TCP/IP协议

什么是 TCP/IP？

　　TCP/IP 是供已连接因特网的计算机进行通信的通信协议。

　　TCP/IP 指传输控制协议/网际协议 (Transmission Control Protocol / Internet Protocol)。

　　TCP/IP 定义了电子设备（比如计算机）如何连入因特网，以及数据如何在它们之间传输的标准。

　　TCP/IP协议介绍

　　TCP/IP的通讯协议

　　这部分简要介绍一下TCP/IP的内部结构，为讨论与互联网有关的安全问题打下基础。TCP/IP协议组之所以流行，部分原因是因为它可以用在各种各样的信道和底层协议（例如T1和X.25、以太网以及RS-232串行接口）之上。确切地说，TCP/IP协议是一组包括TCP协议和IP协议，UDP（User Datagram Protocol）协议、ICMP（Internet Control Message Protocol）协议和其他一些协议的协议组。

　　TCP/IP整体构架概述

　　TCP/IP协议并不完全符合OSI的七层参考模型。传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型,其中每一层执行某一特定任务。该模型的目的是使各种硬件在相同的层次上相互通信。这7层是:物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。这4层分别为：

　　应用层：应用程序间沟通的层，如简单电子邮件传输（SMTP）、文件传输协议（FTP）、网络远程访问协议（Telnet）等。

　　传输层：在此层中，它提供了节点间的数据传送服务，如传输控制协议（TCP）、用户数据报协议（UDP）等，TCP和UDP给数据包加入传输数据并把它传输到下一层中，这一层负责传送数据，并且确定数据已被送达并接收。

　　互连网络层：负责提供基本的数据封包传送功能，让每一块数据包都能够到达目的主机（但不检查是否被正确接收），如网际协议（IP）。

　　网络接口层：对实际的网络媒体的管理，定义如何使用实际网络（如Ethernet、Serial Line等）来传送数据。

　　TCP/IP中的协议

　　以下简单介绍TCP/IP中的协议都具备什么样的功能，都是如何工作的：

　　1． IP

　　网际协议IP是TCP/IP的心脏，也是网络层中最重要的协议。

　　IP层接收由更低层（网络接口层例如以太网设备驱动程序）发来的数据包，并把该数据包发送到更高层---TCP或UDP层；相反，IP层也把从TCP或UDP层接收来的数据包传送到更低层。IP数据包是不可靠的，因为IP并没有做任何事情来确认数据包是按顺序发送的或者没有被破坏。IP数据包中含有发送它的主机的地址（源地址）和接收它的主机的地址（目的地址）。

　　高层的TCP和UDP服务在接收数据包时，通常假设包中的源地址是有效的。也可以这样说，IP地址形成了许多服务的认证基础，这些服务相信数据包是从一个有效的主机发送来的。IP确认包含一个选项，叫作IP source routing，可以用来指定一条源地址和目的地址之间的直接路径。对于一些TCP和UDP的服务来说，使用了该选项的IP包好像是从路径上的最后一个系统传递过来的，而不是来自于它的真实地点。这个选项是为了测试而存在的，说明了它可以被用来欺骗系统来进行平常是被禁止的连接。那么，许多依靠IP源地址做确认的服务将产生问题并且会被非法入侵。

　　2. TCP

　　如果IP数据包中有已经封好的TCP数据包，那么IP将把它们向‘上’传送到TCP层。TCP将包排序并进行错误检查，同时实现虚电路间的连接。TCP数据包中包括序号和确认，所以未按照顺序收到的包可以被排序，而损坏的包可以被重传。

　　TCP将它的信息送到更高层的应用程序，例如Telnet的服务程序和客户程序。应用程序轮流将信息送回TCP层，TCP层便将它们向下传送到IP层，设备驱动程序和物理介质，最后到接收方。

　　面向连接的服务（例如Telnet、FTP、rlogin、X Windows和SMTP）需要高度的可靠性，所以它们使用了TCP。DNS在某些情况下使用TCP（发送和接收域名数据库），但使用UDP传送有关单个主机的信息。

　　3.UDP

　　UDP与TCP位于同一层，但对于数据包的顺序错误或重发。因此，UDP不被应用于那些使用虚电路的面向连接的服务，UDP主要用于那些面向查询---应答的服务，例如NFS。相对于FTP或Telnet，这些服务需要交换的信息量较小。使用UDP的服务包括NTP（网络时间协议）和DNS（DNS也使用TCP）。

　　欺骗UDP包比欺骗TCP包更容易，因为UDP没有建立初始化连接（也可以称为握手）（因为在两个系统间没有虚电路），也就是说，与UDP相关的服务面临着更大的危险。

　　4.ICMP

　　ICMP与IP位于同一层，它被用来传送IP的的控制信息。它主要是用来提供有关通向目的地址的路径信息。ICMP的‘Redirect’信息通知主机通向其他系统的更准确的路径，而‘Unreachable’信息则指出路径有问题。另外，如果路径不可用了，ICMP可以使TCP连接‘体面地’终止。PING是最常用的基于ICMP的服务。

　　5. TCP和UDP的端口结构

　　TCP和UDP服务通常有一个客户/服务器的关系，例如，一个Telnet服务进程开始在系统上处于空闲状态，等待着连接。用户使用Telnet客户程序与服务进程建立一个连接。客户程序向服务进程写入信息，服务进程读出信息并发出响应，客户程序读出响应并向用户报告。因而，这个连接是双工的，可以用来进行读写。

　　两个系统间的多重Telnet连接是如何相互确认并协调一致呢？TCP或UDP连接唯一地使用每个信息中的如下四项进行确认：

　　源IP地址 发送包的IP地址。

　　目的IP地址 接收包的IP地址。

　　源端口 源系统上的连接的端口。

　　目的端口 目的系统上的连接的端口。

　　端口是一个软件结构，被客户程序或服务进程用来发送和接收信息。一个端口对应一个16比特的数。服务进程通常使用一个固定的端口，例如，SMTP使用25、Xwindows使用6000。这些端口号是‘广为人知’的，因为在建立与特定的主机或服务的连接时，需要这些地址和目的地址进行通讯。

　　相信大家都听说过TCP/IP这个词，这个词好像无处不在，时时都会在你面前跳出来。那TCP/IP到底是什么意思呢？

　　TCP/IP其实是两个网络基础协议：IP协议、TCP协议名称的组合。下面我们分别来看看这两个无处不在的协议。

　　IP协议

　　IP（Internet Protocol）协议的英文名直译就是：因特网协议。从这个名称我们就可以知道IP协议的重要性。在现实生活中，我们进行货物运输时都是把货物包装成一个个的纸箱或者是集装箱之后才进行运输，在网络世界中各种信息也是通过类似的方式进行传输的。IP协议规定了数据传输时的基本单元和格式。如果比作货物运输，IP协议规定了货物打包时的包装箱尺寸和包装的程序。 除了这些以外，IP协议还定义了数据包的递交办法和路由选择。同样用货物运输做比喻，IP协议规定了货物的运输方法和运输路线。

