ENSP实验抓取IP包分片

1、实验拓扑图1所示

图1实验拓扑

如图2所示，在AR1上使用ping命令，设置数据包的大小为3000B，ping次数为1，在AR1的G0/0/0接口打开抓包软件，抓取数据包，AR1上的命令如图4-4所示：

图2 AR1上使用ping命令，测试与AR2的连通性

抓到的数据包如图3所示，IP报文被分片传送，Request报文被拆分为1514+1514+82Byte（大小含链路层头部，IP头部），共3个数据包。

图3 IP报文被分片传送

编号1的数据包中的详细信息如图4所示，可以看到数据链路层的以太II帧头的大小是14B。IP头部大小是20B。IP头部内总长度为1500B。表示IP头部和载荷一起为1500B。标识位为0x67。DF位不置位，表示可以分段，MF位置位1，标识后续还有更多分段，片偏移字段为0，说明这个报文是分片排序的第一个报文。载荷大小为1500B-IP头部20B=1480B，协议字段虽然标识了1，是ICMP协议，但是该分片包并没有携带ICMP报文头，ICMP报文头在最后一个分片中。

图4分片包的第一个报文

编号2的数据包，如图5是包分片的第二个报文，以太网II头部仍然是14B，IP头部仍然是20B，其中总长度为1500B（这个是链路的MTU即能封装在数据链路层中的最大长度，包括了IP头部等），标识字段与第一个数据包相同，为0x67，DF位不置位，MF位置位1，第二个数据包的分片偏移字段中数据位1480,表示第二个数据包的数据部分的第0Byte与原未分片数据包的0Byte相比，偏移了1480B（二进制显示为10111001，十进制为185，注意1480B=185*8B），协议字段为1，表示上层是ICMP，但是分片报文未携带ICMP头部信息，载荷大小为1480B

图5 抓取的第二个分片数据包

编号3是一个重组后的数据包，因第一第二个报文共传递了2960B的数据，第三个报文只要传递40B就能进行重组，重组前第三个数据报文的MF位应该为0（即最后一个分片报文），片偏移位应该为2960B，用于重组数据包，标识依然为0x67，表示和第一第二个数据包具有相同标识，属于同一个重组数据包。重组后报文如图6所示，总长度为3028B（链路层头部14B+IP头部20B，加ICMP头部8B，合计42B，再加上原始数据3000B）。

图6 第三个数据包收到后，重组后的数据包。