網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議基礎(chǔ)

1、網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議基礎(chǔ)2.1 網(wǎng)絡(luò)的體系結(jié)構(gòu)網(wǎng)絡(luò)的體系結(jié)構(gòu)2.1.1 網(wǎng)絡(luò)的層次結(jié)構(gòu)網(wǎng)絡(luò)的層次結(jié)構(gòu) N+1 層 N 層 N-1 層 N/N+1 層接口 N-1/N 層接口 分層就是系統(tǒng)分解的最好方法之一。層次結(jié)構(gòu)的好處在于使每一層實(shí)現(xiàn)一種相對(duì)獨(dú)立的功能，每一層向上一層提供服務(wù)，同時(shí)接受下一層提供的服務(wù)。每一層不必知道下面一層是如何實(shí)現(xiàn)的，只要知道下層通過層間接口提供的服務(wù)是什么，以及本層向上層提供什么樣的服務(wù)，就能獨(dú)立地設(shè)計(jì)，這就是常說的網(wǎng)絡(luò)層次結(jié)構(gòu) 2.1.2 服務(wù)、接口和協(xié)議服務(wù)、接口和協(xié)議在某層上進(jìn)行通信所使用的規(guī)則、標(biāo)準(zhǔn)或約定的集合就稱為協(xié)議(Protocol)。各層協(xié)議按層次順序排列

2、而成的協(xié)議序列稱為協(xié)議棧。協(xié)議主要由下列三個(gè)要素組成：(1)語義(Semantics)。涉及用于協(xié)調(diào)與差錯(cuò)處理的控制信息。(2)語法(Syntax)。涉及數(shù)據(jù)及控制信息的格式、編碼及信號(hào)電平等。(3)定時(shí)(Timing)。涉及速度匹配和排序等。不同系統(tǒng)中的對(duì)等實(shí)體是沒有直接通信能力的，它們間的通信必須通過其下各層的通信間接完成。第N層實(shí)體向第N+1層實(shí)體提供的在第N層上的通信能力稱為第N層的服務(wù)。在接口處規(guī)定了下層向上層提供的服務(wù)，以及上下層實(shí)體請(qǐng)求或提供服務(wù)所使用的形式規(guī)范語句（服務(wù)原語）。 2.2 OSI模型及其安全體系模型及其安全體系1 1OSI-RMOSI-RM的層次結(jié)構(gòu)的層次結(jié)構(gòu) 應(yīng)

3、用層 表示層 會(huì)話層 傳輸層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 應(yīng)用層 表示層 會(huì)話層 傳輸層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 主機(jī) A 主機(jī) B 節(jié)點(diǎn)機(jī) 節(jié)點(diǎn)機(jī) 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 網(wǎng)絡(luò)層 數(shù)據(jù)鏈路層 物理層 通信子網(wǎng) 2OSI-RM的數(shù)據(jù)格式 2.2.2 OSI模型的安全服務(wù) 1認(rèn)證 2訪問控制 3數(shù)據(jù)機(jī)密性 4數(shù)據(jù)完整性 5抗否認(rèn) 2.2.3 OSI模型的安全機(jī)制 1加密機(jī)制 2數(shù)字簽名機(jī)制 3訪問控制機(jī)制 4數(shù)據(jù)完整性機(jī)制數(shù)據(jù)完整性機(jī)制 5鑒別交換機(jī)制 6通信流量填充機(jī)制 7路由選擇控制機(jī)制 8公證機(jī)制 2.3 TCP/IP模型及其安全體系模型及其安全體系1TCP/IP參考模型的層次結(jié)構(gòu)

4、 ICPM Enthernet ARPANET PDN 其它 IP RARP ARP UDP TCP Telnet FTP SMPT DNS 其它 57 4 3 12 TCP/IP協(xié)議族 OSI層次 2.3.2 TCP/IP的安全體系的安全體系 1鏈路層安全 2網(wǎng)絡(luò)層安全 3傳輸層保護(hù)的網(wǎng)絡(luò) 4 應(yīng)用層安全性 2.4 常用網(wǎng)絡(luò)協(xié)議和服務(wù) 2.4.1 常用網(wǎng)絡(luò)協(xié)議常用網(wǎng)絡(luò)協(xié)議1IP協(xié)議協(xié)議 2TCP協(xié)議協(xié)議 3UDP協(xié)議協(xié)議 4ICMP協(xié)議協(xié)議 IP頭的結(jié)構(gòu)版本（版本（4位）位）頭長度（頭長度（4位）位）服務(wù)類型（服務(wù)類型（8位）位） 封包總長度（封包總長度（16位）位）封包標(biāo)識(shí)（封包標(biāo)識(shí)（16

