系统架构设计师常见高频考点总结之计算机网络

学习这些网络题目时可以将网络层次结构想象成高速公路系统核心层是连接城市的大型立交桥和主干道追求极速转发汇聚层是出口闸机负责检查通行证安全过滤和分流而接入层则是通往各家各户的小路。这种分层解耦的设计保证了系统即使在局部发生交通拥堵网络延迟时整体架构依然稳定1、 网络规划与设计1.1、 网络互联设备与OSI模型 (重点辨析)这是软考中最基础也是最容易混淆的部分核心是分层和隔离能力。设备名称对应OSI层次核心功能隔离能力协议处理能力中继器/集线器物理层信号放大、再生、整形不隔离冲突域不隔离广播域无只能连接相同协议、相同速率的网络网桥/交换机数据链路层帧转发、MAC寻址隔离冲突域不隔离广播域 (VLAN除外)连接相同的高层协议物理层协议可不同路由器网络层IP寻址、路由选择、分组过滤隔离广播域(抑制广播风暴)处理网络层协议连接不同子网网关应用层协议转换全隔离连接协议差别很大的网络 (如不同架构的系统)考点提炼路由器 vs 交换机路由器效率相对较低软硬件结合处理但能隔离广播、过滤分组防火墙功能、连接不同逻辑子网。维度交换机 (Switch)路由器 (Router)工作就像办公室文员海关 / 国际邮局识别凭证MAC 地址 (物理身份证)IP 地址 (收件地址)处理对象帧 (Frame)包 (Packet)如果有人喊大喇叭 (广播)跟着一起喊 (传给所有人)关门阻挡 (不让传出去)主要职责让大家连通组成局域网让大家隔离连接不同的网能连什么只能连同一个网段的电脑能连不同网段、不同架构的网协议转换只要看到“不同网络协议互联”或“协议转换”首选网关。1.2、 网络存储技术 (SAN/NAS)随着大数据和云架构的流行存储网络是架构师考试的高频点。DAS (直连存储)服务器直接接硬盘虽然便宜但孤岛效应严重难以共享。NAS (网络附属存储)文件级存储 (File-level)。即插即用通过以太网(TCP/IP)共享文件 (NFS/CIFS协议)。性能受网络带宽限制。SAN (存储区域网络)块级存储。FC SAN使用光纤通道 (Fibre Channel)协议。性能最高成本昂贵传输距离有限。IP SAN使用iSCSI协议 (把SCSI指令封装在TCP/IP包里)。成本低利用现有以太网设施无距离限制。考点提炼iSCSI TCP/IP SCSI指令 (属于IP SAN)。FC 光纤通道 (属于FC SAN)。数据库等高性能需求优先选 SAN文件共享选 NAS。1.3、 网络规划与服务器部署架构师需要具备网络拓扑设计和安全规划的能力。设计原则高可用性金融、银行核心业务的首要原则 (冗余设计、双机热备)。其他原则实用性、开放性、先进性、可扩展性。服务器位置部署DMZ区 (非军事化区)放置对外服务的服务器如Web服务器、邮件网关。内网核心区放置数据库服务器、核心业务服务器 (严禁直接暴露在公网)。防火墙策略公网只能访问DMZDMZ只能访问内网特定端口如DB端口内网可访问公网。流量监控监控服务器通常连接在核心交换机的镜像端口 (Mirror Port)上以便捕获所有流经的流量。1.4、网络设计阶段任务2010年、2011年、2017年◦题目逻辑网络设计阶段的任务是什么物理网络设计阶段的任务是什么◦答案逻辑设计任务是根据需求规范实施资源分配和安全规划如选择路由协议、IP地址方案物理设计任务是确定设备的具体物理分布和运行环境如设备选型、结构化布线、机房设计。1.5、SDN网络架构Software Defined Netwok 将控制层与转发层分离通过可编程接口实现灵活网络管控1.6、网闸题目部署在政府内外网之间实现物理隔离的设备是网闸。设备A是网闸就像银行柜台的防弹玻璃和那个小抽屉。你外网和柜员内网被物理隔开了你们之间没有直接的通道应用协议被中断。你想存钱存文件怎么办你把文件放进小抽屉中间设备关上外面的门柜员从里面打开抽屉把文件拿进去。这就是图里写的“文件级交换”。1.7、5G通信系统架构软考架构师必读别再死磕物理层一文掌握 5G 架构设计的“上帝视角”2、 网络协议与通信原理2.1、 数据通信基础计算 (必考公式)这是送分题必须掌握公式注意单位换算。