1、 网络规划与设计

1.1、 网络互联设备与OSI模型 (重点辨析)

这是软考中最基础也是最容易混淆的部分，核心是分层和隔离能力。

设备名称	对应OSI层次	核心功能	隔离能力	协议处理能力
中继器/集线器	物理层	信号放大、再生、整形	不隔离冲突域，不隔离广播域	无，只能连接相同协议、相同速率的网络
网桥/交换机	数据链路层	帧转发、MAC寻址	隔离冲突域，不隔离广播域 (VLAN除外)	连接相同的高层协议，物理层协议可不同
路由器	网络层	IP寻址、路由选择、分组过滤	隔离广播域 (抑制广播风暴)	处理网络层协议，连接不同子网
网关	应用层	协议转换	全隔离	连接协议差别很大的网络 (如不同架构的系统)

• 考点提炼：

  • 路由器 vs 交换机：路由器效率相对较低（软硬件结合处理），但能隔离广播、过滤分组（防火墙功能）、连接不同逻辑子网。

    维度	交换机 (Switch)	路由器 (Router)
    工作就像	办公室文员	海关 / 国际邮局
    识别凭证	MAC 地址 (物理身份证)	IP 地址 (收件地址)
    处理对象	帧 (Frame)	包 (Packet)
    如果有人喊大喇叭 (广播)	跟着一起喊 (传给所有人)	关门阻挡 (不让传出去)
    主要职责	让大家连通，组成局域网	让大家隔离，连接不同的网
    能连什么	只能连同一个网段的电脑	能连不同网段、不同架构的网

  • 协议转换：只要看到“不同网络协议互联”或“协议转换”，首选网关。 

1.2、 网络存储技术 (SAN/NAS)

随着大数据和云架构的流行，存储网络是架构师考试的高频点。

1. DAS (直连存储)：直接连接到服务器主机上，它依赖于具体的服务器，不支持完全的跨平台文件共享

2. NAS (网络附属存储)：将存储设备直接连接到现有的网络（如以太网）上，提供数据存储和文件访问服务

   • 文件级存储 (File-level)。

   • 即插即用，通过以太网(TCP/IP)共享文件 (NFS/CIFS协议)。

   • 性能受网络带宽限制。

3. SAN (存储区域网络)：它是一种连接存储设备和存储管理子系统的专用网络，专门提供数据存储和管理功能

   • 块级存储。

   • FC SAN ：使用光纤通道 (Fibre Channel) 协议。性能最高，成本昂贵，传输距离有限。

   • IP SAN ：使用 iSCSI 协议 (把SCSI指令封装在TCP/IP包里)。成本低，利用现有以太网设施，无距离限制。

• 看到 “专用网络（后端网络）、数据块存储” ➔ 选 SAN。
• 看到 “连接到现有网络、自带瘦OS、文件服务器” ➔ 选 NAS。
• 看到 “直接连接服务器、电缆/SCSI外挂、难以扩展” ➔ 选 DAS。

1.3、 网络规划与服务器部署

架构师需要具备网络拓扑设计和安全规划的能力。

1. 设计原则

   • 高可用性：金融、银行核心业务的首要原则 (冗余设计、双机热备)。

   • 其他原则：实用性、开放性、先进性、可扩展性。

2. 服务器位置部署 ：

   • DMZ区 (非军事化区)：放置对外服务的服务器，如 Web服务器、邮件网关。

   • 内网核心区：放置数据库服务器、核心业务服务器 (严禁直接暴露在公网)。

   • 防火墙策略：公网只能访问DMZ，DMZ只能访问内网特定端口（如DB端口），内网可访问公网。

3. 流量监控：

   • 监控服务器通常连接在核心交换机的镜像端口 (Mirror Port) 上，以便捕获所有流经的流量。

1.4、网络设计阶段任务

• 网络系统生命周期可以划分为5个阶段， 顺序是需求规范、通信规范、逻辑网络设计、物理网络设计、实施阶段  
• 逻辑设计任务是根据需求规范实施资源分配和安全规划（如选择路由协议、IP地址方案）；
• 物理设计任务是确定设备的具体物理分布和运行环境（如设备选型、结构化布线、机房设计）。

