这才能继续排天都峰的队。在 12：30 的时候，终于排进了天都峰的入口大门，属实不容易。

天都峰属实震撼，坡度很高，从山脚向上望去，犹如草木之与群山。为什么我喜欢爬山，就是一个向上的过程，从山脚的震撼到山顶的喜悦，爬山让我坚信一个道理，无论多大的困难，只要一步脚踏实地，都能解决。

喜欢爬山的另外一点，我感觉凡是名山，都是有灵气的，我这次来爬黄山，还些许带着一点感冒外加连续工作的疲惫身体。到了这后，看到巍峨壮丽的群山与曲折盘旋的古松，再深深地吸上几口晨间的气息，感觉身心都得到的释放。因此，爬山对我来说并是一个受累的过程，是一种向上的愉悦以及身心都得到完全释放的自然状态。

一路沿脊而上，可谓惊恐万分，一些地方只甚至只能一人通过（难怪天都峰是单向路线），右边是绝壁千刃，左边就是万丈深渊。

沿途也遇到了一个爱好爬山的年轻人，跟他们攀谈了几句，突然问到我是第一次来否。我笑着说道，不是已经是第二次了。他们又问： “上次是什么时候来的？ ” 我笑着说，十年前，那时候是骑车从杭州过来的（那就是之前搞战纪念骑行那编博客写的）。他们非常惊讶，我又笑道： “看不出来吧，那时候我的头发可茂密了。”   “哈哈哈” 大家豁然开朗，气氛十分融洽。这也是户外的乐趣之一，大家心态都是开放的，没有隔阂。后面我还帮其中一个小伙拍了照。

很帅气吧？年轻真好，诚如古人云：“花有重开日，人无再少年。” 有想做的事，就尽早做好，不然越到后面，就越会觉得索然无趣。我也是深知这个道理，所以才会抓紧一切时间去体验有限有人生。以前总是觉得人生很长，现在快 40 的我真的觉得人生很短。

一路向上，快到山顶时，路线变得愈发夸张，其中一段，甚至都得侧着身子或者勾着腰才能通过。待爬上去后回头一看，好家伙，这简直就是天梯了。

待快到山顶的时候，视野豁然开朗。云外群山，清晰可见；萃间奇石，触手可及。凡世间仙山，不过如此。这个时候，感觉之前的艰辛都是值得的。

到了山顶后，由于游人的滞留，变得异常拥挤。我好不容易挤到了天都峰最高点，费劲地来了一张自拍。

事后，我站在群山之巅，思绪停留了很久。不知道下次再临黄山是什么时候，我又会变成什么样子。而十年几十后的时候，对于大山来说，犹如浮蝣一日；更让我想起了《兰亭集序》的名句： “仰观宇宙之大，俯察品类之盛。”

山顶上确实风景好，无奈人过多。在准备下山时，突然看见了天都峰著名的景点：鱼脊背，心中又泛起激动、喜悦之情。这次 4 点起床爬山、赶路是彻底值了。

场景非常的壮观，从图片里完全感受不到那种居高临下而又危险十足的感觉，整个通道仅允许一人通过，两边皆为万丈深渊，再加上山风吹拂在脸上，有种飞行的感觉。

过了鱼脊背，皆为沿阶下山路线，我这才发现对面就是第一次爬山的峰顶：光明顶。终于想起来了之前看到了惊人的天梯，当时我想的就是这样的路线谁敢爬啊；而今我却站在这里，感觉能进行一场时空对话了。

对面黄顶房子处就是著名迎客松所在地。走到门口后，回望山头，真的巍峨壮观。听新闻说天都峰马上就要进入休养期了，再开放时将是五年后。五年对于大山来说只一短暂一瞬，但对于我来说，五年后又将是什么样？还能否登山这山峰，都是未知。人上了年纪了，就越发觉得日月如梭、光阴似箭。年轻的时候觉得自己无所不能，到中年后，梦想都逐个被现实击破，真的能走上二次发展曲线的少之又少。今天我还能登上黄山一览群山，可能过几年也许就走不动了。

现在我特别赞同一个观点：想做的时候就大胆去做，别想着以后老了有的是时间，等老了你就不想做了，或者想做也做不动了。真的，趁自己还有激情、还有想法的时候，抓住生命中的每分每秒。

