網(wǎng)絡通信安全管理員認證計算機網(wǎng)絡基礎,Copyright 2010 Mazhao,計算機網(wǎng)絡基礎-網(wǎng)絡的形成、發(fā)展與定義,計算機網(wǎng)絡(Computer Network)是計算機技術(shù)和通信技術(shù)緊密結(jié)合的產(chǎn)物。 四個階段： 1、面向終端的遠程聯(lián)機系統(tǒng) 2、ARPAnet，分組交換時代 3、OSI參考模型 4、Internet迅猛發(fā)展,計算機網(wǎng)絡的定義和演變,計算機網(wǎng)絡的定義 把分布在不同地理位置計算機、終端，通過通信設備和線路連接起來，以功能完善的網(wǎng)絡軟件（網(wǎng)絡通信協(xié)議，信息交換方式及網(wǎng)絡操作系統(tǒng)等），實現(xiàn)互相通信及網(wǎng)絡資源共享的系統(tǒng)。核心內(nèi)容：資源共享。 計算機網(wǎng)絡是由多個具有獨立自主功能的計算機系統(tǒng)，通過各種通信手段相互連接，進行信息交流、資源共享和協(xié)同工作的集合,沒有嚴格的定義，內(nèi)涵也不斷變化。,計算機網(wǎng)絡基礎-網(wǎng)絡分類及組成,分類： 廣播式(總線型、環(huán)形)、點對點（樹型、星型、網(wǎng)型） 局域網(wǎng)、城域網(wǎng)、廣域網(wǎng) 總線型、星型、樹型、混合型、網(wǎng)狀型 電路交換式、報文交換式、分組交換式 雙絞線網(wǎng)絡、同軸電纜網(wǎng)絡、光纖網(wǎng)絡、無線網(wǎng)絡等 組成： 通信子網(wǎng) 通信子網(wǎng)提供網(wǎng)絡通信功能，能完成網(wǎng)絡主機之間的數(shù)據(jù)傳輸、交換、通信控制和信號變換等通信處理工作，由通信控制處理機CCP、通信線路和其它通信設備組成的數(shù)據(jù)通信系統(tǒng)。 資源子網(wǎng) 資源子網(wǎng)為用戶提供了訪問網(wǎng)絡的能力，它由主機系統(tǒng)、終端控制器、請求服務的用戶終端、通信子網(wǎng)的接口設備、提供共享的軟件資源和數(shù)據(jù)資源(如數(shù)據(jù)庫和應用程序)構(gòu)成。,計算機網(wǎng)絡的二級結(jié)構(gòu),通信子網(wǎng)負責數(shù)據(jù)通信,資源子網(wǎng)提供各種軟、硬件資源,實現(xiàn)交換的方法主要有：電路交換、報文交換、分組交換。,通信交換技術(shù)分為兩類：一是線路交換，二是存儲轉(zhuǎn)發(fā)。存儲轉(zhuǎn)發(fā)又分為兩類：一是報文交換，二分組交換。分組交換又分兩類：一是虛電路交換，二是數(shù)據(jù)報交換。,分組交換方式1：數(shù)據(jù)報方式,分組交換方式2：虛電路方式,計算機網(wǎng)絡基礎- OSI七層參考模型,國際標準化組織于1979年公布了開放系統(tǒng)互連參考模型OSI/RM。 OSI模型分為7層，在同一個結(jié)點上，下層為上層提供服務，在兩個結(jié)點之間，對等層之間通過該層協(xié)議進行通信,OSI中的數(shù)據(jù)流,對等通信示例：中德教師之間的對話,問題： 中國教師與德國教師之間、翻譯之間，他們是在直接通信嗎？ 翻譯、秘書各向誰提供什么樣的服務？ 中德教師、翻譯各使用誰提供的什么服務？,幾個概念,服務訪問點（SAP）：接口上相鄰兩層實體交換信息之處 接口數(shù)據(jù)單元（IDU）：相鄰兩層實體之間交換的信息單元 接口控制信息（ICI）：相鄰兩層實體之間交換信息時的 控制信息 服務數(shù)據(jù)單元（SDU）：來自上一層，需要在本層與對等 實體交換的信息 協(xié)議數(shù)據(jù)單元（PDU）：對等實體之間交換的信息單元 協(xié)議控制信息（PCI）：對等實體之間交換信息時的控制 信息,優(yōu)點,簡化了協(xié)議，便于實現(xiàn)、調(diào)試和維護，分而治之。 