ICMP
一.概述：
1. ICMP允许主机或路由报告差错情况和提供有关异常情况。ICMP是因特网的标准协议，但ICMP不是高层协议，而是IP层的协议。通常ICMP报文被IP层或更高层协议（TCP或UDP）使用。一些ICMP报文把差错报文返回给用户进程。
2. ICMP报文作为IP层数据报的数据，加上数据报的首部，组成数据报发送出去。
3. ICMP报文的种类有两种，即ICMP差错报告报文和ICMP询问报文。
二.ICMP报文的格式
1. 类型：占8位
2. 代码：占8位
3. 检验和：占16位
说明：ICMP所有报文的前4个字节都是一样的，但是剩下的其他字节则互不相同。
4. 其它字段都ICMP报文类型不同而不同。
1> ICMP报文的前4个字节是统一的格式，共有三个字段：即类型，代码和检验和。
2> 8位类型和8位代码字段一起决定了ICMP报文的类型。
类型8，代码0：表示回显请求(ping请求)。
类型0，代码0：表示回显应答(ping应答)
类型11，代码0：超时
3>16位的检验和字段：包括数据在内的整个ICMP数据包的检验和；其计算方法和IP头部检验和的计算方法一样的。
ICMP报文具体分为查询报文和差错报文(对ICMP差错报文有时需要做特殊处理，因此要对其进行区分。如：对ICMP差错报文进行响应时，永远不会生成另一份ICMP差错报文，否则会出现死循环)
三、ICMP差错报文(56字节)
1. ICMP差错报告报文共有5种
1> 终点不可达：终点不可达分为:网络不可达，主机不可达，协议不可达，端口不可达，需要分片但DF比特已置为1，以及源路由失败等六种情况，其代码字段分别置为0至5。当出现以上六种情况时就向源站发送终点不可达报文。
说明：
端口不可达：UDP的规则之一是：如果收到UDP数据报而且目的端口与某个正在使用的进程不相符，那么UDP返回一个ICMP不可达报文。
2> 源站抑制：当路由器或主机由于拥塞而丢弃数据报时，就向源站发送源站抑制报文，使源站知道应当将数据报的发送速率放慢。
3> 时间超过：当路由器收到生存时间为零的数据报时，除丢弃该数据报外，还要向源站发送时间超过报文。当目的站在预先规定的时间内不能收到一个数据报的全部数据报片时，就将已收到的数据报片都丢弃，并向源站发送时间超过报文。
4> 参数问题：当路由器或目的主机收到的数据报的首部中的字段的值不正确时，就丢弃该数据报，并向源站发送参数问题报文。
5> 改变路由（重定向）路由器将改变路由报文发送给主机，让主机知道下次应将数据报发送给另外的路由器。
说明:
以下几种情况都不会导致产生ICMP差错报文
1>ICMP差错报文（但是，ICMP查询报文可能会产生ICMP差错报文）
2>目的地址是广播地址或多播地址的IP数据报
3>作为链路层广播的数据报
4>不是IP分片的第一片
5>源地址不是单个主机的数据报。即源地址不能为零地址、环回地址、广播地址或多播地址。
这些规则是为了防止过去允许ICMP差错报文对广播分组响应所带来的广播风暴。
2.所有的ICMP差错报告报文中的数据字段都具有同样的格式。将收到的需要进行差错报告IP数据报的首部和数据字段的前8个字节提取出来，作为ICMP报文的数据字段。再加上响应的ICMP差错报告报文的前8个字节，就构成了ICMP差错报告报文。提取收到的数据报的数据字段的前8个字节是为了得到运输层的端口号（对于TCP和UDP）以及运输层报文的发送序号（对于TCP）。
注：一下情况不发送ICMP差错报告报文
三.ICMP询问报文（40字节）
1.ICMP询问报文有四种回送请求和回答，时间戳请求和回答，掩码地址请求和回答，以及路由器询问和通过。
1>ICMP回送请求报文是由主机或路由器向一个特定的目的主机发出的询问。收到此报文的机器必须给源主机发送ICMP回送应答报文。这种询问报文用来测试目的站是否可达以及了解其有关状态。
2>ICMP时间戳请求允许系统向另一个系统查询当前的时间。该ICMP报文的好处是它提供了毫秒级的分辨率，而利用其他方法从别的主机获取的时间只能提供秒级的分辨率。请求端填写发起时间，然后发送报文。应答系统收到请求报文时填写接收时间戳，在发送应答时填写发送时间戳。大多数的实现是把后面两个字段都设成相同的值。
