<h2><center>网络管理</center></h2>

------

## 一：网络管理

### 1. 网络服务管理

**NetworkManager vs. network服务**

- **NetworkManager**（推荐）：

  ```bash
  [root@wxin ~]# systemctl start NetworkManager    # 启动
  [root@wxin ~]# systemctl enable NetworkManager   # 开机自启
  ```

- **传统network服务**：

  ```bash
  [root@wxin ~]# systemctl start network           # 启动
  [root@wxin ~]# systemctl enable network          # 开机自启
  ```

### 2. 网络配置文件

- **路径**：`/etc/sysconfig/network-scripts/ifcfg-<网卡名>`（如 `ifcfg-ens33`）。

- **静态IP配置示例**：

  ```shell
  DEVICE=ens33
  BOOTPROTO=static
  ONBOOT=yes
  IPADDR=192.168.159.100
  NETMASK=255.255.255.0
  GATEWAY=192.168.159.2
  DNS1=8.8.8.8
  DNS2=8.8.4.4
  ```

- **应用配置**：

  ```bash
  [root@wxin ~]# nmcli connection reload   # NetworkManager重载配置
  [root@wxin ~]# systemctl restart network # 传统服务重启
  ```

### 3. 网络接口管理

- **查看接口**：

  ```bash
  [root@wxin ~]# ip addr show      # 显示所有接口
  [root@wxin ~]# nmcli device status  # NetworkManager查看设备
  ```

- **启用/禁用接口**：

  ```bash
  [root@wxin ~]# ifup ens33       # 启用接口
  [root@wxin ~]# ifdown ens33     # 禁用接口
  ```

### 4. 使用 nmcli 配置网络

- **查看连接**：

  ```bash
  [root@wxin ~]# nmcli connection show
  ```

- **设置静态IP**：

  ```bash
  [root@wxin ~]# nmcli con mod ens192 ipv4.addresses 192.168.1.100/24 ipv4.gateway 192.168.1.1 ipv4.dns "8.8.8.8"
  [root@wxin ~]# nmcli con up ens192
  ```

- **启用DHCP**：

  ```bash
  [root@wxin ~]# nmcli con mod ens192 ipv4.method auto
  [root@wxin ~]# nmcli con up ens192
  ```

### 5. 图形化工具`nmtui`

运行命令启动文本界面：

```bash
[root@wxin ~]# nmtui
```

通过菜单配置IP、DNS、网关等。

### 6. 防火墙管理（firewalld）

- **开放端口/服务**：

  ```bash
  [root@wxin ~]# firewall-cmd --permanent --add-port=80/tcp    # 开放80端口
  [root@wxin ~]# firewall-cmd --permanent --add-service=http   # 允许HTTP服务
  [root@wxin ~]# firewall-cmd --reload                         # 重载配置
  ```

- **查看规则**：

  ```bash
  [root@wxin ~]# firewall-cmd --list-all
  ```

### 7. 网络测试工具

- **连通性测试**：

  ```bash
  [root@wxin ~]# ping google.com
  traceroute google.com
  ```

- **端口监听检查**：

  ```bash
  [root@wxin ~]# ss -tuln | grep 80   # 查看80端口状态
  ```

- **DNS解析**：

  ```bash
  [root@wxin ~]# nslookup google.com
  [root@wxin ~]# dig google.com
  ```

### 8. 主机名与路由

- **修改主机名**：

  ```bash
  [root@wxin ~]# hostnamectl set-hostname server1.example.com
  ```

- **添加静态路由**：

  ```bash
  [root@wxin ~]# ip route add 10.0.0.0/24 via 192.168.1.1 dev ens192
  # 持久化：将路由添加到/etc/sysconfig/network-scripts/route-ens192
  ```

## 二：OSI 模型

### 1. OSI七层模型概览

| 层级 |    名称    |            功能             |   数据单位    |      典型协议/设备       |
| :--: | :--------: | :-------------------------: | :-----------: | :----------------------: |
|  7   |   应用层   |   用户接口，提供网络服务    | 数据（Data）  |   HTTP, FTP, DNS, SMTP   |
|  6   |   表示层   |   数据格式转换、加密/解密   | 数据（Data）  |   SSL/TLS, JPEG, ASCII   |
|  5   |   会话层   |  建立、管理、终止会话连接   | 数据（Data）  |       NetBIOS, RPC       |
|  4   |   传输层   | 端到端数据传输，可靠性控制  | 段（Segment） |         TCP, UDP         |
|  3   |   网络层   | 路由寻址，跨网络传输数据包  | 包（Packet）  |     IP, ICMP, 路由器     |
|  2   | 数据链路层 | 局域网内帧传输，MAC地址管理 |  帧（Frame）  |  Ethernet, MAC, 交换机   |
|  1   |   物理层   |     物理介质传输比特流      |  比特（Bit）  | 电缆、光纤、网卡、集线器 |

