1、利用Ethereal分析ARP協議w實驗目的： 本實驗利用Ethereal捕獲發生在ping過程中的ARP報文，加強對ARP協議的理解，掌握ARP報文格式，掌握ARP請求報文和應答報文的區別。利用Ethereal分析ARP協議wARP回顧w利用Ethereal捕獲分組示例w在捕獲分組中分析ARP協議Whats ARP?w當一臺主機把以太網數據幀發送到位于同一局域網上的另一臺主機時，是根據48bit的以太網地址來確定目的接口的.設備驅動程序從不檢查IP數據報中的目的IP地址。地址解析為這兩種不同的地址形式提供映射：32bit的IP地址和數據鏈路層使用的任何類型的地址。w ARP為IP地址到對應的

2、硬件地址之間提供動態映射。我們之所以用動態這個詞是因為這個過程是自動完成的，一般應用程序用戶或系統管理員不必關心。 返回地址解析地址解析協議協議：ARP和和RARP 返回用于以太網的ARP請求或應答分組格式假設我們的計算機IP地址是，要執行這個命令：ping。該命令會通過ICMP協議發送ICMP數據包。該過程需要經過下面的步驟： 1、應用程序構造數據包，該示例是產生ICMP包，被提交給內核（網絡驅動程序） 2、內核檢查是否能夠轉化該IP地址為MAC地址，也就是在本地的ARP緩存中查看IP-MAC對應表 3、如果存在該IP-MAC對應關系，那么跳到步驟

3、9；如果不存在該IP-MAC對應關系，那么接續下面的步驟4、內核進行ARP廣播，目的地的MAC地址是FF-FF-FF-FF-FF-FF，ARP命令類型為REQUEST（1），其中包含有自己的MAC地址5、當主機接收到該ARP請求后，就發送一個ARP的REPLY（2）命令，其中包含自己的MAC地址 6、本地獲得主機的IP-MAC地址對應關系，并保存到ARP緩存中 7、內核將把IP轉化為MAC地址，然后封裝在以太網頭結構中，再把數據發送出去Ping過程中的ARP應用返回從頭到尾觀察一個跟蹤記錄w步驟1 啟動Etherealw步驟2 對Capture Op

4、tions各個選項設置w步驟3 點擊Start按鈕開始捕獲,出現Capture from對話框w步驟4 點擊Capture from 對話框中Stop按鈕結束捕獲w步驟5 得到捕獲記錄w步驟6 利用Analyze菜單分析記錄返回觀察一個跟蹤記錄步驟1:啟動Ethereal桌面雙擊圖標 ,啟動Ethereal返回觀察一個跟蹤記錄步驟2:對Capture Options各個選項設置Interface:以太網接口混雜模式下捕獲分組沒有指定捕獲規則沒有指定捕獲文件沒有指定實時更新分組Name Resolution全部選擇返回觀察一個跟蹤記錄步驟3:點擊Start按鈕開始捕獲分組,出現Capture f

5、rom對話框返回觀察一個跟蹤記錄步驟4:點擊Capture from 對話框中Stop按鈕結束捕獲結束捕獲返回觀察一個跟蹤記錄步驟5:得到捕獲記錄從IP:88到(55)的捕獲返回列表框協議層框(協議框)協議框顯示所選分組的各層協議細節:物理層幀,以太網幀及其首部,IP協議數據報及其首部,UDP數據報及其首部,HTTP等協議細節原始框原始框顯示了分組中包含的數據的每個字節.從中可以觀察最原始的傳輸數據.方框左邊是十六進制的數據,右邊是ASCII碼返回觀察一個跟蹤記錄步驟6:利用Analyze菜單分析記錄利用Summary觀察跟蹤記錄的統計該要,包括通信

6、的總字節數,通信的頻率,分組的大小等統計數據觀察一個跟蹤記錄步驟6:利用Analyze菜單分析記錄利用Protocol Hierarchy Statistics(協議層次統計)觀察各個協議的統計返回分析一次Ping過程中的ARP分組 我們準備ping統一局域網內IP為 02的主機步驟:w查看并清空本地ARP高速緩存w執行Ping 02,并捕獲分組w分析ARP分組返回查看ARP高速緩存并清空查看本地ARP高速緩存中是否有 02主機的IP-MAC地址對應關系執行ping并捕獲分組捕獲過程中Capture from Br中ICMP和A

7、RP報文分別為8個和2個 捕獲后Ethereal面板顯示分析ARP請求報文報文一ARP 請求報文分析ARP請求報文w由于02為局域網內IP并且本地主機ARP高速緩存無對應IP-MAC表項,故廣播之.w對應于前面ARP請求分組格式,可以看到報文一為ARP請求報文,w以太網目的地址為廣播地址(ff:ff:ff:ff:ff:ff),w幀類型為ARP(0 x0806),w操作字段op為ARP請求(0 x0001)w對照分組格式可以觀察其他部分分析ARP響應報文報文2 ARP響應報文分析ARP響應報文w02主機接收到該ARP請求后，就發送一個ARP的REPLY命令，其中包含自己的MAC地址 w對應于前面ARP請求分組格式,可以看到報文一為ARP應答報文,w以太網目的地址為19