第4章
计算机网络

🧭 本章的问题线

数据凭什么规则说话（协议）？走哪条路到对面（寻址与路由）？网页与邮件如何工作（应用服务）？开放网络里如何防窃听防伪造（安全）？

🔗 与前后章的关系

向前：条码/RFID 采集的数据从这里出发；向后：第 6 章 EDI 的报文、第 14 章大模型的 API 调用，全跑在本章的协议栈上。

🔩 硬件构成视角

它由什么设备组成：端系统、通信链路、分组交换设备（第 5 页）。

🏛️ 组织管理视角

它由谁运营、如何治理：ISP、自治系统、交换点与标准组织（第 6 页）。

🧰 服务提供视角

它为应用提供什么服务：TCP 可靠传输与 UDP 尽力而为（第 7 页）。

🛡️ TCP · 面向连接的可靠传输

保证数据完整、有序送达。适用于文件传输、网页加载等“错一个字节都不行”的场景——物流订单、运单数据走的就是它。

⚡ UDP · 无连接的尽力而为

不保证送达，但时延低、开销小。适用于实时音视频、在线游戏等“晚了就不如丢了”的场景——车辆实时定位上报常用它。

📐 语法（Syntax）

报文的格式与结构：数据如何排列。如 IP 数据报前 4 位是版本号、接着 4 位是首部长度——先说清“长什么样”。

📖 语义（Semantics）

字段的含义与应答动作：收到 TCP 的 SYN 报文意味着“对方请求建连”，本端应回复 SYN-ACK——再说清“是什么意思、该怎么办”。

⏱️ 时序（Timing）

事件的顺序与速率：TCP 三次握手必须 SYN → SYN-ACK → ACK，缺一不可——最后说清“按什么顺序来”。

📞 工作方式（源自电话网）

通信前先在收发双方之间建立一条专用的端到端电路，整个通话期间独占使用，结束才释放——像包下一条车道。

🎚️ 资源划分两法

• 频分复用 FDM：把链路频带切成若干频段，每个连接独占一段
• 时分复用 TDM：把时间切成帧与时隙，每个连接在每帧中占固定时隙

✅ 优势

资源预留使带宽恒定、延迟稳定，通信质量有保障——为“匀速的”语音流而生。

❌ 致命缺陷

利用率低：双方沉默时占用的电路也不能给别人用。计算机通信是突发式的——大部分时间在“沉默”，电路交换等于长期包车等人。

🕸️ 网状型

节点间多条直连路径：可靠性极高、可负载均衡；全连接需 N(N−1)/2 条链路，成本随规模爆炸。用于骨干网与金融网络（多为部分网状）。

🌲 树型

星型的层次化扩展（核心—汇聚—接入三层）：层级清晰、扩展方便；根节点是瓶颈与单点。园区网、大型仓储的标准架构。

🧩 混合型

按区域需求拼搭：教材的例子是全国物流企业——总部数据中心内部网状、区域枢纽间部分网状、仓库内部星型、仓网整体三层树型。

🗂️ 分类编址（已被 CIDR 取代）

• A 类（0 开头）：网络 8 位/主机 24 位，1—126，单网约 1677 万台
• B 类（10）：网络 16/主机 16，128—191，约 6.5 万台
• C 类（110）：网络 24/主机 8，192—223，最多 254 台
• D 类多播、E 类保留实验

⚠️ 分类之痛

粒度太粗：300 台主机的组织用 B 类浪费 6 万多个地址，用 C 类又不够——地址不是不够用，是被“整箱批发”浪费掉了。CIDR 的“按需切分”是必然（第 22 页）。

🏷️ 常见特殊 IPv4 地址

• 127.0.0.1：环回地址，给自己发数据做测试
• 10/8、172.16/12、192.168/16：私有地址，只能在局域网内部用（靠 NAT＋DHCP 出门，第 25、26 页）
• 0.0.0.0：“本网络/所有接口”，服务器监听常见
• 255.255.255.255：受限广播，向本网所有主机喊话