码元与比特的关系波特率 (Baud)码元传输速率每秒传输多少个信号变化。数据速率 (R, bps)每秒传输多少比特信息。相数 (N)调制技术产生的不同信号状态数量 (如4相DPSK, N4)。核心公式香农公式 (有噪声信道)C (Capacity - 信道容量)公式算出来的结果。代表理论上最大的数据传输速率单位通常是 bps。W (Bandwidth - 带宽)信道的频带宽度单位是 Hz赫兹。通俗理解这就是“高速公路的宽度”车道数。道路越宽能同时跑的车就越多。S/N (Signal-to-Noise Ratio - 信噪比)S 代表有用信号的功率N 代表噪声干扰的功率。 就是指信号强度是噪声强度的多少倍。注意题目给出的信噪比通常是分贝(dB)需要先换算成数值。换算公式10×log⁡10(/)。例如 30dB 意味着 /10002.2、 TCP/IP 协议族核心速记这是软考网络部分的基石网络层协议IP寻址和路由。ICMPping 命令用的就是它报告错误。ARPIP地址 → MAC地址。RARPMAC地址 → IP地址。传输层协议TCP可靠、面向连接、慢 (用于HTTP, FTP, SMTP)全双工。UDP不可靠、无连接、快 (用于视频流、DNS, SNMP)。应用层协议端口FTP (20/21), SSH (22), Telnet (23), SMTP (25), DNS (53), HTTP (80), POP3 (110), HTTPS (443) ,SNMP(161),DHCP(服务端67客户端68TFTP(69)。2.3、TCP/IP 与网络控制2012年、2014年、2021年◦题目TCP 如何防止拥塞Internet 网络核心采取的交换方式是◦答案TCP 采用可变大小的滑动窗口协议交换方式为分组交换基于 IP 协议2.4、 DHCP协议原理DHCP (动态主机配置协议)软考系统架构师考点秒杀2.5、域名系统 DNS 查询与配置2012年、2013年、2018年、2020年◦题目根域名服务器采用何种查询方式会严重影响性能解决解析出 IP 但无法解析出服务器名称的方法是Linux DNS 配置文件是◦答案根域名服务器若采用递归查询会影响性能解决方法是为服务器创建PTR 记录反向解析配置文件为/etc/resolv.conf。2.6、IPv6 关键特征还在死磕 IPv6背下这 5 句口诀面试/考试横着走2.7.负载均衡机制对比◦题目基于 DNS 的负载均衡与基于反向代理的负载均衡有何区别◦答案DNS 负载均衡配置简单、成本低但无法感知服务器实时负载反向代理负载均衡能根据实时负载分配请求支持静态资源缓存安全性更高屏蔽真实 IP但实现较复杂2.8. ESB企业服务总线ESB企业服务总线在SOA中的作用题解作为总线负责服务的元数据管理、传输协议转换、路由和消息调度。2.9. MQTTMQTT(消息队列遥测传输)是一个基于发布/订阅模式的消息协议。它工作在TCP/IP协议族上是为硬件性能低下的远程设备以及网络状况糟糕的情况下而设计的发布/订阅型消息协议。MQTT协议是轻量、简单、开放和易于实现的。2.10Ping和Echoping 是应用程序工具而 Echo 是它底层使用的具体协议消息ICMP Echo。可以把它们的关系理解为Ping 命令是“枪”而 ICMP Echo 包是“子弹”。以下是底层的技术拆解1. 技术层级关系上层应用用户在命令行输入 ping。网络层协议操作系统内核使用ICMP 协议具体消息类型ICMP 协议中定义了很多种消息ping 专门使用了以下两种去程ICMP Echo Request类型码 Type 8—— 请求回显。回程ICMP Echo Reply类型码 Type 0—— 回显应答。2. 架构设计中的引申在软考的“Ping/Echo 心跳模式”中这个概念被抽象化了不仅仅指 ICMP在分布式系统中服务 A 发送一个 HTTP 请求Ping服务 B 返回一个 200 OKEcho这也被称为 Ping/Echo 模式。核心逻辑主动探测Ping - 被动响应Echo。ping 命令的本质就是发送一个ICMP Echo Request并等待ICMP Echo Reply。3. 