█
>> >> >> Reference << << << <<<<<<Ref>>>>>>
Mixamo | OpenGameArt

SharpLab | Compiler Explorer

ASCII Graph Generator

Mermaid

Vim | Vim Manual Source | Vimcdoc | Vimdoc read online

Shields.io

EmojiDB

cppreference

GCC Docs

Clang Docs

Boost Library Docs

Microsoft Learn

Lua 5.4 Reference Manual

Unity Manual | Unity API

Unreal Engine Docs

Godot | Godot Docs

Z-Library : eBook Library

Linux Kernel Docs

GNU : manuals, philosophy, FAQ

ArchLinux

Ubuntu Doc | Ubuntu Server Guide

Vulkan | Vulkan Docs

OpenGL | OpenGL API | OpenGL Wiki

DirectX

Real-Time Rendering

Physically Based Rendering

Scratchapixel

LearnOpenGL

Ray Tracing in One Weekend

Shadertoy

arXiv Graphics

SIGGRAPH | SIGGRAPH Digital Library

Git | Docs | Community

Network Layer
Modified: 2025-12-31 | Author：ljf12825

OSI七层模型中的第3层，网络层的主要职责是处理数据的路由、转发以及寻址问题，确保数据从源主机到目标主机的顺利传输

网络层的核心功能

功能名称解释
1. 路由选择（Routing）找一条最优路径把数据包从源送到目的地，涉及路由协议（如 OSPF、BGP）
2. 逻辑寻址（IP地址）给每台设备分配全球唯一的地址（如 IPv4 / IPv6 地址）
3. 分段与重组将较大的数据包切分为适合链路层传输的片段，接收端再重组
4. 差错处理一些最基本的错误检查（如 IP头部的校验和）
5. 拥塞控制（可选）不是核心职责，但有时配合其他层（如 ICMP 源抑制）参与拥塞管理

1.路由选择（Routing）

网络层的核心任务之一是路由选择。路由选择是指通过网络中的路由器选择一条最优路径来传输数据包。路由选择并非是一个孤立的过程，而是依赖于一系列的路由协议，这些协议帮助路由器在复杂的网络拓扑中找到最优路径
常见的路由协议包括：

2.逻辑寻址（IP地址）

IP地址是网络层进行设备标识和路由选择的基础。每台设备都需要一个唯一的IP地址，这个地址分为两个部分：网络号和主机号。网络号标识设备所在的网络，而主机号则标识网络中的具体设备

IP地址不仅仅是用于标识设备的唯一身份，它还帮助路由器在网络间转发数据包。例如，当一个数据包从源主机发送到目标主机时，网络层会检查目标主机的IP地址，根据路由表决定数据包的转发途径

3.分段与重组

由于每个链路层（如以太网）对传输的数据包大小有一定的限制，而数据包可能会因为应用层发送的数据量过大而无法直接传输。网络层负责将数据包进行分段，将过大的数据包分割成更小的片段以适应链路的传输。接收端的网络层再进行重组，将数据恢复成原始数据包

这一过程是透明的，用户和应用层并不需要关心数据包是否被分段，网络层会自动处理

4.差错处理

虽然IP协议本身并不负责重传丢失的数据包，但它会进行简单的差错检测。例如，IP头部中的校验和字段帮助检查数据包在传输过程中是否损坏。如果发现错误，数据包会被丢弃，发送方通常通过高层协议（如TCP）请求重传

5.拥塞控制（可选）

虽然拥塞控制通常是传输层的职责（如TCP协议），但网络层也可以参与其中。例如，ICMP协议中有源抑制消息，告诉源主机当前网络发生了拥塞，建议它减慢发送速度

路由协议

RIP协议

RIP是一种用于动态路由选择的协议，它通过交换路由表来计算和更新网络中到达目的地的最短路径。RIP是距离向量路由协议的一种，它基于“跳数”作为衡量路径距离的标准，通常用于小型或中型网络中

RIP的工作原理非常简单，并且通过周期性地交换路由表来维护路由信息。RIP版本有多个，其中最常用的是RIP v1和RIP v2，此外还有RIPng（适用于IPv6）

RIP工作原理

RIP使用距离向量算法，通过以下步骤来计算和更新路由表：

  1. 距离度量： RIP使用跳数作为衡量距离的标准。跳数表示从源设备到目的设备经过的路由器数量。最大跳数为15，超过15跳的目标被认为是不可达的

  2. 路由更新： RIP协议通过周期性地交换路由表（每30秒一次）来更新网络中的路由信息。每个路由器会将自己的路由表发送给相邻的路由器，更新它们的信息

  3. 路由表更新： 路由器根据接收到的路由信息来更新自己的路由表。如果某个目的地的路由表中的跳数变小，路由器会选择更新该路由。如果目的地不可达，它会从路由表中删除该条目

  4. 路由的计算： 路由器根据跳数来选择最佳路径。如果两个路径的跳数相同，路由器可能根据其他标准（如路由的带宽）来选择路径

  5. 定期更新： RIP会定期向相邻的路由器发送更新包，以便在网络拓扑发生时，及时更新路由表

RIP协议的特点

  1. 距离向量算法 RIP是一种距离向量路由协议，通过不断交换路由表来计算每个网络的最短路径。每个路由器只知道与邻居路由器的距离，不知道其他路由器的完整网络拓扑

  2. 跳数限制 路由计算的最大跳数为15跳，如果两个网络之间的跳数超过15，那么它们就被认为是不可达的。这意味着RIP协议仅适用于小型到中型的网络

  3. 收敛速度较慢 由于RIP是基于周期性路由更新的，因此收敛速度较慢。如果网络拓扑发生变化（如链路失败），RIP可能需要较长的时间才能更新路由信息

  4. 适用于小型网络 由于跳数限制和较慢的收敛速度，RIP更适合用于较小的网络，不能满足大规模网络的路由需求。对于大型或复杂的网络，通常会选择OSPF或BGP等更高级的协议

  5. 广播更新 RIP协议每隔一段时间向所有路由器广播自己的路由表，这回导致网络带宽的浪费。特别是在大型网络中，广播更新可能会带来性能问题

RIP版本

  1. RIP v1:
  1. RIP v2：
  1. RIPng:

RIP的路由表更新过程

  1. 发送更新： 每30秒，路由器回想所有相邻的路由器发送包含自己路由表信息的更新包

  2. 接收更新： 当一个路由器接收到来自邻居的更新信息时，它会更新自己的路由表，选择最短的路径

  3. 触发更新： 如果网络拓扑发生变化（如路由器或链路故障），路由器会在180秒内发送一个触发更新（Trigger Update），使网络更快地收敛

  4. 路由表项的过期： 如果路由器长时间没有接收到某条路由的信息，路由表中的该条路由会被标记为不再有效，并被删除。RIP使用30秒的间隔来定期更新路由

RIP协议的优缺点

优点：

  1. 简单易懂
  2. 易于配置
  3. 广泛支持

缺点：

  1. 跳数限制
  2. 收敛速度慢
  3. 浪费带宽
  4. 网络负载：频繁的路由更新包会增加网络负载，影响网络性能

OSPF协议

OSPF（Open Shortest Path First）是一种链路状态路由协议，广泛用于大型企业网络和ISP（Internet Service Providers）的内部网路由协议i。它是RIP协议的替代品，并且比RIP更适合大规模网络

