第2章ARP协议分析

1、1 1第二章第二章 ARPARP协议分析协议分析引言引言2 2InternetInternet地址表现在地址表现在IPIP层，而网络接口层使用层，而网络接口层使用的是物理地址。即的是物理地址。即InternetInternet真正做的工作是在真正做的工作是在各种物理网络技术上覆盖一层各种物理网络技术上覆盖一层IPIP软件，将物理软件，将物理地址隐藏起来。地址隐藏起来。两种地址之间必须要建立映射关系，这就涉及两种地址之间必须要建立映射关系，这就涉及到地址映射问题。到地址映射问题。地址之间的映射也称地址转换或地址解析地址之间的映射也称地址转换或地址解析（resolutionresolution），

2、它包括两方面内容：从），它包括两方面内容：从IPIP地地址到物理地址的解析址到物理地址的解析(ARP,Address (ARP,Address Resolution ProtocolResolution Protocol，地址转换协议，地址转换协议 ) )和从和从物理地址到物理地址到IPIP地址的解析地址的解析(RARP,Reverse (RARP,Reverse Address Resolution ProtocolAddress Resolution Protocol，逆向地址，逆向地址转换协议转换协议 ) )。 6.16.1地址解析协议地址解析协议ARP ARP 3 3网络上的任何两台计

3、算机的信息传送，最终都网络上的任何两台计算机的信息传送，最终都要靠物理地址来实现，即信息帧的传送是通过要靠物理地址来实现，即信息帧的传送是通过物理地址到达目的机器的。而网络上的任何一物理地址到达目的机器的。而网络上的任何一次从次从IPIP层以上，包括层以上，包括IPIP层，发起的数据传输都层，发起的数据传输都使用使用IPIP地址，一旦到了物理网络就必须转换成地址，一旦到了物理网络就必须转换成网卡地址，否则物理网络根本不能识别地址信网卡地址，否则物理网络根本不能识别地址信息，更谈不上传输数据。息，更谈不上传输数据。IPIP地址到物理地址映射有两种方式，一种是直地址到物理地址映射有两种方式，一种是

4、直接映射（接映射（direct mappingdirect mapping），一种动态绑定），一种动态绑定（dynamic bindingdynamic binding，有时称动态联编）方式。，有时称动态联编）方式。直接映射又有表格方式和函数方式两种。直接映射又有表格方式和函数方式两种。 6.1.1 6.1.1 直接映射直接映射4 4(1)(1)表格方式表格方式 表格方式是事先在各主机中建立一张表格方式是事先在各主机中建立一张IPIP地址到物地址到物理地址映射表。理地址映射表。 这种方式很简单，但有两个缺点；第一，映射表这种方式很简单，但有两个缺点；第一，映射表要人工建立；第二，映射表要人工维

5、护。要人工建立；第二，映射表要人工维护。 总之表格方式全靠人来完成，由于人的速度太慢，总之表格方式全靠人来完成，由于人的速度太慢，因此表格方式不适应大规模和长距离网络或映射关因此表格方式不适应大规模和长距离网络或映射关系变化频繁的网络。系变化频繁的网络。1. 1. 直接映射直接映射5 5(1) (1) 函数方式函数方式 选择一个使地址转换高效的编号方法就是选择一选择一个使地址转换高效的编号方法就是选择一个函数个函数f f，由该函数把，由该函数把IPIP地址映射到物理地址，即地址映射到物理地址，即 PHPHA Af f（IPIPA A） 实际的实际的ARPARP协议中，为加快映射效率，常采用一协

6、议中，为加快映射效率，常采用一些高效搜索算法，来处理些高效搜索算法，来处理IPIP地址和物理地址映射表地址和物理地址映射表数据。如用传统的哈希（数据。如用传统的哈希（hashhash）函数搜索地址表。）函数搜索地址表。 6.1.26.1.2、动态绑定、动态绑定 6 6ARPARP基本原理基本原理 地址转换协议地址转换协议ARPARP允许主机在只知道同一物理网络上一允许主机在只知道同一物理网络上一个目的站个目的站IPIP地址的情况下，找到目的主机的物理地址。地址的情况下，找到目的主机的物理地址。 思路：主机思路：主机A A要向主机要向主机B B发送数据，发送数据，A A当然应该首先知道当然应该首

