① 路由的工作機制是什麼
路由器
解釋路由器的概念，首先得知道什麼是路由。所謂「路由」，是指把數據從一個地方傳送到另一個地方的行為和動作，而路由器，正是執行這種行為動作的機器，它的英文名稱為Router,是一種連接多個網路或網段的網路設備，它能將不同網路或網段之間的數據信息進行「翻譯」，以使它們能夠相互「讀懂」對方的數據，從而構成一個更大的網路。
簡單的講，路由器主要有以下幾種功能：
第一，網路互連，路由器支持各種區域網和廣域網介面，主要用於互連區域網和廣域網，實現不同網路互相通信；
第二，數據處理，提供包括分組過濾、分組轉發、優先順序、復用、加密、壓縮和防火牆等功能；
第三，網路管理，路由器提供包括配置管理、性能管理、容錯管理和流量控制等功能。
為了完成「路由」的工作，在路由器中保存著各種傳輸路徑的相關數據－－路由表（Routing Table），供路由選擇時使用。路由表中保存著子網的標志信息、網上路由器的個數和下一個路由器的名字等內容。路由表可以是由系統管理員固定設置好的，也可以由系統動態修改，可以由路由器自動調整，也可以由主機控制。在路由器中涉及到兩個有關地址的名字概念，那就是：靜態路由表和動態路由表。由系統管理員事先設置好固定的路由表稱之為靜態（static）路由表，一般是在系統安裝時就根據網路的配置情況預先設定的，它不會隨未來網路結構的改變而改變。動態（Dynamic）路由表是路由器根據網路系統的運行情況而自動調整的路由表。路由器根據路由選擇協議（Routing Protocol）提供的功能，自動學習和記憶網路運行情況，在需要時自動計算數據傳輸的最佳路徑。
為了簡單地說明路由器的工作原理，現在我們假設有這樣一個簡單的網路。如圖所示，A、B、C、D四個網路通過路由器連接在一起。
現在我們來看一下在如圖所示網路環境下路由器又是如何發揮其路由、數據轉發作用的。現假設網路A中一個用戶A1要向C網路中的C3用戶發送一個請求信號時，信號傳遞的步驟如下：
第1步：用戶A1將目的用戶C3的地址C3，連同數據信息以數據幀的形式通過集線器或交換機以廣播的形式發送給同一網路中的所有節點，當路由器A5埠偵聽到這個地址後，分析得知所發目的節點不是本網段的，需要路由轉發，就把數據幀接收下來。
第2步：路由器A5埠接收到用戶A1的數據幀後，先從報頭中取出目的用戶C3的IP地址，並根據路由表計算出發往用戶C3的最佳路徑。因為從分析得知到C3的網路ID號與路由器的C5網路ID號相同，所以由路由器的A5埠直接發向路由器的C5埠應是信號傳遞的最佳途經。
第3步：路由器的C5埠再次取出目的用戶C3的IP地址，找出C3的IP地址中的主機ID號，如果在網路中有交換機則可先發給交換機，由交換機根據MAC地址表找出具體的網路節點位置；如果沒有交換機設備則根據其IP地址中的主機ID直接把數據幀發送給用戶C3，這樣一個完整的數據通信轉發過程也完成了。
從上面可以看出，不管網路有多麼復雜，路由器其實所作的工作就是這么幾步，所以整個路由器的工作原理基本都差不多。當然在實際的網路中還遠比上圖所示的要復雜許多，實際的步驟也不會像上述那麼簡單，但總的過程是這樣的。
增加路由器涉及的基本協議
路由器英文名稱為Router，是一種用於連接多個網路或網段的網路設備。這些網路可以是幾個使用不同協議和體系結構的網路(比如互聯網與區域網)，可以是幾個不同網段的網路(比如大型互聯網中不同部門的網路)，當數據信息從一個部門網路傳輸到另外一個部門網路時，可以用路由器完成。現在，家庭區域網也越來越多地採用路由器寬頻共享的方式上網。
路由器在連接不同網路或網段時，可以對這些網路之間的數據信息進行「翻譯」，然後「翻譯」成雙方都能「讀」懂的數據，這樣就可以實現不同網路或網段間的互聯互通。同時，它還具有判斷網路地址和選擇路徑的功能以及過濾和分隔網路信息流的功能。目前，路由器已成為各種骨幹網路內部之間、骨幹網之間以及骨幹網和互聯網之間連接的樞紐。
NAT:全稱Network Address Translation(網路地址轉換)，路由器通過NAT功能可以將區域網內部的IP地址轉換為合法的IP地址並進行Internet的訪問。比如，區域網內部有個IP地址為192.168.0.1的計算機，當然通過該IP地址可以和內網其他的計算機通信;但是如果該計算機要訪問外部Internet網路，那麼就需要通過NAT功能將192.168.0.1轉換為合法的廣域網IP地址，比如210.113.25.100。
DHCP:全稱Dynamic Host Configuration Protocol(動態主機配置協議)，通過DHCP功能，路由器可以為網路內的主機動態指定IP地址，而不需要每個用戶去設置靜態IP地址，並將TCP/IP配置參數分發給區域網內合法的網路客戶端。
DDNS:全稱Dynamic Domain Name Server(動態域名解析系統)，通常稱為「動態DNS」，因為對於普通的寬頻上網使用的都是ISP(網路服務商)提供的動態IP地址。如果在區域網內建立了某個伺服器需要Internet用戶進行訪問，那麼，可以通過路由器的DDNS功能將動態IP地址解析為一個固定的域名，比如www.cpcw.com，這樣Internet用戶就可以通過該固定域名對內網伺服器進行訪問。
PPPoE:全稱PPP over Ethernet(乙太網上的點對點協議)，通過PPPoE技術，可以讓寬頻數據機(比如ADSL Modem)用戶獲得寬頻網的個人身份驗證訪問，能為每個用戶創建虛擬撥號連接，這樣就可以高速連接到Internet。路由器具備該功能，可以實現PPPoE的自動撥號連接，這樣與路由器連接的用戶可以自動連接到Internet。
