一、前言
目前，網絡的速度發展非常快，學習網絡的人也越來越多，稍有網絡常識的人都知道TCP/IP協議是網絡的基礎，是Internet的語言，可以說沒有TCP/IP協議就沒有互聯網的今天。目前號稱搞網的人非常多，許多人就是從一把夾線鉗，一個測線器聯網開始接觸網絡的，如果只是聯網玩玩，知道幾個Ping之類的命令就行了，如果想在網絡上有更多的發展不管是黑道還是紅道，必須要把TCP/IP協議搞的非常明白。
學習過TCP/IP協議的人多有一種感覺，這東西太抽象了，沒有什么數據實例，看完不久就忘了。本文將介紹一種直觀的學習方法，利用協議分析工具學習TCP/IP，在學習的過程中能直觀的看到數據的具體傳輸過程。
為了初學者更容易理解，本文將搭建一個最簡單的網絡環境，不包含子網。
二、試驗環境
1、網絡環境
如圖1所示
圖1
為了表述方便，下文中208號機即指地址為192.168.113.208的計算機，1號機指地址為192.168.113.1的計算機。
2、操作系統
兩臺機器都為Windows 2000 ，1號機機器作為服務器，安裝FTP服務
3、協議分析工具
Windows環境下常用的工具有：Sniffer Pro、Natxray、Iris以及windows 2000自帶的網絡監視器等。本文選用Iris作為協議分析工具。
在客戶機208號機安裝IRIS軟件。
三、測試過程
1、測試例子：將1號機計算機中的一個文件通過FTP下載到208號機中。
2、IRIS的設置。
由于IRIS具有網絡監聽的功能，如果網絡環境中還有其它的機器將抓很多別的數據包，這樣為學習帶來諸多不便，為了清楚地看清楚上述例子的傳輸過程首先將IRIS設置為只抓208號機和1號機之間的數據包。設置過程如下：
1)用熱鍵CTRL+B彈出如圖所示的地址表，在表中填寫機器的IP地址，為了對抓的包看得更清楚不要添主機的名字（name）,設置好后關閉此窗口。
圖2
2）用熱鍵CTRL+E彈出如圖所示過濾設置，選擇左欄“IP address”，右欄按下圖將address book中的地址拽到下面，設置好后確定，這樣就這抓這兩臺計算機之間的包。
圖3
3、抓包
按下IRIS工具欄中 開始按鈕。在瀏覽器中輸入：FTP://192.168.113.1，找到要下載的文件 ，鼠標右鍵該文件，在彈出的菜單中選擇“復制到文件夾”開始下載，下載完后在IRIS工具欄中按 按鈕停止抓包。圖4顯示的就是FTP的整個過程，下面我們將詳細分析這個過程。
圖4
說明：為了能抓到ARP協議的包，在WINDOWS 2000 中運行arp –d 清除arp緩存。
四、過程分析
1、TCP/IP的基本原理
本文的重點雖然是根據實例來解析TCP/IP，但要講明白下面的過程必須簡要講一下TCP/IP的基本原理。
A．網絡是分層的，每一層分別負責不同的通信功能。
TCP/IP通常被認為是一個四層協議系統，TCP/IP協議族是一組不同的協議組合在一起構成的協議族。盡管通常稱該協議族為TCP/IP，但TCP和IP只是其中的兩種協議而已，如表1所示。每一層負責不同的功能：
表１
分層的概念說起來非常簡單，但在實際的應用中非常的重要，在進行網絡設置和排除故障時對網絡層次理解得很透，將對工作有很大的幫助。例如：設置路由是網絡層IP協議的事，要查找MAC地址是鏈路層ARP的事，常用的Ping命令由ICMP協議來做的。
圖5顯示了各層協議的關系，理解它們之間的關系對下面的協議分析非常重要。
圖5
b.數據發送時是自上而下，層層加碼；數據接收時是自下而上，層層解碼。
當應用程序用TCP傳送數據時，數據被送入協議棧中，然后逐個通過每一層直到被當作一串比特流送入網絡。其中每一層對收到的數據都要增加一些首部信息（有時還要增加尾部信息），該過程如圖6所示。TCP傳給IP的數據單元稱作TCP報文段或簡稱為TCP段。I P傳給網絡接口層的數據單元稱作IP數據報。 通過以太網傳輸的比特流稱作幀(Frame)。
數據發送時是按照圖6自上而下，層層加碼；數據接收時是自下而上，層層解碼。
圖6
