第2章網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議

1、第2章 網(wǎng)絡(luò)體系結(jié)構(gòu)及協(xié)議(xiy)基礎(chǔ)學(xué)習(xí)目標(biāo)l 了解OSI模型及安全體系l了解TCP/IP網(wǎng)絡(luò)模型及安全體系結(jié)構(gòu)l 掌握(zhngw)常用的網(wǎng)絡(luò)協(xié)議和網(wǎng)絡(luò)命令l 掌握協(xié)議分析工具的使用方法共七十四頁2.1 網(wǎng)絡(luò)(wnglu)的體系結(jié)構(gòu)2.1.1 網(wǎng)絡(luò)(wnglu)的層次結(jié)構(gòu)分層就是系統(tǒng)分解的最好方法之一。層次結(jié)構(gòu)的好處在于使每一層實(shí)現(xiàn)一種相對獨(dú)立的功能，每一層向上一層提供服務(wù)，同時(shí)接受下一層提供的服務(wù)。每一層不必知道下面一層是如何實(shí)現(xiàn)的，只要知道下層通過層間接口提供的服務(wù)是什么，以及本層向上層提供什么樣的服務(wù)，就能獨(dú)立地設(shè)計(jì)，這就是常說的網(wǎng)絡(luò)層次結(jié)構(gòu) 共七十四頁2.1.2 服務(wù)、接口(ji

2、 ku)和協(xié)議在某層上進(jìn)行通信所使用的規(guī)則、標(biāo)準(zhǔn)或約定的集合(jh)就稱為協(xié)議(Protocol)。各層協(xié)議按層次順序排列而成的協(xié)議序列稱為協(xié)議棧。協(xié)議主要由下列三個(gè)要素組成：(1)語義(Semantics)。涉及用于協(xié)調(diào)與差錯(cuò)處理的控制信息。(2)語法(Syntax)。涉及數(shù)據(jù)及控制信息的格式、編碼及信號(hào)電平等。(3)定時(shí)(Timing)。涉及速度匹配和排序等。共七十四頁不同系統(tǒng)中的對等實(shí)體是沒有直接通信能力的，它們間的通信必須(bx)通過其下各層的通信間接完成。第N層實(shí)體向第N+1層實(shí)體提供的在第N層上的通信能力稱為第N層的服務(wù)。在接口處規(guī)定了下層向上層提供的服務(wù)，以及上下層實(shí)體請求或提供

3、服務(wù)所使用的形式規(guī)范語句（服務(wù)原語）。 共七十四頁2.2 OSI模型(mxng)及其安全體系1OSI-RM的層次結(jié)構(gòu) 共七十四頁2OSI-RM的數(shù)據(jù)格式 共七十四頁2.2.2 OSI模型(mxng)的安全服務(wù) 1認(rèn)證(rnzhng) 2訪問控制 3數(shù)據(jù)機(jī)密性 4數(shù)據(jù)完整性 5抗否認(rèn) 共七十四頁2.2.3 OSI模型的安全(nqun)機(jī)制 1加密機(jī)制 2數(shù)字簽名機(jī)制 3訪問控制機(jī)制 4數(shù)據(jù)完整性機(jī)制5鑒別交換(jiohun)機(jī)制 6通信流量填充機(jī)制 7路由選擇控制機(jī)制 8公證機(jī)制 共七十四頁2.3 TCP/IP模型及其安全(nqun)體系1TCP/IP參考模型的層次結(jié)構(gòu) 共七十四頁2.3.2 T

4、CP/IP的安全(nqun)體系1鏈路層安全(nqun) 2網(wǎng)絡(luò)層安全3傳輸層保護(hù)的網(wǎng)絡(luò) 4 應(yīng)用層安全性 共七十四頁2.4 常用(chn yn)網(wǎng)絡(luò)協(xié)議和服務(wù) 2.4.1 常用(chn yn)網(wǎng)絡(luò)協(xié)議1IP協(xié)議 2TCP協(xié)議 3UDP協(xié)議 4ICMP協(xié)議 共七十四頁IP頭的結(jié)構(gòu)(jigu)版本（4位）頭長度（4位）服務(wù)類型（8位）封包總長度（16位）封包標(biāo)識(shí)（16位）標(biāo)志（3位）片斷偏移地址（13位）存活時(shí)間（8位）協(xié)議（8位）校驗(yàn)和（16位）來源IP地址（32位）目的IP地址（32位）選項(xiàng)（可選）填充（可選）數(shù)據(jù)共七十四頁IPv4的IP地址分類(fn li) IPv4地址在1981年9月實(shí)

