网络协议

互联网是如何工作的？

一、 计算机网络模型

国际标准模型是 OSI 七层参考模型，它是一个参考，不是一个具体实现，又叫网络互联模型，TCP/IP 协议是参考 OSI 模型进行实现的。OSI 模型分七层：应用层，表示层，会话层，传输层，网络层，数据链路层，物理层。TCP/IP 主要是分四层，应用层，传输控制层，网络层，链路层。将 OSI 模型的应用层，表示层，会话层组成一个应用层，OSI 的链路层和物理层分成链路层。 比 OSI 模型少了三层，结构简单很多。

为什么会有模型？

模型主要就是标准，定义计算机网络的标准，因为早期的网络通信是点对点的通信，那么不同的生产厂商之间的产品和设备不能相互兼容，为了解决这个问题，所以国际上提供了一个标准 OSI 模型标准，所有的厂商都去遵循，兼容这个标准生产。

相同点

• 都是通过层的结构组成的。
• 都是网络通信标准。

区别

• 分层结构不同，OSI 是七层，TCP/IP 是四层
• OSI 模型是先有模型，再有协议，它是一种设计理论，根据这个去设计接口等规范。TCP/IP 是先有了 http,tcp 等具体的协议，再把这些协议划分到不同的模型层上面去，它是以实际应用为主.
• OSI 更适合对硬件的开发，比如电流，电压等接口的标准以及对程序的设计。TCP/IP 更多是计算机建立链接需求，主流使用是协议站，比如我和你之间的通信。

二、 TCP/IP 协议（四层模型）

TCP/IP 是网络通信的一个标准，所有的互联网通信都必须遵循这个标准，它是一个由多个协议组成的协议族，他在一定程度上参考了 OSI 模型结构，在 OSI 模型的结构上简化为四层结构。 应用层，传输层，网络层，链路层。不同的层，有不同的协议。其中应用层是指程序员关注的地方，其他的传输层，网络层，链路层都是属于内核。

mac 地址

也叫做物理地址，硬件地址，是由设备出厂商设置的，计算机出厂时就写死在网卡里面了，每个网卡的 mac 地址全世界独一无二，固定不能改变的

IP 地址

是指网络地址，软件地址，每台计算机使用的 ip 地址是由 ISP（指提供 Internet 服务的公司，比如电信、网通、移动等）负责分配的，通常情况下，计算机每次链接不同的网络使用的 ip 地址不一样。IP 地址是动态的，可改变的。

mac 地址和 IP 地址的区别

• 地址长度不同，mac 的长度是为 48 位，ip 的地址长度为 32 位。
• 协议层不同，mac 运用在第二层数据链路层，ip 运用在第三层网络层。
• 分配依据不同，mac 分配是基于制造商，ip 分配基于网络拓朴

路由器

一台独立的拥有 mac 地址的设备，把数据包进行一次转发。 注意，路由器的每一个端口都有独立的 mac 地址 路由只要是负责 ip 地址的寻找

子网

就是给若干个 ip 地址按照某种规则分组，将处在一个大网的若干个 ip 划分成不同组的小网。同处在一个小网里面的 ip 就是被称为同一个子网。

子网掩码

给某台计算机设置一个子网掩码，将 ip 地址和子网掩码进行与运算，得到子网。

默认网关

每台计算机配置一个 ip 地址，用来将数据包发给这个 ip 地址(实际就是路由的 ip 地址)

路由表

确定目的 ip 和路由接口的对应关系，也就是说，我的数据应该从路由的哪个接口出去，路由表是通过子网分组对应接口，同一个子网的不同 ip 对应的是同一个路由接口。

arp 协议

通过 ip 地址找到对应的 mac 地址，电脑里面会缓存一张 arp 表，arp 表缓存了 ip 和 mac 的对应关系，通过 arp 表找到对应的 mac 地址。

为什么要网络分层

• 为了简化网络的复杂度
• 有更好的可拓展性，复杂的网络通信通过分层来管理，层与层之间不会相互影响，如果后期需要替换某个应用，🈯️ 需要知道层与层之间的接口连接进行。

