將OSI模型視為一種抽象概念很有用，它使我們能夠推斷網(wǎng)絡(luò)上關(guān)注點(diǎn)的分離。

譯自Deciphering the Open Systems Interconnection Model，作者 Laura Santamaria。

除非你學(xué)習(xí)過(guò)網(wǎng)絡(luò)認(rèn)證，否則開(kāi)放系統(tǒng)互聯(lián) (OSI) 模型對(duì)你來(lái)說(shuō)可能多少有些神秘。也許你從同事那里聽(tīng)說(shuō)過(guò)它，也許你在 AWS 上某個(gè)產(chǎn)品的營(yíng)銷(xiāo)活動(dòng)中看到過(guò)它。

也許你認(rèn)為“第 3 層”只是一個(gè)新的流行語(yǔ)。然而，對(duì)OSI 模型的這種簡(jiǎn)寫(xiě)引用，如果你能解碼它們，就會(huì)很有用，因?yàn)樗鼈兛梢詭椭憷斫夤ぞ呖赡苓m合的網(wǎng)絡(luò)堆棧位置，或者在事故呼叫期間查找問(wèn)題的位置。

在我們深入探討之前，讓我先解決一個(gè)有爭(zhēng)議的問(wèn)題。許多人會(huì)說(shuō)理論上的 OSI 模型已經(jīng)過(guò)時(shí)了。該模型是理論性的，這是真的，現(xiàn)實(shí)世界肯定比它可能讓你相信的要復(fù)雜得多。它的各層并沒(méi)有與特定的設(shè)備完美對(duì)應(yīng)，并且存在其他更準(zhǔn)確地反映現(xiàn)實(shí)世界的模型，例如傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議 (TCP/IP) 模型。

圖片

將 OSI 模型視為一種抽象很有用，它使我們能夠推斷網(wǎng)絡(luò)上關(guān)注點(diǎn)的分離。當(dāng)我們的數(shù)據(jù)無(wú)法到達(dá)目的地時(shí)，我們用它來(lái)思考故障排除步驟，并且在我們構(gòu)建分布式系統(tǒng)時(shí)，我們用它來(lái)思考架構(gòu)需求。

它不是一個(gè)具有嚴(yán)格邊界和規(guī)則的定理。它是一種我們?cè)谙到y(tǒng)科學(xué)中發(fā)現(xiàn)的理論：試圖近似現(xiàn)實(shí)世界以幫助我們更好地理解它。

分層詳解

為了理解該模型，讓我們跟蹤數(shù)據(jù)從你的計(jì)算機(jī)到另一個(gè)系統(tǒng)，并探索它在此過(guò)程中是如何變化的。假設(shè)你正在使用你的計(jì)算機(jī)，需要與同事聊天。你打開(kāi)你的聊天應(yīng)用程序并寫(xiě)一條消息。數(shù)據(jù)移動(dòng)開(kāi)始，當(dāng)你發(fā)送它時(shí)，OSI 模型就開(kāi)始發(fā)揮作用。該模型的頂層四層稱(chēng)為“主機(jī)層”，由于我們位于主機(jī)（你的計(jì)算機(jī)）上，因此我們將從這里開(kāi)始本練習(xí)。

主機(jī)層

主機(jī)層

第 7 層：應(yīng)用層

我們從第 7 層，應(yīng)用層開(kāi)始。“應(yīng)用”在這里并不一定指你的聊天應(yīng)用程序，而是指它用于發(fā)送消息的協(xié)議的實(shí)現(xiàn)。例如，該協(xié)議可能是 WebSocket。此層中的其他協(xié)議包括用于電子郵件應(yīng)用程序的 SMTP（簡(jiǎn)單郵件傳輸協(xié)議）或用于 Web 瀏覽器的 HTTP（超文本傳輸協(xié)議）。你使用的應(yīng)用程序或 API 使用這些協(xié)議接受數(shù)據(jù)。在本例中，你的聊天應(yīng)用程序?qū)崿F(xiàn)邏輯以接收你使用的數(shù)據(jù)并識(shí)別正確的傳輸協(xié)議。

