第1章 网络基础知识与因特网.ppt

1、计算机网络安全基础（第三版）,1,第1章 网络基础知识与因特网,本章是计算机网络安全的第一课，在这一章里将要介绍： 网络参考模型OSI 网络互联设备 局域网技术 广域网协议 TCPIP与Internet提供的主要服务,计算机网络安全基础（第三版）,2,1.1 网络参考模型OSI,1. 分层通信 （1）应用层。 这是OSI模型的最高层。它是应用进程访问网络服务的窗口。这一层直接为网络用户或应用程序提供各种各样的网络服务，它是计算机网络与最终用户间的界面。,计算机网络安全基础（第三版）,3,应用层,计算机网络安全基础（第三版）,4,1.1 网络参考模型OSI,（2）表示层。 表示层保证了通信设备之

2、间的互操作性。该层的功能使得两台内部数据表示结构都不同的计算机能实现通信。它提供了一种对不同控制码、字符集和图形字符等的解释，而这种解释是使两台设备都能以相同方式理解相同的传输内容所必需的。表示层还负责为安全性引入的数据提供加密与解密，以及为提高传输效率提供必需的数据压缩及解压等功能。,计算机网络安全基础（第三版）,5,表示层,计算机网络安全基础（第三版）,6,1.1 网络参考模型OSI,（3）会话层。 会话层是网络对话控制器，它建立、维护和同步通信设备之间的交互操作，保证每次会话都正常关闭而不会突然断开，使用户被挂起在一旁。会话层建立和验证用户之间的连接，包括口令和登录确认；它也控制数据的交

3、换，决定以何种顺序将对话单元传送到传输层，以及在传输过程的哪一点需要接收端的确认。,计算机网络安全基础（第三版）,7,会话层,计算机网络安全基础（第三版）,8,1.1 网络参考模型OSI,（4）传输层。 传输层负责整个消息从信源到信宿（端到端）的传递过程，同时保证整个消息无差错、按顺序地到达目的地，并在信源和信宿的层次上进行差错控制和流量控制。,计算机网络安全基础（第三版）,9,传输层,计算机网络安全基础（第三版）,10,传输层,计算机网络安全基础（第三版）,11,1.1 网络参考模型OSI,（5）网络层。 网络层负责数据包经过多条链路、由信源到信宿的传递过程，并保证每个数据包能够成功和有效率

4、地从出发点到达目的地。为实现端到端的传递，网络层提供了两种服务：线路交换和路由选择。线路交换是在物理链路之间建立临时的连接，每个数据包都通过这个临时链路进行传输；路由选择是选择数据包传输的最佳路径。,计算机网络安全基础（第三版）,12,网络层,计算机网络安全基础（第三版）,13,网络层,计算机网络安全基础（第三版）,14,1.1 网络参考模型OSI,（6）数据链路层。 数据链路层从网络层接收数据，并加上有意义的比特位形成报文头和尾部。这些附加信息的数据单元称为帧。数据链路层负责将数据帧无差错地从一个站点送达下一个相邻站点，即通过一些数据链路层协议完成在不太可靠的物理链路上实现可靠的数据传输。,

5、计算机网络安全基础（第三版）,15,数据链路层,计算机网络安全基础（第三版）,16,数据链路层,计算机网络安全基础（第三版）,17,1.1 网络参考模型OSI,（7）物理层。 物理层是OSI的最低层，它建立在物理通信介质的基础上，作为系统和通信介质的接口，用来实现数据链路实体间透明的比特（bit）流传输。为建立、维持和拆除物理连接，物理层规定了传输介质的机械特性、电气特性、功能特性和过程特性。 在上述七层中，上五层一般由软件实现，而下面的两层是由硬件和软件实现的。,计算机网络安全基础（第三版）,18,物理层,计算机网络安全基础（第三版）,19,1.1 网络参考模型OSI,2. 信息格式,计算机

