《计算机网络：自顶向下方法》
全书知识总结
——自顶向下五层体系 · 核心协议 · 计算题型

第 1 章不追求“讲透某个协议”，而是建立词汇表和坐标系：因特网由哪些部件组成、端系统怎么接入、分组在核心怎么被交换、一路会损失多少时间，以及为什么要把网络分成五层。这一章的每个概念后面都会被反复引用，所以值得读慢一点。

1.1 什么是因特网

教材给了两种互补的描述方式：一种描述它由什么构成，另一种描述它能为应用做什么。考试常问“这两种描述的区别”，答案是：前者是工程视角（部件与连接），后者是服务视角（应用能获得什么）。

协议是本章最重要的定义，必须能一字不差地复述：

用人类的对话类比：见面说“你好”（语法：一句问候语）、对方回“你好”（时序：一问一答、不能抢话）、如果对方没回应你会重说一遍（动作：超时重传）。计算机协议完全同构：HTTP 的请求行是语法，200/404 的含义是语义，先三次握手再发请求是时序。

1.2 网络边缘：接入与介质

边缘 = 端系统 + 接入网。端系统按角色分客户 / 服务器；P2P 中同一主机可以两者兼是。

接入网的关键差别不在于“快不快”，而在于这条线路是独享还是共享——共享就要设计多路访问协议，这是第 6 章所有冲突问题的源头。

物理媒介分导引型与非导引型：双绞线便宜、易施工但衰减大；同轴带宽高、抗干扰较好；光纤衰减小、抗电磁干扰、速率极高，是骨干与 FTTH 的首选；无线电（Wi-Fi、蜂窝、卫星）无需布线但受干扰、遮挡与多径影响。

1.3 网络核心：分组交换与电路交换

核心 = 分组交换机组成的网状网。两种交换方式的对立，是本章计算与简答的高频点。

分组交换把长报文切成小分组，每个分组独立走链路，采用存储转发：交换机必须收完整个分组才能开始向下一段链路发送。

分组交换的两大代价是排队时延与丢包：输出链路被占用时分组排队，缓冲区满则被丢弃。

电路交换在通信前先建立连接，预留一条路径上的资源，用 FDM（频分：每条连接分到一个频段）或 TDM（时分：每条连接分到一个时隙）切分链路。

网络的网络是“ISP 的 ISP”的分层结构：接入 ISP（家庭/企业）→ 区域 ISP → 一级 ISP（全球骨干），彼此在 IXP（因特网交换点）对等互联（peering，互不付费）或通过提供商-客户关系（transit，付费）。今天的最大变化是内容提供商自建网络：Google、Netflix 把自己的机房与 CDN 直接接入 IXP，绕开一级 ISP，从而同时降低时延与带宽成本。

1.4 时延、丢包与吞吐量

四种时延必须能分开写、分开算，这是全书最基础的计算：

流量强度是排队的关键参数：$La/R$（L 分组长度、a 到达速率、R 链路速率）。

丢包不是“网络坏了”，而是有限缓冲的必然结果：路由器缓冲满时尾部丢弃，TCP 会重传，实时业务则表现为卡顿。丢包与排队是在 La/R → 1 时同时恶化的，这也是“网络利用率 80% 以上事故频发”的原因。

吞吐量由瓶颈链路决定：端到端吞吐量 = $min{R}_s,R_c,$各跳 R}。若服务器出口 2 Mbps、客户端接入 1 Mbps，则吞吐量就是 1 Mbps——加多少带宽在服务器侧都没用。

1.5 协议层次与封装

分层的本质是把“我能提供什么服务”与“我怎么实现”分开。这样某一层的实现可以独立替换：IPv4 换成 IPv6 时，浏览器不需要改；Wi-Fi 换成 5G 时，TCP 也不需要改。

分层的代价：每层都有首部开销（以太网 14 字节 + 4 字节 FCS、IP 20 字节、TCP 20 字节，传 100 字节应用数据时开销近 60%），且层与层之间的信息被隐藏，某些跨层优化（如无线链路知道丢包是误码而非拥塞）需要“层间违例”。

