首页  思维导图  详情

计算机网络原理

2021-12-12 16:08:33   0  举报





仅支持查看

AI智能生成

计算机网络原理笔记+对应题目

网络

计算机网络原理

作者其他创作

大纲/内容

Chapter 1  概述

一、基本概念

计算机网络的定义

1. 是计算机技术和通信技术相互融合的产物

2. 是互连的，自治的计算机的集合

3. 最大应用最广泛的计算机网络是Internet或互联网

4.“自治计算机”通常称为‘主机’（host）或’端系统‘（end system）

协议的定义

1.计算机网络中的实体在进行数据交换的过程中也必须遵循一些规则和约定，这些规则和约定就是网络协议

2.协议是网络通信实体间数据交换的重要保证

3.协议3要素

1.语法:语法定义实体之间交换信息的格式和结构

2.语义:语义就是定义实体之间交换的信息中需要发送哪些控制信息

3.时序:时序也称同步定义实体之间交换信息的顺序以及如何匹配或适应彼此的速度

计算机网络的功能

1.硬件资源共享

2.软件资源共享

3.信息资源共享——信息交换

计算机网络的分类

按覆盖范围

1.个域网（Personal Area Network）PAN 1~10m

2.局域网(Local Area Network) LAN 10m~1km

3.城域网(Metropolitan Area Network) MAN 5~50km

4.广域网(Wide Area Network) WAN

按拓扑结构分类

星形拓 优点：是易于监控不管理，敀障诊断不隔离容易； 缺点：是中央结点是网络的瓶颈，一旦敀障，全网瘫痪，网络规模受限亍中央结点的端口数 量。

总线型 优点：结构简单，所需电缆数量少，易亍扩展； 缺点：是通信范围受限，敀障诊断不隔离较困难，容易产生冲突

环形 优点：所需电缆长度短，可以使用光纤，易亍避免冲突； 缺点：是某结点的敀障容易引起全网瘫痪，新结点的加入或撤出过程比较麻烦，存在等待时 间问题。

网状 优点：网络可靠性高，一条或多条链路敀障时，网络仍然可联通； 缺点：网络结构复杂，造价成本高，选路协议复杂。

树形 优点：易亍扩展，敀障隔离容易； 缺点：对根结点的可靠性要求高，一旦根结点敀障，则可能导致网络大范围无法通信。

混合 优点：易于扩展，可以构建不同规模网络，并可根据需要优选网络结构； 缺点：网络结构复杂，管理不维护复杂。

按网络属性分类

公用网 公用网是指由国家或企业出资建设，面向公众提供收费或免费服务的网络。例 如电信网络。

私有网 私有网是指由某个组织（如政府部门或企业等）出资建设，与门面向该组织内 部业务提供网络传输服务，丌向公众开放的网络。例如银行、军事，铁路与用网。

按交换方式

电路交换 电路交换的特点是有连接的，在通信时需要先建立电路连接，在通信过程中独占一个信道，通信结束 后拆除电路连接。 电路交换的优点是实时性高，时延和时延抖动都较小；缺点是对于突发性数据传输，信 道利用率低，且传输速率单一。 电路交换主要适用于语音和视频这类实时性强的业务。故电路交换不适用于突发性数据传输，

报文交换 报文交换线路利用率高；缺点是对于实时通信而言会容易出现不能满足速度要求的情况，有时候结点收到的报文过多而存储空间不够或者输出链路被占用不能及时转发时， 就不得不丢弃报文，这也是报文交换的缺点。

分组交换 交换设备存储容量要求低；交换速度快；可靠传输效率高；更加公平。当分组长度 尽可能短时，适用于交互式通信。

二、计算机网络结构

网络边缘： 连接到网络上的计算机、服务器、智能手机、智能传感器、智能家电等称为 主机或端系统。

接入网络： 1、 电话拨号接入 2、 非对称数字用户线路 ADSL 3、 混合光纤同轴电缆 HFC 接入网络 4、 局域网：典型的局域网技术是以太网、Wi-Fi 等 5、移动接入网络：移动接入网络主要利用移动通信网络，如 3G/4G/5G 网络，实现智能 手机、移动终端等设备的网络接入。

网络核心 是由通信链路互连的分组交换设备构成的网络，典型的分组交换设备是路由器和交换机

三、网络交换技术

电路交换

电路交换是最早出现的一种交换方式，电话网络则是最早、最大的电路交换网络。 利用电路交换迚行通信包括建立电路、传输数据和拆除电路 3 个阶段。

1.特点：在通信时需要先建立电路连接，在通信过程中独占一个信道，通信结束后拆除电路连 接。 2.优点：实时性高，时延和时延抖劢都较小； 3.缺点：对于突发性数据传输，信道利用率低，但传输速率单一。电路交换主要适用于语音和 视频这类实时性强的业务。

报文交换

报文交换也称为消息交换。存储-转发式交换方式。适用于电报通信。

分组交换

是目前计算机网络广泛采用的技术，也称包交换。分组交换需要将待传输数据（即报文）分 割成较小的数据块，每个数据块附加上地址、序号等控制信息构成数据分组，每个分组独立 传输到目的地，目的地将收到的分组重新组装，还原为报文。采取存储-转发交换方式。

分组交换的优点： (1)交换设备存储容量要求低 (2)交换速度快 (3)可靠传输效率高 (4)更加公平

分组长度的确定

1.分组长度与延迟时间：在其他条件相同的情况下，分组长度越长，延迟时间越长。

2.分组长度与误码率：设分组长度为 L 位，其中 h 位为分组头长度，数据长度为 x 位，即有 x+h=L

3.若信道误码率为 Pe，则分组传输正确的概率为 Ps=（1-Pe）^(x+h)

4.分组传输错误要求重发的概率（1-Ps），在考虑到可能多次连续传输错误的情况下，可以得 到最佳分组长度 Lopt 为

四、计算机网络性能

速率与带宽

1.速率：速率是指网络单位时间内传送的数据量，用以描述网络传输数据的快慢，也称为 数据传输速率或数据速率。计算机网络传输的数据是以位为信息单位的二进制数据，速率的 基本单位是 bit/s（位每秒），因此有时也称速率为比特率（bit rate）

2.带宽：指信号具有的频带宽度，即信号成分的最高频率与最低频率之差，单位为 Hz（赫 兹）。

时延

时延是指数据从网络汇总的一个结点到达另一个结点所需要的时间

1.结点处理时延 每个分组到达交换结点时，通常可能需要验证分组是否有差错，检索转发表等。

2.排队时延 在该分组之前很有可能还有其他分组正在或等待交换到相同的输出链路。

3.传输时延 当一个分组在输出链路发送时，从发送第一位开始，到发送完最后一位所用的时间，称为传输时延。 假设分组长度Lbit, 链路带宽Rbit/s 传输时延为：L/R。 比特单位是传输，米是传播

4.传播时延 信号从发送端发送出来，经过一定距离的物理链路到达接收段所需要的时间，称为传播时延。 若链路长度为D(m),信号传播速度为V(m/s),则传播时延为：dp=D/V

时延带宽积

定义：一段物理链路的传播时延与链路带宽的乘积，称为时延带宽积，记为 G，于是 G=dp*R，G 的单位是位。

时延带宽积的物理意义在于：如果将物理链路看作一个传输数据的管道的话，时延带宽积表 示一段链路可以容纳的数据位数，也称为以位为单位的链路长度。

丢包率

当网络拥塞特别严重时，新到达的分组甚至已无缓存空间暂存该分组，此时交换结点会丢弃 分组，就会发生“丢包”现象。 丢包率常被用于评价和衡量网络性能的指标，在很大程度上可以反映网络的拥塞程度，因为 引发网络丢包的主要因素是网络拥塞

吞吐量

定义：吞吐量表示在单位时间内源主机通过网络向目的主机实际送达的数据量，单位为 bit/s 或 B/s（字节每秒），记为 Thr。吞吐量经常用于度量网络的实际数据传送（通过）能力，即网 络实际可以达到的源主机到目的的主机的数据传送速率。吞吐量受网络链路带宽、网络连接 复杂性、网络协议、网络拥塞程度等因素影响

比特单位

1Byte =8bit 1KB   =2^10*8bit      ~  1*10^3*8 1MB   =2^10*10^3*8 ~ 1*10^6*8 1GB   =2^10*10^6*8 ~ 1*10^9*8 1TB    =2^10*10^9*8  ~ 1*10^12*8

五、计算机网络体系结构

数据单元 在层的实体间传送的比特组称为数据单元，对等层之间传输的数据单元（协议数据单元PDU）

ARPAnet 是第一个分组交换计算机亏连的网络，也是当今因特网的祖先。

TCP：连接可靠传输协议。UDP：无连接不可靠传输协议。 整个 TCP/IP 参考 模型的核心。核心协议：IP 协议。

1.物理层：比特流。物理层的主要功能是在传输介质上实现无结构比特流传输。

2.数据链路层：帧

3.网络层：分组或包

4.传输层：数据段或报文段

5.会话层：会话层是指用户与用户的连接，通过在两台计算机间建立、管理和终止通信来完成 对话。

6.表示层：表示层主要用于处理应用实体间交换数据的语法，其目的是解决格式和数据表示的 差别，从而为应用层提供一个一致的数据格式，使字符、格式等有差异的设备之间相互通信， 表示层还可以实现文本压缩/解压缩、数据加密/解密、字符编码的转换等功能。

7.应用层(包)： 报文 应用层与提供给用户的网络服务相关，这些服务非常丰富，包括文件传送、电子邮 件、P2P 应用等。

Chapter 2 网络应用

一、计算机网络应用体系结构

网络应用体系结构

1.客户/服务器（C/S）结构

2.Peer to Peer P2P

3.混合结构

二、网络应用通信基本原理

网络应用的本质：是运行在不同主机上的应用进程之间的通信。

网络应用通信过程

1、表面看起来，应用进程之间遵照应用层协议就可以直接实现端到端的 M 的交换。

2、实质通信中，按照应用层协议组织好应用层报文后，需要通过层间接口（如应用编程接 口 API）将报文传递给相邻的传输层。

层间套接字（应用编程接口API）

1、典型的网络应用编程接口是套接字（Socket）。

2、对于一个传输层协议，需要为与其接口的每个套接字分配一个编号，标识该套接字，编号称为端口号。 例如Web服务器的端口号是80，这部分被称为熟知端口号

3、IP 地址是 Internet 的网络层地址，用于唯一标识一个主机或路由器接口。

三、域名系统

DNS

DNS 是一个重要的基础应用，因为任何一个需要使用域名进行通信的网络应用，在应用通信之前首先需要请求 DNS 应用，将域名映射为 IP 地址。实现将域名映射为 IP 地址的过程， 称为域名解析。 DNS 为了实现域名解析，需要建立分布式数据库，存储网络中域名与 IP 地址的映射关系数 据，这些数据库存储在域名服务器，域名服务器根据用户的请求提供域名解析服务。

1）国家顶级域名 nTLD：cn,us,uk 等

2）通用顶级域名 gTLD：com,net,org,edu,gov 等

3）基础结构域名：arpa（反向域名解析）

域名服务器

1、根域名服务器：根域名服务器是最重要的域名服务器，是主机进行域名查询过程中首先 被查询的域名服务器。

2、顶级域名服务器：即 TLD 服务器，负责管理在该顶级域名服务器注册的所有二级域名。

3、权威域名服务器：负责一个区的域名服务器，保存该区中的所有主机的域名到 IP 地址的 映射。

4、中间域名服务器：在层次域名结构中，有时还存在一些既不是根域名服务器，又不是顶 级域名服务器，也不是权威域名服务器的域名服务器，这些域名服务器通常称为中间域名服 务器。

本地域名服务器

浏览器解析到一个URL对应的IP地址的最短时间是一个RTT，最长4个RTT（四层DNS服务器）

域名解析过程

1.递归解析 一直向上层查询

2.迭代解析 不会代替查询主机或其他域名服务器，进行进一步的查询，只是将下一步要查询的服务器告知查询主机或服务器 （当然，如果该服务器拥有最终解析结果，则 直接响应解析结果）。 跟域名通常只提供迭代查询服务器。

四、万维网应用

HTTP

非持久连接 非持久连接是指 HTTP 客户与 HTTP 服务器建立 TCP 连接后，通过该连接发送 HTTP 请求报文， 接收 HTTP 响应报文，然后断开连接。HTTP1.0 默认使用非持久连接

HTTP连接所需不同RTT

并行连接 通过建立多条并行 TCP 连接，并行发送 HTTP 请求和并行接收 HTTP 响应。4RTT

RTT(Round Trip Time) 往返时间

持久连接之非流水方式持久连接 也称为非管道方式持久连接，客户端在通过持久连接收到前一个响应报文后，才能发出对下 一个对象的请求报文。 5RTT

持久连接之流水方式持久连接 也称为管道方式持久连接，客户端在通过持久连接收到前一个对象的响应报文前， 连续依次发送对后续对象的请求报文，然后再通过该连接依次接收服务器发回的响应报文。 约 3 个 RTT

HTTP 报文 4 个部分组成：起始行（star line）首部行( header lines）、空白行（blank line）、实体主体 （entity body）。

状态码

Cookie 技术主要包括 4 部分内容： 1）HTTP 响应报文中的 Cookie 头行：Set-Cookie。 2）用户浏览器在本地存储、维护和管理的 Cookie 文件。 3）HTTP 请求报文中的 Cookie 头行：Cookie 4）网站在后台数据库中存储、维护 Cookie 信息，包括已分配给用户 ID、每个 ID 用户在 本网站的访问特征等。

永久 Cookie：Cookie 保存在硬盘中，有效周期可以设置，关闭浏览器不影响 Cookie 有效 周期。 会话 Cookie：Cookie 保存在内存中。Cookie 有效周期是浏览器会话期间，关闭浏览器， Cookie 消失。

五、Internet电子邮件

系统结构

1、邮件服务器：发送和接收邮件，向发信人报告邮件传送情况（已交付、被拒绝、丢失等）， 是电子邮件体系结构的核心。 例如Outlook FoxMail等

2、简单邮件传输协议（SMTP）端口号：25

3、用户代理

4、邮件读取协议（POP，IMAP）

SMTP协议

1.使用传输层TCP实现可靠数据传输

2.SMTP 通过 3 个阶段的应用层交互完成邮件的传输：握手阶段、邮件传输阶段、关闭阶段。

3.特点

1、SMTP 只能传送 7 位 ASCⅡ码文本内容，包括 SMTP 命令、应答消息以及邮件内容。

2、SMTP 传送的邮件内容中不能包含“CRLF.CRLF”，因为该信息用于标识邮件内容的结 束。

3、SMTP 是“推动”协议。

4、SMTP 使用 TCP 连接是持久的。

邮件读取协议

1.POP3：第三版邮局协议，简单邮件读取协议 授权阶段：用户代理向服务器发送用户名和口令 事物处理阶段：用户代理向服务器发送POP3命令 更新阶段：客户发出了quit命令，结束会话

IMAP：互联网邮件访问协议

HTTP：Web 邮件系统的邮件读取协议

六、FTP

FTP：（File Transfer Protocol,FTP）文件传送协议：在互联网的两个主机间实现文件互传 的网络应用，其应用层协议称为 FTP。

FTP 的服务器进程由两大部分组成： 主进程：负责接受新的客户请求； 若干从属进程：负责处理单个客户请求，与具体客户进行交互。

控制连接（21端口）：客户和服务器之间传输控制信息。如用户标识、口令、改变远程目录，上传下载 文件命令等。 数据连接（20端口）：实际传送文件内容

FTP 是有状态的协议，FTP 的命令都是可读的。

FTP 的“带外控制”特性是什么含义？控制连接和数据连接各有什么特点？用途分别是什么？ 1、带外控制：FTP 专门使用一个独立的控制连接传输控制信息，与传输文件信息进行分离。 2、控制连接：整个会话期间一直保持打开，是持久的。 用途：用于在客户与服务器之间传输控制信息。 3、数据连接：临时的，非持久的。 用途：数据连接用于实际传送文件内容。

七、P2P应用

P2P应用的对等方通常并不属于服务提供商，而是用户控制的桌面计算机或笔记本电脑。

P2P 应用特点 1）应用都是动态地在对等方之间进行 2）具有很强的应用规模伸缩性 3）应用的对等方是用户控制的桌面计算机 4）应用充分聚集利用了端系统的计算能力以及网络传输宽带