5、現(xiàn)標(biāo)準(zhǔn)化的?；镜腎P地址是8位一個(gè)單元的32位二進(jìn)制數(shù)。為了方便人們的使用，對機(jī)器友好的二進(jìn)制地址轉(zhuǎn)變?yōu)槿藗兏煜さ氖M(jìn)制地址。IP地址中的每一個(gè)8位組用0255之間的一個(gè)十進(jìn)制數(shù)表示(biosh)。這些數(shù)之間用點(diǎn)“.”隔開，因此，最小的IPv4地址值為，最大的地址值為55，然而這兩個(gè)值是保留的，沒有分配給任何系統(tǒng)。IP地址分成五類：A類地址、B類地址、C類地址、D類地址和E類地址。每一個(gè)IP地址包括兩部分：網(wǎng)絡(luò)地址和主機(jī)地址，上面五類地址對所支持的網(wǎng)絡(luò)數(shù)和主機(jī)數(shù)有不同的組合。共七十四頁1、A類地址(dzh)一個(gè)A類IP地址僅使用第一個(gè)8位組表示網(wǎng)絡(luò)地址。剩下的3個(gè)8位組表示主機(jī)地址。A類地

6、址的第一個(gè)位總為0，這一點(diǎn)在數(shù)學(xué)上限制了A類地址的范圍小于127，因此理論上僅有127個(gè)可能的A類網(wǎng)絡(luò)，而地址又沒有分配，所以實(shí)際上只有126個(gè)A類網(wǎng)。技術(shù)上講，也是一個(gè)A類地址，但是它已被保留作閉環(huán)（Look Back）測試(csh)之用而不能分配給一個(gè)網(wǎng)絡(luò)。A類地址后面的24位表示可能的主機(jī)地址，A類網(wǎng)絡(luò)地址的范圍從到。每一個(gè)A類地址能支持16,777,214個(gè)不同的主機(jī)地址，這個(gè)數(shù)是由2的24次方再減去2得到的。減2是必要的，因?yàn)镮P把全0保留為表示網(wǎng)絡(luò)而全1表示網(wǎng)絡(luò)內(nèi)的廣播地址。共七十四頁2、B類地址(dzh)設(shè)計(jì)B類地址的目的是支持中到大型的網(wǎng)絡(luò)。B類網(wǎng)絡(luò)地址范圍從到。B類地址蘊(yùn)含的

7、數(shù)學(xué)邏輯是相當(dāng)簡單的。一個(gè)B類IP地址使用兩個(gè)8位組表示網(wǎng)絡(luò)號(hào)，另外兩個(gè)8位組表示主機(jī)號(hào)。B類地址的第1個(gè)8位組的前兩位總是設(shè)置為1和0，剩下的6位既可以是0也可以是1，這樣就限制其范圍小于等于191，這里的191由128+32+16+8+4 +2+1得到。最后(zuhu)的16位（2個(gè)8位組）標(biāo)識(shí)可能的主機(jī)地址。每一個(gè)B類地址能支持64,534個(gè)惟一的主機(jī)地址，這個(gè)數(shù)由2的16次方減2得到，B類網(wǎng)絡(luò)有16,382個(gè)。共七十四頁3、C類地址(dzh)C類地址(dzh)用于支持大量的小型網(wǎng)絡(luò)。這類地址(dzh)可以認(rèn)為與A類地址(dzh)正好相反。A類地址(dzh)使用第一個(gè)8位組表示網(wǎng)絡(luò)號(hào)，剩

8、下的3個(gè)表示主機(jī)號(hào)，而C類地址(dzh)使用三個(gè)8位組表示網(wǎng)絡(luò)地址(dzh)，僅用一個(gè)8位組表示主機(jī)號(hào)。C類地址的前3位數(shù)為110，前兩位和為192(128+64)，這形成了C類地址空間的下界。第三位等于十進(jìn)制數(shù)32，這一位為0限制了地址空間的上界。不能使用第三位限制了此8位組的最大值為255-32等于223。因此C類網(wǎng)絡(luò)地址范圍從至。最后一個(gè)8位組用于主機(jī)尋址。每一個(gè)C類地址理論上可支持最大2 5 6個(gè)主機(jī)地址(0255)，但是僅有254個(gè)可用，因?yàn)?和255不是有效的主機(jī)地址?？梢杂?,097,150個(gè)不同的C類網(wǎng)絡(luò)地址。在IP地址中，0和255是保留的主機(jī)地址。IP地址中所有的主機(jī)地址為

