为何AH使用较少呢？因为AH无法提供数据加密，所有数据在传输时以明文传输，而ESP提供数据加密；其次AH因为提供数据来源确认（源IP地址一旦改变，AH校验失败），所以无法穿越NAT。...这个数据包发到互联网后，其命运注定是杯具的，为什么这么讲，就因为其目的地址是10.1.1.2吗？这并不是根源，根源在于互联网并不会维护企业网络的路由，所以丢弃的可能性很大。 4....比如在图中，发起方IP地址为6.24.1.2，响应方IP地址为2.17.1.2，那么兴趣流可以是源6.24.1.2/32、目的是2.17.1.2/32，协议可以是任意的，倘若数据包的源、目的IP地址稍有不同...发起方：Initiator，IPSec会话协商的触发方，IPSec会话通常是由指定兴趣流触发协商，触发的过程通常是将数据包中的源、目的地址、协议以及源、目的端口号与提前指定的IPSec兴趣流匹配模板如ACL...满足兴趣流条件，在转发接口上检查SA不存在、过期或不可用，都会进行协商，否则使用当前SA对数据包进行处理。 3.
原来我对“MPLS”的理解完全错了。 那次面试让我认识到，当人们谈论“购买MPLS电路”时，实际上是在使用MPLS这个术语来特指MPLS的一个具体用例，而非更广泛的技术概念。...通常，路由器会根据目标 IP 地址来转发数据包。然而，在大型网络中，特别是互联网服务提供商的网络中，这种简单的方式就不够用了。...它允许在数据包上添加标签，并根据这些标签来转发数据包，而不是根据目标 IP 地址。这样一来，我们就可以在大型网络中更有效地管理流量，并为不同的流量分配不同的路径。 为什么需要隧道？...由于运行 MPLS 的服务提供商只查看数据包上的标签，而不是 IP 本身，这使得服务提供商能够使用 MPLS 为此类客户提供 VPN 服务。...隧道另一端的接收服务提供商路由器将该 VPN 标签映射到特定客户，从而使该客户的流量在逻辑上与任何其他客户（甚至是使用完全相同的私有 IP 的客户）分开。
选型与对比 鉴于之前写的 VPN 权限管理项目的缺点，以及对比 iptables(ipset)、nftables、ebpf-iptables 后，确定过滤网络数据包的底层工具还是选用 nftables...】 真正作用于用户访问内网地址的业务规则【在 VPN 中枢服务器 需要改变为 nft】 3. openvpn 权限控制原理 VPN 权限管理的核心是 masquerade，即源地址伪装：VPN 用户访问内网的流量全都在...当一个数据包走到 VPN 服务器时，netfilter 将数据包的源 IP 伪装成本机(VPN 服务器)的地址，然后根据规则将数据包送往不同的地址。...80 counter jump masquerade，从 VPN 虚拟 IP10.121.0.3 到 192.168.3.0/24 的 80 端口的流量，前者源地址被 masquerade 成本机地址...： 各个云的 ACL 和安全组配置好、wg 中继器 VPC 的路由配置好 wireguard 混合云的各个 VPC 与这台 VPN 服务器(中枢)全通 所有的控制点都放在 VPN 中枢，用是否有用户到目的地的规则来控制访问权限
学习TCP协议的三次握手以及四次挥手，重点了解为什么要三次握手，为什么要四次挥手，在整个过程中状态是如何变迁的。（经典的状态图以及握手挥手图） a.为什么要三次握手？不是一次，两次或者四次。...IP地址转换为同样的全球IP地址把源主机端口号转换为不同的新的端口号；对于入专用网的应答NAPT根据不同的目的端口号从NAPT转换表中找到正确的目的主机。...NAT优点：(1)通过NAT专用网内部主机可使用专用地址与因特网上的主机通信。(2)通过NAT一个全球合法IP地址可被多台专用网内部主机分享使用节省全球IP地址资源。...计算机 B 收到数据后会读取数据包的源端口号和目的端口号，B 返回的数据后就把原来数据包中的原端口号作为目的端口号，而把自己的端口号作为原端口号再送回 A。...内网穿透的功能就是，当我们在端口映射时设置时，内网穿透起到了地址转换的功能，也就是把公网的地址进行翻译，转成为一种私有的地址，然后再采用路由的方式ADSL的宽带路由器，具有一个动态或者是固定的公网IP，