7、先知道B B的的IPIP地址，但未必知道物理地址。为了根据地址，但未必知道物理地址。为了根据B B的的IPIP地址地址IBIB确确定它的物理地址定它的物理地址PBPB，主机，主机A A向网上的所有机器广播一个包向网上的所有机器广播一个包含含IBIB的的ARPARP请求；网络上所有机器均会收到这样信息包，请求；网络上所有机器均会收到这样信息包，但由于信息包中包含了但由于信息包中包含了IBIB，只有主机，只有主机B B做出响应并发出一做出响应并发出一个包含自己个包含自己IPIP地址和物理地址（地址和物理地址（IBIB，PBPB）的）的ARPARP应答。主应答。主机机A A收到应答后，即获得主机收到

8、应答后，即获得主机B B的物理地址的物理地址PB.PB.。然后就用。然后就用该物理地址把该物理地址把IPIP分组直接发送给分组直接发送给B B。 ARPARP协议工作原理示意图协议工作原理示意图7 72. ARP2. ARP高速缓存技术高速缓存技术 8 8为提高解析效率，为提高解析效率，ARPARP使用了高速缓存技术使用了高速缓存技术（cachingcaching）。在每台使用）。在每台使用ARPARP的主机中（用户的主机中（用户网络工作站），都保留了一个专用的内存区网络工作站），都保留了一个专用的内存区（即高速缓存），存放最近获得的（即高速缓存），存放最近获得的IPIP地址到物地址到物理地址

9、映射数据。一收到理地址映射数据。一收到ARPARP应答，主机就将应答，主机就将信宿机（目标主机）的信宿机（目标主机）的IPIP地址和物理地址存入地址和物理地址存入缓存。缓存。欲发送报文时，首先去缓存中查找相应数据，欲发送报文时，首先去缓存中查找相应数据，若找不到，再利用若找不到，再利用ARPARP进行地址转换。这样就进行地址转换。这样就不必每发一个报文都要事先进行动态绑定。不必每发一个报文都要事先进行动态绑定。ARPARP缓存的超时机制缓存的超时机制 9 9缓存提高了缓存提高了ARPARP效率，但对效率，但对ARPARP缓存必须建立一种超缓存必须建立一种超时机制，才能确保时机制，才能确保ARP

10、ARP可靠运行，使得信息可以在可靠运行，使得信息可以在没有任何警告的情况下自动变成没有任何警告的情况下自动变成“失效失效”。 ARPARP协议使用计时器方法，当计时器超时后则删除协议使用计时器方法，当计时器超时后则删除状态信息。例如，当地址绑定信息放入状态信息。例如，当地址绑定信息放入ARPARP缓存时，缓存时，协议需要设置一个计时器，典型的超时时间是协议需要设置一个计时器，典型的超时时间是2020分分钟。当计时器超时后，必须把信息删除。钟。当计时器超时后，必须把信息删除。 超时机制的必要性超时机制的必要性 1010假设有两台计算机假设有两台计算机A A和和B B，都连接到一个以太网上。，都连

11、接到一个以太网上。A A已经发送了一个已经发送了一个ARPARP请求，请求，B B做出了应答，当然此做出了应答，当然此时时A A的的ARPARP缓存中就建立了关于缓存中就建立了关于B B的的IPIP地址与物理地地址与物理地址的绑定。再假设应答后址的绑定。再假设应答后B B出现故障。计算机出现故障。计算机A A不不会接到任何关于该故障的通告。而且，因为在会接到任何关于该故障的通告。而且，因为在A A的的ARPARP缓存中已经有了缓存中已经有了B B的地址绑定信息，的地址绑定信息，A A将继续把将继续把分组发送给分组发送给B B。以太网硬件没有提供。以太网硬件没有提供B B不在线的指不在线的指示，

12、因为以太网并不为发送提供保证。这样，示，因为以太网并不为发送提供保证。这样，A A没没有办法知道自己的有办法知道自己的ARPARP缓存中的信息什么时候变成缓存中的信息什么时候变成过时的或错误的。过时的或错误的。 1111超时机制的必要性超时机制的必要性 假设有两台计算机假设有两台计算机A A和和B B，都连接到一个以太网上。，都连接到一个以太网上。A A已经发送了一个已经发送了一个ARPARP请求，请求，B B做出了应答，当然此做出了应答，当然此时时A A的的ARPARP缓存中就建立了关于缓存中就建立了关于B B的的IPIP地址与物理地地址与物理地址的绑定。再假设应答后址的绑定。再假设应答后B

