第2章TCPIP协议V1.0_P.pptVIP

如图所示，使用交换机连接的局域网，安装捕包工具的计算机，只能捕获E计算机发送的数据包和接收的数据包。也能够捕获本网段计算机发送的广播包和多播包，不能捕获本网段中其他计算机之间的通信的数据包，除非配置了镜像端口（监视端口，这在交换章节中会讲到），不能捕获Office2之间计算机通信和访问Internet的通信数据包。 如图所示，如果想捕获Office1网段和Office2网段的计算机访问Internet的流量，将安装了捕包工具的计算机E放置到图示位置，能够捕获Office1和Office2访问Internet的流量，但不能捕获Office1和Office2的广播或多播。 ICMP是（Internet Control Message Protocol）Internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。 当遇到IP数据无法访问目标、IP路由器无法按当前的传输速率转发数据包等情况时，会自动返回相应的ICMP消息。 在计算机上检测网络层故障经常用到的ping和pathping命令就是使用ICMP协议。下面介绍ping和pathping的使用。 PING（Packet Internet Grope），因特网包探索器，用于测试网络连接量的程序。Ping发送一个ICMP回声请求消息给目的地并报告是否收到所希望的ICMP回声应答。 ping指的是端对端连通，通常用来作为可用性的检查， 但是某些病毒木马会强行大量远程执行ping命令抢占你的网络资源，导致系统变慢，网速变慢。 严禁ping入侵作为大多数防火墙的一个基本功能提供给用户进行选择。 如果你打开IE浏览器访问网站失败，你可以通过ping命令测试到Internet的网络连通，可以为你排除网络故障提供线索，下面展示ping命令返回的信息以及分析其原因。 使用ping能够判断网络通还是不通，比如请求超时，你就不能判断什么位置出现的网络故障造成的请求超时。使用pathping命令能跟踪数据包的路径，能够查出故障点，并且能够计算路由器转发丢包率和链路丢包率以及延迟，据此能够判断出网络拥塞情况。 在命令行下输入pathping 可以看到数据包到达目的地途经的路由器和计算的延迟和丢包率。丢包率有路由器转发丢包率，如图D处所示丢包率是路由器收到数据包后路径选择转发时的丢包率，转发丢包率高则表明这些路由器已经超载，表明路由器的处理能力不够。还有链路丢包率，如图E处所示，是指的路由器B到路由器C链路上的丢包率，链路上的丢包率反应的是造成路径上转发数据包丢失的链路拥挤状态。 藁城水科院和正定水科院都与石家庄水科院连接，如图2-197所示，在藁城水科院部署了一台流媒体服务器，一天，正定水科院的人反映访问藁城的流媒体服务器点播视频非常不连贯。如果你是藁城水科院的网络管理员，如何断定是网络出现了网络拥塞还是流媒体服务器过载? 出现问题的网络无外乎是藁城水科院局域网、连接石家庄的A广域网、连接石家庄和正定的B广域网，以及正定水科院局域网。 断定网络是否拥塞的办法就是，在正定水科院的计算机C上ping 藁城水科院的流媒体服务器的IP地址，如果响应时间很短，则网络没问题，有可能是否流媒体服务器的性能差造成响应客户端请求慢，从而造成的视频播放不连贯。 如果有请求超时数据包或响应延迟超长，比如大于500ms，则有可能是网络拥塞造成的问题。然后使用pathping服务器的IP地址，根据pathping的结果查看那段网络丢包严重。就能断定那段网络拥塞。 Internet 组管理协议（IGMP）是因特网协议家族中的一个组播协议，用于 IP 主机向任一个直接相邻的路由器报告他们的组成员情况。 它用来在ip主机和与其直接相邻的组播路由器之间建立、维护组播组成员关系。IGMP不包括组播路由器之间的组成员关系信息的传播与维护，这部分工作由各组播路由协议完成。 参与ip组播的主机可以在任意位置、任意时间、成员总数不受限制地加入或退出组播组。 组播路由器通过IGMP协议了解每个接口连接的网段上是否存在某个组播组的接收者。而主机方只需要保存自己加入了哪些组播组。 地址解析协议（ARP）可以由已知主机的IP地址在网络上查找到它的硬件地址。 计算机A和计算机B属于同网段的通信 计算机A和计算机C属于跨网段的通信。 从以上描述可以看出ARP解析MAC地址，不进行任何验证，缓存的结果还可以被其他计算机重新修改，这就是一个很严重的安全漏洞。下面将会介绍利用ARP漏洞的一款局域网流量控制软件“P2P终结者”。 P2P终结者是由Net.Soft工作室开发的一套专门用来控制企业网络P2P下载流量的网络管