目的网络、子网掩码、下一跳例子

最新推荐文章于 2024-05-02 19:36:11 发布
最新推荐文章于 2024-05-02 19:36:11 发布
阅读量611 收藏
点赞数
文章标签： tcp/ip 网络
原文链接：https://blog.csdn.net/weixin_44769957/article/details/109552830
版权
菜鸟..
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
TCP-IP详解卷一：协议
12-08
目录 译者序 前言 第1章　 概述 1.1　 引言 1.2　 分层 1.3　 TCP/IP的分层 1.4　 互联网的地址 1.5　 域名系统 1.6　 封装 1.7　 分用 1.8　 客户-服务器模型 1.9　 端口号 1.10　 标准化过程 1.11　 RFC 1.12　 标准的简单服务 1.13　 互联网 1.14　 实现 1.15　 应用编程接口 1.16　 测试网络 1.17　 小结 第2章　 链路层 2.1　 引言 2.2　 以太网和IEEE 802封装 2.3　 尾部封装 2.4　 SLIP：串行线路IP 2.5　 压缩的SLIP 2.6　 PPP：点对点协议 2.7　 环回接口 2.8　 最大传输单元MTU 2.9　 路径MTU 2.10　 串行线路吞吐量计算 2.11　 小结 第3章　 IP：网际协议 3.1　 引言 3.2　 IP首部 3.3　 IP路由选择 3.4　 子网寻址 3.5　 子网掩码 3.6　 特殊情况的IP地址 3.7　 一个子网的例子 3.8　 ifconfig命令 3.9　 netstat命令 3.10　 IP的未来 3.11　 小结 第4章　 ARP：地址解析协议 4.1　 引言 4.2　 一个例子 4.3　 ARP高速缓存 4.4　 ARP的分组格式 4.5　 ARP举例 4.5.1　 一般的例子 4.5.2　 对不存在主机的ARP请求 4.5.3　 ARP高速缓存超时设置 4.6　 ARP代理 4.7　 免费ARP 4.8　 arp命令 4.9　 小结 第5章　 RARP：逆地址解析协议 5.1　 引言 5.2　 RARP的分组格式 5.3　 RARP举例 5.4　 RARP服务器的设计 5.4.1　 作为用户进程的RARP服务器 5.4.2　 每个网络有多个RARP服务器 5.5　 小结 第6章　 ICMP：Internet控制报文协议 6.1　 引言 6.2　 ICMP报文的类型 6.3　 ICMP地址掩码请求与应答 6.4　 ICMP时间戳请求与应答 6.4.1　 举例 6.4.2　 另一种方法 6.5　 ICMP端口不可达差错 6.6　 ICMP报文的4.4BSD处理 6.7　 小结 第7章　 Ping程序 7.1　 引言 7.2　 Ping程序 7.2.1　 LAN输出 7.2.2　 WAN输出 7.2.3　 线路SLIP链接 7.2.4　 拨号SLIP链路 7.3　 IP记录路由选项 7.3.1　 通常的例子 7.3.2　 异常的输出 7.4　 IP时间戳选项 7.5　 小结 第8章　 Traceroute程序 8.1　 引言 8.2　 Traceroute 程序的操作 8.3　 局域网输出 8.4　 广域网输出 8.5　 IP源站选路选项 8.5.1　 宽松的源站选路的traceroute 程序示例 8.5.2　 严格的源站选路的traceroute 程序示例 8.5.3　 宽松的源站选路traceroute程序 的往返路由 8.6　 小结 第9章　 IP选路 9.1　 引言 9.2　 选路的原理 9.2.1　 简单路由表 9.2.2　 初始化路由表 9.2.3　 较复杂的路由表 9.2.4　 没有到达目的地的路由 9.3　 ICMP主机与网络不可达差错 9.4　 转发或不转发 9.5　 ICMP重定向差错 9.5.1　 一个例子 9.5.2　 更多的细节 9.6　 ICMP路由器发现报文 9.6.1　 路由器操作 9.6.2　 主机操作 9.6.3　 实现 9.7　 小结 第10章　 动态选路协议 10.1　 引言 10.2　 动态选路 10.3　 Unix选路守护程序 10.4　 RIP：选路信息协议 10.4.1　 报文格式 10.4.2　 正常运行 10.4.3　 度量 10.4.4　 问题 10.4.5　 举例 10.4.6　 另一个例子 10.5　 RIP版本2 10.6　 OSPF：开放最短路径优先 10.7　 BGP：边界网关协议 10.8　 CIDR：无类型域间选路 10.9　 小结 第11章　 UDP：用户数据报协议 11.1　 引言 11.2　 UDP首部 11.3　 UDP检验和 11.3.1　 tcpdump输出 11.3.2　 一些统计结果 11.4　 一个简单的例子 11.5　 IP分片 11.6　 ICMP不可达差错（需要分片） 11.7　 用Traceroute确定路径MTU 11.8　 采用UDP的路径MTU发现 11.9　 UDP和ARP之间的交互作用 11.10　 最大UDP数据报长度 11.11　 ICMP源站抑制差错 11.12　 UDP服务器的设计 11.12.1　 客户IP地址及端口号 11.12.2　 目标IP地址 11.12.3　 UDP输入队列 11.12.4　 限制本地IP地址 11.12.5　 限制远端IP地址 11.12.6　 每个端口有多个接收者 11.13　 小结 第12章　 广播和多播 12.1　 引言 12.2　 广播 12.2.1　 受限的广播 12.2.2　 指向网络的广播 12.2.3　 指向子网的广播 12.2.4　 指向所有子网的广播 12.3　 广播的例子 12.4　 多播 12.4.1　 多播组地址 12.4.2　 多播组地址到以太网地址的转换 12.4.3　 FDDI和令牌环网络中的多播 12.5　 小结 第13章　 IGMP：Internet组管理协议 13.1　 引言 13.2　 IGMP报文 13.3　 IGMP协议 13.3.1　 加入一个多播组 13.3.2　 IGMP报告和查询 13.3.3　 实现细节 13.3.4　 生存时间字段 13.3.5　 所有主机组 13.4　 一个例子 13.5　 小结 第14章　 DNS：域名系统 14.1　 引言 14.2　 DNS基础 14.3　 DNS的报文格式 14.3.1　 DNS查询报文中的问题部分 14.3.2　 DNS响应报文中的资源记录部分 14.4　 一个简单的例子 14.5　 指针查询 14.5.1　 举例 14.5.2　 主机名检查 14.6　 资源记录 14.7　 高速缓存 14.8　 用UDP还是用TCP 14.9　 另一个例子 14.10　 小结 第15章　 TFTP：简单文件传送协议 15.1　 引言 15.2　 协议 15.3　 一个例子 15.4　 安全性 15.5　 小结 第16章　 BOOTP： 引导程序协议 16.1　 引言 16.2　 BOOTP的分组格式 16.3　 一个例子 16.4　 BOOTP服务器的设计 16.5　 BOOTP穿越路由器 16.6　 特定厂商信息 16.7　 小结 第17章　 TCP：传输控制协议 17.1　 引言 17.2　 TCP的服务 17.3　 TCP的首部 17.4　 小结 第18章　 TCP连接的建立与终止 18.1　 引言 18.2　 连接的建立与终止 18.2.1　 tcpdump的输出 18.2.2　 时间系列 18.2.3　 建立连接协议 18.2.4　 连接终止协议 18.2.5　 正常的tcpdump输出 18.3　 连接建立的超时 18.3.1　 第一次超时时间 18.3.2　 服务类型字段 18.4　 最大报文段长度 18.5　 TCP的半关闭 18.6　 TCP的状态变迁图 18.6.1　 2MSL等待状态 18.6.2　 平静时间的概念 18.6.3　 FIN_WAIT_2状态 18.7　 复位报文段 18.7.1　 到不存在的端口的连接请求 18.7.2　 异常终止一个连接 18.7.3　 检测半打开连接 18.8　 同时打开 18.9　 同时关闭 18.10　 TCP选项 18.11　 TCP服务器的设计 18.11.1　 TCP服务器端口号 18.11.2　 限定的本地IP地址 18.11.3　 限定的远端IP地址 18.11.4　 呼入连接请求队列 18.12　 小结 第19章　 TCP的交互数据流 19.1　 引言 19.2　 交互式输入 19.3　 经受时延的确认 19.4　 Nagle算法 19.4.1　 关闭Nagle算法 19.4.2　 一个例子 19.5　 窗口大小通告 19.6　 小结 第20章　 TCP的成块数据流 20.1　 引言 20.2　 正常数据流 20.3　 滑动窗口 20.4　 窗口大小 20.5　 PUSH标志 20.6　 慢启动 20.7　 成块数据的吞吐量 20.7.1　 带宽时延乘积 20.7.2　 拥塞 20.8　 紧急方式 20.9　 小结 第21章　 TCP的超时与重传 21.1　 引言 21.2　 超时与重传的简单例子 21.3　 往返时间测量 21.4　 往返时间RTT的例子 21.4.1　 往返时间RTT的测量 21.4.2　 RTT估计器的计算 21.4.3　 慢启动 21.5　 拥塞举例 21.6　 拥塞避免算法 21.7　 快速重传与快速恢复算法 21.8　 拥塞举例（续） 21.9　 按每条路由进行度量 21.10　 ICMP的差错 21.11　 重新分组 21.12　 小结 第22章　 TCP的坚持定时器 22.1　 引言 22.2　 一个例子 22.3　 糊涂窗口综合症 22.4　 小结 第23章　 TCP的保活定时器 23.1　 引言 23.2　 描述 23.3　 保活举例 23.3.1　 另一端崩溃 23.3.2　 另一端崩溃并重新启动 23.3.3　 另一端不可达 23.4　 小结 第24章　 TCP的未来和性能 24.1　 引言 24.2　 路径MTU发现 24.2.1　 一个例子 24.2.2　 大分组还是小分组 24.3　 长肥管道 24.4　 窗口扩大选项 24.5　 时间戳选项 24.6　 PAWS：防止回绕的序号 24.7　 T/TCP：为事务用的TCP扩展 24.8　 TCP的性能 24.9　 小结 第25章　 SNMP：简单网络管理协议 25.1　 引言 25.2　 协议 25.3　 管理信息结构 25.4　 对象标识符 25.5　 管理信息库介绍 25.6　 实例标识 25.6.1　 简单变量 25.6.2　 表格 25.6.3　 字典式排序 25.7　 一些简单的例子 25.7.1　 简单变量 25.7.2　 get-next操作 25.7.3　 表格的访问 25.8　 管理信息库（续） 25.8.1　 system组 25.8.2　 interface组 25.8.3　 at组 25.8.4　 ip组 25.8.5　 icmp组 25.8.6　 tcp组 25.9　 其他一些例子 25.9.1　 接口MTU 25.9.2　 路由表 25.10　 trap 25.11　 ASN.1和BER 25.12　 SNMPv2 25.13　 小结 第26章　 Telnet和Rlogin：远程登录 26.1　 引言 26.2　 Rlogin协议 26.2.1　 应用进程的启动 26.2.2　 流量控制 26.2.3　 客户的中断键 26.2.4　 窗口大小的改变 26.2.5　 服务器到客户的命令 26.2.6　 客户到服务器的命令 26.2.7　 客户的转义符 26.3　 Rlogin的例子 26.3.1　 初始的客户-服务器协议 26.3.2　 客户中断键 26.4　 Telnet协议 26.4.1　 NVT ASCII 26.4.2　 Telnet命令 26.4.3　 选项协商 26.4.4　 子选项协商 26.4.5　 半双工、一次一字符、一次 一行或行方式 26.4.6　 同步信号 26.4.7　 客户的转义符 26.5　 Telnet举例 26.5.1　 单字符方式 26.5.2　 行方式 26.5.3　 一次一行方式（准行方式） 26.5.4　 行方式：客户中断键 26.6　 小结 第27章　 FTP：文件传送协议 27.1　 引言 27.2　 FTP协议 27.2.1　 数据表示 27.2.2　 FTP命令 27.2.3　 FTP应答 27.2.4　 连接管理 27.3　 FTP的例子 27.3.1　 连接管理：临时数据端口 27.3.2　 连接管理：默认数据端口 27.3.3　 文本文件传输：NVT ASCII 表示还是图像表示 27.3.4　 异常中止一个文件的传输： Telnet同步信号 27.3.5　 匿名FTP 27.3.6　 来自一个未知IP地址的匿名FTP 27.4　 小结 第28章　 SMTP：简单邮件传送协议 28.1　 引言 28.2　 SMTP协议 28.2.1　 简单例子 28.2.2　 SMTP命令 28.2.3　 信封、首部和正文 28.2.4　 中继代理 28.2.5　 NVT ASCII 28.2.6　 重试间隔 28.3　 SMTP的例子 28.3.1　 MX记录：主机非直接连到 Internet 28.3.2　 MX记录：主机出故障 28.3.3　 VRFY和EXPN命令 28.4　 SMTP的未来 28.4.1　 信封的变化：扩充的SMTP 28.4.2　 首部变化：非ASCII字符 28.4.3　 正文变化：通用Internet邮件 扩充 28.5　 小结 第29章　 网络文件系统 29.1　 引言 29.2　 Sun远程过程调用 29.3　 XDR：外部数据表示 29.4　 端口映射器 29.5　 NFS协议 29.5.1　 文件句柄 29.5.2　 安装协议 29.5.3　 NFS过程 29.5.4　 UDP还是TCP 29.5.5　 TCP上的NFS 29.6　 NFS实例 29.6.1　 简单的例子：读一个文件 29.6.2　 简单的例子：创建一个目录 29.6.3　 无状态 29.6.4　 例子：服务器崩溃 29.6.5　 等幂过程 29.7　 第3版的NFS 29.8　 小结 第30章　 其他的TCP/IP应用程序 30.1　 引言 30.2　 Finger协议 30.3　 Whois协议 30.4　 Archie、WAIS、Gopher、Veronica 和WWW 30.4.1　 Archie 30.4.2　 WAIS 30.4.3　 Gopher 30.4.4　 Veronica 30.4.5　 万维网WWW 30.5　 X窗口系统 30.5.1　 Xscope程序 30.5.2　 LBX： 低带宽X 30.6　 小结 附录A　 tcpdump程序 附录B　 计算机时钟 附录C　 sock程序 附录D　 部分习题的解答 附录E　 配置选项 附录F　 可以免费获得的源代码 参考文献 缩略语