下山的时候，我路过了一个地方，那是抗战骑行下山经过的地方，十年过去了，跟我记忆里几乎一模一样，让我感慨万千。不经意想感叹时间流逝之快，以前总是觉得自己年轻，还有很多时间，但过了 30 后，突然发现，人生真的非常短暂。

结语

《三国演义》有首词我特别喜欢，那就是序言诗：

滚滚长江东逝水，浪花淘尽英雄。是非成败转头空。青山依旧在，几度夕阳红。
白发渔樵江渚上，惯看秋月春风。一壶浊酒喜相逢。古今多少事，都付笑谈中。

以前在读的时候，感受更多的是英雄的豪迈之情；而今再看的时候，进一步感觉到了悲壮之情。特别是 “是非成败转头空。青山依旧在，几度夕阳红”。 普通人的一生在历史长河中，真的就是一个过客。我还听过一个观点，听起来夸张，现在想起来确是事实：普通人在去世后50年左右，往往会被这个世界遗忘，仿佛从未存在过。

我希望下次再登黄山时，我仍保持一腔热情。

如今商场如战场，这一理念并不仅限于政治领域，其深刻内涵同样适用于现代团队管理。传统树型管理方式强调以领导为中心，重度依赖领导者的能力，瓶颈明显，已经显得低效、力不从心；而“无为”的理念则强调团队生态及自我演进，是新时代下的管理方式。

传统管理方式的困境

传统的管理方式往往强调管理者的作用和地位。在这种模式下，管理者被视为团队的指导者和协调者，负责制定计划、分配任务、监督执行等各个环节。而团队成员则主要充当执行者的角色，按照管理者的指示和要求完成工作任务。然而，这种传统的管理方式存在明显的缺点，这里例举几个。

管理者本身精力有限，不可能照顾到方方面面，容易疲惫或者疏忽，从而造成瓶颈。因为管理者需要参与团队的每一个细节和决策，面临着巨大的工作压力和负担。在高压力下，极易因疲劳或者精力不足而导致错误的决策。

管理者的素质和思想对团队的成败具有决定性的影响。一旦管理者的素质不够高或者思想不够先进，整个团队就可能陷入困境。这种情况下，团队成员往往缺乏自主性和创新性，只是机械地执行管理者的指示，难以形成真正的团队合力。

由于管理者拥有绝对的权威和地位，特别是在高压的业务场景下，往往容易忽视团队成员的意见和建议，导致团队成员之间的沟通和协作受到阻碍，进而导致团队内部的矛盾和冲突，造成一言堂的局面。这种矛盾和冲突不仅影响团队的凝聚力和执行力，还会对团队的稳定性及发展造成负面影响。最终将团队成员变成毫无感情的执行机器。曾今有同事甚至调侃：“这样也挺好，至少不用关心结果，反正都是他们说了算”。可想而知，当一个团队变一个人的团队，那么集体的智慧将荡然无存，十分可惜。

无为而治的一种实践：敏捷小组

与传统管理方式相比，“无为而治”的理念则更注重顺应自然规律和发挥团队成员的自我能动性。这一理念强调团队的运转该像自然的生老病死、潮起潮落、日升月落一样，顺应事务内在的逻辑和节奏，但又不是完全不管，是让团队成员在一定的规则下自由发展和成长。是一种微妙的平衡。

“敏捷小组”是我在日常的管理工作中提出的概念，其基本理念源于一部名为 《火影忍者》的动漫。在动漫里，所有的任务都是以小组的形式执行，他们协同作战又相互补充；因此敏捷小组是一种以协作为核心、迭代、循序渐进的方法论。其关键特点有：

• 团队分成若干个小组，成员各有特色，鼓励自行组团，但小组整体需具备完成任务所需的全栈技能。
• 任务不再分配给个人，而是分配给小组，并且鼓励小组成员自主领取任务。
• 设立任务池，任务评级及完成标准通过会议形式集成讨论产出，会后所有组认同结论。
• 需要有一个决策者的角色，在关键或者无法自平衡时做出决策，如某个任务长期无组认领，那么直接分配至某个组。
• 使用任务个数、级别或者其他数据对管理进行量化；并周期性地对各各小组进行绩效评估。

在这种模式下，管理者的角色发生了转变。他们不再是传统方式里的唯一指导者和协调者，而是成为了维护团队自驱的引导者。现在他们的任务是建立规则和清晰的目标，并为团队成员提供足够的发展空间和自由度，让他们在既定规则下发展、成长以及产出。

