第一章-網(wǎng)絡(luò)通信協(xié)議體系課件

網(wǎng)絡(luò)安全技術(shù)第1章網(wǎng)絡(luò)安全與TCP/IP協(xié)議1.1OSI模型與TCP/IP模型 1.2網(wǎng)絡(luò)路由與交換 1.3IP地址規(guī)劃重點(diǎn)學(xué)習(xí)本章重點(diǎn)學(xué)習(xí)OSI參考模型和TCP/IP參考模型，結(jié)合交換和路由設(shè)備進(jìn)一步認(rèn)識(shí)各層協(xié)議的數(shù)據(jù)封裝格式和通信特點(diǎn)，通過(guò)數(shù)據(jù)分析工具解析網(wǎng)絡(luò)協(xié)議、認(rèn)識(shí)網(wǎng)絡(luò)安全問(wèn)題，為本書(shū)后面的學(xué)習(xí)奠定安全通信基礎(chǔ)。1.1OSI模型與TCP/IP模型OSI模型TCP/IP模型它們都是網(wǎng)絡(luò)通信協(xié)議體系，通過(guò)分析了開(kāi)放式系統(tǒng)互連參考模型、Internet網(wǎng)絡(luò)體系層次結(jié)構(gòu)和網(wǎng)絡(luò)安全體系結(jié)構(gòu)，可以有效的認(rèn)識(shí)網(wǎng)絡(luò)通信安全。1.1.1開(kāi)放系統(tǒng)互連參考模型與TCP/IP的關(guān)系比較1.1.2國(guó)際標(biāo)準(zhǔn)化組織的網(wǎng)絡(luò)體系結(jié)構(gòu)1、OSI七層模型的產(chǎn)生2、OSI模型層次結(jié)構(gòu)及各層功能3、各層次間的通信4、數(shù)據(jù)封裝圖1-9封裝1.2.3TCP/IP模型1、TCP/IP參考模型各層功能2、TCP/IP協(xié)議棧3、TCP/IP報(bào)文格式數(shù)據(jù)幀、數(shù)據(jù)包TCP報(bào)文、UDP報(bào)文協(xié)議棧、協(xié)議端口數(shù)據(jù)封裝[作業(yè)]:熟悉TCP連接的建立1、請(qǐng)根據(jù)以下TCP連接的初始段序號(hào)SEQ，繪出3次握手的過(guò)程？客戶端SEQ為：OX52346F3FF服務(wù)端SEQ為：OXE9346DE15字段名稱報(bào)文1報(bào)文2報(bào)文3SequenceNumber

