上传文件至 /

网络管理.md

@@ -0,0 +1,537 @@
+<h2><center>网络管理</center></h2>
+
+------
+
+## 一：网络管理
+
+### 1. 网络服务管理
+
+**NetworkManager vs. network服务**
+
+- **NetworkManager**（推荐）：
+
+  ```bash
+  [root@wxin ~]# systemctl start NetworkManager    # 启动
+  [root@wxin ~]# systemctl enable NetworkManager   # 开机自启
+  ```
+
+- **传统network服务**：
+
+  ```bash
+  [root@wxin ~]# systemctl start network           # 启动
+  [root@wxin ~]# systemctl enable network          # 开机自启
+  ```
+
+### 2. 网络配置文件
+
+- **路径**：`/etc/sysconfig/network-scripts/ifcfg-<网卡名>`（如 `ifcfg-ens33`）。
+
+- **静态IP配置示例**：
+
+  ```shell
+  DEVICE=ens33
+  BOOTPROTO=static
+  ONBOOT=yes
+  IPADDR=192.168.159.100
+  NETMASK=255.255.255.0
+  GATEWAY=192.168.159.2
+  DNS1=8.8.8.8
+  DNS2=8.8.4.4
+  ```
+
+- **应用配置**：
+
+  ```bash
+  [root@wxin ~]# nmcli connection reload   # NetworkManager重载配置
+  [root@wxin ~]# systemctl restart network # 传统服务重启
+  ```
+
+### 3. 网络接口管理
+
+- **查看接口**：
+
+  ```bash
+  [root@wxin ~]# ip addr show      # 显示所有接口
+  [root@wxin ~]# nmcli device status  # NetworkManager查看设备
+  ```
+
+- **启用/禁用接口**：
+
+  ```bash
+  [root@wxin ~]# ifup ens33       # 启用接口
+  [root@wxin ~]# ifdown ens33     # 禁用接口
+  ```
+
+### 4. 使用 nmcli 配置网络
+
+- **查看连接**：
+
+  ```bash
+  [root@wxin ~]# nmcli connection show
+  ```
+
+- **设置静态IP**：
+
+  ```bash
+  [root@wxin ~]# nmcli con mod ens192 ipv4.addresses 192.168.1.100/24 ipv4.gateway 192.168.1.1 ipv4.dns "8.8.8.8"
+  [root@wxin ~]# nmcli con up ens192
+  ```
+
+- **启用DHCP**：
+
+  ```bash
+  [root@wxin ~]# nmcli con mod ens192 ipv4.method auto
+  [root@wxin ~]# nmcli con up ens192
+  ```
+
+### 5. 图形化工具`nmtui`
+
+运行命令启动文本界面：
+
+```bash
+[root@wxin ~]# nmtui
+```
+
+通过菜单配置IP、DNS、网关等。
+
+### 6. 防火墙管理（firewalld）
+
+- **开放端口/服务**：
+
+  ```bash
+  [root@wxin ~]# firewall-cmd --permanent --add-port=80/tcp    # 开放80端口
+  [root@wxin ~]# firewall-cmd --permanent --add-service=http   # 允许HTTP服务
+  [root@wxin ~]# firewall-cmd --reload                         # 重载配置
+  ```
+
+- **查看规则**：
+
+  ```bash
+  [root@wxin ~]# firewall-cmd --list-all
+  ```
+
+### 7. 网络测试工具
+
+- **连通性测试**：
+
