计算机网络是由多台计算机组成的系统，与传统的单机系统、多机系统相比有很大的区别。计算机网络的结构、功能、组成以及实现技术更复杂，维护起来难度更大。本章简要介绍计算机网络的体系结构、网络应用、网络互连设备、网络构建、网络协议、网络应用、信息安全和安全方面的基本内容。

10.1 网络概述

计算机网络是计算机技术与通信技术相结合的产物，它实现了远程通信、远程信息处理和资源共享。经过几十年的发展，计算机网络已由早期的”终端-计算机网””计算机-计算机网”成为现代具有统一网络体系结构的计算机网络。

10.1.1 计算机网络的概念

1. 计算机网络的发展

计算机网络是计算机技术与通信技术日益发展和密切结合的产物，它的发展过程大致可以划分为以下 4 个阶段。

1) 具有通信功能的单机系统

该系统又称终端-计算机网络，是早期计算机网络的主要形式。它将一台计算机经通信线路与若干终端直接相连。美国于 20 世纪 50 年代建立的半自动地面防空系统 SAGE 就属于这一类网络。它把远距离的雷达和其他测量控制设备的信息通过通信线路送到一台旋风型计算机上进行处理和控制，首次实现了计算机技术与通信技术的结合。

2) 具有通信功能的多机系统

对终端-计算机网络进行改进：在主计算机的外围增加了一台计算机，专门用于处理终端的通信信息及控制通信线路，并能对用户的作业进行某些预处理操作，这台计算机称为”前端处理机”或”通信控制处理机”。在终端设备较集中的地方设置一台集中器，终端通过低速线路先汇集到集中器上，然后再用高速线路将集中器连到主机上，这就形成了多机系统。

3) 以共享资源为目的的计算机网络

具有通信功能的多机系统是计算机-计算机网络，它是由若干台计算机互连的系统，即利用通信线路将多台计算机连接起来，在计算机之间进行通信。该网络有两种结构形式：一种形式是主计算机通过通信线路直接互连的结构，其中主计算机同时承担数据处理和通信工作；另一种形式是通过通信控制处理机间接地把各主计算机连接的结构，其中通信处理机和主计算机分工不同，前者负责网络上各主计算机间的通信处理和控制，后者是网络资源的拥有者，负责数据处理，它们共同组成资源共享的计算机网络。20 世纪 70 年代，美国国防部高级研究计划局所研制的 ARPANET 是计算机-计算机网络的典型代表。最初该网络仅由 4 台计算机连接而成，到 1975 年，已连接 100 多台不同型号的大型计算机。ARPANET 成为第一个完善地实现分布式资源共享的网络，为计算机网络的发展奠定了基础。

在这期间，国际标准化组织（ISO）提出了开放系统互连参考模型 OSI/RM（Open System Interconnection Reference Model）。该模型定义了异种机连网所应遵循的框架结构。OSI/RM 很快得到了国际上的认可，并被许多厂商接受。由此使计算机网络的发展进入了新的阶段。

4) 以局域网及因特网为支撑环境的分布式计算机系统

局域网是继远程网之后发展起来的，它继承了远程网的分组交换技术和计算机的 I/O 总线结构技术。局域网的发展也促使计算机网络的模式发生了变革，即由早期的以大型机为中心的集中式模式转变为由微机构成的分布式计算机模式。

计算机网络的定义随网络技术的更新可从不同的角度给予描述。目前，人们已公认的有关计算机网络的定义是利用通信设备和线路将地理位置分散的、功能独立的自主计算机系统或由计算机控制的外部设备连接起来，在网络操作系统的控制下，按照约定的通信协议进行信息交换，实现资源共享的系统。

该定义中涉及的”资源”应该包括硬件资源（CPU、大容量的磁盘、光盘以及打印机等）和软件资源（语言编译器、文本编辑器、各种软件工具和应用程序等）。

2. 计算机网络的功能

计算机网络提供的主要功能有如下。

(1) 数据通信。通信或数据传输是计算机网络的主要功能之一，用于在计算机系统之间传送各种信息。利用该功能，地理位置分散的生产单位和业务部门可通过计算机网络连接在一起进行集中控制和管理，也可以通过计算机网络传送电子邮件，发布新闻消息及进行电子数据交换，极大地方便了用户，提高了工作效率。

(2) 资源共享。资源共享是计算机网络最有吸引力的功能。通过资源共享，可使网络中分散在异地的各种资源互通有无，分工协作，从而大大提高系统资源的利用率。资源共享包括软件资源共享和硬件资源共享。

(3) 负载均衡。在计算机网络中可进行数据的集中处理或分布式处理，一方面可以通过计算机网络将不同地点的主机或外设采集到的数据信息送往一台指定的计算机，在此计算机上对数据进行集中和综合处理，通过网络在各计算机之间传送原始数据和计算结果；另一方面，当网络中的某台计算机任务过重时，可将任务分派给其他空闲的多台计算机，使多台计算机相互协作，均衡负载，共同完成任务。

(4) 高可靠性。高可靠性指在计算机网络中的各台计算机可以通过网络彼此互为后备机，一旦某台计算机出现故障，故障机的任务就可由其他计算机代为处理，从而提高系统的可靠性。并且避免了单机无后备使用的情况下，计算机出现故障而导致系统瘫痪的现象，从而大大提高了系统的可靠性。

借助于计算机网络，在各种功能软件的支持下，人们可以进行高速的异地电子信息交换，并获得了多种服务，如新闻浏览和信息检索、传送电子邮件、多媒体电信服务、远程教育、网上营销、网上娱乐和远程医疗诊断等。

计算机网络按照数据通信和数据处理的功能可分为两层：内层通信子网和外层资源子网。通信子网的结点计算机和高速通信线路组成独立的数据系统，承担全网的数据传输、交换、加工和变换等通信处理工作，即将一台计算机的输出信息传送给另一台计算机。资源子网包括计算机、终端、通信子网接口设备、外部设备（如打印机、磁带机和绘图机等）及各种软件资源等，它负责全网的数据处理和向网络用户提供网络资源及网络服务。

通信子网和资源子网的划分，完全符合国际标准化组织所制定的开放式系统互连参考模型（OSI）的思想。其中，通信子网对应于 OSI 中的低三层（物理层、数据链路层、网络层），而资源子网对应于 OSI 中的高三层（会话层、表示层、应用层）。这种划分将通信子网的任务从主机中抽取出来，由通信子网中的设备专门解决数据传输和通信控制问题。而资源子网中的计算机可集中精力处理数据，从而提高主机效率和网络的整体性能。

10.1.2 计算机网络的分类

计算机网络的分类方式很多，按照不同的分类原则，可以得到各种不同类型的计算机网络。例如，按通信距离可分为广域网、局域网和城域网；按信息交换方式可分为电路交换网、分组交换网和综合交换网；按网络拓扑结构可分为星型网、树型网、环型网和总线网；按通信介质可分为双绞线网、同轴电缆网、光纤网和卫星网等；按传输带宽可分为基带网和宽带网；按使用范围可分为公用网和专用网；按速率可分为高速网、中速网和低速网；按通信传播方式可分为广播式和点到点式。

这里主要介绍根据计算机网络的覆盖范围和通信终端之间相隔的距离不同将其分为局域网、城域网和广域网三类的情况。

表 10-1 各类网络的特征参数

1. 局域网

局域网（Local Area Network，LAN）是指传输距离有限、传输速度较高、以共享网络资源为目的的网络系统。由于局域网投资规模较小，网络实现简单，故新技术易于推广。局域网技术与广域网相比发展迅速。局域网的特点如下。

(1) 分布范围有限。加入局域网中的计算机通常处在几千米的距离之内。通常，它分布在一个学校、一个企业单位，为本单位使用。一般称为”园区网”或”校园网”。

(2) 有较高的通信带宽，数据传输率高。一般为 1Mbps 以上，最高已达 1000Mbps。

(3) 数据传输可靠，误码率低。误码率一般为 $10^{-4} \sim 10^{-6}$。

(4) 通常采用同轴电缆或双绞线作为传输介质，跨楼寓时使用光纤。

(5) 拓扑结构简单、简洁，大多采用总线、星型和环型等，系统容易配置和管理。网上的计算机一般采用多路控制访问技术或令牌技术访问信道。

(6) 网络的控制一般趋向于分布式，从而减少了对某个结点的依赖，避免并减小了一个结点故障对整个网络的影响。

(7) 通常，网络归单一组织所拥有和使用，不受任何公共网络管理机构的规定约束，容易进行设备的更新和新技术的应用，以不断增强网络功能。

2. 城域网

城域网（Metropolitan Area Network，MAN）是规模介于局域网和广域网之间的一种较大范围的高速网络，一般覆盖临近的多个单位和城市，从而为接入网络的企业、机关、公司及社会单位提供文字、声音和图像的集成服务。城域网规范由 IEEE 802.6 协议定义。

3. 广域网

广域网（Wide Area Network，WAN）又称远程网，它是指覆盖范围广、传输速率相对较低、以数据通信为主要目的的数据通信网。广域网最根本的特点如下。

(1) 分布范围广。加入广域网中的计算机通常处在从数千米到数千千米的地方。因此，网络所涉及的范围可为市、地区、省、国家乃至世界。

(2) 数据传输率低。一般为几十兆位每秒以下。

(3) 数据传输的可靠性随着传输介质的不同而不同，若用光纤，误码率一般在 $10^{-6} \sim 10^{-11}$ 之间。

(4) 广域网常常借用传统的公共传输网来实现，因为单独建造一个广域网极其昂贵。

(5) 拓扑结构较为复杂，大多采用”分布式网络”，即所有计算机都与交换结点相连，从而实现网络中的任何两台计算机都可以进行通信。

广域网的布局不规则，使得网络的通信控制比较复杂。尤其是使用公共传输网，要求连接到网上的任何用户都必须严格遵守各种标准和规程。设备的更新和新技术的引用难度较大。广域网可将一个集团公司、团体或一个行业的各处部门和子公司连接起来。这种网络一般要求兼容多种网络系统（异构网络）。

10.1.3 网络的拓扑结构

网络拓扑结构是指网络中通信线路和结点的几何排序，用于表示整个网络的结构外貌，反映各结点之间的结构关系。它影响着整个网络的设计、功能、可靠性和通信费用等重要方面，是计算机网络十分重要的要素。常用的网络拓扑结构有总线型、星型、环型、树型和分布式结构等。

1. 总线型结构

总线型拓扑结构其特点为只有一条双向通路，便于进行广播式传送信息；总线型拓扑结构属于分布式控制，无须中央处理器，故结构比较简单；结点的增、删和位置的变动较容易，变动中不影响网络的正常运行，系统扩充性能好；结点的接口通常采用无源线路，系统可靠性高；设备少、价格低、安装使用方便；由于电气信号通路多，干扰较大，因此对信号的质量要求高；负载重时，线路的利用率较低；网上的信息延迟时间不确定，故障隔离和检测困难。

2. 星型结构

在星型结构中，使用中央交换单元以放射状连接到网中的各个结点。中央单元采用电路交换方式以建立所希望通信的两结点间专用的路径。通常用双绞线将结点与中央单元进行连接。其特点为维护管理容易，重新配置灵活；故障隔离和检测容易；网络延迟时间短；各结点与中央交换单元直接连通，各结点之间通信必须经过中央单元转换；网络共享能力差；线路利用率低，中央单元负荷重。

3. 环型结构

环型结构的信息传输线路构成一个封闭的环型，各结点通过中继器连入网内，各中继器间首尾相接，信息单向沿环路逐点传送。其特点为信息的流动方向是固定的，两个结点仅有一条通路，路径控制简单；有旁路设备，结点一旦发生故障，系统自动旁路，可靠性高；信息要串行穿过多个结点，在网中结点过多时传输效率低，系统响应速度慢；由于环路封闭，扩充较难。

4. 树型结构

树型结构是总线型结构的扩充形式，传输介质是不封闭的分支电缆。它主要用于多个网络组成的分级结构中，其特点同总线型网。

5. 分布式结构

分布式结构无严格的布点规定和形状，各结点之间有多条线路相连。其特点为有较高的可靠性，当一条线路有故障时，不会影响整个系统工作；资源共享方便，网络响应时间短；由于结点与多个结点连接，故结点的路由选择和流量控制难度大，管理软件复杂；硬件成本高。

广域网与局域网所使用的网络拓扑结构有所不同，广域网多用分布式或树型结构，而局域网常使用总线型、环型、星型或树型结构。

10.1.4 ISO/OSI 网络体系结构

计算机网络是相当复杂的系统，相互通信的两个计算机系统必须高度协调才能正常工作。为了设计这样复杂的计算机网络，人们提出了将网络分层的方法。分层可将庞大而复杂的问题转化为若干较小的局部问题进行处理，从而使问题简单化。

国际标准化组织在 1977 年成立了一个分委员会专门研究网络通信的体系结构问题，并提出了开放系统互连参考模型，它是一个定义异种计算机连接标准的框架结构。OSI 为连接分布式应用处理的”开放”系统提供了基础。所谓”开放”，是指任何两个系统只要遵守参考模型和有关标准就能够进行互连。OSI 采用了层次化结构的构造技术。

ISO 分委员会的任务是定义一组层次和每一层所完成的功能和服务。层次的划分应当从逻辑上将功能分组，层次应该足够多，应使每一层小到易于管理的程度，但也不能太多，否则汇集各层的处理开销太大。

1. ISO/OSI 参考模型

ISO/OSI 的参考模型共有 7 层，由低层至高层分别为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。

OSI 参考模型具有以下特性。

(1) 它是一种将异构系统互连的分层结构。 (2) 提供了控制互连系统交互规则的标准框架。 (3) 定义了一种抽象结构，而并非具体实现的描述。 (4) 不同系统上相同层的实体称为同等层实体。 (5) 同等层实体之间的通信由该层的协议管理。 (6) 相邻层间的接口定义了原语操作和低层向高层提供的服务。 (7) 所提供的公共服务是面向连接的或无连接的数据服务。 (8) 直接的数据传送仅在最低层实现。 (9) 每层完成所定义的功能，修改本层的功能并不影响其他层。

OSI/RM 中的 1～3 层主要负责通信功能，一般称为通信子网层。上三层（即 5～7 层）属于资源子网的功能范畴，称为资源子网层。传输层起着衔接上、下三层的作用。对各层的说明如下。

(1) 物理层（Physical Layer）。物理层提供为建立、维护和拆除物理链路所需的机械、电气、功能和规程的特性；提供有关在传输介质上传输非结构的位流及物理链路故障检测指示。

用户要传递信息就要利用一些物理媒体，如双绞线、同轴电缆等，但具体的物理媒体并不在 OSI 的 7 层之内，有人把物理媒体当作第 0 层，物理层的任务就是为它的上一层提供一个物理连接，以及它们的机械、电气、功能和过程特性。例如规定使用电缆和接头的类型，传送信号的电压等。在这一层，数据还没有被组织，仅作为原始的位流或电气电压处理，单位是位。

(2) 数据链路层（Data Link Layer）。数据链路层负责在两个相邻结点间的线路上无差错地传送以帧为单位的数据，并进行流量控制。每一帧包括一定数量的数据和一些必要的控制信息。和物理层相似，数据链路层要负责建立、维持和释放数据链路的连接。在传送数据时，如果接收点检测到所传数据中有差错，就要通知发送方重发这一帧。

(3) 网络层（Network Layer）。网络层为传输层实体提供端到端的交换网络数据功能，使得传输层摆脱路由选择、交换方式和拥挤控制等网络传输细节；可以为传输层实体建立、维持和拆除一条或多条通信路径；对网络传输中发生的不可恢复的差错予以报告。

在计算机网络中进行通信的两个计算机之间可能会经过很多个数据链路，也可能还要经过很多通信子网。网络层的任务就是选择合适的网间路由和交换结点，确保数据及时传送。网络层将数据链路层提供的帧组成数据包，包中封装有网络层包头，其中含有逻辑地址信息，即源站点和目的站点的网络地址。