1.5、SDN网络架构

1.6、网闸

    题目：部署在政府内外网之间实现物理隔离的设备是网闸。

就像银行柜台的防弹玻璃和那个小抽屉。你（外网）和柜员（内网）被物理隔开了，你们之间没有直接的通道（应用协议被中断）。

你想存钱存文件怎么办？你把文件放进小抽屉（中间设备），关上外面的门；柜员从里面打开抽屉，把文件拿进去。这就是图里写的“文件级交换”。

1.7、5G通信系统架构

软考架构师必读：别再死磕物理层！一文掌握 5G 架构设计的“上帝视角”

1.8、 网络分层设计模型

1. 核心层 

• 主要作用： 互连网络的高速骨干网，主要目标是快速、高速地转发数据分组，提供最优传送路径。
• 核心设计原则：
  • 高可靠性： 必须采用冗余组件设计（如双机热备、链路聚合）来适应变化和防止单点故障。传输带宽必须是千兆或万兆级的，因此核心层交换机一般都是三层交换机或者三层以上的交换机
  • 外部连接： 负责提供一条或多条连接到因特网或外部网络的接口。

2. 汇聚层  

• 主要作用： 作为核心层和接入层的分界点，负责完成网络访问策略控制、数据包过滤、路由寻址、流量负载以及协议转换等任务
• 核心设计原则：
  • 策略实施中心： 网络的访问策略定义、资源访问控制（ACL）、流量控制都在这一层实现。
  • 细节隐藏与转换： 负责路由汇总（向核心层隐藏接入层复杂的子网细节，仅宣告汇聚后的网络）以及异构网络之间的协议转换。

3. 接入层

• 主要作用： 直接面向终端用户，为局域网接入广域网或终端用户访问应用系统提供接入能力，并提供相邻用户之间的本地带宽。
• 核心设计原则：
  • 用户管理与审计： 负责基础的用户级管理功能（如MAC地址认证、计费管理）和信息收集（收集用户IP地址、MAC地址、访问日志等）。
  • 设备选择： 这一层的设备成本相对较低，甚至可以使用集线器代替交换机。

💡 考场实战口诀总结：

• 核心层： 骨干、高速、高冗余、禁过滤。
• 汇聚层： 承上启下、定策略、做控制、转协议。
• 接入层： 面向用户、搞接入、收信息。

 可以将网络层次结构想象成高速公路系统：核心层是连接城市的大型立交桥和主干道，追求极速转发；汇聚层是出口闸机，负责检查通行证（安全过滤）和分流；而接入层则是通往各家各户的小路。这种分层解耦的设计保证了系统即使在局部发生交通拥堵（网络延迟）时，整体架构依然稳定

1.9 结构化布线系统的六大子系统

• 看到 “终端到插座” ➔ 选 工作区。
• 看到 “连接工作区和干线 / 楼层配线架到插座” ➔ 选 水平子系统。
• 看到 “跨楼层互连 / 建筑内主干” ➔ 选 垂直干线子系统。
• 看到 “跨建筑物/楼群互连” ➔ 选 建筑群子系统。

• 看到 各种交叉连接设备以及集线器和交换机等设备组成 ➔ 选设备间子系统。

1.10、 总线

• 总线的“分时”与“共享”特性：总线是一组能为多个部件分时共享的公共信息传送线路。
  • 分时发送：指在同一时刻，只允许有一个部件向总线发送信息。如果出现两个或两个以上部件同时向总线发送信息，势必导致信号冲突。
  • 同时接收：在同一时刻，允许多个部件同时从总线上接收相同的信息。
• 总线的分类：
  • 按功能划分，通常分为数据总线（传送数据信息）、地址总线（传送地址信息）和控制总线（传送控制信号）。
  • 按数据线多少划分，分为并行总线和串行总线。并行总线传输速率高，但由于信号延迟不一致，适合近距离连接；串行总线按位传输，适合远距离通信

2、 网络协议与通信原理

2.1、 数据通信基础计算 (必考公式)

