运维监控、高可用与网络杂谈

SNMP

网管系统的眼睛。路由器、交换机、防火墙的状态全靠它轮询采集，设备出问题第一时间发 trap 告警。v1/v2c 用 community 字符串做认证，安全性和明文传输差不多；v3 加了加密和认证才勉强能用。实际工作中配 zabbix 或者 prometheus 的 snmp_exporter 的时候，OID 查半天是常态。

PoE

网线不仅能传数据还能供电。摄像头、无线 AP 不用单独拉电源线，一根网线搞定。802.3af 最大 15.4W，802.3at 到 30W，802.3bt 能干到 60-100W。部署时注意交换机 PoE 总功率预算，插满高功率设备可能供不上。

VRRP

多台路由器虚拟成一个 IP，一台挂了另一台无缝接管。默认网关配这个虚拟 IP，主机侧不用改任何配置。VRRP 优先级高的当 master，优先级相同比接口 IP 大的赢。跟 HSRP（思科私有）原理类似，但 VRRP 是公开标准，华为华三都支持。

丢包

数据包没到目的地，原因五花八门：链路拥塞被尾丢弃、网线水晶头接触不良、光模块光衰过大、路由黑洞。ping 一通排查下来，最后发现是网线被椅子压扁了——这种事我遇到不止一次。

抖动

延迟忽高忽低，VoIP 通话断断续续的元凶。网络负载突变、队列调度不当都会引入抖动。语音流量对抖动敏感，通常要求小于 30ms，靠 QoS 的优先级队列来缓解。

QoS

带宽不够用的时候，决定谁先走、谁排队。分类、标记、排队、调度、整形、丢包策略一套组合拳。实际场景里，语音视频打 EF 标签、生产业务打 AF、普通上网扔 best-effort。配置对了效果立竿见影，配错了反而更卡。

负载均衡

大流量分到多台服务器，LVS/Nginx/HAProxy/F5 各有各的玩法。四层负载均衡看 IP+端口做转发，七层能按 URL、Header 做更细粒度的调度。会话保持是个坑——用户登录后跳到另一台服务器，session 丢了又得重新登录。

虚拟化

一台物理机跑几十台虚拟机，KVM、VMware ESXi、Hyper-V 三足鼎立。CPU 和内存靠超分配提高利用率，但 IO 是瓶颈——一堆虚拟机抢同一块磁盘，IOPS 直接打满。现在容器化（Docker/K8s）更轻，但虚拟化的隔离性更强，各有各的适用场景。

RAID

多块硬盘组合起来用。RAID 0 条带化提速但坏一块全完蛋，RAID 1 镜像写两份可靠性高但容量减半，RAID 5 一块校验盘允许坏一块，RAID 10 先镜像再条带兼顾性能和可靠性。生产环境 RAID 5 磁盘重建时间太长，大容量盘重建期间再坏一块就全军覆没，所以现在更推荐 RAID 10 或者 RAID 6。

P2P

去中心化，每个节点既是客户端又是服务器。BT 下载是最经典的应用，迅雷当年靠 P2P 加速发家。区块链的底层网络也是 P2P。企业网络里一般不欢迎 P2P 流量，上网行为管理设备通常直接封杀。

三层架构

企业网络的标准设计：核心层只做高速转发不配策略，汇聚层做策略控制（网关、ACL、QoS），接入层接终端。小网络可以核心和汇聚合并，但三层逻辑不能乱。见过太多"一朵云"架构，核心交换机上挂了各种 ACL 和策略路由，出了问题谁都看不懂。

SD-WAN

用软件调度多条 WAN 链路，替代传统专线。总部和分支之间跑 MPLS 专线太贵，SD-WAN 用互联网线路加密隧道替代，成本降一大截。根据应用自动选路——视频会议走质量好的链路，文件传输走带宽大的链路。国内 SD-WAN 厂商这几年卷得厉害。

SDN

控制面和数据面分离，控制器集中算路，转发设备只执行。OpenFlow 是经典协议，但实际落地更多的是 VXLAN+EVPN 这种 overlay 方案。数据中心里 spine-leaf 架构加上 SDN 控制器，网络自动化部署效率提升非常明显。