　　TCP协议

　　我们已经知道了IP协议很重要，IP协议已经规定了数据传输的主要内容，那TCP（Transmission Control Protocol）协议是做什么的呢？不知大家发现没有，在IP协议中定义的传输是单向的，也就是说发出去的货物对方有没有收到我们是不知道的。就好像8毛钱一份的平信一样。那对于重要的信件我们要寄挂号信怎么办呢？TCP协议就是帮我们寄“挂号信”的。TCP协议提供了可靠的面向对象的数据流传输服务的规则和约定。简单的说在TCP模式中，对方发一个数据包给你，你要发一个确认数据包给对方。通过这种确认来提供可靠性。

　　TCP/IP（Transmission Control Protocol/Internet Protocol的简写，中文译名为传输控制协议/互联网络协议）协议是Internet最基本的协议，简单地说，就是由底层的IP协议和TCP协议组成的。TCP/IP协议的开发工作始于70年代，是用于互联网的第一套协议。

　　1.1 TCP/IP参考模型

　　TCP/IP协议的开发研制人员将Internet分为五个层次，以便于理解，它也称为互联网分层模型或互联网分层参考模型，如下表：

　　应用层（第五层）

　　传输层（第四层）

　　互联网层（第三层）

　　网络接口层（第二层）

　　物理层（第一层）

　　物理层：对应于网络的基本硬件，这也是Internet物理构成，即我们可以看得见的硬设备，如PC机、互连网服务器、网络设备等，必须对这些硬设备的电气特性作一个规范，使这些设备都能够互相连接并兼容使用。

　　网络接口层：它定义了将资料组成正确帧的规程和在网络中传输帧的规程，帧是指一串资料，它是资料在网络中传输的单位。

　　互联网层：本层定义了互联网中传输的“信息包”格式，以及从一个用户通过一个或多个路由器到最终目标的"信息包"转发机制。

　　传输层：为两个用户进程之间建立、管理和拆除可靠而又有效的端到端连接。

　　应用层：它定义了应用程序使用互联网的规程。

　　1. 2 网间协议IP

　　Internet 上使用的一个关键的底层协议是网际协议，通常称IP协议。我们利用一个共同遵守的通信协议，从而使 Internet 成为一个允许连接不同类型的计算机和不同操作系统的网络。要使两台计算机彼此之间进行通信，必须使两台计算机使用同一种"语言"。通信协议正像两台计算机交换信息所使用的共同语言，它规定了通信双方在通信中所应共同遵守的约定。

　　计算机的通信协议精确地定义了计算机在彼此通信过程的所有细节。例如，每台计算机发送的信息格式和含义，在什么情况下应发送规定的特殊信息，以及接收方的计算机应做出哪些应答等等。

　　网际协议IP协议提供了能适应各种各样网络硬件的灵活性，对底层网络硬件几乎没有任何要求，任何一个网络只要可以从一个地点向另一个地点传送二进制数据，就可以使用IP协议加入 Internet 了。

　　如果希望能在 Internet 上进行交流和通信，则每台连上 Internet 的计算机都必须遵守IP协议。为此使用 Internet 的每台计算机都必须运行IP软件，以便时刻准备发送或接收信息。

　　IP协议对于网络通信有着重要的意义：网络中的计算机通过安装IP软件，使许许多多的局域网络构成了一个庞大而又严密的通信系统。从而使 Internet 看起来好像是真实存在的，但实际上它是一种并不存在的虚拟网络，只不过是利用IP协议把全世界上所有愿意接入 Internet 的计算机局域网络连接起来，使得它们彼此之间都能够通信。

　　1.3 传输控制协议TCP

　　尽管计算机通过安装IP软件，从而保证了计算机之间可以发送和接收资料，但IP协议还不能解决资料分组在传输过程中可能出现的问题。因此，若要解决可能出现的问题，连上 Internet 的计算机还需要安装TCP协议来提供可靠的并且无差错的通信服务。

　　TCP协议被称作一种端对端协议。这是因为它为两台计算机之间的连接起了重要作用：当一台计算机需要与另一台远程计算机连接时，TCP协议会让它们建立一个连接、发送和接收资料以及终止连接。

　　传输控制协议TCP协议利用重发技术和拥塞控制机制，向应用程序提供可靠的通信连接，使它能够自动适应网上的各种变化。即使在 Internet 暂时出现堵塞的情况下，TCP也能够保证通信的可靠。

　　众所周知， Internet 是一个庞大的国际性网络，网络上的拥挤和空闲时间总是交替不定的，加上传送的距离也远近不同，所以传输资料所用时间也会变化不定。TCP协议具有自动调整"超时值"的功能，能很好地适应 Internet 上各种各样的变化，确保传输数值的正确。

　　因此，从上面我们可以了解到：IP协议只保证计算机能发送和接收分组资料，而TCP协议则可提供一个可靠的、可流控的、全双工的信息流传输服务。

　　综上所述，虽然IP和TCP这两个协议的功能不尽相同，也可以分开单独使用，但它们是在同一时期作为一个协议来设计的，并且在功能上也是互补的。只有两者的结合，才能保证 Internet 在复杂的环境下正常运行。凡是要连接到 Internet 的计算机，都必须同时安装和使用这两个协议，因此在实际中常把这两个协议统称作TCP/IP协议。

　　1. 4 IP地址及其分类

　　在Internet上连接的所有计算机，从大型机到微型计算机都是以独立的身份出现，我们称它为主机。为了实现各主机间的通信，每台主机都必须有一个唯一的网络地址。就好像每一个住宅都有唯一的门牌一样，才不至于在传输资料时出现混乱。

　　Internet的网络地址是指连入Internet网络的计算机的地址编号。所以，在Internet网络中，网络地址唯一地标识一台计算机。

　　我们都已经知道，Internet是由几千万台计算机互相连接而成的。而我们要确认网络上的每一台计算机，靠的就是能唯一标识该计算机的网络地址，这个地址就叫做IP（Internet Protocol的简写）地址，即用Internet协议语言表示的地址。

　　目前，在Internet里，IP地址是一个32位的二进制地址，为了便于记忆，将它们分为4组，每组8位，由小数点分开，用四个字节来表示，而且，用点分开的每个字节的数值范围是0~255，如202.116.0.1，这种书写方法叫做点数表示法。

