(3) 你主机的IP地址是什么？你访问的服务器的IP地址是什么？ 答：我主机的IP地址是10.130.153.10
我访问的服务器IP地址是210.41.224.132
Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。
Wireshark作为计算机网络实验所用辅助软件，将在之后的实验中起巨大作用，帮助我们理解各种协议的执行机制，更深刻的理解所学内容。
- 19 -
实验三 使用Wireshark分析以太网帧、ARP协议、IP协议、TCP
协议、HTTP协议
一、实验目的
1、分析以太网帧，MAC地址和ARP协议。 2、分析IP协议 3、分析IP数据报分片 4、分析TCP协议 5、分析HTTP协议
二、实验环境
与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。
三、实验内容
（一）分析以太网帧，MAC地址和ARP协议
IP地址用于标识因特网上每台主机，而端口号则用于区别在同一台主机上运行的不同网络应用程序。在链路层，有介质访问控制（Media Access Control,MAC）地址。在局域网中，每个网络设备必须有唯一的MAC地址。设备监听共享通信介质以获取目标MAC地址与自己相匹配的分组。
Wireshark 能把MAC地址的组织标识转化为代表生产商的字符串。址ff:ff:ff:ff:ff:ff是一个特殊的MAC地址，意味着数据应该广播到局域网的所有设备。
在因特网上，IP地址用于主机间通信，无论它们是否属于同一局域网。同一局域网间主机间数据传输前，发送方首先要把目的IP地址转换成对应的MAC地址。这通过地址解析协议ARP实现。每台主机以ARP高速缓存形式维护一张已知IP分组就放在链路层帧的数据部分，而帧的目的地址将被设置为ARP高速缓存中找到的MAC地址。如果没有发现IP地址的转换项，那么本机将广播一
- 20 -
个报文，要求具有此IP地址的主机用它的MAC地址作出响应。具有该IP地址的主机直接应答请求方，并且把新的映射项填入ARP高速缓存。
发送分组到本地网外的主机，需要跨越称为网关或路由器的中间机器连接。网关有多个网络接口卡，用它们同时连接多个本地网。最初的发送者或源主机直接通过本地网发送数据到本地网关，网关转发数据报到其它网关，直到最后到达目的主机所在的本地网的网关。
1、俘获和分析以太网帧
（1）选择 工具->Internet 选项->删除文件 （2）启动Wireshark 分组嗅探器
（3）在浏览器地址栏中输入如下网址并回车：http://www.cuit.edu.cn （4）停止分组俘获。在俘获分组列表中（listing of captured packets）中找到HTTP GET 信息和响应信息，如下图所示。
HTTP GET信息被封装在TCP分组中，TCP分组又被封装在IP数据报中，IP数据报又被封装在以太网帧中）。在分组明细窗口中展开Ethernet II信息（packet details window）。回答下面的问题：
1、
你所在的主机48-bit Ethernet 地址是多少？
- 21 -
答：Address: Dell_e3:81:ee (18:03:73:e3:81:ee) 2、
Ethernet 帧中目的地址是多少？这个目的地址是www.cuit.edu.cn的
Ethernet 地址吗？
答：Address: Hangzhou_8d:87:f1 (00:23:89:8d:87:f1)
是。存在这个目的地址向本地主机的数据传输。 2、分析ARP协议 (1)ARP Caching
ARP协议用于将目的IP转换为对应的MAC地址。Arp命令用来观察和操作缓存中的内容。虽然arp命令和ARP有一样的名字，很容易混淆，但它们的作用是不同的。在命令提示符下输入arp可以看到在你所在电脑中ARP缓存中
- 22 -
的内容。为了观察到你所在电脑发送和接收ARP信息，我们需要清除ARP缓存，否则你所在主机很容易找到已知IP和匹配的MAC地址。 步骤如下：
（1）清除ARP cache，具体做法：在MSDOS环境下，输入命令arp –d * command ，The –d 表示清除操作, * 删除all table entries.
（2）选择 工具->Internet 选项->删除文件 （3）启动Wireshark分组俘获器
（4）在浏览器地址栏中输入如下网址：www.cuit.edu.cn/ShowHtml?url= xrld （5）停止分组俘获。
（6）选择 Analyze->Enabled Protocols->取消IP选项->选择OK。如下图：
- 23 -