17、网络组件与架构：TCP/IP 模型深度解析

最新推荐文章于 2025-12-14 17:16:28 发布

rose2

最新推荐文章于 2025-12-14 17:16:28 发布

阅读量13

点赞数

CC 4.0 BY-SA版权

分类专栏： SUSE Linux入门精要文章标签： TCP/IP模型网络服务 ARP

本文链接：https://blog.youkuaiyun.com/rose2/article/details/155873423

SUSE Linux入门精要专栏收录该内容

17 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

网络组件与架构：TCP/IP 模型深度解析

在当今的数字化时代，网络已经成为了人们生活和工作中不可或缺的一部分。了解网络的组件和架构对于深入理解网络通信的原理至关重要。本文将详细介绍网络服务、TCP/IP 层模型以及各层的具体协议和功能。

网络服务

网络服务是允许用户共享网络资源的程序。在网络中，节点通过传输介质（如电缆）使用网络服务进行通信。网络服务需要资源和处理能力来完成诸如数据处理等任务。常见的网络服务包括 CUPS（通用 Unix 打印系统）、DNS（用于名称解析）和 NFS（用于网络文件服务）。

TCP/IP 层模型

随着时间的推移，由于需要连接不同类型的网络以及应用程序数量和需求的增加，网络功能变得越来越复杂。为了应对这种复杂性，人们尝试将网络中的各个任务组合成组，并以包的形式实现。在网络环境中，这些包被组织成相互堆叠的层，整体模型被称为层模型。

其中，最著名的层模型之一是开放系统的 OSI（开放系统互连）参考模型，在该模型中，通信系统被分为 7 层。然而，另一个广为人知的模型——TCP/IP 层模型只有 4 层。在 TCP/IP 模型中，OSI 模型的 3 个上层被合并到应用层，两个下层被合并到网络访问层。TCP/IP 模型的各层如下：
- 网络访问层
- 互联网层
- 传输层
- 应用层

下面是 OSI 参考模型和 TCP/IP 参考模型的对比表格：
| ISO/OSI 参考模型 | TCP/IP 参考模型 |
| — | — |
| 应用层 | 应用层 |
| 表示层 | |
| 会话层 | |
| 传输层 | 传输层 |
| 网络层 | 互联网层 |
| 数据链路层 | 网络访问层 |
| 物理层 | |

网络访问层

在 TCP/IP 层模型中，OSI 模型的物理层和数据链路层被合并为网络访问层。TCP/IP 如此受欢迎的一个原因是它可以在不同的广域网和局域网网络架构上运行，例如：
- 以太网
- 令牌总线
- 令牌环
- ATM（异步传输模式）
- FDDI（光纤分布式数据接口）

此外，它还通过电话为 IP 提供以下解决方案：
- PPP（点对点协议）
- SLIP（串行线路接口协议）

互联网层

TCP/IP 模型的互联网层确保网络中各个主机之间的连接超出了互联网中各个网络的限制。其主要任务包括为互联网提供地址空间、路由以及端系统（主机计算机）之间的数据传输。互联网层的协议包括：
- 地址解析协议（ARP）
- 互联网协议（IP）
- 互联网控制消息协议（ICMP）

地址解析协议（ARP）

ARP（地址解析协议）（RFC 826）用于将 IP 地址解析为硬件地址（MAC 地址，介质访问控制）。MAC 地址始终由 6 个字节（十六进制表示）组成，前 3 个字节表示制造商，后 3 个字节是网卡的序列号。

ARP 广播使用一个特殊的 MAC 地址（所有位都为 1：ff:ff:ff:ff:ff:ff）。以下是 ARP 解析过程：
1. 主机 A 通过 ARP 广播请求（ping C）向所有计算机发出查询：“谁是主机 C？”
2. 主机 C 回复（ARP 回复）：“我的硬件地址是 00:50:34:B0:CF:07。”
3. 通信建立。

主机 A 将查询的回复存储在缓存中。可以使用命令 arp (/sbin/arp) 查看此缓存，该命令还提供了编辑缓存的选项，例如删除无效的 MAC 地址到 IP 地址的映射（arp -d hostname）。要了解 arp 命令的详细信息，请输入 man arp。还可以使用程序 arpwatch (/usr/sbin/arpwatch) 监控 ARP 请求和回复，以定位 ARP 流量中的错误。

