試驗5使用Wireshark分析IP協(xié)議

1、實驗五 使用 Wireshark 分析IP協(xié)議一、實驗?zāi)康?、分析ip協(xié)議2、分析IP數(shù)據(jù)報分片二、實驗環(huán)境與因特網(wǎng)連接的計算機(jī)，操作系統(tǒng)為 Windows,安裝有 Wireshark、IE等軟件。三、實驗步驟IP協(xié)議是因特網(wǎng)上的中樞。它定義了獨立的網(wǎng)絡(luò)之間以什么樣的方式協(xié)同工作從而 形成一個全球戶聯(lián)網(wǎng)。因特網(wǎng)內(nèi)的每臺主機(jī)都有IP地址。數(shù)據(jù)被稱作數(shù)據(jù)報的分組形式從一臺主機(jī)發(fā)送到另一臺。每個數(shù)據(jù)報標(biāo)有源IP地址和目的IP地址，然后被發(fā)送到網(wǎng)絡(luò)中。如果源主機(jī)和目的主機(jī)不在同一個網(wǎng)絡(luò)中，那么一個被稱為路由器的中間機(jī)器 將接收被傳送的數(shù)據(jù)報，并且將其發(fā)送到距離目的端最近的下一個路由器。這個過程就 是分

2、組交換。IP允許數(shù)據(jù)報從源端途經(jīng)不同的網(wǎng)絡(luò)到達(dá)目的端。每個網(wǎng)絡(luò)有它自己的規(guī)則和協(xié) 定。IP能夠使數(shù)據(jù)報適應(yīng)丁其途徑的每個網(wǎng)絡(luò)。例如，每個網(wǎng)絡(luò)規(guī)定的最大傳輸單元各有不同。IP允許將數(shù)據(jù)報分片并在目的端重組來滿足不同網(wǎng)絡(luò)的規(guī)定。打開已俘獲的分組，分組名為：dhcp isolated.cap 感興趣的同學(xué)可以在有動態(tài)分配IP的實驗環(huán)境下俘獲此分組，此分組具體俘獲步驟如下：1、使用DHCP獲取IP地址(1) 打開命令窗口 川動Wireshark。(2) 輸入ipconfig /release”。這條命令會釋放主機(jī)目前的IP地址，此時，主機(jī)IP 地址會變?yōu)?3) 然后輸入ipconfig

3、/renew”命令。這條命令讓主機(jī)獲得一個網(wǎng)絡(luò)配置，包括 新的IP地址。(4) 等待，直到ipconfig /renew”終止。然后再次輸入ipconfig /renew”命令。(5) 當(dāng)?shù)诙€命令ipconfig /renew”終止時，輸入命令 “ipconfigrelease釋放原 來的已經(jīng)分配的IP地址(6) 停止分組俘獲。如圖1所示：d bcp_nokitr<irC>3p - WwCThairkEile Edrt View Go Capture Analyze Statistics Help款*尊函 * 冬|回 4a *由奪殳 |g|of2oortofOODrtloort4

4、fdQono o o o o nD o o o o neoeoonooooort9O1O9Cdluoodn701 QFC8 o o o 8 n322o3n5- o 7 o 5 n9 5 3 0 9 e 9 5 o e7 14o7rt OLloart o o 1 o o n sooan r 3 o n 十04。0 c r o o o o rt r o o o ori- W 44 00 oot 4 00 on r aooonor If Bort 4-ofbDnooo 010 0200030 040 nn G/iiFile: CADocuments and SettingsYAdministrato

5、rMHI.P: 16 D: 16 M- 0Filter.1-Expr&sicin.Clear Atpply,TimeSourceDestinationProtocol Info1 0.000000192.L6S.0.100DHCPDHCP Rtl2 5* B4O362O* O. O. O255*255.255.255HCPDHCP D13 5. B43247L i nk:SySG_8d : be : IdBroadeastARPwh-ts has4 6, 842017192, 1(5S- 0-12 55'. 25 5. 255. 255DHGPDHGP O

