数据包结构

Rek'Sai

于 2023-08-28 04:20:49 发布

阅读量164

点赞数

文章标签：安全网络安全网络协议 tcp/ip

本文链接：https://blog.csdn.net/Devotedakura/article/details/132531043

版权

数据包

以太网数据包

TCP/IP数据包结构详解

一般来说，网络编程我们只需要调用一些封装好的函数或者组件就能完成大部分的工作，但是一些特殊的情况下，就需要深入的理解网络数据包的结构，以及协议分析。如：网络监控，故障排查等……

IP包是不安全的，但是它是互联网的基础，在各方面都有广泛的应用。由IP协议衍生的协议族有10数种（据我所知），以后还会出现更多的基于IP的协议…

先从实际出发吧！

一般我们在谈上网速度的时候，专业上用带宽来描述，其实无论说网速或者带宽都是不准确的，呵呵。比如：1兆，512K……有些在学校的学生，也许会有疑问，明明我的业务是1M，为什么下载速度到100K就飙不上去了？512K的为什么50多K就封顶了？…

这里所说的1M是指1Mbps = 1 Million Bits Per Second，也就是1M比特每秒，即一秒钟传输1048576个二进制位。我们知道一个字节是8个二进制位。

好，又来问题了。即便这样子，1M=1048756÷8=131072÷1024=128K。那也应该有128K啊，为什么下载速度还是很少到120K，110K都谢天谢地了。看完本文，你的帐就对了……

IP数据包结构：

如图，一个刻度表示1个二进制位（比特）。

1-1.版本4位，表示版本号，目前最广泛的是4=B1000，即常说的IPv4；相信IPv6以后会广泛应用，它能给世界上每个纽扣都分配一个IP地址。

1-2.头长4位，数据包头部长度。它表示数据包头部包括多少个32位长整型，也就是多少个4字节的数据。无选项则为5（红色部分）。

1-3.服务类型，包括8个二进制位，每个位的意义如下：

过程字段：3位，设置了数据包的重要性，取值越大数据越重要，取值范围为：0（正常）~ 7（网络控制）

延迟字段：1位，取值：0（正常）、1（期特低的延迟）

流量字段：1位，取值：0（正常）、1（期特高的流量）

可靠性字段：1位，取值：0（正常）、1（期特高的可靠性）

成本字段：1位，取值：0（正常）、1（期特最小成本）

保留字段：1位，未使用

1-4.包裹总长16位，当前数据包的总长度，单位是字节。当然最大只能是65535，及64KB。

2-1.重组标识16位，发送主机赋予的标识，以便接收方进行分片重组。

2-2.标志3位，他们各自的意义如下：

保留段位(2)：1位，未使用

不分段位(1)：1位，取值：0（允许数据报分段）、1（数据报不能分段）

更多段位(0)：1位，取值：0（数据包后面没有包，该包为最后的包）、1（数据包后面有更多的包）

2-3.段偏移量13位，与更多段位组合，帮助接收方组合分段的报文，以字节为单位。

3-1.生存时间8位，经常ping命令看到的TTL（Time To Live）就是这个，每经过一个路由器，该值就减一，到零丢弃。

3-2.协议代码8位，表明使用该包裹的上层协议，如TCP=6，ICMP=1，UDP=17等。

3-3.头检验和16位，是IPv4数据包头部的校验和。

4-1.源始地址，32位4字节，我们常看到的IP是将每个字节用点（.）分开，如此而已。

5-1.目的地址，32位，同上。

6-1.可选选项，主要是给一些特殊的情况使用，往往安全路由会当作攻击而过滤掉，普联（TP_LINK）的TL-ER5110路由就能这么做。

7-1.用户数据。

TCP数据包结构：

1-1.源始端口16位，范围当然是0-65535啦。

1-2.目的端口，同上。

2-1.数据序号32位，TCP为发送的每个字节都编一个号码，这里存储当前数据包数据第一个字节的序号。

3-1.确认序号32位，为了安全，TCP告诉接受者希望他下次接到数据包的第一个字节的序号。

4-1.偏移4位，类似IP，表明数据距包头有多少个32位。

4-2.保留6位，未使用，应置零。

4-3.紧急比特URG—当URG＝1时，表明紧急指针字段有效。它告诉系统此报文段中有紧急数据，应尽快传送(相当于高优先级的数据)。

4-3.确认比特ACK—只有当ACK＝1时确认号字段才有效。当ACK＝0时，确认号无效。参考TCP三次握手

4-4.复位比特RST(Reset) —当RST＝1时，表明TCP连接中出现严重差错（如由于主机崩溃或其他原因），必须释放连接，然后再重新建立运输连接。参考TCP三次握手