互联网协议（IP）

IP 为 TCP/IP 网络中的端系统之间的数据传输提供底层服务，在 RFC 791 中进行了规定。数据以数据包（也称为数据报）的形式通过网络传输。该协议的主要特点是无连接和不可靠。

无连接意味着在数据传输时不会建立通信伙伴之间的端到端连接。不可靠是因为它没有错误检测或纠错机制，即 IP 不能保证数据的传递。但是，如果数据到达目标主机，数据是正确的，这由网络访问层保证。

IP 的基本任务包括：
- 指定构成互联网数据传输基本单元的数据报
- 定义寻址方案
- 通过网络路由、交换和传输数据报
- 分割和组装数据报

此外，还需要了解以下与 TCP/IP 相关的主题：
- 路由：IP 的主要特点是两台计算机之间的无连接数据传输（数据包交换），这意味着每个数据包都要在网络中寻找新的路径。这种方法的优点在于其健壮性，如果电缆因任何原因出现故障，数据包可以选择不同的路线（如果有的话）。路由的任务是为每个从机器 A 发送到机器 B 的数据包在互联网中找到一条路径，为此需要使用路由协议和算法。
- IP 地址 ：在基于 IP 的网络中，每台计算机（或计算机的每个网络接口）都有一个唯一的 32 位 IP 地址。为了便于阅读，这 32 位不是以 32 个 0 和 1 的序列表示，而是分为 4 个字节，这些字节称为八位字节，用点分隔（32 位/4 字节点分表示法，或点分四组表示法），并以十进制或二进制数字记录。例如，从机器的角度来看，32 位“连续”表示为 11000000 10000001 00110010 00000001，以十进制格式表示为 192.129.50.1。IP 地址由网络前缀（IP 地址的前半部分）和主机号（IP 地址的后半部分）组成，网络前缀有助于确定主机所在的网络类别，通过 IP 地址，数据可以被传递到目标网络中的所需主机。
- IPv6 ：改变 IP 协议的主要原因是地址空间有限，这可能在不久的将来导致地址短缺。由于这些需求以及 IPv4 的问题，IETF（互联网工程任务组）于 1990 年开始研究新版本的 IP：互联网协议第 6 版——IPv6（下一代 IP）。该项目的基本目标包括：
- 支持数十亿台主机，即使地址空间使用效率不高
- 减小互联网路由表的大小
- 简化协议，使路由器能够更快地处理数据包
- 提供比当前 IP 更高的安全性（身份验证和数据安全）
- 更注重服务类型，特别是对于实时应用程序
- 支持多播
- 为未来的发展开放协议

要了解 IPv6 的详细信息，请访问 www.ipv6.org/。

互联网控制消息协议（ICMP）

互联网协议（IP）并非为确保无差错数据传输而设计。在 IP 数据报传输过程中出现通信问题时，数据报的发送者会通过 ICMP 收到相应的错误报告。然而，只有当网关或 IP 数据报的接收者能够分析发生的错误时，才能将此错误报告发送给 IP 数据报的发送者。

因此，ICMP（如 RFC 792 中所定义）通常用于向 IP 数据报的发送者传输错误报告。例如，一个 IP 数据报应通过特定的路由器发送到特定的目标网络，但该路由器无法到达目标，此时会发送目标不可达消息。或者，如果路由器发现接收到的数据包通过另一条路径（另一个网关）可以更快地到达目标，则会发送重定向消息。

分析工具 ping 也使用 ICMP 协议传输 ping 控制消息（回显请求和回显回复）。ICMP 反过来使用 IP 传输控制消息，并将控制消息打包到 IP 报头的数据部分。ICMP 将控制消息的类型 ID 放在 IP 报头数据部分的第一个八位字节中，该类型对控制消息进行分类，并定义数据报后续字节中包含哪些数据以及包含多少数据。