同时，“敏捷小组”还强调团队成员之间的互补和协作。每个小组成员都应该具有不同的能力和特长，并且能够相互补充和支持。这样不仅可以提高团队的整体能力，还可以增强团队成员之间的信任和默契。在实施过程中，还需要注意以下几点：

• 建立清晰明确的规则和目标。这是实现“无为而治”的基础。只有建立了清晰明确的规则和目标，才能让团队成员知道自己的行为方向和评价标准。
• 鼓励团队成员的自主性和创新性。管理者应该给予团队成员足够的自由度和发展空间，让他们能够自主领取任务、提出创新性的想法和解决方案。
• 强化团队成员之间的沟通和协作。管理者应该积极促进团队成员之间的沟通和协作，让他们能够相互了解、相互支持、相互协作。
• 注重团队成员的培养和成长。管理者应该关注团队成员的培养和成长，为他们提供必要的培训和发展机会，让他们能够不断提升自己的能力和素质。

在我刚接手团队时，整个团队毫无目标可言，基本上是业务需求的施工机器。这样的工作使用组员的工作方式以应付为主，为此造成很多历史问题无人解决，形成恶性循环。就可以看到大家虽然很努力，但是产出非常有限，还时不时因为历史问题陷入浪费相当多的时间；另一个头痛的问题是组员间经常因为工作责任划分问题而矛盾重重，闹得不可开交，甚至口角。 我注意到了一点还，团队成员个性十足，有些人与一些人合得来，与另一些人合不来。

在我提出“小组后”，成员自然会寻找与自己性格、做事方式相同的组成小组；同时依据性格互补理论，这种方式寻找到的伙伴，拥有极高的稳定性。例如急性子的肯定会找慢性子的做合作，否则天天吵。这就解决了合作问题。然后我将任务进行了量化，成型 S\A\B\C\D 四个级别，每个级别都在周会上共同讨论的结果，并首选他们自行选择。这样做事时，他们就认可任务的价值，从而更加主动。

量化管理，让一切变得自然、清晰

更加微妙的是：在工作量化后，每个组都会明确知道自己的工作绩效水平，并潜意识地维护——在领先时、在落后时。作为管理者的我也能依据量化数据精确地指出每个组每个成员的工作问题。

结语

必须要说明的是。世界没有万能药。“无为而治”虽然是最高竟界的管理方式，但并不万能，即必须在特定的条件中使用。就如同共产主义一样，在条件没有完全成熟之前，我们只能实施社会主义。实践中，我们需要根据具体情况和团队特点进行灵活应用和调整。只有真正理解了“无为而治”的内涵和精髓，才能将其应用于实际工作中，并取得良好的效果。

我们相信，在未来的团队管理中，“无为而治”将成为一种重要的管理趋势和潮流，为团队的发展和成长注入新的活力和动力。

延伸思维不处不在并时刻影响着我们，然后我们确很少关注。延伸思维是一种顺势思考，指我们的大脑会自动地扩展所看到、所听到所理解、所理解的事物。比如我们看到一片草坪，便会延伸地认为周围都是树木或者环境优雅的土地；又如当我们在某个领域获得成功后，往往会将这种成功经验套用到其他领域，期望能够快速取得类似的成就。这种思考是潜意识的，甚至你都没有向那方面想，但有一种 “感觉” 在导致着你。然而，这种思维方式并不总是最佳的解决方案。

举例来说，我们看到左图的泰姬陵，为其优雅与美丽所震撼；便会自然联想到周围一定群山环绕、树木成荫、飞鸟走兽，一片生机盎然的样子；然而实时确是，周围垃圾遍地。

你能想像气势磅礴的泰姬陵背后是成堆的垃圾？

又例如，人形机器人也存在类似问题。我们常认为人形机器人应该像人类一样多才多艺，适应各种场景。然而，更有效的方法是根据不同场景设计不同类型的机器人，比如救援机器人和清洁机器人，它们具备特定的能力和工具，而不是一刀切地模仿人类。