1.6 面对攻击的网络

教材把安全放在第一章，是为了让你在读每个协议时都带着“它假设了什么”的问题。因特网最初的设计假设是“所有用户互相信任”，这是今天大部分漏洞的根源。

• 恶意软件：病毒（需用户执行）、蠕虫（自动扫描传播）、僵尸网络（botnet，被控主机群，用于发起 DDoS 与发送垃圾邮件）。
• DDoS：带宽泛洪（用流量淹没）、连接泛洪（SYN 洪水耗尽连接表）、应用层泛洪（大量合法 HTTP 请求打垮服务器）。
• 嗅探：共享介质或无线空口上被动抓包，可看到明文口令 → 对策是加密（TLS、WPA）。
• IP 哄骗：伪造源地址，让攻击看起来来自别处、并让回包打向受害者 → 对策是入口过滤（RFC 2827）。
• 中间人：插入到通信双方之间，可窃听与篡改 → 需要鉴别与完整性（第 8 章）。

应用层是唯一“用户看得见”的一层。这一章的抓手是“应用需要运输层提供什么”——可靠性、吞吐量、时延、安全性四个维度，决定了为什么有的应用用 TCP、有的用 UDP、有的在 UDP 上另建一套（QUIC）。

2.1 应用层原理与运输服务

进程通信：进程通过套接字（socket）收发报文。套接字由 IP + 端口号标识；应用层协议规定报文语义，运输层只负责把字节送到对端套接字。注意：同一台主机上可以同时有多个进程使用同一端口（如多个浏览器标签），运输层靠四元组区分（源 IP、源端口、目的 IP、目的端口）。

TCP 提供面向连接、可靠、流量控制、拥塞控制，但不提供时延保证与最小带宽保证；UDP 只做复用/分解与轻量检错。二者都不加密——加密由 TLS 在 TCP 之上补上（机密性、完整性、服务器鉴别）。

2.2 Web 与 HTTP

HTTP 是无状态的请求-响应协议，报文是 ASCII 文本，跑在 TCP 上（默认 80；HTTPS 443）。

报文格式：请求报文 = 请求行（方法 URL 版本）+ 首部行 + 空行 + 实体主体；响应 = 状态行 + 首部 + 空行 + 实体。常见方法 GET / POST / HEAD / PUT / DELETE；常见状态码 200（成功）、301（永久重定向）、304（未修改）、400（请求错误）、404（不存在）、505（版本不支持）。

GET /index.html HTTP/1.1
Host: feiyang707.cn
User-Agent: Mozilla/5.0
Connection: keep-alive

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 4213
Cache-Control: max-age=600

Cookie 让无状态 HTTP 具备“会话”能力，四个部件缺一不可：① 响应首部 Set-Cookie；② 后续请求首部 Cookie；③ 浏览器本地存储；④ 服务器端数据库（用 ID 查用户状态）。

Web 缓存（代理服务器）：浏览器先问缓存，缓存有且未过期就直接返回，没有就代为请求并存一份。配合 条件 GET（If-Modified-Since），服务器若未修改只回 304 Not Modified（无实体），省下带宽。

2.3 电子邮件

邮件是“推 + 拉”的组合：发件人用 SMTP（TCP 25）把邮件推给自己的邮件服务器，再由它推到收件人的邮件服务器；收件人用 POP3 / IMAP 或 Webmail 把邮件拉下来。

SMTP 是 ASCII 命令-响应的“对话式”协议：HELO 打招呼 → MAIL FROM → RCPT TO → DATA → . 结束。二进制附件要用 MIME 编码（base64）后再塞进 DATA。

2.4 DNS

DNS 是分布式数据库 + 应用层协议，提供四类服务：主机名→IP、主机别名（CNAME）、邮件服务器别名（MX）、负载分配（一个域名对应多个 IP，轮转）。

资源记录是四元组（Name, Value, Type, TTL）：

• A：主机名 → IPv4 地址；AAAA：主机名 → IPv6 地址
• NS：域 → 该域权威 DNS 的主机名（用于委派）
• CNAME：别名 → 规范名（常用于把 www 指向 CDN 给的域名）
• MX：域 → 邮件服务器名（带优先级，数字越小越优先）

DNS 报文用 UDP/53，只有查询与回答两类报文，格式相同（标识、标志、问题数、答案数、问题段、答案段…）。缓存受 TTL 约束，是 DNS 能承受全球查询量的关键。

2.5 P2P 与 CDN

BitTorrent：文件切成固定大小的 chunk；tracker 给出一组对等方；对等方之间交换“我有哪些块”的位图。两条关键策略：最稀有优先（先请求副本最少的块，防止某些块绝迹）与 tit-for-tat（只给上传速率最高的 4 个对等方上传，定期重新评估）——用“互利”替代中心服务器。