ICMP 使用以下消息类型：
| 类型 | 名称 | 描述 |
| — | — | — |
| 0 | 回显回复 | 回复请求（类型 8） |
| 3 | 目标不可达 | 目标（主机/网络/协议/端口）无法到达 |
| 4 | 源抑制 | 目标或网关当前无法处理 IP 数据报（例如，由于过载） |
| 5 | 重定向消息 | 网关通知 IP 数据报的发送者到目标的更短路径 |
| 8 | 回显请求 | 发送响应请求（类型 0：回显回复） |
| 11 | 时间超时 | IP 数据报的 TTL（生存时间）已达到 0，数据报被丢弃 |
| 12 | 参数问题 | 由于无效参数，IP 数据报被丢弃 |
| 13 | 时间戳请求 | 发送响应请求，包括自 0:00 UT 以来的毫秒时间 |
| 14 | 时间戳回复 | 回复请求（类型 13）并发送自己自 0:00 UT 以来的毫秒时间 |

ICMP 数据包报头的结构如下：
| 字段 | 描述 |
| — | — |
| 类型（8 位） | 指定 ICMP 消息的格式，如类型 0（回显回复）或类型 8（回显请求） |
| 代码（8 位） | 进一步限定 ICMP 消息 |
| 校验和（16 位） | ICMP 消息的校验和 |
| ICMP 消息（可变长度） | 包含由类型和代码字段指示的消息类型特定的数据 |

传输层

TCP/IP 架构的第三层是传输层，它实现了源主机和目标主机之间的通信，并使用以下端到端协议：
- 传输控制协议（TCP）
- 用户数据报协议（UDP）

传输控制协议（TCP）

传输控制协议（TCP）是一种可靠的、面向连接的字节流协议。该协议最初在 RFC 793 中定义，随着时间的推移，通过消除错误和不一致性（RFC 1122）进行了改进，并增加了一些要求（RFC 1323）。

TCP 的主要任务是通过网络提供安全的数据传输。它通过一种称为正向确认重传（PAR）的机制来保证数据传输的可靠性。发送系统会重复传输数据，直到收到接收者的正向确认，表明数据已收到。

发送和接收 TCP 单元之间交换的数据单元称为数据包。一个 TCP 数据包由一个协议报头（至少 20 字节）和要传输的数据组成。每个数据包都包含一个校验和，接收者可以通过它检查数据是否无错误。如果传输无错误，接收者会向发送者发送接收确认；否则，数据包将被丢弃，并且不发送接收确认。如果在特定的时间（超时时间）内没有收到确认，发送者会重新发送该数据包。

由于 TCP 是一种面向连接的字节流协议，在数据传输之前需要建立客户端 - 服务器对话连接。建立此连接的过程称为 TCP 握手或三次握手，过程如下：
1. 客户端向服务器发送一个设置了 SYN 标志的 TCP 数据包，告诉服务器客户端想要同步连接，SYN 标志用于同步连接。
2. 如果对方接受连接，服务器接收该数据包并取出序列号（例如 400）。
3. 服务器向客户端发送一个设置了 SYN 标志（序列号为 600）和 ACK 标志（序列号为 401，即客户端 SYN +1）的 TCP 数据包。通过这个数据包，服务器确认收到客户端的数据包，并告诉客户端它想要同步连接。
4. 客户端收到数据包后，知道服务器已准备好进行数据传输。它开始发送第一个设置了 ACK 标志（序列号为 601，即服务器 SYN +1）的数据数据包，确认收到服务器的最后一个 TCP 数据包。
5. 客户端和服务器之间的所有额外数据包都以这种方式交换，每次序列号增加 1。

如果客户端或服务器关闭连接，会进行额外的 TCP 握手。在最后 3 个数据包的传输过程中，将设置 FIN 标志而不是 SYN 标志，以表示传输结束。

用户数据报协议（UDP）

用户数据报协议（UDP）是一种不可靠的、无连接的数据报协议。UDP 的主要任务是通过网络提供简单快速的数据传输。

这里的“不可靠”意味着 UDP 没有机制保证数据报的传递，使用 UDP 的应用程序必须在应用层实现自己的例程来保证数据的正确传输。“无连接”意味着在传输 UDP 数据报时不会建立计算机到计算机的连接，相反，发送者发送 UDP 数据报时，目标机器不会进行进一步检查。