采用客户/服务器体系结构实现文件分发的时间 Dcs = max{nF / us, F / dmin} nF：为服务上传数据总量 us：服务器介入网络链路的上行带宽 dmin：为具有最小下行带宽的客户下行带宽

采用 P2P 体系结构实现文件分布的时间

八、Socket编程基础

1. int socket( int af, int type, int protocol):创建套接字

2. int close(int sockfd):关闭一个描述符为 sockfd 的套接字

3. int bind( int sockfd , const struct sockaddr * myaddr, socklen_taddrlen )绑定套接字的本地端点地址

4. int listen(int sockfd, int backlog):监听状态

5. int connection(int sockfd , const struct sockaddr * servaddr ， socklen_taddrlen)将客户套接字 sockfd 与服务器连接

6. int accept(int sockfd , struct sockaddr * cliaddr，socklen_taddrlen)创 建新的套接字来与客户套接字建立 TCP 连接

SocketAPI调用过程

UDP

Chapter3 传输层

一、传输层的基本服务

传输层功能

1.传输层寻址

2.对应用层报文进行分段和重组

3.对报文进行差错检测

4.实现进程间的端到端可靠数据传输控制

5.面向应用层实现复用和分解

6.实现端到端的流量控制

7.拥塞控制

传输层寻址和端口

端口 单个计算中，进程用进程标识符（进程 ID）来区分。 2的16次方，端口有65536个。 1. 0～1023 熟知端口 2. 1024～49151 登记端口 3. 49152～65535 客户端口号，短暂端口号

IP+端口唯一标识一个通信断点

无连接服务与面向连接服务

无连接 数据传输之前无需与端尽心任何信息交换，直接构造传输层报文段，并向接收端发送

有连接 在数据传输之前，需要双方交换一些控制信息，建立逻辑连接，然后再传输数据，传输结束后还需要拆除连接

二、传输层的复用和分解

1、复用：在源主机，传输层协议从不同的套接字收集应用进程程发送的数据块，并为每个数 据块封装上首部信息（包括用亍分解的信息）构成报文段，然后将报文段传递给网络层。

2、分解：在接收端，传输层协议读取报文段中的这些字段，标识出接收套接字，进而通过 该套接字，将传输层的报文段中的数据交付给正确的套接字。

三、停等协议和滑动窗口协议

1.可靠数据传输基本原理

一、不可靠传输信道在数据传输中可能发生： 1、比特差错 2、乱序 3、数据丢失

二、基于不可靠信道实现可靠数据传输采取的措施： 1、差错检测：利用差错编码实现数据包传输过程中的比特差错检测。 2、确认：接收方向发送方反馈接收状态。ACK（肯定确认）；NAK（否定确认） 3、重传：发送方重新发送接收方没有正确接收的数据。 4、序号：确保数据按序提交。 5、计时器：解决数据丢失问题。

2. 停等协议

一、停-等协议的基本工作过程是： 1、发送方发送经过差错编码和编号的报文段，等待接收方的确认； 2、接收方如果正确接收报文段，即差错检测无误且序号正确，则接收报文段，并向发送方发送 ACK； 3、否则丢弃报文段，并向发送方发送 NAK； 4、发送方如果收到 ACK，则继续发送后续报文段，否则重发刚刚发送的报文段。

1. 无差错丢包

2. 数据包丢失

3. 丢失ACK

4. 数据包差错

5. ACK差错

6. 计时器超时

滑动窗口协议

解决信道利用率低这个问题，一个简单的办法是不使用停等协议停止等待运行方式，允许发 送方在没有收到确认前连续发送多个分组，这就是流水线协议（管道协议）。 流水线协议实现可靠数据传输需要： 1、必须增加分组序号； 2、协议的发送方和接收方必须缓存多个分组；

滑动窗口协议 1、分组连续编号； 2、以流水线方式依次发送分组； 3、接收方接收分组，按分组序号向上有序提交； 4、通过确认向发送方通告正确接收的分组序号； 5、发送方根据收到的 ACK 的序号以及计时器的，重新发送或者继续发送新分组。

发送方

接收方

GBN协议：

GBN 发送方必须响应 3 种类型事件： 1、上层调用。 2、收到 1 个 ACKn：GBN 协议采用累积确认方式。 3、计时器超载

GBN 协议的发送方端缓存能力比较高，可以在未接到确认前连续发送多个分组。Ws≥ 1 接收端缓存能力很低，只能接收一个按序到达的分组，不能缓存未按序到达的分组，Wr=1 GBN 协议比较适用低误码率、低丢包率、带宽高时延积信道，且对接收方缓存能力要

对于这种状态， 如果发送方收到对序号 6-10 的确认，则发送窗口便可滑劢； 如果此时计时器超时，则发送方重发 6-10 号分组，共五个；

选择重传协议（SR）

1. 正确接收到序号在窗口范围内的分组 PKTn，则接收方向发送方发送 ACKn。 如果 n=接收基序号，接收确认交付上层。并且窗口滑动。 如果 n≠接收基序号，且第一次被接收到，则缓存该分组。 2. 正确接收到序号在接收窗口左侧的分组 PKTn，接收方丢弃分组 PKTn，并向发送方发送 ACKn。 3. 其他情况，接收方可以直接丢弃分组，不做任何响应。

通过让发送方仅重传那些未被确认接收的分组。SR 协议的接收方对每个正确接收的分 组进行逐个确认。SR 协议的发送窗口和接收窗口都大于1。一般两者相同。

SR 发送方主要响应 3 个事件： 1、上层调用 2、定时器超时 3、收到 ACKn

3. 信道利用率

信道利用率：发送方实际利用信道发送数据的时间与总时间之比 tSeg：发送方发送报文段的时间（即报文段的传输时延，dt=L/R） tACK：是接收方发送 ACK 的时间，假设 ACK 分组很小，可忽略其发送时间。

停等协议的信道利用率Usender为：

单位换算： 1秒=1000毫秒(ms)                =10^3ms 1秒=1,000,000 微秒(μs)        =10^6ms 1秒=1,000,000,000 纳秒(ns) =10^9ms

无论是停等还是GBN，SR可以统一标识为： Usender = (Ws * tSeg) / (tSeg + RTT + tACK) Ws：发送窗口。tSeg传输时延

假设报文段的序号采用k位二进制位串进行编号，则其编号空间位：0～2^k-1,共2^k个编号 滑动窗口协议的窗口大小和序列号空间需要满足约束条件：ws + wr <= 2^k

四、用户数据报协议UDP

用户数据协议（UDP），Ineternet 传输层协议，提供无连接、不可靠、数据报尽力传输服 务。

UDP 特点 1、应用进程更容易控制发送什么数据以及何时发送。 2、无需建立连接。 3、无连接状态。 4、首部开销小，只有 8 个字节。

UDP 首部四个字段（源端口号，目的端口号，长度，校验和）：每个字段长度都是 2 个字节。 源端口号和目的端口号：用于 UDP 实现复用和分解 长度：只是 UDP 报文段中的字节数（首部和数据的总和）。 校验和：接收方使用来检测报文段是否出现差错

UDP 校验和计算规则 1、所有参与运算的内容（包括 UDP 报文段）按 16 位对齐求和。 2、求和过程中遇到任何溢出（即进位）都被回卷（即进位与和的最低为再加），最后得到 的和取反码，就是 UDP 的校验和，填入 UDP 数据报的校验和字段。 3、UDP 在生成校验和时，校验和字段全取 0。

所有参与运算的内容按16位对其，例如 0110011001100000 0101010101010101 1000111100001100 前两位求和得到 1011101110110101 再与第三位数据相加得到 10100101011000001，超出了16位1加到和的最低位得到： 0100101011000010，取反码： 1011010100111101

传输控制协议TCP

TCP 是 Internet 一个重要的传输层协议。提供面向连接、可靠、有序、字节流传输服 务。 第一、应用进程好似在“打电话”要先建立连接。 第二、每一条 TCP 连接只有两个端点。 第三、可靠交付。无差错，不丢失，不重复且按序到达 第四、全双工通信。 第五、面向字节流。流：字节序列。应用程序和 TCP 的交互是一个个数据块，但是 TCP 把他们看做是无结构字节流。

应用层数据块进行封装成为 TCP 报文段。最大报文段长度（Maximum Segment  Size,MSS）是报文段中封装的应用层数据的最大长度。

TCP 报文段结构

TCP

1. 源端口号字段，目的端口号字段分别占 16 位。多路复用/分解来自戒送到上层应用的数据。

2. 序号字段、确认序号字段分别占 32 位。范围【0，2^32-1】         序号字段：TCP 的序号是对每个应用层数据的每个字节进行编号，         确认序号字段：是期望从对方接收数据的字节序号，即该序号对应的字节尚未收到。

3. 首部长度字段占 4 位。指出 TCP 段的首部长度，以 4 字节为计算单位。最短是 20 字节；最长是 60 字节。

4. 保留字段占 6 位。保留为今后使用，目前值为 0。

5. URG、ACK、PSH、RST、SYN、FIN 各占 1 位。 紧急 URG=1，紧急指针字段有效，优先传送。 确认 ACK=1，确认序号字段有效；ACK=0 时，确认序号字段无效。 推送 PSH=1，尽快将报文段中的数据交付接收应用进程，不要等缓存满了再交付。 复位 RST=1，TCP 连接出现严重差错，释放连接，再重新建立 TCP 连接。 同步 SYN=1，该 TCP 报文段是一个建立新连接请求控制段戒者同意建立新连接的确 认段。 终止 FIN=1，TCP 报文段的収送端数据已经収送完毕，请求释放连接。

6. 接收窗口字段占 16 位。向对方通告我方接收窗口的大小。 例如：収送一个确认号 701，窗口字段是 1000。

7. 校验和字段占 16 位。 校验和字段检验的范围类似于 UDP， 计算方法与 UDP 校验和的计算方法相同。TCP 协议号是 6。

8. 紧急指针字段占 16 位。 URG=1 时，才有效。指出在本 TCP 报文段中紧急数据共有多少个字节。

9. 选项字段长度可变。最长为 40 字节。 最大报文段长度 MSS：每一个 TCP 报文段中数据字段的最大长度。

10. 填充字段，叏值全为 0，目的是为了整个首部长度是 4 字节的整倍数。

TCP 连接管理

三次握手

第一次握手：主机 A 向主机 B 収送连接请求段，SYN 报文段：（SYN=1,seq=x） SYN=1：建立来连接请求控制段 seq=x：表示传输的第一个数据字字节的序号是 x 客户端进入 SYN_SEND（同步収送）

第二次握手：主机 B 收到 TCP 连接请求段后，如同意，则収回确认报文段： （SYN=1,ACK=1,seq=y,ack_seq=x+1） SYN=1：同意建立新连接的确认段 ack_seq=x+1：表示已经收到了序列号为 x 的数据包，准备接收序列号为 x+1 的包。 seq=y：B 告诉 A 自己传输的第一个数据字字节的序号是 y。 服务器由 LISTEN 进入 SYN_RCVD（同步收到）

第三次握手：（此次可携带数据）主机 A 对主机 B 的同意连接报文段进行确认： （ACK=1,seq=x+1,ack_seq=y+1） seq=x+1：A 自己此条消息传输的第一个数据字字节的序号是 x+1 ack_seq=y+1：A 准备接收 B 序列号为 y+1 的数据包。 当客户収送 ACK 时，客户端进入 ESTABLISHED 状态； 当服务收到 ACK 后，也进入 ESTABLISHED 状态；

四次挥手

第一次挥手：主机 A 向主机 B 収送释放连接报文段：（FIN=1,seq=u） 首部的 FIN=1：TCP 报文段的収送端数据収送完毕，请求释放连接。 序号 seq=u：表示传输的第一个数据字字节的序号是 u 客户端状态由 ESTABLISHED 进入 FIN_WAIT_1（终止等待 1 状态）

第二次挥手：主机 B 向主机 A 収送确认段：（ACK=1,seq=v,ack_seq=u+1） ACK=1：标识确认字号段有效。 确认序号 ack_seq=u+1：表示主机 B 期望接收 A 数据包序号为 u+1 的包 序号 seq=v：表示自己传输的第一个数据字字节的序号是 v 服务器状态由 ESTABLISHED 进入 CLOSE_WAIT（关闭等待） 客户端收到 ACK 段后，由 FIN_WAIT_1 进入 FIN_WAIT_2

第三次挥手：主机B向主机A収送释放连接报文段：（FIN=1,ACK=1,seq=w,ack_seq=u+1） FIN=1：请求释放连接 ACK=1：标识确认字号段有效。 确认序号 ack_seq=u+1：表示主机 B 期望接收 A 数据包序号为 u+1 的包 序号 seq=w：表示自己传输的第一个数据字字节的序号是 w 服务器状态由 CLOSE_WAIT 进入 LAST_ACK（最后确认状态）

第四次挥手：主机 A 向主机 B 収送确认段：（ACK=1,seq=u+1,ack_seq=w+1） ACK=1：标识确认字号段有效。 确认序号 ack_seq=w+1：表示主机 A 期望接收 B 数据包序号为 w+1 的包 序号 seq=u+1：表示自己传输的第一个数据字字节的序号是 u+1 客户端状态由 FIN_WAIT_2 进入 TIME_WAIT，等待 2MSL 时间，进入 CLOSED 状态，释 放连接 服务器在收到最后一次 ACK 段后，由 LAST_ACK 进入 CLOSED，释放连接

TCP可靠数据传输

TCP 实现可靠数据传输服务的工作机制： 1）应用数据被分割成 TCP 认为最适合发送的数据块。 2）TCP 发出一个段后，启动一个计时器，等待目的端确认收到这个报文段。 3）TCP 首部中设有校验和字段，用于检测数据在传输过程中是否发生差错。 4）TCP 报文段的到达也可能会失序。如果必要，TCP 会重新排序。 5）存在网络延迟和重传机制，接收端可能会收到多个重复的报文段，这时接收端需要根据 序号把重复的报文段丢弃。

定时器超时时间设置 1、估计一个典型 RTT，指数加权移劢平均的方法来计算一个 SampleRTT 的时间： α指数加权系数，典型值是 0.125 EstimatedRTT=（1-α）·EstimatedRTT+ α·SampleRTT 2、RTT 变化剧烈，网络不稳定；RTT 变化小，网络平稳； 定义 RTT 的偏差 DevRTT 表示 RTT 变化程度：加权系数β的推荐值是 0.25 DevRTT=(1- β) ·DevRTT+ β ·|SampleRTT-EstimatedRTT| 3、定时器的超时时间： TimeoutInerval=EstimatedRTT+4×DevRTT 4、 一般 TimeoutInerval 初始值为 1s。当出现超时，TimeoutInerval 值加倍。 一旦报文段收到更新 EstimatedRTT，TimeoutInerval 就又通过上述三个公式更新计算。

TCP快速重传 当发送方收到第四次ack_seq=200的序号后立即重发200序号的数据

TCP流量控制

流量控制的目的是协调协议发送方与接收方的数据发送与接收速度。基于滑动窗口协议实现流量控制时，发送窗口的大小反映了接收方接收和处理数据的能力。

TCP拥塞控制

一、拥塞：是指太多主机以太快的速度向网络中发送太多的数据，超出了网络处理能力，导 致大量数据分组“拥挤”在网络中间设备（如路由器）队列中等待转发，网络性能显著下降 的现象。后果：网络时延增加；大量分组被丢弃。 二、拥塞控制：就是通过合理调度、规范、调整向网络中发送数据的主机数量、发送速率或 数据量，以避免拥塞或尽快消除已发生的拥塞。 例如：ATM 是在网络层进行拥塞控制；Internet 是在传输层进行拥塞控制。 三、拥塞控制策略：拥塞预防和拥塞消除。 拥塞预防策略：流量整形技术，规范主机像网络发送数据的流量。 拥塞消除策略：先拥塞检测，再采取措施。 根据拥塞检测机制不同：基于拥塞状态反馈的拥塞控制方法；无需拥塞状态反馈的拥塞控制

拥塞控制采用窗口机制： 通过窗口大小调节实现对发送数据速率的调整。(Additive Increase,Multiplicative Decrease)AIMD:网络未拥塞，线性增大窗口；网络拥塞时，乘性 减小窗口。TCP 拥塞控制窗口的调节，分为慢启动阶段和拥塞避免阶段。

