网络层协议介绍

一、 IP数据包格式

1.1. 网络层的功能

1）定义了基于IP协议的逻辑地址

2）连接不同的媒介类型

3）选择数据通过网络的最佳路径

1.2. IP数据包格式及IP字段

IP字段∶

版本（Version） ∶该字段包含的是 IP的版本号，4bit。目前 IP的版木为 4（即 IPv4）。

首部长度（Header Length） ∶该字段用于表示IP数据包头长度，4bit。IP数据包头最短为20字节，但是其长度是可变的，具体长度取决于可选项字段的长度。

优先级与服务类型（Priority&Type of Service） ∶该字段用于表示数据包的优先级和服务类型，8bit。通过在数据包中划分一定的优先级，用于实现QoS（服务质量）的要求。

总长度(Total Length) ∶该字段用以指示整个 IP数据包的长度，16bit。最长为65535字节，包括包头和数据。

标识符（Identification） ：该字段用干表示IP数据包的标识符，16bit。当IP对上层数据进行分片时，它将给所有的分片分配同一组编号，然后将这些编号放入标识符字段中，保证分片不会被错误地重组。

标志（Flags） ∶标志字段，3bit。对当前的包不能进行分片（当该包从一个以太网发送到另一个以太网时），或当一个包被分片后用以指示在一系列的分片中，最后一个分片是否已发出。

段偏移量（Fragment Offset） ∶该字段用于表示段偏移量，13bit。段偏移量中包含的信息是指在一个分片序列中如何将各分片重新连接起来。

TTL（Time to Live） ：该字段用于表示IP数据包的生存周期，8bit。一个数据包每经过一不路由器，TTL将减去1，当TTL值为0时，该数据包将被丢弃。可以防止一个数据包在网络中无限循环地转发下去。

协议号（Protocol） ∶协议字段，8bit。该字段用以指示在 IP数据包中封装的是哪一个协议，是 TCP还是 UDP，TCP的协议号为6，UDP的协议号为17。

首部校验和（Header Checksum） ∶该字段用于表示校验和，16bit。接收方和网关用来校验数据有没有被改动过。

源 IP 地址（Source IP Address） ∶该字段用于表示数据包的源地址，32bit。

目标 IP地址（Destination IP Address） ∶该字段用于表示数据包的目的地址，32bit。

可选项（Options） ∶可选项字段根据实际情况可变长，可以和IP一起使用的选项有多个。例如，可以输入创建该数据包的时间等。在可选项之后，就是上层数据。

二、 ICMP协议（Internet控制报文协议）

1. ICMP协议的功能

■ICMP是一个"错误侦测与回馈机制"

■通过IP数据包封装的

■用来发送错误和控制消息

2. ICMP协议的封装

ICMP属于网络层协议（也有高于网络层协议的说法），因为传输ICMP信息时，要先封装网络层的IP报头，再交给数据链路层，即ICMP报文对应IP层的数据，如下图所示。

3. ICMP的基本使用

在检查网络连通性时，ping命令是用的最多的。当我们ping一台主机时，本地计算机发出的就是一个典型的ICMP数据包，用来测试两台主机能否顺利连通。ping命令能够检测两台设备之间的双向连通性，即数据包能够到达对端，并能够返回。

windows系统中ping命令常用选项∶（默认ping4个包）

-t 参数会一直不停的执行ping

-a 参数可以显示主机名称排

-l参数可以设定ping包的大小（小写L）

-n 指定发送包的个数

-S 指定源IP去ping

在Linux系统下为∶

-s 参数可以设定ping包的大小

-c 指定发送包的个数

-I 指定源IP去ping（大写i）

跟踪路由路径命令∶

WIN∶tracert IP/域名

Linux∶traceroute IP/域名

小结：

1）IP数据包的格式

2）ICMP的作用

3）ping命令的使用方法

三、广播、广播域以及ARP协议

1. 广播与广播域

2. ARP协议

2.1. ARP概述

在局域网中，交换机通过MAC地址进行通信，要获得目的主机的MAC地址就需要使用ARP协议将目的IP地址解析成目的MAC地址。所以，ARP（Address Resolution Protocol，地址解析协议）的基本功能是负责将一个已知的IP地址解析成MAC地址，以便在交换机上通过MAC地址进行通信。

