以太网帧格式分析
实验报告
实验名称以太网帧格式分析
姓名学号实验日期
实验报告要求：1.实验目的 2.实验要求 3.实验环境 4.实验作业
5.问题及解决
6.思考问题
7.实验体会
【实验目的】
1．复习Wireshark抓包工具的使用及数据包分析方法。
2．通过分析以太网帧了解以太网数据包传输原理。
【实验要求】
用Wireshark1.4.9截包，分析数据包。
观察以太网帧，Ping同学的IP地址，得到自己和同学的mac地址。
观察以太网广播地址，观察ARP请求的帧中目标mac地址的格式。
用ping-l指定数据包长度，观察最小帧长和最大帧长。
观察封装IP和ARP的帧中的类型字段。
【实验环境】
用以太网交换机连接起来的windows 7操作系统的计算机，通过802.1x方式接入Internet。
【实验中出现问题及解决方法】
1．在使用命令行“ping -l 0 IP”观察最小帧长时抓到了长度为42字节的帧，与理论上最小帧长64字节相差甚远。通过询问教员和简单的分析，知道了缺少字节的原因是当Wireshark抓到这个ping请求包时，物理层还没有将填充（Trailer）字符加到数据段后面，也没有算出最后4字节的校验和序列，导致出现最小42字节的“半成品”帧。可以通过网卡的设置将这个过程提前。
2．在做ping同学主机的实验中，发现抓到的所有ping请求帧中IP数据部分的头校验和都是错误的。原本以为错误的原因与上一个问题有关，即校验和错误是因为物理层还没有将填充字符加到数据段后面。但是这个想法很快被证明是错误的，因为在观察最大帧长时，不需要填充字符的帧也有同样的错误。一个有趣的现象是，封装在更里层的ICMP数据包的校验和都是正确的。这就表明IP层的头校验和错误并没有影响正常通信。进一步观察发现，这些出错的头校验和的值都是0x0000，这显然不是偶然的错误。虽然目前还没有得到权威的答案，但是可以推测，可能是这一项校验实际上并没有被启用。作为中间层的IP头的意义是承上启下，而校验的工作在更需要的上层的IMCP包和下层MAC头中都有，因此没有必要多此一举。
【思考问题】
1．为什么可以ping到同宿舍（连接在同一个交换机上）的主机而ping不到隔壁宿舍的主机？
通常情况下，如果配置正确，设备都连接着同一个网络（互联网），而且没有防火墙等阻拦，就可以正常ping到同一网络中的任何主机。在第一次实验中，我们曾成功地ping到了https://www.sodocs.net/doc/562278118.html,的IP。
在ping其他宿舍的IP时需要通过宿舍的交换机将ping请求先转发给楼层交换机，再由楼层交换机转发给目标IP所在的宿舍交换机。分析无法ping到隔壁宿舍主机的原因，很可能是楼层交换机设置了禁止内部ping的防火墙，阻止了本楼层交换机地址段内的主机相互ping对方。而同宿舍之所以可以相互ping 到，是因为ping请求没有经过楼层交换机，直接由宿舍交换机转发给了目标IP主机。
2．什么是ARP攻击？
让我们继续分析4.1 ARP原理，A得到ARP应答后，将B的MAC地址放入本机缓存。但是本机MAC 缓存是有生存期的，生存期结束后，将再次重复上面的过程。（类似与我们所学的学习网桥）。
然而，ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。
这时，我们假设局域网中的某台机器C冒充B向A发送一个自己伪造的ARP应答，即IP地址为B
的IP，而MAC地址是伪造的，则当A接收到伪造的ARP应答后，就会更新本地的ARP缓存，这样在A 看来B的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通B！这就是一个简单的ARP欺骗。
【实验体会】
这次实验最大的感触是体会到了网络通信过程的趣味性。在做ping同学IP的实验时，我发现抓到的包之间有紧密的联系，相互的应答过程很像实际生活中人们之间的对话。尤其是ARP帧，为了获得对方的MAC地址，乐此不疲地在网络中广播“谁有IP为XXX的主机？”，如果运气好，会收到网桥中某个路由器发来的回复“我知道，XXX的MAC地址是YYY！”。另外，通过ping同学主机的实验，以及对实验过程中问题的分析，使我对之前模糊不清的一些概念有了全面的认识，如交换机、路由器的区别与功能，局域网各层次的传输顺序与规则等。还有一点就是，Wireshark不是万能的，也会有错误、不全面的地方，这时更考验我们的理论分析与实践论证能力。
成绩优良中及格不及格
教师签名：日期：
【实验作业】
1 观察并分析通常的以太网帧
1.1 以太网帧格式
目前主要有两种格式的以太网帧：Ethernet II（DIX 2.0）和IEEE 802.3。我们接触过的IP、ARP、EAP和QICQ协议使用Ethernet II帧结构，而STP协议则使用IEEE 802.3帧结构。
Ethernet II是由Xerox与DEC、Intel（DIX）在1982年制定的以太网标准帧格式，后来被定义在RFC894中。IEEE 802.3是IEEE 802委员会在1985年公布的以太网标准封装结构（可以看出二者时间
相差不多，竞争激烈），RFC1042规定了该标准（但终究二者都写进了IAB管理的RFC文档中）。
下图分别给出了Ethernet II和IEEE 802.3的帧格式：
⑴前导码（Preamble）：由0、1间隔代码组成，用来通知目标站作好接收准备。以太网帧则使用8个字节的0、1间隔代码作为起始符。IEEE 802.3帧的前导码占用前7个字节，第8个字节是两个连续的代码1，名称为帧首定界符（SOF），表示一帧实际开始。
⑵目标地址和源地址（Destination Address & Source Address）：表示发送和接收帧的工作站的地址，各占据6个字节。其中，目标地址可以是单址，也可以是多点传送或广播地址。
⑶类型（Type）或长度（Length）：这两个字节在Ethernet II帧中表示类型（Type），指定接收数据的高层协议类型。而在IEEE 802.3帧中表示长度（Length），说明后面数据段的长度。
⑷数据（Data）：在经过物理层和逻辑链路层的处理之后，包含在帧中的数据将被传递给在类型段中指定的高层协议。该数据段的长度最小应当不低于46个字节，最大应不超过1500字节。如果数据段长度过小，那么将会在数据段后自动填充（Trailer）字符。相反，如果数据段长度过大，那么将会把数据段分段后传输。在IEEE 802.3帧中该部分还包含802.2的头部信息。
⑸帧校验序列（FSC）：包含长度为4个字节的循环冗余校验值（CRC），由发送设备计算产生，在接收方被重新计算以确定帧在传送过程中是否被损坏。
1.2 实例分析
Ⅰ．Ethernet II帧分析
这一帧的长度是60字节，小于最小帧长64字节。对比1.1帧结构可以发现，前导码（Preamble）的8个字节已经被去除，因而实际帧长是68字节。目的地址（Destination Address）为[5c:26:0a:7e:3b:c7]，源地址（Source Address）为[f0:de:f1:ab:41:d8]。类型（Type）为[0x0800]，表示该帧封装的高层协议类型是IP协议。数据（Data）为[45 00 ……00 65]，因为长度低于46个字节，该数据段自动填充（Trailer）了一段字符。对比1.1帧结构可以发现，该帧没有帧校验序列（FSC），可能是抓到包时校验序列已经被底层去除（但是第5周802.1x接入实验中的EAPOE协议帧中有帧校验序列）。