(4) 传输层（Transport Layer）。传输层为会话层实体提供透明、可靠的数据传输服务，保证端到端的数据完整性；选择网络层能提供最适宜的服务；提供建立、维护和拆除传输连接功能。传输层根据通信子网的特性最佳地利用网络资源，为两个端系统（也就是源站和目的站）的会话层之间提供建立、维护和取消传输连接的功能，并以可靠和经济的方式传输数据。在这一层，信息的传送单位是报文。

(5) 会话层（Session Layer）。会话层为彼此合作的表示层实体提供建立、维护和结束会话连接的功能；完成通信进程的逻辑名字与物理名字间的对应；提供会话管理服务。

这一层也可以称为会话层或对话层，在会话层及以上的高层中，数据传送的单位不再另外命名，统称为报文。会话层不参与具体的传输，它提供包括访问验证和会话管理在内的建立和维护应用之间通信的机制。例如服务器验证用户登录便是由会话层完成的。

(6) 表示层（Presentation Layer）。表示层为应用层进程提供能解释所交换信息含义的一组服务，即将要交换的数据从适合于某一用户的抽象语法转换为适合于 OSI 系统内部使用的传送语法；提供格式化的表示和转换数据服务。数据的压缩、解压缩、加密和解密等工作都由表示层负责。

(7) 应用层（Application Layer）。应用层提供 OSI 用户服务，即确定进程之间通信的性质，以满足用户需要以及提供网络与用户应用软件之间的接口服务。例如，事务处理程序、电子邮件和网络管理程序等。

2. 参考模型的信息流向

设 A 系统的用户要向 B 系统的用户传送数据。A 系统用户的数据先送入应用层，该层给它附加控制信息 AH（头标）后，送入表示层。表示层对数据进行必要的变换并加头标 PH 后送入会话层。会话层也加头标 SH 送入传输层。传输层将长报文分段后并加头标 TH 送至网络层。网络层将信息变成报文分组，并加组号 NH 送数据链路层。数据链路层将信息加上头标和尾标（DH 及 DT）变成帧，经物理层按位发送到对方（B 系统）。B 系统接收到信息后，按照与 A 系统相反的动作，层层剥去控制信息，最后把原数据传送给 B 系统的用户。可见，两系统中只有物理层是实通信，其余各层均为虚通信。因此，只有两物理层之间有物理连接，其余各层间均无连线。

10.2 网络互连硬件

构建一个实际的网络需要网络的传输介质、网络互连设备作为支持，本节主要介绍构建网络的传输介质和互连设备。

10.2.1 网络的设备

网络互连的目的是使一个网络的用户能访问其他网络的资源，使不同网络上的用户能够互相通信和交换信息，实现更大范围的资源共享。在网络互连时，一般不能简单地直接相连，而是通过一个中间设备来实现。按照 ISO/OSI 的分层原则，这个中间设备要实现不同网络之间的协议转换功能，根据它们工作的协议层不同进行分类。网络互连设备可以有中继器（实现物理层协议转换，在电缆间转发二进制信号）、网桥（实现物理层和数据链路层协议转换）、路由器（实现网络层及以下各层协议转换）、网关（提供从最低层到传输层或以上各层的协议转换）和交换机等。

1. 网络传输介质互连设备

网络线路与用户结点具体连接时，需要网络传输介质的互连设备。如 T 形头（细同轴电缆连接器）、收发器、RJ-45（屏蔽或非屏蔽双绞线连接器）、RS232 接口（目前计算机与线路接口的常用方式）、DB-15 接口（连接网络接口卡的 AUI 接口）、VB35 同步接口（连接远程的高速同步接口）、网络接口单元和调制解调器（数字信号与模拟信号转换器）等。

2. 物理层的互连设备

物理层的互连设备有中继器（Repeater）和集线器（Hub）。

1) 中继器

它是在物理层上实现局域网网段互连的，用于扩展局域网网段的长度。由于中继器只在两个局域网网段间实现电气信号的恢复与整形，因此它仅用于连接相同的局域段。

从理论上说，可以用中继器把网络延长到任意长的传输距离，但是，局域网中接入的中继器的数量将受时延和衰耗的影响，因而必须加以限制。例如，在以太网中最多使用 4 个中继器。以太网设计连线时指定两个最远用户之间的距离，包括用于局域网的连接电缆，不得超过 500m。即便使用了中继器，典型的 Ethernet 局域网应用要求从头到尾整个路径不超过 1500m。中继器的主要优点是安装简便、使用方便、价格便宜。

2) 集线器

集线器可以看成是一种特殊的多路中继器，也具有信号放大功能。使用双绞线的以太网多用 Hub 扩大网络，同时也便于网络的维护。以集线器为中心的网络的优点是当网络系统中某条线路或某结点出现故障时不会影响网上其他结点的正常工作。集线器可分为无源（Passive）集线器、有源（Active）集线器和智能（Intelligent）集线器。

无源集线器只负责把多段介质连接在一起，不对信号做任何处理，每一种介质段只允许扩展到最大有效距离的一半；有源集线器类似于无源集线器，但它具有对传输信号进行再生和放大从而扩展介质长度的功能；智能集线器除具有有源集线器的功能外，还可将网络的部分功能集成到集线器中，如网络管理、选择网络传输线路等。

3. 数据链路层的互连设备

数据链路层的互连设备有网桥（Bridge）和交换机（Switch）。

1) 网桥

网桥用于连接两个局域网网段，工作于数据链路层。网桥要分析帧地址字段，以决定是否把收到的帧转发到另一个网络段上。确切地说，网桥工作于 MAC 子层，只要两个网络的 MAC 子层以上的协议相同，都可以用网桥互连。

网桥检查帧的源地址和目的地址，如果目的地址和源地址不在同一个网络段上，就把帧转发到另一个网络段上；若两个地址在同一个网络段上，则不转发，所以网桥能起到过滤帧的作用。网桥的帧过滤特性很有用，当一个网络由于负载很重而性能下降时，可以用网桥把它分成两个网络段并使得段间的通信量保持最小。例如，把分布在两层楼上的网络分成每层一个网络段，段中间用网桥相连，这样的配置可以最大限度地缓解网络通信繁忙的程度，提高通信效率。同时，由于网桥的隔离作用，一个网络段上的故障不会影响到另一个网络段，从而提高了网络的可靠性。

2) 交换机

交换机是一个具有简化、低价、高性能和高端口密集特点的交换产品，它是按每一个包中的 MAC 地址相对简单地决策信息转发，而这种转发决策一般不考虑包中隐藏的更深的其他信息。交换机转发数据的延迟很小，操作接近单个局域网性能，远远超过了普通桥接的转发性能。交换技术允许共享型和专用型的局域网段进行带宽调整，以减轻局域网之间信息流通出现的瓶颈问题。

交换机的工作过程为：当交换机从某一结点收到一个以太网帧后，将立即在其内存中的地址表（端口号—MAC 地址）进行查找，以确认该目的 MAC 的网卡连接在哪一个结点上，然后将该帧转发至该结点。如果在地址表中没有找到该 MAC 地址，也就是说，该目的 MAC 地址是首次出现，交换机就将数据包广播到所有结点。拥有该 MAC 地址的网卡在接收到该广播帧后将立即做出应答，从而使交换机将其结点的”MAC 地址”添加到 MAC 地址表中。

交换机的 3 种交换技术：端口交换（用于将以太模块的端口在背板的多个网段之间进行分配、平衡）、帧交换（处理方式：直通交换——提供线速处理能力，交换机只读出网络帧的前 14 个字节，便将网络帧传送到相应的端口上；存储转发——通过对网络帧的读取进行验错和控制；碎片丢弃——检查数据包的长度是否够 64 个字节，如果小于 64 字节，说明是假包，丢弃该包，否则发送该包）和信元交换（采用长度固定的信元交换）。

4. 网络层互连设备

路由器（Router）是网络层互连设备，用于连接多个逻辑上分开的网络。逻辑网络是指一个单独的网络或一个子网，当数据从一个子网传输到另一个子网时，可通过路由器来完成。

路由器具有很强的异种网互连能力，互连网络的最低两层协议可以互不相同，通过驱动软件接口到第三层而得到统一。对于互连网络的第三层协议，如果相同，可使用单协议路由器进行互连；如果不同，则应使用多协议路由器。多协议路由器同时支持多种不同的网络层协议，并可以设置为允许或禁止某些特定的协议。所谓支持多种协议，是指支持多种协议的路由，而不是指不同类协议的相互转换。

通常把网络层地址信息称为网络逻辑地址，把数据链路层地址信息称为物理地址。路由器最主要的功能是选择路径。在路由器的存储器中维护着一个路径表，记录各个网络的逻辑地址，用于识别其他网络。在互连网络中，当路由器收到从一个网络向另一个网络发送的信息包时，将丢弃信息包的外层，解读信息包中的数据，获得目的网络的逻辑地址，使用复杂的程序来决定信息经由哪条路径发送最合适，然后重新打包并转发出去。路由器的功能还包括过滤、存储转发、流量管理和介质转换等。一些增强功能的路由器还可有加密、数据压缩、优先和容错管理等功能。由于路由器工作于网络层，它处理的信息量比网桥要多，因而处理速度比网桥慢。

5. 应用层互连设备

网关（Gateway）是应用层的互连设备。在一个计算机网络中，当连接不同类型且协议差别较大的网络时，则要选用网关设备。网关的功能体现在 OSI 模型的最高层，它将协议进行转换，将数据重新分组，以便在两个不同类型的网络系统之间进行通信。由于协议转换是一件复杂的事，一般来说，网关只进行一对一转换，或是少数几种特定应用协议的转换，网关很难实现通用的协议转换。

10.2.2 网络的传输介质

传输介质是信号传输的媒体，常用的介质分为有线介质和无线介质。有线介质有双绞线、同轴电缆和光纤等；无线介质有微波、红外线和卫星通信等。

1. 有线介质

1) 双绞线（Twisted-Pair）

双绞线是现在最普通的传输介质，它分为屏蔽双绞线（STP）和非屏蔽双绞线（UTP）。非屏蔽双绞线有线缆外皮作为屏蔽层，适用于网络流量不大的场合中。屏蔽式双绞线具有一个金属甲套，对电磁干扰具有较强的抵抗能力，适用于网络流量较大的高速网络协议应用。双绞线又可分为 3 类、4 类和 5 类、6 类和 7 类双绞线，现在常用的是 5 类 UTP，其频率带宽为 100MHz。6 类、7 类双绞线分别可工作于 200MHz 和 600MHz 的频率带宽之上，且采用特殊设计的 RJ45 插头。

双绞线最多应用于 10Base-T 和 100Base-T 的以太网中，具体规定有：一段双绞线的最大长度为 100m，只能连接一台计算机；双绞线的每端需要一个 RJ45 插件；各段双绞线通过集线器互连，利用双绞线最多可连接 64 个站点到中继器。

2) 同轴电缆（Coaxial）

同轴电缆也像双绞线那样由一对导体组成。同轴电缆又分为基带同轴电缆（阻抗为 $50\Omega$）和宽带同轴电缆（阻抗为 $75\Omega$）。基带同轴电缆用来直接传输数字信号，它又分为粗同轴电缆和细同轴电缆，其中，粗同轴电缆适用于较大局域网的网络干线，布线距离较长，可靠性较好，但是网络安装、维护等方面比较困难，造价较高；细同轴电缆安装较容易，而且造价较低，但因受网络布线结构的限制，其日常维护不甚方便。宽带同轴电缆用于频分多路复用（FDM）的模拟信号发送，还用于不使用频分多路复用的高速数字信号发送和模拟信号发送。闭路电视所使用的 CATV 电缆就是宽带同轴电缆。

3) 光纤（Fiber Optic）

光导纤维简称光纤，它重量轻、体积小。用光纤传输电信号时，在发送端要先将其转换成光信号，而在接收端又要由光检波器还原成电信号。光纤是软而细的、利用内部全反射原理来传导光束的传输介质。按光源采用不同的发光管分为发光二极管和注入型激光二极管。多模光纤（Multimode Fiber）使用的材料是发光二极管，价格较便宜，但定向性较差；单模光纤（Single Mode Fiber）使用的材料是注入型二极管，定向性好、损耗少、效率高、传播距离长，但价格昂贵。

2. 无线介质

无线传输介质都不需要架设或铺埋电缆或光纤，而是通过大气传输，目前有 3 种技术：微波、红外线和激光、卫星。

1) 微波

微波通信是在对流层视线距离范围内利用无线电波进行传输的一种通信方式，频率范围为 2～40GHz。微波通信是沿直线传播的，由于地球表面是曲面的，微波在地面的传播距离有限，直接传播的距离与天线的高度有关，天线越高距离越远，但超过一定距离后就要用中继站来接力，两微波站的通信距离一般为 30～50km。长途通信时必须建立多个中继站，中继站的功能是变频和放大，进行功率补偿。微波通信分为模拟微波通信和数字微波通信两种。模拟微波通信主要采用调频制，数字微波通信大多采用相移键控（PSK）。微波通信的传输质量比较稳定，影响质量的主要因素是雨雪天气对微波产生的吸收损耗，不利地形或环境对微波所造成的衰减现象。

2) 红外线和激光

红外通信和激光通信也像微波通信一样，有很强的方向性，都是沿直线传播的。这 3 种技术都需要在发送方和接收方之间有一条视线（Line-of-sight）通路，有时统称这三者为视线媒体。所不同的是，红外通信和激光通信把要传输的信号分别转换为红外光信号和激光信号，直接在空间传播。由于这 3 种视线媒体都不需要铺设电缆，对于不论是在地下或用电线杆很难在建筑物之间架设电缆，特别是要穿越的空间属于公共场所的局域网特别有用。但这 3 种技术对环境气候较为敏感，例如雨、雾和雷电。相对来说，微波一般对雨和雾的敏感度较低。

3) 卫星

卫星通信是以人造卫星为微波中继站，它是微波通信的特殊形式。卫星接收来自地面发送站发出的电磁波信号后，再以广播方式用不同的频率发回地面，被地面工作站接收。卫星通信可以克服地面微波通信距离的限制。一个同步卫星可以覆盖地球的 1/3 以上表面，3 个这样的卫星就可以覆盖地球上的全部通信区域，这样地球上的各个地面站之间都可互相通信了。由于卫星信道频带宽，也可采用频分多路复用技术分为若干个子信道，有些用于由地面站向卫星发送（称为上行信道），有些用于由卫星向地面转发（称为下行信道）。卫星通信的优点是容量大、距离远，缺点是传播延迟时间长。

10.2.3 组建网络

在一个局域网中，其基本组成部件为服务器、客户端、网络设备、通信介质和网络软件等。

(1) 服务器（Server）。局域网的核心，根据它在网络中的作用，还可进一步分为文件服务器、打印服务器和通信服务器等。

(2) 客户端（Client）。客户端又称为用户工作站，包括用户计算机与网络应用接口设备。

(3) 网络设备。网络设备主要指一些硬件设备，如网卡、收发器、中继器、集线器、网桥和路由器等。网卡是一种必不可少的网络设备，常用的网卡有 Ethernet（以太网）网卡、ARCNET 网卡、ESIA 总线网网卡和 Token-Ring 网卡等。

(4) 通信介质。数据的传输媒体，不同的通信介质有着不同的传输特性。

(5) 网络软件。网络软件主要包括底层协议软件、网络操作系统（NOS）等。底层协议软件由一组标准规则及软件构成，以使实体间或网络之间能够互相进行通信。网络操作系统主要对整个网络的资源和运行进行管理，并为用户提供应用接口。

