计算机三级网络技术第三题考点

数据包分析。
    1、DHCP的工作流程如下：
     
    1号报文是release报文，是DHCP客户机发给服务器申请释放IP地址的报文。
    DHCP报文具体解析如下：
    Boot record type--引导记录类型，值为1表示是客户机发出的报文，值为2表示是服务器发出的报文。
    Hardware address  type--硬件地址（MAC地址）类型，值为1表示10M以太网。
    Hardware address length--硬件地址（MAC地址）长度，单位字节（B），各类以太网的MAC地址长度均为6B。
    Client self-assigned  address--当前客户机的IP地址。
    Client address--打算分配给客户机的IP地址。
    Client hardware  address--客户机的物理地址（MAC地址）。
    Message Type--消息类型，1表示Discover，2表示Offer，3表示Request，5表示 (DHCP Ack)。
    Server IP Address--服务器IP地址，DHCP服务器的IP地址。
    Subnet mask--子网掩码。
    Gateway address--网关地址，缺省路由（客户机直连的路由器）的IP地址。
    Domain Name Server  address--域名服务器地址，DNS服务器的IP地址。

    2、Ping命令与DHCP结合

 Ping命令分为请求报文（Request）和应答报文（Reply）。编号1的报文是请求，而编号2的报文是应答，既然是应答，那么应答报文的源IP就是请求报文的目的IP，而应答报文的目的IP就是请求报文的源IP。
   但是，根据题中数据包可以发现，没有DHCP的Discover和Offer，只有Request和ACK，所以可以确定本题的操作并不是DHCP的IP地址初次申请，而是IP地址的续约，而续约时，由于已经正式获取到IP地址的使用权，所以Request的源IP和ACK的目的IP将被更改为客户机的IP地址。
    问题3是Request，客户机发送给DHCP服务器的报文，目的IP是DHCP服务器，结合题意可知应答192.168.0.2；问题4是ACK报文，DHCP服务器发送给客户机的报文，源IP是DHCP服务器，结合题意可知应答192.168.0.2。
    问题5问的是默认网关IP，根据题意可知应答192.168.0.1。

3、

关于问题5，当客户机曾经获取过这个IP地址后，只要这个IP地址在释放后没有被分配给其他客户机，那么在该客户机下次申请地址时，DHCP服务器就会再次尝试把上次的IP地址继续分配给它（由request报文中的Request specific IP address字段提交），所以问题5应答10.1.2.3。此处涉及的内容包含在DHCP协议RFC2131规范文档中，此处不深入涉及该知识点。

4、

由图b中message type的值为5可以确定，该报文是DHCP ACK报文，是DHCP服务器发送给客户机的报文。结合工作流程图可知问题1应答ACK。
    由于是地址续约（ipconfig  /renew）时的ack报文，此时地址租约尚未到期，客户端仍拥有被分配的IP地址的使用权限，所以不需要使用0.0.0.0的地址，而是使用被正式分配的IP地址（192.168.0.1），同时也因此知道DHCP服务器的IP地址是192.168.0.101，不必使用255.255.255.255进行广播寻找DHCP服务器。所以问题3应答192.168.0.101，问题4应答192.168.0.1。
    问题2是IP数据报中的协议选项，填写该报文中封装的是传输层的哪个协议（UDP还是TCP）。由于DHCP使用的是UDP协议，所以应填UDP。
    问题5是DHCP中继代理，本处应填0.0.0.0。

 5、wireshark报文捕捉

由图中的前三个数据包分别是Discover、Offer、Request可知，这是在申请IP地址，所以第四个数据包必然是ACK报文，所以问题3应答ACK。
Request报文的源地址是0.0.0.0（问题1），目的地址是255.255.255.255（问题2）。
题中报文详情是ACK报文的详情。由于DHCP协议基于UDP协议，所以问题4应填UDP。
通过报文详情的阅读可知，问题5应填服务器的地址，即192.168.0.1。
（以前的题目都是使用Sniffer，本题使用的是wireshark，不同的软件对于数据包的解析描述可能存在稍许不同，需要考生灵活对待）
故本题答案是
[1]0.0.0.0
[2]255.255.255.255
[3]ack
[4]User Datagram Protocol,UDP
[5]192.168.0.1

 6、 

由图中的第1、3、4个数据包分别是Discover、Request、ACK可知，这是在申请IP地址，所以第2个数据包必然是offer报文，所以问题3应答offer。
    由于图中下方的报文详情信息是第2个数据包的详情（上方摘要部分选中了第2个数据包），那么从详情信息中可以确认offer报文的源地址是192.168.1.36（问题1），目的地址是255.255.255.255（问题2）。
    由DHCP工作流程可知，问题4应填MAC地址的广播地址，即ff:ff:ff:ff:ff:ff。
IP地址是IP协议负责的事宜，所以问题5对应的协议名称应填IP。