应用层

应用层是 tcp/ip 协议的第一层，是直接为应用进程提供服务的，符合应用层的一些协议，主要准备某种协议的数据，发送前通过内核完成和别人的链接。 应用层协议有 HTTP,TFTP,FTP,NFS,WAIS,SMTP,Telent,DNS,SNMP。

1. 对不同的应用程序，他们会根据自己的需求来使用应用层不同的协议。比如：

• 邮件传输使用了 SMTP 协议
• 互联网传输使用了 HTTP 协议
• 远程登录服务使用了 TELNET 协议

2. 应用层还能加密，解密，格式化数据。
3. 应用可以建立或解除与其他节点的联系，可以充分节省网络资源。

传输控制层

传输控制层是端对端的通信，是指应用程序使用什么协议进行通信，给应用层提供端口号。不同协议对应不同的端口号，传输层有两个协议，TCP 协议和 UDP 协议。

• TCP 协议：面向连接的，可靠的传输协议
• UDP 协议:无连接，高效的，不可靠的数据报文协议

总体来说，TCP 协议传输效率低，但可靠性强；UDP 协议传输效率高，但可靠性略低，适用于传输可靠性要求不高、体量小的数据（比如 QQ 聊天数据）。

应用层和传输层的联系

应用层是使用传输层的端口号进行传输的，比如 http 使用 80 端口，这个 80 端口是传输层提供的端口，http 是要通过 tcp 去建立链接的。传输层通过端口号来判断应用程序，应用程序通信是需要通过传输层建立通信的管道。

网络层

网络层主要是负责将报文从一台主机传到另一台主机，这个传输报文的整个路程称为网络层，主要是包括寻址（IP）和路由（router）。 网络层包括的协议有：ipv4,ipv6,ICMP,IGMP。

链路层

链路层又称数据链路层或者网络接口层，是物理层，将一个网络层通过多台设备切割成一段一段的网络线路，两个设备直连的这段线路叫做数据链路层，所以一个网络层是由多段数据链路层组成的。 该层包括操作系统硬件的设备驱动，NIC（网卡），光纤等物理可见部分，还包括连接器等一切传输媒介。

网络拓扑：就是指网络线路布局

比如：A 电脑—— 连接路由 1 —— 连接路由器 2 —— 连接 C 电脑

这是 一张网络拓扑。假设 A 通过 http 请求给 C 发送数据。

A 给 C 发送数据通过这个网络拓扑到达 C 这整个网络规划就是 A 和 C 通信的网络层,然而 A 和 C 不是直连的，而是通过路由 1，路由 2 等切割成一段一段的数据线路，然后通过一段一段数据线路查找 mac 地址最终找到 C，那这整个过程就是一个数据链路层，数据链路层就是由这每一段小的线路连接组成，所以网络层是通过数据链路层来组装传输数据的。

A 给 C 发送数据从应用层到链路层的全过程解析：

• 准备工作，应用层数据包封装，http 请求的发出。
• 发送数据包之前，传输层接到 http 请求的发出，首先通过 DNS 域名解析获取到 C 的 ip 地址，知道要发给谁，然后通过 TCP 建立通信连接，添加 TCP 包首部
• 连接建立之后，此时就可以通过连接通道发送数据了，数据发出，程序进入到网络层
• 网络层的时候封装 IP 头，还有数据包，封装完毕之后，来到链路层，链路层
• 此时 A 和 路由 1 连接的，A 根据默认网络知道路由 1 的 IP 地址，然后通过 arp 找到路由 1 的 mac，添加一个以太网首部（源 A 电脑 mac,目标 路由 1mac）
• 路由 1 拿到数据包根据路由表匹配 IP 找到路由 2，再根据 arp 找到路由 2 的 mac,此时更换以太网首部(源 路由 1mac,目标 路由 2mac)
• 路由 2 拿到数据包根据路由表匹配找到 C 电脑的 IP，再根据 ARP 找到 C 电脑的 mac
• C 电脑发现 IP 包里面的目标 IP 地址是自己，此时接收数据，并且进行处理。

网络层和链路层的关系

链路层是物理层，一个网络层是由一段一段的链路层组成的，通过链路层给整个网络层传送数据，网络层是通过链路层去查找到最终的接收方，然后将数据传送给他。

三、 TCP 协议

面向连接的，可靠的传输协议。

什么是连接

三次握手

什么是三次握手?

