此文檔收集于網(wǎng)絡(luò)，如有侵權(quán)，請(qǐng)聯(lián)系網(wǎng)站刪除網(wǎng)絡(luò)協(xié)議分析與應(yīng)用實(shí)驗(yàn)指導(dǎo)書 陜西科技大學(xué)電氣信息工程學(xué)院2013.6目 錄實(shí)驗(yàn)一 Wireshark的安裝與使用1實(shí)驗(yàn)二 使用Wireshark分析以太網(wǎng)幀與ARP協(xié)議5實(shí)驗(yàn)三 使用Wireshark分析IP協(xié)議9實(shí)驗(yàn)四 利用Wireshark分析ICMP16實(shí)驗(yàn)五 使用Wireshark分析UDP協(xié)議22實(shí)驗(yàn)六 使用Wireshark分析TCP協(xié)議26實(shí)驗(yàn)七 利用Wireshark分析協(xié)議HTTP（選作）31實(shí)驗(yàn)八 利用Wireshark分析DNS協(xié)議（選作）36實(shí)驗(yàn)九 使用Wireshark分析FTP協(xié)議（選作）40實(shí)驗(yàn)十 使用Wireshark分析SMTP和POP3協(xié)議（選作）44此文檔僅供學(xué)習(xí)與交流實(shí)驗(yàn)一 Wireshark的安裝與使用一、實(shí)驗(yàn)?zāi)康?、熟悉并掌握Wireshark的基本使用；2、了解網(wǎng)絡(luò)協(xié)議實(shí)體間進(jìn)行交互以及報(bào)文交換的情況。二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、預(yù)備知識(shí)要深入理解網(wǎng)絡(luò)協(xié)議，需要觀察它們的工作過程并使用它們，即觀察兩個(gè)協(xié)議實(shí)體之間交換的報(bào)文序列，探究協(xié)議操作的細(xì)節(jié)，使協(xié)議實(shí)體執(zhí)行某些動(dòng)作，觀察這些動(dòng)作及其影響。這種觀察可以在仿真環(huán)境下或在因特網(wǎng)這樣的真實(shí)網(wǎng)絡(luò)環(huán)境中完成。觀察正在運(yùn)行的協(xié)議實(shí)體間交換報(bào)文的基本工具被稱為分組嗅探器（packet sniffer），又稱分組捕獲器。顧名思義，分組嗅探器捕獲（嗅探）你的計(jì)算機(jī)發(fā)送和接收的報(bào)文。圖1-1顯示了一個(gè)分組嗅探器的結(jié)構(gòu)。圖1-1 分組嗅探器的結(jié)構(gòu)圖1右邊是計(jì)算機(jī)上正常運(yùn)行的協(xié)議和應(yīng)用程序（如：Web瀏覽器和FTP客戶端）。分組嗅探器（虛線框中的部分）主要有兩部分組成：第一是分組捕獲器，其功能是捕獲計(jì)算機(jī)發(fā)送和接收的每一個(gè)鏈路層幀的拷貝；第二個(gè)組成部分是分組分析器，其作用是分析并顯示協(xié)議報(bào)文所有字段的內(nèi)容（它能識(shí)別目前使用的各種網(wǎng)絡(luò)協(xié)議）。Wireshark是一種可以運(yùn)行在Windows、UNIX、Linux等操作系統(tǒng)上的分組嗅探器，是一個(gè)開源免費(fèi)軟件，可以從下載。運(yùn)行Wireshark程序時(shí)，其圖形用戶界面如圖1-2所示。最初，各窗口中并無數(shù)據(jù)顯示。Wireshark的界面主要有五個(gè)組成部分：命令和菜單協(xié)議篩選框捕獲分組列表選定分組首部明細(xì)分組內(nèi)容左：十六進(jìn)制右：ASCII碼圖1-2 圖形用戶界面l 命令菜單（command menus）：命令菜單位于窗口的最頂部，是標(biāo)準(zhǔn)的下拉式菜單。l 協(xié)議篩選框（display filter specification）：在該處填寫某種協(xié)議的名稱，Wireshark據(jù)此對(duì)分組列表窗口中的分組進(jìn)行過濾，只顯示你需要的分組。l 捕獲分組列表（listing of captured packets）：按行顯示已被捕獲的分組內(nèi)容，其中包括：分組序號(hào)、捕獲時(shí)間、源地址和目的地址、協(xié)議類型、協(xié)議信息說明。單擊某一列的列名，可以使分組列表按指定列排序。其中，協(xié)議類型是發(fā)送或接收分組的最高層協(xié)議的類型。l 分組首部明細(xì)（details of selected packet header）：顯示捕獲分組列表窗口中被選中分組的首部詳細(xì)信息。包括該分組的各個(gè)層次的首部信息，需要查看哪層信息，雙擊對(duì)應(yīng)層次或單擊該層最前面的“”即可。l 分組內(nèi)容窗口（packet content）：分別以十六進(jìn)制（左）和ASCII碼（右）兩種格式顯示被捕獲幀的完整內(nèi)容。四、 實(shí)驗(yàn)步驟1. 啟動(dòng)Web瀏覽器（如IE）；2. 啟動(dòng)Wireshark；3. 開始分組捕獲：單擊工具欄的按鈕，出現(xiàn)如圖1-3所示對(duì)話框，options按鈕可以進(jìn)行系統(tǒng)參數(shù)設(shè)置，在絕大部分實(shí)驗(yàn)中，使用系統(tǒng)的默認(rèn)設(shè)置即可。當(dāng)計(jì)算機(jī)具有多個(gè)網(wǎng)卡時(shí)，選擇其中發(fā)送或接收分組的網(wǎng)絡(luò)接口（本例中，第一塊網(wǎng)卡為虛擬網(wǎng)卡，第二塊為以太網(wǎng)卡）。單擊“Start”開始進(jìn)行分組捕獲；圖1-3 分組捕獲對(duì)話框4. 在運(yùn)行分組捕獲的同時(shí)，在瀏覽器地址欄中輸入某個(gè)網(wǎng)頁的URL，如：5. 當(dāng)完整的頁面下載完成后，單擊捕獲對(duì)話框中的“stop”按鈕，停止分組捕獲。此時(shí)， Wireshark主窗口顯示已捕獲的你本次通信的所有協(xié)議報(bào)文；6. 在協(xié)議篩選框中輸入“http”，單擊“apply”按鈕，分組列表窗口將只顯示HTTP協(xié)議報(bào)文。7. 選擇分組列表窗口中的第一條http報(bào)文，它是你的計(jì)算機(jī)發(fā)向服務(wù)器（）的HTTP GET報(bào)文。當(dāng)你選擇該報(bào)文后，以太網(wǎng)幀、IP數(shù)據(jù)報(bào)、TCP報(bào)文段、以及HTTP報(bào)文首部信息都將顯示在分組首部子窗口中，其結(jié)果如圖1-4。