實(shí)驗(yàn)5使用Wireshark分析IP協(xié)議

1、實(shí)驗(yàn)五 使用Wireshark分析IP協(xié)議一、實(shí)驗(yàn)?zāi)康?、分析IP協(xié)議2、分析IP數(shù)據(jù)報(bào)分片二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟IP協(xié)議是因特網(wǎng)上的中樞。它定義了獨(dú)立的網(wǎng)絡(luò)之間以什么樣的方式協(xié)同工作從而形成一個(gè)全球戶聯(lián)網(wǎng)。因特網(wǎng)內(nèi)的每臺(tái)主機(jī)都有IP位置。數(shù)據(jù)被稱作數(shù)據(jù)報(bào)的分組形式從一臺(tái)主機(jī)發(fā)送到另一臺(tái)。每個(gè)數(shù)據(jù)報(bào)標(biāo)有源IP位置和目的IP位置，然后被發(fā)送到網(wǎng)絡(luò)中。如果源主機(jī)和目的主機(jī)不在同一個(gè)網(wǎng)絡(luò)中，那么一個(gè)被稱為路由器的中間機(jī)器將接收被傳送的數(shù)據(jù)報(bào)，并且將其發(fā)送到距離目的端最近的下一個(gè)路由器。這個(gè)過程就是分組交換。IP允

2、許數(shù)據(jù)報(bào)從源端途經(jīng)不同的網(wǎng)絡(luò)到達(dá)目的端。每個(gè)網(wǎng)絡(luò)有它自己的規(guī)則和協(xié)定。IP能夠使數(shù)據(jù)報(bào)適應(yīng)于其途徑的每個(gè)網(wǎng)絡(luò)。例如，每個(gè)網(wǎng)絡(luò)規(guī)定的最大傳輸單元各有不同。IP允許將數(shù)據(jù)報(bào)分片并在目的端重組來滿足不同網(wǎng)絡(luò)的規(guī)定。打開已俘獲的分組，分組名為：dhcp_isolated.cap。感興趣的同學(xué)可以在有動(dòng)態(tài)分配IP的實(shí)驗(yàn)環(huán)境下俘獲此分組，此分組具體俘獲步驟如下：1、使用DHCP獲取IP位置（1）打開命令窗口,啟動(dòng)Wireshark。（2）輸入“ipconfig /release”。這條命令會(huì)釋放主機(jī)目前的IP位置，此時(shí)，主機(jī)IP位置會(huì)變?yōu)?.0.0.0（3）然后輸入“ipconfig /renew”命令。

3、這條命令讓主機(jī)獲得一個(gè)網(wǎng)絡(luò)配置，包括新的IP位置。（4）等待，直到“ipconfig /renew”終止。然后再次輸入“ipconfig /renew” 命令。（5）當(dāng)?shù)诙€(gè)命令“ipconfig /renew” 終止時(shí)，輸入命令“ipconfig /release” 釋放原來的已經(jīng)分配的IP位置（6）停止分組俘獲。如圖1所示： 圖1：Wireshark俘獲的分組下面，我們對(duì)此分組進(jìn)行分析：IPconfig 命令被用于顯示機(jī)器的IP位置及修改IP位置的配置。當(dāng)輸入命ipconfig /release命令時(shí)，用來釋放機(jī)器的當(dāng)前IP位置。釋放之后，該機(jī)沒有有效的IP位置并在分組2中使用位置0.0.