Ⅱ．IEEE 802.3帧分析
这一帧的长度也是60字节，前导码的8个字节同样已经被去除，因而实际帧长也是68字节。目的地址为[01:80:c2:00:00:00]（解析为网桥间的生成树），源地址为[3c:e5:a6:f7:a9:f8]。长度（Length）为39字节，表示该帧封装的上层协议数据总长度为39字节。数据为[42 42 ……00 00]，因为数据长度为39字节低于46个字节，因此自动填充了一段字符。该帧同样没有帧校验序列。
2 ping同学的IP地址，分析帧，得到自己和同学的mac地址
开始做这个实验时，尝试去ping隔壁宿舍同学的IP地址[10.104.137.124]，但结果却不如人愿，无法ping到其主机，结果如下图：
同时用Wireshark抓包，得到了如下结果：
分析无法ping到的原因，本机一直广播发送ARP请求，询问哪个端口有[10.104.137.124]这台机器，但是却没有回应。这个问题作为思考题1进行分析。
后来去ping本宿舍（连接着同一交换机）的主机IP[10.104.137.106]获得了成功，结果如下图：
接受到了长度为32字节的回复数据包。同时用Wireshark抓包，通过下面一个ping的回应帧，可以得到自己和同学的MAC地址，结果如下图：
得到目标地址（因为是回应帧，因此这是自己的MAC地址）为[5c:26:0a:7e:3b:c7]，解析的制造商为Dell（对应自己的Dell笔记本）。源地址（同学的MAC地址）为[f0:de:f1:ab:41:d8]，解析的制造商为Wistron（同学是联想笔记本，而网卡是第三方纬创集团，可见国产品牌还需提高整体实力）。
3 验证用其他方法得到的mac地址是否一致
获取本机MAC地址的方法有多种，这里使用方法“运行-> cmd -> getmac”验证MAC地址。结果如下两图，分别在自己和同学的机器上获得本机MAC地址。
结果与ping得到的MAC地址相符，自己的MAC地址为[5c:26:0a:7e:3b:c7]，同学的MAC地址为[f0:de:f1:ab:41:d8]。
4 观察ARP请求帧中目标MAC地址的格式(以太网广播地址)
4.1 ARP原理
假设A要给B发送一个数据包，需要在帧头中填写B的MAC地址。但是这时计算机A可能只知道B的IP地址却不知道B的MAC地址，于是，在A不知道B的MAC地址的情况下，A就广播一个ARP请求包，请求包中填有B的IP，B收到请求后回应ARP应答包给A，其中含有B的MAC地址，这样A就可以开始向B发送数据包了。
4.2 ARP请求帧地址分析
用Wireshark抓包得到大量ARP帧，其中一个请求帧如下图：
目标MAC地址为[ff:ff:ff:ff:ff:ff]，表示广播发送。观察发现不只这一帧如此，所有ARP请求帧的目标MAC地址都是[ff:ff:ff:ff:ff:ff]。这一点由ARP原理很好理解，因为ARP请求帧的作用就是寻找自己不知道MAC地址的目标，因此必须采取广播的方式达到希望的目的。
5 观察最大帧长和最小帧长
5.1 理论分析
这里有必要再重现一下以太网帧的标准格式。因为单就长度而言，Ethernet II和IEEE 802.3的帧并无区别，因此这里只通过前者进行分析。Ethernet II的帧格式如下图：
理论上的最大帧长和最小帧长可以很容易地由图得到：
最大帧长：8+6+6+2+1500+4=1526字节
最小帧长：8+6+6+2+46+4=72字节
这两个结果很出乎意料，因为课本（同样是理论）告诉我们，以太网帧的最大帧长是1518字节（或是802.1Q提出的1522字节），最小帧长是64字节，这是什么原因呢？
初步推测，当数据帧到达网卡时，在物理层上网卡要去掉8字节的前导码（Preamble），所以，实际抓到的包是去掉前导码之后的数据：
最大帧长：6+6+2+1500+4=1518字节
最小帧长：6+6+2+46+4=64字节
这与课本符合的很好，那么实际是否能得到理论分析的结果呢？
5.2 实验检验
我们采用ping -l size命令来进行验证。首先，通过命令行“ping -l -1（不可能存在的size）”可以得到ping -l的测试范围为[0-65500]。，结果如下图：
不难想象，最小帧长应该是size=0时取得。用过命令行“ping -l 0 10.104.137.106（同宿舍同学的主机IP地址）”观察最短帧长，结果如下图：
上图表示ping到了size=0的帧。同时用Wireshark抓包，获得了多组ping请求/回应数据包，每组的数据和长度都相同，其中的一组ping请求/回应帧如下图：
出乎意料的是，这两帧的长度都小于理论分析的64字节。不仅如此，每一组的请求帧（左侧）都是长度为42字节（出奇的小）的出错帧（IP数据包的头校验和错误）。这个结果不禁让我们开始怀疑之前理论分析的最小帧长，难道最小帧长是左边抓到的42字节？
在分析这个问题之前，我们先用命令行“ping -l 1 10.104.137.106”尝试ping一下size=1的帧，抓包同样得到了多组等长的ping请求/回应帧，其中一组如下图：
这两帧的长度同样出人意料：不只因为长度仍都小于64字节，而是对比上一组size=0的ping请求/回应帧，这一组size=1的请求帧增加了1字节（由42变为43），而回应帧的长度没有变化！（仍是60字节）。这个结果是不符合道理的。
通过观察与分析，我们可以得出一个初步结论：Wireshark抓到的所有ping请求帧都是还未封装完成的帧，他们都没有将填充（Trailer）字符加到数据段后面就被抓包软件截获了，自然这些“半成品”被误认为是“残次品”处理，IP数据的头校验和错误应该也与此有关。因此，实际的最小帧长应该是ping回应帧的60字节。
问题仍然没有解决：为什么最小帧长是60字节而不是理论得出的64字节？对比以太网标准帧结构进一步观察，我们发现问题出在4字节的帧校验序列（FSC）上。当数据帧到达网卡时，在物理层上网
卡先去掉8字节的前导码，然后对帧进行CRC检验，并通过帧校验序列判断。如果帧校验和错，就丢弃此帧。如果校验和正确，并且目的地址是否符合接收条件，就将帧交给上层做进一步处理，同时去掉这4字节的校验码。因此，实际抓到的包是去掉前导码和帧校验序列之后的数据：
最大帧长：6+6+2+1500=1514字节
最小帧长：6+6+2+46=60字节
最小帧长的实验结果符合我们的分析，下面我们验证最大帧长。究竟size等于多少可以取得最大帧长的帧，我们并不能简单得到。事实上，我们指定的size的值是ping帧封装的ICMP协议数据包的数据（Data）部分的长度。而所有头部（MAC头+IP头+ICMP头）的长度可以由上面size=0的60字节的回应帧得到，即为填充（Trailer）字段前面的数据长度：42字节。因此，最大帧长的size=1514-42=1472。
