实验yi：网络协议分析工具Wireshark的使用

2017-03-27

6359

,实验一：一、实验目的学习使用网络协议分析工具Wireshark 的方法，并用它来分析一些协议。二、实验原理和内容1、tcp/ip协议族中网络层传输层应用层相关重要协议原

实验一：

一、实验目的

学习使用网络协议分析工具Wireshark 的方法，并用它来分析一些协议。

二、实验原理和内容

1、tcp/ip协议族中网络层传输层应用层相关重要协议原理

2、网络协议分析工具Wireshark 的工作原理和基本使用规则

三、实验环境以及设备

Pc 机、双绞线

四、实验步骤（操作方法及思考题）

1. 用Wireshark 观察ARP 协议以及ping 命令的工作过程：（20分）

（1）用“ipconfig ”命令获得本机的MAC 地址和缺省路由器的IP 地址；

（2）用“arp ”命令清空本机的缓存；

（3）运行Wireshark ，开始捕获所有属于ARP 协议或ICMP 协议的，并且源或目的MAC 地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC 地址）;

（4）执行命令：“ping 缺省路由器的IP 地址” ；

写出（1），（2）中所执行的完整命令（包含命令行参数），（3）中需要设置的Wireshark 的Capture Filter 过滤规则，以及解释用Wireshark 所观察到的执行

（4）时网络上出现的现象。

--------------------------------------------------------------------------------

（1） ipconfig/all

（2） arp –d

（3） ( arp or icmp ) and ether host 18-03-73-BC-70-51,

ping 192.168.32.254 后的截包信息图片：

首先，通过ARP 找到所ping 机器的ip 地址，本机器发送一个广播包，在子网中查询192.168.32.254的MAC 地址，然后一个节点发送了响应该查询的ARP 分组，告知及其所查询的MAC 地址。接下来，本机器发送3个请求的ICMP 报文，目的地段回复了三个响应请求的应答ICMP 报文。在最后对请求主机对应的MAC 地址进行核查。

2. 用Wireshark 观察tracert 命令的工作过程：（20分）

（1）运行Wireshark , 开始捕获tracert 命令中用到的消息；

（2）执行“tracert -d www.dlut.edu.cn”

根据Wireshark 所观察到的现象思考并解释tracert 的工作原理。

-----------------------------------------------------------

实验室路由跟踪显示有6个路由器

TTL 指数据包还要经过的路由器数。tracert 命令可以用来跟踪一个报文从一台计算机到另一台计算机所走的路径。要在转发数据包上的TTL 之前至少递减1，必需路径上的每个路由器，所以TTL 是有效的跃点计数。数据包上的TTL 到达0时，路由器应该将“ICMP已超时”的消息发送回源系统。tracert 首先发送TTL 为1 的数据包，之后发送TTL 递加1的回显数据包，直到TTL 达到最大值，从而确定路由信息。图中显示了到202.118.66.66的五个路由的请求与恢复。

3. 用Wireshark 观察TCP 连接的建立过程和终止过程：（30分）

（1）启动Wireshark , 配置过滤规则为捕获所有源或目的是本机的Telnet 协议中的包（提示：Telnet 使用的传输层协议是TCP ，它使用TCP 端口号23）；

（2）在Windows 命令行窗口中执行命令 “telnet bbs.dlut.edu.cn”，登录后再退出。

请在实验报告中：

a. 写出步骤（1）中需要设置的Wireshark 的Capture Filter过滤规则； b. 根据Wireshark 所观察到的现象解释TCP 三次握手的连接建立过程； c. 根据Wireshark 所观察到的现象解释TCP 的连接终止过程；

d. 根据Wireshark 所观察到的现象说出是哪一方首先发起连接关闭；

--------------------------------------------------------------------------------

a. ether host 18-03-73-BC-70-51 and (tcp port 23)

b. TCP 三次握手的连接建立过程：

第一次握手：192.168.32.85向202.118.66.5发送了一个SYN = 0的报文后

进入SYN_SEND状态，等待服务器确认。

第二次握手：服务器收到SYN 包，ACK =1，同时发送SYN= 0的包，进

入SYN_RECV状态。

第三次握手：收到上部报文后，本地主机回复了ACK=1的确认报文段，

至此，链接建立。

c. TCP的连接终止过程：

第一次：本地主机向目的主机发送[FIN，ACK]报文，seq=16452,ack =

58,FIN =1,请求中断链接

第二次：目的主机发送[ACK]报文，ACK =16452 1，seq = 58回复收到第三次：目的主机发送[FIN，ACK]报文，FIN =1，seq =58,确认终止

第四次：本地主机发送[ACK]报文，对终止报文进行确认

d. 首先终止方：

由于目的主机首先发送FIN 为1的报文段，由此可知目的主机首先发

起链接的终止。

4. 用Wireshark 观察使用DNS 来进行域名解析的过程：（30分）

（1）在Windows 命令窗口中执行命令“nslookup ↙”，进入该命令的交互模式；

（2）启动Wireshark , 配置过滤规则为捕获所有源或目的是本机的DNS 协议中的包（提示：DNS 使用的传输层协议是UDP ，它使用UDP 端口号53）；

（3）在提示符“>”下直接键入域名www.dlut.edu.cn ，解析它所对应的IP 地址；

（4）在提示符“>”下键入命令“set type=mx”，设置查询类型为MX 记录;

（5）在提示符“>”下键入域名“tom.com ”, 解析它所对应的MX 记录；

（6）在提示符“>”下键入命令“set type=a”，恢复查询类型为A 记录;

（7）在提示符“>”下键入MX 记录的查询结果，从而查出“tom.com ”邮件服务器的IP 地址；

（8）在提示符“>”下键入“exit ”，退出nslookup 的交互模式。

请在实验报告中回答：

a. 写出步骤（2）中需要设置的Wireshark 的Capture Filter过滤规则； ether host 18-03-73-BC-70-51 and (udp port 53)

b. 解释解析域名“www.dlut.edu.cn ”所对应IP 地址的过程。

首先，发出对应ptr 请求，解析目的主机的IP 。之后对www .dlut.edu.cn.OurEDA.cn进行A 记录的查询请求，结果为无此域名。在最后向相关的DNS 服务器发送查询www.dlut. edu. Cn ，得到对应A 记录IP 202.118.66.66

c. 根据Wireshark 所观察到的现象解释解析域名“tom.com ”所对应MX 记录的过程。

本地主机的DNS 客户端发送了一个查询tom.com 且资源记录类型为MX 的DNS 查询报文。收到一个DNS 回答报文，告知其规范主机名为tommx.cdn163.net 。

d. “tom.com ”域有几个邮件服务器？它们的IP 地址分别是什么？

由上图易知，进行A 记录的查询后，得到一个IP ，为202.108.252.141

五、讨论、建议、质疑

相关推荐