互联网并不遥远，
它从一次请求开始。

两台电脑直接连一根网线，可以构成最小网络；许多局域网再通过路由器相连，就形成了互联网（Internet）。它并没有一个“总控制中心”，而是由家庭网络、学校网络、公司网络、运营商网络和数据中心彼此连接而成。

理解网络必须分清的 4 个量

先分清楚：网络的规模

局域网内常见的连接方式：拓扑

设备之间如何连线，决定了网络怎么扩展、故障怎么蔓延。四种最容易遇到的拓扑：

时延不是一种：它由四段组成

当我们说"时延 30ms"，其实包含四种成分。分清它们，才能看懂"为什么跨洋 Ping 有物理下限"：

浏览器不需要知道光纤怎样表示 0 和 1，网卡也不需要理解 HTTP 的状态码。分层让不同厂商、不同系统能按照共同规则协作，也让每一层都可以独立升级。

封装：每一层补充本层需要的信息

发送时，应用数据从上往下经过各层，每层添加自己的控制信息（首部）；接收时则从下往上逐层拆除。路由器通常只需看到链路层和网络层，不关心里面是网页还是邮件。

OSI 七层与“实用五层”对照

书本上常讲 OSI 七层模型，而真实互联网实际实现的是 TCP/IP 五层。两套模型职责一一对应：

每一层还要遵守“报文大小”的限制

数据不仅有格式，尺寸也有上限。链路层的 MTU（最大传输单元）决定单个数据帧最多装多少字节。以太网典型 MTU 是 1500 字节，超过它时 IP 层必须把包“分片”，到达后再重组。

补充一步：局域网内如何找到“出口”

第 3 步跳过了细节：你的电脑怎么知道把包交给路由器？在以太网里，电脑先判断目的 IP 是否与自己在同一子网。目标在公网，电脑只能把帧交给“默认网关”。但要发给网关，必须先知道它的 MAC 地址，于是发起 ARP 广播：“谁知道 192.168.1.1 的 MAC？”路由器应答后，电脑才把含公网目的 IP 的帧交给它。这个“先查 MAC，再送帧”的动作发生在每一跳。

IPv4 地址由 32 位组成，通常写成四段十进制数，例如 192.168.1.10。IP 包中最重要的信息是源地址、目的地址和 TTL。每经过一个路由器，TTL 减 1；变成 0 时包会被丢弃，防止无限循环。

/24 表示前 24 位是网络号，等价于子网掩码 255.255.255.0。

打开一个 IP 包，看它带了什么

IPv4 首部固定 20 字节。除了收发地址，还有几个字段决定了包如何被转发与重组：

子网划分：把一个大网“切成小段”

把 192.168.1.0/24 平均切成 4 个子网：需要再借 2 位主机位，前缀变成 /26。每段都遵循“网络地址 + 可用主机 + 广播地址”的固定结构：

私有地址完整画像

还有一些特殊地址值得认识：127.0.0.1（环回地址，指向本机，即 localhost）、169.254.x.x（DHCP 失败时的自动配置地址）、0.0.0.0（在本机语境表示“所有地址”）。

家里的网速背后：DHCP 自动分配

你的电脑开机时怎么知道用哪个 IP？靠 DHCP 的四个消息完成“租约”配置。整个过程约 1 秒，通常在你连接 Wi‑Fi 的瞬间悄悄发生：

NAT 不只是“上网共享”

最常见的 NAT（NAPT/PAT）把多个 内网 IP:端口 映射到同一个公网 IP 的不同公网端口，每条内网主动发起的连接占一行 NAT 表项。

IPv6：地址不够了，主角轮换

IPv4 地址只有约 43 亿个，早就不够全球设备分配。IPv6 把地址扩大到 128 位，写法改为 8 组十六进制，如 2001:db8:85a3::8a2e:370:7334（连续全零段可用 :: 省略）。它带来的不止是“地址多”，还让端到端直连成为常态，不再依赖 NAT。

三次握手：先确认双方都能收发

第三次让服务器知道自己的回复已经成功到达客户端。SYN 用于同步序号，ACK 表示确认。

TCP 靠什么保证可靠？

四次挥手与 TIME_WAIT

TCP 是全双工，两个方向要分别关闭。主动关闭方会短暂进入 TIME_WAIT，确保最后的 ACK 有机会重传，并让旧连接的数据包在网络中消失。

TCP 段首部长什么样

应用数据被切成“段”，每段都带着至少 20 字节的 TCP 首部。这些字段相互配合，才实现了可靠传输：

握手为什么从“随机序号”开始？

seq 从随机初始序号（ISN）开始，而不是从 1 开始，是为了防止上一条连接在网络里“游荡”的迟到数据包，被误认成本条连接的数据。随机起始 + 每字节递增，让 TCP 能可靠区分新旧数据，这也是面试常问的三次握手动机之一。

丢包了怎么办：两种重传

拥塞控制：不只看人，还要护网络

流量控制保护“接收方”，拥塞控制保护“整张网络”。TCP 用拥塞窗口 cwnd 配合四步走，像开车一样先试探、再加速：

用状态机读懂 netstat

TCP 是严格的状态机。用 netstat -ano 看到的每行都对应一个状态：客户端发起时走 CLOSED → SYN_SENT → ESTABLISHED，服务器走 LISTEN → SYN_RCVD → ESTABLISHED；关闭连接还会穿过 FIN_WAIT_1/2、CLOSE_WAIT、LAST_ACK、TIME_WAIT。看到大量 CLOSE_WAIT，多半是服务器程序忘了关闭 socket。

