深信服星云计划第一阶段—计算机网络

局域网 LAN，自行建设，使用私有地址组建的网络

城域网 由运营商或大规模企业建设，城市范围网络

广域网 由运营商建设，连接城域网范围的网络

2、OSI模型：Open System Interconnect

开放性系统互连参考模型是一个框架、模型，规范不同系统的互联标准

系统分为七层：

应用层：是为计算机用户提供应用接口，也为用户直接提供各种网络服务。我们常见应用层的网络服务协议有：HTTP(80)，FTP(20/21)，POP3(110)、SMTP(25)等。

实际公司A的老板就是我们所述的用户，而他要发送的商业报价单，就是应用层提供的一种网络服务，当然，老板也可以选择其他服务，比如说，发一份商业合同，发一份询价单，等等。

表示层：表示层提供各种用于应用层数据的编码和转换功能,确保一个系统的应用层发送的数据能被另一个系统的应用层识别。如果必要，该层可提供一种标准表示形式，用于将计算机内部的多种数据格式转换成通信中采用的标准表示形式。数据压缩和加密也是表示层可提供的转换功能之一。

此时表示层（公司的文秘），就是将应用层的传递信息转翻译成统一语言。同时为了防止别的公司看到，公司A的人也会对这份报价单做一些加密的处理。这就是表示的作用，将应用层的数据转换翻译等。

会话层：建立、管理和终止会话

当接收到表示层的数据后，会话层将会建立并记录本次会话，他首先要找到公司B的地址信息，然后将整份资料放进信封，并写上地址和联系方式。准备将资料寄出。等到确定公司B接收到此份报价单后，此次会话就算结束了，外联部的同事就会终止此次会话。

传输层：提供可靠的端到端的报文传输和差错控制TCP/UDP在这一层

传输层就相当于公司中的负责快递邮件收发的人，公司自己的投递员，他们负责将上一层的要寄出的资料投递到快递公司或邮局。

网络层：将分组从源端传送到目的端；提供网络互联 IP寻址

设备：路由器

网络层就相当于快递公司庞大的快递网络，全国不同的集散中心，比如说，从深圳发往北京的顺丰快递（陆运为例啊，空运好像直接就飞到北京了），首先要到顺丰的深圳集散中心，从深圳集散中心再送到武汉集散中心，从武汉集散中心再寄到北京顺义集散中心。这个每个集散中心，就相当于网络中的一个IP节点。

数据链路层： 将比特组合成字节,再将字节组合成帧,使用链路层地址 (以太网使用MAC地址)来访问介质,并进行差错检测。

物理层：在媒体上传输比特；提供机械和电气的规约 HUB集线器

快递寄送过程中的交通工具，就相当于我们的物理层，例如汽车，火车，飞机，船。

OSI模型每层都有自己的功能集，层与层之间相互独立又相互依靠，上层依赖于下层，下层为上层提供服务

IP地址

三层 网络寻址标识 可变

MAC地址

两层 地址固定不变全球唯一

网段之间考虑IP，到了网段后考虑MAC地址

Hub,Bridge,Switch,Router的区别

Hub（集线器） 就是一个重复转发器，但共享带宽，就是从一个port接受到数据后，就会原样的向其他的所有端口发送刚才收到的数据。个人理解为是工作在物理层的东西。但是，后来发展中，出现了些所谓的智能hub，就是可以做简单的配置，实现端口管理。这个所谓的智能的hub，和后续的bridge/switch的差别貌似小了一步。

Switch（交换机） 将PC连接起来组成局域网 但独享带宽 处于第二层数据链路层 原理较为简单 利用MAC地址确定转发数据目的地址 端口多，传送速率比网桥快，支持的管理能力较强

在机器很多或数据量很大时，集线器和交换机将会有比较明显的。

Bridge（网桥） 处于第二层数据链路层 端口数量比较少，有端口学习，STP/RSTP协议，基于MAC地址实现数据转发。

Router（路由器） 他是工作在3层的网络设备 连接不同的网段并且找到网络中数据传输最合适的路径 处于第三层网络层 利用IP地址来确定数据转发的地址，路由器处于第三层可以得到更多的协议信息，从而做出更加智能的转发决策

