网络协议分析

• PPP帧中协议字段的取值及含义
  LCP：C021
  PAP：C023
  CHAP：C223
  IPCP：8021

• LCP功能与报文对应关系、对应代码
  Configure-Ack：选项可识别可接受，2
  Configure-request：发起链路建立和配置，1
  Configure-Nak：选项可识别不可接受，3
  Configure-Reject：选项不可识别不接受，4

• 幻数Magic Number的作用
  防止环路，报文幻数总是相同则出现回路

• 两个链路终止报文
  Terminate-request：发起终止链路
  Terminate-ack：终止响应

• 三个链路维护报文
  Code-Reject：无法识别报文“类型”字段
  Procotol-reject：无法识别报文“协议”字段
  Echo-request、Echo-reply：用于链路质量和性能测试

• 认证协议PAP、CHAP
  PAP，发送Authticate-request（1）报文认证，认证成功返回Authenticate-ACK（2），否则返回Authenticate-nak（3）。两次握手，明文传输，不能抵抗重放、窃听攻击
  CHAP，发送Challenge（1）报文认证，返回报文response（2），认证成功返回success（3），否则返回failure（4）。三次握手，密文传输，挑战机制，可抵御重放、窃听攻击

• PPPoE协议发起阶段流程
  发起，提供，请求，确认
  1）发起，即客户端通过广播请求以获取可用的AC
  2）提供，在收到请求后，若AC可以提供服务，则返回该报文
  3）请求，如果客户端收到来自多个AC的应答，则必须从中选择一个并向该AC发出请求
  4）确认，收到请求的AC向客户端返回确认，从而建立ppp连接及会话

• IP地址分类、网络地址、定向广播地址、有限广播地址、回送地址、私有地址
  A：1.0.0.0-126.255.255.255
  B：127.0.0.01-191.255.255.255
  C：192.0.0.0-223.255.255.255
  D：224.0.0.0-239.255.255.255
  网络地址：主机号全为0
  定向广播地址：主机号全为1
  有限广播地址：255.255.255.255
  回送地址：首字节为127的地址
  私有地址：10.0.0.0-10.255.255.255、172.16.0.0-172.31.255.255、192.168.0.0、192.168.255.255

• 大端点机和小端点机
  大端点机：低地址存高字节
  小端点机：低地址存低字节

• 为什么要进行地址转换
  必须根据IP地址找到物理地址才能进行实际的数据传送

• 如何进行地址转换
  直接映射 or 动态绑定

• ARP的基本思想
  广播请求，单播回应

• 以太网帧格式，类型字段常用值（ARP、IP）
  ARP：0806h、IP：0800h

• ARP报文格式
  物理网络类型：物理网络的类型（以太网用1标识）
  协议类型：上层协议的类型（IP网络用0800h标识）
  物理地址长度和协议地址长度：物理地址和上层地址的长度（以太网物理地址长度为6，IP地址长度为4）
  操作字段：指明请求还是响应：1标识请求，2表示响应

• RARP用途
  物理地址到IP地址的映射，无盘工作站

• arp命令参数及含义
  -a：列出arp缓存中所有条目
  -a inet_addr：列出与inet_addr对应的条目
  -d inet_addr：删除与inet_addr对应的条目
  -s inet_addr eth_addr：在ARP缓存中添加一个条目

*ARP几种攻击方式及其特点
1）仿冒网关：攻击者发送伪造的网关ARP报文，欺骗同网段内的其它主机
2）欺骗网关：攻击者伪造虚假的ARP报文，欺骗网关
3）欺骗终端用户：攻击者伪造虚假的ARP报文，欺骗相同网段内的其他主机。
4）ARP泛洪攻击：攻击者伪造大量不同ARP报文在同网段内进行广播，导致网关ARP表项被占满，合法用户的ARP表项无法正常学习，导致合法用户无法正常访问外网