OX52346F3FF

OXE9346DE15

OX52346F400AcknowledgementNumber

OX000000000

OX52346F400OXE9346DE16

ACK

0

1

1SYN

1

1

0TCP首部格式偽首部源端口目的端口長(zhǎng)度檢驗(yàn)和數(shù)據(jù)首部TCP長(zhǎng)度源IP地址目的IP地址06IP數(shù)據(jù)報(bào)字節(jié)44112122222字節(jié)發(fā)送在前數(shù)據(jù)首部TCP段報(bào)文課件制作人：謝希仁第三次握手：客戶向服務(wù)器發(fā)出的確認(rèn)段，段首部中的確認(rèn)標(biāo)志ACK被置為1，表示對(duì)所接收的段的確認(rèn)，與ACK標(biāo)志相配合的準(zhǔn)備接收的下一序號(hào)被設(shè)置為收到的段序號(hào)加1(ACK29011)。完成了另一個(gè)方向上的連接。解決：TCP采用和三次握手類似的方法。這里可以將斷開(kāi)連接操作視為在兩個(gè)方向上分別斷開(kāi)連接操作構(gòu)成。一方發(fā)出斷開(kāi)連接請(qǐng)求后并不馬上拆除連接，而是等待對(duì)方的確認(rèn)，對(duì)方收到斷開(kāi)連接請(qǐng)求后，發(fā)送確認(rèn)報(bào)文，這時(shí)拆除的只是單方向上連接（半連接）。對(duì)方發(fā)送完數(shù)據(jù)后，再通過(guò)發(fā)送斷開(kāi)連接請(qǐng)求來(lái)斷開(kāi)另一個(gè)方向上的半連接。返回1.2網(wǎng)絡(luò)路由與交換計(jì)算機(jī)網(wǎng)絡(luò)往往由許多種不同類型的網(wǎng)絡(luò)互連連接而成。交換和路由是現(xiàn)代網(wǎng)絡(luò)互連基本技術(shù)，它們也是實(shí)現(xiàn)通信協(xié)議完成互連的參與者，它們的也是網(wǎng)絡(luò)安全技術(shù)的重要一環(huán)。1.2.1Router功能（FunctionofRouter）1、Router是第三層的網(wǎng)絡(luò)設(shè)備：主要功能路由器用于互聯(lián)兩個(gè)或多個(gè)網(wǎng)絡(luò)，其功能是為數(shù)據(jù)包選擇路徑和交換數(shù)據(jù)包。路由器(Router)不僅可以隔離廣播，還有連接網(wǎng)絡(luò)的功能。①路由選擇和交換②網(wǎng)絡(luò)分段例1．路由器用于局域網(wǎng)中的互聯(lián)2、路由器的工作原理圖1-24路由器的路由表1.2.2靜態(tài)路由靜態(tài)路由與動(dòng)態(tài)路由：使用路由器的目的是讓路由器能夠轉(zhuǎn)發(fā)數(shù)據(jù)包，這需要有路由表。路由表可以由管理員手工配置，也可以讓路由協(xié)議自動(dòng)學(xué)習(xí)。1、靜態(tài)路由簡(jiǎn)介（建立路由表)路由器建立路由表基本上有以下三種途徑：(1)直連路由：路由器自動(dòng)添加和自己直接連接的網(wǎng)絡(luò)的路由。0(2)靜態(tài)路由：管理員手動(dòng)輸入到路由器的路由。1(3)動(dòng)態(tài)路由：由路由協(xié)議動(dòng)態(tài)建立的路由。2、靜態(tài)和動(dòng)態(tài)路由區(qū)別(1)占用線路帶寬(2)增加了CPU的運(yùn)算量(3)增加了RAM的開(kāi)銷(4)能夠動(dòng)態(tài)反映網(wǎng)絡(luò)拓?fù)渥兓?、應(yīng)用（存根網(wǎng)絡(luò)）小型網(wǎng)絡(luò)、接入網(wǎng)4、配置靜態(tài)路由理解ip數(shù)據(jù)包一跳一跳轉(zhuǎn)發(fā)過(guò)程，以及路由表便變化過(guò)程，數(shù)據(jù)包的轉(zhuǎn)發(fā)情況；ping的過(guò)程，學(xué)習(xí)路由故障排錯(cuò)的方法。靜態(tài)路由命令格式：Iproute目的網(wǎng)絡(luò)掩碼{接口|下一跳地址}R1的配置：R1>enR1#conftR1(config)#intfa0/0R1(config-if)#ipaddress10.1.1.1255.255.255.0R1(config-if)#noshutR1(config-if)#ints0/0R1(config-if)#ipaddress12.12.12.1255.255.255.0R1(eonfig-if)#clockrate64000R1(config-if)#noshutR1(config-if)#exitR1(config)#iproute23.23.23.0255.255.255.012.12.12.2R1(config)#iproute192.168.1.0255.255.255.012.12.12.2命令查看路由表：showiproute5、默認(rèn)路由默認(rèn)路由表示和語(yǔ)句Iproute0.0.0.00.0.0.010.1.2.2“0”表示不用匹配；“1”表示必須匹配應(yīng)用和舉例：1.2.4交換機(jī)基礎(chǔ)1、交換機(jī)和網(wǎng)橋比較交換機(jī)基于硬件來(lái)實(shí)現(xiàn)交換，速度快，而網(wǎng)橋采用軟件來(lái)進(jìn)行交換，速度慢；交換機(jī)端口密度大，也稱為多口網(wǎng)橋，而網(wǎng)橋通常只有兩個(gè)端口；交換機(jī)還支持虛擬網(wǎng)(VLAN)、生成樹(shù)協(xié)議(STP)，網(wǎng)橋不支持這些功能。2.交換機(jī)學(xué)習(xí)主機(jī)地址交換機(jī)的作用主要有兩個(gè)：一個(gè)是維護(hù)CAM(ContextAddressMemory)表，該表是MAC地址和交換機(jī)端口的映射表；另一個(gè)是根據(jù)CAM來(lái)進(jìn)行數(shù)據(jù)幀的轉(zhuǎn)發(fā)。