《計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)手冊(cè)》

計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)手冊(cè)

TCP/IPProtocolSuite

OSImodellayersDARPAlayers

ApplicahonLayer

ApplicationLayerHTTPFTPSMTPDNSRIPSNMP

PresentationLayer

SessionLayer

1TransportLayer?

1cpUDP

TianspoitLayer

IGMPICMPNDMLD

NehvoikLayerInternetLayerICMPv6

ARPIP(IPv4)IPv6

DataLinkLayei

NetworkInterface1802.11

LayerEthernetwirelessFrameRelayATM

PhysicalLayerLAN

L

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

目錄

實(shí)驗(yàn)一Ethereal和實(shí)驗(yàn)基礎(chǔ)3

實(shí)驗(yàn)二HTTP協(xié)議分析11

實(shí)驗(yàn)三DNS協(xié)議分析17

實(shí)驗(yàn)四TCP協(xié)議分析23

實(shí)驗(yàn)五IP協(xié)議分析28

實(shí)驗(yàn)六ICMP協(xié)議分析32

實(shí)驗(yàn)七Ethernet和ARP35

實(shí)驗(yàn)八DHCP協(xié)議分析39

附錄一TcpDump表達(dá)式介紹43

附錄二Windows網(wǎng)絡(luò)命令說明45

附錄三實(shí)驗(yàn)數(shù)據(jù)分析和思考題回答樣例47

附加實(shí)驗(yàn)一NAT協(xié)議分析48

附加實(shí)驗(yàn)二FTP協(xié)議分析50

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

實(shí)驗(yàn)一Ethereal和網(wǎng)絡(luò)實(shí)驗(yàn)基礎(chǔ)

-、Ethereal基礎(chǔ)

我們觀察執(zhí)行協(xié)議的實(shí)體之間如何交換信息的基本工具是packetsniffer,就如名字

所示這是個(gè)包嗅探器，它在你的電腦發(fā)送消息或者接收消息時(shí)進(jìn)行協(xié)議數(shù)據(jù)的捕獲，同時(shí)有

選擇的顯示這些協(xié)議數(shù)據(jù)的內(nèi)容。包嗅探器本身是被動(dòng)的，電腦所收發(fā)的數(shù)據(jù)包不寫明是給

包嗅探器的，而是由應(yīng)用程序發(fā)送和接收時(shí)產(chǎn)生的，在包嗅探器收到包的同時(shí)應(yīng)用程序數(shù)據(jù)

收發(fā)仍然是正常進(jìn)行的。

下圖顯示了一個(gè)包嗅探器的結(jié)構(gòu)。在圖的右側(cè)是協(xié)議和運(yùn)行的應(yīng)用程序，包嗅探器顯示

在用虛線圍起來的框中，它偵聽并接收每一個(gè)鏈路層幀的副本，當(dāng)物理媒體是以太網(wǎng)時(shí)上層

協(xié)議最終都將生成以太幀，捕獲所有的鏈路層幀就能收集所有在電腦上的應(yīng)用程序和協(xié)議所

收發(fā)的消息。

packetsniffer

to/fromnetworkto/fromnetwork

包嗅探器的另一組成部分是包分析器，它顯示?個(gè)協(xié)議消息中所有字段的內(nèi)容，為了完

成這些任務(wù)包分析器必須了解所有通過協(xié)議交換的消息的結(jié)構(gòu)。例如我們對(duì)上圖中通過

HTTP協(xié)議交換的消息所顯示的區(qū)域感興趣，包分析器需要了解以太網(wǎng)幀的格式，這樣可以

通過一個(gè)以太網(wǎng)幀來識(shí)別IP數(shù)據(jù)包，同時(shí)它也需要了解IP數(shù)據(jù)包的格式可以從IP數(shù)據(jù)包

