網(wǎng)絡與信息安全概論信息安全體系結(jié)構篇

第2章信息安全體系結(jié)構設計網(wǎng)絡基礎一些基本概念開放系統(tǒng)互連安全體系結(jié)構復雜互聯(lián)系統(tǒng)的信息安全防護框架信息安全需求分析設計目標、設計原則本章小結(jié)習題2.1網(wǎng)絡基礎ISO/OSI網(wǎng)絡參考模型TCP/IP網(wǎng)絡模型2.1.1OSI網(wǎng)絡參考模型OSI（開放系統(tǒng)互連）參考模型是由ISO制定的標準化開放式的網(wǎng)絡層次結(jié)構模型。OSI模型是設計網(wǎng)絡系統(tǒng)的分層次的框架，它將網(wǎng)絡按功能劃分為7層。1物理層2數(shù)據(jù)鏈路層3網(wǎng)絡層4傳輸層5會話層6表示層7應用層應用層表示層會話層傳輸層網(wǎng)絡層數(shù)據(jù)鏈路層物理層應用層表示層會話層傳輸層網(wǎng)絡層數(shù)據(jù)鏈路層物理層數(shù)據(jù)首部首部首部首部首部首尾010110111001101010101010010101OSI模型傳輸數(shù)據(jù)的基本過程76543217654321321321對等層協(xié)議經(jīng)過中間節(jié)點數(shù)據(jù)傳遞的過程2.1.2TCP/IP網(wǎng)絡模型TCP/IP協(xié)議族是一個Internet協(xié)議系列，TCP/IP協(xié)議族由應用層、傳輸層、網(wǎng)絡層、數(shù)據(jù)鏈路層和物理層構成。每一層的功能由一個或多個協(xié)議實現(xiàn)。應用層傳輸層網(wǎng)絡層數(shù)據(jù)鏈路層物理層

DNSFTP…….SMTPSNMP

UDPTCP

ICMPIGMPIPARPRARP由底層網(wǎng)絡定義的協(xié)議1.IP地址網(wǎng)絡號主機號A類網(wǎng)絡號主機號B類網(wǎng)絡號主機號C類多播地址D類0101101110保留未用E類1111第1個字節(jié)(0~7)第2個字節(jié)(8~15)第3個字節(jié)(16~23)第4個字節(jié)(23~31)版本服務類型標識總長度首部長標志分片偏移生存時間協(xié)議首部校驗和源IP地址目的IP地址選項數(shù)據(jù)……2.IP分組結(jié)構IP=3端口50000端口50001IP=2端口50000

IP=0端口25連接1連接2連接3ABC3.TCP連接4個地址唯一確定一條TCP連接：源IP，源端口，目的IP，目的端口源端口目的端口序號確認號TCP頭長URGACKPSHRSTSYNFIN窗口大小校驗和緊急指針可選項（0或多個32位字）數(shù)據(jù)（可選）32位TCP的報文段seq=xack:-報文段1：SYN

seq=yack=x+1報文段2：SYN+ACK

seq=x+1ack=y+1報文段3：ACK

時間主機A主機B(客戶端)（服務器端）三次握手建立連接三次握手的作用確保連接雙方做好傳輸數(shù)據(jù)的準備雙方統(tǒng)一了初始序號，用來分辨在傳輸流中的位置確認的含義是希望收到下一個字節(jié)的編號2.2一些基本概念脆弱性信息安全威脅攻擊信息安全風險信息安全措施信息安全機制2.2.1脆弱性脆弱性是信息系統(tǒng)及其資源帶有的，可能被威脅源用來對信息系統(tǒng)及其資源實施具有損害行為的缺陷或漏洞。脆弱性可表現(xiàn)在硬件設施的脆弱性軟件的脆弱性網(wǎng)絡通信協(xié)議的脆弱性管理的脆弱性