4-5.同步比特SYN—同步比特SYN置为1，就表示这是一个连接请求或连接接受报文。参考TCP三次握手

4-6.终止比特FIN(FINal)—用来释放一个连接。当FIN＝1时，表明此报文段的发送端的数据已发送完毕，并要求释放运输连接。

4-7.窗口字段16位，窗口字段用来控制对方发送的数据量，单位为字节。TCP连接的一端根据设置的缓存空间大小确定自己的接收窗口大小，然后通知对方以确定对方的发送窗口的上限。

5-1.包校验和16位，包括首部和数据这两部分。在计算检验和时，要在TCP报文段的前面加上12字节的伪首部。

5-2.紧急指针16位，紧急指针指出在本报文段中的紧急数据的最后一个字节的序号。

6-1.可选选项24位，类似IP，是可选选项。

6-2.填充8位，使选项凑足32位。

7-1.用户数据……

可以看出，每个IP包至少要20字节的头部长度，这些与下载内容无关，加上目前多数传输，包括http协议（就是IE直接下载），都是基于TCP协议的，所以IP包裹还要从用户数据中扣除20字节的TCP包头，这里已经是40字节，加上其他程序的连接，状态确认等等包裹，因而算出来要比理论值要小。

深入浅出TCP三次握手

前言

TCP三次握手和四次挥手是面试题的热门考点，它们分别对应TCP的连接和释放过程，今天我们先来认识一下TCP三次握手过程，以及是否可以使用“两报文握手”建立连接？。

TCP是什么？

TCP是面向连接的协议，它基于运输连接来传送TCP报文段，TCP运输连接的建立和释放，是每一次面向连接的通信中必不可少的过程。

TCP运输连接有以下三个阶段：

建立TCP连接，也就是通过三报文握手来建立TCP连接。
数据传送，也就是基于已建立的TCP连接进行可靠的数据传输。
释放连接，也就是在数据传输结束后，还要通过四报文挥手来释放TCP连接。

TCP的运输连接管理就是使运输连接的建立和释放都能正常的进行。

TCP首部格式

在这里插入图片描述

源端口: 占16比特，写入源端口号，用来 标识发送该TCP报文段的应用进程。 目的端口： 占16比特，写入目的端口号，用来标识接收该TCP报文段的应用进程。

序号: 占32比特，取值范围[0,2^32-1]，序号增加到最后一个后，下一个序号就又回到0。指出本TCP报文段数据载荷的第一个字节的序号。

确认号： 占32比特，取值范围[0,2^32-1]，确认号增加到最后一个后，下一个确认号就又回到0。指出期望收到对方下一个TCP报文段的数据载荷的第一个字节的序号，同时也是对之前收到的所有数据的确认。若确认号=n，则表明到序号n-1为止的所有数据都已正确接收，期望接收序号为n的数据。

确认标志位ACK： 取值为1时确认号字段才有效；取值为0时确认号字段无效。TCP规定，在连接建立后所有传送的TCP报文段都必须把ACK置1。

数据偏移: 占4比特，并以4字节为单位。用来指出TCP报文段的数据载荷部分的起始处距离TCP报文段的起始处有多远。这个字段实际上是指出了TCP报文段的首部长度。

窗口： 占16比特，以字节为单位。指出发送本报文段的一方的接收窗。

同步标志位SYN： 在TCP连接建立时用来同步序号。终止标志位FIN： 用来释放TCP连接。复位标志位RST： 用来复位TCP连接。

推送标志位PSH： 接收方的TCP收到该标志位为1的报文段会尽快上交应用进程，而不必等到接收缓存都填满后再向上交付。

校验和： 占16比特，检查范围包括TCP报文段的首部和数据载荷两部分。在计算校验和时，要在TCP报文段的前面加上12字节的伪首部。

紧急指针： 占16比特，以字节为单位，用来指明紧急数据的长度。

填充： 由于选项的长度可变，因此使用填充来 确保报文段首部能被4整除，(因为数据偏移字段，也就是首部长度字段，是以4字节为单位的)。

TCP的连接建立

TCP 建立连接的过程叫做握手，握手需要在客户和服务器之间交换三个TCP 报文段，称之为三报文握手，采用三报文握手主要是为了防止已失效的连接请求报文段突然又传送到了，因而产生错误。