视频流：视频编码为恒定码率（CBR）或可变码率（VBR）；DASH 把视频切成 2–10 秒的块，每块存多个码率版本，客户端按实测带宽选择下一块的码率（自适应），并把缓冲维持在几十秒以内。

CDN 两种部署哲学：深入（enter deep，把服务器塞进很多 ISP 内部，离用户近、节点多、管理难）与邀请进驻（bring home，在少数 IXP 建大集群，节点少、单点容量大、成本低）。集群选择通常靠 DNS 重定向或 IP 任播。

2.6 套接字编程

# UDP 服务端核心
s = socket(AF_INET, SOCK_DGRAM)
s.bind(('', 12000))
while True:
    msg, addr = s.recvfrom(2048)
    s.sendto(msg.upper(), addr)   # 收到什么、改大写回什么

# TCP 服务端核心
s = socket(AF_INET, SOCK_STREAM)
s.bind(('', 12000)); s.listen(1)
conn, addr = s.accept()           # 阻塞直到有客户连接
data = conn.recv(1024)
conn.send(b'HTTP/1.1 200 OK

' + data)

运输层是全书计算最密集的一章。核心问题只有两个：怎么把数据可靠地送过去（rdt → GBN → SR → TCP），以及送得太快把网络压垮了怎么办（拥塞控制）。

3.1 运输层服务与 UDP

运输层提供进程到进程的交付，网络层只到主机。教材的经典类比：IP 是邮政系统（把信送到某栋楼），运输层是楼里的收发室（把信分给具体的人）。

多路复用与分解靠端口号实现：发送时把多个进程的数据加上端口号交给网络层（复用），接收时按四元组把报文段交给正确的套接字（分解）。TCP 用四元组（源 IP、源端口、目的 IP、目的端口）区分连接；UDP 只用二元组（目的 IP、目的端口）定位套接字。

UDP 报文段只有四个字段：源端口、目的端口、长度、校验和（各 2 字节），其余全是应用数据。

3.2 可靠数据传输原理

教材用一串递进的协议把“可靠性”拆开讲，这条线索必须能默写：

每一步都在修前一步的漏洞：

• rdt2.0：接收方回 ACK/NAK，但ACK 本身也可能出错——发送方不知道对方到底收到了什么。
• rdt2.1：加 1 位序号，接收方据此判断“是新分组还是重传”，重复分组丢弃但仍回 ACK。
• rdt2.2：去掉 NAK，用“对上一个正确分组的 ACK”表示“我没收到新的”（冗余 ACK）。TCP 就采用这种思路。
• rdt3.0：加计时器，超时重传。但它是停等：发一个、等一个，链路利用率极低。

3.3 TCP 连接与报文段

三次握手的目的不是“建立连接”这么笼统，而是三件具体的事：① 双方确认对方收发都正常；② 同步初始序号（ISN）；③ 协商 MSS、窗口缩放、SACK 等选项。

RTT 估计用指数加权移动平均，超时时间再加 4 倍偏差，避免“估计得刚好、稍微抖动就误重传”：

Karn 算法：重传的报文段不采样（无法判断 ACK 对应哪次发送），且每次超时把超时间隔加倍（指数退避），避免在拥塞时反复猛发。

3.4 TCP 可靠传输与流量控制

• 累积确认 + 冗余 ACK：收到乱序段时重复发“期望字节”的 ACK；发送方收到 3 个冗余 ACK 就快速重传，不必等超时（超时可能长达几百毫秒）。
• 超时重传：计时器到期仍未确认，重传最早未确认的段，并把超时间隔加倍。
• 流量控制：接收方用 rwnd 通告缓冲余量，发送方保证 $LastByteSent-LastByteAcked\le rwnd$，防止“发得太快把接收端缓冲打满”。
• 与拥塞控制的区别：流量控制保护接收方，拥塞控制保护网络；实际发送窗口取 min(cwnd, rwnd)。

3.5 拥塞控制

拥塞的代价有三层：① 排队时延增大；② 丢包引起重传，浪费带宽；③ 多跳场景下，上游链路已经把分组送出去，却在 downstream 被丢弃，前面的努力全白费。所以“拥塞控制”不是“别丢包”，而是“别把网络推到崩溃点”。

