Android第三次面試總結（網絡篇）

? 在計算機網絡領域，網絡模型是理解通信原理的基礎框架。本文將詳細解析 OSI 參考模型和 TCP/IP 模型的分層結構、核心功能及實際應用，并通過對比幫助讀者建立完整的知識體系。

一、OSI 參考模型：七層架構的理論基石

OSI（開放系統互連）模型由 ISO 制定，通過七層結構定義了網絡通信的標準流程：

1. 物理層（Physical Layer）

核心功能：傳輸比特流，處理物理介質（電纜 / 光纖 / 無線）的電氣特性
關鍵設備：網卡、集線器、中繼器
技術要點：信號編碼（如曼徹斯特編碼）、接口標準（RJ45）

2. 數據鏈路層（Data Link Layer

核心功能：封裝幀，實現相鄰節點可靠傳輸
關鍵協議：以太網協議、PPP 協議
設備示例：交換機、網橋
MAC 地址：唯一標識網絡設備的 48 位地址

3. 網絡層（Network Layer）

核心功能：路由選擇與 IP 尋址
關鍵協議：IP、ICMP、ARP
設備示例：路由器
IP 地址：32 位（IPv4）或 128 位（IPv6）邏輯地址

4. 傳輸層（Transport Layer）

功能：提供端到端的可靠通信，負責將上層數據分段并傳輸到目標主機，同時處理傳輸過程中的錯誤恢復和流量控制。傳輸層有兩種主要的協議：TCP（Transmission Control Protocol）和 UDP（User Datagram Protocol）。
協議：
- TCP：面向連接的、可靠的傳輸協議，提供了數據的有序傳輸、錯誤檢測和重傳機制，適用于對數據準確性要求較高的應用，如文件傳輸、網頁瀏覽等。
- UDP：無連接的、不可靠的傳輸協議，不保證數據的可靠傳輸，但具有較低的開銷和較快的傳輸速度，適用于對實時性要求較高的應用，如視頻流、音頻流等。

5. 會話層（Session Layer）

核心功能：會話管理（建立 / 維護 / 終止）
典型協議：NetBIOS、RPC

6. 表示層（Presentation Layer）

功能：負責數據的表示和轉換，確保不同系統之間的數據能夠正確理解和處理。它處理數據的加密、解密、壓縮、解壓縮等操作。
協議：常見的表示層協議有 SSL/TLS（Secure Sockets Layer/Transport Layer Security）協議，用于實現數據的加密傳輸。

7. 應用層（Application Layer）

核心功能：直接服務用戶應用
常見協議：
- HTTP（網頁瀏覽）
- FTP（文件傳輸）
- SMTP（郵件發送）
- DNS（域名解析）

二、TCP/IP 模型：互聯網的實際標準

TCP/IP 模型采用四層結構，是互聯網通信的事實標準：

1. 網絡接口層（Network Interface Layer）

對應 OSI：物理層 + 數據鏈路層
功能擴展：支持多種物理網絡（以太網 / Wi-Fi/PPP）

2. 網絡層（Internet Layer）

核心協議：IP 協議（IPv4/IPv6）
配套協議：ICMP（錯誤報告）、ARP（地址解析）

3. 傳輸層（Transport Layer）

協議選擇：
- TCP（可靠傳輸）
- UDP（實時通信）

4. 應用層（Application Layer）

協議演進：
- 傳統協議：HTTP 1.1、FTP
- 現代協議：HTTP/2、QUIC

三、模型對比：理論與實踐的碰撞

對比維度	OSI 參考模型	TCP/IP 模型
層次數量	7 層	4 層
設計理念	理論導向，嚴格分層	實踐導向，注重互聯
協議獨立性	支持多種協議棧	綁定 TCP/IP 協議族
應用場景	教學與理論研究	互聯網實際部署
優缺點	結構清晰但實現復雜	高效實用但層次模糊