OSPF协议由IETF（Internet Engineering Task Force）开发，属于内部网关协议（IGP），其设计目标是根据网络拓扑信息动态计算并选择最佳路径

OSPF的基本特点

  1. 链路状态协议：
  1. 使用Dijkstra算法：
  1. 无环路协议
  1. 分层设计：

  1. 支持VLSM和CIDR

  2. 支持负载均衡

  1. 按成本计算路径：
  1. 支持认证：

OSPF的工作原理

  1. OSPF邻居关系建立
  1. LSR（Link-State Request）和LSA（Link-State Advertisement）交换
  1. 计算最短路径
  1. 更新路由表

OSPF的区域划分

OSPF支持将网络分为多个区域（Area），这有助于减轻路由器的负担并优化路由计算。每个区域内的路由器只与该区域内的路由器交换链路状态信息，而区域之间的路由信息由骨干区域（Area0）传递

OSPF路由器类型

  1. 内部路由器（Internal Router, IR）
  1. 边界路由器（ABR，Area Border Router）
  1. 骨干路由器（Backbone Router）
  1. AS边界路由器（ASBR，Autonomous System Boundary Router）

OSPF的LSA类型

OSPF使用LSA（链路状态通告）来交换链路状态信息，LSA的类型由多个，最常用的包括：

  1. Type 1 LSA (Router LSA)
  1. Type 2 LSA (Network LSA)
  1. Type 3 LSA (Summary LSA)
  1. Type 4 LSA (ASBR Summary LSA)
  1. Type 5 LSA (External LSA)

OSPF的优缺点

优点

  1. 快速收敛
  2. 支持大规模网络：OSPF支持区域划分
  3. 使用最短路径算法
  4. VLSM支持

缺点

  1. 复杂度较高
  2. 开销较大：OSPF需要更多的计算资源和内存
  3. 初始配置复杂：需要规划区域和接口设置，初始部署较为复杂

BGP协议

BGP（Border Gateway Protocol）是互联网的核心路由协议，用于在不同的自治系统（AS）之间交换路由信息。它是一种路径向量协议，不同于传统的链路状态协议和距离矢量协议。BGP在全球范围内的互联网路由选择中起着至关重要的作用，负责选择跨自治系统（AS）的最佳路径

BGP的基本特点

  1. 路径向量协议
  1. 基于AS（自治系统）
  1. 用于跨自治系统的路由：
  1. 不使用度量值
  1. 支持策略控制
  1. 支持聚合：

BGP的工作原理

BGP的工作原理可以概括为以下几个步骤：

  1. BGP邻居关系的建立（Session Estabishment）
  1. BGP路由信息交换（Route Advertisement）
  1. 路由选择与更新
  1. BGP路由的撤销与更新

BGP的路由类型

BGP路由分为两种类型：

  1. 内部BGP（即iBGP）： - iBGP用于同一自治系统内的路由器之间，通过iBGP交换的路由信息不会直接传递给外部，只在AS内传播
  2. 外部BGP（即eBGP） - eBGP用于不同自治系统之间的路由器之间交换路由信息。通常，互联网服务商（ISP）会使用eBGP与其他AS交换路由信息

BGP的路由属性

BGP路由的选择不仅依赖于路径信息，还依赖于一些路由属性：

  1. AS Path（AS路径）：
  1. Next Hop（下一跳）：
  1. Local Preference（本地优先级）：
  1. Multi-Exit Discriminator（MED）（多出口区分符）：
  1. Communities（社区属性）：

BGP的优缺点

优点

  1. 大规模网络支持
  2. 灵活的策略控制
  1. 支持路由聚合
  1. 支持冗余与负载均衡

缺点

  1. 收敛速度较慢
  2. 配置复杂
  3. 依赖TCP协议

路由器（Router）

定义

路由器是网络层的设备，它的主要功能是根据数据包的目标地址，决定如何将数据包从源主机转发到目标主机。路由器通过查阅路由表来决定数据包的最佳转发路径

功能

路由器的工作流程

路由器的类型：

路由（Routing）

路由是指数据包从源主机到目标主机在不同网络之间的传输过程。具体来说，路由时指数据包的选择路径，通常由路由协议和路由表决定。简而言之，路由器是决定数据包如何从一个网络传输到另一个网络的过程

路由的过程

路由的实现方式

例如：

Network 192.168.1.0/24 -> Next Hop 192.168.2.1

路由器会根据这个配置，直接将数据包发送到下一个跳点192.169.2.1

默认路由的配置示例

ip route add default via 192.168.1.1

这意味着任何目的地址不在路由表中的数据包都会被发送到192.168.1.1，通常是网络的出口路由器

路由表（Routing Table）

路由表时网络设备用来决定数据包转发路径的重要数据。每个路由器都有自己的路由表，路由表记录了网络中不同目标地址的路由信息，帮助路由器决定将数据包转发到哪个下一跳。

路由表的核心任务是决定数据包的最佳转发路径

路由表的基本结构

字段描述
目标网络（Destination Network）数据包的目标地址所在的网络。例如，192.168.1.0/24。
子网掩码（Netmask）用来指定目标网络的大小，即地址范围。例如，255.255.255.0。
下一跳（Next Hop）下一个路由器的IP地址或目标设备的地址。如果目标设备在本地子网，下一跳可能是直接连接的接口。
出接口（Interface）路由器将通过哪个接口发送数据包。每个网络接口（如以太网口、Wi-Fi口）都有一个唯一的标识。
路由类型（Route Type）指明该路由是静态路由（手动配置）还是动态路由（由路由协议动态计算得出）。
度量值（Metric）路由的“成本”，用于比较不同路径的优劣。度量值越小，路径越优先。通常，动态路由协议会使用度量值来选择最优路径。

举例
假设有以下路由表条目

目标网络子网掩码下一跳出接口路由类型
192.168.1.0255.255.255.0192.168.0.1eth0静态路由
0.0.0.00.0.0.0192.168.0.1eth0默认路由
192.168.2.0255.255.255.0192.168.1.1eth1动态路由

解释：

路由表的工作原理

最长前缀匹配（Longest Prefix Match）

当目标IP地址有多个匹配的路由条目时，路由器会选择最长前缀匹配的路由。最长前缀匹配原则意味着，如果有多个路由条目与目标地址匹配，路由器会选择子网掩码最长的那一条规则

