计算机网络基础实验（Wireshark 实验）

一.简介

本部分按照数据链路层、网络层、传输层以及应用层进行分类，共有 10 个实验。需要使用协议分析软件 Wireshark 进行，请根据简介部分自行下载安装。
准备
了解 Wireshark 的基本使用：
1.选择对哪块网卡进行数据包捕获
2.开始/停止捕获
3.了解 Wireshark 主要窗口区域
4.设置数据包的过滤
5.跟踪数据流

二.Wireshark 实验

1.数据链路层

实作一
熟悉 Ethernet 帧结构
使用 Wireshark 任意进行抓包，熟悉 Ethernet 帧的结构，如：目的 MAC、源 MAC、类型、字段等。
我们进行抓包，按图所示点击抓包按钮，抓取的包如下：
问题
你会发现 Wireshark 展现给我们的帧中没有校验字段，请了解一下原因？
答：通过查询资料，原来是因为有时校验和会由网卡计算，这时wireshark抓到的本机发送的数据包的校验和都是错误的，所以默认关闭了WireShark自己的校验，就不会出现校验字段。
实作二
了解子网内/外通信时的 MAC 地址
1.ping 你旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可使用 icmp 关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
操作如下得到如下结果：
2.然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？
操作得到结果如下图，从图中我们可以知道发出帧的地地址是192.168.233.1，这个地址是学校网络的网关：
3.再次 ping www.cqjtu.edu.cn （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？
我们ping一下学校官网并用wireshark抓取包得到如下结果，从中我们可以知道发出帧的地地址依旧是192.168.233.1，这个地址仍是是学校网络的网关，因为我们的网络都要先到达学校网关：
问题
通过以上的实验，会发现：
访问本子网的计算机时，目的 MAC 就是该主机的，
访问非本子网的计算机时，目的 MAC 是网关的，请问原因是什么？
答：通过查询资料以及结合自身理解得知因为在对等网中MAC是该主机的，但是在不同网段就不是了，访问本子网的计算机时，不需要出该主机的地址，而访问非本子网的计算机时，网络需要先通过学校网络的网关才能出去，目的MAC就是网关的。

2.网络层

实作一
熟悉 IP 包结构
使用 Wireshark 任意进行抓包（可用 ip 过滤），熟悉 IP 包的结构，如：版本、头部长度、总长度、TTL、协议类型等字段。
我们随便ping一个网页的，可以得到以下包，并双击打开其中一个包，可以了解到其结构，从图中可分析出版本，长度，协议等等信息：
问题
为提高效率，我们应该让 IP 的头部尽可能的精简。但在如此珍贵的 IP 头部你会发现既有头部长度字段，也有总长度字段。请问为什么？
答：表示报头长度的字段占头部的4bits,表示总长度的占16bits.每个IP数据报包含一个头部和一个正文部分。头部有一个20字节的定长部分和一个可选的变长部分。头部的IHL域指明了该头部有多长（以32位字的长度为位）。IHL最小值为5，表明头部没有可选项。此4位域的最大值为15，这限制了头部的最大长度为60字节。总长度域包含了该数据报中的所有内容，即头和数据。
实作二
IP 包的分段与重组
根据规定，一个 IP 包最大可以有 64K 字节。但由于 Ethernet 帧的限制，当 IP 包的数据超过 1500 字节时就会被发送方的数据链路层分段，然后在接收方的网络层重组。
缺省的，ping 命令只会向对方发送 32 个字节的数据。我们可以使用 ping 202.202.240.16 -l 2000 命令指定要发送的数据长度。此时使用 Wireshark 抓包（用 ip.addr == 202.202.240.16 进行过滤），了解 IP 包如何进行分段，如：分段标志、偏移量以及每个包的大小等
我们通过以上实验以及查阅资料得知，其中：
IP以目的网络的MTU为IP包的最大包长,将本地生成的较大的IP数据包分成若干个分段，发往目的主机。当这些I分段数据包到达目的主机的IP时，目的主机的I发现到来的IP数据包不是一个完整的数据包，就会将这些IP数据包先缓冲起来，一旦这些P数据包全部到齐，IP就将这些IP数据包组合成一个完整的IP数据包，交给上层协议处理。IP头的标识域（ldentification field )、协议域(Protocol field、源地址域(Source addreee field、目的地址域(destination address field）这四个域可用来唯一标识同属于一个完整的IP数据包的所有IP分段数据包。IP头中的标志域(Flag field的DF位表示是否允许分段，MF位表示该IP数据包是否是一个I分段数据包。IP头的分段偏移域(（Fragment offset field表示该分段在完整IP包中的位置。IP就是根据这六个域来对IP数据包进行分段和重新组合的。
问题
分段与重组是一个耗费资源的操作，特别是当分段由传送路径上的节点即路由器来完成的时候，所以 IPv6 已经不允许分段了。那么 IPv6 中，如果路由器遇到了一个大数据包该怎么办？
答：通过查阅得知，当遇到了一个大数据包，导致不能转发到链路上，则路由器会把该数据包丢弃。
实作三
考察 TTL 事件
在 IP 包头中有一个 TTL 字段用来限定该包可以在 Internet上传输多少跳（hops），一般该值设置为 64、128等。
在验证性实验部分我们使用了 tracert 命令进行路由追踪。其原理是主动设置 IP 包的 TTL 值，从 1 开始逐渐增加，直至到达最终目的主机。
请使用 tracert www.baidu.com 命令进行追踪，此时使用 Wireshark 抓包（用 icmp 过滤），分析每个发送包的 TTL 是如何进行改变的，从而理解路由追踪原理。
我们使用tracert www.baidu.com 命令进行追踪，再抓包分析得：


