2.1 开放系统互联参考模型 (OSI/RM) HOST A HOST B 应用层应用层表示层表示层会话层会话层传输层传输层网络层网络层网络层网络层数据链路层数据链路层数据链路层数据链路层物理层物理层物理层物理层通信子网 2

Size: px

Start display at page:

Download "2.1 开放系统互联参考模型 (OSI/RM) HOST A HOST B 应用层应用层表示层表示层会话层会话层传输层传输层网络层网络层网络层网络层数据链路层数据链路层数据链路层数据链路层物理层物理层物理层物理层通信子网 2"

字幸
5 years ago
Views:

1 第 2 章计算机网络基础知识 2.1 开放系统互联参考模型 2.2 TCP/IP 协议 2.3 局域网与广域网技术

2 2.1 开放系统互联参考模型 (OSI/RM) HOST A HOST B 应用层应用层表示层表示层会话层会话层传输层传输层网络层网络层网络层网络层数据链路层数据链路层数据链路层数据链路层物理层物理层物理层物理层通信子网 2

3 物理层数据链路层 (1) 物理层 (physical layer) 物理层涉及到通信在信道上传输的原始比特流, 主要处理与物理传输介质有关的机械的电气的功能的和规程的接口物理层与具体设备有关, 如光纤及收发器网卡和集线器等 (2) 数据链路层 (data link layer) 数据链路层的主要任务是加强物理层传输原始比特的功能, 使之对网络层显现为一条无差错的链路它通过将传输的数据增加同步信息校验信息及地址信息封装成数据帧 ; 同时提供数据帧传输顺序的控制差错检测与控制和数据流量控制以保证数据传输的正确性 3

4 数据链路层 PDU 举例 X802.3 帧格式先导字段目的地址源地址数据长度数据填充校验和定界符 MAC 地址 :BIA 地址数据链路层的广播包 : 目标 MAC 地址为

5 网络层 (network layer) 功能确定数据分组从源端到目的端如何选择路由即通过路径选择将信息从最合适的路径由发送端传送到接收端, 防止通信子网信息流量过大造成网络阻塞及数据丢失编址路由协议数据单元 (PDU) 包分组 (Packet) 网络层协议 IP, IPX 网络地址 5

6 网络层 PDU 的封装网络层的包 IP 头数据与分片 (Fragment) IP 头数据 IP 头数据 MAC 层的帧最大传输单元 (MTU) MAC 头数据填充校验和物理层比特流 6

7 传输层会话层传输层 (transport layer ) 传输层的基本功能是从会话层接收数据, 并且在必要时把它分成较小的单元, 传递给网络层, 并确保到达对方的各段信息正确无误, 从某种意义上讲, 传输层使会话层不受硬件技术变化的影响会话层 (session layer) 会话层允许不同机器上的用户建立会话 (session) 关系会话层服务之一是管理对话会话层允许信息同时双向传输或任一时刻只能单向传输若属于后者, 则类似半双工通信, 会话层将记录此时该轮到哪一方了 7

8 表示层应用层表示层 (presentation layer) 表示层主要完成以下特定的功能 : 1 对数据编码格式进行转换 ; 2 数据压缩与恢复 ; 3 建立数据交换格式 ; 4 数据的安全与保密 ; 5 其他特殊服务应用层 (application layer) 应用层包含大量人们普遍需要的协议和提供许多应用软件包例如 FTP 等程序及应用软件包 8

9 OSI 参考模型与 TCP/IP 协议模型 OSI/RM Application Presentation Session Transport Network Data Link Physical TCP/IP Application Transport IP Data Link Physical 9

10 2.2 TCP/IP 协议栈结构应用层传输层网络层 SMTP FTP HTTP telnet DNS SNMP SMB OSPF BGP DNS NetBIOS RIP TCP UDP ICMP IGMP IP ARP RARP RPC 数据链路层 802.x X.25 PPP FR ATM. 通信介质 ( 铜缆光纤卫星微波等 ) 10

11 IP 层 ( 网络层 ) 安全机制 IP, ARP/RARP, ICMP 路由协议 :RIP, OSPF, BGP 等安全服务不提供认证服务不提供数据保密性服务不提供数据完整性保护不提供抗抵赖服务不保证可用性服务质量 (QoS) 通过防火墙可以提供基于 IP 地址的访问控制 11