交換機(jī)對(duì)幀的處理方式交換機(jī)對(duì)幀的處理方式有三種：交換機(jī)收到幀后，查詢CAM表，如果能查詢到目的計(jì)算機(jī)所在的端口，并且目的計(jì)算機(jī)所在的端口不是交換機(jī)接收幀的源端口，交換機(jī)將把幀從這一端口轉(zhuǎn)發(fā)出去(Forward)；如果該計(jì)算機(jī)所在的端口和交換機(jī)接收幀的源端口是同一端口，交換機(jī)將過(guò)濾掉該幀(Filter)；如果交換機(jī)不能查詢到目的計(jì)算機(jī)所在的端口，交換機(jī)將把幀從源端口以外的其他所有端口上發(fā)送出去，這稱為泛洪(Flood)，如果交換機(jī)接收到的幀是廣播幀或者多播幀，交換機(jī)也會(huì)泛洪幀。3、交換機(jī)的三種交換方式①存儲(chǔ)轉(zhuǎn)發(fā)(Store-and-Forward)②直接轉(zhuǎn)發(fā)(Cut一Through)③無(wú)碎片(Fragment—Free)4、沖突域與廣播域圖1-31劃分廣播域廣播域：接收同樣廣播消息的節(jié)點(diǎn)的集合。如:在該集合中的任何一個(gè)節(jié)點(diǎn)傳輸一個(gè)廣播幀，則所有其他能收到這個(gè)幀的節(jié)點(diǎn)都被認(rèn)為是該廣播幀的一部分。路由器上的每個(gè)端口自成一個(gè)廣播域。交換機(jī)基本狀態(tài)：hostname>；用戶模式hostname#；特權(quán)模式hostname(config)#；全局配置模式hostname(config-if)#；接口狀態(tài)hostname(config)#mac-address-tablestatic0800.c001.8811vlan1interfacef0/1舉例：配置交換機(jī)的端口安全特性，只允許某一計(jì)算機(jī)(MAC為000D.6789.1234)接到f0/8接口上Switch(config)#intf0/1Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum1Switch(config-if)#switchportport-securitymac-address0060.6700.dd5bSwitch(config-if)#switchportport-securityviolationprotestSwitch#shport-securitySecurePortMaxSecureAddrCurrentAddrSecurityViolationSecurityAction(Count)(Count)(Count)-------------------------------------------------------------------------------Fa0/113210Restrict[作業(yè)1]:路由器建立路由表基本上有哪些途徑？(1)直連路由：路由器自動(dòng)添加和自己直接連接的網(wǎng)絡(luò)的路由。0(2)靜態(tài)路由：管理員手動(dòng)輸入到路由器的路由。1(3)動(dòng)態(tài)路由：由路由協(xié)議動(dòng)態(tài)建立的路由。[作業(yè)2]:為了讓大家熟悉路由表1、根據(jù)圖1-26配置靜態(tài)路由，請(qǐng)寫(xiě)出R2或者R3靜態(tài)路由配置？[作業(yè)3]:為了讓大家熟悉交換機(jī)3.交換機(jī)的作用主要有哪兩個(gè)？交換機(jī)對(duì)幀的處理方式有哪三種？1.3IP地址規(guī)劃隨著現(xiàn)有網(wǎng)絡(luò)不斷的擴(kuò)大，合理邏輯地址規(guī)劃也是安全通信的一部分。1.IP地址IP地址唯一的標(biāo)識(shí)網(wǎng)絡(luò)上計(jì)算機(jī)，IP地址就是由0和1組成的32位字符串。2.IP地址分類3.網(wǎng)絡(luò)掩碼和子網(wǎng)劃分在A、B、C類地址中劃分子網(wǎng)，需要考慮的5個(gè)問(wèn)題：1.你所選擇的子網(wǎng)掩碼將會(huì)產(chǎn)生多少個(gè)子網(wǎng)?2的x次方-2(x代表掩碼位,即2進(jìn)制為1的部分)2.每個(gè)子網(wǎng)能有多少主機(jī)?2的y次方-2(y代表主機(jī)位,即2進(jìn)制為0的部分)3.有效子網(wǎng)是?有效子網(wǎng)號(hào)=256-10進(jìn)制的子網(wǎng)掩碼(結(jié)果叫做blocksize或basenumber)4.每個(gè)子網(wǎng)的廣播地址是?廣播地址=下個(gè)子網(wǎng)號(hào)-15.每個(gè)子網(wǎng)的有效主機(jī)分別是?忽略子網(wǎng)內(nèi)全為0和全為1的地址剩下的就是有效主機(jī)地址.最后有效1個(gè)主機(jī)地址=下個(gè)子網(wǎng)號(hào)-2(即廣播地址-1)例子1、C類地址:網(wǎng)絡(luò)地址192.168.10.0;子網(wǎng)掩碼255.255.255.192(/26)110000001.子網(wǎng)數(shù)=2*2-2=22.主機(jī)數(shù)=2的6次方-2=623.有效子網(wǎng)?:blocksize=256-192=64;所以第一個(gè)子網(wǎng)為192.168.10.64,第二個(gè)為192.168.10.1284.廣播地址:下個(gè)子網(wǎng)-1.所以2個(gè)子網(wǎng)的廣播地址分別是192.168.10.127和192.168.10.1915.有效主機(jī)范圍是:第一個(gè)子網(wǎng)的主機(jī)地址是192.168.10.65到192.168.10.126;第二個(gè)是192.168.10.129到192.168.10.190例子2、某企業(yè)有4個(gè)部門(mén)，要給它們劃分4個(gè)網(wǎng)絡(luò)，LAN1至LAN4上的主機(jī)數(shù)分別為：43、20、12和4，該企業(yè)從桂林ISP分配到的IP地址塊為202.168.1.0/24，請(qǐng)完成IP地址的規(guī)劃設(shè)計(jì)。經(jīng)常不斷地學(xué)習(xí),你就什么都知道。你知道得越