1. 考点权重与命题套路为什么这章值得单独扒一遍如果你备考过软件设计师翻翻上午题历年试卷就会发现计算机网络及信息安全这个板块极其稳定地占据着6到8分的量级偶尔还会在案例分析题里以配置场景的方式冒个头。很多人觉得这部分知识点零散、名词多、记了又忘干脆临考前突击一下结果选择题里丢个四五分的很常见。实际上这一章是性价比最高的部分因为它不像算法和数据结构那样需要大量刷题思维也不像软件工程那样全是文字游戏只要你把框架搭清楚再用一些对比表格辅助记忆分数几乎是白送的。先说清楚考试中的实际分布。上午的选择题一共75道计算机网络相关的题目通常在4到6道信息安全相关的2到3道合起来大概就是7到9分的区间。请注意下午的案例题一般不直接考网络配置命令但有一年出现过基于网络拓扑排查故障的题目如果对协议不熟很容易卡壳。因此我的建议是这一章你至少要保证选择题拿满同时顺带把网络基础概念弄懂防止下午题出幺蛾子。命题套路非常固定几乎可以用老三样来概括。第一样是协议族和层次模型要么考OSI七层的功能分层要么考TCP/IP四层与协议对应关系要么给你一个数据包从发送到接收的过程让你判断各层封装。第二样是IP地址与子网划分计算这类题是实打实的计算题会的人一分钟出答案不会的人蹲在考场里掰手指头。第三样是信息安全中的算法分类和数字签名流程属于概念辨析题把几类算法和用途对照清楚就稳了。理解了这套框架之后你就能针对性地去突破而不是捧着教材从头背到尾。有一点要提醒你别被教材里那一堆英文缩写吓退。DHCP、ARP、ICMP这些协议只需要知道它在哪一层、干什么用、有哪些关键机制不需要去记报文格式。考试考的是知道不是实现。接下来我按自己复习时整理的逻辑把这块内容分成四个核心模块过一遍每部分都附上应试角度必须掌握的要点以及我踩过的坑。2. 网络分层与协议族把OSI和TCP/IP理解成快递链路很多第一次备考的人被OSI七层模型弄得头大但换个角度就容易了你把数据发送过程想象成寄快递。应用层是你填写的快递单内容传输层是决定用普通快递还是特快专递TCP还是UDP网络层是依据地址规划路线的调度中心数据链路层是实际装车配送到隔壁街区的货车物理层则是路况和车道本身。数据从你手里发出每下一层就套一个信封到了目的地逐层拆开这就是封装与解封装的过程。考试最常考的对应关系务必记清楚。应用层协议与端口之间的汇聚点是选择题的高频区HTTP对应80HTTPS对应443FTP控制端口21和数据端口20DNS是53DHCP用67和68SMTP发信是25POP3收信是110远程登录Telnet是23SSH是22。这些端口不要求你全背但至少每年有个一道题是在里面挑一个考的建议做成小卡片反复刷眼熟。TCP与UDP的区别是必考题我建议记这样一句话TCP可靠但慢UDP快但不管丢。TCP的三次握手流程、四次挥手、全双工通信、流量控制和拥塞控制每一个都可能成为选项。三次握手的序列号变化过程有几年特别喜欢考你得知道SYN、SYNACK、ACK这几个标志的先后顺序。UDP的典型应用是视频直播、语音通话、DNS查询这些能承受少量丢失的场景。这个能不能容忍丢包就是判断该类应用该用谁的最快标准。ARP协议这个地方很多人容易混淆。ARP位于网络层与数据链路层之间作用是把IP地址解析为MAC地址它只在同一个广播域内工作。如果你收到一个数据包需要发往另一个网段源主机会先用ARP查询默认网关的MAC地址然后将数据交给网关转发。这个细节是常考的陷阱ARP是解析IP到MAC而DNS是解析域名到IP别把两者混为一谈。还有RARP是反向把MAC地址映射回IP地址考试出现的概率小但偶尔会拿来混淆视线。网络层还需要分清ICMP和IGMP。ICMP是互联网控制报文协议最典型的使用者是ping命令和traceroute命令ping返回的请求超时或目标不可达就是ICMP报文的反馈。IGMP则是管理组播组成员关系的组播那个知识点隔几年冒出来一次你只要记住组播用IGMP单播和广播不用它就差不多了。## 3. 