为了验证我们的结论，我们采用命令行“ping -l 1472 -f（设置数据包不分段） 10.104.137.106”和“ping -l 1473 -f 10.104.137.106”验证ping最大帧长的临界值。结果如下二图：
同时用Wireshark抓包，获得了多组ping请求/回应数据包，其中的一组ping请求/回应帧如下图：
ping 请求帧的长度为1514字节，这就是实际的最大帧长。数据部分长度为我们指定的size=1472字节，符合我们的分析。但是，IP 头校验和仍然是错误的，因此可以判断错误的原因并不是我们之前所想象的那样，该帧还没有来得及加上填充字符（这一帧已经不需要填充字符）。
ping 回应帧的长度并不是1514字节，而是最小帧长60字节，这是为什么呢？观察ICMP 协议数据包上面的IP 分组（IP Fragments ）可以发现，回应帧的IP 协议数据包被分为了两帧，我们请求的1472字节IMCP 协议数据加上8字节的IMCP 头部被分成了两段，分别被封装在第15、16帧中。结果如下图：
因为对方回应的IMCP 协议数据包的长度为带头部的1480字节，超过了请求的1472字节，因此对方机器自动将数据分组，在第15帧中封装了8字节的IMCP 头部和1464字节的数据，在第16帧中只封装了剩余的8字节数据。
实验说明，我们在命令行中增加的-f 只是控制了本机发出的ping 请求帧不分段（一旦分段就提示需要拆分数据包），而无法保证对方回应的ping 数据不分段。
5.3 结论
实际传输的最大帧长：1518字节，最小帧长：64字节
能抓包得到的最大帧长：1514字节，最小帧长：60字节（不考虑未完成的帧）
6 观察封装IP 和ARP 的帧中的类型字段
任意选择ARP 和IP 各一帧如下图：
可知ARP 协议的类型是[0x0806]，IP 协议的类型是[0x0800]。
8字节ICMP 头部
剩余的8字节数据
以太网帧的封装实验
实训报告以太网帧的封装实验 1．实训目的 1）观察以太网帧的封装格式 2）对比单播以太网帧和广播以太网帧的目标MAC地址 2．实训拓扑图 以太网帧实验拓扑 PC IP地址子网掩码 PC0 PC1 PC2 PC3 3．主要操作步骤及实训结果记录 （1）任务一：观察单播以太网帧的封装 步骤1：准备工作 打开对应文件，完成初始化，删除练习文件中预设场景 步骤2：捕获数据包 进入Simulation模式。添加数据包，单击auto capture/play捕获数据包，再次单击停止捕获 步骤3：观察以太网帧的封装格式 步骤4：观察该广播包的以太网封装
DEST MAC： MAC: 步骤4：观察交换机是否会修改以太网帧各字段取值 DEST MAC：MAC:
（2）任务二：观察广播以太网帧的封装 步骤1：捕获数据包 Pc0数据帧被交换机转发给pc1、pc2、pc3（所有节点），pc1、pc2、pc3（所有节点）接收该广播帧。 步骤2：观察该广播包的以太网封装 DEST MAC：字段的取值： MAC字段取值的含义：广播地址。
4．实训结果分析及心得体会 （1）任务一中，观察到以太网帧封装格式中前导字段的取值是什么阐述其在数据帧传输过程中的作用。 答：任务一中，前导码字段取值为···1010；以太网使用曼彻斯特编码传输数据，其特征是每个码元中间有一次电压的跳变，用于接收方提取同步信号，以太网帧中的前导码有何作用前导码是为了隔离每个以太网帧的,也是定位符。因为以太网是变长的,所以每个帧之间需要前导来区分。 （2）任务一中，Switch0转发数据帧时是否修改其源MAC地址和目标MAC地址 答：switch0转发给pc2地数据帧中源MAC地址和目标MAC地址并未进行修改。 （3）交换机接收数据帧后，依据什么判断该数据帧是单播还是广播或依据什么判断向哪个目标节点转发 答：交换机工作在数据链路层，依据数据帧中的目标MAC地址的取值判断数据帧是单播还是广播，依据目标MAC地址判断向哪个目标节点转发。
实验五 IEEE 802.3协议分析和以太网
郑州轻工业学院本科 实验报告 题目：IEEE 802.3协议分析和以太网学生姓名：王冲 系别：计算机与通信工程学院 专业：网络运维 班级：网络运维11-01 学号：541107110123 指导教师：熊坤 2014 年10 月28 日
实验五IEEE 802.3协议分析和以太网 一、实验目的 1、分析802.3协议 2、熟悉以太网帧的格式 二、实验环境 与因特网连接的计算机网络系统；主机操作系统为windows；Ethereal、IE等软件。 三、实验步骤 1.俘获并分析以太网帧 (1)清空浏览器缓存（在IE窗口中，选择“工具/Internet选项/删除文件”命令）。
(2)启动Ethereal，开始分组俘获。 (3)在浏览器的地址栏中输入： https://www.sodocs.net/doc/562278118.html,/ethereal-labs/HTTP-ethereal-lab-file3.html，浏览器将显示冗长的美国权力法案。
(4)停止分组俘获。首先，找到你的主机向服务器https://www.sodocs.net/doc/562278118.html,发送的HTTP GET报文的分组序号，以及服务器发送到你主机上的HTTP 响应报文的序号。其中，窗口大体如下。 选择“Analyze->Enabled Protocols”，取消对IP复选框的选择，单击OK。窗口如下
(5)选择包含HTTP GET 报文的以太网帧，在分组详细信息窗口中，展开EthernetII 信息部分。根据操作，回答1-5 题 (6)选择包含HTTP 响应报文第一个字节的以太网帧，根据操作，回答6-10 题2.ARP （1）利用MS-DOS命令：arp 或c:\windows\system32\arp查看主机上ARP缓存的内容。根据操作，回答11题。 （2）利用MS-DOS命令：arp -d * 清除主机上ARP缓存的内容。 （3）清除浏览器缓存。 （4）启动Ethereal，开始分组俘获。 （5）在浏览器的地址栏中输入： https://www.sodocs.net/doc/562278118.html,/ethereal-labs/HTTP-ethereal-lab-file3.html，浏览器将显示冗长的美国权力法案。 （6）停止分组俘获。选择“Analyze->Enabled Protocols”，取消对IP复选框的选择，单击OK。窗口如下。根据操作，回答12-15题。 四、实验报告内容
2.6 数据链路层数据帧协议分析
实验数据链路层的帧分析 一、实验目的 分析 TCP、UDP的数据链路层帧结构、 二、准备工作 虚拟机XP，虚拟网卡设置，NAT模式，TCP/IP参数设置自动获取。本实验需安装抓包工具软件IPTool。 三、实验内容及步骤 1.运行ipconfig命令 在Windows的命令提示符界面中输入命令：ipconfig /all，会显示本机的网络配置信息。 2.运行抓包工具软件 双击抓把工具软件图标，输入所需参数，和抓包过滤参数，点击捕捉。 3.进行网络访问 进行网络访问，下载文件/搜索资料/www访问/登录邮件系统等均可。 4.从抓包工具中选择典型数据帧 5.保存捕获的数据帧 6.捕获数据帧并分析 1、启动网络抓包工具软件在网络内进行捕获，获得若干以太网帧。 2、对其中的5-10个帧的以太网首部进行观察和分析，分析的内容为：源物理地址、目的物理地址、上层协议类型。 实验过程: 1.TCP协议数据包、数据帧分析 启动IPTool，IE访问https://www.sodocs.net/doc/562278118.html,站点,使用iptool进行数据报的捕获。 TCP报文如下图：