这是送分题，必须掌握公式，注意单位换算。

1. 码元与比特的关系 ：

   • 波特率 (Baud)：码元传输速率（每秒传输多少个信号变化）。

   • 数据速率 (R, bps)：每秒传输多少比特信息。

   • 相数 (N)：调制技术产生的不同信号状态数量 (如4相DPSK, N=4)。

   • 核心公式：

     

2. 香农公式 (有噪声信道)：

   • 

   • C (Capacity - 信道容量)：公式算出来的结果。代表理论上最大的数据传输速率，单位通常是 bps。
     W (Bandwidth - 带宽)：信道的频带宽度，单位是 Hz（赫兹）。通俗理解：这就是“高速公路的宽度”（车道数）。道路越宽，能同时跑的车就越多。
     S/N (Signal-to-Noise Ratio - 信噪比)：S 代表有用信号的功率，N 代表噪声干扰的功率。 就是指信号强度是噪声强度的多少倍。

   • 注意：题目给出的信噪比通常是分贝(dB)，需要先换算成数值。

   • 换算公式：𝑑𝐵=10×log⁡10(𝑆/𝑁)。例如 30dB 意味着 𝑆/𝑁=1000

2.2、 TCP/IP 协议族核心速记

这是软考网络部分的基石：

1. 网络层协议：

   • IP：寻址和路由。

   • ICMP：ping 命令用的就是它，报告错误。

   • ARP：IP地址 → MAC地址。

   • RARP：MAC地址 → IP地址。

2. 传输层协议：

   • TCP：可靠、面向连接、慢 (用于HTTP, FTP, SMTP)，全双工。

   • UDP：不可靠、无连接、快 (用于视频流、DNS, SNMP)。

3. 应用层协议端口：

   • FTP (20/21), SSH (22), Telnet (23), SMTP (25), DNS (53), HTTP (80), POP3 (110), HTTPS (443) ,SNMP(161),DHCP(服务端67，客户端68），TFTP(69)。

2.3、TCP/IP 与网络控制

（2012年、2014年、2021年）

    ◦ 题目：TCP 如何防止拥塞？Internet 网络核心采取的交换方式是

    ◦ 答案：TCP 采用可变大小的滑动窗口协议；交换方式为分组交换（基于 IP 协议）

2.4、 DHCP协议原理

DHCP (动态主机配置协议)软考系统架构师考点秒杀

2.5、域名系统 DNS 查询与配置

（2012年、2013年、2018年、2020年）

    ◦ 题目：根域名服务器采用何种查询方式会严重影响性能？解决解析出 IP 但无法解析出服务器名称的方法是？Linux DNS 配置文件是？

    ◦ 答案：根域名服务器若采用递归查询会影响性能；解决方法是为服务器创建 PTR 记录（反向解析）；配置文件为 /etc/resolv.conf。

DNS 域名解析中“递归查询”与“迭代查询”的核心区别: 

• 递归查询 ： 类似于“帮人帮到底”。 你（PC）问本地服务器要个地址，本地服务器不知道，但它拍着胸脯说：“你等着，我去帮你问！” 于是它跑去问根服务器，根服务器再去问别人……最终结果一步步原路返回传给你。特点是：请求者只发一次请求，就在原地死等最终结果。

  

• 迭代查询 ： 类似于“踢皮球指路”。 本地服务器去问根服务器（顶级大佬），大佬很忙，没空帮你跑腿，于是告诉你：“我不知道具体地址，但这个域名的归属地归‘中介服务器’管，你自己去问它吧，这是它的地址。” 于是本地服务器只能自己再去向中介服务器发起请求。特点是：被请求者不帮忙代查，只给线索，请求者必须自己跑断腿挨个去问。

DNS 服务器的五大层级与角色，DNS解析是有固定顺序的（先找缓存，再找本地，最后逐级向上），各服务器扮演着不同的角色：

• 本地缓存： 存在于客户端内存中，速度最快，无数据库。
• 本地域名服务器： 离用户最近。当主机发出DNS查询报文时，首先送往本地域名服务器。如果查询的也是本地ISP的主机，它能立即解析返回。
• 权限域名服务器： 负责具体某一个“管辖区”内的域名到IP地址的映射。
• 顶级域名服务器： 负责管理在其上注册的所有二级域名。收到请求时，它能转换为二级域名的IP地址，或者指明下一步该找哪个权限服务器。
• 根域名服务器： 最高层次。掌握所有顶级域名服务器的地址。当本地服务器不知道找谁时，就去问根服务器。

