计算机网络技术基础（下篇共上中下3篇）

网络安全概述计算机网络技术基础网络安全的重要性网络安全的主要威胁因素学习目标

网络安全的重要性01OPTION网络攻击的出现随着网络的快速普及，网络以其开放、共享的特性对社会的影响也越来越大。网络上各种新业务的兴起，如电子商务、电子政务、电子货币、网络银行，以及各种专业用网的建设，使得各种机密信息的安全问题越来越重要。计算机犯罪事件逐年攀升，已成为普遍的国际性问题。随着我国信息化进程脚步的加快，利用计算机及网络发起的信息安全事件频繁出现，我们必须采取有力的措施来保护计算机网络的安全。近年来，计算机病毒、木马、蠕虫和黑客攻击等日益流行，对国家政治、经济和社会造成危害，并对Internet及国家关键信息系统构成严重威胁。绝大多数的安全威胁是利用系统或软件中存在的安全漏洞来达到破坏系统、窃取机密信息等目的，由此引发的安全事件也层出不穷。如2017年“WannaCry”勒索病毒造成全球许多电脑遭受攻击，2019年拼多多平台优惠券漏洞被黑客利用，进行不正当牟利等，2020年“蔓灵花”组织对我国进行大规模钓鱼攻击等。网络安全的主要威胁因素01OPTION信息系统自身安全的脆弱性信息系统脆弱性是指，信息系统的硬件资源、通信资源、软件及信息资源等，因可预见或不可预见甚至恶意的原因而可能导致系统受到破坏、更改、泄露和功能失效，从而使系统处于异常状态，甚至崩溃瘫痪等的根源和起因。可以从三个层面分别进行分析。硬件组件层面网络和通信协议层面软件组件层面010203网络安全的主要威胁因素02OPTION操作系统和应用程序漏洞操作系统是用户和硬件设备的中间层，操作系统一般都自带一些应用程序或者安装一些其他厂商的软件工具。应用软件在程序实现时的错误，往往就会给系统带来漏洞。漏洞是指计算机系统在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷和不足。漏洞一旦被发现，就可以被攻击者用来在未授权的情况下访问或破坏系统，从而导致危害计算机系统安全的行为。网络安全的主要威胁因素03OPTION信息系统面临的安全威胁网络安全的基本目标是实现信息的机密性、完整性、可用性和可控性，对信息系统的几个个基本目标造成的伤害称为网络威胁，威胁的具体体现称为网络攻击。网络的威胁有以下4个方面：信息泄露完整性破坏拒绝服务未授权访问学习进步！计算机网络技术基础ACL技术计算机网络技术基础ACL技术概述ACL原理学习目标

ACL技术01OPTION安全问题暴露随着网络的飞速发展，网络安全和网络服务质量（QualityofService，QoS）问题日益突出，主要体现在以下3个方面。①园区重要服务器资源被随意访问，园区机密信息容易泄露，造成安全隐患。②Internet病毒肆意侵略园区内网，内网环境的安全性堪忧。③网络带宽被各类业务随意挤占，服务质量要求最高的语音、视频业务的带宽得不到保障，造成用户体验差。ACL技术概述概述访问控制列表（AccessControlList，ACL）是由一系列permit或deny语句组成的、有序规则的列表。ACL技术本质上是一个报文的匹配工具，能够对报文进行匹配和区分。通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的，从而切实保障网络环境的安全性和网络服务质量的可靠性。ACL可以用在以下几种场景中。54321包过滤时调用路由策略时调用网络地址转换时在防火墙的策略部署中在QoS中调用

ACL原理01OPTIONACL的组成ACL的组成如图7-1所示，一个ACL中可以包含一条或多条ACL语句，每条ACL语句由ACL编号、规则、规则编号、动作和匹配项组成。图7-1ACL的组成rule5permitsource55aclnumber2000rule10denysource55rule15permitsource55……rule4294967294deny访问控制列表的编号用户自定义的规则系统在ACL末尾隐含的规则规则编号动作匹配项(此处为源IP地址)

ACL原理02OPTIONACL的通配符当进行IP地址匹配时，后面会跟着32位掩码位，这32位称为通配符，如图7-2所示。通配符与IP地址一样，也采用点分十进制格式，换算成二进制后，“0”表示“匹配”，“1”表示“不关心”。图7-2 通配符实例aclnumber2000rule 5 deny source0rule 10 deny source0rule 15 permit source55

ACL原理02OPTIONACL的通配符那么如果要精确匹配/24这个IP地址对应的网段地址，通配符是多少呢？对于这样的一个网段，需要严格匹配网络部分，即前3个字节必须为“192.168.1”，因此相应的通配符为“0”，而主机部分可以任意，即第4个字节可以任意，相应的通配符为“1”，因此通配符为“55”，如图7-3所示。图7-3 匹配网段的通配符551100000010101000000000010000000100000000000000000000000011111111严格匹配随机分配/24网段

ACL原理02OPTIONACL的通配符如果想匹配/24网段中，第4个字节为奇数的IP地址，通配符该怎么写呢？我们先来看一看，奇数IP地址都有哪些：、、1……将后八位写成二进制：0000001、0000101、0001011……可以看出共同点：最后8位的高7位是任意值，最低位固定为1，根据规则，通配符为“11111110”，即十进制的“254”，因此完整的通配符是“54”。如果要允许来自这些IP地址的流量通过的话，ACL列表中的规则应该写成：rulepermitsource54如果想匹配/24网段中，第4个字节为奇数的IP地址，通配符该怎么写呢？我们先来看一看，奇数IP地址都有哪些：、、1……将后八位写成二进制：0000001、0000101、0001011……可以看出共同点：最后8位的高7位是任意值，最低位固定为1，根据规则，通配符为“11111110”，即十进制的“254”，因此完整的通配符是“54”。如果要允许来自这些IP地址的流量通过的话，ACL列表中的规则应该写成：rulepermitsource54

ACL原理03OPTIONACL的分类基于ACL规则定义方式的划分，ACL可分为基本ACL、高级ACL、二层ACL和用户自定义ACL，这些不同的ACL在华为设备上通过不同的ACL编号来进行区分，具体如表7-1所示。类型编号范围规则定义基本ACL2000~2999使用报文的源IP地址、分片信息和生效时间段信息来定义规则高级ACL3000~3999使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口号、UDP源/目的端口号、生效时间段等来定义规则二层ACL4000~4999使用报文的以太网帧头信息来定义规则，如根据源MAC地址、目的MAC地址、二层协议类型等用户自定义ACL5000~5999使用

报文头、偏移位置、字符串掩码和用户自定义字符串来定义规则表7-1基于ACL规则定义方式的ACL类型划分

ACL原理04OPTIONACL的匹配机制ACL的匹配机制是指，配置ACL的设备接收报文后，会将该报文与ACL中的规则逐条进行匹配，如果不能匹配，就会继续尝试去匹配下一条规则。一旦匹配上，则设备会对该报文执行这条规则中定义的处理动作，并且不再继续尝试与后续规则匹配。存在引用的ACL？ACL中存在规则？分析第一条规则命中规则？存在剩余规则？分析下一条规则ACL动作是permit还是denyACL匹配结果为拒绝ACL匹配结果为允许ACL匹配结果为不匹配是是否是否否否是permitdeny匹配原则：一旦命中即停止匹配开始结束04OPTIONACL的匹配机制