2.2.2信息安全威脅所謂威脅就是指可能導致對系統(tǒng)或組織損害的不期望事件發(fā)生的潛在原因。1.威脅的分類人們可能認為對手具有惡意攻擊目的，然而，在系統(tǒng)安全和保護系統(tǒng)和信息的環(huán)境中，認識到由那些非惡意目的發(fā)起的攻擊是非常重要的。分類：敵意的威脅非敵意的威脅自然的威脅（1）敵意的威脅每一種敵意態(tài)度都是有其獨特性的，所以必須得到詳細的說明和分析。這種敵意依賴具體環(huán)境而改變。潛在的威脅可能包括：恐怖分子心理不平衡的人單獨的犯罪分子有組織的犯罪分子與外敵勾結(jié)的內(nèi)部人員對本機構不滿意，心理不平衡的內(nèi)部人員以及潛伏在機構內(nèi)部的間諜或犯罪分子（2）非敵意的威脅這種類型的威脅沒有惡意的目的、動機和企圖。但無論如何，他們確實在一定程度上造成危害的（有時甚至是超越了敵意威脅帶來的危害）能力。無法準確知道什么時候這種威脅會發(fā)生。潛在的非敵意威脅有可能來自于：系統(tǒng)使用者維護者（3）自然的威脅由一些歷史記錄數(shù)據(jù)能夠預測可能在某個物理位置發(fā)生的威脅。這樣，可以大致把握這些威脅可能的發(fā)生頻率和強度。地震火山爆發(fā)颶風臺風洪水閃電冰雹2.動機獲取機密或敏感數(shù)據(jù)的訪問權（注意：那些對某些人或組織有很高價值的信息對別人可能毫無用處）；跟蹤或監(jiān)視目標系統(tǒng)的運行；擾亂目標的運行；竊取錢物或服務；免費使用資源（如計算機資源或免費使用網(wǎng)絡）；使目標陷入窘境；攻克可擊潰安全機制的挑戰(zhàn)性技術。2.動機在攻擊一個信息處理系統(tǒng)時，對手面臨著一定風險。對手面臨的風險損失有可能遠遠超出其入侵期望所得。表露對手進行其它類型攻擊的能力；打草驚蛇，使對手有所防范，從而增加了在未來進一步成功攻擊的難度，尤其是入侵后可能獲益很大時；遭受懲罰（如罰款、入獄和處于窘境等）；危及生命安全；對手愿意接受的風險級別依賴于對手的動機。2.動機對手的能力決定了他們對信息系統(tǒng)實施攻擊的本領。能力因素包括：施展攻擊的知識和能力；必要資源的可用性對手的能力越大，攻擊的可能性越大。如果對手具備必要的知識、技術和資源并愿意拿這些資源和他們自己去冒險，那么剩下的唯一因素就是（攻擊）機會了。機會有多種存在形式，包括特定操作系統(tǒng)的脆弱性、路由器或防火墻的錯誤配置等。我們不可能削弱一個對手的能力，但卻可能減少對手的（攻擊）機會。2.2.3攻擊IATF定義了5類攻擊被動攻擊主動攻擊物理臨近攻擊內(nèi)部人員攻擊分發(fā)攻擊（1）被動攻擊被動攻擊包括流量分析、監(jiān)視未受保護的通信、解密弱加密的數(shù)據(jù)流、獲得認證信息（如密碼）。被動攔截網(wǎng)絡操作可以獲得對手即將發(fā)動的行為的征兆和警報。被動攻擊會在未經(jīng)用戶同意和認可的情況下將信息或數(shù)據(jù)文件泄露給系統(tǒng)攻擊者。例如，泄露信用卡號和醫(yī)療文檔等個人信息。舉例監(jiān)視明文解密加密不善的通信數(shù)據(jù)口令嗅探通信量分析（2）主動攻擊主動攻擊包括企圖破壞或攻擊保護性能、引入惡意代碼以及偷竊或修改信息。實現(xiàn)方式包括攻擊網(wǎng)絡樞紐、利用傳輸中的信息、電子滲透某個區(qū)域或攻擊某個正在設法連接到一個區(qū)域上的合法的遠程用戶。主動攻擊所造成的結(jié)果包括泄露或傳播數(shù)據(jù)文件，拒絕服務以及更改數(shù)據(jù)。舉例修改傳輸中的數(shù)據(jù)重放（插入數(shù)據(jù)）會話攔截偽裝成授權的用戶或服務器獲取系統(tǒng)應用和操作系統(tǒng)軟件利用主機或網(wǎng)絡信任利用數(shù)據(jù)執(zhí)行插入或利用惡意代碼拒絕服務（3）物理臨近攻擊物理臨近攻擊指未授權的個人以更改、收集或拒絕訪問信息為目的而在物理上接近網(wǎng)絡、系統(tǒng)或設備。實現(xiàn)物理臨近攻擊的方式是偷偷進入或開放訪問，或兩種方式同時使用。舉例修改數(shù)據(jù)或收集信息系統(tǒng)干涉物理破壞（4）內(nèi)部人員攻擊內(nèi)部人員攻擊可以是惡意的或非惡意的。惡意攻擊是指內(nèi)部人員有計劃地竊聽、偷竊或損壞信息；以欺騙方式使用信息，或拒絕其它授權用戶的訪問。非惡意攻擊則通常由粗心、缺乏技術知識或為了“完成工作”等無意間繞過安全策略的行為造成。舉例惡意修改數(shù)據(jù)或安全機制建立未授權網(wǎng)絡連接隱通道物理損壞或破壞非惡意修改數(shù)據(jù)物理損壞或破壞（5）分發(fā)攻擊分發(fā)攻擊指的是在工廠內(nèi)或在產(chǎn)品分發(fā)過程中惡意修改硬件或軟件。這種攻擊可能給一個產(chǎn)品引入后門程序等惡意代碼，以便日后在未授權的情況下訪問信息或系統(tǒng)功能。舉例在制造商的設備上修改軟/硬件在產(chǎn)品分發(fā)時修改軟/硬件2.2.4信息安全風險信息安全風險是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影響。安全風險由安全事件發(fā)生的可能性及其造成的影響這兩種指標來衡量。信息系統(tǒng)的脆弱性是安全風險產(chǎn)生的內(nèi)因，威脅和攻擊則是安全風險產(chǎn)生的外因。