ICMP:全稱Internet Control Message Protocol(Internet控制消息協議)，該協議是TCP/IP協議集中的一個子協議，主要用於在主機與路由器之間傳遞控制信息，包括報告錯誤、交換受限控制和狀態信息等。
總的來說，路由器與交換機的主要區別體現在以下幾個方面：
（1）工作層次不同
最初的的交換機是工作在OSI／RM開放體系結構的數據鏈路層，也就是第二層，而路由器一開始就設計工作在OSI模型的網路層。由於交換機工作在OSI的第二層（數據鏈路層），所以它的工作原理比較簡單，而路由器工作在OSI的第三層（網路層），可以得到更多的協議信息，路由器可以做出更加智能的轉發決策。
（2）數據轉發所依據的對象不同
交換機是利用物理地址或者說MAC地址來確定轉發數據的目的地址。而路由器則是利用不同網路的ID號（即IP地址）來確定數據轉發的地址。IP地址是在軟體中實現的，描述的是設備所在的網路，有時這些第三層的地址也稱為協議地址或者網路地址。MAC地址通常是硬體自帶的，由網卡生產商來分配的，而且已經固化到了網卡中去，一般來說是不可更改的。而IP地址則通常由網路管理員或系統自動分配。
（3）傳統的交換機只能分割沖突域，不能分割廣播域；而路由器可以分割廣播域
由交換機連接的網段仍屬於同一個廣播域，廣播數據包會在交換機連接的所有網段上傳播，在某些情況下會導致通信擁擠和安全漏洞。連接到路由器上的網段會被分配成不同的廣播域，廣播數據不會穿過路由器。雖然第三層以上交換機具有VLAN功能，也可以分割廣播域，但是各子廣播域之間是不能通信交流的，它們之間的交流仍然需要路由器。
（4）路由器提供了防火牆的服務
路由器僅僅轉發特定地址的數據包，不傳送不支持路由協議的數據包傳送和未知目標網路數據包的傳送，從而可以防止廣播風暴。
交換機一般用於LAN-WAN的連接，交換機歸於網橋，是數據鏈路層的設備，有些交換機也可實現第三層的交換。 路由器用於WAN-WAN之間的連接，可以解決異性網路之間轉發分組，作用於網路層。他們只是從一條線路上接受輸入分組，然後向另一條線路轉發。這兩條線路可能分屬於不同的網路，並採用不同協議。相比較而言，路由器的功能較交換機要強大，但速度相對也慢，價格昂貴，第三層交換機既有交換機線速轉發報文能力，又有路由器良好的控制功能，因此得以廣泛應用。
目前個人比較多寬頻接入方式就是ADSL，因此筆者就ADSL的接入來簡單的說明一下。現在購買的ADSL貓大多具有路由功能（很多的時候廠家在出廠時將路由功能屏蔽了，因為電信安裝時大多是不啟用路由功能的，啟用DHCP。打開ADSL的路由功能），如果個人上網或少數幾台通過ADSL本身就可以了，如果電腦比較多你只需要再購買一個或多個集線器或者交換機。考慮到如今集線器與交換機的 價格相差十分小，不是特殊的原因，請購買一個交換機。不必去追求高價，因為如今產品同質化十分嚴重，我最便宜的交換機現在沒有任 何問題。給你一個參考報價，建議你購買一個8口的，以滿足擴充需求，一般的價格100元左右。接上交換機，所有電腦再接到交換機上就行了。餘下所要做的事情就只有把各個機器的網線插入交換機的介面，將貓的網線插入uplink介面。然後設置路由功能，DHCP等， 就可以共享上網了。
看完以上的解說讀者應該對交換機、集線器、路由器有了一些了解，目前的使用主要還是以交換機、路由器的組合使用為主，具體的組合方式可根據具體的網路情況和需求來確定。
② 計算機網路-網路層-地址解析協議ARP
地址解析協議ARP： 已經知道了一個機器（主機或路由器）的IP地址，需要找出其相應的硬體地址。還有一個舊的協議叫做逆地址解析協議RARP,它的作用是使只知道自己硬體地址的主機能夠通過RARP協議找出其IP地址。現在的DHCP協議已經包含了RARP協議的功能。
由於是IP協議使用了ARP協議，因此通常就把ARP協議劃歸網路層。但ARP協議的用途是為了從網路層使用的IP地址，解析出在數據鏈路層使用的硬體地址，因此，有的就按照協議的所用，把ARP協議劃歸在數據鏈路層。
網路層使用的是IP地址，但在實際網路的鏈路上傳送數據幀時，最終還是必須使用該網路的硬體地址，但P地址和下面的網路的硬體地址之間由於格式不同而不存在簡單的映射關系（例如，IP地址有32位，而區域網的硬體地址是48位）。此外，在一個網路上可能經常會有新的主機加入進來，或撤走一些主機。更換網路適配器也會使主機的硬體地址改變。地址解析協議ARP解快這個問題的方法是在主機ARP高速緩存中存放一個從IP地址到硬體地址的映射表，並且這個映射表還經常動態更新（新增或超時刪除）。
每一台主機都設有一個ARP高速緩存(ARP cache),裡面有本區域網上的各主機和路由器的IP地址到硬體地址的映射表，這些都是該主機目前知道的一些地址。那麼主機怎樣知道這些地址呢？我們可以通過下面的例子來說明：
當主機A要向本區域網上的某台主機B發送IP數據報時，就先在其ARP高速緩存中查看有無主機B的IP地址，如有，就在ARP高速緩存中查出其對應的硬體地址，再把這個硬體地址寫入MAC幀，然後通過區域網把該MAC幀發往此硬體地址。也有可能查不到主機B的P地址的項目。這可能是主機B才入網，也可能是主機A剛剛加電，其高速緩存還是空的，在這種情況下，主機A就自動運行ARP,然後按以下步最找出主機B的硬體地址。
(1)ARP進程在本區域網上廣播發送一個ARP請求分組。圖4-11(a)是主機A廣播發送ARP請求分組的示意圖。ARP請求分組的主要內容是：「我的P地址是209.0.0.5，硬體地址是00-00-C0-15-AD-18。我想知道IP地址為209.0.0.6的主機的硬體地址。.」
(2)在本區域網上的所有主機上運行的ARP進程都收到此ARP請求分組。