各層相互獨立，某一層只需知道下一層通過接口所提供的服務，而不需了解其實現(xiàn)的細節(jié)。 功能的追加和變更，限定在相關的層中，使得功能擴充比較靈活性。 結(jié)構(gòu)上可分割開，各層都可以選則最適合的實現(xiàn)技術(shù)。,1.網(wǎng)絡應該具有哪些層次？每一層的功能是什么？（分層與功能） 2.各層之間的關系是怎樣的？它們?nèi)绾芜M行交互？（服務與接口） 3.通信雙方的數(shù)據(jù)傳輸要遵循哪些規(guī)則？（協(xié)議）,層次結(jié)構(gòu)方法包括三個內(nèi)容：分層及每層功能，服務與層間接口，協(xié)議。,每層的功能和作用,P13頁：圖2-1,實現(xiàn),OSI七層模型只說明了做什麼（WHAT TO DO）而未規(guī)定 怎樣做（HOW TO DO） 協(xié)議簇的實現(xiàn)：協(xié)議棧（軟硬件）,一臺計算機要發(fā)送數(shù)據(jù)到另一臺計算機，數(shù)據(jù)首先必須打包，打包的過程成為封裝。 封裝就是在數(shù)據(jù)前面加上特定的協(xié)議頭部。,發(fā)送郵件的例子：信裝入寫有源地址和目的地址的信封中發(fā)送，還要寫明用航空或掛號。,數(shù) 據(jù),數(shù)據(jù)封裝,數(shù)據(jù),數(shù)據(jù) 段 數(shù)據(jù)包 幀 比特 電脈沖,011101000011000010100101111010110,數(shù)據(jù)多層封裝,TCP頭,應用層數(shù)據(jù),應用層數(shù)據(jù),TCP頭,應用層數(shù)據(jù),IP頭,幀頭,TCP頭,應用層數(shù)據(jù),IP頭,幀尾,應用層,傳輸層,網(wǎng)際層,數(shù)鏈層,實際例子：TCP/IP協(xié)議的封裝,計算機網(wǎng)絡拓撲,課外知識：起初它是幾何學的一支，研究幾何圖形在連續(xù)變形下保持不變的性質(zhì),星型結(jié)構(gòu),所有結(jié)點與中央結(jié)點連接 結(jié)構(gòu)簡單、控制簡單 結(jié)點出現(xiàn)故障易于隔離 中央結(jié)點的可靠性致關重要,環(huán)型結(jié)構(gòu),通信控制分散在各個結(jié)點，提高了可靠性 各結(jié)點共享環(huán)路 采用令牌控制，重負載時吞吐量較大,網(wǎng)狀結(jié)構(gòu),端結(jié)點之間存在多條通路，需選擇路徑 可靠性高 通信控制復雜,總線結(jié)構(gòu),結(jié)構(gòu)簡單，可靠性好 各結(jié)點共用總線，廣播式傳輸 擴充性好，增減結(jié)點容易 總線長度有限,還有什么？,樹型 混合型,TCP/IP協(xié)議體系,Ethernet,802.3,802.5,FDDI等等,網(wǎng)絡接口層,功能：比特流傳輸服務，鏈路管理，成幀方式，差錯控制等 協(xié)議：PPP、PPPoE 以太網(wǎng) MAC地址及其安全性,MAC子層的地址,網(wǎng)絡中的每臺主機都必須有一個48位(6Byte)的全局地址，它是該主機在全球范圍的唯一標識符，與其物理位置無關。(比較IP地址) 該全局地址稱為MAC地址，也稱為物理地址，通常固化在網(wǎng)卡上。 當一臺計算機插上一塊網(wǎng)卡后，該計算機的物理地址就是該網(wǎng)卡的MAC地址。 MAC地址的例子(以十六進制表示)： 02 60 8C 67 05 A2,鏈路層幀的結(jié)構(gòu),A：MAC地址字段，包括源地址和目的地址 C：控制字段 FCS：幀檢驗序列，一般采用CRC校驗。其校驗范圍包括A、C和Data字段,網(wǎng)絡層的分組被封裝在幀的Data域中,最常用的是“目的無法到達”和“回聲”消息。