The Transmission Control Protocol/Internet Protocol (TCP/IP) protocol

📚 综合学习笔记：TCP/IP 协议栈 (9645)

欢迎来到网络基础中最核心的章节！传输控制协议/网际协议 (TCP/IP) 套件是整个互联网的底层架构。你在网上做的一切——流媒体、发邮件、网页浏览——都依赖于这些协议的顺畅协作。
如果刚开始觉得有点复杂，别担心；我们将把这个庞大的系统拆解为四个易于理解的层级，并配合现实生活中的类比来讲解！

本章核心要点： TCP/IP 并非单一协议，而是一个协议“栈”（集合），用于规范数据如何从一个设备可靠地传输到全球各地的另一个设备。

---

1. TCP/IP 分层模型 (通信栈)

想象一下寄送国际包裹。你不会只是把它丢进盒子里了事；你需要遵循关于标签、安全检查和运输的特定步骤。TCP/IP 模型将网络功能组织为四个可管理的层级。这种分层方式非常巧妙，因为它允许工程师在更新某一层（例如更快的 Wi-Fi）时，无需重建整个系统。

TCP/IP 协议栈的四个层级

我们通常从顶层（用户可见层）到底层（物理传输媒介）来描述这些层级。

1. 应用层 (Application Layer) - 用户交互层

作用： 这是应用程序（如浏览器或电子邮件客户端）创建和接收数据的地方。它处理用户直接交互的协议。
类比： 撰写和阅读信件的内容。
关键协议： HTTP, FTP, SMTP, POP3, IMAP, SSH（我们稍后会详细介绍这些！）。

2. 传输层 (Transport Layer) - 可靠性检查层

作用： 负责管理发送方和接收方之间的连接。它确保数据被正确且按顺序交付（使用 TCP），或者在不需要确认的情况下快速发送数据（使用 UDP）。
类比： 决定是用挂号信（TCP，有保证）还是平邮（UDP，更快但可靠性较低）寄送信件。
核心概念： 套接字 (Sockets)（应用程序的入口/出口点）。

3. 网际层 (Internet Layer) - 路由/路径查找层

作用： 处理跨不同网络的逻辑寻址（IP 地址）和数据包的路由。它决定了数据包到达目的地的最佳路径。
类比： 分拣中心根据街道地址（IP 地址）来确定传输路线。
关键协议： IP (网际协议)。

4. 链路层 (Link Layer) - 硬件连接层

作用： 处理物理网络组件（电缆、网卡）以及将数据从当前设备传输到同一本地网络段中下一个设备的协议。
类比： 快递车沿着特定道路运送物理包裹。
核心概念： MAC 地址（物理硬件标识符）。

套接字 (Sockets) 的作用

套接字 (Socket) 是传输层连接的端点。它是设备上特定应用程序进行通信的方式。

示例： 如果你的电脑（IP 地址 192.168.1.5）正在浏览网页（使用 HTTP 端口 80），那么套接字地址可能如下所示：192.168.1.5:80。

---

2. 寻址：IP 地址与 MAC 地址

媒体访问控制 (MAC) 地址

MAC 地址是制造商分配给网络接口卡 (NIC) 的唯一物理标识符。
它工作在链路层。

类比： MAC 地址就像刻在设备上的序列号。无论你把它插在哪里，它永远不会改变。

网际协议 (IP) 地址

IP 地址是网际层用于在不同网络间路由数据的逻辑地址。

类比： IP 地址就像你目前的通讯地址。它告诉全球网络你的设备现在位于何处。

IP 结构与子网划分

IP 地址分为两个部分：

• 网络标识部分 (Network Identifier)： 标识设备所处的特定网络。
• 主机标识部分 (Host Identifier)： 标识该网络内的特定设备（主机）。

子网掩码 (Subnet Mask) 用于确定 IP 地址的哪一部分是网络 ID，哪一部分是主机 ID。它就像一个模板，告诉路由器在进行路由决策时查看哪些位。

IPv4 与 IPv6

• IPv4： 使用 32 位，提供约 43 亿个唯一地址。我们基本上已经用光了。
• IPv6： 使用 128 位，提供几乎取之不尽的地址空间 (\(2^{128}\))。

引入 IPv6 的原因： 为了解决因互联网连接设备（笔记本电脑、手机、物联网设备）激增而导致的 IPv4 地址严重短缺问题。

可路由与不可路由 IP 地址

• 可路由 (公网) IP： 可以直接从广域网（互联网）访问的地址。它们在全球范围内是唯一的，是服务器托管公共网站所必需的。
• 不可路由 (私有) IP： 仅保留在私有局域网 (LAN) 内使用的地址。它们在全球范围内不是唯一的，不能用于在广域网中路由数据。

常见的私有地址范围： 192.168.x.x, 10.x.x.x。

---

3. 动态主机配置协议 (DHCP)