网关：他的主要作用是连接两个不同的网络，这两个网络可能采用了不同的网络协议在通讯。又称网间连接器、协议转换器。网关在网络层以上实现网络互连，是最复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关既可以用于广域网互连，也可以用于局域网互连。由于现在的网络基本都是基于TCP/IP的协议进行通信的，所以，当前常见的路由器，也就充当了网关的角色。

3、TCP/IP

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-za3lpuKO-1590743673336)(C:\Users\10145\AppData\Roaming\Typora\typora-user-images\image-20200526170114056.png)]

主机到主机层（TCP、UDP）

TCP:面向连接的网络协议 可靠传输 使用应用：Web、邮件

UDP:无连接的网络协议 发送了，收到就收到没收到也没办法 不可靠传输 尽力传递

DNCP服务器（动态主机配置协议）

由于IP地址资源有限，不能每个用户独占一个地址，所以DNCP服务器产生将IP地址统一管理，当用户需要时负责将临时IP地址分配给客户端计算机一段时间，然后根据需要扩展租约

DNS服务器（域名系统（服务）协议）

在DNS服务器上进行域名和IP地址的绑定 用户提交域名，DNS服务器返回IP地址给用户访问

TCP端口号 IP:n n为端口号 将服务分为多种类型，以端口号区分

80：HTTP 23:Telnet

访问域名全过程

解析域名

①客户端从浏览器中输入www.baidu.com网站网址后回车，首先浏览器会查询浏览器本身的DNS缓存，一般只有几分钟的缓存，找到了就返回域名对应的IP；如果找不到，系统就会查询本地hosts文件和本地DNS缓存信息，如果找到了，就返回域名对应IP；

②如果没有找到对应的域名解析记录，那么那么系统会把浏览器的解析请求，交给客户端本地设置的DNS服务器地址解析（称为Local DNS，LDNS），如果LDNS服务的本地缓存有对应的解析记录，就会直接返回IP地址；

③如果没有，LDNS会负责继续请求其他DNS服务器；此时就是外网的DNS服务器了，先是根域名服务器，根据浏览器得到的域名，根域名服务器看到.com，会返回.com的顶级域名服务器的ip给LDNS；然后LDNS通过顶级域名服务器的ip，找到了顶级域名服务器，.com顶级域名服务器看到了是找baidu.com一级域名服务器，就将其服务器的ip返回给LDNS；然后一层一层往下找，直到找到了www.baidu.com的DNS记录，并得到对应的IP地址，这时候LDNS会把找到的www.baidu.com的ip发送给客户端浏览器，并记录在缓存中，以便未来再次访问。

④客户端浏览器收到ip之后，就可以通过ip地址找到对应的web服务器了，即服务端主机；接下来就是三次握手建立连接了

转至https://blog.csdn.net/huangwei18351/article/details/81456228

TCP三次握手

（可靠机制）效率较低

1、 SYN：同步连接序号，TCP SYN报文就是把这个标志设置为1，来请求建立连接；
2、 ACK：请求/应答状态。0为请求，1为应答；
3、 FIN：结束连线。如果FIN为0是结束连线请求，FIN为1表示结束连线；

第一次握手：Client将标志位SYN置为1，随机产生一个值seq=J，并将该数据包发送给Server，Client进入SYN_SENT状态，等待Server确认。

第二次握手：Server收到数据包后由标志位SYN=1知道Client请求建立连接，Server将标志位SYN和ACK都置为1，ack=J+1，随机产生一个值seq=K，并将该数据包发送给Client以确认连接请求，Server进入SYN_RCVD状态。

