面试中计算机网络是面试官最考察的内容之一。 请务必掌握以下20个问题哦。

谈

网络分层

1、OSI七层、TCP/IP四层的关系和区别？

OSI层从下到上依次为物理层、数据链路层、网络层、传输层、会议层、呈现层、APP应用层。 从一张图中可以看出：

(照片来自网络)

TCP/IP的4层从下到上依次为网络接口层、网络层、传输层、APP应用层。 与OSI层的映射关系如下。

特点：

层间相互独立，依赖于上层，下层为了服务于上层而敲击黑板： TCP/IP四层是OSI七层的简化版，已经成为事实上的国际标准。

TCP/IP

2、TCP和UDP的区别是什么？

的比较图：

总结

TCP向上层提供面向连接的可靠服务，而UDP向上层提供无连接的不可靠服务。 虽然UDP没有TCP传输的可靠性，但是在要求实时性的地方可以做到。 如果对数据准确性要求高，速度比较慢，可以选择TCP。 3、TCP如何实现数据的可靠性？

总之，通过校验和、序列号、确认响应、超时重发、连接管理、流量控制、拥塞控制等机制来保证可靠性。

)1)校验和

在数据传输过程中，所有发送的数据段都被视为16位整数，并将这些整数相加。 另外，不能放弃前面的进位。 最后添加，反过来获取校验和。

发送方：在发送数据之前计算校验和，进行校验和的嵌入。 接收方：接收数据后，同样计算数据，求出校验和，与发送方进行比较。

)2)序列号

TCP传输时对各字节的数据进行了编号。 这就是序列号。 序列号的作用不仅仅是响应的作用。 如果有序列号，就可以按照序列号对接收到的数据进行排序，去除重复的数据。

(3)确认响应

在TCP传输过程中，每当接收方接收到数据时，都会向发送方发送确认，即ACK消息。 该ACK消息带有相应的确认序列号，告知发送方接收到了哪些数据，下一个数据从哪里发送。

)4)超时重新发送

在进行TCP传输的情况下，由于存在确认响应和序列号的结构，即在发送侧发送了数据的一部分之后，等待来自接收侧的ACK消息，解析ACK消息，判断数据的传输是否成功。 在发送方发送了数据之后，如果没有及时接收到来自接收方的ACK消息，则重新发送刚发送的数据。

)5)连接管理

握手三次，挥手四次的过程。

)6)流量控制

如果发送端的发送速度过快，则接收端的接收缓冲器已满，如果此时继续传输数据，则会产生大量的丢包，导致丢包的重发等一系列问题。 TCP支持基于接收侧的处理能力来决定发送侧的发送速度，这是流控制机构。

具体而言，接收端将自己的接收缓冲器大小放入TCP报头的“窗口大小”字段中，并通过ACK通知发送端。

(7)拥塞控制

如果在TCP传输过程中从一开始就发送了大量数据，并且当时的网络非常拥堵，则堵车可能会加剧。 因此，TCP导入慢启动机制，在开始数据发送时，先发送少量数据来探索道路。

4、TCP协议如何提高传输效率？

一句话，TCP协议的效率化方式包括窗口的滑动、重发的高速化、响应的延迟、响应的发送等。

(1)滑动窗口

对于每个发送的数据段，如果在收到ACK响应后再发送下一个数据段，我们的效率很低，大部分时间都是用来等待ACK响应的。

为了提高效率，可以一次发送多个数据。 这样可以大大缩短等待时间，从而提高性能。 窗口大小是指不等待确认就可以继续发送数据的最大值。

2 )请重新发送

高速重发也称为高速重发控制。

发生丢包时，需要重新发送。 一般分为以下两种情况。

情况1 )数据包到达，ACK丢失。 在这种情况下，丢失一些ACK没有影响。 因为可以通过后续的ACK确认；

情况2 :数据包直接不见了。 发送侧连续接收到多个相同的ACK确认，发送侧立即重发对应的丢失的数据。

(3)延迟响应

如果

接收数据的主机立刻返回ACK应答，这时候返回的窗口大小可能比较小。

假设接收端缓冲区为1M，一次收到了512K的数据；如果立刻应答，返回的窗口就是512K；但实际上可能处理端处理速度很快，10ms之内就把512K的数据从缓存区消费掉了；在这种情况下，接收端处理还远没有达到自己的极限，即使窗口再放大一些，也能处理过来；如果接收端稍微等一会在应答，比如等待200ms再应答，那么这个时候返回的窗口大小就是1M；

窗口越大，网络吞吐量就越大，传输效率就越高；我们的目标是在保证网络不拥塞的情况下尽量提高传输效率。

（4）捎带应答

在延迟应答的基础上，很多情况下，客户端服务器在应用层也是一发一收的。这时候常常采用捎带应答的方式来提高效率，而ACK响应常常伴随着数据报文共同传输。如：三次握手。

