第2讲 网络安全协议基础 此为封面页，需列出课程编码、课程名称和课程开发室名称。 第2讲　网络安全协议基础 此为封面页，需列出课程编码、课程名称和课程开发室名称。 要求：每个子课程（6位编码的课程）要求做一个这样的胶片，胶片文件命名为“课程编码 课程名称.ppt”。 此页胶片仅在授课时使用，胶片＋注释中不使用。 封面页按产品分为4个，各产品使用自己的封面，把其他封面直接删除即可。

课程内容 2 OSI参考模型概述 七层功能介绍 数据封装 TCP/IP协议族 IP协议概述 此页为了让学员和老师对课程安排有一个大致的了解。 此页列出本课程的主要培训标题，列出每章的名称即可。如果章下面的节不多，在此页可以一并列出。 此页胶片仅在授课时使用，胶片＋注释中有专门的目录和标题，不需要重复使用该页面。 2

为什么要采用分层体系结构 复杂问题简单化 提供不同厂商之间的标准接口 确保互操作性 易于学习和操作 3 应 用 层 表 示 层 会 话 层 1 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 复杂问题简单化 提供不同厂商之间的标准接口 确保互操作性 易于学习和操作 3

OSI参考模型的结构 4

协议分层 按照信息的流动过程将网络的整体功能分解为一个个的功能层，不同机器的同等功能层之间采用相同的协议，同一机器的相邻层之间通过接口进行信息传递。 协议：不同机器的同等功能层之间的通信约定。 接口：同一机器的相邻层之间的通信约定。 计算机网络体系结构：是网络中各分层模型以及各层功能的精确定义。 5

网络服务及服务原语 网络服务：就是网络中各层向其相邻上层提供的一组操作，是两相邻层的界面。其表现形式是原语（Primitive）。 每一层的目的都是向上一层提供一定的服务，相邻层之间通过接口交换信息，即：上层通过服务防问接点（SAP）来使用下层服务 下层向上层提供的服务有两种： A、面向连接的服务（类似电路交换） B、无连接的服务（类似存储转发） 6

面向连接服务 面向连接的服务(Connection-Oriented Service) 所谓连接，就是两个对等实体为进行数据通信而进行的一种结合。 面向连接服务是在数据交换之前，必须先建立连接,当数据交换结束后，则应终止这个连接。 特点：接收到的数据与发送方发送的数据在内容与顺序上是一致的（类似于一个管道），传输是可靠的。 面向连接服务具有连接建立、数据传输、连接释放这三个阶段。 面向连接服务在网络层中又称为虚电路服务。 7

（Best Effort Delivery 尽最大努力交付，尽力而为） 无连接服务 无连接服务：两个实体之间的通信不需要先建立好一个连接，因此其下层的有关资源不需要事先进行预定保留，这些资源将在数据传输时动态地进行分配。 特点：每个报文都带有完整的目的地址，各报文是独立传送的，不能保证报文到达的先后顺序，即不能保证传输的可靠性。 （Best Effort Delivery 　尽最大努力交付，尽力而为） 无连接服务的另一特征就是它不需要通信的两个实体同时是活跃的(即处于激活态)。 8

层次间关系 9 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 物 理 层 数据链路层 传 输 层 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 传输介质 9

对等层间通信 10 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 应 用 层 表 示 层 会 话 层 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 应 用 层 表 示 层 会 话 层 传 输 层 网 络 层 数据链路层 物 理 层 10

课程内容 11 OSI参考模型概述 七层功能介绍 数据封装 TCP/IP协议 此页为了让学员和老师对课程安排有一个大致的了解。 此页列出本课程的主要培训标题，列出每章的名称即可。如果章下面的节不多，在此页可以一并列出。 此页胶片仅在授课时使用，胶片＋注释中有专门的目录和标题，不需要重复使用该页面。 11

应用层 对软件提供接口和网络服务（例如，E-mail,文件传输） 相当于：做什么？ 12 提供应用程序间通信 应 用 层 表 示 层 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 对软件提供接口和网络服务（例如，E-mail,文件传输） 相当于：做什么？ 12

表示层 格式化数据 数据压缩 数据加密 相当于：对方看起来像什么？ 13 提供应用程序间通信 应 用 层 处理数据格式的转换 表 示 层 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式的转换 格式化数据 数据压缩 数据加密 相当于：对方看起来像什么？ 13

会话层 提供双工协商 会话同步 相当于：轮到谁讲话和从何处讲？ 14 提供应用程序间通信 应 用 层 表 示 层 处理数据格式 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式 建立，维护和管理会话 提供双工协商 会话同步 相当于：轮到谁讲话和从何处讲？ 14