,A,B,發(fā)數(shù)據(jù)給Z,到Z的數(shù)據(jù),我不知道如何 到達Z？ 用ICMP通知A,目的端無法到達,路由器用ICMP通知目的地不可達的示意圖,A,B,B可以到 達嗎？,ICMP回聲請求,可以， 我在這里。,ICMP回聲應答,用PING命令產(chǎn)生的回聲及其應答示意圖,地址解析協(xié)議(ARP, Address Resolution Protocol),ARP用于將一個已知的IP地址映射到MAC地址。方法： 1）檢查ARP高速緩存表； 2）若地址不包含在表中，就向網(wǎng)上發(fā)廣播來尋找。具有該IP地址的目的站用其MAC地址作為響應。 ARP只能用于具有廣播能力的網(wǎng)絡。,A,C,我需要10.1.0.5 的MAC地址,IP = 10.1.0.5 MAC = ?,我就是。 這是我的MAC地址,IP = 10.1.0.5 MAC = 0800.0020.2C0A,B,10.1.0.1,10.1.0.5,10.1.0.2,反向地址解析協(xié)議(RARP, Reversed ARP),RARP用于將一個已知的MAC地址映射到IP地址。 RARP要依賴于RARP服務器，該服務器中有一張MAC地址與IP地址的映射表。 需要查找自己IP地址的站點向網(wǎng)上發(fā)送包含有其MAC地址的RARP廣播，RARP服務器收到后將該MAC地址翻譯成IP地址予以響應。 RARP同樣只能用于具有廣播能力的網(wǎng)絡。,A,C,我的IP地址 是什么？,MAC: 0800.0020.2C0A IP = ?,我聽到廣播了。 這是你的IP地址,MAC = 0800.0020.2C0A IP = 10.1.0.5,B,RARP Server,可能用到的概念,比特 一個二進制位叫一個比特（bit） 信道 用于一路信號傳輸?shù)耐ǖ?，稱為信道，一條物理線路?？梢员粍澐譃槎鄠€信道,通信方式 單工通信,可能用到的概念,半雙工通信,全雙工通信,串行傳輸 把每個二進制位按順序排列成串，形成比特流，逐位在信道上傳送,可能用到的概念-傳輸方式,可能用到的概念并行傳輸 多個比特以成組的方式在多個并行的信道上同時傳輸,可能用到的概念多路復用,頻分多路復用,可能用到的概念多路復用,時分多路復用,波分多路復用,在光傳輸領域中，根據(jù)光的不同波長來劃分信道，使得在一根光纖中可以同時傳輸基于不同波長的多路數(shù)據(jù)，從而達到復用鏈路，提高總體帶寬的目的,可能用到的概念,基帶傳輸 基帶傳輸是在數(shù)字信道上直接傳送基帶信號 頻帶傳輸 通常是指在電話網(wǎng)上傳輸數(shù)據(jù) 調(diào)制與解調(diào) 調(diào)制是用交流信號承載信息的過程，即用要發(fā)送的信息調(diào)制載波 解調(diào)是從載波中還原發(fā)送的信息的過程,網(wǎng)絡層及IP層,IP地址：網(wǎng)絡號+主機號、NAT IP數(shù)據(jù)報格式 IP地址及子網(wǎng)掩碼 幾類特殊的IP地址 IP安全性,IP地址的概念 IP地址是獨立于硬件地址的邏輯地址，它是由軟件提供的地址。IP地址是網(wǎng)絡層地址。,IP地址,IP編址方案和分類 IP地址由32位二進制數(shù)構(gòu)成，分為前綴（網(wǎng)絡 地址）和后綴（主機地址） 每臺計算機的IP地址是唯一的 網(wǎng)絡地址的分配全球一致，主機地址可以本地 分配,IP地址的分類 其中A，B，C 三類為基本類,A類地址分配給超大型網(wǎng)絡：允許27個網(wǎng)絡，每個網(wǎng)絡224-2個主機； B類地址分配給大型和中型網(wǎng)絡:允許214個網(wǎng)絡，每個網(wǎng)絡216-2個主機; C類地址分配給小型網(wǎng)絡:允許221個網(wǎng)絡，每個網(wǎng)絡28-2個主機； D類地址用于多目地址傳送，即多個主機共享一個多目 地址，發(fā)送到此地址的數(shù)據(jù)將同時送給這一類主機,例如 IP地址: 11000000 00000101 00110000 00000011可以表示為 192.5.48.3 從第1段的值可以知道地址的類型。 