标签：agg 序列号 machine value mamicode 网桥 防止 网卡名称 地址
Transmission Control Protocol/Internet Protocol 传输控制协议/因特网互联协议
TCP/IP是一个Protocol Stack，包括TCP、IP、UDP、ICMP、RIP、TELNET、FTP、SMTP、ARP等许多协议
共定义了四层，和OSI参考模型的分层有对应关系
工作在传输层
面向连接协议
全双工协议
半关闭
错误检查
将数据打包成段，排序
确认机制
数据恢复，重传
流量控制，滑动窗口
拥塞控制，慢启动和拥塞避免算法
TCP 包头常见选项：
最大报文段长度MSS（Maximum Segment Size），通常1460字节
指明自己期望对方发送TCP报文段时那个数据字段的长度。比如：1460字节。数据字段的长度加上TCP首部的长度才等于整个TCP报文段的长度。MSS不宜设的太大也不宜设的太小。若选择太小，极端情况下，TCP报文段只含有1字节数据，在IP层传输的数据报的开销至少有40字节（包括TCP报文段的首部和IP数据报的首部）。这样，网络的利用率就不会超过1/41。若TCP报文段非常长，那么在IP层传输时就有可能要分解成多个短数据报片。在终点要把收到的各个短数据报片装配成原来的TCP报文段。当传输出错时还要进行重传，这些也都会使开销增大。因此MSS应尽可能大，只要在IP层传输时不需要再分片就行。在连接建立过程中，双方都把自己能够支持的MSS写入这一字段。 MSS只出现在SYN报文中。即：MSS出现在SYN=1的报文段中
MTU和MSS值的关系：MTU=MSS+IP Header+TCP Header
通信双方最终的MSS值=较小MTU-IP Header-TCP Header
窗口扩大 Window Scale
为了扩大窗口，由于TCP首部的窗口大小字段长度是16位，所以其表示的最大数是65535。但是随着时延和带宽比较大的通信产生（如卫星通信），需要更大的窗口来满足性能和吞吐率，所以产生了这个窗口扩大选项
时间戳 Timestamps
可以用来计算RTT(往返时间)，发送方发送TCP报文时，把当前的时间值放入时间戳字段，接收方收到后发送确认报文时，把这个时间戳字段的值复制到确认报文中，当发送方收到确认报文后即可计算出RTT。也可以用来防止回绕序号PAWS，也可以说可以用来区分相同序列号的不同报文。因为序列号用32为表示，每2^32个序列号就会产生回绕，那么使用时间戳字段就很容易区分相同序列号的不同报文
传输层通过port号，确定应用层协议，范围0-65535
IANA互联网数字分配机构负责域名，数字资源，协议分配
TCP 确认和固定窗口
TCP 滑动窗口
TCP 三次握手
TCP 四次挥手
3.2.2.1 ARP
ARP 地址解析协议由互联网工程任务组（IETF）在1982年11月发布的RFC 826中描述制定，是根据IP地址获取物理地址的一个TCP/IP协议。
主机发送信息时将包含目标IP地址的ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，局域网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存
Gratuitous ARP也称为免费ARP，无故ARP。Gratuitous ARP不同于一般的ARP请求，它并非期待得到ip对应的mac地址，而是当主机启动的时候，将发送一个Gratuitous arp请求，即请求自己的ip地址的mac地址
免费ARP可以有两个方面的作用：
3.3.4.1 Internet 协议特征
IP PDU 报头格式
版本:占4位,指 IP 协议的版本目前的IP协议版本号为4
首部长度:占4位,可表示的最大数值是15个单位，一个单位为4字节，因此IP 的首部长度的最大值是60字节
区分服务:占8位,用来获得更好的服务,在旧标准中叫做服务类型,但实际上一直未被使用过.后改名为区分服务.只有在使用区分服务(DiffffServ)时,这个字段才起作用.一般的情况下不使用
总长度:占16位,指首部和数据之和的长度,单位为字节,因此数据报的最大长度为 65535 字节.总长度必须不超过最大传送单元 MTU
标识:占16位,它是一个计数器,通常，每发送一个报文，该值会加1， 也用于数据包分片，在同一个包的若干分片中，该值是相同的
标志(flflag):占3位,目前只有后两位有意义DF： Don’t Fragment 中间的一位，只有当 DF=0 时才允许分片
MF： More Fragment 最后一位，MF=1表示后面还有分片,MF=0 表示最后一个分片IP PDU 报头
片偏移:占13位,指较长的分组在分片后，该分片在原分组中的相对位置.片偏移以8个字节为偏移单位
生存时间:占8位,记为TTL (Time To Live) 数据报在网络中可通过的路由器数的最大值,TTL 字段是由发送端初始设置一个 8 bit字段.推荐的初始值由分配数字 RFC 指定,当前值为 64.发送 ICMP 回显应答时经常把 TTL 设为最大值 255
协议:占8位,指出此数据报携带的数据使用何种协议以便目的主机的IP层将数据部分上交给哪个处理过程, 1表示为 ICMP 协议, 2表示为 IGMP 协议, 6表示为 TCP 协议, 17表示为 UDP 协议
首部检验和:占16位,只检验数据报的首部不检验数据部分.这里不采用 CRC 检验码而采用简单的计算方法
源地址和目的地址:都各占4字节,分别记录源地址和目的地址
它们可唯一标识 IP 网络中的每台设备 ，每台主机（计算机、网络设备、外围设备）必须具有唯一的地址
IP地址由两部分组成
IPv4地址格式：点分十进制记法
私有IP地址：不直接用于互联网，通常在局域网中使用
