学习网络层协议与应用（ICMP协议和ARP协议）

一. 理解IP的数据包格式

1.IP数据包格式

IP地址，网络层定义负责数据通过网络流动所经过的路径，主要功能有：

• 定义了基于IP协议的逻辑地址
• 选择数据通过网络的最佳路径
• 选择不同的媒介类型

版本(Version)﹔该字段包含的是IP 的版木号，4bit。目前IP 的版本为4(即IPv4)。

首部长度（Header Length):该字段用于表示IP数据包头长度，4bit。IP数据包头最短为20字节，但是其长度是可变的，具体长度取决于可选项段的长度。

优先级与服务类型(Priority & Type ofService)t该字段用于表示数据包的优先级和服务类型，8bit。通过在数据包中划分一定的优先级，用于实现 Qos(服务质量》的要求.

总长度(Total Length):该字段用以指示整个IP数据包的长度，16bit。最长为65535字节，包括IP头部和上层数据。

标识符（Identification):该字段用于表示TP数据包的标识符，16bit。当IP对上层数据进行分片时，它将给所有的分片分配同一组编号，然后将这些编号放入标识符字段中，保证分片不会被错误地重组。
路由器将一个包拆分后，所有拆分开的小包被标记相同的值，以便目的端设备能够区分哪个包属于被拆分开的包的一部分。

标志（Flags)﹔标志字段，3bit。对当前的包不能进行分片（当该包从一个以太网发送到另一个以太网时)，或当一个包被分片后用以指示在一系列的分片中,最后一个分片是否已发出。

段偏移量(Eragmentoffset):该字段用于表示段偏移量，13bit。段偏移量中包含的信息是指在一个分片序列中如何将各分片重新连接起来
。
TTL (rime to Live):该字段用于表示、_LP数据包的生命周期，9bit。一个数据包每经过一个路由器，TTL将减去1。当TTL的值为0时，该数据包将被丢弃。可以防止一个数据包在网络中无限循环地转发下去。

协议号(Protocol):协议字段，Bbit。该字段用以指示在TP数据包中封装的是哪一个协议，是TCP还是UDP，TCP的协议号为6。UDP的协议号为17

首部校验和(Header Checksum):该字段用于表示校验和﹐16bit。接收方和网关用来校验数据有没有被改动过。

源IP地址(Source IP Address):该字段用于表示数据包的源地址，32bit。

目标IP地址(Destination IPAddress):该字段用于表示数据包的目的地址，32bit.

可选项（aptions）:可选项字段根据实际情况可变长，可以和1P一起使用的选项有多个。例如，可以输入创建该数据包的时间等。在可选项之后,就是上层致据。

二. ICMP的协议原理

1. ICMP的主要功能

ICMP 属于网络层协议是一个“错误侦测和回馈机制”

通过IP 数据包封装的

用来发送错误和控制消息

2. Windows系统中ping命令

-t ：参数会一直不停的执行ping
-a : 参数可以显示主机名称
-l ：参数可以设定ping包大小
-n : 指定发送包的个数
-s : 指定源IP去ping

跟踪路由路径命令：
Win： tracert IP/域名
Linux： traceroute IP/域名

广播与广播域

广播：将广播地址做为目的地址的数据帧

广播域：网络中能接收到同一个广播的所有节点的集合

广播地址 ：FF-FF-FF - FF-FF-FF

三. 理解ARP协议

1. ARP协议原理

ARP协议：将IP地址解析为MAC地址

1. 主机A 要传输数据给主机B，首先查看自己的ARP缓存表中有没有主机B的MAC地址。如果有可以直接进行单播传输。
2. 如果没有主机A会发送ARP广播请求，用于发现目的地的MAC地址。ARP包含主机A 的IP地址和MAC地址，以及主机B的IP的地址，和目的MAC地址（此时为广播MAC地址FF-FF-FF-FF-FF-FF）。
3. 交换机接收到学习并记录主机A 的MAC地址和端口号。然后交换机进行广播泛洪给所有主机(除A)。所有主机对照自己的IP地址
4. 主机B对应上了，接收ARP请求后单播应答。并在主机B的ARP缓存表中记录主机A 的IP地址和MAC地址的对应关系，其他主机则丢弃这个ARP 请求消息。
5. 此时主机B的源IP 地址和MAC 地址就是原来主机A 的目的IP地址和MAC 地址,主机B的目的IP地址和MAC地址就是之前主机A 的源IP地址和MAC地址。
6. 然后交换机再学习主机B的MAC地址和端口号，主机A 接受回应，并在主机A的ARP缓存表中记录主机B的IP地址和MAC地址对应关系。后面主机A 和主机B 就可以进行单播通信了

2. Windows系统中ARP命令

1、arp -a：查看ARP缓存表
2、arp -d [ip]：清除ARP缓存
3、ARP静态绑定

• 注：动态学习到的ARP老化时间是120s，并且静态绑定的ARP条目在计算机关机或重启后会消失。

四. ARP攻击和欺骗原理

1. ARP的攻击原理

ARP 攻击主要是使网络无法正常通信，主要有两种攻击行为：

1. 攻击主机制造ARP 应答，并发送给局域网中除被攻击主机之外的所有主机。ARP应答中包含被攻击主机的IP地址和虚假的MAC地址

2. 攻击主机制造假的ARP应答，并发送给被攻击主机。ARP应答中包含除被攻击主机之外的所有主机IP地址和虚假的MAC 地址

2. ARP的欺骗原理

一般情况下ARP欺骗不会使网络无法正常通信，而是冒充网关的或其他主机使到达网关或者主机的流量通过攻击主机进行转发。通过转发流量可以对流量控制和查看，从而可以控制流量或得到机密消息