3>主机使用ICMP地址掩码请求报文可向子网掩码服务器得到某个接口的地址掩码。系统广播它的ICMP请求报文。ICMP报文中的标识符和***字段由发送端任意选择设定，这些值在应答中将被返回，这样，发送端就可以把应答与请求进行匹配。
4>主机使用ICMP路由器询问和通过报文可了解连接在本网络上的路由器是否正常工作。主机将路由器询问报文进行广播（或多播）。收到询问报文的一个或几个路由器就使用路由器通过报文广播其路由选择信息
四.Ping程序
1.概述
1>Ping程序是为了测试另一台主机是否可达。该程序发送一份ICMP回显请求报文给主机，并等待返回ICMP回显应答。
2>Ping程序还能测出到这台主机的往返时间，以表明该主机离我们有多远。
2.我们将发送回显请求的ping程序为客户，而称被ping的主机为服务器。
3.ICMP回显请求和回显应答报文格式：
1>Unix系统在实现ping程序时把ICMP报文中的标识符字段置成发送进程的ID号。这样即使在同一台主机上同时运行了多个ping程序实例，ping程序也可以识别出返回的信息。
2>***从0开始，每发送一次新的回显请求就加1。ping程序打印出返回的每个分组的***，允许我们查看是否有分组丢失，失序或重复。.
3>ping程序通过在ICMP报文中存放发送请求的时间值来计算往返时间。当应答返回时，用当前时间减去存放在ICMP报文中的时间值，即是往返时间。
typedef struct _tagX_icmphdr
{
unsigned char i_type; //类型
unsigned char i_code; //代码
unsigned short i_cksum; //检验和
unsigned short i_id; //标识符
unsigned short i_seq; //***
unsigned long i_timestamp; //当前时间 =(unsigned long)::GetTickCount();
}XIcmpHeader;
各种ICMP报文的前32bits都是三个长度固定的字段：type类型字段(8位)、code代码字段(8位)、checksum校验和字段(16位)
8bits类型和8bits代码字段：一起决定了ICMP报文的类型。常见的有：
类型8、代码0：回射请求。
类型0、代码0：回射应答。
类型11、代码0：超时。
16bits校验和字段：包括数据在内的整个ICMP数据包的校验和，其计算方法和IP头部校验和的计算方法是一样的。
对于ICMP回射请求和应答报文来说，接下来是16bits标识符字段：用于标识本ICMP进程。
最后是16bits***字段：用于判断回射应答数据报。
ICMP报文包含在IP数据报中，属于IP的一个用户，IP头部就在ICMP报文的前面
一个ICMP报文包括IP头部（20字节）、ICMP头部（12字节）和ICMP报文
r> IP头部的Protocol值为1就说明这是一个ICMP报文
ICMP头部中的类型（Type）域用于说明ICMP报文的作用及格式
此外还有代码（Code）域用于详细说明某种ICMP报文的类型
所有数据都在ICMP头部后面。RFC定义了13种ICMP报文格式，具体如下：
类型代码 类型描述
0 响应应答（ECHO-REPLY）
3 不可到达
4 源抑制
5 重定向
8 响应请求（ECHO-REQUEST）
11 超时
12 参数失灵
13 时间戳请求
14 时间戳应答
15 信息请求（*已作废）
16 信息应答（*已作废）
17 地址掩码请求
18 地址掩码应答
其中代码为15、16的信息报文已经作废。
下面是几种常见的ICMP报文：
1.响应请求
我们日常使用最多的ping，就是响应请求（Type=8）和应答（Type=0），一台主机向一个节点发送一个Type=8的ICMP报文，如果途中没有异常（例如被路由器丢弃、目标不回应ICMP或传输失败），则目标返回Type=0的ICMP报文，说明这台主机存在，更详细的tracert通过计算ICMP报文通过的节点来确定主机与目标之间的网络距离。
2.目标不可到达、源抑制和超时报文