端口镜像

把交换机某个端口的数据复制一份到监控口，给 IDS、抓包分析用。Wireshark 抓包的前提就是先做镜像。注意镜像口的带宽——如果镜像了多个千兆口到一个千兆口，会丢包，得用万兆口做镜像目的。

Loopback 接口

虚拟接口，永远在线，只要设备不宕机就不会 down。用来做 Router ID、管理地址、BGP 邻居建立。OSPF 的 Router ID 选 Loopback 地址最稳，不会因为物理接口挂掉而触发 SPF 重算。

局域网物理硬件与介质

LAN

一栋楼、一个办公室内的网络。同一个广播域，ARP 广播全网飞。规模大了不划 VLAN 就是灾难。

WAN

跨城、跨国的网络，运营商骨干网串起来的。专线、MPLS VPN、SD-WAN 都是 WAN 的范畴。

MAN

城市级别，比 LAN 大比 WAN 小。运营商的城域网把各个小区的接入网汇聚到骨干网，中间经过 BRAS 做认证和计费。

PAN

个人设备之间的小网络，蓝牙耳机、手环、手机热点共享都是 PAN。范围小，省电，协议简单。

WLAN

Wi-Fi 就是 WLAN 最主流的实现。802.11 协议族从 a/b/g/n/ac/ax 一路进化到 be（Wi-Fi 7）。企业部署 WLAN 比家用复杂得多——AP 点位规划、信道分配、功率调整、漫游优化，每一样没做好用户就投诉。

集线器

物理层设备，纯傻瓜式广播，一个端口收到数据所有端口都复制一份。所有端口共享带宽，半双工，冲突域巨大。除了考试教材里还会出现，现实里已经找不到了。

二层交换机

根据 MAC 地址表转发，隔离了冲突域。收到帧先查 MAC 表，知道目的 MAC 在哪个口就只往那个口转发，不知道就泛洪。MAC 表有老化时间，默认 300 秒，过期了重新学习。

三层交换机

二层交换 + 三层路由，硬件转发比路由器快。企业内网跨 VLAN 通信的主力，开启 IP routing 后每个 VLAN 配一个 SVI（Switch Virtual Interface）当网关。小型网络用三层交换机可以省掉一台路由器。

路由器

网络层转发，根据路由表选路。WAN 口接外网，LAN 口接内网，做 NAT 转换。企业级路由器还跑 OSPF、BGP、VPN 等功能。家用路由器其实是路由器 + 交换机 + AP 三合一。

防火墙

网络第一道防线。从最早的包过滤到状态检测，再到现在的下一代防火墙（NGFW），能识别应用层协议。安全策略配置原则：最小权限，默认拒绝。出方向的策略容易被忽略，但防范内网木马外联数据同样重要。

服务器

7×24 小时运转的计算节点。塔式、机架式、刀片式，数据中心里清一色 2U 机架。CPU 核心数、内存容量、磁盘 IOPS、网络带宽，按业务需求选型。现在很多业务上云了，但自建机房在某些场景下依然是刚需。

操作系统

服务器领域 Linux 是绝对主力，CentOS 停更后 Rocky Linux 和 AlmaLinux 接棒，Ubuntu Server 也不错。网络设备嵌入式系统如 Cisco IOS、华为 VRP、华三 Comware 各有各的 CLI 语法，刚切换时经常敲错命令。

双绞线

普通网线，四对八根铜线两两绞合抵消干扰。超五类（Cat5e）支持千兆，六类（Cat6）支持万兆短距离。做水晶头按 T568B 线序：橙白-橙-绿白-蓝-蓝白-绿-棕白-棕。屏蔽网线（STP）带金属屏蔽层，接地必须做好，不然反而引入干扰。

单模光纤

纤芯 8-10μm，只传一种模式，用激光器，传输距离几十公里。外皮黄色是行业惯例。长距离互联、城域网骨干用单模。

多模光纤

纤芯 50/62.5μm，传多种模式，用 LED 或 VCSEL，几百米到头。外皮水蓝色。数据中心内部、同一楼层设备互联用多模，光模块便宜。OM3/OM4/OM5 等级越高支持带宽越大。

