第八章 第3节

回顾前面的

一、802.11：无线局域网 WiFi

1. 802.11 是什么？

802.11 就是 WiFi 的链路层协议。

以太网是：网线 + 交换机 + Ethernet

WiFi 是：无线信道 + AP + 802.11

AP 就是无线接入点，比如路由器的 WiFi 部分。

2. WiFi 的基本结构

最常见的是基础设施模式：

手机 / 笔记本 ←无线→ AP ←有线→ 交换机/路由器/互联网

无线主机：手机、笔记本、平板

AP：Access Point，无线接入点

BSS：Basic Service Set，一个 AP 覆盖的一片 WiFi 区域

SSID：WiFi 名字

比如连接校园网：

电脑先扫描 WiFi

找到某个 SSID

和 AP 建立关联 associate

然后通过 DHCP 获取 IP

之后才能正常上网

3. 被动扫描和主动扫描

被动扫描

AP 定期广播：

我是这个 WiFi，SSID 是 xxx

主机听到以后选择连接。

主动扫描

主机主动喊：

附近有没有叫 xxx 的 WiFi？

AP 回应。

被动扫描：AP 主动发 beacon

主动扫描：主机主动发 probe request

4. 为什么 WiFi 不用 CSMA/CD？

以太网以前用：

CSMA/CD：边听边发，发现碰撞就停止

但无线里很难 CD，也就是很难“碰撞检测”。

原因：

无线发送时，自己的信号太强，很难同时听到别人

还有隐藏终端问题

所以 WiFi 用的是：

CSMA/CA：Collision Avoidance，碰撞避免

核心思想不是“碰撞后检测”，而是：发送前尽量避免碰撞

5. CSMA/CA 过程

简单说：

1. 发送前先听信道

2. 如果信道空闲一段时间 DIFS，就准备发

3. 如果信道忙，就随机退避

4. 倒计时结束后发送

5. 接收方收到后，等待 SIFS，发送 ACK

6. 如果发送方没收到 ACK，就认为失败，重新退避再发

关键词：

DIFS：发送方等待的空闲时间

SIFS：接收方回 ACK 前等待的时间，通常更短

ACK：接收确认

随机退避：避免大家同时抢信道

可以这样记：

以太网：先听，能发就发，撞了再说

WiFi：先听，随机等一等，尽量别撞

6. RTS/CTS 是什么？

RTS/CTS 是为了解决隐藏终端问题。

隐藏终端例子：

A 和 C 互相听不到

但 A 和 C 都能发给 AP

如果它们同时发，AP 那里会发生碰撞

解决办法：

A 先发 RTS：我想发

AP 回 CTS：你可以发，其他人先别发

然后 A 再发真正的数据

RTS/CTS 的作用：

用小报文预约信道，避免大数据帧碰撞造成更大浪费

RTS/CTS 可以缓解隐藏终端问题，但会增加额外开销。

7. 802.11 帧为什么有 4 个地址？

以太网帧一般只有：

源 MAC

目的 MAC

但 WiFi 多了 AP 这一层中转，所以地址更复杂。

基础设施模式下，常见理解：

Address 1：接收这个无线帧的人，常常是 AP 或无线主机

Address 2：发送这个无线帧的人，常常是无线主机或 AP

Address 3：真正最终目标，或者路由器/以太网侧的 MAC

Address 4：自组织网络或特殊场景使用

二、4G/5G：蜂窝网络

1. 4G/5G 解决什么问题？

WiFi 是小范围接入：

教室、宿舍、咖啡店

4G/5G 是大范围移动接入：

手机一边移动，一边保持联网

所以它最核心的问题是：移动性管理

比如：

你坐高铁，手机一直换基站，但微信/网页不能总断。

2. 4G LTE 的主要网元

UE：User Equipment，用户设备，比如手机

Base Station / eNodeB：基站

MME：移动性管理实体，管认证、位置、切换等控制面

HSS：归属用户服务器，存用户身份和套餐信息

S-GW：服务网关，数据面中转

P-GW：分组数据网关，连接互联网，提供 NAT 等功能

MME/HSS 管身份和移动性，S-GW/P-GW 管数据转发。

3. 控制平面和数据平面分离

控制平面：管认证、注册、切换、位置管理

数据平面：真正传用户数据，比如刷视频、发消息

比如手机联网：

先通过控制平面认证身份、注册位置

然后数据平面建立隧道传输你的数据

4. GTP 隧道

4G 网络里常说“隧道”。

意思是：用户的 IP 数据报被包在另一个协议里面转发

就像：原始快递盒外面又套了一个运营商内部快递袋

在 4G 里常用：

GTP：GPRS Tunneling Protocol

作用：

在基站、S-GW、P-GW 之间转发移动用户的数据