【例 10.1】为了将两个相邻办公室的多台计算机连接成一个局域网，以方便传输文件、共享资源，最简单的连接方式可以采用集线器将两个办公室的多台计算机连接成一个局域网，如果感觉速度较慢，可将 Hub 换成交换机（Switch），构成树型或总线和星型结合的拓扑结构；传输介质采用五类以上的非屏蔽双绞线，使用 RJ45 连接 Hub 与计算机；网卡采用 10/100M 自适应的以太网卡；协议使用 TCP/IP、NETBIEU 或其他协议。该网络安装和维护简单易行，且费用低廉，计算机和 Hub 之间的最大 UTP 电缆长度为 100m，两个计算机之间（即端—端）最多允许有 4 个 Hub 和 5 个电缆段，即最大网络长度为 500m。

【例 10.2】某学校建设高速信息网络，网络主干中心为千兆以太网的光纤局域网，连接各学院、系、图书馆等信息网，并接入 Internet，以便实现各级各类网络的互连互通，为学校的各级单位、教师、学生提供方便、快捷的信息与教学服务，从而有效地为科研、教学服务，提高学校的整体水平。

【例 10.3】某家庭想连接 Internet，决定申请一条 ADSL 线路，通过拨号来连接 Internet，原因如下。

(1) ADSL 具有很高的传输速率，其下行为 2～8Mbps，上行为 64～640Kbps，为普通拨号 Modem 的百倍以上，也是宽带上网中速度较高的一种。

(2) ADSL 上网和打电话互不干扰，ADSL 数据信号和电话音频信号以频分复用原理调制，各自频段互不干扰，在上网的同时可以使用电话，避免了拨号上网的烦恼。

(3) ADSL 独享带宽、安全可靠，其他宽带方式虽然在速度方面有超过它的，但有的是属于共享带宽方式。例如 Cable Modem 下行可达到 20Mbps，但它是一种粗糙的总线型广播网络，成千上万用户争抢 20Mbps 的带宽，而非独享，更为严重的是，它属于总线型的网络，先天的广播特性造成了信息传输的不安全性。ADSL 利用中国电信深入千家万户的电话网络，先天形成星型结构的网络拓扑构造，骨干网络采用遍布全城、全国的光纤传输，独享 2～8Mbps 带宽，信息传递快速、可靠安全。

(4) ADSL 费用低廉，虽然电话线同时传递电话语音和数据，但数据并不通过电话交换机，因此不用拨号，一直在线，属于专线上网方式。这意味着使用 ADSL 上网不需要缴纳拨号上网的电话费用。另一方面，不需要对原有电话线路进行改造，用户端不需要购买价格昂贵的设备，只需一个现在相当普及的 ADSL Modem 即可，相对来说投资较少。

(5) ADSL 能提供真正的视频点播（VOD）、网上游戏、交互电视和网上购物等宽带多媒体服务，远程 LAN 接入、远地办公室、在家工作等高速数据应用，远程医疗、远程教学、远地可视会议、体育比赛现场实时传送等。

ADSL 连接 Internet 的方式有两种：专线接入和虚拟拨号接入。采用虚拟拨号方式的用户采用类似 Modem 和 ISDN 的拨号程序，在使用习惯上与原来的方式没什么不同。采用专线接入的用户只要开机即可接入 Internet。

使用 ADSL 上网所需的设备包括一块网卡和 ADSL Modem。当然，家用计算机是必需的。

如果不是家庭，而是公司或企业，则局域网通过 ADSL 接入 Internet，其接入方法有如下两种。

(1) 将直接通过 ADSL 连上网的那台主机设置成代理服务器，然后本地局域网上的客户端通过该代理服务器访问外部信息资源。这种方法的好处是需要申请一个账号或一个 IP 地址，本地客户端可采用保留 IP 地址。

(2) 采用专线方式，为局域网上的每台计算机向电话局申请一个 IP 地址。这种方法的好处是无须设置一台专用的代理服务网关，缺陷是目前对一条 ADSL 线路只能提供最多 8 个 IP 地址给局域网。

在连接时需要注意的问题如下。

(1) 接口方式。有以太网、USB 和 PCI 3 种。USB、PCI 适用于家庭用户，性价比好，小巧、方便、实用；外置以太网口的产品只适用于企业和办公室的局域网，它可以带多台机器进行上网。有的以太网接口的 ADSL Modem 同时具有桥接和路由功能。

(2) 分离器。使上网和打电话互不干扰。

(3) 支持的协议。ADSL Modem 上网拨号方式有 3 种，即专线方式（静态 IP）、PPPoA 和 PPPoE。普通用户多采用 PPPoE（Point-to-Point Protocol over Ethernet）或 PPPoA（Point-to-Point Protocol over ATM）虚拟拨号的方式上网。

10.3 网络的协议与标准

计算机网络的硬件设备是承载计算机通信的实体，但它们是怎样有序地完成计算机之间通信任务的呢？也就是说，要共享计算机网络的资源以及进行网络中的交换信息，需要实现不同系统中实体的通信。两个实体要想成功地通信，它们必须具有相同的语言，在计算机网络中称为协议（或规程）。所谓协议，指的是网络中的计算机与计算机进行通信时，为了能够实现数据的正常发送与接收必须要遵循的一些事先约定好的规则（标准或约定），在这些规程中明确规定了通信时的数据格式、数据传送时序以及相应的控制信息和应答信号等内容。下面主要介绍网络的标准、局域网协议与广域网协议。

10.3.1 网络的标准

在网络的标准化方面，有许多标准化机构在工作，例如国际标准化组织、国际电信联盟、电子工业协会、电气和电子工程师协会、因特网活动委员会等。

1. 电信标准

1865 年成立国际电信联盟（International Telecommunication Union，ITU），1947 年 ITU 成为联合国的一个组织，它由以下 3 部分组成。

• ITU-R：无线通信部门。ITU-R 的主要工作是确保无线电频率和卫星轨道被所有国家平等、有效和经济地利用，召开世界性和地区性大会来制定无线电法规和地区性协议，起草并通过有关技术、业务和系统的建议。
• ITU-T：电信标准部门。下设许多研究组，研究组下设专题，从事网络管理、网络维护、业务运营、网络和终端的端对端传输特性、网络总体方面、多媒体业务和系统等方面的研究。例如，Q42/SG VII 专门研究 OSI 参考模型。
• ITU-D：开发部门。主要宗旨是促进第三世界国家的电信发展。

1953 年到 1993 年，ITU-T 被称为 CCITT（国际电报电话咨询委员会）。CCITT 建议自 1993 年起都打上了 ITU-T 标记。已经公布并使用的重要的标准如下。

(1) V 系列。ITU-T 提出的 V 系列标准主要是针对调制解调器的标准。例如，V.90 是 56Kbps 调制解调器的标准。

(2) X 系列。ITU-T 提出的 X 系列标准是应用于广域网的，该系列标准分为以下两组。

• X.1—X.39 标准。应用于终端形式、接口、服务设施和设备。最著名的标准是 X.25，它规定了数据包装和传送的协议。
• X.40—X.199 标准。管理网络结构、传输、发信号等。

2. 国际标准

1946 年成立的国际标准化组织负责制定各种国际标准，ISO 有 89 个成员国家，85 个其他成员。ISO 的任务是促进全球范围内的标准化及其有关活动，以利于国际间产品与服务的交流，以及在知识、科学、技术和经济活动中发展国际间的相互合作。例如，ISO 开发了开放式系统互连网络结构模型，该模型定义了用于网络结构的 7 个数据处理层。

其他标准化组织如下。

• ANSI：美国国家标准研究所，ISO 的美国代表。ANSI 设计了 ASCII 代码组，它是一种广泛使用的数据交换标准代码。
• NIST：美国国家标准和技术研究所，美国商业部的标准化机构。
• IEEE：电气和电子工程师协会（Institute of Electrical and Electronics Engineers）。IEEE 设置了电子工业标准，分成一些标准委员会（或工作组），每个工作组负责标准的一个领域，工作组 802 设置了网络上的设备如何彼此通信的标准，即 IEEE 802 标准委员会划分成的工作组有 802.1 工作组，协调低档与高档 OSI 模型；802.2 工作组，涉及逻辑数据链路标准；802.3 工作组，有关 CSMA/CD 标准在以太网的应用；802.4 工作组，令牌总线标准在 LAN 中的应用；802.5 工作组，设置有关令牌环网络的标准。
• EIA：电子工业协会（Electronic Industries Association）。最为人熟悉的 EIA 标准之一是 RS-232C 接口，这一通信接口允许数据在设备之间交换。

值得注意的是，ITU-T 和 ISO 之间有很好的合作和协调。

3. Internet 标准

Internet 标准的特点是自发而非政府干预的，管理松散，每个分网络均由各自分别管理，目前已组成了一个民间性质的协会 ISOC（Internet Society）进行必要的协调与管理，有一个网络信息中心（NIC）来管理 IP 地址，保证注册地址的唯一性，并为用户提供一些文件，介绍可用的服务。ISOC 设有 Internet 总体管理机构结构（IAB）。

1969 年，在 ARPANET 时代就开始发布请求评注（Request For Comments，RFC），至今已超过 3000 个。

10.3.2 局域网协议

IEEE 局域网标准委员会对局域网的定义为：”局域网络中的通信被限制在中等规模的地理范围内，如一所学校；能够使用具有中等或较高数据速率的物理信道，且具有较低的误码率；局域网络是专用的，由单一组织机构所使用。”局域网技术由于具有规模小、组网灵活和结构规整的特点，极易形成标准。事实上，局域网技术也是在所有计算机网络技术中标准化程度最高的一部分。国际电子电气工程师协议早在 20 世纪 70 年代就制定了 3 个局域网标准：IEEE 802.3（CSMA/CD，以太网）、IEEE 802.4（Token Bus，令牌总线）和 IEEE 802.5（Token Ring，令牌环）。由于它已被市场广泛接受，因此 IEEE 802 系列标准已被 ISO 采纳为国际标准。而且，随着网络技术的发展，又出现了 IEEE 802.7（FDDI）、IEEE 802.3u（快速以太网）、IEEE 802.12（100VG-AnyLAN）和 IEEE 802.3z（千兆以太网）等新一代网络标准。

一个局域网的基本组成主要有网络服务器、网络工作站、网络适配器和传输介质。这些设备在特定网络软件支持下完成特定的网络功能。决定局域网特性的主要技术有 3 个方面：用于传输数据的传输介质；用于连接各种设备的拓扑结构；用于共享资源的介质访问控制方法。它们在很大程度上决定了传输数据的类型、网络的响应时间、吞吐量和利用率，以及网络应用等各种网络特性。不同的局域网协议最重要的区别是介质访问控制方法，它对网络特性具有十分重要的影响。

1. LAN 模型

ISO/OSI 的 7 层参考模型本身不是一个标准，在制定具体网络协议和标准时，要以 OSI/RM 参考模型作为”参照基准”，并说明与该”参照基准”的对应关系。在 IEEE 802 局域网（LAN）标准中只定义了物理层和数据链路层两层，并根据 LAN 的特点把数据链路层分成逻辑链路控制（Logical Link Control，LLC）子层和介质访问控制（Medium Access Control，MAC）子层，还加强了数据链路层的功能，把网络层中的寻址、排序、流控和差错控制等功能放在 LLC 子层来实现。

1) 物理层

和 OSI 物理层的功能一样，主要处理在物理链路上发送、传递和接收非结构化的比特流，包括对带宽的频道分配和对基带的信号调制、建立、维持、撤销物理链路，处理机械的、电气的和过程的特性。其特点是可以采用一些特殊的通信媒体，在信息组成的格式上可以有多种。

2) MAC

主要功能是控制对传输介质的访问，MAC 与网络的具体拓扑方式以及传输介质的类型有关，主要是介质的访问控制和对信道资源的分配。MAC 层还实现帧的寻址和识别，完成帧检测序列产生和检验等功能。

3) LLC

LLC 可提供两种控制类型，即面向连接服务和非连接服务。其中，面向连接服务能够提供可靠的信道。逻辑链路控制层提供的主要功能是数据帧的封装和拆除，为高层提供网络服务的逻辑接口，能够实现差错控制和流量控制。

在计算机网络体系结构中，最具代表性和权威的是 ISO 的 OSI/RM 和 IEEE 的 802 协议。OSI 是设计和实现网络协议标准的最重要的参考模型和依据，而 IEEE 802 制定了一系列具体的局域网标准，并不断地增加新的标准。

2. 以太网（IEEE 802.3 标准）

以太网技术可以说是局域网技术中历史最悠久和最常用的一种，它采用的”存取方法”是带冲突检测的载波监听多路访问协议（Carrier-Sense Multiple Access with Collision Detection，CSMA/CD）技术。

目前，以太网主要包括 3 种类型：IEEE 802.3 中定义的标准局域网，速度为 10Mbps，传输介质为细同轴电缆；IEEE 802.3u 中定义的快速以太网，速度为 100Mbps，传输介质为双绞线；IEEE 802.3z 中定义的千兆以太网，速度为 1000Mbps，传输介质为光纤或双绞线。

1) 介质访问技术

IEEE 802.3 所使用的介质访问协议 CSMA/CD 是让整个网络上的主机都以竞争的方式来抢夺传送数据的权力。工作过程为：首先侦听信道，如果信道空闲，则发送；如果信道忙，则继续侦听，直到信道空闲时立即发送。开始发送后再进行一段时间的检测，方法是边发送边接收，并将收、发信息相比较，若结果不同，表明发送的信息遇到碰撞，于是立即停止发送，并向总线上发出一串阻塞信号，通知信道上各站冲突已发生。已发出信息的各站收到阻塞信号后，等待一段随机时间，等待时间最短的站将重新获得信道，可重新发送。

在 CSMA/CD 中，当检测到冲突并发出阻塞信号后，为了降低再次冲突概率，需要等待一个退避时间。退避算法有许多种，常用的一种通用退避算法称为二进制指数退避算法。

2) IEEE 802.3——10Mbps 以太网

IEEE 802.3——10Mbps 以太网定义过 10Base 5、10Base 2、10Base-T 和 10Base-F 等几种（需要说明的是，10Base-T 与 10Base-F 的最后一项是以线缆类型进行命名的，其中 T 代表双绞线，F 代表光纤）。10Base 5 标准是最早的媒体规范，它使用阻抗为 $50\Omega$ 的同轴粗缆。但由于同轴粗缆的缆线直径大，所以比较笨重，不易铺设。10Base 2 标准是为了建立一个比 10Base 5 更廉价的局域网，它使用阻抗为 $50\Omega$ 的同轴细缆，唯一的差别就是它使得每两个结点间的距离限制从 500m 降为 185m。10Base-T 标准是一个使用非屏蔽双绞线为传输介质的标准，所要用到的非屏蔽双绞线只需 3 类线标准即可满足要求，是一个成功的标准。10Base-F 标准充分利用了新兴媒体光纤的距离长、传输性能好的优点，大大改进了以太网技术。

3) IEEE 802.3u——100Mbps 快速以太网

随着计算机技术的不断发展，10Mbps 的网络传输速度实在无法满足日益增大的需求。IEEE 802.3u 充分考虑到了向下兼容性，它采用了非屏蔽双绞线（或屏蔽双绞线、光纤）作为传输媒介，采用与 IEEE 802.3 一样的介质访问控制层——CSMA/CD。IEEE 802.3u 常称为快速以太网。根据实现的介质不同，快速以太网可以分为 100BaseTX、100BaseFX 和 100BaseT4 三种。

100BaseTX 用两对 5 类非屏蔽双绞线（或者 1 类、2 类屏蔽双绞线作为传输媒介）来实现传输速度为 100Mbps 的网络，最多支持两个中继器。100BaseFX 是两束多模光纤上的标准，在没有中继设备的网络中最大传输距离为 400m。100BaseT4 利用 10Mbps 的网络中使用的 3 类线有两对是空着没有利用的特点，使用 4 对 3 类非屏蔽双绞线上提供传输速度为 100Mbps 网络。

