网络优化与故障检测课程：4.数据链路层分析

《网络优化与故障检测课程：4.数据链路层分析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络优化与故障检测--sniffer许兴鹍数据链路层分析广东交通职业技术学院计算机工程学院EthernetII帧结构发送适配器将IP分组封装在以太网帧中(或其他网络层协议分组)Preamble（前导）:用来同步，表示帧即将到来。7个字节，10101010；1个字节，10101010地址:6个字节,帧为某个LAN上的所有适配器接收，但只要地址不匹配就被丢弃。类型:2个字节说明其上层协议,大部分为IP（0x0800），arp是（0x0806），但其他协议也支持。IPX。。。CRC:4个字节，在接收端校验,如果出错，则将该帧丢弃。广东交通职业技术学院计算机工程学院EthernetII帧结构以太网帧头

2、是14字节、校验码FCS是4个字节在使用以太网时，最小的帧是64个字节，最大的帧是1518个字节。而1500个字节是帧的最大数据负载量。如果数据流太少，达不到最小帧长度要求，则填充0进去。广东交通职业技术学院计算机工程学院以太网帧为什么最小要64字节？以太网是无连接的，不可靠的服务，采用尽力传输的机制。以太网是不可靠的，这意味着它并不知道对方有没有收到自己发出的数据包，但如果他发出的数据包发生错误，他会进行重传。不建立连接可以提交效率，重传可以修正错误。以太网的重传是微秒级，而传输层的重传，如TCP的重传达到毫秒级，应用层的重传更达到秒级。以太网的错误主要是发生碰撞，碰撞是指两台机器同时监听到

3、网络是空闲的，同时发送数据，就会发生碰撞，碰撞对于以太网来说是正常的。A-------------------------------B广东交通职业技术学院计算机工程学院以太网帧为什么最小要64字节？假设A检测到网络是空闲的，开始发数据包，尽力传输，当数据包还没有到达B时，B也监测到网络是空闲的，开始发数据包，这时就会发生碰撞，B首先发现发生碰撞，开始发送碰撞信号所谓碰撞信号，就是连续的01010101或者10101010,十六进制就是55或AA。这个碰撞信号会返回到A，如果碰撞信号到达A时，A还没有发完这个数据包，A就知道这个数据包发生了错误，就会重传这个数据包。但如果碰撞信号会返回到A时，

4、数据包已经发完，则A不会重传这个数据包。【光速每秒300，000，000米（真空），电缆中的传播速度为231,000,000米每秒。】广东交通职业技术学院计算机工程学院以太网帧为什么最小要64字节？要保证以太网的重传，必须保证A收到碰撞信号的时候，数据包没有传完，要实现这一要求，A和B之间的距离很关键，也就是说信号在A和B之间传输的来回时间必须控制在一定范围之内。IEEE定义了这个标准，一个碰撞域内，最远的两台机器之间的round-triptime要小于512bittime.(来回时间小于512位时，所谓位时就是传输一个比特需要的时间）。一个碰撞域的直径。512个位时，也就是64字节的传输时间

5、，如果以太网数据包大于或等于64个字节，就能保证碰撞信号到达A的时候，数据包还没有传完。广东交通职业技术学院计算机工程学院ARP帧结构ARP和RARP使用相同的报头结构广东交通职业技术学院计算机工程学院ARP帧结构硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1；协议类型字段指明了发送方提供的高层协议类型，IP为0800（16进制）；硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；操作字段用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；广东交通职业技术学院计算机工程学院ARP

6、帧结构发送方的硬件地址（0-3字节）：源主机硬件地址的前3个字节；发送方的硬件地址（4-5字节）：源主机硬件地址的后3个字节；发送方IP（0-1字节）：源主机硬件地址的前2个字节；发送方IP（2-3字节）：源主机硬件地址的后2个字节；目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节；目的硬件地址（2-5字节）：目的主机硬件地址的后4个字节；目的IP（0-3字节）：目的主机的IP地址。广东交通职业技术学院计算机工程学院Sniffer解码分析1、摘要窗口详解2、详细解码窗口详解3、原始数据窗口详解广东交通职业技术学院计算机工程学院实验1、基本arp请求及应答实例分析pingarp–aarp

7、–darp–s2、手工构造arp欺骗包进行arp欺骗实例分析广东交通职业技术学院计算机工程学院ThankYou!广东交通职业技术学院计算机工程学院