　　IP地址可确认网络中的任何一个网络和计算机，而要识别其它网络或其中的计算机，则是根据这些IP地址的分类来确定的。一般将IP地址按节点计算机所在网络规模的大小分为A，B，C三类，默认的网络屏蔽是根据IP地址中的第一个字段确定的。

　　1. A类地址

　　A类地址的表示范围为：0.0.0.0~126.255.255.255，默认网络屏蔽为：255.0.0.0；A类地址分配给规模特别大的网络使用。A类网络用第一组数字表示网络本身的地址，后面三组数字作为连接于网络上的主机的地址。分配给具有大量主机（直接个人用户）而局域网络个数较少的大型网络。例如IBM公司的网络。

　　2. B类地址

　　B类地址的表示范围为：128.0.0.0~191.255.255.255，默认网络屏蔽为：255.255.0.0；B类地址分配给一般的中型网络。B类网络用第一、二组数字表示网络的地址，后面两组数字代表网络上的主机地址。

　　3. C类地址

　　C类地址的表示范围为：192.0.0.0~223.255.255.255，默认网络屏蔽为：255.255.255.0；C类地址分配给小型网络，如一般的局域网和校园网，它可连接的主机数量是最少的，采用把所属的用户分为若干的网段进行管理。C类网络用前三组数字表示网络的地址，最后一组数字作为网络上的主机地址。

　　RFC 1918留出了3块IP地址空间（1个A类地址段，16个B类地址段，256个C类地址段）作为私有的内部使用的地址。在这个范围内的IP地址不能被路由到Internet骨干网上；Internet路由器将丢弃该私有地址。

　　IP地址类别　RFC 1918内部地址范围

　　A类　10.0.0.0到10.255.255.255

　　B类　172.16.0.0到172.31.255.255

　　C类　192.168.0.0到192.168.255.255

　　使用私有地址将网络连至Internet，需要将私有地址转换为公有地址。这个转换过程称为网络地址转换（Network Address Translation，NAT），通常使用路由器来执行NAT转换。

　　实际上，还存在着D类地址和E类地址。但这两类地址用途比较特殊，在这里只是简单介绍一下：D类地址称为广播地址，供特殊协议向选定的节点发送信息时用。E类地址保留给将来使用。

　　连接到Internet上的每台计算机，不论其IP地址属于哪类都与网络中的其它计算机处于平等地位，因为只有IP地址才是区别计算机的唯一标识。所以，以上IP地址的分类只适用于网络分类。

　　在Internet中，一台计算机可以有一个或多个IP地址，就像一个人可以有多个通信地址一样，但两台或多台计算机却不能共享一个IP地址。如果有两台计算机的IP地址相同，则会引起异常现象，无论哪台计算机都将无法正常工作。

　　顺便提一下几类特殊的IP地址：

　　1. 广播地址 目的端为给定网络上的所有主机，一般主机段为全0

　　2. 单播地址 目的端为指定网络上的单个主机地址

　　3. 组播地址 目的端为同一组内的所有主机地址

　　4. 环回地址 127.0.0.1 在环回测试和广播测试时会使用

　　1.5 子网的划分

　　若公司不上Internet,那一定不会烦恼IP Address的问题,因为可以任意使用所有的IP Address,不管是A Class或是B Class,这个时候不会想到要用Sub Net,但若是上Internet那IP Address便弥足珍贵了,目前全球一阵Internet热,IP Address已经愈来愈少了,而所申请的IP Address目前也趋保守,而且只有经申请的IP Address能在Internet使用,但对某些公司只能申请到一个C CLass的IP Address,但又有多个点需要使用,那这时便需要使用到Subnet,这就需要考虑子网的划分，下面简介Subnet的原理及如何规划。

　　1．5．1 Subnet Mask的介绍

　　设定任何网络上的任何设备不管是主机、PC、Router等皆需要设定IP Address,而跟随着IP Address的是所谓的NetMask,这个NetMask主要的目的是由IP Address中也能获得NetworkNumber,也就是说IP Address和Net Mask作AND而得到Network Number,如下所示：

　　IP Address

　　192.10.10.6 11000000.00001010.00001010.00000110

　　NetMask

　　255.255.255.0 11111111.11111111.11111111.00000000

　　AND

　　-------------------------------------------------------------------

　　Network Number

　　192.10.10.0 11000000.00001010.00001010.00000000

　　NetMask有所谓的默认值,如下所示

　　Class IP Address 范围 Net Mask

　　A　1.0.0.0-126.255.255.255 255.0.0.0

　　B　128.0.0.0-191.255.255.255 255.255.0.0

　　C　192.0.0.0-223.255.255.255 255.255.255.0

　　在预设的Net Mask都只有255的值,在谈到Subnet Mask时这个值便不一定是255了。在完整一组C Class中如203.67.10.0-203.67.10.255 NetMask255.255.255.0,203.67.10.0称之Network Number(将IP Address和Netmask作AND),而203.67.10.255是Broadcast的IP Address,所以这两者皆不能使用,实际只能使用203.67.10.1--203.67.10.254等254个IP Address,这是以255.255.255.0作NetMask的结果,而所谓Subnet Msk尚可将整组C Class分成数组Network Number,这要在NEtMask作手脚,若是要将整组C CLass分成2个Network Number那NetMask设定为255.255.255.192,若是要将整组C CLass分成8组Network Number则NetMask要为255.255.255.224,这是怎么来的,由以上知道Network Number是由IP Address和NetMask作AND而来的,而且将NetMask以二进制表示法知道是1的会保留,而为0的去掉

　　192.10.10.193--11000000.00001010.00001010.10000001

　　255.255.255.0--11111111.11111111.11111111.00000000

　　--------------------------------------------------------------

　　192.10.10.0--11000000.00001010.00001010.00000000

　　以上是以255.255.255.0为Net Mask的结果,Network Number是192.10.10.0,若是使用255.255.255.224作Net Mask结果便有所不同

　　192.10.10.193--11000000.00001010.00001010.10000000

　　255.255.255.224--11111111.11111111.11111111.11100000

　　--------------------------------------------------------------

　　192.10.10.192--11000000.00001010.00001010.10000000

　　此时Network Number变成了192.10.10.192,这便是Subnet。那要如何决定所使用的NetMask,255.255.255.224以二进制表示法为11111111.11111111.11111111.11100000,变化是在最后一组,11100000便是224,以三个Bit可表示2的3次方便是8个Network Number