财务部之间互访测试 为财务部的地址进行访问分部的 可以看到是可以相互访问的。 加解密的数据包 可以看到加密数据包一直在增加。...在通常情况下可以有2个邻居的。 这里的原因是USG防火墙上面，把对于同一个源地址，建立的2条VPN链路看成一条，所以默认情况下，只能从最先建立的VPN使用，另外一条做备用状态。...分析VPN建立过程，以及整个VPN实现的效果 说明：可以看到VPN的配置有几个特殊支持，1、Tunnel接口的配置，不是以公网接口作为源目，而是定义了两对环回口作为各自Tunnel的源与目，这主要是因为分支机构那边没有固定...（1）这里VPN的建立，主要依靠OSPF周期性的发送数据包用来与地方建立邻居，由于是Tunnel接口，所以要封装GRE，源IP为：2.2.2.2，目的地址为：1.1.1.1 | GRE | 源IP：10.1.1.2...（3）这时候的封装会以：| 公网地址：源地址：【动态分配】 目的IP：202.100.1.2 | ESP | GRE头部 | 实际真实IP流量，然后发送给目的IP【也就是peer指定的202.100.1.2
over IP > GRE VPN 直接使用GRE封装建立GRE隧道，在一种协议的网络上传输其他协议，需要虚拟的隧道（Tunnel）接口 GRE的封装格式 ++协议B头：++ 也就是我们的载荷协议封装我们的内网源IP目的IP ++GRE头：++ 就是我们的封装协议告诉对方我放用的什么协议 ++协议A头：++ 也就是我们的承载协议 里面包含了我们外网的源IP目的IP ++链路层头：++ 就是我们二层的源MAC和目的MAC IP over IP 的GRE封装格式 GRE的IP协议号为47 其中 ++载荷协议0x0800就是我们的...IP层头部++ 也就是说 ++公网IP头使用协议号47来标识GRE头部++ 而 ++GRP头部使用0x0800来标识我们内网IP头部++ > IP头部格式（回顾） 其中Protocol字段就是将该数据包解封装后交给哪个协议处理...，要手动指定源公网地址、目的公网地址） 缺乏安全性（不对数据包做加密等处理，且报文在公网上传播，因此基本上都是搭配IPsec） 不能隔离地址空间（不能解决私网地址冲突的问题） 相关配置命令 interface
为什么要用VPN 有一些类似这样的情形或需求： 隐藏自己的真实IP去访问某个网站 在家里想进入公司网站的管理界面，但管理系统限制了仅允许来自公司IP可以访问想连接到某个特别网站的特别网络应用，但本地的...该设备既能以字符设备的方式被读写，作为系统的虚拟网卡，也具有和物理网卡相同的特点：能够配置IP地址和路由。对虚拟网卡的使用是OpenVPN实现其SSL VPN功能的关键。...当客户端对OpenVPN服务器后端的应用服务器的任何访问时，数据包都会经过路由流经虚拟网卡，OpenVPN程序在虚拟网卡上截获数据IP报文，然后使用SSL协议将这些IP报文封装起来，再经过物理网卡发送出去...(内网或外网地址)，最好填写openvpn服务器的公网IP地址（使用"curl ifconfig.me"命令查看）。...mac客户端验证 # 我们连接vpn后,查看本机分配的vpn地址,可以看到已经成功分配到vpn地址范围内地址了 ?