例如，如果目标地址是192.168.1.100，路由器的路由表有以下两条规则：

路由器会选择192.168.1.0/24路由条目，因为它的子网掩码（255.255.255.0）比192.168.0.0/24的子网掩码更长，匹配度更高

网络层中的典型协议

协议名功能
IPInternet Protocol，提供不可靠的包传输服务，是网络层的核心协议
ICMP用于报告差错信息和诊断问题（如 ping）
IGMP管理组播组成员（组播=一个发给多个）
ARP/RARP虽属于链路层，但与IP地址紧密协作（地址解析协议）
IPSec用于加密IP包（网络层的安全协议）

IP协议

IP协议（Internet Protocol）是网络层的核心协议，它负责为数据包添加源IP和目标IP地址，实现数据包的路由和转发。IP协议有两个版本

IP协议在提供跨网络的数据传输时非常有效，但它本身是不可靠的。这意味着，IP协议并不保证数据包的到达、顺序或重传

IPv4协议

IPv4是目前最广泛使用的IP协议版本，它使用32位地址，支持的地址范围为0.0.0.0到255.255.255.255，即理论上支持大约43亿个唯一地址

IPv4地址结构

IPv4地址由32位二进制数构成，通常使用四个十进制数表示，每个数代表8位二进制数。每个十进制数的范围是0~255，例如192.168.1.1

IP地址 = 网络号 + 主机号

IPv4包格式

IPv4数据包包括以下几个字段：

字段名长度说明
版本（Version）4位表示IP协议的版本，IPv4的值为4。
头部长度（Header Length）4位表示IP包头部的长度，以4字节为单位。
服务类型（Type of Service）8位用于指定数据包的优先级和处理要求。
总长度（Total Length）16位数据包的总长度（包括头部和数据）。
标识（Identification）16位用于标识数据包分片的序列号。
标志（Flags）3位用于控制和标识数据包是否可以分片。
片偏移（Fragment Offset）13位指示数据包分片的位置。
生存时间（TTL，Time to Live）8位表示数据包在网络中存活的最大跳数。
协议（Protocol）8位表示数据包的上层协议（例如TCP、UDP等）。
头部校验和（Header Checksum）16位用于检查IP头部是否出错。
源IP地址（Source IP Address）32位发送数据包的设备的IP地址。
目的IP地址（Destination IP Address）32位目标设备的IP地址。
选项（Options）可变可选字段，提供附加的控制信息。
数据（Data）可变数据部分，包含上层协议的数据（例如TCP/UDP数据）。
IPv4的重要特性
特殊IP地址
  1. 网络地址
  1. 广播地址
  1. 默认网关地址
  1. 0.0.0.0
  1. 127.0.0.0/8
  1. 私有地址
  1. 多播地址
  1. 链路本地地址
子网掩码（Subnet Mask）

为了划分网络，IPv4地址使用了子网掩码，它与IP地址配合使用，决定了网络中哪些部分是网络号，哪些部分是主机号。

子网掩码是一个32位的二进制数，与IP地址进行按位与操作，帮助识别IP地址中的网络部分和主机部分。

子网掩码决定了一个网络的大小（即子网中主机的数量）

子网掩码并不单独用于标识某个网络，而是与IP地址配合使用，以指示该地址的网络部分和主机部分

子网掩码通常以点分十进制标识，与IP地址结构相同，例如：255.255.255.0。每个十进制数表示8位二进制

子网掩码的结构

子网掩码由连续的1部分（表示网络部分）和连续的0部分（表示主机部分）组成。网络部分的1表示网络号，主机部分的0表示主机号

例如：

二进制表示如下：

通过对IP地址和子网掩码进行按位与运算，可以得到该地址所属的网络部分。例如，192.168.1.0/24表示一个拥有256个地址（包括网络地址和广播地址）的子网，/24表示子网掩码为255.255.255.0，即前24位是网络部分

CIDR（Classless Inter-Domain Routing）

CIDR是IPv4的一种地址分配方式，避免了传统的类A、类B、类C地址的限制。CIDR表示法通过斜杠后跟随一个数字来表示子网掩码的长度

CIDR和子网掩码本质上是相同的

通过CIDR表示法，路由器和设备能够更加方便地进行路由选择和网络划分。CIDR允许使用任何前缀长度。这使得IP地址的分配更加灵活，尤其在IPv4地址资源枯竭的今天，CIDR提供了一个有效的解决方案

例如：

类地址系统

在IPv4的早期设计中，网络地址分配采用了类地址系统，这种系统通过将IP地址划分为不同的类别，来组织和分配IP地址。每个类别定义了特定的网络大小和主机数量

类地址系统的划分方式并不灵活，固定了每个类别的子网掩码，因此在分配地址时容易造成浪费，尤其是当某些网络的设备数少于分配给它的IP地址时。

类地址系统在当时简化了网络的设计和配置

类地址系统的分类

类地址系统将IPv4地址划分为五个主要类别：A类，B类，C类，D类，E类。每个类别的网络号和主机号部分的分配不同，导致每个类别可容纳的主机数量也不同

ChatGPT said: 类地址系统（Classful Addressing System）概述 在IPv4地址的早期设计中，网络地址分配采用了类地址系统（Classful Addressing），这种系统通过将IP地址划分为不同的“类别”（Class）来组织和分配IP地址。每个类别定义了特定的网络大小和主机数量。

类地址系统的划分方式并不灵活，固定了每个类别的子网掩码，因此在分配地址时容易造成浪费，尤其是当某些网络的设备数少于分配给它的IP地址时。不过，类地址系统在当时简化了网络的设计和配置。

类地址系统的分类 类地址系统将IPv4地址（32位）划分为五个主要类别：A类、B类、C类、D类和E类。每个类别的网络号和主机号部分的分配不同，导致每个类别可容纳的主机数量也不同。

  1. A类地址（Class A）
  1. B类地址（Class B）
  1. C类地址（Class C）
  1. D类地址（Class D）（多播地址）
  1. E类地址（Class E）（保留地址）
类地址系统的优势与局限

优势：

局限：

CIDR与子网掩码例子和计算

IP地址：192.168.1.0/24

IP地址：10.0.0.0/8

子网掩码与CIDR的相互转换

子网掩码转换为CIDR

CIDR转换为子网掩码

可以看到，网络号每增加一位，即子网掩码的前缀长度增加一位，每个子网的可容纳设备数会大大减少，这种做法具有以下几个重要的优点，特别是在IP地址管理和网络优化方面：

  1. 提高地址利用率
  1. 提高网络安全性
  1. 优化网络性能
  1. 提高网络的灵活性
  1. 便于网络扩展
  1. 支持VLAN和QoS（服务质量）
  1. 满足IP地址规划需求
VLSM（Variable Length Subnet Mask，变长子网掩码）