【网络知识】2. 路由、网关(下一跳)、子网掩码之间的关系
u011754972的博客
06-08 4713
路由、网关(下一跳)、子网掩码之间的关系 netstat -natp 即netstatus 显示a(all)所有的tcp服务 ip地址是网络层，mac地址是链路层。通信时发送的数据有“本机ip+目的ip+下一跳路由器mac地址”。 下一跳路由器收到后确认mac地址是不是给我的，是给我的就继续解析目的ip，如果目的ip是我们局域网内，就发送给目的主机。 如果目的ip不是我们局域网内主机，就继续转发给下一跳路由，最终以这种方式转发到目的ip的主机. 192.168.1.22可以ping通192.168.1.2
手把手教你做计算机网络基础大题—路由表
bhy是憋屈y
02-27 936
计算机网络之路由表
TCP-IP详解卷1
09-23
目 录 译者序 前言 第1章 概述 1 1.1 引言 1 1.2 分层 1 1.3 TCP/IP的分层 4 1.4 互联网的地址 5 1.5 域名系统 6 1.6 封装 6 1.7 分用 8 1.8 客户-服务器模型 8 1.9 端口号 9 1.10 标准化过程 10 1.11 RFC 10 1.12 标准的简单服务 11 1.13 互联网 12 1.14 实现 12 1.15 应用编程接口 12 1.16 测试网络 13 1.17 小结 13 第2章 链路层 15 2.1 引言 15 2.2 以太网和IEEE 802封装 15 2.3 尾部封装 17 2.4 SLIP：串行线路IP 17 2.5 压缩的SLIP 18 2.6 PPP：点对点协议 18 2.7 环回接口 20 2.8 最大传输单元MTU 21 2.9 路径MTU 21 2.10 串行线路吞吐量计算 21 2.11 小结 22 第3章 IP：网际协议 24 3.1 引言 24 3.2 IP首部 24 3.3 IP路由选择 27 3.4 子网寻址 30 3.5 子网掩码 32 3.6 特殊情况的IP地址 33 3.7 一个子网的例子 33 3.8 ifconfig命令 35 3.9 netstat命令 36 3.10 IP的未来 36 3.11 小结 37 第4章 ARP：地址解析协议 38 4.1 引言 38 4.2 一个例子 38 4.3 ARP高速缓存 40 4.4 ARP的分组格式 40 4.5 ARP举例 41 4.5.1 一般的例子 41 4.5.2 对不存在主机的ARP请求 42 4.5.3 ARP高速缓存超时设置 43 4.6 ARP代理 43 4.7 免费ARP 45 4.8 arp命令 45 4.9 小结 46 第5章 RARP：逆地址解析协议 47 5.1 引言 47 5.2 RARP的分组格式 47 5.3 RARP举例 47 5.4 RARP服务器的设计 48 5.4.1 作为用户进程的RARP服务器 49 5.4.2 每个网络有多个RARP服务器 49 5.5 小结 49 第6章 ICMP：Internet控制报文协议 50 6.1 引言 50 6.2 ICMP报文的类型 50 6.3 ICMP地址掩码请求与应答 52 6.4 ICMP时间戳请求与应答 53 6.4.1 举例 54 6.4.2 另一种方法 55 6.5 ICMP端口不可达差错 56 6.6 ICMP报文的4.4BSD处理 59 6.7 小结 60 第7章 Ping程序 61 7.1 引言 61 7.2 Ping程序 61 7.2.1 LAN输出 62 7.2.2 WAN输出 63 7.2.3 线路SLIP链接 64 7.2.4 拨号SLIP链路 65 7.3 IP记录路由选项 65 7.3.1 通常的例子 66 7.3.2 异常的输出 68 7.4 IP时间戳选项 69 7.5 小结 70 第8章 Traceroute程序 71 8.1 引言 71 8.2 Traceroute 程序的操作 71 8.3 局域网输出 72 8.4 广域网输出 75 8.5 IP源站选路选项 76 8.5.1 宽松的源站选路的traceroute 程序示例 78 8.5.2 严格的源站选路的traceroute 程序示例 79 8.5.3 宽松的源站选路traceroute程序 的往返路由 80 8.6 小结 81 第9章 IP选路 83 9.1 引言 83 9.2 选路的原理 84 9.2.1 简单路由表 84 9.2.2 初始化路由表 86 9.2.3 较复杂的路由表 87 9.2.4 没有到达目的地的路由 87 9.3 ICMP主机与网络不可达差错 88 9.4 转发或不转发 89 9.5 ICMP重定向差错 89 9.5.1 一个例子 90 9.5.2 更多的细节 91 9.6 ICMP路由器发现报文 92 9.6.1 路由器操作 93 9.6.2 主机操作 93 9.6.3 实现 93 9.7 小结 94 第10章 动态选路协议 95 10.1 引言 95 10.2 动态选路 95 10.3 Unix选路守护程序 96 10.4 RIP：选路信息协议 96 10.4.1 报文格式 96 10.4.2 正常运行 97 10.4.3 度量 98 10.4.4 问题 98 10.4.5 举例 98 10.4.6 另一个例子 100 10.5 RIP版本2 102 10.6 OSPF：开放最短路径优先 102 10.7 BGP：边界网关协议 103 10.8 CIDR：无类型域间选路 104 10.9 小结 105 第11章 UDP：用户数据报协议 107 11.1 引言 107 11.2 UDP首部 107 11.3 UDP检验和 108 11.3.1 tcpdump输出 109 11.3.2 一些统计结果 109 11.4 一个简单的例子 110 11.5 IP分片 111 11.6 ICMP不可达差错（需要分片） 113 11.7 用Traceroute确定路径MTU 114 11.8 采用UDP的路径MTU发现 116 11.9 UDP和ARP之间的交互作用 118 11.10 最大UDP数据报长度 119 11.11 ICMP源站抑制差错 120 11.12 UDP服务器的设计 122 11.12.1 客户IP地址及端口号 122 11.12.2 目标IP地址 122 11.12.3 UDP输入队列 122 11.12.4 限制本地IP地址 124 11.12.5 限制远端IP地址 125 11.12.6 每个端口有多个接收者 125 11.13 小结 126 第12章 广播和多播 128 12.1 引言 128 12.2 广播 129 12.2.1 受限的广播 129 12.2.2 指向网络的广播 129 12.2.3 指向子网的广播 129 12.2.4 指向所有子网的广播 130 12.3 广播的例子 130 12.4 多播 132 12.4.1 多播组地址 133 12.4.2 多播组地址到以太网地址的转换 133 12.4.3 FDDI和令牌环网络中的多播 134 12.5 小结 134 第13章 IGMP：Internet组管理协议 136 13.1 引言 136 13.2 IGMP报文 136 13.3 IGMP协议 136 13.3.1 加入一个多播组 136 13.3.2 IGMP报告和查询 137 13.3.3 实现细节 137 13.3.4 生存时间字段 138 13.3.5 所有主机组 138 13.4 一个例子 138 13.5 小结 141 第14章 DNS：域名系统 142 14.1 引言 142 14.2 DNS基础 142 14.3 DNS的报文格式 144 14.3.1 DNS查询报文中的问题部分 146 14.3.2 DNS响应报文中的资源记录部分 147 14.4 一个简单的例子 147 14.5 指针查询 150 14.5.1 举例 151 14.5.2 主机名检查 151 14.6 资源记录 152 14.7 高速缓存 153 14.8 用UDP还是用TCP 156 14.9 另一个例子 156 14.10 小结 157 第15章 TFTP：简单文件传送协议 159 15.1 引言 159 15.2 协议 159 15.3 一个例子 160 15.4 安全性 161 15.5 小结 162 第16章 BOOTP: 引导程序协议 163 16.1 引言 163 16.2 BOOTP的分组格式 163 16.3 一个例子 164 16.4 BOOTP服务器的设计 165 16.5 BOOTP穿越路由器 167 16.6 特定厂商信息 167 16.7 小结 168 第17章 TCP：传输控制协议 170 17.1 引言 170 17.2 TCP的服务 170 17.3 TCP的首部 171 17.4 小结 173 第18章 TCP连接的建立与终止 174 18.1 引言 174 18.2 连接的建立与终止 174 18.2.1 tcpdump的输出 174 18.2.2 时间系列 175 18.2.3 建立连接协议 175 18.2.4 连接终止协议 177 18.2.5 正常的tcpdump输出 177 18.3 连接建立的超时 178 18.3.1 第一次超时时间 178 18.3.2 服务类型字段 179 18.4 最大报文段长度 179 18.5 TCP的半关闭 180 18.6 TCP的状态变迁图 182 18.6.1 2MSL等待状态 183 18.6.2 平静时间的概念 186 18.6.3 FIN_WAIT_2状态 186 18.7 复位报文段 186 18.7.1 到不存在的端口的连接请求 187 18.7.2 异常终止一个连接 187 18.7.3 检测半打开连接 188 18.8 同时打开 189 18.9 同时关闭 191 18.10 TCP选项 191 18.11 TCP服务器的设计 192 18.11.1 TCP服务器端口号 193 18.11.2 限定的本地IP地址 194 18.11.3 限定的远端IP地址 195 18.11.4 呼入连接请求队列 195 18.12 小结 197 第19章 TCP的交互数据流 200 19.1 引言 200 19.2 交互式输入 200 19.3 经受时延的确认 201 19.4 Nagle算法 203 19.4.1 关闭Nagle算法 204 19.4.2 一个例子 205 19.5 窗口大小通告 207 19.6 小结 208 第20章 TCP的成块数据流 209 20.1 引言 209 20.2 正常数据流 209 20.3 滑动窗口 212 20.4 窗口大小 214 20.5 PUSH标志 215 20.6 慢启动 216 20.7 成块数据的吞吐量 218 20.7.1 带宽时延乘积 220 20.7.2 拥塞 220 20.8 紧急方式 221 20.9 小结 224 第21章 TCP的超时与重传 226 21.1 引言 226 21.2 超时与重传的简单例子 226 21.3 往返时间测量 227 21.4 往返时间RTT的例子 229 21.4.1 往返时间RTT的测量 229 21.4.2 RTT估计器的计算 231 21.4.3 慢启动 233 21.5 拥塞举例 233 21.6 拥塞避免算法 235 21.7 快速重传与快速恢复算法 236 21.8 拥塞举例（续） 237 21.9 按每条路由进行度量 240 21.10 ICMP的差错 240 21.11 重新分组 243 21.12 小结 243 第22章 TCP的坚持定时器 245 22.1 引言 245 22.2 一个例子 245 22.3 糊涂窗口综合症 246 22.4 小结 250 第23章 TCP的保活定时器 251 23.1 引言 251 23.2 描述 252 23.3 保活举例 253 23.3.1 另一端崩溃 253 23.3.2 另一端崩溃并重新启动 254 23.3.3 另一端不可达 254 23.4 小结 255 第24章 TCP的未来和性能 256 24.1 引言 256 24.2 路径MTU发现 256 24.2.1 一个例子 257 24.2.2 大分组还是小分组 258 24.3 长肥管道 259 24.4 窗口扩大选项 262 24.5 时间戳选项 263 24.6 PAWS：防止回绕的序号 265 24.7 