6、ff5 6.8422860.0. Q. 0255.255. 2 5 5, 255DHCPDHCP Rec66.$46拓4168.0.1255.255.25S.255DHCPDHCP ACK7 Sx E4B643lrlLel_5B ： 87Broadcast:AJRPeraruirc8365276Irtrel_53:87:d9Broadcast:ARPGr atuiiccCl a 3 4； E -> 3 -li GT InE? -m r*l r r 妙a rn nL L r ti -t，L4k酎 Frame 2 (342 bytes on wire, 342 bytes captured)

7、 Ethernet llp src: intel_51:87 :cl9 (oo :07 :9 : 53 : 87:, Dst: Broadcast (ff :f"f 令> Desfination: Broadcast Cff:ff:ff:ff：ff:ff)> source i IHT：el_53 i 87 ： d9 fOOiOZ i e9 : 53 187 : d9)圖1: Wireshark俘獲的分組下面，我們對此分組進(jìn)行分析：IPconfig命令被用丁顯示機(jī)器的IP地址及修改IP地址的配置。當(dāng)輸入命ipconfig /release命令時，用來釋放機(jī)器的當(dāng)前IP地址。

8、釋放之后，該機(jī)沒有有效的IP地址并在 分組2中使用地址作為源地址。分組2是一個DHCP Discover(發(fā)現(xiàn))報文，如圖2所示。當(dāng)一臺沒有IP地址的計算 機(jī)申請IP地址時將發(fā)送該報文。DHCP Discovery報文被發(fā)送給特殊的廣播地址：55,該地址將到達(dá)某個限定廣播范圍內(nèi)所有在線的主機(jī)。理論上， 55能夠廣播到整個因特網(wǎng)上，但實際上并不能實現(xiàn)，因為路由器為了阻止 大量的請求淹沒因特網(wǎng)，不會將這樣的廣播發(fā)送到本地網(wǎng)之外。在DHCP Discover報文中，客戶端包括自身的信息。特別是，它提供了自己的主機(jī) 名(MATTHEWS

9、)和其以太網(wǎng)接口的物理地址 (00:07:e9:53:87:d9)。這些信息都被 DHCP 用來標(biāo)識一個已知的客戶端。DHCP服務(wù)器可以使用這些信息實現(xiàn)一系列的策略，比如， 分配與上次相同的IP地址，分配一個上次不同的IP地址，或要求客戶端注冊其物理層 地址來獲取IP地址。在DHCP Discover報文中，客戶端還詳細(xì)列出了它希望從 DHCP服務(wù)器接收到的信 息。在Parameter Request Lis中包含了除客戶端希望得到的本地網(wǎng)絡(luò)的IP地址之外的其他數(shù)據(jù)項。這些數(shù)據(jù)項中許多都是一臺即將連入因特網(wǎng)的計算機(jī)所需要的數(shù)據(jù)。例如， 客戶端必須知道的本地路由器的標(biāo)識。任何目的地址不在本地網(wǎng)的

10、數(shù)據(jù)報都將發(fā)送到這臺路由器上。也就是說，這是發(fā)向外網(wǎng)的數(shù)據(jù)報在通向目的端的路徑上遇到的第一臺中間路由器dlricp_i.sal al: ed. c ap = Vxzresliazrkit+國eccxp T I ags :uxuuuu cum cast p cl i ent IP addr see :0.0 <0- 0- 0 . OJYour (ullEfrt) IP address : 0. 0. 0. 0 <0, 0.0.0) Next server IP address: 0+ 0-0* 0 C0< 0< 0.0> pel ay agenr ip addres

11、s: o.o.o.o <o.o* o.o> cl1 ent mac address: Server hosx name nqt ecct: file name not Magic coki e: (OK) opt i on: Opt1 on:1 =7yOption ; Ct = 5,】=&)lnteT_53:87:d9 <00:07:e9:53:37:d9 gi vengivenDHCP Message Type DHCP Discaver cl 1 eni: 1 dent If 1 er Requested ip Address = 192.168*.100No .