圖1-4 捕獲結(jié)果五、實(shí)驗(yàn)報(bào)告內(nèi)容在實(shí)驗(yàn)基礎(chǔ)上，回答以下問題：（1） 列出在第5步中分組列表子窗口所顯示的所有協(xié)議類型；答：tcp,http,tlsvl（2） 從發(fā)出HTTP GET報(bào)文到接收到對(duì)應(yīng)的HTTP OK響應(yīng)報(bào)文共需要多長時(shí)間？（分組列表窗口中Time列的值是從Wireshark開始追蹤到分組被捕獲的總的時(shí)間數(shù)，以秒為單位）答：125.534691-125.531870s=0.002821s=2.821*10（3） 你主機(jī)的IP地址是什么？你訪問的服務(wù)器的IP地址是什么？答：本機(jī)IP：5 服務(wù)器IP:2 實(shí)驗(yàn)二 使用Wireshark分析以太網(wǎng)幀與ARP協(xié)議一、實(shí)驗(yàn)?zāi)康姆治鲆蕴W(wǎng)幀，MAC地址和ARP協(xié)議二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)；主機(jī)操作系統(tǒng)為windows；使用Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟：IP地址用于標(biāo)識(shí)因特網(wǎng)上每臺(tái)主機(jī)，而端口號(hào)則用于區(qū)別在同一臺(tái)主機(jī)上運(yùn)行的不同網(wǎng)絡(luò)應(yīng)用程序。在鏈路層，有介質(zhì)訪問控制（Media Access Control,MAC）地址。在局域網(wǎng)中，每個(gè)網(wǎng)絡(luò)設(shè)備必須有唯一的MAC地址。設(shè)備監(jiān)聽共享通信介質(zhì)以獲取目標(biāo)MAC地址與自己相匹配的分組。Wireshark 能把MAC地址的組織標(biāo)識(shí)轉(zhuǎn)化為代表生產(chǎn)商的字符串，例如，00:06:5b:e3:4d:1a也能以Dell:e3:4d:1a顯示，因?yàn)榻M織唯一標(biāo)識(shí)符00:06:5b屬于Dell。地址ff:ff:ff:ff:ff:ff是一個(gè)特殊的MAC地址，意味著數(shù)據(jù)應(yīng)該廣播到局域網(wǎng)的所有設(shè)備。在因特網(wǎng)上，IP地址用于主機(jī)間通信，無論它們是否屬于同一局域網(wǎng)。同一局域網(wǎng)間主機(jī)間數(shù)據(jù)傳輸前，發(fā)送方首先要把目的IP地址轉(zhuǎn)換成對(duì)應(yīng)的MAC地址。這通過地址解析協(xié)議ARP實(shí)現(xiàn)。每臺(tái)主機(jī)以ARP高速緩存形式維護(hù)一張已知IP分組就放在鏈路層幀的數(shù)據(jù)部分，而幀的目的地址將被設(shè)置為ARP高速緩存中找到的MAC地址。如果沒有發(fā)現(xiàn)IP地址的轉(zhuǎn)換項(xiàng)，那么本機(jī)將廣播一個(gè)報(bào)文，要求具有此IP地址的主機(jī)用它的MAC地址作出響應(yīng)。具有該IP地址的主機(jī)直接應(yīng)答請(qǐng)求方，并且把新的映射項(xiàng)填入ARP高速緩存。發(fā)送分組到本地網(wǎng)外的主機(jī)，需要跨越一組獨(dú)立的本地網(wǎng)，這些本地網(wǎng)通過稱為網(wǎng)關(guān)或路由器的中間機(jī)器連接。網(wǎng)關(guān)有多個(gè)網(wǎng)絡(luò)接口卡，用它們同時(shí)連接多個(gè)本地網(wǎng)。最初的發(fā)送者或源主機(jī)直接通過本地網(wǎng)發(fā)送數(shù)據(jù)到本地網(wǎng)關(guān)，網(wǎng)關(guān)轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)到其它網(wǎng)關(guān)，直到最后到達(dá)目的主機(jī)所在的本地網(wǎng)的網(wǎng)關(guān)。1、俘獲和分析以太網(wǎng)幀（1）選擇 工具-Internet 選項(xiàng)-刪除文件（2）啟動(dòng)Wireshark分組嗅探器（3）在瀏覽器地址欄中輸入如下網(wǎng)址：/wireshark-labs 會(huì)出現(xiàn)美國權(quán)利法案。（4）停止分組俘獲。在俘獲分組列表中（listing of captured packets）中找到HTTP GET信息和響應(yīng)信息，如圖2-1所示。（如果你無法俘獲此分組，在Wireshark下打開文件名為ethernet-ethereal-trace-1的文件進(jìn)行學(xué)習(xí)）。HTTP GET信息被封裝在TCP分組中，TCP分組又被封裝在IP數(shù)據(jù)報(bào)中，IP數(shù)據(jù)報(bào)又被封裝在以太網(wǎng)幀中）。在分組明細(xì)窗口中展開Ethernet II信息（packet details window）?；卮鹣旅娴膯栴}：1、你所在的主機(jī)48-bit Ethernet地址是多少？2、Ethernet 幀中目的地址是多少？這個(gè)目的地址是的Ethernet地址嗎？圖2-1 HTTP GET信息和響應(yīng)信息2、分析ARP協(xié)議（1）ARP CachingARP協(xié)議用于將目的IP轉(zhuǎn)換為對(duì)應(yīng)的MAC地址。ARP命令用來觀察和操作緩存中的內(nèi)容。雖然arp命令和ARP有一樣的名字，很容易混淆，但它們的作用是不同的。在命令提示符下輸入arp可以看到在你所在電腦中ARP緩存中的內(nèi)容。為了觀察到你所在電腦發(fā)送和接收ARP信息，我們需要清除ARP緩存，否則你所在主機(jī)很容易找到已知IP和匹配的MAC地址。步驟如下：（1）清除ARP cache，具體做法：在MSDOS環(huán)境下，輸入命令arp d * command，The d 表示清除操作，*刪除all table entries.（2）選擇 工具-Internet 選項(xiàng)-刪除文件（3）啟動(dòng)Wireshark分組俘獲器（4）在瀏覽器地址欄中輸入如下網(wǎng)址：/wireshark-labs/ HTTP-wireshark-lab-file3.html（5）停止分組俘獲。（6）選擇Analyze-Enabled Protocols-取消IP選項(xiàng)-選擇OK。如圖2-2所示： 圖2-2 利用Wireshark俘獲的ARP分組四、實(shí)驗(yàn)報(bào)告根據(jù)實(shí)驗(yàn)，回答下面問題：源主機(jī)在什么情況下才會(huì)發(fā)送ARP請(qǐng)求？