网络分析软件及网络层协议分析

1、网络分析软件及网络层协议分析实验五 网络分析软件使用及网络层协议分析一、实验目的1、掌握WireShark网络协议分析软件使用。2、掌握ping和tracert命令的使用方法，了解ICMP协议报文类型及作 用。3、理解IP协议报文类型和格式，掌握IP V4地址的编址方法。4、分析ARP协议的报文格式，理解 ARP协议的解析过程。、实验方式每位同学各自独立完成实验。三、实验内容1、ICMP协议分析实验执行ping和tracert 命令，分别截获报文，分析截获的ICMP报文类型和ICMP报文格式，理解ICMP协议的作用。目前网络中常用的基于ICMP的应用程序主要有ping命令和tracert 命

2、令。ping 命令Ping命令是调试网络常用的工具之一。它通过发出ICMP Echo请求报文并监听其回应来 检测网络的连通性。图1显示了 Wireshark捕获的ICMP Echo请求报文和应答报文。w_ 孕 KIN. t -a-z-*-1 y-i:.9 i- gAt 1戸*,屮5*pi-l Mmf -i h*ii Ih：斷r： mK*I川:Ji_bj fiiijiJ. . . -b!r： Wtnc * t * m ：- tijT.T i jr_if& :J；丄Hr 二于壬s 匚mF i F匚 If = Ur 二;亦帀L：LT触电1JU TywtFrrw肯：IF*：-：T; T卜芒匚哼M璽工

3、比II时)円訂嗣那*Tj在忌J:匚m咗亦三石5hw*:.茜;Ic訂；rQiuYJ” ?；2U ib；TF?j 协”rM为斗J:片LF 甬 J , 丄11 1h I I 屮上II $ 叮 宣；I时图5.2 IP数据报分片示例重组是分片的逆过程，分片只有到达目的主机时才进行重组。当目的主机收到IP 报文时，根据其片偏移和标志 MF 位判断其是否一个分片。若 MF 为 0 ，片偏 移为 0 ，则表明它是一个完整的报文 ; 否则，则表明它是一个分片。当一个报文的 全部分片都到达目的主机时， IP 就根据报头中的标识符和片偏移将它们重新组成一个完整的报文交给 上层协议处理。4、ARP协议分析实验Arp

4、命令简介本次实验使用的 Windows自带的Arp命令提供了显示和修改地址解析协议所使用的地址 映射表的功能。Arp 命令的格式要求如下 :ARP -s inet_addr eth_addr if_addr ARP -d inet_addr if_addrARP -a inet_addr -N if_addr-s: 在 ARP 缓存中添加表项 :将 IP其中:地址 inet_addr 和物理地址 ether_addr关联，物理 地址由以连字符分隔的 6个十六进制数给定，使用点分十进制标记指定 IP 地址，添加 项是永久性的 ;-d: 删除由 inet_addr 指定的表项 ;-a: 显示当前

5、ARP 表，如果指定了 inet_addr 则只显示指定计算机的 IP 和 物理地址 ;inet_addr: 以点分十进制标记指定 IP 地址;-N: 显示由 if_addr 指定的 ARP 表项 ;if_addr: 指定需要选择或修改其地址映射表接口的 IP 地址;ether_addr: 指定物理地址 ;四、实验步骤1、ICMP协议分析步骤 1: 分别在 PC1 和 PC2 上运行 Wireshark ，开始截获报文，为了只截获和实验内容有 关的报文，将 Wireshark 的 Captrue Filter设置为“ icmp”;步骤 3:步骤 2: 在 PC1 以 PC2 为目标主机，在命令

6、行窗口执行 Ping 命令 ;请写出执行的命令 :_ping 192.168.1.8停止截获报文，将截获的结果保存为 ICMP-1- 学号，分析截获的结果，回答下 列 问题:1 ）您截获几个 ICMP 报文, 分别属于那种类型 ,2)两个报文，分别属于 Echo(ping)reguest 和 Echo(ping)reply分析截获的 ICMP 报文，查看表 5.1 中要求的字段值，填入表中。表 5.1 ICMP 报文分析报文号 源 IP 目的 IP 报文格式类型 代码 标识 序列号1 192.168.1.9 192.168.1.8 8 0 0x0001 37/9472 192.168.1.8

7、192.168.1.9 0 8 0x0001 37/9473 192.168.1.9 192.168.1.8 8 0 0x0001 38/9724 192.168.1.8 192.168.1.9 0 8 0x0001 38/9725 192.168.1.9 192.168.1.8 8 0 0x0001 39/9986 192.168.1.8 192.168.1.9 0 8 0x0001 39/998分析在上表中哪个字段保证了回送请求报文和回送应答报文的一一对应，仔细体会 Ping 命令的作用。答: 序列号保证了回送报文和请求报文。使用 ping 命令可以很方便的检测到网络的连通情况。步骤5:在

8、PC1上执行Tracert命令，向一个本网络中不存在的主机发送数据报，如：Tracert 172.16.20.200;步骤 6: 停止截获报文，将截获的结果保存为 ICMP-2- 学号，分析截获的报文，回答下 列问题 :1 )截获了报文中哪几种 ICMP 报文, 其类型码和代码各为多少 ,一种报文：Time-to-live exceeded, 类型 11，代码 02)在截获的报文中，超时报告报文的源地址是多少 , 这个源地址指定设备和 PC1 有何关系,超时源地址为 192.168.1.1_ 。这个源地址指定设备就是PC1的IP地址3) 通过对两次截获的 ICMP 报文进行综合分析，仔细体会I

9、CMP 协议在网络中的作用。 答： 作用 ： 发送请求和接受应答。2、IP 协议分析步骤 1: 截获 PC1 上 ping PC2的报文，结果保存为 IP-学号;步骤 4: 任取一个数据报，分析IP 协议的报文格式，完成下列各题 : 1) 分析IP 数据报头的格式，完成表 5.2;表 5.2 IP 协议字段 报文信息 说明 版本 IP协议类型 IPv4 4头长 IP 数据包的头长度 20bytes服务类型 数据报的处理方式 00总长度 总长度指首部和数据之和的 60长度 标识 用于分片操作中 0x13be(5054)标志 用于分片操作中 0x00片偏移 用于分片操作中 0生存周期 数据报的存活

10、时间 64协议 说明法师宏数据报的上层协 ICMP议 校验和 数据报头部的完整性校验 0x0000源地址 标识发送方通信终端设备的 192.168.1.9IP 地址 目的地址 标识接收方通信终端设备的 192.168.1.1IP 地址2) 查看该数据报的源 IP 地址和目的 IP地址，他们分别是哪类地址 , 体会 IP地址的编 址方法。源地址 :192.168.1.9 类地址; 目的 IP地址 192.168.1.1 类地址， IP 地址是点分十进制方式，每段 8 位3、IP 数据报分片实验步骤 1: 在 PC1、PC2 两台计算机上运行Wireshark ，为了只截获和实验有关的数据报，设

11、置 Wireshark 的截获条件为对方主机的 IP 地址，开始截获报文 ;步骤 2: 在 PC1 上执行如下 Ping 命令，向主机 PC2 发送 4500B 的数据报文 :Ping - l 4500- n 2 PC2 的 IP 地址步骤 3: 停止截获报文，分析截获的报文，回答下列问题1)以太网的 MTU 是多少, 1480A）对截获的报文分析，将属于同一 ICMP请求报文的分片找出来，主机 PC1向主机 PC2 发送的 ICMP 请求报文分成了几个分片B）若要让主机PC1向主机PC2发送的数据分为3 个分片，则 Ping 命令中的报文长度应为多大 ,为什么 ,大于 2960 小于 444

12、05.3:片偏移（Fragment数据长度124） 将第二个 ICMP 请求报文的分片信息填入表表 5.3 ICMP 请求报文分片信息分片序号 标识(Identification)标志(Flag)0x185a 0x00 4440 884、ARP协议分析实验步骤1:在PC1、PC2两台计算机上执行如下命令，清除 ARP缓存：ARP -d步骤 2: 在 PC1、 PC2 两台计算机上执行如下命令，查看高速缓存中的 ARP 地 址映射表 的内容 :ARP - a步骤 3: 在 PC1 和 PC2 上运行 Wireshark 截获报文，为了截获和实验内容有 关的报文， Wireshark 的 Capt

13、rue Filter 设置为默认方式 ;步骤 4: 在主机 PC1 上执行 Ping 命令向 PC2 发送数据报 ;步骤 5: 执行完毕，保存截获的报文并命名为 arp-1- 学号;步骤 6: 在 PC1、 PC2 两台计算机上再次执行 ARP - a 命令，查看高速缓存中 的 ARP 地 址映射表的内容 :1） 这次看到的内容和步骤 3 的内容相同吗 , 结合两次看到的结果，理解 ARP高速缓存 的作用。答: 不同。这个高速缓存存放了最近 Ineternet 地址到硬件地址之间的映射记 录。2)把这次看到到的咼速缓存中的 ARP地址映射表写出来。I rj l!；jh?i155. lie.1

14、叫 1!U地址厨B呂g 13 ru -11 .-1 LI- I _ 巳N鱼 R _JI- y _yJ曲Q Z0.:;, z：i. 0. 3. 22t t). 1 21. 0 D. :関一 n. nth 2沁,;、u一“:OiBajimi0孕：? i ：； 4 J拆】；! IS此丄舟列胡dV 弧谒佶一 6&右训飞d 3S-U-Li-ri-5-SOS-rit-心药七-zt-37-cl m*.： 4; bfl hl ff -ft ff r ft 叮-门-hVEQ-苗 角-OAT 訂:q-CQYJ Oi-O：T-；-CO-il.Ql-DA 民-附-训-fH )1 UJ 礙3 ff U ti fi :i

15、学号；)在截获的报文中由几个 ARP报文,在以太帧中,ARP协议类型的代码值是什步骤7:重复步骤4 5,将此结果保存为arp-2-步骤8:打开arp-1-学号，完成以下各题：么,_答:17个，代码值为：0x0800,分析其原因。)打开arp-2-学号，比较两次截获的报文有何区别答:在arp-2没有ARP报文，这是因为在第一次操作时，已经将路由信息存入ARP高速缓存中，不通过ARP广播请求消息来获得路由信息。a)分析arp-1中ARP报文的结构，完成表5.4。表5.4 ARP报文分析ARP请求报文ARP应答报文字段报文信息及参数字段报文信息及参数硬件类型硬件类型Ethemet(l)Ethemet(l)协议类型协议类型IPv4 IPv4 硬件地址长度硬件地址长度6 6协议地址长度协议地址长度4 4 操作操作Request。)Reply(2) 源站物理地