6、网络安全基础（第三版）,20,传输过程,计算机网络安全基础（第三版）,21,1.2 网络互联设备,网络互联设备用于局域网（LAN）的网段，它们有四种主要的类型： 中继器 网桥 路由器 网关,计算机网络安全基础（第三版）,22,计算机网络安全基础（第三版）,23,1.2 网络互联设备,1. 中继器和集线器 中继器的主要功能在于延长电缆的有效连接长度，因为在传输过程中信号的衰减会限制电缆的有效连接长度。此外，中继器还能起到改变以太网的拓扑结构的作用。 集线器（Hub）与中继器类似，是能够集中完成多台设备连接的专用设备。,计算机网络安全基础（第三版）,24,中继器,计算机网络安全基础（第三版）,25

7、,集线器,计算机网络安全基础（第三版）,26,1.2 网络互联设备,2. 网桥 网桥（Bridge）是一种在数据链路层实现互联的存储转发设备。 网桥从一个网段将数据帧段转发至另一个网段。 网桥工作在OSI参考模型的数据链路层。,计算机网络安全基础（第三版）,27,网桥,计算机网络安全基础（第三版）,28,1.2 网络互联设备,3. 路由器 路由器实现网络互联是发生在网络层。主要功能有路由选择，多路重发以及出错检测等 。,计算机网络安全基础（第三版）,29,1.2 网络互联设备,主要功能： （1）转发网络层的数据报文。 （2）为不同网络的用户提供最佳的通信路径。 （3）子网隔离，抑制广播风暴。

8、（4）维护路由表，并与其他路由器交换路由信息。 （5）数据报的差错处理，拥挤控制。 （6）利用网际协议对网络进行有效管理。 （7）可进行数据包格式的转换，实现不同协议、不同体系结构网络的互连能力。,计算机网络安全基础（第三版）,30,1.2 网络互联设备,4. 网关 网关（Gateway）实现的网络互联发生在网络层之上，它是网络层以上的互联设备的总称。 目前，典型的网络结构通常是由一主干网和若干段子网组成，主干网与子网之间通常选用路由器进行连接，子网内部往往有若干个局域网，这些局域网之间采用中继器或网桥来进行连接。校园网、公用交换网、卫生网络和综合业务数字网络等，一般都采用网关进行互联。,计算

9、机网络安全基础（第三版）,31,网关,计算机网络安全基础（第三版）,32,1.3 局域网技术,目前，流行的局域网主要有三种： 以太网 令牌环网 FDDI,计算机网络安全基础（第三版）,33,以太网,计算机网络安全基础（第三版）,34,1.3 局域网技术,1. 以太网和IEEE 802.3 以太网是由施乐公司于七十年代开发，IEEE 802.3发表于1980年，它是以以太网作为技术基础。如今以太网和IEEE 802.3占据了局域网市场的最大份额，而以太网通常指所有采用载波监听多路访问冲突检测（CSMACD）的局域网，包括IEEE 802.3。 （1）物理连接 IEEE 802.3规定了几种不同类

10、型的物理层，而以太网仅仅定义了一种物理层，每一种IEEE 802.3物理层协议都有一个概括它们自身特点的名称。,计算机网络安全基础（第三版）,35,1.3 局域网技术,（2）数据帧格式,计算机网络安全基础（第三版）,36,令牌环网,计算机网络安全基础（第三版）,37,1.3 局域网技术,2. 令牌环和IEEE 802.5 （1）令牌的传递 令牌环传递网络的主要特点是在网络上传递一个比较小的数据帧，即令牌，如果网络上的某个节点拥有令牌，就表示它拥有传输数据的权力。如果一个接到令牌的网络站点没有数据需要传递时，令牌就被简单地传递到下一个网络站点，在允许的最大时间范围内可将令牌保留在手中。,计算机网

11、络安全基础（第三版）,38,（1）令牌的传递,计算机网络安全基础（第三版）,39,（2）物理连接,计算机网络安全基础（第三版）,40,1.3 局域网技术,（3）优先级 网络站点优先权决定了它能够俘获令牌的概率，只有网络站点的优先权等于或高于令牌包含的优先权值时，该网络站点才能俘获令牌， （4）错误管理机制 令牌环网络采用多种机制来检测和恢复网络中产生的错误。,计算机网络安全基础（第三版）,41,FDDI网,计算机网络安全基础（第三版）,42,1.3 局域网技术,3. FDDI 光纤分布式数据接口（FDDI）标准是由 ANSI X3T9.5标准委员会在八十年代中期制定的。它规定了传输速度为100