🌌 IPv6：地址多到“每平方米”

• 128 位 → 2¹²⁸ ≈ 3.4×10³⁸ 个地址，够给地球每平方米表面分约 6.7×10²³ 个
• 写法：冒号十六进制，如 2001:db8:85a3::8a2e:370:7334（前导零可省、连续零组用 :: 压一次）
• 首部固定 40 字节、去掉校验和，路由器处理更快
• SLAAC 无状态自动配置；地址充裕 → 不再需要 NAT

🎯 为什么要切

• 广播风暴：6 万台主机同处一个广播域，广播帧淹没所有人
• 安全隔离：财务数据与学生宿舍流量不应同网裸奔
• 差异化管理：按部门实施访问控制，前提是有边界

做法：从主机号中借若干位作子网号；子网间通信必须经路由器。

上行二进制中，橙色为网络前缀位、灰色为主机位。试试把前缀改成 /24 或 /30，看可用主机数如何变。

📏 规则只有三条

按需求从大到小依次分配；每个子网取能装下需求的最小前缀（2^k−2 ≥ 需求）；起始地址必须对齐到子网大小的整数倍。

🆚 与定长划分（FLSM）对比

统一用 /26 也能分四份，但行政与机房各浪费五十余个地址且无余量留扩展；VLSM 分完还剩 .120—.255 一大半地址备用——代价是规划更费脑。

🔢 NAPT：再加上端口

转换表同时记录传输层端口号：全家几十台设备共用一个公网 IP 出门，靠端口区分各是谁的会话——这是家庭宽带“一线多机”的实现真相。

⚠️ 代价（习题 4）

• 外部主机无法主动连入内网主机 → 内网设备不能直接当服务器，除非配端口映射
• 端到端地址被改写，依赖源地址校验的应用会受影响
• 它是 IPv4 的“续命术”，不是寻址的常态——IPv6 的目标是取消它

🎁 一次发齐四件套

IP 地址、子网掩码、默认网关、DNS 服务器地址——手工配错一项就上不了网，DHCP 让这四样零配置到手。

🔌 端口与租约

客户端 UDP 68、服务器 UDP 67；地址是“租”的：租期到 50% 与 87.5% 时自动续租，也可 RELEASE 提前退租。

📡 不在同一子网？

由 DHCP 中继代理把广播报文转发到服务器所在子网——总部一台服务器管全楼成为可能。

🗺️ 路由选择（Routing）

控制面的慢功夫：路由协议持续计算并维护路由表。AS 内部用 IGP——距离向量的 RIP、链路状态的 OSPF；AS 之间用外部网关协议 BGP（呼应第 6 页）。

📬 分组转发（Forwarding）

数据面的快动作：每个到达的数据报，查表 → 从合适接口发出。查表的黄金规则是最长前缀匹配：多条都匹配时，选前缀最长的那条——最具体、最准确。

🧩 网页 ＝ 一组对象

浏览器是客户端（Client）；Web 服务器（Server）持续运行、静候请求。网页由 HTML、图片、样式表等多个对象（Object）组成，每个对象有唯一的 URL——所以“打开一个页面”从来不是一次请求。

📜 HTTP 的角色

超文本传输协议：定义浏览器与服务器之间请求—响应的交互规则。它运行在 TCP 之上——发请求前先建可靠连接，默认端口 80。

🧠 无状态（Stateless）

服务器不在两次请求之间保存客户端状态，每个请求独立处理。好处是服务器实现大幅简化、不必为海量客户端维护会话；代价是“记住用户”要靠外部机制——下一页的 Cookie。

🔁 两个时代的连接方式

• 非持久连接（HTTP/1.0）：一个对象一次 TCP 连接；1 个 HTML＋10 张图＝串行握手 11 次，每次约 1 个 RTT 白白消耗
• 持久连接（HTTP/1.1 默认）：响应后不关连接，后续请求复用——握手开销一次付清