第三次握手：Client收到确认后，检查ack是否为J+1，ACK是否为1，如果正确则将标志位ACK置为1，ack=K+1，并将该数据包发送给Server，Server检查ack是否为K+1，ACK是否为1，如果正确则连接建立成功，Client和Server进入ESTABLISHED状态，完成三次握手，随后Client与Server之间可以开始传输数据了。

简单来说，就是：

1）：建立连接时，客户端发送SYN包（SYN=i）到服务器，并进入到SYN-SEND状态，等待服务器确认

2）：服务器收到SYN包，必须确认客户的SYN（ack=i+1）,同时自己也发送一个SYN包（SYN=k）,即SYN+ACK包，此时服务器进入SYN-RECV状态

3）：客户端收到服务器的SYN+ACK包，向服务器发送确认报ACK（ack=k+1）,此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手，客户端与服务器开始传送数据。

四次挥手

由于TCP连接是全双工的，因此每个方向都必须单独进行关闭

由于TCP连接时全双工的，因此，每个方向都必须要单独进行关闭，这一原则是当一方完成数据发送任务后，发送一个FIN来终止这一方向的连接，收到一个FIN只是意味着这一方向上没有数据流动了，即不会再收到数据了，但是在这个TCP连接上仍然能够发送数据，直到这一方向也发送了FIN。首先进行关闭的一方将执行主动关闭，而另一方则执行被动关闭，上图描述的即是如此。

第一次挥手：Client发送一个FIN，用来关闭Client到Server的数据传送，Client进入FIN_WAIT_1状态。

第二次挥手：Server收到FIN后，发送一个ACK给Client，确认序号为收到序号+1（与SYN相同，一个FIN占用一个序号），Server进入CLOSE_WAIT状态。

第三次挥手：Server发送一个FIN，用来关闭Server到Client的数据传送，Server进入LAST_ACK状态。

第四次挥手：Client收到FIN后，Client进入TIME_WAIT状态，接着发送一个ACK给Server，确认序号为收到序号+1，Server进入CLOSED状态，完成四次挥手。

为什么建立连接是三次握手，而关闭连接却是四次挥手呢？

​ 这是因为服务端在LISTEN状态下，收到建立连接请求的SYN报文后，把ACK和SYN放在一个报文里发送给客户端。而关闭连接时，当收到对方的FIN报文时，仅仅表示对方不再发送数据了但是还能接收数据，己方也未必全部数据都发送给对方了，所以己方可以立即close，也可以发送一些数据给对方后，再发送FIN报文给对方来表示同意现在关闭连接，因此，己方ACK和FIN一般都会分开发送。

滑动窗口机制

它本质上是描述接收方的TCP数据报缓冲区大小的数据，发送方根据这个数据来计算自己最多能发送多长的数据，如果发送方收到接收方的窗口大小为0的TCP数据报，那么发送方将停止发送数据，等到接收方发送窗口大小不为0的数据报的到来

1、A可连续发消息

2、B确认，缓存不够可能将数据包丢弃

3、A调整发送数据

网络层（因特网层） :IP、ICMP、ARP、RARP

负责将分组报文从源端发送到目的端

IP协议

32位长度，点分十进制，由网络位+主机位组成

类别	最大网络数	IP地址范围	单个网段最大主机数	私有IP地址范围
A	126（2^7-2)	1.0.0.1-127.255.255.254	16777214	10.0.0.0-10.255.255.255
B	16384(2^14)	128.0.0.0-191.255.255.255	65534	172.16.0.0-172.31.255.255
C	2097152(2^21)	192.0.0.0-223.255.255.255	254	192.168.0.0-192.168.255.255
D		224.0.0.0-239.255.255.255

