(一)
IP地址分类与子网掩码有关计算
一、IP地址
1、IP地址基本概念
IP地址在网络层将不同的物理网络地址统一到了全球唯一的IP地址上(屏蔽物理网络差异)，是唯一标识互联网上计算机的逻辑地址(相当于手机号码，可以通过唯一的手机号码找到手机)，所以IP地址也被称为互联网地址(可见其重要性)。
2、IP地址格式
我们目前常用的IPv4中规定，IP地址长度为32位二进制，在表示时，一般将32位地址拆分为4个8位二进制，再转为4个十进制数表示，每个数字之间用点隔开，如127.0.0.1(localhost)，这种描述方式被称为点-数表示法。
IP地址层次：分为网络号和主机号两个层次。网络号表示主机所属网络，主机号表示主机本身。网络号与主机号的位数与IP地址分类有关。
3、IP地址分配
IP地址分配的基本原则是：要为同一网络(子网、网段)内不同主机分配相同的网络号，不同的主机号。
4、IP地址常见分类
A类IP地址
一个A类IP地址由1字节的网络地址和3字节主机地址组成，网络地址的最高位必须是0， 地址范围从1.0.0.0 到126.0.0.0。可用的A类网络有126个，每个网络能容纳1亿多个主机。
B类IP地址
一个B类IP地址由2个字节的网络地址和2个字节的主机地址组成，网络地址的最高位必须是10，地址范围从128.0.0.0到191.255.255.255。可用的B类网络有16382个，每个网络能容纳6万多个主机 。
C类IP地址
一个C类IP地址由3字节的网络地址和1字节的主机地址组成，网络地址的最高位必须是110。范围从192.0.0.0到223.255.255.255。C类网络可达209万余个，每个网络能容纳254个主机。
D类地址用于多点广播(Multicast)。
D类IP地址第一个字节以1110开始，它是一个专门保留的地址。它并不指向特定的网络，目前这一类地址被用在多点广播(Multicast)中。多点广播地址用来一次寻址一组计算机，它标识共享同一协议的一组计算机。
E类IP地址
以llll0开始，为将来使用保留。
5、特殊的IP地址
**受限的广播地址：**32位全1的IP地址，只能做目的地址，用于向本网内部所有主机发送数据包(路由器拒绝向外网发送广播，隔离数据包在本网内)。
直接广播地址：网络号全1，只能作目的地址，用于向目标网内所有主机发送数据包(路由器接受向外网转发数据包，意为广播在全网有效)，如C类IP所有主机255.255.255.主机号、B类IP所有主机255.255.主机号。
**本网络本主机地址：**32位全零的IP地址对应于当前主机，只能做源地址。
本网特定主机地址：网络号全零的IP地址表示本网络内的特定主机(路由器拒绝目的地址为本网特定主机的数据包，意为只能向本网内特定主机发送数据包)，只能做目的地址。
环回地址就是网络ID为127的IP地址，用于一台主机的客户端与服务器端通过TCP\IP进行通信或者本机进程间通信，一般在自己的主机上进行软件开发测试时候会用到的localhost(127.0.0.1)就是环回地址。
在IP地址3种主要类型里，各保留了3个区域作为私有地址，其地址范围如下：
A类地址：10.0.0.0～10.255.255.255
B类地址：172.16.0.0～172.31.255.255
C类地址：192.168.0.0～192.168.255.255
二、子网掩码
子网掩码 又叫网络掩码、地址掩码
上面我们说到IP地址分为网络号与主机号，但是路由如何区分网络号与主机号呢就需要通过子网掩码。子网掩码必须与IP地址结合使用，A、B、C类的子网掩码分别为255.0.0.0，255.255.0.0与255.255.255.0(网络号字节为255，主机号字节为0)。
也就是说给你一个IP地址，那么怎么知道它的网络号和主机号各是多少位呢