### 2. 各层核心功能

**物理层**

- **作用**：通过物理介质（如电缆、光纤）传输原始比特流（0和1）。
- **关键设备**：网卡（NIC）、集线器（Hub）、中继器（Repeater）。
- **示例**：定义电压、接口类型（如RJ45）、传输速率（如100Mbps）。

**数据链路层（Date Link Layer）**

- **作用**：将比特流组织成帧（Frame），通过MAC地址实现局域网内设备通信。
- **子层**：
  1. **MAC子层**：控制物理介质的访问（如CSMA/CD）。
  2. **LLC子层**：流量控制和错误校验。
- **关键设备**：交换机（Switch）。

**网络层（Network Layer）**

- **作用**：通过IP地址实现跨网络的数据包路由和转发。
- **核心协议**：IPv4/IPv6、ICMP（用于Ping）、路由协议（如OSPF、BGP）。
- **关键设备**：路由器（Router）。

**传输层（Transport Layer）**

- **作用**：确保端到端的数据传输可靠性。
  1. **TCP**：面向连接，提供可靠传输（如文件下载）。
  2. **UDP**：无连接，低延迟（如视频流、DNS查询）。

 **会话层（Session Layer）**

- **作用**：管理通信会话（建立、维护、终止连接）。
- **示例**：断点续传、会话身份验证。

**表示层（Presentation Layer）**

- **作用**：数据格式转换（如加密、压缩、字符编码）。
- **典型技术**：SSL/TLS（加密）、JPEG（图像压缩）、ASCII/Unicode（字符编码）。

**应用层（Application Layer）**

- **作用**：直接为用户应用程序提供网络服务接口。
- **常见协议**：
  1. **HTTP**：网页浏览。
  2. **FTP**：文件传输。
  3. **SMTP**：电子邮件发送。
  4. **DNS**：域名解析。

### 3. 实际意义

- **故障排查**：逐层定位问题（如物理层检查网线，网络层检查IP配置）。
- **协议设计**：各层协议独立发展（如HTTP无需关心底层如何传输）。
- **设备分工**：明确设备作用（如交换机处理数据链路层，路由器处理网络层）。

### 4. 数据封装与解封装

数据从发送端到接收端的过程：

- **封装（发送端）**：

  应用层数据 → 传输层添加TCP头 → 网络层添加IP头 → 数据链路层添加帧头/尾 → 物理层转为比特流。

- **解封装（接收端）**：

  物理层接收比特流 → 数据链路层剥离帧头 → 网络层剥离IP头 → 传输层剥离TCP头 → 应用层获取原始数据。

## 三：TCP / IP 模型

### 1. 分层模型详解

**应用层（Application Layer）**

- **核心功能**：直接面向用户应用程序，定义数据格式与交互规则。
- **关键协议**：
  1. **HTTP/HTTPS**：用于网页传输，HTTPS通过TLS/SSL加密。
  2. **DNS**：将域名（如`www.example.com`）解析为IP地址，采用UDP/TCP端口53。
  3. **SMTP/POP3/IMAP**：邮件发送（SMTP）与接收（POP3/IMAP）。
  4. **FTP/SFTP**：文件传输，SFTP基于SSH加密。
  5. **DHCP**：动态分配IP地址，避免手动配置。
- **数据单元**：消息（Message）或应用层PDU（协议数据单元）。

**传输层（Transport Layer）**

- **核心功能**：提供端到端（进程到进程）的可靠或高效传输。
- **TCP（传输控制协议）**：
  1. **特点**：
     - 面向连接：通过三次握手建立连接（SYN, SYN-ACK, ACK）。
     - 可靠性：确认（ACK）、超时重传、数据校验和（Checksum）。
     - 流量控制：滑动窗口机制，防止接收方缓冲区溢出。
     - 拥塞控制：慢启动、拥塞避免、快速重传（如收到3个重复ACK）。
  2. **首部格式**（20字节基础）：
     - 源/目的端口（16位）、序列号（32位）、确认号（32位）、窗口大小（16位）等。
- **UDP（用户数据报协议）**：
  1. **特点**：
     - 无连接：直接发送数据，无需建立连接。
     - 低延迟：首部仅8字节（源/目的端口、长度、校验和）。
     - 无拥塞控制：适用于实时应用（如VoIP、在线游戏）。
  2. **典型场景**：DNS查询、视频流媒体、物联网传感器数据。

