HSCSASecurity认证培训网络课程数据通信网络技术概述

1、幻灯片 1幻灯片 2幻灯片 3幻灯片 4幻灯片 5OSI模型的设计目的是成为一个开放网络互联模型，来克服使用众多网络模型所带来的互联困难和低效性。OSI参考模型很快成为计算机网络通信的基础模型。在设计时遵循了以下原则：各个层之间有清晰的边界，便于理解；每个层实现特定的功能；层次的划分有利于国际标准协议的制定；层次的数目应该足够多，以避免各个层功能重复。OSI参考模型具有以下优点：简化了相关的网络操作；提供即插即用的兼容性和不同厂商之间的标准接口；使各个厂商能够设计出互操作的网络设备，加快数据通信网络发展；防止一个区域网络的变化影响另一个区域的网络，因此，每一个区域的网络都能单独快速升级；把复杂

2、的网络问题分解为小的简单问题，易于学习和操作。幻灯片 6OSI七层模型中，每一个对等层数据起一个统一的名字为：协议数据单元（PDU，Protocol Data Unit）。相应地，应用层数据称为应用层协议数据单元（APDU，Application Protocol Data Unit），表示层数据称为表示层协议数据单元（PPDU，Presentation Protocol Data Unit），会话层数据称为会话层协议数据单元（SPDU，Session Protocol Data Unit）。通常，我们把传输层数据称为段（Segment），网络层数据称为数据包（Packet），数据链路层为帧（

3、Frame），物理层数据称为比特流（Bit）。封装（Encapsulation）是指网络节点（Node）将要传送的数据用特定的协议头打包，来传送数据，同样在某些层进行数据处理时，也会在数据尾部加上报文，这时候也称为封装。OSI七层模型的每一层都对数据进行封装，以保证数据能够正确无误的到达目的地，被终端主机接受，执行。幻灯片 7物理层涉及到在通信信道（channel）上传输的原始比特流，是OSI参考模型的基础，它实现传输数据所需要的机械、电气、功能特性。在物理层提供比特流服务的基础上，建立相邻结点之间的数据链路，链路层主要任务是提供对物理层的控制，检测并纠正可能出现的错误，使之对网络层显现一条无

4、错线路，并且进行流量调控（可选，流量调控可以在数据链路层实现，也可以由传输层实现）。网络层检查网络拓扑，以决定传输报文的最佳路由，转发数据包。其关键问题是确定数据包从源端到目的端如何选择路由。网络层设备通过运行路由协议（Routing Protocol）来计算到目的地的最佳路由，找到数据包应该转发的下一个网络设备，然后利用网络层协议封装数据包，利用下层提供的服务把数据发送到下一个网络设备。传输层位于OSI参考模型第四层，最终目标是向用户（一般指应用层的进程），提供有效、可靠的服务。在会话层及以上的高层次中，数据传送的单位不再另外命名，统称为报文。会话层不参与具体的传输，它提供包括访问验证和会话

5、管理在内的建立和维护应用之间通信的机制。如服务器验证用户登录便是由会话层完成的。表示层主要解决用户信息的语法表示问题。它将欲交换的数据从适合于某一用户的抽象语法，转换为适合于OSI系统内部使用的传送语法。即提供格式化的表示和转换数据服务。数据的压缩和解压缩，加密和解密等工作都由表示层负责。例如图像格式的显示，就是由位于表示层的协议来支持。应用层为操作系统或网络应用程序提供访问网络服务的接口。幻灯片 8网络层数据流处理过程：当某一网络的主机应用程序需要发送报文到位于另一个网络的目的地时，与该主机在同一网络上的路由器的一个接口会接收到数据帧，路由器的链路层检查该帧，确定被携带的网络层数据类型，去掉

6、链路层帧头，并将网络层数据送往相应的网络层进行处理。网络层检查报文头以决定目的地址所在网段，然后通过查找路由表以获取相应输出接口。输出接口的链路层为该报文加上链路层帧头，封装成数据帧并发送到下一跳。每一个报文的转发都要进行这一过程。在到达目的主机所在网络时，报文被封装成目的网络的链路层数据帧，发送给相应的目的主机。目的主机接收到该报文后，经过链路层、网络层的处理，去掉链路层帧头、网络层报文头后，送给相应的协议模块处理。幻灯片 9幻灯片 10TCP/IP(Transfer Control Protocol/Internet Protocol，传输控制协议/网际协议)模型引起开放性和易用性在实践中