每次發(fā)送數(shù)據(jù)都需要發(fā)送ARP請(qǐng)求嗎？答：當(dāng)源主機(jī)需要將一個(gè)數(shù)據(jù)包要發(fā)送到目的主機(jī)時(shí)，會(huì)首先檢查自己 ARP列表中是否存在該 IP地址對(duì)應(yīng)的MAC地址，如果沒有，就向本地網(wǎng)段發(fā)起一個(gè)ARP請(qǐng)求的廣播包，查詢此目的主機(jī)對(duì)應(yīng)的MAC地址；并不是每次都需要發(fā)送請(qǐng)求，如果自己 ARP列表中存在該 IP地址對(duì)應(yīng)的MAC地址就直接將數(shù)據(jù)包發(fā)送到這個(gè)MAC地址。由于此實(shí)驗(yàn)是關(guān)于Ethernet和ARP的，所以，只需在分組俘獲列表中顯示IP層下面的協(xié)議，具體做法為：選擇Analyze-Enabled Protocols-不選擇IP協(xié)議-select ok，如圖2-3所示。圖2-3 操作界面實(shí)驗(yàn)三 使用Wireshark分析IP協(xié)議一、實(shí)驗(yàn)?zāi)康?、分析IP協(xié)議2、分析IP數(shù)據(jù)報(bào)分片二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟IP協(xié)議是因特網(wǎng)上的中樞。它定義了獨(dú)立的網(wǎng)絡(luò)之間以什么樣的方式協(xié)同工作從而形成一個(gè)全球戶聯(lián)網(wǎng)。因特網(wǎng)內(nèi)的每臺(tái)主機(jī)都有IP地址。數(shù)據(jù)被稱作數(shù)據(jù)報(bào)的分組形式從一臺(tái)主機(jī)發(fā)送到另一臺(tái)。每個(gè)數(shù)據(jù)報(bào)標(biāo)有源IP地址和目的IP地址，然后被發(fā)送到網(wǎng)絡(luò)中。如果源主機(jī)和目的主機(jī)不在同一個(gè)網(wǎng)絡(luò)中，那么一個(gè)被稱為路由器的中間機(jī)器將接收被傳送的數(shù)據(jù)報(bào)，并且將其發(fā)送到距離目的端最近的下一個(gè)路由器。這個(gè)過程就是分組交換。IP允許數(shù)據(jù)報(bào)從源端途經(jīng)不同的網(wǎng)絡(luò)到達(dá)目的端。每個(gè)網(wǎng)絡(luò)有它自己的規(guī)則和協(xié)定。IP能夠使數(shù)據(jù)報(bào)適應(yīng)于其途徑的每個(gè)網(wǎng)絡(luò)。例如，每個(gè)網(wǎng)絡(luò)規(guī)定的最大傳輸單元各有不同。IP允許將數(shù)據(jù)報(bào)分片并在目的端重組來滿足不同網(wǎng)絡(luò)的規(guī)定。打開已俘獲的分組，分組名為dhcp_isolated.cap。感興趣的同學(xué)可以在有動(dòng)態(tài)分配IP的實(shí)驗(yàn)環(huán)境下俘獲此分組，此分組具體俘獲步驟如下：1、使用DHCP獲取IP地址（1）打開命令窗口，啟動(dòng)Wireshark。（2）輸入“ipconfig /release”。這條命令會(huì)釋放主機(jī)目前的IP地址，此時(shí)，主機(jī)IP地址會(huì)變?yōu)椋?）然后輸入“ipconfig /renew”命令。這條命令讓主機(jī)獲得一個(gè)網(wǎng)絡(luò)配置，包括新的IP地址。（4）等待，直到“ipconfig /renew”終止。然后再次輸入“ipconfig /renew”命令。（5）當(dāng)?shù)诙€(gè)命令“ipconfig /renew” 終止時(shí)，輸入命令“ipconfig /release”釋放原來的已經(jīng)分配的IP地址（6）停止分組俘獲。如圖3-1所示： 圖3-1 Wireshark俘獲的分組下面，我們對(duì)此分組進(jìn)行分析：IPconfig 命令被用于顯示機(jī)器的IP地址及修改IP地址的配置。當(dāng)輸入命ipconfig /release命令時(shí)，用來釋放機(jī)器的當(dāng)前IP地址。釋放之后，該機(jī)沒有有效的IP地址并在分組2中使用地址作為源地址。分組2是一個(gè)DHCP Discover（發(fā)現(xiàn)）報(bào)文，如圖3-2所示。當(dāng)一臺(tái)沒有IP地址的計(jì)算機(jī)申請(qǐng)IP地址時(shí)將發(fā)送該報(bào)文。DHCP Discovery報(bào)文被發(fā)送給特殊的廣播地址：55，該地址將到達(dá)某個(gè)限定廣播范圍內(nèi)所有在線的主機(jī)。理論上，55能夠廣播到整個(gè)因特網(wǎng)上，但實(shí)際上并不能實(shí)現(xiàn)，因?yàn)槁酚善鳛榱俗柚勾罅康恼?qǐng)求淹沒因特網(wǎng)，不會(huì)將這樣的廣播發(fā)送到本地網(wǎng)之外。在DHCP Discover報(bào)文中，客戶端包括自身的信息。特別是，它提供了自己的主機(jī)名(MATTHEWS)和其以太網(wǎng)接口的物理地址（00:07:e9:53:87:d9）。這些信息都被DHCP用來標(biāo)識(shí)一個(gè)已知的客戶端。DHCP服務(wù)器可以使用這些信息實(shí)現(xiàn)一系列的策略，比如，分配與上次相同的IP地址，分配一個(gè)上次不同的IP地址，或要求客戶端注冊(cè)其物理層地址來獲取IP地址。在DHCP Discover報(bào)文中，客戶端還詳細(xì)列出了它希望從DHCP服務(wù)器接收到的信息。在Parameter Request List中包含了除客戶端希望得到的本地網(wǎng)絡(luò)的IP地址之外的其他數(shù)據(jù)項(xiàng)。這些數(shù)據(jù)項(xiàng)中許多都是一臺(tái)即將連入因特網(wǎng)的計(jì)算機(jī)所需要的數(shù)據(jù)。例如，客戶端必須知道的本地路由器的標(biāo)識(shí)。任何目的地址不在本地網(wǎng)的數(shù)據(jù)報(bào)都將發(fā)送到這臺(tái)路由器上。也就是說，這是發(fā)向外網(wǎng)的數(shù)據(jù)報(bào)在通向目的端的路徑上遇到的第一臺(tái)中間路由器。 圖3-2 DHCP Discovery客戶端必須知道自己的子網(wǎng)掩碼。子網(wǎng)掩碼是一個(gè)32位的數(shù)，用來與IP地址進(jìn)行“按位邏輯與運(yùn)算”從而得出網(wǎng)絡(luò)地址。