公平性：多条 TCP 共享同一瓶颈时，AIMD 会收敛到“均分带宽”（因为增得慢、减得狠，快的被惩罚得多）。但 UDP 不受约束，会挤占 TCP；RTT 小的连接增长更快，也不公平。对策：AQM（如 CoDel）、ECN（路由器用标记而不是丢包提前通知）、以及更现代的 CUBIC（按立方函数增长，长肥管道更快）与 BBR（基于带宽与 RTT 建模，不把丢包当唯一信号）。

第 4 章讲“一个分组到达路由器后，在本地怎么被送出去”（数据平面）；第 5 章讲“转发表是谁算出来的”（控制平面）。这条分工是理解全书网络层的关键。

4.1 概述：转发与路由

因特网的网络服务模型是尽力而为（best-effort）：不保证交付、不保证时延与带宽、不保证顺序。这与 ATM 的 CBR（恒定比特率）、VBR（可变比特率）、ABR（可用比特率）承诺形成对照——ATM 用复杂信令换取 QoS 保证，最终输给了“简单 + 过量带宽”的 IP 模型。

4.2 路由器工作原理

• 最长前缀匹配：在 CIDR 前缀中选最具体的一条；硬件用 TCAM 并行比较所有前缀。
• 交换结构：经内存（一次一个，慢）、经总线、经互联网络（Crossbar，可并行）；线速要求 $R_{switch}\ge N·R_{line}$。
• 输入排队会产生 HOL 阻塞：队首分组要去一个忙的输出端口，后面的分组即使目标空闲也得等。
• 输出排队超出缓冲则丢包；缓冲膨胀（bufferbloat）是缓冲配得太大导致时延长期偏高。

4.3 IPv4 与编址

IPv4 首部（20 字节固定 + 选项）：版本、首部长度、服务类型、总长度、标识/标志/片偏移（分片用）、TTL、协议、首部校验和、源/目的 IP。

最长前缀匹配的例子：转发表同时有 200.23.16.0/20 与 200.23.18.0/23，目的地址 200.23.18.5 应选后者（更长、更具体），即使前者也能匹配。

4.4 NAT 与 IPv6

NAT 让一个公网 IP 服务多台内网主机：出方向把（源 IP, 源端口）替换成（公网 IP, 新端口）并记表，回方向按表还原。

IPv6：128 位地址、固定 40 字节首部、取消首部校验和与路由器分片、加入流标签；过渡技术有双栈（同时跑 v4/v6）、隧道（6to4，把 v6 包塞进 v4）、转换（NAT64/DNS64）。

4.5 泛化转发与 SDN

传统转发只看目的 IP；泛化转发用“匹配 + 动作”表：匹配任意首部字段组合（OpenFlow 的 12 元组），动作可为转发、丢弃、修改首部、送控制器、复制到多端口。

中间盒：NAT、防火墙、负载均衡、DPI——它们“既不是纯路由器也不是纯主机”，破坏了分层假设，是现代网络管理复杂性的主要来源。

控制平面回答一个问题：转发表里的每一条是从哪来的。答案有三条路线——每路由器独立的分布式算法（OSPF、BGP）、逻辑集中的 SDN 控制器，以及两者的混合。

5.1 控制平面概述

两种路线的根本差别是“信息在哪”：分布式算法里，每个路由器只知道局部信息，靠邻居交换逐步收敛；SDN 里，控制器持有全网拓扑与流量矩阵，可以一次算出全局最优解。

5.2 路由选择算法

链路状态（LS）：每个节点把“我连了谁、代价多少”洪泛到全网，所有节点得到同一张拓扑图，各自跑 Dijkstra 求最短路径树。

1. 初始化：源点距离 0，其余 ∞；已确定集合 N' 只含源点。
2. 在所有未确定节点中选距离最小的 u，加入 N'。
3. 用 u 的邻居更新距离：若 D(v) > D(u) + c(u,v)，则更新并记录前驱。
4. 重复 2–3 直到所有节点确定。

距离向量（DV）：每个节点只与直接邻居交换自己的距离向量，用 Bellman-Ford 迭代：

它不需要全局拓扑，但会犯一个著名错误：计数到无穷（count-to-infinity）——好消息传得快，坏消息传得慢。

5.3 AS 内部路由：OSPF

OSPF 是链路状态协议，直接承载在 IP 上（协议号 89），洪泛链路状态通告（LSA），每个路由器维护相同的链路状态数据库，再各自跑 Dijkstra。支持层次化区域：骨干区 0 + 若干非骨干区，区域间只交换汇总信息，减少洪泛范围；度量是链路代价（可配置，默认与带宽相关，不一定是跳数）。

