一前言

最近有用戶手機用流量無法登陸app，最終發(fā)現(xiàn)原因是ip被防火墻拉黑了，本來想去了解ip的分配機制，隨著一個個知識點的了解，發(fā)現(xiàn)還是系統(tǒng)記錄下來更能加深理解，特此記錄。

二知識點

1. 計算機網(wǎng)絡協(xié)議： TCP/IP

image

以太網(wǎng)絡上面的傳輸使用網(wǎng)絡卡卡號為基準的 MAC 訊框，配合 CSMA/CD 的標準來傳送訊框，這就是硬件部分。在軟件部分，我們知道 Internet 其實就是 TCP/IP 這個通訊協(xié)議的通稱，Internet 是由 InterNIC所統(tǒng)一管理的，但其實他僅是負責分配 Internet 上面的 IP 以及提供相關的 TCP/IP 技術文件而已。

1.1 TCP

image

當應用程序用TCP傳送數(shù)據(jù)時，數(shù)據(jù)被送入?yún)f(xié)議棧中，然后逐個通過每一層直到被當作一串比特流送入網(wǎng)絡。其中每一層對收到的數(shù)據(jù)都要增加一些首部信息（有時還要增加尾部信息），該過程如圖所示。

image

不論是服務器端還是客戶端，都必須要透過一次 SYN 與 ACK 來建立聯(lián)機，所以總共會進行三次的交談

image

封包發(fā)起時，在 TCP 的表頭當中，必須要帶有 SYN 的主動聯(lián)機(SYN=1)，并且記下發(fā)送出聯(lián)機封包給服務器端的序號 (Sequence number = 10001) 。

當服務器接到這個封包，并且確定要接收這個封包后，就會開始制作一個同時帶有 SYN=1, ACK=1 的封包，其中那個 acknowledge 的號碼是要給 client 端確認用的，所以該數(shù)字會比(A 步驟)里面的 Sequence 號碼多一號 (ack = 10001+1 = 10002)，那我們服務器也必須要確認客戶端確實可以接收我們的封包才行，所以也會發(fā)送出一個 Sequence (seq=20001) 給客戶端，并且開始等待客戶端給我們服務器端的回應喔

1.2 IP

目前IP有兩個版本。 IPv4 (Internet Protocol version 4, 因特網(wǎng)協(xié)定第四版)和IPV6，目前運用最廣泛的還是IPV4，所以下面講的是IPV4。

我們知道 IP (Internet Protocol) 其實是一種網(wǎng)絡封包，而這個封包的表頭最重要的就是那個 32 位的來源與目標地址！為了方便記憶，所以我們也稱這個 32 bits 的數(shù)值為 IP 網(wǎng)絡地址就是了。

IP 最小可以由 0.0.0.0 一直到 255.255.255.255 ，主要分為 Net_ID (網(wǎng)域號碼)與 Host_ID (主機號碼) 兩部份。

11000000.10101000.00000000.11111111     192.168.0.255
|----------Net_ID---------|-host--|
第一組表示IP的等級，第四組為主機號碼

在同一個網(wǎng)段內(nèi)，Net_ID 是不變的，而 Host_ID 則是不可重復；Host_ID 在二進制的表示法當中，不可同時為 0 也不可同時為 1 ，因為全為 0 表示整個網(wǎng)段的地址 (Network IP)，而全為 1 則表示為廣播的地址 (Broadcast IP)。

在同一網(wǎng)域內(nèi)，這些主機都可以透過 CSMA/CD 的功能直接在區(qū)網(wǎng)內(nèi)用廣播進行網(wǎng)絡的聯(lián)機。透過路由器 (router) 來進行溝通才能將兩個網(wǎng)域連結(jié)在一起。

IP 的分級

以二進制說明 Network 第一個數(shù)字的定義：
Class A : 0xxxxxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx  ==> NetI_D 的開頭是 0
          |--net--|---------host------------|
Class B : 10xxxxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx  ==> NetI_D 的開頭是 10
          |------net-------|------host------|
Class C : 110xxxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx  ==> NetI_D 的開頭是 110
          |-----------net-----------|-host--|
Class D : 1110xxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx  ==> NetI_D 的開頭是 1110
Class E : 1111xxxx.xxxxxxxx.xxxxxxxx.xxxxxxxx  ==> NetI_D 的開頭是 1111