　　NetMask二进制表示法可分几个Network

　　255.255.255.011111111.11111111.11111111.000000001

　　255.255.255.128

　　11111111.11111111.11111111.100000002

　　255.255.255.192

　　11111111.11111111.11111111.110000004

　　255.255.255.224

　　11111111.11111111.11111111.111000008

　　255.255.255.240

　　11111111.11111111.11111111.1111000016

　　255.255.255.248

　　11111111.11111111.11111111.1111100032

　　255.255.255.252

　　11111111.11111111.11111111.1111110064

　　以下使用255.255.255.224将C　Class203.67.10.0分成8组Net work Number,各个Network Number及其Broadcast IP Address及可使用之IP Address序号Network Number Broadcast可使用之IP Address

　　（1）203.67.10.0--203.67.10.31

　　203.67.10.1--203.67.10.30

　　（2）203.67.10.32--203.67.10.63

　　203.67.10.33--203.67.10.62

　　（3）203.67.10.64--203.67.10.95

　　203.67.10.65--203.67.10.94

　　（4）203.67.10.96--203.67.10.127

　　203.67.10.97--203.67.10.126

　　（5）203.67.10.128--203.67.10.159

　　203.67.10.129--203.67.10.158

　　（6）203.67.10.160--203.67.10.191

　　203.67.10.161--203.67.10.190

　　（7）203.67.10.192--203.67.10.223

　　203.67.10.193--203.67.10.222

　　（8）203.67.10.224--203.67.10.255

　　203.67.10.225--203.67.10.254

　　可验证所使用的IP Address是否如上表所示

　　203.67.10.115--11001011.01000011.00001010.01110011

　　255.255.255.224--11111111.11111111.11111111.11100000

　　--------------------------------------------------------------

　　203.67.10.96--11001011.01000011.00001010.01100000

　　203.67.10.55--11001011.01000011.00001010.00110111

　　255.255.255.224--11111111.11111111.11111111.11100000

　　--------------------------------------------------------------

　　203.67.10.32--11001011.01000011.00001010.00100000

　　其它的NetMask所分成的NetworkNumber可自行以上述方法自行推演出来。

　　1．5．3 Subnet的应用

　　使用Subnet是要解决只有一组C Class但需要数个Network Number的问题,并不是解决IP Address不够用的问题,因为使用Subnet反而能使用的IP Address会变少,Subnet通常是使用在跨地域的网络互联之中,两者之间使用Router连线,同时也上Internet,但只申请到一组C Class IP Address,过Router又需不同的Network,所以此时就必须使用到Subnet,当然二网络间也可以Remote Bridge连接,那便没有使用Subnet的问题。

　　完美测试TCP/IP协议简介

　　安装网络硬件和网络协议之后，我们一般要进行TCP/IP协议的测试工作，那么怎样测试才算是比较全面的测试呢?我们认为，全面的测试应包括局域网和互联网两个方面，因此应从局域网和互联网两个方面测试，以下是我们在实际工作中利用命令行测试TCP/IP配置的步骤：

　　1、 单击“开始”/“运行”，输入CMD按回车，打开命令提示符窗口。

　　2、 首先检查IP地址、子网掩码、默认网关、DNS服务器地址是否正确，输入命令ipconfig /all,按回车。此时显示了你的网络配置，观查是否正确。

　　3、 输入ping 127.0.0.1，观查网卡是否能转发数据，如果出现“Request timed out”，表明配置差错或网络有问题。

　　4、 Ping一个互联网地址，如ping 202.102.128.68,看是否有数据包传回，以验证与互联网的连接性。

　　5、 Ping 一个局域网地址，观查与它的连通性。

　　6、 用nslookup测试DNS解析是否正确，输入如nslookup www.ccidnet.com，查看是否能解析。

　　如果你的计算机通过了全部测试，则说明网络正常，否则网络可能有不同程度的问题。在此不展开详述。不过，要注意，在使用 ping命令时，有些公司会在其主机设置丢弃ICMP数据包，造成你的ping命令无法正常返回数据包，不防换个网站试试。

　　补充：

编辑本段TCP/IP 协议簇

　　TCP/IP(Transmission Control Protocol/Internet Protocol)已成为一个事实上的工业

　　标准。

　　TCP/IP是一组协议的代名词，它还包括许多协议，组成了TCP/IP协议簇。

　　TCP/IP协议簇分为四层，IP位于协议簇的第二层(对应OSI的第三层)，TCP位于协议簇的第

　　三层(对应OSI的第四层)。

　　TCP和IP是TCP/IP协议簇的中间两层，是整个协议簇的核心，起到了承上启下的作用。

　　1、接口层

　　TCP/IP的最低层是接口层，常见的接口层协议有：

　　Ethernet 802.3、Token Ring 802.5、X.25、Frame reley、HDLC、PPP等。

　　2、网络层

　　网络层包括：IP(Internet Protocol)协议、ICMP(Internet Control Message Protocol)

　　控制报文协议、ARP(Address Resolution Protocol)地址转换协议、RARP(Reverse ARP)反向

　　地址转换协议。

　　IP是网络层的核心，通过路由选择将下一跳IP封装后交给接口层。IP数据报是无连接服务

　　。

　　ICMP是网络层的补充，可以回送报文。用来检测网络是否通畅。

　　Ping命令就是发送ICMP的echo包，通过回送的echo relay进行网络测试。

　　ARP是正向地址解析协议，通过已知的IP，寻找对应主机的MAC地址。

　　RARP是反向地址解析协议，通过MAC地址确定IP地址。比如无盘工作站和DHCP服务。

　　3、传输层

　　传输层协议主要是：传输控制协议TCP(Transmission Control Protocol)和用户数据报协

　　议UDP(User Datagram rotocol)。

　　TCP是面向连接的通信协议，通过三次握手建立连接，通讯时完成时要拆除连接，由于TCP

　　是面向连接的所以只能用于点对点的通讯。

　　TCP提供的是一种可靠的数据流服务，采用“带重传的肯定确认”技术来实现传输的可靠

　　性。TCP还采用一种称为“滑动窗口”的方式进行流量控制，所谓窗口实际表示接收能力，用

　　以限制发送方的发送速度。

　　UDP是面向无连接的通讯协议，UDP数据包括目的端口号和源端口号信息，由于通讯不需要

　　连接，所以可以实现广播发送。

　　UDP通讯时不需要接收方确认，属于不可靠的传输，可能会出丢包现象，实际应用中要求

　　在程序员编程验证。

　　4、应用层

　　应用层一般是面向用户的服务。如FTP、TELNET、DNS、SMTP、POP3。

　　FTP(File Transmision Protocol)是文件传输协议，一般上传下载用FTP服务，数据端口

　　是20H，控制端口是21H。

　　Telnet服务是用户远程登录服务，使用23H端口，使用明码传送，保密性差、简单方便。

　　DNS(Domain Name Service)是域名解析服务，提供域名到IP地址之间的转换。

　　SMTP(Simple Mail Transfer Protocol)是简单邮件传输协议，用来控制信件的发送、中

　　转。　

　　POP3(Post Office Protocol 3)是邮局协议第3版本，用于接收邮件。

　　数据格式：

　　数据帧：帧头＋IP数据包＋帧尾 (帧头包括源和目标主机MAC地址及类型,帧尾是校验字)