7、得到了广泛应用，TCP/IP协议栈也成为了互连网的主流协议。TCP/IP模型与OSI参考模型的不同点在于TCP/IP把表示层和会话层都归入应用层，所以TCP/IP模型从下至上分为五层：物理层，数据链路层，网络层，传输层和应用层。幻灯片 11如果某主机A要将应用程序中的某数据发送至服务器，数据首先传送至应用层。主机的应用层通过在数据上添加协议头来和服务器的应用层通信。所形成的信息单元包含协议头、数据、可能还有协议尾，被发送至传输层，传输层再添加为服务器的传输层所理解的控制信息的协议头。信息单元的大小随着每一层协议头和协议尾的添加而增加，这些协议头和协议尾包含了服务器的对应层要使用的控制信息。在物

8、理层，整个信息单元通过网络介质传输。服务器中的物理层收到信息单元并将其传送至数据链路层；然后服务器中的数据链路层读取计算机A的数据链路层添加的协议头中的控制信息；然后去除协议头和协议尾，剩余部分被传送至网络层。每一层执行相同的动作：从对应层读取协议头和协议尾，并去除，再将剩余信息发送至上一层。应用层执行完这些动作后，数据就被传送至服务器中的应用程序，这些数据和计算机A的应用程序所发送的完全相同。幻灯片 12应用层FTP（文件传输协议）：为文件传输提供了途径，它允许数据从一台主机传送到另一台主机上。HTTP（超文本传输协议）：用来访问在WWW服务器上的各种页面。DNS（域名服务系统）：用于实现从

9、主机域名到IP地址之间的转换。TELNET（虚拟终端服务）：实现互联网中的工作站登陆到远程服务器的能力。传输层TCP （传输控制协议） ：为应用程序提供可靠的面向连接的通信服务，适用于要求得到响应的应用程序。目前，许多流行的应用程序都使用TCP。UDP（用户数据报协议）：提供了无连接通信，且不对传送数据包进行可靠的保证。适合于一次传输小量数据，可靠性则由应用层来负责。网络层IP（互联网协议）：IP协议和路由协议协同工作, 寻找能够将数据包传送到目的端的最优路径。IP协议不关心数据报文的内容，提供无连接的、不可靠的服务。ARP（地址解析协议）：把已知的IP地址解析为MAC地址。RARP（反向地址

10、解析协议）：用于数据链路层地址已知时，解析IP地址。ICMP（网际控制消息协议）：定义了网络层控制和传递消息的功能。IGMP（网际组管理协议）：一种组播应用协议，用于加入组播域。 数据链路层数据链路层分为两个子层：逻辑链路控制子层（LLC, Logic Link Control Sublayer），介质访问控制子层（MAC, Media Access Control Sublayer）。物理层为了达到数据传输的目的，物理层定义了电压、接口、电缆标准、传输距离等。幻灯片 13在数据到达传输层以后，传输层首先会对数据分段以符合网络传输规格，分段之后，传输层会为每个数据段添加端口号信息以区分出不同协

11、议的数据。不同的应用会有不同的端口号，1024以下端口号为“famous”端口号，1024以上可以自行分配使用。当数据段传递到网络层时，网络层会为每个数据段封装IP包头，在IP包头中会包含数据所使用的协议信息(如TCP/UDP:6/17)和源IP地址以及目的IP地址信息。所以，根据系统为数据所添加的三元组信息，我们可以很容易的区分出不同主机上的不同应用程序。我们把这样的三元组称为“套接字”。套接字分为两种，一种是源套接字，源端口协议号源IP地址称为源套接字；一种是目的套接字，目的端口协议号源IP地址称为目的套接字。幻灯片 14TCP的连接建立是一个三次握手过程，目的是为了通信双方确认开始序号，