12、TimeSourceDe st mat i onProtoi10-000000192-168B 0-1001Q2.168,0.1DHCP25,84 03 620.0. 0. 0255.255-255-255DHCP|E3 opr 1 on: Qr 12,1 8 j host Name = MatthewsI + oct 1 on: ct=60.1=3j vendor cl ass identn fier = 'msft 5,0'M01200CL3O014001507030U7一eylooo60OOTecy 328 e02OO 30 eQ 20 5f Bf Qb 22 4 49

13、b5f 061 o 4 2 8Bf a51 odf C42"0 旦IFrot。Init1。W*»eF 16 D： IB M： 圖 2: DHCP Discovery客戶端必須知道自己的子網(wǎng)掩碼。子網(wǎng)掩碼是一個32位的數(shù)，用來與IP地址進(jìn)行TimeSourceDestinationProtocolInfo1二0.000000192.16S.0.100DHCPDHCPRel25.8403655DHCPDHCP：-3l|1 35.843247LinksvsG_8d:be:IdBroadcastARPwho卜as Fi

14、lter: Expression. Clear Applyd hcp_tsolated.cap - WiresharkFile Edit View Go Capture Analyze Statj sties Helpoption:l=8J vendor class Identltler = "msft 5.0 t option: (t=55,1=11) Parameter Request ListOpti on: (55) Parameter Request Li stLength: 11Value： 010F03062C2E2F1F21F92B1 = Subnet Mask15

15、= Domain Name3 = Router6 = Domain Name ServerU JLUU01100120013001400150kJW UW WkJ 00 00 00 00 07 e9 54 54 48 37 Ob 01 00 00 00wu uu w 00 DO 00 53 87 d9 45 57 53 劇 03 06 00 00 002 4 8 e8 0 0 23 2 c c6 3 3 2UM WV UU UU UU UU VU IJW 5M 63 35 01 01 3d 07 01 cO a8 00 64 0c 08 4d 41 4d 53 46 54 20 35 2e 3

16、0 2f If 21 2b ff 00 00Sc5.=. .d . . MAMSFT 5.0P: 16 D: 16M:0Proto InrtO.' byte圖 2： Parameter Request List位邏輯與運算”從而得出網(wǎng)絡(luò)地址。所有可以直接通信而不需要路由器參與的機(jī)器 都有相同的網(wǎng)絡(luò)地址。因此，子網(wǎng)掩碼用來決定數(shù)據(jù)報是發(fā)送到本地路由器還是直接發(fā) 送到本地目的主機(jī)?？蛻舳诉€必須知道它們的域名和它們在本地域名服務(wù)器上的標(biāo)識。域名是一個可讀的網(wǎng)絡(luò)名。IP地址為的DHCP服務(wù)器回復(fù)了一個 DHCP OFFER報文。該報文也廣 播到5

17、5因為盡管客戶端還不知道自己的IP地址，但它將接收到發(fā)送到 廣播地址的報文。這個報文中包含了客戶端請求的信息，包括 IP地址、本地路由器、 子網(wǎng)掩碼、域名和本地域名服務(wù)器。在分組5中，客戶端通過發(fā)送DHCP Request （請求）報文表明自己接收到的IP地 址。最后，在分組6中DHCP服務(wù)器確認(rèn)請求的地址并結(jié)束對話。此后,在分組 7中客 戶端開始使用它的新的IP地址作為源地址。在分組3和分組7到12的地址ARP協(xié)議引起了我們的注意。在分組 3中，DHCP 服務(wù)器詢問是否有其它主機(jī)使用IP地址00（該請求被發(fā)送到廣播地址）。這就允許DHCP服務(wù)器在分配IP之前再次確認(rèn)沒有

18、其它主機(jī)使用該IP地址。在獲取其IP地址之后，客戶端會發(fā)送3個報文詢問其他主機(jī)是否有與自己相同的 IP地址。前4 個ARP請求都沒有回應(yīng)。在分組10-13中，DHCP服務(wù)器再次詢問哪個主機(jī)擁有IP 地址00,客戶端兩次回答它占有該IP同時提供了自己的以太網(wǎng)地址。通過DHCP分配的IP地址有特定的租用時間。為了保持對某個 IP的租用，客戶端 必須更新租用期。當(dāng)輸入第二個命令ipconfig /renew后，在分組14和15中就會看到更 新租用期的過程。DHCP Request請求更新租用期。DHCP ACK包括租用期的長度。如 果在租用期到期之前沒有 DHCP Reques