12 帧分组分片数据报和报文 12

13 IP 包的结构 13

14 IP 包的结构 VERS: 版本号 HLEN : 头的长度 (5-60) TOS: 服务类型, 用于服务质量控制 Total Length: 总长度 (<=65536) Identification: 标识, 同一个包的多个分片具有相同的标识 DF (Don t Fragment) : 若为 1, 表示不允许分片 MF (More Fragment): 若为 1, 表示后面还有分片 Frag Offset : 分片在整个 IP 包中的位置 TTL(Time To Life): 生命周期, 每过一个路由器 ( 网关 ) 减一, 防止包在网络中循环漫游 Protocol: 上层协议, 比如 1:ICMP, 6:TCP, 17:UDP,BGP:8 头校验和源地址, 目标地址选项 : 安全性, 源路由, 记录路由, 时间戳 14

15 地址解析协议 (ARP/RARP) ARP/RARP: IP 地址数据链路层地址 ARP IP MAC 相同子网的地址解析 : A ALL : Who has IP x.x.x.x? B A : My MAC address is x.x.x.x 不同子网的地址解析 : A ALL: who is x.x.x.x( 缺省网关 ) 伪造远端机的连接广播局域网 RARP MAC->IP 无盘工作站 (Linux)BOOTP TFTP 15

16 网络控制消息协议 (ICMP) ICMP( Internet Control Message Protocol) 报文类型目的不可达超时 (TTL=0); 源端抑制 ; 重定向回声请求 / 回声应答时间戳请求 / 时间戳应答 ping 命令 tracert 16

17 网络层协议安全问题地址欺骗 IP 地址欺骗 ARP 欺骗 MAC 地址欺骗拒绝服务攻击 ARP 广播风暴 Teardrop Smurf 17

18 路由问题源地址路由问题 ipconfig,route print R3 B R1 A T 信任 B R2 A 假冒 B 的地址访问 T, 指定返回的路径必须是 R2 R1 18

19 路由黑洞路由协议缺乏认证功能 RIP,OSPF, BGP 从我这里去往 C 的距离最短 B A C 19

20 TCP 层 ( 传输层 ) 安全机制 Application Transport IP Data Link Physical TCP UDP 安全机制可以提供基于 IP 地址的认证, 和访问控制不提供数据保密性完整性服务不提供抗抵赖服务不提供可用性服务, 不保证服务质量 20

21 TCP Segment Format Source Port Dest. Port Sequence Number Ack. Number HLEN Reserved U R G A C K P S H R S T S Y N F I N Window Checksum Urgent Option Data... 21

22 UDP Segment Format Source Port Length Destination Port Checksum Data No sequence or acknowledgment fields 22

23 Port Numbers Application Layer F T P T E L N E T S M T P D N S T F T P S N M P Transport Layer TCP UDP Port Numbers 23

24 TCP Port Numbers Source Port Dest. Port Telnet Z Host A Host Z SP DP Dest. port = 23. Send packet to my Telnet application. 24

25 TCP Handshake/Open Connection Host A Host B 1 Send SYN (seq=100 ctl=syn) SYN received 25

26 TCP Handshake/Open Connection Host A Host B 1 Send SYN (seq=100 ctl=syn) SYN received SYN received Send SYN (seq=300 ack=101 ctl=syn,ack) 2 26

27 TCP Handshake/Open Connection Host A Host B 1 3 Send SYN (seq=100 ctl=syn) SYN received Established (seq=101 ack=301 ctl=ack) SYN received Send SYN (seq=300 ack=101 ctl=syn,ack) 2 27

28 TCP Handshake/Open Connection Host A Host B 1 3 Send SYN (seq=100 ctl=syn) SYN received Established (seq=101 ack=301 ctl=ack) SYN received Send SYN (seq=300 ack=101 ctl=syn,ack) 2 4 Established (seq=301 ack=301 ctl=ack Data) FIN FIN 28

