学习目标

IP数据包格式
ICMP协议介绍
ARP攻击原理

1.网络层功能

定义了基于IP协议的逻辑地址
连接不同的媒介类型
选择数据通过网络的最佳路径

2.ICMP协议(Internet 控制消息协议)

ICMP协议是一个"错误侦测与回馈机制"
通过IP数据包封装的
用来发送错误和控制消息
ICMP协议属于网络层协议

3.ping命令格式

C:\ ping [-t][-l字节数][-a][-i] IP|hostname

3.1ping命令参数

① -t参数会一直不停执行ping
ping localhost -t
调试故障或需进行持续性连通测试时应用
CRTL + C可以中断命令

② -a参数可以显示主机名
ping -a IP

③ -l参数可以指定ping包的大小
ping IP -l 数值
单位为字节
可以用于简单测试通信质量

4.ARP协议概述

ARP(Address Resolution Protocol),地址解析协议
ARP协议的基本功能即是负责将一个已知的IP地址解析成MAC地址
，以便在交换机上通过MAC地址进行通信

4.1ARP工作原理

1）主机PC1想发送数据给主机PC2，它检查自己的ARP缓存表。ARP缓存表是主机存储在内存中的一个IP地址和MAC地址一一对应的表。在Windows操作系统中可以使用arp –a来显示ARP缓存表。
如果要查找的MAC地址不在表中，ARP会发送一个广播，从而发现目的地的MAC地址。
经查看PC1的ARP缓存表中没有发现PC2的MAC地址，这时，PC1会初始化ARP请求过程（发送一个ARP请求广播），用于发现目标的MAC地址。

2）主机PC1发送ARP请求信息，ARP请求是目的地址为MAC广播地址（FF-FF-FF-FF-FF-FF）的MAC地址广播帧，从而保证所有的设备都能够收到该请求。在ARP请求信息中包好PC1的IP地址和MAC地址。

3）交换机收到广播地址后，发现为MAC地址广播，所以将数据帧从即除了接收口之外的所有接口转发出去。主机接收到数据帧后，进行IP地址的比较，如果目标IP地址与自己的IP地址不同，则其会丢弃这个数据包，而只有PC2这台主机会在自己的ARP表中缓存PC1的IP地址和MAC地址的对应关系，同时发送一个ARP应答，来告诉PC1自己的MAC地址（这个数据帧是单播）。

4）PC1在接收到这个回应的数据帧后，在自己的ARP表中添加PC2的IP地址和MAC地址的对应关系。在这个过程中，Switch交换机已经学习到了PC1和PC2的MAC地址，之后传输数据时PC1和PC2之间使用单播方式。

需要注意：ARP请求为广播，而ARP应答为单播。

4.2 ARP相关命令

4.2.1 Windows系统中的ARP命令

arp -a：查看ARP缓存表
arp -d：清除ARP缓存
ARP绑定

4.2.2 Cisco交换机ARP命令

Switch#show arp   #查看arp
Switch#clear arp-cache    #清除arp
Switch(config)#arp 192.168.2.1 0009.7C90.05AD arpa f0/1  #绑定arp，模拟器不支持

4.2.3 Cisco路由器ARP命令

Router#show arp #查看arp缓存表
Router#clear arp-cache   #清除arp缓存表（模拟器不支持，模拟器要清除，可以断电）
Router(config)#arp 192.168.1.1 00E0.B093.2B77 arpa  绑定arp缓存表（模拟器不支持，建议用真机完成）

4.2.3.1路由器基本操作

默认：路由器的所有接口是关闭状态。
Router(config)#interface f0/0 #进入接口f0/0
Router(config-if)#no shutdown #激活开启接口
Router(config-if)#ip address 192.168.1.254 255.255.255.0 # 配置路由器接口地址
Router#ping 192.168.1.1 #测试和主机PC0的连通性
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds:
!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 0/0/1 ms
备注：！代表通畅 .代表丢包

4.3 ARP攻击和ARP欺骗的原理

1．ARP攻击的原理
一般情况下，ARP攻击的主要目的是使网络无法正常通信，它主要包括以下两种行为。
攻击主机制造假的ARP应答，并发送给局域网中除被攻击主机之外的所有主机。ARP应答中包含被攻击主机的IP地址和虚假的MAC地址。

攻击主机制造假的ARP应答，并发送给被攻击主机。ARP应答中包含除被攻击主机之外的所有主机的IP地址和虚假的MAC地址。

2．ARP欺骗的原理
一般情况下，ARP欺骗并不会使网络无法正常通信，而是通过冒充网关或其他主机使到达网关或主机的流量通过攻击主机进行转发。攻击主机通过转发流量可以对流量进行控制和查看，从而控制流量或得到机密信息。

4.3.1 ARP故障处理

Benet公司突然无法正常上网
发现主机ARP缓存表中网关的MAC地址不正确

ARP故障处理

主机绑定ARP
netsh interface ipv4 show neighbors
netsh interface ipv4 set neighbors 11 10.0.0.178 00-1a-e2-df-07-41

网关路由器绑定ARP
Router(config)#arp 10.0.0.95 0013.240a.b219 arpa f0/0

交换机绑定ARP
Switch(config)#arp 10.0.0.12 90fb.a695.4445 arpa f0/2
Switch(config)#arp 10.0.0.178 001a.e2df.0741 arpa f0/1
Switch(config)#arp 10.0.0.95 0013.240a.b219 arpa f0/3

