第二章

網(wǎng)絡(luò)接口層協(xié)議安全第二章

傳輸層協(xié)議安全2.1網(wǎng)絡(luò)接口層概述2.2

PPP協(xié)議2.3

L2TP協(xié)議2.4以太網(wǎng)協(xié)議2.5PPPoE協(xié)議2.6

MAC泛洪攻擊與防御網(wǎng)絡(luò)接口層概述2.1PARTONE010203網(wǎng)絡(luò)接口層功能及安全問題

數(shù)據(jù)鏈路層的信道類型數(shù)據(jù)鏈路層協(xié)議的功能CONTENTS目錄2.1.1網(wǎng)絡(luò)接口層功能及安全問題物理層數(shù)據(jù)鏈路層OSI模型OSI第一層OSI第二層TCP/IP模型網(wǎng)絡(luò)接口層功能1.比特流傳輸；2.屏蔽傳輸介質(zhì)差異。1.幀封裝/解封裝；2.MAC尋址；3.差錯控制。數(shù)據(jù)單位比特幀安全問題設(shè)備問題、意外故障、信息探測與竊聽等身份認(rèn)證、篡改MAC地址網(wǎng)絡(luò)嗅探等物理層和數(shù)據(jù)鏈路層的對比分析2.1.2數(shù)據(jù)鏈路層的信道類型

鏈路指一條無源的點(diǎn)到點(diǎn)的物理線路段，中間沒有任何其他的交換結(jié)點(diǎn)。一條鏈路只是一條通路的一個組成部分。

把實(shí)現(xiàn)控制數(shù)據(jù)傳輸?shù)膮f(xié)議的硬件和軟件加到鏈路上，則構(gòu)成了數(shù)據(jù)鏈路。2.1.2數(shù)據(jù)鏈路層的信道類型---點(diǎn)對點(diǎn)信道

采用一對一的通信方式，通信雙方共享一個專用的通信路徑，沒有其他通信實(shí)體可以訪問這個信道

由于它避免了網(wǎng)絡(luò)中的多跳傳輸，故延遲通常較低信道可以是無線的或者有線的，取決于通信介質(zhì)例如，在以太網(wǎng)連接、串行連接、無線射頻連接以及VPN連接等場景中，點(diǎn)對點(diǎn)信道都比較常見。點(diǎn)對點(diǎn)信道2.1.2數(shù)據(jù)鏈路層的信道類型---廣播信道

