S01-03-网络

来源快照｜网络

本页是原图的只读导入快照，不是已核验文档。原有历史命令、版本标记与疑点保留；已识别口令替换为占位符。图片只保留引用。

• 网络 ^xm-2f942365d5b747efa30c58d5e1

  • ◆ 2026 深度扩展｜生产网络

    • 二层：Ethernet、VLAN、STP 与链路聚合 ^xm-de57c2df563c4a9d9b20d3a312
      • 🎯 目标 ^xm-a56772ef40fa4fe5882a9a7dce
        • 理解同网段转发、环路、广播域和冗余链路。
      • 🧠 知识拆解 ^xm-2a3103e75e8b47f8b69c9397a7
        • MAC learning/aging
        • access/trunk/802.1Q
        • STP/RSTP root/port state
        • LACP bonding
        • ARP/ND
        • 广播风暴
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-192f615ee2c740a2a8dcdf670c
        • ip link
        • bridge fdb/vlan/link
        • ethtool
        • tcpdump -e
        • 交换机 show mac/vlan/stp
      • 🔥 高频故障与风险 ^xm-5f2d6ca8242a47e5a6a2bc02d2
        • VLAN 不一致
        • STP 阻塞/环路
        • LACP 单边配置
        • MAC flapping
        • ARP 冲突
      • 🔎 排障路径 ^xm-b11c6d2919a24c2eb8cb4b9b3e
        • 核对物理/逻辑链路
        • 逐跳检查 VLAN tag
        • 检查 STP topology change
        • 抓 ARP 与 Ethernet header
      • 🧪 实战练习 ^xm-979932cb38044ec08de64ecd21
        • Linux bridge + VLAN 实验
        • 双链路 bonding 故障切换
      • ✅ 验收标准 ^xm-c4ded830c28946638dd19b6f6a
        • 能解释帧逐跳变化
        • 环路演练有保护
        • 链路故障符合收敛目标
    • 三层：IP、路由、NAT 与动态路由 ^xm-a8b73f65eec44950bb8af0466f
      • 🎯 目标 ^xm-732a3763e47e4888964fb073e0
        • 能够定位跨网段、非对称路由和 NAT 问题。
      • 🧠 知识拆解 ^xm-c63dcf961292487ea0731af084
        • CIDR/subnet/gateway
        • longest prefix match
        • policy routing
        • ECMP
        • SNAT/DNAT
        • OSPF/BGP 基础
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-287d9998ba334a83ae7b76011e
        • ip route get
        • ip rule
        • traceroute/mtr
        • nft list ruleset
        • conntrack -L
        • FRR vtysh
      • 🔥 高频故障与风险 ^xm-64b6f8498c8a477f9468bf0756
        • 路由缺失
        • 非对称路径被防火墙丢弃
        • NAT 端口耗尽
        • BGP 路由泄漏
        • 黑洞路由
      • 🔎 排障路径 ^xm-7169975f4d0d46c9aae6a2f571
        • 源/目的双向路由
        • 核对路由表与策略表
        • 检查 NAT/conntrack
        • 查看 TTL/ICMP
      • 🧪 实战练习 ^xm-1daf70256fcd4d878e68117bc2
        • 多路由表策略路由
        • 构造 SNAT 与端口转发
      • ✅ 验收标准 ^xm-4bba29b83703429bb05ddb7c36
        • 能画出包每跳源/目的变化
        • 回滚路由变更
        • 动态路由有过滤与最大前缀保护
    • TCP/UDP 与连接性能 ^xm-0dc68a5981a34179a992e1d6a2
      • 🎯 目标 ^xm-c67e341149214a2486ec0cb5e8
        • 从握手、窗口、重传和队列解释连接慢与断开。
      • 🧠 知识拆解 ^xm-da0674007f354d8b87650af14e
        • 三次握手/四次挥手
        • sequence/ack/window
        • RTO/fast retransmit
        • congestion control
        • keepalive
        • UDP 无连接与丢包
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-f2fc8433fcde4fb8ac3c0fba1d
        • ss -tin
        • tcpdump flags
        • tshark
        • nstat
        • iperf3
        • tc qdisc
      • 🔥 高频故障与风险 ^xm-1e502c88ac564f70904f8dda92
        • SYN timeout
        • RST
        • zero window
        • retransmission
        • out-of-order
        • UDP 丢包
      • 🔎 排障路径 ^xm-b246cdd0e1944e4e80b4b39cea
        • 区分连接建立/传输/应用等待
        • 对齐双端抓包时间
        • 分析 RTT/重传/窗口
        • 检查队列与限速
      • 🧪 实战练习 ^xm-01784d0108934c4c916e14382e
        • tc 注入延迟/丢包
        • 比较不同拥塞控制
      • ✅ 验收标准 ^xm-b8cd0714611c43db8a4cc1b323
        • 能从抓包解释一次超时
        • 压测报告含 RTT/丢包/带宽
        • 不靠盲调 sysctl
    • DNS 与服务发现 ^xm-7ecefe51414f4f63890b16cfcc
      • 🎯 目标 ^xm-ea1cabd3541c4be8832ee5e04c
        • 理解递归、权威、缓存、TTL 和容器环境中的服务发现。
      • 🧠 知识拆解 ^xm-03d7085e3f2f4940b0cc4dbbbc
