实验一：网络协议分析工具Wireshark的使用

一、实验目的

学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。

二、实验原理和内容

1、tcp/ip协议族中网络层传输层应用层相关重要协议原理

2、网络协议分析工具Wireshark的工作原理和基本使用规则

三、实验环境以及设备

    Pc机、双绞线

四、实验步骤（操作方法及思考题）

1.      用Wireshark观察ARP协议以及ping命令的工作过程：（20分）

（1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；

（2）用“arp”命令清空本机的缓存；

（3）运行Wireshark，开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）;

（4）执行命令：“ping   缺省路由器的IP地址” ；

写出（1），（2）中所执行的完整命令（包含命令行参数），（3）中需要设置的Wireshark的Capture Filter过滤规则，以及解释用Wireshark所观察到的执行（4）时网络上出现的现象。

（1）    ipconfig/all

（2）    arp –d         arp –a

（3）    ether host F0:4D:A2:24:84:D6 and(icmp or arp)

（4）    ping 192.168.32.254

如上图，为所截得的包，包里1、2、11、12都是arp报文，先用arp –d命令清空ARP缓存。通过广播来找到目的主机的mac地址。3~10个icmp包是ping命令下的4个request和reply报文。

2.  用Wireshark观察tracert命令的工作过程：（20分）

（1）  运行Wireshark, 开始捕获tracert命令中用到的消息；

（2）  执行“tracert -d www.dlut.edu.cn”

根据Wireshark所观察到的现象思考并解释tracert的工作原理。

Tracert先发送TTL为1的回应数据包，并在随后的每次发送过程将 TTL递增1，直到目标响应或 TTL 达到最大值，从而确定路由。通过检查中间路由器发回的“ICMP 已超时”的消息确定路由。

3.  用Wireshark观察TCP连接的建立过程和终止过程：（30分）

（1）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的Telnet协议中的包（提示：Telnet使用的传输层协议是TCP，它使用TCP端口号23）；

（2）在Windows命令行窗口中执行命令 “telnet bbs.dlut.edu.cn”，登录后再退出。

请在实验报告中：

a.       写出步骤（1）中需要设置的Wireshark的Capture Filter过滤规则；

b.      根据Wireshark所观察到的现象解释TCP三次握手的连接建立过程；

c.       根据Wireshark所观察到的现象解释TCP的连接终止过程；

d.      根据Wireshark所观察到的现象说出是哪一方首先发起连接关闭；

1:tcp port 23

2:

1)客户端向服务端提出连接请求。这时TCP SYN标志置位。客户端告诉服务端序列号区域合法，需要检查。客户端在TCP报头的序列号区中插入自己的ISN。服务端收到该TCP分段。

2)以自己的ISN回应(SYN标志置位)，同时确认收到客户端的第一个TCP分段。

3)在第三步中，客户端确认收到服务端的ISN(ACK标志置位)。

（1）：实验主机向目的主机发送一个FIN段置1，序列号为44793。

（2）：目的主机向实验主机发送标志位ACK（1）的TCP段。应答号位44794。

（3）：目的主机没有再实验主机传输的数据了，则向实验主机发送一个FIN段，序列号为174

（4）：实验主机向目的主机发送一个标志位ACK（1）的TCP段，应答号位175。

4、IP地址为202.118.66.5的网站首先发起连接关闭。

4.  用Wireshark观察使用DNS来进行域名解析的过程：（30分）

（1）在Windows命令窗口中执行命令“nslookup↙”，进入该命令的交互模式；

（2）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的DNS协议中的包（提示：DNS使用的传输层协议是UDP，它使用UDP端口号53）；

（3）在提示符“>”下直接键入域名www.dlut.edu.cn，解析它所对应的IP地址；

（4）在提示符“>”下键入命令“set type=mx”，设置查询类型为MX记录;

（5）在提示符“>”下键入域名“tom.com”,解析它所对应的MX记录；

（6）在提示符“>”下键入命令“set type=a”，恢复查询类型为A记录;

（7）在提示符“>”下键入MX记录的查询结果，从而查出“tom.com”邮件服务器的IP地址；

（8）在提示符“>”下键入“exit”，退出nslookup的交互模式。

请在实验报告中回答：

a.       写出步骤（2）中需要设置的Wireshark的Capture Filter过滤规则；

答：Udp dst port 53

b.       根据Wireshark所观察到的现象解释解析域名“www.dlut.edu.cn”所对应IP地址的过程。

答：输入nslookup 命令后，出现了默认服务器的IP地址。然后输入www.dlut.edu.cn，实验主机向默认服务器发送DNS报文，请求www.dlut.edu.cn的IP地址。然后默认服务器将含有目的域名对应的IP地址等信息，发送给实验主机。得到了主机的回复。

c.       根据Wireshark所观察到的现象解释解析域名“tom.com”所对应MX记录的过程。

答：当设置MX的查询方式后，服务器会提供邮件服务的名称以及IP地址给主机。Tommx.cdn.163.net是tom.com的MX信息。

d.“tom.com”域有几个邮件服务器？它们的IP地址分别是什么？

第二篇：网络协议分析工具Wireshark的使用

大连理工大学实验报告

实验一：网络协议分析工具Wireshark的使用

一、实验目的

学习使用网络协议分析工具Wireshark的方法，并用它来分析一些协议。

二、实验原理和内容

1、tcp/ip协议族中网络层传输层应用层相关重要协议原理

2、网络协议分析工具Wireshark的工作原理和基本使用规则

三、实验环境以及设备

    Pc机、双绞线

四、实验步骤（操作方法及思考题）

1.      用Wireshark观察ARP协议以及ping命令的工作过程：

（1）用“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；

（2）用“arp”命令清空本机的缓存；

（3）运行Wireshark，开始捕获所有属于ARP协议或ICMP协议的，并且源或目的MAC地址是本机的包（提示：在设置过滤规则时需要使用（1）中获得的本机的MAC地址）;