公共IP地址：互联网上设备拥有的唯一地址
0.0.0.0
0.0.0.0不是一个真正意义上的IP地址。它表示所有不清楚的主机和目的网络
255.255.255.255
限制广播地址。对本机来说，这个地址指本网段内(同一广播域)的所有主机
127.0.0.1～127.255.255.254
本机回环地址，主要用于测试。在传输介质上永远不应该出现目的地址为“127.0.0.1”的 数据包
224.0.0.0到239.255.255.255
组播地址，224.0.0.1特指所有主机，224.0.0.2特指所有路由器。224.0.0.5指OSPF 路由器，地址多用于一些特定的程序以及多媒体程序
169.254.x.x
如果Windows主机使用了DHCP自动分配IP地址，而又无法从DHCP服务器获取地址，系统会为主机分配这样地址
3.4.4 保留地址
CIDR：无类域间路由，目前的网络已不再按A，B，C类划分网段，可以任意指定网段的范围
CIDR 无类域间路由表示法：IP/网络ID位数，如：172.16.0.100/16
netmask子网掩码：32位或128位（IPv6）的数字，和IP成对使用，用来确认IP地址中的网络ID和主机ID，对应网络ID的位为1，对应主机ID的位为0,范例:255.255.255.0 ，表现为连续的高位为1，连续的低位为0
相关公式：
判断对方主机是否在同一个网段：
用自已的子网掩码分别和自已的IP及对方的IP相与，比较结果，相同则同一网络，不同则不同网段
划分子网：将一个大的网络（主机数多）划分成多个小的网络（主机数少），主机ID位数变少，网络ID位数变多，网络ID位向主机ID位借位
将Linux主机接入到网络，需要配置网络相关设置
一般包括如下内容：
主机名
IP/netmask
路由：默认网关
DNS服务器
? 主DNS服务器
? 次DNS服务器
? 第三个DNS服务器
接口命名方式：CentOS 6
以太网：eth[0,1,2,...]
? ppp：ppp[0,1,2,...]
网络接口识别并命名相关的udev配置文件：
/etc/udev/rules.d/70-persistent-net.rules
查看网卡：
dmesg |grep –i eth
ethtool -i eth0
卸载网卡驱动：
modprobe -r e1000
rmmod e1000
装载网卡驱动：
modprobe e1000
静态指定:
? ifconfifig, route, netstat
? ip: object {link, addr, route}, ss, tc
? system-confifig-network-tui，setup
配置文件
动态分配：DHCP: Dynamic Host Confifiguration Protocol
来自于net-tools包，建议使用 ip 代替
路由表管理命令
路由表主要构成:
查看路由表：
route
route -n
添加：route add
route add [-net|-host|default] target [netmask Nm] [gw GW] [[dev] If]
删除：route del
route del [-net|-host] target [gw Gw] [netmask Nm] [[dev] If]
通过守护进程获取动态路由
安装quagga包,通过命令vtysh配置
支持多种路由协议：RIP、OSPF和BGP
来自于net-tools包，建议使用 ss 代替
显示网络连接：
netstat [--tcp|-t] [--udp|-u] [--raw|-w] [--listening|-l] [--all|-a] [--
numeric|-n] [--extend|-e[--extend|-e]] [--program|-p]
常用选项
-t: tcp协议相关
-u: udp协议相关
-w: raw socket相关
-l: 处于监听状态
-a: 所有状态
-n: 以数字显示IP和端口
-e：扩展格式
-p: 显示相关进程及PID
显示路由表：
netstat {--route|-r} [--numeric|-n]
-r: 显示内核路由表
-n: 数字格式
netstat {--interfaces|-I|-i} [iface] [--all|-a] [--extend|-e] [--program|-p] [-
-numeric|-n]
netstat -i
netstat –I=IFACE
ifconfig -s IFACE
来自于iproute包,代替ifconfifig
ip [ OPTIONS ] OBJECT { COMMAND | help }
ip 命令说明：
OBJECT := { link | addr | route }
ip link - network device configuration
set dev IFACE，可设置属性：up and down：激活或禁用指定接口，相当于 ifup/ifdown
show [dev IFACE] [up]：：指定接口 ，up 仅显示处于激活状态的接口
ip 地址管理
ip addr { add | del } IFADDR dev STRING [label LABEL] [scope {global|link|host}]
[broadcast ADDRESS]
[label LABEL]：添加地址时指明网卡别名
[scope {global|link|host}]：指明作用域,global: 全局可用.link: 仅链接可用,host: 本机可
用
[broadcast ADDRESS]：指明广播地址
ip address show
ip addr flush ?