根据所抓的数据帧进行分析： （1）MAC header 目的物理地址：00:D0:F8:BC:E7:06 源物理地址：00:16:EC:B2:BC:68 Type是0x800：意思是封装了ip数据报（2）ip数据报
由以上信息可以得出： ①版本：占4位，所以此ip是ipv4 ②首部长度：占4 位，可表示的最大十进制数值是15。此ip数据报没有选项，故它的最大十进制为5。 ③服务：占8 位，用来获得更好的服务。这里是0x00 ④总长度：总长度指首都及数据之和的长度，单位为字节。因为总长度字段为16位，所以数据报的最大长度为216-1=65 535字节。 此数据报的总长度为40字节，数据上表示为0x0028。 ⑤标识(Identification)：占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接的服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU 而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。 在这个数据报中标识为18358，对应报文16位为47b6 ⑥标志(Flag)：占3 位，但目前只有2位有意义。标志字段中的最低位记为MF (More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。标志字段中间的一位记为DF(Don't Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。这个报文的标志是010，故表示为不分片！对应报文16位为0x40。 ⑦片偏移：因为不分片，故此数据报为0。对应报文16位为0x00。 ⑧生存时间：占8位，生存时间字段常用的英文缩写是TTL (Time To Live)，其表明数据报在网络中的寿命。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1 秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。经分析，这个数据报的的TTL为64跳！对应报文16位为0x40。 ⑨协议：占8 位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。这个ip数据报显示使用得是TCP协议对应报文16位为0x06。
以太网帧格式
以太网帧格式 百科名片 现在的以太网帧格式 以太网帧格式，即在以太网帧头、帧尾中用于实现以太网功能的域。目录
编辑本段 编辑本段历史分类 1.Ethernet V1 这是最原始的一种格式，是由Xerox PARC提出的3Mbps CSMA/CD以太网标准的封装格式，后来在1980年由DEC，Intel和Xerox标准化形成Ethernet V1标准. 2.Ethernet V2(ARPA) 由DEC，Intel和Xerox在1982年公布其标准，主要更改了Ethernet V1的电气特性和物理接口，在帧格式上并无变化；Ethernet V2出现后迅速取
代Ethernet V1成为以太网事实标准；Ethernet V2帧头结构为6bytes的源地址+6bytes的目标地址+2Bytes的协议类型字段+数据。 以太网帧格式 3.RAW 802.3 这是1983年Novell发布其划时代的Netware/86网络套件时采用的私有以太网帧格式，该格式以当时尚未正式发布的802.3标准为基础；但是当两年以后IEEE正式发布802.3标准时情况发生了变化—IEEE在802.3帧头中又加入了802.2 LLC(Logical Link Control)头，这使得Novell的RAW 802.3格式跟正式的IEEE 802.3标准互不兼容. 4.802.3/802.2 LLC 这是IEEE 正式的802.3标准，它由Ethernet V2发展而来。它将Ethernet V2帧头的协议类型字段替换为帧长度字段(取值为0000-05dc;十进制的1500)；并加入802.2 LLC头用以标志上层协议，LLC头中包含DSAP，SSAP以及Crontrol字段. 5.802.3/802.2 SNAP 这是IEEE为保证在802.2 LLC上支持更多的上层协议同时更好的支持IP协议而发布的标准，与802.3/802.2 LLC一样802.3/802.2 SNAP也带有LLC头，但是扩展了LLC属性，新添加了一个2Bytes的协议类型域（同时将SAP的值置为AA），从而使其可以标识更多的上层协议类型；另外添加了一个3Bytes的OUI字段用于代表不同的组织，RFC 1042定义了IP报文在802.2网络中的封装方法和ARP协议在802.2 SANP中的实现. 802.3以太网帧格式备注： 前导码（7字节）、帧起始定界符（1字节）、目的MAC地址（6字节）、源MAC地址（6字节）、类型/长度（2字节）、数据（46~1500字节）、帧校验序列（4字节）[MAC地址可以用2－6字节来表示，原则上是这样，实际都是6字节] 图2 IEEE802.3以太帧头
802.11帧结构分析
802.11帧结构分析 1. 80 2.11介绍 1.1 80 2.11概述 802.11协议组是国际电工电子工程学会（IEEE）为无线局域网络制定的标准。IEEE 最初制定的一个无线局域网标准，主要用于解决办公室局域网和校园网中用户与用户终端的无线接入，业务主要限于数据存取，速率最高只能达到2Mbps。 虽然WI-FI使用了802.11的媒体访问控制层（MAC）和物理层（PHY），但是两者并不完全一致。在以下标准中，使用最多的应该是802.11n标准，工作在2.4GHz频段，可达600Mbps（理论值）。 IEEE 802.11是一个协议簇，主要包含以下规范： a.物理层规范：802.11b，802.11a，802.11g； b.增强型MAC层规范：802.11i，802.11r，802.11h等； c.高层协议规范：802.11f，802.11n，802.11p，802.11s等。 802.11中定义了三种物理层规范，分别是：频率跳变扩展频谱(FHSS)PHY规范、直接序列扩展频谱(DSSS)PHY规范和红外线(IR)PHY规范，由于物理层的规范与无线信息安全体系关系不大，故本文不对物理层做过多阐述。 802.11同802.3一样，主要定义了OSI模型中物理层和数据链路层的相关规范，其中数据链路层又可分为MAC子层和LLC子层，802.11与802.3的LLC子层统一由802.2描述。 1.2 80 2.11拓扑结构及服务类型 WLAN有以下三种网络拓扑结构： a.独立基本服务集(Independent BSS, IBSS)网络(也叫ad-hoc网络)，如图1所示。 b.基本服务集(Basic Service Set, BSS)网络，如图2所示。 c.扩展服务集(Extent Service Set, ESS)网络，如图2所示。 STA1 STA2 图1