所有可以直接通信而不需要路由器參與的機(jī)器都有相同的網(wǎng)絡(luò)地址。因此，子網(wǎng)掩碼用來決定數(shù)據(jù)報(bào)是發(fā)送到本地路由器還是直接發(fā)送到本地目的主機(jī)?？蛻舳诉€必須知道它們的域名和它們?cè)诒镜赜蛎?wù)器上的標(biāo)識(shí)。域名是一個(gè)可讀的網(wǎng)絡(luò)名。IP地址為的DHCP服務(wù)器回復(fù)了一個(gè)DHCP OFFER報(bào)文。該報(bào)文也廣播到55，因?yàn)楸M管客戶端還不知道自己的IP地址，但它將接收到發(fā)送到廣播地址的報(bào)文。這個(gè)報(bào)文中包含了客戶端請(qǐng)求的信息，包括IP地址、本地路由器、子網(wǎng)掩碼、域名和本地域名服務(wù)器。 圖3-3 Parameter Request List在分組5中，客戶端通過發(fā)送DHCP Request（請(qǐng)求）報(bào)文表明自己接收到的IP地址。最后，在分組6中DHCP服務(wù)器確認(rèn)請(qǐng)求的地址并結(jié)束對(duì)話。此后，在分組7中客戶端開始使用它的新的IP地址作為源地址。在分組3和分組7到12的地址ARP協(xié)議引起了我們的注意。在分組3中，DHCP服務(wù)器詢問是否有其它主機(jī)使用IP地址00（該請(qǐng)求被發(fā)送到廣播地址）。這就允許DHCP服務(wù)器在分配IP之前再次確認(rèn)沒有其它主機(jī)使用該IP地址。在獲取其IP地址之后，客戶端會(huì)發(fā)送3個(gè)報(bào)文詢問其他主機(jī)是否有與自己相同的IP地址。前4個(gè)ARP請(qǐng)求都沒有回應(yīng)。在分組1013中，DHCP服務(wù)器再次詢問哪個(gè)主機(jī)擁有IP地址00，客戶端兩次回答它占有該IP同時(shí)提供了自己的以太網(wǎng)地址。通過DHCP分配的IP地址有特定的租用時(shí)間。為了保持對(duì)某個(gè)IP的租用，客戶端必須更新租用期。當(dāng)輸入第二個(gè)命令ipconfig /renew后，在分組14和15中就會(huì)看到更新租用期的過程。DHCP Request請(qǐng)求更新租用期。DHCP ACK包括租用期的長度。如果在租用期到期之前沒有DHCP Request發(fā)送，DHCP服務(wù)器有權(quán)將該IP地址重新分配給其他主機(jī)。最后，在分組16時(shí)輸入命令ipconfig /release后的結(jié)果。在DHCP服務(wù)器接收到這個(gè)報(bào)文后，客戶停止對(duì)該IP的使用。如有需要DHCP服務(wù)器有權(quán)重新對(duì)IP地址進(jìn)行分配。2、分析IPv4中的分片在第二個(gè)實(shí)驗(yàn)中，我們將考察IP數(shù)據(jù)報(bào)首部。俘獲此分組的步驟如下：（1） 啟動(dòng)Wireshark，開始分組俘獲（“Capture”-“interface”-“start”）。（2） 啟動(dòng)pingplotter（pingplotter的下載地址為），在“Address to trace：”下面的輸入框里輸入目的地址，選擇菜單欄“Edit”-“Options”-“Packet”，在“Packet size(in bytes defaults=56)：”右邊輸入IP數(shù)據(jù)報(bào)大?。?000，按下“OK”。最后按下按鈕“Trace”，你將會(huì)看到pingplotter窗口顯示如下內(nèi)容，如圖3-4所示： 圖3-4 ping plotter（3） 停止Wireshark。設(shè)置過濾方式為：IP，在Wireshark窗口中將會(huì)看到如下情形，如圖3-5所示。在分組俘獲中，你應(yīng)該可以看到一系列你自己電腦發(fā)送的“ICMP Echo Request”和由中間路由器返回到你電腦的“ICMP TTL-exceeded messages”。 圖3-5 用Wireshark所俘獲的分組（4） 如果你無法得到上圖的分組信息，也可使用已經(jīng)下載的IP分片分組文件：fragment_5000_isolated.cap。然后在Wireshark中，選擇菜單欄“File”-“Open”導(dǎo)入上述文件進(jìn)行學(xué)習(xí)。下面，我們來分析fragment_5000_isolated.cap中的具體分組：IP層位于傳輸層和鏈路層之間。在fragment_5000_isolated.cap中傳輸層協(xié)議是UDP，鏈路層協(xié)議是以太網(wǎng)。發(fā)送兩個(gè)UDP數(shù)據(jù)報(bào)，每個(gè)包含5000個(gè)字節(jié)的數(shù)據(jù)部分和8字節(jié)的UDP首部。在分組1到4和分組5到8分別代表了先后發(fā)送的兩個(gè)UDP數(shù)據(jù)報(bào)。當(dāng)IP層接收到5008字節(jié)的UDP數(shù)據(jù)報(bào)時(shí)，它的工作是將其作為IP數(shù)據(jù)報(bào)在以太網(wǎng)傳輸。以太網(wǎng)要求一次傳輸?shù)拈L度不大于1514個(gè)字節(jié)，其中有14字節(jié)是以太網(wǎng)幀首部。IP被迫將UDP數(shù)據(jù)報(bào)作為多個(gè)分片發(fā)送。每個(gè)分片必須包含以太網(wǎng)幀首部、IP數(shù)據(jù)報(bào)首部。每個(gè)分片還會(huì)包含UDP數(shù)據(jù)報(bào)的有效負(fù)載（首部和數(shù)據(jù)）的一部分。IP將原始數(shù)據(jù)報(bào)的前1480個(gè)字節(jié)（含1472個(gè)字節(jié)的數(shù)據(jù)和含8個(gè)字節(jié)的UDP首部）放在第一個(gè)分片中。后面兩個(gè)分片每個(gè)均含1480個(gè)字節(jié)的數(shù)據(jù)，最后一個(gè)分片中包含的數(shù)據(jù)為568個(gè)字節(jié)）。為了讓接收段重組原始數(shù)據(jù)，IP使用首部的特殊字段對(duì)分片進(jìn)行了編號(hào)。標(biāo)識(shí)字段用于將所有的分片連接在一起。分組1到4含有相同的標(biāo)識(shí)號(hào)0xfd2b，分組5到8的標(biāo)識(shí)號(hào)是0xfd2c，片偏移量指明了分組中數(shù)據(jù)的第一個(gè)字節(jié)在UDP數(shù)據(jù)報(bào)中的偏移量。