基于 Wireshark 分析 IP 协议

一、IP 协议

IP（Internet Protocol）协议是一种网络层协议，它用于在计算机网络中实现数据包的传输和路由。

IP协议的主要功能有：

数据报格式：IP协议将待传输的数据分割成一个个数据包，每个数据包包含有源地址、目的地址、数据内容和其他控制信息。
路由选择：IP协议通过路由器将数据包从源地址传输到目的地址，路由器根据目的地址选择最佳路径进行传输。
路由寻址：IP协议使用IP地址来标识网络中的设备和主机，通过IP地址可以确定数据包的源地址和目的地址。
分组传输：IP协议将数据包分割成较小的数据片段（分组），每个分组都包含了源地址和目的地址等信息，分组可以独立传输，然后在目的地址重新组装。
数据包重传：IP协议可以通过检测丢失的数据包，并进行重传，以确保数据的可靠性。
IP地址分配：IP协议管理和分配IP地址，确保网络中的设备可以正确地发送和接收数据包。

IP协议是互联网的核心协议之一，它通过将数据包从源地址传输到目的地址，实现了全球范围内的数据交换和通信。同时，IP协议也为其他网络协议提供了基础，如TCP、UDP等传输层协议都是在IP协议之上运行的。

二、IPv4

2.1 IPv4 头

IPv4头部是IP协议中数据包的固定部分，它包含了一系列字段，用于传输和路由数据包。IPv4头部的长度为20字节，可以扩展到最多60字节。

bash 复制代码

0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Version|  IHL  |Type of Service|          Total Length         |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|         Identification        |Flags|      Fragment Offset    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|  Time to Live |    Protocol   |         Header Checksum       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                       Source IP Address                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Destination IP Address                     |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Options (if any)                          |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

IPv4头部的字段包括：

版本（Version）：占4位，表示IP协议的版本，IPv4为4。
首部长度（Header Length）：占4位，表示IPv4头部的长度，以4字节为单位。由于IPv4头部长度是可变的，所以需要乘以4来得到实际的字节数。
服务类型（Type of Service）：占8位，用于指定IP包的服务质量，如优先级、延迟、吞吐量等。
总长度（Total Length）：占16位，表示整个IP包的长度，包括头部和数据部分。
标识（Identification）：占16位，用于唯一标识每个IP数据包。
标志（Flags）：占3位，用于标识是否分片以及分片的处理。其中最后一位为"不分片标志"，表示是否允许数据包进行分片。
片偏移（Fragment Offset）：占13位，表示数据包在原始数据中的位置，用于重组分片。
生存时间（Time to Live）：占8位，表示数据包在网络中允许经过的最大跳数，每经过一个路由器，该值减1，直到为0时被丢弃。
协议（Protocol）：占8位，表示上层协议的类型，如TCP、UDP、ICMP等。
首部校验和（Header Checksum）：占16位，用于检验IPv4头部的完整性。
源IP地址（Source IP Address）：占32位，表示数据包的源IP地址。
目的IP地址（Destination IP Address）：占32位，表示数据包的目的IP地址。

IPv4头部之后是可选的选项字段，用于提供额外的信息或进行特定的处理，长度可变。

IPv4头部的字段信息和标志位的设置对数据包的传输和路由起着关键作用，它们决定了数据包的优先级、分片处理、路由选择等。通过这些字段，IPv4协议实现了数据包的可靠传输和全球范围内的路由选择。

抓包分析

2.2 IP 分片

IP分片是指将一个较大的IP数据包拆分成多个较小的IP数据片段进行传输的过程。这是由于互联网中，不同网络设备和链路对数据包的最大传输单元（MTU）有限制，如果数据包超过MTU，就需要将其分成适合MTU大小的片段进行传输。

IP分片涉及到两个重要字段：标志（Flags）和片偏移（Fragment Offset）。

标志字段有3个位，包括：

最高位：保留位，始终设置为0。
第二位：不分片（DF，Don't Fragment）标志位，如果设置为1，表示数据包不允许分片。
第三位：更多分片（MF，More Fragments）标志位，如果设置为1，表示还有更多的分片。

