以前上大学的时候学习过网络协议,对于其中报头的格式,完全是不解其意,只是囫囵吞枣记住样子拿去考试。
后来工作后在前人的指点下开始学习《TCP/IP详解》,但是当时对网络编程一点经验都没有,只是造着例子填代码,所以虽然通读了一遍,但是和没看几乎没有什么两样——因为看不懂。
现在回过头来重新来读,发现很多东西都基本能看懂了,就算有不明白的,多看2遍也就明白了。结合抓包,更能解释自己以前对这些协议的困惑,的确是一本好书,难怪以前好多人推荐我去读。
以书为主,结合抓包,记录笔记。
链路层抓不到包,暂时只是了解基础知识,抄袭几句:
“最大传输单元MTU
以太网和802.3对数据帧的长度都有一个限制,其最大值分别是1500和1492字节。链路层的这个特性称作MTU,最大传输单元。不同类型的网络大多数都有一个上限。如果IP层有一个数据报要传,而且数据的长度比链路层的MTU还大,那么IP层就需要进行分片( fragmentation),把数据报分成若干片,这样每一片都小于MTU。
路径MTU
当在同一个网络上的两台主机互相进行通信时,该网络的MTU是非常重要的。但是如果两台主机之间的通信要通过多个网络,那么每个网络的链路层就可能有不同的MTU。重要的不是两台主机所在网络的MTU的值,而是两台通信主机路径中的最小MTU。它被称作路径MTU。
两台主机之间的路径MTU不一定是个常数。它取决于当时所选择的路由。而选路不一定是对称的(从A到B的路由可能与从B到A的路由不同),因此路径MTU在两个方向上不一定是一致的。
”
从第三章IP协议开始。
-------------------------------------------------------------------------------
IP数据包的传送是无序的,不管先后。是不可靠的,比如路由器缓冲区满,直接丢弃IP包,并发送ICMP差错报文。
IP的4位首部长度,与4位版本整合在一个字节中。
目前版本号均为4。
4位首部长度的数值不是表示首部有多长,而是指有多少个4字节。比如在IP没有选项的情况下,其值为5,那么首部长度就是5乘以4得20个字节。
因为只有4位,所以最大值为15,导致IP的首部最多只能有60个字节长度。
IP的TOS服务类型,对大多数协议是被忽略的。基本都是00 。
报文的总长度会被填充,比如ARP的包(长度42),无论是路由器发的还是其他PC发给我的,都会自动把它填充到60,但是自己发给自己本机的虚拟机,仍然是42 ,不清楚原因。所以需要总长度来确认有效值。
16位标志,是单个主机所有进程发送的IP包形成一个队列,每发送一个IP包就进行加1 。交互的2台计算机的标志是独立的。但是从抓包上来按,对方QQ发给我的IP包,这个值一直都是0 。
如果一个UDP报携带的内容长度超过了1472,那么它会被分片,被分割的IP包,他们的16位标志是相同的。3位标志用来确认是首包0X02,后续包0X00,后面的13位偏移显示本IP包携带数据的头位置为实际内容的第几位。比如:第一个包,IP包长度1500(IP报头20字节),3位标志0X02,13位偏移为0,携带数据长度1480(8字节的UDP报头,1472实际内容),第二个包,IP包长度48,3位标志0X00,13位偏移为1480,携带数据长度(28实际内容,没有UDP报头了)。
如果不需要分片,3位标志为0X04。
-------------------------------------------------------------------------------
第三章ARP
ARP的的请求包必然是广播地址。
PC机器会定期去ARP自己的网关地址。
抓包中发现,我的路由器会把42字节的ARP包填充成60字节,后面增加了“0000+16字节的请求报文头部”。(本机的虚拟机没有填充,仍然是42字节,其他PC为60字节)
又换了台路由器,发现返回的ARP包被追加了18字节的全0,估计也是根据路由器设置不同而变。
这是因为以太网数据帧长度有最小长度,通过以太网的数据都被填充到这个最小长度。
如果是本机ARP本机的虚拟机,只通过网卡,不通过以太网,那么还会为原先的长度。
对于ES5,删除一个ARP地址后,会仍然以incomplete存在,或者ping一个不存在的IP地址,也会出现incomplete。
但是对于XP,没有这样一个不完整缓存的记录。
免费ARP并不是为自己获取自己IP地址的报文,而是2个作用:
1、如果收到回复,说明IP地址冲突了。
2、自己修改IP地址,就会发送这个报文通知其他机器,更换缓存内容,这个报文没有任何回复的。
在实际抓包中,如果你修改了本机的IP地址,就肯定会抓到免费ARP的报文,目的、源IP、源MAC都是自己,目的MAC为空。
-------------------------------------------------------------------------------
第四章RARP
RARP并不是所有机器能应答这个请求报文,而是需要专门的RARP服务器来负责应答,如果有多个RARP服务器,则通过设置不同的响应延迟时间来分别。
-------------------------------------------------------------------------------
第五章ICMP
类型0,8为ping服务。
ICMP的标识符和序列号在应答中被原样返回,用于匹配。
UDP的规则之一:收到与本进程使用的端口不一致的请求,返回一个ICMP不可达的报文()后面traceroute就是利用这个实现的。)
UDP端口不可达报文中,ICMP报头后四个字节为全0 ,只有类型3代码4时才有值。
有个地方,抓包与原书不符合。ICMP不可达报文并不是仅仅返回了8字节的UDP首部,而是全部UDP报文,比如使用tftp来访问一个不存在的服务器,会把tftp的报文内容也一起返回。使用服务器是ES5 。
后来又换来台路由器,结果发现,返回的仅仅是8字节UDP首部,估计是在路由器上可以设置。
-------------------------------------------------------------------------------
第七章ping
ping使用ICMP的0,8实现。
标识号为04,序号每次请求则加1,不清零,下次重新ping操作时,继续往上加。
ping携带的数据为32个字符:a-z a-i
关于携带过路IP的操作,XP和ES5的命令不一样,携带信息也不一样。
XP:ping -r (1-9) host 可以调整携带多少个IP,XP在接受返回报文时没有填入自己的入口IP。XP的请求报文里请求ptr为4,不携带自己的出口IP。
ES5:ping -R host 不能调整,固定9个IP。发送返回报文时填入自己的入口IP。请求报文里请求ptr为8,携带了自己的出口IP。
一般而言,带R的ping连路由器都出不去,基本被全部限制了。
ping 在win和linux虽然都能设置包大小(但肯定限制在65535以下),如果包长度大于MTU,实际发送中icmp包会被分片。