2.6、 IPv6 关键特征

还在死磕 IPv6？背下这 5 句口诀，面试/考试横着走！

2.7. 负载均衡机制对比

    ◦ 题目：基于 DNS 的负载均衡与基于反向代理的负载均衡有何区别？

    ◦ 答案：DNS 负载均衡配置简单、成本低，但无法感知服务器实时负载；反向代理负载均衡能根据实时负载分配请求，支持静态资源缓存，安全性更高（屏蔽真实 IP），但实现较复杂

2.8. ESB（企业服务总线）

ESB（企业服务总线）在SOA中的作用？ 题解： 作为总线，负责服务的元数据管理、传输协议转换、路由和消息调度。

2.9. MQTT

MQTT(消息队列遥测传输)是一个基于发布/订阅模式的消息协议。它工作在TCP/IP协议族上，是为硬件性能低下的远程设备以及网络状况糟糕的情况下而设计的发布/订阅型消息协议。MQTT协议是轻量、简单、开放和易于实现的。

2.10 Ping 和 Echo 

ping 是应用程序（工具），而 Echo 是它底层使用的具体协议消息（ICMP Echo）。可以把它们的关系理解为：Ping 命令是“枪”，而 ICMP Echo 包是“子弹”。

以下是底层的技术拆解：

1. 技术层级关系

• 上层应用：用户在命令行输入 ping。

• 网络层协议：操作系统内核使用 ICMP 协议

• 具体消息类型：ICMP 协议中定义了很多种消息，ping 专门使用了以下两种：

  • 去程：ICMP Echo Request（类型码 Type 8）—— 请求回显。

  • 回程：ICMP Echo Reply（类型码 Type 0）—— 回显应答。

2. 架构设计中的引申

在软考的“Ping/Echo 心跳模式”中，这个概念被抽象化了：

• 不仅仅指 ICMP：在分布式系统中，服务 A 发送一个 HTTP 请求（Ping），服务 B 返回一个 200 OK（Echo），这也被称为 Ping/Echo 模式。

• 核心逻辑：主动探测（Ping） -> 被动响应（Echo）。

ping 命令的本质就是发送一个 ICMP Echo Request 并等待 ICMP Echo Reply。

2.11 管理距离

 对于两种不同的路由协议到一个目的地的路由信息，路由器首先根据管理距离决定相信哪一个协议。

AD值越低，则它的优先级越高,可信度也越高。 一个管理距离是一个从0-255的整数值，0是最可信赖的，而255则意味着不会有业务量通过这个路由。

2.12 曼彻斯特编码

• 曼彻斯特编码（Manchester Encoding）是早期以太网（如 10Base-T）物理层广泛使用的一种线路编码方式。它最核心的特点是：将时钟信号和数据信号“揉”在了一起。
• 是一种自时钟编码方法，通过在每个比特时间的中间进行电平翻转来表示二进制数据，既便于同步，又能够有效地检测传输错误。
• 虽然在高速网络中被淘汰，但因为曼彻斯特编码实现极其简单、无需额外时钟线、抗干扰极强，它在那些“不要求极速，但要求极度稳定和低成本”的领域依然是王者

2.13 采样频率

要不失真的恢复一个连续信号，采样频率必须大于信号最高频率的两倍

3. 网络安全 

3.1、网络攻击原理

（2010年、2020年）

    ◦ 题目：ARP 攻击导致无法跨网段通信的原因？SYN Flooding 攻击的原理？

    ◦ 答案：ARP 攻击通过伪造网关 ARP 报文使数据包无法发往网关；SYN Flooding 利用 TCP 三次握手缺陷恶意制造大量半连接耗尽资源。

网络安全漏洞通常是指网络节点的系统软件或应用软件在逻辑上的缺陷

3.2. IETF 集成服务 IntServ 类型 

    ◦ 题目：IntServ 把 Internet 服务分成哪三种类型？

    ◦ 答案：保证质量的服务（Guaranteed）、负载受控的服务（Controlled-load）和尽力而为的服务（Best-Effort）。

3.3 数字加密

1. 加密方式对比

   类型	密钥特点	典型算法	比喻
   对称加密	加密解密用同一把密钥	AES, DES, 3DES	保险箱：上锁和开锁用同一把钥匙
   非对称加密	用公钥加密，私钥解密	RSA, ECC, DSA	信箱：任何人都能投信（公钥），但只有只有主人能取（私钥）