片偏移字段占13位，表示数据片段在原始数据中的位置，以8字节为单位。

当一个数据包需要分片时，发送方将数据包分成适合MTU大小的片段，并设置标志和偏移字段。接收方在接收到这些片段后，根据标志和偏移字段进行重组，恢复原始的数据包。

重组过程包括以下步骤：

接收方收到第一个片段时，它会检查不分片标志（DF）是否设置为1。如果是，表示不允许分片，那么接收方会丢弃整个数据包，并发送ICMP"分片被禁止"消息给发送方。
接收方根据标志和偏移字段，将收到的片段按照片偏移进行排序。片偏移为0的片段是原始数据包的第一个片段，其他片段按照片偏移的大小进行排序。
接收方根据片偏移和片段的长度，将这些片段进行重组，恢复原始的数据包。
如果还有更多的分片（MF标志设置为1），接收方会继续等待后续的片段，直到收到最后一个片段（MF标志设置为0）。
如果接收方在一定时间内没有收到后续片段，它会丢弃已接收的片段，并发送ICMP"分片超时"消息给发送方。

IP分片可以确保大的数据包能够在网络中正确传输，但它也增加了网络延迟和处理的复杂性。因此，在设计网络应用时，尽量避免产生大的数据包，或者使用更高层的协议（如TCP）来处理分片和重组。

三、IPv6

3.1 IPv6 包结构

以下是一个简化版的IPv6包结构表格，以及其中各个字段的含义解析：

字段名称	长度（bits）	描述
版本	4	IP协议版本号，固定为6，代表IPv6
流量类别	8	用于QoS（服务质量）的传输类型域
流标签	20	简化5元组，实现基于网络层流量识别
负载长度	16	IPv6负载的长度（不包括包头）
下一个包头	8	标识下一个包头类型或上层协议类型
跳数限制	8	数据包在转发过程中可以经过的最大路由器数
源地址	128	数据包发送方的地址
目的地址	128	数据包接收方的地址

IPv6包头中的这些字段共同定义了IPv6数据包的格式和传输方式。

版本字段：用于标识IP协议版本，IPv6的值为6。
流量类别字段：提供关于数据包优先级和QoS需求的信息，以便网络设备进行相应处理。
流标签字段：用于网络流量识别，简化路由选择和其他网络操作。
负载长度字段：指示IPv6包头后的数据长度，包括扩展头和上层协议数据单元。
下一个包头字段：标识紧随当前包头之后的下一个包头类型或上层协议类型，用于数据包处理过程中的解析和转发。
跳数限制字段：类似于IPv4的生存时间（TTL）字段，每经过一个路由器，该字段值减1，当值为0时，数据包将被丢弃，以防止数据包在网络中无限循环。
源地址和目的地址字段：分别标识数据包的发送方和接收方地址，采用128位的IPv6地址格式，提供更大的地址空间。

请注意，这只是一个简化版的IPv6包头结构表格，实际的IPv6包可能还包含扩展包头和上层协议数据单元等部分。此外，IPv6包头中的某些字段可能具有更复杂的结构和功能，需要根据具体的应用场景和协议规范进行深入了解。

3.2 邻居请求

IPv6 不支持广播流量，所以解析 ARP 时会用到另一种新协议

IPv6中的邻居请求（Neighbor Solicitation，NS）是IPv6邻居发现协议（Neighbor Discovery Protocol，NDP）中的一个重要消息类型。邻居发现协议用于在IPv6中执行类似IPv4中ARP（地址解析协议）的功能，以及处理IPv6中的路由器发现和前缀重新编号等问题。

邻居请求消息的主要作用包括：

地址解析：当一个IPv6节点想要知道某个IPv6地址对应的链路层地址（如MAC地址）时，它会发送一个邻居请求消息。这个请求消息会广播到本地链路上，询问是否有节点拥有这个特定的IPv6地址。
邻居可达性检测：IPv6节点可以使用邻居请求消息来检测邻居节点是否仍然可达。这通常是通过发送一个邻居请求消息并等待相应的邻居通告（Neighbor Advertisement，NA）消息来完成的。
重复地址检测（DAD）：当一个节点配置了一个新的IPv6地址时，它会发送邻居请求消息来检查该地址是否已经被网络上的其他节点使用。如果收到邻居通告消息，则说明该地址已经被使用，节点需要选择一个新的地址。

邻居请求消息的格式如下：

类型：标识消息类型为邻居请求。
代码：对于邻居请求消息，此字段通常设置为0。
校验和：用于验证消息的完整性。
目标地址：节点想要解析其链路层地址的IPv6地址。
选项：可以包含各种附加信息，如源链路层地址选项（用于在响应中包含发送方的链路层地址）。

当一个节点发送邻居请求消息时，它会等待一段时间以接收可能的邻居通告消息。如果没有收到响应，或者响应表明目标地址不可用，节点会采取相应的操作，如重新配置地址或标记目标节点为不可达。

邻居请求和邻居通告消息一起，在IPv6中实现了地址解析、邻居可达性检测和重复地址检测等关键功能，确保了IPv6网络中的节点能够高效、准确地发现和维护邻居节点的信息。

