16、保障网络流量安全：原理、类型与路由解析

保障网络流量安全：原理、类型与路由解析

1. 网络安全基础与 TCP/IP 理解

网络渗透是网络管理员面临的现实问题，每天都有新的网络攻击手段出现，试图突破网络安全防线。构建安全网络不仅需要正确配置关键的软件和硬件组件，更重要的是理解网络的工作原理、互联网流量的管理方式、信息在网络内的流动路径以及需要保护哪些控制流量的服务。

互联网基于 TCP/IP 协议栈运行，该协议栈将数据传输任务分为不同层次，每个层次都有其独特的安全问题，因此有效的安全措施必须针对每个层次分别实施。TCP/IP 即传输控制协议/网际协议，是现代网络流量的主要技术，也是网络攻击常用的突破口。如今，互联网几乎完全基于网际协议（IP）运行。

TCP 通过端口建立通信，每个端口允许一台服务器与另一台服务器通过将数据映射到计算机上运行的特定进程进行通信。例如，电子邮件在网络上的传输，简单邮件传输协议（SMTP）默认在端口 25 上运行，用于从客户端计算机向服务器发送邮件，同时也允许所有邮件服务器之间相互传递消息。

1.1 TCP/IP 协议栈各层分析

• 应用层 ：从网络安全角度看，应用层包含一些底层程序，如用于提供网页服务的超文本传输协议（HTTP）、用于接收邮件的邮局协议（POP）和互联网消息访问协议（IMAP）以及用于发送邮件的 SMTP。保障应用层安全的方法包括限制用户可访问的应用程序，以及使用应用层加密技术，如手动使用隐私增强邮件（PGP）加密敏感数据或使用安全外壳协议（SSH）自动加密数据。
• 传输层 ：应用层数据到达传输层后，通常由 TCP 协议将数据分