例如分組1和分組5的偏移量都是0，因?yàn)樗鼈兌际堑谝粋€(gè)分片。最后在標(biāo)識(shí)字段中有一位用來指明這個(gè)分片后是否還有分片。分組1到分組3和分組5到分組7均對(duì)該位置進(jìn)行了置位。分組4和分組8由于是最后一個(gè)分片而沒有對(duì)該位置位。四、實(shí)驗(yàn)報(bào)告內(nèi)容打開文件dhcp_isolated.cap、fragment_5000_isolated.cap，回答以下問題：1、 DHCP服務(wù)器廣播的本地路由器或默認(rèn)網(wǎng)關(guān)的IP地址是多少？本地路由器或默認(rèn)網(wǎng)關(guān)的IP地址是：2、 在dhcp_isolated.cap中，由DHCP服務(wù)器分配的域名是多少？DHCP服務(wù)器分配的域名是：3、在fragment_5000_isolated.cap中，我們看到通過UDP數(shù)據(jù)報(bào)發(fā)送的5000字節(jié)被分成了多少分片？在網(wǎng)絡(luò)中，一次能傳輸且不需要分片的最大數(shù)據(jù)單元有多大？發(fā)送的5000字節(jié)被分為4個(gè)分片一次能傳輸且不需要分片的最大數(shù)據(jù)單元有1480實(shí)驗(yàn)四 利用Wireshark分析ICMP 一、實(shí)驗(yàn)?zāi)康姆治鯥CMP二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟Ping和traceroute命令都依賴于ICMP。ICMP可以看作是IP協(xié)議的伴隨協(xié)議。ICMP報(bào)文被封裝在IP 數(shù)據(jù)報(bào)發(fā)送。一些ICMP報(bào)文會(huì)請(qǐng)求信息。例如：在ping中，一個(gè)ICMP回應(yīng)請(qǐng)求報(bào)文被發(fā)送給遠(yuǎn)程主機(jī)。如果對(duì)方主機(jī)存在，期望它們返回一個(gè)ICMP回應(yīng)應(yīng)答報(bào)文。一些ICMP報(bào)文在網(wǎng)絡(luò)層發(fā)生錯(cuò)誤時(shí)發(fā)送。例如，有一種ICMP報(bào)文類型表示目的不可達(dá)。造成不可達(dá)的原因很多，ICMP報(bào)文試圖確定這一問題。例如，可能是主機(jī)關(guān)及或整個(gè)網(wǎng)絡(luò)連接斷開。有時(shí)候，主機(jī)本身可能沒有問題，但不能發(fā)送數(shù)據(jù)報(bào)。例如IP首部有個(gè)協(xié)議字段，它指明了什么協(xié)議應(yīng)該處理IP數(shù)據(jù)報(bào)中的數(shù)據(jù)部分。IANA公布了代表協(xié)議的數(shù)字的列表。例如，如果該字段是6，代表TCP報(bào)文段，IP層就會(huì)把數(shù)據(jù)傳給TCP層進(jìn)行處理；如果該字段是1，則代表ICMP報(bào)文，IP層會(huì)將該數(shù)據(jù)傳給ICMP處理。如果操作系統(tǒng)不支持到達(dá)數(shù)據(jù)報(bào)中協(xié)議字段的協(xié)議號(hào)，它將返回一個(gè)指明“協(xié)議不可達(dá)”的ICMP報(bào)文。IANA同樣公布了ICMP報(bào)文類型的清單。Traceroute是基于ICMP的靈活用法和IP首部的生存時(shí)間字段的。發(fā)送數(shù)據(jù)報(bào)時(shí)生存時(shí)間字段被初始化為能夠穿越網(wǎng)絡(luò)的最大跳數(shù)。每經(jīng)過一個(gè)中間節(jié)點(diǎn)，該數(shù)字減1。當(dāng)該字段為0時(shí)，保存該數(shù)據(jù)報(bào)的機(jī)器將不再轉(zhuǎn)發(fā)它。相反，它將向源IP地址發(fā)送一個(gè)ICMP生存時(shí)間超時(shí)報(bào)文。生存時(shí)間字段用于避免數(shù)據(jù)報(bào)載網(wǎng)絡(luò)上無休止地傳輸下去。數(shù)據(jù)報(bào)的發(fā)送路徑是由中間路由器決定的。通過與其他路由器交換信息，路由器決定數(shù)據(jù)報(bào)的下一條路經(jīng)。最好的“下一跳”經(jīng)常由于網(wǎng)絡(luò)環(huán)境的變化而動(dòng)態(tài)改變。這可能導(dǎo)致路由器形成選路循環(huán)也會(huì)導(dǎo)致正確路徑?jīng)_突。在路由循環(huán)中這種情況很可能發(fā)生。例如，路由器A認(rèn)為數(shù)據(jù)報(bào)應(yīng)該發(fā)送到路由器B，而路由器B又認(rèn)為該數(shù)據(jù)報(bào)應(yīng)該發(fā)送會(huì)路由器A，這是數(shù)據(jù)報(bào)便處于選路循環(huán)中。生存時(shí)間字段長為8位，所以因特網(wǎng)路徑的最大長度為28 -1即255跳。大多數(shù)源主機(jī)將該值初始化為更小的值（如128或64）。將生存時(shí)間字段設(shè)置過小可能會(huì)使數(shù)據(jù)報(bào)不能到達(dá)遠(yuǎn)程目的主機(jī)，而設(shè)置過大又可能導(dǎo)致處于無限循環(huán)的選路中。Traceroute利用生存時(shí)間字段來映射因特網(wǎng)路徑上的中間節(jié)點(diǎn)。為了讓中間節(jié)點(diǎn)發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文，從而暴露節(jié)點(diǎn)本身信息，可故意將生存時(shí)間字段設(shè)置為一個(gè)很小的書。具體來說，首先發(fā)送一個(gè)生存時(shí)間字段為1的數(shù)據(jù)報(bào)，收到ICMP超時(shí)報(bào)文，然后通過發(fā)送生存時(shí)間字段設(shè)置為2的數(shù)據(jù)報(bào)來重復(fù)上述過程，直到發(fā)送ICMP生存時(shí)間超時(shí)報(bào)文的機(jī)器是目的主機(jī)自身為止。因?yàn)樵诜纸M交換網(wǎng)絡(luò)中每個(gè)數(shù)據(jù)報(bào)時(shí)獨(dú)立的，所以由traceroute發(fā)送的每個(gè)數(shù)據(jù)報(bào)的傳送路徑實(shí)際上互不相同。認(rèn)識(shí)到這一點(diǎn)很重要。每個(gè)數(shù)據(jù)報(bào)沿著一條路經(jīng)對(duì)中間節(jié)點(diǎn)進(jìn)行取樣，因此traceroute可能暗示一條主機(jī)間并不存在的連接。