概念

OSPF

在劃分區域之后，OSPF網絡中的非主干區域中的路由器對于到外部網絡的路由，一定要通過ABR(區域邊界路由器)來轉發，既然如此，對于區域內的路由器來說，就沒有必要知道通往外部網絡的詳細路由，只要由ABR向該區域發布一條默認路由，告訴區域內的其他路由器，如果想要訪問外部網絡，可以通過ABR。這樣在區域內的路由器中就只需要為數不多的區域內路由、AS中其他區域的路由和一條指向ABR的默認路由，而不用記錄外部路由，能使區域內的路由表簡化，降低對路由器的性能要求。這就是OSPF 路由協議中Stub Area，末梢區域的設計理念。

RSVP

RSVP是在應用程序開始發送報文之前來為該應用申請網絡資源的，具有單向性、由接收者發起對資源預留的請求，并維護資源預留信息。路由器為每一條流進行資源預留的時候會沿著數據傳輸方向逐跳發送資源請求報文Path消息，其中包含自身對于帶寬、延遲等參數的需求消息。收到請求的路由器在進行記錄后，再把資源請求報文繼續發到下一跳。當報文到達目的地，由接收方反向逐跳發送資源預留報文Resv消息給沿途的路由器進行資源預留。

DHCP

客戶機會在租期過去50%時，直接向為其提供IP地址的DHCP Server發送單播的DHCP REQUEST消息包。如果客戶機接收到該服務器回應的DHCP ACK消息包，客戶機就根據包中所提供的新的租期以及其它已經更新的TCP/IP參數，更新自己的配置，IP租用更新完成。如果沒有收到該服務器的回復，則客戶機繼續使用現有的IP地址，因為當前租期還有50%。

如果在租期過去50%時沒有更新，則客戶機將在租期過去87.5%時再次向為其提供IP地址的DHCP聯系，發送廣播的DHCP REQUEST消息包。如果還不成功，到租約100%時，客戶機必須放棄這個IP地址，重新申請。如果此時無DHCP可用，客戶機從169.254.0.0/16中隨機選一個地址，每隔5分鐘再進行嘗試。

DHCP Decline：DHCP客戶端收到DHCP服務器回應的ACK報文后，通過地址沖突檢測發現服務器分配的地址沖突或由于其他原因導致不能使用，則發送Decline報文，通知服務器所分配的IP地址不可用。

單工、半雙工、全雙工

對端到端通信總線的信號傳輸方向與方式的分類定義如下：

• 單工：指A只能發信號，而B只能接收信號，通信是單向的
• 半雙工：指A能發信號給B，B也能發信號給A，但這兩個過程不能同時進行
• 全雙工：在A給B發信號的同時，B也可以給A發信號，這兩個過程可以同時進行互不影響

