基本的网络知识

2.1 什么是网络区域划分？#

网络区域划分是将网络按照安全级别和访问权限划分为不同的区域，每个区域有不同的安全策略和访问控制规则。这种划分可以有效保护内网核心资源，同时为外部用户提供必要的服务。

2.2 三大网络区域#

2.3 各区域详细说明#

1
场景一：只需 VPN
2
在家办公 → 连接VPN → 访问内网资源
3

4
场景二：VPN + 堡垒机
5
在家办公 → 连接VPN → 通过堡垒机认证 → 访问内网资源

2.3.3 DMZ区域（了解）#

定义：DMZ是介于内网和外网之间的隔离区域，用于放置对外提供服务的服务器。

特点：

• 从外网可以访问DMZ区
• 从DMZ区不能直接访问内网（需要特殊授权）
• 即使DMZ区被攻破，内网仍然安全

典型架构：

DMZ区常见服务：

• Web服务器（Nginx、Apache等）
• API网关
• 邮件服务器
• FTP服务器
• VPN服务器

3.1 IP#

IP地址是网络上设备（网络接口）的唯一标识，类似于我们的家庭地址。通过IP地址，可以找到网络中的某台具体设备。严格来说，IP地址对应的是设备上的网络接口，一台设备可以有多个网卡、多个IP地址。

简单理解：

1
一台主机可以有多个网卡
2
   ↓
3
就像一栋楼可以有多个门
4
   ↓
5
每个网卡对应一个IP地址
6
   ↓
7
就像每个门有一个门牌号
8
   ↓
9
通过门牌号找到门，通过门进入大楼

IP地址分类：

私有IP地址范围（内网使用）：

3.2 端口#

端口是应用程序与网络通信的通道，一个IP地址可以有65535个端口（范围是0-65535，其中0是保留端口，实际常用的是1024以上的端口）。

简单理解：

1
一个IP地址对应一台主机
2
   ↓
3
一台主机可以运行多个应用
4
   ↓
5
每个应用使用不同的端口
6
   ↓
7
通过IP+端口可以找到具体的应用

生活类比：

1
IP地址 = 公司地址（如：北京市朝阳区xx大厦）
2
端口   = 部门/房间号（如：8080房间）
3

4
要找到具体的人，需要：地址 + 房间号
5
要访问具体的应用，需要：IP + 端口

常见服务默认端口：

3.3 域名#

域名就是给 IP 起的更容易记忆的名字。

例如：

• www.baidu.com
• api.test.company.com

因为用户和开发都不方便记 IP，所以通常通过域名访问服务。

3.4 DNS#

DNS 的作用就是： 把域名解析成 IP 地址。

比如你访问：

1
api.test.company.com

系统会先通过 DNS 找到它对应的 IP，然后再去访问目标机器。

DNS 解析顺序（了解）：

1
浏览器缓存
2
  ↓ 未命中
3
操作系统缓存
4
  ↓ 未命中
5
hosts 文件
6
  ↓ 未命中
7
本地 DNS 服务器
8
  ↓ 未命中
9
上级 DNS 服务器（递归查询）
10
  ↓ 最终返回
11
拿到 IP 地址，发起访问

当 ping 域名不通，但 ping IP 能通 时，就可能是域名解析有问题。

3.5 hosts 文件#

hosts 文件可以手动指定“某个域名对应哪个 IP”。

例如：

1
192.168.1.20 api.test.company.com

意思是：访问这个域名时，直接去找这个 IP，不再走 DNS。

常见作用：

• 本地调试
• 临时切换环境
• 测试域名解析问题

注意：如果 hosts 配错了，会导致你访问到错误的服务。

4.1 127.0.0.1#

表示本机回环地址，只能本机访问自己。

服务端角度 — 监听：

如果服务监听在 127.0.0.1:8080，那么只有当前机器自己能访问，其他机器访问不了。 A mysql 127.0.0.1 B

1
服务监听：127.0.0.1:8080
2
   ↓
3
本机能访问：✅
4
其他机器访问：❌

客户端角度 — 访问本地服务：

在本地开发时，你的代码需要连接本机的服务，地址就填 127.0.0.1。这是最常见的用法：

1
# application.yml 连接本地数据库
2
spring:
3
  datasource:
4
    url: jdbc:mysql://127.0.0.1:3306/mydb
5

