协议分析系列(1):带你深入熟悉你所不知道的ICMP | 网络之路博客
注册 登录
  • 欢迎网络之路博客网站,分享IT教程,推荐使用2345浏览器访问本网站,可以下载PDF与观看实战文章点击下载
  • 如果您觉得本站对您有帮助,那么赶紧使用Ctrl+D 收藏吧,支持我们下
  • 远程技术支持的淘宝店铺已经开张了哦,传送门:需要的朋友可以点击查看
  • 资源太多??下载繁琐??不知道如何学起??博主给你解决这些问题!~!点击免费下载

协议分析系列(1):带你深入熟悉你所不知道的ICMP

【汇总】TCP协议,您懂多少?

文档帖子汇总学习必备软件
    博主也只是业余时间写写技术文档,请大家见谅,大家觉得不错的话,可以推荐给朋友哦,博主会努力推出更好的系列文档的。如果大家有任何疑问或者文中有错误跟疏忽的地方,欢迎大家留言指出,博主看到后会第一时间修改,谢谢大家的支持,更多技术文章尽在网络之路博客,http://ccieh3c.com

简介

Internet Control Messages Protocol 因特网控制报文协议,经常被认为是IP层的一个组成部分。它传递差错报文以及其他需要注意的信息。ICMP报文通常被IP层或更高层协议(TCP或 UDP)使用。一些ICMP报文把差错报文返回给用户。

 image001.jpg

ICMP是在IP数据报文中,直接传输。
不同类型由报文中的类型字段和代码字段来共同决定 ,比如 type 为8 Code 为0,那么这个为ICMP的Echo request 如果Type 为0 Code为0 那么就为ICMP的 reply 还包含很重要的Identifier 2个字节:用于区分不同进程的应用。比如,Ping测试,开启了两个窗口,它用于这个标识这个Request 与Reply到低属于第一个窗口,还是第二个窗口。

Sequence Number:2个字节:用于对应请求与响应 :比如,我们都知道一个Ping ,在cisco路由器上会发送5个,那么第一个Request Sequence number为1 ,如果收到了关于第一个Request的回应,那么这个reply的Sequence number也为1,如果丢失了,那么就没有响应。

R1——————–R2, 测试 R1发送两次 ping包,得到的抓包结果

 image002.jpg

可以从 id=0x0001,Seq=1/256 发现Requset 与reply都为1,第二个Requset为2,reply也为2 那么展开看看Identifier的标识,都显示为1, 开始发送第二个Ping包。

 image004.jpg

抓包结果,Id=0x0003,下面一个Identifier也为3,

 image005.jpg
 image006.jpg

Ping通过Sequence Number与ID标识,正确的回显了Request与reply的信息,并且它们的数据中通常Requset与reply是不同的,它们依靠这个计算出源到达目往返使用的时间。
下面是ICMP的详细类型与代码信息。这才是正真有用的东西。

 image007.jpg

CMP 另外一个重大的作用是,当一个应用程序出现某些错误或者不可达的信息时候,会返回一个ICMP差错报文,用于告诉源这个错误的信息,如果在开发程序的时 候,调用了这个机制,那么当收到这个错误信息,提交给应用程序的时候,这个程序会自动断开服务,并且报错,比如 我们在路由器上常用的telnet ,如果被ACL拒绝了,会显示一个ICMP错误信息,提示 Destination unreachable; gateway or host down,这对故障排错是很有作用的。

以太网 | IP首部 | ICMP首部 | IP 首部 | 8字节差错数据包
当 发送一份ICMP 差错报文时,报文始终包含IP的首部和产生ICMP差错报文的IP数据包的前8个字节。这8个字节标识的是是哪种协议产生的差错(比如TCP UDP,会标识它的源目端口号 TCP还会有序列号) 由于告诉源的应用程序 然后由这个应用程序发送差错提示

R1———–R2————R3 R3上写了ACL决绝R1的流量,R1 Telnet R3,返回了一个ICMP错误消息

 image008.jpg

上面已经提到过,一个差错报文始终包含IP的首部和IP数据包的前8个字节,也就是说不包含IP首部在内 ,就是TCP的源目端口与序列号。
仔细看这个抓包的结果,有两个IP头部,那么表达的意思是什么。