**网络层（Internet Layer）**

- **核心功能**：实现数据包的路由与寻址，跨越不同网络。
- **IP协议（Internet Protocol）**：
  1. **IPv4**：
     - 32位地址（如`192.168.1.1`），采用点分十进制表示。
     - 地址耗尽问题：通过NAT（网络地址转换）和CIDR（无类别域间路由）缓解。
  2. **IPv6**：
     - 128位地址（如`2001:0db8:85a3::8a2e:0370:7334`），支持更多设备。
     - 改进：简化首部格式、内置安全扩展（IPsec）、无状态地址自动配置（SLAAC）。
  3. **数据单元**：数据报（Datagram）。
- **辅助协议**：
  1. **ICMP（Internet控制报文协议）**：用于网络诊断（如`ping`、`traceroute`）。
  2. **ARP（地址解析协议）**：将IP地址映射为MAC地址（链路层）。
  3. **路由协议**：
     - **OSPF**（开放最短路径优先）：内部网关协议（IGP），基于链路状态。
     - **BGP**（边界网关协议）：外部网关协议（EGP），管理跨AS（自治系统）路由。

**链路层（Link Layer）**

- **核心功能**：在物理介质（电缆、光纤、无线电波）上传输原始比特流。
- **关键技术与协议**：
  1. **以太网（Ethernet）**：使用MAC地址（如`00:1A:2B:3C:4D:5E`）标识设备，帧结构包含前导码、目的/源MAC、类型字段（如IPv4为`0x0800`）、数据及CRC校验。
  2. **Wi-Fi（IEEE 802.11）**：无线局域网标准，支持CSMA/CA（载波侦听多路访问/冲突避免）。
  3. **PPP（点对点协议）**：用于拨号或直接设备间通信。
- **数据单元**：帧（Frame）。

### 2. 数据传输流程

**封装（Encapsulation）**

数据从应用层到链路层的封装过程：

1. **应用层**：生成原始数据（如HTTP请求）。
2. **传输层**：添加TCP/UDP首部（包含端口号、序列号等）。
3. **网络层**：添加IP首部（源/目的IP地址、TTL等）。
4. **链路层**：添加帧头（MAC地址）和帧尾（CRC校验）。

**分用（Demultiplexing）**

接收方逐层解析数据：

1. **链路层**：校验CRC，剥离帧头，将数据报传递给网络层。
2. **网络层**：检查IP地址，决定转发或上传至传输层。
3. **传输层**：根据端口号将数据交给对应应用进程。

### 3. 关联机制

**TCP连接管理**

- 三次握手建立连接：

  1. 客户端→服务端：发送SYN（seq=x）。
  2. 服务端→客户端：回复SYN-ACK（seq=y, ack=x+1）。
  3. 客户端→服务端：发送ACK（ack=y+1）。

  - **目的**：同步初始序列号，协商窗口大小等参数。

- 四次挥手释放连接：

  1. 主动方→被动方：发送FIN（seq=u）。
  2. 被动方→主动方：回复ACK（ack=u+1）。
  3. 被动方→主动方：发送FIN（seq=v）。
  4. 主动方→被动方：回复ACK（ack=v+1）。

  - **原因**：TCP支持半关闭状态，确保双方数据发送完毕。

**IP路由与NAT**

- **路由表**：路由器根据目标IP前缀选择下一跳，最长前缀匹配优先。
- **NAT（网络地址转换）**：
  1. **功能**：将私有IP（如`192.168.x.x`）映射为公网IP，解决IPv4地址不足。
  2. **类型**：静态NAT（一对一）、动态NAT（地址池）、PAT（端口转换，多对一）。

**ARP与MAC寻址**

- **ARP请求/响应**：
  1. 主机A广播ARP请求：“谁的IP是`192.168.1.2`？”。
  2. 主机B单播回复：“我的MAC是`00:1A:2B:3C:4D:5E`。”。
- **ARP缓存表**：存储IP-MAC映射，减少重复查询。

## 四：数据链路层详解

### 1. 核心功能

**物理寻址（MAC地址）**

- 每个网络设备（如网卡）拥有唯一的**MAC地址**（如`00:1A:2B:3C:4D:5E`），用于在本地网络中标识设备。
- **地址解析协议（ARP）**：将IP地址映射为MAC地址（通过广播请求和单播响应）。