12、Mbps、采用令牌传递方式，以及使用光纤作为介质的双环LAN。 FDDI技术最重要的特征之一就是采用光纤作为传输介质，其优点包括安全性、可靠性以及传输速度等方面较传统的介质要好得多。,计算机网络安全基础（第三版）,43,1.3 局域网技术,（1） FDDI标准 FDDI的规范说明包括下列四个单独部分： 介质访问控制（MAC） 物理层协议（PHY） 物理层介质（PHM） 站点管理（SMT） （2）物理连接 FDDI规定采用双环连接，其中一个环作为主环，通常用于数据传输，另一个作为副环，作为备份。双环上数据的传输是互为反向的。,计算机网络安全基础（第三版）,44,双环连接,计算机网络安全基础（第三

13、版）,45,1.4 广域网技术,1. 广域网基本技术 （1）包交换 （2）广域网的构成 （3）存储转发 （4）广域网的物理编址 （5）下一站转发 （6）源地址独立性 （7）层次地址与路由的关系 （8）广域网中的路由,计算机网络安全基础（第三版）,46,包交换,计算机网络安全基础（第三版）,47,广域网的构成,计算机网络安全基础（第三版）,48,广域网的构成,计算机网络安全基础（第三版）,49,存储转发,计算机网络安全基础（第三版）,50,下一站转发与源地址独立性,计算机网络安全基础（第三版）,51,广域网中的路由,计算机网络安全基础（第三版）,52,1.4 广域网协议,2. 广域网协议 （1）

14、SDLC及其派生协议 同步数据链控制（SDLC）协议主要用于IBM的系统网络体系结构（SNA）环境中。它基于同步机制采用了面向二进制位的操作方法。 SDLC SDLC协议支持各种各样链路类型和网络拓扑结构，包括点对点链路、环形拓扑和总线型拓扑、半双工和全双工传输设备，以及电路交换和包交换网络。,计算机网络安全基础（第三版）,53,1.4 广域网协议,SDLC协议通常设有二种类型的站点，即主动型站点和从动型站点。 SDLC协议的主动型站点与从动站点的连接可以根据下面的方式进行连接： 点对点连接 多点连接 集线式连接,计算机网络安全基础（第三版）,54,点对点连接,计算机网络安全基础（第三版）,5

15、5,多点连接,计算机网络安全基础（第三版）,56,1.4 广域网协议,SDLC协议的帧格式,计算机网络安全基础（第三版）,57,1.4 广域网协议, SDLC派生协议 HDLC（高层数据链路控制协议 ） LAP（链路访问过程 ，SDLC协议的子集） LAPB（平衡电路访问过程 ） QLLC协议（增强逻辑链路控制协议 ）,计算机网络安全基础（第三版）,58,高级数据链路控制HDLC,HDLC是面向比特的数据链路协议。支持点到点和多点链路上的半双工和全双工通信。采用HDLC的系统可以通过它们的站点类型、配置以及响应模式进行描述。 HDLC的站点有三种类型：主站点、从站点和复合站点。主站点发送命令，

16、从站点作出响应，复合站点既发送命令也进行响应。 非平衡配置：（也称为主从配置）一个设备为主设备、其他的为从设备的配置方式。 对称配置：指链路上每个物理站点都有两个逻辑站点，一个是主站点，另一个是从站点。,计算机网络安全基础（第三版）,59,高级数据链路控制HDLC,平衡配置：指点到点拓扑中的两个站点都是复合型的。 HDLC支持三种不同通信方式： 正常响应方式（NRM）：指标准的主从关系。 异步响应方式（ARM）：只要信道空闲，从设备就可以在没有得到许可的情况下发起一次传输。 异步平衡方式（ABM）：所有站点都是平等的，使用点到点方式连接的复合站点。,计算机网络安全基础（第三版）,60,HDLC

