协议分析复习课程

《协议分析复习课程》由会员分享，可在线阅读，更多相关《协议分析复习课程（147页珍藏版）》请在金锄头文库上搜索。

1、协议分析,协议分析,体系结构 Ethenet ARP IP ICMP,OSI 与 TCP/IP体系结构,应用层,运输层,网络层,表示层,会话层,数据链路层,物理层,7 6 5 4 3 2 1,OSI 的体系结构,应用层,网络接口层,网际层 IP,(各种应用层协议如 TELNET, FTP, SMTP 等),运输层(TCP 或 UDP),TCP/IP 的体系结构,无连接分组交付服务,运输服务 (可靠或不可靠),TCP/IP 的三个服务层次,数据传输过程,沙漏计时器形状的TCP/IP协议族,HTTP,SMTP,DNS,RTP,TCP,UDP,IP,网际层,网络接口层,运输层,应用层,网络接口 1,

2、网络接口 2,网络接口 3,Everything over IP (IP 可为各式各样的应用程序提供服务),IP over Everything (IP 可应用到各式各样的网络上),相邻两层间的关系,服 务 用 户,第 n 层,第 n + 1 层,服 务 用 户,48 位的 MAC 地址,在局域网中，硬件地址又称为物理地址，或 MAC 地址。 802标准：MAC地址为2/6字节 MAC=OUI+EUI (Organizationally/Extended Unique Identifier) 机构/扩展唯一标识符 $1250/OUI eg:02-60-8C 3Com IEEE 的注册管理机构

3、RA 负责向厂家分配地址字段的前三个字节OUI (即高位 24 位)。 OUI不能单独使用来标识一个公司 地址字段中的后三个字节(即低位 24 位)由厂家自行指派，称为扩展标识符，必须保证生产出的适配器没有重复地址。 一个地址块可以生成224个不同的地址。这种 48 位地址称为 MAC-48，它的通用名称是EUI-48。“MAC地址”实际上就是适配器地址或适配器标识符EUI-48。,MAC = Manufacture ID + NIC ID,MAC = Manufacture ID + NIC ID 24bit + 24bit 公司：Cisco 00-00-0C Novell 00-00-1B

4、 00-00-D8 3Com 00-20-AF 00-60-8C IBM 08-00-5A 典型的Ethernet地址 ：00-60-8C-01-28-12,I/G比特和G/L比特,第1字节最低位 I/G比特:Individual/Group I/G=0(单个地址) ,I/G=1(组地址) IEEE只分配前3字节中的23位。 第1字节最低第2位是G/L比特，Global/Local G/L=1是全球管理，保证全球没有相同的地址 G/L=0是本地管理，用户可任意分配 采用2字节地址字段时全部是本地管理 以太网几乎不使用G/L比特 全球管理时，地址个数24670 368 744 177 66470

5、万亿,I/G比特和G/L比特,AC,最高位 最先发送,最低位,00110101 01111011 00010010 00000000 00000000 00000001,最低位 最先发送,最高位,OUI,EUI,高位在前,低位在前,AC-DE-48-00-00-80,I/G 比特,I/G 比特,DE,48,00,00,80,AC,DE,48,00,00,80,10101100 11011110 0100100000000000 0000000010000000,802.5 802.6,802.3 802.4,802.5 802.6,G/L 比特,G/L 比特,适配器检查 MAC 地址,适配器从

6、网络上每收到一个 MAC 帧就首先用硬件检查 MAC 帧中的 MAC 地址. 如果是发往本站的帧则收下，然后再进行其他的处理。 否则就将此帧丢弃，不再进行其他的处理。 “发往本站的帧”包括以下三种帧： 单播(unicast)帧（一对一） 多播(multicast)帧（一对多） ：01:00:5e:*:*:* 广播(broadcast)帧（一对全体） ：全“ 1”,混杂模式,混杂模式（promiscuous mode） 接收所有的帧 窃听 网管可以用混杂模式监视和分析以太网 嗅探器（Sniffer）,2. MAC 帧的格式,常用的以太网MAC帧格式有两种标准 ： DIX Ethernet V2

7、标准 IEEE 的 802.3 标准 最常用的 MAC 帧是以太网 V2 的格式。,以太网帧格式,以太网 MAC 帧,物理层,MAC层,10101010101010 10101010101010101011,前同步码,帧开始 定界符,7 字节,1 字节,8 字节,插入,IP层,目的地址,源地址,类型,数 据,FCS,6,6,2,4,字节,46 1500,MAC 帧,以太网的 MAC 帧格式,MAC 帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,目的地址字段 6 字节,MAC 帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,源地址字段 6 字节,MAC

8、帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,类型字段 2 字节,类型字段用来标志上一层使用的是什么协议， 以便把收到的 MAC 帧的数据上交给上一层的这个协议。,类型值：0 x0800 - IP 0 x0806 - ARP,MAC 帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,数据字段 46 1500 字节,数据字段的正式名称是 MAC 客户数据字段 最小长度 64 字节 18 字节的首部和尾部 = 数据字段的最小长度,当数据字段的长度小于 46 字节时， 应在数据字段的后面加入整数字节的填充字段， 以保证以太网的 MAC 帧长不小于 64 字节。