拥塞窗口(CongWin)：单位为字节，用于表示在未收到接收端确认的情况下，可以连 续发送的数据字节数。

【慢启动】 1、CongWin 设置为 TCP 最大段长度 MSS 的值； 2、收到一个确认，CongWin 值就加倍；（收到一个 ACK，CongWin 便加一个 MSS）

【阈值】 为了避免增长过快，TCP 设置了一个拥塞窗口阈值(Threshold),用以分隔慢启动阶段和拥塞避免阶段 当拥塞窗口小于Threshold时，拥塞窗口按慢启动方式增长，当大于时，切换位按拥塞避免方式增长。 通常CongWin的初值为1，Threshold的初值为16，发生阻塞时阈值设置为CongWin/2

【拥塞避免】 每经过一个 RTT，拥塞窗口的增加 1MSS 通常情况下：CongWin=1,Threshold=16； 当发生网络拥塞的话采取措施进行调整：Threshold=CongWin/2，CongWin=1

【快速重传和快速恢复】 快速重传基于接收端收到 3 次重复确认，则推断报文段丢失，于是立即重发。 也就是说 TCP 的计时器超时和 3 次重复确认都会重发。但是两者情况有不一样。 3 次重复确认网络拥塞程度并不大。所以采用快速恢复的策略。快速恢复： 不从慢启动阶段开始，而是从新的阈值开始，直接进入拥塞避免阶段。 收到 3 次重复确认，将阈值减半，并将 CongWin 的值设为减半后的阈值。然后开始执行拥塞避免的算法。

Chapter4 网络层

一、网络层服务

网络层主要功能： 一、转发：当通过一条输入链路接收到一个分组后，路由器需要决策通过哪条输出链路将分组发送出去，并将分组从输入接口转移到输出接口。 二、路由选择：当分组从源主机流向目的主机时，必须通过某种方式决定分组经过的路由或路径，计算分组所经过的路径的算法被称为路由选择算法，或称路由算法。 路由选择算法：每个路由器有一份转发表（路由表，路由器以到达分组的网络层首部地址字段的值作为键，去转发表中查询相应的表项。从而获知分组应转发至 哪条链路上。 连接建立：网络层连接是从源主机到目的主机经过的一条路径，这条路径所经 过的每个路由器等网络设备都要参与网络层连接的建立。

网络层除了实现转发与路由选择功能外，一些提供面向连接服务的网络还提供另外一个重要的网络层功能：连接建立。

二、数据报网络和虚电路网络

数据报网络：按照目的主机地址进行路由选择的网络称为数据报网络。 1. 是分组交换网络，是面向无连接的网络 2. 收到分组后根据协议对分组进行重新排序由传输层完成 3. 分组有差错或丢失由TCP自己解决，数据报网络不处理 4. 仍然需要在转发表维护转发信息。

一、虚电路（virtual circuit，VC）是在源主机到目的主机的一条路径上建立的一条网络层逻辑连接， 为区别于电路交换中的电路，称之为虚电路。 二、虚电路网络的三要素： 1）从源主机到目的主机之间的一条路径（即一系列的链路和分组交换机） 2）该路径上的每条链路各有一个虚电路标识（VCID） 3）该路径上每台分组交换机的转发表中记录虚电路标识的接续关系

虚电路网络分组转发的依据是什么？ 每条虚电路都有虚电路号，称为虚电路标识， 沿某条虚电路传输的分 组中包含所属虚电路的虚电路号。 虚电路网络设备根据分组所携带的虚电路号判 断其所属的虚电路， 从而决策如何转发分组，并确保分组沿对应虚电路送达目的。

虚电路和数据报网络的区别

三、网络互连与网络互连设备

一、异构网络：主要是指两个网络的通信技术和运行协议的不同。 二、异构网络互连的基本策略：协议转换和构建虚拟互联网络。

1、协议转换：采用一类支持异构网络之间协议转换的网路中间设备，来实现异构网络之间数据分组的转换与转发。 例如：支持协议转换的网桥，交换机或者是多协 议路由器和应用网关等。

2、构建虚拟互联网络：在异构网络基础上构建一个同构的虚拟互联网络。 IP 网络： Internet 采用同构的网络层协议 IP 与网络寻址，IP 地址，引入网络互连设备：IP 路由器。

网络连接的设备：中继器、集线器、交换机、网桥、路由器和网关等。

路由器

是一个具有多个输入端口和多个输出端口的专用计算机。 主要任务就是获取与维护路由信息以及转发分组。最典型的网络层设备。

路由器从功能体系结构角度： 输入端口、交换结构、输出端口、路由处理器。

1. 输入端口：查找，转发，到达分组缓存排队功能。

2. 交换结构：转发的具体工作。将输入端口的 IP 数据报交换到指定的输出端口。 主要包括基于内存交换、基于总线交换、基于网络交换 3 中交换结构。 基于内存交换：性能最低，路由器价格最便宜。 基于网络交换：性能最高，路由器价格昂贵。 基于总线交换：总线具有独占性。

3. 输出端口：缓存排队，从队列中取出分组进行数据链路层数据帧的封装，发送。 调度策略： 1、先到先服务(FCFS)调度策略； 2、按优先级调度、按 IP 数据报的服 务类型（Tos）调度。

4. 路由处理器：执行命令；路由协议运行；路由计算以及路由表的更新和维护。

四、网络层拥塞控制

网络拥塞：一种持续过载的网络状态，用户对网络资源（包括链路带宽、存储空间和处理器处理能力等）的总需求超过了网络固有的容量。

拥塞控制：端系统或网络结点，通过采取某些措施来避免拥塞的发生，或者对已发生的拥塞做出反应，以便尽快消除拥塞。 流量控制：主要考虑接收端的数据接收与处理能力，目的是使发送端的发送速率不超过接收端的接收能力。

拥塞的原因： 1)缓冲区容量有限。 2)传输线路的带宽有限。 3)网络结点的处理能力有限。 4)网络中某些部分发生了故障

解决方案： 增加网络资源（拥塞预防） 见效网络负载（拥塞消除）

网络层常采用的拥塞控制措施

1. 流量感知路由：将网络流量引导到不同的链路上，均衡网络负载，从避免拥塞发生。 将网络抽象为一张带权无向图，网络中链路的权值，设置为以链路带宽、传输延迟、链路负载等为变量的函数， 那么当网络中链路上的负载、延迟发生变化时，链路的权值同样会得到更新， 进而通过路由选择算法逐步使网络中各结点的路由表得到更新。 这样，在某条链路负载过大的时候，此链路上的流量会被转移至其他链路上。

2. 准入控制：是对新建虚电路审核，如果新建立的虚电路会导致网络变得拥塞，那么网络拒绝建立该新虚电路。

3. 流量调节：在网络拥塞时，可以通过调整发送方发送数据的速率来消除拥塞。 需解决两个问题： 1.路由器感知拥塞：通过过去一段时间内的排队延迟以及当前的瞬时排队延迟的加权组合。 2.向上游结点告知拥塞信息：     1）抑制分组：感知到拥塞的路由器选择一个被拥塞的数据报，给该数据报的源主机返回一个抑制分组。     2）背压：抑制分组在从拥塞结点到源节点的路径上的每一跳，都发挥抑制作用。

4. 负载脱落：通过有选择地主动丢弃一些数据报，来减轻网络负载，从而缓解或消除拥塞。

网络层常采用的拥塞控制措施有4种，其中流量感知路由和准入控制属于拥塞预防；流量调节和负载脱落属于拥塞消除。

五、网络层

IPV4

IPV4数据报格式

1、版本号字段占4位，给出IP版本号。 2、首部长度字段占4位，给出IP数据报的首部长度。 3、区分服务字段占8位，在旧标准种称为服务类型（TypeOfService，TOS）字段，用来指示期望获得哪种类型的服务。 4、数据报长度字段占16位，指出IP数据报的总字节数。 5、标识字段占16位，标识一个IP数据报。用于在IP数据报分片和重组过程中，标识属于同一原IP数据报。 6、标志位字段占3位，其结构如下：     最高保留位DF禁止分片标志：         DF=0，允许路由器将该IP数据分片。         DF=1，禁止路由器将该IP数据分片。         MF更多分片标志：         MF=0，该数据报未被分片或是分片的最后一片。         MF=1，该数据报一定是一个分片，且不是最后一个。 7、片偏移字段占13位，表示一个IP数据报分片与原IP数据报数据的相对偏移量，即封装的数据分片从原整个数据报的哪个字节开始的。 以8字节为单位。当该字段值为0时，且MF=1，则表示这是一个IP分片，且是第一个分片。 8、生存时间（Time-To-Live，TTL）字段占8位，表示IP数据报在网络中可以通过的路由器数（或跳步数）。 9、上层协议字段占8位，指示该IP数据报封装的是哪个上层协议。TCP：6；UDP：17。用于实现IP的多路复用与多路分解。 10、首部校验和字段占16位，利用校验和实现对IP数据报首部的差错检测。（UDP校验和一致） 11、源IP地址字段占32位，发出IP数据报的源主机的IP地址。 12、目的IP地址字段占32位，IP数据报的需要送达的主机的IP地址。 13、选项字段长度可变，范围在1-40字节。 14、数据字段，数据字段存放IP数据报所封装的传输层报文段。 多数IP数据报没有选项字段，故IP数据报首部长度为20字节。

数据报分片

IP数据报总长度最大可达65535字节，但数据链路层协议所能承载的网络层数据报的最大长度不尽相同， 如以太网帧可以承载的数据最大长度为1500字节。 一个数据链路层协议帧所能承载的最大数据量称为该链路的最大传输单元（MTU）。

假设原IP数据报总长度为L字节，待转发链路的MTU为M字节。若L>M，且DF=0，则该IP 数据报可以且需要分片。

计算公式

分片计算

MTU

IPV4编址

IPv4地址的长度为32位，共有2^32个不同的IP地址，约为43 亿个。

分类地址

IP地址个数 32-8=24位

除去特殊IP地址外，还有一部分地址保留用于内部网络，称为私有地址。 这部分地址可以在内网使用，但不能在公共互联网上使用。私有IP地址如下表：

子网划分

网络为即子网掩码的位数，主机位：减去子网的位数 单单给出一个子网的子网地址，是无法准确描述一个子网的规模的。 例如，子网213.111.0.0/24，就是一个C类地址网络，子网213.111.0.0/23，就是一个超网。 包括213.111.0.0/24和213.111.1.0/24两个C类地址网络。 （1）共32位； （2）对应网络前缀，全部为1； （3）其余位（主机部分），全部为0。 如：子网213.111.0.0/23的子网掩码是255.255.254.0。

运算时都转化为4组8位的二进制数（二进制标记法），运算结束再转化为点分十进制数。

等长子网划分

不等长子网划分

IP地址的二进制快速转换，例如202转二进制，以下八位能参与凑整202的位是1 128  64  32  16  8  4  2  1   1     1   0    0   1   0  1  0 划分等长子网：例如划分8个=2^3只需将网络位向后多取3位即可

路由聚合

路由聚合：为了提高路由效率，减少路由表项数，尽可能将能够聚合在一起的子网聚合成一个大的子网。 路由聚合可以视为是子网划分的逆过程。

拓扑题目

DHCP 1、DHCP服务器发现：广播方式。 2、DHCP服务器提供：广播方式。 3、DHCP请求：广播方式。 4、DHCP确认。

DHCP交互图

网络地址转换(NAT)工作原理

（1）对于从内网出去，进入公共互联网的IP数据报，将其IP地址替换为NAT服务器拥有的合法的公共IP地址， 同时替换源端口号，并将替换关系记录到NAT转换表中。 （2）对于从公共互联网返回的IP数据报，依据其目的IP地址与目的端口号检索NAT转换表， 并利用检索到的内部私有IP地址与对应的端口号替换目的IP地址和目的端口号，然后将IP数据报转发到内部网络。

NAT穿透技术 NAT不能被动接受外网主机主动与内网主机的通信，如何解决NAT对内网的“屏蔽”，使外网能够访问内网的服务呢？ NAT穿透技术就是在外网主机主动与内网主机发起通信之前， 先在NAT转换表中建立好内网到外网的映射，使内网运行的服务以NAT公网地址的“合法”身份“暴露”出去。

NAT

ICMP

ICMP的主要功能是进行主机或路由器间的网络层差错报告与网络探测

ICMP报文

IPV6

IPv6地址长度为128位，通常采用8组冒号分隔的十六 进制数地址形式表示。

单播地址：唯一标识网络中的一个主机或路由器网络接口，可以作为源地址和目的地址。

组播地址：标识网络中的一组主机，只能用作目的地址。 （向一个组播地址发送IP 数据报，所有成员都会收到这个IP数据报副本）。

任播地址：标识网络中的一组主机，只能用作目的地址。 （向一个任播地址发送IP 数据报，只有某个成员会收到这个IP数据报）。

1. 一种实现IPv4与IPv6共存的有效解决方案是采用双协议栈。 2. 同时具有IPv4与IPv6两种地址的结点如何来感知通信另一结点提供什么版本的网络层 服务？——DNS。 IPv6数据报途经的路由器，并不全是能够提供IPv6服务的结点！——隧道。

六、路由选择算法

将网络抽象为一个带权无向图G=（N，E），其中N是结点的集合，E是边的集合。 结点：网络中的路由器； 边：连接两个路由器的网络链路； 边的权值：网络链路的费用（比如带宽、时延等）。 c（x，y）表示两个结点x和y之间的边的权值。 如果x和y之间存在边，则c（x，y）等于边的权值，否则，c（x，y）=∞。 如，c（x，y）=10，c（x，u）=∞，路径｛x，y，u，v｝的费用是80。

1. 全局式路由选择算法：需要根据网络的完整信息来计算最短路径。如：链路状态路由选择算法（LS算法）。

2. 分布式路由选择算法：结点只需获知与其相连的链路的“费用”信息， 以及邻居结点通告的到达其他结点的最短距离（估计）信息，经过不断的迭代计算， 最终获知经由哪个邻居可以具有到达目的结点的最短距离。如：距离向量路由选择算法（DV算法）。

Dijstra

信息

最短路径过程

构建路由转发表

距离向量路由选择算法

距离向量路由选择算法的基础是Bellman-Ford方程（简称B-F方程）。 令dx(y)表示结点x到结点y的路径的最低费用（即广义最短距离），根据B-F方程，有以下公式：

1.x，y，z结点先初始化，得到初始化向量DV。 2.邻居结点进行第一次DV交换。x的距离向量（0，2，7）变为（0，2，5）， z的距离向量（7，3，0）变为（5，3，0），结点y未发生改变。结点x和z需要把新的距离向量通告给邻居，y 不需要通告。 3.x，y，z分别收到了新的通告，再次基于B-F方程，计算最短距离。均未发生改变，各结点均收敛

链路xz的费用很大，链路xy的费用也变得很大时，在这种情况下结点y、z在很长时间都在使用虚假的到达结点x的“最佳”路由， 这就是距离向量路由选择的无穷计数问题。 毒性逆转技术，最大有效费用度量值。

层次化路由选择

LS算法需要全网广播链路状态分组，DV算法需要在邻居路由器之间交换距离向量。 实际应用需要限制在合理的网络规模范围内。 层次化路由选择：实现大规模网络路由选择最有效、可行的解决方案。

将大规模互联网的路由划分为两层，自治系统内路由选择和自治系统间路由选择。 在这种网络中，路由器转发表由自治系统内路由选择协议和自治系统间路由选择协议共同设置。

Internet路由选择协议

Internet层次化路由选择协议

RIP OSPF BGP

1、RIP  RIP：广泛使用，基于距离向量路由选择算法的IGP。 应用层实现的，RIP报文需要封装进UDP数据报。适用小规模AS。     1. 在度量路径时采用的是跳数。     2. RIP的费用定义在源路由器和目的子网之间。     3. RIP被限制的网络直径不超过15跳的自治系统内使用。