• ARP攻击防御的三个控制点及其方法
  1）网关防御
  合法ARP绑定，防御网关被欺骗
  ARP数量限制，防御ARP泛洪攻击
  2）客户端防御
  绑定网关信息
  3） 接入设备防御
  网关IP/MAC绑定，过滤掉仿冒网关的报文
  合法用户IP/MAC绑定，过滤掉终端仿冒报文
  ARP限速

• 简单说明 ARP 欺骗的过程。
  欺骗者向主机 A 发送一个伪造的 ARP 响应，告诉主机 A 主机 B 的 IP 地址和MAC 地址，于是主机 A 将这个对应关系写入自己的 ARP 缓存表中，以后当主机 A向主机 B 发数据时都会将数据发给欺骗者，同样的告诉主机 B 主机 A 的 IP 地址和 MAC 地址，主机 B 也会将数据发送给欺骗者，至此欺骗者就控制了 A 和 B 之间的流量，他可以选择被动的检测流量获取密码和其他涉密信息，也可以伪造数据，改变 A 和 B 的通信内容。

• IP数据包中所携带的数据对应的协议字段值
  UDP：17
  IGMP：2
  ICMP：1
  TCP：6

• IP层特点和主要功能
  IP层特点
  1）提供了一种无连接的投递机制
  2）不保证数据包传输的可靠性
  3）提供了尽最大努力的投递机制
  4）点到点
  IP层的主要功能
  (1) 无连接数据报的投递（数据结构，静态特性）
  (2) 数据报寻径（选路，操作特性）
  (3) 差错与报文控制（管理特性）

• IP首部格式各字段含义和作用
  版本：用于标识IP协议的版本
  首部长度
  服务类型·：规定数据报的处理方式
  标识：用于数据包分片与重组
  标志和片偏移量：对分片和重组进行控制
  寿命：TTL，允许数据报经过的路由器个数
  首部校验和：保证数据包首部在传输过程中的完整性

• IP分片
  标识：信源机产生，每个数据报唯一，标识同一数据报的各个分片
  DF (Do not Fragment)：不分片位，DF=1，强制不允许分片
  MF (More Fragment)：片未完位，MF=0，是最后一片，MF=1，不是最后一片
  片偏移：标识分片在原来数据报文中的位置，解决了分片的顺序

• IP选项（记录路由、严格源路由、宽松源路由、时间戳）
  记录路由选项：当源主机希望得知到达目的主机所经过的路由器时，可以使用记录路由选项
  源路由选项：信源机规定的数据报必须经过的路径，用于测试某特定路径，绕开某危险网络等。
  严格源路由指定了一条完备路径，宽松源路由则指明了路径要点
  时间戳选项：用于记录路由器收到数据报的时间，分析网络系统吞吐率、拥塞、负载、时延等
  代码值
  记录路由：7
  时间戳：68
  严格源路由：137
  宽松源路由：131

• ping命令常用参数
  ping –r：记录路由
  ping –s：时间戳
  ping –j：宽松源路由
  ping –k：严格源路由

• 源路由攻击以及几种分片攻击的原理
  源路由攻击
  原理：截获数据包后，改变包中的路由选项，把数据包路由到可控的路由器上
  分片攻击
  (1) Tiny Fragment：发送极小分片，让TCP报头的端口号包含在第二个分片中，绕过防火墙或者IDS过滤系统。(nmap -f)
  (2) Ping of Death：发送长度超过65535的IP报（封装了ICMP Echo Request包），目标主机重组分片时会造成事先分配的65535字节缓冲区溢出，系统通常会崩溃或者挂起。
  (3) teardrop：第二个IP分片偏移量小于第一个分片结束的位置，出现重叠。

• ICMP报文类型有哪几种
  （1）请求与应答报文
  （2）差错报告报文
  （3）控制报文

• 回送请求与应答、目的不可达、超时、参数问题、路由重定向类型值
  回送请求：8
  回送应答：0
  获取子网掩码：17
  获取时间戳：13
  路由重定向：5
  超时报告：11
  参数出错：12
  目的不可达：3