ACL原理

ACL原理05OPTIONACL的匹配顺序一个ACL可以由多条“deny|permit”语句组成，每一条语句描述的规则是不相同的，这些规则可能存在重复或矛盾的地方（一条规则可以包含另一条规则，但两条规则不可能完全相同），在将一个数据包和ACL的规则进行匹配的时候，由规则的匹配顺序决定规则的优先级。华为设备支持两种匹配顺序，即配置（config）顺序和自动（auto）排序。华为设备中默认的匹配顺序是配置顺序。

ACL原理05OPTIONACL的匹配顺序下面举例说明匹配规则为配置顺序的ACL匹配过程。例7-1基本ACL2000定义如下，设备中配置了包过滤并引用了这条ACL。如果收到来自/24的报文，ACL将执行什么动作？ACl2000rule5permitsource0rule10permitsource0rule15denysource0rule2055

ACL原理06OPTIONACL的匹配方向图7-5ACL的匹配方向inboundoutbound接口入方向应用了ACL？路由ACL允许通行？NoYesYes数据报文No存在匹配的路由条目？接口出方向应用了ACL？NoYes路由到出接口ACL允许通行？YesYesNoNo数据报文数据报文数据报文学习进步！计算机网络技术基础

防火墙技术计算机网络技术基础防火墙概述安全区域学习目标安全策略会话表

防火墙概述01OPTION概述“防火墙”一词起源于建筑领域，用来隔离火灾，阻止火势从一个区域蔓延到另一个区域。引入到通信领域，防火墙这一具体设备通常用于两个网络之间有针对性的、逻辑意义上的隔离。这种隔离是选择性的，可以隔离“火”的蔓延，而又保证“人”可以穿墙而过。这里的“火”是指网络中的各种攻击，而“人”是指正常的通信报文。

防火墙概述01OPTION概述“防火墙”一词起源于建筑领域，用来隔离火灾，阻止火势从一个区域蔓延到另一个区域。引入到通信领域，防火墙这一具体设备通常用于两个网络之间有针对性的、逻辑意义上的隔离。这种隔离是选择性的，可以隔离“火”的蔓延，而又保证“人”可以穿墙而过。这里的“火”是指网络中的各种攻击，而“人”是指正常的通信报文。路由器和交换机构建了互联互通的网络，带来便利的同时也带来了安全隐患。一般的，对于企业网来说，来自互联网的攻击与安全隐患更为严重，因此一般在网络边界，企业会有如下安全诉求。

① 外部网络安全隔离。

② 内部网络安全管控。

③ 内容安全过滤。

④ 入侵防御。

⑤ 防病毒。

防火墙概述01OPTION概述为了满足上述诉求，我们可以在企业中部署防火墙来保证企业内部的安全。那么什么是防火墙呢？防火墙是一种安全设备。它用于保护一个网络区域免受来自另一个网络区域的攻击和入侵，通常被应用于网络边界，如企业互联网出口、企业内部业务边界、数据中心边界等。大家比较熟悉的设备有路由器、交换机，那么防火墙跟路由器和交换机有什么区别呢？以图7-6所示的园区网为例，在园区网中，交换机的作用是接入终端和汇聚内部流量，完成局域网内部二/三层的快速报文转发；路由器的作用是报文的寻址和转发，保证网络互联互通；防火墙的作用是进行报文的控制转发，划分网络安全区域并部署安全防护，防止来自网络的各种攻击、病毒和木马等。图7-6园区网中各种设备的功能区别

防火墙概述02OPTION部署场景一般来说，防火墙会在以下4种情况下部署，如。

防火墙概述03OPTION分类广义上的防火墙，一般包括个人防火墙和网络防火墙。个人防火墙一般用于个人计算机的安全防护，其部署过程类似于软件产品的安装，因此也称为软件防火墙。网络防火墙则用于加强网络之间的访问控制与安全防护，是一种特殊的网络硬件设备。本节主要侧重网络防火墙的介绍，后文中的防火墙如无指定都指网络防火墙。根据实现技术的不同，防火墙可以分为包过滤防火墙、状态检测防火墙和人工智能防火墙（ArtificialIntelligenceFirewall，AIFW）3种类型。

安全区域01OPTION概述安全全区域（SecurityZone）简称为区域（Zone），是防火墙的重要概念。防火墙大部分的安全策略都基于安全区域实施。一个安全区域是防火墙若干接口所连网络的集合，一个区域内的用户具有相同的安全属性，如图7-8所示。图7-8 安全区域示意

安全区域01OPTION概述对于华为的防火墙产品，系统内部已创建4个区域：untrust、dmz、trust和local区域，如表7-2所示。需要注意的是，设备所有的接口本身都属于local区域。图7-8 安全区域示意

安全区域02OPTION区域划分一般来说，设备自带的安全区域不能删除，其优先级也不允许修改，用户可以根据需要自行创建自定义的安全区域，并配置安全优先级，但自定义安全区域的名字和优先级不能与默认安全区域冲突。防火墙默认安全区域的名称均为小写字母，且大小写敏感，默认安全区域的使用方法具体说明如下

。1非受信区域（untrust）24非军事化区域（dmz）受信区域（trust）本地区域（local）3

安全策略01OPTION概述安全策略是控制防火墙对流量进行转发以及对流量进行内容安全一体化检测的策略。当防火墙收到流量后，对流量的属性（五元组、用户、时间段等）进行识别，然后与安全策略的条件进行匹配。如果条件匹配，则此流量被执行对应的动作。图7-9所示是一个典型的安全策略应用，防火墙上配置了安全策略，办公区的电脑仅允许在办公时间（9:00-17:00）访问互联网，研发区的电脑禁止在任何时间访问互联网。图7-9 安全策略应用

安全策略02OPTION安全策略的处理流程安全策略的处理流程如所示。配置了安全策略的防火墙收到报文后，首先根据安全策略的匹配条件进行检测，根据匹配结果执行“允许”或“禁止”的操作，具体操作过程说明如下。图7-10 安全策略的处理流程

