网络协议分析复习要点

《网络协议分析》复习要点

1、以太网的帧长有什么限制？最小64b，最大1500b

MTU值是什么意思？MTU指定了网络中可传输数据包的最大尺寸,在我们常用的以太网中,MTU值最大1500字节。超过此大小的数据包就会将多余的部分拆分再单独传输。以太网的MTU值是多少？MTU值最大1500字节

以太网中最短帧是多少？64

成因？标准（10Mbps）以太网采用中继器时，连接的最大长度是2500米，最多经过4个中继器，因此规定对10Mbps以太网的最小发送时间是51.2微秒，这段时间能传输的数据是512位，512位=64字节。

以太网如何实现高效率？

硬件：先听后说，随机数解决冲突

软件：无超时机制，只校验不确认，帧头的简单性

什么是透明传输？透明传输是指不管所传数据是什么样的比特组合，都应当能够在链路上传送。

HDLC采用什么透明传输方法？零比特填充法

2、ARP的功能？将IP地址解析为物理地址

ARP工作的过程?(1)主机A首先查看自己的ARP表，找到了对应的MAC地址，则主机A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给主机B。（2）如果主机A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为主机A的IP地址和MAC地址，目标IP地址和目标MAC地址为主机B的IP地址和全0的MAC地址。由于ARP 请求报文以广播方式发送，该网段上的所有主机都可以接收到该请求，但只有被请求的主机（即主机B）会对该请求进行处理。(3)主机B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端（即主机A）的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给主机A，其中包含了自己的MAC地址。(4)主机A收到ARP响应报文后，将主机B的MAC地址加入到自己的ARP表中以用于后续报文的转发,同时将IP数据包进行封装后发送出去。

ARP表的维护使用函数arptimer()，定时删除，动态获取。

ARP表的特点？一次查询，多次使用，定时删除，动态获取。

ARP请求报文和ARP回应报文的格式（特别是MAC地址、IP地址）。

?硬件类型：占两字节，表示ARP报文可以在哪种类型的网络上传输，值为1时表示为以太网地址。

?上层协议类型：占两字节，表示硬件地址要映射的协议地址类型，映射IP地址时的值为0x0800。

?MAC地址长度：占一字节，标识MAC地址长度，以字节为单位，此处为6。

?IP协议地址长度：占一字节，标识IP得知长度，以字节为单位，此处为4。

?操作类型：占2字节，指定本次ARP报文类型。1标识ARP请求报文，2标识ARP应答报文。

?源MAC地址：占6字节，标识发送设备的硬件地址。

?源IP地址：占4字节，标识发送方设备的IP地址。

?目的MAC地址：占6字节，表示接收方设备的硬件地址，在请求报文中该字段值全为0，即00-00-00-00-00-00，表示任意地址，因为现在不知道这个MAC地址。

?目的IP地址：占4字节，表示接受方的IP地址。

ARP报文不是直接在网络层上发送的，它还是需要向下传输到数据链路层，ARP报文前面加了一个以太网帧头。

ARP有什么安全问题？ARP报文处理算法无条件的将一个看似合法的记录加入到缓冲区中，这种做法是十分危险的，网络攻击者可以构造看似合法的ARP请求报文，进行ARP 欺骗攻击。

广播查询的广播，单播查询的单播是否都是必要的？不是必要的，其实可以使用单播的方式把数据包发送给所有端口，也可以达到目的。同样的，单播查询可以改成利用广播的方式令目标检测接收。

广播（broadcasting）是多点投递的最普遍的形式，它向每一个目的站投递一个分组的拷贝。单播（unicasting）是指只有一个目的地的数据报传递。

3、IP的功能？它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来

屏蔽物理地址的差异。路由和安装数据包。

IP地址：IP地址是IP协议提供的一种统一的地址格式。是一个32位的二进制数，通常被分割为4个“8位二进制数”（也就是4个字节）。IP地址通常用“点分十进制”表示成（a.b.c.d）的形式。