• windows中tracert和linux中traceroute工作原理
  ICMP超时报文 + IP首部的TTL
  (1) 发送IP数据报，TTL = 1，则到达第一个路由器后TTL = 0，该路由器向源端发送ICMP超时报文，该报文封装在IP数据报中，源端收到该报文后提取IP首部的IP地址字段，则记录了第一个路由器。
  (2) 发送IP数据报，TTL = 2，记录第二个路由器。

• 目的不可达有哪几种
  （1）网络不可达：选路失败
  （2）主机不可达：投递失败
  （3）协议不可达：与TCP或更高层协议有关
  （4）端口不可达：与TCP/UDP协议端口有关

• 根据抓获的报文，简单描述路由重定向过程。
  路由重定向表示将你原来在转发列表中发向一台路由的路径改成另外一条路径，也就相当于让你的数据走另外一条路到服务器。当一个路由出现问题的时候，会自动重定向到另外一个路由上去，保证你的数据畅通。

• 降低时延的方法有哪些？
  升级带宽（最好但需要花费更多资金）
  优先转发重要数据
  重新分配重要数据的优先级
  二层帧压缩
  IP数据包头部压缩

• TCP慢启动和拥塞避免过程。
  慢启动：新连接开始或拥塞解除后，都仅以一个报文作为拥塞窗口cwnd的初始值，此后，每收到一个确认，cwnd增加一个MSS
  拥塞避免：窗口的所有报文段都被确认后，才将cwnd增加一个MSS，这样，拥塞窗口swnd按线性规律缓慢增长，比慢启动算法的拥塞窗口增长速率缓慢的多

• 分析TCP协议建立连接为什么使用3次握手，而不使用2次握手。

• TCP几种端口扫描过程
  ① 全连接扫描
  扫描主机用三次握手与目的机指定端口建立正规连接。
  ② 半开扫描(SYN扫描)
  (1)发SYN报文到目的主机的目标端口
  (2)若目标返回SYN+ACK，则端口开放，否则回RST
  (3)若端口开放，则发送RST给目标，从而终止连接
  ③ Fin扫描
  (1)发送FIN报文到目标主机的目标端口
  (2)若返回RST，则端口关闭，否则端口打开

• 网络质量存在哪些问题？
  缺少带宽
  端到端时延
  延时抖动
  数据包丢失

• 要实现可靠的数据流传输服务，必须解决哪几个问题？
  1.可靠性：
  ①防丢失：确认与重传；
  ②防重复：报文段序号；
  2.传输效率、流量控制：滑动窗口机制；
  3.拥塞控制：加速递减与慢启动技术；
  4.建立连接：三次握手协议；
  5.关闭连接：改进的三次握手协议。

• 可靠传输服务有哪些特点?
  ① 面向数据流；
  ② 虚电路连接；
  ③ 有缓冲的传输；
  ④ 无结构的数据流；
  ⑤ 全双工连接。

• TCP拥塞控制技术有哪几种？及拥塞控制过程
  ① 拥塞窗口cwnd
  ② 加速递减技术
  ③ 慢启动技术

• 滑动窗口
  允许发送方不必等确认到来就可继续发送下面的分组，但规定一个上限。若多个分组的确认未到时，则暂停发送。
  (1)数据流的各字节被编上序号。
  (2) TCP的滑动窗口按字节操作而不是按报文段或分组操作。
  (3) TCP窗口大小为字节数。最大为65535字节。
  (4)通信双方都设有发送和接收缓冲区（相当于发送窗口和接收窗口）。默认大小各系统有差异，如4096、8192、16384等。发送缓冲区大小为默认窗口大小。
  (5) TCP连接两端各有两个窗口（发送窗口和接收窗口）

