1. Wireshark基础与网络协议解析
Wireshark作为网络分析领域的瑞士军刀,是每位网络工程师和安全研究员必备的工具。它能够捕获网络数据包并以直观的方式展示协议交互细节,帮助我们深入理解网络通信的本质。
1.1 ARP协议深度解析
ARP(Address Resolution Protocol)是局域网通信的基础协议,它的核心功能是将IP地址解析为MAC地址。在实际网络环境中,当主机A需要与主机B通信时,会先检查本地ARP缓存表。如果找不到对应条目,就会广播发送ARP请求包。
注意:ARP协议仅适用于IPv4网络,IPv6中使用的是NDP(邻居发现协议)
一个典型的ARP请求/响应过程如下:
- 请求方广播发送"Who has 192.168.1.100? Tell 192.168.1.1"
- 目标主机单播回复"192.168.1.100 is at 00:1a:2b:3c:4d:5e"
- 双方更新各自的ARP缓存表
在Wireshark中过滤ARP流量的方法:
bash复制arp || (arp.type == 1) || (arp.type == 2)
1.2 ICMP协议实战分析
ICMP(Internet Control Message Protocol)是网络诊断的重要工具,最典型的应用就是ping和traceroute命令。与ARP不同,ICMP可以跨网络工作,这使得它成为检测网络连通性的首选工具。
ICMP报文主要分为两类:
- 查询报文(Type 8/0:Echo Request/Reply)
- 错误报文(Type 3:Destination Unreachable等)
在Wireshark中分析ping过程时,你会看到典型的请求-响应模式:
bash复制No. Time Source Destination Protocol Info
1 0.000000 192.168.1.1 8.8.8.8 ICMP Echo request
2 0.015200 8.8.8.8 192.168.1.1 ICMP Echo reply
实操技