网络地址、是互联网上的节点在网络中具有的逻辑地址，可对节点进行寻址

掩码。是一串二进制代码对目标字段进行位与运算，屏蔽当前的输入位。

IP数据报首部格式、

IP数据报是指IP层端到端的传输单元（在分片之前和重新组装之后）。

长度占4位

各字段意义

版本：指IP协议的版本。IP协议版本号为4(即IPv4)，IP协议版本号为6(即IPv6)。首部长度：指首部的长度，最大十进制数值是15。在TCP/IP的标准中，各种数据格式常以32位（4字节）为单位进行描述，就达到最大值60个字节。最常用的首部长度就是20个字节，是固定首部的长度。

区分服务：用来获得更好的服务

总长度：首部和数据之和的长度

标识当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就会被复制到所有的数据报片的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。

标志标志字段中的最低位记为MF(1)MF=1即表示后面“还有分片”的数据报。

(2)MF=0即表示这已是若干数据报片中的最后一个。

片偏移较长的分钟再分片后，某片在原分组中的相对位置。

生存时间数据报在网络中的寿命

协议指出此数据报携带的数据是使用何种协议，让目的主机的IP层知道应将数据部分上交给哪个处理过程。

首部检验和只检验数据报的首部

哪些字段在经过每一个路由器时会发生变化，生存时间（TTL）、首部校验和。每经过一路由器，TTL值减一；首部校验和是根据首部生成的，TTL字段变化，首部校验和随之也要变化。

IP数据报分片和重组。

把一个数据报为了适合网络传输而分成多个数据报的过程称为分片，被分片后的各个IP数据报可能经过不同的路径到达目标主机。

当分了片的IP数据报到达最终目标主机时，目标主机对各分片进行组装，恢复成源主机发送时的IP数据报，这个过程叫做IP数据报的重组。

TCP分段和IP分片的不同？IP分片产生的原因是网络层的MTU；TCP分段产生原因是MSS （最大报文段）. IP分片由网络层完成，也在网络层进行重组；TCP分段是在传输层完成，并在传输层进行重组. //透明性（MSS<=MTU）IP分片的数据报来说，即使只丢失一片数据也要重新传整个数据报（既然有重传，说明运输层使用的是具有重传功能的协议，如TCP协议）。这是因为IP层本身没有超时重传机制------由更高层（比如TCP）来负责超时和重传。当来自TCP报文段的某一段（在IP数据报的某一片中）丢失后，TCP在超时后会重发整个TCP报文段。

从IP的相关数据结构和IP工作流程中分析IP的高效率怎么体现？

1）在校验上，只针对报头

2）在封装上，报头只用20个字节+选项，轻装上阵

3）使用路由表，一次生成多次使用，便于查找

作为网络互连，IP和网桥处理帧的不同。

网桥：强行转换帧结构。 IP：先拆掉再重新封装成目的主机可接受帧结构

4、ICMP的功能？

在主机与路由器之间传递控制信息

ICMP差错报告报文的分类和功能。

共有五种差错报告报文：1.目的不可达。（找不到或不能交付）2.源站抑制。（缓冲区溢出）3.时间超过。（TTL=0 ，分片不能重组或时间超过报文的应用）4.参数问题。

5.改变路由

5、Ping工具的功能，验证与一台或多台远程计算机的连接。Ping 工具主要用于检测网

络的连通性

Ping的思想：向特定的目的主机发送 ICMP（Internet Control Message Protocol 因特网报文控制协议）Echo 请求报文，测试目的站是否可达及了解其有关状态TracertRout的功能，实现的基本思想？跟踪数据包到达目的地址的每一跳信息，原理：先发送TTL 为 1 的回应数据包，并随后的每次发送过程将TTL 递增1，直到目标响应或TTL 达到最大值，从而确定路由。常用tracert 命令确定数据包在网络上的停止位置，也可用于检查网络中是否存在环路