**数据成帧（Framing）**

- 将网络层传递的IP数据报封装为**帧**，添加帧头（源/目的MAC地址）和帧尾（校验码）。
- 帧的格式需适应不同物理介质（如以太网、Wi-Fi）。

**错误检测与纠正**

- **CRC（循环冗余校验）**：通过帧尾的校验码检测传输中的比特错误，丢弃错误帧。
- 部分协议支持**纠错码**（如海明码），但多数依赖上层协议（如TCP）重传。

**流量控制**

- 防止接收方因处理速度不足导致数据丢失，例如：
  - **停顿协议（Stop-and-Wait）**：发送一帧后等待确认。
  - **滑动窗口协议**：允许连续发送多帧，提升效率。

**介质访问控制（MAC）**

- 协调多设备共享同一物理介质的访问，避免冲突：
  - **CSMA/CD**（载波侦听多路访问/冲突检测）：用于以太网，检测冲突后重发。
  - **CSMA/CA**（载波侦听多路访问/冲突避免）：用于Wi-Fi，通过ACK和随机退避减少冲突。

### 2. 常见协议与技术

#### **以太网（Ethernet）**

- **帧结构**：

  |        字段         |                       说明                        |
  | :-----------------: | :-----------------------------------------------: |
  |   前导码（7字节）   |                 同步接收方时钟。                  |
  |    SFD（1字节）     |           帧起始定界符（`10101011`）。            |
  |  目的MAC（6字节）   |                目标设备的MAC地址。                |
  |   源MAC（6字节）    |                  发送方MAC地址。                  |
  |    类型（2字节）    | 上层协议类型（如IPv4为`0x0800`，ARP为`0x0806`）。 |
  | 数据（46-1500字节） |     携带IP数据报（最小46字节，不足需填充）。      |
  |    CRC（4字节）     |              校验码，检测传输错误。               |

  

- **特点**：

  - 支持多种速率（10Mbps、1Gbps、10Gbps等）和介质（双绞线、光纤）。
  - 使用**交换机**实现全双工通信，避免冲突（传统集线器已被淘汰）。

#### Wi-Fi（IEEE 802.11）

- **帧结构**：
  - 包含MAC头（控制帧类型、地址）、数据载荷和CRC。
  - 支持三种地址类型：源地址、目的地址、AP（接入点）地址。
- **关键技术**：
  - **CSMA/CA**：发送数据前先监听信道，空闲时发送，否则随机等待。
  - **RTS/CTS**（可选）：减少隐藏终端问题（如设备A和C无法直接通信，但均连接至B）。
  - **ACK机制**：接收方需确认帧的接收，否则发送方重传。

#### PPP（点对点协议）

- **用途**：用于拨号上网、路由器间直连等点对点链路。
- **特点**：
  - 支持身份验证（如PAP、CHAP协议）。
  - 封装多种网络层协议（IP、IPX等）。
  - 帧结构简单，无MAC地址（因仅两点通信）。

### 3. 关键机制

#### **ARP协议流程**

- **场景**：主机A（IP: 192.168.1.1）需向主机B（IP: 192.168.1.2）发送数据，但未知B的MAC地址。
- **ARP请求**（广播）：
  - A发送广播帧，询问“谁的IP是192.168.1.2？”。
  - 目标MAC为`FF:FF:FF:FF:FF:FF`，局域网内所有设备均接收。
- **ARP响应**（单播）：
  - B回复单播帧，告知A自己的MAC地址。
  - A将B的IP-MAC映射存入**ARP缓存表**（有效期通常几分钟）。

#### **MTU与分片**

- **MTU（最大传输单元）**：数据链路层可传输的最大帧长度（如以太网为1500字节）。
- **分片处理**：
  - 若IP数据报超过MTU，网络层（IP协议）负责分片。
  - 接收方重组分片，但分片会增加延迟和丢包风险（现代网络通常避免分片，通过**路径MTU发现**确定最小MTU）。

#### **错误处理**

- **CRC校验**：接收方计算帧的CRC值，若与帧尾不匹配，直接丢弃该帧。
- **纠错机制**：Wi-Fi等无线协议可能使用前向纠错（FEC），在帧中添加冗余数据，允许接收方自行修复少量错误。

### 4. 数据链路层与物理层的关系

- **数据链路层**：定义帧格式、寻址和错误控制，依赖物理层实现比特流传输。
- **物理层**：负责将帧转换为电信号、光信号或无线电波（如网卡、光纤模块、天线）。