TCP的连接建立要解决以下三个问题：

1、使TCP双方能够确知对方的存在。
2、使TCP双方能够协商一些参数（最大窗口值是否使用窗口扩大选项和时间戳选项，以及服务质量等）。
3、使TCP双方能够对运输实体资源（例如缓存大小连接表中的项目等）进行分配。

三次握手图文详解

这是两台要基于TCP进行通信的主机：

主动发起TCP连接建立称为TCP客户(client)。
被动等待TCP连接建立的应用进程称为TCP服务器(server)。

我们可以将TCP建立连接的过程比喻为”握手“，“握手”需要在TCP客户端和服务器之间交换三个TCP报文段。

最初两端的TCP进程都处于关闭状态。

一开始，TCP服务器进程首先创建传输控制块，用来存储TCP连接中的一些重要信息。 例如TCP连接表、指向发送和接收缓存的指针、指向重传队列的指针，当前的发送和接收序号等。之后就准备接受TCP客户进程的连接请求，此时TCP服务器进程就要进入监听状态等待TCP客户进程的连接请求。

TCP客户进程也是首先创建传输控制块，然后再打算建立。 TCP服务器进程是被动等待来自TCP客户端进程的连接请求，因此称为被动打开连接。

TCP连接时向TCP服务器进程发送TCP连接请求报文段，并进入同步已发送状态。

TCP 连接请求报文段首部中的同步位SYN被设置为1，,表明这是一个tcp连接请求报文段。
序号字段seq被设置了一个初始值x作为TCP客户进程所选择的初始序号。

由于TCP连接建立是由TCP客户进程主动发起的，因此称为主动打开连接。 请注意TCP规定SYN被设置为1的报文段不能携带数据但要消耗掉一个序号。

TCP服务器进程收到TCP连接请求报文段后，如果同意建立连接，则向TCP客户进程发送TCP连接请求确认报文段，并进入同步已接收状态。

该报文段首部中的同步位SYN和确认位ACK 都设置为1，表明这是一个TCP连接请求。
序号字段seq被设置了一个初始值y，作为TCP服务器进程所选择的初始序号。
确认号字段ack的值被设置成了x+1，这是对TCP客户进程所选择的初始序号seq的确认。

请注意这个报文段也不能携带数据，因为它是SYN被设置为一的报文段但同样要消耗掉一个序号。

TCP客户进程收到TCP连接请求确认报文段后，还要向TCP服务器进程发送一个普通的TCP 确认报文段并进入连接已建立状态。

该报文段首部中的确认位ACK被设置为1，表明这是一个普通的TCP确认报文段。
序号字段seq 被设置为x+1，这是因为TCP客户进程发送的第一个TCP报文段的序号为x，并且不携带数据，因此第二个报文段的序号为x +1。
确认号字段ack被设置为y + 1，这是对TCP服务器进程所选择的初始序号的确认。

请注意TCP规定，普通的TCP确认报文段可以携带数据。但如果不携带数据则不消耗序号，在这种情况下所发送的下一个数据报文段的序号仍是x + 1。

TCP服务器进程收到该确认报文段后也进入连接已建立状态，现在TCP双方都进入了连接已建立状态，他们可以基于已建立好的TCP连接进行可靠的数据传输了。

三次握手文字总结

三次握手是 TCP 连接的建立过程。在握手之前，主动打开连接的客户端结束 CLOSE 阶段，被动打开的服务器也结束 CLOSE 阶段，并进入 LISTEN 阶段。随后进入三次握手阶段：

① 首先客户端向服务器发送一个 SYN 包，并等待服务器确认，其中：

标志位为 SYN，表示请求建立连接；
序号为 Seq = x（x 一般取随机数）；
随后客户端进入 SYN-SENT 阶段。

② 服务器接收到客户端发来的 SYN 包后，对该包进行确认后结束 LISTEN 阶段，并返回一段 TCP 报文，其中：

标志位为 SYN 和 ACK，表示确认客户端的报文 Seq 序号有效，服务器能正常接收客户端发送的数据，并同意创建新连接；
序号为 Seq = y；
确认号为 Ack = x + 1，表示收到客户端的序号 Seq 并将其值加 1 作为自己确认号 Ack 的值，随后服务器端进入 SYN-RECV 阶段。