第 6 層：表示層

一旦你的應(yīng)用程序識(shí)別出正確的協(xié)議，數(shù)據(jù)就會(huì)下降到第 6 層，表示層。在表示層——它仍然在你的機(jī)器上，甚至可能在同一個(gè)應(yīng)用程序中！——數(shù)據(jù)被轉(zhuǎn)換為正確的協(xié)議。例如，如果你正在發(fā)送 GIF，表示層會(huì)獲取顯示格式并對(duì)其進(jìn)行編碼以通過(guò)網(wǎng)絡(luò)傳輸。由于我們?cè)诹奶鞈?yīng)用程序中，聊天也可能被計(jì)費(fèi)為加密通信。數(shù)據(jù)加密也發(fā)生在第 6 層，壓縮也可能發(fā)生在你發(fā)送圖像時(shí)。

第 5 層：會(huì)話層

然后我們下降到第 5 層，會(huì)話層。（我們?nèi)匀辉谀愕挠?jì)算機(jī)上。）如果你剛剛打開(kāi)你的聊天應(yīng)用程序，你可能需要登錄。第 5 層是我們打開(kāi)會(huì)話并進(jìn)行身份驗(yàn)證的地方。如果你開(kāi)發(fā)或維護(hù)過(guò)具有登錄或身份驗(yàn)證需求的應(yīng)用程序，你可能熟悉用戶(hù)會(huì)話。視頻或音頻會(huì)議應(yīng)用程序在開(kāi)始呼叫時(shí)打開(kāi)會(huì)話，并在終止呼叫時(shí)關(guān)閉會(huì)話。在這種情況下，當(dāng)你登錄應(yīng)用程序時(shí)，它設(shè)置并發(fā)送了一系列調(diào)用和響應(yīng)中的第一個(gè)，以建立連接。根據(jù)應(yīng)用程序的架構(gòu)，當(dāng)你與同事發(fā)送私信時(shí)，可能會(huì)打開(kāi)另一個(gè)會(huì)話。

第 4 層：傳輸層

注意，我們已經(jīng)到達(dá)了第四層，但仍然沒(méi)有離開(kāi)主機(jī)！在這個(gè)抽象的世界里，沒(méi)有任何數(shù)據(jù)離開(kāi)你的電腦，它仍然只是一堆沒(méi)有特定方向的數(shù)據(jù)。這種情況即將改變。第四層，傳輸層，是主機(jī)中的最后一層。在這里，數(shù)據(jù)開(kāi)始打包并準(zhǔn)備傳輸。這種打包的正式術(shù)語(yǔ)是“封裝”。（在接收端，當(dāng)數(shù)據(jù)從較低層移動(dòng)到較高層時(shí)，它會(huì)經(jīng)過(guò)“解封裝”。）在第四層，例如 TCP/IP 連接，一旦數(shù)據(jù)到達(dá)目標(biāo)機(jī)器（目標(biāo)端口），就會(huì)獲得一個(gè)要使用的端口號(hào)，以及它將從中離開(kāi)的端口號(hào)（源端口）。此時(shí)，數(shù)據(jù)及其報(bào)頭稱(chēng)為段。從這里開(kāi)始的段流入將離開(kāi)你的電腦的數(shù)據(jù)流中，因此此處生成的所有元數(shù)據(jù)的報(bào)頭對(duì)于在另一端將其解析回正確的服務(wù)至關(guān)重要：你同事的聊天應(yīng)用程序。

媒體層

最底下的三層稱(chēng)為媒體層。“媒體”一詞在這里指的是硬件，這些層主要在專(zhuān)用于網(wǎng)絡(luò)的硬件上工作。

第三層：網(wǎng)絡(luò)

在第三層，網(wǎng)絡(luò)層，數(shù)據(jù)通常會(huì)被分解成較小的塊，稱(chēng)為數(shù)據(jù)包，以便傳輸。每個(gè)數(shù)據(jù)包都帶有一個(gè)報(bào)頭，其中包含主機(jī)地址和最終目標(biāo)地址（如果通過(guò)互聯(lián)網(wǎng)傳輸，通常是 IP 地址）。在硬件方面，第三層通常由路由器表示。最終目標(biāo)地址通常是設(shè)備存儲(chǔ)的路由表的一部分。路由器使用路由算法來(lái)決定到達(dá)目的地的最佳路徑，因?yàn)樗ǔ２恢挂徊街b，并且數(shù)據(jù)包經(jīng)常從一個(gè)路由器轉(zhuǎn)發(fā)到另一個(gè)路由器。