题目 解析： RIP是最早的自治系统内路由选择协议之一，目前仍然被广泛使用。RIP是一种基于距离向量路由选择算法（简称DV）的IGP（内部网关协议）。RIP协议在使用DV算法时，有其特性。 首先，RIP在度量路径时采用的是跳数，即每条链路的费用都为1。 其次，RIP的费用是定义在源路由器和目的子网之间的，最短路径的费用就是沿着从源路由器到目的子网的最短路径所经过的子网数量。 第三，RIP被限制在网络直径不超过15跳的自治系统内使用。 距离向量路由选择算法的基本思想是： 网络中的每个结点x，估计从自己到网络中所有结点y的最短距离（注意这里只是估计），记为Dx(y)，称为结点x的距离向量，即该向量维护了从结点x出发到达网络中所有结点的最短距离（即最低费用）的估计； 每个结点向其邻居结点发送它的距离向量的一个拷贝； 当结点收到来自邻居的一份距离向量或者是观察到相连的链路上的费用发生变化后，根据Bellman-Ford方程（计算其到达每个目的结点的最短距离）对自己的距离向量进行计算更新； 如果结点的距离向量得到了更新，那么该结点会将更新后的距离向量发送给它的所有邻居结点。 本题中，B拷贝C发来的路由信息来更新自己的路由表，把原来没有的如到N3目的网络的信息加上，同时，距离更新为在原来的基础上加1（多了B 跳到C这一步）；C中没有的保持不变如N1；C中有信息的如N2，若走B-C-N2，则距离为4+1=5，与原来B中一致，所以不更新；再如N6，若走B-C-N6，则距离为4+1=5，小于原来的8，故更新B的路由表距离为5，下一跳为C；同理计算出N8、N9。 目的网络  距离  下一条路由      N1         7           A      N2         5           C      N3         9           C      N6         5           C      N8         4           E      N9         4           F

2、OSPF  基于链路状态选择算法的IGP。直接封装在IP数据报传输。适用较大规模的AS。 优点： 安全，支持区别化费用度量，支持多条相同费用路径，支持单播路由与多播路由，分层路由

区域边界路由器：如下图中的C、D、E负责为发送到区域之外的分组进行路由选择。

主干路由器：如下图中的B在主干区域中运行OSPF路由算法的路由器。

AS边界路由器：如下图中的A负责连接其他AS。

3、BGP  BGP：实现跨自治系统的路由信息交换。典型版本是BGP4。应用进程实现的，传输层使用TCP。

从相邻AS获取某子网的可达性信息。

向本AS内部的所有路由器传播跨AS的某子网可达性信息。

基于某子网可达性信息和AS路由策略，决定到达该子网的最佳路由。

BGP4种报文

RIP OSPF BGP比较

Chapter5 数据链路层 与局域网

定义

1. 数据链路层∶负责通过一条链路，从一个结点向物理链路 直接相连的相邻结点，传送网络层数据报，中间不经过任何其他交换结点。

2. 数据链路在物理链路之上，基于通信协议来控制数据帧传输的逻辑数据通路， 实现数据链路层协议的典型硬件实体是∶网络适配器（NIC，网卡）

数据链路层的传输单元为帧

一、数据链路层服务

1. 组帧 帧头（帧首）：发送节点和接收结点的地址信息。 帧尾：用于差错检测的差错编码。

2. 链路接入 物理链路可以分为点对点链路和广播链路两大类。 点对点链路：发送节点和结束结点独占信道。 广播链路：通信链路被多个结点共享。

3. 可靠交付 无线链路（出错率高）：支持可靠数据传输的数据链路层协议光纤、双绞线（出错率低） 不提供可靠传输的数据链路层协议

4. 差错控制：数据链路层帧在物理媒介上的传播过程，可能会出现比特翻转的差错。 误比特率：出现差错的比特数/传输比特总数

二、差错控制

通过差错编码技术，实现对信息传输差错的检测， 并基于某种机制运行差错纠正和处理。

差错控制的基本方式

1. 检错重发：发送端对待发送数据进行差错编码，编码后的数据通过信道传输， 接收端利用差错编码检测数据是否出错。 若出错：接收端请求发送端重发数据加以纠正。

2. 前向纠错：接收端进行差错纠正的一种差错控制方式。 利用纠错编码，这类编码不仅可以检测数据传输过程中是否发生了错误， 还可以定位错误位置并直接加以纠正。 适用于单工链路或者对实时性要求比较高的应用。

3. 反馈校验：接收端将收到的数据原封不动发回发送端， 发送端通过对比接收端反馈的数据与发送的数据 可以确认接收端是否正确接收的已发送数据。若有不同，立即重传数据。 优点：原理简单，易于实现，无须差错编码； 缺点：需要相同传输能力的反向信道，传输效率低，实时性差。

4. 检错丢弃：如果网络应用对可靠性要求不高，可以采用不纠正出错数据，直接丢弃错误数据。 适用于实时性较高的系统。

丢校重纠

差错编码的基本原理

香农信道编码定理指出：对于一个给定的有干扰信道，只要发送端以低于信道容量 C 的数据速率 R 发送信息， 则一定存在一种编码方法，使得编码错误概率 P 随着码长 n 的增加而按指数下降至任意小的值。

原理：在待传输（或待保护）数据信息基础上，附加一定的冗余信息，该冗余信息建立起数据信息的某种关联关系， 将数据信息以及附加的冗余信息一同发送到接收端，接收端可以检测冗余信息表征的数据信息的关联关系是否存在。 如果存在则没有错误，否则就有错误。

差错编码的检错与纠错能力

不同差错编码的检错或纠错能力是不同的。 差错编码的检错或纠错能力与编码集的汉明距离有关。

汉明距离：两个等长码字之间，对应位数不同的位数。 如：码字 01100101 与码字 10011101 之间的汉明距离 dc=5。

差错编码的所有有效码字的集合称为该差错编码的编码集。 一个编码集的汉明距离为该编码集中任意 两个码字之间汉明距离的最小值。 如：编码集｛10000111, 10010110, 10100101, 10110100｝的汉明距离 ds=min{2,2,4,4,2,2}=2。

对于检错编码，如果编码集的汉明距离 ds=r+1，则该差错编码可以检测 r 位的差错。 如果数据为 2 位数据，则采用一次重复差错编码的编码集为： 0011，0101，1010，1111｝（下划线 部分为冗余信息）。 显然该编码集的汉明距离 ds=2,如果发生 1 位差错，可以 100%被检测出来。

对于纠错编码，如果编码集的汉明距离 ds=2r+1，则该差错编码可以纠正 r 位的差错。 如果数据为 2 位数据，则采用二次重复差错编码的编码集为｛000000，010101，101010，111111 },  显然该编码集的汉明距离 ds=3，如果发生 1 位差错，则错码（即无效码字）距离发生错误的有效码字 的汉明距离最近可以恢复为该有效码字。 例如，如果接收端收到的码字为 100010，则码字 100010 与有效码字 101010 之间的汉明距离 1 最小。 因此将 100010 恢复为 101010。

利用 1 位冗余信息实现差错检测，1 位 冗余位的取值为 “0” 或“1”。

典型的差错编码

1. 奇偶校验码 （检错码） 优点是编码简单、编码效率髙，是开销最小的检错编码。 缺点是检错率不高。

奇校验码：编码后的码字中“1”的个数为奇数。  如：对于数据 10110111，采用奇校验码编码后的码字为 101101111。

偶校验码：编码后的码字中“1”的个数为偶数。 如：对于数据 10110111，采用偶校验码编码后的码字为 101101110。

2.汉明码 典型的线性分组码，可以实现单个比特差错纠正。 当信息位足够长时，它的编码效率很高。

㊉表示按位异或运算操作：参与运算的两个位值，如果两个位值相同，则结果为 0， 否则为 1。

若一个信息位为 k=n-1 位的比特流 an-1an-2…a1，加上偶校验位 a0， 构成一个 n 位的码字 an-1an-2… a1a0。 在接收方校验时，可按关系式 S = an-1 ㊉ an-2 ㊉ … a1 ㊉ a0 （监督关系式）来计算， 若 S=0，则无错；若 S=1，则有错。 S 称为校正因子

3.CRC循环冗余码 现今的计算机网络中，尤其在数据链路层协议中， 广泛应用的差错编码是循环冗余检测（CRC）编码， 简称循环冗余码，或称 CRC 码。 基本思想：将二进制位串看成是系数为 0 或 1 的多项式的系数。

假设 CRC 编码采用的生成多项式 G(x)=x^4+x+1，请为位串 10111001 进行 CRC 编码。 解： 1.  (1 * x^4) + (0 * x^3) + (0 * x^2) + (1 * x^1) + (1 * x^0) = x^4 + x +1; 则对应的比特串为：10011。 2. 在待编码位串10111001后添加0000（添加0的位数为多项式位数-1，即len(10011) - 1）， 得到101110010000. 3. 求得的余数添加在待编码位串后，即为 CRC 码：101110011001。

若接收方收到的二进制数字序列为 11010110111101， CRC 生成多项式为 x^4+x+1，试说明数据传输过程中是否出错（要求写出计算机过程）。 答案：多项式 x^4+x+1 对应的位串是 10011，余数不为 0，说明数据传输过程中出错。

三、多路访问控制协议

点对点信道（信道被通信双方独享）

广播信道 使用一对多广播通信方式，连接的结点很多，信道被所有结点共享， 必须使用多路访问控制协议（Multiple Access Control MAC） 来协调结点的数据发送。

1. 信道划分MAC协议 Multiple Access Control 采用多路复用技术实现信道共享

1. 频分多路复用（FDM Frequency Division Multiplexing）：也称频分复用。 频域划分制，在频域内将信道带宽划分为多个子信道，并利用载波调制技术， 将原始信号调制到对应的某个子信道的载波信号上，使得同时传输的多路信号 在整个物理信道带宽的允许范围内频谱不重叠，从而共用一个信道。 FDM 常用于模拟传输的宽带网络中。  优点：分路方便，在有线和微波通信系统中应用十分广泛。 缺点：串扰、不易小型化、不提供差错控制技术，以及不便于性能监测。

2. 时分多路复用（TDM Time Division Multiplexing）：也称时分复用。时域划分制， 即将通信信道的传输信号在时域內划分为多个等长的时隙， 每路信号占用不同的时隙，在时域上不重叠， 使多路信号合用单一的通信信道，从而实现信道共享。 TDM 系统的接收端，根据各路信号在通信信道上所占用的时隙分离、还原信号。

1、同步时分多路复用(STDM Sync)： 按照固定顺序把时隙分配给各路信号。易造成信道资源浪费。

2、异步时分多路复用(ATDM Async)： 也称作统计时分多路复用（STDM Statistic Time）。 用户的数据并不是按照固定的时间间隔发送的。 时隙与用户之间没有固定的对应关系，所以必须 在每个时隙加上用 户的标识，以标记该时隙传输 的是哪个用户的数据。 主要应用于高速远程通信，但有技术复杂性比较高， 存在需要传输用户标识等的额外数据传输开销， 信道共享冲突问题。

3. 波分多路复用（WDM Wave）：也称波分复用，实质是一种频分多路复用。 波分多路复用是指在一根光纤中，传输多路不同波长的光信号， 由于波长不同，所以各路光信号互不干扰，最后利用波长解复用器将各路波长的光载波分解出来。 广泛用于光纤通信，为了实现长距离的高速传输速率，通常采用波分多路复用和光纤放大器。

4. 码分多路复用（CDM Code Division Multiplexing）：又称码分复用，通过利用更长的相互正交的码组分别 编码各路原始信息的每个码元（比如 1 位），使得编码后的信号（已调信号）在同一信道中混合传输， 接收端利用码组的正交特性分离各路信号，从而实现信道共享。 从编码域划分，基于扩频技术。 并称 p(X ,Y) =0 是码组 X 和 Y 相互正交的必要条件。

子主题

如题：得到向量S-T结果为：8/8-2/8 = 1, 8/2 - 8/8= -1;

2. 随机访问MAC协议

随机访问 MAC 协议：就是所有用户都可以根据自己的意愿随机地向信道上发送信息。 如果没有其他用户，则发送成功； 如果有两个或两个以上用户都发送信息，则产生冲突或碰撞，导致用户发送信息失败， 每个用户随机退让一段时间后，再次尝试，直至成功。 特点：站点可随时发送数据，争用信道，容易发生冲突，需要消解冲突的机制，但能够灵活适应站点数目及其通信量的变化。

1. ALOHA 协议： 最早的，最基本的无线数据通信协议。 分为纯 ALOHA 和时隙 ALOHA。

1、纯 ALOHA 工作原理：任何一个站点有数据发送时就可以直接发送至信道。 发送数据后对信道进行侦听， 如果收到应答信号，说明发送成功；否则说明发生冲突， 等待一个随机时间重新发送，直到成功为止。 性能：网络负载不能大于 0.5。

2、时隙 ALOHA 工作原理：把信道时间划分为离散的时隙，每个时隙为发送一帧所需的时间， 每个通信站点只能在每个时隙开始的时刻发送帧。 如果在一个时隙内发送帧出现冲突，下一个时隙以概率 p 重发该帧， 直到帧发送成功。p 不能为 1，否则会出现死锁。 性能：相比纯 ALOHA 性能有所提升，降低了冲突的概率，但是网络负载不能超过 1。

2. 载波监听多路访问协议（CSMA）： 特点：通过载波监听装置，使通信站在发送数据之前， 监听信道上其他站点是否在发送数据， 如果在发送，则暂时不发送，从而减少了发生冲突的可能。

1、非坚持 CSMA 基本原理：若通信站有数据发送，先侦听信道； 若发现信道空闲，则立即发送数据； 若发现信道忙或发送数据时产生冲突， 则等待一个随机时间，然后重新开始侦听信道，尝试发送数据。 优点：减少了冲突的概率。 缺点：数据发送延迟增大。

2、1-坚持 CSMA 基本原理：若通信站有数据发送，先侦听信道； 若发现信道空闲，则立即发送数据； 若发现信道忙，则继续侦听信道直至发现信道空闲，然后立即发送数据。 若产生冲突，发现冲突后通信 站会等待一个随机时间，然后重新开始发送过程。 优点：减少了信道的空闲时间。 缺点：增加了发生冲突的概率。

3、P-坚持 CSMA（适用于时隙信道（即同步划分时隙）） 基本原理：若通信站有数据发送，先侦听信道；若发现信道空闲， 则以概率 P 在最近时隙开始时刻发送数据， 以概率 Q=1-P 延迟至下一个时隙发送。 若下一个时隙仍空闲，重复此过程， 直至数据发出或时隙被其他通信站占用； 若信道忙，则等待下一个时隙，重新开始发送过程； 若发送数据时发生冲突，则等待一个随机时间，然后重新开始发送过程。

3. 带冲突检测的载波监听多路访问协议（CSMA/CD）

1. 基本原理：通信站使用 CSMA 协议进行数据发送； 在发送期间如果能检测到碰撞，立即终止发送，并发出一个冲突强化信号， 使所有通信站点都知道冲突的发生； 发出冲突强化信号后， 等待一个随机时间，再重复上述过程。 先听后说，边听边说

2. CSMA/CD 的工作状态分为：传输周期、竞争周期、空闲周期。 传输状态：一个通信站使用信道，其他站禁止使用。 竞争状态：所有通信站都有权尝试对信道的使用权。 空闲状态：没有通信站使用信道。

3. 在使用 CSMA/CD 协议实现多路访问控制时，需要满足下列约束关系： Lmin 为数据帧最小长度；R 信息传输 速率； Dmax 为两通信站之间的最远距离；v 为信号传播速度。

1S = 10^3ms = 10^6us = 10^9ns

3. 受控接入MAC协议

受控接入的特点： 各个用户不能随意的接入信道而必须服从一定的控制。

1. 集中式控制： 系统有一个主机负责调度其他通信站接入信道，从而避免冲突。 主要方法是轮询技术，又分为轮叫轮询和传递轮询。

1. 轮叫轮询： 轮叫轮询：主机轮流查询各站，询问有无数据要发送。 缺点：轮询帧在共享线路上不停地循环往返， 形成了较大的开销，增加了帧发送的 等待时延。

2. 传递轮询： 主机先向站 N 发出轮询帧， 站 N 在发送数据后或在告诉主机没有数据发送时， 即将其相邻站(站 N-1)的地址附上。

2. 分散式控制： 方法就是令牌技术。 令牌是一种特殊的帧，代表了通信站使用信道的许可， 在信道空闲时一直在信道上传输， 一个通信站想要发送数据就必须首先获得令牌， 然后在一定时间内发送数据，在发送完数据后重新产生 令牌并发送到信道上，以便其他通信站使用信道。