首先第一个IP首部,标识产生这个ICMP差错报文的源是谁(这里是R3拒绝掉流量,所以为R3) 标识的类型为3,code为13,通过上面的对应表 可以看出是由于过滤,通信不可达。

第二个IP首部,标识了这个Telnet的发起端为谁,(这里为R1) 并且标识了因为什么协议产生的差错
这 样做,是为了保证源端在运行许多应用程序的情况下,能清楚的知道是因为什么程序而出错,然后通过这个错误回显给应用程序,如果编程人员在设计代码的时候, 调用了这个机制,那么就能立即停止服务 并且报错,如果,没有这个机制,那么就会一直发送请求。比如 TFTP,它是不会识别这种差错报文,所以 我们通常在做TFTP升级IOS 或者配置的时候,由于没打开TFTP软件,服务器发送了差错报文,但是TFTP识别不了,就会一直在请求当中。 这对我们排错也非常有用,能有效的了解到流量是在哪被过滤或者出错的。 建议在内部网络中开启ICMP的应答,在边界网络关闭,因为对于外部的恶意流量,没必要回答这个消息,浪费路由器资源,通过 no ip unreachables
也可以通过debug ip icmp,会得到一个提示。

 image009.jpg

Tracerouter的实现:Tracerouter是为了解决IP提供的可选字段中的路径记录功能不足而开发的,因为路径记录只能记录9个地址的存在,并且包括来回,并不适应现网络的环境,而Tracerouter利用TTL,来达到路径记录的特效。

Tracerouter的原理:在Tracerouter一个目的的时候,源端会发送3个大于30000端口的UDP报文,TTL=1,当第一个路由器收 到以后,会把TTL置0,而丢弃这个数据包,并返回一个ICMP TTL exceeded的消息,当源收到这个错误消息后,再次发送3个大于30000端口UDP报文,TTL=2,当传达到第二个路由器的时候,把TTL置0, 丢弃这个数据,并返回ICMP TTL exceeded消息,当源收到以后,继续发送UDP报文,TTL=3,这样直到到达目的地,当目的主机收到以后,发现是给自己的数据包,发现自己并没有 打开关于这个UDP端口号的服务,
(大于30000端口,就是为了确保目的端没有使用这个端口)从而回复一个“端口不可达”错误的ICMP消息,从而实现路径记录的功能,因为回显错误信息中,都包含了它们的地址。

R1———R2—————-R3, R1上Tracerouter R3,经过了2跳,所以看到有关于6个UDP的数据包,发现前面的都是 TTL exceeded,而最后一个是 Destination Unreachalbe

 image010.jpg

Tracerouter的功能,在应用中还是比较适用的,可以探测经过了哪些路由器,和路径测试,并且如果能从DNS解析到它们的名字,那么它们就会显示出来经过路由器的名字。 有些OS的实现可能不同,比如微软基于TTL值来测试的