T/TCP：为事务用的TCP扩展 265 24.8 TCP的性能 267 24.9 小结 268 第25章 SNMP：简单网络管理协议 270 25.1 引言 270 25.2 协议 270 25.3 管理信息结构 272 25.4 对象标识符 274 25.5 管理信息库介绍 274 25.6 实例标识 276 25.6.1 简单变量 276 25.6.2 表格 276 25.6.3 字典式排序 277 25.7 一些简单的例子 277 25.7.1 简单变量 278 25.7.2 get-next操作 278 25.7.3 表格的访问 279 25.8 管理信息库(续) 279 25.8.1 system组 279 25.8.2 interface组 280 25.8.3 at组 281 25.8.4 ip组 282 25.8.5 icmp组 285 25.8.6 tcp组 285 25.9 其他一些例子 288 25.9.1 接口MTU 288 25.9.2 路由表 288 25.10 trap 290 25.11 ASN.1和BER 291 25.12 SNMPv2 292 25.13 小结 292 第26章 Telnet和Rlogin：远程登录 293 26.1 引言 293 26.2 Rlogin协议 294 26.2.1 应用进程的启动 295 26.2.2 流量控制 295 26.2.3 客户的中断键 296 26.2.4 窗口大小的改变 296 26.2.5 服务器到客户的命令 296 26.2.6 客户到服务器的命令 297 26.2.7 客户的转义符 298 26.3 Rlogin的例子 298 26.3.1 初始的客户-服务器协议 298 26.3.2 客户中断键 299 26.4 Telnet协议 302 26.4.1 NVT ASCII 302 26.4.2 Telnet命令 302 26.4.3 选项协商 303 26.4.4 子选项协商 304 26.4.5 半双工、一次一字符、一次 一行或行方式 304 26.4.6 同步信号 306 26.4.7 客户的转义符 306 26.5 Telnet举例 306 26.5.1 单字符方式 306 26.5.2 行方式 310 26.5.3 一次一行方式(准行方式) 312 26.5.4 行方式：客户中断键 313 26.6 小结 314 第27章 FTP：文件传送协议 316 27.1 引言 316 27.2 FTP协议 316 27.2.1 数据表示 316 27.2.2 FTP命令 318 27.2.3 FTP应答 319 27.2.4 连接管理 320 27.3 FTP的例子 321 27.3.1 连接管理：临时数据端口 321 27.3.2 连接管理：默认数据端口 323 27.3.3 文本文件传输：NVT ASCII 表示还是图像表示 325 27.3.4 异常中止一个文件的传输： Telnet同步信号 326 27.3.5 匿名FTP 329 27.3.6 来自一个未知IP地址的匿名FTP 330 27.4 小结 331 第28章 SMTP：简单邮件传送协议 332 28.1 引言 332 28.2 SMTP协议 332 28.2.1 简单例子 332 28.2.2 SMTP命令 334 28.2.3 信封、首部和正文 335 28.2.4 中继代理 335 28.2.5 NVT ASCII 337 28.2.6 重试间隔 337 28.3 SMTP的例子 337 28.3.1 MX记录：主机非直接连到 Internet 337 28.3.2 MX记录：主机出故障 339 28.3.3 VRFY和EXPN命令 340 28.4 SMTP的未来 340 28.4.1 信封的变化：扩充的SMTP 341 28.4.2 首部变化：非ASCII字符 342 28.4.3 正文变化：通用Internet邮件 扩充 343 28.5 小结 346 第29章 网络文件系统 347 29.1 引言 347 29.2 Sun远程过程调用 347 29.3 XDR：外部数据表示 349 29.4 端口映射器 349 29.5 NFS协议 351 29.5.1 文件句柄 353 29.5.2 安装协议 353 29.5.3 NFS过程 354 29.5.4 UDP还是TCP 355 29.5.5 TCP上的NFS 355 29.6 NFS实例 356 29.6.1 简单的例子：读一个文件 356 29.6.2 简单的例子：创建一个目录 357 29.6.3 无状态 358 29.6.4 例子：服务器崩溃 358 29.6.5 等幂过程 360 29.7 第3版的NFS 360 29.8 小结 361 第30章 其他的TCP/IP应用程序 363 30.1 引言 363 30.2 Finger协议 363 30.3 Whois协议 364 30.4 Archie、WAIS、Gopher、Veronica 和WWW 366 30.4.1 Archie 366 30.4.2 WAIS 366 30.4.3 Gopher 366 30.4.4 Veronica 366 30.4.5 万维网WWW 367 30.5 X窗口系统 367 30.5.1 Xscope程序 368 30.5.2 LBX: 低带宽X 370 30.6 小结 370 附录A tcpdump程序 371 附录B 计算机时钟 376 附录C sock程序 378 附录D 部分习题的解答 381 附录E 配置选项 395 附录F 可以免费获得的源代码 406 参考文献 409 缩略语 420
TCP拦截和网络地址转换
12-21
TCP拦截和网络地址转换 本书将讨论与访问表相关的技术，而非访问表本身。这些技术提供了控制网络中数据流 量的附加功能。这些功能特性会使读者能够加强进出网络报文的附加功能。通过智能地对数 据本身进行操作，例如，可以操纵 I P报文中的源和目的地址，或者给某种通信报文分配较多 的带宽，读者就能够进一步加强进出网络的报文的安全性和控制能力。本章将讨论两种特性： T C P拦截和网络地址转换（Network Address Tr a n s l a t i o n，N AT），它们可以大大加强对网络中 数据流量的控制能力。先介绍 T C P拦截，并讨论其特性以及它是如何在网络中实现的。还将 介绍有关T C P拦截的所有配置和调试命令。在 T C P拦截这一部分，最后给出几个使用该特性的 示例。之后，介绍 N AT的整体概念，包括 N AT的引入、 N AT特性以及如何将其用于网络中。 最后将讨论有关N AT的配置和调试命令，并介绍许多详细的示例。 8.1 TCP拦截概述 T C P拦截（TCP intercept）从IOS 11 . 3开始引入，现在的所有路由器平台都有该功能。设 计该特征的目的是防止 S Y N攻击内部主机（第 7章已简要地讨论了 S Y N攻击）。S Y N泛洪攻击 是简单的。 T C P三路握手的第一个报文设置了 S Y N位。当某台设备接收到一个请求服务的初 始报文时，该设备响应这个报文，发回一个设置了 S Y N和A C K位的报文，并等待源端来的 A C K应答。如果请求的发出者不作响应，主机就会因为超时而结束连接。当主机在等待这个 事务完成时，这种 h a l f - o p e n的连接消耗了主机的资源。在等待三路握手时资源被耗尽就是攻 击的本质所在。 成千上万个设置了 S Y N位的报文被发往一台主机，以便在设备的侦听端口上建立一个 T C P连接。但是，这些报文中的源 I P地址是伪造的。这些报文中所设置的源地址都是不可达 的地址；在大多数情况下，源地址要么是来自 R F C 1 9 1 8（即，1 0 . 0 . 0 . 0 / 8，1 7 2 . 1 6 . 0 . 0 / 1 5以及 1 9 2 . 1 6 8 . 0 . 0 / 1 6）的未注册地址，要么是不存在的主机地址。从被攻击的主机到初始源 I P地址 主机的返回报文就永远不能到达一个真实的主机。这样，被攻击的主机就永远也收不到完成 三路握手的应答报文。因此，它必然因为成千上万个连接的超时而要关闭这些连接。最终， 被攻击的主机资源被耗尽，主机也就没什么用处了。如果发送有足够数量的 S Y N报文，则某 些操作系统也会崩溃，并且需要重启系统。 这就是常见的D o S攻击，这种攻击本身破坏性极强，而且它有时也作为更复杂的攻击的一 部分。例如，攻击者知道用户的某台服务器信任来自防火墙外面另一台服务器的报文，则他 会先攻击防火墙外面的那台服务器，并设置一个嗅探程序来查看用户网络报文。如果攻击者 不能攻破防火墙外面的这台服务器，他就无法打破防火墙，或者这时他就会尝试获取这两台 主机之间的信任关系。 第一步就是对防火墙外面的这台可信主机发起 S N Y泛洪，以阻止其响应任何新的网络会 话。攻击者而后使用外部服务器的源 I P地址向内部服务器发送报文。内部服务器就会响应该 可信外部服务器的I P地址，但外部服务器会由于 D o S攻击而不能响应内部服务器。攻击者的机 92 C i s c o访问表配置指南 下载 92 C i s c o访问表配置指南 下载 器可能看不到报文，但如果攻击者能够预测内部服务器所用的.. T C P顺序号，就会成功地完成.. T C P的三路握手，从而进一步地攻击到了内部服务器。根据所允许通过防火墙的服务类型，攻 击者可以将对外部可信主机的.. D o S攻击和I P欺骗结合起来，从而对内部主机实施攻击。图.. 8 - 1 说明了这种攻击。 中心问题是.. S Y N泛洪的危险性远不止只是攻破一个单一主机，它可以与其他攻击方法相 结合来攻破网络中的其他主机。 已攻陷的主机 使用源IP地址171.10.1.1 发送报文 信任主机 泛洪 路由器 内部主机 图8-1 对外部主机的DoS攻击。攻击过程分为两个阶段：(1) 用SYN泛洪“麻醉”主机使其不能响应；.. (2) 发送报文到内部主机，并欺骗源IP地址，这样内部主机就会相信来自可信主机的报文 在T C P连接请求到达目标主机之前，.. T C P拦截通过对其进行拦截和验证来阻止这种攻击。 这个特征可以在两种模式上工作：拦截和监视。在拦截模式下（.. intercept mode），路由器拦截 所有到达的.. T C P同步请求，并代表服务器建立与客户机的连接，并代表客户机建立与服务器 的连接。如果两个连接都成功地实现，路由器就会将两个连接进行透明的合并。路由器有更 为严格的超时限制，以防止其自身的资源被.. S Y N攻击耗尽。在监视模式下，路由器被动地观 察h a l f - o p e n连接（没有完成.. T C P三路握手的连接）的数目。如果超过了所配置的时间，路由 器也会关闭连接。访问表则用来定义要进行.. T C P拦截的源和目的地址。.. 8.1.1 开启TCP拦截 开启T C P拦截，有两个步骤是必需的：.. 1) 配置访问表，以开启需要保护的 I P地址。.. 2)开启.. T C P拦截 在第1步中，读者可以使用一个扩展的.. I P访问表。通常指定a n y作为源I P地址，因为我们一.. 第 8章 TCP拦截和网络地址转换 93 下载 般都希望T C P拦截检查所有到达脆弱主机的向内连接。在第 2步中，则真正地开启 T C P拦截特 性。如果第 2步中的访问表没有定义，则 T C P拦截将不会检查任何向内连接。 8.1.2 设置模式 T C P拦截可以在拦截和监视两种模式下工作，缺省为拦截模式。在这种模式下，路由器 响应到达的S Y N请求，并代替服务器发送一个响应初始源 I P地址的S Y N - A C K报文，然后等待 客户机的A C K。如果收到A C K，再将原来的 S Y N报文发往服务器，路由器代替原来的客户机 与服务器一起完成三路握手过程。这种模式增加了路由器的内存和 C P U的额外开销，并且增 加了一些初始会话的延时。 在监视模式下，路由器允许 S Y N请求直接到达服务器。如果这个会话在 3 0秒钟内（缺省 值）没有建立起来，路由器就给服务器发送一个 R S T，以清除这个连接。路由器等待的时间 是可以配置的。其模式可以使用下面的命令设置： 缺省模式是i n t e r c e p t。 8.1.3 主动门槛值 当一个路由器因为其所定义的门槛值而确认服务器正遭受攻击时，路由器就主动删除连 接，直到 h a l f - o p e n的连接值降到小于门槛值。首先关闭的是最早的连接，除非使用了“ ip tcp intercept drop-mode random”命令。当所设置的门槛值被超时时，路由器进行下面的动作： 1) 每一个新的连接导致一个最早的（或随机的）连接被删除。 2) 初始的重传超时时间被减少一半，直到 0 . 5秒。 3) 如果处于监视模式，则超时时间减半，直到 1 5秒。 有两个因素用来判断路由器是否正在遭受攻击。如果超过了两个高门槛值中的一个，则 表明路由器正遭受攻击，直到门槛值已经降至两个低门槛值以下。下面显示了有关的参数及 其缺省值，并对其加以简单描述。 1) ip tcp intercept max-incomplete high number 11 0 0 在路由器开始删除连接之前，能够存在的 h a l f - o p e n连接的最大数目。 2) ip tcp inercept max-incomplete low number 900 在路由器停止删除h a l f - o p e n连接之前，能够存在的最大 h a l f - o p e n连接数目。 3) ip tcp intercept one-minute high number 11 0 0 在路由器开始删除连接之前，每分钟内能存在的最大 h a l f - o p e n连接数目。 