29 TCP 协议的四次挥手 handwave? 需要断开连接的时候, TCP 也需要互相确认才可以断开连接, 四次交互过程如图所示 29

30 传输层安全问题基于 TCP 序列号预测的攻击信任主机之间的地址欺骗 FIN 或 RST 可以终止当前的连接 SYN Flood 拒绝服务攻击 30

31 SYN Flood attacker target SYN RCVD ( Half-Open 状态 ) Normal!! 缓冲区满, 无法接收新的请求 31

32 应用层主要功能及安全机制 Application Transport IP Data Link File Transfer -TFTP -FTP -SMTP Remote Login -Telnet -rlogin Network Management -SNMP Name Management -DNS Physical inetd(unix), svchost.exe(windows) 根据端口启动相应服务程序 32

33 电子邮件协议概述 SMTP (Simple Mail Transfer Protocol 简单邮件传输协议 ): 最常用的电子邮件传送协议 ; RFC 821, 1982 年公布, TCP 25 端口常用命令 HELO,MAIL,RCPT,DATA,RSET,VRFY,QUIT 没有提供任何安全服务 POP3 (Post Office Protocol 3 邮局协议 ): 最常用的电子邮件接收协议 110 端口 ; IMAP4 (Internet Mail Access Protocol 网络邮件访问协议 ):143 端口, 替代 POP3, 提供邮件检索和邮件处理的新功能 33

34 DNS 基础域名服务 Domain Name System/Service/Server 是最重要的基础设施之一, 主要使用 UDP 协议分布式数据库, 域名 IP 地址 DNS 设置 nslookup / edu com gov org cn jp edu.cn com.cn org.cn ustc.edu.cn pku.edu.cn cs.ustc.edu.cn math.ustc.edu.cn 34

35 Resolver, Primary & secondary DNS Primary DNS Secondary DNS TCP port 53 UDP port 53 UDP port 53 resolver resolver 35

36 DNS Cache Pollution 攻击目标 DNS DNS.hacker.com 36

37 FTP File Transfer Protocol( 文件传输协议 ) FTP Active 主动模式客户端命令行 GUI 浏览器 FTPD 21 控制端口 20 数据端口, 命令和数据能够同时传输小于 1024 的端口号需 root 权限连接过程 : To FTP server's port 21 from anywhere (Client initiates connection) FTP server's port 21 to ports > 1024 (Server responds to client's control port) FTP server's port 20 to ports > 1024 (Server initiates data connection to client's data port) To FTP server's port 20 from ports > 1024 (Client sends ACKs to server's data port) 37

38 问题 1 FTP bounce attack from server 2 Firewall: step 3 is blocked ( 禁止主动连接 ) 38

39 Passive FTP 被动 To FTP server's port 21 from anywhere (Client initiates connection) FTP server's port 21 to ports > 1024 (Server responds to client's control port) To FTP server's ports > 1024 from anywhere (Client initiates data connection to random port specified by server) FTP server's ports > 1024 to remote ports > 1024 (Server sends ACKs and data to client's data port) 39

40 40

41 Telnet 服务 Telnet 是 TELecommunications NETwork 的缩写, 其名字具有双重含义, 既指应用也是指协议自身 Telnet 给用户提供了一种通过网络登录远程服务器的方式命令行方式, 高效 Telnet 通过端口 23 工作与 FTP POP 类似, 明文传输, 不安全 SSH Secure Shell 建立在应用层和传输层基础上的安全协议 41

42 Web 服务 Web 服务是目前最常用的服务, 使用 HTTP 协议, 默认 Web 服务占用 80 端口在 Windows 平台下一般使用 IIS(Internet Information Server) 作为 Web 服务器 UNIX/Linux apache,php 等不安全, 明文传输 HTTPS (Hyper Text Transfer Protocol over Secure Socket Layer) 42

43 常用的网络服务端口常用服务端口列表端口协议 21 TCP 25 TCP 53 TCP/UDP 80 TCP 135 TCP 137 UDP 138 UDP 139 TCP 443 TCP 445 TCP/UDP 3389 TCP 服务 FTP 服务 SMTP 服务 DNS 服务 Web 服务 RPC 服务 NetBIOS 域名服务 NetBIOS 数据报服务 NetBIOS 会话服务基于 SSL 的 HTTP 服务 Microsoft SMB 服务 Windows 终端服务 43

