第3章工業(yè)控制系統(tǒng)網(wǎng)絡(luò)工業(yè)控制系統(tǒng)安全與實踐2本章學習目標了解工業(yè)數(shù)據(jù)傳輸發(fā)展歷程，工業(yè)數(shù)據(jù)傳輸是如何從氣動信號與電動信號不斷發(fā)展到如今主流的以太網(wǎng)通信。了解工控系統(tǒng)中所使用到通訊技術(shù)的基本概念和相關(guān)基礎(chǔ)知識，如模擬量信號和混合型信號、串行通訊協(xié)議、以太網(wǎng)通信中的MAC地址、TCP/IP協(xié)議等。動手完成網(wǎng)絡(luò)攻擊與防護實踐內(nèi)容，通過實踐的方式了解工控系統(tǒng)所存在的網(wǎng)絡(luò)安全風險以及防護手段。3.1 工業(yè)數(shù)據(jù)信號傳輸技術(shù)3.2 總線技術(shù)3.3 以太網(wǎng)通信3.4 網(wǎng)絡(luò)攻擊與防護3.5本章小結(jié)和習題目

錄CONTENT33.1工業(yè)數(shù)據(jù)信號傳輸技術(shù)53.1.1 工業(yè)數(shù)據(jù)傳輸發(fā)展歷程工業(yè)數(shù)據(jù)是指在生產(chǎn)過程中產(chǎn)生的各種數(shù)據(jù)，如傳感器數(shù)據(jù)、設(shè)備狀態(tài)數(shù)據(jù)、生產(chǎn)參數(shù)等。工業(yè)數(shù)據(jù)傳輸?shù)男枨蟠偕诉h傳儀表的產(chǎn)生。遠傳儀表作為一種數(shù)據(jù)傳輸工具，能夠?qū)⒐I(yè)現(xiàn)場的數(shù)據(jù)通過遠程通信方式傳輸?shù)奖O(jiān)控中心或其他數(shù)據(jù)處理系統(tǒng)，實現(xiàn)對工業(yè)過程的實時監(jiān)測和遠程控制。63.1.1 工業(yè)數(shù)據(jù)傳輸發(fā)展歷程工控數(shù)據(jù)信號傳輸?shù)陌l(fā)展可主要經(jīng)歷了模擬信號時代、數(shù)字信號時代、網(wǎng)絡(luò)化時代三個階段。7模擬信號時代：在早期的工控系統(tǒng)中，信號主要是模擬信號。這些信號是通過傳感器、執(zhí)行器等設(shè)備產(chǎn)生的電壓、電流等連續(xù)變化的物理量。典型的代表為早期的氣動與電動信號。數(shù)字信號時代：隨著計算機技術(shù)的發(fā)展，數(shù)字信號逐漸取代了模擬信號在工控系統(tǒng)中的應(yīng)用。得益于數(shù)字信號的優(yōu)勢，發(fā)展出HART協(xié)議這種過渡型的混合型信號，以及現(xiàn)場總線的數(shù)字型和無線數(shù)字型信號。網(wǎng)絡(luò)化時代：隨著互聯(lián)網(wǎng)的普及，工控系統(tǒng)開始采用網(wǎng)絡(luò)化的方式進行信號傳輸和處理。通過網(wǎng)絡(luò)，各個設(shè)備可以實時共享數(shù)據(jù)，實現(xiàn)遠程監(jiān)控和控制。網(wǎng)絡(luò)化的信號傳輸理論上還是數(shù)字信號傳輸，現(xiàn)場總線也在這一時代拓展，形成了適應(yīng)網(wǎng)絡(luò)協(xié)議傳輸?shù)目偩€協(xié)議。工業(yè)數(shù)據(jù)傳輸發(fā)展歷程工業(yè)數(shù)據(jù)傳輸時代變遷3.1.1 工業(yè)數(shù)據(jù)傳輸發(fā)展歷程8氣動信號電動信號3.1.2 氣動信號與電動信號以壓縮空氣為能源的儀表，稱為氣動儀表。氣動信號是利用潔凈壓縮空氣，將壓力、流量以及液位等過程參數(shù)轉(zhuǎn)換為可以進行傳送的空氣壓力信號。氣動儀表的標準傳輸信號范圍為20-100kPa。傳輸電流信號或電壓信號的儀表為電動儀表，也稱DDZ儀表。這種儀表主要傳輸兩種類型的信號：0～10mA和4～20mA的直流電流信號。其中，DDZ-I型和DDZ-Ⅱ型儀表使用0～10mA的直流電流信號，DDZ-Ⅲ型儀表則采用4～20mA直流電流信號。模擬量信號93.1.3 模擬量信號開關(guān)量信號：一對觸點構(gòu)成開關(guān)量，這兩個觸點存在兩種狀態(tài)，即閉合或斷開。例如對于一只壓力表而言，開關(guān)量信號承擔著傳遞壓力存在與否的信息，即有壓力與無壓力的狀態(tài)。模擬量信號：是指其幅度隨時間不斷變化的信號，如電壓和電流。這些信號在經(jīng)過采樣和量化處理后，轉(zhuǎn)變?yōu)閿?shù)字量。模擬量指的是那些不能被PLC直接處理的連續(xù)變化的物理量。為了處理這些物理量，需要在模擬量輸入模塊中將它們轉(zhuǎn)換成與輸入信號成比例的數(shù)字量。以壓力表舉例，壓力的大小是將壓力值轉(zhuǎn)化為電壓或電流這樣的模擬量信號進行傳遞。數(shù)字量信號：信號類型由0和1構(gòu)成，這類信號往往是經(jīng)過編碼而呈現(xiàn)出規(guī)律性的。它們與模擬量之間的關(guān)系在于，數(shù)字量信號是模擬量經(jīng)量化處理后的結(jié)果。在PLC系統(tǒng)中，數(shù)字量要在模擬量輸出模塊中將其轉(zhuǎn)換為與相應(yīng)數(shù)字信號成比例的電壓或電流，增強了系統(tǒng)的抗干擾能力。國際電工委員會（IEC）制定的4-20mA（1-5V）信號標準被廣泛應(yīng)用于過程控制系統(tǒng)的模擬信號傳輸。