中取出TCP段，它也必須了解TCP段的結(jié)構(gòu)可以把包含在TCP段中的HTTP消息取出，最

后它需要了解HTTP協(xié)議等等，例如需要知道一個(gè)HTTP消息的第一個(gè)字節(jié)將包含“GET”、

“POST”或者是“HEAD”。

我們?cè)趯?shí)驗(yàn)中將使用Etherealpacketsniffer(或叫EtherealNetworkAnalyzer).這個(gè)軟件

我們已下載好放在本地d:\ins,本實(shí)驗(yàn)需要的其他軟件我們也都放在這個(gè)目錄中，你也可

以在以下地址下載：

3

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

/download.html

該網(wǎng)站上還有用戶指南和任務(wù)專欄可以下載。為了運(yùn)行Ethereal,你還需要支持Ethereal

和libpc叩包的捕獲庫(kù)，可以在安裝Ethereal時(shí)的選項(xiàng)中鉤選WinPcap來安裝。

二、運(yùn)行Ethereal

當(dāng)你運(yùn)行Ethereal程序時(shí)，將會(huì)看到如下圖所示的用戶圖形界面，剛啟動(dòng)時(shí)在各窗口中

是沒有數(shù)據(jù)顯示的：

^ommand|令(UnSkd)Rhctcul

mentisHe0tVBWGa83tx.中dyrrSabstcsHe|>

企匕IB%電昌囪(中知事q&d國(guó)齡IBIS於S3

▼|?.KRhn.J[7jpd>I

displayfilter-IOwU)?u)n["lccd|”g

19161106?19冰

???s

6>-22408.F9922406.1srand"。queryAgaia.cs.ur：ss,edu

specification3118川s

1916''l018.1691M.501standardqueryrespor<eAITS.119.245.12

2大

?？81.11p

1?8.*1.1M2：874:Ftp[SVN]sw-357?eil696A<k-0wV-65555I

2110,.■9n.1481p

1?1e/-1-1.5http>1874LSVN,ACKjseq-4216539525A<m"1F

9?2.8.11o28.H921rcp

TC287^1>^trp[<CK]sec-3573611697

一.12

listingofEJyaipi

O.OM：31119.74?.i7192.1C9.1,101—hirp>1^74[?K]sefi-4216=.-9524A<k-357361724?<

0.0*808119.241.1?101HrHTTP/1.1200OKctexx/html)

captured9TCp

C0.25575401138.119.24,126R1874?”rp[?<K]5?-357361224?A<k-42165J9890?

4.2251170155op'ocmaln/HorkorxipmnceocenenrWORKGROUP,、Tworksi

-*p“

packets-

26.a67413Ifrre1_52:M2?Broadcastpwhohar192.168.1.r?Tell02

36.47861nradcitARpwhohae192.1*8,1.1*>Tallx92.168.1.102

p

46.4)73238lnrel_S2;2o：23BroackastTCwhohas192.108.1.1^Tell02

TCp

510.08e2io22192.160.1.101http>1874[PIM,g]Seq-4216539890ACk-3573612；

1O.OH63O9128.119.24*.12187/1>http[<CK]Sec-3573612242"k"236519891W

Frare6《5的byteson-e,i99匕/tescapture。)

EthernetII.Src;00:08:74:4f:36:23,Dst;OO;C€:25:da:af:73

>internetprotocol.sr<a，Mr:197,168.1.101<192.168.1.101)，D5tAd<lr：128.119.2*5.12(1：$.119.245.12)

:，rractml”4arcontrolProtocol,srePert:LU74(1874).O?TPart:http(tso),"q:J5736U697,Ad:421S1Q5Z4.L

detailsofHyps-textTransferProtocol

|>GET/erb>feal-labs/iNTRc-erhereal-fnei.hTinlHrrp/i.iXr'Xn

selectedHost:ga1a.es.u?a^5.edu\r\n

packetU?*r-A4jw^;Mu2:'U/5.0U;window*errt>.>;an-U$;rvcl.O.2)-3fc-ko/20021120sC4p*/Z.(Il\r\n

AC<ept:app11<at1on/x-shockwaue-f1as?，匚exr/drappHtac1cc/xml,dppUcaTl-n/xtmo4.xm1,texr/hi?;q-0.■?,xexc/p1