网络分层与协议族把OSI和TCP/IP理解成快递链路这一章的知识点如果死记硬背会非常折磨人。我的经验是把它放在一个具体的数据包旅行场景里去理解所有层次和协议立刻就有了秩序感。下面先搭框架再讲应试中最常考的细节。3.1 从数据包的一次跨网传输看懂两台主机的协作想象一下你用浏览器打开某个网站整个过程涉及DNS解析、TCP建连、HTTP请求发送、路由转发、响应回传。数据从应用层产生后每经过一层就会加上该层的头部信息这个过程叫封装对端收到后从物理层往上层层剥掉头部这叫解封装。考试很少直接问你封装顺序是什么但会以当数据到达目标主机的网络层时已经处理完哪些层这类变体出现。网络接口层负责在局域网内传输帧帧里有源MAC地址和目的MAC地址。只要数据包要出本网段源MAC一定是发送方网卡目的MAC一定是下一跳设备的MAC通常是网关。但要记住源IP和目的IP在整个传输过程中基本不变而每一跳的MAC地址都在改变。这个考点一旦出成PC1发给PC2经过一台路由器请问哪些地址发生变化很多人就会栽在MAC地址的更新上。TCP三次握手的过程也完全可以串进这个场景里。第一次握手客户端发送SYN报文初始序列号假设为x第二次握手服务器回复SYNACK并带上自己的初始序列号y同时确认x1第三次握手客户端再发ACK确认y1。考试喜欢把三次握手乱序排列或者在状态名上做文章你只要记住连接建立一定要双向确认这一句话就足以排雷了。3.2 协议与端口的高频清单应用层协议与端口的对应关系几乎是每年必考。我不建议你对着端口表硬背你可以把它们分类成网页类、文件类、邮件类、远程管理类、基础设施类这样更容易形成网络。类别协议默认端口特征一句话网页访问HTTP / HTTPS80 / 443HTTPS多了加密和证书校验文件传输FTP控制21数据20明文传输需要登录认证邮件发送SMTP25只负责发信不负责收邮件接收POP3 / IMAP110 / 143POP3偏向下载后离线读远程管理Telnet / SSH23 / 22Telnet明文SSH加密域名解析DNS53将域名转成IP也支持反向查询动态地址分配DHCP67/68客户端用68服务端用67无盘启动等TFTP69基于UDP简单文件传输有个小提醒DHCP的67、68端口这两年是高频考点而且命题常常换个角度——问你DHCP客户端发送请求时使用的源端口是哪个。答案是68。同理FTP的数据端口20与主动模式被动模式的差异不一定会考但端口对应关系你得记。DNS还有一个极易踩的坑它不只做域名转IP邮件服务器的MX记录、负载均衡的SRV记录也在DNS体系内。考试里如果出现根据域名查询邮件服务器地址你要能反应出这是在用DNS的MX记录而不是直接发一封邮件。3.3 TCP与UDP判断的两条铁律看到一个应用怎么判断它该用TCP还是UDP大多数人卡在HTTP不是基于TCP吗但视频为什么用UDP其实判断标准就两条第一数据是否要求完整无损第二能否容忍延迟和丢包。需要的是正确性优先比如网页内容、文件下载、邮件、数据库同步统统TCP需要的是实时性优先比如直播推流、语音通话、在线游戏的状态同步、DNS快速查询用了UDP。考试还有一个经典陷阱DNS使用UDP但DNS区域传送即主DNS服务器向备用DNS服务器同步整个区域数据用的却是TCP。原因是区域传送的数据量大需要可靠传输。这种特殊场景下换协议的细节就是命题组最爱设的坑你必须单独记住。三次握手的异常情况也值得看一眼。比如客户端连续发送SYN但从未收到SYNACK可能是服务器监听队列满了也可能是防火墙拦截。但在上午选择题里一般不会让你做这么深入的排查更多是考SYN泛洪攻击利用了TCP三次握手的哪个弱点答案指向服务器等待第三次ACK时半连接队列被占满。这个点放在后面的安全章节我会再展开。4. IP地址与子网划分计算题拿分的关键公式如果说协议是背一背就能拿分那IP地址计算就是需要动笔的题。