類 數(shù)值范圍 A 0 127 0.0.0.0 126.255.255.255 B 128 191 128.0.0.0 191.255.255.255 C 192 223 192.0.0.0 223.255.255.255 D 224 239 E 240 255,點分十進制表示法,幾個特殊的IP地址,廣播地址 直接廣播地址：主機號各個位全為1的地址 例如：128.211.255.255 受限廣播地址：網(wǎng)絡號和主機號全為1的地址 255.255.255.255 本網(wǎng)絡上的特定主機地址：網(wǎng)絡號為0 0.0.0.126 回送地址：127.0.0.0127.255.255.255.254 靜態(tài)IP地址和動態(tài)IP地址 單播、組播（多播）、廣播 私有地址,子網(wǎng)（Subnet）劃分,因特網(wǎng)規(guī)模的急劇增長，對IP地址的需求激增。帶來的問題是： IP地址資源的嚴重匱乏 路由表規(guī)模的急速增長 解決辦法：從主機號部分拿出幾位作為子網(wǎng)號 這種在原來IP地址結(jié)構(gòu)的基礎上增加一級結(jié)構(gòu)的方法稱為子網(wǎng)劃分。 前提：網(wǎng)絡規(guī)模較小IP地址空間沒有全部利用。 例如：三個LAN，主機數(shù)為20，25，48，均少于C類地址允許的主機數(shù)。為這三個LAN申請3個C類IP地址顯然有點浪費。,子網(wǎng)劃分舉例,例如：C類網(wǎng)絡192.10.1.0，主機號部分的前三位用于標識子網(wǎng)號，即： 11000000 00001010 00000001 xxxyyyyy,網(wǎng)絡號+子網(wǎng)號,新的主機號部分,子網(wǎng)號為全“0”全“1”不能使用，于是劃分出23-2=6個子網(wǎng)，子網(wǎng)地址分別為： 11000000 00001010 00000001 00100000 - 192.10.1.32 11000000 00001010 00000001 01000000 - 192.10.1.64 11000000 00001010 00000001 01100000 - 192.10.1.96 11000000 00001010 00000001 10000000 - 192.10.1.128 11000000 00001010 00000001 10100000 - 192.10.1.160 11000000 00001010 00000001 11000000 - 192.10.1.192,子網(wǎng)掩碼,子網(wǎng)劃分后，如何識別不同的子網(wǎng)？ 解決：采用子網(wǎng)掩碼來分離網(wǎng)絡號和主機號。 子網(wǎng)掩碼： (subnet mask)又叫網(wǎng)絡掩碼、地址掩碼、子網(wǎng)絡遮罩，它是一種用來指明一個IP地址的哪些位標識的是主機所在的子網(wǎng)以及哪些位標識的是主機的位掩碼。子網(wǎng)掩碼不能單獨存在，它必須結(jié)合IP地址一起使用。因為屏蔽掉了IP地址的一部分所以叫掩碼。 方法：32位模式，網(wǎng)絡地址：1，主機地址：0 例如： 192.168. 1. 3 255.255.255.0 128.211.0.0/16 和 202.122.23.0/24,子網(wǎng)掩碼計算,前面的例子中：網(wǎng)絡號24位，子網(wǎng)號3位，總共27位。所以子網(wǎng)掩碼為： 11111111 11111111 11111111 11100000 即 255 . 255 . 255 . 