Wireshark实验_服务端客户端在一台电脑上 wireshark抓数据-CSDN博客

本文链接：https://blog.csdn.net/qq_47789029/article/details/121785513

数据链路层

实作一熟悉 Ethernet 帧结构

使用 Wireshark 任意进行抓包，熟悉 Ethernet 帧的结构，如：目的 MAC、源 MAC、类型、字段等。
在这里插入图片描述
目的MAC: f6:f0:68:95:22:e8
源MAC: 50:eb:71:6b:df:3c
类型：IPv4(0x0800)

✎ 问题

使用 Wireshark 任意进行抓包，熟悉 Ethernet 帧的结构，如：目的 MAC、源 MAC、类型、字段等。
这是因为有时校验会和由网卡计算，这时wireshark抓到的本机发送的数据包和校验都是错误的，默认关闭了wireshark自己的校验。

实作二了解子网内/外通信时的 MAC 地址

1.

ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可使用 icmp 关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
ping 192.168.56.2
在这里插入图片描述
发出帧的目的地址与返回帧的源地址是 f6:f0:68:95:22:e8,这个MAC地址是的192.168.56.2。

2.

然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
在这里插入图片描述

发出帧的目的MAC地址和返回帧的源MAC地址是66:0e:51:b2:a7:79,这个MAC地址是子网网关的物理地址。

3

再次 ping www.cqjtu.edu.cn （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？
在这里插入图片描述

发出帧的目的MAC地址和返回帧的源MAC地址是66:0e:51:b2:a7:79,这个 MAC地址是子网网关的物理地址。

✎ 问题：

通过以上的实验，你会发现：访问本子网的计算机时，目的 MAC 就是该主机的；访问非本子网的计算机时，目的 MAC 是网关的，请问原因是什么？
因为访问外网时，都是通过 MAC地址送到网关处，出了网关后再通过 IP 地址进行路由；接收到非子网的计算机返回的数据都是先送到网关，网关再根据目的MAC送到本机。

实作三掌握 ARP 解析过程

1. 为防止干扰，先使用 arp -d 命令清空 arp 缓存

在这里插入图片描述

2. ping 10.1.74.237

ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可 arp 过滤），查看 ARP 请求的格式以及请求的内容，注意观察该请求的目的 MAC 地址是什么。再查看一下该请求的回应，注意观察该回应的源 MAC 和目的 MAC 地址是什么。
在这里插入图片描述请求的目的 MAC 地址是192.168.43.98，源MAC是192.168.43.98，目的MAC是192.168.43.50

3.再次使用 arp -d *命令清空 arp 缓存

在这里插入图片描述

4.ping qige.io

然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 arp 过滤）。查看这次 ARP 请求的是什么，注意观察该请求是谁在回应。
在这里插入图片描述 ARP 请求的是Who has 192.168.43.1? Tell 192.168.43.50.

✎ 问题

通过以上的实验，你应该会发现，
1.ARP 请求都是使用广播方式发送的
2.如果访问的是本子网的 IP，那么 ARP 解析将直接得到该 IP 对应的 MAC；如果访问的非本子网的 IP，那么 ARP 解析将得到网关的 MAC。
请问为什么？
当访问子网的IP时，数据包不经过网关，访问非本子网时，数据包要先经过网关，然后才能在不同子网之间进行传输，数据回来时，也先经过网关，网关再将数据传输到指定IP。

网络层

实作一熟悉 IP 包结构

使用 Wireshark 任意进行抓包（可用 ip 过滤），熟悉 IP 包的结构，如：版本、头部长度、总长度、TTL、协议类型等字段。
在这里插入图片描述
从上至下依次为版本、头部长度、总长度、TTL、协议类型、头部校验码。

问题：

为提高效率，我们应该让 IP 的头部尽可能的精简。但在如此珍贵的 IP 头部你会发现既有头部长度字段，也有总长度字段。请问为什么？
有头部长度字段和总长度字段是为了方便上层将 IP 包中的数据提取出来，如果只有其中一个长度字段，显然上层协议不知道从哪到哪是数据。

实作二 IP 包的分段与重组

ping 202.202.240.16 -l 2000
在这里插入图片描述
从上至下依次为包的总长度、分段标志、分片偏移。

✎ 问题

分段与重组是一个耗费资源的操作，特别是当分段由传送路径上的节点即路由器来完成的时候，所以 IPv6 已经不允许分段了。那么 IPv6 中，如果路由器遇到了一个大数据包该怎么办？
直接丢弃。