9、0用于標(biāo)識(shí)局域網(wǎng)。同樣，全為1表示在此網(wǎng)段中的廣播地址。共七十四頁4、D類地址(dzh)D類地址用于在IP網(wǎng)絡(luò)中的組播（Multicasting）。D類組播地址機(jī)制僅有有限的用處。一個(gè)組播地址是一個(gè)惟一的網(wǎng)絡(luò)地址。它能指導(dǎo)報(bào)文到達(dá)預(yù)定(ydng)義的IP地址組。因此，一臺(tái)機(jī)器可以把數(shù)據(jù)流同時(shí)發(fā)送到多個(gè)接收端，這比為每個(gè)接收端創(chuàng)建一個(gè)不同的流有效得多。組播長期以來被認(rèn)為是IP網(wǎng)絡(luò)最理想的特性，因?yàn)樗行У販p小了網(wǎng)絡(luò)流量。D類地址空間，和其他地址空間一樣，有其數(shù)學(xué)限制，D類地址的前4位恒為1110，預(yù)置前3位為1意味著D類地址開始于128+64+32等于224。第4位為0意味著D類地址的最大值為1

10、28+64+32+8+4+2+1為239，因此D類地址空間的范圍從到239.255.2 55.254。共七十四頁5、E類地址(dzh)E類地址雖被定義為保留(boli)研究之用。因此Internet上沒有可用的E類地址。E類地址的前4位為1，因此有效的地址范圍從至55。共七十四頁子網(wǎng)掩碼子網(wǎng)掩碼是用來判斷任意兩臺(tái)計(jì)算機(jī)的IP地址是否屬于同一子網(wǎng)絡(luò)的根據(jù)。最為簡單(jindn)的理解就是兩臺(tái)計(jì)算機(jī)各自的IP地址與子網(wǎng)掩碼進(jìn)行二進(jìn)制“與”（AND）運(yùn)算后，如果得出的結(jié)果是相同的，則說明這兩臺(tái)計(jì)算機(jī)是處于同一個(gè)子網(wǎng)絡(luò)上的，可以進(jìn)行直接的通訊。計(jì)算機(jī)A的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”

11、運(yùn)算，運(yùn)算過程如表2-3所示。共七十四頁子網(wǎng)掩碼計(jì)算機(jī)A的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算(yn sun)，運(yùn)算(yn sun)過程如表2-3所示。IP地址11010000.10101000.00000000.00000001子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位“與”運(yùn)算11000000.10101000.00000000.00000000運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制共七十四頁子網(wǎng)掩碼計(jì)算機(jī)B的IP地址為54，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行“與”運(yùn)算(yn sun)。運(yùn)算(yn sun)過程如表2-4所示。IP地址1

12、1010000.10101000.00000000.11111110子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位“與”運(yùn)算11000000.10101000.00000000.00000000運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制共七十四頁子網(wǎng)掩碼計(jì)算機(jī)C的IP地址為，子網(wǎng)掩碼為，將轉(zhuǎn)化為二進(jìn)制進(jìn)行(jnxng)“與”運(yùn)算。運(yùn)算過程如表2-5所示。IP地址11010000.10101000.00000000. 00000100子網(wǎng)掩碼11111111.11111111.11111111.00000000IP地址與子網(wǎng)掩碼按位“與”運(yùn)算11000000.1

13、0101000.00000000.00000000運(yùn)算的結(jié)果轉(zhuǎn)化為十進(jìn)制共七十四頁2TCP協(xié)議(xiy) TCP是傳輸層協(xié)議，提供可靠的應(yīng)用數(shù)據(jù)傳輸。TCP在兩個(gè)或多個(gè)主機(jī)之間建立面向連接的通信。TCP支持多數(shù)據(jù)流操作，提供錯(cuò)誤控制，甚至完成對亂序到達(dá)的報(bào)文進(jìn)行(jnxng)重新排序。共七十四頁TCP協(xié)議(xiy)的頭結(jié)構(gòu) 和IP一樣，TCP的功能受限于其頭中攜帶的信息。因此理解TCP的機(jī)制和功能需要了解TCP頭中的內(nèi)容(nirng)，表2-6顯示了TCP頭結(jié)構(gòu)。來源端口（2字節(jié)）目的端口（2字節(jié)）序號(hào)（4字節(jié)）確認(rèn)序號(hào)（4字節(jié)）頭長度（4位）保留（6位）URGACKPSHRSTSYNPIN窗