6
# 连接本地 Redis
7
spring:
8
  redis:
9
    host: 127.0.0.1
10
    port: 6379

4.2 localhost#

通常表示本机，本质上一般会解析到 127.0.0.1。

所以大多数情况下，localhost 和 127.0.0.1 可以理解成一样。

客户端角度 — 访问本地服务：

localhost 和 127.0.0.1 在使用上基本等价，都可以用来访问本机服务：

1
http://localhost:8080/api/test
2
http://127.0.0.1:8080/api/test
3

4
jdbc:mysql://localhost:3306/mydb
5
jdbc:mysql://127.0.0.1:3306/mydb

细微区别（了解即可）：localhost 需要经过 DNS 解析，而 127.0.0.1 是直接写死的 IP。极少数情况下 localhost 可能解析失败，写 127.0.0.1 更稳妥。

4.3 0.0.0.0#

表示监听所有网卡地址。

服务端角度 — 监听：

如果服务监听在 0.0.0.0:8080，那就意味着：

• 本机可以访问
• 局域网其他机器也可以访问
• 外部机器是否能访问，还要看防火墙、安全组、白名单等限制

1
服务监听：0.0.0.0:8080
2
   ↓
3
本机能访问：✅
4
局域网其他机器访问：✅（前提：防火墙放行）
5
外部机器访问：取决于防火墙、安全组等

4.4 两个角度的总结#

注意：0.0.0.0 是监听地址，不是访问地址。你不会在配置文件里写 host: 0.0.0.0 去连接某个服务，它只在服务端启动时指定”监听所有网卡”。

5.1 ping#

作用：测试目标 IP 是否可达。

1
ping 192.168.1.10
2
ping www.baidu.com

说明

• 能 ping 通：说明网络层大概率可达
• 不能 ping 通：说明网络可能不通、被禁 ping、域名解析失败等

注意

ping 通 ≠ 服务可用

因为 ping 只说明 IP 层可能通，不代表应用端口一定通。

5.2 telnet#

作用：测试某个端口能不能连通。

1
telnet 192.168.1.10 3306
2
telnet 192.168.1.20 8080

说明

• 连得上：说明这个端口是通的
• 连不上：可能是服务没启动、端口没监听、防火墙没放行

Windows开启telnet功能：

1
控制面板 → 程序 → 启用或关闭Windows功能
2
→ 勾选"Telnet客户端"
3
→ 确定并等待安装完成

5.3 curl（了解）#

作用：测试 HTTP 接口是否可用。

说明：日常开发中推荐使用 Postman 等图形化工具测试接口。curl 的主要使用场景是 SSH 到服务器上排查问题时，服务器上没有 Postman，只能用命令行。

注意：Windows 10 及以上系统自带 curl，较老系统可安装 Git Bash 后使用。

作用

• 测试 HTTP 接口是否能访问
• 查看响应头、响应体
• 模拟 GET/POST 请求

1
curl http://127.0.0.1:8080

1
curl -i http://127.0.0.1:8080

1
curl -X POST -H "Content-Type: application/json" -d '{"id":1}' http://127.0.0.1:8080/api/test