VLSM是IP地址子网划分的一种技术，它允许根据网络的需要，灵活地使用不同长度的子网掩码。通过这种方法，可以为网络的不同部分分配适当大小的子网，从而更有效地利用IP地址空间

VLSM是基于CIDR的思想，它解决了传统类地址系统的局限性，在IP地址分配时不再使用固定的子网掩码长度，而是允许不同的子网使用不同的掩码长度

VLSM的工作原理

VLSM的基本思想是：

  1. 根据需要划分子网：将一个网络划分为多个子网，并根据每个子网的实际需求（如设备数量）选择适当的子网掩码

  2. 节省IP地址：通过为不同规模的子网分配大小不同的地址块，可以更高效地利用有限的IP地址空间，避免了子网地址的浪费

VLSM的优势
VLSM的计算步骤

假设有以下需求：

则对于子网1：可分配2 ^ 6 = 64，即后六位是设备号，子网掩码：255.255.255.192，CIDR：/26

对于子网2：可分配2 ^ 5 = 32，即后5位是设备号，子网掩码：255.255.255.224，CIDR：/27

其他同理

IPv6协议

IPv6是为了弥补IPv4地址耗尽问题而设计的，它使用128位地址，支持2的128次方（约340万亿个）地址，极大地扩展了可用的地址空间

IPv6地址结构

IPv6地址由8个16位的十六进制数构成，每个数字范围为0000到FFFF。IPv6地址通常表示为8个由冒号分隔的4位16进制数字
例如：

2001:0db8:0000:0042:0000:8a2e:0370:7334

可压缩写法规则

  1. 前导0可以省略：0042→42
  2. 连续的0段可以用::表示（只能出现一次）

最终简写为：

2001:db8::42:0:8a2e:370:7334

地址类型
类型前缀或格式描述
单播地址Global Unicast类似 IPv4 公网地址
链路本地地址fe80::/10本地网络通信，不可路由
多播地址ff00::/8一对多通信
任播地址与单播类似发给最近的接收者（路由最近）
回环地址::1相当于 IPv4 的 127.0.0.1

IPv6的主要特点：

IPv6包格式

与IPv4相比，IPv6的包头更简洁

字段名长度说明
版本（Version）4位表示协议版本，IPv6的值为6。
流量类别（Traffic Class）8位用于定义数据包的优先级。
流标签（Flow Label）20位用于标识属于同一流的数据包。
有效载荷长度（Payload Length）16位数据部分的长度。
下一个头部（Next Header）8位表示上层协议（如TCP、UDP等）。
跳数限制（Hop Limit）8位与TTL类似，限制数据包在网络中的跳数。
源地址（Source Address）128位发送数据包的设备的IPv6地址。
目的地址（Destination Address）128位目标设备的IPv6地址。
IPv4 vs IPv6
特性IPv4IPv6
地址长度32 位128 位
地址表示十进制（如 192.168.1.1）十六进制，冒号分隔（如 2001:0db8:85a3::8a2e:0370:7334）
地址数量~42 亿2¹²⁸ ≈ 3.4×10³⁸
配置方式需手动或通过 DHCP支持自动地址配置（SLAAC）
广播支持有广播没有广播，改为多播（Multicast）
分片与重组源端或中间路由器都可分片只允许发送端分片
安全选配 IPsec强制支持 IPsec
NAT 支持广泛依赖不再需要 NAT（地址够用）
IPv6的问题
IPv6过渡方案

因为全球IPv6并未完全部署，现阶段主要使用过渡机制：

  1. 双栈（Dual Stack）
  1. 隧道机制（Tunneling）
  1. NAT64/DNS64
IPv6关键协议
协议名功能描述
ICMPv6替代 ICMP，支持 NDP、Ping 等功能
NDP邻居发现协议，替代 ARP、Router Discovery
DHCPv6IPv6 的动态地址配置协议
SLAAC无状态地址自动配置
IPSec安全协议，强制支持，加密 IPv6 流量

分片与重组（Fragmentation and Reassembly）

分片与重组是计算机网络中在数据传输过程中，尤其是在IP层，处理大数据包或网络层数据包的一个重要机制。它用于确保在不同网络技术中（例如不同的链路协议）之间传输时，数据包能够适应格子的最大传输单元（MUT, Maximum Transmission Unit）限制

分片

分片是指将一个过大的数据包（通常是 IP 数据包）切割成多个更小的片段（Fragment），每个片段都符合链路层的最大传输单元（MTU）要求。分片通常发生在 发送端的 网络层，当数据包的大小超过了某个网络段的 MTU 限制时。

分片原因
不同的网络技术支持不同大小的数据包（MTU）。例如，以太网的默认 MTU 是 1500 字节，而 PPPoE（Point-to-Point Protocol over Ethernet）则可能只有 1492 字节。如果数据包的大小超过了某一网络的 MTU，则需要分片。

当一个数据包无法通过一个链路传输时，必须将其拆分成多个小片段，通过链路逐个传送。

分片过程
当IP数据包需要进行分片时，以下几个字段会被处理：

分片细节

重组

重组是指接收端根据收到的分片数据包，按照一定的顺序将它们拼接成原始的完整数据包。重组的过程发生在 接收端的网络层，它会将所有的数据片段重新组合成完整的 IP 数据包，然后将其传递给上层协议（如 TCP 或 UDP）

重组的条件

重组的步骤

  1. 接收分片：接收端接收来自不同路径的数据片段，它们可能到达的顺序不一致
  2. 检查ID和Flags:接收端通过分片的 ID 和标志位判断这些分片是否属于同一个数据包。如果 ID 不同，说明它们不是同一个数据包，不能进行重组
  3. 排序片段：接收端根据每个片段的偏移量来排序所有片段，确保它们按正确顺序进行组合
  4. 重组数据包：接收端将所有片段的数据按照顺序拼接起来，形成原始的数据包
  5. 传递给上层：数据包重组完成后，接收端将完整的数据包传递给上层协议（如 TCP 或 UDP）

重组的局限性

IP分片的例子

假设有一个原始的IP数据包大小为3000字节，而网络的MTU为1500字节，分片过程如下：

  1. 第一个片段：
  1. 第二个片段：
  1. 第三个片段：
分片与重组的优缺点

优点

缺点

分片重组的应用

ICMP协议

ICMP(Internet Control Message Protocol)是互联网协议族中的一个核心协议，主要用于设备网络（如路由器、主机）之间交换控制消息和错误报告。IC辑以其简洁高效的设计，成为IP协议族的重要补充，它帮助网络设备进行故障诊断、路径控制、报告错误等

ICMP协议与IP协议紧密关联，通常作为IP协议的一部分来工作，提供了网络通信中的必要支持。常见的工具如ping和traceroute就是利用ICMP协议来诊断网络连接问题的