五種分級在十進制的表示：
Class A :   0.xx.xx.xx ~ 127.xx.xx.xx
Class B : 128.xx.xx.xx ~ 191.xx.xx.xx
Class C : 192.xx.xx.xx ~ 223.xx.xx.xx
Class D : 224.xx.xx.xx ~ 239.xx.xx.xx
Class E : 240.xx.xx.xx ~ 255.xx.xx.xx

在 IPv4 里面就只有兩種 IP 的類別，分別是：

Public IP : 公共 IP ，經(jīng)由 INTERNIC 所統(tǒng)一規(guī)劃的 IP，有這種 IP 才可以連上 Internet ；
Private IP : 私有 IP 或保留 IP，不能直接連上 Internet 的 IP ，主要用于局域網(wǎng)絡內(nèi)的主機聯(lián)機規(guī)劃。

私有 IP 也分別在 A, B, C 三個 Class 當中各保留一段作為私有 IP 網(wǎng)段，那就是：

Class A：10.0.0.0 - 10.255.255.255
Class B：172.16.0.0 - 172.31.255.255
Class C：192.168.0.0 - 192.168.255.255

Netmask (子網(wǎng)掩碼)

用來達成子網(wǎng)的切分

如果我們以 192.168.0.0 ~ 192.168.0.255 這個網(wǎng)段來說，要是給予 Net_ID 是 26 位時，總共分為幾段呢？ 因為 26-24=2 ，所以總共用掉兩個位，因此有 2 的 2 次方，得到 4 個網(wǎng)段。再將 256 個 IP 平均分配到 4 個網(wǎng)段去，那我們就可以知道這四個網(wǎng)段分別是：

192.168.0.0~192.168.0.63
192.168.0.64~192.168.0.127
192.168.0.128~192.168.0.191
192.168.0.192~192.168.0.255

1.3 以太網(wǎng)絡的傳輸協(xié)議：CSMA/CD

局域網(wǎng)絡使用的設備-以太網(wǎng)絡。

整個以太網(wǎng)絡的重心就是以太網(wǎng)絡卡。所以說，以太網(wǎng)絡的傳輸主要就是網(wǎng)絡卡對網(wǎng)絡卡之間的數(shù)據(jù)傳遞而已。每張以太網(wǎng)絡卡出廠時，就會賦予一個獨一無二的卡號，那就是所謂的 MAC (Media Access Control) 。

CSMA/CD 傳送出去的MAC幀數(shù)據(jù)，其實就是 MAC ！我們又簡稱網(wǎng)卡卡號為 MAC。

在發(fā)送端，數(shù)據(jù)鏈路層把網(wǎng)絡層傳下來得數(shù)據(jù)封裝成幀，然后發(fā)送到鏈路上去；在接收端，數(shù)據(jù)鏈路層把收到的幀中的數(shù)據(jù)取出并交給網(wǎng)絡層。不同的數(shù)據(jù)鏈路層協(xié)議對應著不同的幀，所以，幀有多種，比如PPP幀、MAC幀等，其具體格式也不盡相同。

image

上圖中的目的地址與來源地址指的就是網(wǎng)卡卡號 (hardware address, 硬件地址).

硬件地址最小由 00:00:00:00:00:00 到 FF:FF:FF:FF:FF:FF (16 進位法)，這 6 bytes 當中，前 3bytes 為廠商的代碼，后 3bytes 則是該廠商自行設定的裝置碼了

2. ARP

地址解析協(xié)議（Address Resolution Protocol），其基本功能為透過目標設備的IP地址，查詢目標設備的MAC地址，以保證通信的順利進行。它是IPv4中網(wǎng)絡層必不可少的協(xié)議，不過在IPv6中已不再適用，并被鄰居發(fā)現(xiàn)協(xié)議（NDP）所替代