2. 数字信封概念：就是“用对称密钥锁数据，用公钥锁对称密钥”。既要了对称加密的速度，又要了非对称加密的安全性。

3. 三重 DES ： 3DES 默认指的就是 2-Key TDEA（双密钥模式），因为它是性价比最高的折中方案。即便你使用了 168位 的 3 Key 模式，其有效的破解难度（安全性强度）也被证明大约只有 112位。

3.4. Kerberos 协议

Kerberos 的名字来源于希腊神话中守卫地狱大门的“三头犬”，寓意它有三个头（Client、Server、KDC）来共同守护安全。

1. Kerberos 三要素：Client、Server、KDC(Kerberos 体制的核心服务器，密钥分发中心)。

2. KDC 的组成

   • AS（认证服务器）：负责初次登录，发 TGT。

   • TGS（票证授予服务器）：负责发具体服务的 Service Ticket。

3. 防重放手段：加密的时间戳（需配合时间同步 NTP 网络时间协议）。

4. 特点：单点登录（SSO）、双向认证（不仅服务器认证你，你也认证服务器）、不传输明文密码。

3.5 PKI 体系

PKI 体系的核心是实现公钥加密体系下的信任管理，其典型组成包括：
- 实体对象：如 CA、RA、用户、服务器等，代表体系内的参与方；
- 端对象：最终使用密钥和证书进行加密通信的对象；
- 管理对象：用于证书生成、分发、吊销、策略控制的管理组件。

1. PKI ➔ 对应 公钥基础设施 ➔ 认准证书机构CA（负责数字证书的生成、签署（签名）、颁发和撤销） ➔ 注册机构RA（负责接收用户的证书申请，并验证用户的真实身份)
2. Kerberos ➔ 对应 对称加密 ➔ 认准 KDC（密钥分发中心） ➔ 它的核心防护机制是加入时间戳来防重放攻击。

3.6 JWT（JSON Web Token）

 什么是JWT？  

JWT 是一种基于 JSON 的开放标准，由头部、载荷、签名三部分组成。它具有无状态和自包含的特性，通过数字签名防止篡改，广泛用于前后端分离系统的身份验证（如 SSO）和信息交换。

JWT的优点

• 无状态:JWT是无状态的,服务器不需要保存任何会话信息,可以轻松扩展和分布式环境下使用。
• 安全:JWT通过密钥对头部和载荷进行签名，保证了数据的完整性和安全性。
• 跨域支持:JWT可以跨域使用，可以在不同的域名和服务器之间使用。
• 简单易用:JWT使用简单，易于实现和维护。

JWT的缺点

• 载荷信息不能太多:JWT的载荷信息不能太多，否则会导致,JWT的长度过长，增加网络传输的负
• 安全性依赖于密钥:JWT的安全性依赖于密钥的保护，如果密钥泄露，则JWT的安全性将受到威
• 无法撤销:一旦JWT生成后，无法撤销，除非修改密钥或者设置短期的过期时间

3.7 VLAN（虚拟局域网）及其安全作用

1. 什么是 VLAN？

VLAN (Virtual Local Area Network)，即虚拟局域网。它是一种将物理的局域网（LAN）在逻辑上划分成多个广播域的技术。

• 物理上：所有电脑可能都连在同一台交换机上。

• 逻辑上：通过配置，可以将它们划分为不同的组（如：财务部 VLAN 10，技术部 VLAN 20）。

2. VLAN 在网络安全中的作用

VLAN 是内网安全的第一道防线，其核心作用体现在以下几点：

• 隔离广播风暴：

• 逻辑隔离与访问控制 ：

• 实施安全策略 (ACLs)：
  一旦划分了 VLAN，这就给了管理员在 VLAN 之间设置“关卡”的机会。我们可以在三层设备上应用 ACL（访问控制列表）。