        • stub/recursive/authoritative
        • A/AAAA/CNAME/MX/TXT/SRV
        • TTL/negative cache
        • split-horizon
        • DNSSEC 基础
        • CoreDNS/K8s search domain
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-68c65eb34ef243c4a3ba58a19f
        • dig +trace/+stats
        • resolvectl
        • nslookup
        • tcpdump port 53
        • kubectl exec nslookup
        • CoreDNS logs/metrics
      • 🔥 高频故障与风险 ^xm-5a045585a13b443e973e216299
        • NXDOMAIN 缓存
        • CNAME 链过长
        • search ndots 放大查询
        • 上游超时
        • 缓存未刷新
      • 🔎 排障路径 ^xm-0019d3e06b4f4ca9864475c5a8
        • 应用→stub→recursive→authoritative
        • 对比不同 resolver
        • 检查 TTL/RCODE
        • 区分 UDP/TCP/DoT
      • 🧪 实战练习 ^xm-44d4c1e6ba58472092eb3dc000
        • 搭建权威与缓存 DNS
        • 模拟 CoreDNS 上游故障
      • ✅ 验收标准 ^xm-ab0236d46441459b9a94829343
        • 能定位失败层级
        • 变更考虑 TTL 提前量
        • 监控延迟/错误/缓存命中
    • HTTP、TLS、代理与负载均衡 ^xm-d6b9e4e2c77b4fc7a779f9558d
      • 🎯 目标 ^xm-0752957e2e4b4e04964046970f
        • 从 L4/L7 入口定位证书、连接、路由和上游问题。
      • 🧠 知识拆解 ^xm-11b14cd071254f43a119128d96
        • HTTP/1.1、HTTP/2、HTTP/3
        • status/idempotency/cache
        • TLS handshake/SNI/ALPN
        • reverse proxy
        • L4/L7 load balancing
        • health check/session persistence
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-1f2ff48b4d974d9caa2f1a3353
        • curl -v/—resolve
        • openssl s_client
        • nghttp
        • haproxy stats
        • nginx access/error logs
        • tcpdump
      • 🔥 高频故障与风险 ^xm-9332d056939f4ef38bab8b9826
        • 502/503/504
        • 证书链/主机名错误
        • upstream reset
        • 健康检查假阳性
        • 连接池耗尽
      • 🔎 排障路径 ^xm-250d8f1e3fae4602ad17be6cfe
        • 客户端→DNS→TCP→TLS→proxy→upstream
        • 关联 request/trace id
        • 检查各跳超时层级
        • 对比直连与代理
      • 🧪 实战练习 ^xm-ffb7305913bf425ab567ff6790
        • Nginx/HAProxy 双层代理
        • 证书轮换与灰度
      • ✅ 验收标准 ^xm-f204c4a950dc41eb957b3179f4
        • 能区分 502/503/504 根因
        • 证书到期自动告警
        • 超时预算逐层递减
      • 🔗 对应优秀开源项目 ^xm-f154aad7510445febbfd648db4
        • haproxy/haproxy ^xm-34c38daec0894b5aaf065db86c
          • 原链接（未复核）：https://github.com/haproxy/haproxy
        • envoyproxy/envoy ^xm-6a88b4aaf68c4bf18de492fdd5
          • 原链接（未复核）：https://github.com/envoyproxy/envoy
    • 防火墙、零信任与网络安全 ^xm-f75e10a2ea584cdd8950ee4b27
      • 🎯 目标 ^xm-30990b4db4134fb5a1facc0e2e
        • 用最小暴露、分区和可审计策略控制流量。
      • 🧠 知识拆解 ^xm-ce2ac9034d1046f1ac11ceef65
        • stateful firewall
        • nftables chains/hooks
        • security group/NACL
        • WAF/IDS/IPS
        • micro-segmentation
        • zero trust identity
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-9fe600412995452d8072d4ea28
        • nft
        • conntrack
        • iptables-save（遗留）
        • firewall-cmd
        • hubble observe
        • flow logs
      • 🔥 高频故障与风险 ^xm-57995d9a8dd54779895a6853e7
        • 规则顺序错误
        • 回程流量被丢
        • 全开放临时规则遗留
        • 东西向流量无控制
      • 🔎 排障路径 ^xm-40f7599923164c7084fb9780c4
        • 记录五元组和方向
        • 检查状态与命中计数
        • 逐层核对主机/云/K8s 策略
      • 🧪 实战练习 ^xm-89d9db410e6a4ad99aebf2b7f5
        • 默认拒绝网络策略
        • 规则变更前后流量验证
      • ✅ 验收标准 ^xm-bb04f54c5b7a420ca1c00d7ae4
        • 规则有 owner/期限/理由
        • 生产变更有回滚
        • 拒绝日志可用于排障
      • 🔗 对应优秀开源项目 ^xm-07b448849dd14d00a1d1c70d31