19、t發(fā)送，DHCP服務(wù)器有權(quán)將該IP地址重新分配 給其他主機(jī)。最后，在分組16時輸入命令ipconfig /release后的結(jié)果。在DHCP服務(wù)器接收到這 個報文后，客戶停止對該IP的使用。如有需要DHCP服務(wù)器有權(quán)重新對IP地址進(jìn)行分 配。2、分析IPv4中的分片在第二個實驗中，我們將考察IP數(shù)據(jù)報首部。俘獲此分組的步驟如下：(1) 啟動 Wireshark,開始分組俘獲(“Capture- "interface - “start)(2) 啟動 pingplotter( pingplotter 的下載地址為 )，在 “Addressto trace:下面的輸入框里輸入目的地址，選擇

20、菜單欄"Edit- “Options-' “Packet在，“ Packet size(in bytes defaults=56):”右邊輸入IP數(shù)據(jù)報大?。?000,按下“OK。最后按下按鈕 “Trace你將會看到pingplotter窗口顯示如下內(nèi)容，如圖 3所示:圖 3: ping plotter(3)停止Wireshark。設(shè)置過濾方式為：IP,在Wireshark窗口中將會看到如下情形，如圖4所示在分組俘獲中，你應(yīng)該可以看到一系歹0你自己電腦發(fā)送的“ICMP Echo Requests由中問路由器返回到你電腦的ICMP TTL-exceeded messagesSa

21、mping! CH 卜 IrkS. ZZ2S1Tr InteW-200 201-50D1Dtm* 1D minutvAddr-=51o Trace-:WMW.gOOfltejCMffi wwwjoqu.eiiu cn www.cspu.Bdiu cn www* 也 ccm w¥w.ckwrtaM ccm www p n三 r.oasWWTV;3fl0¥fen.Ct>m 2lB.92.1-S0.22iNe=c.fl SltlyylP129251 ERRTarget Name: www.gflChgk.tflmIF" 649,89.147*哄鉗11 MQ7-H

22、0 ZU14 55 - 2M7-S-18 XT7 10Kqp| 心 IPDHSNnw1 202.2QZ2101 2 19e.1E&553 俊168.5.渤4 219.15&30 更 130.151213 瓦 nMLccKq中頑匚1 以地 comcn5 22217&Q129-一2».17R212372221花之幻 $ 1Q 2Q?."37 輪-，“，3偵10傾，11 SO 2D2.57.315J 15 MctmSspg ha I EpressEn. Onr 由卬iyTgSourceDestnatcn5 4.» 7.4364293 7.7065

23、56dUZ u d UZ l iX'J u _L_L4141202.202 .210.127202210.127卅¥1財皿自96 S.13516297 8iM721B98 ©.742141100 10.492310IftL 10.75CQ22102 10.756472192.168.-551112D2.202.210.LD5£0142Q2r2Q2r21Qrll202r2U2r210rl0511192.168,. 2 50 沖rML/m頃 ?02P?02r?1

24、0P127 ML MW-MSI" ?0Z.20Z.208.111Z005Protocol 伸心 NBNS NBNS UDP UDP news nbns IN0NS DNS DNSDnfoi -ir dX llUri HD I b.4U_nib.K<UlJi>Ragi strati on N6 T£ACHER<ClCli>RegiEtration NB TEACH£R<dO>Source part: 6144D Dsstination port: 614-jIOsource port: 61440 Desti

25、nation pcirt: 14405traxion NB TEACHEftl4<2Q> st rax ion nb TCACHCfl.i4<20> 5-x rail on mb teacheri4<20>standard query a w.goagler comsrandard query response cnwe ck.ame曠 Qmcci 104 10. 003105 10.903106202.202.21O.1D5IPFragmented_=fjIPFracperrtEdn 1Echo tpi ng) requstI OTPFEieni.eIP7