4、0.0作為源位置。分組2是一個(gè)DHCP Discover(發(fā)現(xiàn))報(bào)文，如圖2所示。當(dāng)一臺(tái)沒有IP位置的計(jì)算機(jī)申請(qǐng)IP位置時(shí)將發(fā)送該報(bào)文。DHCP Discovery報(bào)文被發(fā)送給特殊的廣播位置：255.255.255.255，該位置將到達(dá)某個(gè)限定廣播范圍內(nèi)所有在線的主機(jī)。理論上，255.255.255.255能夠廣播到整個(gè)因特網(wǎng)上，但實(shí)際上并不能實(shí)現(xiàn)，因?yàn)槁酚善鳛榱俗柚勾罅康恼?qǐng)求淹沒因特網(wǎng)，不會(huì)將這樣的廣播發(fā)送到本地網(wǎng)之外。在DHCP Discover報(bào)文中，客戶端包括自身的信息。特別是，它提供了自己的主機(jī)名(MATTHEWS)和其以太網(wǎng)接口的物理位置(00:07:e9:53:87:d9)。這些

5、信息都被DHCP用來標(biāo)識(shí)一個(gè)已知的客戶端。DHCP服務(wù)器可以使用這些信息實(shí)現(xiàn)一系列的策略，比如，分配與上次相同的IP位置，分配一個(gè)上次不同的IP位置，或要求客戶端注冊(cè)其物理層位置來獲取IP位置。在DHCP Discover報(bào)文中，客戶端還詳細(xì)列出了它希望從DHCP服務(wù)器接收到的信息。在Parameter Request List中包含了除客戶端希望得到的本地網(wǎng)絡(luò)的IP位置之外的其他數(shù)據(jù)項(xiàng)。這些數(shù)據(jù)項(xiàng)中許多都是一臺(tái)即將連入因特網(wǎng)的計(jì)算機(jī)所需要的數(shù)據(jù)。例如，客戶端必須知道的本地路由器的標(biāo)識(shí)。任何目的位置不在本地網(wǎng)的數(shù)據(jù)報(bào)都將發(fā)送到這臺(tái)路由器上。也就是說，這是發(fā)向外網(wǎng)的數(shù)據(jù)報(bào)在通向目的端的路徑上遇到

6、的第一臺(tái)中間路由器。 圖2：DHCP Discovery客戶端必須知道自己的子網(wǎng)掩碼。子網(wǎng)掩碼是一個(gè)32位的數(shù)，用來與IP位置進(jìn)行“按 圖2：Parameter Request List位邏輯與運(yùn)算”從而得出網(wǎng)絡(luò)位置。所有可以直接通信而不需要路由器參與的機(jī)器都有相同的網(wǎng)絡(luò)位置。因此，子網(wǎng)掩碼用來決定數(shù)據(jù)報(bào)是發(fā)送到本地路由器還是直接發(fā)送到本地目的主機(jī)?？蛻舳诉€必須知道它們的域名和它們?cè)诒镜赜蛎?wù)器上的標(biāo)識(shí)。域名是一個(gè)可讀的網(wǎng)絡(luò)名。IP位置為192.168.0.1的DHCP服務(wù)器回復(fù)了一個(gè)DHCP OFFER報(bào)文。該報(bào)文也廣播到255.255.255.255，因?yàn)楸M管客戶端還不知道自己的IP位置

7、，但它將接收到發(fā)送到廣播位置的報(bào)文。這個(gè)報(bào)文中包含了客戶端請(qǐng)求的信息，包括IP位置、本地路由器、子網(wǎng)掩碼、域名和本地域名服務(wù)器。在分組5中，客戶端通過發(fā)送DHCP Request（請(qǐng)求）報(bào)文表明自己接收到的IP位置。最后，在分組6中DHCP服務(wù)器確認(rèn)請(qǐng)求的位置并結(jié)束對(duì)話。此后，在分組7中客戶端開始使用它的新的IP位置作為源位置。在分組3和分組7到12的位置ARP協(xié)議引起了我們的注意。在分組3中，DHCP服務(wù)器詢問是否有其它主機(jī)使用IP位置192.168.0.100（該請(qǐng)求被發(fā)送到廣播位置）。這就允許DHCP服務(wù)器在分配IP之前再次確認(rèn)沒有其它主機(jī)使用該IP位置。在獲取其IP位置之后，客戶端會(huì)發(fā)