第二層：數(shù)據(jù)鏈路層

參考路由表獲取 IP 地址后，我們下降到第二層，數(shù)據(jù)鏈路層。在這里，你的 MAC（媒體訪問(wèn)控制）地址被添加到數(shù)據(jù)的報(bào)頭作為源地址，然后系統(tǒng)嘗試識(shí)別哪個(gè)設(shè)備應(yīng)該是數(shù)據(jù)到達(dá)最終目的地的下一站。一旦它擁有中間連接的 MAC 地址，系統(tǒng)就會(huì)將該 MAC 地址作為目標(biāo)地址添加到報(bào)頭中，創(chuàng)建一個(gè)幀。然后系統(tǒng)識(shí)別要從中發(fā)送幀的端口，準(zhǔn)備下降到第一層。如果我們將不同的層與不同的硬件部件關(guān)聯(lián)起來(lái)，這一層的物理盒子將是交換機(jī)，它保存 MAC 地址表，該表將每個(gè)物理端口映射到特定的 MAC 地址。總有一個(gè)端口被保存為萬(wàn)能端口，表中沒(méi)有的所有內(nèi)容都會(huì)被轉(zhuǎn)發(fā)。

在我們的示例中，在這個(gè)階段沒(méi)有涉及獨(dú)立的交換機(jī)。第二層（以及第三層，從技術(shù)上講）的邏輯位于你的計(jì)算機(jī)內(nèi)部。第二層邏輯和使用的第一層端口曾經(jīng)是稱(chēng)為網(wǎng)絡(luò)接口卡 (NIC) 的物理硬件的一部分。如果你以前組裝過(guò)臺(tái)式機(jī)，你可能知道它為網(wǎng)卡。（你可能記得通過(guò)總線將網(wǎng)卡連接到主板或插入一個(gè)加密狗。）現(xiàn)在大多數(shù)用戶(hù)系統(tǒng)都將此接口內(nèi)置到主板或片上系統(tǒng)中。然而，在更大的環(huán)境中，例如辦公室網(wǎng)絡(luò)，在第二層可能會(huì)有一個(gè)交換機(jī)（或交換機(jī)路由器組合設(shè)備）。

圖片

最后，我們下降到第一層，物理層。數(shù)據(jù)現(xiàn)在可以移動(dòng)了！數(shù)據(jù)總是以比特流（0 和 1 的流）的形式在物理層移動(dòng)，這可以意味著物理電纜或無(wú)線連接。但是，如果你連接到互聯(lián)網(wǎng)，數(shù)據(jù)必須在某些時(shí)候穿過(guò)物理電纜。第一層中最大的電纜構(gòu)成了互聯(lián)網(wǎng)骨干：巨大的光纖和銅纜束，在地下和海洋下在世界各地的不同中心之間運(yùn)行。骨干網(wǎng)在交換點(diǎn)相遇，數(shù)據(jù)從一個(gè) ISP 或網(wǎng)絡(luò)轉(zhuǎn)移到另一個(gè) ISP 或網(wǎng)絡(luò)。由于存在許多交換點(diǎn)和網(wǎng)絡(luò)，因此存在許多路由，這就是運(yùn)輸變得復(fù)雜的地方。

傳輸

實(shí)際上，你的數(shù)據(jù)會(huì)沿著各種不同的路徑傳輸。它會(huì)經(jīng)過(guò)你筆記本電腦上的所有OSI層，然后通過(guò)1層連接跳轉(zhuǎn)到你的無(wú)線接入點(diǎn)。之后，它可能會(huì)在接入點(diǎn)內(nèi)部上升到2層以獲取新的MAC地址目標(biāo)，然后再下降到1層，跳轉(zhuǎn)到一個(gè)將數(shù)據(jù)轉(zhuǎn)發(fā)到路由器的交換機(jī)。然后，路由器會(huì)查詢(xún)其路由表以決定使用哪個(gè)端口。假設(shè)你的數(shù)據(jù)需要通過(guò)互聯(lián)網(wǎng)傳輸，路由器會(huì)將其發(fā)送到你的ISP，并通過(guò)各層傳輸?shù)?層。它也可能被發(fā)送到另一個(gè)路由器，然后該路由器會(huì)將其跳躍式地發(fā)送到目的地。設(shè)備可以處理多個(gè)OSI層，因此如果你試圖追蹤它，這個(gè)概念模型可能會(huì)失效。如果你正在使用VPN，那么當(dāng)你的數(shù)據(jù)在互聯(lián)網(wǎng)上傳輸時(shí)，事情會(huì)變得更加復(fù)雜。