无线网络与物联网

蓝牙

十米以内，低功耗，点对点或个人局域网。蓝牙 5.0 以后速度、距离、广播能力都有提升。耳机、手环、键盘鼠标、智能门锁都是蓝牙的天下。和 Wi-Fi 都跑 2.4GHz，用共存机制避免互相干扰。

Wi-Fi

WLAN 的商业认证品牌。Wi-Fi 6（802.11ax）引入 OFDMA，多用户并发效率大幅提升；Wi-Fi 7（802.11be）把频宽干到 320MHz。企业 Wi-Fi 的难点不在速度，在漫游体验——用户在多个 AP 之间走动时切换要快，丢包要少。

无线 AP

有线信号转无线信号。胖 AP 独立工作自己管自己，瘦 AP 需要无线控制器（AC）统一管理。企业里基本都是瘦 AP+AC 架构，AC 负责配置下发、信道管理、漫游协调。

无线控制器

管一群 AP 的大脑。AP 上线先找 AC 下载配置，AC 统一做射频管理——信道自动分配、功率自动调整、负载均衡。AP 和 AC 之间用 CAPWAP 协议通信，分控制隧道和数据隧道。

信道

无线信号在特定频率范围内传输，2.4GHz 有 13 个信道但互不重叠的只有 1、6、11。AP 信道规划像玩俄罗斯方块——相邻 AP 信道不能重叠，不然互相干扰。5GHz 信道多，规划压力小很多。

2.4G 信道

穿墙强但拥挤。微波炉一开，2.4G Wi-Fi 直接卡死。蓝牙也在这，ZigBee 也在这，无线鼠标键盘都在这。老旧小区 2.4G 频段基本上没法用，信道利用率满的。

5G 信道

速度快、干扰少，但穿一面墙信号掉一半。5GHz 信道数量多，DFS 信道还要避让雷达信号。企业部署建议 5G 优先，终端优先连 5G，2.4G 做兜底。

Mesh 组网

多个节点无线回传，形成网状拓扑。大户型、复式楼覆盖神器，比无线中继好用在自动组网和自动切换。三频 Mesh 有一路专门做回传，不占用户带宽，体验最好。

无线漫游

手机从 AP1 走到 AP2 覆盖范围，自动切换过去。802.11k（邻居报告）、802.11r（快速漫游）、802.11v（BSS 过渡管理）三个协议配合，能把切换时间压到 50ms 以内。没配好这三件套，漫游时掉包严重，语音视频直接卡断。

物联网

万物互联，传感器、控制器、智能家居设备上网。协议百鬼夜行——ZigBee、Z-Wave、LoRa、NB-IoT、MQTT、CoAP，没有统一标准。安全问题是大坑：IoT 设备密码硬编码、固件不更新、缺乏加密，Mirai 僵尸网络就是靠 IoT 设备组建的。

IP 寻址与网络层机制

IPv4

32 位地址，42.9 亿个，2011 年 IANA 就分完了。现在靠 NAT 和私有地址续命，但 NAT 打破了端到端通信，P2P 和 VoIP 都要额外做穿透。IPv4 地址二手市场一个 /24 段都能卖不少钱。

IPv6

128 位地址，地址空间大到 2^128。国内三大运营商 4G/5G 网络已经是 IPv6-only 了，固网宽带也在推。但企业内网迁移积极性不高——现有设备兼容、员工培训、安全策略适配都是成本。IPv6 没有广播，用组播代替；ARP 没了，换成 NDP（邻居发现协议）。地址简化书写规则：前导零省略、连续零段用 :: 压缩。

子网掩码

区分网络号和主机号。255.255.255.0 就是前 24 位网络号、后 8 位主机号。CIDR 记法 /24 更简洁。子网划分是基本功：/25 分两个子网各 126 个可用地址，/26 分四个各 62 个。实际规划时预留增长空间，别把子网掐得太死。

网关

一个网段通往另一个网段的出口。PC 上配的默认网关就是局域网出口路由器的接口 IP。网关地址惯例是网段的第一个或最后一个可用 IP，比如 192.168.1.1 或 192.168.1.254，但这不是强制的。