子网掩码

指明IP地址哪些位标识的是主机所在子网，以及哪些位标识的是主机的位掩码

根据子网掩码可以分割网络号+主机号

255.255.255.224转二进制为27位1+5位0，即网络号27位，主机号5位

网络地址就是将IP地址转成的二进制与子网掩码进行与运算 好像是将主机位全部置0

广播地址就是将主机位全部变为1

**主机数 **= 2^主机位数-2

根据主机数量进行子网地址规划

所需IP地址数量 = 主机数+3（一个网络地址+一个广播地址+一个网关地址） 根据数量分配2^n个地址

给IP地址及子网掩码位数划分子网

每个子网可以容纳的主机数是1024台。

下面我来给你详细解答：

206.110.1.0 /18 由最后的那个/18，我们可以知道这个IP已经规定了它的网络位是18位，它默认的子网掩码就是11111111.11111111.11 | 000000.00000000(其中1代表网络位,0代表主机位)

可以看出我们可以操作的位数就是后面的14个0，也就是说我们可以在地面划分出几位作为子网的网络位，进而来划分子网。要求是切分成16个子网，我们知道2的4次方刚好等于16，这就说明子网网络位的位数是4位，那14-4=10就是子网的主机位。所以上面我写的那串二进制就可以变成：11111111.11111111.111111 | 00.00000000(其中1代表网络位,0代表主机位)

ARP协议

将IP地址解析成MAC地址 ARP表将IP地址和MAC联系

ARP报文含源IP和MAC地址和目标IP和MAC地址（动态）

工具Ping(ICMP)：

ping IP ping 网址

ICMP协议

功能主要有：

1. 确认IP包是否成功到达目标地址
2. 通知在发送过程中IP包被丢弃的原因

RARP协议：将通过MAC地址请求获得IP地址，反着ARP

问题：Host A访问Host B

1、应用层发出请求 （DATA）

2、传输层加上端口号 （源端口 目的端口 DATA）

3、网络层加上IP地址 （IPA IPB 源端口S 目的端口D DATA)

4、数据链路层加上MAC地址 （源MAC 目的MAC（路由地址） IPA IPB 源端口S 目的端口D DATA）数据帧由A发往路由器，但往上拆时根据IP地址知道发往B，将源MAC 目的MAC修改再封装发往B

4、路由选择原理—静态路由

源地址传输数据包到目的地址的路径叫路由

路由器根据目标地址查询路由表选择最佳路径送出

被动路由协议 主动路由协议

路由类型	机制	优点	缺点
主动路由	采用周期性的路由分组广播，交换路由信息，每个节点维护去往全网所有节点的路由	当节点需要发送数据分组时，只要到目的节点的路由存在，发送分组所需的延时很小	花费开销较大，能使路由更新紧随拓扑结构变化，但动态变化的拓扑结构可能使路由更新信息变得过时，路由协议始终处于不收敛状态
按需路由	根据发送数据分组的需要按需进行路由发现的过程，网络拓扑结构和路由表内容也是按需建立的	不需要周期性路由信息广播，节省了一定的网络资源	发送数据分组时，如果没有到目的节点的路由，需进行路由发现，数据分组的发送因路由发现过程而被延时

路由表格式

路由来源 目的IP地址 处理方式

路由的来源

直连路由—直接连到路由器上的网络 C

静态路由—管理员手工构建路由表 S

配置

R1(config)#ip route network-address subnet-mask {ip-add|exit-interface}

​ 目的地址 子网掩码 默认网关

R1(config)#ip route 192.168.23.0 255.255.255.0 192.168.12.2

R3(config)#ip route 192.168.12.0 255.255.255.0 s0/0(本地接口，而不是对端接口)

通信是双向的，只有单向的配置无法进行通信，要留意往返流量。

默认路由：8个零匹配所有地址 S*

含义：当数据包发往一个任意目的地址，直接送到默认网关

R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2

故障排查

Ping:测试联通性；

Traceroute-追踪两段中的每一跳；

Show IP route-用于显示路由表；

Show ip interface brief-接口消息摘要；

Show cdp neighbors detail-用于搜集毗邻信息；

动态路由—路由器之间动态学习到的路由表

5、交换基础 Vlan Trunk

园区网分层结构

出口层

广域网接入 出口策略 带宽控制

核心层

高速转发 服务器接入 路由选择

汇聚层

流量汇聚 链路冗余（防止单点错误） 设备冗余 路由选择

接入层

提供用户接入 接入安全 访问控制

交换基础

交换机主要功能

1.地址学习(MAC)