4) IEEE 802.3z——1000Mbps 千兆以太网

IEEE 802.3z 对介质访问控制层规范进行了重新定义，以维持适当的网络传输距离，介质访问控制方法仍采用 CSMA/CD 协议，并且重新制定了物理层标准，使之能提供 1000Mbps 的原始带宽。因此，它仍是一种共享介质的局域网，发送到网上的信号是广播式的，接收站根据地址接收信号。网络接口硬件能监听线路上是否已存在信号，以避免冲突，或在没有冲突时重发数据。

在物理层，千兆以太网支持以下 3 种传输介质。

(1) 光纤系统。支持多模光纤和单模光纤系统，多模光纤的工作距离为 500m，单模光纤的工作距离为 2000m。

(2) 宽带同轴电缆系统。其传输距离为 25m。

(3) 5 类 UTP 电缆。其传输距离为 100m，链路操作模式为半双工。

千兆位以太网采用以交换机为中心的星型拓扑结构，主要用于交换机与交换机之间或者交换机与企业超级服务器之间的高速网络连接。

3. 令牌环网（IEEE 802.5）

令牌环是环型网中最普遍采用的介质访问控制方法，它适用于环型网络结构的分布式介质访问控制，其流行性仅次于以太网。令牌环网的传输介质虽然没有明确定义，但主要基于屏蔽双绞线和非屏蔽双绞线两种，拓扑结构可以有多种，如环型（最典型）、星型（采用得最多）和总线型（一种变形）。编码方法为差分曼彻斯特编码。

IEEE 802.5 的介质访问使用的是令牌环控制技术，工作过程为：首先，令牌环网在网络中传递一个很小的帧，称为”令牌”，只有拥有令牌环的工作站才有权力发送信息；令牌在网络上依次顺序传递，当工作站要发送数据时等待捕获一个空令牌，将要发送的信息附加到后边，发往下一站，如此直到目标站，然后将令牌释放；工作站要发送数据时，如果经过的令牌不是空的，则等待令牌释放。

当信息帧绕环通过各站时，各站都要将帧的目的地址与本站地址相比较，如果地址符合，说明是发送给本站的，则将帧复制到本站的接收缓冲器中，同时将帧送回到环上，使帧继续沿环传送；如果地址不符合，则简单地将信息帧重新送到环上即可。

4. FDDI

FDDI（Fiber Distributed Data Interface，光纤分布式数据接口）类似令牌环网的协议，它用光纤作为传输介质，数据传输速度可达到 100Mbps，环路长度可扩展到 200km，连接的站点数可以达到 1000 个。FDDI 采用一种新的编码技术，称为 4B/5B 编码，即每次对 4 位数据进行编码。每 4 位数据编码成 5 位符号，用光信号的存在或不存在来代表 5 位符号中的每一位是 1 还是 0。

光纤中传送的是光信号，有光脉冲表示 1，无光脉冲表示 0。这种简单编码的缺点是没有同步功能。在同轴电缆或双绞线作为传输介质的局域网中，通常采用曼彻斯特编码方式。它利用中间的跳变作为同步信号。这样对每一位数据单元产生两次瞬变，使带宽的利用率降低。在 5 位编码的 32 种组合中，实际只使用了 24 种，其中的 16 种用来做数据，其余 8 种用来做控制符号（如帧的起始和结束符号等）。在 4B/5B 编码中，5 位码中的”1”码至少为两位，按 NRZI 编码原理，信号中就至少有两次跳变，因此接收端可得到足够的同步信息。

FDDI 采用双环体系结构，两环上的信息反方向流动。双环中的一环称为主环，另一环称为次环。在正常情况下，主环传输数据，次环处于空闲状态。双环设计的目的是提供高可靠性和稳定性。FDDI 定义的传输介质有单模光纤和多模光纤两种。

5. 无线局域网（CSMA/CA）

信息时代的网络已经渗透到了个人、企业以及政府。现在的网络建设已经发展到无所不在，不论你在任何时间、任何地点都可以轻松上网。网络无所不在其实并不简单，光靠光纤、铜缆是不够的，毕竟在许多场合不允许铺设线缆。因此，需要推广一种新的解决方案，使得网络的无所不在能够得以实现，这种解决方案就是无线数据网。

无线局域网使用的是带冲突避免的载波侦听多路访问方法（CSMA/CA）。冲突检测（Collision Detection）变成了冲突避免（Collision Avoidance），这一字之差是很大的。因为在无线传输中侦听载波及冲突检测都是不可靠的，侦听载波有困难。另外，通常无线电波经天线送出去时，自己是无法监视到的，因此冲突检测实质上也做不到。在 802.11 中侦听载波是由两种方式来实现的，一个是实际去听是否有电波在传，然后加上优先权控制；另一个是虚拟的侦听载波，告知大家待会有多久的时间我们要传东西，以防止冲突。

10.3.3 广域网协议

广域网通常是指覆盖范围大、传输速率低、以数据通信为主要目的的数据通信网。随着信息技术的迅速发展，很多国家的数据通信业务的增长率已大大提高，特别是国际互联网的普及促进了数据通信网技术的发展。

在地域分布很远、很分散，以至于无法用直接连接来接入局域网的场合，广域网（WAN）通过专用的或交换式的连接把计算机连接起来。这种广域连接可以是通过公众网建立的，也可以通过服务于某个专业部门的专用网建立起来。相对来说，广域网显得比较错综复杂，目前主要用于广域传输的协议比较多，例如 PPP（点对点协议）、DDN、ISDN（综合业务数字网）、FR（帧中继）和 ATM（异步传输模式）等。

1. 点对点协议（PPP）

点对点协议主要用于”拨号上网”这种广域连接模式。它的优点是简单、具备用户验证能力、可以解决 IP 分配等。它主要通过拨号或专线方式建立点对点连接发送数据，使其成为各种主机、网桥和路由器之间简单连接的一种通用的解决方案。

家庭拨号上网就是通过 PPP 在用户端和运营商的接入服务器之间建立通信链路。目前，宽带接入正在取代拨号上网，在宽带接入技术日新月异的今天，PPP 也衍生出新的应用。典型的应用是在 ADSL（Asymmetrical Digital Subscriber Line，非对称数据用户线）接入方式当中，PPP 与其他的协议共同派生出了符合宽带接入要求的新的协议，例如 PPPoE 和 PPPoA。

利用以太网（Ethernet）资源在以太网上运行 PPP 来进行用户认证接入的方式称为 PPPoE。PPPoE 既保护了用户方的以太网资源，又完成了 ADSL 的接入要求，是目前 ADSL 接入方式中应用最广泛的技术标准。同样，在 ATM 网络上运行 PPP 来管理用户认证的方式称为 PPPoA。它与 PPPoE 的原理相同，作用相同。不同的是，它是在 ATM 网络上，而 PPPoE 是在以太网网络上运行，所以要分别适应 ATM 标准和以太网标准。

2. 数字用户线（xDSL）

xDSL 是各种数字用户线的统称，根据各种宽带通信业务需要，目前还有 DSL 技术和产品，例如 ADSL（Asymmetric DSL，不对称数字用户线）、SDSL（Single Pair DSL，单对线数字用户环路）、IDSL（ISDN DSL，ISDN 用的数字用户线）、RADSL（Rate Adaptive DSL，速率自适应非对称型数字用户线）和 VDSL（Very High Bit Rate DSL，甚高速数字用户线）等。

ADSL 是研制最早、发展较快的一种。它是在一对铜双绞线上为用户提供上、下行非对称的传输速率（即带宽）。ADSL 接入服务能做到较高的性能价格比，ADSL 接入技术较其他接入技术具有其独特的技术优势：它的速率可达到上行 1 兆/下行 8 兆，速度非常快。另外，使用 ADSL 上网不需要占用电话线路，在电话和上网互不干扰的同时大大节省了普通上网方式的话费支出；独享带宽且安全可靠；安装快捷方便；价格实惠。它把线路按频段分成语音、上行和下行 3 个信道，故语音和数据可共用一对线。ADSL 特别适合于像 VOD 业务及 Internet 和多媒体业务的应用。ADSL 一般采用 CAP 和 DMT 两种线路编码调制技术，传输距离与线径、速率有关，一般在 3km 以上。因此，ADSL 是一种很有发展前途的数字接入技术。ADSL 技术作为一种宽带接入方式，可以为用户提供中国电信宽带网的所有应用业务。采用各种拨号方式上网的用户将逐步过渡到采用 ADSL 宽带接入方式，ADSL 在宽带接入中已经扮演着越来越重要的角色。

对于个人用户，在现有电话线上安装 ADSL，只需在用户端安装一台 ADSL Modem 和一个分离器，用户线路不用做任何改动，极其方便。数据线路为 PC→ADSL Modem→分离器→入户接线盒→电话线→DSL 接入复用器→ATM/IP 网络；语音线路为话机→分离器→入户接线盒→电话线→DSL 接入复用器→交换机。

对于企业用户，在现有电话线上安装 ADSL 和分离器连接 Hub 或 Switch。数据线路为 PC→以太网（Hub 或 Switch）→ADSL 路由器→分离器→入户接线盒→电话线→DSL 接入复用器→ATM/IP 网络；语音线路为话机→分离器→入户接线盒→电话线→DSL 接入复用器→交换机。

3. 数字专线

数字数据网（Digital Data Network，DDN）是采用数字传输信道传输数据信号的通信网，可提供点对点、点对多点透明传输的数据专线出租电路，为用户传输数据、图像和声音等信息。数字数据网是以光纤为中继干线的网络，组成 DDN 的基本单位是结点，结点间通过光纤连接，构成网状的拓扑结构。

DDN 专线就是市内或长途的数据电路，电信部门将它们出租给用户做资料传输使用后，它们就变成了用户的专线，直接进入电信的 DDN 网络，因为这种电路是采用固定连接的方式，不需要经过交换机房，所以称之为固定 DDN 专线。DDN 专线不仅需要铺设专用线路（在 DDN 的客户端需要一个称为 DDN Modem 的 CSU/DSU 设备以及一个路由器）从用户端进入主干网络，而且需要付电信月租费、网络使用费和电路租用费等。其优势是网络传输速率高、时延小、质量好、网络透明度高、可支持任何规程、安全可靠。

4. 帧中继

帧中继（Frame Relay，FR）是在用户网络接口之间提供用户信息流的双向传送，并保持顺序不变的一种承载业务。用户信息以帧为单位进行传输，并对用户信息流进行统计复用。帧中继是综合业务数字网标准化过程中产生的一种重要技术，它是在数字光纤传输线路逐渐代替原有的模拟线路、用户终端智能化的情况下由 X.25 分组交换技术发展起来的一种传输技术。

帧中继是一种基于可变帧长的数据传输网络，在传输过程中，网络内部可以采用”帧交换”，即以帧为单位进行传送；也可采用”信元交换”，即以信元（53 字节长）为单位进行传送。

帧中继提供一种简单的面向连接的虚电路分组服务，包括交换虚电路连接和永久虚电路连接。帧中继的优点包括降低网络互连费用、简化网络功能、提高网络性能、采用国际标准、各厂商产品相互兼容等。

5. 异步传输模式

异步传输模式（Asynchronous Transfer Mode，ATM）是 B-ISDN 的关键核心技术，它是一种面向分组的快速分组交换模式，使用了异步时分复用技术，将信息流分割成固定长度的信元。使用统一的信息单位能比较容易地实现各种信息流混合在一起的多媒体通信，并能根据业务类型、速率的需求动态地分配有效容量。ATM 能够根据需要改变传送速率，对高速信息传递频次高，对低速信息传递频次低，按照统计复用的原理进行传输和交换，故 ATM 完全可以用单一的交换方式灵活、有效地支持频带分布范围极广的各种业务。

在 ATM 网络中，数据以定长的信元为单位进行传输，信元由信元头和信元体构成，每个信元 53 个字节，其中信元头 5 个字节，信元体 48 个字节。

ATM 的参考模型由 4 层构成，分别是用户层、ATM 适配层、ATM 层和物理层。

6. X.25 协议

X.25 在本地 DTE 和远程 DTE 之间提供一个全双工、同步的透明信道，并定义了 3 个相互独立的控制层：物理层、数据链路层和分组层，它们分别对应于 ISO/OSI 的物理层、链路层和网络层。

X.25 是在公用数据网上以分组方式进行操作的 DTE（数据终端设备）和 DCE（数据通信设备）之间的接口。X.25 只是对公用分组交换网络的接口规范说明，并不涉及网络的内部实现，它是面向连接的，支持交换式虚电路和永久虚电路。

10.3.4 TCP/IP 协议族

TCP/IP 作为 Internet 的核心协议，通过近 20 多年的发展已日渐成熟，并被广泛应用于局域网和广域网中，目前已成为事实上的国际标准。作为一个最早的、也是迄今为止发展最为成熟的互连网络协议系统，TCP/IP 包含许多重要的基本特性，这些特性主要表现在 5 个方面：逻辑编址、路由选择、域名解析、错误检测和流量控制以及对应用程序的支持等。

(1) 逻辑编址。每一块网卡在出厂时就由厂家分配了一个独一无二的永久性的物理地址。在 Internet 中，为每台连入因特网的计算机分配一个逻辑地址，这个逻辑地址被称为 IP 地址。一个 IP 地址可以包括一个网络 ID 号，用来标识网络；一个子网络 ID 号，用来标识网络上的一个子网；另外，还有一个主机 ID 号，用来标识子网络上的一台计算机。这样，通过这个分配给某台计算机的 IP 地址，就可以很快地找到相应的计算机。

(2) 路由选择。在 TCP/IP 中包含了专门用于定义路由器如何选择网络路径的协议，即 IP 数据包的路由选择。

(3) 域名解析。虽然 TCP/IP 采用的是 32 位的 IP 地址，但考虑到用户记忆方便，专门设计了一种方便的字母式地址结构，称为域名或 DNS（域名服务）名字。将域名映射为 IP 地址的操作称为域名解析。域名具有较稳定的特点，而 IP 地址较易发生变化。

(4) 错误检测和流量控制。TCP/IP 具有分组交换确保数据信息在网络上可靠传递的特性，这些特性包括检测数据信息的传输错误（保证到达目的地的数据信息没有发生变化），确认已传递的数据信息已被成功地接收，监测网络系统中的信息流量，防止出现网络拥塞。

1. TCP/IP 分层模型

协议是对数据在计算机或设备之间传输时的表示方法进行定义和描述的标准。协议规定了进行传输、检测错误以及传送确认信息等内容。TCP/IP 是个协议族，它包含了多种协议。ISO/OSI 模型、TCP/IP 的分层模型及协议的对比如图 10-13 所示。

从图 10-13 可知，TCP/IP 分层模型由 4 个层次构成，即应用层、传输层、网际层和网络接口层，对各层的功能简述如下。

(1) 应用层。应用层处在分层模型的最高层，用户调用应用程序来访问 TCP/IP 互连网络，以享受网络上提供的各种服务。应用程序负责发送和接收数据。每个应用程序可以选择所需要的传输服务类型，并把数据按照传输层的要求组织好，再向下层传送，包括独立的报文序列和连续字节流两种类型。

(2) 传输层。传输层的基本任务是提供应用程序之间的通信服务，这种通信又称端到端的通信。传输层既要系统地管理数据信息的流动，还要提供可靠的传输服务，以确保数据准确而有序地到达目的地。为了这个目的，传输层协议软件需要进行协商，让接收方回送确认信息及让发送方重发丢失的分组。在传输层与网际层之间传递的对象是传输层分组。

(3) 网际层。网际层又称 IP 层，主要处理机器之间的通信问题。它接收传输层请求，传送某个具有目的地址信息的分组。该层主要完成以下功能。

• ① 把分组封装到 IP 数据报（IP Datagram）中，填入数据报的首部（也称为报头），使用路由算法选择把数据报直接送到目标机或把数据报发送给路由器，然后再把数据报交给下面的网络接口层中对应的网络接口模块。
• ② 处理接收到的数据报，检验其正确性。使用路由算法来决定是在本地进行处理，还是继续向前发送。如果数据报的目标机处于本机所在的网络，该层软件就把数据报的报头剥去，再选择适当的传输层协议软件来处理这个分组。
• ③ 适时发出 ICMP 的差错和控制报文，并处理收到的 ICMP 报文。

