网络防御每日一讲（面试）

w283065

已于 2024-07-18 09:43:53 修改

阅读量234

点赞数 1

文章标签：网络面试

于 2024-07-06 09:43:26 首次发布

本文链接：https://blog.csdn.net/w283065/article/details/140224099

版权

1、简诉dhcp的工作工程。四个报文。

DHCP（动态主机配置协议）的工作工程主要包括以下四个阶段：

一、发现阶段（Discover）

当客户端首次接入网络，需要获取IP地址等网络配置信息时，它会以广播的形式发送DHCP Discover报文。

二、提供阶段（Offer）

网络中的DHCP服务器接收到Discover报文后，会从可用的IP地址池中选择一个合适的IP地址，并连同其他网络配置信息（如子网掩码，网关，DNS服务器等），以广播形式发送DHCP Offer报文给客户端

三、请求阶段（request）

如果有多台DHCP服务器向DHCP客户端回应DHCP OFFER报文，客户端只会接受第一个收到的报文，然后以广播方式发送DHCP REQUEST请求报文。

四、确认阶段（ACK）

DHCP服务器收到客户端的Request报文后，会以单播形式发送DHCP ACK报文给客户端，对客户端的请求进行确认。客户端收到ACK报文后就会使用服务器提供的网络配置信息进行网络连接和通信

2、RSTP和MSTP的P/A机制区别

Rapid Spanning Tree Protocol (RSTP) 和 Multiple Spanning Tree Protocol (MSTP) 都是用来优化生成树协议以减少网络收敛时间的技术。它们在P/A (Port Aggregation)机制上有一些区别：

一、RSTP

P/A机制在RSTP中称为"Backup Port"，当一个端口成为根端口时，它会进入Discarding状态以防止环路。如果原根端口失效，Backup Port立刻晋升为主干端口并开始转发数据，这是快速响应链路故障的方式。
P/A仅在一个实例中生效，即全局的实例0，主要用于加快单个VLAN的数据传递。

二、MSTP

MSTP引入了多个实例（Instance），每个实例都有独立的根桥和拓扑结构，称为MST Instance。
P/A在MSTP中被称为"Fast Convergence Port", 当一个端口作为某个MST Instance的根端口时，它会在其他MST Instance中启用备份角色（Designated Backup Port），这样可以保证每个实例的快速收敛，而不仅仅限于全局的实例0。
可以在同一台交换机上同时启用多个MSTP实例，并通过配置选择性地应用P/A来优化特定 VLAN 的性能