17、三种传输模式,计算机网络安全基础（第三版）,61,1.4 广域网协议,2. 点对点协议 PPP的组成 点对点协议（PPP）提供了一种点对点链路传输数据报文的方法。 PPP协议的数据帧格式 ：,计算机网络安全基础（第三版）,62,1.4 广域网协议,点对点的链路控制协议 点对点技术中的链路控制协议（LCP）提供用于建立、配置、维护和关闭点对点连接的方法，与其它类型的网络协议类似，LCP也有自己的数据帧格式，通常情况下有如下三种协议帧： 链路建立帧用于建立和配置数据链路 链路关闭帧用于关闭数据链路 链路维护帧用于管理和维护数据链路,计算机网络安全基础（第三版）,63,1.4 广域网协议,3. 分组

18、交换X.25 X.25是一组协议，它规定了广域网如何通过公用数据网进行连接。X.25定义的是数据终端设备（DTE）和数据电路设备（DCE）之间的接口标准。 DTE主要指用户终端或主机设备等，而DCE通常指调制解调器、分组交换机或其它与公用数据网连接的端口等。,计算机网络安全基础（第三版）,64,1.4 广域网协议,X.25和ISO参考模式,计算机网络安全基础（第三版）,65,1.4 广域网协议,数据帧格式 数据帧的第三层分组由一个分组头字段和用户数据字段组成；第二层分组由帧的控制字段和帧的寻址字段、帧检查顺序（FCS）字段组成。,计算机网络安全基础（第三版）,66,1.4 广域网协议,协议分析

19、 X.25第三层分组的头字段由一个通用格式识符（GFI）、一个逻辑通道标识符（LCI）和一个分组类型标识（PTI）组成。一个字节长的GFI用于指明分组头的通用格式，LCI用于标识虚拟电路，其长度为3个字节，PTI主要用于区分X.25的17种分组类型。 X.25在第三层使用了三个虚拟电路操作过程： 建立会话、传输数据、消除会话,计算机网络安全基础（第三版）,67,1.4 广域网协议,4. 帧中继 帧中继提供一种统计复用手段，使用同一物理链路上可以有多个逻辑会话（称为虚电路），它提供了对带宽的灵活有效的利用。 帧的格式,计算机网络安全基础（第三版）,68,1.4 广域网协议,信令协议 帧中继网络中

20、目前有三种信令协议在使用，它们是： 本地管理接口（LMI）：是路由器和它所连接的第一个帧中继交换机之间使用的信令标准。它传输：保持激活、组播、全局寻址和虚电路状态等有关信息。 Q.922：提供流量和拥塞管理、DLCI交换、组播等信息。 T1.617：完成对不同的局域网协议进行不同处理的工作。,计算机网络安全基础（第三版）,69,1.4 广域网协议,阻塞的防止 帧中继采用两个方面的手段处理阻塞： 本地管理接口：LMI提供一种基于PVC的简单流控机制，当缓冲区将要满时，可向外部设备发出一个LMI信息（RNR位置1），要求停发数据，当缓冲区空时，另一个LMI信息（RNR位置0），通知外部设备，允许发

21、送数据 直接阻塞通知：向外部设备报告阻塞。,计算机网络安全基础（第三版）,70,1.5 TCPIP协议基础,互联网协议IP和传输控制协议TCP是互联网协议族中最为有名的两个协议，其应用非常广泛，它能够用于任何相互连接的计算机网络系统之间的通信，对局域网（LAN）和广域网（WAN）都有非常好的效果。,计算机网络安全基础（第三版）,71,1.5 TCPIP协议基础,1. TCPIP与OSI参考模型 TCP/IP协议和OSI模型的对应关系,计算机网络安全基础（第三版）,72,1.5 TCPIP协议基础, TCP/IP的主要协议之间的相关性 图中每个封闭的多边形对应了一个协议，并且位于它所直接使用的协

22、议之上。如 SMTP依赖于TCP，而TCP依赖于IP。,计算机网络安全基础（第三版）,73,1.5 TCPIP协议基础,TCP/IP的层次结构 应用层。向用户提供一组常用的应用程序。 传输层（TCP和UDP）。提供应用程序间的通信，提供了可靠的传输（UDP不能提供可靠的传输）等。 网络层（IP）。负责数据包的寻径功能，以保证数据包可靠到达目标主机，若不能到达，则向源主机发送差错控制报文。 网络接口层 。这是TCPIP软件的最低层，负责接收IP数据包并通过网络发送之，或者从网络上接收物理帧，抽出IP数据包，并把它交给IP层。,计算机网络安全基础（第三版）,74,1.5 TCPIP协议基础,2.

