互联网知识一点通

互联网知识一点通2014.6张娜互联网基础知识目录网络安全介绍安徽移动网络介绍宽带投诉及故障处理2OSI七层模型的目的：让不同厂家的设备拥有共通的通信协议3TCP/IP协议TCP/IP协议栈具有简单的分层设计，与OSI参考模型有清晰的对应关系应用层表示层会话层传输层网络层数据链路层物理层应用层传输层网络层7654321物理层数据链路层OSI参考模型TCP/IP协议*网络接口层网际层TCP/IP协议5432154321主机

1AP2AP1主机

2应用进程数据先传送到应用层加上应用层首部，成为应用层PDU应用层PDU再传送到传输层加上传输层首部，成为传输层报文传输层报文再传送到网络层加上网络层首部，成为IP数据报（或分组）IP数据报再传送到数据链路层加上链路层首部和尾部，成为数据链路层帧数据链路层帧再传送到物理层最下面的物理层把比特流传送到物理媒体4TCP/IP协议5432154321物理传输媒体主机

1AP2AP1电信号（或光信号）在物理媒体中传播从发送端物理层传送到接收端物理层主机

2物理层接收到比特流，上交给数据链路层数据链路层剥去帧首部和帧尾部取出数据部分，上交给网络层网络层剥去首部，取出数据部分上交给传输层传输层剥去首部，取出数据部分上交给应用层应用层剥去首部，取出应用程序数据上交给应用进程我收到了

AP1

发来的应用程序数据！5

我们采用上图对数据的封装和转发过程进行分析。当主机向其他的设备跨网络传输数据时，数据要进行封装，就是在OSI模型的每一层加上协议信息。每一层只与接收设备上相应的对等层进行通信。数据包封装和转发*6数据封装

