计算机网络 实验报告
年级： 姓名： 学号：
实验日期： 2012年10月9号 实验名称： 利用wireshark分析ICMP协议
一、实验目的
分析ICMP协议
二、实验环境
与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。
三、协议简介
ICMP全称Internet Control Message Protocol，中文名为因特网控制报文协议。它工作在OSI的网络层，向数据通讯中的源主机报告错误。ICMP可以实现故障隔离和故障恢复。 网络本身是不可靠的，在网络传输过程中，可能会发生许多突发事件并导致数据传输失败。网络层的IP协议是一个无连接的协议，它不会处理网络层传输中的故障，而位于网络层的ICMP协议却恰好弥补了IP的缺限，它使用IP协议进行信息传递，向数据包中的源端节点提供发生在网络层的错误信息反馈。 ICMP的报头长8字节，结构如图1所示。
比特0 7 8 15 16 比特31
类型（0或8） 代码（0） 为使用 数据 （图1 ICMP报头结构）
类型：标识生成的错误报文，它是ICMP报文中的第一个字段；
代码：进一步地限定生成ICMP报文。该字段用来查找产生错误的原因； 校验和：存储了ICMP所使用的校验和值。 未使用：保留字段，供将来使用，起值设为0
数据：包含了所有接受到的数据报的IP报头。还包含IP数据报中前8个字节的数据；
检验和 ICMP协议提供的诊断报文类型如表1所示。
类型 描述 0 3 4 5 8 9 10 11 12 13 14 15 16 17 18 回应应答（Ping应答，与类型8的Ping请求一起使用） 目的不可达 源消亡 重定向 回应请求（Ping请求，与类型8的Ping应答一起使用） 路由器公告（与类型10一起使用） 路由器请求（与类型9一起使用） 超时 参数问题 时标请求（与类型14一起使用） 时标应答（与类型13一起使用） 信息请求（与类型16一起使用） 信息应答（与类型15一起使用） 地址掩码请求（与类型18一起使用） 地址掩码应答（与类型17一起使用） （表1 ICMP诊断报文类型）
ICMP提供多种类型的消息为源端节点提供网络层的故障信息反馈，它的报文类型可以归纳为以下5个大类：
诊断报文（类型8，代码0；类型0，代码0）； 目的不可达报文（类型3，代码0-15）； 重定向报文（类型5，代码0-4）； 超时报文（类型11，代码0-1）； 信息报文（类型12-18）。
Ping 命令只有在安装了 TCP/IP 协议之后才可以使用，其命令格式如下： ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS] [-r count] [-s count] [[-j host-list] | [-k host-list]] [-w timeout] target_name 这里对实验中可能用到的参数解释如下：
-t ：用户所在主机不断向目标主机发送回送请求报文 ，直到用户中断；
-n count： 指定要 Ping 多少次，具体次数由后面的 count 来指定 ，缺省值为 4； -l size： 指定发送到目标主机的数据包的大小 ，默认为 32 字节，最大值是 65,527； -w timeout：指定超时间隔，单位为毫秒； target_name：指定要 ping 的远程计算机。
Ping和traceroute命令都依赖于ICMP。ICMP可以看作是IP协议的伴随协议。ICMP报文被封装在IP 数据报发送。
一些ICMP报文会请求信息。例如：在ping中，一个ICMP回应请求报文被发送给远程主机。如果对方主机存在，期望它们返回一个ICMP回应应答报文。
一些ICMP报文在网络层发生错误时发送。例如，有一种ICMP报文类型表示目的不可达。造
成不可达的原因很多，ICMP报文试图确定这一问题。例如，可能是主机关及或整个网络连接断开。 有时候，主机本身可能没有问题，但不能发送数据报。例如IP首部有个协议字段，它指明了什么协议应该处理IP数据报中的数据部分。IANA公布了代表协议的数字的列表。例如，如果该字段是6，代表TCP报文段,IP层就会把数据传给TCP层进行处理；如果该字段是1，则代表ICMP报文，IP层会将该数据传给ICMP处理。如果操作系统不支持到达数据报中协议字段的协议号，它将返回一个指明“协议不可达”的ICMP报文。IANA同样公布了ICMP报文类型的清单。
Traceroute是基于ICMP的灵活用法和IP首部的生存时间字段的。发送数据报时生存时间字段被初始化为能够穿越网络的最大跳数。每经过一个中间节点，该数字减1。当该字段为0时，保存该数据报的机器将不再转发它。相反，它将向源IP地址发送一个ICMP生存时间超时报文。
生存时间字段用于避免数据报载网络上无休止地传输下去。数据报的发送路径是由中间路由器决定的。通过与其他路由器交换信息，路由器决定数据报的下一条路经。最好的“下一跳”经常由于网络环境的变化而动态改变。这可能导致路由器形成选路循环也会导致正确路径冲突。在路由循环中这种情况很可能发生。例如，路由器A认为数据报应该发送到路由器B，而路由器B又认为该数据报应该发送会路由器A，这是数据报便处于选路循环中。
生存时间字段长为8位，所以因特网路径的最大长度为28 -1即255跳。大多数源主机将该值初始化为更小的值（如128或64）。将生存时间字段设置过小可能会使数据报不能到达远程目的主机，而设置过大又可能导致处于无限循环的选路中。
Traceroute利用生存时间字段来映射因特网路径上的中间节点。为了让中间节点发送ICMP生存时间超时报文，从而暴露节点本身信息，可故意将生存时间字段设置为一个很小的书。具体来说，首先发送一个生存时间字段为1的数据报，收到ICMP超时报文，然后通过发送生存时间字段设置为2的数据报来重复上述过程，直到发送ICMP生存时间超时报文的机器是目的主机自身为止。 因为在分组交换网络中每个数据报时独立的，所以由traceroute发送的每个数据报的传送路径实际上互不相同。认识到这一点很重要。每个数据报沿着一条路经对中间节点进行取样，因此traceroute可能暗示一条主机间并不存在的连接。因特网路径经常变动。在不同的日子或一天的不同时间对同一个目的主机执行几次traceroute命令来探寻这种变动都会得到不同的结果。