26、IQ, 904011lUE Lli202.202.21u.105ICMPTime-to-1iveExcEeded (_ime tn Iive exceedediGS-10. B07SM202 u 2132 u 210ulfl5SA. 24. 891.24 7TPFragment End IPprotocolCpirotn=ICMP 0x01,. off = 0)心iw10.0O7S37202u202u210.105敏M如眄.147IPFracniantEod IPpratoc口1prota=ICMP DxOl,. off=185T747106 10. 00342C 202

27、.202.210.105I 時 加匚 EM蜃rotn-ICMP£ Fraine 103 (1514 byres on wire. 1511 byres capturedQQQO QD CIO F8 CIO Q7 QQ Q50010 OS de. Oe 3a 20 OQ 01 01QQZQ網(wǎng)93Q8>QQQ322Q2000030SO6C6f7C網(wǎng)&572320040&7506c6f7M746572nl 一4 rl 虹 jr ld- c 4 _e23 4 EJ- 2 392 O-EJO u d CJ 4 3 _. 5.=L5 o -O 4C4 rq m r 1301

28、06 - 3 c 333 0 7 2-6 E 3 2 0-32.5 2e9 -o446弓 5OQ- 7 Qh? r *i n i! s 4，IF* n E L J li L J 4 L 4 it 1 B m n 3, OEPl ng plotter? r6D0EPln gPlotter 2.6OOEP1吊 Ethernet Ilg. 5rc: Northsta_a&:31:46 (D0OS:34 : a8:31:46) p D5t: Fuj ian5t_f6:dOzCl7 CQO:d0:f8:f6: dQ :07) E internet Protocol, Srcr 202,202,2

29、10.105 (202» 202» 210s 105 Dst: 66S% 1” 66ZS啟曳MF)ver?ion: 4Header lengths 20 byres書 Different!ated Services Fields 0x0& (D5CP 0x00; Default; ECN: 0x00)Total Length: 1500Identif1car1on:± Fl ags: OxDZ Cwore Fragtienrs)Fragment offset; 0Time to live: 1Pratocol: ICMP COxQl)jd Header c

30、hecksum:correctSrtiir<-P： PD?.7O?.?1 D.10?ft?. 710.1 011圖4：用W ireshark所俘狄的分組(4)IP分片分組文件:fragment 5000 isolated.cap 然后在 Wireshark 中，選擇菜單欄 "File-' “Oper#入上述 文件進(jìn)行學(xué)習(xí)。下面，我們來分析fragment_5000_isolated.cap中的具體分組：IP層位丁傳輸層和鏈路層之間。在fragment_5000_isolated.cag傳輸層協(xié)議是UDP, 鏈路層協(xié)議是以太網(wǎng)。發(fā)送兩個 UDP數(shù)據(jù)報，每個包含5000個字

31、節(jié)的數(shù)據(jù)部分和8字 節(jié)的UDP首部。在分組1到4和分組5到8分別代表了先后發(fā)送的兩個 UDP數(shù)據(jù)報。當(dāng)IP層接收到5008字節(jié)的UDP數(shù)據(jù)報時，它的工作是將其作為IP數(shù)據(jù)報在以太 網(wǎng)傳輸。以太網(wǎng)要求一次傳輸?shù)拈L度不大丁 1514個字節(jié)，其中有14字節(jié)是以太網(wǎng)幀首 部。IP被迫將UDP數(shù)據(jù)報作為多個分片發(fā)送。每個分片必須包含以太網(wǎng)幀首部、 IP數(shù) 據(jù)報首部。每個分片還會包含 UDP數(shù)據(jù)報的有效負(fù)載（首部和數(shù)據(jù)）的一部分。IP將原始數(shù)據(jù)報的前1480個字節(jié)（含1472個字節(jié)的數(shù)據(jù)和含8個字節(jié)的UDP首 部）放在第一個分片中。后面兩個分片每個均含1480個字節(jié)的數(shù)據(jù)，最后一個分片中包含的數(shù)據(jù)為568