• 糊涂窗口综合症
  接收方的小窗口通告造成发送方发送一系列小的报文段，严重浪费网络带宽。

• IP优先级的用途
  普通：0
  表示语音数据：5
  表示EIGRP报文：6
  表示语音控制：3

• QoS工作模式有哪几种
  进入端口
  IP优先级
  DSCP
  源IP和目的IP
  应用

• QoS中标记技术有哪两种
  网络层
  IP优先级
  DSCP
  链路层
  CoS（ISL,802.1Q）
  MPLS EXP bits
  Frame Reley DE bit

• RED有三种工作模式
  不丢弃
  随机丢弃
  全部丢弃

• QoS流量标记网络层有哪几种？链路层有哪几种
  1）网络层
  IP优先级
  DSCP
  2）链路层
  CoS（ISL,802.1Q）
  MPLS EXP bits
  Frame Reley DE bit

• 为什么要使用多播
  提高效率:控制网络流量，降低服务器和CPU负载
  性能优化:消除流量冗余
  分布式应用程序:使多点应用程序成为可能

• PIM dense模式和sparse模式工作过程
  dense：当路由器收到从源S到群组的数据包时，首先在单播路由表中检查到达接口是否为向S发送单播数据包时的输出接口，如果是，路由器把该数据包从所有没收到剪枝消息的接口发送出去，否则数据包被丢弃并向数据包到达接口发送剪枝消息。如果所有的接口都被剪枝，则通过数据包到达接口发送剪枝消息。
  sparse：源节点把组播数据包封装在单播数据包中并发送给RP，源节点并不需要知道组成员的消息，只需获得RP地址。RP收到数据包后，取出其中的数据，向组播树的所有接口进行转发。

• FTP的工作原理是什么？控制连接和数据连接的用途及区别是什么？
  Port
  FTP 客户端首先和FTP服务器的TCP 21端口建立连接，通过这个通道发送命令，客户端需要接收数据的时候在这个通道上发送PORT命令。 PORT命令包含了客户端用什么端口接收数据。在传送数据的时候，服务器端通过自己的TCP 20端口连接至客户端的指定端口发送数据。 FTP server必须和客户端建立一个新的连接用来传送数据。
  Passive
  在建立控制通道的时候和Standard模式类似，但建立连接后发送的不是Port命令，而是Pasv命令。FTP服务器收到Pasv命令后，随机打开一个高端端口（端口号大于1024）并且通知客户端在这个端口上传送数据的请求，客户端连接FTP服务器此端口，通过三次握手建立通道，然后FTP服务器将通过这个端口进行数据的传送。
  控制连接从进程用于对应控制连接，用于传输命令，数据连接从进程对应数据连接，负责传输数据。

• FTP数据结构有哪几种
  文件式结构：文件中没有内部结构，文件被看作是二进制流；
  记录结构：文件是由一系列记录组成的；
  页结构：文件是由不同的索引页组成的。

• FTP常用命令（USER,PASS,ACCT,CWD,CDUP,QUIT,PORT,PASV）
  用户名(USER)
  口令(PASS)
  ACCOUNT (ACCT)
  改变工作目录(CWD)
  回到上一层目录(CDUP)
  重新初始化(REIN)
  退出登录(QUIT)
  数据端口(PORT)
  被动(PASV)

• FTP传输模式有哪几种
  FTP应答值第一位代表的含义
  1yz 确定预备应答
  请求的操作正在被初始化；在进入下一个命令前等待另外的应答。这类响应用于说明命令被接受，在实现中如何同步监视有困难，用户进程现在可以关注数据连接了。服务器FTP进程对第个命令几乎都返回1yz响应。
  2yz 确定完成应答
  要求的操作已经完成，可以执行新命令。
  3yz 确定中间应答
  命令已接受，但要求的操作被停止，停止接收更新的信息。
  4yz 暂时拒绝完成应答
  未接受命令，要求的操作未执行，但错误是临时的，过一会儿可以再次发送消息。用户应该返回命令序列的开始。这个暂时可是不好确定，此命令的意思就是让用户进程再次尝试使用此命令。
  5yz 永远拒绝完成应答
  它与暂时拒绝完成应答的区别就在于错误条件是一时半会不会消失。