准备
请自行查找或使用参考资料,了解 Wireshark
的基本使用:
- 选择对哪块网卡进行数据包捕获
- 开始/停止捕获
- 了解
Wireshark
主要窗口区域
- 设置数据包的过滤
- 跟踪数据流
数据链路层
实作一 熟悉 Ethernet 帧结构
使用 Wireshark 任意进行抓包,熟悉 Ethernet 帧的结构,如:目的 MAC、源 MAC、类型、字段等。
![在这里插入图片描述](https://img-blog.csdnimg.cn/055e774c315e420d94fa1e1417d1ef5e.png)
✎ 问题 你会发现 Wireshark 展现给我们的帧中没有校验字段,请了解一下原因。 |
解答:Wireshark 展现给我们的帧中没有校验字段,帧已经被校验了,校验字段被wireshark去掉了。 |
实作二 了解子网内/外通信时的 MAC 地址
ping
你旁边的计算机(同一子网),同时用 Wireshark 抓这些包(可使用 icmp 关键字进行过滤以利于分析),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少?这个 MAC 地址是谁的?
![在这里插入图片描述](https://img-blog.csdnimg.cn/ceee197ef0e949acac85435a177f3ba1.png)
发出帧的目的mac地址以及返回帧的源mac地址,都为:78:eb:14:d4:bb:e4 这个地址是要访问计算机的mac物理地址。 |
- 然后
ping qige.io
(或者本子网外的主机都可以),同时用 Wireshark 抓这些包(可 icmp 过滤),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少?这个 MAC 地址是谁的?
![在这里插入图片描述](https://img-blog.csdnimg.cn/e43c179a2d3a4852a7ca9d84e7e47c17.png)
发出帧的目的mac地址以及返回帧的源mac地址,都为:ac:5a:ee:c6:c3:7c 这个mac地址是网关的mac物理地址 |
- 再次
ping www.cqjtu.edu.cn
(或者本子网外的主机都可以),同时用 Wireshark 抓这些包(可 icmp 过滤),记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少?这个 MAC 地址又是谁的?
![在这里插入图片描述](https://img-blog.csdnimg.cn/d9c3ae3f6fc8481381b9c0058b3eafea.png)
发出帧的目的mac地址以及返回帧的源mac地址,都为:ac:5a:ee:c6:c3:7c 这个mac地址是网关的mac物理地址 |
✎ 问题 通过以上的实验,你会发现: 1.访问本子网的计算机时,目的 MAC 就是该主机的 2. 访问非本子网的计算机时,目的 MAC 是网关的 请问原因是什么? |
解答: 因为访问本子网的计算机时,通过Address Rsolution Protocol,能获取到目的 主机的mac地址。但是访问非本子网的计算机时,发送的帧通过ARP没法获取到目的ip的 mac地址。此时需要借助路由器网关来获取目的主机的mac地址。所以此时我发送的帧, 里面目的mac地址只能填网关的mac地址。 |
实作三 掌握 ARP 解析过程
- 为防止干扰,先使用
arp -d *
命令清空 arp 缓存
![在这里插入图片描述](https://img-blog.csdnimg.cn/93043c11b7ed4aec93a5f4d01d2feb49.png)
ping
你旁边的计算机(同一子网),同时用 Wireshark 抓这些包(可 arp 过滤),查看 ARP 请求的格式以及请求的内容,注意观察该请求的目的 MAC 地址是什么。再查看一下该请求的回应,注意观察该回应的源 MAC 和目的 MAC 地址是什么。
![在这里插入图片描述](https://img-blog.csdnimg.cn/6347bcf9cde0400582659f0d14dc345f.png)
请求的目的 MAC 地址是:7e:e4:a5:30:cc:3b |