+  ```bash
+  [root@wxin ~]# ping google.com
+  traceroute google.com
+  ```
+
+- **端口监听检查**：
+
+  ```bash
+  [root@wxin ~]# ss -tuln | grep 80   # 查看80端口状态
+  ```
+
+- **DNS解析**：
+
+  ```bash
+  [root@wxin ~]# nslookup google.com
+  [root@wxin ~]# dig google.com
+  ```
+
+### 8. 主机名与路由
+
+- **修改主机名**：
+
+  ```bash
+  [root@wxin ~]# hostnamectl set-hostname server1.example.com
+  ```
+
+- **添加静态路由**：
+
+  ```bash
+  [root@wxin ~]# ip route add 10.0.0.0/24 via 192.168.1.1 dev ens192
+  # 持久化：将路由添加到/etc/sysconfig/network-scripts/route-ens192
+  ```
+
+## 二：OSI 模型
+
+### 1. OSI七层模型概览
+
+| 层级 |    名称    |            功能             |   数据单位    |      典型协议/设备       |
+| :--: | :--------: | :-------------------------: | :-----------: | :----------------------: |
+|  7   |   应用层   |   用户接口，提供网络服务    | 数据（Data）  |   HTTP, FTP, DNS, SMTP   |
+|  6   |   表示层   |   数据格式转换、加密/解密   | 数据（Data）  |   SSL/TLS, JPEG, ASCII   |
+|  5   |   会话层   |  建立、管理、终止会话连接   | 数据（Data）  |       NetBIOS, RPC       |
+|  4   |   传输层   | 端到端数据传输，可靠性控制  | 段（Segment） |         TCP, UDP         |
+|  3   |   网络层   | 路由寻址，跨网络传输数据包  | 包（Packet）  |     IP, ICMP, 路由器     |
+|  2   | 数据链路层 | 局域网内帧传输，MAC地址管理 |  帧（Frame）  |  Ethernet, MAC, 交换机   |
+|  1   |   物理层   |     物理介质传输比特流      |  比特（Bit）  | 电缆、光纤、网卡、集线器 |
+
+### 2. 各层核心功能
+
+**物理层**
+
+- **作用**：通过物理介质（如电缆、光纤）传输原始比特流（0和1）。
+- **关键设备**：网卡（NIC）、集线器（Hub）、中继器（Repeater）。
+- **示例**：定义电压、接口类型（如RJ45）、传输速率（如100Mbps）。
+
+**数据链路层（Date Link Layer）**
+
+- **作用**：将比特流组织成帧（Frame），通过MAC地址实现局域网内设备通信。
+- **子层**：
+  1. **MAC子层**：控制物理介质的访问（如CSMA/CD）。
+  2. **LLC子层**：流量控制和错误校验。
+- **关键设备**：交换机（Switch）。
+
+**网络层（Network Layer）**
+
+- **作用**：通过IP地址实现跨网络的数据包路由和转发。
+- **核心协议**：IPv4/IPv6、ICMP（用于Ping）、路由协议（如OSPF、BGP）。
+- **关键设备**：路由器（Router）。
+
+**传输层（Transport Layer）**
+
+- **作用**：确保端到端的数据传输可靠性。
+  1. **TCP**：面向连接，提供可靠传输（如文件下载）。
+  2. **UDP**：无连接，低延迟（如视频流、DNS查询）。
+
+ **会话层（Session Layer）**
+
+- **作用**：管理通信会话（建立、维护、终止连接）。
+- **示例**：断点续传、会话身份验证。
+
+**表示层（Presentation Layer）**
+
+- **作用**：数据格式转换（如加密、压缩、字符编码）。
+- **典型技术**：SSL/TLS（加密）、JPEG（图像压缩）、ASCII/Unicode（字符编码）。
+
+**应用层（Application Layer）**