令牌丢失和数据帧无法撤销，是环网上最严重的两种错误， 可以通过在环路上指定一个站点作为主动令牌管理站，以此来解决这些问题。

四、局域网

局域网的数据 链路层拆分为 两个子层 逻辑链路控制（LLC）子层（面向网络层） 介质访问控制 MAC 子层 （与介质访问控制有关的内容都放在MAC子层）

数据链路层寻址与 ARP

MAC 地址

不是主机或路由器具有链路层地址，而是它们的适配器（即网络接口卡）具有链路层地址， 或称为 MAC 地址、物理地址、局域网地址等，用来标识局域网中的结点或网络接口。 每个接口对应一个 MAC 地址。链路层的交换机（第二层交换机）的接口没有相关联的链路 层地址。  MAC 地址具有唯一性，类似人的身份证号，IP 地址类似邮政地址。

1. 以太网和 IEEE 802.11 无线局域网，使用的 MAC 地址长度为 6 字节，即 48 位。     共有 248 个可能的 MAC 地址。 2. 十六进制表示法：每个字节表示一个十六进制数，用“-”或“:”连接起来。     如：00-2A-E1-76-8C-39 或者 00:2A:E1:76:8C:39。     其中，MAC 广播地址：48 位全为 1 的地址，即 FF-FF-FF-FF-FF-FF。 3. 通常来说，适配器的 MAC 地址是固定不变的，由电气和电子工程师协会（IEEE）统一管理。     负责分配 MAC 地址的前 24 位的 MAC 地址块，厂商自己分配后 24 位。

ARP地址解析协议

ARP：根据本网内目的主机的或默认网关的 IP 地址获取其 MAC 地址。

ARP 的基本思想：在每一台主机中设置专用内存区域， 称为 ARP 高速缓存（也称为 ARP 表）， 存储该主机所在局域网中其他主机和路由器（即默认网关） 的 IP 地址与 MAC 地址的映射关系， 并且这个映射表要经常更新。通常过期时间是 20min。

①ARP 查询分组是通过一个广播帧发送的，而ARP响应分组是通过一个标准的单播帧发送的。 ②ARP 是即插即用的，也就是说，一个 ARP 表是自动建立的，它不需要系统管理员来配置。

.ARP 可认为是链路层协议，也可认为是网络层协议

以太网

1. 以太网是到目前为止最流行的有线局域网技术。因其“物美价廉”。 2. IEEE 802.3 系列标准以以太网为基础。 3. 经典的以太网是采用粗同轴电缆连接的总线型以太网（10Base-5），     其数据传输速率为 10 Mbit/s, 一个冲突域内最多有 5 个网段，     每段最长为 500 m，网段和网段之间用中继器连接，     最多有 4 个中继器。     MAC 协议采用 CSMA/CD 协议。根据 CSMA/CD 协议的工作原理，     以太网帧中的数据字段最少要 46 字节（如果不足 46 字节，则需要填充）。 4. 经典以太网的争用期为 51.2μs，     相聚最远的主机间信号往返产生的总的传播时延约为51.2us     以太网在发送数据时，若前 64 字节没有发生冲突，则后续的数据就不会发生冲突。     若发生冲突，如果发生冲突则立即停止发送，并推迟（退避）一个随机 时间才能再     尝试重发。推迟的随机时间是由截断二进制指数退避算法确定：退避时间取为争用     期 2t 的 r 倍，其中，r 从整数集合［0, 1，…，（2k-1）］中随机地取出一个数，     k=Min［连续冲突次数，10］， 当 k≤10 时，参数 k 等于连续冲突次数；当连续冲     突次数达到 16 次仍不能成功发送帧时，即放弃该帧传输， 并向高层报告。 L = 2D/V （51.2 * 10^-6) * 10 * 10^6 = 512位。64字节 以太网最短帧长为 64 字节，数据字段最少 46 字节，最长帧为1500+18=1518字节

如果 10BASE-T 以太网中的某个主机在尝试发送帧， 连续很多次发生冲突，试问该主机在放弃尝试发送 帧之前，可能的等待（退避）时间最长是多少？为什么？ 答：51.2×(2^10-1)=52377.6us≈52ms 推迟的随机时间是由截断二进制指数退避算法确定： 退避时间取为争用期 2t 的 r 倍，其中，r 从整数集 合［0, 1，…，（2k-1）］中随机地取出一个数，     k=Min［连续冲突次数，10］， 当 k≤10 时， 参数 k 等于连续冲突次数

一个主机在发送数据帧后最多经过时间 2t， 就可知道发送的数据 帧是否冲突，其中 2t 称为争用期或碰撞窗口， 为一个冲突域内相 距最远的两个主机间的端到端传播时延的 2 倍

冲突域是指： 在一个局域网内，如果任意两个结点同时向物理介质中发送信号（数据）， 这两路信号一定会在物理介质中相互叠加或干扰，从而导致数据发送的失败 ，那么这两个结点位于同一个冲突域。 同一个冲突域内的任意两个结点的连 接，或者是由物理链路直接相连，或者通过中继器或者集线器等物理层设备 互连，不会存在诸如交换机等第二层设备，也不会存在诸如路由器等第三层设备。

广播域是指：任一结点如果发送链路 层 广 播 帧 （ 即 目 的 MAC 地 址 为 FF-FF-FF-FF-FF-FF）的话， 接收该广 播帧的所有结点与发送结点同属于一 个广播域。 一个广播域内不会存在第三层设备，可能存 在第二层设备， 如交换机。一个局域网的广 播域通常对应一个子网。

交换机可以隔离冲突域，但是不能隔离广播域。  利用路由器或通过 VLAN 划分，可以实现广播域的分割。

1. 以太网帧结构

1、目的地址和源地址：MAC 地址。 2、类型：标识上层协议。如：0x0800 表示 IP 数据报。      使得以太网可以复用多种网络层协议。 3、数据：封装的上层协议的分组，数据字段最少 46 字节。 4、CRC：校验采用循环冗余校验。 注意：以太网向网络层提供的是无连接不可靠服务。

交换机

交换机就是多端口的网桥，是目前应用最广泛的数据链路层设备。 可以依据接收到的链路层帧的目的 MAC 地址，选择性地转发到 相应的端口，这就是 交换机的转发与过滤功能。

交换机的基本工作原理： 是当一帧到达时，交换机首先需要决策将该帧丢弃还是转发， 如果是转发的话，还必须进一步决策应该将该帧转发到哪个 （或哪些）端口去。决策依据是，以帧的目的 MAC 地址为 主键查询内部转发表。

如果交换表中有帧的目的 MAC 地址对应的交换表项， 且对应的端口与接收到该帧的端口相同，则丢弃该帧 （即 无须转发）， 否则向表项中的端口转发帧（选择性转发）。

如果交换表中没有帧的目的 MAC 地址对应的交换表项， 则向除接收到该帧的端口外的所有其他端口转发该帧 （即泛洪）。

以太网交换机的自学习

1、以太网交换机有 4 个端口，各连接一台计算 机，其 MAC 地址分别是 ABCD。 2、开始，以太网交换机里面的交换表是空白的。 3、A 向 B 发送一个帧，从端口 1 进入交换机。 4、交换机先查询交换表，没找到往哪里转发该 帧。 5、交换机就把这个帧的源 MAC 地址 A 和端口 1 写入交换表，完成第一次学习。 6、除向端口 1 以外所有端口泛洪（广播）这个 帧。 7、C、D 丢弃该帧，B 接收。 8、同理，B 向 A 发送一个帧，完成第二次学习。

交换机划分题目

交换机划分题目

优点：消除冲突，支持异质电路，网络管理

虚拟局域网VLAN

虚拟局域网（VLAN）： 是一种基于交换机（必须支持 VLAN 功能）的逻辑分割（或限制）广播域的局域网应用形式。 VLAN 的设置是在以太网交换机上，通过软件方式实现的。

划分虚拟局域网的方法

基于交换机端口划分：通常每个交换机端口属于一个 VLAN 也可以有同时属于所有 VLAN 的特殊端口，如 Trunk 端口）。

基于 MAC 地址划分：按每个连接到交换机的主机 MAC 地址定 义 VLAN 成员。

基于上层协议类型或地址划分：根据链路层帧所携带数据中的上 层协议类型（如 IP）或地址（如 IP 地址）定义 VLAN 成员，这 种方法的优点是有利于组成基于应用的 VLAN。

五、点对点链路协议PPP

MAC协议都是用于共享链路的。 点对点链路：不存在介质共享问题，不需要 MAC 协议。 这类链路大多应用于广域网中。

PPP

PPP：现在全世界使用得最多的点对点链路的数据链路层协议。

1) 成帧：确定一帧的开始和结束，支持错误检测。 2) 链路控制协议（LCP）：启动线路、检测线路、协商 参数、关闭线路。 3) 网络控制协议（NCP）：协商网络层选项。 PPP 是面向字节的，所有的 PPP 帧的长度都是整数字节.

标志字段：0x7E（符号“0x”表示后面的字符是用十六进制表示，7E 的二进制表示是 01111110）。 地址字段：0xFF（即 11111111），地址字段实际上并不起作用。 控制字段：0x03（即 00000011）。 协议字段：告诉 PPP 接收方所接收的封装数据（即 PPP 帧信息字段的内容）所属的上层协议。 检验和字段：用于检测已传输帧中的比特差错，使用 2 或 4 字节的 CRC 编码。

在成帧时，如果 01111110 出现在除标志字段以外的任何地方， PPP 就在01111110 之前插入控制转义字节 01111101； 类似地，如果控制转义字节的比特模式自身作为实际数据出现， 它前面也必须填充一个控制转义字节。

HDLC协议 High-level Data Link Control

帧的定界符：01111110。 地址字段：用于标识一个终端。 控制字段：用作序列号、确认、查询与结束：     序列号 Seq 为 3 位，是当前帧的序列号。     Next 字段用于确认 Next 之前的帧（捎带确认），     Next 值表示期望接收的下一帧。 T/F 位中的 T 位表示主机询问终端，     终端发送帧结束时置 F 位。 数据：传送的内容。 校验和：采用循环冗余码校验。

HDLC3种类型的帧

HDLC 协议提供数据透明传输：使用位填充技术。 发送端扫描整个数据字段（多采用速度较快的硬件实现）， 只要发现 5 个连续的 1，就立即插入 一个 0，经过此过程处 理后，数据字段不会出现连续的 6 个 1。 接收端接收到一个 帧后，先找到标志字段 01111110 确定帧的边界，接着利用硬 件扫描整个比特 流，当发现 5 个连续的 1，就删除其后的 0， 以还原成原来的信息。

Chapter6 物理层

一、数据通信基础

1.数据通信基本概念

将人类能够感知的描述称为消息，比如眼睛能看到文字和图像 ，耳朵能听到声音等统称为消息。 信息是一个抽象的概念，可 以理解为消息中所包含的有意义的内容。而消息是信息的载体。

现在讨论的通信，一般 都是指电通信。能够实现通信功能的 各种技术、设备和方法的总体，称为通信系统。

数据是对客观事物的性质状态以及相互关系等进行记载的符号及 其组合，通常可以是数字、文字、图像等， 也可以是其他抽象的符号。

信道：信号传输的介质，或信道是以传输介质为基础的信号通道。 分为狭义信道和广义信道。

信号：在通信系统，特别是电通信系统中，传递信息需要有适合的载体 在传输通道中传播，这样的载体称之为信号。分为连续信号和离散信号。 在通信过程中，信息的载体是信号

2.数据通信系统模型

数据通信系统的构成

1、信源：将消息转换为信号的设备。 2、发送设备：将信源产生的信号进行适当变换的装置。主要包括编码和调制。 3、信道：传输信号的媒介。 4、接收设备：完成发送设备的反变换，即进行译码和解调。 5、信宿：信号的终点，将信号转换为供人们识别的消息。 6、噪声：自然界和通信设备所固有的，对通信信号产生干扰和影响的各种信号。

模拟通信和数字通信

信道中传输的是模拟信号，信号的因变量 完全随连消息 的变化而变化的信号。自变量可以是连续的，也可以是 离散的；但其因变量一定是连续的。如传统的电视图像 信号、电话语音信号等。

信道中传输的是数字信号，因变量和自变量的取值都是离散 的。如计算机数据、数字电话和数字电视等。 数字通信比 模拟通信有着许多优势（如：抗干扰 性强和保密性好）， 因此目前的数据通信系统更 多的是采用数字信号的传输技术。

数据通信系统与数字通信系统的概念并不完全相同。 数字通信系统是指信道中传输的信号是离散的数字 信号。 数据通信系统是指在信源和信宿端处理的是 二进制数据，在信道中传输的信号可以是模拟信号，  也可以是数字信号。

数据通信方式

1.按数据传输方向

1. 单向通信：任何时间都只能有一个方向的通信。如：无线电广播。 2. 双向交替通信（半双工）：通信的双方都可以发送信息，但不能 双方同时发 送（或同时接收）。如：无线对讲机系统。 3. 双向同时通信（全双工）：通信双方可以同时发送和接收信息。如 电话网、 计算机网络。

2. 二进制数据传输 的时空顺序

1. 并行通信：全部位（bit）同时进行传送。速度快，但造价高， 不适用于长 距离的传输。一般只在计算机内部元器件之间使用。 如计算机与存储器的总线传输。

2. 串行通信：数据的一个字节中每一位（bit）依次在这条通道 上传输。一般应用于长距离数据传输。如计算机设备中常用的 RS-232 接口和 USB 接口。

3.收发方对数 据保持步调一 致的措施

1. 异步通信：以字符为单位独立发送，不需要在收发两端间 传输时钟信号。简单，但传输效率较低，只适用于低速数据传输系统。

2. 同步通信：以数据块为单位进行发送，每个数据块内包含 有多个字符。收发双方需建立同步时钟。复杂，但传输效率 高，开销小，适合于髙速数据传输系统。

异步和同步本质上都属于同步技术。两者的区别在于发送端和 接收端的时钟是独立的还是同步的。 同步技术是指通信系统 中实现收发两端动作统一、保持收发步调一致 的过程。

数据通信系统的功能

二、物理介质

引导型传输介质

引导型传输介质：又可称为有线信道，以导线为传输介质， 信号沿导线进行传输，信号的能量集中在导线 附近，因此 传输效率高，但是部署不够灵活。

引导型传输介质有线信道

非屏蔽双绞线UTP

光纤的优点： 1. 通信容量非常大，最高可达 100 Gbit/s 2. 传输损耗小，中继距离长，对远距离传输特别经济 3. 抗雷电和电磁干扰性能好 4. 无串音干扰，保密性好，不易被窃听截取 5. 体积小，重量轻

非引导型传输介质

当通信距离很远时，铺设电缆或光纤既昂贵又费时。 利用无线电在自由空间的传播就可以较快地实现多种通信， 将自由空间称为“非导引型传输媒介”，又称为无线信道。

根据电磁波频率、通信距离与位置的不同，电磁波的传播可以分为：

三、信道与信道容量

信道类型和模型

狭义信道：信号传输介质

广义信道： 信号传输介质+通信系统的变化装置

调制信道：指信号从调制器的输出端传输到解调 器的输入端经过的部分。模拟信道。

编码信道：指数字信号由编码器输出端传输到译 码器输入端经过的部分，包括其中的所有变换装 置与传输介质。数字信道。编码信道可分为无记 忆编码信道和有记忆编码信道。

信道传输特性

随参信道：如果信号通过信道发 生的畸变是时变的，这种信道称 为随机参数信道。

特性： 1）信号的传输衰减随时间随机变化。 2）信号的传输时延随时间随机变化。 3）存在多径传播现象。 许多无线信 道都是随参信道，如依靠地波和天波 传播的无线电信道、部分视距传播信 道以及各种散射信道等。

多径传播是指由发射天线发出的电磁 波可能经过多条路径到达接收端，每 条路径对信号产生的衰减和时延都随 时间随机变化，因此，接收端接收的 信号是经多条路径到达的衰减与时延 随时间变化的多路信号的合成。多径 传播对信号传输质量影响很大，这种 影响称为多径效应。

恒参信道：如果畸变与时间无关， 这种信道称为恒定参数信道。

特性： 1）对信号幅值产生固定的衰减。 2）对信号输出产生固定的时延。 各种有线信道和部分无线信道， 如微波视线传播链路和卫星链 路等，都属于恒参信道。理想 的恒参信道是一个理想的无失 真传输信道。