14、口大?。?字節(jié)）校驗(yàn)和（16位）緊急指針（16位）選項(xiàng)（可選）數(shù)據(jù)共七十四頁TCP協(xié)議(xiy)的工作原理 TCP提供兩個(gè)網(wǎng)絡(luò)主機(jī)之間的點(diǎn)對點(diǎn)通訊。TCP從程序中接收數(shù)據(jù)并將數(shù)據(jù)處理成字節(jié)流。首先將字節(jié)分成段，然后對段進(jìn)行編號(hào)和排序以便傳輸。在兩個(gè)TCP主機(jī)之間交換數(shù)據(jù)之前，必須先相互建立會(huì)話。TCP會(huì)話通過三次握手的完成初始化。這個(gè)(zh ge)過程使序號(hào)同步，并提供在兩個(gè)主機(jī)之間建立虛擬連接所需的控制信息。TCP在建立連接的時(shí)候需要三次確認(rèn)，俗稱“三次握手”，在斷開連接的時(shí)候需要四次確認(rèn)，俗稱“四次揮手”。共七十四頁TCP協(xié)議的三次(sn c)“握手” 共七十四頁TCP協(xié)議(xiy)的四次

15、“揮手” 需要斷開連接的時(shí)候(sh hou)，TCP也需要互相確認(rèn)才可以斷開連接，四次交互過程如圖所示。共七十四頁3.用戶數(shù)據(jù)(shj)報(bào)協(xié)議UDP UDP為應(yīng)用程序提供發(fā)送和接收數(shù)據(jù)報(bào)的功能。某些程序（比如騰訊的OICQ）使用的是UDP協(xié)議(xiy)，UDP協(xié)議(xiy)在TCP/IP主機(jī)之間建立快速、輕便、不可靠的數(shù)據(jù)傳輸通道。 共七十四頁UDP和TCP的區(qū)別(qbi) UDP提供的是非連接的數(shù)據(jù)報(bào)服務(wù)，意味著UDP無法保證任何數(shù)據(jù)報(bào)的傳遞和驗(yàn)證(ynzhng)。UDP的結(jié)構(gòu)如圖所示。 共七十四頁UDP和TCP傳遞數(shù)據(jù)的差異(chy)UDP和TCP傳遞數(shù)據(jù)的差異類似于電話和明信片之間的差異

16、。TCP就像電話，必須先驗(yàn)證目標(biāo)是否可以訪問后才開始通訊。UDP就像明信片，信息量很小而且每次傳遞成功的可能性很高，但是不能完全保證傳遞成功。UDP通常由每次傳輸少量數(shù)據(jù)或有實(shí)時(shí)需要的程序(chngx)使用。在這些情況下，UDP 的低開銷比TCP 更適合。UDP 與TCP 提供的服務(wù)和功能直接對比 共七十四頁UDP和TCP傳遞數(shù)據(jù)的比較(bjio) UDP協(xié)議TCP協(xié)議無連接的服務(wù)；在主機(jī)之間不建立會(huì)話。面向連接的服務(wù)；在主機(jī)之間建立會(huì)話。UDP不能確?；虺姓J(rèn)數(shù)據(jù)傳遞或序列化數(shù)據(jù)。TCP 通過確認(rèn)和按順序傳遞數(shù)據(jù)來確保數(shù)據(jù)的傳遞。使用 UDP 的程序負(fù)責(zé)提供傳輸數(shù)據(jù)所需的可靠性。使用 TCP

17、的程序能確?？煽康臄?shù)據(jù)傳輸。UDP快速，具有低開銷要求，并支持點(diǎn)對點(diǎn)和一點(diǎn)對多點(diǎn)的通訊。TCP 比較慢，有更高的開銷要求，而且只支持點(diǎn)對點(diǎn)通訊。UDP 和 TCP 都使用端口標(biāo)識(shí)每個(gè) TCP/IP 程序的通訊。共七十四頁 UDP協(xié)議(xiy)的頭結(jié)構(gòu) UDP的頭結(jié)構(gòu)(jigu)比較簡單，如表所示。 源端口（2字節(jié)）目的端口（2字節(jié)）封報(bào)長度（2字節(jié)）校驗(yàn)和（2字節(jié)）數(shù)據(jù)共七十四頁4.ICMP協(xié)議(xiy)的結(jié)構(gòu) 共七十四頁ICMP協(xié)議(xiy)的頭結(jié)構(gòu) ICMP頭結(jié)構(gòu)(jigu)比較簡單，如表所示。類型（8位）代碼（8位）校驗(yàn)和（8位）類型或者代碼共七十四頁ICMP數(shù)據(jù)(shj)報(bào)分析 使用P

