一、五層網(wǎng)絡模型

1. 主要的網(wǎng)絡協(xié)議

[[322750]]

以下每層列出的協(xié)議，都能夠在代碼或者操作系統(tǒng)中使用和管理，當程序進行網(wǎng)絡通信時，需要由這些協(xié)議共同協(xié)作完成。

應用層，包括HTTP、TLS(SSL3.1)、DNS、Thrift、FTP等

傳輸層，TCP(傳輸控制協(xié)議)、UDP(用戶報文協(xié)議)

網(wǎng)絡層，IP(網(wǎng)際協(xié)議)

鏈路層，ARP(地址解析協(xié)議)

物理層，該層與硬件關系更為緊密，無需太過關注

程序運行過程圖解

2. 網(wǎng)絡通信的過程

網(wǎng)絡通信的過程

在程序中發(fā)送HTTPS請求時，數(shù)據(jù)經(jīng)過各層的處理，最終到達目標地址。對各層處理的主要部分進行了描述，其中第1、2、3步在程序中進行，第4、5、6步在操作系統(tǒng)內(nèi)核中進行，第7步由硬件設備完成，下面對每一步進行詳細描述：

DNS解析將域名轉(zhuǎn)換為IPv4或IPv6地址，它依托于UDP協(xié)議向DNS服務器發(fā)送查詢請求并獲取響應信息。

HTTP報文由程序中的httpclient工具生成，包含用戶設置的HTTP相關參數(shù)(URL、header、body等)。

TLS協(xié)議通過四次握手機制協(xié)商出公鑰/私鑰，客戶端生成“會話密鑰”由公鑰加密發(fā)送到服務端，服務端通過私鑰解密獲取，最終使用該“會話密鑰”對HTTP報文進行加密。

TCP連接通過三次握手機制建立，HTTP報文以字節(jié)流形式寫入，發(fā)送的數(shù)據(jù)都需要經(jīng)過“發(fā)送-確認”的過程，以保證其完整送達到指定IP地址。

IP數(shù)據(jù)包將字節(jié)流按MTU大小進行拆分，局域網(wǎng)內(nèi)通常為1500字節(jié)，互聯(lián)網(wǎng)通常為512字節(jié)。IP數(shù)據(jù)包的頭信息上記錄了發(fā)送者IP和接收者IP。

MAC幀在發(fā)送時，實際無法直接發(fā)送到指定的IP地址，需要內(nèi)核根據(jù)路由表中記錄的信息(本地路由表查看命令route -n)，通過“IP地址與子網(wǎng)掩碼”進行“與運算”得到下一跳的網(wǎng)關IP。然后，鏈路層通過ARP協(xié)議獲取網(wǎng)關IP的MAC地址(本地ARP緩存表查看命令arp -a)，將發(fā)送者MAC地址和網(wǎng)關MAC地址封裝到MAC幀中。

二、關鍵的外部服務

上一節(jié)描述的網(wǎng)絡通信過程，需要多種外部服務的參與才能完成，包括DNS服務、CA服務、路由器、ISP服務。

1. DNS服務

DNS服務器由DNS服務提供商進行管理，提供根據(jù)域名查詢IP地址的服務，常見的DNS服務提供商有中國電信(114.114.114.114)和谷歌(8.8.8.8)，Linux系統(tǒng)中在文件/etc/resolv.conf中和目錄/etcc/sysconfig/network-scripts/下使用cat命令查看配置的DNS服務器IP地址。

2. CA頒發(fā)與驗證服務

CA服務器提供了TLS協(xié)議中需要的證書頒發(fā)服務，在TLS進行四次握手時通過CA服務驗證服務器提供的證書是否可信。瀏覽器內(nèi)置了多種CA服務器的地址，并且也可以在本地配置證書進行驗證(如：12306.cn需要在瀏覽器安裝私有證書)。

3. 路由器

路由器是個人電腦發(fā)送IP數(shù)據(jù)包到互聯(lián)網(wǎng)的第一道網(wǎng)關，路由器內(nèi)置了相關ISP服務器的信息。

4. ISP服務器

ISP(Internet Service Provider)互聯(lián)網(wǎng)服務提供商(如：中國電信、中國聯(lián)通)是網(wǎng)絡服務的關鍵角色，ISP服務器的作用與路由器相同，它們記錄了龐大的路由表提供給數(shù)據(jù)鏈路層進行查詢。當我們想要將自己的服務器接入到互聯(lián)網(wǎng)中，需要付費給ISP進行注冊，本質(zhì)就是在ISP服務添加了自己服務器的路由信息(實際還涉及到光纖建設等物理層實施，這里不做描述)。