(3)主機B的IP地址與ARP請求分組中要查詢的P地址一致，就收下這個ARP請求分組，並向主機A發送ARP響應分組,同時在這個ARP響應分組中寫入自己的硬體地址。由於其餘的所有主機的P地址都與ARP請求分組中要查詢的P地址不一致，因此都不理睬這個ARP請求分組，見圖4-16。ARP響應分組的主要內容是：「我的IP地址是209.0.0.6，我的硬體地址是08-00-2B-00-EE-0A,」請注意：雖然ARP請求分組是廣播發送的，但ARP響應分組是普通的單播，即從一個源地址發送到一個目的地址。
(4)主機A收到主機B的ARP響應分組後，就在其ARP高速緩存中寫入主機B的P地址到硬體地址的映射。
當主機A向B發送數據報時，很可能以後不久主機B還要向A發送數據報，因而主機B也可能要向A發送ARP請求分組。為了減少網路上的通信量，主機A在發送其ARP請求分組時，就把自己的P地址到硬體地址的映射寫入ARP請求分組。當主機B收到A的ARP請求分組時，就把主機A的這一地址映射寫入主機B自己的ARP高速緩存中。以後主機B向A發送數據報時就很方便了。
可見ARP高速緩存非常有用。如果不使用ARP高速緩存，那麼任何一台主機只要進行一次通信，就必須在網路上用廣播方式發送ARP請求分組，這就使網路上的通信量大大增加。ARP把已經得到的地址映射保存在高速緩存中，這樣就使得該主機下次再和具有同樣目的地址的主機通信時，可以直接從高速緩存中找到所需的硬體地址而不必再用廣播方式發送ARP請求分組。
ARP對保存在高速緩存中的每一個映射地址項目都設置生存時間（例如，10~20分鍾)。凡超過生存時間的項目就從高速緩存中刪除掉。設置這種地址映射項目的生存時間是很重要的。設想有一種情況。主機A和B通信。A的ARP高速緩存里保存有B的硬體地址。但B的網路適配器突然壞了，B立即更換了一塊，因此B的硬體地址就改變了。假定A還要和B繼續通信。A在其ARP高速緩存中查找到B原先的硬體地址，並使用該硬體地址向B發送數據幀。但B原先的硬體地址已經失效了，因此A無法找到主機B。但是過了一段不長的生存時間，A的ARP高速緩存中已經刪除了B原先的硬體地址，於是A重新廣播發送ARP請求分組，又找到了B。
請注意，ARP是解決同一個區域網上的主機或路由器的P地址和硬體地址的映射問題。如果所要找的主機和源主機不在同一個區域網上，例如，在主機 H1 就無法解析出另一個區域網上主機 H11 的硬體地址（實際上主機H,也不需要知道遠程主機 H11 的硬體地址)。主機 H1 發送給 H11 的P數據報首先需要通過與主機 H1 連接在同一個區域網上的路由器R2來轉發。因此主機H1這時需要把路由器R2的IP地址解析為硬體地址HA2,以便能夠把IP數據報傳送到路由器R2。以後，R2從轉發表找出了下一跳路由器R3, 同時使用ARP解析出R3的硬體地址HA3。於是IP數據報按照硬體地址HA3轉發到路由器R3。路由器R3在轉發這個IP數據報時用類似方法解析出目的主機 H11 的硬體地址HA11,使IP數據報最終交付主機H11。
從IP地址到硬體地址的解析是自動進行的，主機的用戶對這種地址解析過程是不知道的。只要主機或路由器要和本網路上的另一個已知IP地址的主機或路由器進行通信，ARP協議就會自動地把這個IP地址解析為鏈路層所需要的硬體地址。
(1)發送方是主機，要把IP數據報發送到同一個網路上的另一台主機。這時一個逐漸發送ARP請求分組（在網路上廣播），找到目的主機的硬體地址。
(2)發送方是主機，要把IP數據報發送到另一個網路上的一台主機。這時發送方的主機發送ARP請求分組（在網路上廣播），找到網路上的一個路由器的硬體地址。剩下的工作由路由器R來完成。R要做的事情是下面的(3)或(4)。
(3)發送方是路由器，要把IP數據報轉發到與R相連接在同一個網路上的主機。這時R發送ARP請求分組（在網路上廣播），找到目的主機的硬體地址。
(4)發送方是路由器R1要把IP數據報轉發到網路上的一台主機。這台主機與R1不是連接在同一個網路上。這時R1發送ARP請求分組（在網路上廣播），找到連接在網路上的另一個路由器R2的硬體地址。剩下的工作由這個路由器R2來完成。
在許多情況下需要多次使用ARP。但這只是以上幾種情況的反復使用而已。
既然在網路鏈路上傳送的幀最終是按照硬體地址找到目的主機的，為什麼不直接使用硬體地址進行通信？這樣似乎可以免除（IP 地址）使用ARP：
由於存在著各式各樣的網路，使用不同的硬體地址。要使這些異構網路能夠互相通信就必須進行非常復雜的硬體地址轉換工作，因此由用戶或用戶主機來完成這項工作幾乎是不可能的事。但IP編址把這個復雜問題解決了。 連接到互聯網的主機只需各自擁有一個唯一的IP地址，它們之間的通信就像連接在同一個網路上那樣簡單方便 ，因為上述的調用ARP的復雜過程都是由計算機軟體自動進行的，對用戶來說是看不見這種調用過程的。因此，在虛擬的IP網路上用P地址進行通信給廣大的計算機用戶帶來很大的方便。
③ 計算機網路之五層協議
一：概述
計算機網路 （網路）把許多 計算機 連接在一起，而 互聯網 則把許多網路連接在一起，是 網路的網路 。網際網路是世界上最大的互聯網。
以小寫字母i開始的internet( 互聯網或互連網 )是 通用 名詞，它泛指由多個計算機網路互連而成的網路。在這些網路之間的通信協議（通信規則）可以是 任意 的。
以大寫字母I開始的Interent（ 網際網路 ）是 專有 名詞，它指當前全球最大的、開放的、由眾多網路相互連接而成的特定計算機網路，它採用的是 TCP/IP 協議族 作為通信規則，且其前身是美國的 ARPANET 。
網際網路現在採用 存儲轉發 的 分組交換 技術，以及三層網際網路服務提供者（ISP）結構。