放心它没有你想象得那么难考试中出现的无非是以下几类判断IP地址的类别、计算网络地址/广播地址、计算可用主机数、判断两个IP是否在同一网段以及CIDR表示法的互相转换。每类都有明确的步骤和公式只要训练几道题就能熟练。4.1 IPv4地址分类与特殊地址IPv4地址是32位二进制每8位一组转为十进制。A类地址第一字节范围1到126默认掩码/8用于超大规模网络B类128到191掩码/16C类192到223掩码/24D类224到239用于组播E类240到255保留研究。这个分类判断虽然简单但我建议你不要只背范围而要明白它与默认掩码的关系A类前8位是网络位B类前16位是网络位C类前24位是网络位。特殊地址里考试概率最大的是这三类第一地址127.0.0.1代表本机环回地址第二169.254.x.x是Windows主机无法从DHCP获取地址时的自动专用地址看到它说明DHCP可能出了问题第三私有地址段——10.0.0.0/8、172.16.0.0/12、192.168.0.0/16这些地址只能在内网使用不能直接上公网。如果题目给了一个私有IP让你判断能否作为公网路由源地址答案自然是否定的。4.2 子网划分计算的标准动作子网划分的本质就是从主机位里借出若干位作为子网号。考试常给一个标准地址和一个子网掩码让你求某个地址所属的网络地址、广播地址和可用地址范围。我的做法分三步第一步把子网掩码写成二进制找出从第几位开始是主机位第二步把IP地址与掩码做按位与得到网络地址第三步把主机位全部置1得到广播地址第四步网络地址加1是第一个可用地址广播地址减1是最后一个可用地址。举个例子IP地址192.168.10.130子网掩码255.255.255.192。掩码的最后一个字节192对应二进制11000000说明最后8位里前两位是子网位后6位是主机位。IP地址的最后一个字节130对应10000010与11000000做按位与得到10000000即128。所以网络地址是192.168.10.128广播地址把后6位置1得10111111即191可用范围是129到190中间一共有62个可用主机数。这个计算熟练之后20秒就能出答案。子网掩码还有一个快速换算技巧/26等价于255.255.255.192/27等价于255.255.255.224/28等价于255.255.255.240。你不需要每次都去转换二进制直接记住几个常用CIDR对应的掩码和主机数即可。但记住每个子网可用的主机数是2^n - 2其中n是主机位位数减去的是网络地址和广播地址。4.3 子网聚合与划分方向问题有时候题目会反着考给你几个子网让你求路由聚合后的地址。聚合的规则是取多个子网共同的最长相同前缀。比如192.168.1.0/24和192.168.2.0/24聚合时前24位中有23位相同从第24位开始不同所以聚合后的前缀是/23网络地址是192.168.0.0。要注意聚合前子网得是连续的且大小一致否则不能用简单的相同前缀法。另一个常见坑是可变长子网掩码。比如给你一个172.16.0.0/16让你先划分出容纳4000台主机的子网再从剩余空间划分子网给300台主机使用。这种题的关键是永远从最大的子网开始划分保证剩余空间完整。4000台主机需要2^124096但12位主机位只能有4094个可用刚好满足4000所以掩码是/20余下从172.16.16.0/20继续往下切。这种由大到小的次序感是VLSM计算的核心思路。IPv6虽然考得少但也需要了解基本形态128位地址冒号十六进制表示每16位一组共8组连续零可以使用::压缩一次。IPv6没有广播地址取而代之的是任播和组播。考试最多出一道IPv6地址长度是几位的送分题别在细节上花费太多时间。5. 网络设备与IP配置小型局域网那些必考的常识5.1 集线器、交换机、路由器到底有什么本质差异这一块属于你以为是常识、做选择题却常错的地方。集线器工作在物理层它所有端口共享带宽收到信号直接广播到所有端口毫无智能可言所以现在基本退出了组网场景。交换机工作在数据链路层它维护MAC地址表通过MAC地址只把数据帧转发到对应端口。