---- 网络层 ---- 网络层（Internet Layer）:实际的传输功能层，网络层通过网络层协议（如IP协议）将数据包（也称为数据报）从源主机传输到目的主机。...IP地址寻址：网络层在数据报的头部添加源IP地址和目的IP地址。源IP地址是发送方主机的唯一标识符，目的IP地址是接收方主机的标识符，用于确定数据报的源和目的地。...路由选择：网络层根据目的IP地址和路由表中的路由信息，选择合适的路径将数据报从源主机传输到目的主机。路由选择涉及到路由选择算法和路由器之间的通信。...VPN能做什么： 绕过地理限制： VPN可以通过连接到位于其他国家或地区的服务器，使用户在浏览网站或使用在线服务时获得该地区的IP地址。...使用场景： 127.0.0.1在应用程序或操作系统中的网络设置中常用，特别在测试和调试本地网络服务时； 而localhost在一些应用程序或配置文件中使用更普遍，在访问本地服务或指定服务器时使用。
以上步骤循环进行，直到到达目的地。这样，发送主机就能够记录每一个ICMP TTL超时消息的源地址，得到IP数据包到达目的地所经历的路径。...当网络质量不高时，可以增加发送探测数据包数目，保证探测报文能够到达目的节点。 -vpn-instance：指定tracert目的地址的VPN属性，即关联的VPN实例名称。...host：可以是IP地址或域名，如果是域名会首先进行DNS解析，并显示解析后的IP地址。...IP地址、3次报文的响应时间。...当网络上出现路由环路时，使用ping命令只能知道接收端出现超时错误，而tracert命令能够很容易发现路由环路等潜在问题。在tracert某地址时，多次出现相同的地址，即可认为出现了路由环路。
arp_ignore：定义接收 ARP 请求时的响应级别 0：响应任意网卡上接收到的对本机 IP 地址的 ARP 请求（包括环回网卡），不论目的 IP 地址是否在接收网卡上 1：只响应目的 IP 地址为接收网卡地址的...ARP 请求 2：只响应目的 IP 地址为接收网卡地址的 ARP 请求，且 ARP 请求的源 IP 地址必须和接收网卡的地址在同网段 ?...，负载均衡器不改变源数据包，而是在源数据包上新增一层 IP 首部 { 分发 IP、端口号、MAC 地址 } ➡️ { 真实服务器 IP、端口号、MAC 地址 } 2.真实服务器收到请求的数据包后，将最外层封装的...由于真实请求中响应数据包比请求数据包大很多的特点，在高并发下会成为系统的瓶颈，于是将响应数据包直接由真实服务器返回给客户端。使用 MAC 地址欺骗来达到此目的，作用于数据链路层，所以不能对端口映射。...回顾之前的小思考题：为什么在说真实服务器能够正常接收负载均衡器转发的数据包的必要条件时，没有带上 MAC 地址？
由于是根据固定长度的标签搜索目的地址，所以MPLS能够实现数据包的高速转发，这也是提出MPLS的初衷。 ...当接收到一个标签数据包时，可以查出栈顶部的标签值，并且系统知道：A、数据包将被转发的下一跳；B、在转发之前标签栈上可能执行的操作，如返回到标签进栈顶入口同时将一个标签压出栈；或返回到标签进栈顶入口然后将一个或多个标签推进栈...相同转发等价类的分组在MPLS网络中将获得完全相同的处理。 转发等价类的划分方式非常灵活，可以是源地址、目的地址、源端口、目的端口、协议类型、VPN等的任意组合。...例如，在传统的采用最长匹配算法的IP转发中，到同一个目的地址的所有报文就是一个转发等价类。 ...MPLS数据包的服务质量类型可以由MPLS边界路由器根据IP包的各种参数来确定，如IP的源地址、目的地址、端口号、TOS值等参数。
可以简单的将路由理解为当三层设备（Layer3 Device）收到一个IP数据包时，它拿着数据包的目的IP地址在自己的路由表中进行查找，如果找到相匹配的表项，则将数据包依照表项所指示的出接口和下一跳IP...简单的一句话，包含的东西却是非常多的，实际上路由的动作从微观层面来探讨，可以拆解成复杂的过程，例如当目的地址在路由表中查询时，默认采用“最长匹配原则”，逐位（Bit by Bit）地将目的IP地址与路由表中的各个路由前缀进行匹配...它会在FIB表中查找该IP报文的目的IP地址，如果有匹配的表项并且该表项所指示的下一跳是一个IP设备而不是LSR，那么这个报文会被直接路由。...在报文的转发过程中： 在Ingress LSR，通过查询FIB表和NHLFE表指导报文的转发。 当IP报文进入MPLS域时，首先查看FIB表，检查目的IP地址对应的Tunnel ID值是否为0x0。...在使用Hello报文发现邻居并且知道了对方的传输地址后，邻居之间就会开始尝试TCP三次握手（基于传输地址），并且交互LDP的初始化报文、标签映射报文等，这些报文都使用双方的传输地址作为源、目的IP地址。