網際網路按 工作方式 可以劃分為 邊緣 部分和 核心 部分，主機在網路的邊緣部分，作用是進行信息處理。 路由器 是在網路的核心部分，作用是：按存儲轉發方式進行 分組交換 。
計算機通信是計算機的 進程 （運行著的程序）之間的通信，計算機網路採用 通信方式 ：客戶–伺服器方式和對等連接方式（P2P方式）
按作用 范圍 不同，計算機網路分為：廣域網WAN,城域網MAN，區域網LAN和個人區域網PAN。
五層協議 的體系結構由：應用層，運輸層，網路層，數據鏈路層和物理層。
<1>:應用層 ： 是體系結構中的最高層，應用層的任務是 通過應用進程間的交互來完成特定網路應用 。應用層協議定義的是 應用進程間通信和交互的規則 。
<2>:運輸層 ：任務是負責向 兩個主機中的進程之間的通信提供可靠的端到端服務 ，應用層利用該服務傳送應用層報文。
TCP ：提供面向連接的，可靠的數據傳輸服務，其數據傳輸的單位是報文段。
UDP ：提供無連接的，盡最大努力的數據傳輸服務，不保證數據傳輸的可靠性。
<3>網路層： 網路層的任務就是要選擇合適的路由，在發送數據時， 網路層把運輸層產生的報文段或者用戶數據報 封裝 成分組或包進行交付給目的站的運輸層。
<4>數據鏈路層： 數據鏈路層的任務是在兩個相鄰結點間的線路上無差錯地傳送以幀（frame）為單位的數據。每一幀包括數據和必要的控制信息。
<5>:物理層： 物理層的任務就是 透明 地傳送比特流，物理層還要確定連接電纜插頭的 定義 及 連接法 。
運輸層最重要的協議是：傳輸控制協議 TCP 和用戶數據報協議 UDP ，而網路層最重要的協議是網路協議 IP 。
分組交換的優點：高效、靈活、迅速、可靠。
網路協議主要由三個要素組成： （1）語法：即數據和控制信息的結構或者格式； （2）語義：即需要發出何種控制信息，完成何種動作以及做出何種響應。 （3）同步：即事件實現順序的詳細說明。
二：物理層
物理層的主要任務：描述為確定與 傳輸媒體 的 介面 有關的一些特性。
機械特性 ：介面所用接線器的形狀和尺寸，引腳數目和排列，固定和鎖定裝置等，平時常見的各種規格的插件都有嚴格的 標准化的規定 。
電氣特性 ：介面電纜上的各條線上出現的電壓 范圍 。
功能特性 ：某條線上出現的某一電平的點電壓表示何種 意義 ；
過程特性 ：指明對不同功能的各種可能事件的出現 順序 。
通信的目的 是： 傳送消息 ， 數據 是運送消息的 實體 。 信號 是數據的電氣或電磁的表現。
根據信號中代表 參數 的取值方式不同。 信號分為 ： 模擬信號 （連續無限）+ 數字信號 （離散有限）。代表數字信號不同的離散數值的基本波形稱為 碼元 。
通信 的雙方信息交互的方式來看，有三中 基本方式 ：
單向 通信（廣播）
雙向交替 通信（**半雙工**_對講機）
雙向同時 通信（ 全雙工 _電話）
調制 ：來自信源的信號常稱為基帶信號。其包含較多低頻成分，較多信道不能傳輸低頻分量或直流分量，需要對其進行調制。
調制分為 兩大類 ： 基帶調制 （僅對波形轉換，又稱 編碼 ，D2D）+ 帶通調制 (基帶信號頻率范圍搬移到較高頻段， 載波 調制，D2M)。
編碼方式 ：
不歸零制 （正電平1/負0）
歸零制度 （正脈沖1/負0）
曼徹斯特編碼 （位周期中心的向上跳變為0/下1）
差分曼徹斯特編碼 （每一位中心處有跳變，開始辯解有跳變為0，無跳變1）
帶通調制方法 ： 調 幅 （ AM ）：(0, f1) 。調 頻 （ FM ）：(f1, f2) 。調 相 （ PM ）：（0 ， 180度） 。
正交振幅調制（QAM）物理層 下面 的 傳輸媒體 （介質）： 不屬於任何一層 。包括有： 引導性傳輸媒體 ：雙絞、同軸電纜、光纜 、 非引導性傳輸媒體 ：短波、微波、紅外線。
信道復用技術 ： 頻分復用 ：（一樣的時間佔有不不同資源） ； 時分復用 ：（不同時間使用同樣資源） ；統計時分復用、波分復用（WDM）、碼分復用（CDM）。
寬頻接入技術 ： 非對稱數字用戶線 ADSL (Asymmetric Digital Subcriber Line)（用數字技術對現有的模擬電話用戶線進行改造）
三：數據鏈路層
數據鏈路層使用的 信道 有 兩種類型： * 點對點(PPP) 信道+ 廣播*信道
點對點信道的數據鏈路層的協議數據單元- -幀
數據鏈路層協議有許多， 三個基本問題 是共同的
封裝成楨
透明傳輸
差錯檢測
區域網的數據鏈路層拆成兩個子層，即 邏輯鏈路層（LLC） 子層+ 媒體接入控制（MAC） 子層；
適配器的作用：
計算機與外界區域網的連接是通過通信適配器，適配器本來是主機箱內插入的一塊網路介面板，又稱網路介面卡，簡稱（ 網卡 ）。
乙太網採用 無連接 的工作方式，對發送的數據幀 不進行編號 ，也不要求對方發回確認，目的站收到差錯幀就丟掉。
乙太網採用的協議是：具有 沖突檢測 的 載波監聽多點接入 ( CSMA/CD )。協議的要點是： 發送前先監聽，邊發送邊監聽，一旦發現匯流排出現了碰撞，就立即停止發送。
乙太網的硬體地址 ， MAC 地址實際上就是適配器地址或者適配器標識符。 48位長 ， 乙太網最短幀長：64位元組。爭用期51.2微秒。
乙太網適配器有 過濾 功能：只接收 單播幀，廣播幀，多播幀 。
使用 集線器 可以在 物理層 擴展乙太網（半雙工），使用 網橋 可以在 數據鏈路層 擴展乙太網（半雙工），網橋轉發幀時， 不改變幀 的源地址。網橋 優點 ：對幀進行轉發過濾，增大 吞吐量 。擴大網路物理范圍，提高 可靠 性，可 互連 不同物理層，不同MAC子層和不同速率的乙太網。 網橋 缺點 ：增加時延，可能產生廣播風暴。
透明網橋 ： 自學習 辦法處理接收到的幀。
四：網路層
