数据通信与网络协议 第10章 传输层功能与协议

第三版 ) 第 3章 第 1页 第 10章 传输层功能与协议 本章概述 本章的学习目标 主要内容 第三版 ) 第 3章 第 2页 本章概述 传输层传输层对互联网高层提供可靠的传输服务，对 网络层 提供可靠的 目的 地站点信息，弥补了网络层尽力传输的不足。传输层的标志协议 安全套接层络通信 中提供安全及 数据完整性 的一种安全协议，以保障在 实时传输协议（ 数据提供了具有实时特征的端对端传送服务，在 组播 或 单播 网络服务下的交互式视频音频或模拟数据。本章全面研究传输层功能协议，安全套接层 第三版 ) 第 3章 第 3页 本章的学习目标 理解传输层服务功能和特点 掌握传输层协议原理和格式 理解 掌握 理解 理解 第三版 ) 第 3章 第 4页 主要内容 传输层功能 实时应用程序传输协议 本章小结 第三版 ) 第 3章 在 输层的职责是在两个不同系统的进程之间提供一种交换数据的可靠机制，由于传输层仅关心会话实体之间的数据传输，所有它的协议都具有端到端的意义。 在传输层不能再维持所提供质量的情况下，它必须把这一事实明确地通知会话实体。也许，想像传输层的最好方法是把它看成一种安全保护罩，不管下面的基础网络发生什么事件，它都要负责照料传输的数据。 第 5页 第三版 ) 第 3章 传输服务大类 传输服务有两大类：面向连接的传输服务和无连接的传输服务；面向连接的传输服务与面向连接的网络服务十分相似，两者都向用户提供连接的建立、维护和释放。无连接的传输服务与无连接的网络服务也十分相似。 第 6页 第三版 ) 第 3章 如果下层的网络是不可靠的，那么就要使用稍微复杂一点的传输协议机制。为提供面向连接的传输服务， 类传输协议。它还定义了一个五连接的传输协议，尽管没有一个 第 7页 第三版 ) 第 3章 1. 面向连接和无连接服务 我们首先考察面向连接的传输服务有意设计得很简单的 靠的传输服务。另一方面，用来提供 为它们要能应付不可靠的网络。 第 8页 第三版 ) 第 3章 面向连接的传输服务仅含有 4个服务元素： 输服务巧的用户使用 传输连接建立期间，两个 第 9页 第三版 ) 第 3章 图 10第 10页 T - E X P E D I T E D T D I S C O N N E C D A T C O N N E C T T - U N I T - D A T T T 层会 话 层传 输 层第三版 ) 第 3章 不是一个接口规范。接口规范中含有本地的处理原语和通信原语，例如，它可能包括 输服务访问点 )， 第 11页 第三版 ) 第 3章 个参数：源传输地址，目的地传输地址， 为没有连接建立阶段， 这种服务方式中，无法保证可靠的数据传输，需要靠上层进行适当的差错恢复。 第 12页 第三版 ) 第 3章 2. 传输类 简单的到最复杂的都有。在连接建立时， 输实体 )在主呼 商所使用的传输协议。当用户和一些简单的网络实现打交道时，就可以使用一些复杂的传输协议，以便能提供更优质的服务。五类传输协议的定义与网络服务的类型有关。 第 13页 第三版 ) 第 3章 （ 1） 2） （ 3） 单类； 本差错恢复类； 路复用类；错恢复与多路复用类； 错检测与恢复类。 0类和 2类用于 1类和 3类用于 4类用于 第 14页 第三版 ) 第 3章 3. 传输协议数据单元 传输协议数据单元（ 每个 度，固定参数，可变参数，数据。 第 15页 第三版 ) 第 3章 二者之中， 安全性和可靠性不如大小和速度重要的时候，它提供了非顺序的传输功能。但是，大多数应用需要可靠的端到端传输，因此在这个时候就需要使用 第 16页 第三版 ) 第 3章 些进程我们称为协议端口，或者更简单一些是端口。协议端口是单个进程使用来存储数据的目标点 (通常是一个缓冲区 )。进程和它们所对应的端口之间的接口是由主机的操作系统所提供的。 