Accept-Language:en-us.en;q=0.5O\r\n

headerAccept-Encoding:gzip.CsFl?tv.tompres?:q^Q.9Xr\n

Accept-ct，"sei::sc>-88S?i-l,urt-8;q-c.?6,*：q-0.66Xr\n

Keep-Alive:30D\r\n

Correction:kee；>-a1iveV\n

XfXn

packetcontentcu

o2□6daat7300csZ44fS608C：45OO..?..TC5*..P..

t&勺<:

)010-5<if40COROC6546<CO4801653077,119…Tn…e.w

inhexadecimal)020rfOc0752OO50dSCOfcblfbS349GJ5013...P.aSI.P.

\JO3。e5ff398OO00474374GB0572..g…GET/ether

-

)0404616c2d6c61邑273524f2d65eal-1abs/iKTRO-e

andASCIIJh/、KC?1->■-AOTKrHzir-A->+,、z?，hr

Ethereal界面主要有5部分組成：

I.命令菜單(commandmenus),位于窗口頂部，其中File菜單允許保存獲取的包數(shù)據(jù)

或者打開一個(gè)之前捕獲的包數(shù)據(jù)文件，Capture菜單允許你開始一次包的捕獲；

2.包列表窗口(packet-listingwindow),每一個(gè)包顯示■行摘要，包括包的編號(hào)、包捕

獲的時(shí)間、包的源地址和目的地址、協(xié)議類型以及在包中所包含協(xié)議的特定信息。包列

表可以通過點(diǎn)擊一個(gè)縱列標(biāo)題項(xiàng)來排序，協(xié)議類型字段列出了這個(gè)包發(fā)送和接收的各級(jí)

別的協(xié)議；

3.包頭部信息窗口(packet-headerdetails),提供了在包列表窗口中被選中包的詳細(xì)信

息，這些信息包括以太網(wǎng)幀和IP數(shù)據(jù)包。以太網(wǎng)和IP層詳細(xì)信息的顯示能夠擴(kuò)展或者

縮小，如果這個(gè)包中有TCP或者UDP,相應(yīng)的協(xié)議詳細(xì)信息也會(huì)被顯示(也可以被擴(kuò)

