网络二三层数据流分析.pptVIP

数据流分析 数据流分析 端口 二层以太网 ARP 交换机工作原理 二层数据流分析 路由器工作原理 三层数据流分析 引言：数据的封装与解封装过程 应用数据 　 应用层 源端口 目的端口 应用数据 　 传输层 源IP 目的IP 源端口 目的端口 应用数据 　 网络层 源MAC 目的MAC 源IP 目的IP 源端口 目的端口 应用数据 　 接入层 2.1 端口 我们知道，一台拥有IP地址的主机可以提供许多服务，比如Web服务、FTP服务、SMTP服务等，这些服务完全可以通过1个IP地址来实现。那么，主机是怎样区分不同的网络服务呢？显然不能只靠IP地址，因为IP 地址与网络服务的关系是一对多的关系。实际上是通过“IP地址+端口号”来区分不同的服务的。 端口号类型 端口类型 范围 目地 动态端口 1024-65535 由客户端分配给每个新的应用程序 周知端口 0-1023 分配给高优先级的进程，目地是使所有的客户端可以知道该连接哪个端口 　 TCP段 浏览器1端口1030 浏览器2端口1031 E-mail客户端口1040 FTP客户端口1045 2.1.1 使用端口号来标识正确的应用程序 Hi，TCP的目的端口是1031，请把数据交给浏览器2 目的端口=1031 Data 2.1.2 客户端连接到WEB服务器的周知端口 新的浏览器（浏览器2）需要发送数据，端口1031还没有用，我就用它吧；而且Web服务器总使用80端口，所以目的端口就是80！ 我的Web服务器软件已注册使用Web的周知端口80，所有发给我的段的目的端口应为80！ My Computer Web server 2.2 二层以太网帧结构 前导码：包括同步码（用来使局域网中的所有节点同步，7字节长）和侦标志（帧的起始标志7，1字节）两部分； 目的地址：接收端的MAC地址，6字节长； 源地址：发送端的MAC地址，6字节长； 类型：数据包的类型（即上层协议的类型），2字节长； 数据：被封装的数据包，46－1500字节长； 校验码：错误检验，4字节长。 Ethernet_II的主要特点是通过类型域标识了封装在帧里的数据包所采用的协议，类型域是一个有效的指针，通过它，数据链路层就可以承载多个上层（网络层）协议。但是，Ethernet_II的缺点是没有标识帧长度的字段。 2.3 ARP 当主机被分配到IP地址后，它们就会希望开始向一些其他的主机发送IP包。一台IP主机要在一个局域网上发送IP包，发送主机必须要知道局域网上其它设备的以太网MAC地址，主机通常利用地址解析协议（ARP）来实现。 2.3.1 ARP工作过程 5、生成ARP应答帧 6、更新ARP高速缓存 4、处理ARP请求帧 7、发送ARP应答帧 9、更新ARP高速缓冲 8、处理ARP应答帧 3、广播ARP请求 2、生成ARP请求 1、在ARP高速缓存中检测目标设备的MAC地址 广播 单播 源主机 目的主机 2.3.2 ARP报文格式 28字节ARP请求/应答 硬件地址 协议类型 硬件地址长度 协议地址长度 OP 发送端MAC地址 发送端IP地址 目标MAC地址 目标IP地址 2 2 1 1 2 6 4 6 4 硬件类型：表示硬件地址的类型，为1时表示以太网。 协议类型：表示要映射的协议地址类型，为0x0800表示IP地址。 硬件地址长度：对于ARP请求或者应答来说，为6字节。 协议地址长度：对于ARP请求或者应答来说，为4字节。 操作类型（OP）：1表示ARP请求，2表示ARP应答。 发送端MAC地址：发送方设备的硬件地址。 发送端IP地址：发送方设备的IP地址。 目标MAC地址：接收方设备的硬件地址。 目标IP地址：接收方设备的IP地址。 2.3.3 ARP抓包分析-请求包 2.3.4 ARP抓包分析-应答包 2.4 主机转发数据包逻辑 当主机要向同一网络或者子网络内的其它主机发送数据包时，发送端主机直接将包发送给那台主机 当主机要向不同网络或者子网内的其它主机发送数据包时，发送端主机将包发送给它的默认网关 不管主机使用上面两步中MAC地址的哪一步，发送端主机可以利用ARP来获知正确的，并将它封装在以太网帧里面 2.4.1 交换机的工作原理 交换机可以分割冲突域，提高传输效率 交换机的每个端口访问另一个端口时，都有一条专有的线路，不会产生冲突。 2.4.2 交换机的学习功能 0200.1111.1111 Pc1 0200.3333.3333 Pc3 0200.2222.2222 Pc2 0200.4444.4444 Pc4 1 3 4 2 发送帧 源：0200.1111.1111 目的：0200.2222.2222 源MAC是：0200.1111.1111 从端口1 进入，加入MAC表 　MAC表：之前 M