12、以便后续通信的有序进行。开始连接时，连接建立方(Client)发送SYN包，并包含了自己的初始序号a；连接接受方(Server)收到SYN包以后会回复一个SYN包，其中包含了对上一个a包的回应信息ACK，回应的序号为下一个希望收到包的序号，即a1，然后还包含了自己的初始序号b；连接建立方(Client)收到回应的SYN包以后，回复一个ACK包做响应，其中包含了下一个希望收到包的序号即b1。经过此三次信息交换以后，TCP连接建立成功，就可以进行后续通信了。幻灯片 15TCP终止连接的四次握手过程如下：首先进行关闭的一方（即发送第一个FIN）将执行主动关闭，而另一方（收到这个FIN）执行被动关闭。

13、当服务器收到这个FIN，它发回一个ACK，确认序号为收到的序号加1。和SYN一样，一个FIN将占用一个序号。同时TCP服务器还向应用程序（即丢弃服务器）传送一个文件结束符。接着这个服务器程序就关闭它的连接，导致它的TCP端发送一个FIN。客户必须发回一个确认，并将确认序号设置为收到序号加1。幻灯片 16IP欺骗为了获得访问权，入侵者生成一个带有伪造源地址的报文。对于使用基于IP地址验证的应用来说，此攻击方法可以导致未被授权的用户可以访问目的系统，甚至是以root权限来访问。即使响应报文不能达到攻击者，同样也会造成对被攻击对象的破坏。这就造成IP Spoofing攻击。SYN Flood攻击由于

14、资源的限制，TCP/IP栈的实现只能允许有限个TCP连接。而SYN Flood攻击正是利用这一点，它伪造一个SYN报文，其源地址是一个伪造的、或者不存在的地址，向服务器发起连接，服务器在收到报文后用SYN-ACK应答，而此应答发出去后，不会收到ACK报文，造成一个半连接。如果攻击者发送大量这样的报文，会在被攻击主机上出现大量的半连接，消耗尽其资源，使正常的用户无法访问，直到半连接超时。在一些创建连接不受限制的系统中，SYN Flood攻击将会消耗掉系统的内存等资源，使其不能响应合法的请求。幻灯片 17幻灯片 18在以太网数据通信中，源主机发数据给目的主机，需要了解目的主机的IP地址和MAC地址

15、进行数据封装。而往往在初始通讯时，源主机并不知道目的主机的MAC地址，故为了完成通信过程，需要一种查询目的主机MAC地址的技术，这就是ARP（地址解析协议，Address Resolution Protocol）用于将目的主机的IP地址和目的主机的以太网MAC地址映射关联起来。ARP分为动态ARP和静态ARP动态ARP是指ARP动态执行并自动寻找IP地址到MAC地址的映射，无需网络管理员的介入；静态ARP是指IP地址和MAC地址之间有固定的映射关系，网络设备不能动态调整。静态ARP需要网络管理员手动配置映射表项。在进行以太网数据通信时，源主机需要封装目的主机的MAC地址和IP地址，在知道对方的

16、IP地址以后，使用ARP去请求对方的MAC地址。过程如下：源主机发送ARP-request，数据封装中源IP地址字段为源主机IP地址，源MAC地址字段为源主机的MAC地址，目的IP地址字段为目的主机IP地址，目的MAC地址被封装为FF-FF-FF-FF-FF-FF（广播MAC地址）。当交换机收到该信息以后就会广播该报文，在同一网段中的所有主机都能收到该报文。当主机收到该报文以后，查看报文中的目的IP地址和自己的IP地址是否匹配，若匹配，则记录下源主机的MAC地址和IP地址的对应关系，然后将自己的MAC地址封装进ARP-REPLY中单播给源主机，从而完成ARP“请求应答”过程。而如果主机收到请求