5、位）位）標(biāo)志（標(biāo)志（3位）位）片斷偏移地址（片斷偏移地址（13位）位）存活時(shí)間（存活時(shí)間（8位）位）協(xié)議（協(xié)議（8位）位）校驗(yàn)和（校驗(yàn)和（16位）位）來源來源IP地址（地址（32位）位）目的目的IP地址（地址（32位）位）選項(xiàng)（可選）選項(xiàng)（可選）填充（可選）數(shù)據(jù)數(shù)據(jù)IPv4的IP地址分類 IPv4地址在1981年9月實(shí)現(xiàn)標(biāo)準(zhǔn)化的?；镜腎P地址是8位一個(gè)單元的32位二進(jìn)制數(shù)。為了方便人們的使用，對(duì)機(jī)器友好的二進(jìn)制地址轉(zhuǎn)變?yōu)槿藗兏煜さ氖M(jìn)制地址。IP地址中的每一個(gè)8位組用0255之間的一個(gè)十進(jìn)制數(shù)表示。這些數(shù)之間用點(diǎn)“.”隔開，因此，最小的IPv4地址值為，最大的地址值為255.

6、255.255.255，然而這兩個(gè)值是保留的，沒有分配給任何系統(tǒng)。IP地址分成五類：A類地址、B類地址、C類地址、D類地址和E類地址。每一個(gè)IP地址包括兩部分：網(wǎng)絡(luò)地址和主機(jī)地址，上面五類地址對(duì)所支持的網(wǎng)絡(luò)數(shù)和主機(jī)數(shù)有不同的組合。1、A類地址一個(gè)A類IP地址僅使用第一個(gè)8位組表示網(wǎng)絡(luò)地址。剩下的3個(gè)8位組表示主機(jī)地址。A類地址的第一個(gè)位總為0，這一點(diǎn)在數(shù)學(xué)上限制了A類地址的范圍小于127，因此理論上僅有127個(gè)可能的A類網(wǎng)絡(luò)，而地址又沒有分配，所以實(shí)際上只有126個(gè)A類網(wǎng)。技術(shù)上講，也是一個(gè)A類地址，但是它已被保留作閉環(huán)（Look Back）測試之用而不能分配給

7、一個(gè)網(wǎng)絡(luò)。A類地址后面的24位表示可能的主機(jī)地址，A類網(wǎng)絡(luò)地址的范圍從到。每一個(gè)A類地址能支持16,777,214個(gè)不同的主機(jī)地址，這個(gè)數(shù)是由2的24次方再減去2得到的。減2是必要的，因?yàn)镮P把全0保留為表示網(wǎng)絡(luò)而全1表示網(wǎng)絡(luò)內(nèi)的廣播地址。2、B類地址設(shè)計(jì)B類地址的目的是支持中到大型的網(wǎng)絡(luò)。B類網(wǎng)絡(luò)地址范圍從到。B類地址蘊(yùn)含的數(shù)學(xué)邏輯是相當(dāng)簡單的。一個(gè)B類IP地址使用兩個(gè)8位組表示網(wǎng)絡(luò)號(hào)，另外兩個(gè)8位組表示主機(jī)號(hào)。B類地址的第1個(gè)8位組的前兩位總是設(shè)置為1和0，剩下的6位既可以是0也可以是1，這樣就限制其范圍小于等于191

8、，這里的191由128+32+16+8+4 +2+1得到。最后的16位（2個(gè)8位組）標(biāo)識(shí)可能的主機(jī)地址。每一個(gè)B類地址能支持64,534個(gè)惟一的主機(jī)地址，這個(gè)數(shù)由2的16次方減2得到，B類網(wǎng)絡(luò)有16,382個(gè)。3、C類地址C類地址用于支持大量的小型網(wǎng)絡(luò)。這類地址可以認(rèn)為與類地址用于支持大量的小型網(wǎng)絡(luò)。這類地址可以認(rèn)為與A類地址正好相反。類地址正好相反。A類地址使用類地址使用第一個(gè)第一個(gè)8位組表示網(wǎng)絡(luò)號(hào)，剩下的位組表示網(wǎng)絡(luò)號(hào)，剩下的3個(gè)表示主機(jī)號(hào)，而個(gè)表示主機(jī)號(hào)，而C類地址使用三個(gè)類地址使用三個(gè)8位組表示網(wǎng)絡(luò)地址，位組表示網(wǎng)絡(luò)地址，僅用一個(gè)僅用一個(gè)8位組表示主機(jī)號(hào)。位組表示主機(jī)號(hào)。C類地址的前類