默认路由

路由表里找不到匹配条目时的兜底。0.0.0.0/0 匹配所有目的地，指向下一跳出口。PC 上 ip route 看到的 default via 就是默认路由。没有默认路由就只能访问本地子网。

私有地址

RFC 1918 定义了三段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。路由器不转发目的地址为私有地址的包，运营商边界路由器直接丢弃。这也是为什么家里 192.168.1.x 的电脑不能直接被外网访问。

公有地址

全球唯一可路由的 IP，由 IANA 分给 RIR（亚太是 APNIC），再分给 ISP 和最终用户。一个公网 IP 家用宽带免费给，但固定公网 IP 专线价格不低。

公网和内网

公网是互联网，全球互联互通；内网是组织内部封闭网络。NAT 是内网访问公网的翻译官。双层 NAT（运营商级 NAT + 家用路由器 NAT）让 IPv4 地址窘境雪上加霜，打游戏的人经常遇到 NAT 类型严格的问题。

MAC 地址

48 位十六进制，前 24 位是厂商 OUI，后 24 位是设备编号。Linux 下 ip link 能看到，Windows 下 ipconfig /all。MAC 地址可以软件修改，别把它当不可伪造的身份证。

ARP

知道 IP 不知道 MAC 时，发 ARP 广播问"谁是 192.168.1.1？告诉我你的 MAC"。收到回复后缓存到 ARP 表，下次直接用。ARP 没有安全机制，ARP 欺骗攻击就是伪造 ARP 回复实现中间人，交换机上配 DAI（动态 ARP 检测）可以防御。

RARP

知道 MAC 不知道 IP 时用，已淘汰。功能被 DHCP 完全取代，考试题里偶尔出现。

DHCP

自动分配 IP、子网掩码、网关、DNS。客户端发 Discover 广播，服务器回复 Offer，客户端 Request，服务器 Ack。四个报文 DORA 记法。DHCP 租约到期前客户端会续租，租约一半时间时发单播 Renew。DHCP 服务器本身没有认证机制，非法 DHCP 服务器可以给客户端分配错误地址实现中间人攻击，企业交换机上配 DHCP Snooping 可以防御。

DHCP 中继

客户端和服务器不在同一网段时，路由器或三层交换机拦截客户端广播，转成单播发给 DHCP 服务器。配置 ip helper-address 指向 DHCP 服务器 IP。每个 VLAN 都需要配中继，不然跨 VLAN 拿不到地址。

NAT

内网私有 IP 转成公网 IP 出去。动态 NAT 多对多，PAT/NAPT 多对一（端口复用，最常见）。NAT 表是核心——记录内网 IP+端口和外网 IP+端口映射关系。NAT 表满了新连接就建不了，高并发场景下 NAT 设备性能是瓶颈。

端口号

0-65535，0-1023 是知名端口，1024-49151 是注册端口，49152-65535 是动态端口。HTTP 80、HTTPS 443、SSH 22、DNS 53、MySQL 3306——这些是基本功。服务器端口冲突排查：netstat -tlnp 看谁占了哪个端口。

路由与交换核心技术

VLAN

一个物理交换机上逻辑分成多个虚拟交换机，广播域隔离。二层通信靠 MAC 地址在同一 VLAN 内，跨 VLAN 必须走三层。VLAN 1 是默认 VLAN，管理 VLAN 和业务 VLAN 一定要分开，这是安全基线。VLAN 跳跃攻击利用 trunk 口的 Native VLAN 未打标签特性，跨 VLAN 发送恶意帧，解决方案是 Native VLAN 用一个不存在的 VLAN ID 且 trunk 口显式打标签。

广播域和冲突域

交换机每个端口一个冲突域（全双工彻底消除冲突），所有端口默认同一个广播域。VLAN 切开广播域，路由器不转发广播。广播域太大→ARP 广播泛洪→CPU 升高→用户卡顿，所以 VLAN 划分是刚需。

