ICMP协议与ARP协议抓包并分析

ICMP协议与ARP协议抓包并分析

实验环境

ICMP

由于PING命令是基于ICMP协议进行工作，所以可以用PC1pingPC2来产生ICMP报文，通过wireshark抓取通信线路上的数据，从而对ICMP报文进行分析。

使用PC1pingPC2

抓包结果

结果分析

通过对抓包结果进行分析可以看到，抓包结果总时成对出现，每对结果包含一个请求报文和一个回复报文（4、5是一对6、7是一对）。第四个报文是PC1向PC2发送ICMP请求报文，第五个报文是PC2对PC1的请求报文的回复报文。

ARP

对上述PC1pingPC2的整个过程进行分析发现，PING命令发出后并不是立即可以看到ICMP协议报文，而是先有两个ARP报文。

ICMP实验抓取的全部包

原因分析

由抓包结果可以看到，整个通信过程中的第一分组和第二分组为两个ARP报文：
第一分组：可以看到该包为PC1发送的以太网广播帧，以寻找网关的MAC地址
第二分组：该包为路由器向PC1发送的ARP响应包，告诉PC1网关（自己对应接口IP地址）的MAC地址

分析可以发现，在两台主机进行通信前，首先要获得目标主机（或网关）的MAC地址，然后再进行其他报文传送。MAC地址获取步骤：主机先要判断目的主机所在的网段是否与自己所在的网段相同，然后再获得目标主机的MAC地址。此处由于两台主机不在同一网段，所以要先获得网关的MAC地址，而后再由网关对数据进行转发。

综上，可以解释PING命令发出后并不是立即可以看到ICMP协议报文，而是先有两个ARP报文。