安全策略03OPTION安全策略的处理流程当防火墙上配置了多条安全策略规则时，安全策略的匹配按照策略列表顺序执行，即从策略列表顶端开始逐条向下匹配，如图7-11所示。如果流量匹配了某个安全策略，将不再进行下一个策略的匹配。安全策略的配置顺序很重要，在实际配置时需要先配置条件精确的策略，再配置宽泛的策略。华为的防火墙产品中，系统默认存在一条默认安全策略default。默认安全策略位于策略列表的最底部，优先级最低，所有匹配条件均为any，动作默认为禁止。如果所有配置的策略都未匹配，则将匹配默认安全策略default。图7-11 安全策略的匹配顺序会话表01OPTION会话表概述防火墙动态地维护一个会话表，会话表是用来记录TCP、UDP、ICMP等协议连接状态的表项，是防火墙转发报文的重要依据。会话表中记录的信息很多，一般包括以下几个关键元素：源IP地址、源端口、目的IP地址、目的端口、协议号、应用和用户，简称“七元组”。防火墙采用了基于“状态检测”的报文转发机制，该机制对首包或者少量报文进行检测后，就记录下这条连接的七元组信息并产生会话表项，后续的大量报文则直接将报文信息和会话表项进行匹配，并根据匹配结果进行后续操作。跟包过滤技术的“逐包检测机制”相比，“状态检测机制”可迅速提高防火墙的检测和转发效率。防火墙基于会话表的转发流程如图7-12所示，由图可以看出，已经存在会话表的报文的检测过程比没有会话表的报文要短很多。而通常情况下，通过对一条连接的首包进行检测并建立会话后，该条连接的绝大部分报文都不再需要重新检测。这就是状态检测防火墙的“状态检测机制”相对于包过滤防火墙的“逐包检测机制”的改进之处。这种改进使状态检测防火墙在检测和转发效率上有大幅提升。会话表01OPTION会话表概述会话表01OPTION会话表概述在检查是否可以创建会话表的过程中，状态检测机制起到了关键的作用。会话表项的生成与协议首包、状态检测机制之间的关系可以总结如下。（1）对TCP报文

① 开启状态检测机制时，首包（SYN报文）建立会话表项。对除SYN报文外的其他报文，如果没有对应会话表项（设备没有收到SYN报文或者会话表项已老化），则予以丢弃，也不会建立会话表项。

② 关闭状态检测机制时，任何格式的报文在没有对应会话表项的情况下，只要通过各项安全机制（包括认证策略、Server-map表项、安全策略、路由、源NAT策略）的检查，都可以为其建立会话表项。（2）对UDP报文 UDP是基于无连接的通信，任何UDP格式的报文在没有对应会话表项的情况下，只要通过各项安全机制的检查，都可以为其建立会话表项。（3）对ICMP报文

① 开启状态检测机制时，没有对应会话的ICMP应答报文将被丢弃，也不会建立会话表项。

② 关闭状态检测机制时，没有对应会话的ICMP应答报文在没有对应会话表项的情况下，只要通过各项安全机制的检查，都可以为其建立会话表项。会话表01OPTION会话表概述下面以图7-13所示的拓扑为例，说明防火墙基于会话表的转发机制。图中，全网实现了互通，防火墙上配置了安全策略允许trust区域访问untrust区域。此时，位于trust区域的主机PC1主动访问untrust区域的主机PC2的转发流程如下。学习进步！计算机网络技术基础局域网安全技术计算机网络技术基础局域网安全概述DHCP窥探学习目标网络接入控制

局域网安全技术01OPTION概述在企业网组建时，人们往往更容易关注网络边界的安全，如在网络出口部署防火墙；但是往往忽略了网络内部即局域网内的安全。但是越来越多的安全事件发生在局域网内部，由于局域网内部缺乏有效的安全控制，网络内部犹如一座空门大宅，任何人都可以随意进入，因此一旦发生安全问题往往影响巨大，攻击者仅需通过有线或无线的方式接入网络，即可轻易的获取内网的机密文件资料，如局域网内的ARP攻击。局域网安全技术概述02OPTION危害对于网络管理员来说，较之于互联网，局域网相对可控一些，但由于局域网内终端和用户都比较复杂，所以局域网的安全威胁也不容小视。造成局域网安全威胁的因素一般有如下几种。

①病毒泛滥造成资源浪费

②用户接入缺乏管控

③IP地址冲突

④客户端难以控制

DHCP窥探01OPTION实现原理动态主机配置协议（DynamicHostConfigurationProtocol，DHCP）是一种用于集中对用户IP地址进行动态管理和配置的技术。DHCP窥探技术即DHCPSnooping技术，是DHCP的安全特性，用于防范利用DHCP报文进行的攻击行为，包括DHCPDos攻击、DHCPServer仿冒攻击、ARP中间人攻击等。DHCPSnooping对DHCP客户端和服务器之间的DHCP交互报文进行窥探，通过建立和维护DHCPSnooping绑定表过滤不可信任的DHCP信息。DHCPSnooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口等信息。当交换机开启了DHCPSnooping功能后，会对DHCP报文进行侦听，并可以从接收到的DHCP请求或DHCP确认报文中提取并记录IP地址和MAC地址信息。另外，DHCPSnooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP中继报文，而不信任端口会将接收到的DHCP中继报文丢弃。这样，可以完成交换机对假冒DHCPServer的屏蔽作用，确保客户端从合法的DHCP服务器获取IP地址。

网络接入控制01OPTION概述传统的网络安全技术只考虑了外部计算机对网络的威胁，而没有考虑到内部计算机对网络的威胁，而且现有的网络设备难以有效防止内部设备对网络的威胁。网络接入控制（NetworkAdmissionControl，NAC）是一种安全接入的框架，其理念是安全“端到端”的概念。NAC从用户终端层面考虑内部网络安全，而不是从网络设备层面考虑内部网络安全。

网络接入控制02OPTION基本架构如图7-14所示，NAC作为解决网络安全接入控制的一种方案，主要包括以下几个部件。（1）NAC终端，需要接入网络的各种终端设备，与网络接入设备交互完成用户的接入认证功能。如果采用IEEE802.1x（以下简称802.1x）

认证，用户需要安装客户端软件。（2）网络准入设备，包括路由器、交换机等，对接入用户进行认证和授权网络准入设备是终端访问网络的网络控制点，是企业安全策略的实施者，负责按照客户网络制定的安全策略，实施相应的准入控制。（3）网络准入服务器，主要进行用户身份认证、终端安全检查、系统修复升级，终端行为监控审计等工作，网络准入服务器包括准入控制服务器、管理服务器、病毒库服务器和补丁服务器等。

网络接入控制02OPTION基本架构图7-14NAC的基本构架示意图

网络接入控制03OPTIONNAC的认证方式（1）802.1x认证 802.1x认证又称基于以太网的扩展认证协议（ExtensibleAuthenticationProtocol OverEthernet，EAPOE）认证，主要目的是解决局域网用户的接入认证问题。 EAP

本身不是一个认证机制，而是一个通用架构，用来传输实际的认证协议。EAP的优

势是当一个新的认证协议发展出来时，基础的EAP机制不需要随着协议的改变而改变。

目前有超过20种不同的EAP。EAP的协议栈和支持的认证协议如图7-15所示。图7-15EAP协议框架

网络接入控制03OPTIONNAC的认证方式IEEE802.1x标准（以下简称802.1x）的主要内容是一种基于端口的网络接入控制（PortBasedNetworkAccessControl）协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。802.1x标准关注接入端口的状态。当合法用户（根据帐号和密码）接入时，该端口打开；当非法用户接入或没有用户接入时，该端口处于关闭状态。认证的结果在于端口状态的改变，而不涉及通常认证技术必须考虑的IP地址协商和分配问题，是各种认证技术中最简化的实现方案。在802.1x认证过程中，如果局域网接入控制设备发起的802.1x认证长时间没有得到响应，则接入控制设备会以用户的MAC地址为认证信息，把MAC地址作为用户名和密码上送AAA服务器进行认证，这种特殊的802.1x认证方式也称为MAC旁路认证。