广播风暴

有环路时广播帧死循环，交换机 CPU 飙到 100%，网络瘫痪。最常见的触发场景：两根网线同时插到两台傻瓜交换机上。STP 没开或配错了就是定时炸弹。

STP

自动检测环路，阻塞冗余链路，逻辑上把环变成树。STP 收敛慢（30-50 秒），RSTP 快（1-2 秒），MSTP 能按 VLAN 分组负载分担。BPDU 是 STP 的通信报文，Root Bridge 是树的根，BID 最小的当选。边缘端口（PortFast）接终端，跳过 STP 状态机直接转发，避免开机 DHCP 超时。BPDU Guard 配合边缘端口使用，如果边缘端口意外收到 BPDU（说明有人私接交换机），直接 shutdown 端口，防止环路。

trunk

交换机之间一根线跑多个 VLAN。802.1Q 标准在帧头插入 4 字节 VLAN 标签。Native VLAN 不打标签，两端必须一致，否则 VLAN 跳跃攻击的门就开了。

access

接终端，只属于一个 VLAN。收到帧不打标签，发出帧剥掉标签。PC 不知道 VLAN 的存在，这是交换机层面的概念。

hybrid

华为/华三特色，比 trunk 灵活——能指定哪些 VLAN 打标签、哪些不打。一个 hybrid 口可以同时当 access 和 trunk 用，但配置复杂，维护成本高，不如 access+trunk 分工清晰。

静态路由

手工配，一条一条写。ip route 192.168.2.0 255.255.255.0 10.0.0.1。小网络简单可控，但网络一变就得手动改。默认路由也是一种静态路由。

动态路由

路由器自动交换路由信息，网络拓扑变化自动收敛。IGP 管内部（OSPF、IS-IS、RIP），EGP 管外部（BGP）。OSPF 用 Dijkstra 算法算最短路径，BGP 用路径矢量算法选最优路径。

OSPF

企业内网最主流的 IGP。分区域（Area），Area 0 是骨干区，所有非骨干区必须连到骨干区。LSA 类型很多：Type 1 路由器 LSA、Type 2 网络 LSA、Type 3 汇总 LSA、Type 5 外部 LSA。DR/BDR 选举在广播网络中减少邻接关系数量。OSPF 邻居建立需要 Hello 间隔、Dead 间隔、Area ID、认证一致，MTU 不匹配会导致邻居卡在 Exstart 状态。

BGP

互联网骨干网的粘合剂。AS 之间交换路由信息，路径属性决定选路：AS-Path 短的优先，Local-Pref 高的优先，MED 低的优先。BGP 是策略为王——不是最快路径，而是"你想让流量走哪条路"。全球 BGP 路由表七八十万条，一台路由器全接下对内存要求不低。BGP 默认不负载分担，只有路径属性完全相同的路由才会做等价负载。

二层网络

MAC 地址通信，广播域内。VLAN 内是二层，二层交换机做转发。纯二层网络不涉及 IP 路由，所有设备在同一网段。

三层网络

IP 地址通信，跨网段路由。三层交换机或路由器做网关。三层网络 = 多个二层网络通过路由器互联。

路由重分发

OSPF 学到的路由导入 BGP，BGP 学到的导入 OSPF。重分发时注意路由环路——从一个协议重分发到另一个，又从另一个重分发回来，死循环。用 route-map 加 tag 标记来源，再过滤掉带 tag 的路由防止环路。

路由策略

控制路由的发布和接收。route-map、prefix-list、distribute-list 是常用工具。匹配条件精细，动作灵活（permit/deny/set 属性）。思科和华为命令体系不同，但逻辑一样。

策略路由

比路由策略更"霸道"——不查路由表，按你定义的规则直接指路。源 IP 是 A 的走链路 1，源 IP 是 B 的走链路 2。双出口场景下根据源 IP 分流，或者根据应用类型选路。策略路由匹配优先级高于路由表，但注意策略路由不会自动检测链路状态，下一跳不可达时流量直接丢弃，除非配合 IP SLA 或 BFD 做链路检测。

交换机堆叠

多台物理交换机用专用堆叠线缆连起来，逻辑上变成一台。统一管理、统一配置，跨设备链路聚合提高可靠性。堆叠成员有主备角色，主设备挂了备设备接管。不同厂商堆叠技术叫法不同：华为叫 iStack/CSS，思科叫 StackWise/VSS。