2.识别、转发帧

3.环路避免

动态的 掉电会

MAC地址

MAC地址有48位，通常表现为点分十六进制

MAC地址分为两部分：1.前24位二进制表示供应商代码 2、后24位由厂商自己分配

交换寻址

如果交换机发现表中没有目的MAC地址，进行泛洪操作

泛洪：交换机根据收到数据帧中的源MAC地址建立该地址同交换机端口的映射，并将其写 入MAC地址表中。交换机将数据帧中的目的MAC地址同已建立的MAC地址表进行比较，以决定由哪个端口进行转发。如数据帧中的目的MAC地址不在MAC地址表中，则向所有端口转发。

STP（生成树协议）

因为交换网络的互联会造成网络环路，从而产生广播风暴

所以需要STP协议把环形结构变成树形结构（将物理上的环路网络，通过算法在逻辑上阻塞一些端口）

具体算法见https://blog.51cto.com/dengqi/1253320

Vlan(virtual LAN)

特点

在交换机上创建Vlan，将一个交换机分割出不同的广播域

一个VLAN中所有设备都是在一个广播域内；广播不能跨越VLAN传播

一个VLAN为一个逻辑子网；由被配置为此VLAN成员的设备组成，不同的VLAN间需要通过路由器实现相互通信

VLAN中成员多基于Switch端口号码，划分VLAN就是对Switch接口划分

VLAN工作于OSI参考模型的第二层

VLAN成员模式

静态VLAN：交换机上的端口以手动方式分配VLAN

动态VLAN：使用VMPS服务器可以根据连接到交换机端口的设备的源MAC地址，动态地将端口分配给VLAN

语音VLAN：将端口配置到语音模式可以使端口支持连接到该端口地IP电话

Trunk概念

当一条链路需要承载多VLAN信息时，需要使用trunk来实现(跨越交换机通信)

一般见于交换机之间或交换机与路由器之间

802.1Q

交换机之间对VLAN的分类要有共识（协议）

VLAN范围

0和4095不能使用

1默认VLAN能使用

2-1000能够创建、使用、删除

6、以太网链路聚合

指将多个物理端口汇聚在一起，形成一个逻辑端口，当交换机检测到其中一个成员端口的链路发生故障时，就停止在此端口上发送封包，并根据负荷分担策略在剩下的链路中重新计算报文的发送端口，故障端口恢复后再次担任收发端口。

优势

1.增加带宽 2.提高可靠性 3.负载分担

手工聚合

手工聚合可以完成多个物理接口聚合成一个Eth-Trunk口来提高带宽，同时能够检测到同一聚合组内的成员链路有断路等有限故障，但是无法检
测到链路层故障、链路错连等故障。

LACP聚合

为了提高Eth-Trunk的容错性，并且能提供备份功能，在聚合条件发生变化时，自动调整或解散链路聚合

7、ACL访问控制列表

访问控制列表(ACL)是应用在路由器接口的指令列表(即规则)。这些指令列表用来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。

功能

流量控制

匹配感兴趣流量

ACL类型

1、标准访问控制列表 Standard ACL

只能根据源地址做过滤，不能根据目的地进行相关动作

针对整个协议采取相关动作 Extended ACL

2、扩展访问控制列表

能根据源、目的地地址、端口号等等进行过滤

能允许或拒绝特定的协议

ACL操作

入站及出站，入站：进去时受ACL控制，出去时不受控制 出站同理

入站操作：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-kGwrCatT-1590743673339)(C:\Users\10145\AppData\Roaming\Typora\typora-user-images\image-20200528214502920.png)]

出站操作：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JouRksIV-1590743673342)(C:\Users\10145\AppData\Roaming\Typora\typora-user-images\image-20200528214648920.png)]