5、你知道 TCP 如何处理拥塞吗？

网络拥塞现象是指到达通信网络中某一部分的分组数量过多，使得该部分网络来不及处理，以致引起这部分乃至整个网络性能下降的现象，严重时甚至会导致网络通信业务陷入停顿，即出现死锁现象。拥塞控制是处理网络拥塞现象的一种机制。

拥塞控制的四个阶段:

慢启动拥塞避免快速重传快速恢复

6、讲一下三次握手和四次挥手全过程

三次握手的过程给面试官甩一张图：

四次挥手的过程再给面试官甩一张图：

7、为什么 TCP 链接需要三次握手，两次不可以么，为什么？

两次握手只能保证单向连接是畅通的

第一步，客户端给服务端发送一条消息：你好，服务端。第二步，服务端收到消息，同时给客户端回复一条消息：收到！你好客户端。

这样的两次握手过程， 客户端给服务端打招呼，服务端收到了，说明客户端可以正常给服务端发送数据。但是服务端给客户端打招呼，服务端没有收到反馈，也就不能确保服务端是否能正常给客户端发送消息。

只有经过第三次握手，才能确保双向都可以接收到对方的发送的数据 第三步，客户端收到服务端发送的消息，回复：收到！这样就证明了客户端能正常收到服务端的消息。

8、IP地址是怎样分类的，你知道吗？

先说一下 IP 的基本特点：

IP地址由四段组成，每个字段是一个字节，8位，最大值是255。IP地址由两部分组成，即网络地址和主机地址。网络地址表示其属于互联网的哪一个网络，主机地址表示其属于该网络中的哪一台主机。

IP 地址主要分为A、B、C三类及特殊地址D、E这五类，甩一张图：

A类：(1.0.0.0-126.0.0.0)一般用于大型网络。

B类：(128.0.0.0-191.255.0.0)一般用于中等规模网络。

C类：(192.0.0.0-223.255.255.0)一般用于小型网络。

D类：是多播地址，地址的网络号取值于224~239之间，一般用于多路广播用户。

E类：是保留地址。地址的网络号取值于240~255之间。

HTTP协议

9、讲一下 http1.1 和 http2 有什么区别？

HTTP1.1

持久连接请求管道化增加缓存处理（新的字段如cache-control）增加 Host 字段、支持断点传输等

HTTP2.0

二进制分帧多路复用（或连接共享）头部压缩服务器推送

10、说说 HTTP 和HTTPS 的区别？

（1）HTTPS 协议需要到 CA 申请证书，一般免费证书较少，因而需要一定费用。（2）HTTP 是超文本传输协议，信息是明文传输，HTTPS 则是具有安全性的 SSL 加密传输协议。（3）HTTP 和 HTTPS 使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。（4）HTTP 的连接很简单，是无状态的；HTTPS 协议是由 SSL+HTTP 协议构建的可进行加密传输、身份认证的网络协议，比 HTTP 协议安全。

11、你知道对称加密和非对称加密的区别和原理吗？

对称密钥加密是指加密和解密使用同一个密钥的方式，这种方式存在的最大问题就是密钥发送问题，即如何安全地将密钥发给对方;

而非对称加密是指使用一对非对称密钥，即公钥和私钥，公钥可以随意发布，但私钥只有自己知道。发送密文的一方使用对方的公钥进行加密处理，对方接收到加密信息后，使用自己的私钥进行解密。

由于非对称加密的方式不需要发送用来解密的私钥，所以可以保证安全性；但是和对称加密比起来，它比较慢，所以我们还是要用对称加密来传送消息，但对称加密所使用的密钥我们可以通过非对称加密的方式发送出去。

12、常见的状态码有哪些?

1×× : 请求处理中，请求已被接受，正在处理

2×× : 请求成功，请求被成功处理 200 OK

3×× : 重定向，要完成请求必须进行进一步处理 301 : 永久性转移 302 ：暂时性转移 304 ：已缓存

4×× : 客户端错误，请求不合法 400：Bad Request,请求有语法问题 403：拒绝请求 404：客户端所访问的页面不存在

5×× : 服务器端错误，服务器不能处理合法请求 500 ：服务器内部错误 503 ：服务不可用，稍等

13、http中常见的header字段有哪些？

cookie，请求时传递给服务端的cookie信息 set-cookie，响应报文首部设置要传递给客户端的cookie信息 allow，支持什么HTTP方法 last-modified，资源的最后修改时间 expires,设置资源缓存的失败日期 content-language，实体的资源语言 content-encoding，实体的编码格式 content-length，实体主体部分的大小单位是字节 content-range，返回的实体的哪些范围 content-type，哪些类型 accept-ranges，处理的范围请求 age，告诉客户端服务器在多久前创建了响应 vary，代理服务器的缓存信息 location，用于指定重定向后的URI If-Match，值是资源的唯一标识 User-Agent，将创建请求的浏览器和用户代理名称等信息传递给服务器 Transfer-Encoding，传输报文的主体编码方式 connection，管理持久连接，keep-alive , close Cache-Control，控制浏览器的强缓存