总结来说，RSTP的P/A针对的是单一的实例，而MSTP的P/A则应用于所有MST Instance，提供更精细的控制和更高的灵活性。

3、HTTP的503和206代表什么

503：服务不可用状态码，表示服务器暂时处于超负载或正在进行停机维护

206：部分内容状态码，表示服务器成功处理了部分get请求

4、数据包到防火墙的转发流程

会话前：

1)MAC 地址过滤：检查防火墙是否配置了 MAC 过滤。

2)解析帧头部：查看目的 MAC 地址。

3)判断接口类型：检查接收报文的接口是二层还是三层。如果是二层接口，基于 VLAN 及 MAC 地址表，检查流量的出接口；如果是三层接口，则跳过此步骤。

4)剥离帧头部：进行二层头部的解封装。

5)解析 IP 包头。

6)IP/MAC 绑定检查：若定义了 IP-MAC 绑定，则判断是否合规。

7)单包攻击防范：检测类似畸形报文等网络攻击。通过以上信息，防火墙可以掌握流量的接收接口、源 IP、目的 IP 等。

会话中：

防火墙根据该报文是否存在匹配的会话表项，有不同的处理方式。

有会话 - 匹配会话：
- 刷新在线用户表：基于认证策略，识别 IP 地址与用户的对应关系。
- 基于流的攻击防范：例如针对 DDoS 攻击，需要开启相应的防范功能（前提是开启了此功能）。
- 状态检测：为应用识别服务。
- 判断是否刷新会话：在某些条件下需要刷新会话，如路由发现变化、安全策略发生变化、用户上下线、认证策略发生变化等；而服务器负载均衡（SLB）在一些情况下不会刷新会话，在另一些情况下则需要刷新会话。如果需要刷新会话，可能涉及服务器负载均衡、路由表、安全策略匹配包过滤、黑名单、用户重定向等操作。
没有会话 - 创建会话：
- 状态检测：这是一个基于首包的过滤机制。默认情况下状态检测功能是开启的，但在特定场景如防火墙充当硬件 SACG 且来回路径不一致时，需关闭此功能。必须开启状态检测的场景包括启用 DDOS、单包攻击、反病毒、入侵检测等功能时；否则这些功能可能会失效。
- 黑名单检测：根据报文的源或目的 IP 地址、用户等信息对报文进行快速过滤，黑名单可基于用户、源地址、目的地址等进行分类。
- 检查 Server-map：Server-map 是一种临时通道，可绕过安全策略直接创建会话。它有静态和动态之分，例如 ASPF（特定协议如 FTP 等多通道协议、STUN 类型）、NAT（包括 NO-PAT、服务器映射、负载均衡等）、NAT64 生成的 Server-map 等。产生 Server-map 的类型包括多通道协议（如 FTP 等）产生的、STUN 类型（如 QQ、MSN）产生的等。
- 服务器映射：真正把目的地址做转换，查看数据包有无对应的服务器映射，需先将访问的目的地址转换后才能进一步查路由表，安全策略匹配的是转换后的地址。
- 查询在线用户表：防火墙基于认证策略，可以识别 IP 地址与用户的对应关系。首先，用户需要经过防火墙的认证，目的是识别该用户当前使用的 IP 地址；同时，防火墙还会检查用户的属性，如用户状态、帐号过期时间、IP/MAC 地址绑定、是否允许多人同时使用该帐号登录等，只有认证和用户属性检查都通过的用户才能上线。
- 查询路由表：根据报文的目的地址查询路由表，获取出接口信息。
- 匹配认证策略：获取到流量的源、目的以及安全区域等信息后，决定是否要求对该条流量进行认证以获取用户信息。此步骤仅在配置了认证策略的情况下进行匹配，实际的认证操作在下一阶段“用户首包处理”进行。
- 用户首包处理（重定向）：对于需要认证的用户，设备会重定向该用户的 HTTP 请求，向其推送网页形式的认证页面，请求用户输入用户名和密码进行认证。
- 安全策略匹配：用户认证通过后，防火墙根据之前提取的流量源和目的等信息，加上通过认证获取到的用户信息，对流量进行安全策略匹配。如果匹配成功，首先会根据策略动作（允许或禁止）决定是放行首包建立会话，还是丢弃首包禁止流量。

会话后：

带宽策略：根据带宽策略，判断当前流量的带宽占用情况，以确定是否需要丢弃该报文来降低流量速率。
安全策略里的内容安全（UTM）：如反病毒、IPS、URL 过滤、文件过滤、内容过滤、应用过滤、邮件过滤等。
源 NAT：根据会话表中的地址转换信息修改报文中的源地址或目的地址。
VPN：根据 VPN 配置，判断该报文是否需要进入 VPN 隧道，进入哪条隧道，并对需要通过 VPN 传输的报文进行必要的加密、封装等操作。
出接口的阈值：根据出接口配置的带宽阈值限制，再次控制流量的速率。

5、ftp和Http的区别

连接方式：

FTP 使用两个并行的 TCP 连接，一个是控制连接（用于发送命令和接收响应），另一个是数据连接（用于实际的数据传输）。
HTTP 通常在建立一个 TCP 连接后，通过这个连接进行请求和响应的数据传输。

传输模式：

FTP 支持两种传输模式：主动模式和被动模式。在主动模式下，服务器主动连接客户端进行数据传输；在被动模式下，客户端连接服务器指定的端口进行数据传输。
HTTP 通常是客户端发起请求，服务器响应，数据流向较为单一。