信道的带宽是指能够有效通过该信道的信号的最大频带宽度。 用码元速率（或符号速率）描述， 单位 Baud。 传输速率描述信道单位时间内传输码元（或符号）或信息的 能力。用传信率（或称信息速率） 来描述，单位为 bit/s（位/秒） 一般情况下，经常用信道容量来描述或衡量信道的传输能力。

信道容量

信道容量是指信道无差错传输信息的 最大平均信息速率。信道容量用于描述 信道传输能力的理论上限。

连续信道： 调制信道是一种连续信道， 即输入和输出信号都是取值连续的

连续信道容量计算公式 根据奈奎斯特第一准则，对于理想无噪声 的基带传输系统，最大频带利用率为 2 Baud/Hz。

信噪比计算和信道容量计算

在无噪声情况下，若某通信链路的宽带为 3kHz，采用 4 个相位， 每个相位具有 4 种振幅的 QAM 调制 技术，则该通信链路的最大数据传输速率是多少？ 答：最大数据传输速率 = 2B1og2M = 2×3kHz×log2(16)=2×3k×4=24kbit/s

离散（或数字）信道： 编码信道是一种离散信道，输入与输出信 号都是取值离散的时间函数

离散信道容量

四、基带传输

信源分为模拟信源和数字信源。 数字信源发出的基带信号为数字基带信号， 在数字通信系统中的传输方式有基带传输和频带传输

1. 基带传输的基本概念

直接在信道中传送基带信号，称为基带传输。 实现基带传输的系统称为基带传输系统。 在信道中直接传输数字基带 信号，称为数字基带传输。 实现数字基带传输的系统 称为数字基带传输系统。

数字基带传输系统主要有哪些部分组成？各部分的主要功能是什么？ 1.信号形成器：把原始的数字基带信号变换为适合信道传输特性的数字基带信号。 2.信道：实现从发送端到接收端的信号传送。 3.接收滤波器：滤除噪声，得到有利于抽样判决的基带波形。 4.抽样判决器：基于同步提取从信号中提取的定时脉冲， 对接收滤波器输出的基 带波形进行抽样判决，再生数字基带信号。 5.同步提取：使抽样判决器从信号中提取定时脉冲。

2. 数字基带传输编码

1. 单极不归零码（NRZ Not Return To Zero） 二进制数字符号 0 和 1 分别用零电平和正电平（ 也可以用负电平）表示。 脉冲幅值要么是正电平，要么是零电平，只有一个极性。——“单极” 整个脉冲持续时间内，电平保持不平，且脉冲持续期结束也不要求回归 0 电平。——“不归零” 特点：易于产生，但不适合长距离传输。

2. 双极不归零码 二进制数字符号 0 和 1 分别用负电平和正电平表示（也可以反过来） 特点：在 0 和 1 等概率出现的情况下，不会产生直流分量， 有利于在信道中传输，且抗干扰能力强。

3. 单极归零码（RZ） 二进制数字符号 0 和 1 分别用零电平和正电平表示 每个正脉冲持续期的中间时刻，电平要由正电平回到零电平

4. 双极归零码 二进制数字符号 0 和 1 分别用负电平和正电平表示。 每个正、负脉冲持续期的中间时刻，电平都要回到零电平。 特点： (1) 在 0 和 1 等概率出现的情况下，不会产生直流分量，有利于在信道中传输，且抗干扰能力强。 (2) 归零码（包括单极归零码和双极归零码）均有利于时钟信号的提取，便于同步。

5. 差分码 又称为相对码（与之对应的 NRZ、RZ 等称为绝对码）。 利用电平的变化与否来表示信息。相邻的电平跳变表示 1，无跳变表示 0。 （首先，求出差分码，原码第一位默认和 0 比较，原码的下一位和求出的差分码比较； 然后，根据差分码来画。） 例如：原码：1100100111 差分码：1000111010

1. AMI码 AMI 码的全称是信号交替反转码。 用 3 种电平进行编码，零电平编码二进制信息 0；二进制信息 1 则交替用正电平和负电平表示。 优点： (1) 由于采用正、负脉冲交替编码信息，不会产生直流分量的积累，有利于进行基带传输。 (2) AMI 码的编译码电路实现简单，并且可以利用正、负脉冲交替变化的规律检测误码。 缺点：当信息码中出现大量连续的 0 位串时，AMI 码的信号电平会长时间保持不变，            这样会造成 定时信息提取困难。

.假设信息码为 100001000011000011，请给出对应的 AMI 码，并画出相应 的信号波形（归零信号）。

2. 双相码 双相码，又叫曼彻斯特码。 只有正、负电平，每位持续时间的中间时刻都要进行电平跳变。 正电平跳到负电平表示 1，负电 平跳到正电平表示 0。利用 2 位编码信息码中的 1 位。 优缺点：便于提取定时信息，且不会产生直流分量。可以实现在传输数据的同时提供准 确的同 步信号，但由于带宽开销大，适合近距离数据传输。

曼彻斯特编码的脉冲波形对应的比特串为 01100011； 差分曼彻斯特编码的脉冲波形对应的比特串为 10100101。

3. 差分双相码 差分双相码，又称差分曼彻斯特码。 每位周期的中间时刻也要进行电平跳变，开始处有跳变表示 1，无跳变表示 0。

4. 米勒码 也称为延迟调制码，是一种双相码的变形。 1） 信息码中的 1 编码为双极非归零码的 01 或者 10。 （单个 1 延续前面的电平；连 1 时，后面 的 1 要交替编码。） 2） 信息码中的 0 编码为双极非归零码的 00 或者 11，即码元中间不跳变。 （单个 0 延续前面的 电平；连 0 时，两个 0 码元的间隔跳变。） 特点： 当信息码中出现单个 0 时，会对应出现 2 个码元周期的波形，可以用来宏观检错。 另外， 双相码的每个下降沿均对应米勒码的一个电平跳变。最初主要用于气象卫星通信和磁记录。

5. CMI 码 称为传号反转码，是一种双极性二电平码。 将信息码的 1 位映射为双极不归零码的 2 位。 信息码的 0 编码为双极不归零码的 01； 信息码的 1 交替编码为双极不归零码的 11 和 00。 优点：具有较多电平跳变，有利于定时信息的提取。 10 作为禁用码型，可用于宏观检错。

双相码、米勒码和 CMI 码均利用两位二进制码编码信息码中的一位二进制信息， 这 类码型概括称为 1B2B 码。 nBmB 码 将 n 位二进制信息码作为一组，映射成 m 位二进制新码组，其中 m>n。 故从 2^m个码中选出 2^n 个 有效码，获得良好的编码性能，其余码作为禁用码，可 用于检错。 如：快速以太网（100BASE-TX 和 100BASE-FX）采用 4B5B 码，从  2^5=32 个码中选出 2^4=16 个码， 以便保证足够的同步信息，并可利用剩余的 16 个禁用码进行差错检测。 在光纤数字传输系统中，通常选择 m=n+1 构造编码， 如 1B2B 码、2B3B 码、3B4B 码、5B6B 等。 nBmT 码 将 n 位二进制信息码作为一组，映射成 m 位三进制新码组，其中 m≤n。  如 4B3T 码是对 1B1T 码的改进。可以提高传输效率和频带利用率，适合高速远程传输系统。

五、频带传输

频带传输基本概念

数字调制： 进而将数字基带信号变换为数字通带信号的过程

幅移键控(ASK) 频移键控(FSK) 相移键控(PSK)

数字解调： 在接收数据端需要将调制到载波信号 中的数字基带信号卸载下来，还原为 数字基带信号的过程。

通常将实现调制、传输与解调的传输系统称 为数字频带传输系统。 频带传输也称为通带传输或载波传输。

频带传输中的三种调制方式

1. 二进制数字调制： 是数字通信系统频带传输的基本方式。

二进制幅移键控（2ASK Binary Amplitude Shift Keying） 利用二进制基带信号控制载波信号的幅值变化。 比较典型的是选择 0 和 A 两个不同的幅值。 当基带信号编码信息为 0 时，调制后为一段幅值为 0（即无信号）的载波信号； 当基带信号编码信息为 1 时，调制后为一段幅值为 A 的载波信号。 例如：二进制比特序列 11001001 的非归零码信号波形与幅移键控调制信号波形是：

二进制频移键控（2FSK Binary Frequenct Shift Keying） 相当于选择两个不同频率的载波：f1和 f2。  当基带信号编码信息为 0 时，选择频率为 f1的载波； 当基带信号编码信息为 1 时，选择频率为 f2的载波。  例如：二进制比特序列 11001001 的非归零码信号波形与频移键控（2FSK）调制信号波形是：

二进制相移键控（2PSK Binary Phase Shift Keying）  根据二进制基带信号电平的高低，控制载波信号选择两种不同的相位。 比较典型的是选择相反 的两个载波相位，比如 0 和π或 π/2 和-π/2。（绝对相移键控调制） 当基带信号编码信息为 0 时，选择相位为 0 的载波；（不平移） 当基带信号编码信息为 1 时，选择相位为π的载波。（向右平移π） 1：从0到-1，0:从0到1  例如：二进制比特序列 11001001 的双极不归零码信号波形与相移键控 （2PSK）调制信号波形 是：（注：载波信号初始相位=-π/2）

.设某 2PSK 传输系统的码元速率为 1200Baud，载波频率为 2400Hz， 发送 数字信息为 10011101，试画出 2PSK 信号调制器原理框图， 并画出 2PSK 信 号的时间波形。

二进制差分相移键控（2DPSK） 利用相邻两个码元载波间的相对相位变化表示数字基带信号的数字信息，因此又称为相对相移键控。 当基带信号编码信息为 0 时，相邻前一码元对应载波的相位+0；（不平移）  当基带信号编码信息为 1 时，相邻前一码元对应载波的相位+π。（向右平移π） 例如：二进制比特序列 11001001 的双极不归零码信号波形与二进制差分 相移键控（2DPSK） 调制信号波形是：（注：虚线为前一码元调制信号或初始参考载波信号。）

2. 多进制数字调制：

在确定带宽与频带利用率的情况下，提高数据传输速率最有效的方 法就是通过提高每个码元传输信息量来实现，每个码元调制多位信息，即多进制数字调制。

3. 正交幅值调制 QAM

也称为幅值相位联合键控（APK）。 基本思想是：二维调制技术；对载波信号的幅值和相位同时进行调制的联合调制技术。 其信号矢量端点分布图称为星座图，信号矢量端点间最小距离越大，抗噪声能力越强。 QAM 比较常用的调制方法就是正交调幅法。 优点：具有频带利用率高、抗噪声能力强、调制解调系统简单等。

六、物理层接口规程

物理层接口协议主要是解决主机、工作站等数据终端设备与通信线路上通信设备之间的接口问题。 数据终端设备（DTE）， 如计算机 数据电路端接设备（DCE）， 如数字调制器

物理层接口特性

机械特性

电器特性

功能特性

规程特性

Chapter7 无线与移动网络

一、无线局域网

无线网络基本结构

基本要素 1. 无线主机：如便携机、掌上机、智能手机或者桌面计算机。 2. 无线链路：主机通过无线通信链路连接到一个基站或者另一台无线主机。 3. 基站：在无线主机和网络基础设施之间起着链路层中继作用。如蜂窝网络中的蜂窝 塔、IEEE 802.11 无线局域网中的接入点（AP）。 4. 网络基础设施：通常是大规模有线网络，如 Internet、公司网络或电话网络等。

无线主机与基站关联，并通过基站实现通信中继的无线网络通常被称为基础设施模式。

无线主机不通过基站（即没有基站）， 直接与另一个无线主机直接通信的无 线网络模式称为自组织网络，或称为特定网络，也称为 Ad Hoc 网络。 自组织网络没有基站，无线主机也不与网络基础设施相连，因 此，主机本身必须提供诸如路由选择、地址分配等服务。

在无线网络中，如果支持无线主机移动，则当一台移动主机移动超出一个基站的覆盖范围，而到达 另一个基站的覆盖范围后，它将改变其接入到网络基础设施的基站，这一过程称作切换

无线链路和无线网络特性

无线网络与有线网络最主要的区别是使用了无线链路，而无线链 路的独有特性，在很大程度上决定了无线网络的特性。 不同的无 线链路技术具有不同的传输速率和不同的传输距离，即链路速率和覆盖区域不同。

无线链路的特点： 信号强度的衰减 干扰 多径传播

无线网络的多路访问控制协议的复杂性，远高于有线网络。 有线网络与无线网络的重要区别主要在数据链路层和物理层。

隐藏终端问题 (1) 站点 A、C 都向站点 B 发送数据。 (2) 站点 A、C 之间有物理阻挡，双方都无法检测出对方发送的信号。 (3) 站点 A、C 都向站点 B 发送数据时，发生碰撞，站点 B 无法正确接收任何 一放的数据。

二、移动网络

无线网络不一定是移动网络，但移动网络一定是无线网络。 （可以理解为：无线网络包括 2 种，能移动的 和不能移动的，其中，能移动的是移动网络。）

从网络层的角度分析用户的移动性

(1) 用户也许带着一台装有无线网络接口卡的便携机在一座建筑物内走动，从网络层的角度看，该 用户并没有移动。 (2) 用户在一辆“奔驰”的轿车内以 120km/h 的速度沿高速公路行驶时穿过多个无线接入网，并希 望在整个旅程中保持一个与远程应用的不间断的 TCP 连接。这个用户毫无疑问是移动的。  (3) 介于两者之间的是，一个用户带着一台便携机从一个地方（如办公室）到另一个地方（如住所）， 并且在新地方接入网络。该用户也是移动的。

寻址

为了使用户移动性对 网络应用透明，移动 结点在从一个网络移 动到另一个网络时保 持其地址不变。有 2 种解决方案：

外部网络可以通过向所有其他网络发通告，告诉它们该 移动结点正在它的网络中。(不适合用于大规模网络)

将移动性功能从网络核心搬到网络边缘，由该移动结点 的归属网络来实现。(实际移动网络采取这种方式)

(1) 将外部代理放置在外部网络的边缘路由器上。外部代理为移动结点 创建一个转交地址（COA），这个 COA 地址又叫外部地址。  (2) 一个移动结点与永久地址和 COA 相关联。  (3) 外部代理告诉归属代理：该移动结点在我的网络中有给定的 COA。  (4) 移动结点本身也能承担外部代理的责任。

移动结点在移动过程中会用到两个地址，一个是永久地址，另一个是转交 地址

移动结点的路由选择

移动结点的间接路由选择

通信者只需将数据报寻址到移动结点的永久地址， 并发送到网络中就可以。 (1) 数据报首先被路由到移动结点的归属网络。 (2) 归属代理截获这些数据报，通过使用移动结点的 COA，转发给外部代理。 (3) 然后再从外部代理转发给移动结点。 (4) 移动结点可直接将其数据报寻址到通信者    （使用自己的永久地址作为源地址，通信者的地址作为目的地址）。

1）移动结点到外部代理的协议：向外部代理注册、取消注册。 2）外部代理到归属代理的注册协议：外部代理向归属代理注册移动结点的 COA。 3）归属代理数据报封装协议：归属代理封装原始数据报在一个目的地址为 COA 的数据报内， 并转发出去。 4）外部代理拆封协议：从封装好的数据报中提取原始数据报，并转发给移动结点。

移动结点的直接路由选择

(1) 通信者所在网络中的一个通信者代理先获取该移动结点的 COA。（步骤 1 和 2）  (2) 通信者代理将数据报通过隧道技术发往移动结点的 COA。（步骤 3 和 4）

移动通信 2G/3G/4G/5G 网络

2G (1) GSM 系统是第二代移动电话系统的开端。 (2) GSM 业务，可以分为承载业务、电信业务、附加业务三大类。 (3) GSM 系统采用的是 FDMA 和 TDMA 混合接入的方式。

3G 是采用宽带 CDMA 技术的通信系统。

4G/LTE 网络

5G 网络

三、无线局域网 IEEE 802.11

4 个比较流行的无线局域网 IEEE 802.11 标准的主要特征 这 4 个 IEEE 802.11 标准具有许多共同特征： 1. 都使用相同的介质访问控制协议 CSMA/CA。 2. 链路层帧使用相同的帧格式。 3. 都具有降低传输速率以传输更远距离的能力。 4. 都支持“基础设施模式”和“自组织模式”两种模式。

基本构件

基站，又称为接入点 （AP）

每个 IEEE 802.11 无线站点都具有一个 6 字节的 MAC 地址。 每个 AP 的无线接口也具有一个 MAC 地址。 与以太网类似， 这些 MAC 由 IEEE 管理，理论 上是全球唯一的。

