通信网络基础抓包作业答案讲解
网络协议数据获取与TCP/IP协议分析
一、实验环境介绍
网络接入方式：校园网宽带接入，IP获取方式：DHCP；
操作系统为windows7旗舰版；
本机MAC地址为5c:f9:dd:70:6a:89，IP地址为10.104.5.53。
图1 网络状态截图
二、实验步骤
1. 启动wireshark；
2. 启动一个网页浏览器，并键入一个URL地址，如：https://www.sodocs.net/doc/7a6402937.html,。注
意此时不要按下回车键；
3. 清除电脑中的DNS缓存，启动wireshark，开始抓包；
4. 在浏览期网页位置按下回车键，开始访问指定的网页。
5. 一旦网页内容下载完毕，立即停止Microsoft Network Monitor抓包，并将抓到的数据包存入文件中，同时将显示的网页存储下来，以便后面参考。
三、实验过程
使用wireshark前清除DNS缓存截图如下。
图2 清除DNS缓存
抓取协议如下图所示：
图3 抓取协议
四、协议分析
1. 抓取的协议类型
检查在Microsoft Network Monitor顶端窗口的协议一列，确认你已经抓到了DNS、TCP和HTTP数据包。
答：由图3可看出抓到了DNS、TCP、HTTP数据包。
2. 以太网帧，IP分组和UDP数据报
(1) 检查客户端发出的第一个DNS分组
a.确定客户端的以太网地址和IP地址
答：如图4，客户端的MAC地址为5c:f9:dd:70:6a:89；
IPv4地址为：10.104.5.53。
b.以太网帧结构的TYPE字段是什么内容？
答：如图所示，以太网帧结构的TYPE字段为：0x0800，表示该帧是IP协议。
c.目的以太网地址和目的IP地址分别是什么？这些地址对应哪些计算机？解释这些结果与你连接到Internet 的计算机有关系。
答：目的以太网地址：00: 0f:e2:d7:ef:f9，目的IP地址：10. 0. 0.10
对应的计算机：以太网地址对应要访问的https://www.sodocs.net/doc/7a6402937.html,的源地址，IP地址是本地局域网域名服务器的IP地址。因为我们访问网络时用的是域名，只有经过域名服务器经过域名解析得到要访问的网络IP地址，才能进行交换数据。不同的局域网的域名服务器IP地址不同。
图4 dns分组
（2）检查客户端发出的第一个DNS分组的IP报头
a 包头的长度是多少？分组的总长度是多少？
b 确定协议类型字段。载荷数据中协议的编号和类型是什么？
图5 IP报头
答：报头的长度是20 bytes，分组的总长度是60bytes。
协议类型字段如图所示0x11，协议编号为17，类型为UDP。
3). 检查客户端发出的第一个DNS分组的UDP报头
a. 确定客户端临时端口号和服务器端的默认端口号。载荷数据中应用层协议的类型是什么？
b. 确定UDP报头中的长度字段是否与IP报头长度信息一致。
图6 UDP报头
由图6知，客户端临时端口号为62063，服务器端的默认端口号为53。
UDP报头中的长度字段为40bytes，根据40+20(IP报头长度)=60(IP分组总长度)，故UDP报头中的长度字段与IP报头长度信息一致。
4) 画出客户端和服务器端从数据链路层到应用层的协议栈，并解释为什么各层的PDU内容能够使得应用层的进程之间实现端到端通信。
图7 客户端和服务器端从数据链路层到应用层的协议栈实现各层的PDU内容能够使得应用层的进程之间实现端到端通信的原因是网络分层，每一层都会为从上一层接收到的信息块添加一个报头和报尾。在目标端，每一层都读出与其对应的头部，并决定采取何种操作，将数据头部和尾部去掉，最终将数据块提交给上一层。
3.DNS
1)检查客户端发送的DNS分组中的DNS查询报文
a)哪个字段表明这个报文是DNS查询还是响应？
b)查询的正文中传送什么信息？
c)查询的交互ID是什么？
d)确定查询的类型与级别的字段
图8 DNS报文
a 查询正文中flags第一位为0，表明此DNS分组为查询报文。
b type A表示查询是由域名查找IP地址；Class:Internet(0x1)是指Internet数据；Name指要查询域名。
c 查询的交互ID是0x64FC。
d 类型字段Type：A(0x1)，级别字段Class：Internet(0x1)。
2)现在检查对上述查询的DNS响应的分组
a)这个分组中的以太网地址和IP地址应当是什么？检验这些地址是正确的
b)传送DNS响应的IP分组和UDP数据报的大小是多少？是否比查询的长？
c)确定在响应报文中的交互ID是正确的。
d)在响应报文中提供了多少个答案？比较这些答案及其TTL值。
图9 DNS报文
a 目的以太网地址：00: 0f:e2:d7:ef:f9，目的IP地址：10. 0. 0.10，显然是正确的。
b IP分组的长度124bytes，UDP数据报大小是104bytes，要比查询的长。
c 响应报文中的交互ID是0x64FC，与查询的交互ID相同。