网络安全基础
网络安全基础
如何将两个电脑连起来
通过网线,网卡
网线不够长,数据丢失
中继器
能够对信息进行中继,实现设备的放大,集线器,多口中继器,能够对信息进行中继和放大,会往其他所有接口泛洪,无法对终端主机进行隔离多个主机处于同一个**冲突域**中,采用集线器的网络,带宽利用率较低。
网桥
链路层产品,能够记录终端至极mac地址能够进行冲突域隔离,提高网络带宽利用率,不同接口之间数据不会互相冲突,
接口有限,默认是两个接口,
交换机
①交换机(Switch)是一种链路层产品,能够记录终端主机的MAC地址并生成MAC表(也称为CAM表),MAC表相当于“地图”,交换机根据MAC表转发主机之间的数据流。
②交换机是在网桥的基础上进行延伸和升级,相比网桥,主要有几个优势:接口数量更加密集(每个主机在独立的冲突域,带宽利用率大大提高)采用专用ASIC硬件芯片进行高速转发能够进行VLAN隔离(不仅仅可以隔离冲突域,而且通过VLAN隔离广播域)
③交换机是一种局域网产品(历史上有很多局域网技术,目前是以太网技术称霸),一般用于本地网络,无法实现远程广域网通信。
路由器
采用路由表实现数据转发
路由器主要用于连接不同局域网(可以是不同介质,如令牌网和以太网可以互通),实现广播域隔离,也可以用于远程通信(广域网连接)
跨介质跨地理的网络大融合成为现实
IP协议等逻辑寻址机制是实现不同类型局域网连通的关键
路由器在实现局域网之间通信时,会进行“介质翻转”和“路由转发”
无线AC/AP
无线AP(Access point)可以看成带有无线功能的交换机/路由器,随着无线城市、移动办公趋势,网络中无线产品的比例越来越多
胖AP,瘦AP,小型的无线网络(家用、小型企业)用胖AP即可解决,大型无线网络(无线城市、无线校园网)则需要用瘦AP方案)(AC+AP)来解决
防火墙
防火墙(Firewall)是一种网络安全产品,用于对网络进行安全访问限制,一般用在互联网边缘,防止外部黑客攻击。
根据防火墙的技术特征,可以分为包过滤、应用代理、状态检测防火墙;根据产品形态,可以分为软件和硬件防火墙。
可以看到例如路由协议、访问控制列表、地址翻转技术
是否有了防火墙,就可以不用路由器了呢?网络边界的路由器是可以直接代替为防火墙,但是防火墙和路由器可以在网络里面同时存在,例如将防火墙放在路由器之前或者之后都可以,这样的话,路由器侧重地址翻转和路由策略,防火墙侧重安全隔离等功能。
流控
网络中的流控(流量控制)产品主要分为上网行为管理、负载均衡器/应用交付、链路优化等
行为管理产品主要针对流量进行精细化区分控制;负载均衡/应用交付侧重流量的负载均衡(根据流量的特征、应用、地址等进行区分,然后分发到不同的链路和服务器上);链路优化主要应用在广域网等低速链路边界,最大化利用链路
家庭网络
小型创业公司网络![image-20220124092010079](image-20220124092010079.png)
园区网
政务网
数据中心
电信网
TCP/IP协议
概述
现在电脑都是安装TCP/IP栈通信
协议栈
OSI模型是一个理论框架,而TCP/IP协议栈是一个事实标准。
应用层:为用户提供软件接口,协议,HHTP,HTTPS,BT/P2P/QICQ
传输层,作用,用于实现数据可靠传输和不可靠传输,协议,TCP/UDP
网络层,提供IP地址和三层通信(路由器)功能,IP协议
链路层,提供MAC地址和二层通信(交换机)功能。Ethernet
封装和解封装
数据封装是一个为数据包加入寻地址信息的过程
端口号用于标志不同的应用程序,面向最终用户
ip地址用于标志通信设备,面向路由器
mac地址用于标志唯一的局域网设备面向交换机
Etherpnet协议
以太网协议,用于实现链路层的数据传输和地址封装
三个协议字段
Destination 目的字段,表示通信方的mac地址
souce源字段,标识发送端的mac地址
type,类型值,标志上层的协议
mac地址(网卡)
mac地址唯一的
mac16进制的
前半段是OUI代码,表示厂商,思科华为三星。。。
IP协议
1.任何能联网的设备都有唯一IP地址
2.IP可以被追踪
原理
通过IP协议栈实现网络通信,面向无连接和不可靠的传输功能
通信过程
①PC1在请求数据包里面封装源目IP地址,并将带有IP地址的数据包发送到互联网;
②互联网有大量的网络通信设备(例如路由器),路由器根据数据包的IP地址查找路由表(地图),然后以接力棒的 方式逐跳转发直到目标服务器;
③服务器收到请求数据后,将源目IP地址翻转,并封装回应数据包发送到互联网。
模拟快递员收寄件
快递收寄件:
①寄快递的时候,需要先写快递单,快递单要求写入寄件方和收件方的姓名和联系信息(电话号码、地址),写完之后,再将快递单贴在包裹上面。
②物流公司(或快递员)根据包裹的寄件地址,通过物流平台(飞机、长途货车、卡车)将包裹在省市中传输,直到收件方的城市。
③收快递的时候,快递员根据包裹收件地址,找到对应的街道或小区,然后通过电话联系并交付到我们手里。