14、Get与POST的区别

（1）GET 一般用来从服务器上获取资源，POST 一般用来创建资源；

（2）GET 是幂等的，即读取同一个资源，总是得到相同的数据，而 POST 不是幂等的。GET 不会改变服务器上的资源，而 POST 会对服务器资源进行改变；

（3）从请求参数形式上看，GET 请求的数据会附在URL之后；而 POST 请求会把提交的数据则放置在是HTTP请求报文的请求体中。

（4）POST 的安全性要比 GET 的安全性高，因为 GET 请求提交的数据将明文出现在 URL 上，而 POST 请求参数则被包装到请求体中，相对更安全。

（5）GET 请求的长度受限于浏览器或服务器对URL长度的限制，允许发送的数据量比较小，而POST请求则是没有大小限制的。

15、DNS 的寻址过程你知道吗？

（1）在浏览器中输入www.baidu.com域名，操作系统会先检查自己本地的 hosts 文件是否有这个网址映射关系，如果有就先调用这个IP地址映射，完成域名解析。

（2）如果 hosts 里没有这个域名的映射，则查找本地 DNS 解析器缓存，是否有这个网址映射关系，如果有直接返回，完成域名解析。

（3）如果 hosts 与本地 DNS 解析器缓存都没有相应的网址映射关系，首先会找 TCP/IP 参数中设置的首选 DNS 服务器，在此我们叫它本地 DNS 服务器，此服务器收到查询时，如果要查询的域名，包含在本地配置区域资源中，则返回解析结果给客户机，完成域名解析，此解析具有权威性。

（4）如果要查询的域名，不由本地 DNS 服务器区域解析，但该服务器已缓存了此网址映射关系，则调用这个 IP 地址映射，完成域名解析，此解析不具有权威性。

（5）如果本地 DNS 服务器本地区域文件与缓存解析都失效，则根据本地 DNS 服务器的设置（是否设置转发器）进行查询，如果未用转发模式，本地 DNS 就把请求发至13台根 DNS ，根 DNS 服务器收到请求后会判断这个域名(.com)是谁来授权管理，并会返回一个负责该顶级域名服务器的一个IP。本地 DNS 服务器收到IP信息后，将会联系负责 .com 域的这台服务器。这台负责 .com 域的服务器收到请求后，如果自己无法解析，它就会找一个管理.com域的下一级DNS服务器地址(baidu.com)给本地 DNS 服务器。当本地 DNS 服务器收到这个地址后，就会找 baidu.com 域服务器，重复上面的动作，进行查询，直至找到 www.baidu.com 主机。

（6）如果用的是转发模式，此 DNS 服务器就会把请求转发至上一级 DNS 服务器，由上一级服务器进行解析，上一级服务器如果不能解析，或找根 DNS 或把转请求转至上上级，以此循环。不管是本地 DNS 服务器用是是转发，还是根提示，最后都是把结果返回给本地 DNS 服务器，由此 DNS 服务器再返回给客户机。

16、在浏览器中输入一个www.baidu.com后执行的全部过程？

总体流程

域名解析 -> 建立TCP连接（三次握手）-> 发起http请求 -> 服务器响应http请求，浏览器得到html代码 -> 浏览器解析html代码，并请求html代码中的资源（如 js、css、图片等）-> 浏览器对页面进行渲染呈献给用户。

17、Session、Cookie 的区别

session 在服务器端，cookie 在客户端（浏览器）session 默认被存储在服务器的一个文件里（不是内存）session 的运行依赖 session id，而 session id 是存在 cookie 中的，也就是说，如果浏览器禁用了 cookie ，同时 session 也会失效（但是可以通过其它方式实现，比如在 url 中传递 session_id）session 可以放在 文件、数据库、或内存中都可以。用户验证这种场合一般会用 session

18、有哪些 web 性能优化技术?

DNS查询优化客户端缓存优化TCP连接避免重定向网络边缘的缓存条件缓存压缩和代码极简化图片优化

网络安全

19、什么是 XSS 攻击？

XSS 即（Cross Site Scripting）中文名称为：跨站脚本攻击。XSS的重点不在于跨站点，而在于脚本的执行。

XSS的原理是：

恶意攻击者在web页面中会插入一些恶意的script代码。当用户浏览该页面的时候，那么嵌入到web页面中script代码会执行，因此会达到恶意攻击用户的目的。

XSS攻击最主要有如下分类：反射型、存储型、及 DOM-based型。反射性和DOM-baseed型可以归类为非持久性XSS攻击。存储型可以归类为持久性XSS攻击。

20、什么是跨站攻击CSRF？

CSRF（Cross Site Request Forgery，跨站域请求伪造）是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一，也被称为『One Click Attack』或者 『Session Riding』，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。

XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

来源：https://mp.weixin.qq.com/s/_ilWHsMN0mr-wTP_n7MJSQ

作者：pgddys