TCP/IP详解学习笔记

【TCP/IP详解学习笔记（1）基本概念】

为什么会有TCP/IP协议？

计算机型号多种多样，并且运行于不同操作系统。虽然电线把计算机连接到了一起，但是这些计算机无法“交流”，所以需要定义一些东西来让这些计算机交流，TCP/IP因此而生。

TCP/IP协议分层

提到分层，我们很容易想到OSI的七层参考模型。TCP/IP协议族的层次有些不同。

应用层：

- Telnet远程登录
- FTP文件传输协议
- SMTP简单邮件传送协议
- SNMP简单网络管理协议

基本知识点

路由器与网桥

  路由器的好处是为不同类型的物理网络提供连接：以太网、令牌环网、点对点的链接和FDDI（光纤分布式数据接口）。路由器是在网络层上对网络进行互联，网桥是在链路层上对网络进行互联

互联网地址

  网络上的每个接口都必须有一个唯一的Internet地址（也称作IP地址），IP地址是网络号+主机号

域名系统

  DNS是一个分布式数据库，提供IP地址和主机名之间的映射信息

端口号

  这个号码是用在TCP，UDP上的一个逻辑号码，并不是一个硬件端口，我们平时说把某某端口封掉了，也只是在IP层次把带有这个号码的IP包给过滤掉了而已。

RFC
```
  RFC是tcp/ip协议的标准文档
```

应用编程接口

  现在常用的编程接口有socket和TLI。而前面的有时候也叫做“Berkeley socket”，可见Berkeley对于网络的发展有多大的贡献。

以太网

  以太网不是一种具体网络，是一种技术规范。以太网是当今现有局域网采用的最通用的通信协议标准，该标准定义了在局域网中采用的电缆类型和信号处理方法。以太网络使用CSMA/CD（载波监听多路访问及冲突检测）技术，并以10M/S的速率运行在多种类型的电缆上。

TCP/IP中，网络层和运输层之间的区别是最为关键的：网络层（IP）提供点到点的服务，而运输层（TCP和UDP）提供端到端的服务
计算机互联构成计算机网络
计算机网络互连构成因特网

【TCP/IP详解学习笔记（2）链路层】

数据链路层三个目的：

为IP模块发送和接收IP数据报
为ARP模块发送ARP请求和接收ARP应答
为RARP发送RARP请求和接收RARP应答

以太网（Ether-net）是指数字设备公司（ Digital Equipment Corp.）、英特尔公司（Intel Corp.）和Xerox公司在1982年联合公布的一个标准，这个标准里面使用了一种称作CSMA/CD的接入方法。而IEEE802提供的标准集802.3(还有一部分定义到了802.2中)也提供了一个CSMA/CD的标准。这两个标准稍有不同，TCP/IP协议对这种情况的处理方式如下:

以太网的IP数据报封装在RFC894中定义，而IEEE802网络的IP数据报封装在RFC1042中定义。
一台主机一定要能发送和接收RFC894定义的数据报。
一台主机可以接收RFC894和RFC1042的封装格式的混合数据报。
一台主机也许能够发送RFC1042数据报。。如果主机能同时发送两种类型的分组数据，那么发送的分组必须是可以设置的，而且默认条件下必须是RFC 894分组。

可见，RFC1042在TCP/IP里面处于一个配角的地位。

SLIP

是一种在串行线路上对IP数据报进行封装的简单形式，SLIP适用于家庭中每台计算机几乎都有的RS-232串行端口和告诉调制解调器介入Internet

PPP(Point-to-Point Protocol)协议是在SLIP的基础上发展起来的,它是TCP/IP网络协议的一员，PPP是TCP/IP的扩展，它增加了两个额外的功能组：