四、實際應用案例

場景：用戶訪問網頁的數據流

應用層：瀏覽器發送 HTTP 請求
傳輸層：TCP 建立連接并分段數據
網絡層：IP 選擇路由，ICMP 處理錯誤
數據鏈路層：交換機根據 MAC 地址轉發幀
物理層：光信號通過光纖傳輸

TCP 三次握手與四次揮手詳解

一、三次握手（建立連接）

TCP 是面向連接的協議，通過三次握手建立可靠連接，過程如下：

步驟 1：客戶端發送 SYN 包

標志位：SYN=1，ACK=0
序列號：seq=x
含義：客戶端請求建立連接，初始化序列號為 x

步驟 2：服務器發送 SYN+ACK 包

標志位：SYN=1，ACK=1
序列號：seq=y
確認號：ack=x+1
含義：服務器確認客戶端請求，并同步自己的序列號

步驟 3：客戶端發送 ACK 包

標志位：ACK=1
序列號：seq=x+1
確認號：ack=y+1
含義：客戶端確認服務器的同步，連接建立完成

狀態轉換：

客戶端                服務器|                    ||    SYN (seq=x)    ||------------------->||                    |  SYN+ACK (seq=y, ack=x+1)|<-------------------||    ACK (seq=x+1)   ||------------------->||  [連接建立]        |

二、四次揮手（終止連接）

TCP 連接終止需要四次揮手，確保數據完整傳輸：

步驟 1：客戶端發送 FIN 包

標志位：FIN=1，ACK=1
序列號：seq=u
確認號：ack=v
含義：客戶端請求關閉寫通道

步驟 2：服務器發送 ACK 包

標志位：ACK=1
序列號：seq=v
確認號：ack=u+1
含義：服務器確認客戶端關閉請求，繼續處理剩余數據

步驟 3：服務器發送 FIN 包

標志位：FIN=1，ACK=1
序列號：seq=w
確認號：ack=u+1
含義：服務器關閉寫通道，通知客戶端終止連接

步驟 4：客戶端發送 ACK 包

標志位：ACK=1
序列號：seq=u+1
確認號：ack=w+1
含義：客戶端確認服務器關閉，連接完全終止

狀態轉換：

客戶端                服務器|                    ||    FIN (seq=u)    ||------------------->||                    |  ACK (ack=u+1)|<-------------------||                    |  FIN (seq=w)|<-------------------||    ACK (ack=w+1)   ||------------------->||  [連接關閉]        |

三、常見問題解析

Q1：為什么三次握手是必要的？

防止歷史連接（如延遲的 SYN 包）被錯誤處理
實現雙方序列號同步

Q2：四次揮手的原因？

服務器可能有未發送完的數據，需要單獨確認
客戶端和服務器的關閉操作是異步的

Q3：為什么需要 TIME_WAIT 狀態？

確保最后一個 ACK 到達服務器
清除網絡中所有舊數據包
避免新舊連接混淆

Q4：如何優化 TIME_WAIT？

調整內核參數（如 net.ipv4.tcp_tw_reuse）
使用長連接（如 HTTP Keep-Alive）

四、總結對比

階段	操作次數	核心目的	關鍵標志
三次握手	3 次	建立可靠連接	SYN, ACK
四次揮手	4 次	優雅終止連接	FIN, ACK
關鍵機制	-	序列號同步、半關閉、2MSL 等待	-

SSL/TLS 協議

定義與背景

SSL（Secure Sockets Layer）：是網景公司（Netscape）在 20 世紀 90 年代開發的一種用于保障網絡通信安全的協議，主要目的是在互聯網上提供數據加密和身份驗證功能，防止數據在傳輸過程中被竊取或篡改。
TLS（Transport Layer Security）：是 SSL 的后續版本，由 IETF（Internet Engineering Task Force）標準化。TLS 在 SSL 的基礎上進行了改進和增強，提供了更高的安全性和更好的性能，目前已經逐漸取代了 SSL。