以太网的帧结构
以太网的帧结构 要讲帧结构，就要说一说OSI七层参考模型。 一个是访问服务点，每一层都对上层提供访问服务点（SAP），或者我们可以说，每一层的头里面都有一个字段来区分上层协议。 比如说传输层对应上层的访问服务点就是端口号，比如说23端口是telnet，80端口是http。IP层的SAP是什么？ 其实就是protocol字段，17表示上层是UDP，6是TCP,89是OSPF，88是EGIRP,1是ICMP 等等。 以太网对应上层的SAP是什么呢？就是这个type或length。比如 0800表示上层是IP，0806表示上层是ARP。我 第二个要了解的就是对等层通讯，对等层通讯比较好理解，发送端某一层的封装，接收端要同一层才能解封装。 我们再来看看帧结构，以太网发送方式是一个帧一个帧发送的，帧与帧之间需要间隙。这个叫帧间隙IFG—InterFrame Gap IFG长度是96bit。当然还可能有Idle时间。 以太网的帧是从目的MAC地址到FCS,事实上以太网帧的前面还有preamble，我们把它叫做先导字段。作用是用来同步的，当接受端收到 preamble，就知道以太网帧就要来了。preamble 有8个字节前面7个字节是10101010也就是16进制的AA，最后一个字节是 10101011,也就是AB，当接受端接受到连续的两个高电平，就知道接着来的就是D_mac。所以最后一个字节AB我们也叫他SFD（帧开始标示符）。 所以在以太网传输过程中，即使没有idle，也就是连续传输，也有20个字节的间隔。对于
大量64字节数据来说，效率也就显得不 1s = 1,000ms=1,000,000us 以太网帧最小为64byte（512bit） 10M以太网的slot time ＝512×0.1 = 51.2us 100M以太网的slot time = 512×0.01 = 5.12us 以太网的理论帧速率： Packet/second=1second/(IFG+PreambleTime+FrameTime) 10M以太网：IFG time=96x0.1=9.6us 100M以太网：IFG time=96x0.01=0.96us 以太网发送方式是一个帧一个帧发送的，帧与帧之间需要间隙。这个叫帧间隙IFG—InterFrame Gap 10M以太网：Preamble time= 64bit×0.1=6.4us 100M以太网：Preamble time= 64bit×0.01=0.64us Preamble 先导字段。作用是用来同步的，当接受端收到preamble，就知道以太网帧就要来了 10M以太网：FrameTime=512bit×0.1=51.2us 100M以太网：FrameTime=512bit×0.01=5.12us 因此，10M以太网64byte包最大转发速度＝1,000,000 sec÷（9.6+6.4+51.2）= 0.014880952Mpps 100M以太网64byte包最大转发速度＝1,000,000 sec÷（0.96+0.64+5.12）= 0.14880952Mpps
以太网帧格式 EthernetⅡ和ETHERNET 802.3 IEEE802.2.SAP和SNAP的区别
EthernetⅡ/ETHERNET 802.3 IEEE802.2.SAP/SNAP的区别 1.Ethernet V1：这是最原始的一种格式，是由Xerox PARC提出的3Mbps CSMA/CD 以太网标准的封装格式，后来在1980年由DEC，Intel和Xerox标准化形成Ethernet V1标准； 2.Ethernet V2(ARPA)： 这是最常见的一种以太网帧格式，也是今天以太网的事实标准，由DEC，Intel 和Xerox在1982年公布其标准，主要更改了Ethernet V1的电气特性和物理接口，在帧格式上并无变化；Ethernet V2出现后迅速取代Ethernet V1成为以太网事实标准；Ethernet V2帧头结构为6bytes的源地址+6bytes的目标地址 +2Bytes的协议类型字段+数据。 常见协议类型如下： 0800 IP 0806 ARP 8137 Novell IPX 809b Apple Talk 如果协议类型字段取值为0000-05dc(十进制的0-1500)，则该帧就不是Ethernet V2(ARPA)类型了，而是下面讲到的三种802.3帧类型之一；Ethernet可以支持TCP/IP，Novell IPX/SPX，Apple Talk Phase I等协议；RFC 894定义了IP报文在Ethernet V2上的封装格式； Ethernet_II中所包含的字段：
在每种格式的以太网帧的开始处都有64比特（8字节）的前导字符，如图所示。其中，前7个字节称为前同步码（Preamble），内容是16进制数0xAA，最后1字节为帧起始标志符0xAB，它标识着以太网帧的开始。前导字符的作用是使接收节点进行同步并做好接收数据帧的准备。 ——PR：同步位，用于收发双方的时钟同步，同时也指明了传输的速率（10M和100M的时钟频率不一样，所以100M网卡可以兼容10M网卡），是56位的二进制数101010101010..... ——SD: 分隔位,表示下面跟着的是真正的数据,而不是同步时钟,为8位的10101011,跟同步位不同的是最后2位是11而不是10. ——DA:目的地址,以太网的地址为48位(6个字节)二进制地址,表明该帧传输给哪个网卡.如果为FFFFFFFFFFFF,则是广播地址,广播地址的数据可以被任何网 卡接收到. ——SA:源地址,48位,表明该帧的数据是哪个网卡发的,即发送端的网卡地址, 同样是6个字节. ----TYPE：类型字段，表明该帧的数据是什么类型的数据，不同的协议的类型字段不同。如：0800H 表示数据为IP包，0806H 表示数据为ARP包，814CH是SNMP 包,8137H为IPX/SPX包，（小于0600H的值是用于IEEE802的，表示数据包的长度。） ----DATA：数据段，该段数据不能超过1500字节。因为以太网规定整个传输包的最大长度不能超过1514字节。（14字节为DA，SA，TYPE） ----PAD：填充位。由于以太网帧传输的数据包最小不能小于60字节, 除去（DA，SA，TYPE 14字节），还必须传输46字节的数据，当数据段的数据不足46字节时，后面补000000.....(当然也可以补其它值) ----FCS:32位数据校验位.为32位的CRC校验,该校验由网卡自动计算,自动生成,自动校验,自动在数据段后面填入.对于数据的校验算法,我们无需了解. ----事实上,PR,SD,PAD,FCS这几个数据段我们不用理它 ,它是由网卡自动产生的,我们要理的是DA,SA,TYPE,DATA四个段的内容.
Ethernet帧结构解析..
