陈全 IP分片PPT.pptxVIP

CNTDIP数据报文的分片和重组讲解者：陈全 目录catalogIP数据包为什么要分片和重组什么是IP分片和重组21IP数据包是如何分片和重组的分片带来的问题34什么是IP分片和重组 IP数据包在网络中传输时，当数据包比链路最大传输单元大时，就会被分解为很多的足够小片段，以便能够在其上进行传输，这个过程就被称为分片。 而这些小片段在到达链路终点后会根据规则重新还原组成原IP数据包，这个过程称为重组。IP数据包为什么要分片和重组呢？最大传输单元（MTU -maximum transfer unit）–各种物理网络技术都限制了一个物理帧的大小，这个限值被称为最大传输单元；不同物理网络技术的MTU 不同。–对于一个网络而言，其MTU 值是由其采用的物理技术决定的，而且通常保持不变当IP数据包在链路中传输时，如果IP数据包比链路网络的MTU还大，那么IP数据包不可能一次性完整的通过，必须得分成若干个小片段。而单独一个小片段所包含的数据是不完全，所以必须得在目的主机上重组成原来的IP数据包提问IP数据包的分片是在哪里发生的？重组又是在哪里发生的？提问IP数据包的分片是在哪里发生的？重组又是在哪里发生的？IP数据包的分片可能在IP数据包的源主机和网络路由器上发生，但重组只能在目标主机中进行。IP数据包是如何分片和重组的IP数据包是如何分片和重组的问题1.如何标识同一个数据报的各个分片？2.如何标识同一个数据报分片的结束？3.如何标识同一个数据报分片的顺序？IP数据包是如何分片和重组的发送主机分配ID标识唯一的数据报标志位DF=0能分片，DF=1不能分片，MF=0最后一片，MF=1不是最后一片标识分片在原来数据报的位置，IP数据包是如何分片和重组的分片的第一个报文IP数据包是如何分片和重组的后续的报文IP数据包是如何分片和重组的IP数据包是如何分片和重组的举例 IP 头部 数据长度ID 标志位 偏移量 主机到第一个路由第一个路由到第二个路由 IP数据包是如何分片和重组的 IP 头部 数据长度ID 标志位 偏移量 20 1480 X DF=0 MF=1 0 20 480 X DF=0 MF=0 185主机到第一个路由第一个路由到第二个路由 20 1376 X DF=0 MF=1 0 20 584 X DF=0 MF=0 172IP数据包是如何分片和重组的拓展问题1.有多条路径可以到达目的地时，分片的数据报文在传输中选路是固定的还是随机的？2.在传输中，是哪一个分片先到目的地的？3.如果中间有某个报文丢失了，该怎么办？IP数据包是如何分片和重组的拓展问题1.有多条路径可以到达目的地时，分片的数据报文在传输中选路是固定的还是随机的？ 答：是随机的。2.在传输中，是哪一个分片先到目的地的？ 答：哪个分片先到是不确定的，因为网络可能有突发情况，所以会有偏移量来确定分片的位置。3.如果中间有某个报文丢失了，该怎么办？ 答：如果有报文丢失，那么数据报的重组就不完整，会触发重传机制。分片带来的问题1， 分片带来的性能消耗 分片和重组会消耗发送方、接收方一定的CPU等资源，如果存在大量的分片报文的话，可能会造成较为严重的资源消耗； 分片对接收方内存资源的消耗较多，因为接收方要为接收到的每个分片报文分配内存空间，以便于最后一个分片报文到达后完成重组。2，分片丢包导致的重传问题 如果某个分片报文在网络传输过程中丢失，那么接收方将无法完成重组，如果应用进程要求重传的话，发送方必须重传所有分片报文而不是仅重传被丢弃的那个分片报文，这种效率低下的重传行为会给端系统和网络资源带来额外的消耗。分片带来的问题3， 分片攻击 黑客构造的分片报文，但是不向接收方发送最后一个分片报文，导致接收方要为所有的分片报文分配内存空间，可由于最后一个分片报文永远不会达到，接收方的内存得不到及时的释放，只要这种攻击的分片报文发送的足够多、足够快，很容易占满接收方内存，让接收方无内存资源处理正常的业务，从而达到DOS的攻击效果。4， 安全隐患 由于分片只有第一个分片报文具有四层信息而其他分片没有，这给路由器、防火墙等中间设备在做访问控制策略匹配的时候带来了麻烦。 如果路由器、防火墙等中间设备不对分片报文进行安全策略的匹配检测而直接放行IP分片报文，则有可能给接收方带来安全隐患和威胁，因为黑客可以利用这个特性，绕过路由器、防火墙的安全策