　　IP数据包：IP头部＋TCP数据信息 (IP头包括源和目标主机IP地址、类型、生存期等)

　　TCP数据信息：TCP头部+实际数据 (TCP头包括源和目标主机端口号、顺序号、确认号、校

　　验字等)

　　IP协议存在的问题与战略发展

　　下一代网络（NGN）、3G、3G演进及下一代宽带无线（NGBW）是目前通信业界关注和探讨的热点话题，人们希望通过NGN及NGBW来解决目前各类网络中的许多问题，

　　如网络安全问题、QoS问题、智能网管、网络的移动性与汇聚及融合、前后向兼容平滑演进、建立增加ARPU及纯利润率（APPU）与有效的多业务增值的可赢利商业模式等。从2003年下半年至2004年中，ITU-TSG13研究组对此进行了标准化工作推进，取得了不少进展。2004年6月，ITU-T第１３研究组会议上专门组建了一个新的NGN专题组FGNGN，集中加强和推进NGN方面的研究工作。目前已成立7个工作组，分别在业务需求、功能体系架构和移动性、IP－QoS、控制和信令能力、网络安全、网络演进及IP承载能力要求等7个领域进行工作，期望在9～12个月内完成其基本任务，以满足国际上对全球通用的NGN标准的迫切需求。

　　FRNGN拟以IMS为业务及业务会话的研究切入点，与对IMS方面研究深入的3GPP/3GPP2及ETSI－TISPAN等组织保持密切联系与合作，至今已完成诸多标准建议草案。对NGN的研究方向、通用参考模型、框架体系、业务需求、网络功能、网络安全、IP承载能力要求、互联互通、服务质量、移动性管理、可管理的IP网络、异构网络性能和NGN网络演进融合方式等各个方面提出总体要求，为世界各国的通信运营商和设备制造商提供网络发展和产品研发的思路和依据。

　　但客观说来,NGN依然存在不少问题和困惑，特别是NGN在阶段务实发展的同时，从战略高度确立好其目标框架、目标定义及其与分阶段实施的关系至关重要。同时，以IP为基础、甚至所谓全IP发展NGN的策略是否稳妥,依然有不少怀疑与争议。对前者，参考文献1中已进行了较详细的讨论，本文针对后者，从IP协议的背景、内涵、作用与外延的一系列讨论出发，重点就进一步发展IP及NGN的理性战略思维问题谈一些个人看法，供分析参考。

　　1 IP协议及NGN的产生背景与必然性

　　如众所知，IP或TCP/IP协议是互联网发展的基础。另一方面，虽然尚未看到清楚地阐明何时、何地、由何人具体提议NGN这一名词，但这是20世纪90年代中后期的NGI提法（1996年～1997年10月10日，美国克林顿政府明确提出了下一代互联网行动计划NGI）及ITU-T与ETSI、IETF相应工作的结晶。同时，尽管对NGN的概念、定义、结构以及NGN发展是否应以IP为基础，甚至采用所谓全IP等最基本的问题尚未获得全球满意的统一见解，甚至还存在一些较尖锐的分歧，但NGN的背景与必然性，以及IP协议普及应用的基本作用与外延的一系列问题是明显的。

　　a）20世纪末期，对无缝隙覆盖全球个人多媒体通信的需求驱动了GII的讨论和建设热潮，基于TCP/IP协议的Internet技术由Ｅ-mail和VoIP应用切入，随后Internet/Intranet、WWW飞速发展，在全球快速普及，人们普遍理解与认同这可能是未来GII的一个发展方向。

　　b）随着数字传输、数字信号处理及高级软件工程技术的进展，对于一向处于低效率运作结构状态的三网分立的局面，人们普遍感到不满意，并认同IP协议可望成为三网融合的基础，再借助一系列新技术有可能逐步实现三网的融合。而IP协议亦有可能成为固定与移动通信融合的粘接剂，这对未来全球个人通信及GII实施至关重要。

　　c）以TCP/IP协议为基础的Internet设计的初衷主要是考虑军事应用及提高抗干扰能力，这是以牺牲网络带宽为代价的，其网络结构及协议也存在一系列问题,为非面向连接及尽力而为（BE）方式，亦未顾及移动漫游个性化要求。初期未商用化前的Internet是由共同爱好此理念的一些工程技术专家设计开发的，彼此信任协同工作，其源、目的地及内容关联敞开的系统结构弊端尚未很好暴露，这亦是一种主要由科研团体和／或政府研究机构松散管理下的一种非商业应用网络。进入大规模商用后,其暴露出的安全性、QoS、网络智能管理、赢利商业模式等多方面的问题使Internet的NGN２/NGI的发展亦面临严峻的挑战，但目前又无法找到一种更好的可进行大规模普及操作的网络结构，因此，现实的做法理应是集思广益、博采众长，吸收各种新概念、新思路及新技术，使之尽可能全面增强改进，以尽快满足市场需求，并创造新的增值效益。

　　d）“.com泡沫”的破灭、“宽带泡沫”的疑问、3G发展的迷茫、传统电信业务盈利下滑等多种因素强烈驱动传统运营业与制造商急需寻找出一种能平滑演进、灵活剪材与适应市场需求的新一代网络结构与多业务增长途径。20世纪80年代，PC控制软件与计算硬件分离，形成充分开放的多厂商竞争环境，从而最终推动整个计算机业的繁荣与发展，促使人们认真思考未来网络的发展是否亦应走这类道路。对此，以IP为基础结构的网络最适宜达到可适应灵活方便地实施多用户、多业务增值这一紧迫目标。

　　e）随着软交换技术及软件无线电等技术的诞生与改进，无论是有线网或无线网，均可采用分层、分面及全开放模式，基于独立的模块化结构实施业务驱动，使业务、呼叫控制、承载完全分离，从而以优良的性能价格比、兼顾前后向兼容的过渡方式，平滑地向新的以IP为基础的网络演进。这些技术可望成为新一代网络即所谓NGN的核心支撑技术。尽快统一全球标准，并与原先提出的GII目标的实施进行协调与融合，已成为相关组织（如ITU-T/R、ETSI、IETF、3GPP、3GPP2、ISC/IPCC、TINA/TIMNA、MSF、OMA等）的共同愿望，而且谁都希望在NGN问题的讨论中捍卫自已的基本立场、观点与发言权。