(4) 网络接口层。网络接口层又称数据链路层，处于 TCP/IP 协议层之下，负责接收 IP 数据报，并把数据报通过选定的网络发送出去。该层包含设备驱动程序，也可能是一个复杂的、使用自己的数据链路协议的子系统。

2. 网络接口层协议

TCP/IP 协议不包含具体的物理层和数据链路层，只定义了网络接口层作为物理层与网络层的接口规范。这个物理层可以是广域网，例如 X.25 公用数据网，也可以是局域网，例如 Ethernet、Token-Ring 和 FDDI 等。任何物理网络只要按照这个接口规范开发网络接口驱动程序，就能够与 TCP/IP 协议集成起来。网络接口层处在 TCP/IP 协议的最底层，主要负责管理为物理网络准备数据所需的全部服务程序和功能。

3. 网际层协议——IP

网际层是整个 TCP/IP 协议族的重点。在网际层定义的协议除了 IP 外，还有 ICMP、ARP 和 RARP 等几个重要的协议。

IP 所提供的服务通常被认为是无连接的（Connectionless）和不可靠的（Unreliable）。事实上，在网络性能良好的情况下，IP 传送的数据能够完好无损地到达目的地。所谓无连接的传输，是指没有确定目标系统在已做好接收数据准备之前就发送数据。与此相对应的就是面向连接的（Connection Oriented）传输（如 TCP），在该类传输中，源系统与目的系统在应用层数据传送之前需要进行三次握手。至于不可靠的服务，是指目的系统不对成功接收的分组进行确认，IP 只是尽可能地使数据传输成功。但是只要需要，上层协议必须实现用于保证分组成功提供的附加服务。

由于 IP 只提供无连接、不可靠的服务，所以把差错检测和流量控制之类的服务授权给了其他的各层协议，这正是 TCP/IP 能够高效工作的一个重要保证。这样，可以根据传送数据的属性来确定所需的传送服务以及客户应该使用的协议。例如，传送大型文件的 FTP 会话需要面向连接的、可靠的服务（因为如果稍有损坏，就可能导致整个文件无法使用）。

IP的主要功能包括将上层数据（如TCP、UDP数据）或同层的其他数据（如ICMP数据）封装到IP数据报中；将IP数据报传送到最终目的地；为了使数据能够在链路层上进行传输，对数据进行分段；确定数据报到达其他网络中的目的地的路径。

IP协议软件的工作流程：当发送数据时，源计算机上的IP协议软件必须确定目的地是在同一个网络上，还是在另一个网络上。IP通过执行这两项计算并对结果进行比较，才能确定数据到达的目的地。如果两项计算的结果相同，则数据的目的地确定为本地；否则，目的地应为远程的其他网络。如果目的地在本地，那么IP协议软件就启动直达通信；如果目的地是远程计算机，那么IP必须通过网关（或路由器）进行通信，在大多数情况下，这个网关应当是默认网关。当源IP完成了数据报的准备工作时，它就将数据报传递给网络访问层，网络访问层再将数据报传送给传输介质，最终完成数据帧发往目的计算机的过程。

当数据抵达目的计算机时，网络访问层首先接收该数据。网络访问层要检查数据帧有无错误，并将数据帧送往正确的物理地址。假如数据帧到达目的地时正确无误，网络访问层便从数据帧的其余部分中提取数据有效负载（Payload），然后将它一直传送到帧层次类型域指定的协议。在这种情况下，可以说数据有效负载已经传递给了IP。

有关IP地址的具体情况参见10.4.2节的内容。

4. ARP和RARP

地址解析协议（Address Resolution Protocol，ARP）及反地址解析协议（RARP）是驻留在网际层中的另一个重要协议。ARP的作用是将IP地址转换为物理地址，RARP的作用是将物理地址转换为IP地址。网络中的任何设备，主机、路由器和交换机等均有唯一的物理地址，该地址通过网卡给出，每个网卡出厂后都有不同的编号，这意味着用户所购买的网卡有着唯一的物理地址。另一方面，为了屏蔽底层协议及物理地址上的差异，IP协议又使用了IP地址，因此，在数据传输过程中，必须对IP地址与物理地址进行相互转换。

用ARP进行IP地址到物理地址转换的过程为：当计算机需要与任何其他的计算机进行通信时，首先需要查询ARP高速缓存，如果ARP高速缓存中这个IP地址存在，便使用与它对应的物理地址直接将数据报发送给所需的物理网卡；如果ARP高速缓存中没有该IP地址，那么ARP便在局域网上以广播方式发送一个ARP请求包。如果局域网上IP地址与某台计算机中的IP地址相一致，那么该计算机便生成一个ARP应答信息，信息中包含对应的物理地址。ARP协议软件将IP地址与物理地址的组合添加到它的高速缓存中，这时即可开始数据通信。

RARP负责物理地址到IP地址的转换，这主要用于无盘工作站。网络上的无盘工作站在网卡上有自己的物理地址，但无IP地址，因此必须有一个转换过程。为了完成这个转换过程，网络中有一个RARP服务器，网络管理员事先必须把网卡上的IP地址和相应的物理地址存储到RARP服务器的数据库中。

5. 网际层协议——ICMP

Internet控制信息协议（Internet Control Message Protocol，ICMP）是网际层的另一个比较重要的协议。由于IP是一种尽力传送的通信协议，即传送的数据报可能丢失、重复、延迟或乱序，因此IP需要一种避免差错并在发生差错时报告的机制。ICMP就是一个专门用于发送差错报文的协议。ICMP定义了5种差错报文（源抑制、超时、目的不可达、重定向和要求分段）和4种信息报文（回应请求、回应应答、地址屏蔽码请求和地址屏蔽码应答）。IP在需要发送一个差错报文时要使用ICMP，而ICMP也是利用IP来传送报文的。ICMP是让IP更加稳固、有效的一种协议，它使得IP传送机制变得更加可靠。而且ICMP还可以用于测试因特网，以得到一些有用的网络维护和排错的信息。例如，著名的ping工具就是利用ICMP报文进行目标是否可达测试。

6. 传输层协议——TCP

TCP（Transmission Control Protocol，传输控制协议）是整个TCP/IP协议族中最重要的协议之一。它在IP提供的不可靠数据服务的基础上为应用程序提供了一个可靠的、面向连接的、全双工的数据传输服务。

TCP是如何实现可靠性的呢？最主要和最重要的是TCP采用了重发（Retransmission）技术。具体来说，在TCP传输过程中，发送方启动一个定时器，然后将数据包发出，当接收方收到了这个信息时就给发送方一个确认（Acknowledgement）信息。如果发送方在定时器到点之前没有收到这个确认信息，就重新发送这个数据包。

利用TCP在源主机和目的主机之间建立和关闭连接操作时，均需要通过三次握手来确认建立和关闭是否成功。它通过”序号/确认号”使得系统正常工作，从而使它们的序号达成同步。TCP建立连接的三次握手过程如下：

① SYN SEQ=200

② ACK 201, SYN SEQ=350

③ ACK 351

（1）源主机发送一个SYN（同步）标志位为1的TCP数据包，表示想与目标主机进行通信，并发送一个同步序列号（如SEQ=200）进行同步。

（2）目标主机同意进行通信，则响应一个确认（ACK位置1），并以下一个序列号为参考进行确认（如201）。

（3）源主机以确认来响应目标主机的TCP包，这个确认中包括它想要接收的下一个序列号（该帧可以含有发送的数据）。至此连接建立完成。

同样，关闭连接也进行三次握手。

7. 传输层协议——UDP

用户数据报协议（User Datagram Protocol，UDP）是一种不可靠的、无连接的协议，可以保证应用程序进程间的通信。与同样处在传输层的面向连接的TCP相比，UDP是一种无连接的协议，它的错误检测功能要弱得多。可以这样说，TCP有助于提供可靠性；而UDP有助于提高传输的高速率性。例如，必须支持交互式会话的应用程序（如FTP等）往往使用TCP；而自己进行错误检测或不需要错误检测的应用程序（如DNS、SNMP等）往往使用UDP。

UDP协议软件的主要作用是将UDP消息展示给应用层，它并不负责重新发送丢失的或出错的数据消息，不对接收到的无序IP数据报重新排序，不消除重复的IP数据报，不对已收到的数据报进行确认，也不负责建立或终止连接。这些问题是由使用UDP进行通信的应用程序负责处理的。

TCP虽然提供了一个可靠的数据传输服务，但它是以牺牲通信量来实现的。也就是说，为了完成同样一个任务，TCP需要更多的时间和通信量。这在网络不可靠的时候通过牺牲一些时间换来达到网络的可靠性是可行的，但在网络十分可靠的情况下，则可以采用UDP，通信量的浪费就会很小。

8. 应用层协议

随着计算机网络的广泛应用，人们也已经有了许多基本的、相同的应用需求。为了让不同平台的计算机能够通过计算机网络获得一些基本的、相同的服务，也就应运而生了一系列应用级的标准，实现这些应用标准的专用协议被称为应用级协议，相对于OSI参考模型来说，它们处于较高的层次，所以也称为高层协议。应用层的协议有NFS、Telnet、SMTP、DNS、SNMP和FTP等，详细情况将在Internet服务中介绍。

10.4 Internet及应用

Internet是世界上规模最大、覆盖面最广且最具影响力的计算机互连网络，它是将分布在世界各地的计算机采用开放系统协议连接在一起，用来进行数据传输、信息交换和资源共享。在现阶段，Internet作为未来信息高速公路的雏形，无论在科学研究、教育、金融，还是在商业、军事等部门，其影响都越来越大。

10.4.1 Internet概述

从用户的角度来看，整个Internet在逻辑上是统一的、独立的，在物理上则由不同的网络互连而成。从技术角度看，Internet本身不是某一种具体的物理网络技术，它是能够互相传递信息的众多网络的一个统称，或者说它是一个网间网，只要人们进入了这个互联网，就是在使用Internet。正是由于Internet的这种特性，使得广大Internet用户不必关心网络的连接，而只关心网络提供的丰富资源。

连入Internet的计算机网络种类繁多、形式各异，且分布在世界各地，因此，需要通过路由器（IP网关）并借助各种通信线路或公共通信网络把它们连接起来。由于实现了与公用电话网的互连，个人用户入网十分方便，只要有电话和Modem即可，这也是Internet迅速普及的原因之一。Internet由美国的ARPANET网络发展而来，因此，它沿用了ARPANET使用的TCP/IP协议，由于该协议非常有效且使用方便，许多操作系统都支持它，无论是服务器还是个人计算机都可安装使用。

对于全球性最大的互联网络，总的来说无确定的负责人，它是由各自独立管理的网络互联构成的，而这些网络各自拥有自己的管理体系和政策法规。因此，没有集中的负责掌管整个Internet的机构。尽管如此，某些政府部门在制定Internet有关政策时实际上起着主导作用。Internet目前的最高国际组织是Internet学会（Internet Society），该学会是一个志愿者组织，也是一个非盈利性的专业化组织，其主要目标是促进Internet的改革与发展。该学会下分Internet体系结构研究会（IAB）和其他几个研究会，IAB下又有工程组（IETF）、许可证管理局（ICRS）、技术研究组（IRTF）和编号管理局（IANA）等。IAB的主要任务是为支持Internet的科研与开发提供服务。

在Internet中分布着一些覆盖范围很广的大网络，这种网络称为”Internet主干网”，它们一般属于国家级的广域网。例如，我国的CHINANET和CERNET等就是中国的Internet主干网。主干网一般只延伸到一些大城市或重要地方，在那里设立主干网结点。每一个主干网结点可以通过路由器将广域网与局域网连接起来，一个结点还可以通过另外的路由器与其他局域网再互连，由此形成一种网状结构。

10.4.2 Internet地址

无论是在网上检索信息还是发送电子邮件，都必须知道对方的Internet地址，它能唯一确定Internet上的每一台计算机、每个用户的位置。也就是说，Internet上的每一台计算机、每个用户都有唯一的地址来标识它是谁和在何处，以方便于几千万个用户、几百万台计算机和成千上万的组织。Internet地址格式主要有两种书写形式：域名格式和IP地址格式。

1. 域名

域名（Domain Name）通常是用户所用的主机的名字或地址。域名格式由若干部分组成，每个部分又称子域名，它们之间用”.”分开，每个部分最少由两个字母或数字组成。域名通常按分层结构来构造，每个子域名都有其特定的含义。通常情况下，一个完整、通用的层次型主机域名由以下4个部分组成：

计算机主机名.本地名.组名.最高层域名

从右到左，子域名分别表示不同的国家或地区的名称（只有美国可以省略表示国家的顶级域名）、组织类型、组织名称、分组织名称和计算机名称等。域名地址的最后一部分子域名称为高层域名（或顶级域名），它大致上可以分成两类：一类是组织性顶级域名；另一类是地理性顶级域名。

例如：www.dzkjdx.edu.cn cn是地理性顶级域名，表示”中国”。

www.263.net net是组织性顶级域名，表示”网络技术组织机构”。

如果一个主机所在的网络级别较高，它可能拥有的域名仅包含3个部分：本地名.组名.最高层域名。现在，Internet地址管理机构（Internet PCA Registration Authority，IPRA）和（Internet Assigned Number Authority，IANA）负责Internet最高层域名的登记和管理。

2. IP地址

Internet地址是按名字来描述的，这种地址表示方式易于理解和记忆。实际上，Internet中的主机地址是用IP地址来唯一标识的。这是因为Internet中所使用的网络协议是TCP/IP协议，故每个主机必须用IP地址来标识。

每个IP地址都由4个小于256的数字组成，数字之间用”.”分开。Internet的IP地址共有32位，4个字节。它有两种表示格式：二进制格式和十进制格式。二进制格式是计算机所认识的格式，十进制格式是由二进制格式”翻译”过去的，主要是为了便于使用和掌握。例如，十进制IP地址129.102.4.11与二进制的10000001 01100110 00000100 00001011相同，显然表示成带点的十进制格式方便得多。

域名和IP地址是一一对应的，域名易于记忆、便于使用，因此得到比较普遍的使用。当用户和Internet上的某台计算机交换信息时，只需要使用域名，网络会自动地将其转换成IP地址，找到该台计算机。

Internet中的地址可分为5类：A类、B类、C类、D类和E类。在IP地址中，全0代表的是网络，全1代表的是广播。

A类网络地址占有1个字节（8位），定义最高位为0来标识此类地址，余下7位为真正的网络地址，支持$1\sim126$个网络。后面的3个字节（24位）为主机地址，共提供$2^{24}-2$个端点的寻址。A类网络地址第一个字节的十进制值为$000\sim127$。

B类网络地址占有两个字节，使用最高两位为10来标识此类地址，其余14位为真正的网络地址，主机地址占后面的两个字节（16位），所以B类全部的地址有$(2^{14}-2) \times (2^{16}-2) = 16382 \times 65534$个。B类网络地址第一个字节的十进制值为$128\sim191$。

C类网络地址占有3个字节，它是最通用的Internet地址。使用最高三位为110来标识此类地址，其余21位为真正的网络地址，因此C类地址支持$2^{21}-2$个网络。主机地址占最后1个字节，每个网络可多达$2^8-2$个主机。C类网络地址第一个字节的十进制值为$192\sim223$。

