OSI 7层模型
1.分层原则
- 根据不同层次抽象分离
- 每层应当有一个定义明确的功能
- 每层功能的选择应该有助于制定网络协议的国际标准
- 每层边界的选择应该尽量节省跨过接口的通信量
- 层数应该足够多，避免不同功能混杂在同一层，但也不能太多，否则体系结构会过于庞大
2.具体分层
物理层:涉及在信道上传输的原始比特流
数据链路层：加强物理层传输原始比特流的功能，使之对应的网络层显现为一条无错路线。发送包把输入数据封装在数据帧，按顺序传送出去并处理接收方回送的确认帧
网络层：关系到子网的运行控制，确认从原端到目的端如何选择路由
传输层：从会话层接收数据，并且把其分成较小的单元传递给网络层
会话层：允许不同机器上的用户建立会话关系
表示层：完成某些特定功能
应用层：包含大量人们普遍需要的协议
*
*
*
*
TCP和UDP**
TCP—传输控制协议,提供的是面向连接、可靠的字节流服务。当客户和服务器彼此交换数据前，必须先在双方之间建立一个TCP连接，之后才能传输数据。TCP提供超时重发，丢弃重复数据，检验数据，流量控制等功能，保证数据能从一端传到另一端。
UDP—用户数据报协议，是一个简单的面向数据报的运输层协议。UDP不提供可靠性，它只是把应用程序传给IP层的数据报发送出去，但是并不能保证它们能到达目的地。由于UDP在传输数据报前不用在客户和服务器之间建立一个连接，且没有超时重发等机制，故而传输速度很快。
TCP的三次握手
在TCP/IP协议中，TCP提供可靠的连接服务，采用三次握手建立一个连接
第一次握手：建立连接时，客户端发送SYN包（syn=j）到服务器，并进入SYN_SEND状态，等待服务器确认
第二次握手：服务器收到SYN包，必须确认客户的SYN（ack=j+1）同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV
第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK（ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手
SYN = synchronous
ACK = Acknowledgement
相关概念
未连接队列：在三次握手协议中，服务器维护一个未连接队列，该队列为每个客户端的SYN包（syn=j）开设一个条目，该条目表明服务器已收到SYN包，并向客户发出确认，正在等待客户的确认包。这些条目所标识的连接在服务器处于Syn_RECV状态，当服务器收到客户的确认包时，删除该条目，服务器进入ESTABLISHED状态。
Backlog参数：表示未连接队列的最大容纳数目。
SYN-ACK 重传次数： 服务器发送完SYN－ACK包，如果未收到客户确认包，服务器进行首次重传，等待一段时间仍未收到客户确认包，进行第二次重传，如果重传次数超过系统规定的最大重传次数，系统将该连接信息从半连接队列中删除。注意，每次重传等待的时间不一定相同。
半连接存活时间：是指半连接队列的条目存活的最长时间，也即服务从收到SYN包到确认这个报文无效的最长时间，该时间值是所有重传请求包的最长等待时间总和。有时我们也称半连接存活时间为Timeout时间、SYN_RECV存活时间。
SYN攻击
SYN攻击属于DOS攻击的一种，它利用TCP协议缺陷，通过发送大量的半连接请求，耗费CPU和内存资源。SYN攻击除了能影响主机外，还可以危害路由器、防火墙等网络系统，事实上SYN攻击并不管目标是什么系统，只要这些系统打开TCP服务就可以实施。从上图可看到，服务器接收到连接请求（syn=j），将此信息加入未连接队列，并发送请求包给客户（syn=k,ack=j+1），此时进入SYN_RECV状态。当服务器未收到客户端的确认包时，重发请求包，一直到超时，才将此条目从未连接队列删除。配合IP欺骗，SYN攻击能达到很好的效果，通常，客户端在短时间内伪造大量不存在的IP地址，向服务器不断地发送syn包，服务器回复确认包，并等待客户的确认，由于源地址是不存在的，服务器需要不断的重发直至超时，这些伪造的SYN包将长时间占用未连接队列，正常的SYN请求被丢弃，目标系统运行缓慢，严重者引起网络堵塞甚至系统瘫痪。