如果对应请求报文

邻居通告报文

关于 Flags 字段解释：

Router (设置): 这个标志位表明发送该消息的设备是一个路由器。在IPv6中，路由器会设置这个标志位，以便网络中的其他节点能够知道它们可以通过这个设备到达其他网络。
Solicited (设置): 这个标志位表示该消息是对之前的一个请求的直接响应。在邻居发现过程中，当一个节点发送邻居请求消息时，收到该请求的邻居节点会在其响应的邻居通告消息中设置Solicited标志位，以指示这是一个对请求的响应。
Override (设置): 这个标志位用于处理地址解析中的冲突。当设备收到一个邻居通告消息时，如果它已经有一个关于目标IPv6地址的缓存条目，并且该条目的链路层地址与通告中的不同，那么Override标志位决定了是否应该更新缓存中的链路层地址。如果Override标志位被设置，那么缓存中的条目将被更新为通告中的链路层地址。
Reserved (值为0): 这个字段是保留字段，用于将来的扩展。当前其值被设置为0，表示没有使用任何保留位。

3.3 IPv6 分片

在IPv6中，与IPv4不同，IPv6数据包的分片过程更加简化，因为IPv6要求中间网络设备（如路由器）必须支持最大传输单元（MTU）的路径发现和通告，以确保数据包不需要进行分片。

IPv6头部中没有像IPv4中的分片字段（标志和片偏移），而是引入了"分片扩展头部"（Fragment Header）来处理分片。

IPv6分片的过程如下：

发送方根据所需的MTU大小，将数据包进行分片。
发送方在原始IPv6头部后添加一个或多个分片扩展头部，每个分片扩展头部对应一个分片。
每个分片扩展头部包含了分片的顺序编号（Fragment Offset）和更多分片（MF）标志位。
接收方通过检查分片扩展头部来确定是否存在分片，并按顺序重组分片。
接收方根据分片扩展头部中的顺序编号将分片按照正确的顺序重组成原始数据包。
如果还有更多分片，接收方会等待后续的分片，直到收到最后一个分片（MF标志位设置为0）。
如果接收方在一定时间内没有收到后续分片，它会丢弃已接收的分片，并且不会发送任何分片超时的消息。

需要注意的是，IPv6中的分片是端到端的，也就是说，只有发送方和接收方之间进行分片和重组，中间的路由器不会进行分片操作。这使得IPv6网络中的路由器更加简化，提高了路由器的性能和可扩展性。

由于IPv6中的分片是在端到端进行的，因此在设计网络应用时，应该尽量避免产生大的IPv6数据包，以减少分片的需求，从而提高网络性能和可靠性。

3.4 IPv6 转换协议

IPv6转换协议（IPv6 Transition Protocols）是一组协议和机制，用于实现IPv6和IPv4之间的互操作性和平滑过渡。这些协议和机制旨在帮助IPv4和IPv6网络之间进行通信，并逐步过渡到纯IPv6网络。

以下是一些常见的IPv6转换协议：

IPv6 over IPv4 Tunneling（IPv6通过IPv4隧道传输）：

6to4：将IPv6数据包封装在IPv4数据包中，通过IPv4网络进行传输，以实现IPv4到IPv6的通信。
ISATAP（Intra-Site Automatic Tunnel Addressing Protocol）：通过IPv4网络创建虚拟的IPv6链路，使IPv6主机能够直接通信。
Teredo：通过UDP隧道在IPv4网络上传输IPv6数据包，允许IPv6主机在IPv4网络上进行全球IPv6连接。

IPv6 over IPv4 Translation（IPv6通过IPv4地址转换）：

NAT64（Network Address Translation 64）：使用IPv6地址和IPv4地址之间的转换，实现IPv6主机与IPv4主机之间的通信。
SIIT（Stateless IP/ICMP Translation）：无状态的IPv6和IPv4地址转换技术，通过映射IPv6地址和IPv4地址来实现互操作性。

Dual Stack（双栈）：

在支持IPv6的网络设备上同时启用IPv4和IPv6协议栈，以实现IPv4和IPv6之间的双向通信。

IPv6/IPv4 Proxy（IPv6/IPv4代理）：

在IPv4环境中，代理服务器接收IPv6请求，并将其转换为IPv4请求，并将IPv4响应转换为IPv6响应，以实现IPv6和IPv4之间的通信。

这些IPv6转换协议和机制提供了不同的方式来促进IPv4和IPv6之间的互通性和平滑过渡。它们可以在IPv4和IPv6之间提供中间解决方案，使得在网络升级和过渡期间能够继续进行通信，并逐步迁移到纯IPv6环境。