5.4 AS 之间路由：BGP

BGP 是路径向量协议，运行在 TCP/179 上。它传播的不是“距离”，而是完整的 AS 路径——这既防环（看到自己就在路径里，直接丢弃），又让每个 AS 能执行策略（谁能过、走谁）。

• eBGP：AS 之间交换路由；iBGP：把从外部学到的路由分发给 AS 内所有路由器（否则内部路由器不知道出口）。
• 路径属性：AS-PATH（经过的 AS 序列）、NEXT-HOP（下一跳 IP，iBGP 里常是边界路由器地址）、LOCAL-PREF（本地偏好，越大越优先）、MED（多出口鉴别，提示邻居走哪个入口）。
• 热土豆路由：只求“尽快离开本 AS”，选 NEXT-HOP 最近的出口，可能造成绕路（进 AS3 又出去）。
• IP 任播：同一地址在多地宣告，路由自然把用户送到最近的一份（DNS 根、CDN 常用）。

5.5 SDN 控制平面

SDN 的四条特征：基于流的转发、控制与数据平面分离、控制平面外部化（远程控制器）、可编程。

OpenFlow 流表项 = 匹配字段 + 优先级 + 计数器 + 动作集合（转发、丢弃、改字段、送控制器）。控制器与交换机之间用 OpenFlow 协议；常见控制器 ONOS、OpenDaylight，云厂商则多用自研（如 Google 的 Orion）。

5.6 ICMP 与网络管理

• ICMP：差错与控制报文（目的不可达、超时、回送请求/应答），被 ping 与 traceroute 使用；traceroute 靠逐跳递增 TTL，让每台路由器回一个“超时”。
• SNMP：管理站—代理模型，MIB 存变量，Get/Set/Trap 操作，跑在 UDP 上；适合“读状态”，不适合“批量配置”。
• NETCONF / YANG：面向配置（而非仅监控），XML 描述数据模型，支持事务与回滚，是现代网络自动化的基础。

链路层把“一个分组”变成“一段链路上能传输的帧”，并解决多个结点共享同一介质的冲突问题。它是五层里唯一“逐跳”而非“端到端”工作的层。

6.1 链路层概述

链路层提供的服务有四类：成帧（把比特流切成有边界的帧）、链路接入（MAC，决定谁在什么时候发）、可靠交付（可选，无线链路常用）、差错检测与纠正。实现在网络适配器（网卡）的硬件里，主机软件只处理驱动与部分高层逻辑。

6.2 差错检测：CRC

6.3 多路访问协议

CSMA/CD（有线以太网）：先听后发、边发边听、冲突即停、二进制指数退避（第 n 次冲突在 {0,…,2ⁿ−1} 个时隙中随机等待）。CSMA/CA（无线）：无法“边发边听”（自己的信号太强盖住别人），改为避免——先听、随机退避、发完等 ACK；可选 RTS/CTS 解决隐藏终端。

6.4 交换局域网

MAC 地址（48 位，全球唯一，扁平）与 IP 地址（层次、可聚合）的区别是常考点：MAC 用于“同一链路上的下一跳”，IP 用于“端到端的全局定位”。

ARP：在同一子网内把 IP 解析为 MAC——广播“谁是 192.168.1.1？”，目标单播回应，结果缓存（软状态，几十秒到几分钟）。跨子网时，主机把帧发给默认网关的 MAC，而不是目的主机的 MAC——这是很多人第一次读错的地方。

以太网帧：前同步码 8 B + 目的 MAC 6 B + 源 MAC 6 B + 类型 2 B + 数据 46–1500 B + FCS 4 B（CRC-32）。最大帧 1518 B，对应 MTU 1500。

交换机：自学习 + 按目的 MAC 转发 + 未知单播泛洪；无路由功能，靠 生成树（STP） 防环；VLAN（802.1Q）用 4 字节标签在物理网络上切出多个逻辑局域网，广播域随之隔离。

6.5 数据中心与 Web 请求全流程

数据中心网络：分层拓扑（TOR → 汇聚 → 核心）与叶脊（leaf-spine）；用 ECMP 做多路径负载均衡，用 VXLAN 做 overlay（把二层帧封进 UDP），用 SDN 统一编排。

本章要区分两个容易混淆的概念：无线解决“最后一跳用无线电代替网线”，移动解决“换接入点后地址与连接怎么办”。二者可以独立存在——Wi-Fi 不移动，蜂窝电话边走边通话才是移动。