使用一對多的通信方式，通信過程比較復(fù)雜

在無線通信的信息傳播過程中，信息會被第三方截獲以及竊聽，并且容易出現(xiàn)信息泄密等諸多問題

利用通信系統(tǒng)物理層本身的特性，通過人工噪聲、協(xié)作干擾等物理層安全技術(shù)來加強(qiáng)系統(tǒng)的安全性廣播信道2.1.3數(shù)據(jù)鏈路層協(xié)議的功能指在一段數(shù)據(jù)的前后通過添加首部和尾部的方式，構(gòu)成了數(shù)據(jù)幀，進(jìn)而確保數(shù)據(jù)的完整性和正確性。封裝成幀指不管所傳數(shù)據(jù)是什么樣的比特組合，都應(yīng)當(dāng)能夠在鏈路上傳送。通常采用字節(jié)填充或字符填充的方法實(shí)現(xiàn)透明傳輸?shù)墓δ?。?shù)據(jù)鏈路層提供比特差錯檢測。透明傳輸差錯控制2.1.3差錯控制比特差錯指在傳輸過程中，1可能會變成0，而0也可能變成1。一旦發(fā)生比特差錯，很難自動恢復(fù)。在一段時間內(nèi)，傳輸錯誤的比特占所傳輸比特總數(shù)的比率稱為誤碼率（BER）。目前，常用循環(huán)冗余檢驗(yàn)（CRC）差錯檢測技術(shù)實(shí)現(xiàn)無差錯接受。即凡是接受的幀（即不包括丟棄的幀），能以非常接近于1的概率認(rèn)為這些幀在傳輸過程中沒有產(chǎn)生差錯。在數(shù)據(jù)后面添加上的冗余碼稱為幀檢驗(yàn)序列FCS。數(shù)據(jù)鏈路層只提供比特差錯檢測PPP協(xié)議2.2PARTTWO010203PPP架構(gòu)PPP協(xié)議的幀格式PPP協(xié)議的工作流程CONTENTS目錄2.2PPP協(xié)議◎點(diǎn)對點(diǎn)協(xié)議PPP制定于1992年，1994年修訂后成為互聯(lián)網(wǎng)的正式標(biāo)準(zhǔn)◎該協(xié)議最初設(shè)計(jì)的目的是為對等節(jié)點(diǎn)之間的數(shù)據(jù)包傳輸提供封裝功能，目前是數(shù)據(jù)鏈路層使用最廣泛的協(xié)議?！騊PP協(xié)議封裝來自網(wǎng)絡(luò)層的IP數(shù)據(jù)報(bào)，并交付給物理層進(jìn)行傳輸。2.2PPP協(xié)議該協(xié)議有三部分組成：（1）將IP數(shù)據(jù)報(bào)封裝到串行鏈路的方法；（2）用于建立、配置和測試PPP鏈路的鏈路控制協(xié)議（LCP）；（3）用于建立和配置網(wǎng)絡(luò)層協(xié)議的網(wǎng)絡(luò)控制協(xié)議（NCP）。如果傳輸?shù)氖荌P數(shù)據(jù)，則“NCP”是指IP控制協(xié)議（IPCP）；如果傳輸?shù)氖菙?shù)字設(shè)備公司（DEC）推出的協(xié)議集合DECnet數(shù)據(jù)，則“NCP”對應(yīng)的是DECnet四階段控制協(xié)議（DNCP）。在PPP鏈路上可以傳輸不同網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)，NCP用于對這些網(wǎng)絡(luò)協(xié)議相關(guān)的參數(shù)進(jìn)行配置2.2.1PPP架構(gòu)圖2-1PPP撥號上網(wǎng)的架構(gòu)示意圖Internet服務(wù)提供商提供Modem池，用于接收來自不同用戶的撥入請求；用戶主機(jī)則需連接一個Modem，以便通過電話網(wǎng)絡(luò)撥入ISP；在撥入成功之后，ISP路由器和R用戶主機(jī)之間通過Modem建立了一條點(diǎn)到點(diǎn)連接。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（1）標(biāo)志字段（Flag，F(xiàn)）：占1字節(jié)，值為0x7E（對應(yīng)的二進(jìn)制值為01111110），首尾兩個“F(lag)”為幀定界標(biāo)志，分別表示幀的開始或結(jié)束。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（2）地址字段（Address，A）：占1字節(jié)，值為0xFF(對應(yīng)的二進(jìn)制值為11111111)。由于PPP協(xié)議用于點(diǎn)對點(diǎn)的鏈路上，無須知道對方的MAC地址，故該字段全部設(shè)置為1，用于表示廣播地址。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（3）控制字段（Control，C）：占1字節(jié)，值為0x03（即00000011）。對于PPP協(xié)議來說，該控制字段無意義，通常設(shè)置為0x03。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（4）協(xié)議字段（Protocol）：當(dāng)值為0x0021時，表示IP數(shù)據(jù)報(bào)；當(dāng)值為0x8021時，表示網(wǎng)絡(luò)控制數(shù)據(jù)；當(dāng)值為0xC021時，表示PPP鏈路控制協(xié)議LCP數(shù)據(jù)；當(dāng)值為0xC023，則表示鑒別數(shù)據(jù)。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（5）信息字段（Information）：長度是可變的，不超過1500字節(jié)?！靶畔ⅰ弊侄蔚娜≈蹬c“協(xié)議”類型相關(guān)，比如當(dāng)“協(xié)議”類型為0xC021時，信息字段則為一個LCP報(bào)文。2.2.2PPP協(xié)議的幀格式圖2-2PPP幀格式（6）幀校驗(yàn)序列（FrameCheckSequence，F(xiàn)CS）：占2字節(jié)，用于檢查PPP幀的是否存在比特差錯。2.2.3PPP協(xié)議的工作流程圖2-3PPP鏈路狀態(tài)轉(zhuǎn)換（1）鏈路不可用階段（2）鏈路建立階段（3）認(rèn)證階段（4）網(wǎng)絡(luò)層協(xié)議階段（5）鏈路終止階段5個階段2.2.3PPP協(xié)議的工作流程由于PPP協(xié)議是基于點(diǎn)對點(diǎn)鏈路建立通信，故發(fā)起方和回應(yīng)方在建立物理連接之后：首先利用LCP配置和測試數(shù)據(jù)鏈路；

然后利用密碼認(rèn)證協(xié)議PAP或詢問握手認(rèn)證協(xié)議CHAP驗(yàn)證通信實(shí)體的身份；接著通過IPCP協(xié)議配置IP層參數(shù)，雙方開始通信；最后雙方利用LCP斷開PPP鏈路，之后斷開物理連接。2.2.3PPP協(xié)議的工作流程圖2-4PPP協(xié)議的通信過程（1）發(fā)起方發(fā)送LCP配置請求報(bào)文，該報(bào)文包含各項(xiàng)配置參數(shù)，比如使用的認(rèn)證協(xié)議、最大接收單元和壓縮協(xié)議等。（2）回應(yīng)方若同意各項(xiàng)配置參數(shù)，則返回確認(rèn)報(bào)文。（3）發(fā)起方提供賬號和口令，以便回應(yīng)方驗(yàn)證其身份。（4）回應(yīng)方驗(yàn)證發(fā)起方身份成功后，向其返回確認(rèn)報(bào)文。2.2.3PPP協(xié)議的工作流程圖2-4PPP協(xié)議的通信過程（5）發(fā)起方發(fā)出IPCP配置請求。（6）回應(yīng)方返回確認(rèn)，其中包含了分配給發(fā)起方的IP地址。（7）發(fā)起方發(fā)出LCP終止鏈路請求。（8）回應(yīng)方返回確認(rèn)，鏈路終止。2.2.3.1

LCP協(xié)議圖2-5LCP包格式作為PPP協(xié)議的重要組成部分，LCP協(xié)議主要用于完成PPP鏈路的配置、維護(hù)和終止。當(dāng)LCP數(shù)據(jù)報(bào)文被封裝在PPP信息字段中，PPP協(xié)議的“協(xié)議字段”字段取值為十六進(jìn)制0xC021。2.2.3.1

LCP協(xié)議圖2-5LCP包格式（1）代碼：占1字節(jié)，主要用來標(biāo)識LCP報(bào)文的類型。2.2.3.1

LCP協(xié)議圖2-5LCP包格式（2）標(biāo)識符：占1字節(jié)，用于匹配請求和響應(yīng)數(shù)據(jù)包。通常一個配置請求的標(biāo)識符是從0x01開始并逐步加1。當(dāng)對方接收到該數(shù)據(jù)包后，響應(yīng)包中的標(biāo)識符一定與請求包一致。2.2.3.1