自DDZ-Ⅲ型電動儀表起，我國開始遵循這一國際信號標準。在此標準下，儀表傳輸信號使用4-20mA的電流范圍，而聯(lián)絡(luò)信號則采用1-5V的電壓范圍，即采用電流傳輸、電壓接收的信號系統(tǒng)。在介紹模擬量信號前，首先需要清楚開關(guān)量、數(shù)字量、模擬量信號間的關(guān)系。103.1.3 模擬量信號模擬量信號傳輸可采用電壓信號（0-10V、0-24V），但工業(yè)上最廣泛采用的是用4~20mA電流來傳輸。由于連接電纜的電阻可能較高以及傳輸距離較遠等問題，使用電壓信號進行遠程傳輸時，電線電阻與接收儀表輸入電阻的分壓作用可能導(dǎo)致顯著的誤差。模擬信號也容易被惡意攻擊者利用來進行各種形式的攻擊。攻擊者可以通過對模擬信號的干擾或篡改，來影響信號的完整性和準確性，進而達到竊取信息、破壞系統(tǒng)等目的。在特定的高壓情況下，當模擬信號的電壓水平超過供電電壓時，可能會導(dǎo)致供電電壓下降至故障信號二極管的壓降范圍內(nèi)。在這種情況下，內(nèi)部的二極管會進入正向偏置狀態(tài)，從而使得電流從輸入信號流向電源。過壓信號還可能通過開關(guān)并繼續(xù)流向下游的元件，從而對其造成損害。113.1.4 混合型信號微處理器已經(jīng)被廣泛應(yīng)用于各種變送器、傳感器、控制器，甚至是集散控制系統(tǒng)和可編程邏輯控制器。傳輸需求顯著增長導(dǎo)致現(xiàn)場設(shè)備與控制室設(shè)備之間必須交換大量的信息，傳統(tǒng)的模擬信號傳輸方法已不足以應(yīng)對現(xiàn)場的實質(zhì)性要求。此外，現(xiàn)場儀表的安裝位置有時并不理想，這給現(xiàn)場參數(shù)的調(diào)試帶來了不便。因此，迫切需要一種全數(shù)字化的、雙向的、多變量通信解決方案來替代傳統(tǒng)的模擬傳輸方法。HART協(xié)議（HighwayAddressibleRemoteTransducer）是一種工業(yè)自動化領(lǐng)域的通訊協(xié)議，它主要是為了解決傳統(tǒng)4-20mA模擬信號傳輸方式的局限性。傳統(tǒng)的模擬信號只能提供有限的信息，無法實現(xiàn)設(shè)備參數(shù)的遠程監(jiān)測和調(diào)整，HART協(xié)議通過FSK技術(shù)將數(shù)字信號疊加于4-20mA的信號之上，這樣可以讓儀表和控制系統(tǒng)之間既能傳輸模擬量信號，也可以通過數(shù)字通訊實現(xiàn)設(shè)備的配置、診斷和校準等功能。12混合型信號混合型信號3.1.4 混合型信號點對點網(wǎng)絡(luò)中：傳統(tǒng)的電流信號用于控制過程，配置參數(shù)通過HART協(xié)議進行數(shù)字傳輸。HART多點通信網(wǎng)絡(luò)用于設(shè)備間距較寬的情況。多點網(wǎng)絡(luò)中：與主設(shè)備通信只需要兩根電線。如果需要，配置IS屏蔽和輔助電源可用于多達15個設(shè)備。133.1.4 混合型信號HART協(xié)議HART協(xié)議的目標就是對儀表的監(jiān)測與遠程調(diào)校，調(diào)校分為以下三步：1模擬變送器值與內(nèi)部生成的可追溯參考值進行比較，以決定是否需要對現(xiàn)場設(shè)備進行校準。2量程模塊分別使用4mA和20mA的上下量程值，需要對感器值的量程進行校準。3量程模塊的輸出傳遞給DAQ塊，然后該模塊將百分比范圍值轉(zhuǎn)換為環(huán)路電流信號。必要時需要對電流回路進行校準。安全風險：HART協(xié)議借鑒了OSI模型，它使用了第一層物理層和第二層數(shù)據(jù)鏈路層以及第七層應(yīng)用層，所以也存在網(wǎng)絡(luò)安全問題。不法分子可使用手持終端接入HART網(wǎng)絡(luò)或直接采取搭線監(jiān)聽的方式，對現(xiàn)場設(shè)備展開非法控制與數(shù)據(jù)篡改。HART協(xié)議02總線技術(shù)15串行通信：一種在計算機總線或數(shù)據(jù)通道上逐比特進行數(shù)據(jù)傳輸?shù)耐ㄐ欧绞?，該過程是連續(xù)且逐一進行的。并行通信：在串行端口上同時傳輸多個比特數(shù)據(jù)。盡管串行通信在傳輸速度上不如并行通信快，但串行通信僅需兩根線就能實現(xiàn)數(shù)據(jù)傳輸，這是其一大優(yōu)勢。串行與并行在串行通信過程中，通信雙方需要遵循一個共同的接口標準，以便于不同設(shè)備之間的便捷連接和通信。串行通信的常見標準有RS-232、RS-422/485、SPI、I2C等。串行通訊接口標準3.2.1 串行通訊協(xié)議16RS-232是由美國電子工業(yè)協(xié)會（ElectronicIndustryAssociation,EIA）所制定的一個串行物理接口標準。RS232傳輸距離有限，通常是九針接口，且抗干擾能力差，所以多用于設(shè)備近距離調(diào)試。RS-232RS-422/485標準采用屏蔽雙絞線銅纜，并運用差分電路技術(shù)，允許一對多的通信方式。這些標準有效地減少了噪聲干擾，具備較高的抗干擾能力和較長的傳輸距離。RS-422/485串行通訊接口標準3.2.1 串行通訊協(xié)議

