IP协议依据IP头中的目的地址项来发送IP数据包。如果目的地址是本地网络内的地址，该IP包就被直接发送到目的地。如果目的地址不在本地网络内，该IP包就会被发送到网关，再由网关决定将其发送到何处。这是IP路由IP包的方法。我们发现IP路由IP包时对IP头中提供的IP源地址不做任何检查，并且认为IP头中的IP源地址即为发送该包的机器的IP地址。当接收到该包的目的主机要与源主机进行通讯时，它以接收到的IP包的IP头中IP源地址作为其发送的IP包的目的地址，来与源主机进行数据通讯。IP的这种数据通讯方式虽然非常简单和高效，但它同时也是IP的一个安全隐患，很多网络安全事故都是因为IP这个的缺点而引发的。
IP的这一安全隐患常常会使TCP/IP网络遭受两类攻击。最常见的一类是DOS（Denial-of-Service）攻击，即服务拒绝攻击。DOS攻击是指攻击者通过网络向被攻击主机发送特定的数据包，而使被攻击主机陷于不能继续提供网络服务的状态。以TCP-SYN FLOODING攻击为例，攻击者向被攻击主机发送许多TCP- SYN包。这些TCP-SYN包的源地址并不是攻击者所在主机的IP地址，而是攻击者自己填入的IP地址。当被攻击主机接收到攻击者发送来的TCP-SYN包后，会为一个TCP连接分配一定的资源，并且会以接收到的数据包中的源地址（即攻击者自己伪造的IP地址）为目的地址向目的主机发送TCP-（SYN+ACK）应答包。由于攻击者自己伪造的IP地址一定是精心选择的不存在的地址，所以被攻击主机永远也不可能收到它发送出去的TCP-（SYN+ACK）包的应答包，因而被攻击主机的TCP状态机会处于等待状态。如果被攻击主机的TCP状态机有超时控制的话，直到超时，为该连接分配的资源才会被回收。因此如果攻击者向被攻击主机发送足够多的TCP-SYN包，并且足够快，被攻击主机的TCP模块肯定会因为无法为新的TCP连接分配到系统资源而处于服务拒绝状态。并且即使被攻击主机所在网络的管理员监听到了攻击者的数据包也无法依据IP头的源地址信息判定攻击者是谁。不单是TCP-SYN FLOODING攻击者在实施攻击时自己填入伪造的IP源地址，实际上每一个攻击者都会利用IP不检验IP头源地址的特点，自己填入伪造的IP源地址来进行攻击，以保护自己不被发现。
IP的不进行源地址检验常常会使TCP/IP网络遭受另一类最常见的攻击是劫持攻击。即攻击者通过攻击被攻击主机获得某些特权。这种攻击只对基于源地址认证的主机奏效，基于源地址认证是指以IP地址作为安全权限分配的依据。以防火墙为例，一些网络的防火墙只允许本网络信任的网络的IP数据包通过。但是由于IP不检测IP数据包中的IP源地址是否是发送该包的源主机的真实地址，攻击者仍可以采用IP源地址欺骗的方法来绕过这种防火墙。另外有一些以IP地址作为安全权限分配的依据的网络应用，很容易被攻击者使用IP源地址欺骗的方法获得特权，从而给被攻击者造成严重的损失。
解决方法：这一IP本身的缺陷造成的安全隐患目前是无法从根本上消除的。我们只能采取一些弥补措施来使其造成的危害减少到最小的程度。防御这种攻击的最理想的方法是：每一个连接局域网的网关或路由器在决定是否允许外部的IP数据包进入局域网之前，先对来自外部的IP数据包进行检验。如果该IP包的IP源地址是其要进入的局域网内的IP地址，该IP包就被网关或路由器拒绝，不允许进入该局域网。这种方法虽然能够很好的解决问题，但是考虑到一些以太网卡接收它们自己发出的数据包，并且在实际应用中局域网与局域网之间也常常需要有相互的信任关系以共享资源，这种方案不具备较好的实际价值。另外一种防御这种攻击的较为理想的方法是当IP数据包出局域网时检验其IP源地址。即每一个连接局域网的网关或路由器在决定是否允许本局域网内部的IP数据包发出局域网之前，先对来自该IP数据包的IP源地址进行检验。如果该IP包的IP源地址不是其所在局域网内部的IP地址，该IP包就被网关或路由器拒绝，不允许该包离开局域网。这样一来，攻击者至少需要使用其所在局域网内的IP地址才能通过连接该局域网的网关或路由器。如果攻击者要进行攻击，根据其发出的IP数据包的IP源地址就会很容易找到谁实施了攻击。因此建议每一个ISP或局域网的网关路由器都对出去的IP数据包进行IP源地址的检验和过滤。如果每一个网关路由器都做到了这一点，IP源地址欺骗将基本上无法奏效。在当前并不是每一网关及路由器都能做到这一点的情况下，网络系统员只能将自己管理的网络至于尽可能严密的监视之下，以防备可能到来的攻击。
重组IP分段包超长及其解决方法