网络接入控制03OPTIONNAC的认证方式（2） MAC认证 MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，

它不需要用户安装任何客户端软件，用户名和密码都是用户设备的MAC地址。网络接

入设备在首次检测到用户的MAC地址以后，即启动对该用户的认证。（3）GuestVLAN

在802.1x认证、MAC认证和MAC旁路认证时，可配置GuestVLAN，当终端不响应认

证请求或用户认证失败时，用户可受限接入。属于该GuestVLAN中的用户访问该 GuestVLAN中的资源时，不需要进行认证，但访问外部的资源时仍需要进行认证。 GuestVLAN满足了允许未认证用户访问某些资源的需求。（4）Web认证 Web认证也称Portal认证，其基本原理是：用户首次打开浏览器，输入任何网址，都被

强制重定向到Web服务器的认证页面，只有在认证通过后，用户才能访问网络资源。

未认证用户只能访问特定的站点服务器。Web认证通过Web页面输入用户名和密码，

使用Portal协议完成认证过程。学习进步！计算机网络技术基础互联网应用概述计算机网络技术基础互联网的概述互联网的发展历史学习目标互联网的应用

互联网的概述互联网（Internet）又称国际网络，指的是全球的网络与网络之间所串连成的庞大网络，这些网络以一组通用的协议相连，形成逻辑上的单一巨大国际网络。互联网（Internet）是世界上最大的、开放的由多个计算机网络为了实现更大范围的资源共享和信息交换而组成的互连网络。Internet采用TCP/IP协议族，将各国家、地区、部门各种类型的计算机网络通过网络互连设备实现互连，形成一个计算机网络的网络。

互联网的发展历史起源:20世纪60年代末期，美国国防部高级研究计划局（AdvancedResearchProjectAgency，ARPA）网1969-1983年，互联网的形成阶段，主要用做网络技术的研究和试验，在部分美国大学和研究部门中运行和使用1983年开始，互联网进入实用阶段，用于教学、科研和通信，在美国和部分发达国家的大学和研究部门中使用1989年，互联网进入迅速发展时期1993年，浏览器的出现以及WWW服务器的增长，掀起了互联网应用的新高潮1995年，互联网开始大规划应用在商业领域

互联网的应用Web服务：使用超文本传输协议（HyperTextTransferProtocol，HTTP）。用户在访问一个万维网网站时，客户机和服务器之间通过HTTP交互请求和数据传输。电子邮件服务：使用简单邮件传输协议/邮局协议（SimpleMailTransferProtocol/PostOfficeProtocol，SMTP/POP3）。电子邮件发送时使用SMTP，接收时使用POP3。域名解析服务：使用域名服务协议（DomainNameServer，DNS）。用户使用域名访问互联网时，DNS负责将域名进行解析，得到该域名对应主机的IP地址。动态IP地址分配服务：使用动态主机配置协议（DynamicHostConfigurationProtocol，DHCP）。DHCP的主要作用是集中管理网络中的IP地址，使网络中的主机可以通过动态的方式获得IP地址、网关、DNS等配置信息。文件传输服务：使用文件传输协议/简单文件传输协议（FileTransferProtocol/TrivialFileTransferProtocol，FTP/TFTP）。用于在两台计算机之间传递文件。远程登录服务：使用远程登录（Telnet）协议，用于为网络中的其他计算机提供远程登录功能。学习进步！计算机网络安全技术WEB服务计算机网络技术基础WEB服务的基本概念HTTP/HTTPS的概念学习目标

WEB服务的基本概念WEB的定义01OPTION万维网（WorldWideWeb，WWW）是一个全球连接的、分布的、动态的、多平台的交互式图形平台，综合了信息发布技术和超文本技术的信息系统。万维网为用户提供了一个基于浏览器/服务器模型和多媒体技术的图形化信息查询界面。在万维网的工作过程中，用户使用本地计算机的浏览器，通过互联网访问分布在世界各地的网页服务器，进而从服务器获得文本、图片、视频、音频等各种各样的服务资源。网页服务器上的页面一般采用超文本标记语言（HyperTextMarkupLanguage，HTML）编写。用户计算机和网页服务器之间通过HTTP交互信息，交互完成后本地网页浏览器编译，并将页面内容在本地浏览器中显示出来。

WEB服务的基本概念基本概念02OPTION超文本与超媒体超文本是一种文本，它和书本上的文本是一样的。但与传统的文本文件相比，它们之间的主要差别是，传统文本是以线性方式组织的，而超文本是以非线性方式组织的。这里的“非线性”是指文本中遇到的一些相关内容通过链接组织在一起，用户可以很方便地浏览这些相关内容。这种文本的组织方式与人们的思维方式和工作方式比较接近。超媒体与超文本之间的不同之处是，超文本主要是以文字的形式表示信息，建立的链接关系主要是文句之间的链接关系。超媒体除了使用文本外，还使用图形、图像、声音、动画或影视片断等多种媒体来表示信息，建立的链接关系是文本、图形、图像、声音、动画和影视片断等媒体之间的链接关系。

WEB服务的基本概念基本概念02OPTIONURL用户在访问众多的互联网资源时，通常使用统一资源定位器（UniformResourceLocators，URL）。标准的URL由三部分组成：服务器类型、主机完整域名和路径，以及文件名。例如，新浪门户NBA频道的URL为/nba/，其中，“https：”是指使用HTTPS，“”是要访问的服务器完整域名，“/nba”是NBA频道所在的文件路径。

HTTP/HTTPS的概念HTTP的工作原理01OPTION超文本传输协议（HyperTextTransferProtocol，HTTP）是互联网上应用最为广泛的一种网络协议。设计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法，它可以使浏览器更加高效。HTTP的工作原理包括以下两个过程。①客户端的浏览器首先要通过网络与服务器建立连接，该连接是通过TCP来完成的，一般TCP连接的端口号是80。建立连接后，客户机发送一个请求给服务器。②服务器接到请求后，给予相应的响应信息，其格式为一个状态行，包括信息的协议版本号、一个成功或错误的代码，后边是MIME信息，包括服务器信息、实体信息和可能的内容。