这三种报文的格式是一样的，目标不可到达报文（Type=3）在路由器或主机不能传递数据报时使用，例如我们要连接对方一个不存在的系统端口（端口号小于1024）时，将返回Type=3、Code=3的ICMP报文，它要告诉我们：“嘿，别连接了，我不在家的！”，常见的不可到达类型还有网络不可到达（Code=0）、主机不可到达（Code=1）、协议不可到达（Code=2）等。源抑制则充当一个控制流量的角色，它通知主机减少数据报流量，由于ICMP没有恢复传输的报文，所以只要停止该报文，主机就会逐渐恢复传输速率。最后，无连接方式网络的问题就是数据报会丢失，或者长时间在网络游荡而找不到目标，或者拥塞导致主机在规定时间内无法重组数据报分段，这时就要触发ICMP超时报文的产生。超时报文的代码域有两种取值：Code=0表示传输超时，Code=1表示重组分段超时。
3.时间戳r> 时间戳请求报文（Type=13）和时间戳应答报文（Type=14）用于测试两台主机之间数据报来回一次的传输时间。传输时，主机填充原始时间戳，接收方收到请求后填充接收时间戳后以Type=14的报文格式返回，发送方计算这个时间差。一些系统不响应这种报文。
--------------------------------种类-------------------------------------
ICMP报文格式
ICMP虽然是网络层的协议，但要将ICMP报文放入IP中发送。
ICMP报文的公共头标由1字节的类型（type）、1字节的
代码（code）和2字节的校验和（checksum）组成。
类型域和代码域用来标识各种ICMP报文。类型域表示ICMP报文的类型，目前已定义了14
种，从类型值来看ICMP报文可分为二大类。
第1 类是取值为1~127的差错报文，
第2类是取值128以上的是信息（informational）报文。
1不能到达信宿（Destination Unreachable）差错报文
2分组过大（Packet Too Big）差错报文
3超时（Time Exceeded）差错报文
4参数问题（Parameter Problem）差错报文
128返回请求（Echo Request）报文
129返回应答（Echo Reply）报文
130组成员查询（Group Membership Query）
131组成员报告（Group Membership Report）
132组成员结束（Group Membership Termination）
133路由器请求（Router Solicitation）
134路由器公告（Router Advertisement）
135邻机请求（Neighbor Solicitation）
136邻机公告（Neighbor Advertisement）
137 重定向（Redirect）
1. ICMP允许主机或路由报告差错情况和提供有关异常情况。ICMP是因特网的标准协议，但ICMP不是高层协议，而是IP层的协议。通常ICMP报文被IP层或更高层协议（TCP或UDP）使用。一些ICMP报文把差错报文返回给用户进程。
2. ICMP报文作为IP层数据报的数据，加上数据报的首部，组成数据报发送出去。
3. ICMP报文的种类有两种，即ICMP差错报告报文和ICMP询问报文。
二.ICMP报文的格式
1. 类型：占8位
2. 代码：占8位
3. 检验和：占16位
说明：ICMP所有报文的前4个字节都是一样的，但是剩下的其他字节则互不相同。
4. 其它字段都ICMP报文类型不同而不同。
1> ICMP报文的前4个字节是统一的格式，共有三个字段：即类型，代码和检验和。
2> 8位类型和8位代码字段一起决定了ICMP报文的类型。
类型8，代码0：表示回显请求(ping请求)。
类型0，代码0：表示回显应答(ping应答)
类型11，代码0：超时
3>16位的检验和字段：包括数据在内的整个ICMP数据包的检验和；其计算方法和IP头部检验和的计算方法一样的。
ICMP报文具体分为查询报文和差错报文(对ICMP差错报文有时需要做特殊处理，因此要对其进行区分。如：对ICMP差错报文进行响应时，永远不会生成另一份ICMP差错报文，否则会出现死循环)