在發(fā)送數(shù)據(jù)包時，首先要通過目的IP（主機或路由器）獲取局域網(wǎng)內(nèi)要發(fā)送對象的MAC地址，再將MAC地址封裝到數(shù)據(jù)包內(nèi)發(fā)送。而ARP的作用就在通過IP獲取MAC地址，通過廣播來發(fā)送ARP請求報文。

假設主機A和B在同一個網(wǎng)段，主機A要向主機B發(fā)送信息，具體的地址解析過程如下：

(1) 主機A首先查看自己的ARP表，確定其中是否包含有主機B對應的ARP表項。如果找到了對應的MAC地址，則主機A直接利用ARP表中的MAC地址，對IP數(shù)據(jù)包進行幀封裝，并將數(shù)據(jù)包發(fā)送給主機B。

(2) 如果主機A在ARP表中找不到對應的MAC地址，則將緩存該數(shù)據(jù)報文，然后以廣播方式發(fā)送一個ARP請求報文。ARP請求報文中的發(fā)送端IP地址和發(fā)送端MAC地址為主機A的IP地址和MAC地址，目標IP地址和目標MAC地址為主機B的IP地址和全0的MAC地址。由于ARP請求報文以廣播方式發(fā)送，該網(wǎng)段上的所有主機都可以接收到該請求，但只有被請求的主機（即主機B）會對該請求進行處理。

(3) 主機B比較自己的IP地址和ARP請求報文中的目標IP地址，當兩者相同時進行如下處理：將ARP請求報文中的發(fā)送端（即主機A）的IP地址和MAC地址存入自己的ARP表中。之后以單播方式發(fā)送ARP響應報文給主機A，其中包含了自己的MAC地址。

(4) 主機A收到ARP響應報文后，將主機B的MAC地址加入到自己的ARP表中以用于后續(xù)報文的轉(zhuǎn)發(fā)，同時將IP數(shù)據(jù)包進行封裝后發(fā)送出去。

image

3. NAT

NAT名字很準確，網(wǎng)絡地址轉(zhuǎn)換，就是替換IP報文頭部的地址信息。NAT通常部署在一個組織的網(wǎng)絡出口位置，通過將內(nèi)部網(wǎng)絡IP地址替換為出口的IP地址提供公網(wǎng)可達性和上層協(xié)議的連接能力。

一個對外的訪問請求在到達目標以后，表現(xiàn)為由本組織出口設備發(fā)起，因此被請求的服務端可將響應由Internet發(fā)回出口網(wǎng)關。出口網(wǎng)關再將目的地址替換為私網(wǎng)的源主機地址，發(fā)回內(nèi)部。這樣一次由私網(wǎng)主機向公網(wǎng)服務端的請求和響應就在通信兩端均無感知的情況下完成了。依據(jù)這種模型，數(shù)量龐大的內(nèi)網(wǎng)主機就不再需要公有IP地址了。

網(wǎng)絡被分為私網(wǎng)和公網(wǎng)兩個部分，NAT網(wǎng)關設置在私網(wǎng)到公網(wǎng)的路由出口位置，雙向流量必須都要經(jīng)過NAT網(wǎng)關
除靜態(tài)NAT，網(wǎng)絡訪問只能先由私網(wǎng)側(cè)發(fā)起，公網(wǎng)無法主動訪問私網(wǎng)主機；
NAT網(wǎng)關在兩個訪問方向上完成兩次地址的轉(zhuǎn)換或翻譯，出方向做源信息替換，入方向做目的信息替換；
NAT網(wǎng)關的存在對通信雙方是保持透明的；
NAT網(wǎng)關為了實現(xiàn)雙向翻譯的功能，需要維護一張關聯(lián)表，把會話的信息保存下來。