HTTP/HTTPS的概念HTTP/HTTPS对比02OPTION学习进步！计算机网络安全技术电子邮件服务计算机网络技术基础电子邮件服务学习目标

电子邮件服务01OPTION概述电子邮件（ElectronicMail，E-mail）是一种利用电子手段提供信息交换的通信方式，是互联网中应用非常广泛的服务。通过电子邮件，用户可以用非常低廉的价格以非常快速的方式，与世界上任何一个角落的一个或者多个网络用户联系。电子邮件可支持各种格式，包括文字、图像、声音等。电子邮件地址的格式是“user@”，由三部分组成。第一部分“user”代表用户的邮箱账号，对于同一个邮件服务器来说，这个账号必须是唯一的；第二部分“@”是分隔符；第三部分“”是用户邮箱的邮件服务器的域名，用于标志其所在的位置。电子邮件的工作过程是基于客户端/服务器模式的。用户在电子邮件客户端程序上进行创建、编辑等工作，并将编辑好的电子邮件通过SMTP向本方邮件服务器发送。本方邮件服务器识别接收方的地址，并通过SMTP向接收方邮件服务器发送。接收方通过邮件客户端程序连接到邮件服务器后，使用POP3或IMAP来将这个邮件下载到本地，或者在线查看、编辑等。

电子邮件服务02OPTION电子邮件系统组成电子邮件系统包含邮件服务器和邮件客户端；邮件服务器又包含邮件发送处理服务器（遵循SMTP）和邮件接收处理服务器（遵循POP3协议）。

电子邮件服务03OPTIONSMTP简单邮件传输协议（SimpleMailTransferProtocol，SMTP）是一种用于在邮件服务器之间交换邮件的协议。SMTP是基于TCP连接的，端口号是25。在电子邮件的发送过程中，用户在电子邮件客户端上通过SMTP将邮件传送到本地邮件服务器。如果发送方与接收方使用同一个邮件服务器，则邮件直接转到接收方的电子邮箱；如果发送方与接收方的邮件服务器不同，则由发送方的邮件服务器通过SMTP向接收方邮件服务器进行电子邮件的中转。

电子邮件服务04OPTIONPOP3电子邮件是存储在网络中的邮件服务器上的。在早期，用户只能远程连接到邮件服务器进行邮件的在线查看和编辑，网络连接费用高且不方便。POP3（PostOfficeProtocol3）即邮局协议（PostOfficeProtocol，POP）的第3个版本。通过POP3，用户能够从本地主机连接到邮件服务器，通过命令来将邮件从邮件服务器的邮箱中下载到本地主机进行查看和编辑。另外，用户也可以通过POP3将保存在邮件服务器中的邮件删除，以释放邮件服务器所在主机的存储空间。POP3是基于TCP连接的，端口号是110。学习进步！计算机网络技术基础域名解析服务计算机网络技术基础DNS简介DNS结构学习目标DNS域名解析过程DNS简介01OPTIONDNS概述域名系统（DomainNameSystem，DNS）就是一种利用TCP/IP应用程序的分布式数据库，能够提供域名与IP地址之间转换的功能。网络主机使用IP地址来定位IP地址难于记忆，需要用名称来表示主机IP地址改变后，域名不变，仍可访问DNS简介02OPTIONDNS的发展在TCP/IP网络发展初期，人们直接使用IP地址来访问网络上的资源。随着网络规模的扩大和网络中所提供服务的增加，需要记住越来越多的IP地址。但点分十进制的IP地址是难记忆的。所以需要一种能够把IP地址与便于记忆的名字关联起来的方法，使人们只要能记住这些名字，就可以访问网络资源。在互联网发展初期，网络中仅有几百台主机，那时的计算机使用一个叫Hosts的文件来实现主机名与IP地址之间的映射。Hosts文件包括主机名和IP地址的对应信息。当一台主机需要通过主机名访问网络上的另外一台主机时，它就会查看本地的Hosts文件，从文件中找到相对应的IP地址，然后进行报文发送。如果在Hosts文件中没有关于那台主机名的相关信息，则主机访问将失败。每台主机Hosts文件都需要手工单独更新，而且几乎没有自动配置。随着Internet规模快速增长，维护包含一个大量映射条目的文件的难度越来越大，而且在每台主机间进行经常同步更新几乎是一件不可能完成的任务。DNS简介02OPTIONDNS的发展为了解决Hosts文件维护困难的问题，20世纪80年代，IETF发布了域名系统（DomainNameSystem，DNS）。DNS域名系统主要解决了因特网上主机名与IP地址之间的相互转换的问题，为用户实现多种网络资源的访问提供了必要条件。DNS基于UDP，默认使用的端口号为53，其架构采用客户端/服务器模式。通常由客户端提出域名查询请求，服务器负责响应请求。DNS客户端通过查询DNS服务器获得所需访问主机的IP地址信息，进而完成后续的TCP/IP通信过程。

DNS域名结构01OPTIONDNS域名结构DNS的域名结构，其本质是互联网中管理范围的划分，最大的域是根域，向下可以划分为顶级域、二级域、三级域、四级域等。相对应的域名是根域名、顶级域名、二级域名、三级域名、四级域名等。不同等级的域名之间使用点号分割，级别最低的域名写在最左边，而级别最高的域名则写在最右边。如域名中，com为顶级域名，abc为二级域名，而www则表示二级域名中的主机。每一级域名都由英文字母和数字组成，域名不区分大小写，但是长度不能超过63字节，一个完整的域名不能超过255字节。根域名用“.”（点）表示。如果一个域名以点结尾，那么这种域名我们称之为完全合格域名（FullQualifiedDomainName，FQDN）。接入互联网的主机、服务器或其他网络设备都可以拥有一个唯一的完全合格域名。

DNS域名解析过程01OPTION实现过程DNS域名解析的查询流程如图8-3所示。现在假定客户端指定DNS是深圳电信的域名服务器，那么该客户端查询域名的解析过程列举如下

。图8-3DNS域名解析的查询流程

DNS域名解析过程01OPTION实现过程步骤1：客户端本地查询。客户端先查询本地高速缓存，如果有记录直接完成解析。如果没有，则进行步骤2查询。步骤2：客户端查本机host文件，如果host文件中有记录则完成解析，否则将解析请求发送给指定的深圳电信域名服务器。步骤3：深圳电信域名服务器查询本地区域文件，如果有记录则完成解析，否则继续下一步查询。步骤4：深圳电信域名服务器查询本地高速缓存，如果有记录则完成解析，否则进行下一步查询。步骤5：深圳电信域名服务器查询其他DNS服务器。学习进步！计算机网络技术基础动态IP地址分配服务计算机网络技术基础DHCP简介DHCP服务器地址分配方式学习目标DHCP协议报文DHCP工作过程DHCP简介01OPTION产生背景随着网络规模的扩大和网络复杂度的提高，计算机的数量经常超过可供分配的IP地址的数量，同时随着便携机及无线网络的广泛应用，计算机的位置也经常变化，相应的IP地址也必须经常更新，从而导致网络配置越来越复杂。动态主机配置协议（DynamicHostConfigurationProtocol，DHCP）就是为满足这些需求而发展起来的。DHCP是从引导程序协议（BootstrapProtocol，BOOTP）发展起来的。在计算机网络发展初期，由于硬盘昂贵，无盘工作站被大量应用。这些没有硬盘的主机通过启动存储器BOOTROM启动并初始化系统，再通过BOOTP由服务器为这些主机设定TCP/IP环境，从而使主机能够连接到网络上并工作。不过，在早期的BOOTP里，设定BOOTP服务器前必须先获得客户端的硬件地址，而且硬件地址与IP地址是静态绑定的，即便无盘工作站并没有连接到网络上，IP地址也不能够被其他主机使用。因为以上缺陷，BOOTP逐渐被DHCP所取代。DHCP简介01OPTIONDHCP概述与BOOTP相比，DHCP也采用客户端/服务器通信模式，由客户端向服务器提出配置申请（包括分配的IP地址、子网掩码、默认网关等参数），服务器根据策略返回相应配置信息，两种报文都采用UDP进行封装，并使用基本相同的报文结构。BOOTP运行在相对静态（每台主机都有固定的网络连接）的环境中，管理员为每台主机配置专门的BOOTP参数文件，该文件会在相当长的时间内保持不变。DHCP从两方面对BOOTP进行了扩展。