因特網(wǎng)路徑經(jīng)常變動(dòng)。在不同的日子或一天的不同時(shí)間對(duì)同一個(gè)目的主機(jī)執(zhí)行幾次traceroute命令來探尋這種變動(dòng)都會(huì)得到不同的結(jié)果。為了體現(xiàn)Internet路由的有限可見性，許多網(wǎng)絡(luò)都維護(hù)了一個(gè)traceroute服務(wù)器traceroute。Traceroute服務(wù)器將顯示出從本地網(wǎng)到一個(gè)特定目的地執(zhí)行traceroute的結(jié)果。分布于全球的traceroute服務(wù)器的相關(guān)信息可在上獲得。1、ping和ICMP利用ping程序產(chǎn)生ICMP分組。ping向因特網(wǎng)中的某個(gè)特定主機(jī)發(fā)送特殊的探測報(bào)文并等待表明主機(jī)在線的回復(fù)。具體做法：（1）打開Windows命令提示符窗口（Windows Command Prompt）。（2）啟動(dòng)Wireshark分組嗅探器，在過濾顯示窗口（filter display window）中輸入icmp，開始Wireshark分組俘獲。（3）輸入“ping n 10 hostname”。其中“-n 10”指明應(yīng)返回10條ping信息。（4）當(dāng)ping程序終止時(shí)，停止Wireshark分組俘獲。實(shí)驗(yàn)結(jié)束后會(huì)出現(xiàn)如圖4-1所示的命令窗口：圖4-1 命令窗口停止分組俘獲后，會(huì)出現(xiàn)如圖4-2所示的界面：圖4-2 停止分組俘獲后Wireshark的界面圖4-3是在分組內(nèi)容窗口中顯示了ICMP協(xié)議的詳細(xì)信息。觀察這個(gè)ICMP分組，可以看出，此ICMP分組的“Type 8 and Code 0”即所謂的ICMP“echo request”分組。圖4-3 ICMP協(xié)議詳細(xì)信息在實(shí)驗(yàn)報(bào)告中回答下面問題：（1） 你所在主機(jī)的IP地址是多少？目的主機(jī)的IP地址是多少？01 3（2）查看ping請(qǐng)求分組，ICMP的type和code是多少？8 0（3）查看相應(yīng)得ICMP響應(yīng)信息，ICMP的type和code又是多少？8 0（4）ping命令的參數(shù)還有哪些？功能是什么？ping IP -t連續(xù)對(duì)IP地址執(zhí)行Ping命令，直到被用戶以Ctrl+C中斷。 2. ICMP和Traceroute在Wireshark下，用Traceroute程序俘獲ICMP分組。Traceroute能夠映射出通往特定的因特網(wǎng)主機(jī)途徑的所有中間主機(jī)。源端發(fā)送一串ICMP分組到目的端。發(fā)送的第一個(gè)分組時(shí)，TTL=1；發(fā)送第二個(gè)分組時(shí)，TTL=2，依次類推。路由器把經(jīng)過它的每一個(gè)分組TTL字段值減1。當(dāng)一個(gè)分組到達(dá)了路由器時(shí)的TTL字段為1時(shí)，路由器會(huì)發(fā)送一個(gè)ICMP錯(cuò)誤分組（ICMP error packet）給源端。（1）啟動(dòng)Window命令提示符窗口（2）啟動(dòng)Wireshark分組嗅探器，開始分組俘獲。（3）Tracert命令在c:windowssystem32下，所以在MS-DOS 命令提示行或者輸入“tracert hostname” or“c:windowssystem32tracert hostname”（注意在Windows下，命令是“tracert”而不是“traceroute”。)如圖4-4所示.（4）當(dāng)Traceroute程序終止時(shí)，停止分組俘獲。 圖4-4 命令提示窗口顯示Traceroute程序結(jié)果圖4-5顯示的是一個(gè)路由器返回的ICMP錯(cuò)誤分組（ICMP error packet）。注意到ICMP錯(cuò)誤分組中包括的信息比Ping ICMP中錯(cuò)誤分組包含的信息多。在實(shí)驗(yàn)報(bào)告中回答下面問題：（1） 查看ICMP echo分組，是否這個(gè)分組和前面使用 ping命令的ICMP echo 一樣？不一樣，前者data32，后者data64。（2） 查看ICMP錯(cuò)誤分組，它比ICMP echo 分組包括的信息多。ICMP錯(cuò)誤分組比ICMP echo 分組多包含的信息有哪些？多了20bytes的headerlength四、實(shí)驗(yàn)報(bào)告回答下列問題：1、 連接層的IP地址是多少？042、 ICMP的type 和code是多少? 8 0圖4-5 一個(gè)擴(kuò)展ICMP錯(cuò)誤分組信息的Wireshark 窗口實(shí)驗(yàn)五 使用Wireshark分析UDP協(xié)議一、實(shí)驗(yàn)?zāi)康谋容^TCP和UDP協(xié)議的不同二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟1、打開TCP流的有關(guān)跟蹤記錄，保存在tcp_2transmit.cap中，并打開UDP流中的有關(guān)跟蹤文件udp_2transmit.cap。如圖5-1、5-2所示。圖5-1 TCP 流跟蹤記錄圖5-2 UDP流跟蹤記錄2、分析此數(shù)據(jù)包：（1）TCP傳輸?shù)恼?shù)據(jù)：tcp_2transmit.cap文件的分組1到13中顯示了TCP連接。我們?cè)诜纸M1到分組3中看到了打開連接的三次握手。分組10到分組13顯示的則是連接的終止。我們看到分組10既是一個(gè)帶有FIN標(biāo)志的請(qǐng)求終止連接的分組，又是一個(gè)最后1080個(gè)字節(jié)的（序號(hào)是39215000）的重傳。TCP將應(yīng)用程序?qū)懭牒喜⒌揭粋€(gè)字節(jié)流中。它并不會(huì)嘗試維持原有應(yīng)用程序?qū)懭说倪吔缰?。我們注意到TCP并不會(huì)在單個(gè)分組中傳送1000字節(jié)的應(yīng)用程序?qū)懭?。?000個(gè)字節(jié)會(huì)在分組4種被發(fā)送，而分組5則包含了1460個(gè)字節(jié)的數(shù)據(jù)一些來自第二個(gè)緩沖區(qū)，而另一些來自第三個(gè)緩沖區(qū)。分組7中含有1460個(gè)字節(jié)而分組8中則包含剩余的1080個(gè)字節(jié)。