+
+- **作用**：直接为用户应用程序提供网络服务接口。
+- **常见协议**：
+  1. **HTTP**：网页浏览。
+  2. **FTP**：文件传输。
+  3. **SMTP**：电子邮件发送。
+  4. **DNS**：域名解析。
+
+### 3. 实际意义
+
+- **故障排查**：逐层定位问题（如物理层检查网线，网络层检查IP配置）。
+- **协议设计**：各层协议独立发展（如HTTP无需关心底层如何传输）。
+- **设备分工**：明确设备作用（如交换机处理数据链路层，路由器处理网络层）。
+
+### 4. 数据封装与解封装
+
+数据从发送端到接收端的过程：
+
+- **封装（发送端）**：
+
+  应用层数据 → 传输层添加TCP头 → 网络层添加IP头 → 数据链路层添加帧头/尾 → 物理层转为比特流。
+
+- **解封装（接收端）**：
+
+  物理层接收比特流 → 数据链路层剥离帧头 → 网络层剥离IP头 → 传输层剥离TCP头 → 应用层获取原始数据。
+
+## 三：TCP / IP 模型
+
+### 1. 分层模型详解
+
+**应用层（Application Layer）**
+
+- **核心功能**：直接面向用户应用程序，定义数据格式与交互规则。
+- **关键协议**：
+  1. **HTTP/HTTPS**：用于网页传输，HTTPS通过TLS/SSL加密。
+  2. **DNS**：将域名（如`www.example.com`）解析为IP地址，采用UDP/TCP端口53。
+  3. **SMTP/POP3/IMAP**：邮件发送（SMTP）与接收（POP3/IMAP）。
+  4. **FTP/SFTP**：文件传输，SFTP基于SSH加密。
+  5. **DHCP**：动态分配IP地址，避免手动配置。
+- **数据单元**：消息（Message）或应用层PDU（协议数据单元）。
+
+**传输层（Transport Layer）**
+
+- **核心功能**：提供端到端（进程到进程）的可靠或高效传输。
+- **TCP（传输控制协议）**：
+  1. **特点**：
+     - 面向连接：通过三次握手建立连接（SYN, SYN-ACK, ACK）。
+     - 可靠性：确认（ACK）、超时重传、数据校验和（Checksum）。
+     - 流量控制：滑动窗口机制，防止接收方缓冲区溢出。
+     - 拥塞控制：慢启动、拥塞避免、快速重传（如收到3个重复ACK）。
+  2. **首部格式**（20字节基础）：
+     - 源/目的端口（16位）、序列号（32位）、确认号（32位）、窗口大小（16位）等。
+- **UDP（用户数据报协议）**：
+  1. **特点**：
+     - 无连接：直接发送数据，无需建立连接。
+     - 低延迟：首部仅8字节（源/目的端口、长度、校验和）。
+     - 无拥塞控制：适用于实时应用（如VoIP、在线游戏）。
+  2. **典型场景**：DNS查询、视频流媒体、物联网传感器数据。
+
+**网络层（Internet Layer）**
+
+- **核心功能**：实现数据包的路由与寻址，跨越不同网络。
+- **IP协议（Internet Protocol）**：
+  1. **IPv4**：
+     - 32位地址（如`192.168.1.1`），采用点分十进制表示。
+     - 地址耗尽问题：通过NAT（网络地址转换）和CIDR（无类别域间路由）缓解。
+  2. **IPv6**：
+     - 128位地址（如`2001:0db8:85a3::8a2e:0370:7334`），支持更多设备。
+     - 改进：简化首部格式、内置安全扩展（IPsec）、无状态地址自动配置（SLAAC）。
+  3. **数据单元**：数据报（Datagram）。
+- **辅助协议**：
+  1. **ICMP（Internet控制报文协议）**：用于网络诊断（如`ping`、`traceroute`）。
+  2. **ARP（地址解析协议）**：将IP地址映射为MAC地址（链路层）。
+  3. **路由协议**：
+     - **OSPF**（开放最短路径优先）：内部网关协议（IGP），基于链路状态。
+     - **BGP**（边界网关协议）：外部网关协议（EGP），管理跨AS（自治系统）路由。
+
+**链路层（Link Layer）**
+
+- **核心功能**：在物理介质（电缆、光纤、无线电波）上传输原始比特流。
+- **关键技术与协议**：
+  1. **以太网（Ethernet）**：使用MAC地址（如`00:1A:2B:3C:4D:5E`）标识设备，帧结构包含前导码、目的/源MAC、类型字段（如IPv4为`0x0800`）、数据及CRC校验。