DNS 不是一台服务器。它是分层、分布式数据库。查询前会先检查本地缓存；没有结果时，递归解析器再替你逐级寻找答案。

常见 DNS 记录

域名本身也是分层的树

域名从右往左越读越具体。整棵域名树的形状，决定了 DNS 查询可以“逐级往下问”：

                  .          ← 根（13 组根服务器）
                   │
                 "com"        ← 顶级域 TLD
                   │
              "example"       ← 二级域（通常由你注册）
                   │
      "www" · "api" · "mail"  ← 子域 / 主机名

注意：www.example.com 不是三个“域”，而是一个完整域名（FQDN）。example.com 这个域的一切解析权，归它的权威 DNS 服务器所有。

递归查询，还是迭代查询？

上一节的 5 步流程里，客户端 → 递归解析器是递归查询（解析器替你跑完全部流程）；递归解析器 → 根 / TLD / 权威是迭代查询（每一层只告诉你“去问谁”）。分清这两个词，面试和读文档都不含糊。

记录类型的完整清单

除了最常用的 A/AAAA/CNAME/MX/TXT，权威区里还有这些关键角色：

域名怎么被用来做负载均衡

一个域名可以配多条 A 记录，权威服务器每次按策略返回不同 IP，把用户分摊到不同机群；CDN 更是把“离你最近的边缘节点 IP”编进回答。所以别惊讶：全球不同地点 nslookup 同一个域名，得到的结果可能不同。

HTTP 请求与响应

GET /articles/network HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Accept: text/html
Cookie: session_id=abc123

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 2841
Cache-Control: max-age=3600
Set-Cookie: session_id=xyz789; Secure; HttpOnly

<!doctype html> ...

Cookie、Session 与登录状态

HTTP 本身是无状态的。常见做法是登录后由服务器创建 Session，并通过 Set-Cookie 把随机会话标识交给浏览器。之后浏览器自动带上 Cookie，服务器据此找到登录状态。Cookie 只是浏览器保存的数据，不等于 Session 本身。

HTTP 的演进

先看清 URL 的每个零件

网址不是一串糊在一起的字，而是明确分割的几部分。以 https://user:pass@example.com:8080/path?q=网络#sec1 为例：

方法语义再挖一层：幂等性

方法不只是“动作”，还约定了幂等性——同一个请求执行多次，结果是否一致。这决定了客户端能否安全地重试。

状态码别再只记 404

请求头与响应头速查

Cookie 的安全属性才是重点

Cookie 不只是 Key‑Value 两件事，后面那串属性决定了它的生命周期与攻击面：

浏览器缓存是怎么“省流量”的

再次访问网页时，浏览器先看本地缓存：副本还新鲜就直接复用，根本不发请求；副本过期，就带着条件头问服务器，服务器回 304 Not Modified 表示“没变，继续用你的”。

三个版本不是“更快”这么简单

TLS 1.3 握手的简化过程

非对称密码适合身份认证和安全协商，但成本较高；对称加密速度快，适合大量数据。TLS 将二者组合起来。现代 TLS 1.3 的密钥交换还提供前向保密。

先补齐加密的三件工具

TLS 不是一种算法，而是一套“组合拳”，用到三类密码学工具，各司其职：

浏览器怎么确认证书可信？

服务器发来的证书不是“空口无凭”，而是一张由 CA（证书颁发机构）签名的凭证。验证要过三关：

证书链是一棵信任树：根 CA（预置在系统里）→ 中间 CA → 你的域名证书。正因为根证书泄露会造成信任崩塌，浏览器还要求“中间 CA 不能直接签发终端用户证书”。

TLS 1.2 与 1.3：握手瘦身

前向保密：为什么 RSA 密钥交换被淘汰

早期 TLS 用服务器的 RSA 私钥参与密钥协商。代价是：只要某天私钥泄露，攻击者就能用之前录下的流量反推出当年的会话密钥，历史加密数据全部“裸奔”。改用 ECDHE（临时椭圆曲线 Diffie‑Hellman）后，每次握手的临时密钥用完即焚，即便服务器私钥日后泄露，也解密不了过去的会话。

证书从哪来

DV / OV / EV 是按验证强度划分的证书等级。个人与中小站点的现代标准做法：用 Let's Encrypt 这类免费自动化 CA 签发 DV 证书（通常 90 天 + certbot 自动续期）；本地开发则可用 mkcert 给自己签发受本机信任的证书。

$ ssh alice@203.0.113.8
The authenticity of host can't be established.
Are you sure you want to continue connecting? yes
alice@203.0.113.8's password:
Welcome to Ubuntu 24.04 LTS

SSH 连接验证两种身份

常用命令速查

一次 SSH 连接的三个阶段

SSH 协议把一次连接切成三层，理解这三层就理解了 SSH 的安全模型：

密钥登录到底做了什么

你执行 ssh-keygen 生成一对密钥后，把“公钥”追加到服务器的 ~/.ssh/authorized_keys。登录时服务器发起一个“挑战”：用你的公钥加密随机数，只有持有对应私钥的客户端能解密并回执。整个过程私钥从不离开你的电脑，也不会在网络上传输。

用配置文件简写常用主机

经常登录的机器写进 ~/.ssh/config，从此 ssh myserver 就能直达：

Host myserver
    HostName 203.0.113.8
    Port 2222
    User alice
    IdentityFile ~/.ssh/id_ed25519
    ServerAliveInterval 30

端口转发：把远程机器当“跳板”

给服务器上一把锁：sshd 加固要点

PermitRootLogin no              # 禁止 root 直接登录
PasswordAuthentication no       # 只允许密钥认证
PubkeyAuthentication yes
Port 2222                       # 换掉默认 22 端口，减少扫描噪音
AllowUsers alice                # 白名单模式

症状 → 命令对照表