2.2.5信息安全措施信息安全措施是指對付威脅，減少脆弱性，保護資產(chǎn)，限制意外事件的影響，檢測、響應意外事件，促進災難恢復和打擊信息犯罪而實施的各種實踐、規(guī)程和機制的總稱。信息安全措施可以分為預防性措施和保護性措施。預防性措施可以降低威脅發(fā)生的可能性和減少安全脆弱性，如制訂業(yè)務持續(xù)性計劃等；保護性措施可以減少因威脅發(fā)生所造成的影響，如購買商業(yè)保險等。

2.2.6信息安全機制信息安全機制是實現(xiàn)信息安全服務的技術手段。例如，網(wǎng)絡信息系統(tǒng)的安全是一個系統(tǒng)的概念，為了保障整個系統(tǒng)的安全可以采用多種安全機制。在ISO7498-2中定義了8類安全機制：加密機制、數(shù)字簽名機制、訪問控制機制、數(shù)據(jù)完整性機制、鑒別機制、通信業(yè)務填充機制、路由控制機制和公證機制。2.3開放系統(tǒng)互連安全體系結(jié)構（1）OSI安全體系結(jié)構加密數(shù)字簽名訪問控制數(shù)據(jù)完整性鑒別交換業(yè)務流填充路由控制公證鑒別服務訪問控制數(shù)據(jù)完整性數(shù)據(jù)機密性抗抵賴OSI參考模型安全機制安全服務鏈路層網(wǎng)絡層傳輸層會話層表示層應用層物理層國家標準《信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型——第二部分：安全體系結(jié)構GB/T9387.2-1995》（等同于ISO7498-2）OSI安全服務與安全機制的關系