LCP協(xié)議圖2-5LCP包格式（3）長度：占2字節(jié)，指的是LCP報(bào)文總長數(shù)。2.2.3.1

LCP協(xié)議圖2-5LCP包格式（4）數(shù)據(jù)：可變長。根據(jù)LCP報(bào)文內(nèi)容不同，其長度不同。2.2.3.1

LCP協(xié)議對于圖2-6中的“LCP配置選項(xiàng)”，其涉及到的各種鏈路配置報(bào)文的“類型”及其對應(yīng)的字段取值，如表2-1所示:（1）建立和配置鏈路；（2）終止鏈路；（3）管理和調(diào)試鏈路圖2-6LCP配置選項(xiàng)格式2.2.3.2

PAP協(xié)議PAP協(xié)議即密碼認(rèn)證協(xié)議，是PPP協(xié)議集中的一種鏈路控制協(xié)議。在配置PAP認(rèn)證時，需要在認(rèn)證方建立本地口令數(shù)據(jù)庫。該協(xié)議通過“兩次握手”提供一種對等結(jié)點(diǎn)建立認(rèn)證的簡單方法。圖2-7PAP認(rèn)證過程2.2.3.2

PAP協(xié)議首先被認(rèn)證方向認(rèn)證方發(fā)送明文形式的認(rèn)證請求，該請求包含用戶名和密碼；然后認(rèn)證方核對被認(rèn)證方發(fā)送的認(rèn)證信息是否與數(shù)據(jù)庫中存儲的信息相符。如果相符，則通過，否則拒絕；隨后向被認(rèn)證方發(fā)送適當(dāng)?shù)幕貜?fù)。圖2-7PAP認(rèn)證過程2.2.3.2

PAP協(xié)議圖2-8PAP數(shù)據(jù)包格式首先被認(rèn)證方向認(rèn)證方發(fā)送明文形式的認(rèn)證請求，該請求包含用戶名和密碼；然后認(rèn)證方核對被認(rèn)證方發(fā)送的認(rèn)證信息是否與數(shù)據(jù)庫中存儲的信息相符。如果比對結(jié)果相符，則PAP認(rèn)證通過，否則PAP認(rèn)證被拒絕，隨后向被認(rèn)證方發(fā)送適當(dāng)?shù)幕貜?fù)。當(dāng)PAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC023。（1）代碼：占1字節(jié)，用于識別PAP數(shù)據(jù)包的類型。該字段取值為1表示認(rèn)證請求，取值為2表示認(rèn)證確認(rèn)，取值為3表示認(rèn)證未確認(rèn)。2.2.3.2

PAP協(xié)議圖2-8PAP數(shù)據(jù)包格式首先被認(rèn)證方向認(rèn)證方發(fā)送明文形式的認(rèn)證請求，該請求包含用戶名和密碼；然后認(rèn)證方核對被認(rèn)證方發(fā)送的認(rèn)證信息是否與數(shù)據(jù)庫中存儲的信息相符。如果比對結(jié)果相符，則PAP認(rèn)證通過，否則PAP認(rèn)證被拒絕，隨后向被認(rèn)證方發(fā)送適當(dāng)?shù)幕貜?fù)。（2）標(biāo)識符：占1字節(jié)，用于匹配認(rèn)證請求和認(rèn)證回復(fù)，確保二者間的對應(yīng)關(guān)系。當(dāng)PAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC023。2.2.3.2

PAP協(xié)議圖2-8PAP數(shù)據(jù)包格式首先被認(rèn)證方向認(rèn)證方發(fā)送明文形式的認(rèn)證請求，該請求包含用戶名和密碼；然后認(rèn)證方核對被認(rèn)證方發(fā)送的認(rèn)證信息是否與數(shù)據(jù)庫中存儲的信息相符。如果比對結(jié)果相符，則PAP認(rèn)證通過，否則PAP認(rèn)證被拒絕，隨后向被認(rèn)證方發(fā)送適當(dāng)?shù)幕貜?fù)。（3）長度：占2字節(jié)，表示PAP數(shù)據(jù)包的總長度，包括代碼、標(biāo)識符、長度和數(shù)據(jù)字段。當(dāng)PAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC023。2.2.3.2

PAP協(xié)議圖2-8PAP數(shù)據(jù)包格式首先被認(rèn)證方向認(rèn)證方發(fā)送明文形式的認(rèn)證請求，該請求包含用戶名和密碼；然后認(rèn)證方核對被認(rèn)證方發(fā)送的認(rèn)證信息是否與數(shù)據(jù)庫中存儲的信息相符。如果比對結(jié)果相符，則PAP認(rèn)證通過，否則PAP認(rèn)證被拒絕，隨后向被認(rèn)證方發(fā)送適當(dāng)?shù)幕貜?fù)。（4）數(shù)據(jù)：可變長度字段，包含認(rèn)證所需的數(shù)據(jù)。數(shù)據(jù)字段的格式取決于代碼字段的值。當(dāng)PAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC023。2.2.3.3

CHAP協(xié)議CHAP協(xié)議通過挑戰(zhàn)-響應(yīng)機(jī)制實(shí)現(xiàn)身份驗(yàn)證。該協(xié)議通過“三次握手”實(shí)現(xiàn)對等結(jié)點(diǎn)認(rèn)證的步驟如圖2-9所示：圖2-9CHAP認(rèn)證過程（1）認(rèn)證方向被認(rèn)證方發(fā)送包含隨機(jī)值的挑戰(zhàn)消息。隨機(jī)值的長度取決于隨機(jī)字節(jié)生成的方法。2.2.3.3

