计算机网络实验二---Wireshark 实验

Wireshark 实验

数据链路层

实作一 熟悉 Ethernet 帧结构

使用 Wireshark 任意进行抓包，熟悉 Ethernet 帧的结构，如：目的 MAC、源 MAC、类型、字段等。

实作二 了解子网内/外通信时的 MAC 地址

1. ping 旁边的计算机（同一子网），同时用 Wireshark 抓这些包（可使用
   icmp关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？

2. 然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？

目的mac（Destination）是网关的；源mac(Source)是本机的。

3. 再次 ping www.cqjtu.edu.cn，同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？

源mac是本机的，目的mac是网关

实作三 掌握 ARP 解析过程

1. 为防止干扰，先使用 arp -d * 命令清空 arp 缓存 p
2. ping 你旁边的计算机（同一子网），同时用 Wireshark抓这些包（可 arp 过滤），查看 ARP 请求的格式以及请求的内容，注意观察该请求的目的 MAC地址是什么。再查看一下该请求的回应，注意观察该回应的源 MAC 和目的 MAC地址是什么。

出去：源mac是本机的，目的mac是其他主机
反映：目的mac是本机的，源mac是其他主机

3. 再次使用 arp -d * 命令清空arp 缓存
4. 然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 arp过滤）。查看这次 ARP 请求的是什么，注意观察该请求是谁在回应。

出去：源mac是本机的，目的mac是网关
反映：目的mac是本机的，源mac是网关

问题

因为尾部四个字节的效验码被wireshark自动丢弃了

本子网的可以不出网关直接访问，所以目的mac是本子网的其他电脑；非本子网的想要访问就要通过网关，出本子网到其他子网中，所以目的mac是网关。

网络层

实作一 熟悉 IP 包结构

使用 Wireshark 任意进行抓包（可用 ip 过滤），熟悉 IP 包的结构，如：版本、头部长度、总长度、TTL、协议类型等字段。

实作二 IP 包的分段与重组

根据规定，一个 IP 包最大可以有 64K 字节。但由于 Ethernet 帧的限制，当 IP 包的数据超过 1500字节时就会被发送方的数据链路层分段，然后在接收方的网络层重组。
缺省的，ping 命令只会向对方发送 32 个字节的数据。我们可以使用 ping 202.202.240.16 -l 2000 命令指定要发送的数据长度。此时使用 Wireshark 抓包（用 ip.addr == 202.202.240.16 进行过滤），了解 IP包如何进行分段，如：分段标志、偏移量以及每个包的大小等

实作三 考察 TTL 事件

在 IP 包头中有一个 TTL 字段用来限定该包可以在 Internet上传输多少跳（hops），一般该值设置为 64、128等。
在验证性实验部分我们使用了 tracert 命令进行路由追踪。其原理是主动设置 IP 包的 TTL 值，从 1 开始逐渐增加，直至到达最终目的主机。
请使用 tracert www.baidu.com 命令进行追踪，此时使用 Wireshark 抓包（用 icmp 过滤），分析每个发送包的 TTL 是如何进行改变的，从而理解路由追踪原理。

问题

数据长度=总长度-头部长度。有总长度和数据长度才知道数据从哪里开始，方便提取数据。

在IPv6中，路由器会直接把大数据包给扔掉。

64-50=14跳。
或者
128-50=78跳。

传输层

实作一 熟悉 TCP 和 UDP 段结构

1. 用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段。
   

2. 用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等。

实作二 分析 TCP 建立和释放连接

1. 打开浏览器访问 任一 网站，用 Wireshark 抓包（可用 tcp 过滤后再使用加上 Follow TCP
   Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间使得能够捕获释放连接的包。

2. 请在你捕获的包中找到三次握手建立连接的包，并说明为何它们是用于建立连接的，有什么特征。

第一次握手：客户端发送的TCP报文中以[SYN]作为标志位，Seq=0
第二次握手：服务器返回的TCP报文中以[SYN，ACK]作为标志位，Seq=0，Ack=1
第三次握手：客户端再向服务器端发送的TCP报文中以[ACK]作为标志位，Seq=1，Ack=1

3. 请在你捕获的包中找到四次挥手释放连接的包，并说明为何它们是用于释放连接的，有什么特征。

没有找到第四次挥手。
第一次挥手：客户端发送的FIN请求释放连接报文以[FIN，ACK]作为标志位，Seq=2；Ack=224
第二次挥手”服务器端继续返回的FIN同意释放连接报文以[FIN，ACK]作为标志位，Seq=74；Ack=3
第三次挥手”客户端发出的ACK确认接收报文以[ACK]作为标志位，Seq=3；Ack=75

问题

源端口来表示发送终端的某个应用程序，目的端口来表示接收终端的某个应用程序。端口号就是来标识终端的应用程序，实现应用程序之间的通信。

问题一
建立多个连接，可以实现多个用户一起访问，而且当其中本来的连接意外断了可以不用重新再连接。
问题二
因为第二次、第三次连接可以合并，当只出现三次挥手时可能就是二、三次合并了

应用层

应用层的协议非常的多，我们只对 DNS 和 HTTP 进行相关的分析。

实作一 了解 DNS 解析

1. 先使用 ipconfig /flushdns 命令清除缓存，再使用 nslookup qige.io 命令进行解析，同时用 Wireshark 任意抓包（可用 dns 过滤）。
2. 你应该可以看到当前计算机使用 UDP，向默认的 DNS 服务器的 53 号端口发出了查询请求，而 DNS 服务器的 53 号端口返回了结果。
3. 可了解一下 DNS 查询和应答的相关字段的含义

实作二 了解 HTTP 的请求和应答

1. 打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获。

2. 请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义。

3. 请在你捕获的包中找到 HTTP 应答包，查看应答的代码是什么，如：200, 304, 404等。并仔细了解应答的头部有哪些字段及其意义。

200 OK 一切正常，对GET和POST请求的应答文档跟在后面。
404 Not Found 无法找到指定位置的资源。
304 服务端已经执行了GET，但文件未变化

问题

因为同一个站点可以有多个计算机同时运行。
服务器对于第一次连接已经有了缓存，因此浏览器第二次发送请求的时候，服务器会回复浏览器上次请求的资源现在在缓存里，服务器根据浏览器传来的时间发现和当前请求资源的修改时间一致，应答304。