展和縮小)，發(fā)送或者接收這個(gè)包的最高層協(xié)議的詳細(xì)信息也會(huì)被顯示；

4.包內(nèi)容窗口(packet-contentswindow),以ASCII和十六進(jìn)制格式顯示了捕獲的幀的

4

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

整個(gè)內(nèi)容；

5.包過濾顯示區(qū)域（packetdisplayfilter加1（1）,在Ethereal用戶圖形界面的頂部，在

這里可以輸入?yún)f(xié)議名稱或者其他信息來過濾包列表窗口中顯示的信息。

三、使用Ethereal來做一個(gè)測(cè)試

學(xué)習(xí)任何一個(gè)新的軟件的最好方法是實(shí)驗(yàn)它！

1.打開你的瀏覽器；

2.打開Ethereal軟件，最初的時(shí)候窗口中都沒

有數(shù)據(jù)，因?yàn)镋thereal還沒有開始捕獲包；

3.開始包的捕獲，選中Capture下拉菜單，選

擇Start,,將會(huì)出現(xiàn)"CaptureOptionsM窗

口，如右圖所示：

4.你可以使用窗口中各選項(xiàng)的默認(rèn)值，但網(wǎng)絡(luò)接口（比如物理連接）要確認(rèn)一下，如

果你的電腦擁有多個(gè)網(wǎng)絡(luò)接口，請(qǐng)選擇正在接入網(wǎng)絡(luò)的一個(gè)接口用來發(fā)送和接收

包。選擇網(wǎng)絡(luò)接口（或者使用Ethereal的默認(rèn)接口），使capturefilter保持為空，接

下來鉤選updatelistofpacketinrealtime,Ethereal:CapturefromIntel(R)PRO/IOO...■日文

點(diǎn)擊確認(rèn)。包捕獲現(xiàn)在將開始——你的電腦

發(fā)送和接收的所有包都會(huì)被Ethereal捕獲；

5.當(dāng)你開始包捕獲，會(huì)出現(xiàn)一個(gè)包捕獲摘要窗

口，如右圖所示。這個(gè)窗口概述了被捕獲的

各種類型包的量,Stop按鈕允許你停止包的

捕獲（現(xiàn)在還不要停止包的捕獲）；

6.當(dāng)Ethereal還在運(yùn)行時(shí)，輸入如下的URL

讓它下載一個(gè)頁(yè)面在你的瀏覽器中顯示：

/ethereal-labs/INTRO-ethereal-file1.html

為了顯示這個(gè)頁(yè)面，你的瀏覽器將和的HTTP服務(wù)器進(jìn)行聯(lián)系，

和服務(wù)器進(jìn)行HTTP消息的交換以卜載這個(gè)頁(yè)面，包含這些HTTP消息的以太網(wǎng)幀

將會(huì)被Ethereal捕獲：

7.你的瀏覽器顯示了這個(gè)頁(yè)面后，在Ethereal捕獲窗口中按下stop按鈕來停止Ethereal

的包捕獲，Ethereal的主窗口將會(huì)顯示所捕獲的包?，F(xiàn)在，你擁有了剛才在你的電

5

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

腦通過網(wǎng)絡(luò)進(jìn)行交換的協(xié)議消息。HTTP消息和Web服務(wù)器之間

進(jìn)行交換也在包捕獲列表中出現(xiàn)，但是同樣也有其他類型的包：

8.在Ethereal主窗口的頂部的Filter中，輸入“http”，然后選擇Apply,這樣只有HTTP

消息會(huì)被顯示在包列表窗口；

9.在包列表窗口中選擇第一個(gè)HTTP消息，它應(yīng)該是一個(gè)HTTPGET消息，是由你的

電腦發(fā)送給的HTTP服務(wù)器的。當(dāng)你選中HTTPGET消息后，以

太網(wǎng)幀、IP數(shù)據(jù)包、TCP段以及HTTP消息的頭部將會(huì)顯示在包頭部窗口中。在包

詳細(xì)信息窗口的左邊，選擇擴(kuò)展或收縮使顯示的幀、以太網(wǎng)、IP協(xié)議以及TCP協(xié)

議縮小到最小而HTTP協(xié)議的信息被最大化?，F(xiàn)在Ethereal顯示的大致如下圖所示:

Q(Untitled)-Ethereal

fileEdityiew§oCapturefinalyzeStatisticsHelp

翻翻即羽明23尋X麴）3回Q峰它）吞殳□□0Q

Filter:|http▼Expresston...ClearApply

No.?TimeSoireeDestinationProtocolInfo

80.73639302128.119.245.12HTTPGET/ethereal-labs/HTTP-etI

101.109093202HTTPHTTPA.1200OK(text/html；v

<1

+jFrame8(493bytesonwire,493bytescaptured)

+EthernetII,sre:lbm_3f:8b:2b(00:09:6b:3f:8b:2b),Dst:Shenzhen_dO:b4:4e(00:0a:eb:d0:b4:

+internetProtocol,Src:02(02),Dst:128.119.245.12(2：

上「TransmissioncontrolProtocol,srePort:1173(1173),DstPort:http(80),seq:175562758,

-iHypertextTransferProtocol

-GET/ethereal-1abs/HTTP-ethereal-filel.htmlHTTP/1.l\r\n

RequestMethod:GET

RequestURI:/ethereal-labs/HTTP-ethereal-filel.html

Requestversion:HTTP/1.1

Accept:1mage/gif,image/x-xb1tmap,image/jpeg,image/pjpeg,appl1cat1on/x-shockwave-f1as

Accept-Language:zh-cn\r\n

Accept-Encoding:gzip.deflate\r\n

user-Agent:Mozi11a/4.0(compatible;MSIE6.0;windowsNT5.1;svl;POTU(BeTaO.99);.NET

Host:\r\n

connection:Keep-Al1ve\r\n

\r\n

<l卜〉

0030—220855f20000H”.u…生T/etherl

0040CT1Iabs/HTTP-et

0050Ihereal-fi1el.htm|

006041636365HTTP/1.1..Acce

007070743a206966167652T6769662c2069:imaqe/gif,i

ccocGZeiCPT。ec編1-tcV

|p：11D：2M:ODrops：0

10.退出Ethereal?