 7、

 由图中先是release再Discover可知，这是在释放掉IP地址后重新申请。
discover报文的源IP地址是0.0.0.0（问题1），目的IP地址是255.255.255.255（问题2），目的MAC地址是ff:ff:ff:ff:ff:ff（问题3）。
    由于是discover报文，源MAC地址00:0f:1f:52:ef:f6就是客户机的MAC地址（问题4）。
    由于之前客户机使用的是192.168.1.1（通过release报文获知），那么按照DHCP协议规定，本次申请的依旧是192.168.1.1（问题5）

8、​​​​​​​

 

 

本题考查的知识点是数据包分析。
    DNS报文分为请求query和应答response，请求是由客户机发送给DNS服务器，请求解析某域名；应答是服务器查询到该域名对应的IP地址后，反馈给客户机。由图可知，第1082-1085号报文是DNS的请求报文，第1086-1090号报文是DNS的应答报文，所以客户机的IP是59.67.152.250（问题3），DNS服务器是8.8.8.8（问题2）。
    题中上方的摘要部分的下半段，即第1094号（含）之后的报文，开始了HTTP访问。访问的客户机是59.67.152.250，服务器是220.194.79.33（问题5），此处虽然没有体现出访问的域名，但是结合第1084、1085、1089、1090号报文可知，客户机对域名www.enorth.com.cn进行过解析，再结合报文的顺序，很容易得到客户机在访问www.enorth.com.cn的结论，使用的协议是http。故问题1应填www.enorth.com.cn。
    由图中下半部分（第1087号报文的详情页）中第二行（Ethernet II）可知，该报文的目的MAC是48:4d:7e:9d:27:05。由于该报文的目的地址是客户机（即题中的"主机"），所以客户机的MAC是48:4d:7e:9d:27:05（问题4）。

故本题答案是
[1]www.enorth.com.cn，http://www.enorth.com.cn，http://www.enorth.com.cn/
[2]8.8.8.8
[3]59.67.152.250
[4]48:4d:7e:9d:27:05，48-4d-7e-9d-27-05，484d7e9d2705
[5]220.194.79.33，220.194.79.34，125.39.132.236

 9、

本题考查的知识点是数据包分析。
    DNS报文分为请求query和应答response，请求是由客户机发送给DNS服务器，请求解析某域名；应答是服务器查询到该域名对应的IP地址后，反馈给客户机。由图可知，第1082-1085号报文是DNS的请求报文，第1086-1090号报文是DNS的应答报文，所以客户机的IP是59.67.152.250（问题3），DNS服务器是8.8.8.8（问题2填DNS）。
    题中上方的摘要部分的下半段，即第1094号（含）之后的报文，开始了HTTP访问。访问的客户机是59.67.152.250，服务器是220.194.79.33（问题4），此处虽然没有体现出访问的域名，但是结合第1084、1085、1089、1090号报文可知，客户机对域名www.enorth.com.cn进行过解析，再结合报文的顺序，很容易得到客户机在访问www.enorth.com.cn的结论，使用的协议是http。故问题1应填www.enorth.com.cn。
    由图中下半部分（第1087号报文的详情页）中第二行（Ethernet II）可知，该报文的目的MAC是48:4d:7e:9d:27:05。由于该报文的目的地址是客户机（即题中的"主机"）并且这属于局域网内通信，该MAC对应的就是客户机IP59.67.152.250（问题5）。

答案：
[1]www.enorth.com.cn，http://www.enorth.com.cn，http://www.enorth.com.cn/
[2]DNS，域名服务器，域名解析
[3]59.67.152.250
[4]22.194.79.33
[5]59.67.152.250

 10、

DNS报文分为请求query和应答response，请求是由客户机发送给DNS服务器，请求解析某域名；应答是服务器查询到该域名对应的IP地址后，反馈给客户机。由前四条报文可知，客户机是59.67.152.250，DNS服务器是8.8.8.8，所以问题2应填8.8.8.8，问题3应填59.67.152.250。
题中使用了ICMP协议。ICMP协议对应的最常用的命令就是ping和tracert。由于题中没有出现Time-To-Live exceeded（超时报告），所以可以判断执行的是ping命令。
图中的报文详情是第三条报文的详情。第三条报文是应答报文，所以源是DNS服务器，目的是客户机。由报文详情中Ethernet II部分可以获取服务器和客户机的MAC，其中客户机MAC地址是48:4d:7e:9d:27:05（问题4）；由Answers部分可以获知www.12306.cn被解析，返回了43.226.162.67这个IP地址，所以问题5应答43.226.162.67。
图中从第5条数据包开始，共有4对完全相同的的报文（Seq作为序号理应是不同的），而且都是ICMP报文，符合ping命令的特征，同时可以由粉色报文的request和reply获知其源和目的主机各自的身份，所以问题1应答ping  www.12306.cn。
故本题答案是
[1]ping www.12306.cn
[2]8.8.8.8
[3]59.67.152.250
[4]48:4d:7e:9d:27:05,48-4d-7e-9d-27-05,484d.7e9d.2705,484d7e9d2705
[5]43.226.162.67