安全服務安全機制加密數(shù)字簽名訪問控制數(shù)據(jù)完整性鑒別交換通信業(yè)務填充路由選擇控制公證鑒別對等實體鑒別YY--Y---數(shù)據(jù)原發(fā)鑒別YY------訪問控制訪問控制--Y-----數(shù)據(jù)保密性連接保密性Y-----Y-無連接保密性Y-----Y-選擇字段保密性Y------通信業(yè)務流保密性Y----YY-數(shù)據(jù)完整性帶恢復的連接完整性Y--Y----不帶恢復的連接完整性Y--Y----選擇字段連接完整性Y--Y---無連接完整性YY-Y----選擇字段無連接完整性YY-Y----抗抵賴有數(shù)據(jù)原發(fā)證明的抗抵賴-Y-Y---Y有交付證明的抗抵賴-Y-Y---Y安全服務與OSI參考模型協(xié)議層之間的關系安全服務協(xié)議層1234567鑒別對等實體鑒別--YY--Y數(shù)據(jù)原發(fā)鑒別--YY--Y訪問控制訪問控制--YY--Y數(shù)據(jù)保密性連接保密性YYYY-YY無連接保密性-YYY-YY選擇字段保密性-----YY通信業(yè)務流保密性Y-Y---Y數(shù)據(jù)完整性帶恢復的連接完整性---Y--Y不帶恢復的連接完整性--YY--Y選擇字段連接完整性------Y無連接完整性--YY--Y選擇字段無連接完整性------Y抗抵賴有數(shù)據(jù)原發(fā)證明的抗抵賴------Y有交付證明的抗抵賴------Y安全服務與TCP/IP參考模型協(xié)議層之間的關系

安全服務TCP/IP協(xié)議層物理鏈路層網(wǎng)絡層傳輸層應用層鑒別對等實體鑒別-YYY數(shù)據(jù)原發(fā)鑒別-YYY訪問控制訪問控制-YYY數(shù)據(jù)保密性連接保密性YYYY無連接保密性YYYY選擇字段保密性---Y通信業(yè)務流保密性YY-Y數(shù)據(jù)完整性帶恢復的連接完整性--YY不帶恢復的連接完整性-YYY選擇字段連接完整性---Y無連接完整性-YYY選擇字段無連接完整性---Y抗抵賴有數(shù)據(jù)原發(fā)證明的抗抵賴---Y有交付證明的抗抵賴---Y2.4復雜互聯(lián)系統(tǒng)的信息安全防護框架

三縱涉密區(qū)域?qū)Ｓ脜^(qū)域公共區(qū)域三橫應用環(huán)境應用區(qū)域邊界網(wǎng)絡通信兩個中心安全管理中心密碼管理中心應用環(huán)境安全：包括單機、C/S、B/S模式的安全。采用身份認證、訪問控制、密碼加密、安全審計等機制，構成可信應用環(huán)境。應用區(qū)域邊界安全：通過部署邊界保護措施控制對內(nèi)部局域網(wǎng)的訪問，實現(xiàn)局域網(wǎng)與廣域網(wǎng)之間的安全。采用安全網(wǎng)關、防火墻等隔離過濾機制，保護共享資源的可信連接。網(wǎng)絡和通信傳輸安全：確保通信的機密性、一致性和可用性。采用密碼加密、完整性校驗和實體鑒別等機制，實現(xiàn)可信連接和安全通信。安全管理中心：提供認證、授權、實時訪問控制策略等運行安全服務。密碼管理中心：提供互聯(lián)互通密碼配置、公鑰證書和傳統(tǒng)的對稱密鑰的管理，為信息系統(tǒng)提供密碼服務支持。2.4復雜互聯(lián)系統(tǒng)的信息安全防護框架

2.5信息安全需求什么是信息安全需求？信息安全需求來源信息安全需求分析2.5.1什么是信息安全需求？信息安全需求是對抗和消除安全風險的必要方法和措施，安全需求是制定和實施安全策略的依據(jù)。通過安全需求分析明確需要保護哪些信息資產(chǎn)?需要投入多大力度?應該達到怎樣的保護程度?