恭喜你！現(xiàn)在，你已經(jīng)完成了一次成功的協(xié)議數(shù)據(jù)捕獲。

四、需要上交的東西

這個(gè)實(shí)驗(yàn)的主要目的是向你介紹和使你熟悉Ethereal軟件，請(qǐng)回答以下問題：

Q1.列出在上面第7步驟中沒有進(jìn)行過濾時(shí)包列表窗口中所出現(xiàn)的全部的協(xié)議名稱；

Q2.從發(fā)送HTTPGET消息一直到接收到HTTP回復(fù)的OK,持續(xù)了多久？

（默認(rèn)time列顯示的是開始捕獲后的以秒為單位的持續(xù)時(shí)間，如果要在time列以time-of-day格式顯

示，請(qǐng)選擇Ethereal的View下拉菜單，然后選擇時(shí)間顯示格式為Time-of-day）

6

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

Q3.的IP地址是多少？你的電腦IP地址是多少？

Q4.導(dǎo)出這兩個(gè)HTTP消息，你可以在Ethereal的File命令菜單中選擇save菜單，導(dǎo)出

的文件命名為ethereal-1。

五、WINDOWS網(wǎng)絡(luò)命令

我們將在后面的實(shí)驗(yàn)和日常應(yīng)用中經(jīng)常用到WINDOWS的網(wǎng)絡(luò)命令，請(qǐng)關(guān)注每個(gè)網(wǎng)絡(luò)命

令的參數(shù)以及這些參數(shù)的組合，我們先來嘗試用tracert和ping命令分析一下到

的路由情況，以后我們還要仔細(xì)研究。

Ping是個(gè)使用頻率極高的實(shí)用程序，用于確定本地主機(jī)是否能與另一臺(tái)主機(jī)交換數(shù)據(jù)

報(bào)，根據(jù)返回的信息我們就可以推斷TCP/IP參數(shù)是否設(shè)置得正確以及運(yùn)行是否正常。由于

很多路由器和服務(wù)器為了防止DDOS攻擊會(huì)關(guān)閉ICMP功能，如果因此而造成你訪問的節(jié)點(diǎn)

