IP-二进制数分析

我们都知道，不同类型的网络，其MTU（最大传输单元）各不相同，如以太网中，最大的传输帧为1518字节，FDDI为4500字节，令牌环帧在4500字节到17800字节之间，而IP协议的一个重要功能，就是能够对传输的数据大于硬件接口的MTU时，对其进行分段传输。即大于MTU的数据报将被分为2个或多个的合适的大小被传输。一个分片在到达接收主机的路径中，还可能被继续分片，因此，分片的IP数据报可能会以不同的路径传输到接收主机，接收主机通过一系列的重组，将其还原为一个完整的IP数据报，再提交给上层协议处理。

IP标识符

IP标识符、标志、偏移量3个字段在IP报头中的位置如下图1所示：

图1

在发送数据报前，发送主机给每个数据报一个ID值，放在16位的标识符字段中。此ID用于标识唯一的数据报或数据流。接收主机利用此ID对收到的数据报进行重组。正如前面所说，当分片的IP数据报从源地址发送到目的地址的时候，由于网络延迟或者不同的传输路径的关系，在到达目的主机时，这些分片数据报并不总是有序的排列，而是处于一种无序状态，因此，接收主机便用此ID判断接收的这些分片数据报是否属于同一个数据流，然后再进行重组（重组将在偏移量中讨论）。

标志

标志字段在IP报头中占3位，第1位作为保留，置0；第2位，分段，有两个不同的取值：该位置0，表示可以分段；该位置1，表示不能分段；第3位，更多分段，同样有两个取值：该位置0，表示这是数据流中的最后一个分段，该位置1，表示数据流未完，后续还有分段，当一个数据报没有分段时，则该位置0，表示这是唯一的一个分段。见下图2：

图2

当目的主机接收到一个IP数据报时，会首先查看该数据报的标识符，并且检查标志位的第3位是置0或置1，以确定是否还有更多的分段，如果还有后续报文，接收主机则将接收到的报文放在缓存直到接收完所有具有相同标识符的数据报，然后再进行重组。

更多分段位能够让接收主机判断分片的数据报是否发送完毕；而分段位除了能够将将数据报分段，而且还能够实现另一个用途，在某些情况下，可以利用分段位动态的找到网络端到端的MTU大小。如果路由器配置时，置此位为0，则当主机尝试发送一个比传输路径上的数据报大的帧时，路由器不转发该帧，而是丢弃，并给源主机发送ICMP报文，说明该数据报太大，源主机利用此信息调整数据报大小，再重新发送。

偏移量

13位的偏移量字段用来表示分段的数据报在整个数据流中的位置，即相当于分片数据报的顺序号。发送主机对第一个数据报的偏移量置为0，而后续的分片数据报的偏移量则以网络的MTU大小赋值。偏移量对于接收方进行数据重组的时候，这是一个关键的字段。对于分片的数据段（单位：字节）必须为8的整数倍，否则IP无法表达其偏移量。如下图3所示：

图3

以太网中，源主机如果需要通过UDP传送3000字节的数据到目的主机，这时的分段情况如下图4所示（在同一网段）：

图4

此处需要注意的是对于分片1的报头，相对于其他两个分片的报头而言，要多出8个字节UDP协议的报头开销，因此，在计算实际传输的数据净载荷时，分片1要多减去8字节UDP报头。最后，接收主机通过此偏移值将数据重组成完整的数据报。

总结

IP协议虽然是我们司空见惯的一个协议，但是，对于其报头结构，报头中每个字段的含义，还是需要我们不断学习，才能真正理解IP协议的精髓。在此，希望各位兄弟多多交流，大家一起学习。

///////////////////////////////////////////////////////////////////////////////////////////////////////////////////

 

　　最近狂补基础，猛看TCP/IP协议。不过，书上的东西太抽象了，没有什么数据实例，看了不 久就忘了。于是，搬来一个sniffer，抓了数据包来看，呵呵，结合书里面得讲解，理解得 比较快。我就来灌点基础知识。　

　　开始吧，先介绍IP协议。　

　　IP协议（Internet Protocol）是网络层协议，用在因特网上，TCP，UDP，ICMP，IGMP数据都是按照IP数据格式发送得。IP协议提供的是不可靠无连接得服务。IP数据包由一个头部和一个正文部分构成。正文主要是传输的数据，我们主要来理解头部数据，可以从其理解到IP协议。　

　　IP数据包头部格式（RFC791）

　　Example Internet Datagram Header　

　　上面的就是IP数据的头部格式，这里大概地介绍一下。　

　　IP头部由20字节的固定长度和一个可选任意长度部分构成，以大段点机次序传送，从左到 右。　

　　TCP协议　

　　TCP协议（TRANSMISSION CONTROL PROTOCOL）是传输层协议，为应用层提供服务，和UDP不同的是，TCP协议提供的可靠的面向连接的服务。在RFC793中是基本的TCP描述。关于TCP协议的头部格式内容的说明：　

　　TCP Header FORMat　

　

　　TCP Header FORMat　

　　跟IP头部差不多，基本的长度也是20字节。TCP数据包是包含在一个IP数据报文中的。　

　　好了，简单介绍到此为止。来看看我捕获的例子吧。这是一次FTP的连接，呵呵，是cuteftp默认的cuteftp的FTP站点，IP地址是：216.3.226.21。我的IP地址假设为:192.168.1.1。下面的数据就是TCO/IP连接过程中的数据传输。我们可以分析TCP/IP协议数据格式以及TCP/IP连接的三次握手（ThreeWay-Handshake）情况。下面的这些十六进制数据只是TCP/IP协议的数据，不是完整的网络通讯数据。　

