Wireshark 抓包分析计算机网络各层协议

分析：上图为我任意抓取的一个包，可以看见Ethernet帧结构中的源MAC、目的MAC、类型等等信息。校验和会由网卡计算，这时，wireshark抓到的本机发送的数据包和校验和都是错误的，所以默认关闭了wireshark自己的校验和，所以可以看见字段中没有校验字段。

ping 你旁边的计算机（同一子网），同时用Wireshark 抓这些包（可使用 icmp 关键字进行过滤以利于分析），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？

然后 ping qige.io （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址是多少？这个 MAC 地址是谁的？

再次 ping www.cqjtu.edu.cn （或者本子网外的主机都可以），同时用 Wireshark 抓这些包（可 icmp 过滤），记录一下发出帧的目的 MAC 地址以及返回帧的源 MAC 地址又是多少？这个 MAC 地址又是谁的？ 分析：可以发现Ping子网外的主机不能ping成功，在包中以太网帧格式中很容易找到源MAC和目的MAC

分析:上图是一个IP包头部的信息，版本为IPV4、头部长度20字节（5行）、原地址和目的地址等信息

在 IP 包头中有一个 TTL 字段用来限定该包可以在 Internet上传输多少跳（hops），一般该值设置为 64、128等。

在验证性实验部分我们使用了 tracert 命令进行路由追踪。其原理是主动设置 IP 包的 TTL 值，从 1 开始逐渐增加，直至到达最终目的主机。

请使用 tracert www.baidu.com命令进行追踪，此时使用 Wireshark 抓包（用 icmp 过滤），分析每个发送包的 TTL 是如何进行改变的，从而理解路由追踪原理

分析：IP 包的 TTL 值从 1 开始逐渐增加，直至到达最终目的主机，可以看见中间进过了11个路由器节点，当成功到达主机后主机会响应表示达到该主机

用 Wireshark 任意抓包（可用 tcp 过滤），熟悉 TCP 段的结构，如：源端口、目的端口、序列号、确认号、各种标志位等字段

用 Wireshark 任意抓包（可用 udp 过滤），熟悉 UDP 段的结构，如：源端口、目的端口、长度等

打开浏览器访问 qige.io网站，用 Wireshark 抓包（可用 tcp 过滤后再使用加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间使得能够捕获释放连接的包。

请在你捕获的包中找到三次握手建立连接的包，并说明为何它们是用于建立连接的，有什么特征。

请在你捕获的包中找到四次挥手释放连接的包，并说明为何它们是用于释放连接的，有什么特征

分析：在找到三次连接之后，要等一会在停止捕获， 否则可能我们的连接还没释放，抓不到连接释放的包。

1.QR：查询/应答标志。0表示这是一个查询报文，1表示这是一个应答报文 2.opcode，定义查询和应答的类型。0表示标准查询，1表示反向查询（由IP地址获得主机域名），2表示请求服务器状态 3.AA，授权应答标志，仅由应答报文使用。1表示域名服务器是授权服务器 4.TC，截断标志，仅当DNS报文使用UDP服务时使用。因为UDP数据报有长度限制，所以过长的DNS报文将被截断。1表示DNS报文超过512字节，并被截断 5.RD，递归查询标志。1表示执行递归查询，即如果目标DNS服务器无法解析某个主机名，则它将向其他DNS服务器继续查询，如此递归，直到获得结果并把该结果返回给客户端。0表示执行迭代查询，即如果目标DNS服务器无法解析某个主机名，则它将自己知道的其他DNS服务器的IP地址返回给客户端，以供客户端参考 6.RA，允许递归标志。仅由应答报文使用，1表示DNS服务器支持递归查询 7.zero，这3位未用，必须设置为0 8.rcode，4位返回码，表示应答的状态。常用值有0（无错误）和3（域名不存在）

-常见HTTP 应答包，查看应答的代码是什么，如：200, 304, 404

200 - 服务器成功返回网页 304(未修改)自从上次请求后，请求的网页未修改过 404 - 请求的网页不存在 500(服务器内部错误)服务器遇到错误，无法完成请求

[1]计算机网络实验教程-棋歌教学网