国际互联网是由许许多多的网络连接在一起而构成的。这些相互连接在一起的网络往往拥有不同的最大传输单元（MTU）。为了使IP数据包能够在MTU不同的网络之间无差错传递，IP提供了对IP数据包进行分段和重组的功能。即为了将IP数据包发往MTU较小的网络，IP以目的网络的MTU为IP包的最大包长，将本地生成的较大的IP数据包分成若干个分段，发往目的主机。当这些IP分段数据包到达目的主机的IP时，目的主机的IP发现到来的IP数据包不是一个完整的数据包，就会将这些IP数据包先缓冲起来，一旦这些IP数据包全部到齐，IP就将这些IP数据包组合成一个完整的IP数据包，交给上层协议处理。IP头的标识域（Identification field ）、协议域（Protocol field）、源地址域（Source addreee field）、目的地址域（destination address field）这四个域可用来唯一标识同属于一个完整的IP数据包的所有IP分段数据包。IP头中的标志域（Flag field）的DF位表示是否允许分段，MF位表示该IP数据包是否是一个IP分段数据包。IP头的分段偏移域（Fragment offset field）表示该分段在完整IP包中的位置。IP就是根据这六个域来对IP数据包进行分段和重新组合的。重新组合的过程是将所有标志域的MF位为1的同属于一个完整IP包的IP分段合并成一个IP包，直收到最后一个MF位为0的IP分段。重新组合而成的IP数据包长度由各个IP分段的数据长度累加而成。IP头中的数据包长度域只有16位，这就限制了IP包的长度最大为65535。如果到来的IP分段的累加长度大于65535，而IP又没有进行检查，IP会因溢出而处于崩溃或不能继续提供服务的状态。通常情况下不会出现这种情况，但是常常有攻击者利用这样的隐患发动攻击，很多网络操作系统都有这种隐患。著名的Ping攻击就是利用这一安全隐患进行攻击的。Ping是一个用来诊断网络状况的常用诊断程序，它实际上是依据互联网控制报文协议，通过向目的主机发送类型为请求响应（ECHO_REQUEST）的ICMP包，如果目的主机的ICMP模块接收到该包，会向源主机发回一个类型为响应回答（ECHO_RESPONSE）的ICMP包。如果在规定的时间内ICMP响应回答包没有返回，ping就超时显示目的地址不可到达。Ping攻击也是向被攻击主机发送请求响应包，但是请求响应包是由攻击者手工生成的一系列IP分段数据包构成，并且这一系列IP分段数据包的累加和大于65535。其目的是造成目的主机的IP对这些IP分段数据包进行重新组合，使其面对如何处理长度大于65535的IP包这一不正常情况。
解决方法：重组IP数据分段时，要加入对大于65535的IP包的判断和处理。如果发现已经收到的IP分段数据包的累计长度已经大于65535，则将已经收到的IP分段数据包全部丢弃，并且释放它们所占的资源。
广义的讲,IC就是半导体元件产品的统称,包括:
1.集成电路(integrated circuit,缩写:IC)
2.二,三极管.
3.特殊电子元件.
再广义些讲还涉及所有的电子元件,象电阻,电容,电路版/PCB版,等许多相关产品.
一、世界集成电路产业结构的变化及其发展历程
自1958年美国德克萨斯仪器公司(TI)发明集成电路（IC）后，随着硅平面技术的发展，二十世纪六十年代先后发明了双极型和MOS型两种重要的集成电路，它标志着由电子管和晶体管制造电子整机的时代发生了量和质的飞跃，创造了一个前所未有的具有极强渗透力和旺盛生命力的新兴产业集成电路产业。
回顾集成电路的发展历程，我们可以看到，自发明集成电路至今40多年以来，"从电路集成到系统集成"这句话是对IC产品从小规模集成电路（SSI）到今天特大规模集成电路（ULSI）发展过程的最好总结，即整个集成电路产品的发展经历了从传统的板上系统（System-on-board）到片上系统（System-on-a-chip）的过程。在这历史过程中，世界IC产业为适应技术的发展和市场的需求，其产业结构经历了三次变革。
第一次变革：以加工制造为主导的IC产业发展的初级阶段。
70年代，集成电路的主流产品是微处理器、存储器以及标准通用逻辑电路。这一时期IC制造商（IDM）在IC市场中充当主要角色，IC设计只作为附属部门而存在。这时的IC设计和半导体工艺密切相关。IC设计主要以人工为主，CAD系统仅作为数据处理和图形编程之用。IC产业仅处在以生产为导向的初级阶段。
第二次变革：Foundry公司与IC设计公司的崛起。
80年代，集成电路的主流产品为微处理器（MPU）、微控制器（MCU）及专用IC（ASIC）。这时，无生产线的IC设计公司（Fabless）与标准工艺加工线（Foundry）相结合的方式开始成为集成电路产业发展的新模式。