4) ip tcp intercept one-minute low number 900 在路由器停止删除连接之前，每分钟内能存在的最小 h a l f - o p e n连接数目。 h a l f - o p e n连接总数与每分钟 h a l f - o p e n连接的数量比率是相联系的。任何一个最大值到达， T C P拦截就被激活并且开始删除 h a l f - o p e n连接。一旦T C P拦截被激活，这两个值都必须下降到 T C P拦截的低设置值，以便停止删除连接。 8.1.4 其他命令 还有一些其他有用的命令可用于检查有关 T C P拦截的信息。下面给出了这些命令，并附 94 C i s c o访问表配置指南 下载 94 C i s c o访问表配置指南 下载 带了一个T C P拦截的简单示例： 下一节将介绍使用上述格式的.. T C P拦截的详细示例。.. 8.2 TCP拦截应用：示例1 在本例中，某公司使用一台路由器，将其一个E t h e r n e t连接到内部.. L A N，并将一个串行接 口连接到一个I S P。在E t h e r n e t上有一台.. We b服务器，其所用的.. I P地址为1 9 8 . 5 0 . 1 . 1 0 0，并且希 望使用.. T C P拦截功能来保护该服务器。该路由器是一个低端服务器，所以我们希望：在能够 监视进来的T C P连接的同时，尽可能多地保留资源（见图.. 8 - 2）。 服务器 工作站 内部网络 客户路 由器 提供者的 路由器 拥有198.50.1.100目的地址的 报文被TCP拦截所监视 图8-2 网络方案：示例1 8.2.1 解决方案 8.2.2 分析 在本方案中，先定义访问表.. 1 0 1，用以指出需要查看的报文，这些报文是到达.. 1 9 8 . 5 0 . 1 . 1 0 0的报文。而后定义.. T C P拦截命令，并将访问表.. 1 0 1用于匹配被监视的报文。还定 义了T C P拦截的操作模式是监视模式，这会比缺省的拦截模式使用更少的路由器资源。这些.. 第 8章 TCP拦截和网络地址转换 95 下载 步骤就是启用T C P拦截保护We b服务器的所有操作。 8.3 TCP拦截应用：示例2 在本例中，公司与示例 1中的公司相同，使用一台路由器，将其一个 E t h e r n e t接口连接到 内部L A N中，并将一个串行接口连接到一个 I S P。但本例中公司不是使用一个简单的 We b服务 器，而是使用一组 We b服务器，其 I P地址从1 9 8 . 5 0 . 1 . 1到1 9 8 . 5 0 . 5 0 . 1 0 0。在本网段中不再使用 其他的I P地址。我们希望使用 T C P拦截来保护所有的 We b服务器。由于使用了一台高性能路由 器，所以路由器资源并不是关键因素，我们有 1 0 0台We b服务器，并且期望有大量的 T C P请求 进来（见图8 - 3）。 目的地址198.50.1.1到198.50.1.100 的报文被TCP拦截所监测。 图8-3 网络方案：示例2 8.3.1 解决方案 8.3.2 分析 在这个方案中，定义了访问表 1 0 1，用来指定匹配目的 I P地址的范围在 1 9 8 . 5 0 . 1 . 0到 1 9 8 . 5 0 . 1 . 1 2 8之间的所有报文。注意到匹配上的地址比实际使用的地址要多，因为 We b服务器 的I P地址只用到 . 1 0 0，但这也不会产生任何问题。而后我们定义 T C P拦截命令来指定访问表 1 0 1用于匹配 T C P所监视到的报文。我们还改变了 T C P拦截的缺省阈值设置，因为我们期望在 大量的 We b服务器中应能够在任何时刻都有大量的 S Y N请求。我们保留拦截模式的缺省值， 因为有足够的资源来管理每个 T C P连接。 至此已介绍完了T C P拦截。下一节将讨论网络地址转换（ N AT）。 8.4 网络地址转换概述 网络地址转换可以动态改变通过路由器的 I P报文的内容，以便修改报文的源 I P地址和 96 C i s c o访问表配置指南 下载 96 C i s c o访问表配置指南 下载 （或）目的I P地址。离开路由器的报文的源地址或目的地址会转换成与原来不同的地址。这种 功能使得管理员可以隐藏内部网络的 I P地址，并要求路由器可以执行 N AT。这项对于那些使 用来自 R F C 1 8 1 9的未注册地址空间的公司是必需的，或者对于那些为其他公司进行 I P注册的 组织也十分有用。 8.4.1 特征 N AT可以用来修改I P报文头中的源 I P地址和目的 I P地址。I P校验和由N AT处理过程自动进 行修改。有些应用程序将源 I P地址嵌入到了I P报文的数据部分中，所以需要对报文进行修改。 对于这些应用程序， N AT进程也必须修改报文的数据部分，以匹配 I P头中已修改过的源 I P地 址。N AT的C i s c o版本可以处理许多的应用，这些应用的报文数据部分包含 I P地址。C i s c o版本 也允许共享负载的T C P流量，这可以通过允许对单个 I P地址的T C P请求来实现。这些特性将在 本章后面介绍。 在诸如I n t e r n e t，或不同组织互连的管理域边界上， N AT使用得十分普遍。某些组织虽然 申请了一些地址空间，但上网主机的数目超过了 I P地址的数目，此时 N AT就十分有用。没有 注册的地址可以在内部使用，而注册地址只用于报文与外部网络通信。 N AT处理过程对于源 端和目的端主机都是透明的。 8.4.2 局限性 尽管N AT是一个很有用的工具，它还是有一些缺陷。 N AT所面临的最主要的困难在于： 有些应用程序将源I P地址嵌入到了I P报文的数据部分中。这样，报文的源 I P地址在经过N AT的 转换之后，就与报文数据部分的 I P地址不匹配。如果I P头中的源I P地址不匹配报文数据部分的 源I P地址，则这些在报文的数据部分嵌入 I P地址的应用程序不能正常工作。 C i s c o实现的N AT 能够处理许多将 I P地址包含在报文数据部分的应用程序。一个特别例子是 N e t B I O S会话服务。 N e t B I O S服务用于 Windows NT，所以它在数据网络中应用得很普遍。 C i s c o可以支持全部的 N e t B I O S服务。表8 - 1列举了C i s c o目前所支持的应用。 表8-1 Cisco NAT所支持的应用 任何非源和目的的T C P / U D P报文 在I P报文的数据部分中的I P地址 I C M P F T P T C P上的N e t B i o s（除了会话服务） R e a l A u d i o White Pines CUSeeMe S t r e a m w o r k s DNS “A”和 “ P T R”查询 H . 3 2 3① N e t M e e t i n g① V D O L i v e V x t r e m e ①在IOS 12.0.1或更高版本中支持。 Cisco NAT不支持表 8 - 2中的应用。如果读者要使用这些应用，就要知道当路由器执行 下载下载 第 8章 TCP拦截和网络地址转换 97 N AT时它们很可能工作不正常。 表8-2 Cisco NAT不支持的应用 I P组播 路由表更新 D N S域的迁移 B O O T P Talk, ntalk S N M P N e t S h o w 8.5 NAT的术语 讨论N AT时，要用到几个术语： 1) 内部本地地址（ inside local address）——分配给内部网络上主机的 I P地址。这些地址 通常只有内部主机知道。 2) 内部全局地址（inside global address）——分配给内部主机的以用于 N AT处理的地址； 这种内部主机的地址可以被外部主机看到。 3) 外部本地地址（ outside local address）——分配给外部主机的以用于 N AT处理的I P地 址；这些外部主机的地址可以被内部主机看到。 4) 外部全局地址（outside global address）——分配给外部网络上主机的 I P地址。这类地 址可以被外部主机知道，但不能被内部主机知道。 内部地址被内部网络所使用，这些地址可能要进行转换。外部地址被外部网络所使用， 也可能需要进行转换。术语“本地（ l o c a l）”指的是其地址可以被内部主机看到。而术语“全 局（g l o b a l）”指的是地址可以被外部主机看到。注意，如果外部地址没有经过 N AT转换的话， 外部本地地址和外部全局地址可能是一样的。也就是说，外部主机地址在外部网络和内部网 络上可能是相同的，而实际情况也是如此。 理解这些术语的简单方法是抓住其第一个词语：内部或外部，它反映了报文的来源。内 部本地地址（inside local address）和内部全局地址（outside global address）这两个术语都表 明报文是来自内部网络的。第二个词语，本地或全局，则表明地址的可见范围。本地地址是 在本地网络中可见。全局地址则在外部网络上可见。这样，一个内部本地地址来自内部网络， 并且只在内部网络中可见。由于这些地址是在内部网络中，并且只对内部设备可见，因此不 需要进行 N AT操作。相反地，内部全局地址来自内部网络，但却在外部网络中可见。这些地 址一般都要进行N AT操作。 8.6 启用NAT 在路由器上启用 N AT功能需要了解几个命令。首先，读者需要确定在哪个接口上启用 N AT，以及该接口是内部接口还是外部接口。通常，连接到用户内部网络的接口是 N AT内部 接口，而连接到外部网络，例如 I n t e r n e t的接口，是N AT外部接口。这些约定很重要，因为在 后面将要介绍的其他N AT命令配置过程中要参考这些约定。每种接口命令的语法如下： 98 C i s c o访问表配置指南 下载 98 C i s c o访问表配置指南 下载 示例： 在确定启用 N AT的接口之后，接下来就要确定内部全局地址。根据已有的定义，具有这 些地址的报文从内部网络流出到外部网络以后，报文的地址在外部网络上是可见的。这通常 是转换地址。 地址转换可以是动态的或静态的。如果我们不关心哪些内部本地址应该转换为哪些内部 全局地址，则可以允许路由器从地址缓冲池中选取一个可用的地址。使用 ip nat pool命令来定 义该地址缓冲池： 示例： 注意，上述这些命令是等价的。另外我们已定义了将从 . 1到. 5 0的地址放在内部全局地址 缓冲池中。即使我们指定将掩码用于整个子网， < s t a r t - i p >和< e n d - i p >将地址范围限制在 . 1 到. 5 0之间。 定义了 N AT池之后，当需要将一个内部本地地址映射为内部全局地址时，路由器就从池 中取出第一个地址项。用户不能事先指定取池中的哪个地址。如果需要指定映射的 I P地址， 则需要使用静态映射。我们在后面提供了相关的示例。 在ip nat pool命令的语法中， r o t a r y关键字用于一个可用的内部本地 I P地址池，以将其中 的内部本地 I P地址映射到相同的内部全局地址。该关键字是很有用的，例如，读者拥有一个 繁忙的We b站点，并且希望多个服务器响应对同一 I P地址的We b请求，就应该使用该关键字。 我们将在后面给出示例。 一旦创建了内部全局地址池，读者就需要指定允许哪些报文获得池中的地址。这可以使 用ip nat inside source命令来完成。读者也可以在内部本地和内部全局地址间指定静态映射。 这两种方法都可用命令 ip nat iside source来实现，如下所示： 示例： 当使用 l i s t关键字时，该命令允许那些匹配访问表 l i s t的报文可以从名为 n a m e的N AT池中 获取地址。o v e r l o a d关键字启用端口地址转换（ Port Address Translation, PAT）。通过在N AT转 换表中维持 T C P / U D P端口信息和 I P地址信息， PAT允许将多个内部本地地址转换为一个单一 的内部全局地址。当内部全局地址数目有限时，这种特性十分有用。单一的 PAT地址可以与 第 8章 TCP拦截和网络地址转换 99 下载 N AT外部接口的I P地址相同，这在公司只有一个来自 I S P的可用地址时十分有用。在大多数的 配置中，路由器所连接的 I n t e r n e t必须具有一个全局可路由的 I P地址，因此使用与 PAT相同的 地址是有用的。这种情况下还可以使用一种语法格式： 读者也可以将外部全局地址转换为外部本地地址，这在相互连系的公司之间各自所使用 的外部地址存在重叠时是十分有用的。例如，如果两个公司使用 RFC 1918中重叠的地址，例 如1 0 . 0 . 0 . 0 / 2 4网络，则转换外部全局地址的语法如下： 示例： 这些命令的示例，将在后面介绍。 8.7 其他命令 在路由器上配置 N AT时，应该了解一些其他命令。首先，可以使用命令来配置几个超时 值，用以节省地址和路由器内存空间。这里每个 N AT转换都需要一定的内存空间。如果不使 用端口地址转换，只使用如下的一个命令即可： 超时时间的单位是秒，缺省值是 2 4小时或者3 6 4 0 0秒。在需要大量 N AT转换的环境中，最 好将此超时值设为 1 ~ 2小时，或者更小，因为路由器可能没有足够的内存来使用。如果使用 PAT，则还需要其他的命令，这时路由器要查看其 N AT表中的端口号和I P地址（注意，如果不 使用PAT，则不会查看N AT表中的端口号）。