路由器工作在网络层依靠IP地址做跨网段转发是连接不同网络的核心设备。考试里最常见的命题角度是当PC-A和PC-B在同一个交换机上PC-C在另一个网段PC-A访问PC-C时经过哪些设备答案是一定要经过路由器而交换机可能在同一个广播域内起着透明转发的作用。还有一类题问交换机会隔离冲突域还是广播域——交换机隔离冲突域但不隔离广播域这也是N个考生反复踩的坑。5.2 一个命令排查两类故障场景上午题偶尔会把Linux或Windows的ipconfig、ping、traceroute拉出来考。最常见的考点有三个第一ping 127.0.0.1检查本机协议栈第二ping本机IP检查网卡是否正常第三ping网关检查局域网连通性。这里的逻辑是从底层到上层逐层排除考试可能故意改变顺序让你判断错误的排查方法是什么。比如有一道经典题主机能ping通自己也能ping通网关但ping不通远程服务器可能原因是什么答案方向有两种一是远程服务器的防火墙屏蔽了ICMP请求二是本机到远程路由途中存在访问控制策略。注意只要网关能通就说明本机到路由器这一段物理链路和IP配置基本正常。问题在出口之后不要再怀疑自己电脑的网卡。另一种故障是DNS解析问题浏览器能通过IP地址访问公网服务器但输入域名打不开网页这种十有八九是DNS配置错误或DNS服务不可用。考试要把这一步和网线没插好分开前者是应用层的问题后者是物理层的问题考查你按层次定位故障的能力。5.3 DHCP与DNS的常见考题DHCP的工作流程常被概括为四个阶段发现DISCOVER、提供OFFER、选择REQUEST、确认ACK。题目考得最多的是客户端通过哪种报文来广播寻找DHCP服务器答案是DISCOVER广播包。为什么是广播因为客户端不知道服务器在哪必须向全网广播。等到后续请求阶段客户端会再次广播REQUEST用来告知服务器挑选结果同时通知未选中的服务器释放地址资源。DNS在选择题里则更倾向考记录类型A记录是域名到IPv4地址AAAA记录是域名到IPv6地址MX记录是邮件交换记录CNAME是别名记录NS是域名服务器记录。考试只要给你一个场景比如需要为域名添加一个用于指定邮件服务器的记录对应MX记录即可。平时自己搭过DNS的人会觉得这很简单没搭过的就会在A和MX之间犹豫所以建议非网络方向的考生花二十分钟用本机hosts加nslookup体验一下主机的解析流程。6. 安全基石加密算法与数字签名怎么选信息安全这部分上午题的分值约有2到3分内容却非常密集。我复习时最大的感受是它其实不是靠背算法名而是靠理清加密、签名、摘要这三件事的语义边界。一旦边界清楚了无论题目怎么绕都能接住。6.1 对称加密、非对称加密与哈希的三类区分对称加密的特点是加密解密用同一把密钥优点是快适合大量数据缺点是密钥分发困难。常见算法有DES、3DES、AES其中AES是当前的主流DES由于密钥长度太短已被淘汰。非对称加密是公钥加密、私钥解密或者私钥签名、公钥验签优点是密钥管理相对容易缺点是慢。常见算法有RSA、ECC。哈希算法则没有密钥它把任意长度的输入压缩成固定长度的摘要不可逆用于验证完整性。常见算法有MD5、SHA-1、SHA-256其中MD5和SHA-1已经不再认为是安全的。把这个梳理成表之后选择题里以下哪个是对称加密算法这类题基本就是白送。但出题人不会总这么善良更多时候是给一个应用场景让你选合适的算法。比如大量文件内容需要加密存储选AES因为性能高需要在不安全信道交换会话密钥选RSA需要确认文件是否被篡改选SHA-256。场景题比直接问算法分类更能锻炼你的判断力。6.2 公钥体系与数字签名的完整流程数字签名解决两个问题身份认证与抗抵赖。签名的动作是发送方用自己的私钥对消息摘要进行加密验证的动作是接收方用发送方的公钥解密并比对消息摘要是否一致。这里特别容易混淆——很多人记成公钥加密、私钥解密就直接套到签名上来结果方向全反。记住一个原则谁要证明自己谁用私钥别人要验证你用你的公钥。