TCP/IP 體系中的網路層向上只提供簡單靈活的、無連接，盡最大努力交付的數據報服務。網路層不提供服務質量的承諾，不保證分組交付的時限， 進程 之間的通信的 可靠性 由 運輸層 負責。
一個IP地址在整個網際網路范圍內是唯一的，分類的 IP地址 包括A類（ 1~126 ）、B類（ 128~191 ）、C類（ 192~223 單播地址）、D類（ 多播 地址）。
分類的IP地址由 網路號欄位 和 主機號欄位 組成。
物理地址（硬體地址）是數據鏈路層和物理層使用的地址，而 IP 地址是網路層和以上各層使用的地址，是一種 邏輯地址 ，數據鏈路層看不見數據報的IP地址。
IP首部中的 生存時間 段給出了IP數據報在網際網路中經過的 最大路由器數 ，可防止IP數據報在互聯網中無限制的 兜圈 子。
地址解析協議 ARP（Address Resolution Protocol） 把IP地址解析為 硬體地址 ，它解決 同一個區域網的主機或路由器的IP地址和硬體地址的映射問題 ，是一種解決地址問題的協議。以目標IP地址為線索，用來定位一個下一個應該接收數據分包的網路設備對應的MAC地址。如果目標主機不再同一鏈路上時，可以通過ARP查找下一跳路由器的MAC地址，不過ARP只適用於IPV4，不能用於IPV6，IPV6中可以用ICMPV6替代ARP發送鄰居搜索消息。
路由選擇協議有兩大類： 內部網關 協議（RIP和OSPE）和 外部網關 協議（BGP-4）。
網際控制報文協議 ICMP （Internet Control Message Protocol ）控制報文協議。是IP層協議，ICMP報文作為IP數據報的數據，加上首部後組成IP數據報發送出去，使用ICMP並不是實現了可靠傳輸。ICMP允許主機或者路由器 報告差錯 情況和 提供有關異常 的情況報告。
ICMP是一個重要應用是分組網間探測 PING
與單播相比，在一對多的通信中，IP多播可大大節約網路資源， IP多播使用D類地址，IP多播需要使用 網際組管理協議IGMP 和多播路由選擇協議。
五: 運輸層
網路層為主機之間提供邏輯通信,運輸層為應用進程之間提供端到端的邏輯通信。
運輸層有兩個協議 TCP和UDP
運輸層用一個 16位 埠號來標志一個埠。
UDP特點 ：無連接、盡最大努力交付、面向報文、無擁塞控制、支持一對一，多對一，一對多，多對多的交互通信。首部開銷小。
TCP特點： 面向連接，每一條TCP連接只能是點對點、提供可靠的交付服務，提供全雙工通信、面向位元組流。
TCP用主機的IP地址加上主機上的埠號作為TCP連接的端點，這樣的端點就叫 套接字 。
流量控制 是一個 端到端 的問題，是接收端抑制發送端發送數據的速率，以方便接收端來得及接收。 擁塞控制 是一個全局性過程，涉及到所有的主機，所有的路由器，以及與降低網路傳輸性能有關的所有因素。
TCP擁塞控制採用四種演算法： 慢開始、擁塞避免、快重傳、快恢復 。
傳輸有 三個連接 ：連接建立、數據傳送、連接釋放。
TCP連接建立採用三次握手機制，連接釋放採用四次握手機制。
六:應用層
文件傳送協議FTP 使用 TCP 可靠傳輸服務。FTP使用客戶伺服器方式，一個FTP伺服器進程可同時為多個客戶進程提供服務。在進行文件傳輸時，FTP的客戶和伺服器之間要建立兩個並行的TCP連接，控制連接和數據連接，實際用於傳輸文件的是 數據連接 。
萬維網 WWW 是一個大規模，聯機式的信息儲藏所，可以方便從網際網路上一個站點鏈接到另一個站點。
萬維網使用 統一資源定位符URL 來標志萬維網上的各種文檔，並使每一個文檔在整個網際網路的范圍內具有唯一的標識符 URL 。
一.虛擬網技術
虛擬網技術主要基於近年發展的區域網交換技術(ATM和乙太網交換）。交換技術將傳統的基於廣播的區域網技術發展為面向連接的技術。因此，網管系統有能力限制區域網通訊的范圍而無需通過開銷很大的路由器。
由以上運行機制帶來的網路安全的好處是顯而易見的：信息只到達應該到達的地點。因此、防止了大部分基於網路監聽的入侵手段。通過虛擬網設置的訪問控制，使在虛擬網外的網路節點不能直接訪問虛擬網內節點。但是，虛擬網技術也帶來了新的安全問題：
執行虛擬網交換的設備越來越復雜，從而成為被攻擊的對象。
基於網路廣播原理的入侵監控技術在高速交換網路內需要特殊的設置。
基於MAC的VLAN不能防止MAC欺騙攻擊。
乙太網從本質上基於廣播機制，但應用了交換器和VLAN技術後，實際上轉變為點到點通訊，除非設置了監聽口，信息交換也不會存在監聽和插入（改變）問題。
但是，採用基於MAC的VLAN劃分將面臨假冒MAC地址的攻擊。因此，VLAN的劃分最好基於交換機埠。但這要求整個網路桌面使用交換埠或每個交換埠所在的網段機器均屬於相同的VLAN。
網路層通訊可以跨越路由器，因此攻擊可以從遠方發起。IP協議族各廠家實現的不完善，因此，在網路層發現的安全漏洞相對更多，如IP sweep, teardrop, sync-flood, IP spoofing攻擊等。
二.防火牆枝術
網路防火牆技術是一種用來加強網路之間訪問控制,防止外部網路用戶以非法手段通過外部網路進入內部網路,訪問內部網路資源,保護內部網路操作環境的特殊網路互聯設備.它對兩個或多個網路之間傳輸的數據包如鏈接方式按照一定的安全策略來實施檢查,以決定網路之間的通信是否被允許,並監視網路運行狀態.
防火牆產品主要有堡壘主機,包過濾路由器,應用層網關(代理伺服器)以及電路層網關,屏蔽主機防火牆,雙宿主機等類型.
雖然防火牆是保護網路免遭黑客襲擊的有效手段,但也有明顯不足:無法防範通過防火牆以外的其它途徑的攻擊,不能防止來自內部變節者和不經心的用戶們帶來的威脅,也不能完全防止傳送已感染病毒的軟體或文件,以及無法防範數據驅動型的攻擊.