（1）DHCP可使计算机仅用一个消息就获取它所需要的所有配置信息。

（2）DHCP允许计算机快速、动态地获取IP地址，而不是静态地为每台主机指定地址。

DHCP服务器的地址分配方式01OPTION分配方式DHCP服务器支持三种类型的地址分配方式。 1.手工分配方式

由管理员为少数特定DHCP客户端（如DNS、WWW服务器、打印机等）静态绑定

固定的IP地址。通过DHCP服务器将所绑定的固定IP地址分配给DHCP客户端。此

地址永久被该客户端使用，其他主机无法使用。 2.自动分配方式 DHCP服务器为DHCP客户端动态分配租期为无限长的IP地址。只有客户端释放

该地址后，该地址才能被分配给其他客户端使用。 3.动态分配方式 DHCP服务器为DHCP客户端分配具有一定有效期的IP地址。如果客户端没有及时

续约，到达使用期限后，此地址可能会被其他客户端使用。绝大多数客户端得到的

都是这种动态分配的地址。

DHCP服务器的地址分配方式02OPTION分配顺序在DHCP环境中，DHCP服务器为DHCP客户端分配IP地址时采用的一个基本原则就是尽可能地为客户端分配原来使用的IP地址。我们在实际使用过程中会发现，当DHCP客户端重新启动后，它也能够获得相同的IP地址。DHCP服务器为DHCP客户端分配IP地址时采用如下的先后顺序。

（1）DHCP服务器数据库中与DHCP客户端的MAC地址静态绑定的IP地址。

（2）DHCP客户端曾经使用过的地址。

（3）最先找到的可用IP地址。如果未找到可用的IP地址，则依次查询超过租期、发生冲突的IP地址，如果找到则进行分配，否则报告错误。

DHCP协议报文01OPTION协议报文DHCP的主要协议报文有8种。其中，DHCPDiscover、DHCPOffer、DHCPRequest、DHCPACKCK和DHCPRelease这5种报文在DHCP交互过程中比较常用；而DHCPNAK、DHCPDecline和DHCPInform等3种报文则较少使用。下面简要介绍这7种报文的作用。

①DHCPDiscover报文：DHCP客户端系统初始化完毕后第一次向DHCP服务器发

送的请求报文，该报文通常以广播的方式发送。

②DHCPOffer报文：DHCP服务器对DHCPDiscover报文的回应报文，采用广播

或单播方式发送。该报文中会包含DHCP服务器要分配给DHCP客户端的IP地

址、掩码、网关等网络参数。

③DHCPRequest报文：DHCP客户端发送给DHCP服务器的请求报文，根据 DHCP客户端当前所处的不同状态采用单播或者广播的方式发送。完成的功能

包括DHCP服务器选择及租期更新等。

④DHCPRelease报文：当DHCP客户端想要释放已经获得的IP地址资源或取消租

期时，将向DHCP服务器发送DHCPRelease报文，采用单播方式发送。

DHCP协议报文01OPTION协议报文

⑤DHCPACK/NAK报文：这两种报文都是DHCP服务器对所收到的Client请求报文的

一个最终的确认。当收到的请求报文中各项参数均正确时，DHCP服务器就回应一

个DHCPACK报文，否则将回应一个DHCPNAK报文。

⑥DHCPDecline报文：当DHCP客户端收到DHCPACK报文后，它将对所获得的IP地

址进行进一步确认，通常利用免费ARP进行确认，如果发现该IP地址已经在网络上

使用，那么它将通过广播方式向DHCP服务器发送DHCPDecline报文，拒绝所获

得的这个IP地址。

⑦DHCPInform报文：当DHCP客户端通过其他方式（如手工分配方式）已经获得可

用的IP地址时，如果它还需要向DHCP服务器索要其他的配置参数时，它将向 DHCP服务器发送DHCPInform报文进行申请，DHCP服务器如果能够对所请求的

参数进行分配的话，那么将会单播回应DHCPACK报文，否则不进行任何操作。

DHCP工作过程01OPTIONDHCP地址获取过程DHCP地址获取过程

当DHCP客户端接入网络后第一次进行IP地址申请时，DHCP客户端和DHCP服务器需

要进行多次报文交互，如图8-4所示，具体交互过程说明如下。图8-4DHCP地址获取

DHCP工作过程01OPTIONDHCP地址获取过程当DHCP客户端收到包含配置参数的DHCPACK报文后，会发送免费ARP报文进行探测，目的地址为DHCP服务器指定分配的IP地址，如果探测到此地址没有被使用，那么DHCP客户端就会使用此地址并且配置完毕。如果DHCP客户端探测到地址已经被分配使用，它会发送DHCPDecline报文给DHCP服务器，并且重新开始DHCP进程。另外，如果DHCP客户端收到DHCPNAK报文，DHCPClient也将重新启动DHCP进程。

DHCP工作过程02OPTIONDHCP的租期更新和重绑定DHCP客户端在从DHCP服务器获得IP地址的同时，也获得了这个IP地址的租期。所谓租期就是DHCP客户端可以使用相应IP地址的有效期，租期到期后DHCP客户端必须放弃该IP地址的使用权并重新进行申请。为了避免上述情况，DHCP客户端在租期到期之前可重新对租期进行更新，以延长该IP地址的使用期限。在DHCP中，租期的更新同下面两个状态密切相关。

DHCP工作过程02OPTIONDHCP的租期更新和重绑定（1）租期更新（Renewing）状态图8-5DHCP租期更新

DHCP工作过程02OPTIONDHCP的租期更新和重绑定（2）重绑定（Rebinding）状态

DHCP的重绑定工作过程如图8-6所示。图8-6DHCP的重绑定

DHCP工作过程02OPTIONDHCP的租期更新和重绑定（2）重绑定（Rebinding）状态

DHCP的重绑定工作过程如图8-6所示。图8-6DHCP的重绑定

DHCP工作过程03OPTIONDHCP的地址释放如果DHCP客户端不再使用分配的IP地址，它将主动向DHCP服务器发送DHCPRelease报文，释放该IP地址，如图8-7所示。另外，如果客户端在IP租约到期前都没有收到服务器响应，客户端停止使用此IP地址。图8-7DHCP的地址释放学习进步！计算机网络技术基础文件传输服务计算机网络技术基础FTPTFTP学习目标

