Сделайте скриншот и проанализируйте полученный результат.

При обращении к хосту B хост A действует следующим образом.

Сначала хост A определяет, в какой сети – локальной или удаленной – находится хост B. Для этого он выполняет операцию логического И для своего IP-адреса 192.168.0.2 и стандартной маски подсети класса C 255.255.255.0 (IP-адрес и маска задаются в настройках TCP/IP хоста). Затем он выполняет операцию логического И для IP-адреса хоста B 192.168.0.1 и той же маски 255.255.255.0. Если результаты выполнения этих операций совпадают (в данном случае – да, результаты обеих операций И – 192.168.0.0), значит, хост B находится в той же сети, что и хост A (т.е. в локальной сети), а если нет, то хост B расположен в другой (удаленной) сети.

Затем хост A просматривает собственную таблицу ARP на предмет наличия в ней записи, устанавливающей соответствие между IP-адресом и MAC-адресом хоста B. Если такая запись имеется, хост A вводит MAC-адрес хоста B в поле адрес назначения заголовка кадра Ethernet (см. рис. 1) и передает кадр хосту B. Если нужной записи нет, то для выяснения MAC-адреса хоста B хост A использует протокол ARP. В этом случае последовательность событий следующая.

Хост A посылает в локальную сеть широковещательный кадр Ethernet (см. рис. 5) (что содержится в поле адрес назначения?) и идентификатором протокола ARP в поле тип протокола заголовка кадра, указывая в поле код операции ARP-пакета код ARP-запроса (какой?), а в поле сетевой адрес получателя – IP-адрес хоста B (какой?). При этом поле аппаратный адрес получателя содержит … (что именно?), что означает, что MAC-адрес хоста B неизвестен, и хост A хочет этот адрес выяснить. Широковещательный кадр с ARP-запросом принимается всеми хостами сети (на рис. 3 показаны только два хоста), но ответ на него должен дать только хост, IP-адрес которого совпадает с IP-адресом, указанным в поле сетевой адрес получателя, т.е. только хост B.

Рис. 5. Широковещательная передача ARP-запроса хостом A

Заполните таблицу рисунка 5.

Хост B, обработав принятый кадр, понимает, что некоторый хост с MAC-адресом 00-50-BF-20-01-21 и IP-адресом 192.168.0.2 запрашивает у него MAC-адрес. Хост B записывает в свою ARP-таблицу соответствие между IP-адресом и MAC-адресом хоста A. Затем посылает в локальную сеть кадр Ethernet с ARP-ответом (см. рис. 6, где первые четыре поля ARP-пакета для простоты опущены, т.к. при определении в сети Ethernet MAC-адресов по IP-адресам содержимое этих полей всегда одно и то же), указывая в поле адрес назначения заголовка кадра MAC-адрес хоста A. Таким образом, кадр с ARP-ответом посылается не широковещательно, а направленно – конкретному хосту, пославшему ARP-запрос. Как видно из рис. 6, поле код операции ARP-пакета содержит значение … (какое?), идентифицирующее ARP-ответ, а в поле аппаратный адрес отправителя хост B указывает свой MAC-адрес, который запросил хост A.

Рис. 6. Направленная передача ARP-ответа хостом B хосту A

Заполните таблицу рисунка 6.

Получив ARP-ответ, хост A записывает в свою таблицу ARP соответствие между IP-адресом и MAC-адресом хоста B и направляет хосту B кадр с данными.

Приведите скриншот (рис. 7) окно захвата Пакеты анализатора EtherPeek на хосте A после ввода на хосте A команды ping–n1192.168.0.1 при условии, что таблица ARP хоста A пуста. По умолчанию команда ping посылает четыре эхо-запроса; ввод параметра –n1 приводит к передаче только одного эхо-запроса, чтобы уменьшить число захваченных анализатором пакетов для упрощения восприятия полученных результатов.

Как видно из полученного скриншота, хост A с MAC-адресом (каким?) сначала посылает широковещательный ARP-запрос, пытаясь выяснить MAC-адрес хоста B (пакет 1). Затем хост B сообщает свой MAC-адрес (какой?) (пакет 2). Выяснив MAC-адрес хоста B, хост A посылает на хост B эхо-запрос (пакет 3) и принимает от этого хоста эхо-ответ (пакет 4).

Отметим, что кадры ARP-запроса и ARP-ответа имеют минимально допустимую для кадра Ethernet длину – 64 байта (столбец Size) (без учета преамбулы и начального ограничителя кадра), причем поле ARP-пакета (в соответствии с рис. 3) имеет длину 28 байт, а минимально допустимая длина поля данных, как было отмечено в разделе – 46 байт. Поэтому поле данных кадра в ARP-запросе и ARP-ответе дополняется до 46 байт восемнадцатью байтами из одних нулей или единиц (секция Extra bytes).