c. 邏輯上通訊是在同級完成的
垂直方向的結構層次是當今普遍認可的數據處理的功能流程。每一層都有與其相鄰層的接口。為了通信，兩個系統必須在各層之間傳遞數據、指令、地址等信息，通信的邏輯流程與真正的數據流的不同。雖然通信流程垂直通過各層次，但每一層都在邏輯上能夠直接與遠程計算機系統的相應層直接通信。
從圖7可以看出，通訊實際上是按垂直方向進行的，但在邏輯上通信是在同級進行的。
圖7
2、過程描述
為了更好的分析協議，我們先描述一下上述例子數據的傳輸步驟。如圖8所示：
1)FTP客戶端請求TCP用服務器的IP地址建立連接。
2)TCP發送一個連接請求分段到遠端的主機，即用上述IP地址發送一份IP數據報。
3) 如果目的主機在本地網絡上，那么IP數據報可以直接送到目的主機上。如果目的主機在一個遠程網絡上，那么就通過IP選路函數來確定位于本地網絡上的下一站路由器地址，并讓它轉發IP數據報。在這兩種情況下，IP數據報都是被送到位于本地網絡上的一臺主機或路由器。
4) 本例是一個以太網，那么發送端主機必須把32位的IP地址變換成48位的以太網地址，該地址也稱為MAC地址，它是出廠時寫到網卡上的世界唯一的硬件地址。把IP地址翻譯到對應的MAC地址是由ARP協議完成的。
5) 如圖的虛線所示，ARP發送一份稱作ARP請求的以太網數據幀給以太網上的每個主機，這個過程稱作廣播。ARP請求數據幀中包含目的主機的IP地址，其意思是“如果你是這個IP地址的擁有者，請回答你的硬件地址。”
6) 目的主機的ARP層收到這份廣播后，識別出這是發送端在尋問它的IP地址，于是發送一個ARP應答。這個ARP應答包含I P地址及對應的硬件地址。
7) 收到ARP應答后，使ARP進行請求—應答交換的IP數據包現在就可以傳送了。
8) 發送IP數據報到目的主機。
圖8
3、實例分析
下面通過分析用iris捕獲的包來分析一下TCP/IP的工作過程，為了更清晰的解釋數據傳送的過程，我們按傳輸的不同階段抓了四組數據，分別是查找服務器、建立連接、數據傳輸和終止連接。每組數據，按下面三步進行解釋。
顯示數據包
解釋該數據包
按層分析該包的頭信息
第一組 查找服務器
1）下圖顯示的是1、2行的數據
圖9
2）解釋數據包
這兩行數據就是查找服務器及服務器應答的過程。
在第1行中，源端主機的MAC地址是00:50:FC:22:C7:BE。目的端主機的MAC地址是FF:FF:FF:FF:FF:FF，這個地址是十六進制表示的，F換算為二進制就是1111，全1的地址就是廣播地址。所謂廣播就是向本網上的每臺網絡設備發送信息，電纜上的每個以太網接口都要接收這個數據幀并對它進行處理，這一行反映的是步驟5）的內容，ARP發送一份稱作ARP請求的以太網數據幀給以太網上的每個主機。網內的每個網卡都接到這樣的信息“誰是192.168.113.1的IP地址的擁有者，請將你的硬件地址告訴我”。
第2行反映的是步驟6）的內容。在同一個以太網中的每臺機器都會"接收"到這個報文，但正常狀態下除了1號機外其他主機應該會忽略這個報文，而1號的主機的ARP層收到這份廣播報文后，識別出這是發送端在尋問它的IP地址，于是發送一個ARP應答。告知自己的IP地址和MAC地址。第2行可以清楚的看出1號回答的信息__自己的MAC地址00:50:FC:22:C7:BE。
這兩行反映的是數據鏈路層之間一問一答的通信過程。這個過程就像我要在一個坐滿人的教室找一個叫“張三”的人，在門口喊了一聲“張三”，這一聲大家都聽見了，這就叫廣播。張三聽到后做了回應，別人聽到了沒做回應，這樣就與張三取得了聯系。
3）頭信息分析
如下圖左欄所示，第1數據包包含了兩個頭信息：以太網（Ethernet）和ARP。
圖10
下表2是以太網的頭信息，括號內的數均為該字段所占字節數，以太網報頭中的前兩個字段是以太網的源地址和目的地址。目的地址為全1的特殊地址是廣播地址。電纜上的所有以太網接口都要接收廣播的數據幀。兩個字節長的以太網幀類型表示后面數據的類型。對于ARP請求或應答來說，該字段的值為0806。