在上图中当A公司的PC1向B公司的PC1发送数据时，数据的封装过程如下：

当B公司的PC1接收数据时，按上图相反的过程拆除封装，最终得到A公司PC1发来的用户数据。*数据包封装和转发7从A公司PC1到B公司PC1的数据转发过程如下：

1、A公司PC1把数据封装后，以比特流的方式发送到交换机A。

2、交换机A把比特流还原数据帧，根据目标MAC地址把数据帧转发到路由器A。

3、路由器A把数据帧还原数据包，根据数据包的目标IP地址转发到路由器B。

4、路由器B根据数据包的的目标IP地址经ARP协议查出对应的MAC地址转发到交换机B。

5、交换机B根据MAC地址把数据转发到B公司的PC1。数据转发整个转发过程中源和目的IP都不会变化，但源和目的MAC会随着不同广播域而变更。数据包封装和转发8传输层协议概述应用层传输层网络层网络接入层TCP:面向连接UDP：面向无连接*9VLAN的帧格式DASATYPEDATACRCDASATAGTYPEDATACRC标准以太网帧带有IEEE802.1Q标记的以太网帧0x8100PRICFIVLANID(12bit)TPIDTCIVLAN技术原理*10VLAN的产生原因－广播风暴广播域……广播VLAN技术原理*广播域广播域Port1:VLAN-1Port2:VLAN-211VLAN表:基于端口的VLAN端口所属VLANPort1VLAN5Port2VLAN10Port3VLAN5Port4VLAN10VLAN技术原理VLAN表:基于MAC地址的VLANMAC地址所属VLANMACAVLAN5MACBVLAN10MACCVLAN5MACDVLAN10VLAN表:基于协议的VLAN协议类型所属VLANIPX协议VLAN5IP协议VLAN10VLAN表：基于子网VLANIP网络所属VLANIP/24VLAN5IP/24VLAN10主机A主机B主机C主机DPort1Port2Port3Port4VLAN的划分方法*12以太网交换机的端口分类Access端口：一般用于接用户计算机的端口，access端口只能属于1个VLAN。Trunk端口：一般用于交换机之间连接的端口，trunk端口可以属于多个VLAN，可以接收和发送多个VLAN的报文。Hybrid端口：可以用于交换机之间连接，也可以用于接用户的计算机，hybrid端口可以属于多个VLAN，可以接收和发送多个VLAN的报文。端口缺省ID—PVIDAccess端口只属于一个VLAN，所以它的缺省ID就是它所在的VLAN，不用设置。Hybrid端口和Trunk端口属于多个VLAN，所以需要设置缺省VLANID，缺省情况下为VLAN1。VLAN技术原理*13802.1Q的转发原则—Access-Link当Access端口收到帧时如果该帧不包含VLANheader，将打上端口的PVID(即配置的该端口所在VLAN)；如果该帧包含802.1Qtagheader，交换机不作处理，直接丢弃。当Access端口发送帧时剥离VLANheader，发出的帧为普通以太网帧接收方向Access发送方向AccessPVID:10VLAN技术原理*14802.1Q的转发原则—Trunk-Link当Trunk端口收到帧时如果该帧不包含802.1Qtagheader，将打上端口的PVID；如果该帧包含802.1Qtagheader，则不改变。当Trunk端口发送帧时当该帧的VLANID与端口的PVID不同时，直接透传(透传至允许的端口)；当该帧的VLANID与端口的PVID相同时，则剥离802.1QtagheaderTrunk接收方向发送方向TrunkPVID:1PVID:2VLAN技术原理*15互联网基础知识目录网络安全介绍安徽移动网络介绍宽带投诉及故障处理16安全的基本原则可用性（availability）保证经过认证的用户能够对数据和资源进行适时和可靠的访问。完整性（integrity）是指保证信息和系统的准确性和可靠性，并禁止对数据的非授权的修改。机密性（confidentiality）提供了保证在每一个数据处理和防止未经授权的信息泄漏的交叉点上都能够加强必要的安全级别的能力。17攻击的步骤1）被动的侦察2）主动的侦察3）入侵系统4）上传程序5）下载数据6）保持访问7）隐藏踪迹（注意并不是每一步都会执行）18常用攻击方法欺骗会话劫持拒绝服务攻击（DoS）、分布式拒绝服务攻击（DDoS）缓冲区溢出攻击19欺骗如果攻击者能让计算机或者网络相信他是别人（信任方），他可能能够获得正常情况下不能得到的信息。欺骗的类型：IP欺骗:公司使用其他计算机的IP地址来获得信息或者得到特权。电子邮件欺骗:电子邮件发送方地址的欺骗。Web欺骗:假冒Web网站。如假工商银行网站。非IT技术类欺骗:这些类型的攻击把精力集中在攻击公司的人力资源上。如社会工程。20会话劫持会话劫持就是接管一个现存的动态会话过程。劫持会话最主要的原因之一就是通过授权过程可以获得进入系统的机会，因为就会话劫持而言，此时用户已经通过提供用户ID和密码，在授权的情况下登录到服务器上。在用户通过了身份验证并获得进入服务器的权利后，只要他与服务器动态连接着，就不再需要重新通过验证。黑客们可以使用各种方式使用户下线然后再代替这个用户，此时他不再需要任何登录行为就可以进入系统了。21会话劫持小李攻击者服务器服务器验证小李小李登录服务器Die！你好，我是小李22拒绝服务攻击DOSDoS是DenialofService的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽，最后导致合法的用户请求就无法通过。连通性攻击指用大量的连接请求冲击计算机，使得所有可用的操作系统资源都被消耗殆尽，最终计算机无法再处理合法用户的请求。拒绝服务攻击是目前互联网上一种主流攻击方法，其分类主要包括synflood、udpflood、pingofdeath等，也是互联网上最难以防范的攻击之一。举例：安全事件的攻击方法采用模拟pingofdeath的攻击手段进行演练，此攻击方法会通过发送大量的ICMP数据报文造成主机或服务器的负担，CPU占用率增高，从而达到拒绝服务的目的。23分布式拒绝服务攻击DDOS分布式拒绝服务(DDoS:DistributedDenialofService)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在Internet上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。