DHCP 是一项关键服务，用于自动管理网络内的 IP 地址。

目的与运作

DHCP 的目的是自动化配置参数（尤其是 IP 地址）的分配过程。这防止了人为错误并节省了管理时间。

DHCP 如何运作（简单步骤）：

1. 新设备连接到网络（例如你的笔记本电脑）。
2. 设备发送请求询问：“有 DHCP 服务器吗？我需要一个 IP 地址。”
3. DHCP 服务器响应，提供一个临时的 IP 地址、子网掩码和网关详细信息。
4. 设备接受该方案，并在一段特定时间内（租期）使用分配的 IP 地址。

相对于手动配置的优势： DHCP 消除了 IP 地址冲突（两个设备意外使用了相同地址）的风险，并极大减少了新设备的配置时间。

---

4. 标准应用层协议（第四层深度解析）

这些协议规定了如何执行特定的任务，比如查看网页或发送电子邮件。

网页与传输协议

• HTTP (超文本传输协议)： 供 Web 浏览器用于从 Web 服务器请求和接收网页（文本格式）及其他资源。
• HTTPS (安全超文本传输协议)： HTTP 的安全版本。它通常使用 SSL/TLS 对数据传输进行加密，从而确保隐私。
• FTP (文件传输协议)： 用于在客户端（用户设备）和 FTP 服务器之间传输文件。常用于上传大型网站文件。
  • 注意： FTP 正逐渐被 SFTP (安全文件传输协议) 取代，后者通过加密来保障文件传输安全。
• SSH (安全外壳协议)： 用于安全地登录远程计算机、管理系统并远程执行命令。它提供了一个基于文本的加密命令行界面。

电子邮件协议

电子邮件涉及两个主要阶段：发送和接收。

发送 (SMTP)：

• SMTP (简单邮件传输协议)： 用于将电子邮件从邮件客户端发送到邮件服务器，以及在邮件服务器之间进行中转。

接收 (POP3 或 IMAP)：

• POP3 (邮局协议第 3 版)： 将电子邮件从服务器下载到客户端，通常随后从服务器上删除。（类似于检查物理邮箱）。
• IMAP (因特网消息访问协议)： 同步电子邮件，将其保留在服务器上，以便可以从多个设备访问。（现代标准）。

---

5. 网络安全基础

由于 TCP/IP 管理着所有网络流量，保障流量安全至关重要。本节涵盖了关键的安全工具和威胁。

防火墙：网络守门人

防火墙 (Firewall) 旨在防止对私有网络的未经授权的访问。它通过应用规则来决定允许哪些流量通过。

• 包过滤 (Packet Filtering)： 检查单个数据包的报头（源 IP、目标 IP、端口号）。如果数据包不符合规则，则被拦截。（基础、快速检查）。
• 代理服务器 (Proxy Server)： 作为内部网络与外部网络之间的中介。所有外部请求都通过代理进行，从而隐藏内部客户端的身份。（更适合匿名性和内容控制）。
• 状态检测 (Stateful Inspection)： 监控活跃连接的状态。它跟踪哪些连接是由内部发起的，并自动允许返回的流量。（比简单的包过滤更智能、更安全）。

类比： 想象一个门卫。包过滤检查名牌（报头）；状态检测不仅检查名牌，还会记住你最近是否进入过大楼。

加密与密钥交换

加密 (Encryption) 使用密钥和算法将数据（明文）转换为不可读的形式（密文）。

1. 对称加密 (Symmetric Encryption)

• 加密和解密使用相同的密钥。
• 示例： 凯撒密码、维纳姆密码（满足条件时可实现完美加密）。
• 问题： 密钥交换问题——发送方和接收方如何在不被截获的情况下安全地共享秘密密钥？

2. 非对称（公钥）加密 (Asymmetric Encryption)

• 使用两个在数学上相关联的密钥：公钥（广泛共享，用于加密）和私钥（严格保密，用于解密）。
• 这解决了密钥交换问题，因为公钥可以公开分发。

数字证书与数字签名

这些对于建立互联网信任至关重要（尤其是 HTTPS）。

• 数字签名 (Digital Signatures)： 用于验证消息发送者或文档创建者的身份。它证明消息确实源自声称的来源，且未被篡改。
• 数字证书 (Digital Certificates)： 一种通过加密方式将公钥绑定到实体（如网站服务器）的文件。由受信任的第三方（证书颁发机构，CA）签发，证明公钥的所有者就是其所声称的身份。

恶意软件：对漏洞的威胁

恶意软件利用软件或系统中的弱点（漏洞）：

• 病毒 (Virus)： 通过附加到其他合法程序来进行自我复制的恶意代码。需要“宿主”文件才能传播。
• 蠕虫 (Worm)： 无需宿主程序的独立恶意软件，可自我复制并通过网络传播。它们利用网络安全漏洞进行快速扩散。
• 木马 (Trojan Horse)： 伪装成合法或常用程序的恶意软件。它们不会自我复制，而是诱骗用户自行安装。

被利用的漏洞： 过时的软件（未修复的安全漏洞）、用户培训不足、弱密码以及防火墙配置不当。