第 17页 第三版 ) 第 3章 意味着它可以将包从一个物理网络设备传递到另一个物理设备。可以工作在 传输开始的时候，从源端口将包传输给 后通过 0 第 18页 第三版 ) 第 3章 图 10口到端口的地址 第 19页 物 理 层数 据 链 路 层I 2 51 8 8 0a p p 1 a p p 2 a p p 3 a p p 4T C P o r U D 层数 据 链 路 层I 2 51 8 8 0a p p 1 a p p 2 a p p 3 a p p 4T C P o r U D 第三版 ) 第 3章 每个端口由传输层报文头上所携带的一个正整数地址所定义。 2比特的互连网络地址。传输层帧所使用的进程端口地址是 16位，它足够支持多达 65536(0000065535)个端口。 其中，端口号小于 256的定义为常用端口，服务器一般都是通过常用端口号来识别的。 第 20页 第三版 ) 第 3章 任何 到 1023之间的端口号，是由 客户端 只需保证该端口号在本机上是惟一的就可以了， 客户端口号因存在时间很短暂又称临时端口号。大多数024于 5000的端口号是为其他服务器预留的 。 第 21页 第三版 ) 第 3章 1. 用户数据报协议 用户数据报协议 (两个标准 是一个端到端的传输层协议，仅仅为来自上层的数据增加端口地址、校验和差错控制以及长度信息。 源端口地址源端口地址是创建消息的应用程序的地址。 目标端口地址目标端口地址是接收消息的应用程序的地址。总长度总长度定义了用户数据报的总长度，以字节为单位。校验和校验和是使用在差错控制中的 16比特域。 第 22页 第三版 ) 第 3章 数据报文格式 第 23页 源 端 口 地 址 1 6 b i b y t e 报 文 头目 标 端 口 地 址 1 6 b i 度 1 6 b i t 校 验 和 1 6 b i 第三版 ) 第 3章 不提供任何顺序或重新排序的功能。因此，当它报告一个错误的时候，它不能指出损坏的包 (所以必须和 。 们两个都没有能力指出哪一个包丢失了。 不包含 第 24页 第三版 ) 第 3章 2. 传输控制协议 传输控制协议 (应用程序提供了完整的传输层服务。 语“流”在这里表示面向连接。在传输两端可以传输数据之前必须先建立连接。通过创建这个连接， 条电路在整个传输过程中都是有效的。 连接建立)来开始一次传输，同时通过连接中断来结束连接。通过这种方法，接收者就知道所期望的是整个传输，而不仅仅是一个包。 第 25页 第三版 ) 第 3章 0 连接必须被建立，确认必须被等待等等 )来提供广泛的可靠功能。 是所付出的是可靠性的代价。 第 26页 第三版 ) 第 3章 图 10第 27页 窗 口 大 小1 6 b i 6 b i 头 长 度4 b i 和1 6 b i 指 针1 6 b i 和 填 充确 认 编 号 3 2 b i 编 号 3 2 b i 口 地 址 1 6 b i t 目 的 端 口 地 址 1 6 b i t 数 据报 文 头第三版 ) 第 3章 的描述 源端口地址源端口地址定义了源计算机上的应用程序。 目标端口地址目标端口地址定义了目标计算机上的应用程序。 顺序编号用来标识从 表示在这个报文段中的的第一个数据字节。如果将字节流看作在两个应用程序间的单向流动，则 号是 32号到达 232 1后又从 0开始。 第 28页 第三版 ) 第 3章 当建立一个新的连接时， 。序号字段包含由这个主机选择的该连接的初始序号 该主机要发送数据的第一个字节序号为这个 ，因为 第 29页 第三版 ) 第 3章 确认编号 32比特的确认编号是使用来确认接收其他通信设备数据的。这个编号只有在控制域 (将在下文中解释 )中的 这种情况下，它定义了下一个期望到来的顺序编号。 第 30页 第三版 ) 第 3章 报文头长度 ( 4比特的 度是以 32比特的字为单位的。 4比特可以定义多达15个字，这个数字乘以 4后就可以得到报文头中总共的字节数目。