为了体现Internet路由的有限可见性，许多网络都维护了一个traceroute服务器traceroute。Traceroute服务器将显示出从本地网到一个特定目的地执行traceroute的结果。分布于全球的traceroute服务器的相关信息可在http://www.traceroute.org上获得。 四、要求
1、结果分析与保存的数据一致，否则没有实验成绩
2、数据保存名称：
Icmp数据：
w09101-icmp.pcap(网络091班01号arp协议)
实验结果分析报告名称：实验四 利用Wireshark分析ICMP协议_w09101.doc
五、实验步骤
1、ICMP协议分析
步骤1：在 PC1 运行 Wireshark，开始截获报文，为了只截获和实验内容有关的报文，将 Wireshark 的 Captrue Filter 设置为“No Broadcast and no Multicast”；
步骤2：在 PC1 以 www.sina.com.cn为目标主机，在命令行窗口执行 Ping 命令，要求ping通10次；
Ping命令为： ping – n 10 www.sina.com.cn 将命令行窗口进行截图：
步骤3：停止截获报文，分析截获的结果，回答下列问题： 1） 将抓包结果进行截图（要求只显示ping的数据包）：
2） 截获的ICMP 报文有几种类型？分别是：两种类型 0和8
3）分析截获的 ICMP 报文，查看表 5.1 中要求的字段值，填入表中。只需要填写6个报文信息。
表 5.1 ICMP报文分析
报文号 315 316 318 319 323 324 源IP 10.30.28.12 60.215.128.246 10.30.28.12 60.215.128.246 10.30.28.12 60.215.128.246 目的IP 类型 60.215.128.246 10.30.28.12 60.215.128.246 10.30.28.12 60.215.128.246 10.30.28.12
8 0 8 0 8 0 报文格式 代码 0 0 0 0 0 0 标识 0x5a4c 0x2437 0x5a4d 0x2438 0x5a4e 0x2439 序列号 256/1 256/1 512/2 512/2 768/3 768/3 4）查看ping请求分组，ICMP的type是 8 和code是 0 并截图替换下图
5）查看相应得ICMP响应信息，ICMP的type是 0 和code是 0 并截图替换下图
6）若要只显示ICMP的echo响应数据包，显示过滤器的规则为 icmp.type==0 并根据过滤规则进行抓包截图
7）若要只显示ICMP的echo请求数据包，显示过滤器的规则为 icmp.type==8 并根据过滤规则进行抓包截图
2. ICMP和Traceroute
在Wireshark 下，用Traceroute程序俘获ICMP分组。Traceroute能够映射出通往特定的因特网主机途径的所有中间主机。
源端发送一串ICMP分组到目的端。发送的第一个分组时，TTL=1；发送第二个分组时，TTL=2，依次类推。路由器把经过它的每一个分组TTL字段值减1。当一个分组到达了路由器时的TTL字段为1时，路由器会发送一个ICMP错误分组（ICMP error packet）给源端。
步骤4：在 PC1 上运行 Wireshark 开始截获报文；
步骤5：在PC1上执行Tracert命令，如：Tracert www.sina.com.cn；将命令窗口进行截图。
图4：命令提示窗口显示Traceroute程序结果（替换截图）
设置显示过滤器为icmp，图5显示的是一个路由器返回的ICMP超时报告分组（ICMP error packet）。注意到ICMP超时报告分组中包括的信息比Ping ICMP中超时报告分组包含的信息多。
图5：一个扩展ICMP超时报告分组信息的Wireshark 窗口（替换截图）
步骤6：停止截获报文，分析截获的报文，回答下列问题：
1）截获了报文中哪几种 ICMP 报文？其类型码和代码各为多少？ ICMP报文类型 reply request Time-to-live exceeded 类型码（type） 0 8 11 代码（code） 0 0 0 2）在截获的报文中，超时报告报文的源地址分别是多少？
10.30.28.1 10.100.3.25 10.100.1.1 221.0.95.225 221.0.71.161 218.56.4.57 219.158.96.33 219.158.5.178 219.158.13.86 119.188.127.14 123.129.253.98 3)查看ICMP echo 分组 ，是否这个分组和前面使用 ping命令的ICMP echo 一样？对于TTL值有什么变化规律。
这个icmp发的echo是增长的而之前的是不变的
4)查看ICMP超时报告分组，它比ICMP echo 分组包括的信息多。对照ICMP协议，分析一下ICMP超时报告分组比ICMP echo 分组多包含的信息有哪些？
IP数据报的首部以及TCP或UDP协议的端口号
5）对于ICMP超时报告分组，找出与命令提示窗口截图中的第二跳路由器的接口IP地址为 10.100.3.25 ，在Wireshark抓包图中截图与第二跳路由器的接口IP地址对应的部分并截图。
6）同理，找出第四跳路由器的接口IP地址为 221.0.95.225 ，在Wireshark抓包图中截
图与第二跳路由器的接口IP地址对应的部分并截图。
举例如下，命令提示窗口截图：
其中，第二跳路由器的接口IP地址为 10.100.3.25 ，在Wireshark抓包图中截图与第二跳路由器的接口IP地址对应的部分并截图如下。
因篇幅问题不能全部显示，请点此查看更多更全内容