網絡需求分析

網絡需求分析包括網絡總體需求分析、綜合布線需求分析、網絡可用性與可靠性分析、網絡安全性分析需求分析、工程造價估算。

層次化網絡設計模型

也叫網絡分層設計模型，可以幫助設計者按層次設計網絡結構，并對不同層次賦予特定的功能，為不同層次選擇正確的設備與系統。通常包括三層：

1. 核心層：主要是實現骨干網絡之間的優化傳輸，骨干層設計任務的重點通常是冗余能力，可靠性和高速傳輸。網絡核心層將數據分組從一個區域高速地轉發到另一個區域，快速轉發和收斂是其主要功能。網絡的控制功能要盡量少的在核心層上實施。核心層一直被認為是所有流量的最終承受者和匯聚者，所以對核心層的設計與網絡設備的要求十分嚴格。如果需要連接因特網和外部網絡，核心層還應包括一條或多條連接到外部網絡的線路。其他功能：鏈路聚合、IP路由配置管理、IP組播、生成樹、設置陷阱和報警、服務器群的高速連接等
2. 匯聚層：位于接入層和核心層之間的部分稱為匯聚層，是多臺接入層交換機的匯聚點，它必須能夠處理來自接入層設備的所有通信流量，并提供到核心層的上行鏈路。因此匯聚層交換機與接入層交換機相比，需要更高的行能，更少的接口和更高的交換速率。其他功能：訪問列表控制、VLAN間的路由選擇執行、分組過濾、組播管理、QoS、負載均衡、快速收斂等
3. 接入層：網絡中直接面向用戶連接或訪問網絡的部分成為接入層，接入層的目的是允許終端用戶連接到網絡，因此接入層交換機具有低成本和高端口密度特性。其他功能：用戶接入與認證、二三層交換、QoS、MAC地址認證過濾、計費管理、收集用戶信息（如IP、Mac地址、訪問日志）

為了保證網絡的層次性，不能在設計中隨意加入額外連接，除去接入層，其他層次應盡量采用模塊化方式，模塊間的邊界應非常清晰。

進行層次化網絡設計時，應是先從接入層開始設計，然后逐級往核心層走。原因是接入層其實代表需求，是因為有大量終端設備要接入，并有速度上的要求，基于負載、流量和行為的分析，然后才有匯聚層要達到什么要求，核心層得怎么設計。

一般情況下3個層次足夠，過多的層次會導致整體網絡性能的下降，提高網絡的延遲，但是方便網絡故障排查和文檔編寫。

網絡系統生命周期

也叫網絡設計過程，可以劃分為五個階段：

1. 需求規范：進行網絡需求分析，有集中訪談和收集信息資料
2. 通信規范：進行網絡體系分析，有網絡內部通信流量分析
3. 邏輯網絡設計：邏輯網絡設計圖（及文檔），確定邏輯的網絡結構，有網絡IP地址分配方案制定，具體的軟硬件、廣域網連接和基本服務。網絡結構設計、物理層技術選擇、局域網技術選擇與應用、廣域網技術選擇與應用、地址設計與命名模型、路由選擇協議、網絡管理、網絡安全
4. 物理網絡設計：確定物理的網絡結構，依據邏輯網絡設計的要求，確定設備的具體物理分布和運行環境。需要確定具體的軟硬件，連接設備，布線和服務。設備選型、結構化布線、機房設計及物理網絡設計相關的文檔規范（如軟硬件清單，費用清單）
5. 實施：進行網絡設備安裝，調試，以及網絡運行時的維護工作

結構化布線系統

按照一般劃分，結構化布線系統包括六個子系統：

1. 建筑群主干子系統
   提供外部建筑物與大樓內布線的連接點。EIA/TIA569標準規定網絡接口的物理規格，實現建筑群之間的連接
2. 設備子系統
   EIA/TIA569標準規定設備間的設備布線。它是布線系統最主要的管理區域，所有樓層的資料都由電纜或光纖電纜傳送至此。通常，此系統安裝在計算機系統、網絡系統和程控機系統的主機房內
3. 垂直主干子系統
   它連接通訊室、設備間和入口設備，包括主干電纜、中間交換和主交接、機械終端和用于主干到主干交換的接插線或插頭。主干布線要采用星形拓撲結構，接地應符合EIA/TIA607規定的要求。
4. 管理子系統
   此部分放置電信布線系統設備，包括水平和主干布線系統的機械終端和1或交換。
5. 水平支干線子系統
   連接管理子系統至工作區，包括水平布線、信息插座、電纜終端及交換。指定的拓撲結構為星形拓撲。水平布線可選擇的介質有三種(UTP電纜、STP電纜及光纜),最遠的延伸距離為90米，除了90米水平電纜外，工作區與管理子系統的接插線和跨接線電纜的總長可達10米。
6. 工作區子系統
   工作區由信息插座延伸至站設備。工作區布線要求相對簡單，這樣就容易移動、添加和變更設備。

