广工研究生计算机网络复习知识点

第一章：网络体系结构

(基本概念要清晰)，新技术

未来网络发展的趋势，目前新的发展（如移动互联网、物联网、CDN、SDN等）跟网络体系结构结合起来进行讨论。

1、网络体系结构基本概念

网络体系结构是指通信系统的整体设计，它为网络硬件、软件、协议、存取控制和拓扑提供标准。它是计算机之间相互通信的层次，以及各层中的协议和层次之间接口的集合。目前广泛采用的是国际标准化组织（ISO）在1979年提出的开放系统互连（OSI-Open System Interconnection)的参考模型。

OSI参考模型本身并不是一个网络体系结构，因为它并没有定义每一层的服务和所用的协议。它只是指明了每一层应该做些什么事。

OSI参考模型

物理层：关注在一条通信信道上传输原始比特。主要设备有中继器、集线器、适配器。

数据链路层：主要任务是将一个原始的传输设施变成一条没有漏检传输有误的线路。

网络层：主要功能是控制子网的运行。

传输层：基本功能是接收上一层的数据，在必要的时候把这些数据分割成较小的单元，然后把这些数据单元传递给网络层，并且确保这些数据单元正确地到达另一端。

会话层：允许不同机器上的用户建立会话，并提供多种服务，包括对话控制，令牌管理以及同步功能。

表示层：关注的是所传递信息的语法和语义。

应用层：包含了用户通常需要的各种各样的协议。

TCP/IP参考模型

互联网层：主要任务是允许主机数据将数据注入到任何网络，并且让这些数据独立地到达到接收方。

传输层：允许源主句和目标主机上的对等实体进行对话，犹如OSI的传输层一样。

应用层：包含了所有高层协议。

2、4G移动系统网络

移动系统网络结构可分为三层：物理网络层、中间环境层、应用网络层。物理网络层提供接入和路由选择功能，它们由无线和核心网的结合格式完成。中间环境层的功能有QoS 映射、地址变换和完全性管理等。物理网络层与中间环境层及其应用环境之间的接口是开放的，它使发展和提供新的应用及服务变得更为容易，提供无缝高数据率的无线服务，并运行于多个频带.

3、物联网

物联网就是物物相连的互联网。它是通过各种信息传感设备，实时采集任何需要监控、连接、互动的物体或过程等各种需要的信息，与互联网结合形成的一个巨大网络。其具有：智能、先进、互联的三个重要特征。构成物联网产业五个层级的支撑层、感知层、传输层、

4、CDN

CDN构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。

5、SDN

SDN网络称为软件定义网络，是网络虚拟化的一种实现方式，其核心技术OpenFlow通过将网络设备控制面与数据面分离开来，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能。

第四章：介质访问控制

前面讨论过的协议（P202-P214）

无线网（P231-P240）

RFID(P253- P256)

第五章：网络层（40分）

路由协议（P279 - P300）

1、RIP协议

RIP协议是一种内部网关协议（IGP），是一种动态路由选择协议，用于自治系统（AS）内的路由信息的传递。RIP协议基于距离矢量算法（DistanceVectorAlgorithms），使用“跳数”(即metric)来衡量到达目标地址的路由距离。这种协议的路由器只关心自己周围的世界，只与自己相邻的路由器交换信息，范围限制在15跳(15度)之内，再远，它就不关心了。

2、OPSF协议

OSPF是一个内部网关协议(Interior Gateway Protocol，简称IGP），用于在单一自治系统内决策路由。是对链路状态路由协议的一种实现，隶属内部网关协议（IGP），故运作于自治系统内部。著名的迪克斯加算法(Dijkstra)被用来计算最短路径树。OSPF分为OSPFv2和OSPFv3两个版本,其中OSPFv2用在IPv4网络，OSPFv3用在IPv6网络。与RIP相比，OSPF 是链路状态协议，而RIP是距离矢量协议。

3、BGP协议

边界网关协议（BGP）是运行于TCP 上的一种自治系统的路由协议。BGP 是唯一一个用来处理像因特网大小的网络的协议，也是唯一能够妥善处理好不相关路由域间的多路连接的协议。BGP 系统的主要功能是和其他的BGP 系统交换网络可达信息。网络可达信息包括列出的自治系统（AS）的信息。这些信息有效地构造了AS 互联的拓朴图并由此清除了路由环路，同时在AS 级别上可实施策略决策。