密钥的使用方向完全由身份认证的需求反向推导出来。数字证书则是把公钥和持有者信息绑定在一起由CA签发的电子文件。证书内容包括版本号、序列号、签名算法、颁发者、有效期、公钥信息等。考试问数字证书的主要作用时核心就是绑定公钥与身份防止中间人篡改公钥。如果你正在看得头疼可以类比身份证证书就是网络世界的身份证里面写着这个公钥属于谁而CA就是发证机构。6.3 谈到加密必须避开的几个概念坑第一坑是加密算法强度等于密钥长度的绝对化。DES的56位密钥确实弱但AES-128在可预见的未来仍算安全实际强度还取决于实现是否正确。选择题只需要你进行常规判断不要过分推演。第二坑是哈希和加密被混为一谈。哈希不可逆的所以它不能用来解密只能用于完整性校验和存比对值。比如系统里存储用户口令规范做法是加盐后做哈希而不是直接存明文密码也不是用对称加密后再存——因为加密可逆数据库泄露后密钥若一起被窃取明文就暴露了。这个逻辑在考题中常以用户口令安全存储方式的形式出现。第三坑是数字信封的概念。数字信封是非对称加密与对称加密的合体发送方用对称密钥加密数据再用接收方的公钥加密这个对称密钥然后把密文和加密后的密钥一起发送。接收方先用私钥解出对称密钥再用对称密钥解密数据。这样兼顾了非对称加密的分发安全和对称加密的传输效率。考试一般不要求你画出完整流程但必须要能看出它结合了两类算法这一核心特征。7. 常见安全攻击与防御策略案例题怎么答7.1 从攻击特征识别威胁类型信息安全选择题的另一种考法是给一个攻击过程的描述让你判断它属于哪种攻击。这几年最常见的有SYN Flood、DDoS、SQL注入、跨站脚本攻击XSS、跨站请求伪造CSRF、ARP欺骗、中间人攻击和暴力破解。每个攻击的识别关键要抓住它利用了哪一层、什么漏洞。SYN Flood通过大量发送SYN但不完成三次握手消耗服务器半连接队列资源属于拒绝服务攻击防御思路是启用SYN Cookie、限制半连接数。DDoS多台被控主机同时向目标发送海量请求带宽和资源耗尽防御思路是流量清洗、限速、黑洞路由。SQL注入攻击者在输入框提交恶意SQL语句使后端拼接出危险查询防御思路是用参数化查询和预编译语句。XSS攻击者把脚本注入网页中其他用户浏览时脚本执行从而窃取Cookie或伪造内容。防御思路是对输入输出做过滤和转义。CSRF借助受害者的已认证身份诱导浏览器向服务端发送伪造请求。防御思路是加CSRF Token、校验Referer头。ARP欺骗伪造IP与MAC的对应关系让数据帧被错误转发到攻击者处防御思路是配置静态ARP表或使用端口安全。中间人攻击攻击者在通信双方之间拦截或篡改数据常见于不安全的WiFi环境防御思路是使用HTTPS并验证证书。针对每一种攻击判断依据是攻击者做了什么。比如题干里出现不断发送TCP连接请求但不建立连接要是你还犹豫是不是DDoS就抓错了主特征。考试选项里常把多种攻击的细节混在一起稳赢的做法是读完题干先定位发生在传输层还是应用层针对的是合法性还是完整性再对照上面的分类。7.2 安全防护的纵深层次答题时你经常会被问到下面哪个措施能有效防御XX之类的问题。我的建议是不要一条条背而是建立纵深防御的层次感物理层靠门禁和硬件防篡改数据链路层靠端口安全和MAC绑定网络层靠防火墙ACL和入侵检测系统传输层靠TLS加密应用层靠WAF、身份认证、输入校验。哪个层次的攻击就用哪个层次的手段跨层次的手段往往不能直接解决问题。例如SQL注入发生在应用层防火墙ACL主要工作在网络层和传输层若不启用应用层检测策略很难拦截所以最优解是参数化查询。这个逻辑比记住解题答案更稳因为出题人完全可能换一层包装。纵深防御还有一个老生常谈却重要的原则最小权限。无论是系统账号还是服务权限只用给完成任务所需的最小范围。这个原则几乎年年出现在上午题的多选或单选选项里它不只针对网络还针对操作系统、数据库和应用程序。7.3 历年案例题的最常见切入角度下午案例题如果出现安全方向通常会给出一个小型局域网拓扑和一段服务器配置让考生指出存在的安全风险并提出加固建议。