文件传输服务01OPTION概述主机之间传输文件是IP网络的一个重要功能，如今人们可以方便地使用网页、邮箱进行文件传输。然而在互联网早期，Web（WorldWideWeb，万维网）还未出现，操作系统使用命令行的时代，用户使用命令行工具进行文件传输。其中最通用的方式就是使用FTP（FileTransferProtocol，文件传输协议）以及TFTP（TrivialFileTransferProtocol，简单文件传输协议）。

FTP01OPTIONFTP概述FTP用于在远端服务器和本地主机之间传输文件，是IP网络上传输文件的通用协议。在万维网出现以前，用户使用命令行方式传输文件，最通用的应用程序就是FTP。目前大多数用户在通常情况下选择使用Email和Web来传输文件，但是FTP仍然有着比较广泛的应用。FTP在TCP/IP协议族中属于应用层协议，其主要功能是向用户提供本地和远程主机之间的文件传输，尤其在进行版本升级、日志下载、文件传输和配置保存等业务操作时，广泛地使用FTP功能。

FTP02OPTIONFTP的连接FTP的文件传输过程如图8-8所示，FTP采用两个FTP连接来传输文件。图8-8FTP的文件传输过程

FTP02OPTIONFTP的连接（1）FTP控制连接控制连接以客户端/服务器方式建立。服务器以被动方式打开用于FTP的公共端口21，等待客户端来连接；客户端则以主动方式打开公共端口21，发起连接的建立请求。控制连接始终等待客户端和服务器之间的通信，并且将相关命令从客户端传送给服务器，同时将服务器的应答传送给客户端。（2）FTP数据连接服务器的数据连接端常用端口20。控制连接建立后，如果客户端要从服务器下载文件时，服务器执行主动打开数据连接，通常也执行主动关闭数据连接，但是，当客户端向服务器发送流形式的文件时，则需要客户端关闭数据连接。FTP中传输方式是流方式，并且文件结尾以关闭数据连接为标志，所以对每一个文件传输或目录列表来说，都要建立一个全新的数据连接。

FTP03OPTIONFTP的传输模式FTP的传输有两种模式：ASCII传输模式和二进制传输模式。

一般的，FTP默认采用ASCII传输模式。假定用户正在复制的文件包含简单ASCII文本，如果在远程机器上运行的是不同的操作系统，当文件传输时，FTP通常会自动地调整文件的内容以便于把文件解释成另外那台计算机存储文本文件的格式。但是常常有这样的情况，用户正在传输的文件包含的不是文本文件，它们可能是程序，数据库，字处理文件或者压缩文件，此时用ASCII传输模式进行传送，FTP的处理可能会造成文件信息丢失。因此在复制任何非文本文件之前，最好使用二进制传输模式。在二进制传输中，FTP会保存文件的位序，以便原始和复制的是逐位一一对应的，即便目的地机器上包含位序列的文件可能是无意义的。在实际网络运维过程中，如果要对网络设备进行软件升级和系统备份时，一般建议采用二进制传输模式。

FTP03OPTIONFTP的工作方式-主动模式FTP客户端FTP服务器端由客户端向服务器端的TCPPORT21发起TCP三次握手，建立控制连接。用户登录认证客户端通过FTPPORT命令，通知服务器端自身开放端口号：P（随机端口，大于1024）。由服务器端向客户端的TCPPORTP发起TCP三次握手，建立传输连接，其中服务器端的源端口为20。开始文件传输

FTP03OPTIONFTP的工作方式-被动模式由客户端向服务器端的TCPPORT21发起TCP三次握手，建立控制连接。用户登录认证客户端发送PASV命令由客户端向服务器端的TCPPORTN发起TCP三次握手，建立传输连接。开始文件传输服务器端通过EnterPASV命令告知客户端自身开放端口号：N（随机端口，大于1024）。FTP服务器端FTP客户端

TFTP01OPTIONTFTP概述相较于FTP，TFTP的设计就是以传输小文件为目标，协议实现就简单很多：使用UDP进行传输（端口号69）无需认证只能直接向服务器端请求某个文件或者上传某个文件，无法查看服务器端的文件目录。TFTP客户端TFTP服务器端TFTPUDPIP

TFTP02OPTIONTFTP工作流程上传文件下载文件TFTP客户端TFTP服务器端写文件请求文件写入确认DATA1TFTP客户端TFTP服务器端读取文件请求读取文件确认客户端确认DATA

1DATA1ACKDATA1ACK...DATAnDATAnACK...学习进步！计算机网络技术基础远程登录服务计算机网络技术基础Telnet远程登录STelnet远程登录学习目标