9、地址的前3位數(shù)為位數(shù)為110，前兩位和為，前兩位和為192(128+64)，這形成了，這形成了C類地址空間的下界。第三位等于類地址空間的下界。第三位等于十進(jìn)制數(shù)十進(jìn)制數(shù)32，這一位為，這一位為0限制了地址空間的上界。不能使用第三位限制了此限制了地址空間的上界。不能使用第三位限制了此8位組的最大值為位組的最大值為255-32等于等于223。因此。因此C類網(wǎng)絡(luò)地址范圍從類網(wǎng)絡(luò)地址范圍從至至。最后一個(gè)最后一個(gè)8位組用于主機(jī)尋址。每一個(gè)位組用于主機(jī)尋址。每一個(gè)C類地址理論上可支持最大類地址理論上可支持最大2 5 6個(gè)主機(jī)地址個(gè)主機(jī)地址(0255)，但是僅有，

10、但是僅有254個(gè)可用，因?yàn)閭€(gè)可用，因?yàn)?和和255不是有效的主機(jī)地址?？梢杂胁皇怯行У闹鳈C(jī)地址?？梢杂?,097,150個(gè)不同個(gè)不同的的C類網(wǎng)絡(luò)地址。類網(wǎng)絡(luò)地址。在在IP地址中，地址中，0和和255是保留的主機(jī)地址。是保留的主機(jī)地址。IP地址中所有的主機(jī)地址為地址中所有的主機(jī)地址為0用于標(biāo)識(shí)局域網(wǎng)。同樣，用于標(biāo)識(shí)局域網(wǎng)。同樣，全為全為1表示在此網(wǎng)段中的廣播地址。表示在此網(wǎng)段中的廣播地址。4、D類地址D類地址用于在IP網(wǎng)絡(luò)中的組播（Multicasting）。D類組播地址機(jī)制僅有有限的用處。一個(gè)組播地址是一個(gè)惟一的網(wǎng)絡(luò)地址。它能指導(dǎo)報(bào)文到達(dá)預(yù)定義的IP地址組。因此，一臺(tái)機(jī)器可以把數(shù)據(jù)流同時(shí)發(fā)送到

11、多個(gè)接收端，這比為每個(gè)接收端創(chuàng)建一個(gè)不同的流有效得多。組播長期以來被認(rèn)為是IP網(wǎng)絡(luò)最理想的特性，因?yàn)樗行У販p小了網(wǎng)絡(luò)流量。D類地址空間，和其他地址空間一樣，有其數(shù)學(xué)限制，D類地址的前4位恒為1110，預(yù)置前3位為1意味著D類地址開始于128+64+32等于224。第4位為0意味著D類地址的最大值為128+64+32+8+4+2+1為239，因此D類地址空間的范圍從到239.255.2 55.254。5、E類地址 E類地址雖被定義為保留研究之用。因此Internet上沒有可用的E類地址。 E類地址的前4位為1，因此有效的地址范圍從至

12、55。子網(wǎng)掩碼 子網(wǎng)掩碼是用來判斷任意兩臺(tái)計(jì)算機(jī)的IP地址是否屬于同一子網(wǎng)絡(luò)的根據(jù)。 最為簡單的理解就是兩臺(tái)計(jì)算機(jī)各自的IP地址與子網(wǎng)掩碼進(jìn)行二進(jìn)制“與”（AND）運(yùn)算后，如果得出的結(jié)果是相同的，則說明這兩臺(tái)計(jì)算機(jī)是處于同一個(gè)子網(wǎng)絡(luò)上的，可以進(jìn)行直接的通訊。 計(jì)算機(jī)A的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算，運(yùn)算過程如表2-3所示。子網(wǎng)掩碼計(jì)算機(jī)A的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算，運(yùn)算過程如表2-3所示。IP地址11010000.10101000.00000000

13、.00000001子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位“與”運(yùn)算11000000.10101000.00000000.00000000運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制子網(wǎng)掩碼計(jì)算機(jī)B的IP地址為54，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算。運(yùn)算過程如表2-4所示。IP地址地址11010000.10101000.00000000.11111110子網(wǎng)掩碼子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位地址與子網(wǎng)掩碼按位“

14、與與”運(yùn)算運(yùn)算11000000.10101000.00000000.00000000運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制子網(wǎng)掩碼計(jì)算機(jī)C的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算。運(yùn)算過程如表2-5所示。IP地址地址11010000.10101000.00000000. 00000100子網(wǎng)掩碼子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位地址與子網(wǎng)掩碼按位“與與”運(yùn)運(yùn)算算11000000.10101000.00000000.00000000運(yùn)算的結(jié)果