如果不指定，就不知道哪些位是网络号、哪些是主机号，这就需要通过子网掩码来实现
子网掩码的重要作用：就是将某个IP地址划分成网络地址和主机地址两部分。
子网掩码的位数就是网络的位数。A类网络的网络位数是8位，子网掩码就是255.0.0.0，B类网络的网络位数是16位，子网掩码是255.255.0.0，C类是24位，255.255.255.0。
以C类IP地址192.168.1.2为例使用子网掩码划分网络号与主机号。
当然，在计算主机号时，可不用取反子网掩码二进制，直接令其与IP地址异或即可。
例1 不同子网下的主机能否直接通信(是否在同一网络/段下)
假设两个IP地址分别是172.20.0.18和172.20.1.16，子网掩码都是255.255.255.0。
我们可以知道两者的网络标识分别是172.20.0和172.20.1，无法直接通信，也就无法PING通。要想能相互通信，需要将子网掩码改成255.255.0.0
例2 如何理解172.20.1.0/26
上文中的26代表主机ID的掩码地址长度，从前往后有26位，即子网掩码的地址是255.255.255.192。
子网掩码还可以用来将网络划分为更小的子网，将IP的两极结构扩充成三级结构，节约地址空间，减轻路由器负担。
子网掩码的划分
如果要将一个网络划分为多个子网，如何确定子网掩码步骤如下：
第一步：将要划分的子网数目转换为2的m次方。如果不是恰好是2的多少次方，则按照取大原则。
第二步：将上一步确定的幂m按照高序占用主机地址前m位，再转化为十进制。如m为3，表示主机位中有3位被划分为网络标识号占用，因网络标识号都为1，故如是C类地址，主机号对应的字节变为11100000，转化为十进制后为224，故子网掩码为255.255.255.224，如果是B类网络，则子网掩码为255.255.224.0。
网关
网关(Gateway)又称网间连接器，就是一个网络连接到另一个网络的关口。
网关实质上是一个网络通向其他网络的IP地址。比如有网络A和网络B，网络A的IP地址范围为192.168.1.1~192. 168.1.254，子网掩码为255.255.255.0;网络B的IP地址范围为192.168.2.1~192.168.2.254，子网掩码为255.255.255.0。在没有路由器的情况下，两个网络之间是不能进行TCP/IP通信的，即使是两个网络连接在同一台交换机(或集线器)上，TCP/IP协议也会根据子网掩码(255.255.255.0)判定两个网络中的主机处在不同的网络里。而要实现这两个网络之间的通信，则必须通过网关。如果网络A中的主机发现数据包的目的主机不在本地网络中，就把数据包转发给它自己的网关，再由网关转发给网络B的网关，网络B的网关再转发给网络B的某个主机(如附图所示)。网络B向网络A转发数据包的过程。
所以说，只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。那么这个IP地址是哪台机器的IP地址呢网关的IP地址是具有路由功能的设备的IP地址，具有路由功能的设备有路由器、启用了路由协议的服务器(实质上相当于一台路由器)、代理服务器(也相当于一台路由器)。
(二)
在计算机和网络化、信息化高速发展的今天，网络安全对一个国家很多领域都是牵一发而动全身的，网络安全已经成为了人们共同关注的内容。这里我们来介绍下关于网络安全技术的基础知识。网络安全技术主要包括防火墙、VPN、IDS、防病毒、身份认证、数据加密、安全审计、网络隔离等。
防火墙技术
防火墙是一种较早使用、实用性很强的网络安全防御技术，它阻挡对网络的非法访问和不安全数据的传递，使得本地系统和网络免于受到许多网络安全的威胁。在网络安全中，防火墙主要用于逻辑隔离外部网络与受保护的内部网络。防火墙主要是实现网络安全的安全策略，而这种策略是预先定义好的，所以是一种静态安全技术。在策略中涉及的网络访问行为可以实施有效管理，而策略之外的网络访问行为则无法控制。