## 五：网络层详解

### 1. 核心协议与功能

#### **IP协议（Internet Protocol）**

- **作用**：为数据包提供**逻辑寻址**（IP地址）和**路由选择**。
- **版本**：
  1. **IPv4**：
     - 32位地址（如`192.168.1.1`），总量约42亿，通过NAT和CIDR缓解地址短缺。
     - **数据报格式**：
       1. 首部（20字节+可选字段）：包含TTL（生存时间）、协议类型（如TCP/UDP）、源/目的IP等。
       2. 数据：承载传输层报文（如TCP段或UDP数据报）。
  2. **IPv6**：
     - 128位地址（如`2001:0db8:85a3::8a2e:0370:7334`），几乎无限地址空间。
     - **改进**：
       1. 简化首部（固定40字节，无分片字段）。
       2. 内置IPsec加密与身份验证。
       3. 支持无状态地址自动配置（SLAAC）。

#### **辅助协议**

- **ICMP（Internet控制报文协议）**：
  1. 用于网络诊断与错误报告（如`ping`基于ICMP Echo Request/Reply）。
  2. 报告网络问题（如目标不可达、超时）。
- **路由协议**：
  1. **OSPF（开放最短路径优先）**：内部网关协议（IGP），基于链路状态算法，适用于企业内网。
  2. **BGP（边界网关协议）**：外部网关协议（EGP），管理跨自治系统（AS）的路由，支撑互联网核心路由。

### 2. 关键机制

#### **IP寻址与子网划分**

- **IP地址结构**：
  1. **网络号 + 主机号**：通过子网掩码（如`255.255.255.0`）区分网络与主机部分。
  2. **CIDR（无类别域间路由）**：取代传统A/B/C类地址，支持灵活划分（如`192.168.1.0/24`表示前24位为网络号）。
- **私有地址与NAT**：
  1. **私有IP范围**：`10.0.0.0/8`、`172.16.0.0/12`、`192.168.0.0/16`，用于局域网内。
  2. **NAT（网络地址转换）**：
     - **功能**：将私有IP映射为公网IP，实现多设备共享单一公网IP。
     - **类型**：
       1. **静态NAT**：一对一映射（如将`192.168.1.2`映射为`203.0.113.5`）。
       2. **PAT（端口地址转换）**：多对一映射，通过端口号区分会话（常见于家庭路由器）。

#### **路由与转发**

- **路由表**：

  1. 每台路由器维护一张表，记录目标网络与下一跳的映射。

  2. **表项示例**：

     | 目标网络       | 下一跳      | 接口 | 度量值 |
     | -------------- | ----------- | ---- | ------ |
     | 192.168.1.0/24 | 直接连接    | eth0 | 0      |
     | 0.0.0.0/0      | 203.0.113.1 | eth1 | 1      |

- **路由选择原则**：

  1. **最长前缀匹配**：优先选择子网掩码最长的路由条目。
  2. **动态路由协议**：OSPF通过计算最短路径树，BGP基于策略选择最优路径。

#### **分片与重组**

- **MTU（最大传输单元）**：数据链路层帧的最大载荷（如以太网为1500字节）。
- **分片场景**：
  1. 当IP数据报大小超过MTU时，路由器将其分割为多个分片。
  2. 每个分片携带**标识符、偏移量、MF标志（More Fragments）**。
- **重组**：由目标主机根据分片信息重新组装原始数据报。
- **现代优化**：通过**路径MTU发现（PMTUD）**，源主机主动探测路径最小MTU，避免分片。

### 3. IPv4 与 IPv6 对比

|    特性    |                IPv4                 |                IPv6                 |
| :--------: | :---------------------------------: | :---------------------------------: |
|  地址长度  |            32位（4字节）            |           128位（16字节）           |
|  地址表示  |    点分十进制（如`192.168.1.1`）    | 冒号分隔十六进制（如`2001:db8::1`） |
| 首部复杂度 | 包含可选字段，可变长度（20-60字节） |       固定40字节，无选项字段        |
|   安全性   |       依赖外部协议（如IPsec）       |            内置IPsec支持            |
|  地址配置  |           DHCP或手动配置            |     支持SLAAC（无状态自动配置）     |

### 4. 网络层安全与挑战

**常见攻击**

- **IP欺骗（Spoofing）**：伪造源IP发起DDoS攻击或绕过认证。
- **分片攻击**：发送恶意分片耗尽目标资源。
- **路由劫持**：通过伪造BGP路由条目劫持流量。

**防护措施**

- **IPsec**：为IP层提供加密、完整性验证与抗重放保护（IPv6原生支持）。
- **过滤与ACL**：路由器配置访问控制列表（ACL），拦截非法IP或分片。
- **RPKI（资源公钥基础设施）**：验证BGP路由宣告的合法性，防止路由劫持。