2.5.2信息安全需求來源法律法規(guī)、合同條約的要求組織自身的信息安全要求風險評估的結(jié)果風險評估是獲得信息安全需求的主要來源。

安全需求和風險的關系把風險降低到可以接受的程度；威脅和/或攻擊信息系統(tǒng)（如非法獲取或修改數(shù)據(jù)）所花的代價大于入侵信息系統(tǒng)后所獲得的現(xiàn)實的和潛在的信息系統(tǒng)資源的價值。

1.信息系統(tǒng)的脆弱性是安全風險產(chǎn)生的內(nèi)因，威脅和攻擊是安全風險產(chǎn)生的外因。2.人們對安全風險有一個認識過程，一般地，安全需求總是滯后于安全風險的發(fā)生。3.零風險永遠是追求的極限目標，所以信息系統(tǒng)安全體系的成功標志是風險的最小化、收斂性和可控性，而不是零風險。2.5.3信息安全需求分析物理安全系統(tǒng)安全網(wǎng)絡安全應用安全安全管理1.物理安全物理安全需求描述物理位置選擇考慮周圍的外部環(huán)境以及所選物理位置能否為信息系統(tǒng)正常運行提供物理上的基本保障。物理訪問控制控制內(nèi)部授權用戶和臨時外部人員進出系統(tǒng)物理環(huán)境。防盜竊和破壞考慮機房內(nèi)的設備、介質(zhì)和通信線纜等的安全性，如設置監(jiān)控報警裝置。防雷電考慮雷電對設備造成的不利影響。防靜電考慮靜電對設備和人員造成的傷害。防火災考慮防范火災的措施。溫度和濕度控制保證各種設備正常運行的溫度和濕度范圍。電力供應防止電源故障、電力波動范圍過大的措施。電磁防護防止電磁輻射可能造成的信息泄漏或被竊取的措施。2.系統(tǒng)安全系統(tǒng)安全需求描述操作系統(tǒng)、數(shù)據(jù)庫的安全需求根據(jù)信息系統(tǒng)的定級要求，選擇滿足相應級別的操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)。基于主機的入侵檢測檢測針對主機的未授權使用、誤用和濫用的情況?；谥鳈C的漏洞掃描周期性運行以檢測主機的脆弱性并評估其安全性的防御方法?；谥鳈C的惡意代碼檢測與防范檢測主機中的惡意代碼并進行刪除、報警等處理?；谥鳈C的文件完整性檢查周期性運行以檢驗文件的完整性以及文件更改的時間。容災、備份與恢復確保系統(tǒng)對災害、攻擊和破壞具有一定的抵抗能力。3.網(wǎng)絡安全網(wǎng)絡安全需求描述傳輸安全考慮傳輸線路上的信息泄露、搭線竊聽、篡改和破壞等安全需求。網(wǎng)絡邊界防護安全限制外部非授權用戶對內(nèi)部網(wǎng)絡的訪問。基于網(wǎng)絡的入侵檢測檢測針對網(wǎng)絡的未授權使用、誤用和濫用的情況。基于網(wǎng)絡的惡意代碼檢測和防范檢測網(wǎng)絡中的惡意代碼并進行刪除、報警等處理。網(wǎng)絡漏洞掃描周期性運行以檢測網(wǎng)絡的脆弱性并評估其安全性的防御方法。4.應用安全5.安全管理2.6設計目標、設計原則1.設計目標針對所要保護的信息系統(tǒng)資源，假設資源攻擊者及其攻擊的目的、技術手段和造成的后果，分析系統(tǒng)所受到的已知的、可能的各種威脅，進行信息系統(tǒng)的安全風險分析，并形成信息系統(tǒng)的安全需求。安全需求和據(jù)此制定的安全策略應盡可能地抵抗所預見的安全風險。信息系統(tǒng)安全體系結(jié)構的目標就是從管理和技術上保證安全策略完整準確地得到實現(xiàn)，安全需求全面準確地得到滿足，包括必需的安全服務、安全機制和技術管理的確定，以及它們在系統(tǒng)上的合理部署和配置。風險評估要素關系方框部分的內(nèi)容為風險評估的基本要素；橢圓部分的內(nèi)容是與這些要素相關的屬性。風險要素及屬性之間存在著以下關系（1）業(yè)務戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風險越??；（2）資產(chǎn)是有價值的，組織的業(yè)務戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大；（3）風險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風險越大，并可能演變成為安全事件；（4）資產(chǎn)的脆弱性可能暴露資產(chǎn)的價值，資產(chǎn)具有的弱點越多則風險越大；（5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)；（6）風險的存在及對風險的認識導出安全需求；（7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本；（8）安全措施可抵御威脅，降低風險；（9）殘余風險有些是安全措施不當或無效,需要加強才可控制的風險；而有些則是在綜合考慮了安全成本與效益后不去控制的風險；（10）殘余風險應受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。2.設計原則木桶原則整體性原則安全、代價平衡原則標準優(yōu)先原則管理與技術并重原則動態(tài)發(fā)展原則3.防御策略最小特權：僅有完成指定任務所必須的特權?？v深防御：建立具有縱向協(xié)議層次和橫向結(jié)構層次的完備的安全體系。阻塞點：不允許有不被管理員控制的信息系統(tǒng)對外網(wǎng)絡連接通道。監(jiān)測和/或消除最薄弱的環(huán)節(jié)失效保護：系統(tǒng)運行出現(xiàn)錯誤或發(fā)生故障時，必須拒絕入侵者進入系統(tǒng)內(nèi)部。普遍參與：要求員工普遍參與安全管理的協(xié)調(diào)，集思廣益。防御多樣化：使用不同廠商、不同平臺的安全保護系統(tǒng)。