③ 客户端接收到发送的 SYN + ACK 包后，明确了从客户端到服务器的数据传输是正常的，从而结束 SYN-SENT 阶段。并返回最后一段报文。其中：

标志位为 ACK，表示确认收到服务器端同意连接的信号；
序号为 Seq = x + 1，表示收到服务器端的确认号 Ack，并将其值作为自己的序号值；
确认号为 Ack= y + 1，表示收到服务器端序号 seq，并将其值加 1 作为自己的确认号 Ack 的值。
随后客户端进入 ESTABLISHED。

当服务器端收到来自客户端确认收到服务器数据的报文后，得知从服务器到客户端的数据传输是正常的，从而结束 SYN-RECV 阶段，进入 ESTABLISHED 阶段，从而完成三次握手。

是否可以使用“两报文握手”建立连接？

为什么TCP客户进程最后还要发送一个普通的TCP确认报文段？

考虑这样一种情况，TCP客户进程发出一个TCP连接请求报文段，但该报文段在某些网络节点长时间滞留了，这必然会造成该报文段的超时重传。

假设重传的报文段被TCP服务器进程正常接收，TCP服务器进程给TCP客户进程发送一个TCP连接请求确认报文段，并进入连接已建立状态。

请注意，由于我们改为两报文握手，因此TCP服务器进程发送完TCP连接请求确认报文段后，进入的是连接已建立状态，而不像三报文握手那样进入同步已接收状态，TCP服务器进程并等待TCP客户进程发来针对TCP连接请求确认报文段的普通确认报文段。TCP客户进程收到TCP连接请求确认报文段后进入TCP连接已建立状态，但不会给TCP服务器进程发送针对该报文段的普通确认报文段。

现在，TCP双方都处于连接已建立状态，他们可以相互传输数据，之后可以通过四报文挥手来释放连接，TCP双方都进入了关闭状态。

一段时间后，之前滞留在网络中的那个失效的TCP连接请求报文段到达了TCP服务器进程，TCP 服务器进程会误认为这是TCP客户进程又发起了一个新的TCP连接请求，于是给TCP客户进程发送TCP连接请求确认报文段并进入连接已建立状态。

该报文段到达TCP客户进程，由于TCP客户进程并没有发起新的TCP连接请求，并且处于关闭状态，因此不会理会该报文段。

但TCP服务器进程已进入了连接已建立状态，他认为新的TCP连接已建立好了，并一直等待TCP客户进程发来数据。这将白白浪费TCP服务器进程所在主机的很多资源。

综上所述，采用三报文握手，而不是两报文握手来建立TCP连接，是为了防止已失效的连接请求报文段突然又传送到了TCP服务器进程因而导致错误。

两次握手文字总结

三次握手的主要目的是确认自己和对方的发送和接收都是正常的，从而保证了双方能够进行可靠通信。若采用两次握手，当第二次握手后就建立连接的话，此时客户端知道服务器能够正常接收到自己发送的数据，而服务器并不知道客户端是否能够收到自己发送的数据。

我们知道网络往往是非理想状态的（存在丢包和延迟），当客户端发起创建连接的请求时，如果服务器直接创建了这个连接并返回包含 SYN、ACK 和 Seq 等内容的数据包给客户端，这个数据包因为网络传输的原因丢失了，丢失之后客户端就一直接收不到返回的数据包。由于客户端可能设置了一个超时时间，一段时间后就关闭了连接建立的请求，再重新发起新的请求，而服务器端是不知道的，如果没有第三次握手告诉服务器客户端能否收到服务器传输的数据的话，服务器端的端口就会一直开着，等到客户端因超时重新发出请求时，服务器就会重新开启一个端口连接。长此以往，这样的端口越来越多，就会造成服务器开销的浪费。

UDP

UDP 报文格式

每个 UDP 报文分为 UDP 报头和 UDP 数据区两部分。报头由 4 个 16 位长（2 字节）字段组成，分别说明该报文的源端口、目的端口、报文长度和校验值。

UDP 报文格式如图所示。

UDP 报文中每个字段的含义如下：

源端口：这个字段占据 UDP 报文头的前 16 位，通常包含发送数据报的应用程序所使用的 UDP 端口。接收端的应用程序利用这个字段的值作为发送响应的目的地址。这个字段是可选的，所以发送端的应用程序不一定会把自己的端口号写入该字段中。如果不写入端口号，则把这个字段设置为 0。这样，接收端的应用程序就不能发送响应了。
目的端口：接收端计算机上 UDP 软件使用的端口，占据 16 位。
长度：该字段占据 16 位，表示 UDP 数据报长度，包含 UDP 报文头和 UDP 数据长度。因为 UDP 报文头长度是 8 个字节，所以这个值最小为 8。
校验值：该字段占据 16 位，可以检验数据在传输过程中是否被损坏。