自從1986年美國Digital公司在Internet上安裝了全球第一個商用防火牆系統,提出了防火牆概念後,防火牆技術得到了飛速的發展.國內外已有數十家公司推出了功能各不相同的防火牆產品系列.
防火牆處於5層網路安全體系中的最底層,屬於網路層安全技術范疇.在這一層上,企業對安全系統提出的問題是:所有的IP是否都能訪問到企業的內部網路系統如果答案是"是",則說明企業內部網還沒有在網路層採取相應的防範措施.
作為內部網路與外部公共網路之間的第一道屏障,防火牆是最先受到人們重視的網路安全產品之一.雖然從理論上看,防火牆處於網路安全的最底層,負責網路間的安全認證與傳輸,但隨著網路安全技術的整體發展和網路應用的不斷變化,現代防火牆技術已經逐步走向網路層之外的其他安全層次,不僅要完成傳統防火牆的過濾任務,同時還能為各種網路應用提供相應的安全服務.另外還有多種防火牆產品正朝著數據安全與用戶認證,防止病毒與黑客侵入等方向發展.
1、使用Firewall的益處
保護脆弱的服務
通過過濾不安全的服務，Firewall可以極大地提高網路安全和減少子網中主機的風險。
例如，Firewall可以禁止NIS、NFS服務通過，Firewall同時可以拒絕源路由和ICMP重定向封包。
控制對系統的訪問
Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，Firewall允許外部訪問特定的Mail Server和Web Server。
集中的安全管理
Firewall對企業內部網實現集中的安全管理，在Firewall定義的安全規則可以運用於整個內部網路系統，而無須在內部網每台機器上分別設立安全策略。如在Firewall可以定義不同的認證方法，而不需在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過—次認證即可訪問內部網。
增強的保密性
使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息，如Finger和DNS。
記錄和統計網路利用數據以及非法使用數據
Firewall可以記錄和統計通過Firewall的網路通訊，提供關於網路使用的統計數據，並且，Firewall可以提供統計數據，來判斷可能的攻擊和探測。
策略執行
Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時，網路安全取決於每台主機的用戶。
2、 設置Firewall的要素
網路策略
影響Firewall系統設計、安裝和使用的網路策略可分為兩級，高級的網路策略定義允許和禁止的服務以及如何使用服務，低級的網路策略描述Firewall如何限制和過濾在高級策略中定義的服務。
服務訪問策略
服務訪問策略集中在Internet訪問服務以及外部網路訪問（如撥入策略、SLIP/PPP連接等）。
服務訪問策略必須是可行的和合理的。可行的策略必須在阻止己知的網路風險和提供用戶服務之間獲得平衡。典型的服務訪問策略是：允許通過增強認證的用戶在必要的情況下從Internet訪問某些內部主機和服務；允許內部用戶訪問指定的Internet主機和服務。
Firewall設計策略
Firewall設計策略基於特定的firewall，定義完成服務訪問策略的規則。通常有兩種基本的設計策略：
允許任何服務除非被明確禁止；
禁止任何服務除非被明確允許。
通常採用第二種類型的設計策略。
3、 Firewall的基本分類
包過濾型
包過濾型產品是防火牆的初級產品,其技術依據是網路中的分包傳輸技術.網路上的數據都是以"包"為單位進行傳輸的,數據被分割成為一定大小的數據包,每一個數據包中都會包含一些特定信息,如數據的源地址,目標地址,TCP/UDP源埠和目標埠等.防火牆通過讀取數據包中的地址信息來判斷這些"包"是否來自可信任的安全站點 ,一旦發現來自危險站點的數據包,防火牆便會將這些數據拒之門外.系統管理員也可以根據實際情況靈活制訂判斷規則.
包過濾技術的優點是簡單實用,實現成本較低,在應用環境比較簡單的情況下,能夠以較小的代價在一定程度上保證系統的安全.
但包過濾技術的缺陷也是明顯的.包過濾技術是一種完全基於網路層的安全技術,只能根據數據包的來源,目標和埠等網路信息進行判斷,無法識別基於應用層的惡意侵入,如惡意的Java小程序以及電子郵件中附帶的病毒.有經驗的黑客很容易偽造IP地址,騙過包過濾型防火牆.
網路地址轉換(NAT)
是一種用於把IP地址轉換成臨時的,外部的,注冊的IP地址標准.它允許具有私有IP地址的內部網路訪問網際網路.它還意味著用戶不許要為其網路中每一台機器取得注冊的IP地址.
在內部網路通過安全網卡訪問外部網路時,將產生一個映射記錄.系統將外出的源地址和源埠映射為一個偽裝的地址和埠,讓這個偽裝的地址和埠通過非安全網卡與外部網路連接,這樣對外就隱藏了真實的內部網路地址.在外部網路通過非安全網卡訪問內部網路時,它並不知道內部網路的連接情況,而只是通過一個開放的IP地址和埠來請求訪問.OLM防火牆根據預先定義好的映射規則來判斷這個訪問是否安全.當符合規則時,防火牆認為訪問是安全的,可以接受訪問請求,也可以將連接請求映射到不同的內部計算機中.當不符合規則時,防火牆認為該訪問是不安全的,不能被接受,防火牆將屏蔽外部的連接請求.網路地址轉換的過程對於用戶來說是透明的,不需要用戶進行設置,用戶只要進行常規操作即可.
代理型
代理型防火牆也可以被稱為代理伺服器,它的安全性要高於包過濾型產品,並已經開始向應用層發展.代理伺服器位於客戶機與伺服器之間,完全阻擋了二者間的數據交流.從客戶機來看,代理伺服器相當於一台真正的伺服器;而從伺服器來看,代理伺服器又是一台真正的客戶機.當客戶機需要使用伺服器上的數據時,首先將數據請求發給代理伺服器,代理伺服器再根據這一請求向伺服器索取數據,然後再由代理伺服器將數據傳輸給客戶機.由於外部系統與內部伺服器之間沒有直接的數據通道,外部的惡意侵害也就很難傷害到企業內部網路系統.