17、报文以后，报文中的目的IP地址和自己的IP地址匹配不上，则将会丢弃该请求信息。幻灯片 19二层交换机处理数据包的过程如下：站点A要发一个帧给站点D；交换机从端口1接收到这个帧，首先查看目的MAC地址，再查看交换机里Cache 的MAC地址表；如果目的MAC已经记录在MAC表中，则从相应端口转发；如果不存在对应表，交换机把这个数据帧向任何端口转发出去（除接收这个帧的端口1）；同时交换机查看这个帧源MAC地址，把端口1和站点A的MAC建立映射关系（这个帧的源MAC地址就是站点A物理地址）。可以看出二层交换机具有以下特点：一个端口对应一个冲突域；接收网段上的所有数据帧；利用接收数据帧中的源MAC地址

18、来建立MAC地址表（源地址自学习），使用地址老化机制进行地址表维护；在MAC地址表中查找数据帧中的目的MAC地址，如果找到就将该数据帧发送到相应的端口（不包括源端口）；如果找不到，就向所有的端口发送（不包括源端口）；向所有端口转发广播帧和多播帧（不包括源端口）。在交换机中仍然存在以下缺点：广播泛滥，安全性仍旧无法得到有效的保证。幻灯片 20虚拟局域网（VLANVirtual Local Area Network）逻辑上把网络资源和网络用户按照一定的原则进行划分，把一个物理上实际的网络划分成多个小的逻辑的网络。这些小的逻辑的网络形成各自的广播域，也就是虚拟局域网VLAN。图中都使用一个中心交换机

19、，但是左右各属于不同的VLAN，形成各自的广播域，广播报文不能跨越这些广播域传送。虚拟局域网将一组位于不同物理网段上的用户在逻辑上划分成一个局域网内，在功能和操作上与传统LAN基本相同，可以提供一定范围内终端系统的互联。 幻灯片 21Hybrid端口与Trunk端口的不同之处在于hybrid端口可以允许多个VLAN的报文不打标签，而trunk端口只允许缺省VLAN的报文不打标签。在同一个交换机上hybrid端口和trunk端口不能并存。幻灯片 22端口缺省的模式为Access端口，缺省所有端口都属于VLAN 1，VLAN 1为缺省VLAN，既不能创建也不能删除。幻灯片 23接入链路指的是用于连

20、接主机和交换机的链路。通常情况下主机并不需要知道自己属于哪些VLAN，主机的硬件也不一定支持带有VLAN标记的帧。主机要求发送和接收的帧都是没有打上标记的帧。接入链路属于某一个特定的端口，这个端口属于一个并且只能是一个VLAN。这个端口不能直接接收其它VLAN的信息，也不能直接向其它VLAN发送信息。不同VLAN的信息必须通过三层路由处理才能转发到这个端口上。干道链路是可以承载多个不同VLAN数据的链路。干道链路通常用于交换机间的互连，或者用于交换机和路由器之间的连接。干道链路的英文叫做“trunk link”。数据帧在干道链路上传输的时候，交换机必须用一种方法来识别数据帧是属于哪个VLAN的

21、。IEEE 802.1Q定义了VLAN帧格式，所有在干道链路上传输的帧都是打上标记的帧（tagged frame）。通过这些标记，交换机就可以确定哪些帧分别属于哪个VLAN。和接入链路不同，干道链路是用来在不同的设备之间（如交换机和路由器之间、交换机和交换机之间）承载VLAN数据的，因此干道链路是不属于任何一个具体的VLAN的。通过配置，干道链路可以承载所有的VLAN数据，也可以配置为只能传输指定的VLAN的数据。 干道链路虽然不属于任何一个具体的VLAN，但是可以给干道链路配置一个pvid（port VLAN ID）。当干道链路不论因为什么原因，trunk链路上出现了没有带标记的帧，交换机就

22、给这个帧增加带有pvid的VLAN标记，然后进行处理。幻灯片 24当Access端口收到帧时如果该帧不包含802.1Q tag header，将打上端口的PVID；如果该帧包含802.1Q tag header，交换机不作处理，直接丢弃。当Access端口发送帧时剥离802.1Q tag header，发出的帧为普通以太网帧幻灯片 25当Trunk端口收到帧时如果该帧不包含802.1Q tag header，将打上端口的PVID；如果该帧包含802.1Q tag header，则不改变。当Trunk端口发送帧时当该帧的VLAN ID与端口的PVID不同时，直接透传；当该帧的VLAN ID与端口