客户端和服务端建立连接了 ，各自开辟了一个队列空间（queue 空间 socket）,双方有资源为对方服务。

• 客户端发送 SYN 给服务端，请求服务端建立建立
• 服务端收到 SYN 回应一个 SYN+ACK 给客户端，告诉客户端我收到它的连接请求了，并且愿意和他建立连接
• 客户端收到服务端的 SYN+ACK 回应再次发送 ACK 告诉服务端，我收到你的请求同意了，接下来我们可以进行对话了。

为什么是三次握手？

如果是两次握手，那么 TCP 建立连接只是客户端单方面的，会造成资源的浪费。

TCP 四次挥手

• 客户端发一个 FIN 报文数据包给服务器请求断开连接
• 服务器收到 FIN 报文回应一个 ACK 数据包告诉客户端我收到你的断开请求了，正在分配资源，然后进入到 close wait 状态
• 等到服务 close 状态之后， 有资源断开服务器的连接的了，再发送一个 FIN+ACK 断开连接的报文，服务器进入到 last ack 状态
• 客户端收到服务器断开连接到 FIN+ACK 报文请求，再次发送 ACK 告诉服务器，我收到你的断开报文了，然后断开。

TCP 的四次挥手为什么是四次，第二部和第三部能不能合并？

第二步和第三步不能合并，服务器收到客户端断开连接的请求后，服务器不可能立马有资源去处理客户端断开连接的请求， 然而客户端每次超过 30 秒没有收到服务端的回应就会重发请求。但是服务器处理断开请求是需要时间的，所以这个时候，服务器需要告诉客户端，他已经收到了客户端的断开请求， 正在等待资源的分配，进入到 close wait 状态。进行了第二部。等到有资源处理了，服务端再发一个断开连接到数据报文回应给客户端，他正在处理断开连接。

什么是 TCP 长连接？

就是一直连接

三、http 协议

什么是 http 协议

超文本传输协议，是一个基于请求与响应，无状态的，应用层的协议，常基于 TCP/IP 协议传输数据，互联网上应用最为广泛的一种网络协议,所有的 WWW 文件都必须遵守这个标准。设计 HTTP 的初衷是为了提供一种发布和接收 HTML 页面的方法。

http1.0,http1.1,http2 比较

• 时间点：HTTP/0.9（1991 年）、HTTP/1.0（1996 年）、HTTP/1.1（1999 年）、HTTP/2.0（2015 年）

• HTTP/1.0与HTTP/1.1的区别：

  • 缓存处理
  • 带宽优化及网络连接的使用
  • 错误通知的管理
  • Host 头处理
  • 长连接

• HTTP/1.x与HTTP/2.0的区别：

  • 新的二进制格式（Binary Format）：HTTP1.x 的解析是基于文本，HTTP2.0 的协议解析采用二进制格式
  • 多路复用（MultiPlexing）：即连接共享，即每一个 request 都是是用作连接共享机制的
  • header 压缩：
  • 服务端推送（server push）

http 特点

• 无状态，无连接
• 通信是明文的
• 简单快速、灵活
• 没有验证通信方的身份
• 无法保证数据的完整性

四、https

什么是 https

https 不是一个具体的协议，是在 HTTP 基础上进行了 SSL/TLS 加密处理，本质还是 HTTP 通信，在数据传输之前，TCP 握手时候利用 SSL/TLS 建立全信道，加密数据包。 HTTPS 使用的主要目的是提供对网站服务器的身份认证，同时保护交换数据的隐私与完整性。