基本服务集（BSS）

一个 BSS 包含：一个或多个无线站点和一个接 入点的中央基站。

无线主机如何发现 AP 呢？

发现 AP 的过程分为被动扫描和主动扫描： 被动扫描：指的是无线主机扫描信道和监听信标帧的过程。 主动扫描：是指无线主机，通过向位于无线主机范围内的所有 AP 广播探测帧的过程。

IEEE 802.11 的 MAC 协议

多个站点（无线站点或 AP）可能同时经相同信道传输数据帧，因此需要一个多路访问 控制协议来协调传输。

以太网和 IEEE 802.11 都使用载波侦听随机接入（CSMA），但这两种 MAC 协议有着重要的区别。 IEEE 802.11 使用碰撞避免、及链路层确认/重传（ARQ）方案。 其 MAC 协议采用 CSMA/CA 协议。 以太网使用碰撞检测，其 MAC 协议采用 CSMA/CD 协议。

CSMA/CA 协议原理： (1) 源站在发送数据之前，先监听信道，若信道空闲，则等待一个分布式帧间间隔（DIFS）的短 时间后，发送一个很短的请求发送（RTS）控制帧。 RTS（RequestToSend）控制帧包括：源地址，目的地址，本次通信所需的持续时间等。 (2) 若目的站正确收到源站发来的 RTS 帧，且物理介质空闲，则等待一个短帧间间隔（SIFS）时 间后，发送一个很短的允许发送（CTS）控制帧作为响应。 CTS（ClearToSend）控制帧包括：本次通信持续时间等。 (3) 源站和目的站周围的其他站点可以监听到两者要通信，其他站点在其持续通信时间内不会发 送，这个时间被称为网络分配向量（NAV）。 NAV：是其他站根据监听到的 RTS 或 CTS 帧中的持续时间来确定数据帧传输的时间。 (4) 源站收到 CTS 帧后，再等待一段 SIFS 时间后，即可发送数据帧，若目的站正确收到了数据帧，在等待时间 SIFS 后，就向源站发送确认帧（ACK）。 CSMA/CA 通过 RTS 和 CTS 帧的交换，可以有效避免隐藏站问题，实现信道的预约占用，从而可以有效避免数据帧传输过程中的冲突。

IEEE 802.11 帧

IEEE 802.11 帧： 1、MAC 首部：共 30 字节。 2、帧主体：帧的数据部分，不超过 2312 字节。通常 IEEE 802.11 帧的长度都小于 1500 字节。 3、尾部：帧检验序列 FCS，共 4 字节。 4、最特殊的是有 4 个地址字段。 5、序号字段：在 IEEE 802.11 网络中，站点正确收到其他站点的帧后，都会发一个确认帧。因为确认帧可能丢 失，发送站点可能会发送一个帧的多个副本。使用序号可以使接收方区分新传输的帧和以前帧的重传。 6、持续期字段：IEEE 802.11 的 MAC 协议允许传输结点预约信道一段时间，持续期值被包括在 该帧的持续期字段中。 7、帧控制字段：包括许多子字段。 如类型和子类型字段：用于区分关联帧、RTS 帧、CTS 帧、ACK 帧和数据帧。 “去往 AP”和“来自 AP”字段：用于定义不同地址字段的含义。

控制帧 数据帧 管理帧

IEEE 802.11 帧的地址字段最常用的两种情况 当 A 把数据帧发送给 AP1 时，帧控制字段中的“去往 AP=1”“来自 AP=0”。 地址 1 是 AP1 的 MAC 地址（接收地址/AP 地址）； 地址 2 是主机 A 的 MAC 地址（源地址）； 地址 3 是主机 B 的 MAC 地址 （目的地址）。 当 AP1 把数据帧转发给 B 时，帧控制字段中的“去往 AP=0” 而“来自 AP=1”。 地址 1 是主机 B 的 MAC 地址（目的地址）； 地址 2 是 AP1 的 MAC 地址（发送地址/AP 地址）； 地址 3 是主机 A 的 MAC 地址（源地址）。

四、蜂窝网络

蜂窝：是指由一个蜂窝网覆盖的区域被分成许多称作小区（Cell）的地理覆盖区域。

第二代蜂窝移动通信（2G）的代表性体制就是最流行的 GSM 系统。 2G 蜂窝系统的 GSM 标准的空中接口使用了 FDMA/TDMA 组合技术。 收发基站（BTS）：负责向小区内的移动站点发送或接收信号。 基站控制器（BSC）：服务于几十个收发基站，为移动用户分配 BTS 无线信道。 BSC 及其控制的 BTS 共同构成了 GSM 基站系统（BSS）。 移动交换中心（MSC）：在用户鉴别和账户管理以及呼叫建立和切换中起决定性作用。 单个 MSC 通常包含多达 5 个 BSC。 一个蜂窝服务提供商的网络将由若干个 MSC 构成，并使用称为网关 MSC 的特殊 MSC 将提供商的蜂窝网络与更大的公共电话网相连。

蜂窝网络中的移动性管理 GSM 标准采用的是间接路由选择方法管理移动性。 移动用户向某个蜂窝网 提供商订购了服务，该蜂窝网 就成为了这些用户的归属网络。移动用户当前所在网络称为被访网络。

归属网络（该蜂窝网）维护一个归属位置注册器（HLR）的 数据库，其包括：每个用户的永久蜂窝电话号码，用户个人 信息，这些用户当前的位置信息。

被访网络（移动用户所在网络）维护一个访问者位置注册器 （VLR）的数据库：为每一个当前在其服务网络中的移动用 户包含一个表项。

呼叫建立过程：从通信者 -> 归属 MSC -> 被访 MSC -> 基站 -> 移动用户。

蜂窝移动通信系统用了频分多址接入、时分多址接入和码分多址接入。

五、移动 IP 网络

移动 IP 由国际互联网工程任务组（IETF）开发，允许计算机 移动到外地时，仍然保持其原来的 IP 地址。

移动 IP 网络主要由 3 部分组成， 代理发现，向归属代理注册，数据报的间接路由选择， 代理发现可以由代理通告和代理请求实现

1. 代理发现

代理发现指的是当某移动 IP 站点到达一个新网络时，不管是连到一个外部网络还是返回其归属网络 它都必须知道相应的外部代理或归属代理的 身份。代理发现可以通过两种方式实现：

代理通告

外部代理或归属代理使用一种现有路由器发现协议的扩展协议来通告其服务。 该代理周期性地在所 有连接的链路上广播一个类型字段为 9（路由器发现）的 ICMP 报文。 在移动性代理通告扩展中有以下一些较重要的字段： 归属代理位（H）：指出该代理是它所在网络的一个归属代理。 外部代理位（F）：指出该代理是它所在网络的一个外部代理。 注册要求位（R）：指出在该网络中的某个移动用户必须向某个外部代理注册。  M、G 封装位：指出除了“IP 中的 IP”（IP-in-IP）封装形式外，是否还要用其他的封装形式。 转交地址（COA）字段：由外部代理提供的一个或多个转交地址的列表。

一个想知道代理的移动结点不必等待接收代理通告，就能广播一个代理请求报文， 该报文只是一个类 型值为 10 的 ICMP 报文。收到该请求的代理将直接向该移动结 点单播一个代理通告，于是该移动结 点将继续处理，就好像刚收到一个未经请求的通告一样。

代理请求

2. 向归属代理注册

移动 IP 定义了移动结点和/或外部代理向一个移动结点的归属代理注册或注销 COA 所使用的协 议。 一旦某个移动 IP 收到了一个 COA，则该地址必须要向归属代理注册。 这可通过外部代理（由 它向归属代理注册该 COA）完成，其步骤如下： 1） 当收到一个外部代理通告后，移动结点立即向外部代理发送一个移动 IP 注册报文。 2） 外部代理收到注册报文并记录移动结点的永久 IP 地址。 3） 归属代理接收注册请求并检查真实性和正确性。 4） 外部代理接收注册应答，然后将其转发给移动结点。

六、其他典型无线网络简介

1. WiMax 全球微波互联接入（WiMax）又称为 IEEE 802.16 标准， 其目的是在更大范围内为用户提供可以媲 美有线网络的无线通信解决方案，即是宽带无线标准。 严格来讲，它是一种城域网（MAN）技术。 优势： 更远的传输距离，可以达到 50km； 更高速的宽带接入，最高可达 300Mbit/s。 劣势： 不能支持用户在移动过程中无缝切换；服务质量差、组网性能低、产业基础薄弱，并且和传统的蜂 窝网络无法完全兼容。

2. 蓝牙 IEEE 802.11 是一个大功率、中等范围、高速率的“接入”技术。 IEEE 802.15.1 网络以小范围、低功率和低成本运行。 无线个人区域网络（WPAN）标准 IEEE 802.15.1 网络称为蓝牙网络 以 TDM 方式工作于无须许可的 2.4 GHz 无线电波段。 是跳频扩展频谱（FHSS） 的信道跳动的形式，将传输扩展到整个频谱。能提供 4 Mbit/s 的数据速率。

3. ZigBee IEEE 的第二个个人区域网络标准是 IEEE 802.15.4，被称为 ZigBee。 目标：低功率、低数据速率、低工作周期应用。 ZigBee 网络结点可以分两类：“简化功能设备” 从设备 “全功能设备” 主设备 ZigBee 网络能够配置成许多不同的方式。 考虑一种简单的场合，其中单一的“全功能设备”使用信 标帧以一种时隙方式控制多个“简化功能设备”。如下图：

习题

1. 无线局域网采用直序扩频接入技术，使用户可以在（2.4）GHz 的 ISM 频段上进行无线 Internet 连接。

2. IEEE802.11 体系结构的基本构件由基站和（基本服务集）两部分组成。

3. 在无线主机发现 AP 的过程中，（被动扫描）指的是无线主机扫描信道和监听信标帧的过程。

4. IEEE 802.11 帧共有 3 种类型：控制帧、数据帧和管理帧。

5. 在 IEEE 802.11 数据帧结构中，（帧控制）字段包括许多子字段， 其中比较重要的子字段包括类型和子类型字段，用于区分关联帧、RTS 帧、CTS 帧、ACK 帧和数据帧。

6. Ad Hoc 网络。自组织网络没有基站，无线主机也不与网络基础设施相连， 因此，主机本身必须提供诸如路由选择、地址分配等服务。故 Ad Hoc 网络没有基站，没有固定的路由器。

7. 移动网络实现移动结点寻址的基本策略包括间接路由选择；直接路由选择

Chapter8 网络安全基础

一、基本概念

网络安全通信需要的基本属性

机密性：只有发送方与预定接收方能够理解报文内容。

消息完整性：消息未被篡改，发生篡改一定会被检测到。

可访问性与可用性：对授权用户提供有效服务。

身份认证：收发双方确认彼此的真实身份。

网络安全的基本特征： 相对性、时效性、相关性、不确定性、复杂性以及重要性等。 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因 而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

网络安全威胁

报文传输方面：主要包括窃听、插入、假冒、劫持等安全威胁。

拒绝服务 DoS 以及分布式拒绝服务 DDoS。

映射：Namp 是国外广为使用的端口扫描工具之一。 原理：在发起攻击前先“探路”，找出网络上在运行什么服务，然后利用 ping 命令确定网络 上的主机的地址，最后使用端口扫描的方法依次尝试与每个端口建立 TCP 连接。

分组“嗅探”：Wireshark 是一个典型的分组嗅探软件。 常发生在共享式以太网或者无线网络中，“嗅探”主机通过混杂模式网络接口卡， 可以接收或记录所有广播介质上的分组/帧，可以读到所有未加密数据，例如，口令等。

IP 欺骗 它可以直接由应用生成“原始”IP 分组，设置分组的源 IP 地址字段为任意值， 接收方无法判 断源地址是否被欺骗，可能导致错误数据的接收，或者隐藏网络安全攻击身份。

二、数据加密

密码技术是保障信息安全的核心基础， 解决数据的机密性、完整性、不可否认性以及身份识别等问题均需要以密码为基础。

通信加密模型

密码方式分类

根据出现的时间

传统加密方式

两种技术的核心都是将明文通过一些算法加密，保证明文的安全性。

替代密码 是将明文字母替换为其他字母、数字 或符号的方法

移位密码：将一个字母利用字母表中该字母后面的第 k 个字母替代。如凯撒密码。 乘数密码 仿射密码

【例题】如果对明文“bob. i love you. Alice”，利用 k=3 的凯撒密码加密，得到的密文是什么？ 【解】对于 k=3 的凯撒密码，其字母替代关系是：明文的“abcdef…xyz”，替换为“defghi…abc”。 于是，明文“bob. i love you. Alice”加密后得到的密文是“ere. l oryh brx.Dolfh

换位密码 通过置换而形成新的排列

换位密码，又称置换密码，是根据一定的规则重新排列明文，以便打破明文的结构特性。 特点：改变了明文的结构，不改变明文的内容。 换位密码可分为 列置换密码：指明文按照密钥的规定，按列换位，并且按列读出新的序列得到 密文的方法。 周期置换密码

假设采用密钥 K=nice 的列置换密码，对明文“bob i love you”进行加密，加密得到的密文是什么？ 【解】解题思路为：明文按密钥的长度 n 进行分组，即一行有 n 个字符。根据密钥 K 单词中每个字母在字母表中的相对次序，规定列输出次序。 ①密钥 K=nice，则密钥长度 n=4，即一行有 4 个字符，密钥的字母顺序为（4，3，1，2）， 即密钥规定的列输出顺序为第 3 列→第 4 列→第 2 列→第 1 列。 ②因此将明文排列成 M34 矩阵，每行分别为 bobi、love、youx，其中最后的“x”为填充字母。 ③依据密钥规定的列输出顺序输出各列，便得到密文为：bvu iex ooo bly。

对称密钥算法

对称密钥密码：加密秘钥和解密 秘钥是相同的。

分组密码

DES加密算法

DES 是典型的分组密码，使用 56 位的密钥，明文为 64 位分组序列， 共进行 16 轮的加密，每轮加密 都会进行复杂的替代和置换操作， 并且每轮加密都会使用一个由 56 位密钥导出的 48 位子密钥，最终输出与明文等长的 64 位密文。

三重 DES： 使用两个密钥，执行三次 DES 算法，两个密钥合起来有效密钥长度达到 112 位。 加密过程：加密-解密-加密 有效地实现了与现有 DES 系统的向后兼容问题 解密过程：解密-加密-解密

AES 加密算法

要求：可公开加密方法，采用分组加密，且分组长度为 128 位，可支持 128/192/256 位密钥。 AES 加密过程 4 种操作：字节替代、行移位、列混淆、轮密钥加。 解密过程分别为对应的逆过程。 特点： 1）分组长度和密钥长度均可变。 2）循环次数允许在一定范围内根据安全要求进行修正。 3）汇集了安全、效率、易用、灵活等优点。 4）抗线性攻击和抗差分攻击的能力大大增强。 5）如果 1 秒暴力破解 DES，则需要 149 万亿年破解 AES。

AES 加密过程涉及 4 种操作：字节替代、行移位、列混淆和轮密钥加。

IDEA 加密算法

IDEA 加密算法是一个分组长度为 64 位的分组密码算法，密钥长度为 128 位。 同一个算法即可用于加密，也可用于解密。 算法运用硬件与软件实现都很容易，而且比 DES 算法在实现上快得多。

序列密码

非对称/公开秘钥加密

公开密钥加密模型

假设 Alice 要和 Bob 通信，Bob 有两个密钥 公钥（任何人都可以得到） 私钥（只有自己知道） 公开密钥密码有一个重要特性：如果对报文 m 利用私钥加密，则可以利用其公钥进行解密。

公开密钥加密

典型的公 开密钥加 密算法 Diffie-Hellman 算法 RSA 算法典型的公开密钥加密算法基于数学中的素数原根理论其安全性建立在大数分解的难度上 RSA 算法是目前应用比较广泛的公开密钥算法，算法安全性高，但是计算量非常大，因此通常 RSA 会与对称密钥密码（如 DES 或 AES）结合使用。例 如，利用 DES 加密/解密报文，利用 RSA 分发 DES