代理型防火牆的優點是安全性較高,可以針對應用層進行偵測和掃描,對付基於應用層的侵入和病毒都十分有效.其缺點是對系統的整體性能有較大的影響,而且代理伺服器必須針對客戶機可能產生的所有應用類型逐一進行設置,大大增加了系統管理的復雜性。
監測型監測型
防火牆是新一代的產品,這一技術實際已經超越了最初的防火牆定義.監測型防火牆能夠對各層的數據進行主動的,實時的監測,在對這些數據加以分析的基礎上,監測型防火牆能夠有效地判斷出各層中的非法侵入.同時,這種檢測型防火牆產品一般還帶有分布式探測器,這些探測器安置在各種應用伺服器和其他網路的節點之中,不僅能夠檢測來自網路外部的攻擊,同時對來自內部的惡意破壞也有極強的防範作用.據權威機構統計,在針對網路系統的攻擊中,有相當比例的攻擊來自網路內部.因此,監測型防火牆不僅超越了傳統防火牆的定義,而且在安全性上也超越了前兩代產品
雖然監測型防火牆安全性上已超越了包過濾型和代理伺服器型防火牆,但由於監測型防火牆技術的實現成本較高,也不易管理,所以在實用中的防火牆產品仍然以第二代代理型產品為主,但在某些方面也已經開始使用監測型防火牆.基於對系統成本與安全技術成本的綜合考慮,用戶可以選擇性地使用某些監測型技術.這樣既能夠保證網路系統的安全性需求,同時也能有效地控制安全系統的總擁有成本.
實際上,作為當前防火牆產品的主流趨勢,大多數代理伺服器(也稱應用網關)也集成了包過濾技術,這兩種技術的混合應用顯然比單獨使用具有更大的優勢.由於這種產品是基於應用的,應用網關能提供對協議的過濾.例如,它可以過濾掉FTP連接中的PUT命令,而且通過代理應用,應用網關能夠有效地避免內部網路的信息外泄.正是由於應用網關的這些特點,使得應用過程中的矛盾主要集中在對多種網路應用協議的有效支持和對網路整體性能的影響上。
4、 建設Firewall的原則
分析安全和服務需求
以下問題有助於分析安全和服務需求：
√ 計劃使用哪些Internet服務(如http，ftp，gopher)，從何處使用Internet服務(本地網，撥號，遠程辦公室)。
√ 增加的需要，如加密或拔號接入支持。
√ 提供以上服務和訪問的風險。
√ 提供網路安全控制的同時，對系統應用服務犧牲的代價。
策略的靈活性
Internet相關的網路安全策略總的來說，應該保持一定的靈活性，主要有以下原因：
√ Internet自身發展非常快，機構可能需要不斷使用Internet提供的新服務開展業務。新的協議和服務大量涌現帶來新的安全問題，安全策略必須能反應和處理這些問題。
√ 機構面臨的風險並非是靜態的，機構職能轉變、網路設置改變都有可能改變風險。
遠程用戶認證策略
√ 遠程用戶不能通過放置於Firewall後的未經認證的Modem訪問系統。
√ PPP/SLIP連接必須通過Firewall認證。
√ 對遠程用戶進行認證方法培訓。
撥入/撥出策略
√ 撥入/撥出能力必須在設計Firewall時進行考慮和集成。
√ 外部撥入用戶必須通過Firewall的認證。
Information Server策略
√ 公共信息伺服器的安全必須集成到Firewall中。
√ 必須對公共信息伺服器進行嚴格的安全控制，否則將成為系統安全的缺口。
√ 為Information server定義折中的安全策略允許提供公共服務。
√ 對公共信息服務和商業信息(如email)講行安全策略區分。
Firewall系統的基本特徵
√ Firewall必須支持．「禁止任何服務除非被明確允許」的設計策略。
√ Firewall必須支持實際的安全政策，而非改變安全策略適應Firewall。
√ Firewall必須是靈活的，以適應新的服務和機構智能改變帶來的安全策略的改變。
√ Firewall必須支持增強的認證機制。
√ Firewall應該使用過濾技術以允許或拒絕對特定主機的訪問。
√ IP過濾描述語言應該靈活，界面友好，並支持源IP和目的IP，協議類型，源和目的TCP/UDP口，以及到達和離開界面。
√ Firewall應該為FTP、TELNET提供代理服務，以提供增強和集中的認證管理機制。如果提供其它的服務(如NNTP，http等)也必須通過代理伺服器。
√ Firewall應該支持集中的SMTP處理，減少內部網和遠程系統的直接連接。
√ Firewall應該支持對公共Information server的訪問，支持對公共Information server的保護，並且將Information server同內部網隔離。
√ Firewall可支持對撥號接入的集中管理和過濾。
√ Firewall應支持對交通、可疑活動的日誌記錄。
√ 如果Firewall需要通用的操作系統，必須保證使用的操作系統安裝了所有己知的安全漏洞Patch。
√ Firewall的設計應該是可理解和管理的。
√ Firewall依賴的操作系統應及時地升級以彌補安全漏洞。
5、選擇防火牆的要點
(1) 安全性：即是否通過了嚴格的入侵測試。
(2) 抗攻擊能力：對典型攻擊的防禦能力
(3) 性能：是否能夠提供足夠的網路吞吐能力
(4) 自我完備能力：自身的安全性，Fail-close
(5) 可管理能力：是否支持SNMP網管
(6) VPN支持
(7) 認證和加密特性
(8) 服務的類型和原理
(9)網路地址轉換能力
三.病毒防護技術
病毒歷來是信息系統安全的主要問題之一。由於網路的廣泛互聯，病毒的傳播途徑和速度大大加快。
我們將病毒的途徑分為：
(1 ) 通過FTP，電子郵件傳播。
(2) 通過軟盤、光碟、磁帶傳播。
(3) 通過Web游覽傳播，主要是惡意的Java控制項網站。
(4) 通過群件系統傳播。
病毒防護的主要技術如下：
(1) 阻止病毒的傳播。
在防火牆、代理伺服器、SMTP伺服器、網路伺服器、群件伺服器上安裝病毒過濾軟體。在桌面PC安裝病毒監控軟體。
(2) 檢查和清除病毒。
使用防病毒軟體檢查和清除病毒。
(3) 病毒資料庫的升級。
病毒資料庫應不斷更新，並下發到桌面系統。