链路聚合

多条物理链路捆绑成一条逻辑链路，带宽叠加、链路冗余。LACP（802.3ad）是标准协议，自动协商。负载分担按源目 MAC、源目 IP、源目端口组合哈希，哈希算法不均衡会导致某条链路跑满另一条空闲。

分布式交换系统

高端数据中心方案，控制面和转发面分离，多台转发设备组成一个逻辑交换机。思科 Nexus 的 vPC、华为的 M-LAG 都是类似思路——跨设备链路聚合，消除 STP 阻塞端口，提升带宽利用率。

MAC 地址表

交换机收到帧时记录源 MAC 和入端口，转发时查目的 MAC 的出端口。MAC 表满的时候新 MAC 无法学习，帧被泛洪到所有端口，性能急剧下降——MAC 泛洪攻击就是利用这一点。show mac address-table 查看当前表项。配置端口安全（Port Security）限制每个接口最大 MAC 数量，可以防御 MAC 泛洪。

OSI 与 TCP/IP 协议基础

OSI 参考模型

七层模型：物理层→链路层→网络层→传输层→会话层→表示层→应用层。面试必考，实际工作中很少有人严格按七层来划分。但它的分层思想非常有价值——每一层只关心自己的事，层与层之间接口清晰，出问题按层排查。

TCP/IP 参考模型

四层：网络接口层→网络层→传输层→应用层。有时把网络接口层拆成物理层和链路层就变成五层。OSI 是先有模型后有协议，TCP/IP 是先有协议后有模型，所以 TCP/IP 更接地气，是互联网的真正骨架。

TCP

面向连接、可靠传输、字节流。序号和确认号保证不乱序不丢包，滑动窗口做流量控制，拥塞控制（慢启动、拥塞避免、快速重传、快速恢复）防止网络过载。三次握手建立连接，四次挥手断开。HTTP、SSH、FTP、SMTP 都跑在 TCP 上。

UDP

无连接、不可靠、尽力而为。不握手不确认不重传，拿到数据直接发。DNS 查询、视频直播、在线游戏、VoIP 都用 UDP——宁可丢几帧画面也不想等 TCP 重传造成的延迟。QUIC（HTTP/3 底层）基于 UDP 实现了可靠传输，说明 UDP 的灵活性是它的优势。

三次握手

SYN（客户端→服务器）→ SYN+ACK（服务器→客户端）→ ACK（客户端→服务器）。三次之后双方确认对方收发能力正常。SYN Flood 攻击就是只发 SYN 不回 ACK，服务器半连接队列被占满，正常请求进不来。防御：SYN Cookie、增大半连接队列、缩短超时时间。

四次挥手

FIN（主动方→被动方）→ ACK（被动方→主动方）→ FIN（被动方→主动方）→ ACK（主动方→被动方）。比握手多一步是因为 TCP 是全双工，每个方向需要独立关闭。主动关闭方最后进入 TIME_WAIT 状态等 2MSL（约 60 秒），在这期间端口不能复用。高并发短连接场景下 TIME_WAIT 堆积是常见问题，调 tcp_tw_reuse 和 tcp_tw_recycle 需要注意副作用。

数据包

网络传输的基本单元。以太网帧最大 1518 字节，IP 包最大 65535 字节但受 MTU 限制，TCP 段是 IP 包的载荷。封装过程：应用数据→TCP 段→IP 包→以太网帧→物理信号。每层加自己的头部，解封装时逐层拆。

MTU

链路层能传输的最大载荷。以太网默认 1500 字节，PPPoE 拨号 1492，VPN 隧道封装后更小。超过 MTU 要分片，但分片增加开销且丢一片整个包重传。PMTUD（路径 MTU 发现）自动探测整条链路的最小 MTU，但 ICMP 被防火墙拦截就失效，导致"能 ping 通但网页打不开"的诡异现象。

ICMP

传控制消息，不是传数据。ping 用 Echo Request/Reply，tracert 用 TTL 超时报文。ICMP 常被防火墙禁用，因为可以用作隧道（ICMP 隧道）绕过安全策略。

PING

测试连通性的第一工具。ping -t 持续 ping，ping -l 指定包大小，ping -n 指定次数。能 ping 通说明网络层以下没问题，ping 不通可能是对方禁 ICMP、防火墙拦截、路由不通、或者对方真的挂了。

