實驗四利用Wireshark分析ICMP

1、實驗四 利用Wireshark分析ICMP 一、實驗?zāi)康姆治鯥CMP二、實驗環(huán)境與因特網(wǎng)連接的計算機，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實驗步驟Ping和traceroute命令都依賴于ICMP。ICMP可以看作是IP協(xié)議的伴隨協(xié)議。ICMP報文被封裝在IP 數(shù)據(jù)報發(fā)送。一些ICMP報文會請求信息。例如：在ping中，一個ICMP回應(yīng)請求報文被發(fā)送給遠程主機。如果對方主機存在，期望它們返回一個ICMP回應(yīng)應(yīng)答報文。一些ICMP報文在網(wǎng)絡(luò)層發(fā)生錯誤時發(fā)送。例如，有一種ICMP報文類型表示目的不可達。造成不可達的原因很多，ICMP報文試圖確定這一問題。例如，可能是

2、主機關(guān)及或整個網(wǎng)絡(luò)連接斷開。有時候，主機本身可能沒有問題，但不能發(fā)送數(shù)據(jù)報。例如IP首部有個協(xié)議字段，它指明了什么協(xié)議應(yīng)該處理IP數(shù)據(jù)報中的數(shù)據(jù)部分。IANA公布了代表協(xié)議的數(shù)字的列表。例如，如果該字段是6，代表TCP報文段,IP層就會把數(shù)據(jù)傳給TCP層進行處理；如果該字段是1，則代表ICMP報文，IP層會將該數(shù)據(jù)傳給ICMP處理。如果操作系統(tǒng)不支持到達數(shù)據(jù)報中協(xié)議字段的協(xié)議號，它將返回一個指明“協(xié)議不可達”的ICMP報文。IANA同樣公布了ICMP報文類型的清單。Traceroute是基于ICMP的靈活用法和IP首部的生存時間字段的。發(fā)送數(shù)據(jù)報時生存時間字段被初始化為能夠穿越網(wǎng)絡(luò)的最大跳數(shù)。

3、每經(jīng)過一個中間節(jié)點，該數(shù)字減1。當(dāng)該字段為0時，保存該數(shù)據(jù)報的機器將不再轉(zhuǎn)發(fā)它。相反，它將向源IP地址發(fā)送一個ICMP生存時間超時報文。生存時間字段用于避免數(shù)據(jù)報載網(wǎng)絡(luò)上無休止地傳輸下去。數(shù)據(jù)報的發(fā)送路徑是由中間路由器決定的。通過與其他路由器交換信息，路由器決定數(shù)據(jù)報的下一條路經(jīng)。最好的“下一跳”經(jīng)常由于網(wǎng)絡(luò)環(huán)境的變化而動態(tài)改變。這可能導(dǎo)致路由器形成選路循環(huán)也會導(dǎo)致正確路徑?jīng)_突。在路由循環(huán)中這種情況很可能發(fā)生。例如，路由器A認為數(shù)據(jù)報應(yīng)該發(fā)送到路由器B，而路由器B又認為該數(shù)據(jù)報應(yīng)該發(fā)送會路由器A，這是數(shù)據(jù)報便處于選路循環(huán)中。生存時間字段長為8位，所以因特網(wǎng)路徑的最大長度為28 -1即255跳。

4、大多數(shù)源主機將該值初始化為更小的值（如128或64）。將生存時間字段設(shè)置過小可能會使數(shù)據(jù)報不能到達遠程目的主機，而設(shè)置過大又可能導(dǎo)致處于無限循環(huán)的選路中。Traceroute利用生存時間字段來映射因特網(wǎng)路徑上的中間節(jié)點。為了讓中間節(jié)點發(fā)送ICMP生存時間超時報文，從而暴露節(jié)點本身信息，可故意將生存時間字段設(shè)置為一個很小的書。具體來說，首先發(fā)送一個生存時間字段為1的數(shù)據(jù)報，收到ICMP超時報文，然后通過發(fā)送生存時間字段設(shè)置為2的數(shù)據(jù)報來重復(fù)上述過程，直到發(fā)送ICMP生存時間超時報文的機器是目的主機自身為止。因為在分組交換網(wǎng)絡(luò)中每個數(shù)據(jù)報時獨立的，所以由traceroute發(fā)送的每個數(shù)據(jù)報的傳送路