分析 UDP 数据包

客户端与服务器建立连接后进行通信，除了使用 TCP 协议外，还可以使用 UDP 协议。netwox 工具提供了相关模块，用于建立 UDP 服务器和 UDP 客户端，实现基于 UDP 协议的数据交互。

【实例】已知主机 A 的 IP 地址为 192.168.59.132，主机 B 的 IP 地址为 192.168.59.135。分别在这两个主机上建立 UDP 服务器和客户端，并进行连接，监听指定端口上的通信信息。具体步骤如下：

\1) 在主机 A 上建立 UDP 服务器，设置监听端口为 80，执行命令如下：

root@daxueba:~# netwox 90 -P 80

执行命令后，没有任何输出信息，但是成功建立了 UDP 服务器端。

\2) 在主机 B 上建立 UDP 客户端，连接 UDP 服务器端 80 端口，执行命令如下：

root@daxueba:~# netwox 88 -i 192.168.59.135 -p 80

执行命令后，没有任何输出信息，但是成功连接到了 UDP 服务器端，这里可以输入通信内容。

\3) 与 UDP 服务器端进行通信，在客户端输入 hi：

root@daxueba:~# netwox 88 -i 192.168.59.135 -p 80 hi

\4) 在服务端可以看到客户端发来的消息如下：

root@daxueba:~# netwox 90 -P 80 hi

\5) 为了验证发送的消息使用的是 UDP 协议，可以通过抓包进行查看，如图所示。

从图中第 1 个数据包可以看到，是 UDP 客户端（源 IP 地址为 192.168.59.132）向 UDP 服务器端（目的 IP 地址为 192.168.59.135）发送的 UDP 数据包，使用的源端口为随机端口 47203，目的端口为 80（UDP 服务器端监听的端口）。

在 User Datagram Protocol 部分中显示了 UDP 数据包的详细信息。可以看到源端口、目的端口，以及包长度为 11 字节、校验值为 0xf878 等信息。

\6) 当服务器向客户端发送消息时，使用的也是 UDP 协议。例如，在服务器端回复客户端，输入 hello：

root@daxueba:~# netwox 90 -P 80 hi hello

\7) 通过抓包验证使用的是 UDP 协议，如图所示。

从第 14 个数据包可以看到，源 IP 地址为 192.168.59.135，目的 IP 地址为 192.168.59.132，源端口为 80，目的端口为随机端口 47203。该数据包正好是 UDP 服务器回复客户端的 UDP 数据包。在 User Datagram Protocol 部分中可以看到详细信息。

ICMP

ICMP概述：全称internet control message protocol（因特网控制协议），ICMP是一个网络层协议。 ICMP协议是一种面向无连接的协议，它是TCP/IP协议簇的一个子协议（用于在IP主机，路由器之间传递控制消息）

产生的原因：刚搭建好的一个网络，往往需要先进行一个简单的测试，来验证网络是否畅通；但是IP协议并不提供可靠的传输。如果包丢了，IP协议不能通知传输层是否丢包和丢包原因，所以ICMP的出现就是用来完成这样功能的。

ICMP的主要功能：确认IP包是否成功到达目标地址通知在发送过程中IP包被丢弃的原因

注意点： ICMP是基于IP协议工作的，但是它并不是传输层的功能，因此仍然把它归结为网络层协议 ICMP只能搭配IPv4使用，如果是IPv6的情况下, 需要是用ICMPv6