TTL

每过一个路由器减 1，减到 0 丢包并回 ICMP Time Exceeded。tracert 就是利用这个原理：先发 TTL=1 的包，第一跳路由器超时回包，记录 IP；再发 TTL=2，以此类推，逐步描出整条路径。

tracert

Windows 下 tracert，Linux 下 traceroute。排查路由问题的利器——看到哪一跳开始丢包或者延迟飙升，就知道瓶颈在哪。中间某跳显示 * * * 不一定是故障，可能只是那台设备不回复 ICMP。

DNS

互联网的电话簿，域名→IP。递归查询和迭代查询两种模式。A 记录 IPv4，AAAA 记录 IPv6，CNAME 别名，MX 邮件交换。DNS 劫持和 DNS 污染是常见的网络干扰手段，DoH（DNS over HTTPS）和 DoT（DNS over TLS）可以防窃听防篡改。

SMTP

发邮件用，TCP 25 端口。和 POP3（收邮件 110 端口）、IMAP（收邮件 143 端口）配合使用。25 端口常被运营商封禁（防垃圾邮件），改用 465（SSL）或 587（STARTTLS）。邮件服务自建维护成本高，一般用第三方。

SSL/TLS

加密通信的基石。握手阶段协商加密套件、交换密钥、验证证书，之后对称加密传输数据。TLS 1.2 仍是主流，TLS 1.3 更快更安全但兼容性还在过渡。证书由 CA 签发，Let's Encrypt 免费证书普及后 HTTPS 已经是标配。

网络安全与 VPN 隧道

VPN

在公网上建加密隧道，远程安全访问内网。站点到站点 VPN 连接两个网络，远程访问 VPN 连接单个用户。隧道协议：IPSec、SSL VPN（基于 TLS）、L2TP/IPSec、WireGuard。WireGuard 是近年新秀，配置简单、性能好、内核态运行。

IPSec VPN

网络层加密。IKE（Internet Key Exchange）协商 SA（安全关联），分两个阶段：IKE SA 和 IPSec SA。AH 只认证不加密，ESP 加密+认证。传输模式保护 IP 载荷，隧道模式保护整个 IP 包。NAT 穿透是 IPSec 的老大难，因为 AH 和 ESP 协议号不是端口号，NAT 不好处理。

MPLS VPN

运营商用 MPLS 标签交换代替 IP 查表，标签转发比 IP 路由快。MPLS VPN 在骨干网上隔离不同客户的路由，VRF（虚拟路由转发）实例独立维护路由表。二层 MPLS VPN（VPLS）和三层 MPLS VPN（MPLS L3VPN）各有适用场景。

ACL

逐条规则匹配，命中即执行。标准 ACL 只看源 IP，扩展 ACL 看源目 IP、协议、端口。ACL 末尾隐含 deny any，所以一定要有 permit 规则。命名 ACL 比编号 ACL 可读性好，可以增删条目不用重写整个列表。

下一代防火墙

传统防火墙看 IP 和端口，NGFW 能识别应用——不管跑在哪个端口都能识别出是微信还是 HTTP。集成 IPS、防病毒、URL 过滤、沙箱，一站式安全。但功能全开性能下降厉害，需要合理规划策略。

AAA

认证（你是谁）、授权（你能干什么）、计费（你干了什么）。RADIUS 和 TACACS+ 是两种主流 AAA 协议。RADIUS 用 UDP，认证和授权合并；TACACS+ 用 TCP，认证、授权、计费分离，思科设备常用。企业 Wi-Fi 的 802.1X 认证、VPN 登录、设备管理登录都依赖 AAA。

BFD

毫秒级链路故障检测。OSPF 默认 hello 间隔 10 秒，dead 时间 40 秒，链路断了最多等 40 秒才发现。BFD 能做到 50ms 检测，触发 OSPF 快速收敛。对实时性要求高的网络（金融交易、语音视频）是标配。