RS-232RS-485傳輸方式不平衡（單端通信）平衡傳輸（差分傳輸）傳輸距離短距離（最大20m）長距離（最大4km）通信對象一對一一對多（128）工作模式全雙工半雙工傳輸材料電纜、雙絞線電纜、雙絞線工作電壓±3~±15v±2~±6v17概念和目的工業(yè)總線協(xié)議是指在工業(yè)自動化領(lǐng)域中，設(shè)備之間進行數(shù)據(jù)交換和通信的一種規(guī)范。該協(xié)議主要目的是為了應(yīng)對工業(yè)場景下，智能儀表、控制器、執(zhí)行機構(gòu)等現(xiàn)場裝備之間的數(shù)字通訊挑戰(zhàn)，以及這些現(xiàn)場控制裝備與更高級別控制系統(tǒng)之間信息交換的困難。3.2.2 總線協(xié)議數(shù)據(jù)通信要求工業(yè)總線協(xié)議采用統(tǒng)一的數(shù)據(jù)通信標準，使得不同的設(shè)備能夠有效地進行信息交換和協(xié)同工作。但是工業(yè)總線協(xié)議涉及到的技術(shù)較為復(fù)雜，需要專業(yè)的技術(shù)人員進行設(shè)計、安裝和維護。由于其高度的可靠性和實時性，使用工業(yè)總線協(xié)議的成本也相對較高。并且由于開放性和通用性，可能存在的安全隱患也需要重視。18RS-485標準RS485標準采用差分電路，支持一主多從的通信方式，具有較強的抗干擾能力以及較遠的傳輸距離。菊花鏈拓撲結(jié)構(gòu)是RS485總線布線的標準及規(guī)范，是TIA等組織推薦使用的RS485總線拓撲結(jié)構(gòu)。在這種拓撲結(jié)構(gòu)中，主控設(shè)備與多個從控設(shè)備以手拉手的方式相連，形成一條連續(xù)的鏈路?？偩€協(xié)議常用標準3.2.2 總線協(xié)議19PROFIBUS-DPPROFIBUS是世界上較為成功的現(xiàn)場總線技術(shù)，PROFIBUS-DP一般采用RS-485傳輸技術(shù)。廣泛部署于包括工廠和過程自動化在內(nèi)的工業(yè)自動化系統(tǒng)中。Profibus-DP協(xié)議適用于分散外圍設(shè)備之間的高速數(shù)據(jù)傳輸，特別適合于加工自動化領(lǐng)域中使用。該協(xié)議使用OSI的第一層與第二層。常見的現(xiàn)場總線協(xié)議3.2.2 總線協(xié)議ModbusRTUModbusRTU是一種簡單而強大的串行總線。作用在OSI模型的物理層、數(shù)據(jù)鏈路層及應(yīng)用層。使用RS-232或RS-485串行接口進行通信，并得到市場上幾乎所有商業(yè)SCADA、HMI、OPC服務(wù)器和數(shù)據(jù)采集軟件程序的支持。因此，很容易將Modbus兼容設(shè)備集成到新的或現(xiàn)有的監(jiān)控應(yīng)用程序中，并具有即時的軟件支持?？刂破骶钟蚓W(wǎng)絡(luò)（CAN）CAN（ControllerAreaNetwork）是由德國BOSCH公司開發(fā)，最終演變?yōu)閲H標準（ISO11898），并成為全球應(yīng)用最為普遍的現(xiàn)場總線技術(shù)之一。CAN只采用了OSI模型七層中的兩層，即物理層和數(shù)據(jù)鏈路層。203.2.3 總線協(xié)議安全風險工業(yè)總線搭線監(jiān)聽風險原因一主多從的通信方式雖然可以同時掛載多個從站，提高通信效率，但也存在被搭線監(jiān)聽利用的風險。因為攻擊者可以通過搭線監(jiān)聽的方式，接入通信線路，竊取或篡改傳輸?shù)臄?shù)據(jù)，從而對各個從站進行惡意控制或竊取敏感信息。缺乏足夠的安全措施一些工業(yè)總線協(xié)議在設(shè)計時可能沒有充分考慮安全性，缺乏足夠的安全措施來保護通信數(shù)據(jù)的機密性和完整性。這增加了搭線監(jiān)聽的風險，因為攻擊者可以利用協(xié)議漏洞或缺陷來實施攻擊。3.3以太網(wǎng)通信22有線通訊在綜合布線項目中，雙絞線是一種極為普遍的傳輸介質(zhì)。由兩根銅質(zhì)導(dǎo)線組成，這些導(dǎo)線外部覆蓋有絕緣保護層。這兩根絕緣銅導(dǎo)線以一定的密度交錯絞合，在傳輸過程中，一根導(dǎo)線發(fā)出的電磁波會被另一根導(dǎo)線上的電磁波所中和，有效地降低了信號干擾。3.3.1 物理層根據(jù)有無屏蔽層可將雙絞線分為兩類。非屏蔽雙絞線成本較低，其由四對絞合在一起的絕緣導(dǎo)線制成，并由塑料絕緣套包裹保護。屏蔽雙絞線內(nèi)部配備有鋁箔、金屬編織網(wǎng)屏蔽層，可使線纜傳輸信號免受干擾，從而實現(xiàn)更快的數(shù)據(jù)傳輸。在計算機網(wǎng)絡(luò)的OSI模型中，物理層位于最底層，它負責確保原始數(shù)據(jù)能夠在不同的物理介質(zhì)上進行傳輸。物理層雖處在最底層，卻是整體開放系統(tǒng)的根基，為設(shè)備間的數(shù)據(jù)通訊帶來傳輸媒體及互聯(lián)設(shè)備，為傳輸數(shù)據(jù)帶來穩(wěn)定的環(huán)境。有線通訊233.3.1 物理層一類線（CAT1）三類線（CAT3）主要用于語音和10Mbit/s以太網(wǎng)的傳輸，目前已經(jīng)逐漸退出市場。四類線（CAT4）主要用于基于令牌的局域網(wǎng)和10BASE-T/100BASE-T。