ICMP学习小结

当一台计算机发送IP数据包时，会为数据包设置存活时间（TTL）值。每当数据包经过一个路由器，其存活时间值就会减 1。当存活时间减到 0 时，路由器将不再转发数据包，而是发送一个 ICMP TTL 数据包给最初发出数据包的计算机。
默认条件下，traceroute 首先发出 TTL = 1 的UDP 数据包，第一个路由器将 TTL 减 1 得 0 后就不再继续转发此数据包，而是返回一个 ICMP 超时报文，traceroute 从超时报文中即可提取出数据包所经过的第一个网关的 IP 地址。
需要注意的是，并不是所有网关都会如实返回 ICMP 超时报文。处于安全性考虑，大多数防火墙以及启用了防火墙功能的路由器缺省配置为不返回各种 ICMP 报文，其余路由器或交换机也可能被管理员主动修改配置变为不返回 ICMP 报文。因此 Traceroute 程序不一定能拿到所有的沿途网关地址。所以，当某个 TTL 值的数据包得不到响应时，并不能停止这一追踪过程，程序仍然会把 TTL 递增而发出下一个数据包。这个过程将一直持续到数据包发送到目标主机，或者达到默认或用参数指定的追踪限制（maximum_hops）才结束追踪。
依据上述原理，利用了 UDP 数据包的 Traceroute 程序在数据包到达真正的目的主机时，就可能因为该主机没有提供 UDP 服务而简单将数据包抛弃，并不返回任何信息。为了解决这个问题，Traceroute 故意使用了一个大于 30000 的端口号，因 UDP 协议规定端口号必须小于 30000 ，所以目标主机收到数据包后唯一能做的事就是返回一个 “端口不可达” 的 ICMP 报文，于是主叫方就将端口不可达报文当作跟踪结束的标志。
除了 UDP 之外，我们还可以用 TCP 或 ICMP 来探测网络路径。
Traceroute 使用 TCP 探测网络路径的原理是，不断发出 TTL 逐渐增大的 TCP [SYN] 包，在收到目标主机发回的 TCP [SYN ACK] 或达到默认或设置的追踪限制（maximum_hops）时结束追踪。
如果我们以 -I 参数启动 traceroute，用 ICMP 来探测网络路径的话,这个过程将不断发送 TTL 递增的 ICMP ECHO Request (Ping) 的包，中间网关在发现数据包的 TTL 减到 0 时，向源主机发回 ICMP TTL 超时。

总结一下，traceroute 主要利用 IP 数据包的 TTL 字段值 + ICMP 来实现，它发送的用于探测网络路径的数据包的 IP 之上的协议可以是 UDP、TCP或ICMP。不同模式下，探测过程中设计的数据包如下：
UDP 模式 UDP 探测数据包（目标端口大于 30000） + 中间网关发回 ICMP TTL 超时数据包 + 目标主机发回 ICMP Destination Unreachable(port unreachable) 数据包
TCP 模式 TCP [SYN] 探测数据包（目标端口为 Web 服务的 80） + 中间网关发回 ICMP TTL 超时数据包 + 目标主机发回 TCP [SYN ACK] 数据包
ICMP 模式 ICMP Echo (ping) Request 探测数据包 + 中间网关发回 ICMP TTL 超时数据包 + 目标主机发回 ICMP Echo (ping) reply 数据包