Flannel的设计目的就是为集群中的所有节点重新规划IP地址的使用规则，从而使得不同节点上的容器能够获得“同属一个内网”且”不重复的”IP地址，并让属于不同节点上的容器能够直接通过内网IP通信。 ...可以看到在UDP的数据内容部分其实是另一个ICMP（也就是ping命令）的数据包。 ...第二个问题，为什么每个节点上的Docker会使用不同的IP地址段？ 这个事情看起来很诡异，但真相十分简单。...如果不是动态变化，会造成IP地址的浪费么？ 答会造成一些浪费，一般使用10.x.x.x的IP段。 问：sudo mk-docker-opts.sh -i 这个命令具体干什么了？...外网与物理主机能ping通，也能ping通所有Docker集群的容器IP？ 答：不是固定的，IP分配还是Docker在做，Flannel只是分配了子网。 问：Flannel的能否实现VPN？
PPTP数据报文 对于数据报文， PPTP Server和PPTP Client都使用到了两个IP地址。一个是公网IP地址，用于连接Internet；另一个是通过PPTP拨号分配的内网IP。...（我看到一些文章上说PPTP协议建立TCP连接时，三次握手只执行了前面两次，第三次没有单独发送ACK报文，而是带着有效载荷，不晓得是否真的可能如此，但从我抓到的报文来看，三次握手是有完成的。...数据的发送——封包过程 在发送端，要把一个数据包发出去，需要首先把packet发到VPN的虚拟网卡，虚拟网卡把它变成GRE frame，然后发往IP层再次进行路由。...我的PPTP服务器使用的MTU是1300，当内网中其它终端以树莓派为网关时并不知道网关的下一跳链路的MTU小于1500，终端也不会在DHCP过程中主动配置MTU值，1500大小的包转发到PPTP链路中会被丢弃...服务器信息，网关填上树莓派的静态ip，我是在TP-Link上配置DHCP信息的 结束语 以上就是VPN路由的所有配置，现在你可以iPhone、iPad、 Android、电脑、PSVita、3DS、PS3
抗重放：接收方拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的数据包所进行的攻击。 IPSec VPN的应用场景分为3种： 1....VPN只是IPSec的一种应用方式: IPSec其实是IP Security的简称，它的目的是为IP提供高安全性特性，VPN则是在实现这种安全特性的方式下产生的解决方案。...2.发起方：Initiator，IPSec会话协商的触发方，IPSec会话通常是由指定兴趣流触发协商，触发的过程通常是将数据包中的源、目的地址、协议以及源、目的端口号与提前指定的IPSec兴趣流匹配模板如...伴随IPSec出现的IKE（Internet Key Exchange）协议专门用来弥补这些不足： 1.发起方定义的兴趣流是源192.168.1.0/24目的10.0.0.0/8，所以在接口发送发起方内网...2.满足兴趣流条件，在转发接口上检查SA不存在、过期或不可用，都会进行协商，否则使用当前SA对数据包进行处理。
Basic QinQ 是一种基于端口的标记方式。当数据包到达启用了 VLAN VPN 的接口时，交换机将使用其默认 VLAN 标签标记数据包。传入的数据包是否被标记并不重要。...它可以根据MAC地址、IP协议、源IP地址和VLAN标签识别数据包的内层VLAN标签，然后确定应该添加哪个标签。...使用 VXLAN MAC-in-UDP 封装，原始数据包将添加到 VXLAN 标头中，然后放入 UDP-IP 数据包中。这是一个简单的说明。...外层 UDP 头：VTEP（VXLAN 隧道端点）在 UDP 头中分配源端口，目的端口通常是 UDP 端口 4789。 外层IP头：它有一个源VETP的源IP地址与内层帧源相关联。...MAC-in-UDP 支持使用 24 位 VIND，这允许数据中心容纳多个租户并打破物理距离限制和部署。 这就是为什么近年来 VXLAN 在云计算和虚拟化数据中心中变得越来越流行的原因。