  • 例子：允许技术部 VLAN 访问互联网，但禁止技术部 VLAN 访问财务部 VLAN。

• 限制嗅探攻击：

3.8 无线网络安全协议

1. 安全级别排序（必背） WEP < WPA < WPA2

2. 详细协议对比解析

协议标准	WEP (有线等效保密)	WPA (WiFi网络安全接入)	WPA2
对称加密
加密算法	RC4 (流加密)	RC4 (但在其基础上增强)	AES
完整性校验	CRC-32 (循环冗余校验)	MIC (报文完整性编码)	CCMP (基于AES)
密钥管理	静态密钥 (容易被破解)	TKIP (临时密钥完整性协议)	CCMP
核心特点	安全性低，数据易被篡改	动态改变密钥，防止重放攻击	安全性最高，硬件加速

3.9 主被动攻击

• 被动攻击攻击者的目的只是获取信息，这就意味着攻击者不会篡改信息或危害系统。系统可以不中断其正常运行。常见的被动攻击包括：窃听和流量分析。
• 主动攻击可能改变信息或危害系统。威胁信息完整性和有效性的攻击就是主动攻击。主动攻击通常易于探测但却难于防范，因为攻击者可以通过多种方法发起攻击。常见的主动攻击包括：篡改、伪装、重放、拒绝服务攻击。

3.10 网络控制机制

以下关于网络控制的叙述，正确的是（）

A. 由于TCP的窗口大小是固定的，所以防止拥塞的方法只能是超时重发

B. 在前向纠错系统中，当接收端检测到错误后就要请求发送端重发出错分组

C. 在滑动窗口协议中，窗口的大小以及确认应答使得可以连续发送多个数据

D. 在数据报系统中，所有连续发送的数据都可以沿着预先建立的虚通路传送

【出题套路与挖坑拆解】： 这道题的四个选项，恰好对应了网络控制的四大核心考点，每个错误选项都设了经典的陷阱：

• A选项挖坑：TCP的动态性。 出题人故意说“TCP窗口大小是固定的”。实际上，TCP采用的是可变大小的滑动窗口协议，会根据网络拥塞情况动态调整。
• B选项挖坑：纠错机制的张冠李戴。 出题人把“后向纠错（ARQ）”的特征安在了“前向纠错”上。在前向纠错系统中，接收端检测到错误后是根据纠错编码的规律自行纠错；只有后向纠错才会请求发送方重发。
• D选项挖坑：交换方式的特征混淆。 出题人把“虚电路”的特征给了“数据报”。IP协议（数据报）是不预先建立虚电路的，每个数据报独立选择路由转发；只有ATM、X.25等虚电路系统才会预先建立虚通路。
• C选项考查正解。 准确描述了滑动窗口的机制：依靠窗口大小和确认应答来实现连续发送多个数据包，提高效率。

3.11 调制解调器

调制解调器的主要作用正是将计算机生成的数字信号转换为可以在模拟电话线上传输的模拟信号，在接收端再将其还原为数字信号。

3.12 单/双工逻辑通道

“有线信道”指的是具体的物理传输介质（如双绞线、光纤等）。然而，半双工通信不仅存在于有线网络中，同样广泛应用于无线网络中（例如最常见的对讲机、早期的无线局域网等）

在计算机网络中，“逻辑通道” 通常代表一个单向的数据传输路径。

• 单工通信：A 只能发信号，而 B 只能接收信号，通信是单向的。因为只有单一方向的数据流，所以只需要 1 个逻辑通道。
• 半双工通信：A 能发信号给 B，B 也能发信号给 A，但这两个过程不能同时进行。虽然它们在物理上可能共享同一根网线或同一个无线频段，但在逻辑上，必须存在一条从 A 到 B 的路径和一条从 B 到 A 的路径，因此至少需要 2 个逻辑通道。只不过这两个逻辑通道不能同时激活，需要采用分时复用的方式轮流使用。
• 全双工通信（Full-Duplex）：在 A 给 B 发信号的同时，B 也可以给 A 发信号，这两个过程可以同时进行互不影响。它同样需要 2 个逻辑通道，且这两个通道可以同时独立工作。