一旦你的數(shù)據(jù)到達(dá)正確的系統(tǒng)，它就開(kāi)始向上返回到同事的電腦。它可能會(huì)通過(guò)交換機(jī)或路由器（或兩者！）到達(dá)正確的機(jī)器，然后向上層移動(dòng)，從1層到7層。當(dāng)它向上移動(dòng)時(shí)，報(bào)頭會(huì)在解封裝過(guò)程中被剝離，數(shù)據(jù)會(huì)被重新組裝、解密并轉(zhuǎn)換為應(yīng)用程序可以理解的內(nèi)容。最后，你的貓GIF出現(xiàn)在你同事的屏幕上。

圖片

如果你們都在同一個(gè)網(wǎng)絡(luò)上，你的數(shù)據(jù)會(huì)下降到你的機(jī)器的1層，然后可能通過(guò)連接（1層）到交換機(jī)（2層）。在交換機(jī)上，其表中已經(jīng)包含了同事機(jī)器的MAC地址，數(shù)據(jù)不需要到路由器。相反，它會(huì)下降到端口并通過(guò)連接直接到達(dá)同事的機(jī)器。這是現(xiàn)實(shí)生活中最簡(jiǎn)單的網(wǎng)絡(luò)設(shè)置，因?yàn)槲覀儸F(xiàn)在很少再使用直接的物理連接了。在這種簡(jiǎn)單的設(shè)置中，只有當(dāng)你要跨越多個(gè)網(wǎng)絡(luò)時(shí)，才需要跳到3層。如果你在選擇的云提供商上有一個(gè)虛擬網(wǎng)絡(luò)，然后嘗試連接到另一個(gè)虛擬網(wǎng)絡(luò)，你需要建立一個(gè)IP地址并打開(kāi)一個(gè)端口以通過(guò)開(kāi)放的互聯(lián)網(wǎng)連接，或者使用某種虛擬路由解決方案，例如Equinix的Fabric Cloud Router，來(lái)跨網(wǎng)絡(luò)連接。

現(xiàn)實(shí)生活

OSI抽象之外的世界上的硬件并不那么簡(jiǎn)單。有具有淺層路由表的3層交換機(jī)；能夠處理到4層的多層交換機(jī)，因?yàn)樗鼈兝斫釳AC地址、IP地址、協(xié)議和端口；處理1、2和3層的橋接路由器；甚至可以在任何層工作的網(wǎng)關(guān)。

使用OSI模型進(jìn)行故障排除是很常見(jiàn)的。正如開(kāi)發(fā)人員使用回溯和斷點(diǎn)來(lái)發(fā)現(xiàn)代碼在哪里中斷一樣，網(wǎng)絡(luò)工程師使用OSI模型來(lái)發(fā)現(xiàn)數(shù)據(jù)在哪里停止流動(dòng)。從找到一個(gè)關(guān)閉的端口到發(fā)現(xiàn)HTTP工作但HTTPS不工作，OSI模型可以提供一個(gè)清單來(lái)驗(yàn)證你的所有網(wǎng)絡(luò)組件是否正常工作。它不僅適用于數(shù)據(jù)中心或本地網(wǎng)絡(luò)。你可以使用OSI模型來(lái)排除Kubernetes集群的虛擬網(wǎng)絡(luò)或Docker容器的端口故障。虛擬網(wǎng)絡(luò)通常遵循與物理網(wǎng)絡(luò)相同的許多約定，從端口和連接到VLAN（虛擬局域網(wǎng)）和IP-WAN（互聯(lián)網(wǎng)協(xié)議廣域網(wǎng)）。

TCP/IP模型更準(zhǔn)確地代表了我們所知的互聯(lián)網(wǎng)，許多人認(rèn)為它是更實(shí)用的學(xué)習(xí)模型。然而，許多（如果不是全部）網(wǎng)絡(luò)工具和硬件供應(yīng)商都使用OSI模型的層命名方案來(lái)引用功能，例如“2層本地網(wǎng)絡(luò)”或“3層網(wǎng)絡(luò)連接”。網(wǎng)絡(luò)安全供應(yīng)商可能會(huì)談?wù)摲植际较到y(tǒng)第3層和第4層的攻擊。理解這些術(shù)語(yǔ)背后的概念很重要，即使只是為了跟上討論的上下文。