五類線（CAT5）能夠支持高達100Mbps的傳輸速率，通常用于快速以太網(wǎng)，是目前最普遍使用的以太網(wǎng)電纜。二類線（CAT2）適用于語音傳輸和最高速率4Mbps的數(shù)據(jù)傳輸。局域網(wǎng)中，100Base-T是一種以太網(wǎng)標準，它規(guī)定了在雙絞線上進行100Mbps數(shù)據(jù)傳輸?shù)奈锢韺雍蛿?shù)據(jù)鏈路層的標準，通常被稱作快速以太網(wǎng)，它使用非屏蔽雙絞線作為傳輸介質(zhì)。1999年6月，IEEE標準化委員會正式批準了這一標準。隨時發(fā)展，雙絞線的型號可分為以下幾類：主要適用于報警系統(tǒng)或基本的語音通信，不適用于數(shù)據(jù)傳輸。24無線通訊無線是通過電磁波來傳輸數(shù)字信號的一種方式。在有線網(wǎng)絡(luò)連接中，用戶通過實體網(wǎng)線進行上網(wǎng)；而在無線網(wǎng)絡(luò)連接中，用戶設(shè)備的通信可以類比為與無線路由器之間建立了虛擬的網(wǎng)線連接。3.3.1 物理層無線局域網(wǎng)（WirelessLocalAreaNetworks，WLAN）：是一種利用無線傳輸介質(zhì)來替代有線傳輸介質(zhì)的局域網(wǎng)絡(luò)，它提供了一個極其方便的數(shù)據(jù)傳輸解決方案，無線局域網(wǎng)技術(shù)目前在工業(yè)控制領(lǐng)域應(yīng)用于實時性要求不高，電磁干擾不強的場景中。無線網(wǎng)絡(luò)：是IEEE定義的無線網(wǎng)技術(shù)，在1999年，當IEEE正式確立802.11標準時，該組織選擇了CSIRO所開發(fā)的無線網(wǎng)絡(luò)技術(shù)，認為它是全球最佳的無線網(wǎng)絡(luò)技術(shù)。因此，CSIRO的無線網(wǎng)絡(luò)技術(shù)標準成為2010年Wi-Fi技術(shù)的核心技術(shù)標準。無線通訊25MAC地址MAC地址是數(shù)據(jù)鏈路層最重要的概念之一，也是互聯(lián)網(wǎng)設(shè)備最重要的屬性之一。在分組交換網(wǎng)絡(luò)中，結(jié)點間傳輸?shù)氖菙?shù)據(jù)包而非比特流。結(jié)點的網(wǎng)絡(luò)接口通過鏈路層的協(xié)議來交換數(shù)據(jù)幀。3.3.2 數(shù)據(jù)鏈路層數(shù)據(jù)幀作為數(shù)據(jù)鏈路層的基本數(shù)據(jù)單元，由三部分組成：幀頭、數(shù)據(jù)載荷和幀尾。幀頭和幀尾攜帶有必要的控制信息，例如源地址（MAC地址）、同步標識和錯誤檢測與糾正信息；數(shù)據(jù)載荷則包含了來自網(wǎng)絡(luò)層的數(shù)據(jù)包。OSI數(shù)據(jù)鏈路層是OSI模型中的第二層，位于物理層之上，主要負責在相鄰節(jié)點之間的可靠數(shù)據(jù)傳輸。其主要功能包括數(shù)據(jù)的封裝成幀、幀同步、差錯控制、流量控制以及尋址等。數(shù)據(jù)鏈路層通過這些功能確保數(shù)據(jù)能夠無誤地從源節(jié)點傳輸?shù)侥康墓?jié)點，提高數(shù)據(jù)傳輸?shù)目煽啃院托省?6MAC地址唯一性在局域網(wǎng)內(nèi)部，為了在多個結(jié)點之間進行通信，每個結(jié)點需要有一個獨特的標識，即鏈路層地址。鏈路層地址=LAN地址=物理地址=MAC地址，通常用6個字節(jié)16進制數(shù)表示，如1a-03-65-3F-2e-46。通過計算，MAC地址共有48比特，并且MAC地址是永久的（生產(chǎn)時固化在其ROM里）MAC地址3.3.2 數(shù)據(jù)鏈路層273.3.2 數(shù)據(jù)鏈路層step①獲取設(shè)備的MAC地址step②查詢OUIstep③確認供應(yīng)商首先，需要獲取要查詢的設(shè)備的MAC地址。MAC地址通?？梢栽谠O(shè)備的網(wǎng)絡(luò)設(shè)置界面中找到，也可以通過命令行界面使用特定的命令獲取。MAC地址的前三個字節(jié)（也稱為OUI，即組織唯一標識符）可以用于確定設(shè)備的供應(yīng)商。可以通過查詢OUI數(shù)據(jù)庫就可以找出與MAC地址前三個字節(jié)相對應(yīng)的供應(yīng)商信息，很多廠家有多個OUI。OUI地址：/standards-ra-web/pub/view.html#registries。為了確保查詢到的供應(yīng)商信息與設(shè)備的實際供應(yīng)商相匹配，需要將查詢到的供應(yīng)商信息與設(shè)備的實際供應(yīng)商進行詳細對比。如果兩者完全匹配，那么可以確信該設(shè)備是由該供應(yīng)商生產(chǎn)的。MAC地址風險警示：MAC地址資產(chǎn)發(fā)現(xiàn)MAC地址由48比特來表示，48位的MAC地址包括兩部分：24位組織唯一標志符（OrganizationallyUniqueIdentifier，OUI）和剩下的24位由廠家分配的代碼。在工控應(yīng)用場景中，使用MAC地址進行資產(chǎn)發(fā)現(xiàn)并確認供應(yīng)商，可以按照以下步驟進行操作：