传输层 提供可靠的端到端通信 提供流量控制 提供差错校正 相当于：对方在何处？ 15 提供应用程序间通信 应 用 层 表 示 层 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式 建立，维护和管理会话 端到端透明传输报文的连接 提供可靠的端到端通信 提供流量控制 提供差错校正 相当于：对方在何处？ 15

网络层 定义网络地址 选择路由 相当于：走哪条路可以到达？ 16 提供应用程序间通信 应 用 层 处理数据格式 表 示 层 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式 建立，维护和管理会话 端到端的连接 寻址和路由选择 定义网络地址 选择路由 相当于：走哪条路可以到达？ 16

数据链路层 17 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 提供应用程序间通信 处理数据格式 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式 建立，维护和管理会话 端到端的连接 寻址和路由选择 介质访问，链路管理 在链路上无差错地传送帧 相当于：每一步该怎么走？ 17

物理层 18 提供应用程序间通信 应 用 层 表 示 层 处理数据格式 会 话 层 建立，维护和管理会话 传 输 层 端到端的连接 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 提供应用程序间通信 处理数据格式 建立，维护和管理会话 端到端的连接 寻址和路由选择 介质访问，链路管理 将比特流送到物理媒体上传输 相当于：对上一层的每一步该应怎样利用物理媒体？ 18

ISO参考模型 19

七层功能介绍 20 管理对话控制、同步 会 话 层 不同主机上各进程间的可靠通信（第4层以上为端到端的协议） 传 输 层 路由选择、拥塞控制 5 会 话 层 管理对话控制、同步 不同主机上各进程间的可靠通信（第4层以上为端到端的协议） 4 传 输 层 3 网 络 层 路由选择、拥塞控制 如何在不可靠线路上进行可靠的数据传输，（重传、CRC、流量控制 2 数据链路层 完成相邻结点间原始比特流的传输，关心：数据的表示，是否双向传输、连接建立与删除、物理接口标准、机械电气功能规程特性 1 物 理 层 20

课程内容 21 OSI参考模型概述 七层功能介绍 数据封装 TCP/IP协议 此页为了让学员和老师对课程安排有一个大致的了解。 此页列出本课程的主要培训标题，列出每章的名称即可。如果章下面的节不多，在此页可以一并列出。 此页胶片仅在授课时使用，胶片＋注释中有专门的目录和标题，不需要重复使用该页面。 21

数据封装 22 应 用 层 表 示 层 会 话 层 传 输 层 网 络 层 数据链路层 物 理 层 7 6 5 4 3 2 1 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 对本章的课程内容、要达到的能力和注意事项等进行总结 小结可以不仅限于一个章结束时使用，一段相对完整的内容讲授完就可以总结一下。 此页授课和胶片＋注释都要使用。 22

OSI环境中的数据传输过程 23

完整的OSI数据传递与流动过程 24

对等通信 25 物 理 层 数据链路层 传 输 层 网 络 层 会 话 层 应 用 层 表 示 层 应 用 层 表 示 层 会 话 层 1 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 应 用 层 表 示 层 会 话 层 传 输 层 网 络 层 数据链路层 此处给出与本章目标紧密相连的主要问题，题目尽量出思考题或讨论题，引导学员思考，引出后面的讨论话题。 学员用书中的题目尽量是实际操作或答案明确的发散性不强的题目。 此页不出现在胶片＋注释中。 物 理 层 25

对等通信 26 此处给出与本章目标紧密相连的主要问题，题目尽量出思考题或讨论题，引导学员思考，引出后面的讨论话题。 学员用书中的题目尽量是实际操作或答案明确的发散性不强的题目。 此页不出现在胶片＋注释中。 26

课程内容 27 OSI参考模型概述 七层功能介绍 数据封装 TCP/IP协议 此页为了让学员和老师对课程安排有一个大致的了解。 此页列出本课程的主要培训标题，列出每章的名称即可。如果章下面的节不多，在此页可以一并列出。 此页胶片仅在授课时使用，胶片＋注释中有专门的目录和标题，不需要重复使用该页面。 27

TCP/IP与OSI 互联网层 网络接口层 28 应 用 层 应 用 层 表 示 层 会 话 层 传 输 层 传 输 层 网 络 层 1 物 理 层 2 数据链路层 4 传 输 层 3 网 络 层 5 会 话 层 7 应 用 层 6 表 示 层 应 用 层 5 4 传 输 层 互联网层 3 网 络 层 2 数据链路层 1 物 理 层 网络接口层 28