　　尽管IP协议及NGN问题在概念、定义、结构等基本方面均有含混不清的地方及不同理解，依然成为全球各大标准组织、运营者、制造商、研究开发部门和政府相关部门共同关注的热点,并在加紧探索各种务实发展的途径，无论对固定或移动、对公网或专网、对地面或空间，均属如此。

　　2 NGN取分组化为基础应以IP为主要前提

　　2.1NGN发展的目标战略

　　2003年，ITU-T NGN Workshop会议上对涉及NGN的分组化传送和多（全）业务网络的理解为分组化具体体现为IP、MPLS、ATM及Ethernet；全业务网络包括电话和Internet接入业务、数据业务、视频流媒体业务、数字电视广播业务和移动业务。从而，NGN应是能提供各种多媒体业务的综合网络，支持固定和移动的融合、传统电信业务和广播业务的融合，是有线／无线网络元素、计算机系统、家庭外围设备、智能工具等组成的综合融合环境；NGN必须能满足不同业务质量及物理接口的要求，在业务管理、网络管理、智能化、个性化服务方面均可提供完备的机制。

　　纵观全球，尽管尚未对NGN给出一个统一清晰的定义，但在一些基本点上已达成共识：NGN是基于分组交换的网络，且大多数人认为该分组交换应基于IP协议；该网络以市场与业务驱动为导向，将呼叫控制与网络传送层及业务层完全分离；网络结构分层，各层间有开放的标准接口；业务承载网与业务网应能有效彼此分离；核心传送网为高带宽光传送网；网络具有满意的服务质量和合理的安全保证；网络是可维护、可运营的，并且是可赢利的多业务网络；网络应支持包括终端移动性和用户移动性在内的广泛移动性等。

　　从广义角度上说，NGN是一种目标网络，但它不是下一代Internet，亦不是下一代PSTN电话网、下一代电信网或下一代有线电视网及广播电视网，而是一代逐步由新的分组交换传送及IP协议为基础的有机融语音、视像、数据于一体的面貌全新的网络。它将真正使网络设施不受时间、空间和带宽的限制，充分实现网络个性化与个体化，使基于网络的虚拟世界与现实世界完美地融合。它具有所谓接近零的网络时延与优良的网络端到端QoS性能，满意的网络与系统的可靠性与可用性，以及足以信赖的网络安全性。

　　网络管理可达全局智能化，既有利于赢利商业模式运作的集中智能网管，同时将网络智能分布化推向边缘，保持与发扬Internet终端智能化的长处，摒弃其整体网管弱智与缺乏可赢利商业模式运作的严重缺憾。网络可达到灵活、多样化、个性化的5W（5A）方式的无缝隙宽带接入,有跨协议、跨标准国际漫游能力；以市场与业务驱动为导向，将呼叫控制与网络传送层及业务层完全分离,可进行服务的快速布设与移植；可充分利用平台的分布性、开放性与标准性，积极调动运营商及第三方的天才与创造性，快速丰富业务种类与市场应用等特征的一种理想化的网络。它能充分满足社会与个人愈来愈高的综合性全球通信要求：多业务、高质量、宽带化、分组化、智能化、移动性、分组性、安全性、开放性、分布性、兼容性及可管理性与可赢利性，这是目前Internet、电信网、移动网、广播电视网及专用通信网等均不能全面具备的基本特征，亦是它们按NGN定义与框架目标要求进一步演进、集成、协同、汇聚与融合所期望达到的目标要求的基本特征。按此，各类在NGN概念导引下前向演进产生的新一代网络均为NGN集合的子集。

　　显然，按上述框架目标实施的NGN不可能轻而易举地一步到位，因此，从定义至实施策略看，制定明确、科学、稳健的远期发展及各阶段的NGN发展步骤十分必要。应该说，从现在到今后5～15年左右，NGN依然处在初始发展阶段，在此阶段中应较好地解决启动问题。

　　a）需要完成NGN的确切定义、基本框架目标、阶段实施途径等基本标准化工作；同时将NGN的三大组成部分即下一代因特网（NGI）、下一代电信网（NGTN）、下一代移动网（NGMN）均按自身发展基础为起点，积极遵循NGN基本概念、定义、目标要求制订与实施发展策略，从技术层面、系统结构与市场模式彼此渗透，并一步步汇聚与融合。例如，NGI以引入IPv6及及网格技术与业务为中心，同时改进TCP/UDP等一系列相关协议，使NGI在未来宽带多媒体、多业务时代能体现真正可管理、可赢利；NGTN以软交换等技术为核心,试验及启动基于TDM的电路型的PSTN语音网络和基于ATM/IP分组型的网络向初级NGN网络的融合演进，使NGN概念期望的低建设成本、低运营花费、多业务高创收机遇、有效的前后向兼容平滑演进等优点能初显锋芒；NGMN以3G及3G演进为中心，并集成与融合802.xy，包括终端、业务与应用在内，制订与2.5G有差异的务实发展策略与商业模式，特别是WCDMA,在这些方面能取得较快的进展，由GPRS向WCDMAR99/R4、再向R5/R6/R7有效推进。

　　b）3GPP的“IMS”这一IP多媒体会话域与3GPP2的“MMD”这一全IP网络结构的多媒体域在全IP结构含义上进行融合，逐步实现向NGN概念及目标迈进的全IP的NGMN。同时，如上所述，FRNGN拟以IMS为业务及业务会话的研究切入点推进NGN工作。

　　c）在核心网及城域边际网支撑平台方面，一方面应充分调动与挖掘既有资源潜力，并有计划、有步骤地向可有效运营的（G）MPL（λ）S技术支持的超高带宽容量的（全）光网络核心平台及MSTP多业务传送平台平滑演进，充分增强其MPLSVPN及IP－QoS的运作能力。同时，WiMAX之类无线城域网的作用及其与无线移动局域网（WLAN）、广域网（WWAN）、区域网（WRAN）的纽带连接与集成综合作用也不可忽视，需有效发挥与利用。

　　d）广播电视网将政策及意识形态因素与新一代网络发展建设需求有机协调，并妥善分离实施，使该网络按NGN框架目标逐步向三网有机汇聚与融合方向迈进。

　　固然，作为NGN启动发展的有效步骤，以软交换为中心，或以IPv6及网格技术与业务为中心务实推进是十分必要的。但与此同时，必须站在NGN角度，进行更全面与更长远的规划与思考，并注重结合自身特点与市场导向需求。以软交换（Softswitching）概念为例，用软交换机改造现有PSTN网络及其“硬”交换机时，切忌将此仅理解为是一种稍具软件灵活性的由“硬”到“软”的设备与技术更替，这样很容易回到PSTN的封闭性理念与框架之中，从而违背NGN目标的初衷。就NGTN而言，它不仅仅是由ＴＤＭ技术转化为IP分组技术，从应用与多业务层面看，更重要的是应按NGN目标框架，将原有僵化的端到端连接型控制机制转变为灵活、丰富、多样化的会话型控制机制；将原有由个体网元集中控制管理模式转变为资源自适应均衡调配的分布式网络控制管理模式；将原有缺乏前向扩展能力的单一业务垄断经营模式转变为多业务、综合业务的共赢价值链经营模式等。