🍪 Cookie：给健忘服务器发的手环

服务器在响应中下发一个标识（Set-Cookie），浏览器保存；此后每次请求自动携带，服务器据此恢复会话——购物车、登录状态由此而来。代价：第三方 Cookie 可跨站跟踪用户行为，隐私风险随之而生，现代浏览器正逐步限制它。

🗄️ Web 缓存（代理服务器）

把热门内容复制一份放在离用户更近的地方：校园网里第一位同学看热门视频时，代理服务器留一份副本，后来者直接从校内取——省外网带宽、降等待时间。它是下一节 CDN 思想的“校园版原型”。

📖 为什么需要它

IP 地址精确但难记（202.108.22.5）；域名有含义、好记（www.taobao.com）。DNS 负责在两者之间翻译——它是因特网上规模最大的分布式系统之一，每天处理数万亿次查询。

🌳 域名是棵倒置的树

标签以“.”连接、从右向左层级升高。以 mail.cs.tsinghua.edu.cn 为例：根（.）→ cn（国家顶级域）→ edu（二级）→ tsinghua（三级）→ cs（四级）→ mail（主机名）。

🧩 三个组件

• 用户代理 UA：Outlook、Apple Mail、网页版邮箱——写信读信的界面
• 邮件服务器：每人一个邮箱（Mailbox）＋外出队列；投递失败会留队重试，持续失败才通知发件人
• 传输协议：SMTP 管发送与中转，IMAP/POP3 管读取

✉️ Alice → Bob 的六步

alice@163.com 写信 → SMTP 提交到 163 服务器（smtp.163.com）→ 查 qq.com 的 MX 记录 → 两服务器间 SMTP 传送（端口 25）→ 存入 Bob 邮箱 → Bob 用 IMAP 拉取阅读。SMTP 是“推”，IMAP 是“拉”，分工别混。

📮 SMTP 与报文格式

基于 TCP：服务器间中转端口 25、客户端提交推荐 587。报文＝首部（From/To/Subject/Date/Cc）＋主体；只认 7 位 ASCII，于是有了 MIME：Content-Type 声明内容类型（text/html、image/jpeg、multipart 附件），Content-Transfer-Encoding 用 base64 等把二进制装进 ASCII 信封。

📥 IMAP vs POP3

• IMAP（143/加密 993）：邮件留在服务器，多设备状态同步、文件夹管理、可只下首部按需取正文——移动时代的主流
• POP3（110/加密 995）：把邮件下载到本地（可删服务器副本），无状态同步与文件夹管理

👂 被动攻击

窃听与流量分析：不改数据，只偷看——主要破坏机密性。防不胜防之处在于：你甚至不知道自己被听了。

✋ 主动攻击

篡改报文、伪造身份、拒绝服务：动手搞破坏——破坏完整性、可用性与实体真实性。

🔤 从凯撒密码说起

规则“每字母后移 3 位”：HELLO → KHOOR。形式化记作 C＝E_K(P)，P＝D_K(C)——加密解密同一把 K。替换密码会被频率分析秒破（E 出现最多），但现代算法只是把“变换”做到了极致复杂。

🏆 现代三代：DES → 3DES → AES

• DES（1977）：56 位密钥——2⁵⁶ 种可能如今数小时可穷举，已不安全
• 3DES：三轮 DES，有效 112/168 位，安全但慢
• AES（2001，现行标准）：128 位分块，密钥 128/192/256 位，SPN 结构 10/12/14 轮变换；1GB 数据加密不足 1 秒

🧮 RSA 的密钥从哪来（1978）

• 选大素数 p、q，n＝p×q；φ(n)＝(p−1)(q−1)
• 选 e 与 φ(n) 互素（常取 65537）→ 公钥 (n, e)
• 求 d 使 e·d ≡ 1 (mod φ(n)) → 私钥 (n, d)
• 加密 C＝M^e mod n，解密 M＝C^d mod n
• 安全性：由 n 反推 p、q（大整数分解）在 n≥2048 位时不可行