ip route 用法
#添加路由：
ip route add TARGET via GW dev IFACE src SOURCE_IP
TARGET:
主机路由：IP
网络路由：NETWORK/MASK
#添加网关：
ip route add default via GW dev IFACE
#删除路由：
ip route del TARGET
#显示路由：
ip route show|list
#清空路由表：
ip route flush [dev IFACE] [via PREFIX]
来自于iproute包，代替netstat，netstat 通过遍历 /proc来获取 socket信息，ss 使用 netlink与内核tcp_diag 模块通信获取 socket 信息
格式：
ss [OPTION]... [FILTER]
选项：
-t: tcp协议相关
-u: udp协议相关
-w: 裸套接字相关
-x：unix sock相关
-l: listen状态的连接
-a: 所有
-n: 数字格式
-p: 相关的程序及PID
-e: 扩展的信息
-m：内存用量
-o：计时器信息
格式说明
FILTER : [ state TCP-STATE ] [ EXPRESSION ]
TCP的常见状态：
tcp finite state machine:
LISTEN: 监听
ESTABLISHED：已建立的连接
FIN_WAIT_1
FIN_WAIT_2
SYN_SENT
SYN_RECV
CLOSED
EXPRESSION:
dport =
sport =
IP 、 MASK 、 GW 、 DNS 相关的配置文件：
/etc/sysconfig/network-scripts/ifcfg-IFACE
常用配置
#centos6 之前版本
/etc/sysconfig/network
HOSTNAME=
#centos7 以后版
/etc/hostname
HOSTNAME
将多个IP地址绑定到一个NIC上
每个IP绑定到独立逻辑网卡，即网络别名，命名格式： ethX:Y，如：eth0:1 、eth0:2、eth0:3
为每个设备别名生成独立的接口配置文件，格式为：ifcfg-ethX:xxx
将多块网卡绑定同一IP地址对外提供服务，可以实现高可用或者负载均衡。直接给两块网卡设置同一IP地址是不可以的。通过 bonding，虚拟一块网卡对外提供连接，物理网卡的被修改为相同的MAC地址
共7种模式：0-6 Mode
说明：
active-backup、balance-tlb 和 balance-alb 模式不需要交换机的任何特殊配置。其他绑定模式需要配置交换机以便整合链接。如：Cisco 交换机需要在模式 0、2 和 3 中使用 EtherChannel，但在模式4中需要 LACP和 EtherChannel
桥接：把一台机器上的若干个网络接口“连接”起来。其结果是，其中一个网口收到的报文会被复制给其他网口并发送出去。以使得网口之间的报文能够互相转发。网桥就是这样一个设备，它有若干个网口，并且这些网口是桥接起来的。与网桥相连的主机就能通过交换机的报文转发而互相通信。
测试网络连通性
ping
显示正确的路由表
ip route
跟踪路由
traceroute
tracepath
mtr
确定名称服务器使用
nslookup
host
dig
抓包工具
tcpdump
wireshark
安全扫描工具
nmap
netcat
流量控制工具
tc
网络数据包截获分析工具。支持针对网络层、协议、主机、网络或端口的过滤。并提供and、or、not等逻辑语句帮助去除无用的信息。
语法：
tcpdump [-adeflnNOpqStvx][-c<数据包数目>][-dd][-ddd][-F<表达文件>][-i<网络界面>][-r<
数据包文件>][-s<数据包大小>][-tt][-T<数据包类型>][-vv][-w<数据包文件>][输出数据栏位]
参数说明：
-a 尝试将网络和广播地址转换成名称。
-c<数据包数目> 收到指定的数据包数目后，就停止进行倾倒操作。
-d 把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出。
-dd 把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出。
-ddd 把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出。
-e 在每列倾倒资料上显示连接层级的文件头。
-f 用数字显示网际网络地址。
-F<表达文件> 指定内含表达方式的文件。
-i<网络界面> 使用指定的网络截面送出数据包。
-l 使用标准输出列的缓冲区。
-n 不把主机的网络地址转换成名字。
-N 不列出域名。
-O 不将数据包编码最佳化。
-p 不让网络界面进入混杂模式。
-q 快速输出，仅列出少数的传输协议信息。
-r<数据包文件> 从指定的文件读取数据包数据。
-s<数据包大小> 设置每个数据包的大小。
-S 用绝对而非相对数值列出TCP关联数。
-t 在每列倾倒资料上不显示时间戳记。
-tt 在每列倾倒资料上显示未经格式化的时间戳记。
-T<数据包类型> 强制将表达方式所指定的数据包转译成设置的数据包类型。
-v 详细显示指令执行过程。
-vv 更详细显示指令执行过程。
-x 用十六进制字码列出数据包资料。
-w<数据包文件> 把数据包数据写入指定的文件。
扫描远程主机工具，功能远超越用世人皆知的 Ping 工具发送简单的 ICMP 回声请求报文
格式：
nmap [Scan Type(s)] [Options] {target specification}
命令选项
-sT ? TCP connect() 扫描，这是最基本的 TCP 扫描方式。这种扫描很容易被检测到，在目标主机的
日志中会记录大批的连接请求以及错误信息 ? ?
