WireShark
数据链路层
实作一熟悉 Ethernet 帧结构
使用 Wireshark 任意进行抓包,熟悉 Ethernet 帧的结构,如:目的 MAC、源 MAC、类型、字段等。
目的MAC:3a:51:20:0f:a1:1d
源MAC:50:e0:85:5e:e8:4f
类型:IPV4
字段:3a 51 20 0f a1 1d 50 e0 85 5e e8 4f 08 00
Q:你会发现 Wireshark 展现给我们的帧中没有校验字段,请了解一下原因。
A:通过查询资料,原来是因为有时校验和会由网卡计算,这时wireshark抓到的本机发送的数据包的校验和都是错误的,所以默认关闭了WireShark自己的校验,就不会出现校验字段。
实作二了解子网内/外通信时的 MAC 地址
- ping 你旁边的计算机(同一子网),同时用 Wireshark 抓这些包(可使用 icmp 关键字进行过滤以利于分析),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少?这个 MAC 地址是谁的?
- 然后 ping qige.io (或者本子网外的主机都可以),同时用 Wireshark 抓这些包(可 icmp 过滤),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少?这个 MAC 地址是谁的?
发出帧的目的MAC地址:2606:4700:3032::ac43:8f35
返回帧的源MAC地址:2606:4700:3032::ac43:8f35
这个MAC地址是请求访问的qige.io所在地址 - 再次 ping www.cqjtu.edu.cn (或者本子网外的主机都可以),同时用 Wireshark 抓这些包(可 icmp 过滤),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少?这个 MAC 地址又是谁的?
发出帧的目的MAC地址:2001:da8:c801:99::102
返回帧的源MAC地址:2001:da8:c801:99::102
这是www.cqjtu.edu.cn所在
Q: 通过以上的实验,你会发现:
1.访问本子网的计算机时,目的 MAC 就是该主机的
2.访问非本子网的计算机时,目的 MAC 是网关的
请问原因是什么?
A:通过查询资料以及结合自身理解得知因为在对等网中MAC是该主机的,但是在不同网段就不是了,访问本子网的计算机时,不需要出该主机的地址,而访问非本子网的计算机时,网络需要先通过学校网络的网关才能出去,目的MAC就是网关的。
实作三掌握 ARP 解析过程
- 为防止干扰,先使用 arp -d * 命令清空 arp 缓存
- ping 你旁边的计算机(同一子网),同时用 Wireshark 抓这些包(可 arp 过滤),查看 ARP 请求的格式以及请求的内容,注意观察该请求的目的 MAC 地址是什么。再查看一下该请求的回应,注意观察该回应的源 MAC 和目的 MAC 地址是什么。
- 再次使用 arp -d * 命令清空 arp 缓存
- 然后 ping qige.io (或者本子网外的主机都可以),同时用 Wireshark 抓这些包(可 arp 过滤)。查看这次 ARP 请求的是什么,注意观察该请求是谁在回应。