MAC地址只能用于確認設(shè)備的供應(yīng)商，并不能提供設(shè)備的詳細信息或其他資產(chǎn)信息。要進行更詳細的資產(chǎn)發(fā)現(xiàn)和管理，可能需要結(jié)合其他工具和方法，例如網(wǎng)絡(luò)掃描工具、資產(chǎn)管理軟件等。283.3.2 數(shù)據(jù)鏈路層交換機交換機是一種網(wǎng)絡(luò)設(shè)備，用于在計算機網(wǎng)絡(luò)中轉(zhuǎn)發(fā)電或光信號，建立節(jié)點間的專用信號通道。以太網(wǎng)交換機是最常見的類型，工作在OSI模型數(shù)據(jù)鏈路層。交換機內(nèi)部具有高速背部總線和交換矩陣，能同時支持多個端口間的數(shù)據(jù)傳輸。交換機的傳輸模式包括全雙工、半雙工和自適應(yīng)模式。工業(yè)以太網(wǎng)交換機293.3.2 數(shù)據(jù)鏈路層交換機學習接收交換機在某個端口上“接收”到數(shù)據(jù)幀。查表在MAC地址表中“查找”與數(shù)據(jù)幀目的地MAC地址相對應(yīng)的端口編號。轉(zhuǎn)發(fā)一旦找到匹配項，交換機便會“轉(zhuǎn)發(fā)”該數(shù)據(jù)幀至正確的端口。記憶這些MAC地址與端口編號之間的對應(yīng)關(guān)系會被“記憶”在交換機的內(nèi)存中，從而構(gòu)建出一個MAC地址表。交換機數(shù)據(jù)轉(zhuǎn)發(fā)原理：在數(shù)據(jù)幀的轉(zhuǎn)發(fā)過程中，交換機依賴于存儲在內(nèi)部的MAC地址表。該設(shè)備的工作機制包括一系列步驟：學習、記憶、接收、查表和轉(zhuǎn)發(fā)。在“學習”階段，交換機能夠識別并儲存各端口所連接設(shè)備的MAC地址信息。30交換機將源端口上的流量復(fù)制并發(fā)送到目標端口，以便進行監(jiān)測和分析。通常，目標端口連接到一個監(jiān)控設(shè)備（例如，工業(yè)審計、網(wǎng)絡(luò)分析儀、監(jiān)控服務(wù)器），以便捕獲和處理鏡像的流量。交換機端口鏡像3.3.2 數(shù)據(jù)鏈路層交換機端口鏡像是交換機的基本功能之一，它允許將一個或多個交換機端口的網(wǎng)絡(luò)流量復(fù)制并重定向到另一個端口上，以便進行流量監(jiān)測、分析和記錄。示例：將SW2交換機下的業(yè)務(wù)數(shù)據(jù)，通過SW1交換機GE0/0/1口鏡像到SW1交換機GE0/0/2口；將從外網(wǎng)進入和出去的數(shù)據(jù)，通過SW1交換機GE0/0/3口鏡像到SW1交換機GE0/0/2口。31交換機端口鏡像3.3.2 數(shù)據(jù)鏈路層交換機端口鏡像是交換機的基本功能之一，它允許將一個或多個交換機端口的網(wǎng)絡(luò)流量復(fù)制并重定向到另一個端口上，以便進行流量監(jiān)測、分析和記錄。以華為交換機為例，在SW1上可以做如下命令行操作，就可以完成上述要求。#system-view#sysnameSW1#observe-port1interfaceGigabitEthernet0/0/2#interfaceGigabitEthernet0/0/1#port-mirroringtoobserve-port1inbound#interfaceGigabitEthernet0/0/3#port-mirroringtoobserve-port1both32IP協(xié)議IP全稱InternetProtocol（網(wǎng)際互連協(xié)議）是TCP/IP體系中的網(wǎng)絡(luò)層協(xié)議，該協(xié)議旨在處理互聯(lián)網(wǎng)在實現(xiàn)大規(guī)模、不同結(jié)構(gòu)的網(wǎng)絡(luò)互聯(lián)時所面臨的挑戰(zhàn)。IP協(xié)議的主要功能包括尋址和分段。作為最重要的網(wǎng)絡(luò)層協(xié)議，它經(jīng)常與ARP、ICMP協(xié)議配合使用。3.3.3 網(wǎng)絡(luò)層每個IP數(shù)據(jù)報包含兩個主要部分：首部和數(shù)據(jù)。首部的前置部分為固定長度，占用20字節(jié)。緊隨固定長度部分之后的是一些可選項字段，這些字段的長度是不固定的。對于IPv4數(shù)據(jù)包而言，其首部的最大擴展長度為60字節(jié)，這通常是通過添加4個字節(jié)的擴展來實現(xiàn)的。IP協(xié)議網(wǎng)絡(luò)層在數(shù)據(jù)鏈路層所提供的兩個相鄰節(jié)點間的數(shù)據(jù)幀傳輸功能之上，負責進一步協(xié)調(diào)網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)傳輸。網(wǎng)絡(luò)層確保數(shù)據(jù)能夠從源頭經(jīng)過多個中間節(jié)點，最終到達目的地，并向傳輸層提供基礎(chǔ)性的端到端數(shù)據(jù)傳輸服務(wù)。