Исследование трафика ARP и ICMP, страница 4

Рис. 2.4.2. Посылаемые и принимаемые кадры при выполнении ping -r 195.208.113.67

Как видно, на 40 байт увеличились кадры эхо-запросов и эхо-ответов. Это связано с тем, что к старым данным добавляются записи (каждая по 4 байта) о пройденных узлах как в ту сторону, так и в другую. Таких записей отводится всего 9, т.е. всего будет отведено 36 дополнительных байт,  плюс 4 байта на остальные опции, отсюда и различия.

Результат анализа пакета для эхо-запроса.

Рис. 2.4.3. Содержимое пакета эхо-запроса

Видно, что появилась информация о том, где прошел пакет. Для эхо-запроса такие записи пусты, т.к. пакет только отсылается. Всё остальное осталось без изменений.

Результат анализа пакета для эхо-ответа.

Из рис. 2.4.4 (приведён ниже) видно, что теперь в записях хранится маршрут туда и обратно. Если внимательно посмотреть, то видим, что происходит посылка сообщений, как туда, так и обратно. Однако видим, что не хватило записей под обратный маршрут. Заметим, что в ту сторону пакеты посылаются промежуточно через 5 узлов, что согласуется с информацией о ttl в эхо-ответе, т.к. 59=64-5. Однако, в нашем случае это лишь совпадение, т.к. из записей видно, что в обратную сторону пакеты пошли по другому пути.

Рис. 2.4.4. Содержимое пакета эхо-ответа

Выполнение утилиты ping для недоступного узла сети

Запустим в командной строке следующую команду: ping 10.1.17.3. Проанализируем полученный трафик.

Рис. 2.5.1. Посылаемые и принимаемые кадры при выполнении ping 10.1.17.3

Из анализируемого трафика видно, что при посылке пакета на недостижимый хост, в ответ генерируются пакеты с сообщениями типа “redirect for host” или “host unreachable”. В нашем случае эти пакеты приходят с шлюза.

Проанализируем содержимое пакета с сообщением redirect.

Рис. 2.5.2. Пакет с сообщением о redirect-е

Видно, что приходит от шлюза пакет, в котором содержится информация о том, что пакеты необходимо перенаправлять напрямую к нашему запрашиваемому хосту. При этом тип ICMP – 5, код – 1. Поимо этого инкапсулирован ip-пакет в ICMP-пакет.

Проанализируем содержимое пакета с сообщением host unreachable.

.

Рис. 2.5.3. Пакет с сообщением о «host unreachable»

Также как и в предыдущем случае, наблюдаем инкапсулированность ip-пакета. Тип ICMP – 3, код – 1.

Использование утилиты tracert

Утилита tracert используется для  определения маршрутов следования данных в сетях TCP/IP. Для определения промежуточных маршрутизаторов tracert отправляет целевому узлу серию ICMP-пакетов, с каждым шагом увеличивая значение поля TTL («время жизни») на 1. Это поле обычно указывает максимальное количество маршрутизаторов, которое может быть пройдено пакетом. Первая серия пакетов отправляется с TTL, равным 1, и поэтому первый же маршрутизатор возвращает обратно ICMP-сообщение "time exceeded in transit", указывающее на невозможность доставки данных. Tracert фиксирует адрес маршрутизатора, а также время между отправкой пакета и получением ответа (эти сведения выводятся на монитор компьютера). Затем tracert повторяет отправку серии пакетов, но уже с TTL, равным 2, что заставляет первый маршрутизатор уменьшить TTL пакетов на единицу и направить их ко второму маршрутизатору. Второй маршрутизатор, получив пакеты с TTL=1, так же возвращает "time exceeded in transit".