要启用PAT功能，可使用如下的定时器： 这些值大多数都是含义自明的。 f i n r s t - t i m e o u t表示在路由器看到 F I N或RST TCP报文之后 的超时值。p o r t - t i m e o u t值用于T C P和U D P。s y n - t i m e o u t值在看到SYN TCP报文时启用。这些 超时值中绝大多数都很小，一般是几分钟，可以使用其缺省值。例外的是 T C P，其超时值为 2 4小时。如前面所述，我们希望 T C P超时值是1 ~ 2小时，或者更低。 如果使用PAT，随着计数器的增值计数， N AT表中的不活跃表项只能存在很短一段时间。 例如，即使 T C P超时值为2 4小时，如果在 N AT转换中出现了 F I N或R S T报文，则表项会在 1分 钟内被删除。由于正常终止的会话能看到一个 F I N或R S T报文，因此只有那些非正常结束的 T C P连接才会在N AT表中保留一段时间。这就是我们建议使用较低的 T C P超时值的原因。非正 常结束的连接在N AT表中转换时使用较小的超时值。 100 C i s c o访问表配置指南 下载 100 C i s c o访问表配置指南 下载 除了超时命令外，还有其他一些有用的命令。下面给出每个的简短描述和示例输出： 另一个极有用的其他N AT命令是： 该命令用于消除.. N AT表中的转换，这对于调试诊断有用。在后面的示例中，将不再提及 这睦命令，以免重复，但读者最好熟悉它们并在自己的应用中查看其输出。下一节将给出使 用N AT的几个详细示例。.. 8.8 NAT应用：示例1 在本例中，某公司使用一台具有两个E t h e r n e t的路由器。.. E t h e r n e t 0连接到内部网络，而.. 第 8章 TCP拦截和网络地址转换 101 下载 E t h e r n e t 1则连接到一个L A N网段。公司与其I S P的路由器共享该网段。在内部网络中，公司使 用1 0 . 0 . 0 . 0 / 2 4地址空间中的地址。公司为自己提供一个 I P地址或1 7 1 . 1 0 0 . 1 . 0 / 2 4。公司路由器 的接口使用 I P地址 1 7 1 . 1 0 0 . 1 . 1，而 I S P路由器接口则使用 I P地址 1 7 1 . 1 0 0 . 1 . 2，而将那些从 1 7 1 . 1 0 0 . 1 . 0 / 2 4开始的其余地址留给 N AT转换。公司希望在路由器上使用必要的命令，以使其 内部用户能够使用 I S P所提供的地址空间中的有效，全局可路由的地址，以访问 I n t e r n e t（见图 8 - 4）。 外部网络 内部网络 客户路由器 提供者的 路由器 图8-4 NAT应用方案：示例1 8.8.1 解决方案 8.8.2 分析 在该方案中定义了用于 N AT的接口。通过将相应的命令放在每个接口下面，指定该接口 是一个 N AT外部接口或内部接口。这是配置 N AT的第一步。如果读者不将接口指定为一个 N AT内部或N AT外部接口，或者指定的不正确，则 N AT就不能正确工作。如果不定义 N AT接 口，N AT根本不工作，并且debug ip nat detail命令也不会输出任何结果。如果读者已定义了所 有其他的N AT命令，但N AT还是不工作，则确认每个接口下面的所放的 N AT命令是否合理。 在每个接口下面定义了合适的 N AT命令之后，就可以定义存放内部全局地址的 N AT池。 我们定义的起始 I P地址是1 7 1 . 1 0 0 . 1 . 3，而结束地址为 1 7 1 . 1 0 0 . 1 . 2 5 4。我们不使用. 1和. 2地址是 因为这两个地址分别用于用户路由器和 I S P路由器。由于这两个地址也与用户路由器上的 E t h e r n e t 1接口所在的子网是同一子网地址，用户路由器将使用自己的 M A C地址回答来自 I S P 路由器的 A R P请求。这允许I S P路由器从N AT池中解析出I P地址，并使用从 N A P池中取出的目 的I P地址将报文发送给用户路由器。 102 C i s c o访问表配置指南 下载 102 C i s c o访问表配置指南 下载 注意，M AT地址池并非必须来自与用户路由器接口上所配置的子网相同。下一个示例显 示了一个类似的配置，其中 N AT池不是该用户路由器地址空间的一部分。 8.9 NAT应用：示例2 在本例中，公司使用一台具有两个接口的路由器，分别是以太网和串行接口。 E t h e r n e t 0 连接到内部网络，而串行接口则通过点到点协议（ P P P）链路连接到 I S P路由器。在内部网络 中，公司使用的地址来自地址空间 1 0 . 0 . 0 . 0 / 2 4，该地址空间在 I n t e r n e t上是不可路由的。公司 自己使用I P地址范围1 7 1 . 1 0 0 . 1 . 0 / 2 4。到I S P的P P P链路使用来自 1 9 8 . 5 0 . 1 . 0 / 3 0子网的地址。公 司希望在路由器上配置合适的命令，以便内部用户可以通过使用有效的、全局可路由的地址 访问I n t e r n e t。这些地址应该是来自 I S P所提供的地址空间 1 7 1 . 1 0 0 . 1 . 0 / 2 4。我们打算与上游的 I S P路由器交换O S P F（开放式最短路径优先）更新信息。从而可以从该路由器接收缺省路由， 并将其通知I S P路由器，该路由正在公司路由器上使用（见图 8 - 5）。 池 串行链接 提供者的路由器 内部网络 用户路由器 图8-5 NAT应用方案：示例2 8.9.1 解决方案1 8.9.2 解决方案2 第 8章 TCP拦截和网络地址转换 103 下载 8.9.3 分析 在解决方案1中，先定义了用于 N AT的接口，并通过将合适的命令放在每个接口下面，来 指定该接口是一个 N AT内部或外部接口。在每个接口下面定义了适当的 N AT命令之后，再定 义内部全局地址所在的 N AT池。定义全局地址的起始 I P地址为 1 7 1 . 1 0 0 . 1 . 1，结束 I P地址为 1 7 1 . 1 0 0 . 1 . 2 5 4。我们使用除. 1和. 2地址之外的所有主机地址，是因为这些主机地址都不用于路 由器接口。通过在 N AT池中使用与用户路由器接口所用子网不同的子网，可以获得一些主机 地址。但这又引入了一个新的问题。 在前一个示例中， I S P路由器直接连接到分配给 N AT池的子网上。这种情况下， I S P路由 器只发出一个 A R P请求，以请求 N AT池中的单个 N AT地址，而用户路由器则使用自己的 M A C 地址来响应，此时工作正常。但是，上游的 I S P路由器并不直接连接到 N AT地址池子网 1 7 1 . 1 0 0 . 1 . 0 / 2 4，所以必须告诉它如何通过路由协议或静态路由的方法到达 N AT池所在的子网。 在解决方案1中，我们启用了O S P F并且为1 7 1 . 1 0 0 . 1 . 0 / 2 4重新分配一个静态路由到 O S P F中。上 游的I S P路由器会接收到该路由，并且将所有目的地址为 N AT池中地址的报文转发到我们的路 由器中。 可选地，I S P可以在其路由器上安装一个静态路由，用来将所有 1 7 1 . 1 0 0 . 1 . 0 / 2 4网络的报文 指向我们的路由器。但是，我们希望：当 N AT池地址不是直接从相连的子网上取出时，能够 显示出路由信息的传播路径。注意，我们将整个 1 7 1 . 1 0 . 1 . 0 / 2 4子网的 N AT地址表置为 n u l l 0。 由于我们要指定 N AT地址表中的某些表项，而非整个 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网，这时路由器并不丢 弃这些报文，而是将它们转发到 N AT表中所定义的内部主机上。 在解决方案 2中，我们使用了另一种方法来通知 I S P路由器有关 N AT池的信息。这种方法 是创建一个闭环（ l o o p b a c k）接口，并给其分配一个 N AT池中的 I P地址。通过将 n e t w o r k 171.100.1.0 0.0.0.255 area 0语句包含在我们的 O S P F路由进程下面，可以将该闭环地址作为 O S P F路由的一部分。注意，我们将 . 1地址从N AT池中删除，而使用主机地址 . 2作为N AT池的 起始地址，这样就减少了 N AT池地址和用于闭环接口上的 I P地址重叠的可能性。另外，我们 在闭环接口下面使用接口命令 ip ospf ntwork point-to-point。一般地，O S P F将闭环接口看成是 一个 O S P F桩（ s t u b）网络，并且将接口的 3 2位表项作为路由，而非整个子网。在本例中， O S P F进程会发送 1 7 2 . 1 0 0 . 1 . 1 / 3 2而非表 1 7 2 . 1 0 0 . 1 . 0 / 2 4。在这种情况下，由于需要将整个 104 C i s c o访问表配置指南 下载 104 C i s c o访问表配置指南 下载 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网信息传送给上游的 I S P路由器，所以该地址转换过程不能工作。 O S P F接口 命令告诉 O S P F传送该接口的路由，就像该网络是点到点网络一样，而不像是一个桩（ s t u b） 网络。这意味着它将通过 O S P F传送整个 1 7 1 . 1 0 0 . 1 . 0 / 2 4子网信息（ ip ospf network point-top o i n t命令在I O S版本11 . 3或更高版本中使用），这两种方法都能正常工作，但使用哪一种则是 读者的偏好问题了。 注意：我们知道一个公司通常会在其路由器和 I S P路由器之间运行边界网关协议 （Border Gateway Protocol, BGP）。在本例中，我们选择了O S P F路由协议，目的是为了 分析ip ospf network point-to-point命令。 8.10 NAT应用：示例3 在本例中，公司与示例 2中的公司相同，但情况稍有不同。这里公司处于 I n t e r n e t环境中， 它决定提供一个能从 I n t e r n e t访问的We b服务器，以便那些浏览 We b的用户能够了解公司。该 服务器位于内部网络中，并且能够从 I n t e r n e t上的主机访问该服务器。这样它将拥有 I P地址 1 0 . 1 . 1 . 1 0 0。由于 We b服务器必须能够通过 I n t e r n e t来访问，所以这个源 I P地址在转发给 I S P路 由器之前，必须被转换成内部全局缓冲池中的地址。我们为公司 We b服务器选择 1 7 1 . 1 0 0 . 1 . 1 0 0作为其转换成的内部全局地址。 如示例2那样，E t h e r n e t 0连接到内部网络，而串行接口则通过 P P P链路连接到I S P路由器。 在内部网络中，公司使用 1 0 . 0 . 0 . 0 / 2 4中的地址，而全局池中的 I P地址范围是 1 7 1 . 1 0 0 . 1 . 0 / 2 4。 在本例中，我们将假定 I S P使用静态路由来找到我们的路由器，其中路由器地址在 1 7 2 . 1 0 0 . 1 . 0 / 2 4地址范围内。并且I S P将该路由传送到I n t e r n e t上（见图8 - 6）。 服务器 内部网络 客户路 由器 串行链接提供者的 路由器 拥有171.100.1.100目的地址的 报文被传输到10.1.1.100 图8-6 NAT应用：示例3 8.10.1 解决方案 第 8章 TCP拦截和网络地址转换 105 下载 8.10.2 分析 如其他示例那样，我们在使用任何其他 N AT命令之前，应先定义 N AT内部和外部接口。 而后需要配置N AT池地址和N AT源列表，以允许能够从池中获得地址。本例与示例 2的不同之 处在于：我们需要为 We b服务器设置I P地址1 7 1 . 1 0 0 . 1 . 1 0 0。另外，必须在内部全局地址和内部 本地地址之间给出静态映射关系。不然的话，就不能保证 N AT表中的 N AT转换会将N AT池中 的特定I P地址映射到 We b服务器。这也意味着无法从 I n t e r n e t上知道应该使用哪个地址才能到 达We b服务器，显然这是毫无用处的。 注意，我们在配置中使用 ip nat inside source static命令，以建立 1 0 . 1 . 1 . 1 0 0和 1 7 1 . 1 0 0 . 1 . 1 0 0之间的静态映射。注意到在本例中 N AT池的语法有些不同。 C i s c o已扩展了 N AT 语法，所以可以拆分 N AT池所用的 I P地址范围。我们定义了两个不同的地址范围：从 1 7 1 . 1 0 0 . 1 . 1到1 7 1 . 1 0 0 . 1 . 9 9，以及从 1 7 1 . 1 0 0 . 1 . 1 0 1到1 7 1 . 1 0 0 . 1 . 2 5 4。所以我们可以将 I P地址 1 7 1 . 1 0 0 . 1 . 1 0 0从N AT池中排除出去，因为我们使用该地址进行静态转换。我们使用 ip nat inside source list命令来定义I P地址，以允许该I P地址从N AT池中获取相应的I P地址。