　　第一次，我向FTP站点发送连接请求（我把TCP数据的可选部分去掉了）　

　　192.168.1.1->216.3.226.21　 

　　IP头部： 45 00 00 30 52 52 40 00 80 06 2c 23 c0 a8 01 01 d8 03 e2 15　 

　　TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00　

　　来看看IP头部的数据是些什么。　

　　第一字节，“45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为12，IP头部的最大长度就是60字节。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。　

　　接下来的一个字节“00”是服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），4 bit的TOS子字段以及1 bit的未用字段（现在为0）构成.4 bit的TOS子字段包含：最小延时、最大吞吐量、最高可靠性以及最小费用构成，这四个1bit位最多只能有一个为1，本例中都为0，表示是一般服务。　

　　接着的两个字节“00 30”是IP数据报文总长，包含头部以及数据，这里表示48字节。这48字节由20字节的IP头部以及28字节的TCP头构成（本来截取的TCP头应该是28字节的，其中8字节为可选部分，被我省去了）。因此目前最大的IP数据包长度是65535字节。　

　　再是两个字节的标志位（Identification）：“5252”，转换为十进制就是21074。这个是让目的主机来判断新来的分段属于哪个分组。　

　　下一个字节“40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段便移（Fragment Offset）。　

　　“80”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“80”，转换为十进制就是128了，我用的WIN2000。　

　　继续下来的是“06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。　

　　“2c 23”这个16bit是头校验和（Header Checksum）。　

　　接下来“c0 a8 01 01”，这个就是源地址（Source Address）了，也就是我的IP地址。

　　转换为十进制的IP地址就是：192.168.1.1，同样，继续下来的32位“d8 03 e2 15”是目标地址，216.3.226.21　

　　好了，真累啊，终于看完基本的20字节的IP数据报头了。继续看TCP的头部吧，这个是作为IP数据包的数据部分传输的。　

　　TCP头部：0d 28 00 15 50 5f a9 06 00 00 00 00 70 02 40 00 c0 29 00 00　

　　一来就是一个两字节段“0d 28”，表示本地端口号，转换为十进制就是3368。第二个两字节段“00 15”表示目标端口，因为我是连接FTP站点，所以，这个就是21啦，十六进制当然就是“00 15”。　

　　接下来的四个字节“50 5f a9 06”是顺序号（Sequence Number），简写为SEQ，SEQ=1348446470下面的四个字节“00 00 00 00”是确认号（Acknowledgment Number），简写为ACKNUM。　

　　继续两个字节，“70 02”，转换为二进制吧，“0111 0000 0000 0010”。这两个字节,总共16bit，有好多东西呢。第一个4bit“0111”，是TCP头长，十进制为7，表示28个字节（刚才说了，我省略了8字节的option数据，所以你只看见了20字节）。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“00 0010”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类。下面是一些介绍：　

　　URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断　

　　ACK：（Acknowledgment fieldsignificant）置1时表示确认号（AcknowledgmentNumber）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。　

　　PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。　

　　RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。　

　　SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。　

　　FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。　

　　这6个标志位，你们自己对号入座吧。本例中SYN=1，ACK=0，当然就是表示连接请求了。我们可以注意下面两个过程的这两位的变换。　

　　后面的“40 00 c0 29 00 00”不讲了，呵呵，偷懒了。后面两次通讯的数据，自己分开看吧。我们看看连接的过程，一些重要地方的变化。　

　　第二次，FTP站点返回一个可以连接的信号。　

　　216.3.226.21->192.168.1.1　

　　IP头部： 45 00 00 2c c6 be 40 00 6a 06 cd ba d8 03 e2 15 c0 a8 01 01　 

　　TCP头部：00 15 0d 28 4b 4f 45 c1 50 5f a9 07 60 12 20 58 64 07 00 00　

　　第三次，我确认连接。TCP连接建立起来。　

　　192.168.1.1->216.3.226.21　 

　　IP头部： 45 00 00 28 52 53 40 00 80 06 2c 2a c0 a8 01 01 d8 03 e2 15　 

　　TCP头部：0d 28 00 15 50 5f a9 07 4b 4f 45 c2 50 10 40 b0 5b 1c 00 00　

　　好，我们看看整个Threeway_handshake过程。　 

　　第一步，我发出连接请求，TCP数据为：SEQ=50 5f a9 06，ACKNUM=00 00 00 00，SYN=1，ACK=0。　

　　第二步，对方确认可以连接，TCP数据为：SEQ=4b 4f 45 c1，ACKNUM=50 5f a9 07，SYN=1，ACK=1。　

　　第三步，我确认建立连接。SEQ=50 5f a9 07， ACKNUM=4b 4f45c2，SYN=0，ACK=1。　

　　可以看出什么变化么？正式建立连接了呢，这些东西是什么值？　

　　我接收从216.3.226.21->192.168.1.1的下一个数据包中：　

　　SEQ=4b 4f 45 c2，ACKNUM=50 5f a9 07,SYN=0,ACK=1这些都是很基础的东西，对于编写sniffer这样的东西是必须非常熟悉的。这里只讲解了TCP/IP协议的一点点东西，主要是头部数据的格式。(T002)