网络安全3.1、网络攻击原理2010年、2020年◦题目ARP 攻击导致无法跨网段通信的原因SYN Flooding 攻击的原理◦答案ARP 攻击通过伪造网关 ARP 报文使数据包无法发往网关SYN Flooding利用 TCP 三次握手缺陷恶意制造大量半连接耗尽资源。3.2、安全协议应用2011年、2014年、2017年◦题目实现安全电子邮件的协议是应用层安全协议是◦答案电子邮件协议为PGP 或 S/MIME应用层安全协议如HTTPS。3.4. IETF 集成服务 IntServ 类型◦题目IntServ 把 Internet 服务分成哪三种类型◦答案保证质量的服务Guaranteed、负载受控的服务Controlled-load和尽力而为的服务Best-Effort。3.5.数字加密加密方式对比类型密钥特点典型算法比喻对称加密加密解密用同一把密钥AES, DES, 3DES保险箱上锁和开锁用同一把钥匙非对称加密用公钥加密私钥解密RSA, ECC, DSA信箱任何人都能投信公钥但只有只有主人能取私钥数字信封概念就是“用对称密钥锁数据用公钥锁对称密钥”。既要了对称加密的速度又要了非对称加密的安全性。三重 DES 3DES 默认指的就是2-Key TDEA双密钥模式因为它是性价比最高的折中方案。即便你使用了168位的 3 Key 模式其有效的破解难度安全性强度也被证明大约只有112位。3.6.Kerberos 协议Kerberos 的名字来源于希腊神话中守卫地狱大门的“三头犬”寓意它有三个头Client、Server、KDC来共同守护安全。Kerberos 三要素Client、Server、KDC。KDC 的组成AS认证服务器负责初次登录发 TGT。TGS票证授予服务器负责发具体服务的 Service Ticket。防重放手段加密的时间戳需配合时间同步 NTP网络时间协议。特点单点登录SSO、双向认证不仅服务器认证你你也认证服务器、不传输明文密码。3.7 JWTJSON Web Token什么是JWTJWT 是一种基于 JSON 的开放标准由头部、载荷、签名三部分组成。它具有无状态和自包含的特性通过数字签名防止篡改广泛用于前后端分离系统的身份验证如 SSO和信息交换。JWT的优点无状态:JWT是无状态的,服务器不需要保存任何会话信息,可以轻松扩展和分布式环境下使用。安全:JWT通过密钥对头部和载荷进行签名保证了数据的完整性和安全性。跨域支持:JWT可以跨域使用可以在不同的域名和服务器之间使用。简单易用:JWT使用简单易于实现和维护。JWT的缺点载荷信息不能太多:JWT的载荷信息不能太多否则会导致,JWT的长度过长增加网络传输的负安全性依赖于密钥:JWT的安全性依赖于密钥的保护如果密钥泄露则JWT的安全性将受到威无法撤销:一旦JWT生成后无法撤销除非修改密钥或者设置短期的过期时间3.8 VLAN虚拟局域网及其安全作用1. 什么是 VLANVLAN (Virtual Local Area Network)即虚拟局域网。它是一种将物理的局域网LAN在逻辑上划分成多个广播域的技术。物理上所有电脑可能都连在同一台交换机上。逻辑上通过配置可以将它们划分为不同的组如财务部 VLAN 10技术部 VLAN 20。2. VLAN 在网络安全中的作用VLAN 是内网安全的第一道防线其核心作用体现在以下几点隔离广播风暴逻辑隔离与访问控制实施安全策略 (ACLs)一旦划分了 VLAN这就给了管理员在 VLAN 之间设置“关卡”的机会。我们可以在三层设备上应用ACL访问控制列表。例子允许技术部 VLAN 访问互联网但禁止技术部 VLAN 访问财务部 VLAN。限制嗅探攻击3.9 无线网络安全协议1. 安全级别排序必背WEP WPA WPA22. 详细协议对比解析协议标准WEP(有线等效保密)WPA(WiFi网络安全接入)WPA2加密算法RC4(流加密)RC4(但在其基础上增强)AES(对称加密)完整性校验CRC-32(循环冗余校验)MIC(报文完整性编码)CCMP (基于AES)密钥管理静态密钥 (容易被破解)TKIP(临时密钥完整性协议)CCMP核心特点安全性低数据易被篡改动态改变密钥防止重放攻击安全性最高硬件加速