注意，至 此，只使用了标准I P访问表来定义I P地址。也可以使用一个扩展的 I P访问表，在本章后面的示 例中会涉及到。 8.11 NAT应用：示例4 在本例中，公司有一台三端口路由器、一个以太网端口和两个串行端口。每个串行端口 连接到不同的 I S P，而每个 I S P给本公司分配一个独立的 C类地址。 I S P 1为公司分配 1 7 1 . 1 0 0 . 1 . 0 / 2 4；而I S P 2则为公司分配1 9 8 . 5 0 . 1 . 0 / 2 4。公司通过B G P路由协议实现从每个 I S P的 完全路由过程，并且允许路由器将报文转发到具有到达目的地的最佳路由的 I S P上。为了报文 能够从原来发出报文的同一个 I S P路由回来，路由器在发送报文到相应 I S P之前，需要从每个 提供者的地址空间转换外出报文的源 I P地址。发送给 I S P 1路由器的报文，其源地址将被转换 为I S P 1地址空间中的地址；而发送给 I S P 2路由器的报文，其源地址则被转换为 I S P 2地址空间 中的地址。 除了允许内部主机能够从每个相应的提供者地址空间中获得地址，根据所选择的路由器 不同，该公司希望可以从任何一个提供者都能够访问内部的 We b服务器。这样所需的就是将 每个提供者的地址空间中的一个静态 I P地址分配给We b服务器，以便每个提供者都可用于到达 We b服务器的I P地址。换句话说， I S P 1的用户使用来自I S P 1的地址到达We b服务器；而I S P 2的 用户则使用来自 I S P 2的地址到达该服务器。如前面的示例那样，内部 E t h e r n e t使用1 0 . 0 . 0 . 0 / 2 4 地址空间，而 We b服务器的内部本地地址是 1 0 . 1 . 1 . 1 0 0。从I S P 1来看其地址是 1 7 1 . 1 0 0 . 1 . 1 0 0， 而从I S P 2来看则为1 9 8 . 5 0 . 1 . 1 0 0。每个I S P将保证能够使用合适的 D N S表项来将We b服务器名称 106 C i s c o访问表配置指南 下载 106 C i s c o访问表配置指南 下载 解析为每个相应的 I P地址（见图 8 - 7）。 服务器 静态： 静态： 池 池 提供者1的 路由器 客户路 由器 提供者2的 路由器内部网络 图8-7 NAT应用方案：示例4 8.11.1 解决方案 第 8章 TCP拦截和网络地址转换 107 下载 8.11.2 分析 该示例应该是比前面的几个示例要更加复杂些，并且有一些很吸引人的地方。先定义.. N AT内部和外部接口。在本例中，路由器有两条.. I n t e r n e t连接，每条连接分别位于一个串行接 口上，这样我们就需要两个外部接口。接下来是.. N AT池，内部客户使用该池获取内部全局地 址。如前所述，我们有两池地址，每个地址池来自一个提供者。这样我们就创建两个独立的.. N AT池，分别称为.. I S P 1和I S P 2。注意，由于我们使用每个.. N AT池中的。.. 1 0 0来创建We b服务器 的静态N AT映射，每个N AT池都不包含。.. 1 0 0主机。在前面的示例中已经介绍了.. N AT池语句的 语法。 在创建了.. N AT池之后，就需要定义源列表，用以告诉路由器我们允许哪些.. I P地址能够从 池中获取地址。注意，这里使用.. ip nat source route-map命令，而非ip nat source list命令。我们 使用一个路由映射，而不单单使用访问表。这样不仅能够使用.. I P地址来选择.. N AT池，而且还 可以使用诸如下一跳.. I P地址以及路由器的输出接口等此类内容来选择.. N AT池。我们定义了两 个路由映射语句，i s p - 1和i s p - 2。i s p - 1路由映射匹配访问表1和接口serial 0。这意味着如果I P报 文匹配列表1并且目的接口是serial 0，则表明匹配了i s p - 1路由映射。从接口serial 0上离开路由 器的报文流向.. I S P 1，这样就符合了我们的要求。.. i s p - 2路由映射的定义类似。我们的路由器持 有一组来自每个提供者的路由，这将告诉路由器：报文应从哪个接口离开。根据我们的.. B G P 配置，可以从向外的报文中获得一些负载平衡。注意我们定义.. N AT池的方法。.. ip nat inside source route-map语句允许路由器在将报文发送到.. I S P路由器之前，从每个.. I S P地址空间中选择 一个地址。这将会保证当报文返回时，它们将沿着原先离开内部网络时所用的.. I S P返回。通常 每个I S P只将自己地址空间中的.. I P地址通告给其他提供者。来自.. I S P 1的地址空间的报文将流回.. I S P 1；而来自I S P 2地址空间的报文也将流回到.. I S P 2。 配置的最后一步是允许.. I n t e r n e t上的设备访问公司的.. We b服务器。我们需要在一个内部全 局地址和内部本地地址之间建立一个静态的.. N AT映射。但是，这种情况下，我们需要定义两 个映射，分别用于从两个不同的内部全局地址映射到公司的.. We b服务器。该过程的关键是使 用可选的关键字e x t e n d a b l e。.. e x t e n d a b l e关键字告诉路由器将创建一个扩展的.. N AT映射，该映射是从每个内部全局地址 到单一的内部本地地址的映射；并且它不仅使用.. I P地址，而且还使用源和目的端口。对于从.. N AT内部接口流到.. N AT外部接口的报文而言，动态路由映射表将用于创建扩展的转换操作。 如果不使用e x t e n d a b l e关键字，路由器将不会允许我们将多个内部全局地址映射到一个单一的 内部本地地址。.. 8.12 NAT应用：示例5 在本例中，公司使用一台两接口路由器，一个E t h e r n e t和一个串行接口。其中.. E t h e r n e t 0连 接到内部网络，而串行接口则通过.. P P P链路连接到.. I S P路由器。在内部网络中，公司使用.. 1 0 . 0 . 0 . 0 / 2 4地址空间中的地址，该地址在.. I n t e r n e t上不能路由。公司还提供了.. I P地址范围.. 1 7 1 . 1 0 0 . 1 . 0 / 2 4，用以创建全局可访问的.. We b服务器。公司认为他们将有大量的.. We b服务器连 接，但服务器只是一个低端服务器。并且公司并不打算买更多的机器，因为公司已经花费了 大量资金来购买硬件设备。公司希望只使用少数几台服务器，并且对于外界看来应该就像是 108 C i s c o访问表配置指南 下载 108 C i s c o访问表配置指南 下载 一台服务器一样。换句话说，公司希望发送到一个内部全局地址上的报文能被转换成多个内 部本地地址（见图8 - 8）。 服务器 服务器 服务器 内部网络 客户路 由器 提供者的 路由器 拥有171.100.1.100为目的地址 的报文采用轮循的方法发送到 10.1.1.2-10.1.1.4的机器上 图8-8 NAT应用方案：示例5 8.12.1 解决方案 8.12.2 分析 我们先定义用于 N AT的接口，并通过将合适的命令放在每个接口下面，来确定这些接口 是N AT内部接口，还是外部接口。在每个接口下面定义了合适的 N AT命令之后，接着定义 N AT池。在非本例的情况下，N AT池的We b地址标识了公司所有的 We b服务器的内部本地地址。 注意，在本例中我们使用参数 p r e f i x - l e n g t h而非n e t m a s k。值为2 9的p r e f i x - l e n g t h等价于掩码参 数值2 5 5 . 2 5 5 . 2 5 5 . 2 4 8。再注意 r o t a r y关键字的使用。这表明了我们打算使用 r o u n d - r o b i n策略从 N AT池中取出相应的I P地址用于转换进来的I P报文。 在定义了N AT池之后，我们继续定义将从 r o t a r y池中选中的 I P地址。我们定义一个 i n s i d e 第 8章 TCP拦截和网络地址转换 109 下载 destination list语句，而不使用inside source list语句。其中.. inside destination list语句定义了其.. I P的地址匹配访问表.. 1的报文将使用.. r o u n d - r o b i n策略，将其目的地址转换成.. r o t a r y池中定义的 池地址。在这种情况下访问表.. 1将匹配一个单一的.. I P地址.. 1 7 1 . 1 0 0 . 1 . 1 0 0。这样，具有.. 1 7 1 . 1 0 0 . 1 . 1 0 0目的地址的报文会将其目的.. I P地址修改为：路由器使用轮询策略从.. r o t a r y池中所 取出的地址。这允许使用.. 3个内部服务器来接收目的地址为.. 1 7 1 . 1 0 0 . 1 . 1 0 0的向内报文。所有这 三个内部.. We b服务器将分担发送到该单一全局地址上的请求。着重指出的是路由器不会保证 三台We b服务器都是正常的。如果某台服务器故障，路由器仍会向该服务器发送报文。如果 需要功能更完善的解决方案，则.. C i s c o有一种称为本地导向器（.. Local Director）的产品，它可 以用来确定池中的服务器是否正常工作。对本地导向器的讨论已超出了本书所讨论的范围， 不过读者可以查看.. C i s c o文档，或者与本地的供应商联系来获得这方面的更多信息。.. 8.13 NAT应用：示例6 在本例中，公司使用一台两接口路由器，一个是E t h e r n e t，另一个是串行接口。.. E t h e r n e t 0 连接到内部网络，而串行接口则通过.. P P P链路连接到.. I S P路由器。在内部网络中，公司使用.. 1 0 . 0 . 0 . 0 / 2 4地址范围内的地址。公司已从其供应商那里获得了一个单一的全局可路由的.. I P地址.. 1 7 1 . 1 0 0 . 1 . 1，并且该地址用于路由器的串行接口上。公司使用.. PAT将其所有的内部本地地址转 换成单一的内部全局地址.. 1 7 1 . 1 0 0 . 1 . 1。公司希望提供可以从.. I n t e r n e t访问的F T P和We b服务器， 并且对We b服务器的请求应被送到.. We b服务器所在的地址.. 1 0 . 1 . 1 . 1 0 0，而F T P请求则被送到F T P 服务器所在的地址1 0 . 1 . 1 . 1 0 1（见图8 - 9）。 服务器 服务器 内部网络 客户路 由器 串行链接提供者的 路由器 拥有171.100.1.1为目的地址的 报文基于不同的部分被传输 图8-9 NAT应用方案：示例6 8.13.1 解决方案 110 C i s c o访问表配置指南 下载 110 C i s c o访问表配置指南 下载 8.13.2 分析 先定义.. N AT所用的接口，并通过将合适的命令放在每个接口下面来定义接口是.. N AT内部 或外部接口。通常，在定义.. N AT接口之后，就要定义.. N AT池来指定所用的内部全局地址。但 是，在本例中只使用了一个单一的内部全局地址，并且将该单一内部全局地址用于路由器的.. serial 0接口上。由于只有一个单一内部全局地址并且用于路由器自己的接口上，所以我们不 需要定义N AT池。我们只简单地使用示例中所示的.. inside source list语句即可。所定义源列表 使用路由器接口的.. I P地址，并且超载该单一.. I P地址。该命令允许来自.. 1 0 . 0 . 0 . 0 / 2 4网络的内部主 机访问I n t e r n e t。路由器执行.. PAT来创建T C P / U D P端口的N AT映射。完成该步以后，接下来需 要为内部We b和F T P服务器创建静态映射。 由于只有一个单一的内部全局.. I P地址，因此要根据I P地址以及T C P或U D P端口来定义静态 映射。在本例中，将目的地址为.. 1 7 1 . 1 0 0 . 1 . 1和目的T C P端口为8 0的报文地址转换成.. T C P端口8 0 上的1 0 . 1 . 1 . 1 0 0内部主机地址。我们还将目的地址为.. 1 7 1 . 1 0 0 . 1 . 1和目的T C P端口为2 1的报文地 址转换成T C P端口2 1上的1 0 . 1 . 1 . 1 0 1内部主机地址。这样我们就在不同的内部服务器上提供了.. We b和F T P服务，虽然我们只有一个单一的内部全局地址。注意，由于该命令语法允许指定内 部服务器的I P地址和端口，所以可以在内部提供多个.. We b和F T P服务器。例如，可以创建如下 的静态映射： 该转换操作将所有目的地址为.. 1 7 1 . 1 0 0 . 1 . 1且目的端口为2 7的向内报文的地址转换为.. F T P端 口上的地址1 0 . 1 . 1 . 1 0 2。当然，我们必须保证，外部用户能够知道我们的.. F T P服务器使用非标 准的端口，而大多数的.. F T P客户机都提供这一能力。显然公司可以使用各种不同的端口转换方 法来提供服务，即使公司只有一个全局可路由的.. I P地址。这些方法使Cisco NAT的功能更加强 大。..