CHAP協(xié)議CHAP協(xié)議通過挑戰(zhàn)-響應(yīng)機(jī)制實(shí)現(xiàn)身份驗(yàn)證。該協(xié)議通過“三次握手”實(shí)現(xiàn)對等結(jié)點(diǎn)認(rèn)證的步驟如圖2-9所示：圖2-9CHAP認(rèn)證過程（2）被認(rèn)證方接收到挑戰(zhàn)消息后，提取出隨機(jī)值，使用單向哈希函數(shù)計(jì)算自己的用戶密碼和隨機(jī)值，并將計(jì)算結(jié)果作為響應(yīng)值，發(fā)送給認(rèn)證方。2.2.3.3

CHAP協(xié)議CHAP協(xié)議通過挑戰(zhàn)-響應(yīng)機(jī)制實(shí)現(xiàn)身份驗(yàn)證。該協(xié)議通過“三次握手”實(shí)現(xiàn)對等結(jié)點(diǎn)認(rèn)證的步驟如圖2-9所示：圖2-9CHAP認(rèn)證過程（3）認(rèn)證方收到應(yīng)答消息后，根據(jù)用戶名檢索對應(yīng)的密碼，并通過哈希計(jì)算驗(yàn)證應(yīng)答消息中的響應(yīng)值。如果響應(yīng)匹配，則認(rèn)證成功；否則終止連接。2.2.3.3

CHAP協(xié)議CHAP協(xié)議通過挑戰(zhàn)-響應(yīng)機(jī)制實(shí)現(xiàn)身份驗(yàn)證。該協(xié)議通過“三次握手”實(shí)現(xiàn)對等結(jié)點(diǎn)認(rèn)證的步驟如圖2-9所示：圖2-9CHAP認(rèn)證過程（4）認(rèn)證方會在一定時間間隔后，發(fā)送新的挑戰(zhàn)，重復(fù)上述過程。2.2.3.3

CHAP協(xié)議當(dāng)CHAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC223。圖2-10CHAP包格式（1）代碼：占1字節(jié)，用于表示CHAP數(shù)據(jù)包的類型。該字段取值為1表示挑戰(zhàn)，發(fā)送查詢值；取值為2表示應(yīng)答，提供散列計(jì)算結(jié)果和用戶名；取值為3表示成功，認(rèn)證通過，允許訪問；取值為4表示失敗，認(rèn)證失敗，拒絕訪問。2.2.3.3

CHAP協(xié)議當(dāng)CHAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC223。圖2-10CHAP包格式（2）標(biāo)識符：占1字節(jié)，用于標(biāo)識特定的認(rèn)證交換。每個挑戰(zhàn)和相應(yīng)的應(yīng)答使用相同的標(biāo)識符。2.2.3.3

CHAP協(xié)議當(dāng)CHAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC223。圖2-10CHAP包格式（3）長度：占2字節(jié)，表示整個CHAP數(shù)據(jù)報(bào)的長度，包括代碼、標(biāo)識符、長度字段本身以及后續(xù)的數(shù)據(jù)字段。2.2.3.3

CHAP協(xié)議當(dāng)CHAP數(shù)據(jù)包被封裝在PPP幀的信息字段時，PPP幀的“協(xié)議字段”取值為0xC223。圖2-10CHAP包格式（4）數(shù)據(jù)：可變長度字段，包含挑戰(zhàn)或者應(yīng)答的相關(guān)數(shù)據(jù)。2.2.3.4

IPCP協(xié)議IPCP協(xié)議是PPP協(xié)議集的一個組成部分，它負(fù)責(zé)在點(diǎn)對點(diǎn)鏈路兩端配置、啟用和停用IP協(xié)議模塊。IPCP協(xié)議采用與LCP協(xié)議相同的包交換機(jī)制，但只在PPP協(xié)議達(dá)到網(wǎng)絡(luò)層協(xié)議階段后才開始交換IPCP包。如果在此階段之前收到IPCP包，它們將被丟棄。IPCP的主要功能IPCP可以進(jìn)行靜態(tài)或動態(tài)IP地址的協(xié)商。在靜態(tài)協(xié)商中，通信雙方各自告知對方的IP地址；而在動態(tài)協(xié)商中，服務(wù)器端分配IP地址給客戶端。配置IP地址：IPCP可以協(xié)商鏈路節(jié)點(diǎn)的主DNS服務(wù)器地址和次DNS服務(wù)器地址。IPCP支持使用VanJacobson壓縮協(xié)議，以減少TCP/IP頭部的大小，提高在低帶寬條件下的傳輸效率。配置DNS服務(wù)器地址壓縮TCP/IP頭部2.2.3.4

IPCP協(xié)議圖2-11

IPCP報(bào)文格式IPCP的幀格式與LCP類似，但協(xié)議字段值不同。當(dāng)IPCP數(shù)據(jù)報(bào)文被封裝在PPP信息字段中，PPP協(xié)議的“協(xié)議字段”字段取值為十六進(jìn)制0x8021（1）代碼：占1字節(jié)，用于表示IPCP數(shù)據(jù)包的類型。IPCP包類型只是LCP包類型的一個子集，它只使用代碼為1～7的包類型，使用其他代碼不被承認(rèn)并且導(dǎo)致Code-Rejects。2.2.3.4

IPCP協(xié)議圖2-11

IPCP報(bào)文格式IPCP的幀格式與LCP類似，但協(xié)議字段值不同。當(dāng)IPCP數(shù)據(jù)報(bào)文被封裝在PPP信息字段中，PPP協(xié)議的“協(xié)議字段”字段取值為十六進(jìn)制0x8021（2）標(biāo)識符：占1字節(jié)，用于匹配請求和響應(yīng)，確保正確處理。2.2.3.4