实验一Ethernet帧结构解析 一．需求分析 实验目的：（1）掌握Ethernet帧各个字段的含义与帧接收过程； （2）掌握Ethernet帧解析软件设计与编程方法； （3）掌握Ethernet帧CRC校验算法原理与软件实现方法。 实验任务：（1）捕捉任何主机发出的Ethernet 802.3格式的帧和DIX Ethernet V2（即Ethernet II）格式的帧并进行分析。 （2）捕捉并分析局域网上的所有ethernet broadcast帧进行分析。 （3）捕捉局域网上的所有ethernet multicast帧进行分析。 实验环境：安装好Windows 2000 Server操作系统+Ethereal的计算机 实验时间; 2节课 二．概要设计 1.原理概述： 以太网这个术语通常是指由DEC，Intel和Xerox公司在1982年联合公布的一个标准，它是当今TCP/IP采用的主要的局域网技术，它采用一种称作CSMA/CD的媒体接入方法。几年后，IEEE802委员会公布了一个稍有不同的标准集，其中802.3针对整个CSMA/CD网络，802.4针对令牌总线网络，802.5针对令牌环网络；此三种帧的通用部分由802.2标准来定义，也就是我们熟悉的802网络共有的逻辑链路控制（LLC）。以太网帧是OSI参考模型数据链路层的封装，网络层的数据包被加上帧头和帧尾，构成可由数据链路层识别的数据帧。虽然帧头和帧尾所用的字节数是固定不变的，但根据被封装数据包大小的不同，以太网帧的长度也随之变化，变化的范围是64-1518字节（不包括8字节的前导字）。 帧格式Ethernet II和IEEE802.3的帧格式分别如下。 EthernetrII帧格式： ---------------------------------------------------------------------------------------------- | 前序| 目的地址| 源地址| 类型| 数据 | FCS | ---------------------------------------------------------------------------------------------- | 8 byte | 6 byte | 6 byte | 2 byte | 46~1500 byte | 4 byte| IEEE802.3一般帧格式 ----------------------------------------------------------------------------------------------------------- | 前序| 帧起始定界符| 目的地址| 源地址| 长度| 数据| FCS | ----------------------------------------------------------------------------------------------------------- | 7 byte | 1 byte | 2/6 byte | 2/6 byte| 2 byte| 46~1500 byte | 4 byte | Ethernet II和IEEE802.3的帧格式比较类似，主要的不同点在于前者定义的2字节的类型，而后者定义的是2字节的长度；所幸的是，后者定义的有效长度值与前者定义的有效类型值无一相同，这样就容易区分两种帧格式 2程序流程图：
以太网帧格式
以太网帧格式详解: Etherne II 报头8 目标地址6 源地址6 以太类型2 有效负载46－1500 帧检验序列4 报头：8个字节，前7个0，1交替的字节（10101010）用来同步接收站，一个1010101011字节指出帧的开始位置。报头提供接收器同步和帧定界服务。 目标地址：6个字节，单播、多播或者广播。单播地址也叫个人、物理、硬件或MAC地址。广播地址全为1，0xFF FF FF FF。 源地址：6个字节。指出发送节点的单点广播地址。 以太网类型：2个字节，用来指出以太网帧内所含的上层协议。即帧格式的协议标识符。对于IP报文来说，该字段值是0x0800。对于ARP信息来说，以太类型字段的值是0x0806。 有效负载：由一个上层协议的协议数据单元PDU构成。可以发送的最大有效负载是1500字节。由于以太网的冲突检测特性，有效负载至少是46个字节。如果上层协议数据单元长度少于46个字节，必须增补到46个字节。 帧检验序列：4个字节。验证比特完整性。 IEEE 802.3 根据IEEE802.2 和802.3标准创建的，由一个IEEE802.3报头和报尾以及一个802.2LLC报头组成。 报头7 起始限定符1 目标地址6（2）源地址6（2）长度2 DSAP1 SSAP1 控件2 有效负载3 帧检验序列4 －－－－－－－－－－－802.3报头－－－－－－－－－－－－－－§－ －－802.2报头－－－－§ §－802.3报尾－§
IEEE802.3报头和报尾 报头：7个字节，同步接收站。位序列10101010 起始限定符：1个字节，帧开始位置的位序列10101011。 报头＋起始限定符＝Ethernet II的报头 目标地址：同Ethernet II。也可以为2个字节，很少用。 源地址：同Ethernet II。也可以为2个字节，很少用。 长度：2个字节。 帧检验序列：4个字节。 IEEE802.2 LLC报头 DSAP：1个字节，指出帧的目标节点的上层协议。Destination Service Access Point SSAP：1个字节，指出帧的源节点的上层协议。Source Service Access Point DSAP和SSAP相当于IEEE802.3帧格式的协议标识符。为IP定义的DSAP和SSAP 字段值是0x06。但一般使用SNAP报头。 控件：1－2个字节。取决于封装的是LLC数据报（Type1 LLC）还是LLC通话的一部分（Type2 LLC）。 Type1 LLC：1个字节的控件字段，是一种无连接，不可靠的LLC数据报。无编号信息，UI帧，0x03。 Type2 LLC：2个字节的控件字段，是一种面向连接，可靠的LLC对话。 对IP和ARP，从不使用可靠的LLC服务。所以，都只用Type1 LLC，控件字段设为0x03。 区分两种帧 根据源地址段后的前两个字节的类型不同。 如果值大于1500（0x05DC），说明是以太网类型字段，EthernetII帧格式。值小于等于1500，说明是长度字段，IEEE802.3帧格式。因为类型字段值最小的是0x0600。而长度最大为1500。 IEEE802.3 SNAP 虽然为IP定义的SAP是0x06，但业内并不使用该值。RFC1042规定在IEEE802.3， 802.4， 802.5网络上发送的IP数据报和ARP帧必须使用SNAP（Sub Network Access Prototol)封装格式。 报头7 起始限定符1 目标地址6 源地址6 长度2 DSAP1 SSAP1 控件1 组织代码3 以太类型2 IP数据报帧检验序列 －－－－IEEE802.3报头－－－－－－－－－－－§IEEE8023 LLC报头－－－§－－SNAP报头－－－－§ §802.3报尾§ 0x0A 0x0A 0x03 0x00-00-00 0x08-00 (38-1492字节) Ethernet地址 为了标识以太网上的每台主机，需要给每台主机上的网络适配器（网络接口卡）分配一个唯一的通信地址，即Ethernet地址或称为网卡的物理地址、MAC 地址。 IEEE负责为网络适配器制造厂商分配Ethernet地址块，各厂商为自己生产的每块网络适配器分配一个唯一的Ethernet地址。因为在每块网络适配器出厂时，其Ethernet地址就已被烧录到网络适配器中。所以，有时我们也将此地址称为烧录地址（Burned-In-Address，BIA）。