44 NETBIOS 会话层 / 传输层协议 NETBIOS over TCP/IP(NBT) 在网络属性中可禁止该协议 UDP 端口 137 NETBIOS 名称管理服务 + lmhosts 文件名称解析 IP NETBIOS 名 NetBIOS 名 16 个字符 =15 个用户字符 +0x20 唯一名 unique name 一对一通信组名 group name 多机间通信 44

45 NETBIOS 会话层 / 传输层协议 TCP 端口 139 会话层应用面向连接可靠有序文件和打印共享 UDP 端口 138 NETBIOS 数据报无连接不可靠无序发送给单一 NetBIOS 名或广播到组名浏览网络邻居命令 nbtstat -n 45

46 NETBIOS 会话层 / 传输层协议端口 445 直接主机 TCP (Direct Host TCP) SMB (Server Message Block) MS 设计 Windows 2k/xp SMB over TCP 通过修改注册表可禁止 445 端口监听 HKLM\System\CurrentControlSet\Services\NetB T\Parameters TransportBindName 置空 Windows NT: SMB over NBT 137, 138 (UDP) and 139 (TCP). 46

47 NETBIOS 会话层 / 传输层协议 If the client has NBT enabled, it will always try to connect to the server at both port 139 and 445 simultaneously. If there is a response from port 445, it sends a RST to port 139, and continues it's SMB session to port 445 only. If there is no response from port 445, it will continue it's SMB session to port 139 only, if it gets a response from there. If there is no response from either of the ports, the session will fail completely. 47

48 SMB, NetBEUI & ISAKMP Samba Unix/Linux 与 Windows 互连网络邻居文件和打印共享 SMB 认证协议 CIFS(Common Internet File System) NetBIOS Extended User Interface(NetBEUI) 同一网段无网络层非路由 UDP 端口 500 Internet Security Association and Key Management Protocol (ISAKMP) IPSec 和 VPN 使用 48

49 2.3 局域网与广域网技术利用局域网技术, 把地理位置分散的计算机有机地连接在一起, 达到相互通信共享硬件软件和信息等资源的系统按局域网的规模分类, 局域网分成小型局域网中型局域网大型局域网 3 类 49

50 小型局域网 50

51 中型局域网 51

52 大型局域网 ( 校园网城域网 ) 52

53 局域网的特点及拓扑结构 1. 局域网地理范围一般在 0.01km~20km 之间 ; 2. 局域网是专用网一般由一个部门专有, 不需要使用公共通信设施连网, 专线使得局域网具有较好的信道质量 3. 局域网的数据传输率高, 误码率低 ; 4. 局域网使用共享信道技术, 具有独特的介质访问控制方式 ; 5. 局域网价格低廉, 组网容易, 使用方便星型总线型树型环型不规则网状等多种类型 53

54 IEEE 802 模型局域网的标准 IEEE 802 模型的特点局域网种类繁多, 使用的传输介质各种各样, 接入方法也不相同, 为此 IEEE 802 在数据链路层中专门划分出一个传输介质访问控制 (MAC,Medium Access Control) 子层来进行传输介质访问控制, 并用逻辑链路控制 (LLC,Logical Link Control) 子层处理逻辑上的链路局域网的拓扑结构比较简单, 且多个站点共享传输信道, 在任意两个节点之间只有惟一的一条链路, 不需要进行路由选择和流量控制, 因而它不需要定义网络层, 只具备 OSI/RM 低两层的功能就可以了由于考虑到局域网要互连, 所以在 LLC 子层之上设置了网际层其他高层功能往往与具体的实现有关, 通常包含在网络操作系统中物理层还是需要的, 并且物理层往往也分为两个子层 54

55 IEEE 802 模型局域网的标准 55

56 IEEE 802 标准系列 IEEE 802.1A, 概述和体系结构 ; IEEE 802.1B, 寻址网际互联及网络管理 ; IEEE 802.2,LLC 协议 ; IEEE 802.3,CSMA/CD 访问方法及物理层规范 ; IEEE 802.4, 令牌传送总线访问方法及物理层规范 ; IEEE 802.5, 令牌传送环访问方法及物理层规范 ; IEEE 802.6, 城域网 (MAN) 标准 ; IEEE 802.7, 宽带局域网标准 ; IEEE 802.8, 光纤局域网标准 ; IEEE 802.9, 综合数据 / 语音网络标准 ; IEEE , 网络安全与保密标准 ; IEEE , 无线局域网标准 ; IEEE ,100BASE-VG 标准 ; IEEE , 有线电视网 (CATV Broadband) 标准 ; IEEE , 无线个人网络 (WPAN) 标准 ; IEEE , 无线宽带局域网 (BBWA) 标准 ; 56