防护SYN攻击 相关信息：http://netsecurity.51cto.com/art/200608/30428.htm
SYN攻击防范技术
关于SYN攻击防范技术，人们研究得比较早。归纳起来，主要有两大类，一类是通过防火墙、路由器等过滤网关防护，另一类是通过加固TCP/IP协议栈防范.但必须清楚的是，SYN攻击不能完全被阻止，我们所做的是尽可能的减轻SYN攻击的危害，除非将TCP协议重新设计。
1、过滤网关防护
这里，过滤网关主要指明防火墙，当然路由器也能成为过滤网关。防火墙部署在不同网络之间，防范外来非法攻击和防止保密信息外泄，它处于客户端和服务器之间，利用它来防护SYN攻击能起到很好的效果。过滤网关防护主要包括超时设置，SYN网关和SYN代理三种。
■网关超时设置：
防火墙设置SYN转发超时参数（状态检测的防火墙可在状态表里面设置），该参数远小于服务器的timeout时间。当客户端发送完SYN包，服务端发送确认包后（SYN＋ACK），防火墙如果在计数器到期时还未收到客户端的确认包（ACK），则往服务器发送RST包，以使服务器从队列中删去该半连接。值得注意的是，网关超时参数设置不宜过小也不宜过大，超时参数设置过小会影响正常的通讯，设置太大，又会影响防范SYN攻击的效果，必须根据所处的网络应用环境来设置此参数。
■SYN网关：
SYN网关收到客户端的SYN包时，直接转发给服务器；SYN网关收到服务器的SYN/ACK包后，将该包转发给客户端，同时以客户端的名义给服务器发ACK确认包。此时服务器由半连接状态进入连接状态。当客户端确认包到达时，如果有数据则转发，否则丢弃。事实上，服务器除了维持半连接队列外，还要有一个连接队列，如果发生SYN攻击时，将使连接队列数目增加，但一般服务器所能承受的连接数量比半连接数量大得多，所以这种方法能有效地减轻对服务器的攻击。
■SYN代理：
当客户端SYN包到达过滤网关时，SYN代理并不转发SYN包，而是以服务器的名义主动回复SYN/ACK包给客户，如果收到客户的ACK包，表明这是正常的访问，此时防火墙向服务器发送ACK包并完成三次握手。SYN代理事实上代替了服务器去处理SYN攻击，此时要求过滤网关自身具有很强的防范SYN攻击能力。
基于UDP的应用如何保证应用数据的可靠性
UDP的传输效率比TCP更高一些，其在网络中交互时具有更小的延时，因为其一，发送方只要把应用字段全部交给网络层处理就行了，接收方不需要确认发送方发送的数据，发送方也没有等待接收方确认报文这些过程；其二，TCP报头一般20个字节，UDP报头只有8字节，因此UDP跟TCP相比，在同长度的IP报文中能够承载更多的有效应用数据。
很多应用设计者和开发者正是看中了UDP的这种特性，将他们的应用程序利用UDP来实现端对端的数据交互，但是UDP不可靠，它没有TCP的确认、重传、窗口、保活等机制，那么基于UDP的应用如何保证其应用数据在交互过程的可靠性呢？答案是由基于UDP的应用程序来完成。
为此我花费了点时间找了一些基于UDP 的应用报文解码，我们一起逐一来看看吧。
TFTP（应用层确认）：
某UDP应用（应用层保活）：
RTP(应用层排序)：
DHCP：（应用层标识）
上次有个网友问我QQ传大文件的时候，为什么没抓到分片包文？我的回答是：应用层做了分片。虽然我并不清楚QQ文件传输协议的具体工作机制，但是其实跟我上面分析讨论的一样，QQ利用UDP传输文件，抓包的时候也看到的确是UDP的连接，但是没看到分片报文，那么原因只能是QQ应用程序为了保障传输文件的可靠性，避免在网络层被分片，应用程序在将大的应用字段交付给UDP之前，针对大的应用字段做了分片处理，这个过程跟TCP的MSS协商后做分段处理有点类似。
现实工作环境下常见的UDP应用主要有P2P下载、视频会议、在线视频、VOIP语音、在线游戏等，有兴趣的兄弟姐妹，可以找一些工作环境中的这些应用的报文，来验证或完善一下我上述所言，如果找到的话，记得给我留言，顺便把报文给我一份。