【无标题】

一、IP包头分析

 ip包头最少20个字节，最长60个字节（可选项最长可为40个字节）

1.版本：表示IP地址的版本（IPV4，IPV6）

0100为ipv4,0110为ipv6

2.首部长度：表示IP包头的长度（20~60）

由于最大数为15，ip包头最长为60字节，则一位数表示4字节

3.优先级（QOS）与服务类型（TOS）

优先级越大越高

前三个比特代表优先级，中间四个比特代表服务类型，最后一个未被启用

4.总长度：表示三四五层IP包（数据报文）的总长度

ip包头若超过1500字节，则需要分片

将第4、5层看为整体

优先满足与ip包头组成1500字节ip分片

5、标识符用来表示这些分片是否为同一个数据报文

6、段偏移量确定组装顺序

7、标志：

第一个比特位为0，表示为启用

第二个比特位若为0，表示该包进行了分片；若为1，表示未进行分片（即ip包未超出1500字节）

第三个比特位若为0，表示该分片为最后一个分片；若为1，表示后续还有分片4

8、TTL：生存时间，防止一个数据包在电脑里永久循环

范围：0-255

通过TTL初始值可以判断对方主机：

大于100时，为windows；小于100时为linux。

其每经过一个网关（路由器）TTL值减1，直到TTL值为0（可以判断有多少路由器）

9、协议号:

6：往TCP 走

17：往UDP走

1：往同层的ICMP协议走

10、首部校验和：校验三层的IP包头

二、路由原理

路由：路由器为IP包选择路径的过程

路由表：C代表直连；S代表静态（静态路由手工配置）

优化路由条目：

优化为

管理距离值：直连路由C默认管理距离值：0；静态路由S：1；S*：无穷

管理距离值越大，优先级越小

路由条目类型：直连路由，静态路由，默认路由，浮动路由

静态路由：

conf t

ip route 目标网段 子网掩码 下一跳IP

如ip route 70.1.1.0 255.255.255.0 20.1.1.2

默认路由：

conf t

ip route 0.0.0.0 0.0.0.0 下一跳IP

如ip route 0.0.0.0 0.0.0.0 20.1.1.2

浮动路由：在静态路由或默认路由后加空格+数字（正整数）

如：ip route 0.0.0.0 0.0.0.0 30.1.1.1 2

广播域越小越好

ARP协议概述

Address Resolution Protocol，地址解析协议

作用：将一个已知的IP地址解析成MAC地址

 Windows系统中的ARP命令

—arp -a 查看ARP缓存表（arp缓存表只有开机时生效）

—arp -d 清除ARP缓存（本次开机学习的）

—arp -s ARP绑定

ARP的原理：

需求分析：PC1与PC2第一次通信

步骤：1.使用ipconfig/all 查看ARP缓存

           2.用“arp-a”查看ARP缓存

           3.在PC1上pingPC2后，再用“arp-a”查看ARP缓存表

ARP攻击的目的：中断通信/断网

原理：通过发送虚假的广播或应答报文

ARP欺骗

目的：截获数据

原理：发送应答报文，将自己的MAC地址作为目标MAC，结果可以监听、窃取、篡改、控制流量，但不中断通信

路由器的原理：

1、一个桢到达路由，路由器首先检查目标MAC地址是否为自己，如果不是则丢弃，如果是则解封装，并将IP包送到路由器内部

2、路由器检查IP包头中的把目标IP，并匹配路由表，如果匹配失败，则丢弃，并向源IP回馈错误信息，如匹配成功，则将IP包路由到出接口

3、封装桢，首先将出接口的MAC地址作为源MAC封装好，然后检查ARP缓存表，检查是否有下一跳的MAC地址，如有，将提取并作为目标MAC地址封装到桢中，如没有，则发送ARP广播请求下一跳的MAC，并获取到对方的MAC地址，再记录缓存，并封装桢，最后将桢发送出去

ARP攻击防御：

静态ARP绑定：

手工绑定/双向绑定

Windows客户机上：

arp -s  10.0.0.252   00-01-2c-a0-e1-09

ARP防火墙   自动绑定静态ARP   主动防御

交换机支持“端口”做动态ARP绑定（配合DHCP服务器）或做静态绑定

如：conf t

ip dhcp snooping

int range f0/1 - 48