三.IPv4協議安全
0. Internet網絡層網絡
1. IP數據報格式大數據
(1)首部長度:4位,IP分組首部長度,以4字節爲單位spa
(2)區分服務:8位,指示指望得到哪一種類型的服務,只在網絡提供區分服務時使用,通常狀況下不使用,取00H對象
(3)總長度:16位,IP分組的總字節數(首部 + 數據)blog
·最大IP分組總長度:65535B接口
·最小IP分組首部:20B路由
·IP可封裝的最大數據:65535 - 20 = 65515B效率
(4)生存時間:8位,IP分組在網絡中可經過的跳步數,路由器轉發一次減一,TTL = 0時丟棄路由器
(5)協議:8位,指示IP分組封裝的是哪一個協議的數據包
(6)首部校驗和:16位,實現對IP分組首部的差錯檢測,計算時置0,反碼算術運算求和,因爲TTL等會變化,校驗和逐跳計算
(7)源/目的IP地址:32位,標識主機/路由器的IP地址
(8)選項字段(長度可變):1 - 40B,攜帶安全信息、源選路徑、時間戳、路由記錄等,實際不多使用
(9)填充字段(長度可變):0 - 3B,補齊首部,符合32位對齊,即保證首部長度爲4字節的倍數
(10)標識:16位,標識一個IP分組,IP協議利用一個計數器,每產生一個IP分組加一
(11)標誌位:3位
·DF:1禁止分片,0容許分片
·MF:1非最後一片,0最後一片或未分片
(12)片偏移:13位,一個IP分組分片封裝原IP分組數據的相對偏移量,以8字節爲單位
2. IP分片
(1)最大傳輸單元(MTU):鏈路層數據幀可封裝數據的上限,不一樣鏈路的MTU不一樣
(2)分片與重組
·大IP分組向較小MTU鏈路轉發時,能夠被分片
·IP分片到達目的主機後進行重組
·IP首部的相關字段用於標識分片以及肯定分片的相對順序
·若分片不全,等待一段時間後丟棄全部分片
(3)過程
·假設原IP分組總長度爲L,帶轉發鏈路的MTU爲M,若L > M且DF = 0,則須要分片
·分片時每一個分片的標識複製原IP分組
·一般,除最後一個分片,其餘分片均分爲MTU容許的最大分片
·一個最大分片可封裝的數據是8的倍數,則可封裝數據爲:
·須要的總片數爲:
·每片的片偏移取值爲:
·每片的總長度爲:
·每片MF標誌位:除最後一片,所有取1
·舉例:
3. IP編址
(1)編址對象:接口
·主機/路由器與物理鏈路的鏈接,實現網絡層功能
·路由器一般有多個,主機一般有一到兩個
(2)IP地址:32比特的二進制數
·編號標識主機、路由器的接口,與每一個接口關聯
(3)地址分配
·網絡號爲高位比特,主機號爲低位比特
·同一個接口鏈接的主機網絡號相同,構成一個IP子網,不跨越路由器
4. IP地址
(1)有類IP地址:A、B、C用於標識網絡
·A類(50%):8位Net ID爲0.0.0.0 - 127.255.255.255
·B類(25%):16位Net ID爲128.0.0.0 - 191.255.255.255
·C類(12.5%):24位Net ID爲192.0.0.0 - 223.255.255.255
·D類(6.25%):32位Net ID爲224.0.0.0 - 239.255.255.255
·E類(6.25%):32位Net ID爲240.0.0.0 - 255.255.255.255
(2)特殊IP地址
(3)私有IP地址:能夠被重用
5. IP子網劃分與子網掩碼
(1)子網劃分:將原網絡主機號部分比特劃爲子網號
(2)子網掩碼
·形如IP地址,Net ID、Sub ID全1,Host ID全0
·應用:將IP分組目的IP地址與子網掩碼按位與運算,提取子網地址
(3)子網地址 + 子網掩碼 -> 準確肯定子網大小
6. CIDR(無類域間路由)
(1)消除傳統的A、B、C類地址界限,融合子網地址與子網掩碼,方便子網劃分
(2)無類地址格式:a.b.c.d/x,其中x爲前綴長度
(3)優勢:提升IPv4地址空間分配效率,提升路由效率
(4)路由聚合:將多個子網聚合爲一個較大的子網(即超網)
·聚合條件:部分子網地址連續,且個數知足2的冪次,不知足2的冪次須要在路由表中添加額外判斷內容
·層級編址使路由信息通告更高效
(5)黑洞現象:應該發送到組織1的消息,錯發到Fly-By-Night-ISP
·解決辦法:在ISPs-R-Us添加組織1 的地址,應用最長前綴匹配優先原則