支持用户移动时改变接入基站，但上层通信尽量不断

5. 切换 handover

当手机从一个基站覆盖区移动到另一个基站覆盖区，需要切换。

大概过程：

1. 手机发现当前基站信号变弱

2. 网络选择目标基站

3. 目标基站预留资源

4. 手机切换到新基站

5. 数据路径更新

6. 旧基站释放资源

切换的目标：保持移动过程中的通信连续性。

6. 5G 比 4G 强在哪里？

5G 不是单纯“更快”，它有三个典型业务目标：

eMBB：增强移动宽带，高速率，比如高清视频、VR

URLLC：超可靠低时延，比如工业控制、自动驾驶

mMTC：海量机器通信，比如物联网设备

5G 的几个关键词：

更高速率

更低时延

更多连接

网络切片

NFV

SDN

MEC 边缘计算

网络切片

一个物理 5G 网络可以切成多个逻辑网络：

一个切片给高清视频

一个切片给车联网

一个切片给工业控制

就像：同一条高速路，划出不同专用车道。

MEC 边缘计算

把服务器放到离用户更近的地方：

减少延迟

减轻核心网压力

比如：自动驾驶、AR/VR、工业控制

三、防火墙 Firewall

1. 防火墙是什么？

防火墙就是网络边界的“门卫”。

它根据规则决定：

哪些流量可以进来

哪些流量不能进来

哪些流量可以出去

哪些流量不能出去

比如：

允许内网访问网页

禁止外部随便访问内网数据库

允许 SSH 只从管理员 IP 进来

2. 防火墙看什么？

常见可以根据这些字段过滤：

源 IP

目的 IP

源端口

目的端口

协议类型 TCP/UDP/ICMP

连接状态

应用层内容

比如规则：

允许内网主机访问外部 TCP 443 端口

拒绝外部访问内网 3306 数据库端口

3. 防火墙分类

分组过滤防火墙

只看单个包的头部：

源 IP、目的 IP、端口、协议

优点：简单、快

缺点：不理解连接上下文

状态检测防火墙

会记住连接状态：这个包是不是某个已建立连接的一部分？

比如内网访问外网：

内网主动发出去的请求，外网响应可以回来

但外网主动连进来不允许

应用层防火墙

能看应用层内容，比如 HTTP 请求。

比如：

检查 URL

检查 HTTP 方法

检查恶意 payload

四、IDS：入侵检测系统

1. IDS 是什么？

IDS 是网络里的“监控摄像头 + 报警器”。

它不一定直接拦截，而是检测：

有没有异常流量

有没有攻击特征

有没有可疑行为

发现问题后报警。

2. IDS 和防火墙区别

项目 ｜ 防火墙 ｜ IDS 作用 ｜ 控制流量进出 ｜ 检测异常和攻击 类比 ｜ 门卫 ｜ 摄像头/报警器 动作 ｜ 放行或阻止 ｜ 发现并报警 位置 ｜ 网络边界常见 ｜ 边界或内部都可以 依据 ｜ 访问控制规则 ｜ 攻击特征或异常行为

防火墙负责“挡”，IDS 负责“看”。

如果 IDS 还能主动阻断，就叫：IPS：Intrusion Prevention System，入侵防御系统

3. IDS 检测方法

基于特征 signature-based

类似杀毒软件：如果流量像已知攻击，就报警

优点：对已知攻击准确

缺点：对未知攻击不敏感

基于异常 anomaly-based

先学习正常行为：

平时访问量多少

正常端口是什么

正常流量模式怎样

如果突然出现异常，就报警。

优点：可能发现未知攻击

缺点：误报可能比较多

五、总结

知识点 ｜ 理解 802.11 ｜ WiFi 的链路层协议 AP ｜ 无线接入点，把无线主机接入有线网络 BSS ｜ 一个 AP 覆盖的一片无线区域 被动扫描 ｜ AP 发 beacon，主机听 主动扫描 ｜ 主机发 probe request，AP 回 CSMA/CA ｜ WiFi 发送前尽量避免碰撞 RTS/CTS ｜ 用小报文预约信道，缓解隐藏终端 4G/5G ｜ 解决大范围移动接入和移动性管理 MME ｜ 控制面，负责认证、注册、切换 HSS ｜ 存用户身份和归属信息 S-GW/P-GW ｜ 数据面网关，负责数据转发和连接互联网 GTP 隧道 ｜ 把移动用户数据封装起来在核心网中转发 handover ｜ 手机移动时从一个基站切换到另一个基站 5G 三类业务 ｜ eMBB、URLLC、mMTC 防火墙 ｜ 按规则控制流量进出 IDS ｜ 检测攻击或异常流量 IPS ｜ 检测并主动阻断

1. 802.11：

WiFi 是无线链路层协议，核心问题是无线信道共享和碰撞避免，所以用 CSMA/CA。

2. 4G/5G：

蜂窝网络核心问题是移动性管理，用户移动时要完成认证、注册、切换和数据隧道转发。

3. 防火墙/IDS：

防火墙负责按规则拦截流量，IDS 负责发现异常和攻击，IPS 则可以进一步主动阻断。