⚖️ 代价

比对称加密慢约 100—1000 倍——它适合加密“小东西”（一把会话密钥、一个摘要），不适合加密大文件。1976 年 Diffie 与 Hellman 提出思想，RSA 给出第一个实用实现。

🤝 混合加密四步（HTTPS 的配方）

• ① 发送方随机生成一次性会话密钥（如 256 位 AES 密钥）
• ② 用接收方公钥加密会话密钥后发出（小数据，慢得起）
• ③ 接收方用私钥解出会话密钥
• ④ 此后海量数据用对称加密传输（快）

公钥体制负责“安全地递钥匙”，对称体制负责“快速地搬数据”。

👆 散列函数 H：任意长 → 定长摘要

• 确定性：同输入必同输出
• 雪崩效应：改 1 比特，摘要面目全非
• 单向性：由摘要反推原文不可行
• 抗碰撞：找不到两个不同输入同摘要

常用 SHA-256（256 位）：官网公布安装包的 SHA-256，自己下载后重算比对——一致才可信。

✍️ 签名（Alice）

• ① 对文件 M 算摘要 h＝H(M)
• ② 用自己的私钥加密摘要 → 签名 Sig（只签摘要不签原文：公钥运算慢，摘要定长又短）
• ③ 把（M＋Sig）再用 Bob 公钥加密后发出（保密与认证兼得）

🔍 验证（Bob）

• ① 用自己私钥解出 M 与 Sig
• ② 用 Alice 公钥解 Sig 得 h₁；对 M 重算摘要得 h₂
• ③ h₁＝h₂ → 确系 Alice 所签且未被篡改；不等 → 拒绝

🎫 证书如何签发（X.509）

申请者提交身份信息＋公钥 → CA 核验身份（营业执照、域名所有权等）→ CA 把“身份＋公钥”打包并用 CA 私钥签名 → 数字证书。证书字段：主体、公钥、签发者、有效期、序列号、CA 签名。

🌐 浏览器如何验（以银行网站为例）

服务器发来证书 → 查签发 CA 在不在浏览器信任的根 CA 列表 → 用 CA 公钥验签 → 通过则地址栏亮起小锁；过期/域名不符/签名无效则弹出安全警告。

🧱 防火墙三粒度

• 包过滤（网络层）：查源/目的 IP 与端口对规则表——路由器 ACL
• 状态检测（传输层）：只放行已建立会话的包——企业网关主流
• 应用层网关（应用层）：深度检查协议内容——WAF

物流例：只允许仓储系统网段访问订单数据库的 3306 端口；再配 IDS 报警、IPS 主动阻断。

🚇 VPN：在公网上挖一条加密隧道

隧道协议（IPSec、OpenVPN、WireGuard 等）协商建隧道，进入的数据包全程加密封装并做身份认证。两种模式：远程接入（员工拨入办公）与站点到站点（总部—分支长连）。Intranet 则把 Web 技术搬进企业内网（B/S 架构替代 C/S 专用客户端）。

📌 本章带走的六件事

• 互联网是“网络的网络”：三视角理解，协议以语法/语义/时序定义，分组交换胜在统计复用
• 五层模型各司其职：端口找进程、IP 找主机、MAC 找邻居；封装是逐层穿外套
• 寻址四件套：CIDR 按需切分、NAT 续命、DHCP 零配置、路由靠最长前缀匹配
• HTTP 是文本的请求—响应协议：无状态靠 Cookie 补位，版本演进一路在拆队头阻塞
• DNS 是分布式电话簿（递归＋迭代），邮件靠 SMTP 推、IMAP 拉，CDN 把内容前置到边缘
• 安全工具箱：对称快、非对称解分发、摘要验完整、签名证身份、CA 发信任、HTTPS 总装

✍️ 课后思考

• 习题 3 手算一遍：192.168.10.78/27 的网络地址、范围与广播（再用第 23 页计算器验）
• 习题 9 串讲：用自己的话说明 HTTPS 握手里两种加密各干了什么
• 打开常用网站的证书查看器，数一数它的信任链有几层（习题 10 的实证版）