+  2. **Wi-Fi（IEEE 802.11）**：无线局域网标准，支持CSMA/CA（载波侦听多路访问/冲突避免）。
+  3. **PPP（点对点协议）**：用于拨号或直接设备间通信。
+- **数据单元**：帧（Frame）。
+
+### 2. 数据传输流程
+
+**封装（Encapsulation）**
+
+数据从应用层到链路层的封装过程：
+
+1. **应用层**：生成原始数据（如HTTP请求）。
+2. **传输层**：添加TCP/UDP首部（包含端口号、序列号等）。
+3. **网络层**：添加IP首部（源/目的IP地址、TTL等）。
+4. **链路层**：添加帧头（MAC地址）和帧尾（CRC校验）。
+
+**分用（Demultiplexing）**
+
+接收方逐层解析数据：
+
+1. **链路层**：校验CRC，剥离帧头，将数据报传递给网络层。
+2. **网络层**：检查IP地址，决定转发或上传至传输层。
+3. **传输层**：根据端口号将数据交给对应应用进程。
+
+### 3. 关联机制
+
+**TCP连接管理**
+
+- 三次握手建立连接：
+
+  1. 客户端→服务端：发送SYN（seq=x）。
+  2. 服务端→客户端：回复SYN-ACK（seq=y, ack=x+1）。
+  3. 客户端→服务端：发送ACK（ack=y+1）。
+
+  - **目的**：同步初始序列号，协商窗口大小等参数。
+
+- 四次挥手释放连接：
+
+  1. 主动方→被动方：发送FIN（seq=u）。
+  2. 被动方→主动方：回复ACK（ack=u+1）。
+  3. 被动方→主动方：发送FIN（seq=v）。
+  4. 主动方→被动方：回复ACK（ack=v+1）。
+
+  - **原因**：TCP支持半关闭状态，确保双方数据发送完毕。
+
+**IP路由与NAT**
+
+- **路由表**：路由器根据目标IP前缀选择下一跳，最长前缀匹配优先。
+- **NAT（网络地址转换）**：
+  1. **功能**：将私有IP（如`192.168.x.x`）映射为公网IP，解决IPv4地址不足。
+  2. **类型**：静态NAT（一对一）、动态NAT（地址池）、PAT（端口转换，多对一）。
+
+**ARP与MAC寻址**
+
+- **ARP请求/响应**：
+  1. 主机A广播ARP请求：“谁的IP是`192.168.1.2`？”。
+  2. 主机B单播回复：“我的MAC是`00:1A:2B:3C:4D:5E`。”。
+- **ARP缓存表**：存储IP-MAC映射，减少重复查询。
+
+## 四：数据链路层详解
+
+### 1. 核心功能
+
+**物理寻址（MAC地址）**
+
+- 每个网络设备（如网卡）拥有唯一的**MAC地址**（如`00:1A:2B:3C:4D:5E`），用于在本地网络中标识设备。
+- **地址解析协议（ARP）**：将IP地址映射为MAC地址（通过广播请求和单播响应）。
+
+**数据成帧（Framing）**
+
+- 将网络层传递的IP数据报封装为**帧**，添加帧头（源/目的MAC地址）和帧尾（校验码）。
+- 帧的格式需适应不同物理介质（如以太网、Wi-Fi）。
+
+**错误检测与纠正**
+
+- **CRC（循环冗余校验）**：通过帧尾的校验码检测传输中的比特错误，丢弃错误帧。
+- 部分协议支持**纠错码**（如海明码），但多数依赖上层协议（如TCP）重传。
+
+**流量控制**
+
+- 防止接收方因处理速度不足导致数据丢失，例如：
+  - **停顿协议（Stop-and-Wait）**：发送一帧后等待确认。
+  - **滑动窗口协议**：允许连续发送多帧，提升效率。
+
+**介质访问控制（MAC）**
+
+- 协调多设备共享同一物理介质的访问，避免冲突：
+  - **CSMA/CD**（载波侦听多路访问/冲突检测）：用于以太网，检测冲突后重发。
+  - **CSMA/CA**（载波侦听多路访问/冲突避免）：用于Wi-Fi，通过ACK和随机退避减少冲突。
+
+### 2. 常见协议与技术
+
+#### **以太网（Ethernet）**
+
+- **帧结构**：
+
+  |        字段         |                       说明                        |
+  | :-----------------: | :-----------------------------------------------: |
+  |   前导码（7字节）   |                 同步接收方时钟。                  |
+  |    SFD（1字节）     |           帧起始定界符（`10101011`）。            |