UDP 发送的单个单元称为数据报。UDP 主要用于需要快速高效协议来传输数据的场景。在某些情况下，使用 TCP 发送数据包会带来很大麻烦，因为 TCP 报头较大，传输效率较低。

端口和端口号

为了能够访问特定的服务，传输层的通信通过端口进行。由于端口号长度为 16 位，因此最多有 65536 个不同的端口。

为了简化通信并避免冲突，互联网号码分配机构（IANA）为广泛使用的服务分配了固定的端口号（知名端口）。所有重要的网络服务都运行在特权端口（0 到 1023 的端口）上，这些端口被称为“特权”端口，因为相关服务必须以 root 权限启动。上层端口（1024 到 65535）是非特权端口。

以下是一些在 IANA 注册的知名端口：
| 服务 | 端口号 |
| — | — |
| FTP | 20, 21 |
| SSH | 22 |
| Telnet | 23 |
| SMTP | 25 |
| DNS | 53 |
| HTTP | 80 |
| POP3 | 110 |
| NNTP | 119 |
| NETBIOS - SSN | 139 |
| IMAP | 143 |
| SNMP | 161 |

对于 TCP 和 UDP，端口号是分别分配的。例如，UDP 的端口 4912 可以指定与 TCP 相同端口号不同的服务。

几乎所有的互联网服务都是按照客户端 - 服务器原则构建的——每个服务都有一个提供服务的服务器和一个或多个访问该服务的客户端。在 Linux 计算机上，通常会同时运行各种守护进程，它们都在各个端口上等待传入的连接，构成了客户端 - 服务器结构的服务器部分。要查看常用服务的端口号列表，请参阅文件 /etc/services。

应用层

应用层将 TCP/IP 模型的所有高级协议（基于 TCP/IP 协议的协议）组合在一起。经验表明，将 OSI 模型中与应用相关的 3 层合并为 1 层是一个明智的决定，因为该模型的第 5 层和第 6 层很少使用。

应用层使用的协议包括：
- FTP（文件传输）
- SMTP（用于发送电子邮件）
- DNS（域名系统）
- HTTP（超文本传输协议）
- SMB（服务器消息块）

通过对 TCP/IP 层模型各层的详细了解，我们可以更好地理解网络通信的原理，为网络的设计、管理和故障排除提供有力的支持。在实际应用中，不同的协议和服务相互协作，共同构建了一个高效、稳定的网络环境。

网络组件与架构：TCP/IP 模型深度解析

各层协议的协作关系及应用场景

在实际的网络环境中，TCP/IP 模型的各层协议并非孤立工作，而是紧密协作，共同完成数据的传输和处理任务。下面我们通过一个简单的流程图来展示各层协议在数据传输过程中的协作关系：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A(应用层):::process -->|HTTP 请求| B(传输层 - TCP):::process
    B -->|封装 TCP 数据包| C(互联网层 - IP):::process
    C -->|封装 IP 数据报| D(网络访问层):::process
    D -->|通过物理介质传输| E(对端网络访问层):::process
    E -->|解封装| F(对端互联网层 - IP):::process
    F -->|解封装| G(对端传输层 - TCP):::process
    G -->|解封装| H(对端应用层):::process

从这个流程图中可以看出，当用户在浏览器中输入网址并按下回车键时，应用层的 HTTP 协议会生成一个请求。这个请求会被传递到传输层，由 TCP 协议进行封装，添加 TCP 报头，确保数据的可靠传输。然后，TCP 数据包会被传递到互联网层，IP 协议会为其添加 IP 报头，指定源地址和目的地址，并进行路由选择。最后，IP 数据报会被传递到网络访问层，通过物理介质（如电缆、光纤等）传输到目标主机。在目标主机上，数据会按照相反的顺序进行解封装，最终到达应用层，由相应的应用程序进行处理。