总结:快递单相当于IP地址、快递包裹相当于数据包,物流公司/快递员相当于路由器/交换机。
实践内容
打开wireshark软件实现抓包
命令:ping 8.8.8.8
抓包
ip协议字段解读
【IP协议字段解读】
Version(版本号):标识IP协议的版本,目前V4版本地址已经枯竭,V6慢慢成为主流。
Header Length(头部长度):默认为20字节,最大为60字节。
Differentiated Services Field (服务区分符):用于为不同的IP数据包定义不同的服务质量,一般应用在QoS技术中。
Total Length (总长度):标识IP头部加上上层数据的数据包大小,IP包总长度最大为65535个字节。
Identification (标识符):用来实现IP分片的重组,标识分片属于哪个进程,不同进程通过不同ID区分。
Flags(标志符):用来确认是否还有IP分片或是否能执行分片。
Fragment offset (分片偏移量):用于标识IP分片的位置,实现IP分片的重组。
Time to live (生存时间):标识IP数据包还能生存多久,根据操作系统不同,TTL默认值不同,每经过一个三层设备如路由器的处理,则TTL减去1,当TTL=0时,则此数据包被丢弃。
Protocol (协议号):标识IP协议上层应用。当上层协议为ICMP时,协议号为1,TCP协议号为6,UDP的协议号为17。
Header checksum (头部校验):用于检验IP数据包是否完整或被修改,若校验失败则丢弃数据包。
Source(源IP地址):标识发送者IP地址,占用32bit。
Destination (目的IP地址):标识接收者IP地址,占用32bit。
我们可以看到IP头部默认有12个字段(后续会提到特殊字段),为了方便记忆,可以总结为7个核心知识点:
a.Source和Destination即IP源目地址字段,是IP协议最核心的字段;
b.Id+Flags+FO三个字段可以实现IP数据分片和重组;
c.Total Length和Header Length标记IP头部和上层数据的边界;
d.TTL生存时间字段可以实现通信防环;
e.DSCP服务区分符可以实现流量控制;
f.Checksum字段可以数据包完整性校验;
g.Protocol字段标记上层应用;
源目IP字段上面已经讲过,下面我们来对其他字段进行解读=>
TTL生存字段解读
TTL(Time to live)即生存时间,用于标识IP数据包"还能存活多久",这个生存值在发送方发送数据时便设置好了。不同电脑/操作系统的初始TTL是不同的,例如上图,便是我的Mac电脑发出的,默认值是64,其他一些系统是128或255。由于TTL值占用8个bit位,所以最大值是255(二进制11111111)。IP数据包每经过一个路由器或三层设备,TTL便会被减去1,而当TTL=0的时候,则代表此数据包"死亡",此时路由器便会向源发送者返回一个"TTL Exceed"的ICMP报错包。上图中,如果我的电脑到目标服务器超过了64跳,则这个数据包会中途被丢弃,无法到达目标地。
TTL值除了标识IP数据包的生存值之外,另外一个特别重要的功能便是"防止数据包环路",简称为"防环"。很多时候,由于工程师的疏忽,或者网络拓扑结构的复杂性,会出现一些有bug的网络环境,例如=>
![image-20220125101128623](image-20220125101128623.png)
上面便是一个经典的"环路拓扑",当电脑将数据包发送到互联网时,由于网络设备之间存在环路(Loop),所以数据包一直在里面绕起来,而不是发送到最右边的服务器。如果没有TTL,则这个数据包会一直存在于链路中,这样不仅占用网络带宽,并且浪费设备的处理器资源。若有大量的数据包存在网络中,则会拖垮其他人的正常通信。
DSCP字段解读
DSCP(Differentiated Services Field) 即服务区分符,用于为不同的IP数据包定义不同的服务质量。DSCP的前身叫做TOS(Type of Service,服务类型)。不管是TOS还是DSCP,它们都是QoS服务质量里面的技术实现。
说白了就是给VIP提供专线服务,没开通就没有这个服务
Checksum字段
用于校验数据的完整性
不同协议采取方法不同,IP协议中checksum只校验IP头部,没有数据部分
TCP/UDP校验头部和数据部分,校验没问题收并处理,有问题就丢弃
Protocol字段解读
无论是IT协议的Protocol字段,还是Ethernet以太网协议里面的Type字段,又或者是TCP/UDP协议里面的Port字段,这些字段的功能都是用于标识上层协议或应用。例如,ICMP协议号为1,TCP协议号为6,UDP的协议号为17
对于很多初学者来而,虽然知道了哪些协议号对应哪些上层应用,毕竟只要背熟了就好,但是我们还需要更深入的思考?例如,在IP协议里面加入协议号标识传输层协议,意义何在?