+  |  目的MAC（6字节）   |                目标设备的MAC地址。                |
+  |   源MAC（6字节）    |                  发送方MAC地址。                  |
+  |    类型（2字节）    | 上层协议类型（如IPv4为`0x0800`，ARP为`0x0806`）。 |
+  | 数据（46-1500字节） |     携带IP数据报（最小46字节，不足需填充）。      |
+  |    CRC（4字节）     |              校验码，检测传输错误。               |
+
+  
+
+- **特点**：
+
+  - 支持多种速率（10Mbps、1Gbps、10Gbps等）和介质（双绞线、光纤）。
+  - 使用**交换机**实现全双工通信，避免冲突（传统集线器已被淘汰）。
+
+#### Wi-Fi（IEEE 802.11）
+
+- **帧结构**：
+  - 包含MAC头（控制帧类型、地址）、数据载荷和CRC。
+  - 支持三种地址类型：源地址、目的地址、AP（接入点）地址。
+- **关键技术**：
+  - **CSMA/CA**：发送数据前先监听信道，空闲时发送，否则随机等待。
+  - **RTS/CTS**（可选）：减少隐藏终端问题（如设备A和C无法直接通信，但均连接至B）。
+  - **ACK机制**：接收方需确认帧的接收，否则发送方重传。
+
+#### PPP（点对点协议）
+
+- **用途**：用于拨号上网、路由器间直连等点对点链路。
+- **特点**：
+  - 支持身份验证（如PAP、CHAP协议）。
+  - 封装多种网络层协议（IP、IPX等）。
+  - 帧结构简单，无MAC地址（因仅两点通信）。
+
+### 3. 关键机制
+
+#### **ARP协议流程**
+
+- **场景**：主机A（IP: 192.168.1.1）需向主机B（IP: 192.168.1.2）发送数据，但未知B的MAC地址。
+- **ARP请求**（广播）：
+  - A发送广播帧，询问“谁的IP是192.168.1.2？”。
+  - 目标MAC为`FF:FF:FF:FF:FF:FF`，局域网内所有设备均接收。
+- **ARP响应**（单播）：
+  - B回复单播帧，告知A自己的MAC地址。
+  - A将B的IP-MAC映射存入**ARP缓存表**（有效期通常几分钟）。
+
+#### **MTU与分片**
+
+- **MTU（最大传输单元）**：数据链路层可传输的最大帧长度（如以太网为1500字节）。
+- **分片处理**：
+  - 若IP数据报超过MTU，网络层（IP协议）负责分片。
+  - 接收方重组分片，但分片会增加延迟和丢包风险（现代网络通常避免分片，通过**路径MTU发现**确定最小MTU）。
+
+#### **错误处理**
+
+- **CRC校验**：接收方计算帧的CRC值，若与帧尾不匹配，直接丢弃该帧。
+- **纠错机制**：Wi-Fi等无线协议可能使用前向纠错（FEC），在帧中添加冗余数据，允许接收方自行修复少量错误。
+
+### 4. 数据链路层与物理层的关系
+
+- **数据链路层**：定义帧格式、寻址和错误控制，依赖物理层实现比特流传输。
+- **物理层**：负责将帧转换为电信号、光信号或无线电波（如网卡、光纤模块、天线）。
+
+## 五：网络层详解
+
+### 1. 核心协议与功能
+
+#### **IP协议（Internet Protocol）**
+
+- **作用**：为数据包提供**逻辑寻址**（IP地址）和**路由选择**。
+- **版本**：
+  1. **IPv4**：
+     - 32位地址（如`192.168.1.1`），总量约42亿，通过NAT和CIDR缓解地址短缺。
+     - **数据报格式**：
+       1. 首部（20字节+可选字段）：包含TTL（生存时间）、协议类型（如TCP/UDP）、源/目的IP等。
+       2. 数据：承载传输层报文（如TCP段或UDP数据报）。
+  2. **IPv6**：
+     - 128位地址（如`2001:0db8:85a3::8a2e:0370:7334`），几乎无限地址空间。
+     - **改进**：
+       1. 简化首部（固定40字节，无分片字段）。
+       2. 内置IPsec加密与身份验证。
+       3. 支持无状态地址自动配置（SLAAC）。
+
+#### **辅助协议**
+
+- **ICMP（Internet控制报文协议）**：
+  1. 用于网络诊断与错误报告（如`ping`基于ICMP Echo Request/Reply）。