IP數(shù)據(jù)報333.3.3 網(wǎng)絡(luò)層IP協(xié)議點分十進制在網(wǎng)絡(luò)領(lǐng)域中，IP地址發(fā)揮著關(guān)鍵性的作用，它是一個獨特的4字節(jié)標識符，用于分配給每個連接到互聯(lián)網(wǎng)的主機或路由器。確保在全球范圍內(nèi)其唯一性。存在大約232個（大約40億）不同的IP地址。為了簡化書寫和記憶，每個字節(jié)通常用十進制數(shù)表示，并且各個字節(jié)之間通過句點進行分隔。343.3.3 網(wǎng)絡(luò)層IP協(xié)議IP編址IP地址的編址方法共經(jīng)歷了三個歷史階段：分類編址、子網(wǎng)編址、無分類編址。分類編址是最基本的編址方法。IP地址={<網(wǎng)絡(luò)號>，<主機號>}，其中重要的概念是根據(jù)網(wǎng)絡(luò)規(guī)模，分出的五類地址。分類編址子網(wǎng)編址是對最基本的編址方法的改進，主要是為了解決地址浪費的問題。IP地址={<網(wǎng)絡(luò)號>，<子網(wǎng)號>，<主機號>}，其中最重要的概念是引入子網(wǎng)掩碼概念，通過子網(wǎng)掩碼可以靈活控制子網(wǎng)規(guī)模，可以將大型網(wǎng)絡(luò)劃分為不同規(guī)模的子網(wǎng)，但對外仍是一個單獨的網(wǎng)絡(luò)。子網(wǎng)編址當前互聯(lián)網(wǎng)使用的無分類編址方法是無類別域間路由選擇編址。該方法自1993年提出以來，迅速獲得了廣泛的推廣和應(yīng)用。IP地址={<網(wǎng)絡(luò)前綴>，<主機號>}。無分類編址353.3.3 網(wǎng)絡(luò)層IP協(xié)議IP編址——分類編址A類IP地址：以0開頭，范圍從到55。A類地址的第一個字節(jié)是網(wǎng)絡(luò)地址，剩下的三個字節(jié)是主機地址。A類地址通常用于大型網(wǎng)絡(luò)，因為它們提供了大量的地址空間。B類IP地址：以10開頭，范圍從到55。B類地址的第一個字節(jié)是網(wǎng)絡(luò)地址，第二個字節(jié)是子網(wǎng)地址，剩下的兩個字節(jié)是主機地址。B類地址適用于中型網(wǎng)絡(luò)。C類IP地址：以110開頭，范圍從到55。C類地址的第一個字節(jié)是網(wǎng)絡(luò)地址，第二個字節(jié)是子網(wǎng)地址，剩下的兩個字節(jié)是主機地址。C類地址通常用于小型網(wǎng)絡(luò)，是最常用的商業(yè)和家庭網(wǎng)絡(luò)地址。D類IP地址：以1110開頭，范圍從到55。D類地址用于多播，即數(shù)據(jù)包可以發(fā)送到多個目的地。D類地址的第一個字節(jié)是網(wǎng)絡(luò)地址，剩下的三個字節(jié)是多播組地址。E類IP地址：范圍從到55。E類地址保留用于未來的擴展或特殊用途。E類地址的第一個字節(jié)是網(wǎng)絡(luò)地址，剩下的三個字節(jié)是保留的地址空間。363.3.3 網(wǎng)絡(luò)層IP協(xié)議IP編址——分類編址373.3.3 網(wǎng)絡(luò)層IP協(xié)議IP編址——子網(wǎng)掩碼分類子網(wǎng)編址最重要的概念是引入子網(wǎng)掩碼概念，通過子網(wǎng)掩碼可以靈活控制子網(wǎng)規(guī)模，可以將大型網(wǎng)絡(luò)劃分為不同規(guī)模的子網(wǎng)，但對外仍是一個單獨的網(wǎng)絡(luò)。383.3.3 網(wǎng)絡(luò)層IP協(xié)議公網(wǎng)IP和私網(wǎng)IP公有IP是指能被互聯(lián)網(wǎng)上所有設(shè)備識別的IP地址。這種IP地址是由因特網(wǎng)號碼分配機構(gòu)（IANA）分配給各個國家和地區(qū)，并在互聯(lián)網(wǎng)上被廣泛使用。每個公網(wǎng)IP地址都是唯一的且可以通過全球路由表定位到特定的設(shè)備。一般在家庭網(wǎng)絡(luò)出口路由器、公司出口防火墻上配置公網(wǎng)IP。私網(wǎng)IP是指在局域網(wǎng)中使用的IP地址，地址與公網(wǎng)IP的地址類似，但是不會被互聯(lián)網(wǎng)路由器轉(zhuǎn)發(fā)到因特網(wǎng)上。這種IP地址的范圍是由互聯(lián)網(wǎng)工程任務(wù)組（IETF）規(guī)定的，其中包括IP地址到55、到55和到55。393.3.3 網(wǎng)絡(luò)層ARP協(xié)議的工作過程ARP協(xié)議地址解析協(xié)議（ARP，AddressResolutionProtocol）是一種關(guān)鍵的TCP/IP協(xié)議，它用于根據(jù)IP地址來查詢對應(yīng)的MAC地址。