有一次我经过楼下的停车场，看到一辆新款的福特电动汽车，要知到福特可是油车时代的佼佼者，其拥有世界上顶尖的设计师与工程师；但是令我意想不到的是，福特的工程师竟然为本来不需要进气格栅的电动汽车强行加了格栅。你猜他们是怎么加上的，不可思议，竟然是画上去的。这令人哭笑不得的设计竟然出自世界名厂之手，足以说明延伸思想有多么可怕。估计福特的汽车设计师早已习惯了车头有一个大嘴似的进气格栅，否则会觉得看着非常的难受；以此才想出了一个不是办法的办法，真的是令人嘘。

你能接受这个进气格栅是画出来的吗？

延伸思维的陷阱在于，我们容易固化某种模式，甚至在不适用的领域坚持使用。最可怕的是这种坚持被我们理所当然地认为是对的，如同 “鸟儿都可以用扑翼来飞翔，人类也行” 一样。也确实，早期人类想要在空中飞翔时都是一味模仿鸟类，给自己加上扑翼，甚至还付出了生命的代价。直到螺旋桨的的发明，人类才知道了飞行本身不是翅膀，而是空气上下的气压差。实质上，除了固定翼之外，还有四轴螺旋翼方案，他在大自然中是不存在的，但却是最灵活的（近期在军事上大放异彩）。为什么鸟类使用扑翼合适，到了人类这里就不是最优解了呢？原因首先是材料，人类建造的飞书使用的是金属，这跟中空而轻的鸟类骨骼不同。其次目的不一样，有些飞行器是用于军事，有些用于商业。比如在商业场景下，我们希望行生器能运载更多的货物或者旅客，而不是机动性。总之，每个问题都有自身的条件及属性，需要弄清楚。

当然延伸思维并不全是害处，在类似的问题上，利用已有的知识体系，可以帮助我们快速解决问题。比如鱼能在水里自由上下浮动，是因为有鱼膘。我们将类似的装置设计到了潜艇上。

因此，需意识到延伸思维的局限性。它有时带来好处，有时带来坏处，不能迷信存已有的最优解。在条件不同时， 因该有跳出固有思维的勇气，寻找不同的设计思路，创造出更独特、更优秀的解决方案。

后面的道路，曲径通幽、翠柏夹道，显得十分谧静。行走在其中，鸟鸣泉响，犹如置身于仙山，身心得到放松。

呼狗岩徙步的后半段有一截横断的绝壁，上面打有钢钉，钢链穿梭其中。要人要想过去，只得牢牢抓住，并俯下身段，踱步移过去。脚下便是万丈深渊，可谓惊魂动魄。

有线网部分

VLAN 以及 VLAN tag

从字面上就可以理解，这是对以太网即数据链路层的虚拟化。大家都知道通知交换机，我们可以将多个计算机连接到一张以太网中。但是企业场景非常复杂，有些网络可能专门用于管理，有些专门用于测试，还有些用于供外部访客使用。这些网络极可能存在不同的路由及配置（比如 DHCP 服务器、出口网关或 IP 地址段），如果每个网络都分开部署，成本就会相当的高。因此在 IEEE 802.1Q 规范中，在链路层的帧上添加了一个 ID，即 VLAN ID，不同的虚拟网拥有不同的 vlan id，这样就在物理局域网（LAN）上虚拟出了若干虚拟局域网（VLAN）。

为了处理 vlan 报文头，交换机在接口上还有 Trunk、Access 以及 Hybrid 三种模式可以选择，第三咱 Hybrid 可以简单理解为 Trunk 与 Access 的简单二合一产物， Trunk 可以处理 vlan 标记，因此需要在启用 vlan 的交换机之间的连接接口中开启， Access 可以理解为对接终端时使用配置。详细来讲：

• Access 端口在收到数据包时会先判断是否带 VLAN tag，有则丢弃数据包，没有则打上该端口已配置的 VLAN tag；而在出数据时，交换机将打了与端口相同VLAN tag的数据包转发出去，并且去掉VLAN tag变成普通数据包。
• Trunk 端口在收到数据包时先判断是否带 VLAN tag，没有则丢弃数据包，有则按照对应VLAN进行转发；交换机将带VLAN tag的数据包原封不动转发出去，没有带 VLAN tag 数据包不会从 Trunk 端口转发出去。

由此可见，Access 与 Trunk 的区别在于 VLAN tag 的处理逻辑上。若需要更详细的理解，可参考此文章。

ARP 地址欺骗与 ARP Request 攻击

ARP 全称 Address Resolution Protocol，是衔接网络二、三层的协议，其作用就是获取局域网 IP 地址（三层）对应的 MAC 地址（二层），它的工作流程是这样的：