远程登录服务01OPTION概述远程登录服务是互联网上最早提供的基本服务工具之一，它可以超越时空的界限，让用户访问远程的计算机，当然这些计算机必须连接在互联网上。远程登录能把本地计算机连接并登录到Internet主机上，它是一种特殊的通信方式，通过远程登录，本地计算机可以获得远程主机的强大运算能力，或者对远程主机进行配置管理。Telnet远程登录01OPTIONTelnet产生背景远程通信网络协议（TelecommunicationNetworkProtocol，Telnet）起源于ARPANET，是最古老的Internet应用之一。Telnet是互联网中远程登录服务的标准协议和主要方式，是TCP/IP协议族中的一员。它为用户提供了在本地计算机上完成远程主机工作的能力，主要用途就是使用远程计算机上所拥有的本地计算机没有的信息资源，是常用的远程控制服务器的方法传统的计算机操作方式是使用直接连接到计算机上的专用硬件终端进行命令行操作的。而使用Telnet时，用户可以使用自己的计算机，通过网络远程登录到另一台计算机去进行操作，从而克服了距离和设备的限制。同样的，用户可以使用Telnet远程登录到支持Telnet服务的任意网络设备，从而实现远程配置、维护等工作，可以节省网络管理维护成本，所以得到了广泛的应用。Telnet使用TCP作为传输层协议，使用端口号23，Telnet采用客户端/服务器模式。当用户通过Telnet登录远程计算机时，实际上启用了两个程序，一个是“Telnet客户端程序”，它运行在用户的本地计算机上；另一个叫“Telnet服务器程序”，它运行在要登录的远程设备上。因此，在远程登录过程中，用户的本地计算机是一个客户端，而提供服务的远程计算机则是一个服务器。Telnet远程登录02OPTIONTelnet应用场景为方便通过命令行管理设备，可以使用Telnet协议对设备进行管理。Telnet协议与使用Console接口管理设备不同，无需专用线缆直连设备的Console接口，只要IP地址可达、能够和设备的TCP23端口通信即可。支持通过Telnet协议进行管理的设备被称为Telnet服务器端，而对应的终端则被称为Telnet客户端。很多网络设备同时支持作为Telnet服务器端、Telnet客户端。Telnet客户端IPNetworkAPRouterSWFirewallServer…..Telnet服务器端TCP连接STelnet远程登录01OPTIONStelnet产生背景Telnet缺少安全的认证方式，而且传输过程采用TCP进行明文传输，存在很大的安全隐患。单纯提供Telnet服务容易招致拒绝服务（DenyofService，DoS）、主机IP地址欺骗、路由欺骗等恶意攻击。随着人们对网络安全的重视，传统的使用Telnet通过明文传送密码和数据的方式，已经慢慢不被人接受。SSH是SecureShell（安全外壳）的简称，标准协议端口号为22。SSH是一个网络安全协议，通过对网络数据的加密，在一个不安全的网络环境中，提供了安全的远程登录和其他安全网络服务，解决了远程Telnet的安全性问题。SSH通过TCP进行数据交互，它在TCP之上构建了一个安全的通道。另外SSH服务除了支持标准端口22外，还支持其他服务端口，以防止受到非法攻击。SSH支持Password认证和李维斯特、沙米尔和阿德尔曼三人发明的RSA（Rivest,Shamir&Adleman）非对称加密认证，对数据进行数据加密标准（DataEncryptionStandard，DES）、三重数据加密标准（TripleDataEncryptionStandard，3DES）、高级加密标准（AdvancedEncryptionStandard，AES）等加密，有效防止了对密码的窃听，保护了数据的完整性和可靠性，保证了数据的安全传输。特别是对于RSA认证的支持，对称加密和非对称加密的混合应用，密钥的安全交换，最终实现了安全的会话过程。由于SSH数据加密传输，认证机制更加安全，SSH已经越来越被广泛使用，成为了当前最重要的网络协议之一。STelnet远程登录02OPTIONSSH概述SSH协议有两个版本：SSH1（SSH1.5）协议和SSH2（SSH2.0）协议，两者是不同的协议，不兼容。SSH2.0在安全、功能和性能上均比SSH1.5有优势。STelnet是SecureTelnet的简称，使得用户可以从远端安全登录到设备，提供交互式配置界面，所有交互数据均经过加密，实现安全的会话。网络设备支持STelnet的客户端和服务器端，支持SSH1（SSH1.5）协议和SSH2（SSH2.0）协议。SSH采用了传统Client/Server应用模型，其安全特性通过以下方式保证。

①数据加密：通过Client/Server协商交换生成的EncryptionKey，实现对数据报文的

对称加密，确保数据在传输过程中的机密性。②数据完整性：通过Client/Server协商交换生成的IntegrityKey唯一标识一条会话链

路，所有会话交互报文被IntegrityKey标识。一旦数据被第三方修改，接收方就能

够检查出来，并丢弃报文，确保数据在传输过程中的完整性。③权限认证：通过提供多种认证方式，确保惟有认证通过的合法用户才能和Server进行

会话，提高系统安全，同时保障合法用户的权益。学习进步！计算机网络技术基础企业网需求分析计算机网络技术基础1企业网需求分析学习目标

企业网需求分析概述在这个信息化大发展的时代，为满足日益增长的通信需求，现在的企业网建设在网络带宽、可靠性、安全性等方面有更高的要求，因此在进行网络规划设计之前，首先应该对企业的网络需求进行调研分析。

企业网需求分析01OPTION拓扑需求分析企业网的拓扑需求分析主要包括节点地理位置分布，组织或部门分布，用户分布等，即企业网有哪些部门、各部门有多少人员（终端）以及这些部门和人员的地理分布情况。

企业网需求分析02OPTION带宽需求分析根据部门和人员的应用需求，估算带宽需求，目前的企业网组建一般中心节点应具有万兆位级带宽处理能力，在总体带宽设计时还须考虑保留未来中长期的可扩展能力。

企业网需求分析03OPTION稳定性需求分析企业网应具有可靠性设计，以实现网络通信的实时畅通，保障企业生产运营的正常进行。企业网的稳定性需求包括设备可靠性、链路可靠性、业务可靠性等，即核心设备及链路需要具有一定的冗余度，并在核心设备故障切换时，保障业务正常运行。

企业网需求分析04OPTION安全性需求分析现在的企业网应提供完善的网络安全解决方案，以阻击病毒和黑客的攻击，避免因为网络安全导致企业造成经济损失。企业网络的安全性一般可通过部署防火墙、IDS、杀毒软件等安全措施来实现，当然，更安全的做法是建立一整套安全控制方案，包括用户接入控制，病毒的主动识别和抑制等。学习进步！计算机网络技术基础企业网规划设计计算机网络技术基础企业网拓扑结构设计企业网设备选型学习目标

企业网拓扑结构设计01OPTION设计原则网络规划设计是在需求分析的基础上，对企业网的拓扑、网络地址、技术方案等方面进行规划设计。网络规划设计一般应遵循以下原则。1.先进性和成熟性2.安全性和可靠性3.开放性和可扩展性4.可管理和可维护性5.经济性和实用性数据通信的基本概念01OPTION拓扑设计企业网的拓扑结构一般采用层次化结构设计，通常包括核心层、汇聚层和接入层三个层次，也称三层网络结构，如图9-1所示。图9-1层次化结构设计企业网设备选型01OPTION设备选型目前在全球提供网络设备的厂商有很多家，我们进行选择的产品供应商应是在国内外占有市场份额较大的公司，包括华为、Cisco、Lucent、新华三、锐捷等，国内大多数企业组建网络时基本都在此范围内进行选择。企业网是企业重要的信息基础设施，是企业信息化建设的基石。因此在设备选型时需综合考虑企业网络建设的中短期目标，在网络技术、产品选用、系统管理与服务、系统应用等多个方面具有前瞻性，在预算的建设成本内完成网络建设，确保企业网具备很好的稳定性、可靠性和安全性。一般来说，网络主干部分称为核心层，核心层的主要目的在于通过高速转发通信，提供快速，可靠的骨干传输结构，因此核心层的交换机路由器应拥有更高的可靠性，性能和吞吐量。网络中直接面向用户连接或访问网络的部分称为接入层，接入层目的是允许终端用户连接到网络，因此接入交换机具有低成本和高端口密度特性。而汇聚层则位于核心层和接入层之间，汇聚交换机是多台接入交换机的汇聚点，它必须能够处理来自接入层设备的所有通信量，并提供到核心层的上行链路，因此汇聚交换机与接入交换机比较，需要更高的性能，更少的接口和更高的交换速率。学习进步！计算机网络技术基础企业网组建实施计算机网络技术基础方案设计与规划企业网项目实施学习目标项目测试

企业网组建实施01OPTION需求概述本节以一个中小企业的网络建设为案例，介绍企业网组建的实施流程。假定A公司新入驻了一栋办公大楼，为满足日常的办公需求，公司已经申请了无源光网络（PassiveOpticalNetwork，PON

）接入，带宽为1Gbit/s，拨号账号为baixiaobai@1