ICMP报文详解.docVIP

ICMP报文详解 各种ICMP报文的前32bits）都是三个长度固定的字段：type类型字段(8位)、code代码字段(8位)、checksum校验和字段(16位)8bits类型和8bits代码字段：一起决定了ICMP报文的类型。常见的有： 类型8、代码0：回请求类型0、代码0：回应答类型11、代码0：超时。 16bits校验和字段：包括数据在内的整个ICMP数据包的校验和，其计算方法和IP头部校验和的计算方法是一样的。对于ICMP回请求和应答报文来说，接下来是16bits标识符字段：用于标识本ICMP进程。最后是16bits序列号字段：用于判断回应答数据报。 2．目标不可到达、源抑制和超时报文 这三种报文的格式是一样的，目标不可到达报文（Type=3）在路由器或主机不能传递数据报时使用，例如我们要连接对方一个不存在的系统端口（端口号小于1024）时，将返回Type=3、Code=3的ICMP报文，它要告诉我们：“嘿，别连接了，我不在家的！”，常见的不可到达类型还有网络不可到达（Code=0）、主机不可到达（Code=1）、协议不可到达（Code=2）等。源抑制则充当一个控制流量的角色，它通知主机减少数据报流量，由于ICMP没有恢复传输的报文，所以只要停止该报文，主机就会逐渐恢复传输速率。最后，无连接方式网络的问题就是数据报会丢失，或者长时间在网络游荡而找不到目标，或者拥塞导致主机在规定时间内无法重组数据报分段，这时就要触发ICMP超时报文的产生。超时报文的代码域有两种取值：Code=0表示传输超时，Code=1表示重组分段超时。 3．时间戳 时间戳请求报文（Type=13）和时间戳应答报文（Type=14）用于测试两台主机之间数据报来回一次的传输时间。传输时，主机填充原始时间戳，接收方收到请求后填充接收时间戳后以Type=14的报文格式返回，发送方计算这个时间差。一些系统不响应这种报文。 ICMP报文格式 ICMP虽然是网络层的协议，但要将ICMP报文放入IP中发送。 ICMP报文的头部由1字节的类型（type）、1字节的代码（code）和2字节的校验和（checksum）组成。 类型域和代码域用来标识各种ICMP报文。类型域表示ICMP报文的类型，目前已定义了14种，从类型值来看ICMP报文可分为二大类。 第1 类是取值为1~127的差错报文，第2类是取值128以上的是信息（informational）报文。 1不能到达信宿（Destination Unreachable）差错报文 2分组过大（Packet Too Big）差错报文 3超时（Time Exceeded）差错报文 4参数问题（Parameter Problem）差错报文 128返回请求（Echo Request）报文 129返回应答（Echo Reply）报文 130组成员查询（Group Membership Query） 131组成员报告（Group Membership Report） 132组成员结束（Group Membership Termination） 133路由器请求（Router Solicitation） 134路由器公告（Router Advertisement） 135邻机请求（Neighbor Solicitation） 136邻机公告（Neighbor Advertisement） 137 重定向（Redirect） 通近抓包可以清楚看到ICMP报文结构，最前面是14字节的以太网II帧头，接下来是20字节的IP包头，接下来是8个字节的ICMP回显请求报文头部，类型是8、代码是0，表示是一个回显请求报文。序列号：0X0200，注：每一个ICMP回显报文都有一个序列号且是递增的，这是PING的第二个包，第一个的序列号是：0X100，第三个序列号是：0X300，第三个序列号是：0X400。因为在WINDOWS XP系统 PING 时是4个报文且数据是32个字节。 在抓包中，回显数据：32字节，在Windows 9X、Windows 2000、Windows XP等操作系统的Ping命令中，ICMP包中的数据长度默认为32字节，其内容为英文小写字母循环系列（abcdefghijklmnopqrstuvwabcdefghi）。 下图是回显应答报文的抓包：类型是0。 第 2 页 共 5 页