TCP/IP的应用层协议 应 用 层 5 4 传 输 层 3 网 络 层 2 数据链路层 1 物 理 层 29

TCP/IP的传输层协议 应 用 层 5 4 传 输 层 3 网 络 层 2 数据链路层 1 物 理 层 30

TCP/IP网络层协议 31 应 用 层 传 输 层 网 络 层 数据链路层 物 理 层 5 4 3 2 1 网际协议 英特网控制报文协议 应 用 层 5 网际协议 4 传 输 层 英特网控制报文协议 3 网 络 层 地址解析协议 此处给出与本章目标紧密相连的主要问题，题目尽量出思考题或讨论题，引导学员思考，引出后面的讨论话题。 学员用书中的题目尽量是实际操作或答案明确的发散性不强的题目。 此页不出现在胶片＋注释中。 2 数据链路层 反向地址解析协议 1 物 理 层 31

TCP/IP协议栈 32

IP：网际协议，网络互联协议，互联网络协议 TCP/IP参考模型 TCP：传输控制协议 IP：网际协议，网络互联协议，互联网络协议 应用层 传输层 互联网层（IP子层） 网络接口层 33

TCP/IP参考模型 应用层 传输层 互联网层 网络接口层 Telnet 协议，FTP 协议， SMTP 协议，WWW 协议 TCP 协议，UDP 协议 IP 协议 以太网，FDDI，X.25，ATM 应用层 传输层 互联网层 网络接口层 34

第1层－网络接口层 功能： 负责接收从IP层交来的IP数据报，并将其通过底层物理网络发送出去（发送） 2种类型： 设备驱动程序，如局域网的网络接口； 含自身数据链路协议的复杂子系统，如X.25中的网络接口。 35

第2层－互联网层（IP层） 主要功能：负责相邻结点之间的数据传送。 包括三个方面： 　包括三个方面： 发送数据：处理来自传输层的数据发送请求，将数据装入IP数据报，填充报头，选择去往目的结点的路径，然后将数据报发往适当的网络接口。 36

第2层－互联网层（IP层） 接收数据：当从网络上接收到数据时，首先检查数据报的合法性，然后进行路由选择，决定是接收还是转发。 处理ICMP报文：即处理网络的路由选择、流量控制和拥塞控制等问题。 37

第3层－传输层 功能： 在源结点和目的结点的两个进程实体之间提供可靠的端到端的数据通信。 为保证数据传输的可靠性，传输层协议规定接收端必须发回确认，并且当数据有错或丢失时，发送方必须重传。 传输层协议： 传输控制协议TCP 用户数据报协议UDP 38

传输控制协议TCP TCP：Transmission Control Protocol 可靠的面向连接的协议 需要事先建立一条连接路径 39

用户数据报协议UDP UDP：User Datagram Protocol 不可靠的、无连接的传输层协议 不需要事先建立连接 不能保证数据传输的可靠性 40

第4层－应用层 文件传输协议FTP：提供在两台机器之间进行有效的文件传送的手段。 超文本传输协议 HTTP：用于从万维网上读取页面信息。 远程登录协议Telnet：允许用户登录到远程系统并访问远程系统的资源。 域名服务DNS：用于将网络中的主机的名字地址映射成网络地址。 网络新闻传输协议NNTP：传输网络新闻。 简单邮件传输协议SMTP：用于传输电子邮件。 41

IP：网络互联协议 Internet 的核心是互联网层和传输层，相应的协议是 IP 和TCP。 IP（Internet Protocol ）： 网际协议（网络互联协议）。 使用IP 协议的互连网络常称为 IP 网络或 IP 网。 在IP 网络传送的分组常称为 IP 分组或IP 数据报 (IP datagram)。 IP协议提供不可靠、无连接的数据报传送服务。 42

IP：网络互联协议 IP协议的主要功能包括： 无连接数据报传送 差错处理 路由选择 43

IP 数据报 IP数据报的两个含义 第一是指 IP层的无连接数据报传输机制以及 IP提供的无连接服务 第二是指I P数据报格式 两者的关系 44

IP 报文格式 IP报文由报头和数据区组成 头部：由一个长度为 20 字节的固定项和一个长度任意的可选项组成。 数据区：传送的数据。 45

IP头部格式 20B 46 4位版本号 4位头部 长度 8位服务类型(TOS) 16位总长度 16位标识 3位标志 13位分段偏移量 8位生存期(TTL) 8位协议 16位头部检验和 32位源IP地址 32位目的IP地址 可选项（可变长） 填充段 数据 20B 46

IP头部格式 1）版本号 4比特，记录了报文属于IPV4还是IPV6。不同版本的报文格式不完全相同。 2）头部长度 以32比特为单位。 取值范围是5～15。 47

