09-1 TCP/UDP协议抓包分析

抓跑分析TCP报文段

拓扑

AR2配置位SSH服务端

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sys AR2
[AR2]inte gi 0/0/2
[AR2-GigabitEthernet0/0/2]ip add 192.168.1.2 255.255.255.0
[AR2]aaa
[AR2-aaa]local-user gls password cipher abc.123
[AR2-aaa]local-user gls service-type ssh
[AR2-aaa]local-user gls privilege level 15
[AR2-aaa]q
[AR2]ssh user gls authentication-type password
[AR2]stelnet server enable
[AR2]ssh client first-time enable
[AR2]user-interface vty 0 4
[AR2-ui-vty0-4]authentication-mode aaa
[AR2-ui-vty0-4]protocol inbound ssh

AR1配置

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sys AR1
[AR1]inte gi 0/0/1
[AR1-GigabitEthernet0/0/1]ip add 192.168.1.1 255.255.255.0
[AR1]ssh client first-time enable

AR1通过ssh协议远程控制AR2

[AR1]stelnet 192.168.1.2 22
Please input the username:gls
Trying 192.168.1.2 …
Press CTRL+K to abort
Connected to 192.168.1.2 …
Enter password:
-----------------------------------------------------------------------------
User last login information:
-----------------------------------------------------------------------------
Access Type: SSH
IP-Address : 192.168.1.1 ssh
Time : 2023-08-31 17:48:00-08:00
-----------------------------------------------------------------------------

在AR2的ge0/0/2抓包

三次握手-建立连接

192.168.1.1通过SYN标志位置位1标识想要建立连接,并且发送seq为0，且发送了缓冲区可以接受的字节数为8192（window=8192）
192.168.1.2通过SYN标志位置为1标识接受建立连接，且ACK为1，标识Acknowlege Number有效，因为192.168.1.1传来的数据的序列号为1，所以Ack Number期望接受的下一个数据字节为0+1,并发送seq 为1，且发送了缓冲区可以接受的字节数为8192（window=8192）
192.168.1.1将ACK置为1标识Ack Number有效，且Ack Number为192.168.1.2发送来的Seq的值+1（既0+1），表明已经成功接受数据包，且发送seq为对端期望接受的数据序列号1

分析第一个包的字段

Source Port为客户端随机生成的高于1023的端口，Destination Port为ssh服务端口22
Seq number在实际使用时是随机产生的，为了便于理解所以又一个(relative sequence number)相对Seq Number，此值固定为0，（raw）Seq number为实际使用的，Ack number同理
Window表示当前缓冲区空闲字节空间
紧急指针为0，没有需要紧急处理的数据，所以紧急指针为0
Maximum segment字段为1460，由于网络层规定数据最大为1480字节，去除20个TCP包头字节，所以还剩1460字节

使用AR1访问Server服务器的21端口

在LSW1上的GE0/0/3口抓包
同样是先三次握手

后续又抓到三次握手的数据，FTP连接的21端口负责命令传输，主动模式下20端口负责传输数据，所以会和FTP服务器的两个端口建立三次握手

在AR1上退出ftp后，抓到四次挥手报文

将FIN位置为1，表示请求断开连接，服务器返回ACK表示确认关闭