I．IP 协议分析

概述：利用Wireshark 工具抓取网络数据，分析IP 数据报中各个字段的内容，分析IP 数据报的分片

过程与细节：

1. 抓取数据包

   • 启动wireshark

   • 启动pingplotter，输入gaia.cs.umass.edu地址后，# of times to Trace设置为3（新版pingplotter设置不了，只能手动），把数据包的大小调整为56bytes
     
     
     

   • 同样，抓取2000字节的数据包
     

   • 抓取3500字节的数据包
     

2. 分析抓取的数据包并回答相关问题
   当时问了我一个问题，为什么IP分片发送的包是1514个字节？

   因为网络层MTU的大小是1500字节，也就是规定了网络层的ip头加上ip报文的内容总共是1500字节，传递到链路层的时候，还要加上14字节的帧头。所有最大传输就是1514字节

3. IP 分片

   • 单击Time 栏，按时间先后顺序排列数据报，找到在pingplotter 中将分组大小改为2000 字节后的第一个ICMP Echo Request 报文
     

   • 分析IP 数据报分片信息
     看下面的分片的抓包，ipv4就显示了，当前最后分片的包，这个包显示的主要信息有：该ICMP包分为了2块，一块是0到1479，另一块是1480到1979，也就是当前的包。

     

抓包的时候，发现了ICMP包和IPv4包，它们的关系如下。

互联网在数据传输时，必定会发生差错，有些差错是不可知的，但有些却是可以知道的。TCP/IP协议包含一个专门的用于发送差错报文的协议，这一协议即为ICMP（Internet控制报文协议）。它是TCP/IP协议族的一个IP层子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。
一个标准的IP协议中，ICMP是不可少的。ICMP的主要功能包括：确认IP包是否成功送达目标地址，通知在发送过程当中IP包被废弃的具体原因，改善网络设置等。同时ICMP的这种通知消息会使用IP进行发送，收到ICMP包的主机会分解ICMP的首部

II．Ethernet&ARP 协议分析

概述：

抓取并分析Ethernet 数据帧的内容，观察ARP 协议在现实网络中如何工作

过程和细节：

1. 抓取Ethernet 数据帧并进行分析
   使用wireshark抓包链接http://gaia.cs.umass.edu/wireshark-labs/HTTP-ethereal-lab-file3.html下的内容，通过ip过滤
   
   下面分析包含了 HTTP GET 数据的 Ethernet frame 的内容

   

   Ethernet II, Src: Chongqin_86:10:5f (ec:5c:68:86:10:5f), Dst: NewH3CTe_d4:70:02 (44:1a:fa:d4:70:02)
       Destination: NewH3CTe_d4:70:02 (44:1a:fa:d4:70:02)
       Source: Chongqin_86:10:5f (ec:5c:68:86:10:5f)
       Type: IPv4 (0x0800)
   

   由上图可知，我所在主机的以太网地址是 Chongqin_86:10:5f，即ec:5c:68:86:10:5f。以太网 Frame 中目标主机48位地址是：NewH3CTe_d4:70:02(44:1a:fa:d4:70:02)。它不是gaia.cs.umass.edu服务器的以太网地址，而是路由器的以太网地址。然后我们可以看到 Frame 头部 Type 字段的值为IPv4（0x0800)，字段的值的含义是帧类型/长度，当该字段的值大于或等于 0x0800 时，表示上层数据使用的协议类型，8 表示以太网。

2. ARP 协议分析

   • Windows 操作系统进入 CMD 下，使用 ARP 命令，分析 ARPcache的内容
     首先查看arp命令
     

     下面显示ARP表

     

   • 键入 arp -d *命令，清除 ARPcache内容
     
     发现权限需要提升，就以管理员身份运行cmd，重新尝试
     

   • 打开浏览器，打开wireshark，抓取链接http://gaia.cs.umass.edu/wireshark-labs/HTTP-wireshark-lab-file3.html下面的请求，使用arp过滤

     

     使用eth.addr eqeth.addr eq来过滤对应的mac地址

     

     

   • 分析其中的内容
     很显然，里面的arp抓包的内容，包含了链路层的一些具体信息，主要的在以下

     
     很显然，里面的arp抓包的内容，包含了链路层的一些具体信息，主要的在以下