4、路由聚合

路由聚合（也叫汇总）是让路由选择协议能够用一个地址通告众多网络，旨在缩小路由器中路由选择表的规模，以节省内存，并缩短IP对路由选择表进行分析以找出前往远程网络的路径所需的时间。

1）将各子网地址的网段以二进制写出。

2）比较，从第1位比特开始进行比较，将从开始不相同的比特到末尾位填充为0。由此得到的地址为汇总后的网段的网络地址，其网络位为连续的相同的比特的位数。

假设下面有4个网络:

172.18.129.0/24172.18.130.0/24172.18.132.0/24172.18.133.0/24

如果这四个进行路由汇聚,能覆盖这四个网络的汇总地址是:172.18.128.0/21

算法为：129的二进制代码是10000001

130的二进制代码是10000010

132的二进制代码是10000100

133的二进制代码是10000101

这四个数的前五位相同都是10000，所以加上前面的172.18这两部分相同的位数，网络号就是8+8+5=21。而10000 000的十进制数是128，所以，路由汇聚的Ip地址就是172.18.128.0。所以最终答案就是172.18.128.0/21

路由表

局域网1：202.118.1.0/25

局域网2：202.118.1.128/25

服务质量（P311- P324）

可靠性、延迟、抖动、带宽。这四个特征合起来决定了一个流所要求的服务质量。

相关的算法协议（P335- P374）

1、漏桶算法

1）若数据包到达的速率-漏桶流出的速率≤配置的漏桶突发速率，则数据包可被不延时的送出。

2）若数据包到达的速率-漏桶流出的速率>配置的漏桶突发速率，则多余的数据包被存储到

漏桶中。暂存在漏桶中的数据包在不超过漏桶容量的情况下延时发出。

3）若数据包到达的速率-漏桶流出的速率>配置的漏桶突发速率，且数据包的数量已经超过漏桶的容量，则这些数据包将被丢弃。

2、令牌桶算法

假如用户配置的平均发送速率为r，则每隔1/r秒一个令牌被加入到桶中；

假设桶最多可以存发b个令牌。如果令牌到达时令牌桶已经满了，那么这个令牌会被丢弃；当一个n个字节的数据包到达时，就从令牌桶中删除n个令牌，并且数据包被发送到网络；如果令牌桶中少于n个令牌，那么不会删除令牌，并且认为这个数据包在流量限制之外；算法允许最长b个字节的突发，但从长期运行结果看，数据包的速率被限制成常量r。对于在流量限制外的数据包可以以不同的方式处理：

它们可以被丢弃；

它们可以排放在队列中以便当令牌桶中累积了足够多的令牌时再传输；

它们可以继续发送，但需要做特殊标记，网络过载的时候将这些特殊标记的包丢弃。两者区别

漏桶算法能够强行限制数据的传输速率，而令牌桶算法能够在限制数据的平均传输速率的同时还允许某种程度的突发传输。

3、RSVP协议

rsvp(资源预留协议)是一个在ip上承载的信令协议，它允许路由器网络任何一端上终端系统或主机在彼此之间建立保留带宽路径，为网络上的数据传输预定和保证服务质量。它对于需要保证带宽和时延的业务，如语音传输，视频会议等具有十分重要的作用。

第八章

网络安全基本概念，网络安全区域，安全级别，重放的攻击，拒绝服务的攻击，防火墙方案，访问控制列表的规则，配置方案

1、网络安全基本概念

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络安全问题有以下4个特性，保密性、完整性、可用性、可控性、可审查性

2、网络安全区域

网络安全级别

分为A、B(B1、B2、B3)、C(C1、C2)、D等4类7个安全级别。

(1)D类：最低保护(minimal protection)，未加任何实际的安全措施。这是最低的一类，不再分级。常见的无密码保护的个人计算机系统属于这一类。

(2)C类：被动的自主访问策略(discretionary access policy enforced)，分以下两个子类。

·C1：无条件的安全保护。这是C类中较低的一个子类，提供的安全策略是无条件的访问控制，具有识别与授权的责任。早期的UNIX系统属于这一类。

·C2：有控制的存取保护。这是C类中较高的一个子类，除了提供C1中的策略与责任外，还有访问保护和审计跟踪功能。

(3)B类：被动的强制访问策略(mandatory access policy enforced)，属强制保护，要求系统在其生成的数据结构中带有标记，并要求提供对数据流的监视，B类又分3个子类。

