網络分析知识.docVIP

网络分析知识连载一：网络基础之以太网介绍 此系列更多连载文章请详见： HYPERLINK /viewthread.php?tid=10174extra=page%3D1 \t _blank /viewthread.php?tid=10174extra=page%3D1做网络分析，需要有扎实的网络基础知识，所以，从本周开始，我们先从网络基础之以太网开始介绍。关于以太网的起源及其发展过程这部分的内容肯定大家都非常了解，我们就不再做详细的介绍，这也不是我们关注的重点。我们重点将讨论以太网的工作原理以及以太网的帧格式，这在网络分析中是非常重要的。1、以太网工作原理? ? 由于以太网的迅速发展，其技术的应用非常普遍，以至于现在大多数人都将局域网（Local Area Network，LAN）和以太网（Ethernet）混为一谈，人们一说到局域网，自然就会联想到以太网，将以太网当作了局域网的代名词。然而，以太网只是局域网众多技术中的一种，但由于其灵活、简单、易于实现等特点，所以，现在绝大多数局域网都是基于以太网技术组建的，以太网也成为了当今最重要的局域网组网技术。当有多个设备在同一信道同时发送数据时，就会产生冲突，这时，以太网采用CSMA/CD（Carrier Sense，Multiple Access With Collision detection），也就是带冲突检测的载波侦听多路访问机制，如要发送数据，首先监听信道是否空闲，只有在信道空闲时，才能发送数据。数据发送完后，释放该信道并且至少要再等待9.6微秒后才能重新访问该信道。在以太网中，为了标识网络中的每台主机，需要给每台主机的网络适配器分配一个唯一的通信地址，即网卡的物理地址（MAC地址）。MAC地址长度为48位，6个字节，由16进制表示。该地址的前3个字节由IEEE（电气和电子工程师协会）负责分配给网卡制造厂商（从该地址的前3个字节，就可以知道该网卡是哪个厂家生产的），后3个字节由制造厂商自己分配，在每一块网卡出厂时，MAC地址就已被厂商烧录到网络适配器的芯片中，所以，一般情况下，MAC地址是不可更改的。（由于MAC地址的唯一性且很难被更改，所以，当网络出现故障时，我们就可以利用网络分析软件查找故障并根据MAC地址快速定位故障源。）2、以太网帧格式? ?以太网有多种标准，其数据帧也有多种格式，目前，有4种不同的以太网帧在使用，? ?分别是（工业界命名）：? ?Ethernet_II? ?Ethernet_802.2? ?Ethernet_802.3? ?Ethernet_SNAPEthernet_II这是目前局域网所采用的最通用的协议标准，是由Xerox、DEC与Intel在1982年制定的以太网标准帧格式。 ? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ???这是Ethernet II的数据帧格式。SFD：在帧的开始处有8字节的前导字符（SFD），如下图。其中，前7个字节称为同步码（Preamble），成的字符串，16进制表示为0xAA，最后1个字帧的起始标志符，16进制表示为0xAB，它标识了以太网帧的开始。前导字符是为了让数据接收端进行同步并做好接收数据的准备。目的地址（Destination Address）：此数据包的目的MAC地址；源地址（Source Address）：发送此数据包的源MAC地址；类型（Type）：用于标识帧内所携带的协议，即上层的数据类型（如0x0800表示IP，0x0806表示ARP，0x8138代表Novell类型协议数据等）；数据（Data）：该数据帧所携带的数据包大小（包括高层协议、数据和填充符）；FCS（Frame Check Sequence）：采用32位CRC循环冗余校验对从目标MAC地址字段到数据字段的数据进行校验。所以，从这里看出，Ethernet II的数据包长度最小为64字节（6+6+2+46+4），最大长度为1518字节（6+6+2+1500+4），帧头的长度为14字节（6+6+2）。此处需要注意的是科来网络分析系统捕获数据时是从目标地址到FCS一起捕获并解码，而Sniffer则丢弃了后面的FCS，在计算数据包长度时自然也会少4个字节，这就是为什么科来所捕获的数据与Sniffer所捕获的数据会相差4个字节的原因。以上是Ethernet_II的数据帧格式，对其他3种类型的帧，我们不再一一介绍，论坛里有很多优秀的文章，如：徐徐渐进的原创帖：四种以太网数据详解 HYPERLINK /viewthread.php?tid=8253 \t _blank /viewthread.php?tid=8253。