防火墙将网络划分为三个不同的区域：内部网络(可信区域，防火墙要保护的对象，包括企业全部的网络设备和用户主机)、外部网络(非可信区域，防火墙要防护的对象，包括外部的网络设备和主机)、DMZ(隔离区/非军事化区域，从企业内部网络中划分出来的一个小区域，为Internettig某些信息服务，包含Web服务器、邮件服务器、FTP服务器、外部DNS服务器等)。
入侵检测与防护
入侵检测与防护的技术主要有两种：入侵检测系统和入侵防护系统。
入侵检测系统(IDS)注重的是网络安全状况的监管，通过监视网络或系统资源，寻找违反安全策略的行为或攻击对象，并发出报警。因此绝大多数IDS系统是被动的。入侵防护系统(IPS)倾向于提供主动防护，注重对入侵行为的控制。IPS通过直接嵌入到网络流量中实现这一功能，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包以及所有来自同一数据流的后续数据包，都能在IPS设备中被清除掉。
入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。如果把防火墙比喻是小区的保安，在门口拦截一切可疑人等，而入侵检测像是小区里的监控，监控在小区里发生的异常。当攻击发生时，入侵检测系统只能发出警报，它并不能防止攻击的发生。而入侵防御系统却能有效地组织攻击行为的发生，因为所有的网络流量在达到目标服务器之前，都需要流经入侵防御系统。
网络入侵方法
入侵检测的典型网络入侵方法包括：
1) 拒绝服务器攻击:阻止或拒绝合法使用者存取网络服务器的一种破坏性攻击方式。广义上讲，任何能够导致用户的服务器不能正常提供服务的攻击都属于拒绝服务攻击，比如向对方的计算机和路由器等发送不正当的数据使其陷入不能使用。
2) IP地址欺骗:产生的IP数据包为伪造的源IP地址，以便冒充其他系统或发件人的身份。这是一种黑客的攻击形式，黑客使用一台计算机上网，而借用另外一台计算机的IP地址，从而冒充另外一台机器与服务器打交道。
3) 会话劫持:结合了嗅探以及欺骗技术在内的攻击手段。例如在一次正常的会话过程中，攻击者作为第三方参与到其中，他可以在正常数据包中插入恶意数据，也可以在双方的会话当中进行监听，甚至可以是代替某一方主机接管会话。
蜜罐技术
我们介绍的防火墙和入侵检测技术、加密及数据恢复技术等均为被动式的防护模式，而蜜罐(Honeypot)技术属于新型主动防御技术，这项技术可有效地改善以往防护技术的纰漏。蜜罐系统是一个包含漏洞的诱骗系统，通常使其伪装成一个看似有利用价值的网络、数据、电脑系统等，并且故意设置了可被利用的Bug或者系统漏洞，来吸引目标的攻击。因为我们的蜜罐实质并没有提供有价值的服务，所以任何对蜜罐的访问尝试操作都是可疑的，通过蜜罐中的监控软件，我们可以监控到入侵者的行为，收集其入侵信息，并快速做出反制操作。蜜罐还可以拖延入侵者攻击行为，让他在蜜罐上消耗大量的时间等，所以蜜罐作为主动防御技术，对于日后网络信息安全，可发挥不可或缺的作用。
VPN技术
VPN(虚拟专用网络)连接由客户传输介质和服务器三部分组成，VPN的连接不是采用物理的传输介质，而是使用称之为隧道的技术作为传输介质，隧道建立在公共网络或专用网络基础之上。通过对网络数据的封包和加密传输，在公网上传输私有数据，使公网达到私有网络的安全级别。常见的隧道技术包括：点对点隧道协议PPTP、第二层隧道协议L2TP和IP安全协议IPSec。
数据加密技术
数据加密是利用加密技术对信息进行加密，实现信息隐蔽，从而起到保护信息的安全的作用。加密是实现信息保密性的方法，不能防病毒，智能防止未授权的人看到。加密技术分为对称密钥算法和非对称密钥算法。
