DHCP环境搭建+报文详细分析+wireshark抓包

DHCP报文分析环境搭建：DHCP获取IP的过程中需要有服务器提供IP地址，所以我在虚拟机中装了windowsserver2003服务机，然后配置DCHP服务。搭建DHCP步骤：打开开始菜单-选择控制面板；然后打到一个名为添加或删除程序的文件；用鼠标左键双击打开添加或删除程序，打开添加或删除程序之后选择添加/删除Windows组件（A）；单击选择添加/删除windows组件之后会弹出一个Windows组件添加向导；在拉动下拉列表框，找到网络服务这一项，再单击窗口中的详细信息按钮，打开网络服务属性窗口；在网络服务窗口中的下拉列表中找到一个名为动态主机配置协议（DHCP）前勾选前面的小勾，单击确定按钮之后回到Windows组件向导对话框中；单击下一步按钮执行DCHP安装，安装过程中会弹出一个可选网络组件窗口，单击确定按钮；单击确定按钮之后弹出一个选择链接窗口，选择本地链接，然后单击属性选项；打开本地链接属性窗口，选择TCP/IP协议；单击属性之后打开TCP/IP协议属性窗口，根据你网络情况为其配置一个IP地址；配置好IP地址之后单击确定按钮，回到本地链接属性窗口，单击关闭按钮，回到选择连接窗口，单击确定按钮；单击确定之后继续执行安装过程，安装完成之后会提示完成Windows组件向导窗口，单击完成按钮即可；接下来打开开始菜单-管理工具，可以看到DHCP，即搭建成功，下面就要配置了。然后就是DHCP服务器的配置了，步骤如下：打开开始菜单-管理工具中的DHCP，右键点击新建作用域，出现新建作用域向导；点击下一步，输入名称和描述，点击下一步；设置起始IP地址和结束IP地址，形成地址池，即用于分配的IP地址空间，长度和子网掩码一般默认，然后点击下一步；输入排除范围，即DHCP不分配的IP地址（如果是单一的IP地址，可以直接添加），点击下一步；配置租约期限（默认是8天），点击下一步；配置DHCP选项，当然你可以选择稍后配置直接完成操作；配置客户端使用的路由器IP地址，然后点击下一步：配置域名称和DNS服务器：配置WINS服务器，点击下一步：激活作用域，完成配置。DHCP配置完成后，winXP和板子就可以自动获取到IP地址了。抓包与分析：在windows下对DHCP过程的抓包进步骤：首先打开wireshark进行抓包；在cmd中执行ipconfig/release，该命令的作用是用来释放IP，如果出现如下提示信息，表明本地连接没有设置成自动获取；在网络连接中将本地连接设成自动获取，再次执行ipconfig/release，释放IP成功。Wireshark抓包如图：3、执行命令ipconfig/renew，发起一个DHCP过程，分析从这里开始。Wireshark抓包如图所示：三、DHCP的报文格式如下，括号内为长度：OP(1)Htype(1)Hlen(1)Hops(1)TransactionID(4)Seconds(2)Flags(2)Ciaddr（4）Yiaddr（4）Siaddr（4）Giaddr（4）Chaddr（16）Sname（64）File（128）Options（variable）下面结合在windows下对DHCP过程的抓包进行分析：I、现在，客户机没有地址，它就会发出一个DHCPDiscover报文，该报文是广播报文，所有的具有DHCPServer功能的服务器都会收到该报文。dhcp有8种类型的报文，每种报文的格式相同，只是报文中的某些字段取值不同。dhcp报文格式基于bootp（引导程序协议）的报文格式BootstrapProtocol(Discover)表明发送的是Discover报文。Messagetype(opt)：消息类型，为1时表示是Client的请求，为2时表示是Server的应答；Hardwaretype(Htype)：Client的网络硬件地址类型，0x01表示Client的网络硬件是10MB的以太网类型(Ethernet)；Hardwareaddresslength(Hlen)：Client的网络硬件地址长度，6表示Client的网络硬件地址长度是6bytes（即以太网类型的6bytes的MAC地址）；注：MAC地址,也叫硬件地址,是由48比特/bit长(6字节/byte,1byte=8bits),16进制的数字组成.0-23位叫做组织唯一标志符(organizationallyunique，是识别LAN（局域网）节点的标识。24-47位是由厂家自己分配.其中第40位是组播地址标志位。HOPS：跳数，即经过的中继数，表示当前的DHCP报文经过的DHCPRELAY（中级）的数目，每经过一个DHCP中继，此字段就会加1，此字段的作用是限制DHCP报文不要经过太多的DHCPRELAY，协议规定，当“hops”大于4（现在也有规定为16）时，这个DHCP报文就不能再进行处理，而是丢弃；Transactionid：事务ID，Client每次发送DHCP请求报文时选择的随机数，用来匹配server的响应报文是对哪个请求报文的响应。Client会丢弃“ID”不匹配的响应报文。可以总结一下：第一个报文Relase的TransactionID:0x50488e40第二个报文discover的TransactionID:0x71936d7d第三个报文offer的TransactionID:0x71936d7d第四个报文Requst的TransactionID:0x71936d7d第五个报文ack的TransactionID:0x71936d7dSecondselapsed：秒数，用来表示client开始DHCP请求后的时间流逝秒数；Bootpflags：标志，在BOOTP中此字段是保留不用的，在DHCP协议中也只使用了其左边的最高位；ClientIPaddress：客户机IP地址；Your（client）IPaddress：分配给client的IP地址；10、NextServerIPaddress：服务器IP地址；11、RelayAgentIPaddress：中继代理IP地址；12、ClientMACaddress：客户机硬件地址MAC；13、Clienthardwareaddresspadding：客户机硬件MAC填充地址；14、Hostname：服务器的主机名；15、Bootfilename：Client的启动配置文件名；16、Magiccookie：是魔术使用cookie是服务器可以知道该用户是否合法用户以及是否需要重新登录；17、选项：括号内的53是该选项的注册code，用来标识一个选项。如果用户想要在发送或接收的报文中添加选项，则需在程序中增加独一无二的选项code。Dhcpmessagetypecode=53，length=1，value=1-8，此字段表示DHCP报文类型Discover过程选项包括：1）消息类型：2）clientMAC：3）RequestIPAddress：申请的IP地址4）Hostname：，即主机名称；5）ParameterRequestList：等信息。DHCP是基于UDP的过程，客户端发启的bootpc端口是68，目标端口是67II、所有被广播到的服务器收到DHCPDISCOVER报文后都会发送DHCPoffer报文，向客户机提供IP地址供其选择（cisco用单播来实现），Tp-link使用的是组播实现；BootstrapProtocol（offer）Messagetype：为2，即服务器回复客户端；Your（client）IPaddress：即服务器给客户端提供的IP地址；ClientMACaddress：表示客户端的MAC地址；选项也和Discover报文中的有所不同，包括：Messagetype：RenewalTimeValue：，即想要继续租约原来分配的IP地址，则提出续约申请的期限为4天；RebindingTimeValue：，即如果上次申请续约失败，再次申请绑定原来分配到的IP地址的期限为7天；IPAddressLeaseTime：，即租约时间；DHCPServerIdentifier：即服务器IP地址；Router：，即跳数；III、客户端收到服务器提供的IP地址后会从中选择一个，然后广播发送DHCPrequest报文