不同的协议在不同的应用场景中发挥着重要作用。例如，在需要可靠数据传输的场景中，如文件下载、电子邮件发送等，通常会使用 TCP 协议。因为 TCP 协议通过正向确认重传机制保证了数据的完整性和顺序性，能够确保文件或邮件的准确传输。而在对实时性要求较高、对数据丢失不太敏感的场景中，如视频直播、在线游戏等，UDP 协议则更为合适。因为 UDP 协议不需要建立连接，数据传输速度快，能够满足实时性的要求。

网络安全与 TCP/IP 协议

网络安全是当今网络领域的重要议题，TCP/IP 协议在设计时并没有充分考虑到安全因素，因此在实际应用中需要采取一系列的安全措施来保护网络的安全。

ARP 欺骗攻击与防范

ARP 协议在网络通信中起着重要作用，但也容易受到攻击。ARP 欺骗攻击是一种常见的网络攻击方式，攻击者通过发送虚假的 ARP 响应，将自己的 MAC 地址与目标主机的 IP 地址绑定，从而截获目标主机的通信数据。

为了防范 ARP 欺骗攻击，可以采取以下措施：
1. 静态 ARP 绑定 ：在主机上手动配置 ARP 表，将 IP 地址和 MAC 地址进行静态绑定，这样可以防止 ARP 表被恶意篡改。例如，在 Linux 系统中，可以使用以下命令进行静态 ARP 绑定：

arp -s 192.168.1.100 00:11:22:33:44:55

其中， 192.168.1.100 是目标 IP 地址， 00:11:22:33:44:55 是对应的 MAC 地址。
2. 使用 ARP 防火墙 ：安装 ARP 防火墙软件，实时监测 ARP 数据包的收发情况，当检测到异常的 ARP 响应时，及时发出警报并阻止数据包的传输。
3. 定期更新 ARP 表 ：定期清除主机上的 ARP 缓存，避免使用过期或被篡改的 ARP 信息。在 Linux 系统中，可以使用以下命令清除 ARP 缓存：

arp -d -a

IP 协议的安全问题与防范

IP 协议的无连接和不可靠特性使得它容易受到多种攻击，如 IP 欺骗、IP 分片攻击等。为了防范这些攻击，可以采取以下措施：
1. 使用防火墙 ：部署防火墙设备，对进出网络的 IP 数据包进行过滤，只允许合法的 IP 地址和端口进行通信。例如，在 Linux 系统中，可以使用 iptables 命令配置防火墙规则：

# 允许本地主机访问外部网络
iptables -A OUTPUT -o eth0 -j ACCEPT
# 允许外部网络的响应数据包进入本地主机
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# 禁止所有其他数据包进入本地主机
iptables -A INPUT -i eth0 -j DROP

使用 IPsec 协议 ：IPsec 协议是一种网络层的安全协议，它可以为 IP 数据包提供加密、认证和完整性保护。通过使用 IPsec 协议，可以有效防止 IP 欺骗和数据泄露等安全问题。
及时更新系统补丁 ：操作系统和网络设备的厂商会不断发布安全补丁，修复已知的安全漏洞。及时更新系统补丁可以提高网络的安全性，防范潜在的攻击。

传输层协议的安全问题与防范

TCP 和 UDP 协议在传输层也面临着一些安全问题。例如，TCP 协议容易受到 SYN 洪水攻击，攻击者通过发送大量的 SYN 数据包，耗尽服务器的资源，导致服务器无法正常响应合法的连接请求。UDP 协议则容易受到 UDP 洪水攻击，攻击者通过发送大量的 UDP 数据包，占用网络带宽，影响网络的正常运行。

为了防范这些攻击，可以采取以下措施：
1. 使用 SYN 代理 ：在服务器端部署 SYN 代理设备，对 SYN 数据包进行过滤和处理。SYN 代理会先与客户端进行握手，验证客户端的合法性，然后再将合法的连接请求转发给服务器，从而有效防止 SYN 洪水攻击。
2. 限制 UDP 流量 ：在网络边界设备上配置 UDP 流量限制规则，限制每个 IP 地址或端口的 UDP 流量，避免 UDP 洪水攻击对网络造成影响。
3. 使用加密协议 ：对于敏感数据的传输，可以使用加密协议（如 TLS/SSL）对数据进行加密，防止数据在传输过程中被窃取或篡改。