计算机网络实验四（以太网数据帧分析）

一、实验目的

了解网络协议分析软件的过滤方式和原则，包括:按协议类型过滤,按IP地址过滤,按协议模式过滤,按端口过滤等，通过设置不同的过滤条件，熟悉协议类型、端口、协议等概念；分析以太网数据帧的构成，数据链路层将不可靠的物理层转变为一条无差错的链路，涉及的数据单位是帧(frame)，高层的协议数据被封装在以太网帧的数据字段发送。使用网络协议分析软件可以捕获各种协议数据包，通过查看这些协议数据包中数据链路帧的各字段可以分析网络协议的内部机制。

二、实验内容

1. 掌握网络协议分析软件的常用过滤规则使用方法；
2. 分析以太网数据帧的构成
3. 掌握以太网报文格式，掌握MAC地址的作用；
4. 掌握LLC帧报文格式；

三、实验原理

1、网络协议分析软件的过滤规则

（1）按协议类型过滤
Wireshark支持的协议包括 TCP、UDP、ARP、ICMP、HTTP、SMTP、FTP、DNS、MSN、IP、SSL、OICQ、BOOTP等，例如只查看HTTP协议，则直接输入http。
（2）按IP地址过滤
若只要显示与指定IP（例如192.168.1.123）通信的记录则可输入id.addr = = 192.168.1.123。
如果要限制为源IP为192.168.1.123则输入ip.src = = 192.168.1.123；
如果要限制为目的IP为192.168.1.123，则输入ip.dst = = 192.168.1.123。
（3）按协议模式过滤
例如HTTP协议，可以针对HTTP的请求方式进行过滤，只显示发送GET或POST请求的过滤规则：http.request.method = = “GET”
或 http.request.method == “POST”
（4）按端口过滤
tcp.dstport = = 80 // 只显tcp协议的目标端口80
tcp.srcport == 80 // 只显tcp协议的来源端口80
tcp.port eq 80//不管端口是来源的还是目标的
（5）按MAC地址过滤
例如以太网头过滤，
eth.dst = = A0:00:00:04:C5:84 // 过滤 目 标mac
eth.src eq A0:00:00:04:C5:84 // 过 滤 来源mac
eth.addr eq A0:00:00:04:C5:84 // 过滤 来 源MAC和目标MAC都等于A0:00:00:04:C5:84的
（6）按包长度过滤
udp.length = = 26， 这个长度是指udp本身固定长度8加上udp下面那块数据包之和 ；
tcp.len >= 7 ， 指的是ip数据包(tcp下面那块数据),不包括tcp本身；
ip.len = = 94， 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后 ；
frame.len = = 119 ，整个数据包长度,从eth开始到最后
（7）按参数过滤
例如按TCP参数过滤：
tcp.flags 显示包含TCP标志的封包。
tcp.flags.syn = = 0x02 显示包含TCP SYN标志的封包。
tcp.window_size = = 0 && tcp.flags.reset != 1
（8）按过滤内容
例如：
tcp[2