32、個字節(jié)）。為了讓接收段重組原始數(shù)據(jù)，IP使用首部的特殊字段對分片進(jìn)行了編號。標(biāo)識字段用丁將所有的分片連接在一起。分組 1到4含有相同的標(biāo)識號0xfd2b,分組5到8的標(biāo) 識號是0xfd2c.片偏移量指明了分組中數(shù)據(jù)的第一個字節(jié)在UDP數(shù)據(jù)報中的偏移量。例如分組1和分組5的偏移量都是0,因為它們都是第一個分片。最后在標(biāo)識字段中有一位用來指明這個分片后是否還有分片。分組1到分組3和分組5到分組7均對該位置進(jìn)行了置位。分組4和分組8由丁是最后一個分片而沒有對該 位置位。四、實驗報告內(nèi)容打開文件 dhcp_isolated.cap fragment_5000_isolated.cap 回答以下問題（每

33、個問題 能截圖的盡量截圖并配以文字說明）：1、DHCP服務(wù)器廣播的本地路由器或默認(rèn)網(wǎng)關(guān)的IP地址是多少？. 842017Z55u 2 55-255. 2 55DHCP5W DHCP Off er - Transactl Dn ID DxdlO2bB3,9Mi c cook"i -e i DHCPOpt1om: Cdhcp Message Type3 opTi on: C1L> subnet MaskLength: 4Subnet Mask: 255.255.255.O C255.255-255-OS OpT i on :z C 3) Routeri opt1 on:Dometl

34、 n Naime ser ver本地路由器或默認(rèn)網(wǎng)關(guān)的IP地址是：2、在dhcp_isolated.cag,由DHCP服務(wù)器分配的域名是多少?E Opti on :RoulLerl+. Opti on:石) Doniai n Name Servert; opr 1 on: (15> Domain NameLengt h: 13Domai n Name: 比 Option: (51J TP Address Lease Time(t Opt ion: 54 DHCP Ser ver idenfi Ti erI _ h anTta E* ETn-sDHCP服務(wù)器分配的

35、域名是：3、在fragment_5000_isolated.ca時，我們看到通過UDP數(shù)據(jù)報發(fā)送的5000字節(jié)被分成了多少分片？他們的標(biāo)志Flag分別是？答：發(fā)送的5000字節(jié)被分為4個分片，標(biāo)志Flag分別為:0x01、0x01、0x01、0x00<截圖如下：第一分片:-F1 mgs:0.o.1.Fragment0x01Core Fragments) Reserved bit: Not set Don't fragment: More fvagments:Not set setoffset: 0Ti me to 11 ve : 123Protocol: UDP <17第二

36、分片：A F1ags: 0x01 More Fragments0=Reserved bit: Not set.Q=Don' t fragment: Net set-+1- - - - - = More fragments: set Fragment offset: 1480 Time to 1ive: 128protocol; udp C17第三分片:B Flags： 0x01 (More Fragments) 0*-Reserved bit: Nor set.0=Don' t f ragment: Not set.1* . More fragments: set Fragme

37、nt offset: 2960 Time to live： 128 Protocol: UDP (17)第四分片：B FIags: 0x000-=Reserved bit: Not set.0 =Don11 fragment: not set。=More fragments: Not setFragment offset: 4440Time to live: 128Protocol: UDP (17)4、在網(wǎng)絡(luò)中,一次能傳輸且不需要分片的最大數(shù)據(jù)單元有多大？答：一次能傳輸且不需要分片的最大數(shù)據(jù)單元有 1480字節(jié)截圖如下，H匕圖為 分組1的圖，分組1就是第一個分片，第一個分片肯定達(dá)到能傳輸且不

38、需要分片的最大數(shù)據(jù)單元。圖中數(shù)據(jù)長度為1480字節(jié)。Frame 1i 1514 byres on wire (12112 b1ts, 1S14 bytes captured (12112 bits)Ethernet TIt Src: Tnte'l_53:B7:d9 (00:07:e9:53:87:d9)( Cst: Agere_44:e5:07 (00:02:2d：44:e5:07 internet Protocol version 4 » 5rc; 192.16B.0.100 (192.16B.0.100)h D5t: 192.16B.0.102 C192.16B. Data <1480 bytes)Data: