IP数据包（详解版）

1.IP数据包详解图

2，使用Wireshark抓包

（1）版本——占4位，指IP协议的版本目前的IP协议版本号为4（即IPv4）。
（2）首部长度——占4位，这里的值为20Bytes。
（3）总长度的是56字节。
（4）标识（identification）——占16位，它是一个计数器，用来产生数据包的标识。
（5）片偏移（16位）——较长的分组在分片后某片在原分组中的相对位置，片偏移以8个字节为偏移单位。
（6）生存时间（8位）——记为TTL（Time To Live），表示数据包在网络中可通过的路由器数的最大值。
（7）协议（8位）字段——指出此数据包携带的数据使用何种协议以便目的主机的IP层将数据部分上交给哪个处理进程。
（8）源IP地址，表示数据包从哪里发出。
（9）目的IP地址，表示数据包将要发向哪里。

1.版本

0100 .... = Version: 4

0100是二进制，化成十进制是4（IPv4）

2.首部长度

.... 0101 = Header Length: 20 bytes (5)

这里有一个注意的问题，IP数据包长度并不是固定不变的（20-60 Bytes），但是只有四个比特

二进制1111转换十进制后也才15，如何表示20-60呢？

答案是他的单位是4个字节，15*4=60 Btyes。这里是0101转换后为5,即5*4=20 Btyes。

3.优先级与服务类型

Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
    0000 00.. = Differentiated Services Codepoint: Default (0)
    .... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)

这个在日常生活中用的比较少

000 前三位不用
0 表示最小时延，如Telnet服务
0 表示吞吐量，如FTP服务
0 表示可靠性，如SNMP服务
0 表示最小代价
0 不用

4，总长度

Total Length: 56

 总长度=IP头长 + TCP头长+ 真正的业务数据长度

总长度占八位最长为八个1，1111111111111111转换为十进制为65535（64k字节）

所以在传输一个大数据的时候会把数据裁剪分组（很重要）

5，标识符

Identification: 0x00f2 (242)

数据在传输的时候速度不一样，标识符是为了区分数据属于哪一个组

这里的标识符是242

6，标志

Flags: 0x20, More fragments
    0... .... = Reserved bit: Not set
    .0.. .... = Don't fragment: Not set
    ..1. .... = More fragments: Set

第一个0：不使用

第二个0：是否分片，为0分片，为1不分片

第三个0：是否为最后一个片，为1后面还要分片，为0代表是最后1个分片

7，段偏移量 

...0 1011 1001 0000 = Fragment Offset: 2960

就像搬家，如果有太多的行李，一辆车是装不下的，需要几辆车。在传输数据也是一样的，

所能传输的数据长度是有限的，所以要分段。

先ping一个4200字节的包（本来想ping百度的但是百度限制了）

 然后抓一下包

发现一共分成了三段：1514+1514+1282=4310（字节）

一个帧的长度最大为1518字节，但是抓到的只有1514字节，我们抓到的是去掉了前导同步码+帧开始分解符+FCS，所以只有1514字节。

 我们看一下第一个包：

...0 0000 0000 0000 = Fragment Offset: 0

第二个包：

...0 0101 1100 1000 = Fragment Offset: 1480

第三个包：

...0 1011 1001 0000 = Fragment Offset: 2960

8，TTL

Time to Live: 64

 当IP包进行传送时，每个沿途的路由器会将IP包的TTL值减少1。如果TTL减少为0，则该IP包会被丢弃。

win平台命令：tracert

linux平台命令：traceroute

9，协议号

Protocol: UDP (17)

以下是比较常用的协议号：
1 ICMP
2 IGMP
6 TCP
17 UDP
88 IGRP
89 OSPF

10，首部较验和

Header Checksum: 0xaf37 [validation disabled]

这个字段只检验数据报的首部,但不包括数据部分.这是因为数据报每经过一个路由器,都要重新计算一下首都检验和 (生存时间,标志,片偏移等都可能发生变化),不检验数据部分可减少计算的工作量.

11，源地址

Source Address: 10.1.1.1

12，目标地址

Destination Address: 129.111.30.27

完整的IP数据包：

Frame 8: 70 bytes on wire (560 bits), 70 bytes captured (560 bits)
Ethernet II, Src: AddtronT_d9:7c:fd (00:40:33:d9:7c:fd), Dst: Toshiba_cf:d9:cd (00:00:39:cf:d9:cd)
Internet Protocol Version 4, Src: 10.1.1.1, Dst: 129.111.30.27
    0100 .... = Version: 4
    .... 0101 = Header Length: 20 bytes (5)
    Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
    Total Length: 56
    Identification: 0x00f2 (242)
    Flags: 0x20, More fragments
    ...0 0000 0000 0000 = Fragment Offset: 0
    Time to Live: 64
    Protocol: UDP (17)
    Header Checksum: 0xaf37 [validation disabled]
    [Header checksum status: Unverified]
    Source Address: 10.1.1.1
    Destination Address: 129.111.30.27
    [Reassembled IPv4 in frame: 9]
Data (36 bytes)