ACL语句

列表中语句按顺序查询匹配，如果匹配成功，则执行动作，下面不再匹配

匹配条件 执行动作（允许/拒绝）

只禁止A网段中的192.168.1.1-192.168.1.30 访问B网段的服务器2.200 扣除1.0和1.31

router(config)# access-list 100 deny ip 192.168.1.0 0.0.0.31 host 192.168.2.200

8、NAT 地址转换

IPv4地址分为A、B、C、D、E类

IPv4地址耗尽 缓解方法：1、DHCP（动态分配IP） 2、IPv6 3、NAT私有地址空间

私有地址

A 10.0.0.0 - 10.255.255.255 大型网络

B 172.16.0.0 - 172.31.255.255 中型网络

C 192.168.0.0 - 192.168.255.255 小型网络

NAT三种类型

1、静态NAT

将内部本地地址与内部全局地址进行一对一的明确转换

2、动态NAT

将内部本地地址与内部全局地址进行一对一的转换

在路由器中定义一个池，当有数据包发往公网，路由在已有闲置IP地址中分配给它，返回时根据已有映射将返回地址（路由器）替换成私有地址

3、端口复用

端口地址转换(Port Address Translation) IP:端口号

端口号：1-65535 用于区分内网PC

9、访问网站的全过程解析

为了安全，私网部署在防火墙后面进行防护

当电脑发送请求，通讯www.***.com

1、电脑获取IP地址 电脑发送请求到DNS服务器，DNS服务器通过表NS记录得到域名对应的IP地址发往PC 若DNS无能力解析域名，则再通过表A记录转发给能解析该域名的AD负载均衡服务器，根据DNS服务器的运营商返回对应的域名

2、发送数据包（源IP 谜目的IP 源端口 目的端口 协议） 电脑将目的地址和源地址进行运算，若不在同一网段，则查询路由表，若查不到则发往默认网关，默认网关进行NAT地址转换将源IP改成路由器公网IP地址，继续查路由表，若查不到则继续扔给路由器的默认网关，一跳一跳的发，就发到了目的服务器的AD

3、进行目的地址转换 通过AD服务器通过AD-DNAT将路由地址转换成私网地址，根据路由表将数据包发往私网地址

10、网络设备常见部署模式

部署模式

1、路由模式部署

网络接口地址属于不同网段

优点：支持的网络功能最全面

缺点：出现故障时，整个网络瘫痪，恢复难度大

2、网桥模式部署 直连

AC设备（上网行为管理），类似二层交换机 没有选路功能

优点：不需要进行路由配置，改造影响小

缺点：功能少

3、单臂模式部署 VPN功能

优点：通过该设备的功能不能用，其他网络流量没有影响

4、旁路模式部署

部署在上网主干道的旁边 对流量进行监听而不进行限制

优点：设备出问题对网络没有影响

通过表A记录转发给能解析该域名的AD负载均衡服务器，根据DNS服务器的运营商返回对应的域名

2、发送数据包（源IP 谜目的IP 源端口 目的端口 协议） 电脑将目的地址和源地址进行运算，若不在同一网段，则查询路由表，若查不到则发往默认网关，默认网关进行NAT地址转换将源IP改成路由器公网IP地址，继续查路由表，若查不到则继续扔给路由器的默认网关，一跳一跳的发，就发到了目的服务器的AD

3、进行目的地址转换 通过AD服务器通过AD-DNAT将路由地址转换成私网地址，根据路由表将数据包发往私网地址

10、网络设备常见部署模式

部署模式

1、路由模式部署

网络接口地址属于不同网段

优点：支持的网络功能最全面

缺点：出现故障时，整个网络瘫痪，恢复难度大

2、网桥模式部署 直连

AC设备（上网行为管理），类似二层交换机 没有选路功能

优点：不需要进行路由配置，改造影响小

缺点：功能少

3、单臂模式部署 VPN功能

优点：通过该设备的功能不能用，其他网络流量没有影响

4、旁路模式部署

部署在上网主干道的旁边 对流量进行监听而不进行限制

优点：设备出问题对网络没有影响

缺点：实现功能最少