不響應(yīng)ping的測(cè)試，你可以換一個(gè)IP或域名再試。

Ping是一個(gè)測(cè)試程序,如果Ping運(yùn)行正確我們大體上就可以排除網(wǎng)絡(luò)層、網(wǎng)卡、MODEM

的輸入輸出線路、電纜和路由器等存在的故障，從而減小了問題的范圍。按照缺省設(shè)置，

Windows上運(yùn)行的Ping命令發(fā)送4組ICMP32字節(jié)數(shù)據(jù)，如果一切正常我們能得到4個(gè)回

送應(yīng)答。Ping能夠以毫秒為單位顯示發(fā)送請(qǐng)求到返回應(yīng)答之間的時(shí)間。如果應(yīng)答時(shí)間短，

表示數(shù)據(jù)報(bào)通過的路由器少或網(wǎng)絡(luò)連接速度比較快。Ping還能顯示TTL值（TimeToLive

生存時(shí)間），我們可以通過源地點(diǎn)TTL起始值減去返回包的TTL值從而推算數(shù)據(jù)包通過了

多少個(gè)路由器。例如，如果返回TTL值為249,TTL起始值是256,源地點(diǎn)到目標(biāo)地點(diǎn)要

通過7個(gè)路由器（256-249）,一共是7個(gè)hop。

正常情況下，當(dāng)我們使用Ping命令來查找問題或檢驗(yàn)網(wǎng)絡(luò)運(yùn)行情況時(shí)，我們需要使用

一系列Ping命令，如果所有步驟都運(yùn)行正確，我們就可以相信基本的連通性和配置參數(shù)沒

有問題；如果某些Ping命令出現(xiàn)運(yùn)行故障，它也可以指明到何處去查找問題。下面就給出

一個(gè)典型的檢測(cè)次序及對(duì)應(yīng)的可能故障：

ping

這個(gè)Ping命令被送到本地計(jì)算機(jī)的IP協(xié)議軟件，如果沒有成功就表示TCP/IP協(xié)議的

安裝存在問題。

ping本機(jī)的IP

這個(gè)命令被送到我們計(jì)算機(jī)所配置的IP地址，計(jì)算機(jī)始終都應(yīng)該對(duì)該P(yáng)ing命令作出應(yīng)

答，如果沒有則表示本地配置或安裝存在問題。出現(xiàn)此問題時(shí)，局域網(wǎng)用戶請(qǐng)斷開網(wǎng)絡(luò)電纜,

7

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下和Internet特色實(shí)驗(yàn)手冊(cè)

然后重新發(fā)送該命令。如果網(wǎng)線斷開后本命令正確，則表示另一臺(tái)計(jì)算機(jī)可能配置了相同的

IP地址。

ping局域網(wǎng)其他電腦的IP

這個(gè)命令使數(shù)據(jù)經(jīng)過網(wǎng)卡及網(wǎng)絡(luò)電纜到達(dá)其他計(jì)算機(jī)再返回。收到回送應(yīng)答表明本地網(wǎng)

絡(luò)中的網(wǎng)卡和載體運(yùn)行正確。但如果收不到回送應(yīng)答，表示子網(wǎng)掩碼不正確、網(wǎng)卡配置錯(cuò)誤

或電纜系統(tǒng)有問題。

ping網(wǎng)關(guān)的IP

這個(gè)命令如果應(yīng)答正確，表示局域網(wǎng)中的網(wǎng)關(guān)路由器正在運(yùn)行并能夠作出應(yīng)答。

ping遠(yuǎn)程的某個(gè)IP

如果收到4個(gè)應(yīng)答，表示成功的使用了缺省網(wǎng)關(guān)。

pinglocalhost

localhost是操作系統(tǒng)的網(wǎng)絡(luò)保留名，它是127.001的別名，每臺(tái)計(jì)算機(jī)都應(yīng)該能夠?qū)?/p>

該名字轉(zhuǎn)換成該地址。如果沒有做到這一點(diǎn)，則表示主機(jī)文件(/Windows/host)存在問題。

ping

對(duì)這個(gè)域名執(zhí)行Ping地址，通常是通過DNS服務(wù)器解析，如果

這里出現(xiàn)故障，則表示DNS服務(wù)器的IP地址配置不正確或DNS服務(wù)器有故障。

如果上面所列出的所有Ping命令都能正常運(yùn)行，計(jì)算機(jī)進(jìn)行通信的功能基本上就可以

放心了。但是這些命令的成功并不表示所有的網(wǎng)絡(luò)配置都沒有問題，例如某些子網(wǎng)掩碼錯(cuò)誤

就可能無法用這些方法檢測(cè)到。

Ping命令還有一些常用參數(shù)選項(xiàng)：

ping某IP-t

連續(xù)對(duì)IP地址執(zhí)行Ping命令，直到被用戶以Ctrl+C中斷。

ping某IP-I128

指定Ping命令中的數(shù)據(jù)長(zhǎng)度為128字節(jié)，而不是缺省的32字節(jié)。

ping某IP-n8

連續(xù)執(zhí)行8次的Ping命令。

我們就先試著用ping命令測(cè)試一下：

1.啟動(dòng)Ethereal捕獲數(shù)據(jù)；

2.保持Ethereal主窗口頂部的Filter為空；

3.運(yùn)行命令：

8

《計(jì)算機(jī)網(wǎng)絡(luò)》自頂向下