2425分布式拒绝服务攻击DDOS攻击者受害者傀儡机远程控制发起攻击2526缓冲区溢出攻击攻击者试图在一个不够大的接受器里存储过量的信息就是一次缓冲区溢出攻击。例如，如果一个程序只能接受50个字符，而用户却输入了100个字符，这样由于过多的数据输入到了一个不够大的接受器，该程序将不能控制它，多出部分将写入内存。26缓冲区溢出攻击内存底部内存顶部填充方向缓冲1（局部变量1）返回指针函数调用的参数内存底部内存顶部填充方向缓冲1（局部变量1）返回指针函数调用的参数机器代码：exec(/bin/sh)缓冲2（局部变量2）指向exec代码的新指针缓冲1空间被覆盖返回指针被覆盖缓冲2（局部变量2）正常情况缓冲区溢出27网络安全防护体系各阶段网络安全的防护事前：网络防火墙、系统漏洞检测、安全配置合规、病毒防范、网页防篡改等事中：预警、入侵检测、日志取证系统事后：应急响应、事故恢复安全管理支撑手段：安全管控平台（4A）2829网络防火墙-事前防护防火墙是在两个网络之间执行控制策略的系统，目的是不被非法用户侵入。防火墙是内部与外部网连接中的第一道屏障。在内部网络和外部网络之间合理有效地使用防火墙是网络安全的关键。

访问控制

认证NAT

加密

防病毒、内容过滤流量管理29系统漏洞扫描和检测-事前防护系统漏洞检测要求：定期分析有关网络设备的安全性，检查配置文件和日志文件；定期分析系统和应用软件，一旦发现安全漏洞，应该及时修补；检测的方法主要采用安全扫描工具，测试网络系统是否具有安全漏洞和是否抵抗攻击，从而判定系统的安全风险。主机/端口扫描漏洞扫描检查本地或者远程主机、设备、应用的安全漏洞确定系统存活状态：ping针对目标系统端口，了解端口的分配及提供的服务、软件版本主机/设备Web数据库……入侵检测-事中防护入侵检测系统是实时的网络违规自动识别和响应系统。当发现网络违规模式和未授权的网络访问尝试时，入侵检测系统能够根据系统安全策略作出反应并报警。31安全管控平台安全管控平台系统，又称为4A系统是指：认证Authentication、账号Account、授权Authorization、审计Audit，中文名称为安全管理平台解决方案。32互联网基础知识网络安全介绍安徽移动网络介绍宽带投诉及故障处理33Page33全网结构图地市网络情况网络结构

城域网是CMNET在城域内的延伸，提供多种业务在城域内的互联，并且保证各种业务的安全性和服务质量；采用“核心层+业务控制层+业务汇聚层”的三层架构；承载着专线、家庭客户、WLAN三种业务；核心层业务控制层汇聚层网络架构优化-传输网、数据网一体化规划市区组网示意图PTN汇聚/接入层OTN核心汇聚层OTN波分环10GEPTN汇聚环OLT1OLT2园区新区综合楼桐芳巷南门苏嘉杭指挥中心一体化规划原则1、传输在每个传输汇接区域内，至少有两个传输核心汇聚点。城域网节点采用在传输核心汇聚点同址设置城域网节点的方式，保证OLT能够通过PTN汇聚环同时到达两个城域网节点，无需跨环；2、对全区所有BRAS和OLT进行对接调整。

城域网节点早期2008年前主要采用光收发器和协转等用户接入手段，节点设置体现为分散就近设置；随着用户接入转由PON/PTN网络承载，城域网节点主要功能转化为OLT接入，城域网节点设置规划原则需要进行调整。交换机协议转换器城域网节点SDH裸光纤OLTONUPTN城域网节点早期城域网接入方式目前城域网接入方式网络情况网络变革20092010201120122014技术变革