UDP的功能？面向非连接、传输不可靠、用于传输少量数据(数据包模式)、速度快

TCP功能？tcp协议的主要功能是把传输的数据流，分割成适度长短的报文段，通过最大传送单元对最大传输段大小的显示，该限制需要在计算机的数据链路层中实现，把TCP 的数据包上传给IP层，然后再把数据包传送给TCP层。

TCP连接和释放。连接：三次握手

第一次握手：建立连接时，客户端发送syn包到服务器，等待服务器确认；

第二次握手：服务器收到syn包，必须确认客户的SYN，同时自己也发送一个SYN包（seq=k）；

第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ack=k+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

释放：四次挥手（客户到服务器2服务器到客户2）

（1）客户端A发送一个FIN，用来关闭客户A到服务器B的数据传送

（2）服务器B收到这个FIN，它发回一个ACK，确认序号为收到的序号加1。和SYN 一样，一个FIN将占用一个序号。

（3）服务器B关闭与客户端A的连接，发送一个FIN给客户端A。

（4）客户端A发回ACK报文确认，并将确认序号设置为收到序号加1

TCP连接中产生的安全问题。TCP连接的建立和断开涉及多个报文，多个状态之间的转换。很可能会让攻击者以此展开拒绝服务攻击。可能会被导致IP欺骗。给应用层协议带来隐患。

TCP中存在的差错控制。检验和、确认以及超时。

IP欺骗的过程。

（1）使被信任主机的网络暂时瘫痪，以免对攻击造成干扰。

（2）连接到目标机的某个端口来猜测ISN基值和增加规律。

（3）把源地址伪装成被信任主机，发送带有SYN标志的数据段请求连接。

（4）等待目标机发送SYN+ACK包给已经瘫痪的主机。

（5）再次伪装成被信任主机向目标主机发送ACK，此时发送的数据段带有预测的目的主机的ISN+1。

（6）连接建立，发送命令请求。

6、RIP协议的功能。

RIP协议是一种动态路由选择协议，用于自治系统内的路由信息的传递

RIP路由更新过程。（默认30秒）1.没有网络的路由表项就添加.2.有且来源端口相同就无条件信任更新.3.有来源端口不同就比较它们的度量值，将度量值较小的一个作为自己的路由表项；4. 来源端口相同度量值一样就保留

选路和转发的主要差异。选路：是根据路由表查找到达目标网络的最佳路由表项，转发:是根据最佳路由中的出口及下一跳IP转发数据包的过程。选路：1、选择最长掩码原则2、管理距离（由协议来决定）3.度量值最小（就是跳数小的）

路由功能以路由表为核心的好处。选择最合适的路由.节省时间和资源

路由功能:1.选择最合适的路由. 起到转发的作用2. 按照预定的规则把大的数据包分解成适当大小的数据包

7、DNS解释过程、

第一步：客户机提出域名解析请求,并将该请求发送给本地的域名服务器.

第二步：当本地的域名服务器收到请求后,就先查询本地的缓存,如果有该纪录项,则本地的域名服务器就直接把查询的结果返回.

第三步：如果本地的缓存中没有该纪录,则本地域名服务器就直接把请求发给根域名服务器,然后根域名服务器再返回给本地域名服务器一个所查询域(根的子域)的主域名服务器的地址.

第四步：本地服务器再向上一步返回的域名服务器发送请求,然后接受请求的服务器查询自己的缓存,如果没有该纪录,则返回相关的下级的域名服务器的地址.

第五步：重复第四步,直到找到正确的纪录.

第六步：本地域名服务器把返回的结果保存到缓存,以备下一次使用,同时还将结

果返回给客户机.