IPCP協(xié)議圖2-11

IPCP報(bào)文格式IPCP的幀格式與LCP類似，但協(xié)議字段值不同。當(dāng)IPCP數(shù)據(jù)報(bào)文被封裝在PPP信息字段中，PPP協(xié)議的“協(xié)議字段”字段取值為十六進(jìn)制0x8021（3）長度：占2字節(jié)，表示整個IPCP數(shù)據(jù)報(bào)的長度，包括代碼、標(biāo)識符、長度字段本身以及后續(xù)的數(shù)據(jù)字段。2.2.3.4

IPCP協(xié)議圖2-11

IPCP報(bào)文格式IPCP的幀格式與LCP類似，但協(xié)議字段值不同。當(dāng)IPCP數(shù)據(jù)報(bào)文被封裝在PPP信息字段中，PPP協(xié)議的“協(xié)議字段”字段取值為十六進(jìn)制0x8021（4）數(shù)據(jù)：可變長度字段，包含IPCP配置選項(xiàng)，如IP地址、DNS服務(wù)器地址、IP壓縮協(xié)議等。每個配置選項(xiàng)都有自己的格式，包括類型、長度和值。L2TP報(bào)文2.3PARTTHREE010203L2TP架構(gòu)L2TP協(xié)議流程L2TP報(bào)文CONTENTS目錄2.3L2TP協(xié)議計(jì)算機(jī)網(wǎng)絡(luò)是將分布在不同地理位置的多臺計(jì)算機(jī)及其外部設(shè)備通過通信線路連接起來，實(shí)現(xiàn)資源共享的計(jì)算機(jī)系統(tǒng)。盡管PPP非常適合用于直接連接，如通過電話線的撥號連接或串行鏈路，但它并不直接支持在多接入網(wǎng)絡(luò)環(huán)境中通過網(wǎng)絡(luò)傳輸PPP幀，特別是在需要跨越IP網(wǎng)絡(luò)建立VPN連接的場景中。為了實(shí)現(xiàn)鏈路端點(diǎn)跨越多個網(wǎng)絡(luò)，思科制定并于1998年5月公布樂思科第二層轉(zhuǎn)發(fā)L2F，由微軟、3Com等知名企業(yè)于1999年7月公布了點(diǎn)到點(diǎn)隧道協(xié)議PPTP。2.3L2TP協(xié)議考慮到二者功能類似，為了避免兩種隧道技術(shù)的不兼容性給用戶帶來諸多不便，由Internet工程任務(wù)組IETF起草，微軟、Ascend、Cisco、3COM等公司參予制定，并于1999年8月公布第二層隧道協(xié)議L2TP。、該協(xié)議結(jié)合了PPTP和L2F兩種二層隧道協(xié)議的優(yōu)點(diǎn)，將這兩種技術(shù)結(jié)合在單一隧道協(xié)議中。L2F通常被認(rèn)為是“L2TPv1”，1999年8月推出的L2TP被認(rèn)為是“L2TPv2”，2005年3月推出的L2TP被認(rèn)為是“L2TPv3”。本章重點(diǎn)闡述L2TPv2的相關(guān)內(nèi)容。2.3.1L2TP架構(gòu)L2TP接入集中器（L2TPAccessConcentator，LAC）和L2TP網(wǎng)絡(luò)服務(wù)器（L2TPNetworkServer，LNS）是L2TP的兩個重要組件，它們之間通過協(xié)商建立隧道，用以轉(zhuǎn)發(fā)PPP報(bào)文。圖2-19L2TP應(yīng)用場景示意圖2.3.1L2TP架構(gòu)通過L2TP數(shù)據(jù)通道傳輸PPP幀等數(shù)據(jù)消息，該通道無法保證數(shù)據(jù)消息的可靠傳輸；通過控制通道傳輸L2TP隧道和會話協(xié)商等控制消息，該通道可以保證控制消息的可靠傳輸。圖2-20L2TP協(xié)議層次結(jié)構(gòu)從TCP/IP協(xié)議族分層的角度看，L2TP是一個端口號為1071的應(yīng)用層協(xié)議。L2TP包括數(shù)據(jù)消息和控制消息兩種消息：L2TP協(xié)議的工作流程包括5步，分別為：建立控制連接、建立會話、數(shù)據(jù)傳輸、終止會話及終止控制連接圖2-22L2TIEEE802.3P協(xié)議流程（1）建立控制連接SCC（StartControlConnection，SCC）：在建立控制連接階段，LAC和LNS協(xié)商控制連接參數(shù)，并利用CHAP互相驗(yàn)證對方的身份。2.3.2L2TP協(xié)議流程2.3.2L2TP協(xié)議流程L2TP協(xié)議的工作流程包括5步，分別為：建立控制連接、建立會話、數(shù)據(jù)傳輸、終止會話及終止控制連接圖2-22L2TIEEE802.3P協(xié)議流程（2）建立會話：對LAC而言，會話分為呼入和呼出兩個方向：當(dāng)LAC檢測到來自遠(yuǎn)程客戶的呼叫時，應(yīng)向LNS建立呼入會話；當(dāng)收到來自LNS的會話建立請求時，應(yīng)建立呼出會話。L2TP協(xié)議的工作流程包括5步，分別為：建立控制連接、建立會話、數(shù)據(jù)傳輸、終止會話及終止控制連接（3）數(shù)據(jù)通信：通信雙方互相傳遞PPP報(bào)文發(fā)送方將遠(yuǎn)程客戶的PPP幀作為L2TP報(bào)文的數(shù)據(jù)區(qū)封裝在L2TP數(shù)據(jù)報(bào)文中，通過與LNS建立的隧道發(fā)送給LNS；LNS則還原PPP幀，并發(fā)送到PPP鏈路上。反方向通信過程與此類似。2.3.2L2TP協(xié)議流程L2TP協(xié)議的工作流程包括5步，分別為：建立控制連接、建立會話、數(shù)據(jù)傳輸、終止會話及終止控制連接（4）終止會話：LAC和LNS都可以提出終止會話。