通过上面这张图我们可以看到,若PC1 PING PC2,则此时会采用ICMP协议,而ICMP协议对应的协议号是1。当PC2收到这个数据包时,拆开IP头部,则会看到协议号,根据协议号调用对应的上层协议或应用来进行上层数据处理。以这里例子来看,若PC2采用TCP或UDP来解开ICMP数据包,则无法正常解析,好比用word程序要打开一部mp4电影,肯定会有故障。而如果这里PC2根据协议号为1,调用ICMP协议来处理ICMP数据包,则可以正常解读并返回回应包。
所以,协议号(Protocol)、端口号(Port)、类型值(Type)这些的功能都是:标记上层协议/应用,告诉接收方,有正确的协议/应用来打开这个数据,功能相当于电脑文件的后缀名,告诉电脑用哪些应用程序来打开对应的文件。
ICMP协议
互联网信息控制协议,Internet Control Message Protocol
用于实现链路连通性测试和链路追踪,可以实现链路差错报告。
ICMP运行在传输层协议,服务于IP协议。
ICMP工具(基于ICMP协议开发的软件)
①Ping
②Traceroute/Tracert
2、PING:探测目的主机是否有问题,探测本地到目的的延迟等
Echo request 回显请求
Echo reply 回显应答
UDP协议
用户数据报协议,user datagram protocol 用于实现面向无连接不可靠协议
2.特征:
数据包结构非常简洁
处理速度快
实时交互
源端口:发送者端口
目标端口:目标服务器端口
数据包长度
校验
扩展
源端口属于随机高端口
1-1023是知名端口号,已经被占用
DNS协议(域名解析协议)
总结一点就是IP地址是面向主机的,而域名则是面向用户的
一个组织的系统管理机构, 维护系统内的每个主机的IP和主机名的对应关系
如果新计算机接入网络,将这个信息注册到数据库中
用户输入域名的时候,会自动查询DNS服务器,由DNS服务器检索数据库,得到对应的IP地址
我们可以通过命令查看自己的hosts文件:
域名解析过程
域名解析总体可分为一下过程:
(1) 输入域名后, 先查找自己主机对应的域名服务器,域名服务器先查找自己的数据库中的数据.
(2) 如果没有, 就向上级域名服务器进行查找, 依次类推
(3) 最多回溯到根域名服务器, 肯定能找到这个域名的IP地址
(4) 域名服务器自身也会进行一些缓存, 把曾经访问过的域名和对应的IP地址缓存起来, 可以加速查找过程
具体可描述如下:
1. 主机先向本地域名服务器进行递归查询
2. 本地域名服务器采用迭代查询,向一个根域名服务器进行查询
3. 根域名服务器告诉本地域名服务器,下一次应该查询的顶级域名服务器的IP地址
4. 本地域名服务器向顶级域名服务器进行查询
5. 顶级域名服务器告诉本地域名服务器,下一步查询权限服务器的IP地址
6. 本地域名服务器向权限服务器进行查询
7. 权限服务器告诉本地域名服务器所查询的主机的IP地址
8. 本地域名服务器最后把查询结果告诉主机
DHCP协议
动态主机配置协议,简单来说,DHCP就是一个不需要账号密码登录的、自动给内网机器分配IP地址等信息的协议。
原理
小结
DHCP报文种类
重点
发现包
提供包
请求包
回复包
TCP协议
功能
面向连接(三次握手,四次挥手)
可靠传输(经典重传,超时重传,快速重传/选择性重传)
流量控制(滑动窗口,拥塞管理)
多路复用(套接字)
wireshark 过滤语法
tcp.flags.syn == 1
tcp.flags.fin == 1
tcp.flags.ack == 1
可靠传输 SEQ序列号 ,ACK确认号,重传机制
流量控制
多路复用
一台机器上的应用可以有很多。但是实际的出口设备,比如说网卡、网线通常只有一份。因此这里需要用到一个叫作多路复用(Multiplex)的技术。多路复用,就是多个信号,复用一个信道。
tcp通过端口号(port)/套接(ip+port)实现多路复用
五元组
源目IP+源目Port+协议号 = 五元组