23、网络层（IP层） 将所有的低层的物理实现隐藏起来，作用是将数据包从源主机发送出去，并且使这些数据包独立地到达目的主机。 在数据包传送过程中，即使是连续的数据包，也可能走过不同的路径，到达目的主机的顺序也会不同于它们被发送时的顺序。,计算机网络安全基础（第三版）,75,1.5 TCPIP协议基础, TCP/IP数据流程,计算机网络安全基础（第三版）,76,1.5 TCPIP协议基础, IP数据包 一个IP数据包由包头和数据体两部分组成。包头由20字节的固定部分和变长的可选项成。,计算机网络安全基础（第三版）,77,1.5 TCPIP协议基础, IP地址 在因特网中，每一台主机都有一个唯一的地址。

24、 用IP地址表示。IP地址分为网络号和主机号。所有IP地址都是32位长。 IP地址分为五类，平常使用的是A，B，C三类地址 。,计算机网络安全基础（第三版）,78,IP地址的划分,计算机网络安全基础（第三版）,79,子网掩码,计算机网络安全基础（第三版）,80,子网运算,例如：有一个C类地址为：3 其缺省的子网掩码为：则它的网络号和主机号可按如下方法得到： 将IP地址3转换为二进制 11000000 00001001 11001000 00001101 将子网掩码转换为二进制 11111111 11

25、111111 11111111 00000000 将两个二进制数逻辑与（AND）运算后得出的结果即为网络部分：,计算机网络安全基础（第三版）,81,子网运算,11000000 00001001 11001000 00001101 11111111 11111111 11111111 00000000 11000000 00001001 11001000 00000000 结果为，即网络号为192.9.200。 将子网掩码取反再与IP地址逻辑与（AND）后得到的结果即为主机部分： 11000000 00001001 11001000 00001101 00000000 00

26、000000 00000000 11111111 00000000 00000000 00000000 00001101 结果为3，即主机号为13。,计算机网络安全基础（第三版）,82,子网划分,子网划分的方法： (1)要划分的子网数目转换为2的m次方。如要分8个子网，8=23。 (2)上述要划分子网数的2的m次方的幂。如23，即m=3。 (3)上一步确定的幂m按高序占用主机地址m位后转换为十进制。如m为3则是11100000，转换为十进制为224，即为最终确定的子网掩码。,计算机网络安全基础（第三版）,83,子网划分,对于C类网：子网掩码为：24； 对

27、于B类网：子网掩码为：； 对于A类网：子网掩码为。 子网个数与占用主机地址位数有如下等式成立：2m=n。其中，m 表示占用主机地址的位数；n表示划分的子网个数。,计算机网络安全基础（第三版）,84,子网划分,如：将一个C类网络分成4个子网。若我们用的网络号为192.9.200，则该C类网内的主机IP地址就是54。 4=22，取22的幂，即2，则二进制为11，占用主机地址的高序位即为11000000，转换为十进制为192。这样就可确定该子网掩码为：92， 4个子网的IP地址范围：

28、,计算机网络安全基础（第三版）,85,子网划分,计算机网络安全基础（第三版）,86,1.5 TCPIP协议基础, IP层的其它一些协议 ICMP（因特网控制信息协议）用来传送一些关于网络和主机的控制信息。如目标主机是不可到达的、路由的重定向等。 ARP（地址解析协议）用来将IP地址映射成相应的主机 MAC地址。 RARP（反向地址解析协议）用来将物理地址映射成32位的IP地址。,计算机网络安全基础（第三版）,87,1.5 TCPIP协议基础,3. 传输层（TCP和UDP） TCP TCP协议，即传输控制协议，是一个可靠的、面向连接的协议。它允许在Internet上两台主机间信息的无差错传输。