1. 计算机想向 IP 地址 A 发送数据包时，首先检查是否缓存地址 A 的 MAC 地址，如下：
   
2. 若没有此地址信息，计算机会向 x.x.255.255 广播地址（其中 x.x 是子网前缀，如 192.168）发送 ARP 请求报文询问 IP 地址 A 所在机器对应的 MAC 地址。
3. 交换机在收到目的地址为 255.255 这样的广播地址时，会向所有的已经连接上的机器转发，相当每台机器都会收到询问。
4. 若某台机器的 IP 地址为 A，则此台机器会返回 ARP 应答报文，告之发送源他的 MAC 地址，IP 地址为 A 的 MAC 地址。
5. 计算机收到应答后会将 MAC 以址缓步，若为 Windows 系统，可以使用 arp -a 命令来进行查看，至此结束 ARP 发现流程。

从上面的流程我们可以看出两个漏洞：一是每次 ARP 请求交换机都会进行广播，如果 ARP 请求非常频率，则会形成广播风暴，占用网络资源，就这个 ARP Request 攻击也叫 ARP 泛洪攻击；二是 ARP 应答报文进行没加密以及校验机制，谁都可以返回应答信息，假如我的 IP 地址是 B，我仍然向源地址返回应答信息，源地址就会收到错误的 MAC 地址，如此形成 ARP 欺骗攻击。ARP 欺骗攻击在局域网中经常发生，如果网络连接正常但突然上不了网，多半是由此原因引起的。

DHCP Snooping, DAI 以及 IPSG

针对 ARP 泛洪攻击有效的防守方式就是限制 ARP 频率，如一个 MAC 一秒最多 10 个报文（正常绝对够了）；针对 ARP 地址欺骗攻击的防御手段是使用 DAI（Dynamic ARP Inspection）。这两个技术的前提都是 DHCP Snooping，所谓 snooping 即 “监听”，即交换机会监控 DHCP 响应报文，记录 DHCP 从哪个接口（Interface 接收到的），这项技术的由来是为了防止 DHCP 服务器仿冒，在配置交换机的时候会将我们认为合法交换机所连接的接口标记为信任（Trusted），这样其他接口收到 DHCP 应答时交换机就会直接丢弃。使用 DHCP Snooping，交换机会监听 DHCP 的 Offer 报文，得知源 MAC 地址获得的 IP 地址，这样便实现 IP - MAC 之前的绑定关系。

DAI 正是利用这一绑定列表，在任务一个 ARP 应答报文在经过它时，都会与已经学习的绑定列表进行对比，若发现不匹配，则会丢弃报文。例如，计算机 B 的 IP 地址是 C，MAC 地址是 D，但是故意响应 IP 地址为 F 的 ARP 请求报文，想欺骗源端 IP 地址 F 所在的 MAC 地址是 D，但是交换机在收到报文后发现 MAC 地址 D 对应的 IP 地址是 C，而不是报文中填写的 F，属于无效数据，因此会直接丢弃。因此开启 DAI 后，手动指定 IP 地址不再能访问网络，因为交换机上没有对应的绑定关系。

还有另一种技术 IPSG 也是利用上述 IP - MAC 绑定关系，只不过是反过来的，是通过 MAC 查 IP 而不是像 DAI 那样通过 IP 来查 MAC，可见，开启 IPSG 后是为了防止 IP 欺骗。典型的使用场景两台计算机拥有的 IP 地址分别为 A、B，但他们的网络控制权限不一样，A 拥有更高的访问权限，这样在 A 下线的时候，如果 B 仿冒 A 的 IP 地址进行数据发送就可以绕过权限控制，因此交换机会通过查询绑定列表来验证是不是真的 IP 地址为 A 的计算器发出的。

DHCP 两步上线与四步上线

说到 DHCP Snooping，有必要解释一下 DHCP 报文的几个交互过程，分为二类，即二步上线与四步上线。当计算机第一次加入局域网且开启通过 DHCP 获取 IP 地址时，发生四步上线过程：