（5000-1000-1460-1460=1080）我們注意到實(shí)際報(bào)告上的2.48秒是從初始化連接的分組1開始到關(guān)閉連接的分組10結(jié)束。分組1113未必要計(jì)入接收端應(yīng)用程序的時(shí)間內(nèi)，因?yàn)橐坏┙邮盏降谝粋€(gè)FIN，TCP層便馬上發(fā)送一個(gè)關(guān)閉連接的信號(hào)。分組1113只可能由每臺(tái)計(jì)算機(jī)操作系統(tǒng)得TCP層后臺(tái)傳輸。如果我們注意到第一個(gè)包含數(shù)據(jù)的分組4和最后一個(gè)分組8之間的時(shí)間，我們就大約計(jì)算出和由UDP接收端所報(bào)告的0.01秒相同的時(shí)間。這樣的話，增加TCP傳輸時(shí)間的主要原因就是分組10中的重傳。公平的說，UDP是幸運(yùn)的，因?yàn)樗械姆纸M都在第一時(shí)間被接受了。在這個(gè)跟蹤文件中，總的來說（包括重傳）一共發(fā)送了6822個(gè)字節(jié)來支持5000個(gè)字節(jié)的數(shù)據(jù)傳輸。這個(gè)開銷正好36。（2）UDP正常數(shù)據(jù)傳輸現(xiàn)在我們來觀察UDP流，在udp_transmit.cap文件的分組1到分組11中顯示。雖然像TCP流那樣傳輸了相同的數(shù)據(jù)，但是在這個(gè)跟蹤文件中還是很多的不同。和TCP不同，UDP是一個(gè)無連接的傳輸協(xié)議。TCP用SYN分組和SYN ACK分組來顯示地打開一個(gè)連接，而UDP卻直接開始發(fā)送包含數(shù)據(jù)的分組。同樣，TCP用FIN分組和FIN ACK分組來顯示地關(guān)閉一個(gè)連接，而UDP卻只簡單地停止包含數(shù)據(jù)的分組的傳輸。為了解決這個(gè)問題，在文件udp_2transmit.cap俘獲的分組中，采取的辦法是ttcp發(fā)送端發(fā)送一個(gè)只包含4個(gè)字節(jié)的特殊UDP 數(shù)據(jù)報(bào)來模擬連接建立和連接終止。在發(fā)送任何數(shù)據(jù)之前，發(fā)送端總是發(fā)送一個(gè)只包含4個(gè)字節(jié)的特殊數(shù)據(jù)報(bào)（分組1），而在發(fā)送完所有的數(shù)據(jù)之后，發(fā)送端又發(fā)送額外的5個(gè)分組（分組7-11）。接收端也使用第一個(gè)特殊的數(shù)據(jù)報(bào)來啟動(dòng)數(shù)據(jù)傳輸?shù)挠?jì)時(shí)器。如果這個(gè)特殊的數(shù)據(jù)報(bào)丟失了，它可能用真實(shí)數(shù)據(jù)的第一個(gè)分組計(jì)時(shí)器。不過，如果接收端沒有看到這個(gè)特殊的數(shù)據(jù)報(bào)，它就不能精確地確定數(shù)據(jù)傳輸?shù)拈_始和傳輸?shù)乃袝r(shí)間。與TCP不同，UDP 在傳輸?shù)臄?shù)據(jù)中，不會(huì)加上序號(hào)，因此對(duì)于接收端來說不可能確定丟失和重排序重傳的情況。類似的，接收端根據(jù)最后的特殊數(shù)據(jù)報(bào)來停止數(shù)據(jù)傳輸計(jì)時(shí)器。當(dāng)接收端接收到這5個(gè)包中的任一個(gè)便停止計(jì)時(shí)，但是發(fā)送5個(gè)分組是因?yàn)樵趥鬏數(shù)倪^程中可能丟失其中的一些。如果5個(gè)分組全部丟失了，那么接收端便會(huì)無限制的等待更多數(shù)據(jù)的到來達(dá)。實(shí)際數(shù)據(jù)的傳輸是在分組2-6里。每一個(gè)分組都包含1000個(gè)字節(jié)。1000個(gè)字節(jié)的應(yīng)用程學(xué)寫入直接轉(zhuǎn)換成UDP數(shù)據(jù)報(bào)。另一方面，TCP并不打算保存應(yīng)用程序?qū)懭脒吔缍皇菍⑺鼈儾⑷胍粋€(gè)字節(jié)流中。與TCP不同，UDP沒有提供接收端到發(fā)送端的反饋。在TCP的例子里，接收端返回只包含有TCP報(bào)文段首部而沒有數(shù)據(jù)的報(bào)文段。首部本身則攜帶著關(guān)于哪些數(shù)據(jù)已經(jīng)被成功接收以及接收端能夠接收多少數(shù)據(jù)的信息。我們已經(jīng)知道UDP不提供可靠的數(shù)據(jù)傳輸，因此并不要求什么數(shù)據(jù)已經(jīng)被成功接收的信息。它也不提供任何信息高速發(fā)送端降低速率，因?yàn)榻邮斩嘶蛘呔W(wǎng)絡(luò)本身已經(jīng)淹沒。雖然UDP本身并不提供接收端到發(fā)送端的反饋，但是我們確實(shí)看到幾個(gè)從接收端到發(fā)送端的ICMP分組（分組1214）。ICMP是網(wǎng)絡(luò)層協(xié)議（IP）的一個(gè)伴隨協(xié)議，并且有提供一定控制和錯(cuò)誤報(bào)告的功能。在這種情況下，ICMP分組暗示一些UDP數(shù)據(jù)報(bào)沒有被傳送到，因?yàn)槎丝诓豢蛇_(dá)。這就意味著當(dāng)數(shù)據(jù)報(bào)到達(dá)那個(gè)端口的時(shí)候，沒有接收端在那個(gè)端口監(jiān)聽。我們注意到ICMP分組攜帶著一些未傳遞UDP數(shù)據(jù)報(bào)的信息。當(dāng)ttcp接收端看到一個(gè)只具有4個(gè)字節(jié)數(shù)據(jù)的特殊數(shù)據(jù)報(bào)時(shí)，它便會(huì)知道數(shù)據(jù)傳輸是完整的，并且會(huì)因此關(guān)閉正在監(jiān)聽的端口。事實(shí)上ttcp發(fā)送端發(fā)送5個(gè)這樣的分組，并且后面的分組到達(dá)的時(shí)候發(fā)現(xiàn)接收端已經(jīng)沒有在監(jiān)聽了。當(dāng)發(fā)送端發(fā)送所有的數(shù)據(jù)而沒有相應(yīng)的接收標(biāo)志的時(shí)候，將會(huì)看到相似的行為。TCP和UDP的另外一個(gè)不同之處在于TCP連接時(shí)點(diǎn)對(duì)點(diǎn)的，換句話說，TCP的使用是在一個(gè)連接端和一個(gè)發(fā)送端之間的。而對(duì)于UDP來說，一個(gè)發(fā)送端可能發(fā)向多個(gè)接收端（例如廣播和組播通信）或者多個(gè)發(fā)送端能夠發(fā)送給一個(gè)接收端。如果多個(gè)發(fā)送端都發(fā)給這個(gè)接收端的話，這個(gè)接收端會(huì)為每個(gè)發(fā)送端報(bào)告統(tǒng)計(jì)信息。