靜態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡的私有IP地址轉(zhuǎn)換為公有IP地址，IP地址對是一對一的，是一成不變的，某個私有IP地址只轉(zhuǎn)換為某個公有IP地址。借助于靜態(tài)轉(zhuǎn)換，可以實現(xiàn)外部網(wǎng)絡對內(nèi)部網(wǎng)絡中某些特定設備（如服務器）的訪問。
動態(tài)轉(zhuǎn)換是指將內(nèi)部網(wǎng)絡的私有IP地址轉(zhuǎn)換為公用IP地址時，IP地址是不確定的，是隨機的，所有被授權訪問上Internet的私有IP地址可隨機轉(zhuǎn)換為任何指定的合法IP地址。當ISP提供的合法IP地址略少于網(wǎng)絡內(nèi)部的計算機數(shù)量時?？梢圆捎脛討B(tài)轉(zhuǎn)換的方式。
端口多路復用（Port address Translation,PAT)是指改變外出數(shù)據(jù)包的源端口并進行端口轉(zhuǎn)換，即端口地址轉(zhuǎn)換（PAT，Port Address Translation).采用端口多路復用方式?？呻[藏網(wǎng)絡內(nèi)部的所有主機，有效避免來自internet的攻擊。因此，目前網(wǎng)絡中應用最多的就是端口多路復用方式。
ALG（Application Level Gateway），即應用程序級網(wǎng)關技術：傳統(tǒng)的NAT技術只對IP層和傳輸層頭部進行轉(zhuǎn)換處理，但是一些應用層協(xié)議，在協(xié)議數(shù)據(jù)報文中包含了地址信息。為了使得這些應用也能透明地完成NAT轉(zhuǎn)換，NAT使用一種稱作ALG的技術，它能對這些應用程序在通信時所包含的地址信息也進行相應的NAT轉(zhuǎn)換。

4. 路由器

路由器根據(jù)收到數(shù)據(jù)包中的網(wǎng)絡層地址以及路由器內(nèi)部維護的路由表決定輸出端口以及下一跳地址，并且重寫鏈路層數(shù)據(jù)包頭實現(xiàn)轉(zhuǎn)發(fā)數(shù)據(jù)包。路由器通過動態(tài)維護路由表來反映當前的網(wǎng)絡拓撲，并通過網(wǎng)絡上其他路由器交換路由和鏈路信息來維護路由表。

路由器的主要工作就是為經(jīng)過路由器的每個數(shù)據(jù)幀尋找一條最佳傳輸路徑，并將該數(shù)據(jù)有效地傳送到目的站點。由此可見，選擇最佳路徑的策略即路由算法是路由器的關鍵所在。為了完成這項工作，在路由器中保存著各種傳輸路徑的相關數(shù)據(jù)――路由表（RoutingTable），供路由選擇時使用。

路由工作包含兩個基本的動作：

1. 確定最佳路徑

為了幫助選路，路由算法初始化并維護包含路徑信息的路由表，路徑信息根據(jù)使用的路由算法不同而不同。路由算法根據(jù)許多信息來填充路由表。

分級路由廣泛應用于互聯(lián)網(wǎng)路由中，并且使用了多種路由協(xié)議。使用DV（距離向量）算法來查找節(jié)點間的最佳路由，在分級路由中，路由器被分成很多組，稱為區(qū)域。每個路由器都只有自己所在區(qū)域路由器的信息，而沒有其他區(qū)域路由器的信息。所以在其路由表中，路由器只需要存儲其他每個區(qū)域的一條記錄。再使用路由表轉(zhuǎn)發(fā)最長匹配原則進行數(shù)據(jù)分發(fā)。

image

當路由器收到一個IP數(shù)據(jù)包時，會將數(shù)據(jù)包的目的IP地址與自己本地路由表中的表項進行bit by bit的逐位查找，直到找到匹配度最長的條目，這叫最長匹配原則。

關于路由查找的幾個重點內(nèi)容：

不同的前綴（網(wǎng)絡號+掩碼，缺一不可），在路由表中屬于不同的路由
相同的前綴，通過不同的協(xié)議獲取，先比AD，后比metric
這是一般情況，當然有二般情況，這就要看特定的環(huán)境和特定的路由協(xié)議了
默認采用最長匹配原則，匹配，則轉(zhuǎn)發(fā)；無匹配，則找默認路由，默認路由都沒有，則丟棄
路由器的行為是逐跳的，到目標網(wǎng)絡的沿路徑每個路由器都必須有關于目的地的路由
數(shù)據(jù)是雙向的，考慮流量的時候，要關注流量的往返