计算机网络第四章第五章网络层知识总结复习
梁小布的博客
01-15 2027
数据链路层解决三个问题、HTTP非持续和持续特点、FTP两个连接、ping的原理、网络常见设备、PPP协议：零比特填充法、域名、网络地址、IP地址、TCP连接建立过程、TCP/UDP的区别、网络层接口四个特性、三种交换方式、三种交换方式区别、CRC循环冗余校验、根据IP地址判断A、B、C、D类，对A、B、C、D类地址进行子网划分
计算机网络期末复习之大题
m0_57885354的博客
06-14 4517
计算机网络期末复习大题
计算机网络——第四章网络层习题（部分）
梁小布的博客
10-25 6347
计算机网络课后习题，由转发表根据目的地址求下一跳，IP数据报分片，求片偏移、求路由表，根据网络地址判断路由表怎么转发、判断分组选择路由，
网络层入门
Sisyphuss Blog
05-28 538
在CMD下 输入 arp -a 可以查看本地arp 解析表 表中的内容是目的ip 与 mac地址的对应关系 arp 表中有两类解析 一个是动态的，是通过arp协议解析获取的 还有一种是静态的，可以通过管理员手工配置 静态配置的例子 arp -s 157.55.85.212 00-aa-00-62-c6-09 arp -s 192.168.13.1 aa-bb-cc-dd-ee-ff 如何处理上不了网？ 1.看自己的ip地址是否正确？ 会有几个正确的项目：1.ip地址 2.默认网关 3.dns 2.看一
计算机网络子网划分经典计算
12-07
网划分 　　Internet组织机构定义了五种IP地址，用于主机的有A、B、C三类地址。其中A类网络有126个，每个A类网络可能有16，777，214台主机，它们处于同一广播域。而在同一广播域中有这么多结点是不可能的，网络会因为广播通信而饱和，结果造成16，777，214个地址大部分没有分配出去，形成了浪费。而另一方面，随着互连网应用的不断扩大，IP地址资源越来越少。为了实现更小的广播域并更好地利用主机地址中的每一位，可以把基于类的IP网络进一步分成更小的网络，每个子网由路由器界定并分配一个新的子网网络地址,子网地址是借用基于类的网络地址的主机部分创建的。划分子网后，通过使用掩码，把子网隐藏起来，使得从外部看网络没有变化，这就是子网掩码。 　　1. 子网掩码 　　RFC 950定义了子网掩码的使用，子网掩码是一个32位的2进制数，其对应网络地址的所有位都置为1，对应于主机地址的所有位都置为0。由此可知，A类网络的缺省的子网掩码是255.0.0.0，B类网络的缺省的子网掩码是255.255.0.0，C类网络的缺省的子网掩码是255.255.255.0。将子网掩码和IP地址按位进行逻辑“与”运算，得到IP地址的网络地址，剩下的部分就是主机地址，从而区分出任意IP地址中的网络地址和主机地址。子网掩码常用点分十进制表示，我们还可以用网络前缀法表示子网掩码，即“/”。如138.96.0.0/16表示B类网络138.96.0.0的子网掩码为255.255.0.0。 　　子网掩码告知路由器，地址的哪一部分是网络地址，哪一部分是主机地址，使路由器正确判断任意IP地址是否是本网段的，从而正确地进行路由。例如，有两台主机，主机一的IP地址为222.21.160.6，子网掩码为255.255.255.192，主机二的IP地址为222.21.160.73，子网掩码为255.255.255.192。现在主机一要给主机二发送数据，先要判断两个主机是否在同一网段。 　　主机一 　　222.21.160.6即：11011110.00010101.10100000.00000110 　　255.255.255.192即：11111111.11111111.11111111.11000000 　　按位逻辑与运算结果为： 11011110.00010101.10100000.00000000 　　主机二 　　222.21.160.73 即：11011110.00010101.10100000.01001001 　　255.255.255.192即：11111111.11111111.11111111.11000000 　　按位逻辑与运算结果为：11011110.00010101.10100000.01000000 　　两个结果不同，也就是说，两台主机不在同一网络，数据需先发送给默认网关，然后再发送给主机二所在网络。那么，假如主机二的子网掩码误设为255.255.255.128，会发生什么情况呢？ 　　让我们将主机二的IP地址与错误的子网掩码相“与”： 　　222.21.160.73 即：11011110.00010101.10100000.01001001 　　255.255.255.128即：11111111.11111111.11111111.10000000 　　结果为 11011110.00010101.10100000.00000000 　　这个结果与主机的网络地址相同，主机与主机二将被认为处于同一网络中，数据不再发送给默认网关，而是直接在本网内传送。由于两台主机实际并不在同一网络中，数据包将在本子网内循环，直到超时并抛弃。数据不能正确到达目的机，导致网络传输错误。 　　反过来，如果两台主机的子网掩码原来都是255.255.255.128，误将主机二的设为255.255.255.192，主机一向主机二发送数据时，由于IP地址与错误的子网掩码相与，误认两台主机处于不同网络，则会将本来属于同一子网内的机器之间的通信当作是跨网传输，数据包都交给缺省网关处理，这样势必增加缺省网关的负担，造成网络效率下降。所以，子网掩码不能任意设置，子网掩码的设置关系到子网的划分。 　　2. 子网划分与掩码的设置 　　子网划分是通过借用IP地址的若干位主机位来充当子网地址从而将原网络划分为若干子网而实现的。划分子网时，随着子网地址借用主机位数的增多，子网的数目随之增加，而每个子网中的可用主机数逐渐减少。以C类网络为例，原有8位主机位，2的8次方即256个主机地址，默认子网掩码255.255.255.0。借用1位主机位，产生2个子网，每个子网有126个主机地址；借用2位主机位，产生4个子网，每个子网有62个主机地址&hellip;&hellip;每个网中，第一个IP地址（即主机部分全部为0的IP）和最后一个IP（即主机部分全部为1的IP）不能分配给主机使用，所以每个子网的可用IP地址数为总IP地址数量减2；根据子网ID借用的主机位数，我们可以计算出划分的子网数、掩码、每个子网主机数，列表如下： 　　① 划分子网数 　　② 子网位数 　　③ 子网掩码（二进制） 　　④ 子网掩码（十进制） 　　⑤ 每个子网主机数 　　① 1～2 　　② 1 　　③ 11111111.11111111.11111111.10000000 　　④ 255.255.255.128 　　⑤ 126 　　① 3～4 　　② 2 　　③ 11111111.11111111.11111111.11000000 　　④ 255.255.255.192 　　⑤ 62 　　① 5～8 　　② 3 　　③ 11111111.11111111.11111111.11100000 　　④ 255.255.255.224 　　⑤ 30 　　① 9～16 　　② 4 　　③ 11111111.11111111.11111111.11110000 　　④ 255.255.255.240 　　⑤ 14 　　① 17～32 　　② 5 　　③ 11111111.11111111.11111111.11111000 　　④ 255.255.255.248 　　⑤ 6 　　① 33～64 　　② 6 　　③ 11111111.11111111.11111111.11111100 　　④ 255.255.255.252 　　⑤ 2 　　如上表所示的C类网络中，若子网占用7位主机位时，主机位只剩一位，无论设为0还是1，都意味着主机位是全0或全1。由于主机位全0表示本网络，全1留作广播地址，这时子网实际没有可用主机地址，所以主机位至少应保留2位。 　　从上表可总结出子网划分的步骤或者说子网掩码的计算步骤： 　　2.1 确定要划分的子网数目以及每个子网的主机数目。 　　2.2 求出子网数目对应二进制数的位数N及主机数目对应二进制数的位数M。 　　2.3 对该IP地址的原子网掩码，将其主机地址部分的前N位置 1或后M位置0 即得出该IP地址划分子网后的子网掩码。 　　例如，对B类网络135.41.0.0/16需要划分为20个能容纳200台主机的网络。因为16＜20＜32，即：2的4次方<20<2的5次方，所以，子网位只须占用5位主机位就可划分成32个子网，可以满足划分成20个子网的要求。B类网络的默认子网掩码是255.255.0.0，转换为二进制为11111111.11111111.00000000.00000000。现在子网又占用了5位主机位，根据子网掩码的定义，划分子网后的子网掩码应该为11111111.11111111.11111000.00000000，转换为十进制应该为255.255.248.0。现在我们再来看一看每个子网的主机数。子网中可用主机位还有11位，2的11次方＝2048，去掉主机位全0和全1的情况，还有2046个主机ID可以分配，而子网能容纳200台主机就能满足需求，按照上述方式划分子网，每个子网能容纳的主机数目远大于需求的主机数目，造成了IP地址资源的浪费。为了更有效地利用资源，我们也可以根据子网所需主机数来划分子网。还以上例来说，128＜200＜256，即2^7＜200＜2^8，也就是说，在B类网络的16位主机位中,保留8位主机位，其它的16－8＝8位当成子网位，可以将B类网络138. 96.0.0划分成256(2^8)个能容纳256－1－1－1=253台（去掉全0全1情况和留给路由器的地址）主机的子网。此时的子网掩码为11111111.11111111.11111111.00000000，转换为十进制为255.255.255.0。 　　在上例中，我们分别根据子网数和主机数划分了子网，得到了两种不同的结果，都能满足要求，实际上，子网占用5~8位主机位时所得到的子网都能满足上述要求，那么，在实际工作中，应按照什么原则来决定占用几位主机位呢？ 　　在划分子网时，不仅要考虑目前需要，还应了解将来需要多少子网和主机。对子网掩码使用比需要更多的主机位，可以得到更多的子网，节约了IP地址资源，若将来需要更多子网时，不用再重新分配IP地址，但每个子网的主机数量有限；反之，子网掩码使用较少的主机位，每个子网的主机数量允许有更大的增长，但可用子网数量有限。一般来说，一个网络中的节点数太多，网络会因为广播通信而饱和，所以，网络中的主机数量的增长是有限的，也就是说，在条件允许的情况下，会将更多的主机位用于子网位。 　　综上所述,子网掩码的设置关系到子网的划分。子网掩码设置的不同，所得到的子网不同，每个子网能容纳的主机数目不同。若设置错误，可能导致数据传输错误。 　　补充: 　　子网划分(subnetting)的优点: 　　1.减少网络流量 　　2.提高网络性能 　　3.简化管理 　　4.易于扩大地理范围 　　How to Creat Subnets 　　如何划分子网?首先要熟记2的幂:2的0次方到9次方的值分别为:1,2,4,8,16,32,64,128,256和512.还有要明白的是:子网划分是借助于取走主机位,把这个取走的部分作为子网位.因此这个意味划分越多的子网,主机将越少 　　Subnet Masks 　　子网掩码用于辨别IP地址中哪部分为网络地址,哪部分为主机地址,有1和0组成,长32位,全为1的位代表网络号.