7.1 无线链路特征

• 衰减：信号随距离与遮挡衰减（平方反比 + 墙体吸收）；干扰：同频段的其他设备（微波炉、邻居 Wi-Fi）；多径：反射造成不同到达时间，产生符号间干扰。
• SNR 与 BER：信噪比越高，误码率越低；速率越高对 SNR 要求越高——所以“自适应调制编码”是无线的基本操作：信号好就用高阶调制（快），信号差就降阶（稳）。
• 隐藏终端：A、C 都能听到 AP，但互相听不到，同时发送会在 AP 处冲突，需要 RTS/CTS。

7.2 Wi-Fi：802.11

体系结构：BSS（基本服务集）= AP + 若干站点；SSID 标识网络名，BSSID 是 AP 的 MAC；多个 BSS 经交换机组成 ESS，靠关联（association）接入，切换 AP 叫重关联。

802.11 帧有 4 个地址字段（源、目的、AP、以及自组网时的第四地址）、序号、持续时间；管理帧（信标、探测、关联）负责“发现与接入”，控制帧（RTS/CTS/ACK）负责“预约与确认”，数据帧承载上层数据。

蓝牙（802.15.1）：个人域网络，主从（piconet）+ 跳频，适合低功耗外设（耳机、手环）。

7.3 蜂窝网络：4G 与 5G

7.4 移动性管理

• 归属网络 / 被访网络：归属网保存永久身份与签约，被访网提供接入。
• 间接路由：通信对端始终发给归属网，归属网再隧道到被访网（三角路由，但切换对端透明）。
• 直接路由：对端查询当前位置后直接发送（路径短，但需要位置查询与一致性维护）。
• 移动 IP：归属代理 + 外地代理 + 转交地址（COA），用 IP-in-IP 隧道转发。

7.5 对高层协议的影响

无线链路的误码与切换会被 TCP 误判为拥塞（把随机丢包当成拥塞信号），导致不必要的降速；对策包括链路层本地重传、TCP 拆分连接（split TCP，把长 RTT 断成两段）、ECN 显式告知，以及 CUBIC/BBR 这类不把丢包当唯一信号的拥塞控制。

网络安全要同时满足四件事：机密性（别人看不懂）、完整性（没被改）、鉴别（确实是他）、可用性（还能用）。本章按“先造工具、再组装协议”的顺序讲：对称加密 → 公钥 → 散列与签名 → 证书 → TLS/IPsec。

8.1 安全目标与密码学基础

8.2 完整性与数字签名

• 散列函数：SHA-256 等，抗碰撞；输出定长摘要，用于“压缩后再签名”。
• MAC / HMAC：用共享密钥 + 散列，保证完整性与“来自持有密钥者”，但不能向第三方证明（双方都有密钥）。
• 数字签名：用私钥签、公钥验，可向第三方证明且不可否认。
• 证书与 CA：解决“这把公钥到底是谁的”；CA 用自己的私钥签发证书，浏览器内置根证书形成信任链。

8.3 端点鉴别与邮件安全

端点鉴别三要素：共享秘密、公钥、nonce（一次性随机数，防重放）。教材用 ap1–ap5 逐步演示：只报名字不行（可冒充）、加口令不行（可窃听重放）、加 nonce 才安全、必须双向鉴别（否则中间人可伪装服务器）。

PGP：邮件端到端加密的事实标准——随机生成会话密钥，用对称算法加密正文，用接收方公钥加密会话密钥；同时用发送方私钥签名，实现机密 + 鉴别 + 完整。

8.4 TLS 与 IPsec

IPsec 靠 SA（安全关联，单向）定义算法与密钥，用 IKE 自动协商；隧道模式下整个原 IP 数据报被封装，形成 VPN。

8.5 无线安全与系统安全

• WEP（RC4 + 静态密钥 + 弱 IV）已被攻破；WPA2（AES-CCMP + 4 次握手）仍广泛使用；WPA3 用 SAE 抵抗离线字典攻击。
• 4G/5G 鉴权：SIM 卡与 HSS 共享长期密钥，用挑战-响应（AKA）完成双向鉴别，空口加密在基站完成。

8.6 防火墙与 IDS

A.1 时延与吞吐量

A.2 可靠传输与窗口

A.3 拥塞控制与 TCP

A.4 编址与差错检测

B.1 分层与通用

B.2 应用层与运输层

B.3 网络层与链路层