（4）执行命令：“ping   缺省路由器的IP地址” ；

写出（1），（2）中所执行的完整命令（包含命令行参数），（3）中需要设置的Wireshark的Capture Filter过滤规则，以及解释用Wireshark所观察到的执行（4）时网络上出现的现象。

打开命令行界面，在命令行中输入ipconfig –all获得本机的MAC地址：00:09:73:4B:8A:D7，缺省路由器大的IP地址：192.168.8.254；向命令行中输入命令arp –d清空本机的缓存；在Capture Filter中输入过滤规则：ether host 00:21:5D:1F:0A:C6 and arp or icmp；在命令行中输入命令ping 192.168.8.254,得Wireshark截包图：

如上图，共截到9个包。

2.  用Wireshark观察tracert命令的工作过程：

（1）  运行Wireshark, 开始捕获tracert命令中用到的消息；

（2）  执行“tracert -d www.dlut.edu.cn”

根据Wireshark所观察到的现象思考并解释tracert的工作原理。

在Capture Filter中输入过滤规则：icmp;在命令行中输入tracert –d www.dlut.edu.cn，开始捕获包，如下图所示

共捕获到39个报文段。Tracert使用ICMP报文来实现的。第一个数据包的TTL为1，第二个数据包的TTL为2第三个数据包的TTL为3，以此类推。根据ip协议规则，路由器将丢弃该数据报，并发回一个ICMP告警（11,0）报文给源主机。当该ICMP报文到达源主机时，源主机从定时器得到往返时延，从ICMP报文得到第n台路由器的名字和IP地址。

3.  用Wireshark观察TCP连接的建立过程和终止过程：

（1）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的Telnet协议中的包（提示：Telnet使用的传输层协议是TCP，它使用TCP端口号23）；

（2）在Windows命令行窗口中执行命令 “telnet bbs.dlut.edu.cn”，登录后再退出。

请在实验报告中：

a.       写出步骤（1）中需要设置的Wireshark的Capture Filter过滤规则；

b.      根据Wireshark所观察到的现象解释TCP三次握手的连接建立过程；

c.       根据Wireshark所观察到的现象解释TCP的连接终止过程；

d.      根据Wireshark所观察到的现象说出是哪一方首先发起连接关闭；

a.       Wireshark中的Capture Filter的过滤规则为：

host 192.168.8.102 and tcp port 23;而后在命令行中输入telnet bbs.dlut.edu.cn，进步bbs之后退出bbs。截到的包如下图：

b.三次握手连接建立过程：

第一步，源主机向目的主机发送包建立连接，置SYN=1；

第二步，若目的主机同意建立连接，则向源主机发送确认报文段，置SYN=1；

第三步，源主机向目的主机发送确认报文，置SYN=0，此时，连接已建立。

c.连接终止过程：

目的主机，即服务器向源主机发送一个特殊报文段，置FIN=1，而后源主机回发确认报文段；

源主机向目的主机发送终止连接报文段，置FIN=1，而后目的主机发送确认报文段，等待一段时间后终止连接。

4.  用Wireshark观察使用DNS来进行域名解析的过程：

（1）在Windows命令窗口中执行命令“nslookup↙”，进入该命令的交互模式；

（2）启动Wireshark, 配置过滤规则为捕获所有源或目的是本机的DNS协议中的包（提示：DNS使用的传输层协议是UDP，它使用UDP端口号53）；

（3）在提示符“>”下直接键入域名www.dlut.edu.cn，解析它所对应的IP地址；

（4）在提示符“>”下键入命令“set type=mx”，设置查询类型为MX记录;

（5）在提示符“>”下键入域名“tom.com”,解析它所对应的MX记录；

（6）在提示符“>”下键入命令“set type=a”，恢复查询类型为A记录;

（7）在提示符“>”下键入MX记录的查询结果，从而查出“tom.com”邮件服务器的IP地址；

（8）在提示符“>”下键入“exit”，退出nslookup的交互模式。

请在实验报告中回答：

a.       写出步骤（2）中需要设置的Wireshark的Capture Filter过滤规则；

b.       根据Wireshark所观察到的现象解释解析域名“www.dlut.edu.cn”所对应IP地址的过程。

c.       根据Wireshark所观察到的现象解释解析域名“tom.com”所对应MX记录的过程。

d.       “tom.com”域有几个邮件服务器？它们的IP地址分别是什么？

 Wireshark的Capture Filter过滤规则为：host 192.168.8.102 and udp port 53;截包如下图：

主机向DNS服务器发送DNS请求报文查询www.dlut.edu.cn的IP地址，目的主机向源主机返回查询结果 tommx.cdn.163.net

源主机向默认DNS服务器发送一个ＤＮＳ报文，查询类型为MXtom.com的邮件服务器。默认DNS服务器收到后返回邮件服务器域名。

一个，202.118.66.66

五、讨论、建议、质疑