第2行中可以看到，盡管ARP請求是廣播的，但是ARP應答的目的地址卻是1號機的（00 50 FC 22 C7 BE）。ARP應答是直接送到請求端主機的。
下表3是ARP協議的頭信息。硬件類型字段表示硬件地址的類型。它的值為1即表示以太網地址。協議類型字段表示要映射的協議地址類型。它的值為0800即表示IP地址。它的值與包含I P數據報的以太網數據幀中的類型字段的值相同。接下來的兩個1字節的字段，硬件地址長度和協議地址長度分別指出硬件地址和協議地址的長度，以字節為單位。對于以太網上IP地址的ARP請求或應答來說，它們的值分別為6和4。Op即操作（Opoperation），1是ARP請求、2是ARP應答、3是RARP請求和4為RARP應答，第二行中該字段值為2表示應答。接下來的四個字段是發送端的硬件地址、發送端的IP地址、目的端的硬件地址和目的端IP地址。注意，這里有一些重復信息：在以太網的數據幀報頭中和ARP請求數據幀中都有發送端的硬件地址。對于一個ARP請求來說，除目的端硬件地址外的所有其他的字段都有填充值。
表3的第2行為應答，當系統收到一份目的端為本機的ARP請求報文后，它就把硬件地址填進去，然后用兩個目的端地址分別替換兩個發送端地址，并把操作字段置為2，最后把它發送回去。
表3
第二組 建立連接
1）下圖顯示的是3-5行的數據
圖11
2）解釋數據包
這三行數據是兩機建立連接的過程。
這三行的核心意思就是TCP協議的三次握手。TCP的數據包是靠IP協議來傳輸的。但IP協議是只管把數據送到出去，但不能保證IP數據報能成功地到達目的地，保證數據的可靠傳輸是靠TCP協議來完成的。當接收端收到來自發送端的信息時，接受端詳發送短發送一條應答信息，意思是：“我已收到你的信息了。”第三組數據將能看到這個過程。TCP是一個面向連接的協議。無論哪一方向另一方發送數據之前，都必須先在雙方之間建立一條連接。建立連接的過程就是三次握手的過程。
這個過程就像要我找到了張三向他借幾本書，第一步：我說：“你好，我是擔子”，第二步：張三說：“你好，我是張三”，第三步：我說：“我找你借幾本書。”這樣通過問答就確認對方身份，建立了聯系。
下面來分析一下此例的三次握手過程。
1))請求端208號機發送一個初始序號（SEQ）987694419給1號機。
2))服務器1號機收到這個序號后，將此序號加1值為987694419作為應答信號（ACK），同時隨機產生一個初始序號（SEQ）1773195208，這兩個信號同時發回到請求端208號機，意思為：“消息已收到，讓我們的數據流以1773195208這個數開始。”
3))請求端208號機收到后將確認序號設置為服務器的初始序號（SEQ）1773195208加1為1773195209作為應答信號。
以上三步完成了三次握手，雙方建立了一條通道，接下來就可以進行數據傳輸了。
下面分析TCP頭信息就可以看出，在握手過程中TCP頭部的相關字段也發生了變化。
3）頭信息分析
如圖12所示，第3數據包包含了三頭信息：以太網（Ethernet）和IP和TCP。
頭信息少了ARP多了IP、TCP，下面的過程也沒有ARP的參與，可以這樣理解，在局域網內，ARP負責的是在眾多聯網的計算機中找到需要找的計算機，找到工作就完成了。
以太網的頭信息與第1、2行不同的是幀類型為0800，指明該幀類型為IP。
IP協議頭信息
IP是TCP/IP協議族中最為核心的協議。從圖5可以看出所有的TCP、UDP、ICMP及IGMP數據都以IP數據報格式傳輸的，有個形象的比喻IP協議就像運貨的卡車，將一車車的貨物運向目的地。主要的貨物就是TCP或UDP分配給它的。需要特別指出的是IP提供不可靠、無連接的數據報傳送，也就是說I P僅提供最好的傳輸服務但不保證IP數據報能成功地到達目的地。看到這你會不會擔心你的E_MAIL會不會送到朋友那，其實不用擔心，上文提過保證數據正確到達目的地是TCP的工作，稍后我們將詳細解釋。
如表4是IP協議的頭信息。
表4 IP數據報格式及首部中的各字段