·B1：标记安全保护，是B类中最低的子类。除满足C类要求外，要求提供数据标记。·B2：结构安全保护，是B类中的中间子类。除满足B1要求外，要实行强制性的控制。·B3：安全域保护，是B类中的最高子类，提供可信设备的管理和恢复。即使计算机系统崩溃，也不会泄露系统信息。

(4)A类：经过验证的保护(formally proven)，是安全系统等级的最高类。

网络安全区域

网络安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样的安全策略。广义可理解为具有相同业务要求和安全要求的IT系统要素的集合。

网络安全域从大的方面分一般可划分为四个部分：本地网络、远程网络、公共网络、伙伴访问。而在不同的安全域之间需要设置防火墙以进行安全保护。

重放攻击

重放攻击(Replay Attacks)又称重播攻击、回放攻击，是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。攻击者利用网络监听或者其他方式盗取认证凭据，之后再把它重新发给认证服务器。

拒绝服务攻击

拒绝服务攻击，英文名称是Denial of Service，简称DOS，即拒绝服务,造成其攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击。带宽攻击指以极大的通信量冲击网络，使得所有可用网络资源都被消耗殆尽, 最后导致合法的用户请求无法通过。

防火墙方案，访问控制列表的规则，配置方案

ACL访问控制列表：

应用在路由器接口的指令列表；指定哪些数据包可以接受，哪些需要拒绝

访问控制列表(ACL) 使用包过滤技术，在路由器上读取第3层或第4层包头中的信息，如源地址、目的地址、源端口、目的端口以及上层协议等，根据预先定义的规则决定哪些数据包可以接收、哪些数据包需要拒绝，从而达到访问控制的目的。

ACL用途：

a限制网络流量，提高网络性能b. 检查和过滤数据包c. 提供网络访问的基本安全级别d. 限制或减少路由更新的内容

配置ACL的原则

1）顺序处理原则。对ACL表项的检查是按照自上而下的顺序进行的，从第一行起，直到找到第一个符合条件的行为止，其余的行不再继续比较。因此必须考虑在访问控制列表中放入语句的次序，常用的语句最好放在ACL的最顶部。

2）最小特权原则。对ACL表项的设置应只给受控对象完成任务所必须的最小的权限。如果没有ACL，则等于permit any。一旦添加了ACL，默认在每个ACL中最后一行为隐含的拒绝(deny any)。如果之前没找到一条许可(permit)语句，意味着包将被丢弃。所以每个ACL 必须至少有一行permit语句，除非用户想将所有数据包丢弃。

3）最靠近受控对象原则。尽量考虑将扩展的ACL放在靠近源地址的位置上。这样创建的过

滤器就不会反过来影响其他接口上的数据流。另外，尽量使标准的ACL靠近目的地址，由于标准ACL只使用源地址，如果将其靠近源会阻止报文流向其他端口。

ACL的标识

1、数字命名方式

1）使用不同的数字范围代表不同的ACL

2）对于一个新的ACL，可以选择不同的数字，只要其在协议数字范围之内。

命令格式：access-list list-number 规则

使用命令：no access-list list-number 就可以删除整个ACL的指令，它不允许只删除该ACL 的某一条指令。

2、命令格式：

Router(config)# ip access-list {extended | standard} 名称

配置标准ACL

1. 定义标准ACL

Router(config)# access-list access-list-number {deny | permit} source [source-wildcard] [log]