作為網(wǎng)絡(luò)層的一個重要組成部分，該協(xié)議確保了網(wǎng)絡(luò)設(shè)備之間的通信順暢。每個網(wǎng)絡(luò)設(shè)備都配備了一個ARP緩存（也稱為ARP高速緩存），其中存儲了同一局域網(wǎng)內(nèi)所有主機和路由器的IP地址與硬件地址之間的映射關(guān)系。當數(shù)據(jù)傳輸時會查詢相應(yīng)的ARP表。步驟二：在接收到返回信息之后，主機會將IP地址與物理地址之間的映射關(guān)系存儲在自身的ARP緩存中，并且會保留這些信息一段時間。這樣，在后續(xù)的通信過程中，主機能夠通過查詢ARP緩存來直接獲取所需的信息，以此方式減少資源的消耗。步驟一：當主機準備發(fā)送信息時，它會向局域網(wǎng)內(nèi)的所有主機廣播一個ARP請求，該請求中包含了目標IP地址。隨后它會等待并接收返回的響應(yīng)信息，以此來獲取目標的物理地址；403.3.3 網(wǎng)絡(luò)層路由器路由器作為一種網(wǎng)絡(luò)硬件設(shè)備，能夠在不同的網(wǎng)絡(luò)之間架起橋梁，它智能地識別并存儲數(shù)據(jù)包中的地址信息，以此來確定數(shù)據(jù)包的最佳傳輸路徑。路由器還能夠識別和處理多種網(wǎng)絡(luò)協(xié)議，包括局域網(wǎng)中的以太網(wǎng)協(xié)議以及因特網(wǎng)上的TCP/IP協(xié)議。通過解析數(shù)據(jù)包的目標地址，路由器能夠在非TCP/IP網(wǎng)絡(luò)與TCP/IP網(wǎng)絡(luò)之間進行地址轉(zhuǎn)換。根據(jù)預(yù)設(shè)的路由算法，路由器能夠有效地將數(shù)據(jù)包傳輸至目的地，從而實現(xiàn)不同網(wǎng)絡(luò)之間的順暢連接。41交換機通常端口比較多外形不同交換機和路由器的區(qū)別3.3.3 網(wǎng)絡(luò)層最初的交換機工作在OSI（開放式系統(tǒng)互聯(lián)模型）的數(shù)據(jù)鏈路層，而路由器則工作在網(wǎng)絡(luò)層。工作層次不同交換機主要是用于組建局域網(wǎng)，而路由器則是負責實現(xiàn)多個局域網(wǎng)的互聯(lián)或者主機連接外網(wǎng)。分工不同交換機通過MAC地址來轉(zhuǎn)發(fā)數(shù)據(jù)幀，而路由器依據(jù)IP地址來傳遞IP數(shù)據(jù)報或分組。數(shù)據(jù)的轉(zhuǎn)發(fā)對象不同423.3.4 傳輸層傳輸層是協(xié)議旨在為主機上的網(wǎng)絡(luò)端點進程提供一種可靠且高效的報文傳輸服務(wù)。傳輸層的功能與網(wǎng)絡(luò)層的虛擬電路或數(shù)據(jù)報服務(wù)緊密相關(guān)。實際上，當兩臺主機進行通信時本質(zhì)上就是它們之間對應(yīng)的應(yīng)用進程在相互交換信息。應(yīng)用進程之間的通信又稱為端到端的通信。傳輸層有兩種主要協(xié)議：一種是面向連接的TCP，另一種是無連接的UDP。傳輸層的核心作用在于提升網(wǎng)絡(luò)資源的效率，以符合通信子網(wǎng)的特點，并為兩個終端系統(tǒng)之間的會話層提供創(chuàng)建、保持及終止傳輸鏈接的服務(wù)，負責確保端到端的數(shù)據(jù)傳輸是可靠的。在傳輸層中，尋址是通過端口來完成的。433.3.4 傳輸層端口作為應(yīng)用層協(xié)議進程與傳輸實體之間互動的媒介，端口是一個16位的地址標識符。主要功能在于識別計算機應(yīng)用層內(nèi)不同的進程。按照性質(zhì)，端口號可分為三類：知名端口號、注冊端口號和動態(tài)端口號。常見的端口如下：名稱端口號HTTP（HyperTextTransferProtocol）80HTTPS（SecureHyperTextTransferProtocol）443FTP（FileTransferProtocol）21SMTP（SimpleMailTransferProtocol25POP3（PostOfficeProtocolversion3）110DNS（DomainNameSystem）53443.3.4 傳輸層UDP用戶數(shù)據(jù)報協(xié)議（UserDatagramProtocol，UDP）是一種無連接的傳輸層協(xié)議，提供了一種將數(shù)據(jù)包發(fā)送到網(wǎng)絡(luò)上的方式，但并不保證數(shù)據(jù)包的可靠性、順序性和完整性，也不提供擁塞控制和流量控制等功能。453.3.4 傳輸層UDPUDP協(xié)議具有以下優(yōu)勢：UDP協(xié)議不需要建立連接，因此不會有建立和維護連接所需的時間延遲，并且在空間上也不保留連接狀態(tài)。相較于TCP的20字節(jié)頭部，UDP的頭部開銷較少，僅為8字節(jié)。UDP協(xié)議不實施擁塞控制，這使得應(yīng)用層能夠更有效地控制數(shù)據(jù)傳輸?shù)牧亢蜁r機，同時網(wǎng)絡(luò)中的擁塞不會對發(fā)送速率產(chǎn)生影響。