💡 考点总结： 半双工通信的本质是双向交替通信。只要有双向的数据交互需求，在逻辑上就必然需要建立两条相反方向的通道（2 个逻辑通道）。能否同时传输，只是决定了对物理信道的占用方式（分时复用或是频分复用等），并不改变其逻辑通道的数量。

3.13 五大类安全服务

五大类安全服务详细介绍是整个网络安全体系设计的基石，在历年的选择题和论文题中反复出现：

• 认证服务
• 访问控制服务：决定开放环境中允许使用哪些资源、在什么地方适合组织为授权访问的过程。常见的实现方式包括：自主访问控制（DAC）、强制访问控制（MAC）和基于角色访问控制（RBAC）。
• 数据机密性服务：
• 数据完整性服务：
• 抗抵赖服务（不可否认性）

3.14 四大OSI层次中的常见安全协议

1. 应用层 

• HTTPS (安全Web通信)
• PGP (Pretty Good Privacy - 安全电子邮件)： 是一个完整的电子邮件安全软件包，包括加密、鉴别、电子签名和压缩等技术。它将现有的算法（如MD5、RSA及IDEA）综合在一起，提供数据加密和数字签名两种服务。
• S/MIME (安全邮件扩展)： 是对MIME在安全方面的扩展，它可以把MIME实体（如数字签名和加密信息）封装成安全对象。
• SET (安全电子交易协议)： 专为电子商务设计的应用层协议，用于保障互联网上信用卡等电子交易的安全（在安全协议OSI映射图中归为传输层之上/应用层）。

2. 传输层

这两层的协议主要负责为端到端的通信提供加密封装和身份验证。

• SSL (安全套接字层)： 为HTTPS等高层协议提供底层信息交换的安全支持。在标准的网络安全体系OSI映射图中，SSL通常横跨传输层、会话层甚至表示层，起到了承上启下的加密隧道作用。
• TLS (传输层安全协议)： 作为SSL的升级版，在映射图中被严格归类为传输层安全协议，用于保障两个通信应用程序之间的数据保密性与完整性。

3. 网络层

网络层安全协议在IP包级别提供保护，对上层应用透明。

• IPSec： 是IETF制定的IP层加密协议。PKI技术为其提供了加密和认证过程的密钥管理功能。它主要用于开发新一代的VPN（虚拟专用网），为数据提供IP层面的加密和认证。
• 防火墙： 在OSI安全层次映射图中被划归为网络层设备/技术。其核心作用是内外网之间的隔离

4. 数据链路层 

数据链路层的安全机制主要与拨号网络、隧道封装和点对点链接有关。

• L2TP (第二层隧道协议)： 是一种二层协议，是对传统拨号协议PPP的扩展。它通过定义多协议跨越第二层点对点链接的封装机制，保证分散的远程客户端通过“隧道方式”经由Internet安全地访问企业内部网络。
• PPTP (点对点隧道协议)： 在经典的网络安全OSI映射图中，被明确归类为数据链路层的安全隧道协议。
• PAP (密码验证协议)： 它是二层协议PPP的一种握手协议，纯粹是为了保证PPP链接的安全性而设计的身份验证机制。

为什么独独“会话层”没有专门配置安全服务？ 在起草 ISO 7498-2 (即国标 GB/T 9387.2) 标准时，专家委员会经过评估认为，最适合配置安全服务的是物理层、网络层、传输层和应用层。会话层的主要功能仅仅是管理主机之间的对话逻辑（如建立、同步、终止会话等），其面临的安全威胁完全可以由下层的传输层（如提供端到端加密的 TLS ）或上层的应用层（如直接对业务数据加密）来代为防范。如果在会话层再强行增加单独的安全机制，不仅会造成功能冗余，还会大幅降低网络传输性能。因此标准中直接规定：除第5层（会话层）外，每一层均能提供相应的安全服务

3.15 基于任务的访问控制（TBAC)

组成要素包括工作流、授权结构体、受托人集和许可集。工作流定义了任务的流程，授权结构体定义了访问控制规则，受托人集是被授权执行任务的用户或实体，许可集则是具体的权限集合。