城域网开始建设，IP城域网翻起新篇章WLAN发展萌芽期WLAN高速发展期，流量、用户数增加迅猛

专线发展萌芽期需求变革2013WLAN顶峰时期，流量、用户数达到历史最高专线高速发展期，专线建设如火如荼家宽发展萌芽期WLAN转型期，WLAN企业付费模式大规模开展专线平稳发展期家宽高速发展期，家宽进入爆发式增长阶段三层架构的确定，明确了IP城域网三层架构和分层网元设备的定位主流技术的支持，明确了城域网具备MPLSVPN能力、QoS能力以及组播能力WLAN认证优化，高速发展后出现认证不稳定等问题，WLAN开始边建设边优化阶段PON网络成主流，光进铜退工作大范围实施，PON网络成为接入主流，SDH进入改造阶段业务差异化显现，三种业务，多种协议，业务差异化需求显现，引入Cach、第三方出口分流进入10GE阶段，城域网核心链路10GE改造完成提升服务质量，城域网引入QOS，专线热备技术，CR集群模式等无线局域网37无线接入点FATAP方案FITAP方案技术模式传统主流新生方式，增强管理安全性传统加密、认证方式，普通安全性增加射频环境监控，基于用户位置安全策略，高安全性网络管理对每AP下发配置文件无线控制器上配置好文件，AP本身零配置，维护简单用户管理类似有线，根据AP接入的有线端口区分权限无线专门虚拟专用组方式，根据用户名区分权限，使用灵活WLAN组网规模L2漫游，适合小规模组网L2、L3漫游，拓扑无关性，适合大规模组网增值业务能力实现简单数据接入可扩展语音等丰富业务38IEEE802.11协议802.11b802.11g802.11aRatified199920031999DataRates(Mbps)1,2,5.5,111,2,5.5,11and6,9,12,18,24,

36,48,546,9,12,18,24,36,48,54Number

ofNon-OverlappingChannels33Upto19inCertainRegulatoryDomainsFrequencyRange(GHz)2.402–2.4835.15–5.35,5.47–5.825InterferenceProbability/ImpactHighLow802.11n2007/Draft2.06,9,12,18,24,36,48,54,13,65,150,300Upto22inCertainRegulatoryDomains2.402–2.483,5.15–5.35,5.47–5.825Low39AP类型室内无线接入点（独立放置）室外环境及室分合路方式（合路方式）40无线接入点供电模式以太网供电（推荐模式部署简便快捷）无线接入点电源注入器电源线电源适配器Option1Option2支持以太网供电的交换机不支持以太网供电的交换机41

Channel11Channel6Channel111stFloor2ndFloorChannel1Channel1Channel6典型的802.11b/g覆盖设计42频点布局是WLAN设计的有效组成部分目标是同频最小化重叠2.4GHz频谱只有3个互相不重叠的频点，管理分配相对困难5GHz互相不重叠的频点数量较多，管理分配相对容易3&118&18&15&63&111&65&11&65&117&61&63&111&63&118&13&111&18&6802.11a802.11b/g111116666661111111111116611802.11b/g388531515713138318802.11a无线覆盖设计43抗干扰措施：在进行设备选型时，选择抗干扰较强设备。对于使用3个以上AP采用空间间隔频率复用方法覆盖的开阔空间，，若出现同频干扰，对发射功率进行调整，使得同频AP时间有足够的空间及功率间隔。对于其他非WLAN设备的干扰可采取以下措施：通过网管系统，及时发现受干扰的AP，分析潜在的RF干扰。阻止干扰，采用协商或行政手段关闭相应设备。室外覆盖采用多个定向天线，代替全向天线覆盖。正确选择配置参数，改变信道频率。使用5GHZ频段无线覆盖设计44无线控制器的数据转发原理无线控制器和AP间数据转发的核心思想在无线控制器和AP之间建立IPinIP隧道，无线控制器将这些隧道看做虚拟物理端口；无线客户端STA的任何数据报文都将由AP通过IPinIP隧道交给无线控制器，由无线控制器统一转发；无线控制器从IPinIP隧道接收到用户的数据后先解隧道封装，然后做数据交换，如果出接口为隧道则对数据报文再次加上隧道封装，直到交换到最远端。VLAN1IP:VLAN2IP:核心交换机STAServer无线控制器FitAP隧道口隧道口IP:接入交换机FitAP隧道口STAVLAN1IP:45用户数据流WSM网管服务器APCMNETME60SRIAGAC心跳线OSPFIAGAC热备线WSM网管服务器S85用户数据流Vlan1403Vlan1400Vlan1403用户上网的业务请求数据封装在AP与AC之间的隧道中，通过隧道转发给AC，再由AC将请求转发给BRAS，最后出城域网，服务器对用户请求数据包的响应数据通过BRAS转发给AC，再由AC通过AP与AC之间的隧道转发给用户46WLAN：下一个五年已成定局3G时代，WLAN扮演了重要角色。然而，进入后3G时代，尤其是4G规模商用之后，运营商多网并存共营的局面将不可避免，面对日益复杂的网络环境，WLAN在新时代的价值何以体现？市场将给WLAN发展带来哪些机遇？WLAN又将如何帮助运营商突破传统商业模式的枷锁？1、看市场变局：消费驱动变，重要性更显：中国移动更是将WLAN作为其四网协同的重要组成部分，与2G、3G、4G提到了同一高度。2、透析运营模式：从个人转向企业：如果运营商能够深入挖掘企业的潜在需求，并针对性的开发出一些创新的业务为其提供服务，wlan给运营商带来的不再会是困扰，而是业务创收。47家庭宽带基础知识一、家庭宽带分类移动自建GPON小区宽带广电合作EOC(GPON)小区宽带48移动自建GPON小区宽带组网