綜合布線

機房是系統集成工程中服務器和網絡設備的“家”，通常分為以下3類：
智能建筑弱電總控機房，工作包括布線、監控、消防、計算機機房、樓宇自控等；
電信間、弱電間和豎井；
數據中心機房，包括企業自用數據中心、運營商托管或互聯網數據中心，大型的數據中心，可達數萬臺服務器。

機房工程
機房工程結合機房的環境條件、消防與安全、室內裝修、送配電、綜合布線、空氣調節、照明、接地等方面的內容。機房建設工程不僅僅是一個裝飾工程，更重要的 是一個集電工學、電子學、建筑裝飾學、美學、暖通凈化專業、計算機專業、弱電控制專業、消防專業等跨學科、跨專業領域的綜合工程，并涉及到計算機網絡工 程，PDS工程等專業技術的工程。
機房工程設計原則： 1) 實用性和先進性。 2) 安全可靠性。 3) 靈活性和可擴展性。 4) 標準化。 5) 經濟性，投資保護。 6) 可管理性。 機房宜設于建筑物的第2、3層。 交流工作接地，接地電阻不大于4Ω。 安全保護接地，接地電阻不大于4Ω。 防靜電接地，接地電阻不大于4Ω。
《大樓通信綜合布線系統》適用于跨越距離不超過3000米、建筑總面積不超過100萬平方米的布線區域，區域內的人員為50~5萬人。
機房布線設計需要重點考慮以下幾點： 考慮機房環境的節能、環保、安全； 適應冷熱通道布置設備； 列頭柜的設置； 敞開布線與線纜防火； 長跳線短鏈路與性能測試； 網絡構架與外部網絡，多運營商之間的網絡互通； 高端產品應用的特殊情況； 機房與布線系統接地。
綜合布線系統（Premises Distribution System，PDS）是樓宇和固區范圍內，在統一的傳輸介質上建立的可以連接電話、計算機、會議電視和監視電視等設備的結構化信息傳輸系統。綜合布線領 域廣泛遵循的標準是TIA/EIA 568 A。
綜合布線系統分為六個子系統：
1.工作區子系統：它是工作區內終端設備連接到信息插座之間的設備組成，包括信息插座、連接軟線、適配器、計算機、網絡集散器、電話、報警探頭、攝像機、監視器、音響等。
2.水平子系統：水平子系統是布置在同一樓層上，一端接在信息插座，另一端接在配線間的跳線架上，它的功能是將干線子系統線路延伸到用戶工作區，將用戶工作區引至管理間子系統，并為用戶提供一個符合國際標準，滿足語音及高速數據傳輸要求的信息點出口。
3.管理間子系統：它是干線子系統和水平子系統的橋梁，同時又可為同層組網提供條件。其中包括雙絞線跳線架、跳線(有快接式跳線和簡易跳線之分)。
4. 垂直干線子系統：通常它是由主設備間至各層管理間，特別是在位于中央點的公共系統設備處提供多個線路設施，采用大對數的電纜饋線或光纜，兩端分別端接在設備間和管理間的跳線架上，目的是實現計算機設備、程控交換機(PBX)、控制中心與各管理子系統間的連接，是建筑物干線電纜的路由。
5.設備間子系統：該子系統是由設備間中的電纜、連接跳線架及相關支撐硬件、防雷電保護裝置等構成。可以說是整個配線系統的中心單元，因此它的布放、造型及環境條件的考慮適當與否，直接影響到將來信息系統的正常運行及維護和使用的靈活性。
6.建筑群子系統：它是將多個建筑物的數據通信信號連接成一體的布線系統，它采用架空或地下電纜管道或直埋敷設的室外電纜和光纜互連起來，是結構化布線系統的一部分，支持提供樓群之間通信所需的硬件。
綜合布線常用公式：
（1）RJ-45頭的需求量：m=n4+n415% m:表示RJ-45接頭的總需求量；n:表示信息點的總量；n415%:表示留有的富余。
（2）信息模塊的需求量：m=n+n3% m：表示信息模塊的總需求量；n:表示信息點的總量；n3%：表示富余量。
（3）每層樓用線量：C=[0.55(L+S)+6]*n L:本樓層離管理間最遠的信息點距離；S：本樓層離管理間最近的信息點距離；n:本樓層的信息點總數；0.55：備用系數。 網絡規劃、設計與實施 網絡規劃是要給網絡建設和使用者做一個心中有數的設計結果。
網絡規劃率先考慮的有三個原則：實用性原則、開放性原則和先進性原則。
方案設計實施過程中必須考慮的原則如下：