实作三考察 TTL 事件

tracert www.baidu.com
在这里插入图片描述

tracert 先发送 TTL 为 1 的回应数据包，随后的每次发送TTL都会递增 1，直到目标响应或 TTL 达到最大值。

✎ 问题

在 IPv4 中，TTL 虽然定义为生命期即 Time To Live，但现实中我们都以跳数/节点数进行设置。如果你收到一个包，其 TTL 的值为 50，那么可以推断这个包从源点到你之间有多少跳？
50跳。

传输层

实作一熟悉 TCP 和 UDP 段结构

1.用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段。
在这里插入图片描述

从上至下依次为源端口号、目的端口号、序号、确认号、报头长度、标识位、窗口、校验和

2.用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等。
在这里插入图片描述

✎ 问题

由上大家可以看到 UDP 的头部比 TCP 简单得多，但两者都有源和目的端口号。请问源和目的端口号用来干什么？
答：源端口就是本机程序用来发送数据的端口，目的端口就是对方主机用哪个端口接收，端口号就是用来实现应用程序之间的通信。

实作二分析 TCP 建立和释放连接

1.打开浏览器访问 qige.io网站，用 Wireshark 抓包（可用 tcp 过滤后再使用加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间使得能够捕获释放连接的包。
2.请在你捕获的包中找到三次握手建立连接的包，并说明为何它们是用于建立连接的，有什么特征。
3.请在你捕获的包中找到四次挥手释放连接的包，并说明为何它们是用于释放连接的，有什么特征。
在这里插入图片描述

”第一次握手”客户端发送的TCP报文中以[SYN]作为标志位，并且客户端序号Seq=0；
第二次握手”服务器返回的TCP报文中以[SYN，ACK]作为标志位；并且服务器端序号Seq=0；确认号Ack=1(“第一次握手”中客户端序号Seq的值+1);
”第三次握手”客户端再向服务器端发送的TCP报文中以[ACK]作为标志位；其中客户端序号Seq=1（“第二次握手”中服务器端确认号Ack的值）；确认号Ack=1(“第二次握手”中服务器端序号Seq的值+1)。

在这里插入图片描述

”第一次挥手”客户端发送的FIN请求释放连接报文以[FIN，ACK]作为标志位，其中报文序号Seq=1；确认号Ack=161；
”第二次挥手”服务器端继续返回的FIN同意释放连接报文以[FIN，ACK]作为标志位；其中报文序号Seq=161；确认号Ack=99；
”第三次挥手”客户端发出的ACK确认接收报文以[ACK]作为标志位；其中报文序号Seq=99；确认号Ack=162；

特征：
后一次“挥手”传输报文中的序号Seq值等于前一次"握手"传输报文中的确认号Ack值；后一次“挥手”传输报文中的确认号Ack值等于前一次"握手"传输报文中的序号Seq值；

✎ 问题一

去掉 Follow TCP Stream，即不跟踪一个 TCP 流，你可能会看到访问 qige.io 时我们建立的连接有多个。请思考为什么会有多个连接？作用是什么？

答：它们之间的连接是属于短连接，一旦数据发送完成后，就会断开连接。虽然，断开连接，但是页面还是存在，由于页面已经被缓存下来。一旦需要重新进行发送数据，就要再次进行连接。这样的连接，是为了实现多个用户进行访问，对业务频率不高的场合，节省通道的使用，不让其长期占用通道。

✎ 问题二

我们上面提到了释放连接需要四次挥手，有时你可能会抓到只有三次挥手。原因是什么？

是因为第二次握手和第三次挥手合并了，FIN报文用在本端没有数据发送给对方时，关闭从本端到对端的连接。发送通道关闭，接收通道正常。
如果对方收到本端FIN报文时，对方的接收通道就会关闭。此时，如果对方也没有数据发给本端，那么对方也会发送FIN给本端，用于关闭从对方到本端的连接，这时候就可能出现ACK和FIN合在一起的情况。

四、应用层

实作一了解 DNS 解析

1.先使用 ipconfig /flushdns 命令清除缓存，再使用 nslookup qige.io 命令进行解析，同时用 Wireshark 任意抓包（可用 dns 过滤）。
在这里插入图片描述

2.你应该可以看到当前计算机使用 UDP，向默认的 DNS 服务器的 53 号端口发出了查询请求，而 DNS 服务器的 53 号端口返回了结果。

3.可了解一下 DNS 查询和应答的相关字段的含义

✎ 问题

你可能会发现对同一个站点，我们发出的 DNS 解析请求不止一个，思考一下是什么原因？
答：将负载均衡的工作交给DNS，省去了网站管理维护负载均衡服务器的麻烦。

实作二了解 HTTP 的请求和应答

1.打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获。
2.请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义。
在这里插入图片描述
3.请在你捕获的包中找到 HTTP 应答包，查看应答的代码是什么，如：200, 304, 404 等。并仔细了解应答的头部有哪些字段及其意义。

应答代码是5