不是所有的网络都需要子网,因此就引入1个概念:默认子网掩码(default subnet mask).A类IP地址的默认子网掩码为255.0.0.0;B类的为255.255.0.0;C类的为255.255.255.0 　　Classless Inter-Domain Routing(CIDR) 　　CIDR叫做无类域间路由,ISP常用这样的方法给客户分配地址,ISP提供给客户1个块(block size),类似这样:192.168.10.32/28,这排数字告诉你你的子网掩码是多少,/28代表多少位为1,最大/32.但是你必须知道的1点是:不管是A类还是B类还是其他类地址,最大可用的只能为30/,即保留2位给主机位 　　CIDR值: 　　1.掩码255.0.0.0:/8(A类地址默认掩码) 　　2.掩码255.128.0.0:/9 　　3.掩码255.192.0.0:/10 　　4.掩码255.224.0.0:/11 　　5.掩码255.240.0.0:/12 　　6.掩码255.248.0.0:/13 　　7.掩码255.252.0.0:/14 　　8.掩码255.254.0.0:/15 　　9.掩码255.255.0.0:/16(B类地址默认掩码) 　　10.掩码255.255.128.0:/17 　　11.掩码255.255.192.0:/18 　　12.掩码255.255.224.0:/19 　　13.掩码255.255.240.0:/20 　　14.掩码255.255.248.0:/21 　　15.掩码255.255.252.0:/22 　　16.掩码255.255.254.0:/23 　　17.掩码255.255.255.0:/24(C类地址默认掩码) 　　18.掩码255.255.255.128:/25 　　19.掩码255.255.255.192:/26 　　20.掩码255.255.255.224:/27 　　21.掩码255.255.255.240:/28 　　22.掩码255.255.255.248:/29 　　23.掩码255.255.255.252:/30 　　Subnetting Class A,B&C Address 　　划分子网的几个捷径: 　　1.你所选择的子网掩码将会产生多少个子网?:2的x次方-2(x代表掩码位,即2进制为1的部分，现在的网络中，已经不需要-2，已经可以全部使用，不过需要加上相应的配置命令，例如CISCO路由器需要加上ip subnet zero命令就可以全部使用了。) 　　2.每个子网能有多少主机?: 2的y次方-2(y代表主机位,即2进制为0的部分) 　　3.有效子网是?:有效子网号=256-10进制的子网掩码(结果叫做block size或base number) 　　4.每个子网的广播地址是?:广播地址=下个子网号-1 　　5.每个子网的有效主机分别是?:忽略子网内全为0和全为1的地址剩下的就是有效主机地址.最后有效1个主机地址=下个子网号-2(即广播地址-1) 　　根据上述捷径划分子网的具体实例: 　　C类地址例子:网络地址192.168.10.0;子网掩码255.255.255.192(/26) 　　1.子网数=2*2-2=2 　　2.主机数=2的6次方-2=62 　　3.有效子网?:block size=256-192=64;所以第一个子网为192.168.10.64,第二个为192.168.10.128 　　4.广播地址:下个子网-1.所以2个子网的广播地址分别是192.168.10.127和192.168.10.191 　　5.有效主机范围是:第一个子网的主机地址是192.168.10.65到192.168.10.126;第二个是192.168.10.129到192.168.10.190 　　B类地址例子1:网络地址:172.16.0.0;子网掩码255.255.192.0(/18) 　　1.子网数=2*2-2=2 　　2.主机数=2的14次方-2=16382 　　3.有效子网?:block size=256-192=64;所以第一个子网为172.16.64.0,最后1个为172.16.128.0 　　4.广播地址:下个子网-1.所以2个子网的广播地址分别是172.16.127.255和172.16.191.255 　　5.有效主机范围是:第一个子网的主机地址是172.16.64.1到172.16.127.254;第二个是172.16.128.1到172.16.191.254 　　B类地址例子2:网络地址:172.16.0.0;子网掩码255.255.255.224(/27) 　　1.子网数=2的11次方-2=2046(因为B类地址默认掩码是255.255.0.0,所以网络位为8+3=11) 　　2.主机数=2的5次方-2=30 　　3.有效子网?:block size=256-224=32;所以第一个子网为172.16.0.32, 最后1个为172.16.255.192 　　4.广播地址:下个子网-1.所以第一个子网和最后1个子网的广播地址分别是172.16.0.63和172.16.255.223 　　5.有效主机范围是:第一个子网的主机地址是172.16.0.33到172.16.0.62;最后1个是172.16.255.193到172.16.255.222 　　Variable Length Subnet Masks(VLSM) 　　可变长子网掩码(VLSM)的作用:节约IP地址空间;减少路由表大小.使用VLSM时,所采用的路由协议必须能够支持它,这些路由协议包括RIPv2,OSPF,EIGRP和BGP. 关于更多的VLSM知识,可以去Google.com进行搜索
TCP/IP详解卷
02-17
《TCP/IP详解，卷1：协议》是一本完整而详细的TCP/IP协议指南。描述了属于每一层的各个协议以及它们如何在不同操作系统中运行。作者用Lawrence Berkeley实验室的tcpdump程序来捕获不同操作系统和TCP/IP实现之间传输的不同分组。对tcpdump输出的研究可以帮助理解不同协议如何工作。 本书适合作为计算机专业学生学习网络的教材和教师参考书。也适用于研究网络的技术人员。 目 录 译者序 前言 第1章 概述 1 1.1 引言 1 1.2 分层 1 1.3 TCP/IP的分层 4 1.4 互联网的地址 5 1.5 域名系统 6 1.6
计算机网络计算下一跳
BovenNi的博客
10-23 7780
《计算机网络第八版》 4.18 路由表中128对应的子网掩码255.255.255.128 转换成二进制是11111111所以任意数与255and都不变，只要计算最后面数的and 所以(1)z只要将10与128and即可 【and（两数都为1时输出1，否则输出0）】 10 二进制 0000 1010 128 二进制 1000 and之后为0000 0000所以（1）and之后的结果为128.96.39.0与路由表对照得接口M （2）（3）与之一样；（4)(5)前面的192不同，路由..
计算机网络（物理层）
公众号：风景邮递Yuan的博客
12-28 397
设某路由器建立了如表 4-9 所示的路由表（这三列分别是目的网络、子网掩码和下一跳路由器，若直接交付则最后一列表示应当从哪一个接口转发出去）：现共收到 5 个分组，其目的站 IP 地址分别为：(1) 128.96.39.10(2) 128.96.40.12(3) 128.96.40.151(4) 192.4.153.17(5) 192.4.153.90试分别计算这些分组转发的下一跳。
计算机网络下一跳地址,计算机网络基础课程—IP路由
weixin_35796523的博客
06-20 6578
一.IP路由·发送端的处理过程：··当主机A要和主机B进行通信时，首先判断主机B是否和它位于同一子网。·方法：把两个主机的IP地址分别与它(主机A)的子网掩码进行“位与”操作，把分别得到的网络ID进行比较，如果结果相同，则表明位于同一子网，否则位于不同的子网。·示例：如果在同一子网，则源主机用ARP确定目标主机的硬件地址后直接发送数据帧到目标主机。(直接路由，无需路由器)如果不在同一子网，则源主机...
计算机网络第4章知识点——网络层
weixin_42077074的博客
06-04 2666
知识点对应教材为《计算机网络（第7版）》，电子工业出版社 目录 第1章 概述 三大网络 计算机网络和互联网 互联网基本特点 互联网发展的阶段 互联网的组成 计算机网络的类别 计算机网络指标 网络协议 服务 实体 计算机体系结构 第3章 数据链路层 数据链路层的简单模型 数据链路层使用的信道类型 使用点对点信道的数据链路层 点对点协议PPP 使用广播信道的数据链路层 网络层提供的两种服务 虚电路服务 ​ 面向连接，让网络负责可靠交付 数据报服务 ​ 无连接，让主机负责可靠交.
路由器重温——静态路由
kaoa000的专栏——非淡泊无以明志，非宁静无以致远
12-10 6332
静态路由是手动配置的特殊路由，比动态路由使用更少的带宽，不占用CPU资源来计算和分析路由更新。不会自动收敛。 一、静态路由的组成 静态路由包括5个主要参数：目的IP地址和子网掩码、出接口和下一跳IP地址、优先级。 1、目的IP地址/子网掩码 目的IP地址就是路由要到达的目的主机或目的网络的IP地址，子网掩码就是目的地址所对应的子网掩码。当目的地址和子网掩码都为零时，表示静态缺省路由。（当目的地址是主机时，就是主机路由，是网络地址时就是网关路由？？？） 2、出接口和下一跳IP地址 根据不同的出接口
静态路由实验
Lin122600的博客
05-23 1537
目录 实验题目 实验目的 静态路由配置主要命令 实验拓扑 实验步骤 实验结果 实验题目 静态路由实验 实验目的 掌握通过静态路由方式实现网络的连通性。 静态路由配置主要命令 1、配置静态路由 命令格式： Router (config) # ip route 目的网段 子网掩码 下一跳路由器的ip地址 其中，目的网段指的是所要到达的目的网络或子网号；子网掩码指的是目的网络的子网掩码；下一跳路由器的ip地址指的是到达目的网络所经过的下一跳路由器接口的ip地址 2、静态路由的删除
更深层次理解传输层两协议【UDP | TCP】【UDP 缓冲区 | TCP 8种策略 | 三次握手四次挥手】
最新发布
菜菜成长为后端开发大佬
05-02 954
目录再谈端口号 端口号的返回划分netstat(重要)pidof一，UDP协议UDP协议格式理解tcp/udp报文UDP的特点UDP的缓冲区怎么理解全双工，半双工呢？二，TCP协议（传输控制协议）协议格式tcp协议的实现向上，向下交付a. 序号与确认序号理解tcp协议的可靠性b. 16位窗口大小c. 6个标记位连接管理机制d. 紧急指针e. 策略1. 确认应答（ACK）机制2. 超时重传机制 3. 滑动窗口4. 流量控制5. 网络拥塞控制6. 延迟应答7. 捎带应答f. tcp机制小结g.面向字节流h.黏
给出两种目的网络，则子网掩码是
06-11
子网掩码的值取决于网络的设计和需求，给出两种目的网络，我们需要先确定每个网络所需的 IP 地址数量和可用的地址范围，然后才能确定子网掩码。 举个例子，如果我们要设计两个目的网络，一个网络需要支持 100 台...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值