三、ICMP差错报文(56字节)
1. ICMP差错报告报文共有5种
1> 终点不可达：终点不可达分为:网络不可达，主机不可达，协议不可达，端口不可达，需要分片但DF比特已置为1，以及源路由失败等六种情况，其代码字段分别置为0至5。当出现以上六种情况时就向源站发送终点不可达报文。
说明：
端口不可达：UDP的规则之一是：如果收到UDP数据报而且目的端口与某个正在使用的进程不相符，那么UDP返回一个ICMP不可达报文。
2> 源站抑制：当路由器或主机由于拥塞而丢弃数据报时，就向源站发送源站抑制报文，使源站知道应当将数据报的发送速率放慢。
3> 时间超过：当路由器收到生存时间为零的数据报时，除丢弃该数据报外，还要向源站发送时间超过报文。当目的站在预先规定的时间内不能收到一个数据报的全部数据报片时，就将已收到的数据报片都丢弃，并向源站发送时间超过报文。
4> 参数问题：当路由器或目的主机收到的数据报的首部中的字段的值不正确时，就丢弃该数据报，并向源站发送参数问题报文。
5> 改变路由（重定向）路由器将改变路由报文发送给主机，让主机知道下次应将数据报发送给另外的路由器。
说明:
以下几种情况都不会导致产生ICMP差错报文
1>ICMP差错报文（但是，ICMP查询报文可能会产生ICMP差错报文）
2>目的地址是广播地址或多播地址的IP数据报
3>作为链路层广播的数据报
4>不是IP分片的第一片
5>源地址不是单个主机的数据报。即源地址不能为零地址、环回地址、广播地址或多播地址。
这些规则是为了防止过去允许ICMP差错报文对广播分组响应所带来的广播风暴。
2.所有的ICMP差错报告报文中的数据字段都具有同样的格式。将收到的需要进行差错报告IP数据报的首部和数据字段的前8个字节提取出来，作为ICMP报文的数据字段。再加上响应的ICMP差错报告报文的前8个字节，就构成了ICMP差错报告报文。提取收到的数据报的数据字段的前8个字节是为了得到运输层的端口号（对于TCP和UDP）以及运输层报文的发送序号（对于TCP）。
注：一下情况不发送ICMP差错报告报文
三.ICMP询问报文（40字节）
1.ICMP询问报文有四种回送请求和回答，时间戳请求和回答，掩码地址请求和回答，以及路由器询问和通过。
1>ICMP回送请求报文是由主机或路由器向一个特定的目的主机发出的询问。收到此报文的机器必须给源主机发送ICMP回送应答报文。这种询问报文用来测试目的站是否可达以及了解其有关状态。
2>ICMP时间戳请求允许系统向另一个系统查询当前的时间。该ICMP报文的好处是它提供了毫秒级的分辨率，而利用其他方法从别的主机获取的时间只能提供秒级的分辨率。请求端填写发起时间，然后发送报文。应答系统收到请求报文时填写接收时间戳，在发送应答时填写发送时间戳。大多数的实现是把后面两个字段都设成相同的值。
3>主机使用ICMP地址掩码请求报文可向子网掩码服务器得到某个接口的地址掩码。系统广播它的ICMP请求报文。ICMP报文中的标识符和***字段由发送端任意选择设定，这些值在应答中将被返回，这样，发送端就可以把应答与请求进行匹配。
4>主机使用ICMP路由器询问和通过报文可了解连接在本网络上的路由器是否正常工作。主机将路由器询问报文进行广播（或多播）。收到询问报文的一个或几个路由器就使用路由器通过报文广播其路由选择信息
四.Ping程序
1.概述
1>Ping程序是为了测试另一台主机是否可达。该程序发送一份ICMP回显请求报文给主机，并等待返回ICMP回显应答。
2>Ping程序还能测出到这台主机的往返时间，以表明该主机离我们有多远。
2.我们将发送回显请求的ping程序为客户，而称被ping的主机为服务器。
3.ICMP回显请求和回显应答报文格式：
1>Unix系统在实现ping程序时把ICMP报文中的标识符字段置成发送进程的ID号。这样即使在同一台主机上同时运行了多个ping程序实例，ping程序也可以识别出返回的信息。
2>***从0开始，每发送一次新的回显请求就加1。ping程序打印出返回的每个分组的***，允许我们查看是否有分组丢失，失序或重复。.