        • cilium/cilium

          备注（源图文本，未作运行验证）：

          定位：eBPF CNI、网络策略与可观测
          源码阅读：agent→endpoint→policy→BPF maps→Hubble
          实战：实现 L3/L4/L7 策略并观测丢包
          注意：升级前检查内核与功能兼容矩阵
          整理日期：2026-07-09

          • 原链接（未复核）：https://github.com/cilium/cilium
    • Kubernetes 网络与 CNI ^xm-496323a13c384d189d783cd48d
      • 🎯 目标 ^xm-e073b8b694864a63a835763952
        • 理解 Pod 到 Pod、Service、Ingress/Gateway 和外网的完整路径。
      • 🧠 知识拆解 ^xm-8b9dddb68f3740b1b14cb91ab9
        • Pod IP/CNI
        • Service ClusterIP/kube-proxy
        • iptables/IPVS/eBPF
        • Ingress/Gateway API
        • NetworkPolicy
        • DNS 与跨节点隧道/路由
      • ⌨️ 命令 / 配置 / 关键对象 ^xm-0266277ca3484248ab6fe42443
        • kubectl get svc/endpointslices
        • ip/netns
        • iptables-save/ipvsadm
        • cilium status/monitor
        • hubble observe
        • tcpdump on node/veth
      • 🔥 高频故障与风险 ^xm-636e8f4b24824ee8b7f577d60c
        • Service 无 endpoint
        • CNI 地址耗尽
        • 跨节点不通
        • NetworkPolicy 拒绝
        • SNAT/MTU 问题
      • 🔎 排障路径 ^xm-30b13a435a394e02bd36797d85
        • Pod→veth→node→CNI→service/backend
        • 先 endpoint 后数据面
        • 逐接口抓包
        • 检查 MTU 与路由
      • 🧪 实战练习 ^xm-2c580d0dbcd14744b68ca62110
        • kind + Cilium 网络策略
        • 模拟 endpoint/MTU/跨节点故障
      • ✅ 验收标准 ^xm-6d9f7e2d9a774c9f8b97b16868
        • 能画包路径
        • 策略默认拒绝且有验证
        • 排障不只重启 Pod
      • 🔗 对应优秀开源项目 ^xm-e1f0083548db49588d11cd7250