終止會話前，發(fā)起方發(fā)送呼叫斷連通告（CallDisconnectNotify，CDN）。2.3.2L2TP協(xié)議流程L2TP協(xié)議的工作流程包括5步，分別為：建立控制連接、建立會話、數(shù)據(jù)傳輸、終止會話及終止控制連接（5）終止控制連接：LAC和LNS都可以提出終止控制連接。終止控制連接前，發(fā)起方向回應(yīng)方發(fā)送StopCCN報(bào)文。該報(bào)文中包含隧道ID和結(jié)果代碼，分別指示了需終止的隧道標(biāo)識和終止原因。2.3.2L2TP協(xié)議流程2.3.3L2TP報(bào)文LAC在收到攜帶源IP報(bào)文頭及PPP報(bào)文頭的PPP報(bào)文之后，先后為其封裝L2TP報(bào)文頭、UDP報(bào)文頭和新的IP頭，并從連接公共網(wǎng)絡(luò)的接口發(fā)送出去。其中，L2TP報(bào)文由首部和主體兩部分構(gòu)成。圖2-21L2TP報(bào)文首部格式（1）T（Type）比特：類型標(biāo)識，取值為“0”時表示數(shù)據(jù)消息，取值為“1”時表示控制消息；（2）L（Length）比特：長度字段標(biāo)識，取值為“1”表示首部包含“長度”字段。對控制消息而言，必須設(shè)置為1；2.3.3L2TP報(bào)文（3）X（Reserved）比特：保留位，通常設(shè)置為0；（4）S（Sequence）比特：序號字段標(biāo)識，取值為“1”表示首部包含“Ns”和“Nr”。對控制消息而言，必須設(shè)置為1；2.3.3L2TP報(bào)文（5）O（Offset）比特：偏移量字段標(biāo)識，取值為“1”表示首部包含“偏移量”字段，對控制消息而言，必須設(shè)置為0。（6）P（Priority）比特：優(yōu)先級，只用于數(shù)據(jù)消息，當(dāng)取值為1時，表示報(bào)文具有較高優(yōu)先級。2.3.3L2TP報(bào)文（7）版本：指明使用的L2TP版本，例如，對于L2TPv2協(xié)議，取值為“2”。（8）長度：指明整個報(bào)文的總長度，單位為字節(jié)。2.3.3L2TP報(bào)文（9）隧道ID：發(fā)起方和回應(yīng)方對同一隧道指定的標(biāo)識不同，該字段指明了報(bào)文接收方為隧道指定的標(biāo)識。（10）會話ID：指明了接收方指定的會話標(biāo)識。2.3.3L2TP報(bào)文（11）Ns：當(dāng)前報(bào)文的序號。（12）Nr：確認(rèn)序號，即發(fā)送方期望接收的下一個報(bào)文的序號。2.3.3L2TP報(bào)文（13）偏移量：實(shí)體部分距首部起始點(diǎn)的偏移量。數(shù)據(jù)消息的首部可不包含“長度”、“序號”和“填充”字段，所以首部長度可變。由于計(jì)數(shù)從0開始，所以這個偏移量正好是首部長度。（14）填充：為保持首部4字節(jié)對齊而進(jìn)行的填充。2.3.3L2TP報(bào)文需要說明的是，L2TP報(bào)文頭中包含隧道標(biāo)ID和會話ID信息，隧道標(biāo)ID符與會話ID由對端分配，用來標(biāo)識不同的隧道和會話。隧道標(biāo)識相同、會話標(biāo)識不同的報(bào)文將被復(fù)用在一條隧道上。另外，L2TP不是嚴(yán)格意義上的安全協(xié)議，因?yàn)樗⑽刺峁┗诿艽a學(xué)的機(jī)密性、完整性等保護(hù)，而是提供了對口令等敏感信息的加密方法，以及基于共享秘密的身份認(rèn)證方法。2.3.3L2TP報(bào)文以太網(wǎng)協(xié)議2.4PARTFOUR010203以太網(wǎng)協(xié)議概述MAC層的硬件地址MAC幀格式CONTENTS目錄1980年9月，DEC公司，Intel公司和施樂公司（Xerox）聯(lián)合發(fā)表了10Mb/s以太網(wǎng)規(guī)約的第一個版本DIXV1;1982年修改為第二個版本DIXV2（即以太網(wǎng)V2標(biāo)準(zhǔn)）;1983年，IEEE802.3公布第一個IEEE的以太網(wǎng)標(biāo)準(zhǔn)。DIXV2標(biāo)準(zhǔn)與IEEE的802.3標(biāo)準(zhǔn)只有很小的差別，因此將IEEE802.3局域網(wǎng)簡稱為“以太網(wǎng)”。2.4.1以太網(wǎng)協(xié)議概述為了使數(shù)據(jù)鏈路層能更好地適應(yīng)多種局域網(wǎng)標(biāo)準(zhǔn)，IEEE802委員會將局域網(wǎng)的數(shù)據(jù)鏈路層拆成兩個子層：邏輯鏈路控制LLC子層媒體接入控制MAC子層2.4.1以太網(wǎng)協(xié)議概述與接入到傳輸媒體有關(guān)的內(nèi)容都放在MAC子層，而LLC子層則與傳輸媒體無關(guān)。不管采用何種協(xié)議的局域網(wǎng)，對LLC子層來說都是透明的。2.4.1以太網(wǎng)協(xié)議概述圖2-23局域網(wǎng)中數(shù)據(jù)鏈路層的分層示意圖2.4.2MAC層的硬件地址在局域網(wǎng)中，MAC地址為網(wǎng)絡(luò)上的每個設(shè)備提供了一個唯一的標(biāo)識，確保網(wǎng)絡(luò)中的數(shù)據(jù)包能夠被準(zhǔn)確地送達(dá)到正確的設(shè)備。MAC地址的長度為48位（6字節(jié)），提供約7萬億個地址數(shù)，目前還沒有出現(xiàn)地址枯竭的問題。