计算机病毒

自我复制、破坏数据。从早期的引导区病毒到文件型病毒，再到宏病毒、蠕虫、勒索软件。WannaCry 用永恒之蓝漏洞传播，一夜之间感染全球。勒索软件现在是最大的网络犯罪产业之一，备份是最后一道防线。

防火墙 DMZ 区

介于内网和外网之间，放对外服务的服务器——Web 服务器、邮件服务器、DNS 服务器。外网能访问 DMZ，DMZ 不能主动访问内网，内网能访问 DMZ。这种非对称策略既保证服务对外开放，又限制被攻破后的横向移动。

NAT 穿透

内网设备想直接和另一个内网设备通信，NAT 挡在中间。STUN 获取公网映射地址，TURN 中继转发，ICE 综合两种方案选择最优路径。WebRTC 的视频通话、P2P 游戏联机都依赖 NAT 穿透。对称 NAT 最难穿透，只能走 TURN 中继。

安全设备的职责分类

安全设备不是一把梭，每种设备有明确的职责边界。分清它们靠三个问题：

  1. 部署在哪：旁路还是串联？出口边界还是安全域边界？
  2. 看什么：网络流量？用户行为？数据库操作？运维操作？
  3. 干什么：告警？阻断？审计？隔离？

七个角色各司其职：

职责 设备 核心能力
检测告警 IDS 镜像流量分析，发现异常即告警
联机阻断 IPS 串联在流量路径上，实时拦截攻击
上网管控 上网行为管理 管理用户上网行为与带宽，出口边界控管
隔离交换 网闸 安全域之间物理隔离，受控摆渡数据
漏洞发现 漏扫 扫描资产端口与服务，输出漏洞风险报告
审计留痕 日志审计、数据库审计 全域日志集中留存，数据库访问行为追溯
运维准入 堡垒机 统一运维入口，身份认证+权限控制+操作审计

IDS 和 IPS：一个看门，一个挡门

IDS 挂在旁路，流量镜像过来分析，发现攻击就告警。对业务零影响，但只能看不能拦。IPS 串在流量路径上，检测到攻击直接丢包。能拦但误判会误伤正常业务。

两者的核心区别不是"智能程度"，而是部署位置和动作能力。IDS 偏"发现"，IPS 偏"防御"。实际部署中，IDS 常用于合规审计和辅助研判，IPS 用于在线防护。

上网行为管理

管员工上网。URL 过滤、应用识别、带宽控制、行为审计。能精确到"张三在上班时间用迅雷下了 20GB 文件"。出口边界部署，对内网用户上网流量做管控。合规要求保留上网日志 6 个月以上。

网闸

内外网物理隔离的数据交换。不是简单的防火墙规则，而是两个独立的处理单元之间通过私有协议摆渡数据，TCP 连接在网闸处被完全断开重建。用在涉密网络和办公网之间、办公网和工控网之间。分单向网闸（只能进不能出）和双向网闸。

漏扫

不是自动修漏洞的，是帮你找漏洞的。输入目标 IP 段，扫出开放端口、运行服务、组件版本，匹对漏洞库，输出风险报告。误报率高是通病，高危漏洞需要人工验证。等保测评的前置步骤，日常巡检的常规操作。

日志审计 vs 数据库审计

日志审计收全网设备日志——防火墙、交换机、服务器、应用系统，统一存储、检索、关联分析。数据库审计专注数据库访问行为——谁在什么时候查了哪张表、执行了什么 SQL、有没有批量导出。一个偏"全域留痕"，一个偏"数据访问监控"，互补关系。

堡垒机

运维的统一入口。所有运维人员登录服务器必须先通过堡垒机，堡垒机做身份认证、权限控制（谁能登哪台、能执行什么命令）、操作审计（命令记录、会话录像）。堡垒机不是跳板机——跳板机只提供中转，堡垒机多了授权和审计两层。堡垒机也不管业务流量，它管的是"运维操作"这个入口。

快速判断速查

  • 流量异常告警 → IDS
  • 流量实时阻断 → IPS
  • 员工上网管控 → 上网行为管理
  • 安全域隔离交换 → 网闸
  • 资产漏洞排查 → 漏扫
  • 全域日志留存 → 日志审计
  • 数据库访问监控 → 数据库审计
  • 运维操作审计 → 堡垒机