9、,MAC 帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,FCS 字段 4 字节,当传输媒体的误码率为 1108 时， MAC 子层可使未检测到的差错小于 11014。,校验范围为：目的地址、源地址、类型、数据和PAD,MAC 帧,物理层,MAC 层,IP 层,以太网 V2 的 MAC 帧格式,在帧的前面插入的 8 字节中的第一个字段共 7 个字节， 是前同步码，用来迅速实现 MAC 帧的比特同步。 第二个字段是帧开始定界符，表示后面的信息就是MAC 帧。,为了达到比特同步， 在传输媒体上实际传送的 要比 MAC 帧还多 8 个字节,4.2.3 IP 地址与硬件地址,TCP

10、 报文,IP 数据报,MAC 帧,应用层数据,首部,首部,尾部,首部,HA1,HA5,HA4,HA3,HA6,主机 H1,主机 H2,路由器 R1,硬件地址,路由器 R2,HA2,IP1,IP2,局域网,局域网,局域网,IP1,HA1,HA5,HA4,HA3,HA6,HA2,IP6,主机 H1,主机 H2,路由器 R1,IP 层上的互联网,MAC 帧,IP2,IP4,IP3,IP5,路由器 R2,MAC 帧,MAC 帧,IP 数据报,从协议栈的层次上看数据的流动,从虚拟的 IP 层上看 IP 数据报的流动,在链路上看 MAC 帧的流动,4.2.4 ARP和RARP,地址解析协议 ARP (Ad

11、dress Resolution Protocol) 逆地址解析协议 RARP (Reverse Address Resolution Protocol),IP 地址,物理地址,ARP,物理地址,IP 地址,RARP,4.2.4 ARP和RARP,不管网络层使用的是什么协议，在实际网络的链路上传送数据帧时，最终还是必须使用硬件地址。 每一个主机都设有一个ARP高速缓存(ARP cache)，里面有所在的局域网上的各主机和路由器的 IP 地址到硬件地址的映射表。 当主机A欲向本局域网上的某个主机B发送IP数据报时，就先在其ARP高速缓存中查看有无主机 B 的IP地址。如有，就可查出其对应的硬件地

12、址，再将此硬件地址写入MAC帧，然后通过局域网将该MAC帧发往此硬件地址。,A,Y,X,B,Z,主机 B 向 A 发送 ARP 响应分组,主机 A 广播发送 ARP 请求分组,ARP 请求,ARP 请求,ARP 请求,209.0.0.5,209.0.0.6,00-00-C0-15-AD-18,08-00-2B-00-EE-0A,我是 209.0.0.5，硬件地址是 00-00-C0-15-AD-18 我想知道主机 209.0.0.6 的硬件地址,我是 209.0.0.6 硬件地址是 08-00-2B-00-EE-0A,A,Y,X,B,Z,209.0.0.5,209.0.0.6,00-00-C0

13、-15-AD-18,ARP,ARP 协议数据报格式,ARP请求,ARP应答,ARP高速缓存的作用,为了减少网络上的通信量，主机 A 在发送其 ARP 请求分组时，就将自己的 IP 地址到硬件地址的映射写入 ARP 请求分组。 当主机 B 收到 A 的 ARP 请求分组时，就将主机 A 的这一地址映射写入主机 B 自己的 ARP 高速缓存中。 ARP将已经得到的地址映射保存在高速缓存中，这样就使得该主机下次再和具有同样目的地址的主机通信时，可以直接从高速缓存中找到所需的硬件地址而不必再用广播方式发送ARP请求分组。,映射地址生存时间,ARP将保存再高速缓存中的每一个映射地址都设置生存时间（如10

14、20分钟），凡超过生存时间的项目就从高速缓存中删除掉。,ARP仅解决局域网内IP地址和硬件地址映射,ARP 是解决同一个局域网上的主机或路由器的 IP 地址和硬件地址的映射问题。 如果所要找的主机和源主机不在同一个局域网上，那么就要通过 ARP 找到一个位于本局域网上的某个路由器的硬件地址，然后把分组发送给这个路由器，让这个路由器把分组转发给下一个网络。剩下的工作就由下一个网络来做。 从 IP 地址到硬件地址的解析是自动进行的，主机的用户对这种地址解析过程是不知道的。 只要主机或路由器要和本网络上的另一个已知 IP 地址的主机或路由器进行通信，ARP 协议就会自动地将该 IP 地址解析为链路层

15、所需要的硬件地址。,4.2.5 IP 数据报的格式,一个 IP 数据报由首部和数据两部分组成。 首部的前一部分是固定长度，共 20 字节，是所有 IP 数据报必须具有的。 在首部的固定部分的后面是一些可选字段，其长度是可变的。,固 定 部 分,可变 部分,0,4,8,16,19,24,31,版 本,标志,生 存 时 间,协 议,标 识,区 分 服 务,总 长 度,片 偏 移,填 充,首 部 检 验 和,源 地 址,目 的 地 址,可 选 字 段 （长 度 可 变）,比特,首部长度,数 据 部 分,数 据 部 分,首 部,传送,IP 数据报,发送在前,IP 数据报的格式,可变 部分,首 部,0,4,8,16,19,24,31,版 本,标志,生 存 时 间,协 议,标 识,区 分 服 务,总 长 度,片 偏 移,填 充,首 部 检 验 和,源 地 址,目 的 地 址,可 选 字 段 （长 度 可 变）,比特,首部长度,数 据 部 分,数 据 部 分,首 部,传送,IP 数据报,IP 数据报的格式,首 部,0,4,8,16,19,24,31,版 本,标志,生 存 时 间,协 议