IP头部格式 3）服务类型（TOS） 8 比特，说明 IP 数据报所希望得到的服务质量。 4）总长度 16 比特，指明整个IP数据报的总长度，包括报头和数据。由于它占16位，取值范围是0000000000000000－1111111111111111，即十进制的0－65535，也就是说一个IP数据报的最大长度是65536字节（64K）。 48

IP头部格式 5） 标识字段 源主机赋予IP数据报的标识符； 该域需要复制到新分片的报头中； 目的主机利用此域和目的地址判断分片属于哪个数据报； 16比特，目的主机收到分段报文后，可根据此值来判断分段属于哪一个IP数据报。 49

IP头部格式 6）标志字段 标识是否已经分片，是否是最后一个分片 3 比特，从左向右的第一位保留； 第二位是DF标志位，表示该报文不要分段； 第三位是MF标志位，为1表示该分段不是最后一个；为0表示这是某个IP数据报的最后一个分段。 50

IP头部格式 7）分段偏移量 13位。说明该分段在原来IP数据报中的位置。 以64比特为一个单位，若要计算该分段是原来数据报中的第几个字节，还要乘以8。 8）生存期（TTL --Time To Live ） 8位。指定IP数据报在网络中停留的最长时间，以秒为单位。 每经过一个路由器就减1，直到该值为0时，必须把该IP数据报丢弃。 TTL值一般为64，最大为255。 51

IP头部格式 9）协议 8 位。说明将使用哪一个高层协议来接收IP数据报。 每个高层协议都对应一个唯一的号码，它由TCP/IP中央权威管理机构分配。 十进制的 1 表示 ICMP 协议 6 表示 TCP 协议 8 表示 EGP 协议 17 表示 UDP 协议; 29 表示ISO传输层协议第四类（ISO-TP4）。 52

53 运输层 TCP UDP ICMP IGMP OSPF 网络层 首部 数 据 部 分 协议字段指出应将数据 部分交给哪一个进程 IP 数据报 53

IP报头格式 10）头部检验和 16位。用来保证IP报头的完整性。 这里不采用 CRC 检验码而采用简单的计算方法 11）源IP地址和目的IP地址 32位，指明发送数据和接收数据的主机。 例如：10.100.9.146。 54

IP报头格式 12）可选项 长度可变。用于控制和测试的目的。 每个可选项由选项代码、长度和选项数据组成。 目前定义了5个可选项，分别是： 安全性 严格源路由选择 松散源路由选择 记录路由 时间戳。 55

IP报头格式中的可选项 A）安全性：说明报文的安全程度。 B）严格源路由选择：要求报文必须严格按照给定的路由传送。 C）松散源路由选择：要求报文在传送时必须按照次序经过给定的路由器，但是报文还可以穿过其他路由器。 D）记录路由：用于记录IP数据报从源主机端到目的主机端所经过的所有路由器的IP地址。 E）时间戳：用于记录IP数据报经过每一个路由器的时间。 56

IP报头格式 13）填充段 IP报头长度必须是4个字节长度的整数倍。 可以使用“填充段”选项来填充“0”，使得报头长度为4个字节长度的整数倍。 57

抓取Ping指令发送的数据包 58

IP地址 IP地址的基本概念 大型的互连网络中需要有一个全局的地址系统，它能够给每一台主机或路由器的网络连接分配一个全局惟一的地址； TCP/IP协议的网络层使用的地址标识符叫做IP地址； 网络中的每一个主机或路由器至少有一个IP地址； 在Internet中不允许有两个设备具有同样的IP地址； 如果一台主机或路由器连接到两个或多个物理网络，那么它可以拥有两个或多个IP地址。 59

IP地址 我们把整个因特网看成为一个单一的、抽象的网络。IP 地址就是给每个连接在因特网上的主机（或路由器）分配一个在全世界范围是惟一的 32 bit 的标识符。 IP 地址现在由因特网名字与号码指派公司ICANN (Internet Corporation for Assigned Names and Numbers)进行分配 60

IP 地址的编址方法 分类的 IP 地址 这是最基本的编址方法，在 1981 年就通过了相应的标准协议。 子网的划分 这是对最基本的编址方法的改进，其标准[RFC 950]在 1985 年通过。 构成超网 这是比较新的无分类编址方法。1993 年提出后很快就得到推广应用。 61

IP 地址 ::= { <网络号>, <主机号>} 每一类地址都由两个固定长度的字段组成，其中一个字段是网络号 net-id，它标志主机（或路由器）所连接到的网络，而另一个字段则是主机号 host-id，它标志该主机（或路由器）。 两级的 IP 地址可以记为： IP 地址 ::= { <网络号>, <主机号>} ::= 代表“定义为” 62