(4) 在防火牆、代理伺服器及PC上安裝Java及ActiveX控制掃描軟體，禁止未經許可的控制項下載和安裝。
四.入侵檢測技術
利用防火牆技術，經過仔細的配置，通常能夠在內外網之間提供安全的網路保護，降低了網路安全風險。但是，僅僅使用防火牆、網路安全還遠遠不夠：
(1) 入侵者可尋找防火牆背後可能敞開的後門。
(2) 入侵者可能就在防火牆內。
(3) 由於性能的限制，防火焰通常不能提供實時的入侵檢測能力。
入侵檢測系統是近年出現的新型網路安全技術，目的是提供實時的入侵檢測及採取相應的防護手段，如記錄證據用於跟蹤和恢復、斷開網路連接等。
實時入侵檢測能力之所以重要首先它能夠對付來自內部網路的攻擊，其次它能夠縮短hacker入侵的時間。
入侵檢測系統可分為兩類：
√ 基於主機
√ 基於網路
基於主機的入侵檢測系統用於保護關鍵應用的伺服器，實時監視可疑的連接、系統日誌檢查，非法訪問的闖入等，並且提供對典型應用的監視如Web伺服器應用。
基於網路的入侵檢測系統用於實時監控網路關鍵路徑的信息，其基本模型如右圖示：
上述模型由四個部分組成：
(1) Passive protocol Analyzer網路數據包的協議分析器、將結果送給模式匹配部分並根據需要保存。
(2) Pattern-Matching Signature Analysis根據協議分析器的結果匹配入侵特徵，結果傳送給Countermeasure部分。
(3) countermeasure執行規定的動作。
(4) Storage保存分析結果及相關數據。
基於主機的安全監控系統具備如下特點：
(1) 精確，可以精確地判斷入侵事件。
(2) 高級，可以判斷應用層的入侵事件。
(3) 對入侵時間立即進行反應。
(4) 針對不同操作系統特點。
(5) 佔用主機寶貴資源。
基於網路的安全監控系統具備如下特點：
(1) 能夠監視經過本網段的任何活動。
(2) 實時網路監視。
(3) 監視粒度更細致。
(4) 精確度較差。
(5) 防入侵欺騙的能力較差。
(6) 交換網路環境難於配置。
基於主機及網路的入侵監控系統通常均可配置為分布式模式：
(1) 在需要監視的伺服器上安裝監視模塊(agent)，分別向管理伺服器報告及上傳證據，提供跨平台的入侵監視解決方案。
(2) 在需要監視的網路路徑上，放置監視模塊(sensor),分別向管理伺服器報告及上傳證據，提供跨網路的入侵監視解決方案。
選擇入侵監視系統的要點是：
(1) 協議分析及檢測能力。
(2) 解碼效率(速度)。
(3) 自身安全的完備性。
(4) 精確度及完整度，防欺騙能力。
(5) 模式更新速度。
五.安全掃描技術
網路安全技術中，另一類重要技術為安全掃描技術。安全掃描技術與防火牆、安全監控系統互相配合能夠提供很高安全性的網路。
安全掃描工具源於Hacker在入侵網路系統時採用的工具。商品化的安全掃描工具為網路安全漏洞的發現提供了強大的支持。
安全掃描工具通常也分為基於伺服器和基於網路的掃描器。
基於伺服器的掃描器主要掃描伺服器相關的安全漏洞，如password文件，目錄和文件許可權，共享文件系統，敏感服務，軟體，系統漏洞等，並給出相應的解決辦法建議。通常與相應的伺服器操作系統緊密相關。
基於網路的安全掃描主要掃描設定網路內的伺服器、路由器、網橋、變換機、訪問伺服器、防火牆等設備的安全漏洞，並可設定模擬攻擊，以測試系統的防禦能力。通常該類掃描器限制使用范圍(IP地址或路由器跳數)。網路安全掃描的主要性能應該考慮以下方面：
(1) 速度。在網路內進行安全掃描非常耗時。
(2) 網路拓撲。通過GUI的圖形界面，可迭擇一步或某些區域的設備。
(3) 能夠發現的漏洞數量。
(4) 是否支持可定製的攻擊方法。通常提供強大的工具構造特定的攻擊方法。因為網路內伺服器及其它設備對相同協議的實現存在差別，所以預制的掃描方法肯定不能滿足客戶的需求。
(5) 報告，掃描器應該能夠給出清楚的安全漏洞報告。
(6) 更新周期。提供該項產品的廠商應盡快給出新發現的安生漏洞掃描特性升級，並給出相應的改進建議。
安全掃描器不能實時監視網路上的入侵，但是能夠測試和評價系統的安全性，並及時發現安全漏洞。
六. 認證和數宇簽名技術
認證技術主要解決網路通訊過程中通訊雙方的身份認可，數字簽名作為身份認證技術中的一種具體技術，同時數字簽名還可用於通信過程中的不可抵賴要求的實現。
認證技術將應用到企業網路中的以下方面：
(1) 路由器認證，路由器和交換機之間的認證。
(2) 操作系統認證。操作系統對用戶的認證。
(3) 網管系統對網管設備之間的認證。
(4) VPN網關設備之間的認證。
(5) 撥號訪問伺服器與客戶間的認證。
(6) 應用伺服器(如Web Server)與客戶的認證。
(7) 電子郵件通訊雙方的認證。
數字簽名技術主要用於：
(1) 基於PKI認證體系的認證過程。
(2) 基於PKI的電子郵件及交易(通過Web進行的交易)的不可抵賴記錄。
認證過程通常涉及到加密和密鑰交換。通常，加密可使用對稱加密、不對稱加密及兩種加密方法的混合。
UserName/Password認證
該種認證方式是最常用的一種認證方式，用於操作系統登錄、telnet、rlogin等，但由於此種認證方式過程不加密，即password容易被監聽和解密。
使用摘要演算法的認證
Radius(撥號認證協議)、路由協議(OSPF)、SNMP Security Protocol等均使用共享的Security Key，加上摘要演算法(MD5)進行認證，由於摘要演算法是一個不可逆的過程，因此，在認證過程中，由摘要信息不能計算出共享的security key，敏感信息不在網路上傳輸。市場上主要採用的摘要演算法有MD5和SHA-1。
基於PKI的認證
使用公開密鑰體系進行認證和加密。該種方法安全程度較高，綜合採用了摘要演算法、不對稱加密、對稱加密、數字簽名等技術，很好地將安全性和高效率結合起來。後面描述了基於PKI認證的基本原理。這種認證方法目前應用在電子郵件、應用伺服器訪問、客戶認證、防火牆驗證等領域。
該種認證方法安全程度很高，但是涉及到比較繁重的證書管理任務。