        • cilium/cilium

          备注（源图文本，未作运行验证）：

          定位：eBPF CNI、网络策略与可观测
          源码阅读：agent→endpoint→policy→BPF maps→Hubble
          实战：实现 L3/L4/L7 策略并观测丢包
          注意：升级前检查内核与功能兼容矩阵
          整理日期：2026-07-09

          • 原链接（未复核）：https://github.com/cilium/cilium

        • containernetworking/plugins

          • 原链接（未复核）：https://github.com/containernetworking/plugins

  • ★ [新增] 生产网络知识主线

    • 寻址与名称解析 ^xm-e7c85a4a58994fdeabb896fbdb
      • CIDR 与子网规划
      • IPv4/IPv6
      • ARP/ND
      • DNS 递归与权威
      • DHCP
    • 路由与转发 ^xm-2aa993be488e4413aa0ab6b5dc
      • 静态路由
      • OSPF
      • BGP
      • ECMP
      • 策略路由
      • NAT/SNAT/DNAT
    • 传输与应用协议 ^xm-d980000c27f943529136ceb5ab
      • TCP 状态与拥塞控制
      • UDP/QUIC
      • TLS/证书
      • HTTP/1.1、HTTP/2、HTTP/3
      • WebSocket/gRPC
    • 流量治理 ^xm-01304c89717947e28b7e78177c
      • 四层与七层负载均衡
      • 反向代理
      • 健康检查
      • 限流/熔断/重试
      • CDN 与边缘
    • 排障方法 ^xm-52f1061c20314e8c94db1c4a39
      • 分层定位
      • 连通性与路由
      • DNS 故障
      • 丢包/重传/时延
      • MTU/PMTUD
      • 抓包分析

  • 2.网络管理

    • 1.防火墙管理 ^xm-16b557fv3inhkdlsgph4a0tc33
      • iptables -L -n -v查看防火墙规则
      • iptables -F 清除防火墙规则
      • iptables -A INPUT -s 源IP -d 目的IP -j ACCEPT 增加允许目的ip访问源ip
      • iptables -A INPUT -p tcp —dport 80 -j ACCEPT 增加允许80端口访问
      • iptables -I INPUT -s 源IP -j DROP 插入禁止源IP访问
    • 2.网卡管理 ^xm-6i9rct4165ahl2nf6jmeglm7pt
      • netstat -tunlpa 查看所有socket进程及端口号
      • ifconfig eth0 需要添加的地址IP netmask 255.255.255.0 ifconfig eth0 -arp 关闭网卡arp协议
      • ifup/ifdown 开启/关闭网卡
      • route -n查看路由 U代表开启G代表网关
      • tcpdump -i eth0 -s0 -w ./test.pcap 抓eth0网卡的数据保存当前路径为test.pcap
    • 3.网络端口探测工具 ^xm-01g9ht3b9s20uitbf75nct5vmd
      • snmp端口扫描工具
    • 4.ssh远程连接工具 ^xm-6enndoq3lm736f7banbvc0o202

      • ⚑ [纠错] ssh -p <端口> <用户>@<主机>

        备注（源图文本，未作运行验证）：

        OpenSSH 客户端连接语法示例：ssh -p 22 ops@example.com。-h 通常用于帮助信息，不用于指定主机。

    • 5.ftp工具使用 ^xm-25bbhl318v4ki9lmjkq7102ehs
      • ftp IP地址
    • 6.远程连接工具 ^xm-4opjqb7t3koe7bqd19rgncpsup
      • telnet IP
      • scp -P 目标端口号 文件名 root@IP:/home/ 远程传输
    • 7.sendmail邮件 ^xm-37cup4cav5v14li88d5qtcgcoh
      • sendmail -s ‘主题’ tyloryang@163.com < 1.txt