15、轉(zhuǎn)化為十進(jìn)制運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制2TCP協(xié)議 TCP是傳輸層協(xié)議，提供可靠的應(yīng)用數(shù)據(jù)傳輸。 TCP在兩個(gè)或多個(gè)主機(jī)之間建立面向連接的通信。 TCP支持多數(shù)據(jù)流操作，提供錯(cuò)誤控制，甚至完成對(duì)亂序到達(dá)的報(bào)文進(jìn)行重新排序。TCP協(xié)議的頭結(jié)構(gòu) 和IP一樣，TCP的功能受限于其頭中攜帶的信息。因此理解TCP的機(jī)制和功能需要了解TCP頭中的內(nèi)容，表2-6顯示了TCP頭結(jié)構(gòu)。來源端口（2字節(jié)）目的端口（2字節(jié)）序號(hào)（4字節(jié)）確認(rèn)序號(hào)（4字節(jié)）頭長度（4位）保留（6位）URGACKPSHRSTSYNPIN窗口大?。?字節(jié)）校驗(yàn)和（16位）緊急指針（16位）選項(xiàng)（可選）數(shù)據(jù)TCP協(xié)議的工

16、作原理 TCP提供兩個(gè)網(wǎng)絡(luò)主機(jī)之間的點(diǎn)對(duì)點(diǎn)通訊。TCP從程序中接收數(shù)據(jù)并將數(shù)據(jù)處理成字節(jié)流。 首先將字節(jié)分成段，然后對(duì)段進(jìn)行編號(hào)和排序以便傳輸。在兩個(gè)TCP主機(jī)之間交換數(shù)據(jù)之前，必須先相互建立會(huì)話。TCP會(huì)話通過三次握手的完成初始化。這個(gè)過程使序號(hào)同步，并提供在兩個(gè)主機(jī)之間建立虛擬連接所需的控制信息。 TCP在建立連接的時(shí)候需要三次確認(rèn)，俗稱“三次握手”，在斷開連接的時(shí)候需要四次確認(rèn)，俗稱“四次揮手”。TCP協(xié)議的三次“握手” TCP協(xié)議的四次“揮手” 需要斷開連接的時(shí)候，TCP也需要互相確認(rèn)才可以斷開連接，四次交互過程如圖所示。3.用戶數(shù)據(jù)報(bào)協(xié)議UDP UDP為應(yīng)用程序提供發(fā)送和接收數(shù)據(jù)報(bào)的

17、功能。 某些程序（比如騰訊的OICQ）使用的是UDP協(xié)議，UDP協(xié)議在TCP/IP主機(jī)之間建立快速、輕便、不可靠的數(shù)據(jù)傳輸通道。 UDP和TCP的區(qū)別 UDP提供的是非連接的數(shù)據(jù)報(bào)服務(wù)，意味著UDP無法保證任何數(shù)據(jù)報(bào)的傳遞和驗(yàn)證。UDP的結(jié)構(gòu)如圖所示。 UDP和TCP傳遞數(shù)據(jù)的差異 UDP和TCP傳遞數(shù)據(jù)的差異類似于 和明信片之間的差異。 TCP就像 ，必須先驗(yàn)證目標(biāo)是否可以訪問后才開始通訊。 UDP就像明信片，信息量很小而且每次傳遞成功的可能性很高，但是不能完全保證傳遞成功。 UDP通常由每次傳輸少量數(shù)據(jù)或有實(shí)時(shí)需要的程序使用。 在這些情況下，UDP 的低開銷比TCP 更適合。UDP 與TC

18、P 提供的服務(wù)和功能直接對(duì)比 UDP和TCP傳遞數(shù)據(jù)的比較 UDP協(xié)議協(xié)議TCP協(xié)議協(xié)議無連接的服務(wù)；在主機(jī)之間不建立無連接的服務(wù)；在主機(jī)之間不建立會(huì)話。會(huì)話。面向連接的服務(wù)；在主機(jī)之間建立會(huì)話。面向連接的服務(wù)；在主機(jī)之間建立會(huì)話。UDP不能確保或承認(rèn)數(shù)據(jù)傳遞或不能確?；虺姓J(rèn)數(shù)據(jù)傳遞或序列化數(shù)據(jù)。序列化數(shù)據(jù)。TCP 通過確認(rèn)和按順序傳遞數(shù)據(jù)來確保通過確認(rèn)和按順序傳遞數(shù)據(jù)來確保數(shù)據(jù)的傳遞。數(shù)據(jù)的傳遞。使用使用 UDP 的程序負(fù)責(zé)提供傳輸數(shù)的程序負(fù)責(zé)提供傳輸數(shù)據(jù)所需的可靠性。據(jù)所需的可靠性。使用使用 TCP 的程序能確?？煽康臄?shù)據(jù)傳的程序能確?？煽康臄?shù)據(jù)傳輸。輸。UDP快速，具有低開銷要求，并快速