以太网协议
以太网协议 历史上以太网帧格式有五种: 1 E thernet V1：这是最原始的一种格式，是由Xerox P ARC提出的3Mbps CSMA/CD以太网标准的封装格式，后来在 1980年由DEC，Intel和Xerox标准化形成E thernet V1标准； 2 E thernet II即DIX 2.0：Xerox与DEC、Intel在1982年制定的以太网标准帧格式。Cisco名称为：ARP A。 这是最常见的一种以太网帧格式，也是今天以太网的事实标准，由DE C，Intel和Xerox在1982年公布其标准，主要更改了E thernet V1的电气特性和物理接口，在帧格式上并无变化；E thernet V2出现后迅速取代E thernet V1成为以太网事实标准；E thernet V2帧头结构为6bytes的源地址+6bytes的目标地址+2Bytes的协议类型字段+数据。 常见协议类型如下： 0800 IP 0806 ARP 0835 RARP 8137 Novell IPX 809b Apple Talk 如果协议类型字段取值为0000-05dc(十进制的0-1500)，则该帧就不是E thernet V2(ARP A)类型了，而是下面讲到的三种802.3帧类型之一；E thernet可以支持TCP/IP，Novell IP X/SP X，Apple Talk P hase I等协议；RFC 894定义了IP 报文在E thernet V2上的封装格式； 在每种格式的以太网帧的开始处都有64比特（8字节）的前导字符，如图所示。其中，前7个字节称为前同步码（P reamble），内容是16进制数0xAA，最后1字节为帧起始标志符0xAB，它标识着以太网帧的开始。前导字符的 作用是使接收节点进行同步并做好接收数据帧的准备。 ——P R：同步位，用于收发双方的时钟同步，同时也指明了传输的速率（10M和100M的时钟频率不一样，所以100M网卡可以兼容10M网卡），是56位的二进制数101010101010..... ——SD: 分隔位,表示下面跟着的是真正的数据,而不是同步时钟,为8位的10101011,跟同步位不同的是最后2位 是11而不是10. ——DA:目的地址,以太网的地址为48位(6个字节)二进制地址,表明该帧传输给哪个网卡.如果为FFFFFFFFFFFF, 则是广播地址,广播地址的数据可以被任何网卡接收到. ——SA:源地址,48位,表明该帧的数据是哪个网卡发的,即发送端的网卡地址,同样是6个字节. ----TYP E：类型字段，表明该帧的数据是什么类型的数据，不同的协议的类型字段不同。如：0800H 表示数据为IP包，0806H 表示数据为ARP包，814CH是SNMP包,8137H为IP X/SP X包，（小于0600H的值是用于IEEE802 的，表示数据包的长度。） ----DATA：数据段，该段数据不能超过1500字节。因为以太网规定整个传输包的最大长度不能超过1514字节。 （14字节为DA，SA，TYP E）
802.11帧结构分析
帧结构分析 1. 介绍 概述 协议组是国际电工电子工程学会（IEEE）为无线局域网络制定的标准。IEEE最初制定的一个无线局域网标准，主要用于解决办公室局域网和校园网中用户与用户终端的无线接入，业务主要限于数据存取，速率最高只能达到2Mbps。 虽然WI-FI使用了的媒体访问控制层（MAC）和物理层（PHY），但是两者并不完全一致。在以下标准中，使用最多的应该是标准，工作在频段，可达600Mbps（理论值）。 IEEE 是一个协议簇，主要包含以下规范： a.物理层规范：，，； b.增强型MAC层规范：，，等； c.高层协议规范：，，，等。 中定义了三种物理层规范，分别是：频率跳变扩展频谱(FHSS)PHY规范、直接序列扩展频谱(DSSS)PHY规范和红外线(IR)PHY规范，由于物理层的规范与无线信息安全体系关系不大，故本文不对物理层做过多阐述。 同一样，主要定义了OSI模型中物理层和数据链路层的相关规范，其中数据链路层又可分为MAC子层和LLC子层，与的LLC子层统一由描述。 拓扑结构及服务类型 WLAN有以下三种网络拓扑结构： a.独立基本服务集(Independent BSS, IBSS)网络(也叫ad-hoc网络)，如图1所 示。 b.基本服务集(Basic Service Set, BSS)网络，如图2所示。 c.扩展服务集(Extent Service Set, ESS)网络，如图2所示。 STA1STA2 图1
其中，ESS中的DS（分布式系统）是一个抽象系统，用来连接不同BSS的通信信道(通过路由服务)，这样就可以消除BSS中STA与STA之间直接传输距离受到物理设备的限制。 根据拓扑结构可以得出的两类服务： 站点服务SS（每个STA都要有的服务）：认证（Authentication）、解除认证(Deauthentication)、加密(Privacy)、MSDU传递(MSDU delivery)； 分布式系统服务DSS（DS特有服务）：关联(Association)、解除关联(Deassociation)、分布(Distribution)、集成（Integration）、重关联(Ressociation)。 2. 帧结构分析 帧格式概述 无线中的数据传播有如表格1所示的格式： preamble是一个前导标识，用于接收设备识别。 PLCP域中包含一些物理层的协议参数，显然Preamble及PLCP是物理层的一些细节。 AP STA1STA2 图2 图3
各种不同以太网帧格式
各种不同以太网帧格式 利用抓包软件的来抓包的人，可能经常会被一些不同的Frame Header搞糊涂，为何用的Frame的Header是这样的，而另外的又不一样。这是因为在Ethernet中存在几种不同的帧格式，下面我就简单介绍一下几种不同的帧格式及他们的差异。 一、Ethernet帧格式的发展 1980 DEC,Intel,Xerox制订了Ethernet I的标准； 1982 DEC,Intel,Xerox又制订了Ehternet II的标准； 1982 IEEE开始研究Ethernet的国际标准802.3； 1983迫不及待的Novell基于IEEE的802.3的原始版开发了专用的Ethernet帧格式； 1985 IEEE推出IEEE 802.3规范； 后来为解决EthernetII与802.3帧格式的兼容问题推出折衷的Ethernet SNAP 格式。 (其中早期的Ethernet I已经完全被其他帧格式取代了所以现在Ethernet只能见到后面几种Ethernet的帧格式现在大部分的网络设备都支持这几种Ethernet 的帧格式如:cisco的路由器在设定Ethernet接口时可以指定不同的以太网的帧格式:arpa,sap,snap,novell-ether) 二、各种不同的帧格式 下面介绍一下各个帧格式 Ethernet II 是DIX以太网联盟推出的，它由6个字节的目的MAC地址，6个字节的源MAC地址，2个字节的类型域（用于表示装在这个Frame、里面数据的类型)，以上为Frame Header,接下来是46--1500 字节的数据，和4字节的帧校验） Novell Ethernet 它的帧头与Ethernet有所不同其中EthernetII帧头中的类型域变成了长度域，后面接着的两个字节为0xFFFF用于标示这个帧是Novell Ether类型的Frame，由于前面的0xFFFF站掉了两个字节所以数据域缩小为44-1498个字节,帧校验不变。
以太网用什么协议-
