IPARPICMP数据报分析

1、1.当连接到网络时，主机发送的第一个数据包： arp 广播包（1）主机的 以太网适配器的 mac 地址、ip 地址 （2）主机连接到网络 发送 广播 arp 请求，以下是数据包格式分析解释：1. 在主机刚连接到网络时，会向网络中发送 arp 广播 请求，确认自己的 ip 地址在同一网络内没有和网络中的其他主机 ip 地址 冲突。2. arp 数据报格式 以太网帧头： 目的 mac 地址 ： ff - ff - ff - ff - ff - ff 共 6字节， 代表该帧 为广播帧 源 mac 地址： 3c-97-0e - 3e - de - 8d 共 6字节，代表主机 的以太网适配 器的mac

2、地址 帧类型：0806 共 2字节，用来标识帧封装的上层协议，即 arp type/length ：2字节，根据数值的不同代表2种不同的封装格式：如果字段值在 0x 0000 - 0x 05dc 范围内，则表示该字段为 length，该帧为 802.3 raw封装。如果字段值在 0x 0600 - 0x ffff 范围内，则表示该字段为 type 字段，该帧为 ethernet ii 封装。0x 05dd - 0x05ff 保留没有使用。arp 报头： 硬件类型：0001 共 2 字节，表示arp 报文可以在哪种类型的网络上传输，值为 1 时表示为 以太网 地址 上层协议类型：0800 共 2

3、 字节，表示硬件地址要映射的协议地址类型，0x0800 表 示 ip 协议 mac 地址长度：06 共 1 字节，标识mac 地址长度，以字节为单位 ip 地址长度：04 共 1字节，标识 ip 地址长度，以字节为单位 操作类型：0001 共 2 字节，指定本次 arp 报文类型，1表示请求报文，2表示应答报文 arp 数据： 源 mac 地址: 3c - 97 - 0e - 3e - de - 8d 共 6 字节，表示发送方设备的硬件地址 源 ip 地址: 00 - 00 - 00 - 00 共 4 字节，表示发送方设备的 ip 地址，此处用 32 位的 0 填充，是因为主机不确定自己的ip

4、地址是否和网络上的其他主机ip地址有 冲突，所以发送 arp 广播包来验证 目的 mac 地址：00 - 00 - 00 - 00 - 00 - 00 共 6 字节，表示接收方设备的硬件地址，在请求报文中该字段值全0，表示任意地址，因为现在不知道这个mac地址 目的 ip 地址：c0 - a8 - 01 - 64 共4 字节，表示接收方设备的ip 地址 (192.168.1.100)，可以发现该 ip 地址就是主机自己的ip 地址。2. icmp包 ping request以太网帧头格式： 目的 mac 地址 源 mac 地址 长度/类型 ：该字段值 如果大于 1536（0x0600），表示承

5、载的上层协议类型 如果小于或等于 1500（0x05dc），表示该帧数据部分长度ip 数据报头格式：版本：该字段 占 4位头部长度：该字段 占 4位，以4字节为单位，此处 值 为 5，表示 5*4 = 20 字节，即报头长度为 20 字节 区分服务：又称服务类型（tos） 字段，用于表示数据报的优先级和服务类型， 它包括一个 3 位长度的优先级、4 位长度的标志位。标志位分别是 d(delay 延迟)、t(throughput 吞吐量)、r(reliability 可靠性)、c(cost 开销)，最高 1 位未用；未使用 区分服务，则该字段为 0 总长度：标识整个 ip 数据报的长度，包括头部

6、和数据部分，整个 ip 数据报总长度以字节为单位，该字段占 16 位，ipv4 数据报的最大长度为 216 - 1 字节，即 65535 字节（64kb）。此处 为 0x0040 ，即 64 字节 标识：用于表示 ip 数据报的标识符，占 16位，每个 ip 数据报有一个唯一的标识。当数据报的长度超过下面数据链路层的 mtu 值而必须分段时，这个标识字段的值就被复制到 所有的 数据报分段 的 标识字段中。相同的标识字段的值使分段后的各数据分段最后能正确地重载成为原来的数据报。 标志：标志字段指出该 ip 数据报后面是否还有分段，也就是这个字段是分段标志，占 3 位，目前只有2位有意义：最低1位

7、记为 mf（more fragment），如果mf = 1，则表示后面还有分段，如果 mf = 0，则表示这已是某个数据报的最后一个分段；中间1位记为df（dont fragment），df = 1表示不允许分段，df = 0 表示允许分段；最高1位没有使用。 段偏移： 段偏移字段用以指出该分段在数据报中的相对位置，也就是说用户数据字段的起点，该分段从何处开始，占 13 位。如果没有分段，则该字段值为0 生存时间：用来标识ip数据报在网络中传输的有效期，以秒来计数，占8位，ttl的建议值是 32s，最长为 28 - 1 = 255s，现在通常认为这个ttl是指数据报允许经过的路由器数，每经过一

8、个路由器，则ttl减1，当ttl值为0时就丢弃这个数据报。设定生存时间是为了防止数据报在网络中无限制地循环转发。此处为 0x40 即 64。 协议：协议字段用来标识此 ip 数据报在传输层所采用的协议类型（如 tcp、udp、icmp等），以便使目的主机的ip层知道应将数据部分上交给哪个处理过程，占8位。如tcp协议号为 6，udp协议号为17。此处为0x01，即1，代表 icmp校验和：校验和字段用来检验 ip 数据报的报头部分（不包括“数据”部分）在传输到接收端是否发生了变化，占16位。源ip 地址：占 32 位，在整个数据报传送过程中，无论经过什么路由器，无论如何分段，此字段一直保持不变。目的 ip 地址：占 32 位，在整个数据报传送过程中，无论经过什么路由器，无论如何分段，此字段一直保持不变。icmp 报头格式：类型：占1字节，标识icmp报文的类型，目前定义了14种，从类型值来看icmp报文可分为两大类。第一类是取值 1-127 的差错报文，第二类是取值128以上的是信息报文。此处为 0x08 表示ping 操作响应请求（request），0表示应答(response)代码：占1字节，标识对应 icmp 报文的代码。它与类型字段一起共同标识了icmp报文的