5、徑實際上互不相同。認識到這一點很重要。每個數(shù)據(jù)報沿著一條路經(jīng)對中間節(jié)點進行取樣，因此traceroute可能暗示一條主機間并不存在的連接。因特網(wǎng)路徑經(jīng)常變動。在不同的日子或一天的不同時間對同一個目的主機執(zhí)行幾次traceroute命令來探尋這種變動都會得到不同的結(jié)果。為了體現(xiàn)Internet路由的有限可見性，許多網(wǎng)絡(luò)都維護了一個traceroute服務(wù)器traceroute。Traceroute服務(wù)器將顯示出從本地網(wǎng)到一個特定目的地執(zhí)行traceroute的結(jié)果。分布于全球的traceroute服務(wù)器的相關(guān)信息可在上獲得。1、ping 和 ICMP利用Ping程序產(chǎn)生ICMP分組。Ping向因

6、特網(wǎng)中的某個特定主機發(fā)送特殊的探測報文并等待表明主機在線的回復(fù)。具體做法：（1）打開Windows命令提示符窗口（Windows Command Prompt）。（2）啟動Wireshark 分組嗅探器，在過濾顯示窗口（filter display window）中輸入icmp,開始Wireshark 分組俘獲。（3）輸入“ping n 10 hostname” 。其中“-n 10”指明應(yīng)返回10條ping信息。（4）當(dāng)ping程序終止時，停止Wireshark 分組俘獲。 實驗結(jié)束后會出現(xiàn)如圖所示的命令窗口：圖4.1 命令窗口停止分組俘獲后，會出現(xiàn)如圖4.2所示的界面：圖4.2 停止分組俘獲

7、后Wireshark的界面圖4.3是在分組內(nèi)容窗口中顯示了ICMP協(xié)議的詳細信息。觀察這個ICMP分組，可以看出，此ICMP分組的Type 8 and Code 0 即所謂的ICMP “echo request” 分組。圖4.3 ICMP協(xié)議詳細信息在實驗報告中回答下面問題：（1）你所在主機的IP地址是多少？目的主機的IP地址是多少？主機：目的：（2）查看ping請求分組，ICMP的type 和code是多少？這個ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:8 code:0Checksum:0x1852

8、 sequence number:2357(0x0935)Identifier:256(0x0100)（3）查看相應(yīng)得ICMP響應(yīng)信息，ICMP的type 和code又是多少？這個ICMP 包包含了哪些其他的字段？Checksum、sequence number 和identifier 字段的值各為多少？Type:0 code:0Checksum:0x2052 sequence number:2357Identifier:2562. ICMP和Traceroute在Wireshark 下，用Traceroute程序俘獲ICMP分組。Traceroute能夠映射出通往特定的因特網(wǎng)主機途徑的所有中

9、間主機。源端發(fā)送一串ICMP分組到目的端。發(fā)送的第一個分組時，TTL=1；發(fā)送第二個分組時，TTL=2，依次類推。路由器把經(jīng)過它的每一個分組TTL字段值減1。當(dāng)一個分組到達了路由器時的TTL字段為1時，路由器會發(fā)送一個ICMP錯誤分組（ICMP error packet）給源端。(1) 啟動Window 命令提示符窗口(2) 啟動Wireshark分組嗅探器，開始分組俘獲。（3）Tracert命令在c:windowssystem32下，所以在MS-DOS 命令提示行或者輸入“tracert hostname” or “c:windowssystem32tracert hostname” (注意

10、在Windows 下, 命令是 “tracert” 而不是“traceroute”。)如圖4所示：（4）當(dāng)Traceroute 程序終止時，停止分組俘獲。 圖4.4 命令提示窗口顯示Traceroute程序結(jié)果圖4.5顯示的是一個路由器返回的ICMP錯誤分組（ICMP error packet）。注意到ICMP錯誤分組中包括的信息比Ping ICMP中錯誤分組包含的信息多。圖4.5 一個擴展ICMP錯誤分組信息的Wireshark 窗口在實驗報告中回答下面問題：（1） 查看ICMP echo 分組 ，是否這個分組和前面使用 ping命令的ICMP echo 一樣？ 前者 data 32 后者 data 64（2） 查看ICMP錯誤分組，它比IC