ICMP的基本特点

  1. 控制消息和错误报告：
  1. 无连接协议：
  1. 与IP协议共同工作：
  1. 用于网络诊断和管理：
  1. 简单性和高效性：

ICMP的工作原理

  1. ICMP消息类型：
  1. ICMP封包格式：
字段名长度说明
类型1字节消息类型标识，决定消息的种类
代码1字节与类型一起决定错误的具体类型
校验和2字节用于验证ICMP数据包的完整性
附加数据可变根据ICMP类型，附加相关信息
  1. 常见的ICMP消息类型：

  1. 时间超过（Time Exceeded）： - 用于通知源主机其数据包在传输过程中超出了TTL。TTL字段用于限制数据包在网络中的生命周期，防止数据包在网络中无限循环 - 格式：

    • 类型（11）表示时间超过
    • 代码字段通常为0
    • 数据部分携带导致超时的原始IP数据包信息

  2. 参数问题（Parameter Problem）： - 当IP包头中的某些字段出现错误或缺失时，目标路由器会发送这种ICMP消息来报告问题 - 格式：

    • 类型（12）表示参数问题
    • 代码字段为0
    • 数据部分通常会包含出现问题的IP数据包的相关信息

  3. 重定向（Redirect）： - 当路由器发现某个数据包的转发路径不合适时，会发送这种消息要求发送方更新路由 - 格式：

    • 类型（5）表示重定向
    • 代码字段指定重定向的原因
    • 数据部分包含用于改进路由选择的信息

ICMP协议的作用

  1. 网络诊断：
  1. 错误报告：
  1. 网络管理：

ICMP的局限性和安全问题

  1. ICMP被用于DDos攻击：
  1. ICMP不可用于复杂通信：
  1. ICMP封包可能被防火墙阻止：

ICMP的安全性增强

  1. ICMP的认证：
  1. ICMP限制：

ping

ping是一种非常常见的网络工具，主要用于检测网络连接的可达性，并通过发送ICMP回显请求来检查另一台计算机或网络设备是否在线。它广泛用于故障排查和网络调试

工作原理

当你在中断输入ping<destination address>时，系统会执行一下步骤：

  1. 发送Echo Request：你的计算机向目标地址发送一个ICMP Echo Request包。通常，这个包会包含一些信息，如发包时间、包的大小、序列号等

  2. 目标主机响应Echo Reply：目标地址收到请求后，会回复一个ICMP Echo Reply包，内容通常与请求的包一样

  3. 计算时延：ping计算从发送请求到收到回复所花费的时间，这个时间通常以毫秒为单位。这个过程会进行多次，以便获得更精确的延迟信息

  4. 返回统计信息：通常，ping会返回：

ping输出的内容

在Linux或Windows上执行ping命令时，常见的输出信息通常如下所示：

Pinging google.com [8.8.8.8] with 32 bytes of data:
Reply from 8.8.8.8: bytes=32 time=10ms TTL=56
Reply from 8.8.8.8: bytes=32 time=9ms TTL=56
Reply from 8.8.8.8: bytes=32 time=11ms TTL=56
Reply from 8.8.8.8: bytes=32 time=12ms TTL=56

Ping statistics for 8.8.8.8:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 9ms, Maximum = 12ms, Average = 10ms

解释：

ping的用途
ping的常用参数

在执行ping时，除了基本的目标地址参数外，还可以使用一些常见的选项来控制ping的行为：

ping的常见问题
ping的局限性

traceroute

traceroute是另一个非常有用的网络工具，它和ping类似，但它提供了更详细的信息，主要用于追踪数据包从源主机到目标主机的路径，并显示沿途经过的每个路由器（或称为“跃点”）

traceroute的工作原理

traceroute的核心工作原理基于TTL值得逐跳递增机制。TTL是一个限制数据包在网络中传输得最大跳数，防止数据包在环路中无限循环。traceroute通过发送多个带有不同TTL的数据包，逐步增加TTL的值，并在每个跃点上请求ICMP超时消息来获得路径信息

步骤：

  1. 初始TTL = 1：traceroute发送第一个数据包，TTL设置为1.当数据包到达第一个路由器时，TTL被减1，变成0，路由器无法转发该数据包，于是返回一个ICMP Time Exceeded消息，告知源主机数据包超时

  2. TTL递增：traceroute会发送第二个数据包，将TTL设置为2，这时数据包会经过第一个路由器并到达第二个路由器。在第二个路由器，TTL再次减1，变成0，导致第二个路由器返回一个ICMP Time Exceeded消息

  3. 重复过程：这个过程不断进行，TTL从1递增到最大值，直到目标主机收到数据包并返回一个ICMP Echo Reply消息，表示目标主机可达

traceroute命令的输出

在Linux上使用traceroute命令时，Windows上是tracert，输出的第一行代表一个跃点（路由器），通常看起来像这样：

traceroute to google.com (8.8.8.8), 30 hops max, 60 byte packets
 1  192.168.1.1 (192.168.1.1)  1.098 ms  0.967 ms  0.872 ms
 2  10.0.0.1 (10.0.0.1)  3.145 ms  2.976 ms  3.321 ms
 3  72.14.235.45 (72.14.235.45)  9.710 ms  9.587 ms  9.470 ms
 4  108.170.242.129 (108.170.242.129)  13.128 ms  13.010 ms  13.091 ms
 5  72.14.233.34 (72.14.233.34)  15.998 ms  15.823 ms  15.931 ms
 6  8.8.8.8 (8.8.8.8)  17.912 ms  17.852 ms  17.980 ms

解释输出：

traceroute的常用选项

traceroute命令也提供了很多选项，帮助我们定制追踪过程

traceroute的用途
traceroute的局限性

ARP协议

ARP协议（Address Resolution Protocol）用于将IP地址映射到MAC地址，这是一个桥接网络层和链路层的协议。在局域网中，数据链路层使用MAC地址进行通信，而网络层则使用IP地址。ARP协议通过广播请求来查询某个IP地址对应的MAC地址，设备响应并进行地址解析

简单来说，ARP允许设备在本地网络中通过IP地址找到目标设备的MAC地址，进而进行数据帧的发送

ARP主要应用于局域网（LAN），在IPv4网络中尤其重要。在现代网络中，几乎所有设备都会以来ARP来通信

ARP基本原理

当一个设备需要向另一个设备发送数据时，它会使用目标设备的 IP 地址，但是数据链路层（例如以太网）需要的是 MAC 地址。因此，如果源设备不知道目标设备的 MAC 地址，它就会使用 ARP 协议来查询目标设备的 MAC 地址。