8、送3個(gè)報(bào)文詢問其他主機(jī)是否有與自己相同的IP位置。前4個(gè)ARP請(qǐng)求都沒有回應(yīng)。在分組1013中，DHCP服務(wù)器再次詢問哪個(gè)主機(jī)擁有IP位置192.168.0.100，客戶端兩次回答它占有該IP同時(shí)提供了自己的以太網(wǎng)位置。通過DHCP分配的IP位置有特定的租用時(shí)間。為了保持對(duì)某個(gè)IP的租用，客戶端必須更新租用期。當(dāng)輸入第二個(gè)命令ipconfig /renew后，在分組14和15中就會(huì)看到更新租用期的過程。DHCP Request請(qǐng)求更新租用期。DHCP ACK包括租用期的長度。如果在租用期到期之前沒有DHCP Request發(fā)送，DHCP服務(wù)器有權(quán)將該IP位置重新分配給其他主機(jī)。最后，在分組16

9、時(shí)輸入命令ipconfig /release后的結(jié)果。在DHCP服務(wù)器接收到這個(gè)報(bào)文后，客戶停止對(duì)該IP的使用。如有需要DHCP服務(wù)器有權(quán)重新對(duì)IP位置進(jìn)行分配。2、分析IPv4中的分片在第二個(gè)實(shí)驗(yàn)中，我們將考察IP數(shù)據(jù)報(bào)首部。俘獲此分組的步驟如下：（1） 啟動(dòng)Wireshark，開始分組俘獲（“Capture”-“interface”-“start”）。（2） 啟動(dòng)pingplotter（pingplotter 的下載位置為aaapingplotteraaa）,在“Address to trace:”下面的輸入框里輸入目的位置，選擇菜單欄“Edit”-“Options”-“Packet”,在

10、“Packet size(in bytes defaults=56):”右邊輸入IP數(shù)據(jù)報(bào)大小：5000，按下“OK”。最后按下按鈕“Trace”,你將會(huì)看到pingplotter窗口顯示如下內(nèi)容，如圖3所示： 圖3：ping plotter（3） 停止Wireshark。設(shè)置過濾方式為：IP，在Wireshark窗口中將會(huì)看到如下情形,如圖4所示。在分組俘獲中，你應(yīng)該可以看到一系列你自己電腦發(fā)送的“ICMP Echo Request”和由中間路由器返回到你電腦的“ICMP TTL-exceeded messages。 圖4：用ireshark 所俘獲的分組（4） 如果你無法得到上圖的分組信息

11、，也可使用已經(jīng)下載的IP分片分組文件：fragment_5000_isolated.cap。然后在Wireshark中，選擇菜單欄“File”-“Open”導(dǎo)入上述文件進(jìn)行學(xué)習(xí)。下面，我們來分析fragment_5000_isolated.cap中的具體分組：IP層位于傳輸層和鏈路層之間。在fragment_5000_isolated.cap中傳輸層協(xié)議是UDP，鏈路層協(xié)議是以太網(wǎng)。發(fā)送兩個(gè)UDP數(shù)據(jù)報(bào)，每個(gè)包含5000個(gè)字節(jié)的數(shù)據(jù)部分和8字節(jié)的UDP首部。在分組1到4和分組5到8分別代表了先后發(fā)送的兩個(gè)UDP數(shù)據(jù)報(bào)。當(dāng)IP層接收到5008字節(jié)的UDP數(shù)據(jù)報(bào)時(shí)，它的工作是將其作為IP數(shù)據(jù)報(bào)在以

