1、網(wǎng)絡(luò)協(xié)議,協(xié)議是對(duì)等的網(wǎng)絡(luò)實(shí)體之間通信的規(guī)則，可以簡(jiǎn)單地理解為網(wǎng)絡(luò)上各計(jì)算機(jī)彼此交流的一種“語(yǔ)言”。,TCP/IP協(xié)議,TCP/IP協(xié)議其實(shí)就是TCP以及IP等協(xié)議組合，即傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議，該協(xié)議在互聯(lián)網(wǎng)上使用的非常廣泛，主要用于在安裝了不同的硬件和不同的操作系統(tǒng)的計(jì)算機(jī)之間實(shí)現(xiàn)可靠的網(wǎng)絡(luò)通信。 TCP協(xié)議可以保證數(shù)據(jù)包傳輸?shù)目煽啃裕?IP協(xié)議可以保證數(shù)據(jù)包能被傳到目標(biāo)計(jì)算機(jī)。除了TCP、IP協(xié)議外，TCP/IP協(xié)議組合還包括有FTP、Telnet、SMTP等協(xié)議。,TCP協(xié)議,全稱Transmission Control Protocol（傳輸控制協(xié)議），該協(xié)議主要用于在主機(jī)間建立一

2、個(gè)虛擬連接，以實(shí)現(xiàn)高可靠性的數(shù)據(jù)包交換。 目前，幾乎所有的網(wǎng)絡(luò)通信設(shè)備和操作系統(tǒng)都支持TCP/IP協(xié)議。很多不同的廠家生產(chǎn)各種型號(hào)的計(jì)算機(jī)，它們運(yùn)行完全不同的操作系統(tǒng)，但TCP/IP協(xié)議組件允許它們互相進(jìn)行通信 TCP/IP起源于60年代末美國(guó)政府資助的一個(gè)分組交換網(wǎng)絡(luò)研究項(xiàng)目，被稱作“全球互聯(lián)網(wǎng)”或“因特網(wǎng)”(Internet)的基礎(chǔ),TCP/IP參考模型的具體協(xié)議情況,TCP/IP參考模型,Osi七層參考模型,應(yīng)用層：www，SMTP，DNS，F(xiàn)TP 傳輸層：解釋數(shù)據(jù) 網(wǎng)路層：定位IP地址、確定連接路徑 鏈路層：與硬件驅(qū)動(dòng)程序?qū)υ?分層,1. 鏈路層，有時(shí)也稱作數(shù)據(jù)鏈路層或網(wǎng)絡(luò)接口層，通常

3、包括操作系統(tǒng)中的設(shè)備驅(qū)動(dòng)程序和計(jì)算機(jī)中對(duì)應(yīng)的網(wǎng)絡(luò)接口卡。它們一起處理與電纜（或其他任何傳輸媒介）的物理接口細(xì)節(jié)。 對(duì)實(shí)際的網(wǎng)絡(luò)媒體的管理，定義如何使用實(shí)際網(wǎng)絡(luò)（如Ethernet、Serial Line等）來(lái)傳送數(shù)據(jù)。,2. 網(wǎng)絡(luò)層,2. 網(wǎng)絡(luò)層，有時(shí)也稱作互連網(wǎng)層，負(fù)責(zé)提供基本的數(shù)據(jù)封包傳送功能，讓每一塊數(shù)據(jù)包都能夠到達(dá)目的主機(jī)（但不檢查是否被正確接收），如網(wǎng)際協(xié)議（IP）,處理分組在網(wǎng)絡(luò)中的活動(dòng)，例如分組的路由選擇。在TCP/IP協(xié)議組件中，網(wǎng)絡(luò)層協(xié)議包括 IP協(xié)議（網(wǎng)際協(xié)議）， ICMP協(xié)議（Internet互連網(wǎng)控制報(bào)文協(xié)議）， IGMP協(xié)議（Internet組管理協(xié)議）。,inter

4、net控制消息協(xié)議ICMP是用于報(bào)告錯(cuò)誤并代表IP對(duì)消息進(jìn)行控制。 IP運(yùn)用互聯(lián)組管理協(xié)議IGMP來(lái)告訴路由器，某一網(wǎng)絡(luò)上指導(dǎo)組中的可用主機(jī)。,3. 運(yùn)輸層,3. 運(yùn)輸層:提供了節(jié)點(diǎn)間的數(shù)據(jù)傳送服務(wù),給數(shù)據(jù)包加入傳輸數(shù)據(jù)并把它傳輸?shù)较乱粚又?，這一層負(fù)責(zé)傳送數(shù)據(jù)，并且確定數(shù)據(jù)已被送達(dá)并接收。主要為兩臺(tái)主機(jī)上的應(yīng)用程序提供端到端的通信。在TCP/IP協(xié)議組件中，有兩個(gè)互不相同的傳輸協(xié)議：TCP（傳輸控制協(xié)議）和UDP（用戶數(shù)據(jù)報(bào)協(xié)議）。 TCP為兩臺(tái)主機(jī)提供高可靠性的數(shù)據(jù)通信。它所做的工作包括把應(yīng)用程序交給它的數(shù)據(jù)分成合適的小塊交給下面的網(wǎng)絡(luò)層，確認(rèn)接收到的分組，設(shè)置發(fā)送最后確認(rèn)分組的超時(shí)時(shí)鐘等。

5、由于運(yùn)輸層提供了高可靠性的端到端的通信，因此應(yīng)用層可以忽略所有這些細(xì)節(jié)。 UDP則為應(yīng)用層提供一種非常簡(jiǎn)單的服務(wù)。它只是把稱作數(shù)據(jù)報(bào)的分組從一臺(tái)主機(jī)發(fā)送到另一臺(tái)主機(jī)，但并不保證該數(shù)據(jù)報(bào)能到達(dá)另一端。任何必需的可靠性必須由應(yīng)用層來(lái)提供。dns,4. 應(yīng)用層,4. 應(yīng)用層:應(yīng)用程序間溝通的層,負(fù)責(zé)處理特定的應(yīng)用程序細(xì)節(jié)。向用戶提供了一組常用的應(yīng)用協(xié)議：HTTP，F(xiàn)TP，SMTP，POP3，SQL，IMAP，SNMP，DNS，Telnet和SSH。幾乎各種不同的TCP/IP實(shí)現(xiàn)都會(huì)提供下面這些通用的應(yīng)用程序： Telnet 遠(yuǎn)程登錄 FTP 文件傳輸協(xié)議 SMTP 用于電子郵件的簡(jiǎn)單郵件傳輸協(xié)議 S

6、NMP 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議,TCP/IP中的協(xié)議都具備什么樣的功能，都是如何工作的,1 IP 網(wǎng)際協(xié)議IP是TCP/IP的心臟，也是網(wǎng)絡(luò)層中最重要的協(xié)議。 IP層接收由更低層（網(wǎng)絡(luò)接口層例如以太網(wǎng)設(shè)備驅(qū)動(dòng)程序）發(fā)來(lái)的數(shù)據(jù)包，并把該數(shù)據(jù)包發(fā)送到更高層-TCP或UDP層；相反，IP層也把從TCP或UDP層接收來(lái)的數(shù)據(jù)包傳送到更低層。IP數(shù)據(jù)包是不可靠的，因?yàn)镮P并沒(méi)有做任何事情來(lái)確認(rèn)數(shù)據(jù)包是按順序發(fā)送的或者沒(méi)有被破壞。IP數(shù)據(jù)包中含有發(fā)送它的主機(jī)的地址（源地址）和接收它的主機(jī)的地址（目的地址）。,2. TCP,如果IP數(shù)據(jù)包中有已經(jīng)封好的TCP數(shù)據(jù)包，那么IP將把它們向上傳送到TCP層。TCP將包排

7、序并進(jìn)行錯(cuò)誤檢查，同時(shí)實(shí)現(xiàn)虛電路間的連接。TCP數(shù)據(jù)包中包括序號(hào)和確認(rèn)，所以未按照順序收到的包可以被排序，而損壞的包可以被重傳。 TCP將它的信息送到更高層的應(yīng)用程序，例如Telnet的服務(wù)程序和客戶程序。應(yīng)用程序輪流將信息送回TCP層，TCP層便將它們向下傳送到IP層，設(shè)備驅(qū)動(dòng)程序和物理介質(zhì)，最后到接收方。 面向連接的服務(wù)（例如Telnet、FTP、rlogin、X Windows和SMTP）需要高度的可靠性，所以它們使用了TCP。DNS在某些情況下使用TCP（發(fā)送和接收域名數(shù)據(jù)庫(kù)），但使用UDP傳送有關(guān)單個(gè)主機(jī)的信息。,3.UDP,UDP與TCP位于同一層，但對(duì)于數(shù)據(jù)包的順序錯(cuò)誤或重發(fā)。因