D类地址是相当新的。它的识别头是1110，用于组播，例如用于路由器修改。D类网络地址第一个字节的十进制值为$224\sim239$。

E类地址为实验保留，其识别头是1111。E类网络地址第一个字节的十进制值为$240\sim255$。

网络软件和路由器使用子网掩码（Subnet Mask）来识别报文是仅存放在网络内部还是被路由转发到其他地方。在一个字段内，1的出现表明一个字段包含所有或部分网络地址，0表明主机地址位置。例如，最常用的C类地址使用前3个字节来识别网络，最后一个字节（8位）识别主机。因此，子网掩码是255.255.255.0。

子网地址掩码是相对特别的IP地址而言的，如果脱离了IP地址就毫无意义。它的出现一般是跟着一个特定的IP地址，用来为计算这个IP地址中的网络号部分和主机号部分提供依据。换句话说，就是在写一个IP地址后，用于指明哪些是网络号部分，哪些是主机号部分。子网掩码的格式与IP地址相同，所有对应网络号的部分用1填上，所有对应主机号的部分用0填上。

A类、B类、C类IP地址类默认的子网掩码如表10-2所示。

表10-2 带点十进制符号表示的默认子网掩码

如果需要将网络进行子网划分，此时子网掩码可能不同于以上默认的子网掩码。例如，138.96.58.0是一个8位子网化的B类网络ID。基于B类的主机ID的8位被用来表示子网化的网络，对于网络138.96.39.0，其子网掩码应为255.255.255.0。

例如，一个B类地址172.16.3.4，为了直观地说明前16位是网络号，后16位是主机号，可以附上子网掩码255.255.0.0(11111111 11111111 00000000 00000000)。

假定某单位申请的B类地址为179.143.×××.×××。如果希望把它划分为14（至少占二进制的4位）个虚拟的网络，则需要占4位主机位，子网使用掩码255.255.240.0～255.255.255.0来建立子网。每个LAN可有$2^{12}-2$个主机，且各子网可具有相同的主机地址。

假设一个组织有几个相对大的子网，每个子网包括了25台左右的计算机；而又有一些相对较小的子网，每个子网大概只有几台计算机。在这种情况下，可以将一个C类地址分成6个子网（每个子网可以包含30台计算机），这样解决了很大的问题。但是出现了一个新的情况，那就是大的子网基本上完全利用了IP地址范围，小的子网却造成了许多IP地址的浪费。为了解决这个新的难题，避免任何的IP浪费，出现了允许应用不同大小的子网掩码来对IP地址空间进行子网划分的解决方案。这种新的方案称为可变长子网掩码（VLSM）。

VLSM用一个十分直观的方法来表示，那就是在IP地址后面加上”/网络号及子网络号编址位数”。例如，193.168.125.0/27就表示前27位表示网络号。

例如，给定135.41.0.0/16的基于B类的网络ID，所需的配置是为将来使用保留一半的地址，其余的生成15个子网，达到2000台主机。

由于要为将来使用保留一半的地址，完成了135.41.0.0的基于B类的网络ID的1位子网化，生成两个子网135.41.0.0/17和135.41.128.0/17，子网135.41.128.0/17被选作为将来使用所保留的地址部分，135.41.0.0/17被继续生成子网。

为达到划分2000台主机的15个子网的要求，需要将135.41.128.0/17的子网化的网络ID的4位子网化。这就产生了16个子网（135.41.128.0/21、135.41.136.0/21、…、135.41.240.0/21、135.41.248.0/21），允许每个子网有2046台主机。最初的15个子网化的网络ID（135.41.128.0/21～135.41.240.0/21）被选定为网络ID，从而实现了要求。

现在的IP协议的版本号为4，所以也称之为IPv4，为了方便网络管理员阅读和理解，使用4个十进制数中间加小数点”.”来表示。但随着因特网的膨胀，IPv4不论从地址空间上，还是协议的可用性上都无法满足因特网的新要求。这样出现了一个新的IP协议——IPv6，它使用8个十六进制数中间加”:”来表示。IPv6将原来的32位地址扩展成为128位地址，彻底解决了地址缺乏的问题。

3. NAT技术

因特网面临IP地址短缺的问题。解决这个问题有所谓长期的或短期的两种解决方案。长期的解决方案就是使用具有更大地址空间的IPv6协议，网络地址翻译（Network Address Translators，NAT）是许多短期的解决方案中的一种。

NAT技术最初提出的建议是在子网内部使用局部地址，而在子网外部使用少量的全局地址，通过路由器进行内部和外部地址的转换。NAT的实现主要有两种形式。

第一种应用是动态地址翻译（Dynamic Address Translation）。为此，首先引入存根域的概念，所谓存根域（Stub Domain），就是内部网络的抽象，这样的网络只处理源和目标都在子网内部的通信。任何时候存根域内只有一部分主机要与外界通信，甚至还有许多主机可能从不与外界通信，所以整个存根域只需共享少量的全局IP地址。存根域有一个边界路由器，由它来处理域内与外部的通信。假定

• $m$：需要翻译的内部地址数。
• $n$：可用的全局地址数（NAT地址）。

当$m:n$翻译满足条件（$m \geq 1$且$m \geq n$）时，可以把一个大的地址空间映像到一个小的地址空间。所有NAT地址放在一个缓冲区中，并在存根域的边界路由器中建立一个局部地址和全局地址的动态映像表。这个图显示的是把所有B类网络138.201中的IP地址翻译成C类网络178.201.112中的IP地址。这种NAT地址重用有以下特点。

（1）只要缓冲区中存在尚未使用的C类地址，任何从内向外的连接请求都可以得到响应，并且在边界路由器的动态NAT表中为之建立一个映像表项。

（2）如果内部主机的映像存在，就可以利用它建立连接。

（3）从外部访问内部主机是有条件的，即动态NAT表中必须存在该主机的映像。

动态地址翻译的好处是节约了全局适用的IP地址，而且不需要改变子网内部的任何配置，只需在边界路由器中设置一个动态地址变换表就可以工作了。

另外一种特殊的NAT应用是$m:1$翻译，这种技术也称为伪装（Masquerading），因为用一个路由器的IP地址就可以把子网中所有主机的IP地址都隐藏起来。如果子网中有多个主机要同时通信，那么还要对端口号进行翻译，所以这种技术常被称为网络地址和端口翻译（Network Address Port Translation，NAPT）。在很多NAPT实现中，专门保留一部分端口号给伪装使用，称为伪装端口号。NAT路由器中有一个伪装表，通过这个表对端口号进行翻译，从而隐藏了内部网络138.201中的所有主机。可以看出，这种方法有以下特点。

（1）出口分组的源地址被路由器的外部IP地址所代替，出口分组的源端口号被一个未使用的伪装端口号所代替。

（2）如果进来的分组的目标地址是本地路由器的IP地址，而目标端口号是路由器的伪装端口号，则NAT路由器就检查该分组是否为当前的一个伪装会话，并试图通过它的伪装表对IP地址和端口号进行翻译。

伪装技术可以作为一种安全手段使用，借以限制外部对内部主机的访问。另外，还可以用这种技术实现虚拟主机和虚拟路由，以便达到负载均衡和提高可靠性的目的。

4. IPv6简介

IPv4（IP version 4）标准是20世纪70年代末期制定完成的。20世纪90年代初期，WWW的应用导致因特网爆炸性发展，随着因特网应用类型日趋复杂，终端形式特别是移动终端的多样化，全球独立IP地址的提供已经开始面临沉重的压力。IPv4将不能满足因特网长期发展的需要，必须立即开始下一代IP网络协议的研究。由此，IETF于1992年成立了IPNG（IP Next Generation）工作组；1994年夏，IPNG工作组提出了下一代IP网络协议（IP version 6，IPv6）的推荐版本；1995年夏，IPNG工作组完成了IPv6的协议文本；1995年到1999年完成了IETF要求的协议审定和测试；1999年成立了IPv6论坛，开始正式分配IPv6地址，IPv6的协议文本成为标准草案。

IPv6具有长达128位的地址空间，可以彻底解决IPv4地址不足的问题。由于IPv4地址是32位二进制，所能表示的IP地址个数为$2^{32}=4294967296\approx40$亿个，因而在因特网上约有40亿个IP地址。由32位的IPv4升级至128位的IPv6，因特网中的IP地址从理论上讲会有$2^{128}=3.4\times10^{38}$个，如果整个地球表面（包括陆地和水面）都覆盖着计算机，那么IPv6允许每平方米有$7\times10^{23}$个IP地址，如果地址分配的速率是每秒分配100万个，则需要$10^{19}$年的时间才能将所有地址分配完毕，可见，在想象得到的将来，IPv6的地址空间是不可能用完的。除此之外，IPv6还采用分级地址模式、高效IP包首部、服务质量、主机地址自动配置、认证和加密等许多技术。

1）IPv6数据包的格式

IPv6数据包有一个40个字节的基本首部（base header），其后允许有0个或多个扩展首部（Extension Header），再后面是数据。每个IPv6数据包都是从基本首部开始。IPv6基本首部的很多字段可以和IPv4首部中的字段直接对应。

• 版本号：该字段占4位，说明了IP协议的版本。对于IPv6而言，该字段值是0110，也就是十进制数的6。

• 通信类型：该字段占8位，其中优先级字段占4位，使源站能够指明数据包的流类型。首先，IPv6把流分成两大类，即可进行拥塞控制的和不可进行拥塞控制的。每一类又分为8个优先级。优先级的值越大，表明该分组越重要。对于可进行拥塞控制的业务，其优先级为$0\sim7$。当发生拥塞时，这类数据包的传输速率可以放慢。对于不可进行拥塞控制的业务，其优先级为$8\sim15$。这些都是实时性业务，如音频或视频业务的传输。这种业务的数据包发送速率是恒定的，即使丢掉了一些，也不进行重发。

• 流标号：该字段占20位。所谓流，就是因特网上从一个特定源站到一个特定目的站（单播或多播）的一系列数据包。所有属于同一个流的数据包都具有同样的流标号。源站在建立流时是在$2^{24}-1$个流标号中随机选择一个流标号。流标号0保留作为指出没有采用流标号。源站随机地选择流标号并不会在计算机之间产生冲突，因为路由器在将一个特定的流与一个数据包相关联时使用的是数据包的源地址和流标号的组合。

从一个源站发出的具有相同非0流标号的所有数据包都必须具有相同的源地址和目的地址，以及相同的逐跳选项首部（若此首部存在）和路由选择首部（若此首部存在）。这样做的好处是当路由器处理数据包时只要查一下流标号即可，而不必查看数据包首部中的其他内容。任何一个流标号都不具有特定的意义，源站应将它希望各路由器对其数据包进行的特殊处理写明在数据包的扩展首部中。

• 净负荷长度（Payload Length）：该字段占16位，指明除首部自身的长度外，IPv6数据包所载的字节数。可见，一个IPv6数据包可容纳64千字节长的数据。由于IPv6的首部长度是固定的，因此没有必要像IPv4那样指明数据包的总长度（首部与数据部分之和）。

• 下一个首部（Next Header）：该字段占8位，标识紧接着IPv6首部的扩展首部的类型。这个字段指明在基本首部后面紧接着的一个首部的类型。

• 跳数限制（Hop Limit）：该字段占8位，用来防止数据包在网络中无限期地存在。源站在每个数据包发出时即设定某个跳数限制。每一个路由器在转发数据包时，要先将跳数限制字段中的值减1。当跳数限制的值为0时，要将此数据包丢弃。这相当于IPv4首部中的生存期字段，但比IPv4中的计算时间间隔要简单一些。

• 源站IP地址：该字段占128位，是数据包的发送站的IP地址。

• 目的站IP地址：该字段占128位，是数据包的接收站的IP地址。

2）IPv6的地址表示

一般来讲，一个IPv6数据包的目的地址可以是以下3种基本类型地址之一。

• 单播（Unicast）：传统的点对点通信。
• 多播（Multicast）：一点对多点的通信，数据包交付到一组计算机中的每一个。IPv6没有采用广播的术语，而是将广播看作多播的一个特例。
• 任播（Anycast）：这是IPv6增加的一种类型。任播的目的站是一组计算机，但数据包在交付时只交付给其中的一个，通常是距离最近的一个。

为了使地址的表示简洁一些，IPv6使用冒号十六进制记法（Colon Hexadecimal Notation，Colon Hex），它把每16位用相应的十六进制表示，各组之间用冒号分隔。例如：

$686\text{E}:8\text{C}64:\text{FFFF}:\text{FFFF}:0:1180:96\text{A}:\text{FFFF}$

冒号十六进制记法允许0压缩（Zero Compression），即一连串连续的0可以用一对冒号所取代，例如：

$\text{FF}05:0:0:0:0:0:0:\text{B}3 \quad \text{可以改成：} \quad \text{FF}05::\text{B}3$

为了保证0压缩有一个清晰的解释，建议中规定，在任一地址中只能使用一次0压缩。该技术对已建议的分配策略特别有用，因为会有许多地址包含连续的0串。

另外，冒号十六进制记法可结合有点分十进制记法的后缀，这种结合在IPv4向IPv6的转换阶段特别有用。例如，下面的串是一个合法的冒号十六进制记法：

$0:0:0:0:0:0:128.10.1.1$

请注意，在这种记法中，虽然为冒号所分隔的每个值是一个16位的量，但每个点分十进制部分的值指明一个字节的值。再使用0压缩即可得出：

$::128.10.1.1$

10.4.3 Internet服务

作为全世界最大的国际性计算机网络的Internet，为全球的科研界、教育界和娱乐界等方面提供了极其丰富的信息资源和最先进的信息交流手段。在Internet上，时刻传送着大量的各种各样的信息，从电影、实况转播到最尖端的科学研究等无所不包，当然信息最多的还是科技信息，如计算机软件、科技论文、图书馆/出版社目录、最新科技动态、电子杂志、产品推销和网络新闻等。这些内容均可由Internet服务来为用户提供。

在使用传输控制协议或用户数据报协议时，Internet IP可支持65535种服务，这些服务是通过各个端口到名字实现的逻辑连接。端口分两类：一类是已知端口或称公认端口，端口号为$0\sim1023$，这些端口由Internet赋值地址和端口号的组织（IANA）赋值；另一类是需在IANA注册登记的端口号，为$1024\sim65535$。

前面介绍了Internet网络接口层、网际层协议和传输层协议，本节主要介绍Internet的高层协议，如域名服务、远程登录服务、电子邮件服务、WWW服务和文件传输服务等。

1. 域名服务

Internet中的域名地址和IP地址是等价的，它们之间是通过域名服务来完成映射变换的。实际上，DNS是一种分布式地址信息数据库系统，服务器中包含整个数据库的某部分信息，并供客户查询。DNS允许局部控制整个数据库的某些部分，但数据库的每一部分都可通过全网查询得到。

域名系统采用的是客户端/服务器模式，整个系统由解析器和域名服务器组成。解析器是客户方，它负责查询域名服务器、解释从服务器返回来的应答、将信息返回给请求方等工作。域名服务器是服务器方，它通常保存着一部分域名空间的全部信息，这部分域名空间称为区（Zone）。一个域名服务器可以管理一个或多个区。域名服务器可以分为主服务器、Caching Only服务器和转发服务器（Forwarding Server）。

域名系统是一个分布式系统，其管理和控制也是分布式的。一个用户A在查找另一用户B时，域名系统的工作过程如下。

（1）解析器向本地域名服务器发出请求查阅用户B的域名。 （2）本地域名服务器向最高层域名服务器发出查询地址的请求。 （3）最高层域名服务器返回给本地域名服务器一个IP地址。 （4）本地域名服务器向组域名服务器发出查询地址的请求。 （5）组域名服务器返回给本地域名服务器一个IP地址。 （6）本地服务器向刚返回的域名服务器发出查询域名地址请求。 （7）IP地址返回给本地域名服务器。 （8）本地域名服务器将该地址返回给解析器。

因此，本地域名服务器为了得到一个IP地址常常需要查询多个域名服务器。于是，在查询地址的同时，本地域名服务器也就得到了许多其他域名服务器的信息，像它们的IP地址、所负责的区域等。本地域名服务器将这些信息连同最终查询到的主机IP地址全部存放在它的Cache中，以便将来参考。当下次解析器再查询与这些域名相关的信息时，就可以直接引用，这样大大减少了查询时间。