23、的PVID相同时，则剥离802.1Q tag header 幻灯片 26图中表示一个局域网环境，网络中有两台交换机，并且配置了两个VLAN。主机和交换机之间的链路是接入链路，交换机之间通过干道链路互相连接。对于主机来说，它是不需要知道VLAN的存在的。主机发出的报文都是untagged的报文；交换机接收到这样的报文之后，根据配置规则（如端口信息）判断出报文所属VLAN进行处理。如果报文需要通过另外一台交换机发送，则该报文必须通过干道链路传输到另外一台交换机上。为了保证其它交换机正确处理报文的VLAN信息，在干道链路上发送的报文都带上了VLAN标记。当交换机最终确定报文发送端口后，将报文发送给主

24、机之前，将VLAN的标记从以太网帧中删除，这样主机接收到的报文都是不带VLAN的标记的以太网帧。所以，一般情况下，干道链路上传送的都是Tagged Frame，接入链路上传送的都是Untagged Frame。这样做的最终结果是：网络中配置的VLAN可以被所有的交换机正确处理，而主机不需要了解VLAN信息。幻灯片 27VLAN信息可以跨越多台交换机被转递到相关的交换机中。如上图的所有VLAN-3的数据都能通过中间的过渡交换机实现通信，同样VLAN-5的数据也可以相互转递。幻灯片 28VLAN隔离了二层广播域，也就严格地隔离了各个VLAN之间的任何流量，分属于不同VLAN的用户不能互相通信。幻灯

25、片 29解决VLAN间互通的第一种方法是：为每个VLAN分配一个单独的路由器接口，VLAN间的数据通信通过路由器进行三层路由，这样我们就可以实现VLAN之间相互通信。但是，随着每个交换机上VLAN数量的增加，这样做必然需要大量的路由器接口。出于成本的考虑，一般不可能用这种方案来解决VLAN间路由选路问题。此外，某些VLAN之间可能不需要经常进行通信，这样导致路由器的接口没被充分利用。幻灯片 30为了解决物理接口需求过大的问题，在VLAN技术的发展中，出现了另一种路由器独臂路由器，用于实现VLAN间通信的三层网络设备路由器，它只需要一个以太网接口，通过创建子接口可以承担所有VLAN的网关，而在不

26、同的VLAN间转发数据。 如上图所示，路由器仅仅提供一个以太网接口，而在该接口下提供三个子接口分别作为3个VLAN用户的缺省网关，当VLAN100的用户需要与其它VLAN的用户进行通信时，该用户只需将数据包发送给缺省网关，缺省网关修改数据帧的VLAN标签后再发送至目的主机所在VLAN，即完成了VLAN间的通信。 幻灯片 31第三种解决办法就是三层交换机，它是将路由器和交换机合成的一种设备，融合了路由器和交换机各自的优势 幻灯片 32图中的路由器相当于存在与交换机中的一个路由软件模块，它实现三层路由转发；而交换机相当于二层交换模块，它实现VLAN内的二层快速转发。其用户设置的缺省网关就是三层交换

27、机中虚拟VLAN接口的IP地址 。幻灯片 33幻灯片 34幻灯片 35链路层发现的路由也叫做直连路由，是指三层接口在配置IP地址后，并且物理和逻辑均为UP状态后，自动被设备识别的路由。直连路由不需要维护和计算，但是只能发现接口所在网段的路由，并且当接口DOWN了以后，路由也就从路由表中删除。手工配置的静态路由是指由管理员手工配置的路由。这样的路由会一直存在于路由表中，直到路由命令中所指明的出接口DOWN，才会从路由表中被删掉。并且，静态路由不能适应网络的变化，当路径信息发生改变以后，还需要由管理员手工更改路由信息。动态路由协议发现的路由是指由路由协议收集网络相关信息后自动计算和传递的路由。动态

