利用Ethereal分析ARP协议

利用Ethereal分析ARP协议实验目的： 本实验利用Ethereal捕获发生在ping过 程中的ARP报文，加强对ARP协议的理解， 掌握ARP报文格式，掌握ARP请求报文和应 答报文的区别。

利用Ethereal分析ARP协议ARP回顾 利用Ethereal捕获分组示例

在捕获分组中分析ARP协议

What’s ARP?当一台主机把以太网数据帧发送到位于同一局域网 上的另一台主机时，是根据48bit的以太网地址来确 定目的接口的.设备驱动程序从不检查IP数据报中的 目的IP地址。地址解析为这两种不同的地址形式提 供映射：32bit的IP地址和数据链路层使用的任何类 型的地址。 ARP为IP地址到对应的硬件地址之间提供动态映射。 我们之所以用动态这个词是因为这个过程是自动完 成的，一般应用程序用户或系统管理员不必关心。

返回

用于以太网的ARP请求或应答分组格式

地址解析协议： 地址解析协议：ARP和RARP 协议 和返回

Ping过程中的ARP应用假设我们的计算机IP地址是192.168.1.1,要执行这个命令： ping192.168.1.2。该命令会通过ICMP协议发送ICMP数据包。该过程 需要经过下面的步骤： 1、应用程序构造数据包，该示例是产生ICMP包，被提交给内核(网 络驱动程序) 2、内核检查是否能够转化该IP地址为MAC地址，也就是在本地的ARP 缓存中查看IP-MAC对应表 3、如果存在该IP-MAC对应关系，那么跳到步骤9;如果不存在该IPMAC对应关系，那么接续下面的步骤 4、内核进行ARP广播，目的地的MAC地址是FF-FF-FF-FF-FF-FF, ARP命令类型为REQUEST(1),其中包含有自己的MAC地址 5、当192.168.1.2主机接收到该ARP请求后，就发送一个ARP的 REPLY(2)命令，其中包含自己的MAC地址 6、本地获得192.168.1.2主机的IP-MAC地址对应关系，并保存到ARP 缓存中 7、内核将把IP转化为MAC地址，然后封装在以太网头结构中，再把数 据发送出去返回

从头到尾观察一个跟踪记录步骤1 启动Ethereal 步骤2 对Capture Options各个选项设置 步骤3 点击Start按钮开始捕获,出现Capture from…对话框 步骤4 点击Capture from… 对话框中Stop按钮结束捕获 步骤5 得到捕获记录 步骤6 利用Analyze菜单分析记录

返回

观察一个跟踪记录 步骤1:启动Ethereal

桌面双击图标

,启动Ethereal 返回

观察一个跟踪记录 步骤2:对Capture Options各个选项设置

Interface:以太网接口 混杂模式下捕获分组 没有指定捕获规则 没有指定捕获文件 没有指定实时更新分组 Name Resolution全部选择

返回

观察一个跟踪记录 步骤3:点击Start按钮开始捕获分组,出现 Capture from…对话框

返回

观察一个跟踪记录 步骤4:点击Capture from… 对话框中Stop按钮 结束捕获

结束 捕获

返回

观察一个跟踪记录 步骤5:得到捕获记录

从IP:192.168

.1.188到http://www.77cn.com.cn(202.120.1.155)的捕获

返回

列表框

协议层框(协议框)

协议框显示所选分组的各层协议细节:物理层帧,以太网帧及其首部,IP协议 数据报及其首部,UDP数据报及其首部,HTTP等协议细节

原始框

原始框显示了分组中包含的数据的每个字节.从中可以观察最原始的传输数据. 方框左边是十六进制的数据,右边是ASCII码

返回

观察一个跟踪记录 步骤6:利用Analyze菜单分析记录

利用Summary观察跟踪记录的统计该要,包括通信的总字节数, 通信的频率,分组的大小等统计数据

观察一个跟踪记录 步骤6:利用Analyze菜单分析记录

利用Protocol Hierarchy Statistics(协议层次统计)观察各个协议的统计 返回