　　2.2NGN取分组交换为基础应以IP为主要前提

　　如上所述，涉及NGN以分组交换传送为基础和多（全）业务网络分组化具体体现为IP、MPLS、ATM及Ethernet。很明显，MPLS及Ethernet与IP是完全可以协调发展的，主要分歧仅在于IP与ATM谁更合适这一实质性认识。这是一个重要问题，因为它对确定NGN的发展基础与前提至关紧要。

　　在确立NGN的基本发展策略时，基于其基本技术特征与长期市场检验结果，应明确NGN取分组交换为基础应以IP为主要考虑前提，否则将无益于推进以IP为基础的NGN的努力创新与积极发展。当然并未排斥在NGN的阶段发展过程中，仍要合理利用ATM在一定阶段上尚存在的可能作用与价值，吸取ATM的某些有益理念，创建MPLS之类有效技术利器，使NGN以IP为基础的QoS控制及VPN发展获得强有力的支撑。

　　事实上，ATM的兴衰与数据交换的发展紧密相联。应该说ATM是后来者，它比Ethernet及Internet晚了近20年，比个人电脑亦晚了近15年，以53定长字节封包,同属分组传送。20世纪90年代初，语音／数据集成及端到端QoS控制方面，ATM深受青睐。当时人们甚至认为，以太网交换技术仅仅是延长其陈旧技术生命的一种权宜之计，因为从最佳系统设计的负荷平衡（LoadBalacing）理论观点看，以太网速率低，由于集线器采用共享式的载波侦听多址连接／冲突检测（CSMA/CD）模式运作，当用户上网增多时即导致传送瓶颈，更谈不上QoS保证。因此，千兆比第三层交换机出现之前，ATM被视为更新核心网交换的惟一合适途径。然而，市场驱动使以太网经受住了严峻的挑战，七年内，将网络速度提高两个量级，而ATM的所谓端到端连接又忽视了至关重要的台式机用户，需要在终端用户处附加许多软硬件设备。

　　从节省成本角度看，快速以太网即占上风。而且，ATM／以太网的混合环境使网络分割与重组开销很大，在图像处理等计算密集场合无法容忍，ATM的很多应用便显得缺乏实用性。ATM的结构严谨但不灵活、复杂与价格昂贵。以太网的GB/10GB高速交换进展及由LAN向MAN/WAN扩展，Internet及IP的爆炸性增长与IP-QoS的一步步进展,终于使人们认定ATM只能走下坡路，这是市场的选择。本来在传输资源紧缺与昂贵的场合，可利用提高节点设备ATM交换机的复杂度与多业务提供和QoS控制能力以换取传输资源带宽能力的不足，这是一种有效互补选择，但历史发展已改写了这一前提。带宽资源不要说在核心层面，甚至在接入层面已愈来愈不那么稀缺昂贵，同时IP技术带来的多业务增值灵活性、价位有吸引力以及日益完善的IP-QoS技术及安全性改进，使移动、固定无线及卫星之类原本资源最受限的无线传输手段几乎无例外地将ATM作为权宜之计，而将长远目标锁定于以IP为基础，3G及3G演进的上述全IPNGWB选择即为明显示例。因此，始终保持ATM与IP的选择争议实际没有必要，认定NGN取分组交换为基础应以IP为主要考虑前提, 应该成为一种明智的现实选择。

　　2.3以新业务需求为驱动力的IP化已成大势所趋

　　如上所述,以IP为基础的Internet的普及已造就一张覆盖全球的Internet大网，尽管有大量的麻烦与问题在不断产生，但也有大量IP业务在运行和使用，亦有大量支持IP的业务开发、运行维护人员在运作，并正在投入大量人力、物力与财力。针对IP商用暴露的弊端进一步改进IP技术，开发各类IP新业务与新应用，推进IPv6、NGI、100×100项目、美国国防网格网向目标NGN迈进已是不争的事实。

　　实践亦已证明，业务与承载可分离的充分开放的IP平台为业务与应用创新提供了广阔的发展空间，门户网站、搜索引擎、P2P（PeertoPeer）等应用均为其开放性的创新硕果。而且，随着IP-QoS的一步步改进，VoIP不仅在专线专网、在长途、甚至本地市话，包括VoIP的O/P－WLAN运用在内，均已经或正在逐步走向成熟，满足电信级运营要求。

　　3IP协议的问题与发展的战略思考

　　3.1IP协议的问题所在

　　由以TCP/IP协议为基础的Internet的发展历程可知，IP协议最可取的内涵与作用即在于其充分的开放透明性与灵活有效的多业务增值能力。然而，既要开放透明，往往便“充分暴露”，从而容易受到攻击。因此，Internet商用化后，大量暴露出的一系列问题中，最棘手、解决难度最大的即为安全性问题。

　　3.1.1安全性问题

　　对此，最尖锐的观点来自TINA/TIMNA。认为NGN不应该是“全IP化的网络”，而应该是一种以中间件为基础的网络。TINA支持ITU-T建议Y.130的信息通信结构（ICA），认为Internet及其IP网的三大缺陷为安全失控、QoS无保障及网管弱智，全IP化即使用IPv6也不能有本质改进，必须从中间件层入手，才能真正取得隔离功能及解决安全问题。IP协议结构像“明信片”，源、目的地、内容三者关联全局暴露，是其易受攻击与无法解决好安全性问题的根本所在。“IP决定一切”，将违背分层网设计“应用决定一切”的公认理念，造成事实的上本末倒置。必须有结构的进化，才能有功能突破,“未来网技术IP不是惟一的选择”。TINA支持以ICA为基础向NGN演进。