TCP和UDP的最后一個(gè)不同之處是它們首部的大小。UDP首部總是8個(gè)字節(jié)，而TCP首部大小是變化的，但是它絕對(duì)不會(huì)少于20個(gè)字節(jié)。四、實(shí)驗(yàn)報(bào)告回答下面的問題：1、在udp_2transmit.cap中觀察UDP首部。長度字段是包括首部和數(shù)據(jù)還是只包括數(shù)據(jù)？包括首部和數(shù)據(jù)2、我們觀察到使用ICMP報(bào)文來報(bào)告UDP數(shù)據(jù)報(bào)不可達(dá)。為什么TCP不用這個(gè)來指示丟失的報(bào)文段呢？3、我們計(jì)算TCP成功傳輸5000個(gè)字節(jié)的實(shí)際數(shù)據(jù)的開銷是36。在這個(gè)開銷中都包括什么？如果沒有重傳，這個(gè)開銷是多少？ 實(shí)驗(yàn)六 使用Wireshark分析TCP協(xié)議一、實(shí)驗(yàn)?zāi)康姆治鯰CP協(xié)議。二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟1、TCP介紹（1）連接建立：TCP連接通過稱為三次握手的三條報(bào)文來建立的。在Wireshark中選擇open-file,選擇文件tcp_pcattcp_n1.cap，其中分組3到5顯示的就是三次握手。第一條報(bào)文沒有數(shù)據(jù)的TCP報(bào)文段，并將首部SYN位設(shè)置為1。因此，第一條報(bào)文常被稱為SYN分組。這個(gè)報(bào)文段里的序號(hào)可以設(shè)置成任何值，表示后續(xù)報(bào)文設(shè)定的起始編號(hào)。連接不能自動(dòng)從1開始計(jì)數(shù)，選擇一個(gè)隨機(jī)數(shù)開始計(jì)數(shù)可避免將以前連接的分組錯(cuò)誤地解釋為當(dāng)前連接的分組。觀察分組3，Wireshark顯示的序號(hào)是0。選擇分組首部的序號(hào)字段，原始框中顯示“94 f2 2e be”。Wireshark顯示的是邏輯序號(hào)，真正的初始序號(hào)不是0。如圖6-1所示。SYN分組通常是從客戶端發(fā)送到服務(wù)器。這個(gè)報(bào)文段請(qǐng)求建立連接。一旦成功建立了連接，服務(wù)器進(jìn)程必須已經(jīng)在監(jiān)聽SYN分組所指示的IP地址和端口號(hào)。如果沒有建立連接，SYN分組將不會(huì)應(yīng)答。如果第一個(gè)分組丟失，客戶端通常會(huì)發(fā)送若干SYN分組，否則客戶端將會(huì)停止并報(bào)告一個(gè)錯(cuò)誤給應(yīng)用程序。如果服務(wù)器進(jìn)程正在監(jiān)聽并接收到來的連接請(qǐng)求，它將以一個(gè)報(bào)文段進(jìn)行相應(yīng)，這個(gè)報(bào)文段的SYN位和ACK位都置為1。通常稱這個(gè)報(bào)文段為SYNACK分組。SYNACK分組在確認(rèn)收到SYN分組的同時(shí)發(fā)出一個(gè)初始的數(shù)據(jù)流序號(hào)給客戶端。分組4的確認(rèn)號(hào)字段在Wireshark的協(xié)議框中顯示1，并且在原始框中的值是“94 f2 2e bf”（比“94 f2 2e be”多1）。這解釋了TCP的確認(rèn)模式。TCP接收端確認(rèn)第X個(gè)字節(jié)已經(jīng)收到，并通過設(shè)置確認(rèn)號(hào)為X+1來表明期望收到下一個(gè)字節(jié)號(hào)。分組4的序號(hào)字段在Wireshark的協(xié)議顯示為0，但在原始框中的實(shí)際值卻是“84 ca be b3”。這表明TCP連接的雙方會(huì)選擇數(shù)據(jù)流中字節(jié)的起始編號(hào)。所有初始序號(hào)邏輯上都視同為序號(hào)0。圖6-1邏輯序號(hào)與實(shí)際初始序號(hào)最后，客戶端發(fā)送帶有標(biāo)志ACK的TCP報(bào)文段，而不是帶SYN的報(bào)文段來完成三次握手的過程。這個(gè)報(bào)文段將確認(rèn)服務(wù)器發(fā)送的SYNACK分組，并檢查TCP連接的兩端是否正確打開合運(yùn)行。（2）關(guān)閉連接當(dāng)兩端交換帶有FIN標(biāo)志的TCP報(bào)文段并且每一端都確認(rèn)另一端發(fā)送的FIN包時(shí)，TCP連接將會(huì)關(guān)閉。FIN位字面上的意思是連接一方再也沒有更多新的數(shù)據(jù)發(fā)送。然而，那些重傳的數(shù)據(jù)會(huì)被傳送，直到接收端確認(rèn)所有的信息。在tcp_pcattcp_n1.cap中，通過分組13至16我們可以看到TCP連接被關(guān)閉。2、TCP重傳當(dāng)一個(gè)TCP發(fā)送端傳輸一個(gè)報(bào)文段的同時(shí)也設(shè)置了一個(gè)重傳計(jì)時(shí)器。當(dāng)確認(rèn)到達(dá)時(shí)，這個(gè)計(jì)時(shí)器就自動(dòng)取消。如果在數(shù)據(jù)的確認(rèn)信息到達(dá)之前這個(gè)計(jì)時(shí)器超時(shí)，那么數(shù)據(jù)就會(huì)重傳。重傳計(jì)時(shí)器能夠自動(dòng)靈活設(shè)置。最初TCP是基于初始的SYN和SYN ACK之間的時(shí)間來設(shè)置重傳計(jì)時(shí)器的。它基于這個(gè)值多次設(shè)置重傳計(jì)時(shí)器來避免不必要的重傳。在整個(gè)TCP連接中，TCP都會(huì)注意每個(gè)報(bào)文段的發(fā)送和接到相應(yīng)的確認(rèn)所經(jīng)歷的時(shí)間。TCP在重傳數(shù)據(jù)之前不會(huì)總是等待一個(gè)重傳計(jì)算器超時(shí)。TCP也會(huì)把一系列重復(fù)確認(rèn)的分組當(dāng)作是數(shù)據(jù)丟失的征兆。在Wireshark中選擇fileopen,打開文件pcattcp_retrans_t.cap和pcattcp_retrans_r.cap，對(duì)所俘獲的分組進(jìn)行分析如下：（1） SACK選項(xiàng)協(xié)商在上面的每次跟蹤中，我們能觀察建立連接的三次握手。在SYN分組中，發(fā)送端在TCP的首部選項(xiàng)中通過包括SACK permitted選項(xiàng)來希望使用TCPSACK。在SYN ACK包中接收端表示愿意使用SACK。這樣雙