19、，具有低開銷要求，并支持點(diǎn)對(duì)點(diǎn)和一點(diǎn)對(duì)多點(diǎn)的通支持點(diǎn)對(duì)點(diǎn)和一點(diǎn)對(duì)多點(diǎn)的通訊。訊。TCP 比較慢，有更高的開銷要求，而且比較慢，有更高的開銷要求，而且只支持點(diǎn)對(duì)點(diǎn)通訊。只支持點(diǎn)對(duì)點(diǎn)通訊。UDP 和和 TCP 都使用端口標(biāo)識(shí)每個(gè)都使用端口標(biāo)識(shí)每個(gè) TCP/IP 程序的通訊。程序的通訊。 UDP協(xié)議的頭結(jié)構(gòu) UDP的頭結(jié)構(gòu)比較簡單，如表所示。 源端口（2字節(jié)）目的端口（2字節(jié)）封報(bào)長度（2字節(jié)）校驗(yàn)和（2字節(jié)）數(shù)據(jù)4.ICMP協(xié)議的結(jié)構(gòu) ICMP協(xié)議的頭結(jié)構(gòu) ICMP頭結(jié)構(gòu)比較簡單，如表所示。類型（類型（8位）位） 代碼（代碼（8位）位）校驗(yàn)和（校驗(yàn)和（8位）位）類型或者代碼類型或者代碼ICMP數(shù)據(jù)

20、報(bào)分析 使用Ping命令發(fā)送ICMP回應(yīng)請(qǐng)求消息，使用Ping命令，可以檢測網(wǎng)絡(luò)或主機(jī)通訊故障并解決常見的TCP/IP連接問題。分析Ping指令的數(shù)據(jù)報(bào)，如圖2-27所示。 2.4.2 常用網(wǎng)絡(luò)服務(wù) 1. FTP服務(wù)1.FTP服務(wù) FTP的缺省端口是20（用于數(shù)據(jù)傳輸）和21（用于命令傳輸）。 在TCP/IP中FTP是非常獨(dú)特的，因?yàn)槊詈蛿?shù)據(jù)能夠同時(shí)傳輸，而數(shù)據(jù)傳輸是實(shí)時(shí)的，其他協(xié)議不具有這個(gè)特性。 FTP客戶端可以是命令界面的也可以是圖形界面的。命令界面的如圖2-28所示。命令行等錄FTP服務(wù)器 2. Telnet服務(wù) Telnet是TELecommunications NETwork的縮

21、寫，其名字具有雙重含義，既指應(yīng)用也是指協(xié)議自身。 Telnet給用戶提供了一種通過網(wǎng)絡(luò)登錄遠(yuǎn)程服務(wù)器的方式。 Telnet通過端口23工作。開啟Telnet服務(wù)Telnet要求有一個(gè)Telnet服務(wù)器，此服務(wù)器駐留在主機(jī)上，等待著遠(yuǎn)端機(jī)器的授權(quán)登錄。要使用Telnet服務(wù)首先需要在虛擬機(jī)上開啟Telnet服務(wù)，選擇進(jìn)入Telnet服務(wù)管理器，如圖所示。開啟Telnet服務(wù) 在Telnet服務(wù)管理器中選擇4，啟動(dòng)Telnet服務(wù)器，如圖2-32所示。3.Email服務(wù) 目前Email服務(wù)用的兩個(gè)主要的協(xié)議是：簡單郵件傳輸協(xié)議SMTP（Simple Mail Transfer Protocol）和郵局協(xié)議POP3（Post Office Protocol）。 SMTP默認(rèn)占用25端口，用來發(fā)送郵件，POP3占用110端口，用來接收郵件。 在Windows平臺(tái)下，主要利用Microsoft Exchange Server作為電子郵件服務(wù)器。4.Web服務(wù) Web服務(wù)是目前最常用的服務(wù)，使用HTTP協(xié)議，默認(rèn)Web服務(wù)占用80端口 在Windows平臺(tái)下一般使用IIS（Internet Information Server）作為Web服務(wù)器。5.常用的網(wǎng)絡(luò)服務(wù)端口 常用服務(wù)端口列表 端口協(xié)議服務(wù)21TCPFTP服務(wù)25TCPSMTP服務(wù)53 TCP