对称密钥算法是加密和解密用同一个密钥。优点是加解密速度快，密钥管理简单，适宜一对一的信息加密传输过程。缺点是加密算法简单，密钥分发困难。
非对称密钥算法是公钥加密，私钥解密。优点是加密算法复杂，密钥长度任意，适宜一对多的信息加密交换。缺点是加解密速度慢，密钥管理复杂。
身份认证技术
身份认证技术是在计算机网络中确认操作者身份的过程而产生的解决方法。计算机网络世界中一切信息包括用户的身份信息都用一组特定的数据来表示，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。身份认证技术用于保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应
常见的认证形式包括短信密码、动态口令、数字签名等。数字签名可以确保电子文档的真实性并可以进行身份验证，以确认其内容是否被篡改后伪造。完善的数字签名体系应满足的条件包括：签名者事后不能抵赖自己的签名;任何其他人不能伪造签名;如果当事人的双方关于签名的真伪发生争执，能够在公正的仲裁者面前通过验证签名来确认其真伪。
认证和加密的区别在于：加密用以确保数据的保密，阻止对手的被动攻击，如截取、窃听等;认证用以确认保卫发送者和接收者的真实性以及报文的完整性，阻止对手的主动攻击，如冒充、篡改、重播等。
认证和数字签名技术都是确保数据真实性的措施，但两者也有明显的区别。认证总是基于某种收发双方共享的保密数据来认证被鉴别对象的真实性，不准许第三者验证，而数字签名中用于验证签名的数据是公开的，允许第三者验证。数字签名具有发送方不能抵赖、接收方不能伪造和具有在公证人前解决纠纷的能力，而认证则不一定具备。
安全审计技术
安全审计系统采用数据挖掘和数据仓库技术，对历史数据进行分析、处理和追踪，审查主体对客体进行访问和使用情况，保证安全规则被正确执行，实现在不同网络环境中终端对终端的监控和管理，必要时通过多种途径向管理员发出警告或自动采取排错措施。因此信息安全审计系统被比喻为黑匣子和监护神。安全审计系统属于安全管理类产品，包括主机类、网络类、数据库类和业务应用系统级的审计产品。
安全审计系统主要作用包括：对潜在的攻击者起到震慑和警告作用;对于已经发生的系统破坏行为提供有效的追究证据;为系统安全管理员提供有价值的系统使用日志，从而帮助系统安全管理员及时发现系统入侵行为或潜在的系统漏洞;为系统安全管理员提供系统运行的统计日志，使系统安全管理员能够发现系统性能上的不足或需要改进与加强的地方。
入侵检测和安全审计是一对因果关系，前者获取的记录结果是后者审核分析资料的来源，任何一方都不能脱离另一方单独工作。作为一个完整的安全审计需要入侵检测系统实时、准确提供基于网络、主机(服务器、客户端)和应用系统的审核分析资料。
(三)
一、最主要的三种网络
(1)电信网络(电话网)，负责话音通信，也就是打电话、接听电话。
(2)有线电视网络，主要提供视频服务。
(3)计算机网络，主要是数据传输服务，也就是说是资源共享,其主要的服务就是因特网。
三种网络在各自的通信协议下传输信息，为用户提供通信服务。
二、计算机网络背景
20世纪40年代以来，人们就梦想能拥有一个世界性的信息库。在这个信息库中，信息不仅能被全球的人们存取，而且能轻松地链接到其他地方的信息，使用户可以方便快捷地获得重要的信息。因此，互联网应运而生。
internet泛着互联网;Internet是互联网的一种，称为因特网，但因特网并不是全球唯一的互联网络。例如在欧洲，跨国的互联网络就有欧盟网(Euronet)，欧洲学术与研究网(EARN)，欧洲信息网(EIN)，在美国还有国际学术网(BITNET)，世界范围的还有飞多网(全球性的BBS系统)等。
Internet提供的主要服务有万维网(WWW)、文件传输(FTP)、电子邮件(E-mail)、远程登录(Telnet)、手机(3GHZ)等。万维网联盟称为W3C。