最后一个关于分片:分片在网络中,经常出现,但是在现代的网络中 因该合理的控制MTU,避免不必要的分片,特别是UDP的数据,最容易造成分片,TCP由于有流量控制与MSS机制。 分片最容易出现在VPN的网络中,因为VPN在加密的情况下,使用ESP 、tunnel Mode、GRE、等协议,还会产生新的头部,往往会超过IP MTU 1500, 至于为什么是1500,后面会解释,先介绍下特点
IP分片:1、IP把MTU与数据长度进行比较
2、如果需要则进行分片。分片可以发生在原始发送端主机上,也可以发生在中间路由器上
3、把一个IP数据包分片以后,只有到达目的地才进行重新组装。(FR fragment)
4、重新组装由目的端的IP层来完成,其目的是使分片和重新组装的过程对运输层(TCP和UDP)是透明的。
5、已经分片的数据包有可能再次进行分片(可能不只一次)
6、当IP数据包被分片以后,每一片都成为一个分组,具有自己的IP首部,并且选择路由的时候与其他分片独立,这样,当数据包到达目的地的时候,可能不是同一路径,会失序,但是IP首部中有足够的信息让
接收端能正确的组装这些分片 比如是ICMP、TCP与UDP的流量话,那么只有第一个分片有ICMP、TCP或UDP的首部信息,其余的都没有。 而且这些头部信息,也算在数据部分里面。
7、尽管IP分片在过程中看起来是透明的,但是如果中途丢失了其中一个分片的话,那么整个数据包重新发送。
8、IP层本身没有超时重传机制————它必须依靠高层来提供可靠性(TCP有超时和重传机制,但UDP没有。一些UDP 应用程序本身提供超时和重传),当来自TCP报文段的某一片丢失后,TCP在超时后会重新发送整个
TCP报文段,不能只重传某一片数据报。
比如一个TCP的数据大小为2000,分成两个分片,但是其中一个丢失了,那么TCP会发送重传机制,但是重传的是整个数据包,因为TCP是需要对整个数据包最确认,而不是分片,而且分片对于TCP和UDP是透明的。
9、如果对数据报分片的是中间路由器,而不是起始端,那么起始端系统无法知道数据报如何被分片。所以,经常要避免分片的存在。
由 于以太网EthernetII最大的数据帧是1518Bytes,除去以太网帧的帧头(DMAC目的MAC地址 48bit=6Bytes+SMAC源MAC地址48bit=6Bytes+Type域2bytes)14Bytes和帧尾CRC校验部分4Bytes (这个部份有时候大家也把它叫做FCS),那么剩下承载上层协议的地方也就是Data域最大就只能有1500Bytes,这个值我们就把它称之为MTU, 也就是指IP MTU。
这个MTU就是网络层协议非常关心的地方,因为网络层协议比如IP协议会根据这个值来决定是否把上层传下来的数据进行分 片。就好比一个盒子没法装下一大块面包,我们需要把面包切成片,装在多个盒子里面一样的道理。当两台远程PC互联的时候,它们的数据需要穿过很多的路由器 和各种各样的网络媒介才能到达对端,网络中不同媒介的MTU各不相同,就好比一长段的水管,由不同粗细的水管组成(MTU不同 )通过这段水管最大水量就要由中间最细的水管决定。


比如一个 数据包为1501,如下图

 image011.jpg

分成了两个分片,其中第一个分片包含UDP的首部,而第二个分片没有标识,只有IP的首部。 这样,如果中间经过了PAT的设备或者防火墙,很有可能造成丢失,而分片的丢失,代表整个数据包全部丢弃,UDP没有重传机制。
R1———R2————R3 ,这里我把R2的出接口MTU改为200, 我用R1 Ping 大小为1000,只发送一个Request
这里得到了5个分片包,这是软件的问题,通过Sniffer 之类的抓取的话,会有6个分片,不过可以通过计算算出来,

 image012.jpg
 image013.jpg

这是第一个分片,但是不知道为什么 这个软件也没有在第一个分片上显示ICMP的头部信息,其他软件都会显示。
首先,先看下我发送了一个1000字节的数据包,这1000字节包括了 20字节的IP首部 ,和ICMP 8字节的首部,那么数据部分因该是972,先看下未分片之前的抓包。 Data 为972

 image014.jpg

为什么分片的数据部分只有176呢 ,加上20字节的首部也并没有达到接口的200,那是分片中有一个规定 在分片的时候,除最后一片外,其他每一片中的数据部分(除IP首部外的最后一个分片)必须是8字节的整数倍。 所以这里为176,而不是180.
这里注意的是,第一个分片中,通常会包含协议的头部信息,比如TCP UDP、这里因该是ICMP的头部,但这个软件并没有显示,直接显示数据大小为176,实际因该是168+ICMP 8字节头部。