对于移动自建GPON家庭宽带小区，一般在小区选择合适位置安放分光器通过GE链路与OLT对接，楼道ONU为每个用户分配独立的CVLAN标签，透传至OLT打上相应的SVLAN标签，透传至BRAS，由BRAS对用户的内外层VLAN进行终结。49广电合作EOC(GPON)小区宽带广电合作EOC（GPON）小区宽带组网目前淮南移动与广电合作，采用的是GPON+EOC承载的方式，ONU放到小区楼道与EOC头端设备对接通过广电同轴电缆覆盖至用户，用户侧使用EOC终端分离有线电视信号和以太网信号。50宽带用户上网简易流程RADIUSServersRouterInternetGPON网络汇聚交换机RADIUSReviewDNSServersBRAS设备新浪WEB服务器IP:21.用户输入帐号密码进行认证2.BRAS响应并将认证信息送到Radius进行合法性检验3.RADIUS认证服务器完成对用户帐号、密码的认证并反馈给BRAS4.用户输入访问新浪网站，到DNS解析新浪网站域名对应的IP地址5.DNS响应用户的域名解析请求并反馈结果给用户6.用户根据DNS返回的的结果发起访问51家庭宽带业务的核心网元RADIUS（RemoteAuthenticationDial-InUserService）服务器提供拨入用户远程身份验证服务。为分布式拨号网络提供身份认证、授权和计账服务。DNS（DomainNameSystem）：实现将用户上网域名解析成IP地址的功能。目前家庭宽带共使用CMNETDNS（）为主用DNS。BRAS-宽带接入服务器（BroadbandRemoteAccessServer,简称BRAS）是面向宽带网络应用的新型接入网关，它位于骨干网的边缘层，可以完成用户宽带的IP网的数据接入，实现商业楼宇及小区住户的宽带上网业务等应用。52互联网基础知识目录网络安全介绍安徽移动网络介绍宽带投诉及故障处理53宽带投诉-拨号认证不成功拨号认证不成功，系统会返回一个错误代码，根据不同的错误代码来判断是哪类故障，常见的错误代码有：691、678、651、796、7971、错误代码691(用户名错误、密码错误、绑定校验错、限制用户数错、用户状态错)（1）用户名错处理方法：用户在用户名（即上网账号）输入错误时，在联创系统中查询不到用户认证错误信息，这时请用户再次确认输入的用户名是否正确，如正确则考虑是否是其他非691错误。（2）密码错处理方法：用户的拨号连接中的密码输入错误，请用户重新输入正确的密码，如用户忘记密码，可以通过网上营业厅、短信”kdmmcz发送至10086”、持有效身份证件去移动营业厅等方式进行宽带密码重置。（3）限制用户数错处理方法：用户同一账号在多台电脑上同时宽带拨号，或者用户非正常下线造成用户账号仍在线。在联创系统→综合查询→用户在线情况查询→宽带在线用户查询，查询到用户在线后，将在线用户进行强行下线。并告知用户不能两台电脑同时拨号。

