Wireshark实验

wireshark

数据链路层

实作一 熟悉 Ethernet 帧结构

wireshark把8字节的前序和4字节的FCS都给过滤了。因为有时校验和会由网卡计算，这时wireshark抓到的本机发送的数据包的校验和都是错误的，所以默认关闭了WireShark自己的校验，就不会出现校验字段。

实作二 了解子网内/外通信时的 MAC 地址

网关是一个网络通向其他网络的IP地址，访问非本子网的计算机时，网关通过ARP映射MAC，所以目的MAC是网关的

实作三 掌握 ARP 解析过程

访问本子网的IP，可以通过在本子网内广播获得相应的MAC，访问非子网的IP，需要得到网关的MAC，由网关到达路由器，路由器不会广播的，子网外部通过IP地址发送。

网络层

实作一 熟悉 IP 包结构

为提高效率，我们应该让 IP 的头部尽可能的精简。但在如此珍贵的 IP 头部你会发现既有头部长度字段，也有总长度字段。请问为什么？

答：这样能帮助传输时的识别IP总长度，提高传输效率。

实作二 IP 包的分段与重组

分段与重组是一个耗费资源的操作，特别是当分段由传送路径上的节点即路由器来完成的时候，所以 IPv6 已经不允许分段了。那么 IPv6 中，如果路由器遇到了一个大数据包该怎么办？
答：转发到支持该数据传输的路由上或者丢弃。

实作三 考察 TTL 事件

在 IPv4 中，TTL 虽然定义为生命期即 Time To Live，但现实中我们都以跳数/节点数进行设置。如果你收到一个包，其 TTL 的值为 50，那么可以推断这个包从源点到你之间有多少跳？
答：14跳。

传输层

实作一 熟悉 TCP 和 UDP 段结构

由上大家可以看到 UDP 的头部比 TCP 简单得多，但两者都有源和目的端口号。请问源和目的端口号用来干什么？
答：源端口就是指本地端口，目的端口就是远程端口。源端口就是本机程序用来发送数据的端口，目的端口就是对方主机用哪个端口接收。

实作二 分析 TCP 建立和释放连接

第三次握手：
由结果可得，第一次握手时，客户端发送tcp头部SYN标志位为1，客户端序号为0，第二次握手时，服务器返回SYN标志位为1，确认号ACK为1，为客户端序号加1，并且服务器序号为0，第三次握手时，客户端发送确认号ACK为1。

第一次挥手：客户端发送一个 FIN 报文，报文中会指定一个序列号。此时客户端处于 FIN_WAIT1 状态。

即发出连接释放报文段（FIN=1，序号seq=u），并停止再发送数据，主动关闭TCP连接，进入FIN_WAIT1（终止等待1）状态，等待服务端的确认。

第二次挥手：服务端收到 FIN 之后，会发送 ACK 报文，且把客户端的序列号值 +1 作为 ACK报文的序列号值，表明已经收到客户端的报文了，此时服务端处于 CLOSE_WAIT 状态。

即服务端收到连接释放报文段后即发出确认报文段（ACK=1，确认号ack=u+1，序号seq=v），服务端进入CLOSE_WAIT（关闭等待）状态，此时的TCP处于半关闭状态，客户端到服务端的连接释放。客户端收到服务端的确认后，进入FIN_WAIT2（终止等待2）状态，等待服务端发出的连接释放报文段。

第三次挥手：如果服务端也想断开连接了，和客户端的第一次挥手一样，发给 FIN 报文，且指定一个序列号。此时服务端处于 LAST_ACK的状态

即服务端没有要向客户端发出的数据，服务端发出连接释放报文段（FIN=1，ACK=1，序号seq=w，确认号ack=u+1），服务端进入LAST_ACK（最后确认）状态，等待客户端的确认。

第四次挥手：客户端收到 FIN 之后，一样发送一个 ACK 报文作为应答，且把服务端的序列号值 +1 作为自己 ACK报文的序列号值，此时客户端处于TIME_WAIT 状态。需要过一阵子以确保服务端收到自己的 ACK 报文之后才会进入 CLOSED状态，服务端收到 ACK 报文之后，就处于关闭连接了，处于 CLOSED 状态。

问题一
去掉 Follow TCP Stream，即不跟踪一个 TCP 流，你可能会看到访问 qige.io 时我们建立的连接有多个。请思考为什么会有多个连接？作用是什么？
答:建立多个连接主要是浏览器为了优化打开网页的速度，会同时打开多个端口去访问同一个网页，打开多个端口同时接收数据，吧接收到的数据进行整合，这样就可以使得我们在浏览网页的时候感觉到很流畅.

问题二
我们上面提到了释放连接需要四次挥手，有时你可能会抓到只有三次挥手。原因是什么？
答；三次握手是因为在释放连接的时候，有一次返回的时候ACK=1确认释放连接的时候，同一个报文中FIN=1，即同时发出的释放连接的请求。

应用层

实作一

应用层的协议非常的多，我们只对 DNS 和 HTTP 进行相关的分析。
实作一 了解 DNS 解析
先使用 ipconfig /flushdns 命令清除缓存，再使用 nslookup qige.io 命令进行析，同时用 Wireshark 任意抓包（可用 dns 过滤）。
问题：
你可能会发现对同一个站点，我们发出的 DNS 解析请求不止一个，思考一下是什么原因？
答：将负载均衡的工作交给DNS，省去了网站管理维护负载均衡服务器的麻烦。对于部署在服务器上的应用来说不需要进行任何的代码修改即可实现不同机器上的应用访问。

实作二

1.打开浏览器访问 qige.io 网站，用 Wireshark 抓包（可用http 过滤再加上 Follow TCP Stream），不要立即停止 Wireshark 捕获，待页面显示完毕后再多等一段时间以将释放连接的包捕获。

2.请在你捕获的包中找到 HTTP 请求包，查看请求使用的什么命令，如：GET, POST。并仔细了解请求的头部有哪些字段及其意义。
Accept:告诉WEB服务器自己接受什么介质类型
Content-Type:WEB 服务器告诉浏览器自己响应的对象的类型
Content-Length:WEB 服务器告诉浏览器自己响应的对象的长度
Cache-Control:用来指示缓存系统（服务器上的，或者浏览器上的）应该怎样
处理缓存
Host:客户端指定自己想访问的WEB服务器的域名/IP 地址和端口号
POST:请求的方式，其中包括URI和版本

该应答包的应答代码为200，表示OK
头部字段的意义：
Server：服务器通过这个头告诉浏览器服务器的类型
Transfer-Encoding：告诉浏览器数据的传送格式
Date：当前的GMT时间
Content- Type：表示后面的文档属于什么MIME类型
Cache-Control：指定请求和响应遵循的缓存机制
问题
刷新一次 qige.io 网站的页面同时进行抓包，你会发现不少的 304 代码的应答，这是所请求的对象没有更改的意思，让浏览器使用本地缓存的内容即可。那么服务器为什么会回答 304 应答而不是常见的 200 应答？
答;服务器根据浏览器传来的时间对比发现和当前请求资源的修改时间一致，就应答304，表示不传应答体了，从之前的缓存里取。

标签：实作,ACK,报文,实验,Wireshark,FIN,服务端,客户端
来源： https://blog.csdn.net/qq_45802327/article/details/122285438