其中的参数见表9.1

2．将标准ACL应用到某一接口上

Router(config-if)#ip access-group access-list-number { in | out }

其中，参数in和out表示ACL作用在接口上的方向，两者都是以路由器作为参照物的，如果in和out都没有指定，那么默认为out。

注意：在每个接口、每个协议、每个方向上只能有一个访问控制列表。

3. 删除已建立的标准ACL

Router(config)#no access-list access-list-number

关于通配符掩码的使用说明

表示成4位点分十进制形式。默认的通配符掩码为0.0.0.0。

在通配符掩码位中，0表示“检查相应的位”，而1表示“不检查(忽略)相应的位”。

比如，源地址和通配符掩码为172.16.30.0 0.0.0.255，表示路由器前3个8位组必须精确匹配，最后1个8位组的值可以任意。

再如，如要指定IP地址为从172.16.16.0到172.16.31.0之间的所有子网，则通配符掩码为0.0.15.255 (31-16=15)。

any可以表示任何IP地址，例如：

Router(config)# access-list 10 permit any

host表示一台主机，例如：

Router(config)# access-list 10 permit host 172. 16. 30.22

标准ACL配置示例一

某企业销售部、市场部的网络和财务部的网络通过路由器RTA和RTB相连，整个网络配置RIPv2路由协议，保证网络正常通信。要求在RTB上配置标准ACL，允许销售部的主机PC1访问路由器RTB，但拒绝销售部的其他主机访问RTB，允许销售部、市场部网络上所有其他流量访问RTB。

(1) 配置标准ACL

在路由器上RTB上配置如下：

RTB(config)#access-list 1 permit host 172.16.10.10

RTB(config)#access-list 1 deny 172.16.10.0 0.0.0.255

RTB(config)#access-list 1 permit any

RTB(config)#interface s0/0/0

RTB(config-if)#ip access-group 1 in

(2) 验证标准ACL

1）show access-lists命令

RTB# show access-lists

2）show ip interface命令

RTB# show ip interface

标准ACL配置示例二

利用标准ACL限制虚拟终端访问的问题。配置一个VTY访问控制列表，只允许网络192.168.1.0/24中的主机192.168.1.100 telnet路由器RTA。

RTA(config)# access-list 10 permit host 192.168.1.100

RTA(config)# line vty 0 4

RTA(config-line)# password cisco

RTA(config-line)# login

RTA(config-line)# access-class 10 in

注意：

在配置接口的访问时可以使用数字表号的或者命名的ACL

只有数字的访问列表才可以应用到虚拟连接中

用户可以连接所有的VTY，因此所有的VTY连接都应用相同的ACL

某企业销售部的网络和财务部的网络通过路由器RTA和RTB相连，整个网络配置RIPv2路由协议，保证网络正常通信。要求在RTA上配置扩展ACL，实现以下4个功能：

(1)允许销售部网络172.16.10.0的主机访问WWW Server 192.168.1.10；

(2)拒绝销售部网络172.16.10.0的主机访问FTP Server 192.168.1.10；

(3)拒绝销售部网络172.16.10.0的主机Telnet路由器RTB；

(4)拒绝销售部主机172.16.10.10Ping路由器RTB。

RTA(config)# access-list 100 permit tcp 172.16.10.0 0.0.0.255 host 192.168.1.10 eq 80

RTA(config)# access-list 100 deny tcp 172.16.10.0 0.0.0.255 host 192.168.1.10 eq 20

RTA(config)# access-list 100 deny tcp 172.16.10.0 0.0.0.255 host 192.168.1.10 eq 21

RTA(config)# access-list 100 deny tcp 172.16.10.0 0.0.0.255 host 12.12.12.2 eq 23

RTA(config)# access-list 100 deny tcp 172.16.10.0 0.0.0.255 host 192.168.1.2 eq 23

RTA(config)# access-list 100 deny icmp host 172.16.10.10 host 12.12.12.2

RTA(config)# access-list 100 deny icmp host 172.16.10.10 host 192.168.1.2

RTA(config)# access-list 100 permit ip any any

RTA(config)# interface f0/0

RTA(config-if)#ip access-group 100 in

防火墙功能：

1）内外网络隔离：截取IP包，根据安全策略控制其进/出；双向网络地址转换（NA T）；基于一次性口令对移动访问进行身份识别和控制；IP MAC捆绑，防止IP地址的滥用；2）安全记录：

通信事件记录；操作事件记录；违规事件记录；异常情况告警

网络层防火墙：包过滤防火墙、NAT防火墙

应用层防火墙：应用网关、电路级网关

硬件防火墙与软件防火墙：硬件防火墙是指软件固化在存储器芯片中的防火墙；所谓软件防火墙则是指需要安装在通用计算机上才能使用的防火墙软件

路由器的防火墙功能：路由器的防火墙功能主要是基于包过滤和网络地址转换NAT