2.2. ARP的原理

如上图：

1. PC1想发送数据给PC2，会先检查自己的ARP缓存表。

2. 如果发现要查找的MAC地址不在表中，就会发送一个ARP请求广播，用于发现目的地的 MAC地址。

ARP请求消息中包括PC1的IP地址和MAC地址以及PC2的IP地址和目的MAC地址（此时为广播MAC地址FF-FF-FF-FF-FF-FF）。

3. 交换机收到广播后做泛洪处理，除主机1外所有主机收到ARP请求消息，PC2以单播方式发送ARP应答，并在自己的ARP表中缓存PC1的IP地址和 MAC 地址的对应关系，而其他主机则丢弃这个ARP请求消息。

4. PC1在自己的 ARP表中添加 PC2的 IP地址和 MAC地址的对应关系，以单播方式与PC2通信。

2.3. ARP的相关命令

2.3.1 windows系统中ARP命令∶

arp -a 查看ARP缓存

arp -d [IP] 清除ARP缓存

arp -s IP MAC ARP静态绑定

如提示ARP项添加失败，解决方案∶

a、用管理员模式∶电脑左下角"开始"按钮右键，点击"Windows PowerShell（管理员）（A）"或者进入C盘windows\system32文件夹找到cmd.exe，右键"以管理员身份运行"再执行arp -s命令

b、（1）netsh interface ipv4 show neighbors 或者netsh i i show in<查看网卡接口序号/Idx>

（2）netsh interface ipv4 set neighbors <接口序号>

解除静态绑定

netsh -c i i delete neighbors ‘Idx’

动态学习到的ARP的老化时间是120s，并且静态绑定的ARP条目在计算机关机或重启后会消失。

2.3.2 华为系统中的ARP命令

[Huawei]dis mac-address 查看mac 地址信息

[Huawei]arp static 绑定ARP

[Huawei]undo arp static 解绑定

< Huawei > reset arp all 清除mac地址表

2.4 ARP攻击与ARP欺骗的原理

一般情况下，ARP攻击的主要目的是使网络无法正常通信，主要包括以下两种攻击行为：

1)攻击主机制造假的ARP应答，并发送给局域网中除被攻击主机之外的所有主机。ARP应答中包含被攻击主机的IP地址和虚假的MAC地址。

2)攻击主机制造假的 ARP应答，并发送给被攻击主机。ARP应答中包含除被攻击主机之外的所有主机的IP地址和虚假的MAC地址。

执行上述 ARP攻击行为中的任一种，就可以实现被攻击主机和其他主机无法通信，如下图所示。例如，如果希望被攻击主机无法访问互联网，就需要向网关发送或向被攻击主机发送虚假的ARP应答。当网关接收到虚假的ARP应答更新 ARP条目后，网关再发送数据给PC1时，就会发送到虚假的MAC地址，从而导致通信故障的发生。

ARP攻击原理：

ARP欺骗原理：

一般情况下，ARP欺骗并不会使网络无法正常通信，而是通过冒充网关或其他主机使到达网关或主机的流量通过攻击主机进行转发。通过转发流量可以对流量进行控制和查看，从而可以控制流量或得到机密信息。

ARP欺骗发送ARP应答给局域网中其他主机，其中包含网关的IP地址和进行ARP欺骗的主机MAC地址;并且也发送ARP应答给网关，其中包含局域网中所有主机的IP地址和进行 ARP欺骗的主机MAC地址（有的软件只发送ARP应答给局域网中的其他主机，并不发送ARP应答欺骗网关）。当局域网中主机和网关收到ARP应答更新 ARP表后，主机和网关之间的流量就需要通过攻击主机进行转发，如下图图1所示。冒充主机的过程和冒充网关相同，如下图图2所示。