54宽带投诉-拨号认证不成功拨号认证不成功，系统会返回一个错误代码，根据不同的错误代码来判断是哪类故障，常见的错误代码有：691、678、651、796、7971、错误代码691(用户名错误、密码错误、绑定校验错、限制用户数错、用户状态错)（4）用户状态错

处理方法：在联创系统→业务受理→DSL业务受理→信息查询，查询用户状态是否正常，是否已到期停机。①若是“限额停机”，可直接告知用户到营业厅进行宽带续费即可；②若用户表示续费后仍无法上网，看宽带有效期是否正常，如有异常客户可持有效身份证件去营业厅查询所办理的宽带套餐业务。（5）绑定校验错处理方法：用户的上网账号的绑定VLAN错误，有用户擅自移动宽带账号至别处使用造成，有设备割接刷新VLAN造成。在联创系统→业务受理→DSL业务受理→用户端口操作进行绑定信息清除。

55宽带投诉-拨号认证不成功2、错误代码678、651：此类故障多是由于线路或设备故障造成，一般处理步骤为：

（1）查看宽带故障通告处理方法：查询“小区状态”查看是否有全阻通告，如有，向用户解释有小区故障。（2）无宽带故障通告，检查本地电缆线。处理方法：让检查网线是否与电脑连接好，注意“本地连接”标识上是否提示“网络电缆被拔出”，请指导连接好网线，同时确定网卡正常开启（“设备管理器—网络适配器”是否标有感叹号或红叉）。（3）、排除路由器故障处理方法：①询问有无使用路由器，若使用路由器，直接连接电脑进行拨号，查看是否成功；②若直连电脑能连接，则是路由器故障，让重新调节路由器；③若仍不能连接，需要检查是否为网线故障、接入段交换机故障、网络配置故障等。注意事项：Win7系统“651”的错误代码等同于XP系统错误代码“678”。（4）、宽带连接设置故障，重新创建宽带连接

（5）、如仍有问题，致电移动宽带服务支撑或片区经理。

56宽带投诉-拨号认证不成功3、错误代码769、797：此类故障是因为用户电脑网卡禁用，一般处理步骤为（1）电脑网卡故障处理方法：①指导客户检查网卡状态（双击“网上邻居”，点击“查看网络连接”，此时查看是否出现“本地连接”）；②若无“本地连接”，则为网卡故障，建议客户重启电脑或重新安装网卡解决；③若有“本地连接”，查看网卡是否被禁用，若已被禁用，则指导客户启用网卡（点右键启用）；若没被禁用，则网卡驱动程序故障，建议客户找电脑公司解决。（2）电脑终端其他故障处理方法：电脑网卡正常，则知道客户检查是否存在其他不正常的状态（如在“设备管理器”中网卡驱动有问号、感叹号或根本无法找到“网卡”或“网络适配器”等），可建议客户重装网卡驱动或联系电脑公司检查网卡及主板是否损坏。注意事项：“769”常见于Win7、XP系统，“797”常见于2000系统。57故障排查手段Windows网络命令：Ping测试网络联接状况以及信息包发送和接收状况非常有用的工具，是网络测试最常用的命令Tracert用来显示数据包到达目标主机所经过的路径，并显示到达每个节点的时间Netstat程序有助于了解网络的整体使用情况，通常用来显示每个网络接口、网络插口、网络路由表等的详细统计资料。Ipconfig也是内置于Windows的TCP／IP应用程序之一，用于显示本地计算机IP地址的配置信息和网卡的MAC地址。DNS故障排查常用命令：nslookup。启动

nslookup进入DNS域名解析交谈模式，连线至nameserver，设定查询类别可查看DNS域