1. 可靠性原則。網絡的運行是穩固的。
2. 安全性原則。包括選用安全的操作系統、設置網絡防火墻、網絡防殺病毒、數據加密和信息工作制度的保密。
3. 高效性原則。性能指標高，軟硬件性能充分發揮。
4. 可擴展性。能夠在規模和性能兩個方向上進行擴展。

網絡控制

網絡存儲

DAS

直接連接存儲，Direct Attached Storage，直連模式，不易擴展。在服務器上外掛一組大容量硬盤，存儲設備與服務器主機之間采用SCSI通道連接，帶寬為10MB/s、20MB/S、40MB/S和80MB/S等。直連式存儲直接將存儲設備連接到服務器上，這種方法難以擴展存儲容量，而且不支持數據容錯功能，當服務器出現異常時會造成數據丟失。

NAS

網絡連接存儲，網絡附屬存儲，Network Attached Storage。有自己的文件系統，可以用 TCT/IP 作為其網覽傳輸協議，用文件共享存取方式。是將存儲設備通過標準的網絡拓撲結構（如以太網）連接到一系列計算機上。它是一種專用數據存儲服務器。它以數據為中心，將存儲設備與服務器徹底分離，NAS 在網絡中的獨立設備，分配 IP 地址，通過網絡來訪問和存取。

將存儲設備連接到現有的網絡上，提供數據存儲和文件訪問服務的設備。NAS服務器是在專用主機上安裝簡化的瘦操作系統（只具有訪問權限控制、數據保護和恢復等功能）的文件服務器。NAS服務器內置與網絡連接所需要的協議，可以直接聯網，具有權限的用戶都可以通過網絡訪問 NAS服務器中的文件。

SAN

存儲區域網絡，Storage Area Network，塊級存儲，不是文件共享方式。

一種連接存儲設備和存儲管理子系統的專用網絡，專門提供數據存儲和管理功能。SAN可以被看作是負責數據傳輸的后端網絡，而前端網絡（或稱為數據網絡）則負責正常的TCP/IP傳輸。也可以把SAN看作是通過特定的互連方式連接的若干臺存儲服務器組成的單獨的數據網絡，提供企業級的數據存儲服務。

DNS解析

將域名翻譯為可由計算機直接讀取的IP地址。根據查詢對象不同DNS解析可分為遞歸解析和迭代解析兩種方式。

可提供域名服務的包括本地緩存、本地域名服務器、權限域名服務器、頂級域名服務器以及根域名服務器。DNS主機名解析的查找順序是，先查找客戶端本地緩存，如果沒有成功，則向DNS服務器發出解析請求。 本地緩存是內存中的一塊區域，保存著最近被解析的主機名及其IP地址映像。由于解析程序緩存常駐內存中，所以比其他解析方法速度快。 當一個主機發出DNS查詢報文時，這個查詢報文就首先被送往該主機的本地域名服務器。本地域名服務器離用戶較近，當所要查詢的主機也屬于同一個本地ISP時，該本地域名服務器立即就能將所查詢的主機名轉換為它的IP地址，而不需要再去詢問其他的域名服務器。 每一個區都設置有域名服務器，即權限服務器，它負責將其管轄區內的主機域名轉換為該主機的IP地址。在其上保存有所管轄區內的所有主機域名到IP地址的映射。 頂級域名服務器負責管理在本頂級域名服務器上注冊的所有二級域名。當收到DNS查詢請求時，能夠將其管轄的二級域名轉換為該二級域名的IP地址。或者是下一步應該找尋的域名服務器的IP地址。 根域名服務器是最高層次的域名服務器。每一個根域名服務器都要存有所有頂級域名服務器的IP地址和域名。當一個本地域名服務器對一個域名無法解析時，就會直接找到根域名服務器，然后根域名服務器會告知它應該去找哪一個頂級域名服務器進行查詢。