第一步：在kali查看网卡和测ping 183.232.231.174（百度）

第二步：使用tcpdump捕抓ping命令的ICMP数据包

第三步：使用tcpdump捕抓并保存ping命令的ICMP数据包

第四步：网络模型和协议格式展示

【网络OSI七层】—【TCP，IP四层】—【五层模型和对应网络协议】

IP数据包结构

ICMP报文格式

第五步：wireshark显示分析

ARP

ARP 协议包（ARP 报文）主要分为 ARP 请求包和 ARP 响应包，本节将介绍 ARP 协议包的格式。

ARP 报文格式

ARP 协议是通过报文进行工作的，ARP 报文格式如图所示。

ARP 报文总长度为 28 字节，MAC 地址长度为 6 字节，IP 地址长度为 4 字节。

其中，每个字段的含义如下。

硬件类型：指明了发送方想知道的硬件接口类型，以太网的值为 1。
协议类型：表示要映射的协议地址类型。它的值为 0x0800，表示 IP 地址。
硬件地址长度和协议长度：分别指出硬件地址和协议的长度，以字节为单位。对于以太网上 IP 地址的ARP请求或应答来说，它们的值分别为 6 和 4。
操作类型：用来表示这个报文的类型，ARP 请求为 1，ARP 响应为 2，RARP 请求为 3，RARP 响应为 4。
发送方 MAC 地址：发送方设备的硬件地址。
发送方 IP 地址：发送方设备的 IP 地址。
目标 MAC 地址：接收方设备的硬件地址。
目标 IP 地址：接收方设备的IP地址。

ARP 数据包分为请求包和响应包，对应报文中的某些字段值也有所不同。

ARP 请求包报文的操作类型（op）字段的值为 request(1)，目标 MAC 地址字段的值为 Target 00：00：00_00：00：00(00：00：00：00：00：00)（广播地址）。
ARP 响应包报文中操作类型（op）字段的值为 reply(2)，目标 MAC 地址字段的值为目标主机的硬件地址。

构造 ARP 报文

ARP 报文默认由操作系统自动发送。用户可以自己构造 ARP 报文，向目标主机发送请求，从而获取目标主机的 MAC 地址。这时，可以使用 netwox 工具提供的编号为 33 的模块。

【示例】使用 netwox 工具构造 ARP 包。

\1) 查看 netwox 所在主机默认的 ARP 包的相关信息，执行命令如下：

root@daxueba:~# netwox 33

输出信息如下：

Ethernet________________________________________________________.
| 50:E5:49:EB:46:8D->00:08:09:0A:0B:0C type:0x0806              |
|_______________________________________________________________|
ARP Request_____________________________________________________.
| this address : 50:E5:49:EB:46:8D 0.0.0.0                      |
| asks         : 00:00:00:00:00:00 0.0.0.0                      |
|_______________________________________________________________|

上述输出信息中，Ethernet 部分为以太网信息。ARP Request 部分为 ARP 请求。this address 表示源地址信息。其中，50：E5：49：EB：46：8D 为源主机 MAC 地址；asks 为目标地址信息，这里为 ARP 请求包。由于还没有构造请求，因此地址为 0。

\2) 构造 ARP 请求包，请求目标主机 192.168.12.102，执行命令如下：

root@kali:~# netwox 33 -i 192.168.12.102

输出信息如下：

Ethernet________________________________________________________.
| 50:E5:49:EB:46:8D->00:08:09:0A:0B:0C type:0x0806              |
|_______________________________________________________________|
ARP Request_____________________________________________________.
| this address : 50:E5:49:EB:46:8D 0.0.0.0                      |
| asks         : 00:00:00:00:00:00 192.168.12.102               |
|_______________________________________________________________|

此时，ARP Request 部分 asks 中的 00：00：00：00：00：00 为目标 MAC 地址，因为正在请求目标主机的 MAC 地址，所以为 00：00：00：00：00：00。

192.168.12.102 为目标主机的IP地址，表示向该主机进行 ARP 请求。

\3) 为了验证构造的 ARP 请求包，使用 Wireshark 进行抓包，如图所示。

其中，第一个数据包为构造的 ARP 请求包。在 Address Resolution Protocol(request) 部分中，Opcode 的值为 request(1)，表示该数据包为 ARP 请求包；Target MAC address 的值为 00：00：00_00：00：00(00：00：00：00：00：00)，表示此时没有获取目标 MAC 地址；Target IP address 的值192.168.12.102，表示请求主机的 IP 地址。

\4) 如果请求的目标主机存在，将成功返回 ARP 响应数据包，如图所示。

其中，第 2 个数据包为 ARP 响应数据包。在 Address Resolution Protocol(reply) 部分中，Opcode 的值为 reply(2)，表示该数据包为 ARP 响应包；Sender IP address 的值为 192.168.12.102，表示此时源主机为目标主机；Sender MAC address 的值为 Giga-Byt_17：cf：21(50：e5：49：17：cf：21)，表示 50：e5：49：17：cf：21 为目标主机 192.168.12.102 的 MAC 地址。

免费 ARP 包

免费 ARP（Gratuitous ARP）包是一种特殊的 ARP 请求，它并非期待得到 IP 对应的 MAC 地址，而是当主机启动的时候，发送一个 Gratuitous ARP 请求，即请求自己的 IP 地址的 MAC 地址。