主要功能

數據加密：通過對稱加密算法（如 AES）對傳輸的數據進行加密，確保數據在傳輸過程中即使被截獲，攻擊者也無法獲取其中的敏感信息。
身份驗證：使用非對稱加密算法（如 RSA）對服務器和客戶端的身份進行驗證，確保通信雙方的身份真實可靠。例如，服務器會向客戶端發送自己的數字證書，客戶端通過驗證證書來確認服務器的身份。
完整性驗證：通過消息認證碼（MAC）等技術對傳輸的數據進行完整性驗證，確保數據在傳輸過程中沒有被篡改。

SSL/TLS 核心工作流程

1. 握手階段（Handshake Protocol）

目標：協商加密參數、驗證服務器身份、生成會話密鑰。

ClientHello
客戶端發送支持的 TLS 版本、加密套件列表（如 ECDHE+AES256+SHA384）、隨機數（ClientRandom）。
ServerHello
服務器選擇最高版本協議、加密套件、返回隨機數（ServerRandom）和數字證書（含公鑰）。
證書驗證
客戶端通過 CA 信任鏈驗證服務器證書有效性（域名匹配、有效期、簽名合法性）。
密鑰交換
- 客戶端生成預主密鑰（PreMasterSecret），用服務器公鑰加密后發送。
- 雙方通過偽隨機函數（PRF）混合 ClientRandom、ServerRandom、PreMasterSecret，生成主密鑰（MasterSecret）。
會話密鑰生成
主密鑰進一步派生出會話密鑰（加密密鑰、MAC 密鑰），用于后續通信。

2. 加密通信階段（Record Protocol）

目標：使用對稱加密保護數據傳輸。

數據加密
客戶端和服務器用會話密鑰加密應用層數據（如 HTTP 請求 / 響應）。
完整性驗證
每條消息附加 HMAC（基于密鑰的哈希），防止篡改或重放攻擊。
壓縮（可選）
對加密后的數據進行壓縮（現代 TLS 默認禁用）。

3. 連接終止（Connection Closure）

關閉通知
任意一方發送close_notify警報，對方確認后斷開連接。
密鑰銷毀
會話密鑰隨連接關閉失效，下次通信需重新協商。

關鍵技術

非對稱加密（RSA/ECDH）：安全傳輸預主密鑰。
對稱加密（AES/ChaCha20）：高效加密大量數據。
數字證書：通過 CA 機構綁定服務器公鑰與身份。
HMAC：確保數據完整性和真實性。

簡化版流程

客戶端發起加密請求（Hello）。
服務器響應并出示證書。
客戶端驗證證書，生成臨時密鑰并用服務器公鑰加密傳輸。
雙方生成會話密鑰，開始加密通信。
通信結束后，安全關閉連接。

HTTPS 協議

定義與背景

HTTPS（Hypertext Transfer Protocol Secure）是在 HTTP 協議的基礎上加入了 SSL/TLS 協議，通過加密和身份驗證機制，為 HTTP 數據傳輸提供了安全性保障。HTTPS 在 URL 中使用?https://?前綴，默認端口號為 443。

主要作用

保護用戶隱私：在用戶與網站進行數據交互時，如登錄、支付等操作，HTTPS 可以防止用戶的敏感信息（如用戶名、密碼、銀行卡號等）被竊取。
防止數據篡改：確保傳輸的數據在到達目的地之前沒有被中間人篡改，保證數據的完整性。
增強網站可信度：使用 HTTPS 的網站會在瀏覽器地址欄顯示安全鎖標志，向用戶表明該網站是經過身份驗證的，增強用戶對網站的信任。

工作過程

客戶端發起請求：客戶端在瀏覽器中輸入?https://?開頭的 URL，向服務器發起 HTTPS 請求。
SSL/TLS 握手：客戶端和服務器進行 SSL/TLS 握手，協商加密算法、驗證身份并生成會話密鑰。
數據傳輸：雙方使用會話密鑰對 HTTP 數據進行加密和解密，完成數據的安全傳輸。
連接關閉：數據傳輸完成后，關閉 SSL/TLS 連接。