因此，报文头中最多可以是 60字节。由于报文头最少需要 20个字节，那么 40字节可以保留给选项域使用。 第 31页 第三版 ) 第 3章 保留 6比特的域 控制 6比特的控制域中每个比特都有独立的功能。它或者可以定义为某个段的用途，或者可以作为其他域的有效标记。当 确认了紧急指针域的有效性。这个位和指针一起指明了段中的数据是紧急的。当 确认了顺序编号域的有效性。这两者结合在一起，根据段类型的不同将具有不同的功能。 第 32页 第三版 ) 第 3章 果可能的话，数据应该用更高的产生率发送入通道之中。重置位用在顺序编号发生混淆的时候，进行连接重置。 接请求，连接确认(，以及确认回应 (。 止请求，终止确认 (。 第 33页 第三版 ) 第 3章 窗口 窗口是一个 16比特的域，定义了滑动窗口的大小。窗口大小是一个 16而窗口大小最大为 65535字节。 口大小为字节数，起始于确认序号字段指明的值，这个值是接收端正期望接收的字节。 第 34页 第三版 ) 第 3章 校验和 校验和是使用在差错检测中的 16比特域。检验和覆盖了整个的 是一个强制性的字段，一定是由发端计算和存储，并由收端进行验证。 第 35页 第三版 ) 第 3章 紧急指针 紧急指针这是报文头中所必须的最后一个域。它的值只有在控制域的 急指针是一个正的偏移量，和序号字段中的值相加表示紧急数据最后一个字节的序号。 这种情况下，发送者通知接收者段中的数据部分是紧急数据。 第 36页 第三版 ) 第 3章 选项和填充 们使用来传送额外信息给接收者，或者用在定位中。最常见的可选字段是最长报文大小，又称为 每个连接方通常都在通信的第一个报文段（为建立连接而设置 指明这个选项。它指明本端所能接收的最大长度的报文段。 第 37页 第三版 ) 第 3章 3. 关于端口号的约定 于标识数据交换的参与者。在接收方， 且 就是说，同一个端口号可以有两种不同的用途，若一个使用它为 另一个还可以将它用在 每个 于寻找发端和收端应用进程。这两个值加上 第 38页 第三版 ) 第 3章 有时，一个 这个术语出现在最早的 ，后来它也作为表示伯克利版的编程接口。插口对（ (包含客户 户端口号、服务器 可唯一确定互联网络中每个 第 39页 第三版 ) 第 3章 端口号 端口号的选择是很严格的，而且受到限制。端口号值 0国国防部 )分配，它们称为公用的端口号。例如文件传输 1；终端连接 3；简单邮件传输协议 5；域名字服务 3；环球网服务 何使用这些端口号的应用程序都必须符合相应的已有明确定义的协议。许多操作系统都把这些公用端口号当作一些受保护的固定端口。这些端口号只能被具有特殊操作系统权限的进程使用。剩余的端口号才能被普通的进程使用。 第 40页 第三版 ) 第 3章 输层的责任 传输层所提供的服务类似于数据链路层。然而，数据链路层是设计来在单个网络中传数据的，而传输层在跨越许多网络的互连网络上提供这些服务。数据链路层控制物理层，而传输层控制所有三个低层。 传输层协议所提供的服务可以被划分为五大类：端到端传递，寻址，可靠传递，流量控制和复用。 第 41页 第三版 ) 第 3章 接 端到端的传送可以采用两种模式来完成：面向连接或无连接。在这两种模式中，面向连接的模式更经常使用。一个面向连接的协议在发送者和接收者之间，经过互连网络建立了一条虚电路或路径。属于一个消息的所有数据包将通过同一条路径发送。对整个消息使用同一条路径方便了确认过程和对损坏和丢失帧的重传。面向连接的服务通常被认为是可靠的。 面向连接传输有三个步骤：连接建立，数据传输和连接终止。 第 42页 第三版 ) 第 3章 1. 连接建立 在通信设备可以向对方发送数据之前，开始通信的设备必须首先决定交换数据的对方是否存在，同时必须找到一条经过网络路径，数据才能沿着这条路径发送。这个步骤称为连接建立如图 10于 第 43页 第三版 ) 第 3章 （ 1）请求端（通常称为客户）发送一个 及初始序号（ 这个 。 （ 2）服务器发回包含服务器的初始序号的 时，将确认序号设置为客户的 以对客户的 个 （ 3）客户必须将确认序号设置为服务器的 文段 3）。 第 44页 第三版 ) 第 3章 三次握手 这三个报文段完成连接的建立。这个过程也称为三次握手（ 发送第一个 接收这个 当一端为建立连接而发送它的 为连接选择一个初始序号。此每个连接都将具有不同的 出 2比特的计数器，每 4。这样选择序号的目的在于防止在网络中被延迟的分组在以后又被传送，而导致某个连接的一方对它作错误的解释。连接建立需要三个动作，称为三次握手。 第 45页 第三版 ) 第 3章 图 10第 46页 请 求 端 响 应 端s e q = y + 1 A C K = 1确 认 序 号 = y + 1S Y N = 1 S e q = I S N ( y ) A C K = 1确 认 序 号 = x + 1连 接 请 求S Y N = 1 S e q = I S N ( X )第三版 ) 第 3章 2. 终止连接 一旦所有的数据都传送完毕，连接必须被终止如图 10立一个连接需要三次握手，而终止一个连接要经过 4次握手。这由 成的。既然一个 数据在两个方向上能同时传递），因此每个方向必须单独地进行关闭。这原则就是当一方完成它的数据发送任务后就能发送一个 一端收到一个 必须通知应用层另一端几经终止了那个方向的数据传送。发送 第 47页 第三版 ) 第 3章 收到一个 个 这对利用半关闭的应用来说是可能的，尽管在实际应用中只有很少的 常关闭过程如图 10 首先进行关闭的一方（即发送第一个 执行主动关闭，而另一方（收到这个 行被动关闭。通常一方完成主动关闭而另一方完成被动关闭。 第 48页 第三版 ) 第 3章 图 10接终止 第 49页 请 求 端 响 应 端F I N 的 a c N = 1进 程关 闭F I N = 1F I N 的 a c 第三版 ) 第 3章 3. 半关闭 就是所谓的半关闭。为了使用这个特性，编程接口必须为应用程序提供一种方式来说明半关闭的含义，即请求方已经完成了数据传送，因此发送一个文件结束（响应端，但还想接收另一端发来的数据，直到响应端给请求方发来文件结束（ 第 50页 第三版 ) 第 3章 图 10第 51页 请 求 端 响 应 端F I N 的 a c N = 1进 程关 闭F I N = 1数 据 的 a c 进 程传 输数 据F I N 的 a c 接 收进 程被 通 知结 束第三版 ) 第 3章 半关闭 让左方的客户端开始半关闭，当然也可以由另一端开始。开始的两个报文段和图 10始端客户端发出的 着是另一端对这个 后面就和图 10收到半关闭的一端在完成它的数据传送后，将发送一个 将传送一个文件结束符给发起这个半关闭的应用进程。当对第二个 个连接便彻底关闭了。 第 52页 第三版 ) 第 3章 没有半关闭，需要其他的一些技术让客户通知服务器，客户端已经完成了它的数据传送，但仍要接收来自服务器的数据。使用两个 使用半关闭的单连接更好。 如果一方已经关闭或异常终止连接而另一方却还不知道，我们将这样的 。任何一端的主机异常都可能导致发生这种情况。只要不打算在半打开连接上传输数据，仍处于连接状态的一方就不会检测另一方已经出现异常。 第 53页 第三版 ) 第 3章 第 54页 主要内容 传输层功能 实时应用程序传输协议 本章小结 第三版 ) 第 3章 全套接层 )，及其继任者 传输层安全 （ 为 网络通信 提供安全及 数据完整性 的一种安全协议。 输层 对网络连接进行加密 。 第 55页 第三版 ) 第 3章 安全套接字层（ 于高层安全机制，保障在 用 数据加密 (术，可确保数据在网络上之传输过程中不会被截取及窃听，是在 泛地用于 服务器之间的 身份认证 和加密数据传输。 各种 应用层 协议之间，为 数据通讯 提供安全支持，如图 108所示。 