2.4.2MAC層的硬件地址為了方便書寫，MAC地址通常記為12個16進(jìn)制數(shù)，每2個16進(jìn)制數(shù)之間用冒號隔開：MM:MM:MM:SS:SS:SS。地址的前3個字節(jié)（前24位）是組織唯一標(biāo)識符，由IEEE指派給制造商，用于確保了世界范圍內(nèi)的唯一性；其中M代表制造商分配的唯一標(biāo)識符，S代表序列號；地址的后3個字節(jié)（后24位）由制造商自行指派，確保其生產(chǎn)的每個網(wǎng)絡(luò)接口都有唯一的地址2.4.2MAC層的硬件地址例如MAC地址：08：00：20：0A：8C：6D網(wǎng)絡(luò)硬件制造商的編號該制造商所制造的某個網(wǎng)絡(luò)產(chǎn)品（如網(wǎng)絡(luò)適配器）的系列號2.4.2MAC層的硬件地址在以太網(wǎng)和其他IEEE802網(wǎng)絡(luò)技術(shù)中，MAC地址用于數(shù)據(jù)幀的源地址和目的地址，從而指導(dǎo)數(shù)據(jù)在網(wǎng)絡(luò)內(nèi)部的傳輸。由于在生產(chǎn)網(wǎng)絡(luò)適配器時，6字節(jié)的MAC地址已被固化在網(wǎng)絡(luò)適配器的ROM，因此，MAC地址也叫作硬件地址或物理地址。當(dāng)一臺計(jì)算機(jī)啟動時，MAC地址從ROM拷貝到RAM。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段圖2-24Mac幀格式（1）目的地址：長度為6字節(jié)，表示目的主機(jī)的MAC地址2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段（2）源地址（SourceAddress，SA）：長度為6字節(jié)，表示發(fā)送方的MAC地址。該字段只能是單播地址，不能是廣播或多播地址。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段（3）類型（Type）：長度為2字節(jié)，用于標(biāo)識上一層采用的什么協(xié)議，以便把收到的MAC幀的數(shù)據(jù)交付給上一層對應(yīng)的協(xié)議。例如，若類型字段的值為0x0800時，表示上層使用的是IPv4協(xié)議；若類型字段的值為0x0806時，則表示上層使用的是ARP協(xié)議。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段（4）數(shù)據(jù)（Data）：存儲被封裝的上層數(shù)據(jù)，長度為46~1500字節(jié)。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段鏈路層規(guī)定了傳輸?shù)淖畲蟮臄?shù)據(jù)單元（MTU）。不同類型的網(wǎng)絡(luò)在傳輸數(shù)據(jù)時大多數(shù)都有一個上限。如果IP層交付下來的數(shù)據(jù)比數(shù)據(jù)鏈路層的MTU值還大，那么PP層就需要進(jìn)行分片，將數(shù)據(jù)報(bào)分成長度小于MTU的若干數(shù)據(jù)分片后再傳輸。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段以太網(wǎng)最小幀長64字節(jié)減去首部和尾部的18字節(jié)，得出數(shù)據(jù)字段最小長度46字節(jié)。如果數(shù)據(jù)報(bào)小于46字節(jié)，則需要在該數(shù)據(jù)字段后面填充一定的字段，以保證以太網(wǎng)幀長不小于64字節(jié)。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段（5）幀校驗(yàn)序列（FCS）：長度為4字節(jié)，包含了CRC數(shù)據(jù)校驗(yàn)計(jì)算的結(jié)果。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段（6）為了在接收端實(shí)現(xiàn)MAC幀的比特同步，在MAC幀的前面插入（由硬件生成）的8字節(jié)中。2.4.3MAC幀格式以太網(wǎng)V2的MAC幀包含六個字段第一個字段是長度為7個字節(jié)（1和0交替碼）的前同步碼，用來實(shí)現(xiàn)比特同步；第二個字段的長度是1個字節(jié)，取值為10101011，是幀開始定界符，表示后面的信息就是MAC幀。PPPoE協(xié)議2.5PARTFIVE2.5PPPoE協(xié)議PPPoE是將點(diǎn)對點(diǎn)協(xié)議PPP封裝在以太網(wǎng)框架中的一種網(wǎng)絡(luò)隧道協(xié)議，允許在以太網(wǎng)廣播域中的兩個以太網(wǎng)接口間創(chuàng)建點(diǎn)對點(diǎn)隧道的協(xié)議。PPPoE協(xié)議的優(yōu)勢在于它結(jié)合了以太網(wǎng)的經(jīng)濟(jì)性和PPP協(xié)議的可管理控制性，較好解決了用戶管理和上網(wǎng)收費(fèi)等實(shí)際應(yīng)用問題，為寬帶接入提供了一種有效的解決方案，得到了運(yùn)營商的認(rèn)可并被廣泛采用。PPPoE繼承了傳統(tǒng)的撥號上網(wǎng)方式，使用戶能夠使用熟悉的硬件和軟件進(jìn)行互聯(lián)網(wǎng)接入，同時簡化了客戶端的配置。2.5PPPoE協(xié)議PPPoE協(xié)議包括兩個階段：PPPoE發(fā)現(xiàn)階段和PPPoE會話階段。