核心加密算法分類

SSL/TLS 通過非對稱加密、對稱加密、哈希與 HMAC三大類算法協同工作，保障通信安全。

1. 非對稱加密算法（密鑰交換與身份驗證）

作用：安全傳輸臨時密鑰，驗證服務器身份。
常見算法：
- RSA
  - 原理：基于大數分解難題（兩個大素數乘積的因數分解）。
  - 應用：加密 PreMasterSecret，數字證書簽名。
  - 弱點：計算效率低，密鑰長度需≥2048 位（推薦 3072 位）。
- ECC（橢圓曲線加密）
  - 原理：基于橢圓曲線離散對數問題。
  - 優勢：相同安全強度下密鑰更短（256 位 ECC ≈ 3072 位 RSA），計算速度快。
  - 應用：ECDHE 密鑰交換（如 ECDHE-ECDSA）。
- DH（Diffie-Hellman）
  - 原理：通過公開參數協商共享密鑰，中間人無法推導出密鑰。
  - 變種：DHE（臨時 DH，每次會話生成新密鑰）、ECDHE（橢圓曲線 DH）。

2. 對稱加密算法（數據加密）

作用：高效加密傳輸數據。
常見算法：
- AES（高級加密標準）
  - 分組密碼，支持 128/192/256 位密鑰。
  - 模式：GCM（認證加密，提供完整性驗證）、CBC（需配合 HMAC）。
  - 應用：主流加密套件如 AES-256-GCM。
- ChaCha20
  - 流密碼，性能優于 AES，適合移動端。
  - 常與 Poly1305 結合（ChaCha20-Poly1305）。
- 3DES
  - 已過時，被 AES 取代，安全性弱于現代算法。

3. 哈希與 HMAC 算法（完整性與真實性）

哈希算法：
- SHA-256/SHA-384
  - 生成固定長度摘要，用于數字證書簽名和 HMAC。
- SHA-1
  - 已被破解，禁止用于 TLS 1.3 及以上。
HMAC（基于密鑰的哈希）
- 公式：HMAC (key, data) = H (key XOR opad || H (key XOR ipad || data))
- 作用：驗證數據完整性，防止篡改和重放攻擊。

二、密鑰交換與協商流程

以ECDHE-RSA-AES256-GCM-SHA384套件為例：

客戶端生成隨機數ClientRandom，發送支持的套件列表。
服務器選擇套件，返回ServerRandom、證書（含 RSA 公鑰）。
客戶端驗證證書，生成PreMasterSecret，用RSA 公鑰加密后發送。
雙方通過ClientRandom + ServerRandom + PreMasterSecret，結合 **PRF（偽隨機函數）** 生成MasterSecret。
MasterSecret派生出會話密鑰（加密密鑰、HMAC 密鑰），用于后續通信。

三、數字證書與簽名算法

證書結構：
- 包含服務器公鑰、域名、有效期、CA 簽名。
- 簽名算法：
  - SHA-256 + RSA（如 sha256WithRSAEncryption）
  - SHA-384 + ECDSA（如 sha384WithECDSAEncryption）
驗證流程：
客戶端用 CA 公鑰解密證書簽名，比對哈希值確認證書未被篡改。

四、現代加密套件推薦

套件名稱	密鑰交換	對稱加密	HMAC 算法	安全性等級
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384	ECDHE-ECDSA	AES-256-GCM	SHA-384	高
TLS_AES_256_GCM_SHA384	AES-GCM-SIV	AES-256-GCM	SHA-384	最高（TLS 1.3）
TLS_CHACHA20_POLY1305_SHA256	X25519（ECDH）	ChaCha20-Poly1305	SHA-256	高