第 56页 第三版 ) 第 3章 图 10第 57页 S S L C h a n g eC i p e r S p e L H a n d s h a k S S L R e c o r d P r o t o c a lA p p l i c a t i o L A l e r T P L D A P I M A 第三版 ) 第 3章 1. （ 1）握手协议 这个协议负责配置用于客户机和服务器之间会话的加密参数。当一个 们在一个协议版本上达成一致，选择加密算法和认证方式，并使用公钥来生成共享密钥。 第 58页 第三版 ) 第 3章 （ 2）记录协议（ 这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个 息认证代码），然后结果被加密并传输。接收方接收数据并对它解密，校验 压并重新组合，把结果提供给应用程序协议。 （ 3）警告协议警报协议（ 这个协议用于表示在什么时候发生了错误或两个主机之间的会话在什么时候终止。 第 59页 第三版 ) 第 3章 2. （ 1）用户和服务器的合法性认证 （ 2）加密数据以隐藏被传送的数据 （ 3）维护数据的完整性 第 60页 第三版 ) 第 3章 一个连接是一个提供一种合适类型服务的传输（ 接是暂时的，每一个连接和一个会话关联。一个 话由 话定义了一组可供多个连接共享的密码安全参数。会话用以避免为每一个连接提供新的安全参数所需昂贵的协商代价。 第 61页 第三版 ) 第 3章 握手协议是客户机和服务器用 手协议包括客户机与服务器之间的一系列消息。 协议允许服务器和客户机相互验证，协商加密和 来保护在 手协议是在应用程序的数据传输之前使用的。 每个握手协议包含以下三个字段，如图 10示 10种消息类型之一。 示消息长度字节数。 消息相关的参数。 第 62页 第三版 ) 第 3章 图 10第 63页 内 容 C o n t e n T y p e 长 度 L e n g t h1 b y t e 3 b y t e 第三版 ) 第 3章 一个阶段建立安全能力；第二个阶段服务器鉴别和密钥交换；第三个阶段客户鉴别 (可选的 )和密钥交换；第四个阶段完成握手协议。 第 64页 第三版 ) 第 3章 1. 建立安全能力 图 10 第 65页 第三版 ) 第 3章 户发送 （ 1）客户端可以支持的 （ 2）一个用于生成主秘密的 32字节的随机数 (32位时间戳 +28字节随机序列 )。 （ 3）一个确定会话的会话 （ 4）一个客户端可以支持的密码套件列表( （ 5）一个客户端可以支持的压缩算法列表。 第 66页 第三版 ) 第 3章 务器用 （ 1）一个 客户端支持的最高版本号和服务端支持的最高版本号中的较低者。 （ 2）一个用于生成主秘密的 32字节的随机数。（客户端一个、服务端一个） （ 3）会话 （ 4）从客户端的密码套件列表中选择的一个密码套件 （ 5）从客户端的压缩方法的列表中选择的压缩方法 第 67页 第三版 ) 第 3章 客户端服务端知道了下列内容 （ 1） （ 2）密钥交换、信息验证和加密算法 （ 3）压缩方法 （ 4）有关密钥生成的两个随机数。 第 68页 第三版 ) 第 3章 2. 服务器鉴别与密钥交换 服务器启动 阶段，是本阶段所有消息的唯一发送方，客户机是所有消息的唯一接收方，如图 10阶段分为四个步骤。 （ 1）证书：服务器将数字证书和到根 客户端能用服务器证书中的服务器公钥认证服务器。消息包含一个 者一条证书链。 （ 2）服务器密钥交换（可选）：服务器发送项目是可选的，有些情况下可以不需要，只有当服务器的证书没有包含必需的数据的时候才发送此消息。消息包含签名，被签名的内容包括两个随机数以及服务器参数，这里视密钥交换算法而定。 （ 3）证书请求：服务器发送 务端可能会要求客户自身进行验证。非匿名 （ 4）服务器握手完成：服务器发送后等待应答，意味着第二阶段的结束，第三阶段开始的信号。 