具体流程如下：

  1. 发送 ARP 请求：当设备 A（源设备）需要与设备 B（目标设备）通信时，它会查看 ARP 缓存，看看是否已经存在目标设备的 IP 地址与 MAC 地址的映射。如果没有，它就会发送一个广播 ARP 请求包：
  1. ARP 响应：目标设备 B 收到请求后，会检查自己是否对应请求中的 IP 地址。如果是，它会发送一个 ARP 响应包，告诉设备 A 它的 MAC 地址。
  1. 更新 ARP 缓存：设备 A 收到响应后，会将目标设备的 IP 地址和 MAC 地址的映射信息保存在自己的 ARP 缓存中。这样，以后设备 A 就可以直接使用这个 MAC 地址与设备 B 通信。

ARP数据包结构

ARP请求和响应都是以特定格式的ARP数据包进行交换的。每个ARP数据包包含以下字段：

字段名称长度描述
硬件类型 (HTYPE)2 字节表示硬件类型，Ethernet 的硬件类型为 1。
协议类型 (PTYPE)2 字节表示协议类型，IPv4 的协议类型为 0x0800。
硬件地址长度 (HLEN)1 字节硬件地址（即 MAC 地址）的长度，Ethernet 为 6 字节。
协议地址长度 (PLEN)1 字节协议地址（即 IP 地址）的长度，IPv4 为 4 字节。
操作 (OP)2 字节请求或响应类型，1 表示请求，2 表示响应。
发送方硬件地址 (SHA)6 字节发送方的 MAC 地址。
发送方协议地址 (SPA)4 字节发送方的 IP 地址。
目标硬件地址 (THA)6 字节目标方的 MAC 地址（在请求中为空，响应中为目标设备的 MAC 地址）。
目标协议地址 (TPA)4 字节目标方的 IP 地址。

ARP请求与响应

ARP缓存

ARP 请求和响应会被存储在设备的 ARP 缓存中。ARP 缓存是一个映射表，用来缓存 IP 地址和 MAC 地址的对应关系，以便设备不需要每次都广播 ARP 请求。

Linux和Windows中通过arp -a查看ARP缓存

ARP协议的工作场景

ARP欺骗（ARP Spoofing）

ARP 协议没有验证数据的机制，这就给了攻击者可乘之机，ARP 欺骗 是一种常见的攻击方式。在 ARP 欺骗中，攻击者伪造 ARP 响应，欺骗网络中的设备，使其认为攻击者的 MAC 地址是目标设备的 MAC 地址。

这种攻击的后果可能包括：

为了防止 ARP 欺骗，一些网络安全技术可以使用静态 ARP 表或基于协议的认证机制。

ARP与IPv6

在IPv6中，ARP被邻居发现协议（Neighbor Discovery Protocol， NDP）取代。NDP使用ICMPv6消息来哦代替ARP请求和响应。NDP与ARP有相似的功能，但它更加安全且功能强大

ARP与路由器

路由器也会使用 ARP 来确定其网关设备的 MAC 地址。例如，路由器通常有多个网络接口，每个接口都有一个 IP 地址。当它需要通过某个接口发送数据时，必须先通过 ARP 确定目标接口的 MAC 地址。

RARP协议

RARP（Reverse Address Resolution Protocol，反向地址解析协议）是一个用于将MAC地址映射到IP地址的协议。它是ARP协议的反向操作，主要用于通过已知的物理地址查找IP地址

工作原理

RARP的工作原理和ARP类似，但是它们的目标相反

通常，RARP协议用于那些没有硬盘或其他存储设备的计算机或设备，尤其是在启动时（如网络启动的情况）。这些设备只知道自己的MAC地址，不能直接获取IP地址，RARP就是解决这一问题的协议

  1. RARP请求 当一台设备（比如一台无硬盘的工作站）启动时，它通过广播 RARP 请求，请求网络中某台服务器为它提供对应的 IP 地址。RARP 请求包包含了设备的 MAC 地址，这个地址是设备的物理硬件地址。

  2. RARP响应 在接收到 RARP 请求后，网络中的 RARP 服务器（通常是一个专门的服务器或路由器）会查询其映射表，查找该 MAC 地址对应的 IP 地址。如果找到对应的 IP 地址，RARP 服务器会通过 RARP 响应 将该 IP 地址返回给请求的设备。

  3. 网络启动 一旦设备收到 RARP 响应，它就可以使用这个 IP 地址继续进行网络上的通信，完成启动过程。这对于那些没有存储设备，无法预先设置 IP 地址的设备（例如一些嵌入式系统、旧式的终端设备）尤为重要。

RARP消息格式

字段长度描述
硬件类型（HTYPE）2 字节描述网络设备的硬件类型，通常为 1（Ethernet）。
协议类型（PTYPE）2 字节描述协议类型，通常为 0x0800（IPv4）。
硬件地址长度（HLEN）1 字节硬件地址长度，Ethernet 为 6 字节。
协议地址长度（PLEN）1 字节协议地址长度，IPv4 为 4 字节。
操作（OPER）2 字节请求类型（1 表示请求，2 表示响应）。
发送者硬件地址6 字节发送者的 MAC 地址（设备的物理地址）。
发送者协议地址4 字节发送者的 IP 地址（在 RARP 响应中为空）。
目标硬件地址6 字节目标设备的 MAC 地址。
目标协议地址4 字节目标设备的 IP 地址（在 RARP 请求中为空）。

RARP应用场景

RARP的局限性

  1. 只有一个 RARP 服务器 RARP 协议依赖于专门的 RARP 服务器，这个服务器需要为每台设备维护一个 MAC 地址与 IP 地址的映射表。RARP 的使用要求网络中有专门的服务器来管理这些映射，限制了它的扩展性和灵活性。

  2. 无法跨子网 RARP 协议只适用于同一子网内的设备。由于 RARP 是基于 MAC 地址进行请求和响应的，而 MAC 地址是局域网内的唯一标识，因此，RARP 无法在不同子网之间工作。

  3. 没有 IP 地址的动态分配机制 RARP 协议要求在网络中为每个设备预配置 MAC 地址与 IP 地址的映射表。这使得 RARP 不如现代的 DHCP（动态主机配置协议）灵活。DHCP 可以动态地为设备分配 IP 地址，而不需要预先配置映射表。

RARP的替代协议：DHCP

由于 RARP 的局限性，DHCP（动态主机配置协议） 成为了更为广泛和高效的替代协议。DHCP 不仅可以提供 IP 地址，还可以动态地分配子网掩码、网关地址、DNS 服务器等信息。

与 RARP 不同，DHCP 允许设备从网络中的 DHCP 服务器获取配置，而无需依赖单个专门的服务器来维护 MAC 地址和 IP 地址的静态映射表。DHCP 还可以跨子网工作，提供更多的配置选项，极大提高了灵活性和管理效率。

DHCP协议

DHCP(Dynamic Host COnfiguration Protocol), 动态主机配置协议，它的核心职责是：自动给网络中的设备分配IP地址、子网掩码、默认网关以及DNS服务器等配置信息