224 缺省子網(wǎng)掩碼：A類：255.0.0.0 B類：255.255.0.0 C類：255.255.255.0,作用：為了避免IP地址的浪費，可以把多余的主機地址拿出來作為子網(wǎng)的地址來分配,若原來的網(wǎng)絡地址為128.10.0.0，劃分為子網(wǎng)后 128.10.2.0 表示第1個子網(wǎng) 128.10.4.0 表示第2個子網(wǎng) 128.10.6.0 表示第3個子網(wǎng),子網(wǎng)地址計算,子網(wǎng)掩碼 IP地址，結(jié)果就是該 IP地址的網(wǎng)絡號。 例如：IP地址202.117.1.207，子網(wǎng)掩碼255.255.255.224 11001010 01110101 00000001 110 01111 11111111 11111111 11111111 111 00000 11001010 01110101 00000001 110 00000,子網(wǎng)地址為：202.117.1.192 主機號為：15 主機之間要能夠通信，它們必須在同一子網(wǎng)內(nèi)，否則需要使用路由器（或網(wǎng)關）實現(xiàn)互聯(lián)。,子網(wǎng)規(guī)劃舉例,網(wǎng)絡分配了一個C類地址：201.222.5.0。假設需要20個子網(wǎng)，每個子網(wǎng)有5臺主機。 試確定各子網(wǎng)地址和子網(wǎng)掩碼。 1）對C類地址，要從最后8位中分出幾位作為子網(wǎng)地址： 242025，選擇5位作為子網(wǎng)地址，共可提供 30個子網(wǎng)地址。 2）檢查剩余的位數(shù)能否滿足每個子網(wǎng)中主機臺數(shù)的要求： 子網(wǎng)地址為5位，故還剩3位可以用作主機地址。而 235+2，所以可以滿足每子網(wǎng)5臺主機的要求。 3）子網(wǎng)掩碼為255.255.255.248。 （11111000B = 248 ） 4）子網(wǎng)地址可在8、16、24、32、240共30個地 址中任意選擇20個。,A類地址的子網(wǎng)掩碼為： 255.0.0.0B類地址的子網(wǎng)掩碼為： 255.255.0.0C類地址的子網(wǎng)掩碼為： 255.255.255.0,例如：若B類IP地址為128.21.03.12，它與B類地址的子 網(wǎng)掩碼“與”的結(jié)果,若要在B類IP地址中把主機地址的高7位作為子網(wǎng)地址，則子網(wǎng)掩碼為： 255.255.254.0,IP數(shù)據(jù)報格式,驗證,用sniffer抓一個看看,IP安全性,IP欺騙 IP包碎片（淚滴）攻擊 Ping flooding smurf,傳輸層,TCP和UDP的區(qū)別：一起回答。 UDP報文格式 TCP報文格式 三次握手、四次揮手,UDP,熟知端口、注冊端口、臨時端口 使用UDP的協(xié)議包括：TFTP、SNMP、NFS、DNS等,源端口,目的端口,長度,校驗和,數(shù)據(jù),16b,16b,16b,16b,TCP,五元組、可靠性保障,源端口(Source Port)：呼叫端口的編號 目的端口(Destination Port)：被叫端口的編號 順序號(Sequence Number)：數(shù)據(jù)的第一個字節(jié)的順序號 確認號(Acknowledgment Number)：所期待的下一段的順序號 報頭長度(HLEN)：以32字節(jié)為單位的報頭的長度 保留域(Reserved)：設置為0 編碼位(Code Bits)：用于控制段的傳輸（如會話的建立和中止） 包括：URG、ACK、PSH、RST、SYN、FIN六個位 窗口大小(Window)：接收方能夠繼續(xù)接收的字節(jié)數(shù) 校驗和(Checksum)：包括TCP報頭和數(shù)據(jù)在內(nèi)的校驗和 緊急指針(Urgent Pointer)：當前順序號到緊急數(shù)據(jù)位置的偏移量 選項(Option)： 數(shù)據(jù)(Data)：上層協(xié)議數(shù)據(jù),端口號,TCP和UDP都用端口(socket)號把信息傳到上層。 