第 69页 第三版 ) 第 3章 图 10第 70页 客 户 机 服 务 器一 系 列 证 书证 书服 务 器 公 钥服 务 器 密 钥 交 换可 接 受 证 书 列 表可 接 受 验 证 列 表证 书 请 求无 内 容S e r v e r D o n 第三版 ) 第 3章 这个方法中，服务器在它的第一个信息中，发送了 解密公钥证书。不过，因为预备主秘密是由客户端在下一个阶段生成并发送的，所以第二个信息是空的。注意，公钥证书会进行从服务器到客户端的验证。当服务器收到预备主秘密时，它使用私钥进行解密。服务端拥有私钥是一个证据，可以证明服务器是一个它在第一个信息发送的公钥证书中要求的实体。 第 71页 第三版 ) 第 3章 3. 客户机鉴别与密钥交换 第 72页 第三版 ) 第 3章 图 10户机鉴别与密钥交换 第 73页 客 户 机 服 务 器证 书 链证 书客 户 公 钥客 户 密 钥 交 换证 明 证 书 的 散 列 代 码证 书 验 证第三版 ) 第 3章 客户收到 根据需要检查服务器提供的证书，并判断 果都没有问题的话，发送一个或多个消息给服务器。客户机启动 阶段，是本阶段所有消息的唯一发送方，服务器是所有消息的唯一接收方。如图 10阶段分为三个步骤。 （ 1）证书（可选）：为了对服务器证明自身，客户要发送一个证书信息，这是可选的，在 果服务器请求证书的话，则客户首先发送一个 客户没有证书，则发送一个 （ 2）客户机密钥交换（ 这里客户端将预备主密钥发送给服务端，注意这里会使用服务端的公钥进行加密。 （ 3）证书验证（可选），对预备秘密和随机数进行签名，证明拥有（ 1）证书的公钥。客户发送一个 中包含一个签名，对从第一条消息以来的所有握手消息的 )进行签名。 第 74页 第三版 ) 第 3章 图 10第 75页 客 户 机 服 务 器无 证 书预 备 主 密 钥客 户 密 钥 交 换用 服 务 器 公 钥 S 加 密第三版 ) 第 3章 这种情况，除非服务器在阶段二明确请求，否则没有证书信息。客户端密钥交换方法包括阶段二收到的由 图 10段三之后，客户要有服务器进行验证，客户和服务器都知道预备主密钥。 第 76页 第三版 ) 第 3章 4. 完成 客户机启动 服务器结束，如图 10阶段分为四个步骤，前 2个消息来自客户机，后 2个消息来自服务器。 第 77页 第三版 ) 第 3章 图 10第 78页 客 户 机 服 务 器改 变 密 码 规 格 值改 变 密 码 规 格M D 5 散 列 + S H A 散 列完 成改 变 密 码 规 格 值改 变 密 码 规 格M D 5 散 列 + S H A 散 列完 成第三版 ) 第 3章 第四阶段建立起一个安全的连接。客户发送一个且把协商得到的后，客户用新的算法、密钥参数发送一个 条消息可以检查密钥交换和鉴别过程是否已经成功。其中包括一个校验值，对所有以来的消息进行校验。服务器同样发送手过程完成，客户和服务器可以交换应用层数据。 第 79页 第三版 ) 第 3章 提供了通信、身份认证功能，是一个面向连接的可靠传输协议，如 在 个记录由两部分组成：记录头和非零长度的数据。记录头可以是 2字节或 3字节（当有填充数据时使用）。应用层协议的报文允许占用多个 第 80页 第三版 ) 第 3章 记录协议在客户机和服务器握手成功后使用，即客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入 录协议向 保密性：使用握手协议定义的秘密密钥实现 完整性：握手协议定义了 于保证消息完整性 第 81页 第三版 ) 第 3章 第 82页 主要内容 传输层功能 实时应用程序传输协议 本章小结 第三版 ) 第 3章 时应用程序传输协议 实时传输协议 播）或单点传送（单播）的网络服务上，提供端对端的网络传输功能，适合传输实时数据。 交互式音频、视频等具有实时特性的数据提供端到端的传送服务。在