工作流程

  1. DHCP Discover：客户端广播寻找DHCP服务器
  2. DHCP Offer：服务器回应一个可用的IP地址和配置信息
  3. DHCP Request：客户端请求使用服务器提供的IP地址
  4. DHCP ACK：服务器确认客户端可以使用该地址

协议细节

DHCP提供的其他信息

除了IP地址，DHCP还能下发：子网掩码、默认网关、DNS服务器地址、域名、NTP服务器、代理服务器等

这让设备连上网络后立即能正常工作，零配置上线

DHCP的意义

IPSec协议

IPSec协议提供了对IP数据包的加密、认证和完整性保护，是网络层的安全协议。IPSec能够保护IP层的数据流，常用于虚拟专用网络（VPN）中，保障数据的隐私和安全

概述

IPSec对IP数据包提供加密和认证服务，确保数据在传输过程中不被篡改、窃取或伪造

它是基于IP协议之上工作的，能够与国中应用协议兼容，无论是HTTP、FTP还是其他应用

IPSec是一个非常灵活的协议，它支持多种加密和认证算法，可以根据实际需求进行配置

IPSec的基本目标

IPSec的主要目标是提供以下几种功能：

IPSec的工作原理

IPSec 通过两种模式工作：传输模式（Transport Mode） 和 隧道模式（Tunnel Mode）

传输模式（Transport Mode）

在传输模式下，IPSec 仅加密数据部分（即 IP 数据包的负载部分），而不会对整个数据包进行加密。IP 头部仍然保持原样，只有负载（数据部分）被加密和认证。

这种模式通常用于 端到端通信，例如两个设备之间直接的安全通信。

隧道模式（Tunnel Mode）

在隧道模式下，IPSec 会加密整个数据包，包括 IP 头和数据部分。它在原始 IP 数据包外包裹一个新的 IP 头，从而隐藏原始数据包的所有信息。

这种模式通常用于 网关到网关 或 远程访问 VPN，即在两个不同网络之间建立安全隧道。

IPSec的核心协议

IPSec 由两个核心协议组成，分别为 AH（Authentication Header）和 ESP（Encapsulating Security Payload）

AH（Authentication Header）

AH 主要用于数据包的认证，它提供数据的完整性、身份验证和防止重放攻击功能。AH 在数据包头和负载中添加了认证信息，以确保数据未被篡改并且源 IP 地址可信。

ESP（Encapsulating Sercurity Payload）

ESP 提供数据的加密、数据完整性和身份验证。与 AH 不同，ESP 能够保护数据的保密性，它会加密数据部分并为数据提供完整性验证。

IPSec的认证与加密算法

IPSec支持多种认证和加密算法，以下是常见的几种：

认证算法
加密算法
密钥交换协议

IPSec VPN

IPSec 是创建 VPN（虚拟专用网络）的常见协议之一。它通过加密和认证提供安全的远程访问或站点到站点通信。

  1. 站点到站点 VPN（Site-to-Site VPN） 在这种模式下，两个不同的网络通过网关设备建立安全隧道。每个网关使用 IPSec 协议来加密通过公共网络（如互联网）传输的流量。这种 VPN 通常用于连接分支机构、远程办事处或数据中心。

  2. 远程访问 VPN（Remote Access VPN） 远程访问 VPN 允许远程用户通过公共网络（如互联网）安全地连接到公司或组织的内部网络。用户可以使用 IPSec VPN 客户端软件与组织的网关建立安全连接。

IPSec VPN的工作流程

  1. IKE（Internet Key Exchange）协议：在建立 IPSec 连接之前，设备需要通过 IKE 协议交换加密密钥。IKE 协议通过协商身份验证方法、加密算法和密钥来建立安全的通信隧道。
  2. IPSec 隧道建立：一旦密钥交换完成，设备就可以使用 IPSec 来加密和认证数据。通信双方之间的数据流量会通过 IPSec 隧道进行加密、解密、认证，确保数据安全。

IPSec的优缺点

优点：

缺点：

IGMP协议

IGMP协议（Internet Group Management Protocol）用于IPv4网络中管理组播组成员。

组播是一种“一对多”或“多对多”的通信方式，允许一个数据源同时向多个接收者发送数据。

IGMP协议帮助路由器确定哪些主机属于同一组播组，从而实现高效的组播通信

组播（Multicast）与广播（Broadcast）的区别

组播通过组播地址（例如IPv4中的224.0.0.0到239.255.255.255）来标识数据接收者，这些地址是预先定义好的，并且分配给特定的组播组

IGMP的工作原理

IGMP主要用于以下操作：

  1. 主机加入组播组：当主机希望接收某个组播地址的数据时，主机通过IGMP向路由器发送加入组播组的请求
  2. 主机离开组播组：当主机不再需要接收某个组播组的数据，主机通过IGMP向路由器发送离开组播组的请求
  3. 路由器查询主机的组播成员状态：路由器定期向网络上的所有主机发送IGMP查询请求，询问它们是否需要继续接收特定的组播流量

IGMP版本

IGMP v1
IGMP v2
IGMP v3

IGMP消息格式

字段名称长度描述
类型（Type）1 字节消息的类型，如查询（0x11）、加入（0x16）、离开（0x17）等。
最大响应时间（Max Resp Time）1 字节表示接收方在发送响应消息之前的最大等待时间（只对查询消息有效）。
检验和（Checksum）2 字节用于消息完整性校验。
组播地址（Group Address）4 字节指定所请求加入或离开的组播地址。
源地址（Source Address）4 字节（仅在 IGMPv3 中）仅在 IGMP v3 中使用，指定特定的源 IP 地址。

IGMP在网络中的作用

IGMP的应用场景

IGMP的优缺点

优点：

缺点：

NAT协议

NAT（Network Address Translation，网络地址转换）是一种在 IP 层（第 3 层）对 IP 地址进行修改的技术，主要用于解决 IPv4 地址不足的问题，允许多个设备共享一个公网 IP 地址与外部网络通信。NAT 能够在网络地址之间建立映射关系，将内部私有地址与外部公网地址进行转换，从而节省公网 IP 地址的使用，并增加网络的安全性。

NAT的基本原理

NAT 的基本工作原理是，当一台设备（例如一台计算机或路由器）向外部网络发送数据时，它会将自己内部的私有 IP 地址转换为路由器的公网 IP 地址，并将该请求的端口号一起记录在 NAT 表中。返回的数据会根据该表反向映射回原始设备。