PS:TLS 是传输层加密协议，前身是 SSL 协议，由网景公司 1995 年发布，有时候两者不区分。

https 特点

• 内容加密：采用混合加密技术，中间者无法直接查看明文内容
• 验证身份：通过证书认证客户端访问的是自己的服务器
• 保护数据完整性：防止传输的内容被中间人冒充或者篡改

https 加密技术

采用非对称加密+对称加密（混合加密技术）来进行加密，就是用非对称加密来沟通获取到对称加密需要的密钥，然后在后续的网络通信中使用对称算法进行加密和解密

为什么需要采用混合加密技术？

• 如果通过对称加密进行前期的加密沟通，那么加密不够严谨，公钥容易被泄露
• 如果全部使用非对称加密进行通信，因为非对称加密比较复杂这样数据传输比较慢
• 所以为了保证前期的加密协商不被窃取以及后期数据的传输效率，加密协商密钥的获取阶段通过非对称加密来协商，后期的数据通信通过对称加密来进行通信

对称加密

就是客户端和服务端使用同一个公钥对内容进行加密和解密。

对称加密的问题

如果客户端和服务端共同持有一个公钥，并且没有被别人知道，那数据进行密钥加密的是安全的。 但是服务端如何把自己拥有的密钥给到客户端？假设服务端生成的密钥通过明文给到客户端，在这个过程中密钥被第三方截取了，那么客户端通过这个密钥进行加密的文件，第三方就可以被截取到

非对称加密

就是由服务端同时生成一对公钥和私钥，通过公钥加密文件，需要对应的私钥解密文件。

非对称加密的问题

客户端需要通过服务端生成的公钥进行加密，所以客户端和服务端协商加密规则时，服务端会把公密给到客户端，如果这个期间第三方截取了服务端给到公钥，同时用它生存的公钥匙替换掉服务器的公钥，那么客户端拿到公钥之后进行加密，将数据传给服务端的时候，第三方截取数据，然后用它的私钥进行解密，就可以截取客户端的数据。

数字签名

CA 机构对服务器上传的.crt 文件进行签名验证数据的真实性和完整性

验证服务端的身份

客户端如何知道它拿到的公钥是服务器给的不是伪造？通过数字证书验证公钥的身份。

数字证书

就是一个.crt 文件，一种验证电脑身份的机制，由数字颁发机构 CA 颁发。

数字证书内容

公钥，申请者，域名等其他的信息。

验证数据的真实性和完整性

客户端如何保证拿到的数字证书是真实的并且完整的？

摘要

将数字证书.crt 进行 hash，就生成了一个摘要，生成摘要之后是不可逆的。

数字签名

对数字证书进行签名，验证数字证书的真实和完整性，CA 机构用自己的私密对摘要进行加密，生成一个数字签名。

如何申请数字证书

• 服务器将公钥，申请者，域名等其他的信息生成一个.crt 文件然后给到 CA 机构
• CA 机构收到申请，验证申请者信息，如果没有异常，CA 机构通过.crt 这个明文文件做一个 HASH,得到一个信息摘要。
• CA 机构用自己的私钥对 HASH 进行加密，得到一个秘文，这就是数字签名
• 然后通过数字签名+.crt 明文生成一个数字证书

数字签名如何验证数字证书的真实性

• 浏览器通过 CA 证书提供的公钥对数字签名进行解密得到 hash 值
• 浏览器再通过 CA 证书提供的公钥对 crt 原文进行 hash 值处理
• 将数字签名生成的 hash 值和.crt 原文生成的 hash 值进行对比，如果相等，那么数字证书就是完整的。

如何验证颁发机构权威性

通过上面的步骤已经可以验证公钥的身份，以及数字证书的完整性和真实性，但是假如 CA 机构是被第三方入侵者伪造的？这里就需要验证颁发机构的权威性，需要验证颁发机构的权威性，那么就需要更权威的颁发机构来验证，所以就会有一个根证书颁发机构，这个根证书颁发机构是被大家公认的权威机构，通过根证书颁发机构给中证书颁发机构受信，再由中证书颁发机构给用户证书颁发机构授信，来保证用户证书颁发机构的权威性。

证书链

用户颁发机构的权威性是通过证书链来验证的， 证书链主要是有根证书（根证书颁发机构颁发的证书），中间证书（中间证书颁发机构颁发的证书），用户证书（用户证书颁发机构颁发的证书）三部分组成，只有这三个证书都通过了，那么才能证明用户颁发机构证书的权威性。

参考资料和地址:

tcp/ip 工作原理和图解
https 加密原理
[图解 TCP/IP (第五版)书]