万维网(WWW)常简称为Web。分为Web客户端和Web服务器程序。 WWW可以让Web客户端(浏览器)按照超文本传输协议(HTTP)访问浏览Web服务器上的页面。 WWW是一个由许多互相链接的超文本组成的系统，这些超文本可以通过互联网被访问。在这个系统中，每个有用的事物，称为一样资源;并且由一个全局统一资源标识符(URI)标识;这些资源通过超文本传输协议(Hypertext Transfer Protocol)传送给用户，而后者通过点击链接来获得资源。
三、因特网组成
因特网主要是由核心部分和边缘部分组成，网络核心部分是因特网中最复杂的部分。网络中的核心部分要向网络边缘中的大量主机提供连通性，使边缘部分中的任何一个主机都能够向其他主机通信(即传送或接收各种形式的数据)。
因特网的核心部分是由许多网络和把它们互连起来的路由器组成，而主机处在因特网的边缘部分。在因特网核心部分的路由器之间一般都用高速链路相连接，而在网络边缘的主机接入到核心部分则通常以相对较低速率的链路相连接。
在网络边缘的端系统中运行的程序之间的通信方式通常可划分为两大类：客户服务器方式(C/S方式)和对等方式(P2P方式)。还有一种浏览器服务器方式(B/S方式)是C/S方式的一种特例。
四、因特网中节点间信息传递方式
1、电路交换
电路交换首先在发送端和接收端建立连接，然后将报文传输过去，最后释放连接。 电路交换的三个阶段：建立连接、通信、释放连接。电路交换中通过交换机实现两个节点之间的通信。电信网络(电话网)使用的电路交换。
2、报文交换
在通信过程中，通信双方以报文为单位、使用存储-转发机制实现数据交互的通信方式，被称为报文交换。发送电报使用的报文交换。
3、分组交换
分组交换与报文交换一样都使用存储-转发机制，不过分组交换将报文分成多个分组，以分组为单位、使用存储-转发机制实现数据交互。在发送端，先把较长的报文划分成较短的、固定长度的数据段， 每一个数据段前面添加上首部构成分组，各个分组依次发送到接收端，接收端接收到分组后，剥去首部，将其组装成还原成报文。计算机网络使用的分组交换。
计算机网络基本概念
21世纪的一些重要特性就是数字化、网络化和信息化，它是一个以网络为核心的信息时代。但要实现信息化就必须依靠完善的网络，因为网络可以非常迅速地传递信息。因此网络现在已经成为信息社会的命脉和发展知识经济的重要基础。
现代社会网络已经成为了我们生活中的不可或缺的一部分，internet，局域网，甚至手机通信的3G网，生活处处充满了网络的力量。媒体互联网，服务互联网和物理网构成了未来的互联网。在现代，没有人干预的智能网络也无处不在。我们能把所有物品通过射频识别信息传感设备与互联网连接起来，实现智能化地识别和管理。
这里所说的网络是指三网，即电信网络、有线电视网络和计算机网络。每种网络所带给我们的作用是不同的。如电信网络的用户可得到电话、电报以及传真等服务。有线电视网络的用户能够观看各种电视节目。计算机网络则可使用户能够通话，传送数据文件，以及从网络上查找各种有种资料。这三种网络在信息化过程中都起到十分重要的作用，但其中发展最快的并起到核心作用的就是计算机网络。而接下来的所有介绍都是围绕计算机网络展开的。
互联网起源于美国，美国国防部授权ARPANET进行研究的。起初先后建立了四个主网络节点：UCLA大学，斯坦福研究所，圣巴巴拉大学和犹他州力大学。但现在已经发展成为世界上最大的国际性计算机互联网。
计算机网络将两台或多台计算机通过连接介质和网络设备将它们连接在一起，以便在它们之间实现交换信息，共享资源，提高系统的处理能力。连接介质有如双绞线、光纤、同轴电缆等，而网络设备的发展由集线器、网桥、交换机、和路由器等。而多个网络之间的连接就构成了英特网。
计算机网络是发展和类别