具体过程如下：

NAT的种类

  1. 静态NAT（Static NAT） 静态 NAT 会将内部网络中的一个私有 IP 地址与一个公网 IP 地址进行一对一的永久映射。这种映射是静态的，即内部的某个私有 IP 地址总是映射到相同的公网 IP 地址。
  1. 动态NAT（Dynamic NAT） 动态 NAT 会在私有网络和公网之间进行动态映射。内部的私有 IP 地址会与一组公网 IP 地址进行映射，这些公网 IP 地址是从一个地址池中动态分配的。
  1. 端口地址转换（PAT, Port Address Translation） PAT 是 NAT 最常见的一种实现方式，通常也称为 NAT Overloading。在 PAT 中，多个内部设备的私有 IP 地址共享一个公网 IP 地址，但使用不同的端口号来区分不同的连接。也就是说，路由器通过记录每个连接的源 IP 地址和源端口号来进行 NAT 操作。

NAT的工作过程

NAT 的工作过程可以分为以下几个步骤：

  1. 数据发送：
  1. 地址转换：
  1. 数据返回：
  1. 映射解除：

NAT表

NAT 表是路由器用于存储转换信息的表格。它包含以下几个关键字段：

字段描述
源 IP 地址内部设备的私有 IP 地址。
源端口号内部设备发起请求时的源端口号（在 PAT 中使用）。
目标 IP 地址外部网络的目标 IP 地址。
目标端口号外部网络服务器的目标端口号。
映射的公网 IP 地址将内部私有 IP 地址转换为的公网 IP 地址。
映射的公网端口号在 PAT 中，外部连接的公网端口号。

NAT的优缺点

优点：

缺点：

NAT穿透

有时，由于 NAT 的存在，设备之间的点对点连接变得困难。这种问题常见于对等网络（如 P2P 文件共享、VoIP 通话、在线游戏等）。NAT 穿透（NAT Traversal）技术被用来解决这个问题。常见的 NAT 穿透技术包括：

NAT的应用场景

网络层工作流程

数据包在网络层的处理流程

以浏览器发送HTTP请求为例，数据包在网络层的传输过程如下：

[应用层：HTTP报文]
   ↓
[传输层：TCP添加端口号]
   ↓
[网络层：IP添加源地址和目的地址]
   ↓
[数据链路层：封装为帧，添加MAC地址]
   ↓
[物理层：比特流传输]

在这个过程中，网络层的主要任务是为数据包添加源IP地址和目标IP地址，然后将其交给下层的数据链路层进行封装。到达目标主机时，数据包会按照相反的顺序进行拆解和解码

子网划分与子网

它们涉及到如何将一个大范围的IP地址分割成多个更小的、更易管理的子网

什么是子网

子网 是一个小型的网络，它是通过将一个更大的网络（通常是一个类C、类B或类A网络）划分成多个部分来创建的。这种划分是为了提高网络管理的灵活性和效率。每个子网都拥有自己的网络地址范围、子网掩码和广播地址，每个子网是一个独立的广播域，限制了广播流量的范围

子网通过将“主机部分”分割成更多的部分来创建更多的网络，使得网络内的设备分布更加合理，减少冲突，提高性能，子网划分可以提高网络的安全性，通过隔离不同的网络区域，减少潜在的安全风险

子网划分

子网划分 是指将一个网络划分为多个子网络的过程。通过子网划分，网络管理员可以更高效地管理 IP 地址、减少广播风暴、提高网络的安全性、并使得网络的拓扑更加清晰。

子网划分的核心在于合理利用子网掩码，将 IP 地址空间划分成更小的子网。我们通过修改子网掩码来决定“网络部分”和“主机部分”的边界，从而将原本一个大的网络拆分成多个小的子网。

网关（GateWay）

网关（Gateway） 是一个网络设备或系统，它充当不同网络之间的桥梁，允许数据在不同协议、不同地址范围的网络之间转发。简而言之，网关是不同网络间的“中介”，它帮助网络之间进行通信，尤其是当网络采用不同的通信协议时。

网关通常位于不同子网或不同网络的边缘，负责接收从一个网络发出的数据包，并将其转发到目标网络或外部网络。它不仅处理路由，还可能涉及协议转换、数据封装、加解密等复杂任务。

网关的工作原理

网关的基本工作原理是接收来自一个网络的数据包，然后基于目标地址，将其转发到另一个网络。如果两个网络之间使用不同的协议，网关还会进行协议转换。

例如：

网关的类型

默认网关（Default Gateway）

在计算机网络中，默认网关 是一个设备（通常是路由器），它作为设备访问外部网络（如互联网）时的默认路径。如果设备的目标 IP 地址不在本地子网范围内，设备会将数据包发送到默认网关，由网关转发到其他网络。

例如，假设你在本地网络中，IP 地址为 192.168.1.100，而默认网关的地址是 192.168.1.1。当你访问一个互联网网站时，数据包首先会通过网关 192.168.1.1 传送。

网络网关（Network Gateway）

网络网关通常是一个路由器，连接着两个不同的网络，它负责在不同的网络之间转发数据。网络网关可以是：

应用网关（Application Gateway）

应用网关通常用在处理应用层协议（如 HTTP、FTP 等）的场景中。它可以对进入和离开应用的请求进行过滤、修改、加密或解密等操作，通常用于提高网络安全性。

例如，一个 HTTP 网关可以帮助组织通过监控和控制 Web 流量，进行 Web 访问控制和数据过滤，阻止不安全的内容或防止未经授权的访问。

代理网关（Proxy Gateway）

代理网关充当两个网络之间的中介，接受来自内部网络的请求并代表它们向外部网络发起请求，反之亦然。它通常用于：

网关的功能

网关与路由器的区别

虽然网关和路由器在很多情况下可以互换使用，但它们实际上有一些区别：

网关的使用场景

默认网关的配置

在Windows中，可以使用ipconfig命令查看并配置默认网关，在Linux中使用ip route或netstat -r来查看路由表

三层交换机（Layer 3 Switch）

三层交换机（Layer 3 Switch）是一种结合了传统二层交换机与路由器功能的网络设备，具备高速的数据帧交换能力，同时支持 IP 层的路由功能。它能够在不同子网或 VLAN 之间进行高效的数据转发，是现代企业局域网（LAN）中核心网络设备的重要组成部分。

为什么需要三层交换机

在传统网络架构中，不同 VLAN 或子网之间的通信需要通过路由器完成。但这种方式存在性能瓶颈，因为路由器通常依赖软件处理路由功能，转发效率较低，无法满足高带宽环境下的实时通信需求。

三层交换机通过将路由功能集成到交换芯片中，以硬件方式实现高速路由转发，不仅保留了二层交换机的高性能特点，还能承担一定的三层转发任务，在效率与功能之间取得平衡。

工作原理

三层交换机融合了二层与三层的转发机制，其核心原理如下：

  1. 二层交换功能（基于MAC）
  1. 三层转发功能（基于IP）
  1. 支持SVI（Switched Visual Interface）

适用场景

安全与扩展功能

现代三层交换机通常支持以下功能，提升网络的安全性和可管理性