1. 客户机请求IP（客户机发 DHCPDISCOVER 广播包），注意这步也是广播与 ARP 解析一样的，这个时候 IP 报文中源地址的 IP 地址为 0.0.0.0，端口为 UDP 68，目的地址为 x.x.255.255 即广播地址。
2. Server响应（server发 DHCPOFFER 广播包），即在自己的IP地址池中查找是否有合法的IP地址提供给客户机，注意这个时候 IP 地址还没有分配给计算机，只是作了一个标记。由于DHCP客户机还没有IP地址，所以DHCPserver使用自己的IP地址作为源地址，使用 UDP 67 端口作为源端口，使用x.x.255.255 作为目标地址，DHCP 服务 IP 作为源地址，来广播 DHCPOFFER 信息。DHCPOFFER 中除了有客户可选的 IP 地址之外，还有租期、网关地址、子网掩码等信息
3. 客户机选择IP（客户机发 DHCPREQUEST 广播包），这个时候报文中源 IP 地址仍然是 0.0.0.0，目的地址仍然是广播地址 x.x.255.255。
4. Server确定租约（Server发 DHCPACK/DHCPNAK 广播包），向客户端发出确认或者拒绝消息，这个时候使用源地址与目的地址与第二步是一样的。

那什么是二步上线呢？其实就是 IP 地址还在租期中，但是发生了漫游或者重新连网，这个时候会直接路过前面两个步骤从第二步开始。这里有个小问题，如果漫游的子网与之前的不同，就会造成 DHCP NACK（因为新的子网里 DHCP 不同，也就没有对应的租约记录），但是有些交换机是不发送 NACK 的（比如华为的，需要手动开启），而是让客户端超时重试，这样就会造成 DHCP Request 超时，造成漫游失败。

二层交换机、三层交换机与七层交换机

ISO OSI 网络模型里三层是指 IP 层，二层是指数据链路层。二层交换机工作在数据链路层，相当于将网线都连接起来，不存在管理的需求，因此没有管理界面，使用时将网线插入即可。三层交换机工作在 IP 层，可以针对 IP 进行过滤以及应用对应的安全防护，如 DAI、IPSG 等。七层交换机则可以识别应用流量，并针对进行优化或者配置，一般防火墙才会工作在七层。

网络环境中大多是 3 层交换机。

网段、子网段以及 ACL 安全组

以太网使用 IP 地址作为 3 层寻址。那么就需要针对不同的网络区域设置成不同的网段，公开的私有网段如下：

• A 类私有：10.0.0.0/8，即：10.0.0.0-10.255.255.255
• B 类私有：172.16.0.0/12，即：172.16.0.0-172.31.255.255
• C 类私有：192.168.0.0/16，即：192.168.0.0-192.168.255.255

私有网段下，还可以使用 CIDR 进行掩码划分，IPv4 使用 4 个字节一共 32 位表示 IP 地址，那么 CIDR 就是表示使用左边多少位来表示子网段。例如 192.168.0.0/16 则表示使用前面 16 位来表示子网段，如果是 192.168.128.0/17 则表示前面 17 位是固定的，那么可用的 IP 地址就是 192.168.128.0~192.168.255.255 一共 32768 个 IP 地址。有些时候，CIDR 书写并不是很规范，可能是 192.168.130.0/17 这种，但是与 192.168.128.0/17 的效果是一样的。

无线网部分

频率、带宽、频段与载波聚合

无线通信技术基于无线电波，无线电波本质就是电磁波，波的基本公式：v = λ * f，波的特性有：波长、频率与波速。目前局域网无线通信通信技术创建于 IEEE 802.11 标准，由 Wi-Fi 联盟进行管理，Wi-Fi 经常被写成 WiFi，但实际上没有得到官方的认可，并且 Wi-Fi 一词也不是任何单词的组合或者缩写。Wi-Fi 发展至今，已经形成 2.4GHz 与 5GHz 两代重要升级。其中 2.4G 与 5G 指的就是波的频率，由于电磁波是光波的一种，因此其速度是固定的，就只需要频率就可以描述了。2.4G 就是用 2400MHz 以基础频率的波进行通信，而 5G 就是使用 5000MHz 的波进行通信。由于波在事一频率下会产生干扰的现象，因此技术人员在 2.4G 与 5G 的基础上划分出多个小的区间，每个区间大概间隔 20MHz，，这就是信道的概念。

2.4GHz 信道一共设计 14 个，但并不是每个国家都开放了，其中由于一些安全原因，会关闭某些信道。2.4G Wi-Fi 信道有个特点，即相邻的信道是重合的，中心点相距 5Hz，如下图所示：