13、 B出现故障。计算机出现故障。计算机A A不不会接到任何关于该故障的通告。而且，因为在会接到任何关于该故障的通告。而且，因为在A A的的ARPARP缓存中已经有了缓存中已经有了B B的地址绑定信息，的地址绑定信息，A A将继续把将继续把分组发送给分组发送给B B。以太网硬件没有提供。以太网硬件没有提供B B不在线的指不在线的指示，因为以太网并不为发送提供保证。这样，示，因为以太网并不为发送提供保证。这样，A A没没有办法知道自己的有办法知道自己的ARPARP缓存中的信息什么时候变成缓存中的信息什么时候变成过时的或错误的。过时的或错误的。 1212ARPARP高速缓存的改进高速缓存的改进 在在A

14、RPARP请求报文中放入信源机的请求报文中放入信源机的IPIP地址与物地址与物理地址的绑定，以防信宿机紧接着为解析信源理地址的绑定，以防信宿机紧接着为解析信源机的物理地址而再来一次动态绑定。机的物理地址而再来一次动态绑定。信源机在广播自已的地址绑定时，网上所有信源机在广播自已的地址绑定时，网上所有主机都可以将该绑定信息存入自已的高速缓存。主机都可以将该绑定信息存入自已的高速缓存。新机入网时或主机更换网卡时，令其主动广新机入网时或主机更换网卡时，令其主动广播地址绑定，以免其他主机对它运行播地址绑定，以免其他主机对它运行ARPARP。1313接收方要处理两种到达的接收方要处理两种到达的ARPARP

15、分组分组如果到达的是一个如果到达的是一个ARPARP请求，则接收方机器要请求，则接收方机器要查看它自己是否是请求的目标（也就是说，某查看它自己是否是请求的目标（也就是说，某个其他机器广播了一个对自己物理地址的请求，个其他机器广播了一个对自己物理地址的请求，则该接受方的则该接受方的ARPARP软件就用本机的物理地址形软件就用本机的物理地址形成应答，并把应答直接发给请求机器）。成应答，并把应答直接发给请求机器）。如果发送方的地址对不在接收方的高速缓存中，如果发送方的地址对不在接收方的高速缓存中，则接收方还要把这个地址对添加到缓存中。如则接收方还要把这个地址对添加到缓存中。如果在果在ARPARP请求

16、中提到的请求中提到的IPIP地址与本地地址与本地IPIP不匹配，不匹配，则分组是在请求网上其他机器物理地址，可忽则分组是在请求网上其他机器物理地址，可忽略该分组。略该分组。总结总结ARPARP的工作原理的工作原理 14141. 1. 首先，每台主机都会在自己的首先，每台主机都会在自己的ARPARP缓冲区缓冲区 (ARP Cache)(ARP Cache)中建立一个中建立一个 ARPARP列表，以表示列表，以表示IPIP地址和地址和MACMAC地址的对应关系。地址的对应关系。 2. 2. 当源主机需要将一个数据包要发送到目的主当源主机需要将一个数据包要发送到目的主机时，会首先检查自己机时，会首先

17、检查自己 ARPARP列表中是否存在该列表中是否存在该 IPIP地址对应的地址对应的MACMAC地址，如果有地址，如果有就直接将数就直接将数据包发送到这个据包发送到这个MACMAC地址；如果没有，就向本地址；如果没有，就向本地网段发起一个地网段发起一个ARPARP请求的广播包，查询此目请求的广播包，查询此目的主机对应的的主机对应的MACMAC地址。此地址。此ARPARP请求数据包里包请求数据包里包括源主机的括源主机的IPIP地址、硬件地址、以及目的主机地址、硬件地址、以及目的主机的的IPIP地址。地址。 总结总结ARPARP的工作原理的工作原理15153. 3. 网络中所有的主机收到这个网络中

18、所有的主机收到这个ARPARP请求后，会检查数据请求后，会检查数据包中的目的包中的目的IPIP是否和自己的是否和自己的IPIP地址一致。如果不相同地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的就忽略此数据包；如果相同，该主机首先将发送端的MACMAC地址和地址和IPIP地址添加到自己的地址添加到自己的ARPARP列表中，如果列表中，如果ARPARP表表中已经存在该中已经存在该IPIP的信息，则将其覆盖，然后给源主机的信息，则将其覆盖，然后给源主机发送一个发送一个 ARPARP响应数据包，告诉对方自己是它需要查响应数据包，告诉对方自己是它需要查找的找的MACMAC地址；地址；

19、 4. 4. 源主机收到这个源主机收到这个ARPARP响应数据包后，将得到的目的主响应数据包后，将得到的目的主机的机的IPIP地址和地址和MACMAC地址添加到自己的地址添加到自己的ARPARP列表中，并利列表中，并利用此信息开始数据的传输。如果源主机一直没有收到用此信息开始数据的传输。如果源主机一直没有收到ARPARP响应数据包，表示响应数据包，表示ARPARP查询失败。查询失败。 6.1.3 ARP6.1.3 ARP的分组格式的分组格式 16161. ARP1. ARP报文封装到帧报文封装到帧 为了识别携带为了识别携带ARPARP报文的帧，发送方给帧首部的类型字报文的帧，发送方给帧首部的类

