IP数据包格式 & 网络层协议ICMP.ARP

IP数据包格式（记住字段作用）

版本：IP 的版本号，IPv4、IPv6

首部长度：IP包头部长度，最少20字节，长度取决于可选项

优先级与服务类型：表示数据包的优先级和服务类型，通过在数据包中划分一定的优先级，用于实现 QoS（服务质量）的要求

总长度：IP数据包的总长度，最长为65535字节

标识符：被分片的数据拥有一个统一的标识符，用于区分不同文件数据。当IP对上层数据进行分片时，它将给所有的分片分配一组编号，然后将这些编号放入标识符字段中，保证分片不会被错误地重组。（区分不同文件）

标志：对当前的包不能进行分片（当该包从一个以太网发送到另一个以太网时），或当一个包被分片后用以指示在一系列的分片中，最后一个分片是否已发出。

段偏移量：区分同一文件分片后的顺序，保证分片序列中各分片按顺序重新组合。（区分同一文件内分片位置）

TTL:生命周期，经过一个路由器TTL-1，用于防止环路。当 TTL 的值为 0 时，数据包被丢弃。

协议号：IP数据包中封装的上层数据协议是TCP还是UDP。TCP 的协议号为 6，UDP的协议号为 17。

首部校验和：差错校验，防止修改

可选项：数据包创建时间等选项

ICMP协议

ICMP：Internet控制报文协议，是一个错误侦测与回馈机制，用来发送错误和控制消息，用于探测节点间网络连通性

通过IP数据包封装，属于网络层协议

ICMP报文结构：

ICMP应用：ping

请求超时：数据包已发送但无回复（能送出去但是回不来）

无法访问目标主机：数据包无法发送（可能是未正确配置网关）

windows系统中ping命令常用参数：

-t 参数会一直不停的执行ping

-a 参数可以显示主机名称

-l 参数可以设定ping包的大小 ###在Linux系统下为：-s

–n 指定发送包的个数 ###-c

–S 指定源IP去ping ### -I

(多网卡情况下使用 指定哪一个网卡发送）

ICMP应用：跟踪路由路径tracert

命令：

WIN：tracert IP/域名

Linux：traceroute IP/域名（静态显示）

Linux：mtr（动态刷新）

ARP协议

地址解析协议

将IP地址解析为MAC地址

工作在网络层

ARP工作原理（重中之重）

1. PC1想发送数据给PC2，会先检查自己的ARP缓存表。

1. 如果发现要查找的MAC地址不在表中，就会发送一个ARP请求广播，用于发现目的地的 MAC地址。ARP请求消息中包括PC1的IP地址和MAC地址以及PC2的IP地址和目的MAC地址（为广播MAC地址FF-FF-FF-FF-FF-FF）。

1. 交换机收到广播后做泛洪处理，除主机1外所有主机收到ARP请求消息，PC2以单播方式发送ARP应答，并在自己的ARP表中缓存PC1的 IP 地址和 MAC 地址的对应关系，而其他主机则丢弃这个ARP请求消息。

1. PC1在自己的 ARP表中添加 PC2的 IP 地址和 MAC地址的对应关系，以单播方式与PC2通信。

windows系统中ARP命令

arp -a ###查看ARP缓存表

arp -d [IP] ###清除ARP缓存

arp -s IP MAC ###ARP 静态绑定（静态绑定不能用-d清除）

netsh -c i i delete neighbors 'Idx' 解除静态绑定

动态学习到的ARP的老化时间是120s，并且静态绑定的ARP条目在计算机关机或重启后会消失。

华为系统中的ARP命令

[Huawei]dis mac-address ###查看mac 地址信息

[Huawei]arp static 'IP' 'MAC'###绑定ARP

[Huawei]undo arp static 'IP' 'MAC'###解绑定

<Huawei>reset arp all ###清除mac地址表

ARP攻击

ARP攻击与ARP欺骗原理相同，但ARP攻击以网络中断为目的，ARP欺骗以流量流过自身为目的。

ARP欺骗

大多数网络管理软件的原理都是ARP欺骗（长角牛）

网关型欺骗

主机型欺骗

广播

广播：将广播地址作为目的地址的数据帧

广播域：一个网络中能收到同一个广播的所有节点的集合

广播地址:FF FF FF FF FF FF