Приведите скриншот (рис. 8) содержимого захваченного кадра ARP-запроса от хоста A (в левом окне), т.е. кадра, показанного в строке 1 пердыдущего скриншота (рис. 7). С помощью него заполните таблицу на рис. 5. Выделите и рассмотрите секцию Extra bytes, (для чего она служит, чем заполнена, в каком количестве?) В нижней части данных анализатора будут выделены шестнадцатеричные значения этих байт.

Приведите скриншот содержимого (рис. 9) захваченного кадра ARP-ответа хоста B хосту A, т.е. кадра в строке 2 на рис. 7. По его данным заполните таблицу на рис. 6. Выделите и рассмотрите секцию Extra bytes в ARP-ответе, (для чего она служит, чем заполнена, в каком количестве?)

При использовании анализатора EtherPeek в лабораторной работе понадобятся фильтры. Дело в том, что в локальной сети может работать много хостов, а для изучения протокола ARP удобно наблюдать за передачей данных только между конкретными хостами, выбранными для эксперимента. Если не использовать фильтров, то анализатор будет захватывать пакеты не только от хостов, выбранных для эксперимента, но и от других хостов. Кроме того, даже между выбранными хостами во время эксперимента могут передаваться служебные данные протоколов верхних уровней, которые также будут захватываться анализатором. В результате в информации, полученной в окне захвата анализатора, будет довольно трудно разобраться. Поэтому следует использовать фильтры.

В анализаторе EtherPeek имеется ряд фильтров, предназначенных для фильтрации пакетов различных протоколов. Предусмотрена также возможность создания фильтров пользователем, например, для фильтрации пакетов с учетом MAC-адресов и IP-адресов источника и получателя. В лабораторной работе понадобятся фильтры с фильтрацией по протоколам и адресам. В частности, в эксперименте для случая, когда хост-отправитель и хост-получатель находятся в одной сети, с хоста A на хост B будет посылаться эхо-запрос (ping), причем в момент отправки этого запроса таблица ARP хоста A должна быть пуста. Чтобы в окне захвата анализатора увидеть только четыре пакета обмена данными между хостами A и B (и больше никакого “мусора”), нужно создать для них четыре фильтра.

На рис. 10 показано окно создания фильтра (Edit Filter) для захвата ARP-запросов от хоста A.

Рис. 10. Фильтр для захвата ARP-запросов от хоста A

В поле Filter введено название фильтра. В поле Comment – комментарий. Кроме того, в этом окне имеются секции фильтрации по адресам (Address filter), по протоколу (Protocol filter) и по портам (Port filter). В поле Address 1 введен MAC-адрес хоста A, а значение Ethernet Broadcast в поле Address 2 идентифицирует широковещательный MAC-адрес. В поле Type выбрана опция Physical, указывающая, что в полях Address 1 и Address 2 заданы физические адреса. Надпись Address 1 to 2 на кнопке с большой стрелкой вправо означает, что фильтрация пакетов будет осуществляться в направлении от адреса 1 к адресу 2, т.е. в данном случае будут захватываться кадры от хоста A с широковещательным MAC-адресом назначения. В секции Protocolfilter указано, что будут фильтроваться только ARP-запросы (ARP Request). Секция Port filter не заполнена, поскольку в формате ARP-сообщения (см. рис. 3) отсутствуют номера портов, т.к. протокол ARP относится к протоколам нижних уровней семиуровневой модели OSI, а номера портов используются только для протоколов верхних уровней.

На рис. 11 показано окно создания фильтра для захвата ARP-ответов хоста B хосту A.

Рис. 11. Фильтр для захвата ARP-ответов хоста B хосту A

На рис. 12 и 13 показаны окна создания фильтров для захвата эхо-запросов от хоста A к любому хосту и эхо-ответов от любого хоста к хосту A; эти “универсальные” фильтры подойдут и для эксперимента, когда хост-получатель расположен в удаленной сети.

Рис. 12. Фильтр для захвата эхо-запросов от хоста A к любому хосту

Рис. 13. Фильтр для захвата эхо-ответов от любого хоста к хосту A

Секции Port filter для фильтров эхо-запросов и эхо-ответов также не заполнены, поскольку в эхо-запросах и эхо-ответах порты не используются, т.к. протокол ICMP, как и протокол ARP, относится к протоколам нижних уровней модели OSI.

Указания к выполнению