2. 通過網(wǎng)絡傳輸信息

多數(shù)情況下，某主機決定向另一個主機發(fā)送數(shù)據(jù)，通過某些方法（如ARP）獲得路由器的地址后，源主機發(fā)送指向該路由器的物理（MAC）地址的數(shù)據(jù)包，其協(xié)議地址是指向目的主機的。

路由器查看了數(shù)據(jù)包的目的協(xié)議地址后，確定是否知道如何轉(zhuǎn)發(fā)該包，如果路由器不知道如何轉(zhuǎn)發(fā)，通常就將之丟棄。如果路由器知道如何轉(zhuǎn)發(fā)，就把目的物理地址變成下一跳的物理地址并向之發(fā)送。下一跳可能就是最終的目的主機，如果不是，通常為另一個路由器，它將執(zhí)行同樣的步驟。當分組在網(wǎng)絡中流動時，它的物理地址在改變，但其協(xié)議地址始終不變。

工作原理

路由器是第三層網(wǎng)絡設備，這樣說大家可能都不理解，就先說一下集線器和交換機吧。集線器工作在第一層（即物理層），它沒有智能處理能力，對它來說，數(shù)據(jù)只是電流而已，當一個端口的電流傳到集線器中時，它只是簡單地將電流傳送到其他端口，至于其他端口連接的計算機接收不接收這些數(shù)據(jù)，它就不管了。交換機工作在第二層（即數(shù)據(jù)鏈路層），它要比集線器智能一些，對它來說，網(wǎng)絡上的數(shù)據(jù)就是MAC地址的集合，它能分辨出幀中的源MAC地址和目的MAC地址，因此可以在任意兩個端口間建立聯(lián)系，但是交換機并不懂得IP地址，它只知道MAC地址。路由器工作在第三層（即網(wǎng)絡層），它比交換機還要“聰明”一些，它能理解數(shù)據(jù)中的IP地址，如果它接收到一個數(shù)據(jù)包，就檢查其中的IP地址，如果目標地址是本地網(wǎng)絡的就不理會，如果是其他網(wǎng)絡的，就將數(shù)據(jù)包轉(zhuǎn)發(fā)出本地網(wǎng)絡。

NAT與路由器

上面介紹路由的轉(zhuǎn)發(fā)，是說只替換MAC地址來進行轉(zhuǎn)發(fā)，但IP卻不會改變，這種轉(zhuǎn)發(fā)在Internet內(nèi)傳播是沒有問題的，因為IP都是公共IP。

但如果路由器是連接這局域網(wǎng)和外部網(wǎng)絡，這是IP就不能通用了，必須經(jīng)過NAT轉(zhuǎn)換成外部網(wǎng)絡IP。我們?nèi)粘＜矣玫穆酚善鞫际荖AT模式，先進行NAT(如地址轉(zhuǎn)換、端口轉(zhuǎn)換等)，再根據(jù)路由表進行轉(zhuǎn)發(fā)。

三一條信息的網(wǎng)絡請求過程

如果看完聯(lián)網(wǎng)上面介紹的知識點，對于這個標題其實就已經(jīng)有了大概的答案了。重點還是在路由器上，由它執(zhí)行數(shù)據(jù)發(fā)送。