我们抓包观察可以看到每一个包的TTL即存活时间，分析并查阅可知，每个包每到达一个节点返回一个信息，TTL逐渐增加1直到到达目的主机。
问题
在 IPv4 中，TTL 虽然定义为生命期即 Time To Live，但现实中我们都以跳数/节点数进行设置。如果你收到一个包，其 TTL 的值为 50，那么可以推断这个包从源点到你之间有多少跳？
答：50跳。

3.传输层

实作一
熟悉 TCP 和 UDP 段结构
1.用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段。
2.用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等。
1：

2：
问题
由上大家可以看到 UDP 的头部比 TCP 简单得多，但两者都有源和目的端口号。请问源和目的端口号用来干什么？
答：
源端口和目的端口：（端口是用来指明数据的来源（应用程序）以及数据发往的目的地（同样是应用程序））字段包含了16比特的UDP协议端口号，它使得多个应用程序可以多路复用同一个传输层协议及UDP协议，仅通过端口号来区分不同的应用程序。

4.应用层

应用层的协议非常的多，我们只对 DNS 和 HTTP 进行相关的分析。

实作二
了解 HTTP 的请求和应答
1.打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获。

2.请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义。

3.请在你捕获的包中找到 HTTP 应答包，查看应答的代码是什么，如：200, 304, 404 等。并仔细了解应答的头部有哪些字段及其意义。

以上操作之后查阅分析可知（只列出了一小部分）：
请求头（Request）：
Accept：text/html application/xml 告诉服务器客户端浏览器这边可以出里什么数据；
Accept-Encodeing：gzip 告诉服务器我能支持什么样的压缩格式
返回头（response-header）：
cache-control:private/no-cache; 私有的不需要缓存/no-cache也不需要缓存
connection:keep-live; 服务器同意保持连接
要想具体了解更多字段及意义，可参考以下博客：
参考博客
问题
刷新一次 qige.io 网站的页面同时进行抓包，你会发现不少的 304 代码的应答，这是所请求的对象没有更改的意思，让浏览器使用本地缓存的内容即可。那么服务器为什么会回答 304 应答而不是常见的 200 应答？
答：因为服务器告诉浏览器当前请求的资源上一次修改的时间是这个时间。浏览器第二次发送请求的时候，告诉浏览器上次请求的资源现在还在自己的缓存中，如果你那边这个资源还没有修改，就可以不用传送应答体给我了。服务器根据浏览器传来的时间发现和当前请求资源的修改时间一致，就应答304，表示不传应答体了，从之前的缓存里取。

三.小结

通过对本次wireshark实验的大部分实作，让我加深了对用wireshark软件进行抓包分析，查看，处理等等操作的印象，也进一步强化了我在计算机领域的基础知识和认识，了解掌握了计算机网络在各个层上的一些重要的协议和结构，学到了很多东西。