8、此，UDP不被應(yīng)用于那些使用虛電路的面向連接的服務(wù)，UDP主要用于那些面向查詢-應(yīng)答的服務(wù)，例如NFS。相對(duì)于FTP或Telnet，這些服務(wù)需要交換的信息量較小。使用UDP的服務(wù)包括NTP（網(wǎng)落時(shí)間協(xié)議）和DNS（DNS也使用TCP）。 用戶數(shù)據(jù)報(bào)協(xié)議UDP提供了無(wú)連接的數(shù)據(jù)報(bào)服務(wù)。它適用于無(wú)須應(yīng)答并且通常一次只傳送少量數(shù)據(jù)的應(yīng)用軟件。 欺騙UDP包比欺騙TCP包更容易，因?yàn)閁DP沒(méi)有建立初始化連接（也可以稱為握手）（因?yàn)樵趦蓚€(gè)系統(tǒng)間沒(méi)有虛電路），也就是說(shuō)，與UDP相關(guān)的服務(wù)面臨著更大的危險(xiǎn)。,4.ICMP,ICMP與IP位于同一層，它被用來(lái)傳送IP的的控制信息。它主要是用來(lái)提供有關(guān)通向目的地

9、址的路徑信息。 ICMP的Redirect信息通知主機(jī)通向其他系統(tǒng)的更準(zhǔn)確的路徑，而Unreachable信息則指出路徑有問(wèn)題。另外，如果路徑不可用了，ICMP可以使TCP連接體面地終止。 PING是最常用的基于ICMP的服務(wù)。,ARP協(xié)議,IP數(shù)據(jù)包一般通過(guò)以太網(wǎng)發(fā)送，以太網(wǎng)設(shè)備并不能直接識(shí)別IP地址，它們是以48位MAC（Media Access Address人介質(zhì)訪問(wèn)控制），地址作為以太網(wǎng)數(shù)據(jù)幀作為信源和信宿的地址，因此在以太網(wǎng)上傳輸數(shù)據(jù)時(shí)必須把接入網(wǎng)絡(luò)的IP地址轉(zhuǎn)換為主機(jī)的MAC地址。 ARP（Address Resolution Protocol，地址解析協(xié)議）的作用就是查詢IP地

10、址對(duì)應(yīng)的MAC地址的協(xié)議。,RARP協(xié)議,RARP（Reverse Addree Resolution Protocol，反向地址解析協(xié)議）的作用與ARP功能相反，是把MAC地址映射到IP地址。網(wǎng)絡(luò)工作站知道自己的MAC地址，可以向服務(wù)器發(fā)送RARP消息，請(qǐng)求自己的IP地址。這種操作主要用于IP地址動(dòng)態(tài)分配的網(wǎng)絡(luò)中。,應(yīng)用程序協(xié)議,1. 動(dòng)態(tài)主機(jī)配置協(xié)議（DHCP） 2. 域名系統(tǒng)（DNS） 3. 簡(jiǎn)單郵件傳輸協(xié)議（SMTP） 4. 郵局協(xié)議版本3（POP3） 5. 超文本傳輸協(xié)議（HTTP） 6. 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMP） 7. 文件傳輸協(xié)議（FTP） 8. （SSH） 9. 輕量目錄訪

11、問(wèn)協(xié)議（LDAP）,什么是SSH 傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序，如：ftp、POP和telnet在本質(zhì)上都是不安全的，因?yàn)樗鼈冊(cè)诰W(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，別有用心的人非常容易就可以截獲這些口令和數(shù)據(jù)。而且，這些服務(wù)程序的安全驗(yàn)證方式也是有其弱點(diǎn)的，就是很容易受到“中間人”（man-in-the-middle）這種方式的攻擊。 所謂“中間人”的攻擊方式，就是“中間人”冒充真正的服務(wù)器接收你傳給服務(wù)器的數(shù)據(jù)，然后再冒充你把數(shù)據(jù)傳給真正的服務(wù)器。服務(wù)器和你之間的數(shù)據(jù)傳送被“中間人”一轉(zhuǎn)手做了手腳之后，就會(huì)出現(xiàn)很嚴(yán)重的問(wèn)題。,從前，一個(gè)名為Tatu Yl?nen的芬蘭程序員開(kāi)發(fā)了一種網(wǎng)絡(luò)協(xié)議和服務(wù)軟件，稱為S