加密算法 AES、RSA、DES、3DES 中，计算量最大的是哪个？ P276 RSA。 RSA

依据处理数据的类型

分组密码：又称块密码，将明文消息编码表示后的数字（简称明文数字）序列， 划分成长度为 n 的组，每组分别在密钥的控制下变换成等长的输出数字（简称密文数字）序列。 序列密码：又称流密码，利用密钥产生一个密钥流，然后对明文串分别加密 的过程。 解密时使用相同的密钥流，是加密的逆过程。

三、消息完整性与数字签名

报文/消息完整性，也 称为报文/消息认证 （或报文鉴别），其主要目标是：

证明报文确实来自声称的发送方。 预防抵赖（如发送方否认已发送的消息或接收方否认己接收的消息）。 验证报文在传输过程中没有被篡改。 预防报文的时间、顺序被篡改。 预防报文持有期被篡改。

1. 消息完整性检测方法

为了实现消息完整性检测，需要用到密码散列函数 H(m)， 表示对报文 m 进行散列化。

1. 一般的散列函数具有算法公开。 2. 能够快速计算。 3. 对任意长度报文进行多对一映射均能产生定长输出。 4. 对于任意报文无法预知其散列值。 5. 不同报文不能产生相同的散列值。 6. 单向性、抗弱碰撞性、抗强碰撞性。

典型的散列函数

MD5 对报文散列后，得到 128 位的散列值。 2004 年，来自山东大学的王小云教授，做了破译 MD5 等算法的报告。 不久，密码学家 Lenstra 利用王小云提供的 MD5 碰撞，伪造了符合 X.509 标准的数字证书，说明了 MD5 可以导致实际的攻击。

SHA-1 作为散列数据的标准，SHA-1 可产生一个 160 位的散列值。 SHA-1 是典型的用于创建数字签名的单向散列算法。

2. 报文认证

消息完整性检测的一个重要目的 就是要完成报文认证的任务。

报文认证： 使消息的接收者能够检验收到的消息是否是真实的认证方法。 报文（消息）认证的目的： ①消息源的认证，即验证消息的来源是真实的； ②消息的认证， 即验证消息在传送过程中未被篡改。

报文m -> H：散列函数 -> H(m) 对报文 m 应用散列函数 H，得到一个固定长度的散列码，称为报文摘要，记为 H(m)。 报文摘要可以作为报文 m 的数字指纹。

1. 简单的报文验证

a. 发送方对报文 m 应用散列函数 H，得到一个固定长度的散列码，获得报文摘要 h=H(m)，将扩展报文(m，H(m))发送给接收方。 b. 接收方收到扩展报文(m，h)后，提取出报文 m 和报文摘要 h，同样对报文 m 应用散列函数H 获得新的报文摘要 H(m)，将 H(m)和 h 比较。若相同，则报文认证成功，否则报文认证失败。 缺陷：密码散列函数是公开的，攻击者可以通过截获报文，同样用散列函数 H 获得报文摘要然后 组成扩展报文进行发送，接收方接收后能成功完成报文认证。虽然同样是完成了报文认证，但是第二次的认证显然是不安全的，因为它没有达到对消息来源认证的目的。

2. 报文认证码 MAC （Message Authentication Code）

a. 发送方和接收方共享一个认证密钥，发送方对报文 m 和认证密钥 s 应用散列函数 H 得到报文认证码 h=H(m+s)，将扩展报文(m，H(m+s))发送给接收方。 b. 接收方收到扩展报文(m，h)后，提取出报文 m 和报文认证码 h, 对报文 m 和认证密钥 s 应用散列函数 H 获得新的报文认证码 H(m+s)，将 H(m+s)与 h 比较，若相等，则报文认证成功，否则失败。  缺陷：比如接收方自己写一份报文用同样的步骤生成一份扩展报文，并且说这份扩展报文就是发送方发来的，这时发送方就百口莫辩了。这说明了该方法没有达到对消息认证的目的，即没法保证消息在接收方没有被篡改。

3. 数字签名

在报文完整性认证的过程中，亟待解决的问题有： 发送方不承认自己发送过某一报文。 接收方自己伪造一份报文，并声称来自发送方。 某个用户冒充另一个用户接收和发送报文。接收方对收到的信息进行篡改。

在公钥密码体制中，一个主体可以使用他自己的私钥“加密”消息，所得到的“密文” 可以用该主体的公钥“解密”来恢复成原来的消息，如此生成的“密文”对该“消息”提供认证服务。 公钥密码提供 的这种消息认证服务可以看成是对消息原作者的签名即数字签名。 数字签名的作用：在信息安全，包括身份认证、数据完整性、不可否认性以及匿名性等方面有重要应用，特别是在大型 安全通信中的密钥分配、认证以及电子商务系统中具有重要作用。数字签名是实现认证的重要工具。

数字签名与消息认证的区别： 消息认证使接收方能验证发送方以及所发消息内容是否被篡改过。 当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。 但当接收者和发送者之间有利害冲突时，就无法解决他们之间的纠纷，此时须借助满足前述要求的数字签名技术。

子主题

数字签名应满足的要求 1）接收方能够确认或证实发送方的签名，但不能伪造。 2）发送方发出签名的消息给接收方后，就不能再否认他所签发的消息。 3）接收方对已收到的签名消息不能否认，即有收报认证。 4）第三者可以确认收发双方之间的消息传送，但不能伪造这一过程。

1. 简单的数字签名

数字签名就是用私有密钥进行加密，而认证就是利用公开密钥进行正确的解密，所以报文加密技术是数字签名的基础。 缺点：简单数字签名确实可以很好地达到信息验证的目的，但是由于数字签名利用私有密钥对整个 报文 m 进行加密， 造成加密算法在报文很大时计算量很大，运行效率很低，同时接收方流量的极大浪费。

签名题目

2. 签名报文摘要

a. Bob 对报文 m 应用散列函数 H 生成报文摘要 H(m)，然后 Bob 通过其私钥 KB 对报文摘要进行加密生成加密的报文摘要 b. Alice收到报文m以及加密的报文摘要，Alice 利 用 Bob 的公 钥 KB解 密 KB若成立，则签名报文m的一定是Bob的私钥。

四、身份认证

身份认证又称身份鉴别，是一个实体经过计算机网络向另一个实体证明其身份的过程。

用一次性随机数 R 进行身份认证

(1) Alice 向 Bob 发送报文“我是 Alice”。 (2) Bob 选择一个一次性随机数 R，然后把这个值发送给 Alice。 (3) Alice 使用她与 Bob 共享的对称秘密密钥 KA-B 来加密这个一次性随机数，然后把加密的一次 性随机数 kA-B(R)发回给 Bob。 (4) Bob 解密收到的报文。如果解密得到的一次性随机数等于他发送给 Alice 的那个一次性随机 数，则可确认 Alice 的身份。

一次性随机数的使用，可以避免被重放攻击，但是该方法的最大不足是需要通信双方共享密 钥。 即使用一次性随机数和对称密钥密码体制来解决身份认证问题。 一个改进的方法是在使用一次性随机数的基础上，再利用公钥加密技术。

用一次性随机数 R 和公钥加密技术进行身份认证 会存在中间人攻击的安全隐患，解决这一问题的关键，是要解决（对称）密钥分发和（公开）密钥本身的认证问题

五、秘钥分发中心与证书认证机构

对称密钥分发的典型解决方案是， 通信各方建立一个大家都信赖的密钥分发中心（KDC），并且每一方和KDC之间都保持一个长期的共享密钥。

KDC和CA的作用

基于 KDC 的密钥生成 和分发方法

通信发起方生成会话密钥

由 KDC 为 Alice、Bob 生成通信的会话密钥

证书认证机构

要使公共密码有效，需要能够证实你拥有的公钥，实际上就是要与你通信的实体的公钥。 将公钥与特定 的实体绑定，通常由认证中心（CA）完成。

认证中心（CA）的作用： (1) CA 可以证实一个实体（一个人、一台路由器等）的真实身份。 (2) 一旦 CA 验证了某个实体的身份，CA 会生成一个把其身份和实体的公钥绑定起来的证书， 其中包含该实体的公钥及其全局唯一的身份识别信息（例如，人的姓名或 IP 地址）等，并由 CA 对证书

CA 可以解决：披萨恶作剧，以及一次性随机数 R 和公钥加密技术进行身份认证时中间人攻击的问题。

六、防火墙与入侵检测系统

防火墙的基本概念

能够隔离组织内部网络与公共互联 网，允许某些分组通过， 而阻止其他分组进入 或离开内部网络的软件、硬件或者软件硬件结 合的一种设施。

防火墙分类

无状态分组过滤器

有状态分组过滤器

应用网关 防火墙把分组过滤器和应用程序网关结合起来，是应用网关实现授权用户通过网 关访问外部网络的 Telnet 服务。

入侵检测系统 IDS

防火墙在决定让哪个分组经过防火墙时，分组过滤器检查 IP、TCP、UDP、 ICMP 首部字 段。 为了检测多种攻击类型，除了查看首部字段之外的部分，还需深入查看分组携带的实际 数据。

入侵检测系统（IDS）： 当观察到潜在的恶意流量时，能够产生警告的设备或系统，IDS 不仅仅针对 TCP/IP 首部进行操作，而且会进行深度包检测，并检测多数据之间的相关性。  IDS 能够检测多种攻击：如网络映射、端口扫描、TCP 栈扫描、DoS 拒绝服务攻击等。

七、网络安全协议

安全电子邮件

作为一个网络应用，电子邮件中的网络蠕虫和 病毒会对用户系统安全造成很大威胁。

电子邮件对 网络安全的 需求： 机密性：传输过程中不被第三方阅读到邮件内容，只有真正的接收方才可以阅读邮件。 完整性：支持在邮件传输过程中不被篡改，若发生篡改，通过完整性验证可以判断出该邮 件被篡改过。 身份认证性：电子邮件的发送方不能被假冒，接收方能够确认发送方的身份。 抗抵赖性：发送方无法对发送的邮件进行抵赖。接收方能够预防发送方抵赖自己发送过的 事实。

电子邮件系统具有单向性和非实时性，因此，电子邮件不适合采用如虚拟专用网 VPN 等技术建立 安全隧道，进行邮件加密传输，只能对邮件本身进行加密。

安全电子邮件标准——PGP 标准

PGP解密过程

安全套接字层 SSL

为了解决 Web 应用安全问题， ①应用层：HTTP 安全电子交易协议。 ②在传输层之上构建 一个安全层，最典型的就是安全套接字层（SSL）或传输层安全 （TLS）。 SSL/TLS 介于应 用层和传输层之间，TLS 是 SSL 的变体，差异不大。 SSL 可以提供机密性、完整性、身份认证等安全服务。 HTTP 协议使用 SSL 进行安全通信时，称为安全 HTTP，简记为 HTTPS。 SSL 可以为所有基于 TCP 的网络应用提供应用编程的接口，具有较好的通用性。

简化的 SSL 主要 包含

1. 发送方和接收方利用各自的证书、私钥认证、鉴别彼此，并交换共享密钥。 2. 密钥派生或密钥导出，发送方和接收方利用共享密钥派生出一组密钥。 3. 数据传输，将传输数据分割成一系列记录，加密后传输。 每个记录携带一个 MAC， MAC 都会放在数据最后。 在报文认证码 MAC 中，增加序列号以及使用一次性随机 数 nonce。 4. 连接关闭，通过发送特殊消息，安全关闭连接，不能留有漏洞被攻击方利用。

子主题

SSL 在密钥派生阶段，通过密钥派生函数（KDF）可以实现密钥派生，会派生出 4 个密钥： Kc：用于加密客户向服务器发送数据的密钥（对称密钥）。 Mc：用于客户向服务器发送数据的 MAC 密钥。 Ks：用于加密服务器向客户发送数据的密钥。 Ms：用于服务器向客户发送数据的 MAC 密钥

SSL握手

SSL协议栈

SSL 在安全加密/解密过程中，SSL 会使用到多种加密算法（SSL 密码组）： (1) 公开密钥加密算法：SSL 主要使用 RSA，其他多种公钥加密算法也支持。 (2) 对称密钥加密算法：SSL 支持 DES 分组密码、3DES 分组密码等。 (3) MAC 算法：MD5 或 SHA-1。 密码组由客户和服务器协商确定，客户端提供支持的可选加密算法，服务器从中挑选构成密码组。

SSL协议栈

SSL 记录协议描述了 SSL 信息交换过程中的消息格式，SSL 更改密码规则协议、SSL 警告协议、SSL 握手协议都需要记录协议进行封装与传 输。 SSL 记录协议会将数据分段成可操作的数据块，将分块数据进 行数据压缩，为了实现对每一个记录进行完整性认证，需要对每个记录计算 MAC 值， 压缩后数据进行连 接，再进行加密，加入 SSL 记录头构成记录，放入 TCP 报文段中传输。

SSL握手过程

VPN 简介

专用网络（PN） PN 是基于专属的网络设备、链路或协议等建立的专门服务于特定组织机构的网络，例如，民航网 络、军事网络等，是不与公共网络互连，只在组织内部使用的网络。

虚拟专用网络（VPN） 虚拟专用网络 VPN 通过建立在公共网络，例如，Internet 上的安全通道，实现远程用户、分支机 构、业务伙伴等与机构总部网络的安全连接，从而构建针对特定组织机构的专用网络。 许多机构组织会使用 IPSec 创建运行在公共网络之上的虚拟专用网络（VPN）。

VPN 通过隧道技术、数据加密、身份认证、密钥管理、访问控制和网络管理等，实现与专用网类似 的功能，可以达到 PN 安全性的目的，同时成本相对而言要低很多。 特点：最重要的就是虚拟，连接总部网络和分支机构之间的安全通道实际上并不会独占网络资源， 是一条逻辑上穿过公共网络的安全、稳定的隧道。

隧道：通过 Internet 提供的点对点的数据传输安全通 道，实际是逻辑连接。 数据分组进入隧道时，由 VPN 封装成 IP 数据报； 通过隧道在 Internet 上传输； 离开隧道后，进行解封装，数据便不受 VPN 保护。 核心是 隧道技术

隧道协 议包括

乘客协议：确定封装的对象属于哪个协议。 封装协议：确定遵循哪一种协议进行封装，需要加什么字段等。 承载协议：确定最后的对象会放入哪类公共网络，如在 Internet 网络中传输。

隧道协议

VPN 的实现技术上有很多，如 IPSec，是最安全、使用最广的技术； 同时 VPN 也可以利用 SSL 协议（SSL 具有高 层安全协议的优势，使用常见的浏览器就可以部署）； 此外还有 L2TP 等。实际实现中，会将多种技术相结合，例 如，IPSec 和 SSL，IPSec 和 L2TP 等。

IPSec体系

最典型的网络层安全协议，就是使用最广泛和最有代表性的 IP 安全协议，一般被称为 IPSec， 是网 络层使用最广泛的安全协议，但 IPSec 不是一个单一的协议，而是一个安全体系（如上图）。 IPSec 提供的安全服务包括机密性、数据完整性、源认证和防重放攻击等。

IPSec

安全关联 SA

AH 协议和 ESP

AH 协议：在 IP 数据报中，报头对应协议号为 51，提供源认证和鉴别、数据 完整性检验。 ESP：在 IP 数据报中的协议号是 50，提供源认证和鉴别、数据完整性检验 以及机密性，比 AH 协议应用更加广泛。

两种不同协议和两种模式（传输模式、隧道模式）结合起来共有 4 种组合： 传输模式 AH、隧道模式 AH、传输模式 ESP、隧道模式 ESP。

密钥交换与管理 IKE

IPSec 进行自动协商建立安全关联和交换密钥的方式就是互联网密钥交换协议 IKE。  IKE 自动管理 SA 的建立、协商、修改和删除，是 IPsec 唯一的密钥管理协议。 IKE 包括 3 个主要部分： (1) 互联网安全关联与密钥管理协议（ISAKMP），定义了协商、建立、修改和删除 SA 过程的通 用框架。  (2) 密钥交换协议 OAKELY，允许认证过的双方通过不安全网络交换密钥草书。 (3) 共享和密钥更新技术 SKEME，提供了 IKE 交换密钥的算法。 * IKE 在支持通信实体认证的过程中，有两种方式可供选择： 预共享密钥 PSK 和公钥基础设 施 PKI。 * IKE 进行密钥交换和 SA 协商建立是个比较复杂过程。 IKE 提供两种模式：野蛮模式，或称积极主动模式，只需要交换 3 个消息，使用较少信息； 主模式，需要 6 个消息的交互，更加灵活，并且提供身份保护。