　　应该说，TINA/TIMNA提出的看法是有价值的，它一针见血地道明了IP协议安全失控的本质所在。

　　实际上，仔细分析PSTN、ATM及IP网络结构，可更充分理解IP网易受攻击的安全性问题的原委。

　　一般安全攻击多半在终端发起，PSTN的终端本质为傻瓜型，兼之PSTN的收费模式，在终端入手发起大规模攻击，成本亦很高，难以操作。PSTN的用户端与网络端接以UNI与NNI彼此分离，业务提供及控制权均在运营商手中，没有运营商参与，用户难在终端做新花样，播发病毒及发动攻击；就算用户想做手脚，追查亦较方便，因为PSTN对所有终端均按E.164码号规则赋予全球惟一与公开的编号。此外，当PSTN提供IP网接入服务时，仅作为IP网的链路层接入，IP数据只是在PSTN上透穿，无法在PSTN接入IP之际从IP网攻击PSTN。由此可以推理PSTN的网络与终端安全性较好，相应其丧失的便是灵活有效的宽带多业务增值能力。

　　ATM虽然亦同属分组型技术，但ATM并无直接的终端业务与用户，对用户而言只是提供一个逻辑“专网”，用户只能在自已的“专网”中运作，用户亦无能力与可能发送ATM网络能识别与要识别的信令与业务数据。同样，ATM的UNI与NNI是分离的，网络只是为用户提供透传功能，其信令、业务数据等对用户为不可见，用户无法产生恶意数据对ATM进行攻击；ATM网络与网络间的安全性则靠运营规则与运营商间的信任关系和协同合作予以保证。而且，由于用户只能在自己所在的网络中运作，即便能发动攻击，亦只能攻击自己网络内的有限用户，很容易追查。因此，ATM网络亦有较好的安全性保证,但同时带来了宽带多业务增值不灵活方便与不价廉物美。

　　再看IP网络，它真像信息的明信片传送，没有UNI与NNI的分离，运营商设备、协议乃至网络拓扑对用户均属开放可见。用户端产生的IP信息，无论在用户端或在网络中均可传送终结，从而既可能由用户端与运营商网络交换非法及恶意路由信息，也可能对运营商网络的路由器、接入服务器等设备及三层以上设备实施攻击。与此同时，位于IP网络边际的用户侧的网络与业务、应用，一般均使用TCP/UDP/IP这一基础技术，这导致用户间在IP层及应用层等各层面彼此透明可见，从而亦为恶意用户攻击对方网络及相应业务大开方便之门。IP网络的终端高度智能化及多业务能力一方面使由终端用户发动攻击变得容易，同时又增加了识别与防范各类花样繁多的安全攻击的难度，因为多种业务综合承载在同一网络上，难以分辨与确立用户间的信任关系，导致恶意用户容易找准对象发动攻击，而被攻击的用户实际上难以分清哪些是合法用户的正常访问，哪些是非法用户侵入或恶意攻击。另一方面，鉴于IP网络及技术飞速发展，协议设计及软件开发中的缺陷与漏洞在大规模应用前来不及测试发现与彻底排除，这亦给恶意攻击造成各种可乘之机。对此，一些最知名公司的软件漏洞，如微软的WindowsXPsp2、思科的IOS乃至苹果的MACOS均为其明显示例。此外，IP用户身份难以识别导致很难跟踪及遏止攻击者；而且，IP的高度智能的终端及其宽带化，加上其计费模式等更有利恶意用户方便与低成本地有效实施大规模攻击，包括分布式拒绝服务（DDOS）攻击在内，而且制造这类攻击的技术难度亦变得愈来愈容易，从而使得这类非法入侵及恶意攻击有增无减、肆意蔓延与防不胜防,着实令人担忧。当然，IP协议的开放透明性导致的安全性弊端,同时带来了其灵活有效的宽带多业务增值能力及容易互联互通和有效降低成本等明显的市场应用优势与吸引力。

　　现实情况亦确实如此，黑客、病毒似乎愈杀愈烈，泛滥成风，实际已成为IP网络安全运作的头等隐患。例如，2004年，新病毒增加52％，瑞星报告指出，其中下述十大病毒对用户造成的破坏最大：网络天空（占总病毒数的39.9％）、爱情后门（占21.3％）、SCO炸弹（占7.7％）、小邮差（占1.5％）、垃圾桶（占0.9％）、恶鹰（占0.8％）、求职信（占0.5％）、高波（占0.5％）、震荡波（占0.4％）及瑞波（占0.4％）。而且，黑客和病毒威胁呈下述四大发展趋势：变种病毒数量翻番剧增、防不胜防，从漏洞被发现至针对漏洞攻击病毒出现的时间间隔越来越短，国产型木马病毒及后门程序成为主流，目标直指网民真实财产，“网络钓鱼”形式的诈骗病毒活动明显增加等。十大病毒中有9种为蠕虫，从对用户的危害性而言，依然是蠕虫病毒最为严重。病毒变种之所以快速增长蔓延的一个重要原因即在于很多病毒源代码借助网络被病毒作者公开并提供下载，甚至有些代码还包括完整的说明文档及相应工具和示例，易于普及传播。毋需特别技能，仅需修改配置文件和部分源代码便可编译生成一个新的变种病毒。这是对公开性、包括源代码公开在内而产生的负面影响的一种直接讽刺，亦说明如何正确认识与控制一种事物的正反两个方面是何等重要。

　　由这些分析讨论可充分理解IP网络安全问题的本质所在，就像SARS一样，只有控制其病源，才能控制其蔓延，因此，寻找IP网络的有效安全对策，尤为紧迫重要。

　　对此，IP和Internet研究的权威机构——IETF,对现有Internet及IP协议的缺陷与不足已有足够的认识，曾在其年会提出过主题“因特网的十字路口”，列举了Internet下一步发展面临的10大技术问题：身份识别技术、保护IPR技术、保护个人隐私技术、新一代Internet通信协议IPv6技术、下一代Internet结构的网格（Grid）技术、无线Internet技术、传统电话网与Internet融合的技术、更有效地在网上传输的视频技术、防止垃圾邮件的过滤技术及网络安全技术。如果无法在网络安全、个人隐私及IPR保护方面取得突破，Internet将无法成为一种真正可信的商业工具。当然，IETF相信，在采取一系列有效措施后，如改进IP协议，改进TCP/UDP协议，缩短路由及传输时延，提高传输效率及质量，实施有效的全球大容量移动扩展、访问与漫游，提高网络安全性及改进网络管理能力等，新的IP网能担当起NGN重任。10大技术问题中即有一半以上与安全性有关，可见IP安全问题的严重性。