12、SH（Secure SHell的縮寫）。 通過(guò)使用SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密，這樣“中間人”這種攻擊方式就不可能實(shí)現(xiàn)了，而且也能夠防止DNS和IP欺騙。 還有一個(gè)額外的好處就是傳輸?shù)臄?shù)據(jù)是經(jīng)過(guò)壓縮的，所以可以加快傳輸?shù)乃俣取?SSH有很多功能，雖然許多人把Secure Shell僅當(dāng)作Telnet的替代物，但你可以使用它來(lái)保護(hù)你的網(wǎng)絡(luò)連接的安全。你可以通過(guò)本地或遠(yuǎn)程系統(tǒng)上的Secure Shell轉(zhuǎn)發(fā)其他網(wǎng)絡(luò)通信，如POP、X、PPP和FTP。你還可以轉(zhuǎn)發(fā)其他類型的網(wǎng)絡(luò)通信，包括CVS和任意其他的TCP通信。另外，你可以使用帶TCP包裝的Secure Shell，以加強(qiáng)連接的安全性

13、。除此之外，Secure Shell還有一些其他的方便的功能，可用于諸如Oracle之類的應(yīng)用，也可以將它用于遠(yuǎn)程備份和像SecurID卡一樣的附加認(rèn)證,2.SSH的工作機(jī)制 SSH分為兩部分：客戶端部分和服務(wù)端部分。 服務(wù)端是一個(gè)守護(hù)進(jìn)程(demon)，他在后臺(tái)運(yùn)行并響應(yīng)來(lái)自客戶端的連接請(qǐng)求。服務(wù)端一般是sshd進(jìn)程，提供了對(duì)遠(yuǎn)程連接的處理，一般包括公共密鑰認(rèn)證、密鑰交換、對(duì)稱密鑰加密和非安全連接。 客戶端包含ssh程序以及像scp（遠(yuǎn)程拷貝）、slogin（遠(yuǎn)程登陸）、sftp（安全文件傳輸）等其他的應(yīng)用程序。 他們的工作機(jī)制大致是本地的客戶端發(fā)送一個(gè)連接請(qǐng)求到遠(yuǎn)程的服務(wù)端，服務(wù)端檢查申請(qǐng)

14、的包和IP地址再發(fā)送密鑰給SSH的客戶端，本地再將密鑰發(fā)回給服務(wù)端，自此連接建立。剛才所講的只是SSH連接的大致過(guò)程，SSH 1.x和SSH 2.x在連接協(xié)議上還有著一些差異。 SSH被設(shè)計(jì)成為工作于自己的基礎(chǔ)之上而不利用超級(jí)服務(wù)器(inetd)，雖然可以通過(guò)inetd上的tcpd來(lái)運(yùn)行SSH進(jìn)程，但是這完全沒(méi)有必要。啟動(dòng)SSH服務(wù)器后，sshd運(yùn)行起來(lái)并在默認(rèn)的22端口進(jìn)行監(jiān)聽(tīng)（你可以用 # ps -waux | grep sshd 來(lái)查看sshd是否已經(jīng)被正確的運(yùn)行了）如果不是通過(guò)inetd啟動(dòng)的SSH，那么SSH就將一直等待連接請(qǐng)求。當(dāng)請(qǐng)求到來(lái)的時(shí)候SSH守護(hù)進(jìn)程會(huì)產(chǎn)生一個(gè)子進(jìn)程，該子進(jìn)

15、程進(jìn)行這次的連接處理。 但是因?yàn)槭馨鏅?quán)和加密算法的限制，現(xiàn)在很多人都轉(zhuǎn)而使用OpenSSH。OpenSSH是SSH的替代軟件，而且是免費(fèi)的， SSH是由客戶端和服務(wù)端的軟件組成的，有兩個(gè)不兼容的版本分別是：1.x和2.x。用SSH 2.x的客戶程序,IP協(xié)議,全稱Internet Protocol（互聯(lián)網(wǎng)協(xié)議），主要用于負(fù)責(zé)IP尋址、路由選擇和IP數(shù)據(jù)包的分割和組裝。通常我們所說(shuō)的IP地址可以理解為符合IP協(xié)議的地址。目前，我們常用的IP協(xié)議是IP協(xié)議的第四版本，即IPv4，是互聯(lián)網(wǎng)中最基礎(chǔ)的協(xié)議，于1981年在RFC 791中定義。,應(yīng)用：IPv4使用了32位地址，通常使用圓點(diǎn)分隔的4個(gè)十進(jìn)