本节将介绍免费 ARP 包的结构、作用，以及如何发送免费 ARP 包。

免费 ARP 包的结构

免费 ARP 报文与普通 ARP 请求报文的区别在于报文中的目标 IP 地址。普通 ARP 报文中的目标 IP 地址是其他主机的 IP 地址；而免费 ARP 的请求报文中，目标 IP 地址是自己的 IP 地址。

作用

免费 ARP 数据包有以下 3 个作用。
该类型报文起到一个宣告作用。它以广播的形式将数据包发送出去，不需要得到回应，只为了告诉其他计算机自己的 IP 地址和 MAC 地址。
可用于检测 IP 地址冲突。当一台主机发送了免费 ARP 请求报文后，如果收到了 ARP 响应报文，则说明网络内已经存在使用该 IP 地址的主机。
可用于更新其他主机的 ARP 缓存表。如果该主机更换了网卡，而其他主机的 ARP 缓存表仍然保留着原来的 MAC 地址。这时，可以发送免费的 ARP 数据包。其他主机收到该数据包后，将更新 ARP 缓存表，将原来的 MAC 地址替换为新的 MAC 地址。

构造免费 ARP 包

用户可以使用 netwox 工具中编号为 33 的模块构造免费的 ARP 数据包。

构造免费的 ARP 数据包。

\1) 构造免费的 ARP 数据包，设置源 IP 地址和目标 IP 地址为 192.168.59.132，执行命令如下：

root@daxueba:~# netwox 33 -g 192.168.59.132 -i 192.168.59.132

输出信息如下：

\2) 使用 Wireshark 进行抓包，验证构造的免费 ARP 数据包，如图所示。

其中，第一个数据包的 Info 列显示 Gratuitous ARP for 192.168.59.132(Request)，表示该数据包为构造的免费 ARP 数据包。

在 Address Resolution Protocol(request/gratuitous ARP) 部分中，Sender IP address 和 Target IP address 的值为同一个 IP 地址 192.168.59.132。

总

以太网数据包TCP、IP、ICMP、UDP、ARP协议头结构详解

以太网首部

IP头的结构

（1）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺序是从左到右，依次从低位到高位。

（2）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。

（3）服务类型：前3位为优先字段权，现在已经被忽略。接着4位用来表示最小延迟、最大吞吐量、最高可靠性和最小费用。

（4）封包总长度：整个IP报的长度，单位为字节。

（5）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比如初始值设置为32，则每通过一个路由器处理就会被减一，当这个值为0的时候就会丢掉这个包，并用ICMP消息通知源主机。

（6）协议：定义了数据的协议，分别为：TCP、UDP、ICMP和IGMP。

（7）检验和：校验的首先将该字段设置为0，然后将IP头的每16位进行二进制取反求和，将结果保存在校验和字段。

（8）来源IP地址：将IP地址看作是32位数值则需要将网络字节顺序转化位主机字节顺序。转化的方法是：将每4个字节首尾互换，将2、3字节互换。

（9）目的IP地址：转换方法和来源IP地址一样。

在网络协议中，IP是面向非连接的，所谓的非连接就是传递数据的时候，不检测网络是否连通。所以是不可靠的数据报协议，IP协议主要负责在主机之间寻址和选择数据包路由。

ICMP协议的头结构

类型：一个8位类型字段，表示ICMP数据包类型。代码：一个8位代码域，表示指定类型中的一个功能。如果一个类型中只有一种功能，代码域置为0。检验和：数据包中ICMP部分上的一个16位检验和。

3、TCP协议的头结构

TCP源端口（Source Port）：16位的源端口包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址（2）TCP目的端口（Destination Port）：16位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。

（3）序列号（Sequence Number）：TCP连线发送方向接收方的封包顺序号。

（4）确认序号（Acknowledge Number）：接收方回发的应答顺序号。

（5）头长度（Header Length）：表示TCP头的双四字节数，如果转化为字节个数需要乘以4。

（6）URG：是否使用紧急指针，0为不使用，1为使用。

（7）ACK：请求/应答状态。0为请求，1为应答。

（8）PSH：以最快的速度传输数据。

（9）RST：连线复位，首先断开连接，然后重建。

（10）SYN：同步连线序号，用来建立连线。

（11）FIN：结束连线。如果FIN为0是结束连线请求，FIN为1表示结束连线。

（12）窗口大小（Window）：目的机使用16位的域告诉源主机，它想收到的每个TCP数据段大小。

（13）校验和（Check Sum）：这个校验和和IP的校验和有所不同，不仅对头数据进行校验还对封包内容校验。

（14）紧急指针（Urgent Pointer）：当URG为1的时候才有效。TCP的紧急方式是发送紧急数据的一种方式。

UDP协议的头结构

（1）源端口（Source Port）：16位的源端口域包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。（2）目的端口（Destination Port）：6位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。（3）封包长度（Length）：UDP头和数据的总长度。（4）校验和（Check Sum）：和TCP和校验和一样，不仅对头数据进行校验，还对包的内容进行校验。