28、路由协议首先收集网络相关信息，然后根据收集到的信息计算出到达网络中各个目的的最佳路由并传递给其它路由节点。当设备发现网络发生改变后会自动重新计算并更改受影响的路由，以动态适应网络的变化。幻灯片 36路由器转发数据包的关键是路由表。每个路由器中都保存着一张路由表，表中每条路由项都指明数据包到某子网或某主机应通过路由器的哪个物理端口发送，然后就可到达该路径的下一个路由器，或者不再经过别的路由器而传送到直接相连的网络中的目的主机。路由表中包含了下列关键项：目的地址（Destination）：用来标识IP包的目的地址或目的网络。网络掩码（Mask）：与目的地址一起来标识目的主机或路由器所在的网段的地址

29、。将目的地址和网络掩码“逻辑与”后可得到目的主机或路由器所在网段的地址。例如：目的地址为，掩码为的主机或路由器所在网段的地址为。掩码由若干个连续“1”构成，既可以用点分十进制表示，也可以用掩码中连续“1”的个数来表示。输出接口（Interface）：说明IP包将从该路由器哪个接口转发。下一跳IP地址（Nexthop）：说明IP包所经由的下一个路由器的接口地址。 幻灯片 37在组网结构比较简单的网络中，只需配置静态路由就可以使路由器正常工作，仔细设置和使用静态路由可以改进网络的性能，并可为重要的应用保证带宽。还有一种静态路由类型为称为接口静态路由，它

30、用于表示那些直接连接到路由器接口上的目的网络。接口静态路由优先级是0，这意味着它是直接连接网络的路由。静态路由还有如下的属性：可达路由：正常的路由都属于这种情况，即IP报文按照目的地标示的路由被送往下一跳，这是静态路由的一般用法。目的地不可达的路由：当到某一目的地的静态路由具有“reject”属性时，任何去往该目的地的IP报文都将被丢弃，并且通过ICMP 消息通知源主机目的地不可达。目的地为黑洞的路由：当到某一目的地的静态路由具有“blackhole”属性时，任何去往该目的地的IP报文都将被丢弃。同“reject”的区别是不向源主机发送任何消息 幻灯片 38在路由器QuidwayA上配置一条到

31、目的网段/16的静态路由，下一跳地址为路由器QuidwayB的S0接口的IP地址。如果链路的封装是PPP或HDLC，也可以指定本路由器的转发接口。静态路由配置命令：QuidwayAip route 16 s0或QuidwayAip route 16 或QuidwayAip route 。 幻灯片 39缺省路由也是一种静态路由。简单地说，缺省路由就是在没有找到匹配的路由表入口项时才使用的路由。即只有当没有合适的路由时，缺省路由才被使用。在

32、路由表中，缺省路由以到网络（掩码为）的路由形式出现。可通过命令display ip route 的输出看它是否被设置。如果报文的目的地址不能与路由表的任何入口项相匹配，那么该报文将选取缺省路由。如果没有缺省路由且报文的目的地址不在路由表中，那么该报文被丢弃的同时，将返回源端一个ICMP报文指出该目的地址或网络不可达。幻灯片 40PPP协议主要包括三部分LCP（链路控制协议，Link Control Protocol）、NCP（网络控制协议，Network Control Protocol）和PPP的扩展协议（如Multilink Protocol)。随着网络技术的不

33、断发展，网络带宽已不再是瓶颈，PPP扩展协议的应用也就越来越少。PPP协议特点支持点到点的连接，不同于X.25、frame relay等数据链路层协议，具有CHAP、PAP验证协议，更好的保证了网络的安全性；PPP的物理层既支持数据为8位和无奇偶校验的异步模式，还支持面向比特位的同步链接，如frame relay必须为同步电路；PPP有针对不同网络层的网络控制协议，如IPCP、IPXCP，并且允许双方协商是否对报文首部进行压缩。PPP支持两种认证协议：PAP（Password Authentication Protocol）和CHAP（Challenge Hand Authentication Protocol）。 幻灯片 41随着宽带网络技术的不断发展，以xDSL、Cable Modem和以太网为主的几种主流宽带接入技术的应用已开展的如火如荼。同时又给各大网络运营商们带来了种种困惑，无论使用哪种接入技术，对于他们而言可盼和可求的是如何有效的管理用户，如何从网络的投资中收取回报，因此对于各种宽