29、UDP 无连接方式，即UDP方式，当源主机有数据时，就发送。它不管发送的数据包是否到达目标主机，数据包是否出错，收到数据包的主机也不会告诉发送方是否正确收到了数据，因此，这是一种不可靠的数据传输方式。,计算机网络安全基础（第三版）,88,1.5 TCPIP协议基础,4. 应用层协议 Telnet，也就是虚终端服务。它允许一台主机上的用户登录进另一台远程主机，并在远程主机中工作。 FTP，即文件传输协议。提供了一个有效的途径，将数据从一台主机传送到另一台主机。 SMTP，简单邮件传输协议。即简单邮件传输协议，它是一组用于由源地址到目的地址传送邮件的规则，由它来控制信件的中转方式。 HTTP，即超

30、文本传输协议，用来在WWW服务器上取得用超文本标记语言书写的页面。,计算机网络安全基础（第三版）,89,1.6 因特网提供的主要服务,1. 远程终端访问服务 Telnet是一种因特网远程终端访问标准。它真实地模仿远程终端，但是不具有图形功能，它仅提供基于字符应用的访问。Telnet允许为任何站点上的合法用户提供远程访问权，而不需要做特殊约定。 Telnet并不是一种非常安全的服务，虽然在登录时要求用户认证。由于Telnet发送的信息都未加密，所以它容易被网络监听。只有当远程机和本地站点之间的网络通信是安全时，Telnet才是安全的。,计算机网络安全基础（第三版）,90,清华大学的BBS,计算机

31、网络安全基础（第三版）,91,1.6 因特网提供的主要服务,2. 文件传输服务 文件传输协议（FTP）是为进行文件共享而设计的因特网标准协议。通常情况下使用匿名FTP，目的使没有得到授权的远程用户可以传输能够被共享的文件。匿名FTP服务器的功能： 更好更完善的日志，它可记录、装载、下载或传送它的每个命令。 提供路径的信息，当用户访问那个路径时，为用户显示关于路径内容的有关信息。 能对用户分类。 对某类用户可加以限制。,计算机网络安全基础（第三版）,92,1.6 因特网提供的主要服务,在传输文件时，具有压缩、tar和自动处理文件的能力。 非匿名chroot访问。只需限制对机器访问的用户，这就允许

32、建立一个特别账号访问一些文件。 保护匿名FTP区不受滥用的干扰措施： （1）确保入站路径只可写。 （2）取消创建子路径和某些文件的权力。 （3）预定装载。 （4）文件及时转移。,计算机网络安全基础（第三版）,93,清华大学的FTP,计算机网络安全基础（第三版）,94,1.6 因特网提供的主要服务,3. 电子邮件服务 电子邮件是最流行和最基本的网络服务之一。它的危险性相对小些，但并不是没有风险。 简单邮件传输协议（SMTP）是收发电子邮件的一种因特网标准协议。一般来说，SMTP本身不存在安全问题，但SMTP服务器则可能有安全问题。发送邮件给用户所用的程序通常也应当能被任何一个接收邮件的用户所运行

33、，这就使它得到广泛的应用，同时也为侵袭者提供了目标。,计算机网络安全基础（第三版）,95,GMail电子邮件,计算机网络安全基础（第三版）,96,1.6 因特网提供的主要服务,4. Usenet新闻服务 Usenet新闻组和电子邮件具有很大的相似性，但是它适合于多个用户之间的通讯。新闻组是因特网上的公告牌，它是为多用户对多用户通讯而设计的。邮件列表也支持多对多通讯，但效率低、用户少，原因是没有简单的办法找到列表的所有用户，而且对每个收信者都要做信息拷贝。 网络新闻传输协议（NNTP）是用来在因特网上传输新闻的。,计算机网络安全基础（第三版）,97,1.6 因特网提供的主要服务,5. WWW服务 WWW 即 World Wide Web，中文称为环球信息网，也简称为Web，二者实际上是同一含义。 创建WWW是为了解决Internet上的信息传递问题，在WWW创建以前，几乎所有的信息发布都是通过E-mail，FTP，Archie和Gopher实现的。,计算机网络安全基础（第三版）,98,1.6 因特网提供的主要服务,6. 网络用户信息查询服务 可以用finger和whois来获得网上成员的一些信息。 finger服务可查询在目标主机上有账号的用户的个人信息，而