IP 地址中的网络号字段和主机号字段 63 A 类地址 net-id 8 bit host-id 24 bit B 类地址 1 net-id net-id 8 bit host-id 24 bit B 类地址 1 net-id 16 bit host-id 16 bit C 类地址 1 1 net-id 24 bit host-id 8 bit D 类地址 1 1 1 0 多 播 地 址 E 类地址 1 1 1 1 0 保 留 为 今 后 使 用 63

A类 IP地址 A类IP地址的网络号长度为7位，主机号长度为24位； A类地址是从：1.0.0.0～127.255.255.255； 网络号长度为7位，从理论上可以有27=128个网络； 网络号为全0和全1（用十进制表示为0与127）的两个地址保留用于特殊目的，实际允许有126个不同的A类网络； 由于主机号长度为24位，因此每个A类网络的主机IP数理论上为224=16 777 216； 主机IP为全0和全1的两个地址保留用于特殊目的，实际允许连接16 777 214个主机； A类IP地址结构适用于有大量主机的大型网络。 64

B类IP地址 B类IP地址的网络IP长度为14位，主机IP长度为16位； 由于主机IP长度为16位，因此每个B类网络可以有216=65536个主机或路由器，实际一个B类IP地址允许连接65534个主机或路由器； B类IP地址适用于一些国际性大公司与政府机构等中等大小的组织使用。 65

C类IP地址 C类IP地址的网络号长度为21位，主机号长度为8位； C类IP地址是从：192.0.0.0～223.255.255.255； 66

D类和E类IP地址 D类IP地址不标识网络; 地址范围：224.0.0.0～239.255.255.255 用于其他特殊的用途，如多播地址Multicasting； E类IP地址暂时保留； 地址范围：240.0.0.0～255.255.255.255； 用于某些实验和将来使用。 67

常用的三种类别的 IP 地址 IP 地址的使用范围 网络 最大 第一个 最后一个 每个网络 类别 网络数 可用的 可用的 中最大的 网络 最大 第一个 最后一个 每个网络 类别 网络数 可用的 可用的 中最大的 网络号 网络号 主机数 A 126 (27 – 2) 1 126 16,777,214 B 16,384 (214) 128.0 191.255 65,534 C 2,097,152 (221) 192.0.0 223.255.255 254 68

IP地址的二进制表示 用点分十进制表示 用二进制表示 69 用点分十进制表示 用二进制表示 129． 8．16．25 10000001 00001000 00010000 00011001 10 . 2. 0. 52 00001010 00000010 00000000 00110100 126. 0. 0. 0 01111110 00000000 00000000 00000000 192.255. 255. 255 11000000 11111111 11111111 11111111 69

子网掩码 子网掩码是用来判断任意两台计算机的IP地址是否属于同一子网络的根据。 最为简单的理解就是两台计算机各自的IP地址与子网掩码进行二进制“与”（AND）运算后，如果得出的结果是相同的，则说明这两台计算机是处于同一个子网络上的，可以进行直接的通讯。 70

子网掩码 计算机A的IP地址为192.168.0.1，子网掩码为255.255.255.0，将转化为二进制进行“与”运算，运算过程如表所示。 11000000.10101000.00000000.00000001 子网掩码 11111111.11111111.11111111.00000000 IP地址与子网掩码按位“与” 11000000.10101000.00000000.00000000 运算的结果转化为十进制 192.168.0.0 71

子网掩码 计算机B的IP地址为192.168.0.254，子网掩码为255.255.255.0，将转化为二进制进行“与”运算。 72 11000000.10101000.00000000.11111110 子网掩码 11111111.11111111.11111111.00000000 IP地址与子网掩码按位 11000000.10101000.00000000.00000000 运算的结果转化为十进制 192.168.0.0 72

A B C 类 IP 地址的默认子网掩码 73 A 类 地 址 网络地址 net-id host-id 为全 0 默认子网掩码 255.0.0.0 1 1 1 1 1 1 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 B 类 地 址 网络地址 net-id host-id 为全 0 默认子网掩码 255.255.0.0 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 C 类 地 址 网络地址 net-id host-id 为全 0 默认子网掩码 255.255.255.0 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 0 0 0 0 0 0 0 0 73

计算子网和子网掩码 74 在IP地址中通常使用与二进制值相等的十进制值： 如果想从主机位借位，必须使用处于较高位的主机位。这是一个8位组中经常使用的与二进制值相等的十进制值。 74