（1）它可以通过串行接口传输TCP/IP包
（2）它可以安全登录

环回接口

loopback接口，在网络设备上是一种特殊的接口，它不是物理接口，而是一种看不见摸不着的逻辑接口（虚拟接口）

详细见这

最大传输单元MTU

各类型的网络对数据帧的长度都有一个限制，链路层的这个特性称作MTU,即最大传输单元

路径MTU

两台通信主机中最小的MTU，被称作路径MTU

【TCP/IP详解学习笔记（3）IP协议，ARP协议、RARP协议】

这三个协议处于同一层

IP协议

IP ：不可靠无连接

不可靠：不能保证IP数据报能成功到达目的地（错误处理方式：丢弃数据报，然后发送ICMP消息给信源端）
无连接：IP并不维护任何关于后续数据报的状态信息

看下图：

4位版本：IPV4

首部长度：单位是32位字，即4字节，首部长度占4位，可表示最大十进制是15，首部长度达到最大值60字节

TOS：3bit优先权子字段（已被忽略）+4bitTOS子字段+1bit未用位（必须置0）
4bit的TOS分别代表：最小时延、最大吞吐量、最高可靠性和最小费用

总长度字段：整个IP数据报的长度，以字节位单位，该字段长16bit，所以IP数据报最长可达65535

TTL：time-to-live，某个数据报每穿过一个路由器，它的值就减1，当数据报的TTL称为零，它就被自动抛弃（说明了IP协议包的不可靠性）

选项：
	（1）安全和处理限制
	（2）记录路径（让每个路由器都记下它的IP地址）
	（3）时间戳
	（4）宽松的源站选路
	（5）严格的源站选路

IP路由选择

主要完成以下功能：

（1）搜索路由表，先寻找与目的IP匹配的表目，若找到，则把报文发送给该表目指定的下一站路由器或直接连接的网络接口（根据路由表标志字段的值）
（2）搜索路由表，寻找与目的网络号匹配的条目，若找到，则把报文发送给该表目指定的下一站路由器或直接连接的网络接口（根据路由表标志字段的值）
（3）搜索路由表，寻找“默认”条目，若找到，把报文发送给该表目指定的下一站路由

如果都失败了，丢弃

ip路由选择通过逐跳来实现。数据报在各站传输过程中目的IP地址始终不变，但是封装和目的链路层地址在每一站都可以改变

子网寻址

IP地址定义是网络号+主机号。但是现在所有主机都要求子网编址，即把主机号再细分为子网号+主机号，最终一个IP地址就是网络号+子网号+主机号。

子网掩码

用于让主机知道有多少比特给了子网号，有多少比特给了主机号。值为1的比特留给网络号和子网号，为0的比特留给主机号。

两个重要的命令

获取接口和网络的信息

ifconfig

netstat

ARP协议

将IP地址转换成物理地址

假设A与B通信：

主机A的IP地址为192.168.1.1，MAC地址为0A-11-22-33-44-01；
主机B的IP地址为192.168.1.2，MAC地址为0A-11-22-33-44-02；

第1步：根据A上的路由表内容，IP确定访问B的转发IP地址是192.168.1.2。然后A在自己的本地**ARP缓存**中检查B的匹配MAC地址。

第2步：如果A在ARP缓存中没有找到映射，它将询问192.168.1.2的硬件地址，从而将ARP请求帧广播到本地网络上的所有主机。源主机A的IP地址和MAC地址都包括在ARP请求中。本地网络上的每台主机都接收到ARP请求并且检查是否与自己的IP地址匹配。如果主机发现请求的IP地址与自己的IP地址不匹配，它将丢弃ARP请求。

第3步：主机B确定ARP请求中的IP地址与自己的IP地址匹配，则将主机A的IP地址和MAC地址映射添加到本地ARP缓存中。

第4步：主机B将包含其MAC地址的ARP回复消息直接发送回主机A。

第5步：当主机A收到从主机B发来的ARP回复消息时，会用主机B的IP和MAC地址映射更新ARP缓存。本机缓存是有生存期的，生存期结束后，将再次重复上面的过程。主机B的MAC地址一旦确定，主机A就能向主机B发送IP通信了。