16、制數(shù)字表示，比如。目前，IPv4最多支持4294967296（2的32次方）個(gè)地址連接到Internet。隨著互聯(lián)網(wǎng)的迅猛發(fā)展，IP地址的需求越來(lái)越大，在未來(lái)幾年有被用完的危機(jī)。,IP協(xié)議是通信子網(wǎng)的最高層，提供無(wú)鏈接的數(shù)據(jù)包傳輸機(jī)制。 IP協(xié)議本身提供的是不可靠的數(shù)據(jù)傳輸功能，并且沒(méi)有提供流量控制和差錯(cuò)控制功能。使用IP地址作為接收端和發(fā)送端計(jì)算機(jī)的位置信息。,IP協(xié)議可以進(jìn)行IP數(shù)據(jù)包的分割和組裝，但是通過(guò)IP協(xié)議并不能清楚地了解到數(shù)據(jù)包是否順利地發(fā)送給目標(biāo)計(jì)算機(jī)。 而使用TCP協(xié)議就不同了，在該協(xié)議傳輸模式中在將數(shù)據(jù)包成功發(fā)送給目標(biāo)計(jì)算機(jī)后，TCP會(huì)要求發(fā)送一個(gè)確認(rèn)

17、；如果在某個(gè)時(shí)限內(nèi)沒(méi)有收到確認(rèn)，那么TCP將重新發(fā)送數(shù)據(jù)包。另外，在傳輸?shù)倪^(guò)程中，如果接收到無(wú)序、丟失以及被破壞的數(shù)據(jù)包，TCP還可以負(fù)責(zé)恢復(fù)。,IP路由,在網(wǎng)絡(luò)中要實(shí)現(xiàn)IP路由必須使用路由器，路由器可以是專門的硬件設(shè)備，也可以將某臺(tái)計(jì)算機(jī)設(shè)置為路由器。不論用何種方式實(shí)現(xiàn)，路由器都是靠路由表來(lái)確定數(shù)據(jù)報(bào)的流向的。IP路由表中保存了網(wǎng)絡(luò)IP地址與路由器端口的對(duì)應(yīng)關(guān)系。當(dāng)路由器接收到一個(gè)數(shù)據(jù)報(bào)時(shí)，便查詢路由表，判斷目的地址是否在路由表中，如果是，則直接送交該網(wǎng)絡(luò)，否則轉(zhuǎn)交其他網(wǎng)絡(luò)，直到最后到達(dá)目的地。 計(jì)算機(jī)A、B就是通過(guò)若干路由器來(lái)完成彼此之間的信息交換的。 在TCP/IP網(wǎng)絡(luò)中，IP路由器又叫

18、IP網(wǎng)關(guān)。每一個(gè)結(jié)點(diǎn)都有自己的網(wǎng)關(guān)。,返回,路由器的作用示意圖,返回,域名,為了使用和記憶方便，因特網(wǎng)還采用了域名管理系統(tǒng)，簡(jiǎn)稱DNS（Domain Name System），在IP地址之外，網(wǎng)上的計(jì)算機(jī)還有另一種表示法：域名，它是由代表一定意義的英文單詞的縮寫構(gòu)成，如：,返回,DNS域名結(jié)構(gòu),域名是一種按一定規(guī)律書(shū)寫的、用戶容易理解、容易記憶的Internet地址。 Internet上一臺(tái)主機(jī)的主機(jī)名是由它所屬的各級(jí)域的域名和分配給該主機(jī)的名字共同構(gòu)成的。書(shū)寫的時(shí)候，頂級(jí)域名放在最右面，各級(jí)名字之間有“.”隔開(kāi)。 域名是有層次的。 Internet主機(jī)域名的一般格式為：四級(jí)域名.三級(jí)域名.二

19、級(jí)域 名.頂級(jí)域名（并不一定分四級(jí)）如：。 頂級(jí)的域名劃分采用了兩種模式：地理模式、 組織模式 域名服務(wù)器,返回,地理模式,頂級(jí)域名表示國(guó)家，次級(jí)域名表示該網(wǎng)絡(luò)的屬性。見(jiàn)下表所示： 返回,組織模式,在組織模式中，頂級(jí)域名表示該 網(wǎng)絡(luò)的屬性 返回,IPv6協(xié)議,全稱Internet Protocol Version 6，即IP協(xié)議的6.0版本，通常又稱為下一代互聯(lián)網(wǎng)協(xié)議，IPv6是Internet工程任務(wù)組（IETF）開(kāi)發(fā)設(shè)計(jì)的用來(lái)替代現(xiàn)行IPv4協(xié)議的一種新IP協(xié)議。IPv6和IPv4作用大致相同，開(kāi)發(fā)的目的主要是為了緩解IPv4地址空間的壓力，另外還彌補(bǔ)了IPv4協(xié)議的一些問(wèn)題，包括端對(duì)端IP連接、服務(wù)質(zhì)量（Q