3>ping程序通过在ICMP报文中存放发送请求的时间值来计算往返时间。当应答返回时，用当前时间减去存放在ICMP报文中的时间值，即是往返时间。
4>当返回ICMP回显应答时，要打印出***和TTL，并计算往返时间。TTL位于IP首部的生存时间字段。ping程序通过在ICMP报文数据段中存放发送请求的时间值来计算往返时间。当应答返回时，用当前时间减去存放在ICMP报文中的时间值，即是往返时间。
ICMP数据包结构
// ICMP headertypedef struct _tagX_icmphdr
{
unsigned char i_type; //类型
unsigned char i_code; //代码
unsigned short i_cksum; //检验和
unsigned short i_id; //标识符
unsigned short i_seq; //***
unsigned long i_timestamp; //当前时间 =(unsigned long)::GetTickCount();
}XIcmpHeader;
各种ICMP报文的前32bits都是三个长度固定的字段：type类型字段(8位)、code代码字段(8位)、checksum校验和字段(16位)
8bits类型和8bits代码字段：一起决定了ICMP报文的类型。常见的有：
类型8、代码0：回射请求。
类型0、代码0：回射应答。
类型11、代码0：超时。
16bits校验和字段：包括数据在内的整个ICMP数据包的校验和，其计算方法和IP头部校验和的计算方法是一样的。
对于ICMP回射请求和应答报文来说，接下来是16bits标识符字段：用于标识本ICMP进程。
最后是16bits***字段：用于判断回射应答数据报。
ICMP报文包含在IP数据报中，属于IP的一个用户，IP头部就在ICMP报文的前面
一个ICMP报文包括IP头部（20字节）、ICMP头部（12字节）和ICMP报文
r> IP头部的Protocol值为1就说明这是一个ICMP报文
ICMP头部中的类型（Type）域用于说明ICMP报文的作用及格式
此外还有代码（Code）域用于详细说明某种ICMP报文的类型
所有数据都在ICMP头部后面。RFC定义了13种ICMP报文格式，具体如下：
类型代码 类型描述
0 响应应答（ECHO-REPLY）
3 不可到达
4 源抑制
5 重定向
8 响应请求（ECHO-REQUEST）
11 超时
12 参数失灵
13 时间戳请求
14 时间戳应答
15 信息请求（*已作废）
16 信息应答（*已作废）
17 地址掩码请求
18 地址掩码应答
其中代码为15、16的信息报文已经作废。
下面是几种常见的ICMP报文：
1.响应请求
我们日常使用最多的ping，就是响应请求（Type=8）和应答（Type=0），一台主机向一个节点发送一个Type=8的ICMP报文，如果途中没有异常（例如被路由器丢弃、目标不回应ICMP或传输失败），则目标返回Type=0的ICMP报文，说明这台主机存在，更详细的tracert通过计算ICMP报文通过的节点来确定主机与目标之间的网络距离。
2.目标不可到达、源抑制和超时报文
这三种报文的格式是一样的，目标不可到达报文（Type=3）在路由器或主机不能传递数据报时使用，例如我们要连接对方一个不存在的系统端口（端口号小于1024）时，将返回Type=3、Code=3的ICMP报文，它要告诉我们：“嘿，别连接了，我不在家的！”，常见的不可到达类型还有网络不可到达（Code=0）、主机不可到达（Code=1）、协议不可到达（Code=2）等。源抑制则充当一个控制流量的角色，它通知主机减少数据报流量，由于ICMP没有恢复传输的报文，所以只要停止该报文，主机就会逐渐恢复传输速率。最后，无连接方式网络的问题就是数据报会丢失，或者长时间在网络游荡而找不到目标，或者拥塞导致主机在规定时间内无法重组数据报分段，这时就要触发ICMP超时报文的产生。超时报文的代码域有两种取值：Code=0表示传输超时，Code=1表示重组分段超时。
3.时间戳r> 时间戳请求报文（Type=13）和时间戳应答报文（Type=14）用于测试两台主机之间数据报来回一次的传输时间。传输时，主机填充原始时间戳，接收方收到请求后填充接收时间戳后以Type=14的报文格式返回，发送方计算这个时间差。一些系统不响应这种报文。
--------------------------------种类-------------------------------------
ICMP报文格式
ICMP虽然是网络层的协议，但要将ICMP报文放入IP中发送。
ICMP报文的公共头标由1字节的类型（type）、1字节的
代码（code）和2字节的校验和（checksum）组成。
类型域和代码域用来标识各种ICMP报文。类型域表示ICMP报文的类型，目前已定义了14
种，从类型值来看ICMP报文可分为二大类。
第1 类是取值为1~127的差错报文，
第2类是取值128以上的是信息（informational）报文。
1不能到达信宿（Destination Unreachable）差错报文
2分组过大（Packet Too Big）差错报文
3超时（Time Exceeded）差错报文
4参数问题（Parameter Problem）差错报文
128返回请求（Echo Request）报文
129返回应答（Echo Reply）报文
130组成员查询（Group Membership Query）
131组成员报告（Group Membership Report）
132组成员结束（Group Membership Termination）
133路由器请求（Router Solicitation）
134路由器公告（Router Advertisement）
135邻机请求（Neighbor Solicitation）
136邻机公告（Neighbor Advertisement）
137 重定向（Redirect）