Extensible LAN，虚拟可扩展局域网） VXLAN是NVO3中的一种网络虚拟化技术，通过将虚拟机发出的数据包封装在UDP中，并使用物理网络的IP、MAC作为outer-header进行封装...封装的外层源IP地址为源端VTEP1的IP地址，外层目的IP地址为目的端VTEP2和VTEP3的IP地址；外层源MAC地址为源端VTEP1的MAC地址，而外层目的MAC地址为去往目IP的网络中下一跳设备的...如果目的IP不是本机IP，则将报文丢弃；如果目的IP是本机IP，则对ARP请求做出应答。 ARP应答报文转发流程 由于PC_2学习到PC_1的MAC地址，所以ARP应答报文为单播报文。...封装的外层源IP地址为源端VTEP2的IP地址，外层目的IP地址为目的端VTEP1的IP地址；外层源MAC地址为源端VTEP2的MAC地址，而外层目的MAC地址为去往目IP的网络中下一跳设备的MAC地址...如果希望在EVPN实例地址族下配置更多的EVPN-VPN-Target，可以多次使用vpn-target evpn命令进行配置。 配置三层网关并绑定VPN实例。
如下 ICMP差错报文不会产生ICMP差错报文（IMCP查询报文）（防止IMCP的无限产生和传送） 目的地址是广播地址或多播地址的IP数据报。 作为链路层广播的数据报。 不是IP分片的第一片。...源地址不是单个主机的数据报。这就是说，源地址不能为零地址、环回地址、广播地 址或多播地址。 虽然里面的一些规定现在还不是很明白，但是所有的这一切规定，都是为了防止产生ICMP报文的无限传播而定义的。...其中查询报文有以下几种用途: ping查询 子网掩码查询 时间戳查询（可以用来同步时间） 其中子网掩码查询以前主要在主机启动时使用，主机能确定自身在网络环境中IP地址、地址掩码、路由器状况等信息，现在，...Traceroute程序可以让我们看到IP数据报从一台主机传到另一台主机所经过的路由。Traceroute程序还可以让我们使用IP源路由选项。...这也是使用Traceroute测试一个公网的地址，看不到中间路由的原因。 有人要问，我怎么知道UDP到没到达目的主机呢？
然而传统的网络设备对数据包的转发都基于硬件，其构建而成的Underlay网络也产生了如下的问题： 由于硬件根据目的IP地址进行数据包的转发，所以传输的路径依赖十分严重。...相互连接的Overlay设备之间建立隧道，数据包准备传输出去时，设备为数据包添加新的IP头部和隧道头部，并且被屏蔽掉内层的IP头部，数据包根据新的IP头部进行转发。...将不同的业务分割开来，可以实现网络资源的最优分配。 支持多路径转发。在Overlay网络中，流量从源传输到目的可通过多条路径，从而实现负载分担，最大化利用线路的带宽。...Overlay网络的一个典型例子是Internet VPN ，它在Internet上构建了一个虚拟的封闭网络。 通过使用IPsec等协议构建虚拟网络，使私有 IP 地址的通信成为可能。...一旦数据包到达其目的地，SD-WAN 边缘设备将删除外部 IP 标头和隧道标头，得到的是原始 IP 数据包。 在整个过程中，Overlay网络感知不到Underlay网络。
这两种防火墙在设计理念、工作原理和使用场景上都有所不同。目录：TOC一、无状态防火墙无状态防火墙，顾名思义，是不保持连接状态的防火墙。它仅仅根据预先定义的规则集来检查每个进入或离开网络的数据包。...1.1 工作原理无状态防火墙的工作原理相对简单。当一个数据包到达防火墙时，防火墙会检查数据包的头部信息，如源和目标IP地址、协议类型和源和目标端口号。...然后，防火墙会根据这些信息和预先定义的规则集来决定是否允许数据包通过。例如，你可能设置了一个规则，只允许来自特定IP地址的数据包通过。当一个数据包到达防火墙时，防火墙会检查数据包的源IP地址。...使用状态表（也称为连接表）来跟踪每个连接的状态信息，如源和目标IP地址、协议类型、源和目标端口号，以及连接的当前状态。对每个进入或离开网络的数据包进行单独的检查，不考虑数据包之间的关系。...使用场景：如果您的企业在一个安全要求较高的环境中运行，例如处理敏感数据或进行复杂的网络交互，那么有状态防火墙可能是一个更好的选择。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