因此在场内多信道组网部署时，通常只使用 1、6、11 这三个信道，这样可以在设计层面避免干扰。当然，这是在理想情况下，现实是除了自己部署的信号，还有其他人部署的，因此 2.4GHz 想要完全避免干扰是非常难的。

5GHz 信道就更多了，因此每个国家的区别就更大了，目前我们使用的是 36、38、40、42、44、46、48、149、153、157、161、165 这几个。5GHz 的信道最大的好处就是完全不重叠，在抗干扰上更优：

5G Wi-Fi 还有一个好处就是可以将多个信道联合起来，两个信道组成一个，就成了双车道，自然信息传递就更快了 5G 40Mhz；三个信道组成一个，就成了了三车道，对应 5G 80Mhz，这种技术被称为 “载波聚合”（Carrier Aggregation）。它是另一种提升网络吞吐率的方法。一般来说，提升无线网络吞吐率的思路有，增加基站（如 MIMO 方式）数量、提升频谱效率（如优化编码等)，还有一种就是增加频谱带宽。但是无论是 2.4G 还是 5G，已经将一个载波单元（Component Carrier）的大小规定好了，肯定是不容变更的，所以截波聚合就是通过将空闲多个频带资源进行整合分配给同一个用户。普通 5G 20Mhz 的理论通信速率 65Mbps、40Mhz 理论通信速率 150Mbps、80MHz 的理论通信速率 300Mbps，为用户提供更高的峰值传输速率。

最佳无线布局

前面提到由于相同信道的无线网络会产生干扰，因此在部署覆盖大面积场景的时候必须对信道进行设计，尽可能多地覆盖区域并将冲突降低到最小。根据华为官方撰写的《企业 WLAN 优化场景》，AP 在平面内应该以正六边形也即蜂窝状部署，如下：

上面 AP 接连的数字代码信道设置的参考值。在一些特殊的场景，如会议室，部署的推荐如下：

在比较密集的 AP 覆盖场景，由于 AP 本身的接入能力有限，因此不是说一个范围仅安装一个 AP 能够覆盖即可。对于不同的接入密度，还需要针对性地设计，这个时候我们就需要调整每个 AP 的功率，使之在小范围不产生信号冲突。否则 AP 都以最大功率发射的话，整个空间都充斥着无线信号，冲突自然无法避免。

空间流

淘宝上经常宣传某个路由器有 1500M 的效率，但是无论从 2.4G 还是 5G 的速率来看，都不可能达到 1500M，这又是怎么回事呢？

这里就要讲到一个新的概念：空间流。前面说到通过将多个信道组合成一个信道来增加传输速率，空间流就是通过增加天线的数量，在另一个维护进一步加宽信号传输这条高速公路。这种技术被称为 MIMO(Multi Input Multi Output)，没错就是这么直接。

常说的 4x4 空间流说的就是发送的天线 2 根，接收的天线也是 2 根，这样以下，如果你的设备恰好也有 2 根天线，则发送与接收速率都可以翻倍。如果设备只有一根天线，不支持 MIMO，没关心，路由器多的天线通道可以同时给其他设备使用，等于增加了路由器的吞吐量。所以宣传说的 1500M 指的是 4x4 的空间流，前面说过在 5G 80M 频宽下单流的速度为 300M，那么 4 条天线通道最大的吞吐量就是 1200M，再加上 2.4G 的 2x2, 差不多就是 1500M 了，所以商加宣传的是路由器的理论最大吞吐量，并不是说你使用后下载带就可以达到 1500M。

SNR、RSSI、底噪、EIRP 及其的关系

在企业无法部署中，由于无线路器由的数量特别多，为方便集中管理，出现了 AC-AP 即 FitAP 的方案，这种方案使用 AC 控制器对无线路由器 AP 的配置进行统一分发，方便集中管理。AP 本身作为无线信号的接发装置，有诸多的性能指标。如下：

通过上述表格，可以发现，如果无线环境比较差，那么其底噪就会比较高，如 -80dBm，这个时候 SNR 就会得到比较低的数值，SNR 低于 15 时，信号质量就比较差了。这个时候我们可以通过增加发射功率 RSSI 来提升 SNR。反过来，如果无线环境的底噪比较低，这个时候就不需要这么高的发射功率了。