之 间说因该有6个分片,而这里只显示了5个分片,可能是软件的一种优化,但是,挺不习惯的。 这里5个分片数据部分都为176,所以176*5=880, 而实际数据部分是 972+ICMP 8字节 980,所以最后一个分片的数据部分是 980-880=100
关于MTU的探测:我们通常探测MTU,因该要探测路径MUT,所谓路径MTU,是指这个源到目的中出口接口最小的MTU,因为MTU属于单方向的,而返回的MTU可能与去的MTU不一致。

在一般的路由器上都有这样的功能。路径MTU发现机制,这对我们实施VPN和修改接口MTU是很有帮助的。
环境还是之前 R1——–R2———R3 R2出接口MTU为200, R1ping的时候,把DF位置位,不允许这个数据包分片,那么当接口小的MTU丢弃这个数据包的时候,会返回一个分片不可达的差错报文 。

 image015.jpg

MTU of next hop:200 ,这对于一个VPN的网络是很有帮助的,通常我遇到的朋友在实施VPN的时候,说流量大的时候性能非常不好,速度非常慢,而且会有时候丢包,这大部分原因 是因为分片造成的,VPN的加解密本来就很消耗路由器的资源,加上对分片的处理,VPN情况下,分片也会加密,而且对于PAT的穿越性 很不好, 所以造成性能下降。
这个是通过debug显示不出来的,但是cisco 路由器上可以通过扩展Ping 来实现,而且更直观
R1——-R2———R3 这里我把R2的接口MTU改为500,方便测试,在R1是使用扩展Ping
这里的 注意是DF位置位, 并且使用路径记录, 设置包大小的范围,我这里从100开始 到700,间隔100,也是每次发100大小的包测试。

 image016.jpg
 image017.jpg
 image018.jpg

没超过MTU之前 都有路径记录,并且数据包通过了,当在600的时候,由于超出了MTU的范围,需要分片,而我又把DF置位了,它就会提示Maximum MTU 500 ,就是表示到达目的的MTU最大为500.
所以,特别在做VPN实施的时候, 不要认为隧道建立了,流量能通过了 就代表完善了,一定要注意MTU的范围,这个可以通过IP头部+其他头部信息 计算可以得出来。

特别说明

1 IP MTU
对 于网络层的上层协议而言(我们以TCP/IP协议族为例),网络层IP协议会检查每个从上层协议下来的数据包的大小,并根据本机MTU的大小决定是否作 “分片”处理。分片最大的坏处就是降低了传输性能,本来一次可以搞定的事情,分成多次搞定,所以在网络层更高一层(就是传输层)的实现中往往会对此加以注 意!有些高层因为某些原因就会要求我这个面包不能切片,我要完整地面包,所以会在IP数据包包头里面加上一个标签:DF(Donot Fragment)。这样当这个IP数据包在一大段网络(水管里面)传输的时候,如果遇到MTU小于IP数据包的情况,转发设备就会根据要求丢弃这个数据 包,然后返回一个错误信息给发送者。这样往往会造成某些通讯上的问题,不过幸运的是大部分网络链路MTU都是等于1500或者大于1500。
对于 UDP协议而言,这个协议本身是无连接的协议,对数据包的到达顺序以及是否正确到达不甚关心,所以一般UDP应用对分片没有特殊要求。对于TCP协议而言 就不一样了,这个协议是面向连接的协议,对于TCP协议而言它非常在意数据包的到达顺序以及是否传输中有错误发生。所以有些TCP应用对分片有要求— 不能分片(DF)。
2、 MSS
MSS是最大传输大小的缩写,它是TCP协议里面的一个概念。如下图1-1所示:

 image019.jpg

图1-1 TCP头部
注:URG等参数指的是 ACK URG PSH SIN FIN RST等参数
在 TCP报文中 MSS的位置就在选项的位置,根据RFC1323和RFC793规定,选项中内容有很多种,MSS是其中的一种,用kind=2表示;kind=1表示无 操作,kind=4、5、6、7称为选择ACK及回显选项,但是由于回显选项已经被时间戳选项取代,同时,目前定义的选择ACK选项仍未定论,也没有包括 在RFC1323中,所以具体代表什么含义还无定论。在实际网络数据传输,要求MSS+20TCP包头 +20 IP包头不大于MTU。MSS在TCP报文中是可选项,不是必选项,换句话说,MSS是可协商项,而且在协商过后,该选项内容可以改变,也可以没有;在协 商MSS时,一般是建立TCP连结的两端发送Syn标志报文时互相通报,然后选取最小MSS作为双方的约定,如果双方都不通报或有一方不通报。
MSS 就是TCP数据包每次能够传输的最大数据分段。为了达到最佳的传输效能,TCP协议在建立连接的时候通常要协商双方的MSS值,这个值TCP协议在实现的 时候往往用MTU值代替(需要减去IP数据包包头的大小20Bytes和TCP数据段的包头20Bytes),所以往往MSS为1460。通讯双方会根据 双方提供的MSS值得最小值确定为这次连接的最大MSS值。

3. 区别及联系
由前面的叙述可知:MTU是一个二层的概念,以太网 最大的mtu就是1500(它是不包含二层头部的,加上头部应该为1518 bytes),当然这里说的是很常规的情况,也有些server,比如server 2008,出来的就是jumbo frame了,我们在这里讨论常规情况。IP MTU是一个三层概念,它包含了三层头部及所有载荷,根据下层为上层服务的,上层基于下层才能做进一步的扩展的原则,尽管IP MTU的变化范围很大(68-65535),但也不得不照顾以太网MTU的限制,说白了就是ip对以太网的妥协。MSS是TCP里面的一个概念,它是 TCP数据包每次能够传输的最大数据分段,不包含包头部分,它与IP MTU满足如下关系:IP MTU=MSS+20bytes(IP包头)+20bytes(TCP包头)。当然,如果传输的时候还承载有其他协议,还要加些包头在前面,简言 之,mtu就是总的最后发出去的报文大小,MSS就是需要发出去的数据大小,比如PPPoE,就是在以太网上承载PPP协议(点到点连接协议),它包括 6bytes的PPPoE头部和2bytes的PPP协议ID号,此时,由于以太网的MTU值为1500,所以上层PPP负载数据不能超过1492字节, 也就是相当于在PPPOE环境下的MTU是1492字节,MSS是1452字节。

4. MTU问题解决方法
通常情况下,MTU不匹配会表现为两种故障情况:
ping大包时不通无法访问某些站点
在这种情况下,通常有两种解决方法:
修改用户端MTU值(不推荐使用)修改传输路由所有设备MTU值,确保路径MTU值大于用户发送的IP报文的长度,以保证用户报文不会因为超过设备的MTU值被丢弃。主要要考虑下面几种情况:
· 对于纯IP网络,要保证:路径MTU值>最大用户报文长度
· 对于纯MPLS网络(没有VPN业务),要保证路径MTU值>最大用户报文+一层标签长度(4)
· 对于三层VPN业务,要保证:路径MTU值>最大用户报文+两层标签长度(8);
· 对于二层VPN业务,要保证:路由MTU值>最大用户报文长度+两处标签长度(8)+二层帧头长度(18)。
值得注意的是:fastethernet接口不能调整MTU,所以说在有些设备中,使用MTU命令不能解决问题的。此外,更改MTU后,如果IGP是OSPF的话,不同的MTU可能会造成OSPF 停留在INIT状态,此时需要将两端的MTU调整一致。

博客全系列文档帖子汇总

文档帖子汇总,点击查看
    博主也只是业余时间写写技术文档,请大家见谅,大家觉得不错的话,可以推荐给朋友哦,博主会努力推出更好的系列文档的。如果大家有任何疑问或者文中有错误跟疏忽的地方,欢迎大家留言指出,博主看到后会第一时间修改,谢谢大家的支持,更多技术文章尽在网络之路博客,http://ccieh3c.com

下载特别说明

该篇文章,暂时不提供制作好的PDF下载,请见谅。


原创与收集的内容,允许转载,转载时请务必以超链接形式标明文章原始出处,博客地址http://ccieh3c.com。

 介绍下载2.jpg
喜欢 (5)
[]
分享 (0)
网络之路
关于作者:
分享一些自己懂的技术知识点,希望对大家有帮助。
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址