常见风险点包括使用Telnet明文远程管理、防火墙规则过于宽松、存在默认口令、不关闭不必要服务、缺少日志审计。作答时不需要写特别高深的渗透思路只需要逐条对应风险给措施Telnet换成SSH、开启防火墙并配置最小策略、修改默认口令、关闭未使用端口和服务、开启日志集中管理与定期审计。这些是拿满分的标准答案写的时候注意逻辑顺序——先指出风险在哪再写具体操作最后说明作用。工程习惯越好得分越稳。如果你连防火墙的两种工作模式都还没分清这里补充一句最核心的区别包过滤防火墙工作在网络层速度快但不关心应用内容应用层网关代理防火墙工作在应用层能检查内容但性能开销更大。现在的下一代防火墙基本都具备双模能力考试中如果只出现根据IP和端口进行过滤你优先选包过滤。8. 备考策略与高频丢分点复盘8.1 按优先级排复习顺序这章的复习不要从头逐页啃教材我的顺序是先攻IP与子网划分因为它确定性最强练熟就能拿分再攻分层模型和协议因为它们覆盖题目最多然后看加密与签名最后过一遍安全攻击与设备配置。配置命令部分如果时间紧张可以只掌握常考的那几条排查命令和防火墙概念没必要深入命令行细节。每天投入的时间建议控制在四十分钟到一小时连续一周就能把知识点轮一遍。做过模拟题的都知道协议和端口的记忆衰减非常快周三背完周六忘掉很正常所以一定要做间隔复习。我的做法是在手机备忘录里放一张协议端口速查表午休时扫两遍坚持到考前一周基本就不会再混了。8.2 高频丢分点Top 5我自己复习时通过刷错题总结了五个容易丢分的点写下来给你排雷TCP与UDP的应用判断。FTP控制连接使用哪个协议这种题不难但流媒体直播为什么用UDP而不是TCP很多人会把可靠传输这类优点错套上去。答题时先看应用是否允许丢包。私有地址范围记混。172.16.0.0/12的范围是172.16.0.0到172.31.255.255常有人把它和172.16.0.0/16搞混。给定一个172.20.x.x地址它属于私有地址可以出现在内网环境中。网络号与广播号排序。可用主机数是2^n - 2这个减2减的是网络地址和广播地址。老有人只减一个或者把地址段写成从网络地址本身开始这是计算题中最明显的失分点。数字签名方向搞反。私钥签名、公钥验签这个方向一旦记错后面的流程题全乱。我用口诀私签公验公加私解来区分加密和签名。网络安全知识里混淆加密与摘要。比如为校验下载文件的完整性选MD5而不是选RSA这类题选错就非常可惜。8.3 考前两天的快速记忆法最后两天不必再刷新题这时候最适合做归纳表。我建议你亲手画一张大表左边是网络分层中间写每层的设备、协议、典型故障右边写与安全相关的攻击类型。这张表的制作过程本身就是一次主动回忆比你反复看别人的总结要有用得多。针对端口号这类纯粹的记背型内容我还有一个取巧的经验把21、22、23、25、53、80、110、143、443这些数字按从边缘服务到基础设施的顺序读几遍然后用如何给一个没有域名的服务器配置服务这种小场景把每个端口串起来。场景记忆比孤立记忆持久考场上给你一个具体的管理动作你就能条件反射地想到对应端口和协议。信息安全部分同理你可以在脑中模拟一条攻击链攻击者先用端口扫描发现开放了23端口尝试暴力破解获取口令然后登入服务器关闭日志并植入后门最后利用这台机器对内网进行ARP欺骗。把这个故事里每一步涉及的概念——暴力破解、Telnet明文风险、日志审计、ARP欺骗——串一遍选择题里碰到任何一个环节你都能快速定位这比我给你整理十遍重点都管用。这个考点本身不复杂但信息密度高。别贪多求全把高频知识点按上面几个模块消化到位再配合每天十道左右的练习题保持手感考试时这8分左右完全可以直接拿下。万一在做模拟题时发现自己哪个部分反复错不要急着刷新题先回到对应的模块把概念和计算步骤重新写一遍你会发现第二次做同样的题速度会快很多正确率也更高。备考最忌看着都会、做题就废所以动手算、动笔写、口头复述才是真正的提分动作。