UDP提供的是盡力而為的數(shù)據(jù)傳輸服務(wù)，不確保數(shù)據(jù)的可靠交付。接收到的數(shù)據(jù)報文在添加UDP頭部后，直接傳遞給IP層，不會進行合并或分割，保持報文的原始邊界。從IP層接收到的UDP用戶數(shù)據(jù)報，在去除頭部后，會原樣傳遞給上層的應(yīng)用進程，這樣的報文是不可分割的，構(gòu)成了UDP數(shù)據(jù)報處理的基本單元。463.3.4 傳輸層TCP傳輸控制協(xié)議（TransmissionControlProtocol，簡稱TCP）是一種面向連接的、可靠的、基于字節(jié)流的傳輸層通信協(xié)議。它在互聯(lián)網(wǎng)中被廣泛使用，以確保數(shù)據(jù)能夠從源端系統(tǒng)傳輸?shù)侥康亩讼到y(tǒng)，且在傳輸過程中保證數(shù)據(jù)的完整性和順序性。TCP負責在數(shù)據(jù)傳輸過程中進行擁塞控制、流量控制、錯誤檢測和糾正，以及數(shù)據(jù)重傳機制，從而提供可靠的數(shù)據(jù)傳輸服務(wù)。它具有以下特點：TCP作為一種面向連接的協(xié)議，旨在提供一種可靠的數(shù)據(jù)傳輸服務(wù)。在數(shù)據(jù)傳輸開始之前，必須建立連接。這個過程通過三次握手來完成，確保雙方都準備好進行通信。一旦通信完成，TCP使用四次揮手的機制來平穩(wěn)地終止連接，確保雙方的傳輸都得到妥善關(guān)閉。TCP連接是點對點的，一條TCP連接只能連接兩個端點。TCP提供可靠交付，無差錯、不丟失、不重復(fù)、按順序。TCP提供全雙工通信，由于TCP連接的每個端點都配備了發(fā)送和接收緩存，因此通信雙方可以隨時進行數(shù)據(jù)傳輸。473.3.4 傳輸層TCP協(xié)議三次握手的具體過程可分為3步：TCP三次握手步驟①：當客戶端需要與服務(wù)器建立通信時，它會向服務(wù)器發(fā)送一個TCP報文。在這個報文中，客戶端設(shè)置標記位SYN=1，這表明客戶端希望與服務(wù)器建立一個新的連接。同時，客戶端會指定一個初始序號Seq，這個序號通常初始化為1；步驟②：在接收到客戶端發(fā)起的TCP連接請求報文之后，服務(wù)器會向客戶端發(fā)送一個響應(yīng)報文。這個響應(yīng)報文中包含標志位SYN和ACK都設(shè)置為1，這表明服務(wù)器已經(jīng)確認了客戶端的報文序號Seq的有效性，并且能夠正常接收客戶端的數(shù)據(jù)，同時同意建立新的連接。服務(wù)器端的序號被設(shè)置為Seq=y，而確認號被設(shè)置為ACK=x+1，表示服務(wù)器已經(jīng)接收到客戶端的序號Seq，并將其值加1作為自己的確認號Ack；步驟③：在接收到服務(wù)器發(fā)送的數(shù)據(jù)確認TCP報文之后，客戶端會發(fā)送一個最終的TCP連接確認報文作為響應(yīng)。在這個確認報文中，客戶端設(shè)置ACK=1，以此表明它已經(jīng)確認接收到服務(wù)器發(fā)出的連接同意信號?？蛻舳说男蛱朣eq設(shè)置為Seq=x+1，這表示它已經(jīng)收到了服務(wù)器端的確認號ACK，并將其值作為自己的序號。此外，客戶端的確認號ACK被設(shè)置為y+1，這表明它已經(jīng)接收到服務(wù)器端的序號Seq，并將其值加1作為自己的確認號ACK。483.3.4 傳輸層TCP協(xié)議三次握手：TCP三次握手3.4網(wǎng)絡(luò)攻擊與防護503.4.1 案例1-Socket實戰(zhàn)Socket（套接字）是計算機網(wǎng)絡(luò)中的一個抽象概念，它是用于網(wǎng)絡(luò)通信的一個端點，可以看作是不同計算機進程間通信的接口。Socket允許一個進程發(fā)送和接收數(shù)據(jù)到另一個進程，這兩個進程可能位于同一臺計算機上，也可能位于網(wǎng)絡(luò)中的不同計算機上。用戶在創(chuàng)建Socket時，不用關(guān)系OSI鏈路層、網(wǎng)絡(luò)層、傳輸層是如何實現(xiàn)，只需要知道需要和誰通訊，通訊的端口是多少即可。攻擊者在實現(xiàn)攻擊的第一步，就是完成Socket請求。實現(xiàn)Socket的Python代碼#

導(dǎo)入socket庫

import

socket

#

創(chuàng)建一個socket對象

s

=

socket.socket(socket.AF_INET,

socket.SOCK_STREAM)

#

目標IP地址和端口號

target_ip

=

"00"

target_port

=

80

#

連接到目標IP和端口

s.connect((target_ip,

target_port))

#

發(fā)送數(shù)據(jù)

message

=

"Hello,

Worl