1
curl -v http://127.0.0.1:8080

1
curl -o /dev/null -s -w '%{http_code}' http://127.0.0.1:8080/api/test

5.4 tracert / traceroute（了解）#

作用：查看数据包经过哪些路由节点到达目标机器。

Windows A B

1
tracert www.baidu.com

Linux

1
traceroute www.baidu.com

场景

当你怀疑网络路径中间某一跳出了问题时，可以用它做辅助排查。

5.5 netstat#

作用：查看端口监听情况。

Windows

1
netstat -ano | findstr 8080

Linux

1
netstat -tunlp | grep 8080

场景

• 查看某端口是否已启动
• 查看端口是否被占用
• 查看服务是否在监听

5.6 lsof#

Linux 中查看端口占用、文件占用很常用。

1
lsof -i :8080

注意：lsof 是 Linux 专属命令，Windows 上没有对应工具，可使用 netstat -ano | findstr 端口号 代替。

场景

排查：

• 端口被谁占用了
• 某服务是不是在监听该端口

5.7 ps / jps#

ps

查看 Linux 进程

1
ps -ef | grep java

jps

查看 Java 进程

1
jps

场景

• 确认 Java 服务是否启动
• 找到对应进程 ID

5.8 kill#

结束进程。

1
kill -15 12345
2
kill -9 12345

注意

• kill -15：正常停止
• kill -9：强制杀死，谨慎使用

6.1 访问控制#

• 访问控制可以理解为：

  控制“谁可以访问谁”、“通过什么方式访问”、“哪些访问要被拦截”的一整套规则。

  对于 Java 开发来说，访问控制并不只是“服务器上有没有开端口”这么简单。 一个请求从源头到目标服务，中间可能会经过多层限制，例如：

  • 服务器本机防火墙
  • 云平台安全组
  • 白名单限制
  • 中间链路上的网络设备或安全策略

  所以你要建立一个意识：

  服务访问不了，不一定是代码问题，也不一定只是目标机器本身的问题，访问链路上的任意一层控制策略都可能拦住请求。

6.2 常见的访问控制位置#

实际工作中，常见的访问控制可能出现在以下几个位置：

1
#查看防火墙状态
2
systemctl status firewalld
3
#关闭防火墙
4
systemctl stop firewalld
5
#重启防火墙
6
systemctl restart firewalld
7
#永久开放端口
8
firewall-cmd --permanent --zone=public --add-port=161/udp
9
firewall-cmd --permanent --zone=public --add-port=3306/tcp
10
#永久关闭端口
11
firewall-cmd --zone=public --remove-port=3306/tcp --permanent
12
#刷新配置，立即生效
13
firewall-cmd --reload
14
#查看防火墙
15
firewall-cmd --zone=public --list-all

1
#查看防火墙状态
2
systemctl status iptables
3
#关闭防火墙
4
systemctl stop iptables
5
#重启防火墙
6
systemctl restart iptables
7
#查看防火墙策略
8
iptables -L
9
#编辑防火墙策略
10
vim /etc/sysconfig/iptables
11
#允许访问3306端口
12
-A INPUT -p tcp  --dport 3306 -j ACCEPT
13
-A OUTPUT -p tcp --sport 3306 -j ACCEPT

1
# 保存规则
2
service iptables save
3
# 或
4
iptables-save > /etc/sysconfig/iptables
5

6
# 重启 iptables 使配置生效
7
systemctl restart iptables

6.2.2 云平台安全组#

如果服务部署在云服务器上，还可能有云平台提供的安全组策略。 即使服务器本机已经开放端口，如果安全组没放开，外部仍然访问不了。

6.3 作为 Java 开发，你最该记住什么#

这一节你不用去背复杂规则，但至少要记住下面这几点：

1）服务访问不了，不一定是代码问题

有可能是：

• 端口没开放
• 防火墙拦截了
• 安全组没放行
• 白名单没加
• 中间链路有墙

2）先确认服务是否真的启动、端口是否监听

比如先查：

1
netstat -tunlp | grep 8080
2
lsof -i :8080

如果服务都没监听，那就不是防火墙问题，而是服务本身没起来。

3）防火墙和安全组可能同时限制访问

你不能只看服务器本机。 如果在云环境里，还要考虑云平台的安全组规则。如果网络中间经过其他有墙的设备，也要考虑这个中间链路设备的墙。

4）生产环境不要随便改防火墙

线上环境改防火墙规则一般要按公司流程走，很多公司由运维统一处理。 你要做的是：

• 能意识到这是排查方向
• 知道怎么和运维沟通
• 能提供清楚的信息：IP、端口、协议、环境

6.4 和运维沟通时怎么说更专业#

比如你可以这样说：

“服务已经正常启动，8080 端口也在监听，本机访问正常。麻烦帮忙确认一下测试环境这台机器的防火墙/安全组是否已放行 8080 端口。”

或者：

“我这边怀疑不是代码问题，可能是网络访问策略限制，麻烦帮忙看下目标机器的端口开放情况和白名单配置。”

这样沟通会比“接口不通，帮我看看”更专业很多。

8.1 Windows 系统#

第一步：查看端口占用情况（使用 5.5 介绍的 netstat）

1
netstat -ano | findstr 8080

输出结果最后一列数字就是进程ID（PID）。

第二步：查看进程详情

1
tasklist | findstr 12345

第三步：结束占用端口的进程

方式1：使用taskkill强制结束

1
taskkill /PID 12345 /F

方式2：打开任务管理器 → “详细信息”标签页 → 找到对应PID → 右键结束任务

8.2 Linux 系统#

第一步：查看端口占用情况（使用 5.5 的 netstat 或 5.6 的 lsof）

1
netstat -tunlp | grep 8080
2
# 或（推荐）
3
lsof -i :8080

第二步：查看进程详情（使用 5.7 的 ps / jps）

1
ps -ef | grep 12345
2
# 或查看Java进程
3
jps

第三步：结束占用端口的进程（使用 5.8 的 kill）

1
kill 12345        # 优雅结束（推荐）
2
kill -9 12345     # 强制结束