DHCP过程、1. 寻找DHCP服务器（第一次登录网络，以广播方式发送DHCP discover 发现信息来寻找DHCP服务器）2. 分配IP地址（DHCP服务器就会做出响应）3. 接受IP地址（DHCP客户端接以广播的方式回答一个DHCP request请求信息）4. IP地址分配确认（收到请求信息之后发送一个包含它的IP地址和其他设置的DHCP ack确认信息）5. 重新登录（每次重新登录网络时，直接发送包含前一次所分配的IP地址的DHCP request 请求信息，当DHCP服务器收到这一信息后，它会尝试让DHCP客户机继续使用原来的IP地址）6. 更新租约（一般都有一个租借期限，期满后DHCP服务器便会收回出租的IP 地址。如果DHCP客户机要延长其IP租约，则必须更新其IP租约。）

FTP过程、

1. 历TCP的三次握手来建立控制通道

2.建立数据通道

3.数据传输

HTTP过程，

1.HTTP客户端发起请求，创建端口。

2.HTTP服务器在端口监听客户端请求。

3.HTTP服务器向客户端返回状态和内容

过程中产生的各层的PDU。

应用层APDU（应用层协议数据单元）

传输层segment（报文段）

网络层packet （数据包）

数据链路层frame（数据帧）

物理层bit（比特）

10、网络概念：

（1）什么是广播帧？所有设备都能收到的帧就是广播帧。

广播帧对网络有什么影响？好：可以非常便携地给大量主机发送消息。坏：广播数据充斥网络无法处理，并占用大量网络带宽，导致正常业务不能运行，甚至彻底瘫痪。

为什么需要广播帧？不确定地址的时候需要广播达到目的

（2）冲突域、广播域，从不同角度分析（层次、设备、工作过程等）

冲突域：连接在同一导线上的所有工作站的集合，或者说是同一物理网段上所有节点的集合或以太网上竞争同一带宽的节点集合。冲突域被看作是OSI第一层的概念.设备: 连接同一冲突域的设备有Hub，Reperter或者其他进行简单复制信号的设备。也就是说，用Hub或者Repeater连接的所有节点可以被认为是在同一个冲突域内，它不会划分冲突域。而第二层设备（网桥，交换机）第三层设备（路由器）都可以划分冲突域的，当然也可以连接不同的冲突域。简单的说，可以将Repeater等看成是一根电缆，而将网桥等看成是一束电缆。

广播域：接收同样广播消息的节点的集合。第二层概念.设备所以像Hub，交换机等第一，第二层设备连接的节点被认为都是在同一个广播域。而路由器，第三层交换机则可以划分广播域，即可以连接不同的广播域。

11、什么是中断？软中断？硬中断？

(1) 硬中断

由与系统相连的外设(比如网卡、硬盘)自动产生的。主要是用来通知操作系统系统外设状态的变化。比如当网卡收到数据包的时候，就会发出一个中断。

我们通常所说的中断指的是硬中断(hardirq)。

(2) 软中断

软中断是利用硬件中断的概念，用软件方式进行模拟，实现宏观上的异步执行效果。

12、以太网工作流程与IP协议的契合。

目前以太网+TCP/IP已经成为IT行业中应用最普遍的技术。IP协议属于网络层协议，以太网协议（IEEE 802.3）主要针对数据链路层。IP协议实现数据在广域网上传输的可能性。以太网使用MAC帧格式彼此传递数据帧，利用CRC 提供了错误检测功能，实现局域网内的数据传输。

13、字节序转换的理解。大端模式、小端模式。

网络字节顺序是TCP/IP中规定好的一种数据表示格式，它与具体的CPU 类型、操作系统等无关，从而可以保证数据在不同主机之间传输时能够被正确解释。

小端模式(Little endian)：将低序字节存储在起始地址。最符合人的思维的字节序。地址低位存储值的低位，地址高位存储值的高位。

大端模式(Big endian)：将高序字节存储在起始地址。最直观的字节序。地址低位存储值的高位，地址高位存储值的低位。

14、编程：（1）字节序转换函数；（2）求给定的IP地址的网络掩码；（3）求给定IP地址的网络号;（4）判断IP分片是否连续；（5）求给定IP地址中比特1的个数;(6)判断指定IP地址的类型；(7)求IP、TCP报头长度、选项部分长度；（8）IP、TCP、UDP等各个字段的字段掩码，获取各个字段的值。

15、通过抓包分析网络问题。

网络流量分析故障、业务软件登录过程分析。

题型：

选择、判断、简答、分析、算法设计