源主機在發(fā)起通信之前，將自己的IP與目標主機的IP進行比較，如果兩者位于同一網(wǎng)段（用子網(wǎng)掩碼計算后具有相同的網(wǎng)絡號），那么源主機直接向目的主機發(fā)送ARP請求，在接收到目的主機的ARP應答后獲取對方MAC地址，然后用對方的MAC地址作為目標MAC地址進行報文發(fā)送，位于同一VLAN（網(wǎng)段）的主機互訪時屬于這種情況，這是互聯(lián)的交換機做二層轉(zhuǎn)發(fā)。
當源主機判斷目的主機與自己位于不同網(wǎng)段時，它會通過網(wǎng)關來提交報文，即發(fā)送ARP請求來獲取網(wǎng)關IP地址對應的MAC，在得到網(wǎng)關的ARP應答后，用網(wǎng)關MAC作為報文目的MAC進行報文發(fā)送……也就是路由器的某個端口。注意，報文的源IP是源主機IP，目的IP依然是目的主機IP。
當網(wǎng)關路由器接收到以太網(wǎng)數(shù)據(jù)幀時，發(fā)現(xiàn)數(shù)據(jù)幀中的目標MAC地址是自己的某一個端口的物理地址，這時路由器會把以太網(wǎng)數(shù)據(jù)幀的封裝去掉。路由器認為這個IP數(shù)據(jù)包是要通過自己進行轉(zhuǎn)發(fā)，如果路由器轉(zhuǎn)發(fā)IP在同一個網(wǎng)絡，接著它就在匹配路由表（包含目標地址和指向目標地址的指針）。匹配到路由項后，它就將包發(fā)往下一條地址。路由器轉(zhuǎn)發(fā)數(shù)據(jù)包也是這樣，它始終是不會改IP地址的，只會改源/目標MAC。
如果目的地址經(jīng)路由表對比，發(fā)現(xiàn)轉(zhuǎn)發(fā)IP不是在本網(wǎng)中，有nat就將改變源地址的IP（原源地址的Ip地址改為了路由器的IP地址），路由器將數(shù)據(jù)包轉(zhuǎn)發(fā)到相應的端口，進行通信。
萬一路由遇到目的MAC是廣播地址怎么辦？IP的廣播有三種：
255.255.255.255叫本地廣播，也叫直播，direct broadcast，不跨路由器。
172.16.33.255叫子網(wǎng)廣播，廣播給172.16.33.0這個子網(wǎng)，可以跨路由器。
172.16.255.255叫全子網(wǎng)廣播，廣播給172.16.0.0這個主網(wǎng)，可以跨路由器。
路由器是三層設備，可以隔離廣播，但并不是所有廣播都隔離。事實上只有本地廣播路由器才不轉(zhuǎn)發(fā)，對于子網(wǎng)廣播和全子網(wǎng)廣播，路由器是轉(zhuǎn)發(fā)的。為什么呢？我們來看255.255.255.255的廣播，在MAC的封裝中，對應的目的MAC是廣播，而子網(wǎng)廣播和全子網(wǎng)廣播，對應的目的MAC是單播，所以路由器會轉(zhuǎn)發(fā)。所以路由器隔離的廣播是目的MAC為全1的廣播，對于目的MAC是單播的上層廣播，路由器是不能隔離的。
IP數(shù)據(jù)包經(jīng)由路由轉(zhuǎn)發(fā)的時候源/目的IP，源/目的MAC是否發(fā)生改變，如何改變？
A—–(B1-B2)—–(C1-C2)——E
如上拓撲圖為例，B1和B2是路由器B上的兩個接口，C1和C2是路由器C上的兩個接口，A和E是PC，由主機A向主機E發(fā)送數(shù)據(jù)包，那么在主機A形成的數(shù)據(jù)包的目的IP就是E的IP，源IP就是主機A的IP地址，目標MAC地址就是B1的MAC地址，源MAC地址就是A的MAC地址。
由A發(fā)給路由器B，B經(jīng)過重封裝后，源IP和目標IP是不變的，源MAC地址變成B2的MAC地址，目標MAC地址變成C1的MAC地址，封裝完成發(fā)送給路由器C，路由器C接收到數(shù)據(jù)包后和B做的操作是一樣的，源IP和目標IP的不變的，源MAC地址變成C2的MAC地址，目標MAC地址變成主機E的MAC地址，然后發(fā)送給主機E，這樣E就收到了這個數(shù)據(jù)包，當恢復數(shù)據(jù)包的時候就是把收到的數(shù)據(jù)包的源IP地址（主機A的IP地址）和源MAC地址（接口C2的MAC地址）作為他的目標IP和目標MAC地址。