Beacon 周期

AP 在提供 SSID（Service Set Identifier）即服务集标识符时，会定期向周围进行帧广播，以快速发现漫游、离线设备，这个周期被称为 Beacon 周期，一般默认值为100。在漫游环境和一些无线客户端（wireless client ）联机变动比较大场合（如公众热点），客户端（Client）属于移动状态，需要快速漫游，应将beacon适当调低。Beacon 周期也不宜调至过大，否则某些设备会因长时间收到不而认为网络已变更，造成设备掉线的情况。

RTS - CTS

由于无线电波只有一条，在多个设备在使用的时候，就存在争抢的情况，此时就需要使用类似一个 “请求发送/允许发送” 的令牌，属于控制辅助信号。当一个 AP 准备发送数据至 STA B 时，首先向 B 发送一个 RTS 帧，表明要发送若干数据；B 收到 RTS 后，向所有 AP 广播 CTS 信号，表明已准备就绪，A 可以发送，而其余欲向 B 发送数据的基站则暂停发送。由于目前的无线电都是双路通信（目前的主流方案有时分多路 TDD 与频分多路 WDD），因此只需要一边确认即可。

由于无线电波只有一条，在多个设备在使用的时候，就存在争抢的情况，此时就需要使用类似一个 “请求发送/允许发送” 的令牌，属于控制辅助信号。当一个 AP 准备发送数据至 STA B 时，首先向 B 发送一个 RTS 帧，表明要发送若干数据；B 收到 RTS 后，向所有 AP 广播 CTS 信号，表明已准备就绪，A 可以发送，而其余欲向 B 发送数据的基站则暂停发送。由于目前的无线电都是双路通信（目前的主流方案有时分多路 TDD 与频分多路 FDD），因此只需要一边确认即可。

WIDS

WIDS 即 “无线入侵检测”，是一组安全策略，与 WAF（Web Application Fire）的概念是一样的，并不是某项具体的安全技术。通常 WIDS 里包含的安全策略有：

• 暴力破解攻击：即采用穷举法、字典式攻击以及彩虹表攻击方式获取权限的方式。
• 各类泛洪攻击：如 ARP-Request、DNS、ICMP 等请求的泛洪攻击，这类请求的特点是存在广播路径，容易形成风暴。
• 欺骗攻击：如 ARP 地址欺骗、IP 地址欺骗等，就是伪装成某个正常的设备。
• 弱 IV 攻击：弱向量是指当采用WEP加密方式时，对于每一个报文，在发送前都会使用一个3字节的初始向量（Initialization Vector）和固定的共享密钥一起来加密报文，使相同的共享密钥产生不同的加密效果。如果AP使用了弱IV（当AP检测到IV的第一个字节取值为3～15，第二个字节取值为255时，即为弱IV），由于在STA发送报文时IV作为报文头的一部分被明文发送，攻击者很容易暴力破解出共享密钥后访问网络资源。
• 非法设备反制：这是主要是非法 AP，即区域内 AC 管理的 AP 存在一个非法的 AP，试图冒充正常的 AP 服务，以损害 STA 的连接稳定性。反制就是通过监测 AP 以非法 AP 或干扰 AP 的身份发送广播解除认证（Deauthentication）帧，这样，接入非法 AP 或干扰 AP 的 STA 收到解除认证帧后，就会断开与非法 AP 或干扰 AP 的连接。通过这种反制机制，可以阻止 STA 与非法 AP 或干扰 AP 的连接。

定向天线

本身天线发出的电磁波就像池塘中的水波一样，会均匀地呈圆状散播开来，这种被称为全向天线，但有时候我们希望只向某一个方向发射，这种不仅可以集中能量向目的方向发射以节省能源，还能防止不必要的电磁干扰，这种就被称为定向天线。以下天线都是定向天线：

速波成型

MIMO技术通过多天线传输，带来传输速率的成倍增长。但在实际应用中STA（无线终端）往往只有1到2个天线，如果仅使用对应数量的天线发送信号，则无法利用多天线带来的增益。为了解决这一问题，通过引入波束成形技术，可以增强STA接收到的信号强度，从而使AP和STA可以协商出更高的传输速率。束波就是利用了波的叠加龙原理，使用多个天向，将发射周期调整到适当的位置，使用两个天线发出来的波正好形成正向叠加，实现信号增益的效果。