一、计算机网络发展的三个阶段
第一个阶段20世纪60年代：分组交换网
1969年美国国防部创建的第一个分组交换完ARPANET最初只是一个单个的分组交换网并不是一个互联网络。所有要连接在ARPANET上的主机都直接与就近的节点集线器相连。
第二个阶段20世纪80年代：TCP/IP协议网
到70年代中期，人们已经意识到不可能仅使用一个单独的网络来满足所有的通信问题，于是ARPA开始研究多种网络互连技术，也就导致了后来的互联网出现。1983年TCP/IP协议成为ARPANET上的标准协议，使得所有使用TCP/IP协议的计算机都能利用互联网相互通信。因而人们就把1983年作为因特网的诞生时间。
第三个阶段20世纪90年代：万维网
互联网的迅猛发展始于90年代，由欧洲原子核研究组织开发的万维网WWW被广泛使用在互联网上，大大方便了广大非网络专业人员对网络的使用。从此之后不断发展慢慢造就了今天的Internet。
二、计算机网络的类别
广域网WAN(wide area network):作用范围通常几十到几千公里，也就是我们常常说的互联网。
城域网MAN(metropolitan area network):作用范围一般是一个城市，其作用距离约为5-50km。
局域网LAN(local area network): 局域网一般也可称为企业网，地理位置一般在1km左右。由一定数量的终端设备组合而成。
计算机网络的基础知识
1、计算机网络拓扑结构
网络拓扑模型大致有这么几种：星型、网型、树形、总线型和环形，其中最常用组网方式就是网型和树形结构。
2、Internet
由多台计算机通过传输介质连接在一起称之为网络，多个网络互连称之为互联网，而因特网(Internet:第一个字母要大写)是全球最大的互联网，起源于美国，连接在因特网上的计算机都称为主机(host)。
现在我们上网个人大部分都是使用ADSL拨号，而企业可能是专线或固定IP地址。而现代为我们提供这种上网方式的企业或机构，也称之为ISP(internet service provider)英特网服务提供商。并且在ISP之间也是多层次结构的网络。如图：
A跟B通信要经过本地ISP到第二层ISP到NAP到第一层ISP然后又转到NAP到第二层ISP到本地ISP最后到B主机。
在图中，最高级别的第一层ISP的服务面积最大一般能覆盖国家范围，并且还拥有高速主干网。第二层ISP和一些大公司都是第一层ISP的用户。第三层ISP又称本地ISP，它们是第二层ISP的用户。为了使不同层次ISP经营的网络都能够互通，在1994年开始创建了四个网络接入点NAP(network access point)，分别由四个电信公司经营。网络接入点NAP用来交换因特网上的流量。在NAP中安装有性能很好的交换设施(例如:使用ATM交换技术)。美国的NAP的数量已达到十几个。NAP可以算是最高等级的接入点。它主要是向各个ISP提供交换设施，使他们能够互相通信。
3、中国互联网发展
最早着手建设专用计算机广域网的是铁道部。在1980年即开始进行计算机联网实验。1989年11月我国第一个公用分组交换网CNPAC建成运行。在20世纪80年代后期，公安、银行、军队以及其他一些部门也相继建立了各自的专用计算机广域网。另外我国是1994年4月20日用64kb/s专线正式接入因特网。从此，我国被国际上正式承认为接入因特网的国家。同年5月中国科学院高能物理研究所设立了我国的第一个万维网服务器。同年9月中国公用计算机互联网CHINANET正式启动。到目前为止我国陆续建造了基于因特网技术的并可以和因特网互连的9个全国范围的公用计算机网络;如上图示。此外还有一个中国高速互连研究实验室NSFnet，是中国科学院、北京大学、清华大学等单位在北京中关村地区建造的为研究因特网新技术的高速网络。
查看全文
false