57 IEEE802 标准之间的关系 57

58 局域网的主要设备终端设备网络传输设备传输介质服务器工作站网络打印机和绘图仪网卡集线器交换机防火墙双绞线铜轴电缆光纤 1 多模光纤 2 单模光纤 58

59 广域网的基本概念由相距较远的局域网或城域网互连而成, 通常是除了计算机设备以外, 还要涉及一些电信通讯方式与局域网区别之一在于需要向广域网服务供应商申请广域网服务对照 OSI 参考模型, 广域网技术主要位于底层的 3 个层次, 分别是物理层, 数据链路层和网络层 59

60 点对点链路提供的是一条预先建立的从客户端经过运营商网络到达远端目标网络的广域网通信路径电路交换通过运行商网络为每一次会话过程建立, 维持和终止一条专用的物理电路包交换, 网络设备可以共享一条点对点链路通过运营商网络在设备之间进行数据包的传递包交换主要采用统计复用技术在多台设备之间实现电路共享 ATM, 帧中继,SMDS 以及 X.25 等都是采用包交换技术的广域网技术虚拟电路一种逻辑电路, 可以在两台网络设备之间实现可靠通信虚拟电路有两种不同形式, 分别是交换虚拟电路 (SVC) 和永久性虚拟电路 (PVC) 60

61 虚电路 61

62 广域网的技术利用电信服务商所提供的通信方式 X.25 CCITT(ITU) 建议的一种协议, 它定义终端和计算机到分组交换网络的连接帧中继 ISDN 综合业务数字网 ( Integrated Service Digital Network ), 其最初的目标是综合话音和非话音服务 SMDS Switched Multimegabit Data Service( 通过电话网实现 ) 交换式多兆位数据服务 ATM 异步传输模式 (Asynchronous Transfer Mode), 虚电路交换方式 62

63 xdsl 数字用户线路,Digital Subscriber Line ADSL = Asymmetrical Digital Subscriber Line SDSL = Symmetrical Digital Subscriber Line DDN Digital Data Network 是利用数字信道传输数据信号的数据传输网传输媒介有光缆数字微波卫星信道以及用户端可用的普通电缆和双绞线 63

64 广域网设备广域网交换机接入服务器调制解调器信道服务单元 (CSU)/ 数据服务单元 (DSU) 类似数据终端设备到数据通信设备的复用器 ISDN 终端适配器是用来连接 ISDN 基本速率接口 (BRI) 到其它接口, 从本质上说,ISDN 终端适配器就相当于一台 ISDN 调制解调器 64

65 小结 1. OSI/RM 以及 TCP/IP 协议分层模型应用层传输层网络层数据链路层每层协议举例 :ARP, ICMP, TCP, UDP, SMTP 等 2. 主要协议数据单元的结构及字段含义 IP, TCP, UDP 3. TCP/IP 协议简 4. 局域网 / 广域网技术 65

Chapter #

Chapter # 第三章 TCP/IP 协议栈本章目标通过本章的学习, 您应该掌握以下内容 : 掌握 TCP/IP 分层模型掌握 IP 协议原理理解 OSI 和 TCP/IP 模型的区别和联系 TCP/IP 介绍主机主机 Internet TCP/IP 早期的协议族全球范围 TCP/IP 协议栈 7 6 5 4 3 应用层表示层会话层传输层网络层应用层主机到主机层 Internet 层 2 1 数据链路层

2.1 开放系统互联参考模型 (OSI/RM) HOST A HOST B 应用层 应用层 表示层 表示层 会话层 会话层 传输层 传输层 网络层 网络层 网络层 网络层 数据链路层 数据链路层 数据链路层 数据链路层 物理层 物理层 物理层 物理层 通信子网 2

2.1 开放系统互联参考模型 (OSI/RM) HOST A HOST B 应用层应用层表示层表示层会话层会话层传输层传输层网络层网络层网络层网络层数据链路层数据链路层数据链路层数据链路层物理层物理层物理层物理层通信子网 2