PPPoE發(fā)現(xiàn)階段：客戶端通過在廣播網(wǎng)絡(luò)上發(fā)送發(fā)現(xiàn)報(bào)文來尋找可用的PPPoE服務(wù)器，建立一個唯一的PPPoE會話ID?？蛻舳税l(fā)現(xiàn)合適的服務(wù)器后，會與服務(wù)器進(jìn)行初始化通信，以建立后續(xù)的PPPoE會話；PPPoE會話階段：一旦客戶端與服務(wù)器選擇建立PPPoE連接后，在會話階段中實(shí)際建立起點(diǎn)對點(diǎn)連接，并通過交換認(rèn)證信息和建立會話參數(shù)，確保雙方能夠安全地通信。會話建立后，雙方之間就可以傳輸數(shù)據(jù)。2.5.1PPPoE幀當(dāng)以太網(wǎng)幀類型字段取值為0x8863，表示PPPoE發(fā)現(xiàn)階段數(shù)據(jù)報(bào)的數(shù)據(jù)包當(dāng)以太網(wǎng)幀類型字段取值為0x8864，表示PPPoE會話階段數(shù)據(jù)報(bào)的數(shù)據(jù)包。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（1）版本：長度為4位，PPPoE版本號，協(xié)議規(guī)定值為0x01圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（2）類型：長度為4位，PPPoE類型，協(xié)議規(guī)定值為0x01。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（3）代碼：長度為1字節(jié)，用于區(qū)分PPPoE的報(bào)文類型。例如代碼域?yàn)镺x00，表示會話數(shù)據(jù)；代碼域?yàn)镺x07，表示PADO等。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（4）會話ID：長度為2字節(jié)，在會話階段用于標(biāo)識特定的PPPoE會話。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（5）長度：占2字節(jié)，用來表示PPPoE數(shù)據(jù)的長度，不包括首部。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。2.5.1PPPoE幀（6）數(shù)據(jù)：可變長。PPPoE發(fā)現(xiàn)階段，該字段內(nèi)會包含一些標(biāo)記，用于在客戶端和接入集中器之間交換必要的信息；PPPOE會話階段，該字段攜帶的是PPP協(xié)議的數(shù)據(jù)。圖2-25PPPoE數(shù)據(jù)包格式PPPoE數(shù)據(jù)包封裝在以太網(wǎng)幀的數(shù)據(jù)字段中。MAC泛洪攻擊與防御2.6PARTSIX010203以太網(wǎng)交換機(jī)的自學(xué)習(xí)算法MAC泛洪攻擊MAC泛洪攻擊的防御CONTENTS目錄2.6MAC泛洪攻擊MAC泛洪攻擊是一種常見的網(wǎng)絡(luò)攻擊方式。攻擊者通過大量偽造的MAC地址來淹沒網(wǎng)絡(luò)交換機(jī)的地址表，導(dǎo)致正常流量無法通過。MAC泛洪攻擊不僅影響網(wǎng)絡(luò)性能，還可能造成安全隱患。2.6.1以太網(wǎng)交換機(jī)的自學(xué)習(xí)算法以太網(wǎng)交換機(jī)的自學(xué)習(xí)算法是指交換機(jī)如何學(xué)習(xí)和維護(hù)一個MAC地址表，以便有效地轉(zhuǎn)發(fā)局域網(wǎng)內(nèi)的數(shù)據(jù)幀至其目的地。該算法的設(shè)計(jì)思路是基于自動學(xué)習(xí)和表項(xiàng)的動態(tài)更新。其實(shí)現(xiàn)步驟包括以下三步：（1）初始化：當(dāng)以太網(wǎng)交換機(jī)啟動時，其MAC地址表是空的。交換機(jī)準(zhǔn)備接收和轉(zhuǎn)發(fā)數(shù)據(jù)幀，由于表中沒有條目，故暫時還不能根據(jù)目的MAC地址直接轉(zhuǎn)發(fā)數(shù)據(jù)幀。2.6.1以太網(wǎng)交換機(jī)的自學(xué)習(xí)算法（2）自學(xué)習(xí)過程：當(dāng)以太網(wǎng)交換機(jī)的一個端口接收到一個數(shù)據(jù)幀時，則進(jìn)行自學(xué)習(xí)。首先，以太網(wǎng)交換機(jī)查找交換表中與收到幀的源地址有無相匹配的項(xiàng)目。如沒有，在交換表中增加一個項(xiàng)目（源地址、進(jìn)入的接口和有效時間），否則把原有的項(xiàng)目進(jìn)行更新（進(jìn)入的接口或有效時間）；然后，查找交換表中與收到幀的目的地址有無相匹配的項(xiàng)目，如沒有，則向所有其他接口（進(jìn)入的接口除外）轉(zhuǎn)發(fā)，否則則按交換表中給出的接口（與該幀進(jìn)入交換機(jī)的接口不同）進(jìn)行轉(zhuǎn)發(fā)，但是若與該幀進(jìn)入交換機(jī)的接口相同，則丟棄。2.6.1以太網(wǎng)交換機(jī)的自學(xué)習(xí)算法（3）更新機(jī)制：MAC地址表的條目不是永久的。每個條目都有一個老化時間（通常是幾分鐘），如果在該時間內(nèi)沒有收到源地址是該條目MAC地址的幀，則該條目會被自動刪除。這個機(jī)制使得交換機(jī)的MAC地址表能夠動態(tài)適應(yīng)網(wǎng)絡(luò)結(jié)構(gòu)的變化，如設(shè)備的移動