2.7本章小結(jié)開放系統(tǒng)互連參考模型是國際標準化組織ISO定義的開放系統(tǒng)體系結(jié)構，是一種將異構系統(tǒng)互連的七層分層結(jié)構，提供了控制互連系統(tǒng)交互的標準框架。開放系統(tǒng)互連安全體系結(jié)構（ISO7498-2）是基于OSI參考模型七層協(xié)議之上的信息安全體系結(jié)構。定義了5類安全服務、8種安全機制，確定了安全服務與安全機制的關系以及在OSI七層模型中安全服務的配置。5類安全服務是鑒別、訪問控制、數(shù)據(jù)機密性、數(shù)據(jù)完整性以及抗抵賴。8種安全機制是加密、數(shù)字簽名、訪問控制、數(shù)據(jù)完整性、鑒別交換、通信業(yè)務填充、路由選擇控制以及公證。對復雜的重要信息系統(tǒng)，可構成三縱（涉密區(qū)域、專用區(qū)域、公共區(qū)域）三橫（應用環(huán)境、應用區(qū)域邊界、網(wǎng)絡通信）和兩個中心（安全管理中心、密碼管理中心）的信息防護框架。信息系統(tǒng)的脆弱性是安全風險產(chǎn)生的內(nèi)因，威脅和攻擊是安全風險產(chǎn)生的外因。零風險永遠是追求的極限目標，信息系統(tǒng)安全體系的成功標志是風險的最小化、收斂性和可控性，而不是零風險。信息安全需求是對抗和消除安全風險的必要方法和措施，安全需求是制定和實施安全策略的依據(jù)。信息安全需求分析主要從物理安全、系統(tǒng)安全、網(wǎng)絡安全、應用安全和安全管理等層面考慮。信息安全體系結(jié)構的設計中應遵循木桶原則，整體性原則，安全、代價平衡原則，標準優(yōu)先原則，管理與技術并重原則，動態(tài)發(fā)展原則等。習題畫出OSI參考模型的層次結(jié)構圖，并簡述各層的主要功能。畫出TCP/IP模型的層次結(jié)構圖，并簡述各層的主要功能。簡述信息安全脆弱性、威脅和風險的概念。OSI開放系統(tǒng)互連安全體系中包含哪些安全服務？OSI開放系統(tǒng)互連安全體系中包含哪些安全機制？簡述安全服務和安全機制的關系？簡述物理安全、系統(tǒng)安全、網(wǎng)絡安全、應用安全和安全管理5個層面的主要安全需求。簡述對安全體系結(jié)構設計原則的理解。補充1：底層網(wǎng)絡技術常用傳輸介質(zhì)網(wǎng)絡拓撲結(jié)構以太網(wǎng)技術1.常用傳輸介質(zhì)同軸電纜（以前）雙絞線光纜無線微波…2.網(wǎng)絡拓撲結(jié)構網(wǎng)絡拓撲結(jié)構 拋開網(wǎng)絡中的具體設備，把路由器、交換機等網(wǎng)絡單元抽象為“點”，把網(wǎng)絡中的電纜等傳輸介質(zhì)抽象為“線”，從拓撲學的觀點看計算機和網(wǎng)絡系統(tǒng)，就形成了由點和線組成的幾何圖形，從而抽象出網(wǎng)絡系統(tǒng)的具體結(jié)構；物理拓撲結(jié)構——描述網(wǎng)絡硬件的實際布局邏輯拓撲結(jié)構——描述網(wǎng)絡中各節(jié)點間的信息流動方式常用網(wǎng)絡拓撲結(jié)構環(huán)型樹型網(wǎng)型星型混合型總線型3.以太網(wǎng)技術以太網(wǎng)是一種流行的分組交換局域網(wǎng)技術，是Xerox公司的PARC在20世紀70年代早期發(fā)明的。(IEEE802.3標準)按傳輸介質(zhì)分類粗纜以太網(wǎng)（10Base5）細纜以太網(wǎng)(10Base2)雙絞線以太網(wǎng)(10Base-T)光纖以太網(wǎng)(10Base-F)按傳輸速度分類 10M、100M、1000M、10G以太網(wǎng)性質(zhì)共享總線可支持廣播盡最大努力交付分布式接入控制 帶沖突檢測的載波監(jiān)聽多點接入（CSMA/CD）