竭诚为您提供优质文档/双击可除 以太网用什么协议? 篇一：以太网协议报文格式 tcp/ip协议族 ip/tcp telnet和Rlogin、Ftp以及smtpip/udp dns、tFtp、bootp、snmp icmp是ip协议的附属协议、igmp是internet组管理协议 aRp（地址解析协议）和RaRp（逆地址解析协议）是某些网络接口（如以太网和令牌环网）使用的特殊协议，用来转换ip层和网络接口层使用的地址。 1、 以太帧类型 以太帧有很多种类型。不同类型的帧具有不同的格式和mtu值。但在同种物理媒体上都可同时存在。 标签协议识别符(tagprotocalidentifier,tpid):一组16位元的域其数值被设定在0x8100以用来辨别某个 ieee802.1q的帧为已被标签的，而这个域所被标定位置与乙
太形式/ 长度在未标签帧的域相同，这是为了用来区别未标签的帧。优先权代码点(prioritycodepoint,pcp):以一组3位元的域当作优先权的参考，从0(最低)到7(最高)，用来对资料流(音讯、影像、档案等等)作传输的优先级。 标准格式指示(canonicalFormatindicator,cFi):1位 元的域。若是这个域的值 为1，则mac地指则为非标准格式；若为0，则为标准格式；在乙太交换器中他通常默认为0。在乙太和令牌环中，cFi用来做为两者的相容。若帧在乙太端中接收资料则cFi 的值须设为1，且这个端口不能与未标签的其他端口桥接。虚拟局域网识别符(Vlanidentifier,Vid):12位元的域，用来具体指出帧是属于 哪个特定Vlan。值为0时，表示帧不属于任何一个Vlan；此时，802.1q标签代表优先权。16位元的值0x000和0xFFF 为保留值，其他的值都可用来做为共4094个Vlan的识别符。在桥接器上，Vlan1在管理上做为保留值。这个12位元的域可分为两个6位元的域以延伸目的(destination)与源(source)之48位元地址，18位元的(triple-tagging)可和原本的48位元相加成为66位元的地址。 0、以太网的封装格式（RFc894）
分析数据链路层帧结构
南华大学计算机学院 实验报告 课程名称计算机网络原理 姓名杨国峰 学号20144360205 专业网络2班 任课教师谭邦 日期 2016年4月4日 成绩 南华大学
实验报告正文： 一、实验名称分析数据链路层帧结构 二、实验目的： 1. 掌握使用Wireshark分析俘获的踪迹文件的基本技能； 2. 深刻理解Ethernet帧结构。 3. 深刻理解IEEE 802.11帧结构。 三、实验内容和要求 1. 分析俘获的踪迹文件的Ethernet帧结构； 2. 分析IEEE 802.11帧结构。 四、实验环境
五、操作方法与实验步骤 1.Ethernet帧结构（本地连接与无线连接）
2.IEEE 802.11帧结构
六、实验数据记录和结果分析 1.Ethernet帧结构（本地连接为例） Ethernet II, Src: Tp-LinkT_95:c6:20 (fc:d7:33:95:c6:20), Dst: Clevo_00:a1:18 (80:fa:5b:00:a1:18) 以太网协议版本II，源地址：厂名_序号（网卡地址），目的：厂名_序号（网卡地址） Destination: Clevo_00:a1:18 (80:fa:5b:00:a1:18)目的：厂名_序号（网卡地址） Source: Tp-LinkT_95:c6:20 (fc:d7:33:95:c6:20) 源：厂名_序号（网卡地址） Type: IP (0x0800) 帧内封装的上层协议类型为IP Padding: 000000000000 所有内边距属性 2.分析IEEE 802.11帧结构 Protocol version：表明版本类型，现在所有帧里面这个字段都是0x00。 *Type：指明数据帧类型，是管理帧，数据帧还是控制帧。 Subtype：指明数据帧的子类型，因为就算是控制帧，控制帧还分RTS帧，CTS帧，ACK 帧等等，通过这个域判断出该数据帧的具体类型。 To DS/From DS：这两个数据帧表明数据包的发送方向，分四种可能情况讨论： **若数据包To DS为0，From DS为0，表明该数据包在网络主机间传输。 **若数据包To DS 为0，From DS为1，表明该数据帧来自AP。 **若数据包To DS为1，From DS为0，表明该数据帧发送往AP。若数据包To DS为1，From DS为1，表明该数据帧是从AP发送自AP的，也就是说这个是个WDS(Wireless Distribution System)数据帧。 Moreflag：分片标志，若数据帧被分片了，那么这个标志为1，否则为0。 *Retry：表明是否是重发的帧，若是为1，不是为0。 PowerManage：当网络主机处于省电模式时，该标志为1，否则为0。 Moredata：当AP缓存了处于省电模式下的网络主机的数据包时，AP给该省电模式下的网络主机的数据帧中该位为1，否则为0。 Wep：加密标志，若为1表示数据内容加密，否则为0。 *Order 这个表示用于PCF模式下。 Duration/ID（持续时间/标识）：表明该帧和它的确认帧将会占用信道多长时间；对于帧控制域子类型为：Power Save-Poll的帧，该域表示了STA的连接身份（AID, Association Indentification）。
计算机网络实验报告(以太网帧格式分析)
计算机网络实验报告 学院计算机与通信工程学院专业网络工程班级1401班 学号20姓名实验时间：2016.5.13 一、实验名称： FTP协议分析实验 二、实验目的： 分析FTP 报文格式和FTP 协议的工作过程，同时学习 Serv-U FTP Server服务软件的基本配置和FTP 客户端命令的使用。 三、实验环境： 实验室局域网中任意两台主机PC1，PC2。 四、实验步骤及结果： 步骤1：查看实验室PC1和PC2的IP地址，并记录，假设PC1的IP 地址为10.64.44.34，PC2的IP地址为10.64.44.35。 步骤2：在PC1上安装Serv-U FTP Server，启动后出现图1-20所示界面。 点击新建域，打开添加新建域向导，完成如下操作。 添加域名：https://www.sodocs.net/doc/562278118.html,；设置域端口号：21（默认）；添加域IP地址：10.28.23.141；设置密码加密模式：无加密，完成后界面如图1-21所示。 完成上述操作后，还需要创建用于实验的用户帐号。点击图1.20中
浮动窗口中的“是”按钮，打开添加新建用户向导：添加用户名：test1；添加密码：123；设置用户根目录（登陆文件夹）；设置是否将用户锁定于根目录：是（默认）；访问权限：只读访问，完成后界面如图1-22所示。 新建的用户只有文件读取和目录列表权限，为完成实验内容，还需要为新建的用户设置目录访问权限，方法为点击导航——〉目录——〉目录访问界面，然后点击添加按钮， 按照图1-23所示进行配置。 步骤3：在PC1 和PC2 上运行Wireshark，开始捕获报文。 步骤4：在PC2 命令行窗口中登录FTP 服务器，根据步骤2中的配置信息输入用户名和口令，参考命令如下： C:\ >ftp ftp> open To 10.28.23.141 //登录ftp 服务器 Connected to 10.28.23.141 220 Serv-U FTP Server v6.2 for WinSock ready... User(none): test1 //输入用户名 331 User name okay, need password. Password:123 //输入用户密码 230 User logged in, proceed. //通过认证，登录成功