遞歸查詢

最常見也是默認的一種解析方式。如果客戶端配置的本地域名服務器（Local DNS服務器）不能解析的話，則后面的查詢過程全部由本地域名服務器代替DNS客戶端進行查詢，直到本地域名服務器從權威域名服務器得到正確的解析結果，然后由本地域名服務器告訴DNS客戶端查詢的結果。

在整個遞歸查詢過程中，除一開始客戶端向本地域名服務器發起查詢請求外，其余各個環節均是以本地域名服務器為中心進行迭代查詢，DNS客戶端一直處于等待狀態，直到本地域名服務器發回最終查詢結果。相當于，在整個查詢環節中本地域名服務器承擔中介代理的角色。

遞歸解析的查詢過程大致如下：

1. 客戶端向本機配置的本地域名服務器發起DNS域名查詢請求
2. 本地域名服務器收到請求后，會先查詢本地緩存，如果有記錄值會直接返回給客戶端；如果沒有記錄，則本地域名服務器會向根域名服務器發起請求
3. 根域名服務器收到請求后，會根據所要查詢域名中的后綴將所對應的頂級域名服務器（如.com、.cn等）返回給本地域名服務器
4. 本地域名服務器根據返回結果向所對應的頂級域名服務器發起查詢請求
5. 對應的頂級域名服務器在收到DNS查詢請求后，也是先查詢自己的緩存，如果有所請求域名的解析記錄，則會直接將記錄返回給本地域名服務器，然后本地域名服務器再將記錄返回給客戶端，完成整個DNS解析過程
6. 如果頂級域名服務器沒有記錄值，就會將二級域名對應的服務器地址返回給本地域名服務器，本地域名服務器再次對二級域名服務器發起請求，如此類推，直到最終對應區域的權威域名服務器返回結果給本地域名服務器。然后本地域名服務器將記錄值返回給DNS客戶端，同時緩存本地查詢記錄，以便在TTL值內用戶再次查詢時直接將記錄返回給客戶端

迭代查詢

遞歸查詢除在一開始客戶端發起查詢請求外，其他環節都是由本地域名服務器代替客戶端進行的。而迭代查詢則是指所有查詢工作全部由客戶端自己進行，除此之外，整個查詢路徑和步驟與遞歸查詢沒有太大區別。

首先客戶端向本地域名服務器發起請求，如果本地域名服務器沒有緩存記錄，客戶端便會依次對根域名服務器、頂級域名服務器和二級域名服務器等發起迭代查詢，直到獲得最終的查詢結果。

在以下條件之一滿足時，就會采用迭代解析方式：

1. 在查詢本地域名服務器時，如果客戶端的請求報文中沒有申請使用遞歸查詢，即在DNS請求報文中的RD字段沒有設置為1
2. 客戶端在DNS請求報文中申請使用遞歸查詢，但所配置的本地域名服務器禁止使用遞歸查詢，即在應答DNS報文頭部的RA字段設置為0