CarrierSenceMultipleAccesswithCollisionDetect以太網(wǎng)幀格式幀長：64八位組~1518八位組幀類型定義決定了以太網(wǎng)幀是自識別的，允許在同一物理網(wǎng)絡上使用多個協(xié)議前同步碼目的地址源地址幀類型幀數(shù)據(jù)CRC8八位組6八位組6八位組2八位組46~1500八位組4八位組64~1518補充2網(wǎng)絡層技術IP地址私有地址子網(wǎng)劃分IP分組結(jié)構IP路由1.IP地址網(wǎng)絡號主機號A類網(wǎng)絡號主機號B類網(wǎng)絡號主機號C類多播地址D類0101101110保留未用E類1111第1個字節(jié)(0~7)第2個字節(jié)(8~15)第3個字節(jié)(16~23)第4個字節(jié)(23~31)類第1個字節(jié)地址范圍網(wǎng)絡數(shù)量主機數(shù)量A1~126~5427-2=126224-2=16777214B128~191~54214=16384216-2=65534C192~223~54221=209715228-2=254D224~239~55不適用不適用E240~255~55不適用不適用每一類網(wǎng)絡中的網(wǎng)絡數(shù)量和主機數(shù)量2.私有地址類網(wǎng)絡地址網(wǎng)絡數(shù)A