-sS ? TCP 同步扫描 (TCP SYN)，因为不必全部打开一个 TCP 连接，所以这项技术通常称为半开扫描
(half-open)。这项技术最大的好处是，很少有系统能够把这记入系统日志 ?
-sF,-sX,-sN ? 秘密 FIN 数据包扫描、圣诞树 (Xmas Tree)、空 (Null) 扫描模式。这些扫描方式
的理论依据是：关闭的端口需要对你的探测包回应 RST 包，而打开的端口必需忽略有问题的包 ? ?
-sP ? ping 扫描，用 ping 方式检查网络上哪些主机正在运行。当主机阻塞 ICMP echo 请求包是
ping 扫描是无效的。nmap 在任何情况下都会进行 ping 扫描，只有目标主机处于运行状态，才会进行后
续的扫描 ? ?
-sU ? UDP 的数据包进行扫描，想知道在某台主机上提供哪些 UDP 服务，可以使用此选项 ? ?
-sA ? ACK 扫描，这项高级的扫描方法通常可以用来穿过防火墙。 ? ?
-sW ? 滑动窗口扫描，非常类似于 ACK 的扫描 ? ?
-sR ? RPC 扫描，和其它不同的端口扫描方法结合使用。 ? ?
-b ? FTP 反弹攻击 (bounce attack)，连接到防火墙后面的一台 FTP 服务器做代理，接着进行端口
扫描。
-P0 ? 在扫描之前，不 ping 主机。 ? ?
-PT ? 扫描之前，使用 TCP ping 确定哪些主机正在运行 ? ?
-PS ? 对于 root 用户，这个选项让 nmap 使用 SYN 包而不是 ACK 包来对目标主机进行扫描。 ? ?
-PI ? 设置这个选项，让 nmap 使用真正的 ping(ICMP echo 请求）来扫描目标主机是否正在运行。
? ?
-PB ? 这是默认的 ping 扫描选项。它使用 ACK(-PT) 和 ICMP(-PI) 两种扫描类型并行扫描。如果
防火墙能够过滤其中一种包，使用这种方法，你就能够穿过防火墙。 ? ?
-O ? 这个选项激活对 TCP/IP 指纹特征 (fingerprinting) 的扫描，获得远程主机的标志，也就是操
作系统类型
-I ? 打开 nmap 的反向标志扫描功能。 ? ?
-f ? 使用碎片 IP 数据包发送 SYN、FIN、XMAS、NULL。包增加包过滤、入侵检测系统的难度，使其无
法知道你的企图 ? ?
-v ? 冗余模式。强烈推荐使用这个选项，它会给出扫描过程中的详细信息。 ? ?
-S <IP> ? 在一些情况下，nmap 可能无法确定你的源地址 。在这种情况使用这个选项给出指定 IP 地
址 ?
-g port ? 设置扫描的源端口
-oN ? 把扫描结果重定向到一个可读的文件 logfilename 中 ?
-oS ? 扫描结果输出到标准输出。 ? ?
--host_timeout ? 设置扫描一台主机的时间，以毫秒为单位。默认的情况下，没有超时限制 ? ?
--max_rtt_timeout ? 设置对每次探测的等待时间，以毫秒为单位。如果超过这个时间限制就重传或者
超时。默认值是大约 9000 毫秒 ? ?
--min_rtt_timeout ? 设置 nmap 对每次探测至少等待你指定的时间，以毫秒为单位 ? ?
-M count ? 置进行 TCP connect() 扫描时，最多使用多少个套接字进行并行的扫描
标签：agg 序列号 machine value mamicode 网桥 防止 网卡名称 地址
原文地址：https://www.cnblogs.com/dadadezhang/p/12784325.html