因此，在访问主机的时候只需要知道域名，通过DNS服务器将域名变换为IP地址。DNS所用的是UDP端口，端口号为53。

2. 远程登录服务

远程登录服务是在Telnet协议的支持下，将用户计算机与远程主机连接起来，在远程计算机上运行程序，将相应的屏幕显示传送到本地机器，并将本地的输入送给远程计算机。由于这种服务基于Telnet协议且使用Telnet命令进行远程登录，故称为Telnet远程登录。

Telnet是基于客户端/服务器模式的服务系统，它由客户端软件、服务器软件以及Telnet通信协议三部分组成。远程计算机又称为Telnet主机或服务器，本地计算机作为Telnet客户端来使用，它起到远程主机的一台虚拟终端（仿真终端）的作用，通过它用户可以与主机上的其他用户一样共同使用该主机提供的服务和资源。

当用户使用Telnet登录远程主机时，该用户必须在这个远程主机上拥有合法的账号和相应的密码，否则远程主机将会拒绝登录。在运行Telnet客户程序后，首先应该建立与远程主机的TCP连接，从技术上讲，就是在一个特定的TCP端口（端口号一般为23）上打开一个套接字，如果远程主机上的服务器软件一直在这个众所周知的端口上侦听连接请求，则这个连接便会建立起来，此时用户的计算机就成为该远程主机的一个终端，便可以进行联机操作了，即以终端方式为用户提供人机界面。然后将用户输入的信息通过Telnet协议便可以传送给远程主机，主机在众所周知的TCP端口上侦听到用户的请求并处理后，将处理的结果通过Telnet协议返回给客户程序。最后客户端接收到远程主机发送来的信息，并经过适当的转换显示在用户计算机的屏幕上。

3. 电子邮件服务

电子邮件（E-mail）就是利用计算机进行信息交换的电子媒体信件。它是随着计算机网络而出现的，并依靠网络的通信手段实现普通邮件信息的传输。它是最广泛的一种服务。

电子邮件是一种通过计算机网络与其他用户进行联系的快速、简便、高效、价廉的现代化通信手段。如果要使用E-mail，首先必须拥有一个电子邮箱，它是由E-mail服务提供者为其用户建立在E-mail服务器磁盘上的专用于存放电子邮件的存储区域，并由E-mail服务器进行管理。用户将使用E-mail客户软件在自己的电子邮箱里收发电子邮件。电子邮件地址的一般格式为用户名@主机名，例如fqzhang@china.com。

E-mail系统基于客户端/服务器模式，整个系统由E-mail客户端软件、E-mail服务器和通信协议三部分组成。E-mail客户端软件也称用户代理（User Agent），它是用户用来收发和管理电子邮件的工具；E-mail服务器主要充当”邮局”的角色，它除了为用户提供电子邮箱外，还承担着信件的投递业务，当用户发送一个电子邮件后，E-mail服务器通过网络若干中间结点的”存储—转发”式的传递，最终把信件投递到目的地（收信人的电子邮箱）；E-mail服务器主要采用SMTP（简单邮件传输协议），本协议描述了电子邮件的信息格式及其传递处理方法，保证被传送的电子邮件能够正确的寻址和可靠的传输，它是面向文本的网络协议，其缺点是不能用来传送非ASCII码文本和非文字性附件，在日益发展的多媒体环境中以及人们关注的邮件私密性方面更显出它的局限性。后来的一些协议，包括多用途Internet邮件扩充协议（MIME）及增强私密邮件保护协议（PEM），弥补了SMTP的缺点。SMTP用在大型多用户、多任务的操作系统环境中，将它用在PC上收信是十分困难的，所以在TCP/IP网络上的大多数邮件管理程序使用SMTP来发信，且采用POP（Post Office Protocol，常用的是POP3）来保管用户未能及时取走的邮件。

POP协议有两个版本：POP2和POP3。目前使用的POP3既能与SMTP共同使用，也可以单独使用，以传送和接收电子邮件。POP协议是一种简单的纯文本协议，每次传输以整个E-mail为单位，不能提供部分传输。

用户要传送E-mail，首先需在联网的计算机上使用邮件软件编好邮件正文，填好邮件收信人的E-mail地址、发信人电子邮件地址（或自动填上）、邮件的主题等内容，然后使用E-mail的发送命令发出。此时，E-mail发送端与接收端的计算机在工作时并不直接进行通信，而是在发信端计算机送出邮件后，先到达自己所注册的邮件服务器主机，再在网络传输过程中经过多个计算机和路由器的中转到达目的地的邮件服务器主机，送进收信人的电子邮箱，最后邮件的接收者上网并启动电子邮件管理程序，它就会自动检查邮件服务器中的电子邮箱，若发现新邮件，便会下载到自己的计算机上，完成接收邮件的任务。

简单邮件传送协议和用于接收邮件的POP3均是利用TCP端口。SMTP所用的端口号是25，POP3所用的端口号是110。

4. WWW（World Wide Web，万维网）服务

万维网是一种交互式图形界面的Internet服务，具有强大的信息连接功能，是目前Internet中最受欢迎的、增长速度最快的一种多媒体信息服务系统。

万维网是基于客户端/服务器模式的信息发送技术和超文本技术的综合，WWW服务器把信息组织为分布的超文本，这些信息结点可以是文本、子目录或信息指针。WWW浏览程序为用户提供基于超文本传输协议（Hyper Text Transfer Protocol，HTTP）的用户界面，WWW服务器的数据文件由超文本标记语言（Hyper Text Markup Language，HTML）描述，HTML利用统一资源定位器（URL）的指标是超媒体链接，并在文本内指向其他网络资源。

超文本传输协议是一个Internet上的应用层协议，是Web服务器和Web浏览器之间进行通信的语言。所有的Web服务器和Web浏览器必须遵循这一协议，才能发送或接收超文本文件。HTTP是客户端/服务器体系结构，提供信息资源的Web结点（即Web服务器），可称为HTTP服务器，Web浏览器则是HTTP服务器的客户。WWW上的信息检索服务系统就是遵循HTTP运行的。在HTTP的帮助下，用户可以只关心要检索的信息，而无须考虑这些信息存储在什么地方。

在Internet上，万维网整个系统由Web服务器、Web浏览器（Browser）和HTTP通信协议三部分组成。Web服务器提供信息资源；Web浏览器将信息显示出来；HTTP是为分布式超媒体信息系统设计的一种网络协议，主要用于域名服务器和分布式对象管理，它能够传送任意类型的数据对象，以满足Web服务器与客户端之间多媒体通信的需要，从而成为Internet中发布多媒体信息的主要协议。

统一资源定位器是在WWW中标识某一特定信息资源所在位置的字符串，是一个具有指针作用的地址标准。在WWW上查询信息，必不可少的一项操作是在浏览器中输入查询目标的地址，这个地址就是URL，也称Web地址，俗称”网址”，一个URL指定一个远程服务器域名和一个Web页。换而言之，每个Web页都有唯一的URL。URL也可指向FTP、WAIS和gopher服务器代表的信息。通常，用户只需要了解和使用主页的URL，通过主页再访问其他页。当用户通过URL向WWW提出访问某种信息资源时，WWW的客户服务器程序自动查找资源所在的服务器地址，一旦找到，立即将资源调出供用户浏览。

使用WWW的浏览程序（例如Internet Explore、Netscape和Mosaic等），网页的超文本链接将引导用户找到所需要的信息资源。

如果已经是Internet的用户，只要在自己的计算机上运行一个客户程序（WWW浏览器），并给出需访问的URL地址，就可以尽情浏览这些来自远方或近邻的各种信息。WWW工作过程为：首先通过局域网或通过电话拨号连入Internet，并在本地计算机上运行WWW浏览器程序，然后根据想要获得的信息来源在浏览器的指定位置输入WWW地址，并通过浏览器向Internet发出请求信息，此时网络中的IP路由器和服务器将按照地址把信息传递到所要求的WWW服务器中，而WWW服务器不断在一个众所周知的TCP端口（端口号为80）上侦听用户的连接请求，当服务器接收到请求后，找到所要求的WWW页面，最后服务器将找到的页面通过Internet传送回用户的计算机，浏览器接收传来的超文本文件，转换并显示在计算机屏幕上。

一个URL（Web地址）包括以下几部分：协议、主机域名、端口号（任选）、目录路径（任选）和一个文件名（任选）。其格式为：

$\text{scheme}://\text{host}.\text{Domain}[: \text{port}] \text{Upath}/\text{filename}$

其中，scheme指定服务连接的方式（协议），通常有下列几种。

• file：本地计算机上的文件。
• ftp：FTP服务器上的文件。
• gopher：Gopher服务器上的文件。
• http：WWW服务器上的超文本文件。
• New：一个USenet的新闻组。
• telnet：一个Telnet站点。
• wais：一个WAIS服务器。
• mailto：发送邮件给某人。

在地址的冒号之后通常是两个反斜线，表示后面是指定信息资源的位置，其后是一个可选的端口号，地址的最后部分是路径或文件名。如果端口号默认，表示使用与某种服务方式对应的标准端口号。根据查询要求不同，给出的URL中的目录路径这一项可有可无。如果在查询中要求包括文件路径，那么在URL中就要具体指出要访问的文件名称。

下面是一些URL的例子：

5. 文件传输服务

文件传输协议用来在计算机之间传输文件。由于Internet是一座装满了各种计算机文件的宝库，其中有免费和共享的软件、各种图片、声音、图像和动画文件，还有书籍和参考资料等，如果希望将它们下载到你的计算机上，最主要的一个方法是通过文件传输协议来实现，因此它是Internet中广为使用的一种服务。

通常，一个用户需要在FTP服务器中进行注册，即建立用户账号，在拥有合法的登录用户名和密码后，才有可能进行有效的FTP连接和登录。对于Internet中成千上万个FTP服务器来说，这就给提供FTP服务的管理员带来很大的麻烦，即需要为每一个使用FTP的用户提供一个账号，这样做显然是不现实的。实际上，Internet的FTP服务是一种匿名（anonymous）FTP服务，它设置了一个特殊的用户名——anonymous，供公众使用，任何用户都可以使用这个用户名与提供这种匿名FTP服务的主机建立连接，并共享这个主机对公众开放的资源。

匿名FTP的用户名是anonymous，密码通常是guest或者是使用者的E-mail地址。当用户登录到匿名FTP服务器后，其工作方式与常规FTP相同。通常，出于安全的目的，大多数匿名FTP服务器只允许下载（Download）文件，而不允许上传（Upload）文件。也就是说，用户只能从匿名FTP服务器复制所需的文件，而不能将文件复制到匿名FTP服务器上。此外，匿名FTP服务器中的文件还加入一些保护性措施，确保这些文件不能被修改和删除，同时也可以防止计算机病毒的侵入。

FTP是基于客户端/服务器模式的服务系统，它由客户端软件、服务器软件和FTP通信协议3个部分组成。FTP客户端软件运行在用户计算机上，在用户装入FTP客户端软件后，便可以通过使用FTP内部命令与远程FTP服务器采用FTP通信协议建立连接或文件传送；FTP服务器软件运行在远程主机上，并设置一个名叫anonymous的公共用户账号，向公众开放。

FTP在客户端与服务器的内部建立两条TCP连接：一条是控制连接，主要用于传输命令和参数（端口号为21）；另一条是数据连接，主要用于传送文件（端口号为20）。FTP服务器不断地在21号端口上侦听用户的连接请求，当用户使用用户名anonymous和密码guest或者用户E-mail地址进行登录时，用户即发出连接请求，这样控制连接便建立起来。此时，用户名和密码将通过控制连接发送给服务器；服务器接收到这个请求后，便进行用户识别，然后向客户回送确认或拒绝的应答信息；用户看到登录成功的信息后，便可以发出文件传输的命令；服务器从控制连接上接收到文件名和传输命令（如get）后，便在20号端口发起数据连接，并在这个连接上将文件名所指明的文件传输给客户。只要用户不使用close或者其他命令关闭连接，便可以继续传输其他文件。

10.5 信息安全基础知识

信息成为一种重要的战略资源，信息的获取、处理和安全保障能力成为一个国家综合国力的重要组成部分，信息安全事关国家安全、事关社会稳定。信息安全理论与技术的内容十分广泛，包括密码学与信息加密、可信计算、网络安全和信息隐藏等多个方面。

1. 信息安全存储安全

信息安全包括5个基本要素：机密性、完整性、可用性、可控性与可审查性。

• 机密性：确保信息不暴露给未授权的实体或进程。
• 完整性：只有得到允许的人才能修改数据，并且能够判别出数据是否已被篡改。
• 可用性：得到授权的实体在需要时可访问数据，即攻击者不能占用所有的资源而阻碍授权者的工作。
• 可控性：可以控制授权范围内的信息流向及行为方式。
• 可审查性：对出现的信息安全问题提供调查的依据和手段。

信息的存储安全包括信息使用的安全（如用户的标识与验证、用户存取权限限制、安全问题跟踪等）、系统安全监控、计算机病毒防治、数据的加密和防止非法的攻击等。

1）用户的标识与验证

用户的标识与验证主要是限制访问系统的人员。它是访问控制的基础，是对用户身份的合法性验证。方法有如下两种：

一是基于人的物理特征的识别，包括签名识别法、指纹识别法和语音识别法；

二是基于用户所拥有特殊安全物品的识别，包括智能IC卡识别法、磁条卡识别法。

2）用户存取权限限制

用户存取权限限制主要是限制进入系统的用户所能做的操作。存取控制是对所有的直接存取活动通过授权进行控制以保证计算机系统安全保密机制，是对处理状态下的信息进行保护。一般有两种方法：隔离控制法和限制权限法。

（1）隔离控制法。隔离控制法是在电子数据处理成分的周围建立屏障，以便在该环境中实施存取规则。隔离控制技术的主要实现方式包括物理隔离方式、时间隔离方式、逻辑隔离方式和密码技术隔离方式等。其中，物理隔离方式的各过程使用不同的物理目标，是一种有效的方式。传统的多网环境一般通过运行两台计算机实现物理隔离。现在我国已经生产出了拥有自主知识产权的涉密计算机，它采用双硬盘物理隔离技术，通过运行一台计算机，即可在物理隔离的状态下切换信息网和公共信息网，实现一机双网或一机多网的功能。还有另外一种方式就是加装隔离卡，一块隔离卡带一块硬盘、一块网卡，连同本机自带的硬盘网卡，使用不同的网络环境。当然，物理隔离方式对于系统的要求比较高，必须采用两套互不相关的设备，其人力、物力、财力的投入都是比较大的。但它也是很有效的方式，因为两者就如两条平行线，永不交叉，自然也就安全了。

（2）限制权限法。限制权限法是有效地限制进入系统的用户所进行的操作。即对用户进行分类管理，安全密级、授权不同的用户分在不同类别；对目录、文件的访问控制进行严格的权限控制，防止越权操作；放置在临时目录或通信缓冲区的文件要加密，用完尽快移走或删除。

3）系统安全监控

系统必须建立一套安全监控系统，全面监控系统的活动，并随时检查系统的使用情况，一旦有非法入侵者进入系统，能及时发现并采取相应措施，确定和堵塞安全及保密的漏洞。应当建立完善的审计系统和日志管理系统，利用日志和审计功能对系统进行安全监控。管理员还应该经常做以下方面。

（1）监控当前正在进行的进程，正在登录的用户情况。 （2）检查文件的所有者、授权、修改日期情况和文件的特定访问控制属性。 （3）检查系统命令安全配置文件、口令文件、核心启动运行文件、任何可执行文件的修改情况。 （4）检查用户登录的历史记录和超级用户登录的记录。如发现异常，及时处理。