1B

~16C

~2563.子網(wǎng)劃分一個物理網(wǎng)絡（網(wǎng)段）對應一個網(wǎng)絡地址，大的物理網(wǎng)絡（網(wǎng)段）對應能夠容納大量主機地址的的網(wǎng)絡地址，小的物理網(wǎng)絡（網(wǎng)段）對應能夠容納少量主機地址的網(wǎng)絡地址，這就是IP分類編址的初衷。所有的物理網(wǎng)絡(如以太網(wǎng))中，不可能包含有一個B類網(wǎng)絡地址所容納的6萬多臺主機，更不可能有A類網(wǎng)絡所容納的1600多萬臺主機。32比特網(wǎng)絡部分（網(wǎng)絡號）主機部分（主機號）子網(wǎng)部分（子網(wǎng)號）網(wǎng)絡部分（網(wǎng)絡號）主機部分（主機號）兩級地址結(jié)構三級地址結(jié)構子網(wǎng)劃分子網(wǎng)地址子網(wǎng)掩碼版本服務類型標識總長度首部長標志分片偏移生存時間協(xié)議首部校驗和源IP地址目的IP地址選項數(shù)據(jù)……4.IP分組結(jié)構路由器中的路由表network(目的網(wǎng)絡)mask(掩碼)via(下一跳)interface(接口)metric(度量)loopback0f006558f13…………………………5.IP路由路由選擇流程1）從被轉(zhuǎn)發(fā)的IP分組首部中提取目的IP地址D。2）判斷直接交付路由表項。否則就是間接交付，執(zhí)行3)。3）判斷特定主機路由表項。若路由表中有目的地址為D的特定主機地址，則將分組傳送給該路由表項所指明的下一跳地址，完成分組轉(zhuǎn)發(fā)；否則，執(zhí)行4)。4）判斷特定網(wǎng)絡路由表項。對每一條路由表項：用子網(wǎng)掩碼和D逐比特相“與”，若結(jié)果與本路由表項中的目的網(wǎng)絡地址相同，則將分組傳送給該路由表項指明的下一跳地址，完成分組轉(zhuǎn)發(fā)；否則，執(zhí)行5)。5）判斷默認路由表項。若路由表中有一個默認路由表項，則將分組傳送給該路由表項指明的下一跳地址，完成分組轉(zhuǎn)發(fā)；否則，執(zhí)行6)。6）報告轉(zhuǎn)發(fā)分組出錯。舉例：網(wǎng)絡拓撲目的地址掩碼下一跳接口度量-f006024-f209224-f10……………...………………...…………………………6558f01f018f012f00路由器R1中的路由表路由計算試根據(jù)以下路由器R1接收分組的情況，計算分組的下一跳地址（轉(zhuǎn)發(fā)地址）：(1)路由器R1接收到了一個目的地址為的IP分組；(2)路由器R1接收到了一個目的地址為00的IP分組；(3)路由器R1接收到了一個目的地址為00的IP分組。補充3傳輸層技術TCP面向連接的服務UDP無連接的服務TCP服務面向連接的服務要獲得TCP服務，在一個應用進程向另一個應用進程開始發(fā)送數(shù)據(jù)之前，必須先在雙方之間建立一條連接，數(shù)據(jù)傳送結(jié)束后要釋放連接。一個TCP連接就是一個字節(jié)流，端到端之間不保留消息的邊界。TCP的端口號采用16bit端口號來識別應用程序。服務器一般都是通過熟知端口來識別。而客戶端通常使用的是臨時端口號。IP=3端口50000端口50001IP=2端口50000

IP=0端口25連接1連接2連接3ABCTCP連接4個地址唯一確定一條TCP連接：源IP，源端口，