ARP报头结构

（1）硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1；（2）协议类型字段指明了发送方提供的高层协议类型，IP为0800（16进制）；（3）硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；（4）操作字段用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；（5）发送方的硬件地址（0-3字节）：源主机硬件地址的前3个字节；（6）发送方的硬件地址（4-5字节）：源主机硬件地址的后3个字节；（7）发送方IP（0-1字节）：源主机硬件地址的前2个字节；（8）发送方IP（2-3字节）：源主机硬件地址的后2个字节；（9）目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节；（10）目的硬件地址（2-5字节）：目的主机硬件地址的后4个字节；（11）目的IP（0-3字节）：目的主机的IP地址。

RIP路由协议报文结构

RIPv1报文结构

RIPv1报文中各个字段的含义如下。

命令字段（command）

值为1时该报文为Request报文，用于直接向直连路由器请求全部或部分路由信息。

值为2时该报文为Response报文，用于发送路由更新，该报文可以作为对Request报文的回应，也可以是路由器自主发送的，例如周期性发送路由更新或者触发性发送路由更新。一个Response报文最多可以携带25个路由条目，当待发送的路由数量大于该值时，需使用多个Response报文。

版本字段（Version）

在RIPv1中，该字段的值为1。

地址族标识符（Address family identifier）

该字段值为2时表示IP协议。如果该报文为Request报文并且是用于向直连路由器请求其整张路由表，则该字段值被设置为0，同时这个Request报文中包含且只包含一个路由条目，该路由的目的网络地址为0.0.0.0，度量值为16。

IP地址（IP Address）

路由的目的网络地址。

度量值（Metric）

路由的度量值。

值得注意的是，RIPv1的Response报文中并不携带路由的目的网络掩码。

RIPv2报文结构

RIPv2报文中各个字段的含义如下

命令字段（Command）

与RIPv1类似，不再赘述。

版本字段（Version）

在RIPv2中，该字段的值为2。

地址族标识符（Address Family Identifier）

与RIPv1类似，不再赘述。

路由标记（Route Tag）

用于为路由设置标记信息，缺省为0.当一条外部路由被引入RIP从而形成一条RIP路由时，RIP可以为该路由设置路由标记，当这条路由在整个RIP域内传播时，路由标记不会丢失。

IP地址（IP Adderss）

路由的目的网络地址。

网络掩码（Netmask）

RIPv1路由器在通告路由时是不携带目的网络掩码的，这是因为在RIPv1的报文中并没有定义相应的字段，这使得RIPv1无法支持VLSM。RIPv2在这一点上做了改进，定义了该字段用于存储路由条目的目的网络掩码，如此一来，RIPv2便能够支持VLSM。

下一跳（Next Hop）

RIPv2定义了该字段，使得路由器在多路访问网络上可以避免次优路径现象。一般情况下，在路由器所发送的路由更新中，路由条目“下一跳”字段会被设置为0.0.0.0，此时收到该路由的路由器将路由条目加载到路由表时，将路由的更新源视为到达目的网段的下一跳。在某些特殊的场景下，该字段值会被设置为非0.0.0.0。

度量值（Metric）

该路由的度量值。

Rek'Sai

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
1
评论
数据包结构

TCP三次握手和四次挥手是面试题的热门考点，它们分别对应TCP的连接和释放过程，今天我们先来认识一下TCP三次握手过程，以及是否可以使用“两报文握手”建立连接？。三次握手是 TCP 连接的建立过程。在握手之前，主动打开连接的客户端结束 CLOSE 阶段，被动打开的服务器也结束 CLOSE 阶段，并进入 LISTEN 阶段。随后进入三次握手阶段：① 首先客户端向服务器发送一个 SYN 包，并等待服务器确认，其中：标志位为 SYN，表示请求建立连接；序号为 Seq = x（x 一般取随机数）；
复制链接

扫一扫