4）计算机病毒防治

计算机网络服务器必须加装网络病毒自动检测系统，以保护网络系统的安全，防范计算机病毒的侵袭，并且必须定期更新网络病毒检测系统。

由于计算机病毒具有隐蔽性、传染性、潜伏性、触发性和破坏性等特点，所以需要建立计算机病毒防治管理制度。

（1）经常从软件供应商网站下载、安装安全补丁程序和升级杀毒软件。 （2）定期检查敏感文件。对系统的一些敏感文件定期进行检查，以保证及时发现已感染的病毒和黑客程序。 （3）使用高强度的口令。尽量选择难以猜测的口令，对不同的账号选用不同的口令。 （4）经常备份重要数据，要做到每天坚持备份。 （5）选择、安装经过公安部认证的防病毒软件，定期对整个硬盘进行病毒检测、清除工作。 （6）可以在计算机和因特网之间安装使用防火墙，提高系统的安全性。 （7）当计算机不使用时，不要接入因特网，一定要断掉连接。 （8）重要的计算机系统和网络一定要严格与因特网物理隔离。 （9）不要打开陌生人发来的电子邮件，无论它们有多么诱人的标题或者附件，同时要小心处理来自于熟人的邮件附件。 （10）正确配置系统和使用病毒防治产品。正确配置系统，充分利用系统提供的安全机制，提高系统防范病毒的能力，减少病毒侵害事件。了解所选用防病毒产品的技术特点，正确配置以保护自身系统的安全。

2. 计算机信息系统安全保护等级

1999年2月9日，为更好地与国际接轨，经国家质量技术监督局批准，正式成立了”中国国家信息安全测评认证中心（China National Information Security Testing Evaluation Certification Center，CNISTEC）”。1994年，国务院发布了《中华人民共和国计算机信息系统安全保护条例》，该条例是计算机信息系统安全保护的法律基础。其中第九条规定”计算机信息系统实行安全等级保护。安全等级的划分和安全等级的保护的具体办法，由公安部会同有关部门制定。”公安部在《条例》发布实施后组织制订了《计算机信息系统安全保护等级划分准则》（GB 17859—1999），并于1999年9月13日由国家质量技术监督局审查通过并正式批准发布，已于2001年1月1日起执行。该准则的发布为我国计算机信息系统安全法规和配套标准制定的执法部门的监督检查提供了依据，为安全产品的研制提供了技术支持，为安全系统的建设和管理提供了技术指导，是我国计算机信息系统安全保护等级工作的基础。本标准规定了计算机系统安全保护能力的5个等级。

（1）第一级：用户自主保护级（对应TCSEC的C1级）。本级的计算机信息系统可信计算基（Trusted Computing Base）通过隔离用户与数据，使用户具备自主安全保护的能力。它具有多种形式的控制能力，对用户实施访问控制，即为用户提供可行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏。

（2）第二级：系统审计保护级（对应TCSEC的C2级）。与用户自主保护级相比，本级的计算机信息系统可信计算机实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。

（3）第三级：安全标记保护级（对应TCSEC的B1级）。本级的计算机信息系统可信计算基具有系统审计保护级所有功能。此外，还提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述；具有准确地标记输出信息的能力；消除通过测试发现的任何错误。

（4）第四级：结构化保护级（对应TCSEC的B2级）。本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，它要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通道。本级的计算机信息系统可信计算基必须结构化为关键保护元素和非关键保护元素。计算机信息系统可信计算基的接口也必须明确定义，使其设计与实现能经受更充分的测试和更完整的复审。它加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了配置管理控制。系统具有相当的抗渗透能力。

（5）第五级：访问验证保护级（对应TCSEC的B3级）。本级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的全部访问。访问监控器本身是抗篡改的；必须足够小，能够分析和测试。为了满足访问监控器需求，计算机信息系统可信计算基在其构造时，排除那些对实施安全策略来说并非必要的代码；在设计和实现时，从系统工程角度将其复杂性降低到最小程度。支持安全管理员职能；扩充审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。系统具有很高的抗渗透能力。

3. 数据加密原理

数据加密是防止未经授权的用户访问敏感信息的手段，这就是人们通常理解的安全措施，也是其他安全方法的基础。研究数据加密的科学叫作密码学（Cryptography），它又分为设计密码体制的密码编码学和破译密码的密码分析学。密码学有着悠久而光辉的历史，古代的军事家已经用密码传递军事情报了，而现代计算机的应用和计算机科学的发展又为这一古老的科学注入了新的活力。现代密码学是经典密码学的进一步发展和完善。由于加密和解密此消彼长的斗争永远不会停止，这门科学还在迅速发展之中。

一般的保密通信模型在发送端，把明文P用加密算法E和密钥K加密，变换成密文C，即

$C=E(K,P)$

在接收端利用解密算法D和密钥K对C解密得到明文P，即

$P=D(K,C)$

这里加/解密函数E和D是公开的，而密钥K（加解密函数的参数）是秘密的。在传送过程中偷听者得到的是无法理解的密文，而他又得不到密钥，这就达到了对第三者保密的目的。

如果不论偷听者获取了多少密文，但是密文中没有足够的信息，使得可以确定出对应的明文，则这种密码体制叫作是无条件安全的，或称为是理论上不可破解的。在无任何限制的条件下，几乎目前所有的密码体制都不是理论上不可破解的。能否破解给定的密码，取决于使用的计算资源。所以密码专家们研究的核心问题就是要设计出在给定计算费用的条件下，计算上（而不是理论上）安全的密码体制。下面分析几种曾经使用过的和目前正在使用的加密方法。

10.6 网络安全概述

由于网络传播信息快捷，隐蔽性强，在网络上难以识别用户的真实身份，网络犯罪、黑客攻击、有害信息传播等方面的问题日趋严重，网络安全已成为网络发展中的一个重要课题。网络安全的产生和发展，标志着传统的通信保密时代过渡到了信息安全时代。

1. 网络安全威胁

一般认为，目前网络存在的威胁主要表现在以下5个方面。

（1）非授权访问：没有预先经过同意，就使用网络或计算机资源则被看作非授权访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。

（2）信息泄露或丢失：指敏感数据在有意或无意中被泄露出去或丢失，它通常包括信息在传输中丢失或泄露、信息在存储介质中丢失或泄露以及通过建立隐蔽隧道等窃取敏感信息等。如黑客利用电磁泄漏或搭线窃听等方式可截获机密信息，或通过对信息流向、流量、通信频度和长度等参数的分析，推测出有用信息，如用户口令、账号等重要信息。

（3）破坏数据完整性：以非法手段窃得对数据的使用权，删除、修改、插入或重发某些重要信息，以取得有益于攻击者的响应；恶意添加，修改数据，以干扰用户的正常使用。

（4）拒绝服务攻击：它不断对网络服务系统进行干扰，改变其正常的作业流程，执行无关程序使系统响应减慢甚至瘫痪，影响正常用户的使用，甚至使合法用户被排斥而不能进入计算机网络系统或不能得到相应的服务。

（5）利用网络传播病毒：通过网络传播计算机病毒，其破坏性大大高于单机系统，而且用户很难防范。

2. 网络安全控制技术

为了保护网络信息的安全可靠，除了运用法律和管理手段外，还需依靠技术方法来实现。网络安全控制技术目前有防火墙技术、加密技术、用户识别技术、访问控制技术、网络反病毒技术、网络安全漏洞扫描技术、入侵检测技术等。

（1）防火墙技术。防火墙技术是近年来维护网络安全最重要的手段。根据网络信息保密程度，实施不同的安全策略和多级保护模式。加强防火墙的使用，可以经济、有效地保证网络安全。目前已有不同功能的多种防火墙。但防火墙也不是万能的，需要配合其他安全措施来协同防范。

（2）加密技术。加密技术是网络信息安全主动的、开放型的防范手段，对于敏感数据应采用加密处理，并且在数据传输时采用加密传输，目前加密技术主要有两大类：一类是基于对称密钥的加密算法，也称私钥算法；另一类是基于非对称密钥的加密算法，也称公钥算法。加密手段一般分软件加密和硬件加密两种。软件加密成本低而且实用灵活，更换也方便，硬件加密效率高，本身安全性高。密钥管理包括密钥产生、分发、更换等，是数据保密的重要一环。

（3）用户识别技术。用户识别和验证也是一种基本的安全技术。其核心是识别访问者是否属于系统的合法用户，目的是防止非法用户进入系统。目前一般采用基于对称密钥加密或公开密钥加密的方法，采用高强度的密码技术来进行身份认证。比较著名的有Kerberos、PGP等方法。

（4）访问控制技术。访问控制是控制不同用户对信息资源的访问权限。根据安全策略，对信息资源进行集中管理，对资源的控制粒度有粗粒度和细粒度两种，可控制到文件、Web的HTML页面、图形、CCT、Java应用。

（5）网络反病毒技术。计算机病毒从1981年首次被发现以来，在近20年的发展过程中，在数目和危害性上都在飞速发展。因此，计算机病毒问题越来越受到计算机用户和计算机反病毒专家的重视，并且开发出了许多防病毒的产品。

（6）网络安全漏洞扫描技术。漏洞检测和安全风险评估技术，可预知主体受攻击的可能性和具体地指证将要发生的行为和产生的后果。该技术的应用可以帮助分析资源被攻击的可能指数，了解支撑系统本身的脆弱性，评估所有存在的安全风险。网络漏洞扫描技术，主要包括网络模拟攻击、漏洞检测、报告服务进程、提取对象信息以及评测风险、提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，最大可能地消除安全隐患。

（7）入侵检测技术。入侵行为主要是指对系统资源的非授权使用。它可以造成系统数据的丢失和破坏，可以造成系统拒绝合法用户的服务等危害。入侵者可以是一个手工发出命令的人，也可以是一个基于入侵脚本或程序的自动发布命令的计算机。入侵者分为两类：外部入侵者和允许访问系统资源但又有所限制的内部入侵者。内部入侵者又可分成：假扮成其他有权访问敏感数据用户的入侵者和能够关闭系统审计控制的入侵者。入侵检测是一种增强系统安全的有效技术。其目的就是检测出系统中违背系统安全性规则或者威胁到系统安全的活动。检测时，通过对系统中用户行为或系统行为的可疑程度进行评估，并根据评估结果来鉴别系统中行为的正常性，从而帮助系统管理员进行安全管理或对系统所受到的攻击采取相应的对策。

3. 防火墙技术

防火墙（Firewall）是建立在内外网络边界上的过滤封锁机制，它认为内部网络是安全和可信赖的，而外部网络是不安全和不可信赖的。防火墙的作用是防止不希望的、未经授权地进出被保护的内部网络，通过边界控制强化内部网络的安全策略。防火墙作为网络安全体系的基础和核心控制设施，贯穿于受控网络通信主干线，对通过受控干线的任何通信行为进行安全处理，如控制、审计、报警和反应等，同时也承担着繁重的通信任务。由于其自身处于网络系统中的敏感位置，自身还要面对各种安全威胁，因此，选用一个安全、稳定和可靠的防火墙产品，其重要性不言而喻。

防火墙技术经历了包过滤、应用代理网关和状态检测技术三个发展阶段。

1）包过滤防火墙

包过滤防火墙一般有一个包检查块（通常称为包过滤器），数据包过滤可以根据数据包头中的各项信息来控制站点与站点、站点与网络、网络与网络之间的相互访问，但无法控制传输数据的内容，因为内容是应用层数据，而包过滤器处在网络层和数据链路层（即TCP和IP层）之间。通过检查模块，防火墙能够拦截和检查所有出站和进站的数据，它首先打开包，取出包头，根据包头的信息确定该包是否符合包过滤规则，并进行记录。对于不符合规则的包，应进行报警并丢弃该包。

过滤型的防火墙通常直接转发报文，它对用户完全透明，速度较快。其优点是防火墙对每条传入和传出网络的包实行低水平控制；每个IP包的字段都被检查，例如源地址、目的地址、协议和端口等；防火墙可以识别和丢弃带欺骗性源IP地址的包；包过滤防火墙是两个网络之间访问的唯一来源；包过滤通常被包含在路由器数据包中，所以不需要额外的系统来处理这个特征。缺点是不能防范黑客攻击，因为网管不可能区分出可信网络与不可信网络的界限；不支持应用层协议，因为它不识别数据包中的应用层协议，访问控制粒度太粗糙；不能处理新的安全威胁。

2）应用代理网关防火墙

应用代理网关防火墙彻底隔断内网与外网的直接通信，内网用户对外网的访问变成防火墙对外网的访问，然后再由防火墙转发给内网用户。所有通信都必须经应用层代理软件转发，访问者任何时候都不能与服务器建立直接的TCP连接，应用层的协议会话过程必须符合代理的安全策略要求。

应用代理网关的优点是可以检查应用层、传输层和网络层的协议特征，对数据包的检测能力比较强。缺点是难以配置；处理速度非常慢。

3）状态检测技术防火墙

状态检测技术防火墙结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上，提高了代理防火墙的性能。

状态检测防火墙摒弃了包过滤防火墙仅考查数据包的IP地址等几个参数而不关心数据包连接状态变化的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力，同时也改进了流量处理速度。因为它采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。

一个防火墙系统通常是由过滤路由器和代理服务器组成。过滤路由器是一个多端口的IP路由器，它能够拦截和检查所有出站和进站的数据。代理服务器防火墙使用一个客户程序与特定的中间结点（防火墙）连接，然后中间结点与期望的服务器进行实际连接。这样，内部与外部网络之间不存在直接连接，因此，即使防火墙发生了问题，外部网络也无法获得与被保护的网络的连接。典型防火墙的体系结构分为包过滤路由器、双宿主主机、屏蔽主机网关和被屏蔽子网等类型。

4. 入侵检测与防御

入侵检测系统（Intrusion Detection System，IDS）作为防火墙之后的第二道安全屏障，通过从计算机系统或网络中的若干关键点收集网络的安全日志、用户的行为、网络数据包和审计记录等信息并对其进行分析，从中检查是否有违反安全策略的行为和遭到入侵攻击的迹象，入侵检测系统根据检测结果，自动做出响应。IDS的主要功能包括对用户和系统行为的监测与分析、系统安全漏洞的检查和扫描、重要文件的完整性评估、已知攻击行为的识别、异常行为模式的统计分析、操作系统的审计跟踪，以及违反安全策略的用户行为的检测等。入侵检测通过实时地监控入侵事件，在造成系统损坏或数据丢失之前阻止入侵者进一步的行动，使系统能尽可能的保持正常工作。与此同时，IDS还需要收集有关入侵的技术资料，用于改进和增强系统抵抗入侵的能力。

入侵检测系统有效的弥补了防火墙系统对网络上的入侵行为无法识别和检测的不足，入侵检测系统的部署，使得在网络上的入侵行为得到了较好的检测和识别，并能够进行及时的报警。然而，随着网络技术的不断发展，网络攻击类型和方式也在进行着巨大的变化，入侵检测系统也逐渐的暴露出如漏报、误报率高、灵活性差和入侵响应能力较弱等不足之处。

入侵防御系统是在入侵检测系统的基础上发展起来的，入侵防御系统不仅能够检测到网络中的攻击行为，同时主动的对攻击行为能够发出响应，对攻击进行防御。两者相较，主要存在以下几种区别。

（1）在网络中的部署位置的不同。

IPS一般是作为一种网络设备串接在网络中的，而IDS一般是采用旁路挂接的方式，连接在网络中。

（2）入侵响应能力的不同。

IDS设备对于网络中的入侵行为，往往是采用将入侵行为记入日志，并向网络管理员发出警报的方式来处理的，对于入侵行为并无主动的采取对应措施，响应方式单一；而入侵防御系统检测到入侵行为后，能够对攻击行为进行主动的防御，例如丢弃攻击连接的数据包以阻断攻击会话，主动发送ICMP不可到达数据包、记录日志和动态的生成防御规则等多种方式对攻击行为进行防御。