【TCP/IP详解学习笔记（4）ICMP报文，ping程序、traceroute程序】

ICMP

IP协议并不是一个可靠的协议，它不保证数据被送达，那么，自然的，保证数据送达的工作应该由其他的模块来完成。其中一个重要的模块就是ICMP(网络控制报文)协议。

ICMP封装在IP数据报内部，当传送IP数据包发生错误－－比如主机不可达，路由不可达等等，ICMP协议将会把错误信息封包，然后传送回给主机。给主机一个处理错误的机会，这也就是为什么说建立在IP层以上的协议是可能做到安全的原因。ICMP数据包由8bit的错误类型和8bit的代码和16bit的校验和组成。而前 16bit就组成了ICMP所要传递的信息。书上的图6－3清楚的给出了错误类型和代码的组合代表的意思。

尽管在大多数情况下，错误的包传送应该给出ICMP报文，但是在特殊情况下，是不产生ICMP错误报文的。如下：

1. ICMP差错报文不会产生ICMP差错报文（除IMCP查询报文）（防止IMCP的无限产生和传送）

2. 目的地址是广播地址或多播地址的IP数据报。

3. 作为链路层广播的数据报。

4. 不是IP分片的第一片。

5. 源地址不是单个主机的数据报。这就是说，源地址不能为零地址、环回地址、广播地 址或多播地址。

虽然里面的一些规定现在还不是很明白，但是所有的这一切规定，都是为了防止产生ICMP报文的无限传播而定义的。

ICMP的应用ping

大多数TCP/IP实现都在内核中直接支持ping服务器——这种服务器不是一个用户进程

ping还给我们一个看主机到目的主机的路由的机会。这是因为，ICMP的ping请求数据报在每经过一个路由器的时候，路由器都会把自己的ip放到该数据报中。而目的主机则会把这个ip列表复制到回应icmp数据包中发回给主机。但是无论如何，ip头所能纪录的路由列表是非常的有限。如果要观察路由，我们还是需要使用更好的工具，就是要讲到的Traceroute(windows下面的名字叫做tracert)。

ICMP的应用Traceroute

Traceroute是用来侦测主机到目的主机之间所经路由情况的重要工具，也是最便利的工具。

Traceroute原理：

它收到目的主机的IP后，首先给目的主机发送一个TTL=1的UDP数据包，而经过的第一个路由器收到这个数据包以后，就自动把TTL减1，而TTL变为0以后，路由器就把这个包给抛弃了，并同时产生一个主机不可达的ICMP数据报给主机。主机收到这个数据报以后再发一个TTL=2的UDP数据报给目的主机，然后刺激第二个路由器给主机发ICMP数据报。如此往复直到到达目的主机。这样，traceroute就拿到了所有的路由器ip。从而避开了ip头只能记录有限路由IP的问题。

这过程中涉及到一个问题，即：如何判断UDP有没有到达目的主机呢？

traceroute使用了一个技巧。TCP和UDP协议有一个端口号定义，普通网络程序只监控少数几个号码较小的端口，如80，23等。。但是traceroute发送的是端口号>3000的UDP数据报，所以到达目的主机的时候，目的主机只能发送一个端口不可达的ICMP数据报给主机。主机接到这个报告以后就知道，主机到了。

【TCP/IP详解学习笔记（5）IP选路，动态选路】

查看路由表的方法：

(1)route

(2)netstat -r

IP选路规则：

每当主机要发送IP数据包，都要先搜索路由表，以确定往哪个接口发送数据，并确定下一站路由器，具体的搜索过程如下

（1）搜索匹配的主机地址；
（2）搜索匹配的网络地址；
（3）搜索默认路由。

如果通过以上三个步骤之后都没有匹配的路由项（没有默认路由），则产生主机不可达或者网络不可达ICMP差错报文。

进一步认识路由表：

root@hyx-virtual-machine:/# netstat -r
内核 IP 路由表
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
default         localhost       0.0.0.0         UG        0 0          0 eth0
172.16.69.0     *               255.255.255.0   U         0 0          0 eth0
root@hyx-virtual-machine:/#