ARP故障处理3-3

使用ARP防火墙，自动抵御ARP欺骗个攻击
在主机B上开启ARP防火墙
在主机A上开启长角牛网络监控机，模拟ARP病毒发作
查看ARP防火墙统计数据的变化
在主机B上测试与网关的连通性

查找ARP攻击的计算机
MAC地址为真实计算机地址
查看网络信息记录表迅速定位计算机
MAC地址为虚假地址
#查看交换机的MAC地址表，确定此MAC所属端口
Switch#show mac address-table address 001f.caff.1003
Mac Address Table

Vlan Mac Address Type Ports

1 001f.caff.1003 DYNAMIC Fa0/1
Total Mac Addresses for this criterion: 1

本章实验(见附图)

实验一：分析ARP解析过程
实验二：ping命令作用
实验三：ARP协议应用案例

5.IP数据包格式

TCP/IP协议定义了一个在因特网上传输的包，称为IP数据报。IP数据报包含地址、路由选择信息和其它为将数据的分组从源地发送到目的地的分组头信息。这是一个与硬件无关的虚拟包，由首部和数据两部分组成。
IP数据报(IP Datagram)的首部的前一部分是固定长度，共20字节，是所有IP数据报必须具有的。在首部的固定部分的后面是一些可选字段，其长度是可变的。首部中的源地址和目的地址都是IP协议地址。

5.1结构介绍

版本(version)说明IP协议的版本，允许从一个协议版本变为另一个版本。 　
长度(length) 描述分组头的长度。 　　
服务类型(Type of service：TOS)用于指示数据报所需的服务类型或“质量”。处理数据报的路由器阅读这个域，如果需要，将提供优先服务。以前，这个域指示军事急件或关键事件所要的优先处理。根据在Internet Engineering Task Force(IETF)最近的讨论看出，现在，TOS的定义已经改变为减少延迟、减少金钱开销、增大吞吐率，或增加可靠性的需要。 　　
总长度(Total length) 说明数据报的总长度，最大长度为65，536个字节。 　　
鉴别(Identification)提供连接独立分段数据报的信息，于是目的站点就可以将它们组装成一个完整的分组。 标志(flags) 有两个标志位。第一个标志位指定一个分组不允许被分段，所以必须在能将处理分组当前长度的子网络上传输。第二个标志位指定一个数据报是一个分段分组的最后。 　　
段偏址(Fragment offset) 对于分段数据报，这个域指出这个数据在分组中的原来位置，在重新组装的过程中将用到这个信息。 　　
存活时间(Time-to-live)这个时间以秒为单位，它是数据报可以生存的时间。在传输中，如果超过了这个时间，这个数据报就被认为丢失了，或在一个循环内并且被废弃。 协议(protocol)标识数据报的协议类型，这样就可以允许非TCP/IP协议工作。 　　
分组头检验(header checksum)提供一个错误检查数值，以保证一个被分发分组的完整性。 　源/目地址 这是数据报源地和这个数据报目的地的地址。选择(option)这个域是可选的，它提供了记录通过网络的一条路径或指定一条路径(源地路由选择)。

5.2格式介绍

(1)版本　占4位，指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的IP协议版本号为4（即 IPv4）。关于 IPv6，目前还处于草案阶段。

(2)首部长度　占4位，可表示的最大十进制数值是15。请注意，这个字段所表示数的单位是32位字（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长度就是20字节（即首部长度为0101），这时不使用任何选项。

(3)区分服务　占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。

(4)总长度　总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据报的最大长度为216-1=65535字节。
在IP层下面的每一种数据链路层都有自己的帧格式，其中包括帧格式中的数据字段的最大长度，这称为最大传送单元MTU(Maximum Transfer Unit)。当一个数据报封装成链路层的帧时，此数据报的总长度（即首部加上数据部分）一定不能超过下面的数据链路层的MTU值。

(5)标识(identification)　占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。

(6)标志(flag)　占3位，但目前只有2位有意义。
1.标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。
2.标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。

(7)片偏移　占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。

(8)生存时间　占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。

(9)协议　占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。

(10)首部检验和　占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。不检验数据部分可减少计算的工作量。

(11)源地址　占32位。

(12)目的地址　占32位。

# 5.3可变部分

IP首部的可变部分就是一个可选字段。选项字段用来支持排错、测量以及安全等措施，内容很丰富。此字段的长度可变，从1个字节到40个字节不等，取决于所选择的项目。某些选项项目只需要1个字节，它只包括1个字节的选项代码。但还有些选项需要多个字节，这些选项一个个拼接起来，中间不需要有分隔符，最后用全0的填充字段补齐成为4字节的整数倍。

增加首部的可变部分是为了增加IP数据报的功能，但这同时也使得IP数据报的首部长度成为可变的。这就增加了每一个路由器处理数据报的开销。实际上这些选项很少被使用。新的IP版本IPv6就将IP数据报的首部长度做成固定的。

目前，这些任选项定义如下：

（1）安全和处理限制（用于军事领域）

（2）记录路径（让每个路由器都记下它的IP地址）

（3）时间戳（让每个路由器都记下它的IP地址和时间）

（4）宽松的源站路由（为数据报指定一系列必须经过的IP地址）

（5）严格的源站路由（与宽松的源站路由类似，但是要求只能经过指定的
这些地址，不能经过其他的地址）

这些选项很少被使用，并非所有主机和路由器都支持这些选项。

• 点赞
• 收藏
• 分享
• 文章举报

南柯一梦，笑谈浮生 发布了9 篇原创文章 · 获赞 5 · 访问量 214 私信 关注