随着微处理器和PC机的广泛应用和普及（特别是在通信、工业控制、消费电子等领域），IC产业已开始进入以客户为导向的阶段。一方面标准化功能的IC已难以满足整机客户对系统成本、可靠性等要求，同时整机客户则要求不断增加IC的集成度，提高保密性，减小芯片面积使系统的体积缩小，降低成本，提高产品的性能价格比，从而增强产品的竞争力，得到更多的市场份额和更丰厚的利润；另一方面，由于IC微细加工技术的进步，软件的硬件化已成为可能，为了改善系统的速度和简化程序，故各种硬件结构的ASIC如门阵列、可编程逻辑器件（包括FPGA）、标准单元、全定制电路等应运而生，其比例在整个IC销售额中1982年已占12％；其三是随着EDA工具（电子设计自动化工具）的发展，PCB设计方法引入IC设计之中，如库的概念、工艺模拟参数及其仿真概念等，设计开始进入抽象化阶段，使设计过程可以独立于生产工艺而存在。有远见的整机厂商和创业者包括风险投资基金（VC）看到ASIC的市场和发展前景，纷纷开始成立专业设计公司和IC设计部门，一种无生产线的集成电路设计公司（Fabless）或设计部门纷纷建立起来并得到迅速的发展。同时也带动了标准工艺加工线（Foundry）的崛起。全球第一个Foundry工厂是1987年成立的台湾积体电路公司，它的创始人张忠谋也被誉为"晶芯片加工之父"。
第三次变革："四业分离"的IC产业
90年代，随着INTERNET的兴起，IC产业跨入以竞争为导向的高级阶段，国际竞争由原来的资源竞争、价格竞争转向人才知识竞争、密集资本竞争。以DRAM为中心来扩大设备投资的竞争方式已成为过去。如1990年，美国以Intel为代表，为抗争日本跃居世界半导体榜首之威胁，主动放弃DRAM市场，大搞CPU，对半导体工业作了重大结构调整，又重新夺回了世界半导体霸主地位。这使人们认识到，越来越庞大的集成电路产业体系并不有利于整个IC产业发展，"分"才能精，"整合"才成优势。于是，IC产业结构向高度专业化转化成为一种趋势，开始形成了设计业、制造业、封装业、测试业独立成行的局面（如下图所示），近年来，全球IC产业的发展越来越显示出这种结构的优势。如台湾IC业正是由于以中小企业为主，比较好地形成了高度分工的产业结构，故自1996年，受亚洲经济危机的波及，全球半导体产业出现生产过剩、效益下滑，而IC设计业却获得持续的增长。
特别是96、97、98年持续三年的DRAM的跌价、MPU的下滑，世界半导体工业的增长速度已远达不到从前17％的增长值，若再依靠高投入提升技术，追求大尺寸硅片、追求微细加工，从大生产中来降低成本，推动其增长，将难以为继。而IC设计企业更接近市场和了解市场，通过创新开发出高附加值的产品，直接推动着电子系统的更新换代；同时，在创新中获取利润，在快速、协调发展的基础上积累资本，带动半导体设备的更新和新的投入；IC设计业作为集成电路产业的"龙头"，为整个集成电路产业的增长注入了新的动力和活力。
二、IC的分类
IC按功能可分为：数字IC、模拟IC、微波IC及其他IC，其中，数字IC是近年来应用最广、发展最快的IC品种。数字IC就是传递、加工、处理数字信号的IC，可分为通用数字IC和专用数字IC。
通用IC：是指那些用户多、使用领域广泛、标准型的电路，如存储器（DRAM）、微处理器（MPU）及微控制器（MCU）等，反映了数字IC的现状和水平。
专用IC（ASIC）：是指为特定的用户、某种专门或特别的用途而设计的电路。
目前，集成电路产品有以下几种设计、生产、销售模式。
1．IC制造商（IDM）自行设计，由自己的生产线加工、封装，测试后的成品芯片自行销售。
2．IC设计公司（Fabless）与标准工艺加工线（Foundry）相结合的方式。设计公司将所设计芯片最终的物理版图交给Foundry加工制造，同样，封装测试也委托专业厂家完成，最后的成品芯片作为IC设计公司的产品而自行销售。打个比方，Fabless相当于作者和出版商，而Foundry相当于印刷厂，起到产业"龙头"作用的应该是前者。
主机名和域名的联系与区别如下：
1、Internet域名是Internet网络上的一个服务器或一个网络系统的名字,在全世界,没有重复的域名。域名的范围要比主机名大。一个域名下可以有多个主机名,域名下还可以有子域名。例如,域名cnwg.cn下,有主机server1和server2,其主机全名就是server1.cnwg.cn和server2.cnwg.cn
2、主机名的含义是机器本身的名字，域名是方面记录IP地址才做的一种IP映射；二者有共性：都能对应到一个唯一的IP上，从应用场景上可以这么简单理解二者的区别：主机名用于局域网中；域名用于公网中。
域名结构：
域名由两个或两个以上的词构成，中间由点号分隔开。最右边的那个词称为顶级域名。
举例：
（1）、COM--用于商业机构。它是最常见的顶级域名。任何人都可以注册.COM 形式的域名。
（2）、.NET--最初是用于网络组织，例如因特网服务商和维修商。任何人都可以注册以.NET结尾的域名。
欢迎分享，转载请注明来源：夏雨云
微信扫一扫
支付宝扫一扫
评论列表（0条）