对路由表的说明

（1）Destination：目的IP地址或网络地址；
（2）Gateway：即下一站路由器，*表示无须经过下一站路由器就可以直接到达目的地址或目的网络；
（3）Genmask：子网掩码；
（4）Flags：标志字段，这里可能出现U,G,H,D,M,R等，U表示可用；G表示Gateway字段是个路由器，否则表示是个直接出口；H表示Destination是个主机IP地址，没有H表示Destination是网络地址；D表示该路由项由ICMP重定向报文创建；M表示该路由项由ICMP报文修改而来;R表示由动态选路协议恢复的路由项。
多数系统内核对路由表的实现都包含上述内容，其它字段视系统而定。

导致路由表发生改变的方法或原因：

（1）可以通过route add或者route del来增加或者删除路由项；
（2）ICMP重定向报文导致接收主机修改或者增加路由项；
（3）ICMP路由通告报文也往往会导致路由表发生变化；
（4）动态选路协议（RIP，OSPF等）导致路由表不断更新。

【TCP/IP详解学习笔记（6）IP分片】

可以用netstat -i来查看自己网络的MTU,如下：eth0的MTU是1500，本地环回接口的MTU是65536

root@hyx-virtual-machine:/# netstat -i
Kernel Interface table
Iface   MTU Met   RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0       1500 0    187262      0      0 0           355      0      0      0 BMRU
lo        65536 0       576      0      0 0           576      0      0      0 LRU
root@hyx-virtual-machine:/#

但是这只是本主机所在局域网的MTU，当一个IP数据包企图跨网络进行传输时，情况要稍微复杂些，因为不同的网络可以有不同的MTU,IP数据包在传输过程中，只要有必要就会进行分片，这就是说，分片之后的IP数据包有可能再进行分片。一个IP包传输过程中所经过网络的最小MTU成为路径MTU。

【TCP/IP详解学习笔记（7）单播、广播、多播与IGMP】

单播：只有一个目的地址的封包帧，这是我们在 TCP/IP 网络中最常见的一种通信方式，当你用浏览器连接一个Web服务器的时候，建立的就是单播，当你用QQ和其他人聊天的时候，传输的也是单播。

广播地址分类：

（1）受限的广播地址，即255.255.255.255，目的地为255.255.255.255的数据包只能出现在本地网络中，路由器在任何情况下都不对这类数据包进行转发。 
（2）指向网络的广播地址，即主机号为全1的IP地址。
（3）指向子网的广播地址为主机号为全1且有特定子网号的地址。 
（4）指向所有子网的广播地址的子网号及主机号为全1。

广播IP地址一般对应的广播物理地址为ff:ff:ff:ff:ff:ff。

多播：可以说广播是多播的特例，多播就是给一组特定的主机（多播组）发送数据，这样，数据的播发范围会小一些(实际上播发的范围一点也没有变小)，多播的MAC地址是最高字节的低位为一，例如01-00-00-00-00-00。多播组的地址是D类IP，规定是224.0.0.0-239.255.255.255。

IGMP:IGMP（Internet Group Management Protocol）作为因特网组管理协议,是TCP/IP 协议族中负责IP 组播成员管理的协议，它用来在IP 主机和与其直接相邻的组播路由器之间建立、维护组播组成员关系。IP主机通过发送IGMP 报文宣布加入某组播组；本地组播路由器通过周期性的发送IGMP 报文轮询本地网络上的主机，确定本地组播组成员信息。

【TCP/IP详解学习笔记（8）各层数据包格式及数据包分析】

【参考资料】

《TCP/IP详解卷1》

【体会】

阅读《TCP/IP详解卷1》过程中，真的是有好多读不懂的地方，只是知道讲的非常细。。。可能是自己基础太LOW了。。后来在网上找了两篇博文阅读，都是针对这本书的读书心得，阅读之后，最大收获是进一步理解了数据包的封装方式和格式，并且能够完全自己看懂wireshark捕获到的数据流，并能简单分析，有很多没有看到的知识，打算在以后研究wireshark的过程中慢慢补充，随时更新。

posted @ 2015-12-23 21:09 adacn 阅读(363) 评论(0) 编辑收藏举报

刷新页面返回顶部

霍一夏