端口號指示了正在使用的上層協(xié)議。,F T P,S M T P,T F T P,D N S,T e l n e t,S N M P,21,23,25,53,69,161,TCP UDP,應用層,傳輸層,TCP,UDP,6,17,IP,傳輸層,網(wǎng)際層,IP數(shù)據(jù)報的協(xié)議域確定目的端的上層協(xié)議,抓一個FTP包看看,TCP連接的建立三次握手,例如：A、B兩個主機要建立連接,AB,方向,消息,含義,AB,AB,AB,SYN,SYN,ACK,ACK,我的序號是X,序號用于跟蹤通信順序，確保多個包傳輸時無數(shù)據(jù)丟失。 通信雙方在建立連接時必須互相交換各自的初始序號。,知道了，你的序號是X,我的序號是Y,知道了，你的序號是Y,握手,1,2,3,合并,1.,2.,3.,4.,A,B,發(fā)送SYN消息(SEQ=x),接收SYN消息(SEQ=x),發(fā)送SYN消息 (SEQ=y,ACK=x+1),接收SYN消息 (SEQ=y,ACK=x+1),發(fā)送確認(ACK=y+1),接收確認(ACK=y+1),TCP通過三次握手/建立連接序號來達到同步,第一次“握手”,首先分析建立“握手”第一個過程包的結(jié)構(gòu)，如圖所示。,第二次“握手”,SYN為1，開始建立請求連接，需要對方計算機確認，對方計算機確認返回的數(shù)據(jù)包如圖所示。,第三次“握手”,對方計算機返回的數(shù)據(jù)包中ACK為1并且SYN為1，說明同意連接。 這個時候需要源計算機的確認就可以建立連接了。確認數(shù)據(jù)包的結(jié)構(gòu)如圖所示。,四次揮手,第一次“揮手”,第一次交互過程的數(shù)據(jù)報結(jié)構(gòu)如圖所示。,第二次“揮手”,第一次交互中，首先發(fā)送一個FIN=1的請求，要求斷開，目標主機在得到請求后發(fā)送ACK=1進行確認，如圖所示。,第三次“揮手”,在確認信息發(fā)出后，就發(fā)送了一個FIN=1的包，與源主機斷開，如圖所示。,第四次“揮手”,隨后源主機返回一條ACK=1的信息，這樣一次完整的TCP會話就結(jié)束了。如圖所示。,應用層,TELNET FTP SMTP(POP3) DNS SNMP HTTP （WWW、URL）,網(wǎng)絡互聯(lián)設備,線纜：雙絞線、同軸電纜、光纖 中繼器（集線器） 網(wǎng)橋（交換機） 路由器（L3交換機） 網(wǎng)關 沖突域、廣播域,雙絞線,-螺旋絞合的雙導線，1mm -每根4對、25對、1800對 -典型連接距離100m（LAN） -RJ45插座、插頭 -優(yōu)缺點： 成本低 密度高、節(jié)省空間 安裝容易（綜合布線系統(tǒng)） 平衡傳輸（高速率） 抗干擾性一般 連接距離較短,屏蔽雙絞線 (STP) 非屏蔽雙絞線 (UTP),以鋁箔屏蔽以減少 干擾和串音,3類、5類、6類 （16M、155M、1200M） 雙絞線外沒有任何附加屏蔽,兩種常見的組網(wǎng)方式,對等網(wǎng)(Peer to Peer) C/S網(wǎng)(表示層(Browser)、功能層(Web Server)與數(shù)據(jù)庫服務層(DATABASE Server )和網(wǎng)絡操作系統(tǒng),常用的網(wǎng)絡命令和幾個常用工具,誰用誰知道,局域網(wǎng)安全防范及故障診斷排除,嗅探、監(jiān)聽、IP欺騙、ARP欺騙、SYN攻擊、中間人劫持 故障診斷：流程圖法和因果圖法 故障排除：軟硬件相結(jié)合、經(jīng)驗交流,Thank You !,