用途：

FTP 主要用于在客户端和服务器之间进行文件的上传、下载和管理。
HTTP 主要用于在 Web 浏览器和 Web 服务器之间传输超文本，如网页、图片、脚本等。

权限管理：

FTP 可以对用户进行更精细的权限设置，例如只读、读写、删除等。
HTTP 一般不对单个用户进行详细的权限管理，更多是基于服务器的配置来控制对资源的访问。

效率：

对于大文件的传输，FTP 可能效率更高，因为它可以在数据连接上进行连续的数据传输。
HTTP 在传输大文件时可能需要更多的开销。

例如，如果您需要定期从服务器上批量下载大量的文件并进行管理，FTP 可能是更合适的选择；而如果您只是浏览网页、获取网页中的各种资源，HTTP 则能很好地满足需求。

总的来说，FTP 侧重于文件的管理和传输，而 HTTP 侧重于 Web 内容的获取和交互。

6、链路状态协议和矢量型协议的主要区别

**更新方式**：距离矢量协议采用定期更新，不管网络拓扑是否有变化，都会周期性地广播路由表信息。而链路状态协议在网络拓扑发生变化时才触发更新，发送链路状态信息。
- **收敛速度**：链路状态协议通常具有更快的收敛速度。因为它在拓扑改变时才更新，避免了无谓的周期性更新，路由器可立即根据新的拓扑信息计算最短路径。相比之下，距离矢量协议的收敛速度相对较慢，尤其在网络拓扑变化时，可能需要较长时间来更新所有路由器的路由表，并且可能出现“计数到无穷”的问题。
- **带宽使用**：距离矢量协议每次更新时需要发送整个路由表，可能会浪费带宽。链路状态协议只在拓扑变化时发送链路状态信息，相对更高效地利用了带宽。
- **处理路由环路方式**：在距离矢量协议中，存在“计数到无穷”的问题，可能导致路由环路。而链路状态协议通过使用“hello”消息和死亡通告等机制，能更及时地发现邻居路由器的失效，从而更好地避免路由环路。
- **路由器资源消耗**：距离矢量协议的路由器需要维护整个网络的距离向量表，而链路状态协议需要维护链路状态数据库和拓扑图，因此链路状态协议在路由器资源（如内存、CPU 等）消耗方面可能更大。一般来说，在小型网络中，距离矢量协议可能更为适用；而在大型网络中，链路状态协议则更具优势。
- **安全性**：链路状态协议通常在安全性方面表现更好。由于它基于链路状态信息的交换，路由器可以更容易地验证收到信息的真实性。相比之下，距离矢量协议在信息传递时可能受到伪造的影响。
- **路由计算依据**：距离矢量协议中，每个路由器仅知道到达目标节点的距离（通常是跳数）和下一跳路由器，依据邻居传来的信息进行路由计算。而链路状态协议中，每个路由器都了解整个网络的拓扑结构和每个节点的状态情况，根据这些信息计算最短路径。

7、OSI七层模型

**1. 物理层（Physical Layer）**
物理层负责在物理介质上传输原始的比特流，定义了电气特性、机械特性、功能特性和过程特性等。例如，规定了网络电缆的类型、连接器的类型、信号的传输速率和编码方式等。

**2. 数据链路层（Data Link Layer）**
这一层将物理层传输的比特流组织成帧，并进行错误检测和纠正。它还负责控制对物理介质的访问，常见的协议有以太网、PPP 等。

**3. 网络层（Network Layer）**
网络层负责数据包的路由选择和转发，确保数据能够从源节点传输到目标节点。IP 协议就工作在这一层。

**4. 传输层（Transport Layer）**
传输层提供端到端的可靠或不可靠的数据传输服务，负责数据的分段、重组、流量控制和错误恢复。常见的协议有 TCP（可靠传输）和 UDP（不可靠传输）。

**5. 会话层（Session Layer）**
会话层负责建立、管理和终止表示层实体之间的通信会话。它处理会话的同步和恢复等问题。

**6. 表示层（Presentation Layer）**
表示层负责数据的格式转换、加密解密、压缩和解压缩等，以使不同系统之间能够正确地理解和处理数据。

**7. 应用层（Application Layer）**
应用层为用户提供各种网络服务，如 HTTP、FTP、SMTP 等。

OSI 七层模型的优点在于其清晰的层次划分，使得网络通信的各个方面都有明确的定义和职责。但在实际应用中，TCP/IP 模型更为广泛使用，它将 OSI 模型的一些层进行了合并和简化。