+  2. 报告网络问题（如目标不可达、超时）。
+- **路由协议**：
+  1. **OSPF（开放最短路径优先）**：内部网关协议（IGP），基于链路状态算法，适用于企业内网。
+  2. **BGP（边界网关协议）**：外部网关协议（EGP），管理跨自治系统（AS）的路由，支撑互联网核心路由。
+
+### 2. 关键机制
+
+#### **IP寻址与子网划分**
+
+- **IP地址结构**：
+  1. **网络号 + 主机号**：通过子网掩码（如`255.255.255.0`）区分网络与主机部分。
+  2. **CIDR（无类别域间路由）**：取代传统A/B/C类地址，支持灵活划分（如`192.168.1.0/24`表示前24位为网络号）。
+- **私有地址与NAT**：
+  1. **私有IP范围**：`10.0.0.0/8`、`172.16.0.0/12`、`192.168.0.0/16`，用于局域网内。
+  2. **NAT（网络地址转换）**：
+     - **功能**：将私有IP映射为公网IP，实现多设备共享单一公网IP。
+     - **类型**：
+       1. **静态NAT**：一对一映射（如将`192.168.1.2`映射为`203.0.113.5`）。
+       2. **PAT（端口地址转换）**：多对一映射，通过端口号区分会话（常见于家庭路由器）。
+
+#### **路由与转发**
+
+- **路由表**：
+
+  1. 每台路由器维护一张表，记录目标网络与下一跳的映射。
+
+  2. **表项示例**：
+
+     | 目标网络       | 下一跳      | 接口 | 度量值 |
+     | -------------- | ----------- | ---- | ------ |
+     | 192.168.1.0/24 | 直接连接    | eth0 | 0      |
+     | 0.0.0.0/0      | 203.0.113.1 | eth1 | 1      |
+
+- **路由选择原则**：
+
+  1. **最长前缀匹配**：优先选择子网掩码最长的路由条目。
+  2. **动态路由协议**：OSPF通过计算最短路径树，BGP基于策略选择最优路径。
+
+#### **分片与重组**
+
+- **MTU（最大传输单元）**：数据链路层帧的最大载荷（如以太网为1500字节）。
+- **分片场景**：
+  1. 当IP数据报大小超过MTU时，路由器将其分割为多个分片。
+  2. 每个分片携带**标识符、偏移量、MF标志（More Fragments）**。
+- **重组**：由目标主机根据分片信息重新组装原始数据报。
+- **现代优化**：通过**路径MTU发现（PMTUD）**，源主机主动探测路径最小MTU，避免分片。
+
+### 3. IPv4 与 IPv6 对比
+
+|    特性    |                IPv4                 |                IPv6                 |
+| :--------: | :---------------------------------: | :---------------------------------: |
+|  地址长度  |            32位（4字节）            |           128位（16字节）           |
+|  地址表示  |    点分十进制（如`192.168.1.1`）    | 冒号分隔十六进制（如`2001:db8::1`） |
+| 首部复杂度 | 包含可选字段，可变长度（20-60字节） |       固定40字节，无选项字段        |
+|   安全性   |       依赖外部协议（如IPsec）       |            内置IPsec支持            |
+|  地址配置  |           DHCP或手动配置            |     支持SLAAC（无状态自动配置）     |
+
+### 4. 网络层安全与挑战
+
+**常见攻击**
+
+- **IP欺骗（Spoofing）**：伪造源IP发起DDoS攻击或绕过认证。
+- **分片攻击**：发送恶意分片耗尽目标资源。
+- **路由劫持**：通过伪造BGP路由条目劫持流量。
+
+**防护措施**
+
+- **IPsec**：为IP层提供加密、完整性验证与抗重放保护（IPv6原生支持）。
+- **过滤与ACL**：路由器配置访问控制列表（ACL），拦截非法IP或分片。
+- **RPKI（资源公钥基础设施）**：验证BGP路由宣告的合法性，防止路由劫持。