12、太網(wǎng)傳輸。以太網(wǎng)要求一次傳輸?shù)拈L度不大于1514個(gè)字節(jié)，其中有14字節(jié)是以太網(wǎng)幀首部。IP被迫將UDP數(shù)據(jù)報(bào)作為多個(gè)分片發(fā)送。每個(gè)分片必須包含以太網(wǎng)幀首部、IP數(shù)據(jù)報(bào)首部。每個(gè)分片還會(huì)包含UDP數(shù)據(jù)報(bào)的有效負(fù)載（首部和數(shù)據(jù)）的一部分。IP將原始數(shù)據(jù)報(bào)的前1480個(gè)字節(jié)（含1472個(gè)字節(jié)的數(shù)據(jù)和含8個(gè)字節(jié)的UDP首部）放在第一個(gè)分片中。后面兩個(gè)分片每個(gè)均含1480個(gè)字節(jié)的數(shù)據(jù)，最后一個(gè)分片中包含的數(shù)據(jù)為568個(gè)字節(jié)）。為了讓接收段重組原始數(shù)據(jù)，IP使用首部的特殊字段對(duì)分片進(jìn)行了編號(hào)。標(biāo)識(shí)字段用于將所有的分片連接在一起。分組1到4含有相同的標(biāo)識(shí)號(hào)0xfd2b,分組5到8的標(biāo)識(shí)號(hào)是0xfd2c.片偏

13、移量指明了分組中數(shù)據(jù)的第一個(gè)字節(jié)在UDP數(shù)據(jù)報(bào)中的偏移量。例如分組1和分組5的偏移量都是0，因?yàn)樗鼈兌际堑谝粋€(gè)分片。最后在標(biāo)識(shí)字段中有一位用來指明這個(gè)分片后是否還有分片。分組1到分組3和分組5到分組7均對(duì)該位置進(jìn)行了置位。分組4和分組8由于是最后一個(gè)分片而沒有對(duì)該位置位。四、實(shí)驗(yàn)報(bào)告內(nèi)容打開文件dhcp_isolated.cap、fragment_5000_isolated.cap，回答以下問題（每個(gè)問題能截圖的盡量截圖并配以文字說明）：1、 DHCP服務(wù)器廣播的本地路由器或默認(rèn)網(wǎng)關(guān)的IP位置是多少？答： 本地路由器或默認(rèn)網(wǎng)關(guān)的IP位置是：255.255.255.02、 在dhcp_isola

14、ted.cap中，由DHCP服務(wù)器分配的域名是多少？答：DHCP服務(wù)器分配的域名是：twcny.rraaa3、 在fragment_5000_isolated.cap中，我們看到通過UDP數(shù)據(jù)報(bào)發(fā)送的5000字節(jié)被分成了多少分片？他們的標(biāo)志Flag分別是？答：發(fā)送的5000字節(jié)被分為4個(gè)分片，標(biāo)志Flag分別為:0x01、0x01、0x01、0x00。截圖如下： 第一分片：第二分片：第三分片：第四分片：4、 在網(wǎng)絡(luò)中，一次能傳輸且不需要分片的最大數(shù)據(jù)單元有多大？答：一次能傳輸且不需要分片的最大數(shù)據(jù)單元有1480字節(jié)截圖如下，此圖為分組1的圖，分組1就是第一個(gè)分片，第一個(gè)分片肯定達(dá)到能傳輸且不需要分片的最大數(shù)據(jù)單元。圖中數(shù)據(jù)長度為1480字節(jié)。5、 按時(shí)間排序后，在fragment_5000_isolated.cap中，說明第八個(gè)分組中如下內(nèi)容分別是什么。截圖如下：1）IP數(shù)據(jù)報(bào)中的版本號(hào)答：版本號(hào)（version）為4。2）首部長度答：首部長度（header length）是20字節(jié)。3）數(shù)據(jù)報(bào)總長度答：數(shù)據(jù)報(bào)總長度（total length）：588字節(jié)。4）標(biāo)識(shí)Identification答：標(biāo)識(shí)Identification為：0xfd2c(64812)。5) 標(biāo)志Flags答：標(biāo)志Flag為: 0x00。6) 數(shù)據(jù)報(bào)片偏移offset答:數(shù)據(jù)報(bào)片偏移offset為：44