20、型字段分配了一个特殊值，并把段分配了一个特殊值，并把ARPARP报文含在该帧的数据字段报文含在该帧的数据字段中。当每一帧到达计算机时，网络软件通过帧类型确定其中。当每一帧到达计算机时，网络软件通过帧类型确定其内容。在大多数技术中，所有携带内容。在大多数技术中，所有携带ARPARP报文的帧都使用一报文的帧都使用一种类型值，而接收方的网络软件必须进一步区分种类型值，而接收方的网络软件必须进一步区分ARPARP请求请求和和ARPARP应答。例如，在以太网中，携带应答。例如，在以太网中，携带ARPARP报文的帧类型字报文的帧类型字段是段是0 x08060 x0806。 ARPARP报文报文帧数据区帧数

21、据区帧首部帧首部ARPARP分组的格式分组的格式 ARPARP分组包括：分组包括：ARPARP请求分组和请求分组和ARPARP应答分组。应答分组。ARPARP分组的格式如图所示。分组的格式如图所示。硬件类型硬件类型协议类型协议类型硬件地址长度硬件地址长度协议地址长度协议地址长度操操 作作发送方硬件地址（发送方硬件地址（03）发送方硬件地址发送方硬件地址(4-5)发送方发送方IP 地址（地址（01）发送方发送方IP 地址（地址（23）目标硬件地址（目标硬件地址（01）目标硬件地址（目标硬件地址（25）目标目标IP 地址（地址（03）17170 8 16 31字段说明字段说明1818硬件类型（硬件

22、类型（Hardware TypeHardware Type）字段：表示运行）字段：表示运行ARPARP的网络类型；对于以太网，该类型的值为的网络类型；对于以太网，该类型的值为“1”1”。协议类型（协议类型（ Protocol TypeProtocol Type）字段：指明发送方）字段：指明发送方提供的高层协议地址类型；对于提供的高层协议地址类型；对于 IPIP地址，这个值地址，这个值为为0 x08060 x0806。 字段说明字段说明1919硬件地址长度（硬件地址长度（HLENHLEN）字段：表示物理地址的长度。）字段：表示物理地址的长度。协议地址长度（协议地址长度（PLENPLEN）字段：网

23、络层协议地址长度。）字段：网络层协议地址长度。操作（操作（OperationOperation）字段：指明是）字段：指明是ARPARP请求，分四请求，分四种情况：代码种情况：代码“1”ARP1”ARP响应；代码响应；代码“2”ARP2”ARP响应；响应；代码代码“3”RARP3”RARP请求；代码请求；代码“4”RARP4”RARP响应。响应。 字段说明字段说明2020发送方硬件地址发送方硬件地址(0-3(0-3字节字节) )：源主机硬件地址的前：源主机硬件地址的前3 3个字节；个字节；发送方硬件地址发送方硬件地址(4-5(4-5字节字节) ) ：源主机硬件地址的后：源主机硬件地址的后3 3个

24、字节；个字节；发送方发送方IP(0-1IP(0-1字节字节) ) ：源主机：源主机IPIP地址的前地址的前2 2个字节；个字节；发送方发送方IP(2-3IP(2-3字节字节) ) ：源主机：源主机IPIP地址的后地址的后2 2个字节；个字节；目标硬件地址目标硬件地址(0-1(0-1字节字节) ) ：目的主机硬件地址的前：目的主机硬件地址的前2 2个字节；个字节；目标硬件地址目标硬件地址(2-5(2-5字节字节) ) ：目的主机硬件地址的后：目的主机硬件地址的后4 4个字节；个字节；目标目标IP(0-3IP(0-3字节字节) ) ：目的主机的：目的主机的IPIP地址。地址。 字段说明字段说明2121当发出请求时，发送方用目标当发出请求时，发送方用目标 IPIP地址地址（Target IPTarget IP）字段提供目标）字段提供目标IPIP地址（对于地址（对于ARPARP协议），在协议），在“操作操作”域填入域填入“1”1”（ARPARP请求）。请求）。在目标主机响应之前，它填入所缺的地址，交在目标主机响应之前，它填入所缺的地址，交换目标和发送方地址对中数据的位置，并把操换目标和发送方地址对中数据的位置，并把操作字段中的值改成改成应答代码，将作字段中的值改成改成应答代码，