IP,TCP,UDP,ICMP报头

以太网首部

目地MAC地址（8字节） 源MAC地址（8字节） 类型（2字节） 1、IP头的结构

版本（4位） 头长度（4位） 服务类型（8位） 封包总长度（16位） 片断偏移地址（13位） 存活时间（8位） 协议（8位） 校验和（16位） 来源IP地址（32位） 目的IP地址（32位） 选项（可选） 填充（可选） 数据 （1）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺

序是从左到右，依次从低位到高位。

（2）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。 （3）服务类型：前3位为优先字段权，现在已经被忽略。接着4位用来表示最

小延迟、最大吞吐量、最高可靠性和最小费用。 （4）封包总长度：整个IP报的长度，单位为字节。

（5）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比

如初始值设置为32，则每通过一个路由器处理就会被减一，当这个值为0的时候就会丢掉这个包，并用ICMP消息通知源主机。 （6）协议：定义了数据的协议，分别为：TCP、UDP、ICMP和IGMP。定义为：

＃define PROTOCOL_TCP 0x06 ＃define PROTOCOL_UDP 0x11 封包标识（16位） 标志（3位） ＃define PROTOCOL_ICMP 0x06 ＃define PROTOCOL_IGMP 0x06

（7）检验和：校验的首先将该字段设置为0，然后将IP头的每16位进行二进

制取反求和，将结果保存在校验和字段。 （8）来源IP地址：将IP地址看作是32位数值则需要将网络字节顺序转化位主

机字节顺序。转化的方法是：将每4个字节首尾互换，将2、3字节互换。 （9）目的IP地址：转换方法和来源IP地址一样。

在网络协议中，IP是面向非连接的，所谓的非连接就是传递数据的时候，不检

测网络是否连通。所以是不可靠的数据报协议，IP协议主要负责在主机之间寻址和选择数据包路由。

2、ICMP协议的头结构

类型（8位） 代码（8位） 类型或者代码 （1）类型：一个8位类型字段，表示ICMP数据包类型。（2）代码：一个8位代码域，表示指定类型中的一个功能。如果一

个类型中只有一种功能，代码域置为0。（3）检验和：数据包中ICMP部分上的一个16位检验和。

校验和（8位）

3、TCP协议的头结构

来源端口（2字节） 序号（4字节） 头长度（4位） URG ACK PSH RST 窗口大小（2字节） 紧急指针（16位） 数据 目的端口（2字节） 确认序号（4字节） 保留（6位） SYN 选项（可选） PIN 校验和（16位） （1）TCP源端口（Source Port）：16位的源端口包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。

（2）TCP目的端口（Destination Port）：16位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。

（3）序列号（Sequence Number）：TCP连线发送方向接收方的封包顺序号。

（4）确认序号（Acknowledge Number）：接收方回发的应答顺序号。

（5）头长度（Header Length）：表示TCP头的双四字节数，如果转化为字节个数需要乘以4。

（6）URG：是否使用紧急指针，0为不使用，1为使用。

（7）ACK：请求/应答状态。0为请求，1为应答。

（8）PSH：以最快的速度传输数据。

（9）RST：连线复位，首先断开连接，然后重建。

（10）SYN：同步连线序号，用来建立连线。

（11）FIN：结束连线。如果FIN为0是结束连线请求，FIN为1表示结束连线。

（12）窗口大小（Window）：目的机使用16位的域告诉源主机，它想收到的每个TCP数据段大小。

（13）校验和（Check Sum）：这个校验和和IP的校验和有所不同，不仅对头数据进行校验还对封包内容校验。

（14）紧急指针（Urgent Pointer）：当URG为1的时候才有效。TCP的紧急方式是发送紧急数据的一种方式。

4、UDP协议的头结构

源端口（2字节） 封报长度（2字节） 数据 （1）源端口（Source Port）：16位的源端口域包含初始化通信的端口号。源端口和IP地址的作用是标识报文的返回地址。（2）

目的端口（Destination Port）：6位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。（3）封包长度（Length）：UDP头和数据的总长度。（4）校验和（Check Sum）：和TCP和校验和一样，不仅对头数据进行校验，还对包的内容进行校验。

目的端口（2字节） 校验和（2字节） 5、ARP报头结构

硬件类型 协议类型 硬件地址长度 协议长度 操作类型 发送方的硬件地址（0-3字节） 源物理地址（4-5字节） 源IP地址（0-1字节） 源IP地址（2-3字节） 目标硬件地址（0-1字节） 目标硬件地址（2-5字节） 目标IP地址（0-3字节） （1）硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1；（2）协议类型字段指明了发送方提供的高层协议类

型，IP为0800（16进制）；（3）硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；（4）操作字段用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；（5）发送方的硬件地址（0-3字节）：源主机硬件地址的前3个字节；（6）发送方的硬件地址（4-5字节）：源主机硬件地址的后3个字节；（7）发送方IP（0-1字节）：源主机硬件地址的前2个字节；（8）发送方IP（2-3字节）：源主机硬件地址的后2个字节；（9）目的硬件地址（0-1字节）：目的主机硬件地址的前2个字节；（10）目的硬件地址（2-5字节）：目的主机硬件地址的后4个字节；（11）目的IP（0-3字节）：目的主机的IP地址。

ARP的工作原理如下：

1. 首先，每台主机都会在自己的ARP缓冲区(ARP Cache)中建立一个 ARP列表，以表示IP地址和MAC地址的对应关系。

2. 当源主机需要将一个数据包要发送到目的主机时，会首先检查自己 ARP列表中是否存在该 IP地址对应的MAC地址，如果

有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本地网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。

3. 网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据

包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个 ARP响应数据包，告诉对方自己是它需要查找的MAC地址；

4. 源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开

始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败