嗅探器

嗅探（Sniffers）是一種網絡流量數據分析的手段，常見于網絡安全攻防技術使用，也有用于業務分析領域。

https://dun.163.com/news/p/233ea1ba40a14791a5fb8d3b6847b663

80/20規則是指總流量的80%是網段內部的流量，而總流量的20%是網段外部的流量。

網絡隔離

常見的網絡隔離技術：

1. 防火墻：通過ACL進行網絡數據包的隔離是最常見的隔離方法。局限于傳輸層以下的控制，對于病毒、木馬、蠕蟲、等應用層的攻擊毫無辦法；適合于網絡隔離，不合適大型，雙向訪問業務網絡隔離
2. 多重安全網關：也叫統一威脅管理（UTM），被稱為新一代防火墻，能做到從網絡層到應用層的全面檢測。UTM功能有ACL，防入侵，防病毒，內容過濾，流量整形，防DOS
3. VLAN劃分：VLAN劃分技術避免廣播風暴，解決有效數據傳遞問題；通過劃分VLAN，隔離各個有安全性要求的部門。
4. 人工策略：斷開網絡物理連接，使用人工方式交換數據，這種方式安全性最好。

IPv6

另起一篇，參考

數據交換

數據交換方式分為線路交換和存儲轉發，線路交換和存儲轉發的關鍵區別在于：前者靜態分配線路，后者動態分配線路。
存儲轉發又分為報文交換和分組交換，分組交換又分為虛電路和數據報兩種方式。
線路交換：交換（switch）的概念最早來源于電話系統。當用戶發出電話呼叫時，電話系統中的交換機在呼叫者和接收者之間尋找并建立一條客觀存在的物理通路。一旦通路被建立起來，便能夠建立通話，線路是由發送和接收端專享的，直到通話的結束。這種數據交換的方式稱為線路交換（circuit switching）。優點：傳輸延遲小，唯一的延遲是電磁信號的傳播時間。一旦線路接通，便不會發生沖突。缺點：建立線路所需時間長。線路獨享造成信道浪費。
報文交換：不事先建立線路，當發送方有數據塊要發時，把數據塊作為一個整體（也叫報文，message）交給交換設備（IMP），交換設備選擇一條合適的空閑輸出線，將數據塊通過該輸出線發送出去。這個過程中，交換設備的輸入和輸出線之間不建立物理連接，在每個交換設備處，報文首先被保存起來，在適當時被轉發出去。缺點：對傳輸數據塊大小不限制，報文較大時，IMP需要用硬盤進行緩存。單個大報文占用線路時間過長。
分組交換：分組交換技術嚴格限制數據塊大小的上限，使分組可以在IMP的內存中存放，保證任何用戶都不能獨占線路超過幾十毫秒，適合交互式通信。優點：吞吐率高，在具有多個分組的報文中，第二個分組尚未接到之前，第一個分組就可以繼續往前傳送，減少延遲提高吞吐率。缺點：存在擁塞，報文分片與重組，分組損失和失序等。分組交換是絕大多數計算機采用的技術，也有極少數計算機采用報文交換，但絕不采用線路交換。根據內部機制的不同，分組交換子網分為兩類，一類采用面向連接（connected oriented），一類采用無連接（connect less），在有連接子網中，連接成為虛電路（virtual circuit），類似電話系統中的物理線路；無連接子網中的獨立分組稱為數據報（datagram），類似郵政系統中的電報。
信元交換技術是一種快速分組交換技術，它結合電路交換技術延遲小和分組交換技術靈活的優點。信元是固定長度的分組，ATM采用信元交換技術，其信元長度為53字節。

攻擊

計算機網絡上的通信面臨以下四種威脅：

• 截獲：攻擊者從網絡上竊聽他人的通信內容
• 中斷：攻擊者有意中斷他人在網絡上的通信
• 篡改：攻擊者故意篡改網絡中傳送的報文
• 偽造：攻擊者偽造信息在網絡上的傳送

以上的四種威脅可以劃分為兩大類，即被動攻擊和主動攻擊。

截獲信息的攻擊屬于被動攻擊，而中斷、篡改和偽造信息的攻擊稱為主動攻擊。流量分析也是主動攻擊。

參考