  • ⚑ [纠错] OSI 七层模型

    备注（源图文本，未作运行验证）：

    原节点名称：ISO七层。已统一为标准拼写。

    • 7.应用层 ^xm-38hd43srukl0mnbcp8hrcs6ctc
      • HTTP:80
      • HTTPS 443
      • FTP 21
      • POP3 110
      • SMTP 25
      • telnet 23
      • SSH 22
    • 6.表示层
    • 5.会话层
    • 4.传输层 ^xm-2m9cbit3afblq604niq039enlg
      • TCP:面向连接,可靠性强 ^xm-49rra26if5kspu2r1kl7srol9b
        • 三次握手 ^xm-6fhdis9kfedpi429vpq8reqsn7
          • 图片引用（本次未导出图片字节）：xap:resources/e0b9cbf55110d9d212cf294ca1a459f96e282481294f08909981b755d23d3025.png
        • 四次挥手 ^xm-05001s7obf35mp8mhgslm95jdo
          • 图片引用（本次未导出图片字节）：xap:resources/6d3451429c4ad7a1aad875ecac3e359e70fadba7307c37e72dcfcdc59e1325a2.png
      • UDP:不可靠
      • socket(IP+端口号)
    • 3.网络层 ^xm-1m5eciqu6121qem0hh95lr033s
      • IPv4和IPv6 ^xm-1nr6pfafj12mgq1bk66pombu03

        • 可划分子网数=2^(借位组“1”的个数)

          • ⚑ [纠错] /30 子网划分示例

            备注（源图文本，未作运行验证）：

            IPv4 /30 的掩码为 255.255.255.252，每个子网 4 个地址，传统点到点场景通常有 2 个可用主机地址。现代网络设计应以 CIDR 为主，不依赖 A/B/C 类地址。

        • 可容纳主机数=2^(借位组“0”的个数)

          • c类地址/30 2^2-2=2

        • ipv4端口范围是什么

          • 端口范围0-1023公认端口 1024-49151注册端口 49152-65535动态端口

        • ⚠ [版本限定] IPv4 传统分类地址

          备注（源图文本，未作运行验证）：

          A/B/C 类地址是历史分类方式。现代网络规划使用 CIDR，并需单独掌握私网、环回、链路本地、组播和保留地址段。

    • 2.数据链路层 ^xm-2obpp0gh7vrjinlchaq2v5hnta
      • MAC地址
      • ARP和RARP
      • 帧
    • 1.物理层 ^xm-02qnd4s7gp2a099j4eb243dncr
      • 线序568B
      • 线缆
      • 比特流

  • ⚑ [纠错] 二层交换配置

    备注（源图文本，未作运行验证）：

    OSPF、BGP 属于路由协议，已移动到路由配置。该分支保留 VLAN、STP 等二层交换内容。

    • VLAN
    • STP

  • 路由配置

    • 静态路由 ^xm-4d06a37tfs1qdekkqbagfee5ru
      • 直连路由 ^xm-7cr3bueevqmcjr2qu583ihp5f6
        • ip route 目的地址/子网掩码 下一跳的地址
    • 动态路由 ^xm-05b7vmhrrk3ggopve735mmuffh

      • ⚑ [纠错] OSPF

        备注（源图文本，未作运行验证）：

        OSPF 属于动态路由协议；原交换机配置下的重复节点已合并。

        • Router(config) router ospf 1 Router(config-router) network 131（详见备注）

          备注（源图文本，未作运行验证）：

          原节点完整内容：
          Router(config) #router ospf 1
          Router(config-router) #network 131.107.25.1 0.0.0.0 area 0
          Router(config-router) #exit

      • BGP