18、ing命令發(fā)送ICMP回應(yīng)請求消息(xio xi)，使用Ping命令，可以檢測網(wǎng)絡(luò)或主機(jī)通訊故障并解決常見的TCP/IP連接問題。分析Ping指令的數(shù)據(jù)報(bào)，如圖2-27所示。 共七十四頁2.4.2 常用(chn yn)網(wǎng)絡(luò)服務(wù) 1. FTP服務(wù)1.FTP服務(wù)FTP的缺省端口是20（用于數(shù)據(jù)傳輸）和21（用于命令傳輸）。在TCP/IP中FTP是非常獨(dú)特的，因?yàn)槊詈蛿?shù)據(jù)能夠同時(shí)傳輸，而數(shù)據(jù)傳輸是實(shí)時(shí)的，其他協(xié)議不具有這個(gè)特性。FTP客戶端可以(ky)是命令界面的也可以(ky)是圖形界面的。命令界面的如圖2-28所示。共七十四頁命令行等錄FTP服務(wù)器 共七十四頁 2. Telnet服務(wù)(fw) T

19、elnet是TELecommunications NETwork的縮寫，其名字具有雙重含義，既指應(yīng)用也是指協(xié)議自身。Telnet給用戶提供了一種(y zhn)通過網(wǎng)絡(luò)登錄遠(yuǎn)程服務(wù)器的方式。Telnet通過端口23工作。共七十四頁開啟(kiq)Telnet服務(wù)Telnet要求有一個(gè)Telnet服務(wù)器，此服務(wù)器駐留在主機(jī)上，等待著遠(yuǎn)端機(jī)器的授權(quán)登錄。要使用Telnet服務(wù)首先需要(xyo)在虛擬機(jī)上開啟Telnet服務(wù)，選擇進(jìn)入Telnet服務(wù)管理器，如圖所示。共七十四頁開啟(kiq)Telnet服務(wù)在Telnet服務(wù)(fw)管理器中選擇4，啟動(dòng)Telnet服務(wù)(fw)器，如圖2-32所示。共七十

20、四頁3.Email服務(wù)(fw)目前Email服務(wù)用的兩個(gè)主要的協(xié)議是：簡單郵件傳輸協(xié)議SMTP（Simple Mail Transfer Protocol）和郵局協(xié)議POP3（Post Office Protocol）。SMTP默認(rèn)占用(zhn yn)25端口，用來發(fā)送郵件，POP3占用(zhn yn)110端口，用來接收郵件。在Windows平臺(tái)下，主要利用Microsoft Exchange Server作為電子郵件服務(wù)器。共七十四頁4.Web服務(wù)(fw)Web服務(wù)是目前最常用的服務(wù)，使用(shyng)HTTP協(xié)議，默認(rèn)Web服務(wù)占用80端口在Windows平臺(tái)下一般使用IIS（Inter

21、net Information Server）作為Web服務(wù)器。共七十四頁5.常用(chn yn)的網(wǎng)絡(luò)服務(wù)端口 常用(chn yn)服務(wù)端口列表 端口協(xié)議服務(wù)21TCPFTP服務(wù)25TCPSMTP服務(wù)53 TCP/UDPDNS服務(wù)80TCPWeb服務(wù)135TCPRPC服務(wù)137UDPNetBIOS域名服務(wù)138UDPNetBIOS數(shù)據(jù)報(bào)服務(wù)139TCPNetBIOS會(huì)話服務(wù)443TCP基于SSL的HTTP服務(wù)445TCP/UDPMicrosoft SMB服務(wù)3389TCPWindows終端服務(wù)共七十四頁2.5 Windows常用的網(wǎng)絡(luò)(wnglu)命令 共七十四頁 ping 可以利用ping

22、指令驗(yàn)證和對方計(jì)算機(jī)的連通性，使用的語法是“ping 對方計(jì)算機(jī)名或者IP地址”。如果(rgu)連通的話，返回的信息如圖2-40所示。共七十四頁 ipconfig指令(zhlng) ipconfig指令顯示所有TCP/IP網(wǎng)絡(luò)配置信息、刷新動(dòng)態(tài)主機(jī)(zhj)配置協(xié)議（DHCP, Dynamic Host Configuration Protocol）和域名系統(tǒng)（DNS）設(shè)置。使用不帶參數(shù)的ipconfig可以顯示所有適配器的IP地址、子網(wǎng)掩碼和默認(rèn)網(wǎng)關(guān)。在DOS命令行下輸入ipconfig指令。共七十四頁netstat指令(zhlng) netstat指令顯示活動(dòng)的連接、計(jì)算機(jī)監(jiān)聽的端口、以太網(wǎng)統(tǒng)計(jì)信息、IP 路由表、IPv4統(tǒng)計(jì)信息（IP、ICMP、TCP和UDP協(xié)議）。使用(shyng)“netstat -an”命令可以