圖12中所宣布分45 00—71 01為IP的頭信息。這些數是十六進制表示的。一個數占4位，例如：4的二進制是0100
4位版本：表示目前的協議版本號，數值是4表示版本為4，因此IP有時也稱作IPv4；
4位首部長度：頭部的是長度，它的單位是32位(4個字節)，數值為5表示IP頭部長度為20字節。
8位服務類型(TOS)：00，這個8位字段由3位的優先權子字段，現在已經被忽略，4位的TOS子字段以及1 位的未用字段（現在為0）構成。4位的TOS子字段包含：最小延時、最大吞吐量、最高可靠性以及最小費用構成，這四個1位最多只能有一個為1，本例中都為0，表示是一般服務。
16位總長度(字節數)：總長度字段是指整個IP數據報的長度，以字節為單位。數值為00 30，換算為十進制為48字節，48字節=20字節 的IP頭+28字節的TCP頭，這個數據報只是傳送的控制信息，還沒有傳送真正的數據，所以目前看到的總長度就是報頭的長度。
16位標識：標識字段唯一地標識主機發送的每一份數據報。通常每發送一份報文它的值就會加1，第3行為數值為30 21，第5行為30 22，第7行為30 23。分片時涉及到標志字段和片偏移字段，本文不討論這兩個字段。
8位生存時間（TTL）：TTL（time-to-live）生存時間字段設置了數據報可以經過的最多路由器數。它指定了數據報的生存時間。ttl的初始值由源主機設置，一旦經過一個處理它的路由器，它的值就減去1。可根據TTL值判斷服務器是什么系統和經過的路由器。本例為80，換算成十進制為128，WINDOWS操作系統TTL初始值一般為128，UNIX操作系統初始值為255，本例表示兩個機器在同一網段且操作系統為WINDOWS。
8位協議：表示協議類型，6表示傳輸層是TCP協議。
16位首部檢驗和：當收到一份I P數據報后，同樣對首部中每個16 位進行二進制反碼的求和。由于接收方在計算過程中包含了發送方存在首部中的檢驗和，因此，如果首部在傳輸過程中沒有發生任何差錯，那么接收方計算的結果應該為全1。如果結果不是全1，即檢驗和錯誤，那么IP就丟棄收到的數據報。但是不生成差錯報文，由上層去發現丟失的數據報并進行重傳。
32位源IP地址和32位目的IP地址：實際這是IP協議中核心的部分，但介紹這方面的文章非常多，本文搭建的又是一個最簡單的網絡結構，不涉及路由，本文對此只做簡單介紹，相關知識請參閱其它文章。32位的IP地址由一個網絡ID和一個主機ID組成。本例源IP地址為C0 A8 71 D0，轉換為十進制為：192.168.113.208; 目的IP地址為C0 A8 71 01，轉換為十進制為：192.168.113.1。網絡地址為192.168.113，主機地址分別為1和208，它們的網絡地址是相同的所以在一個網段內，這樣數據在傳送過程中可直接到達。
TCP協議頭信息
如表5是ICP協議的頭信息。
第三行TCP的頭信息是：04 28 00 15 3A DF 05 53 00 00 00 00 70 02 40 00 9A 8D 00 00 02 04 05 B4 01 01 04 02
端口號：常說FTP占21端口、HTTP占80端口、TELNET占23端口等，這里指的端口就是TCP或UDP的端口，端口就像通道兩端的門一樣，當兩機進行通訊時門必須是打開的。源端口和目的端口各占16位，2的16次方等于65536，這就是每臺電腦與其它電腦聯系所能開的“門”。一般作為服務一方每項服務的端口號是固定的。本例目的端口號為00 15，換算成十進制為21，這正是FTP的默認端口，需要指出的是這是FTP的控制端口，數據傳送時用另一端口，第三組的分析能看到這一點。客戶端與服務器聯系時隨機開一個大于1024的端口，本例為04 28，換算成十進制為1064。你的電腦中了木馬也會開一個服務端口。觀察端口非常重要，不但能看出本機提供的正常服務，還能看出不正常的連接。Windows察看端口的命令時netstat。
32位序號：也稱為順序號（Sequence Number），簡寫為SEQ，從上面三次握手的分析可以看出，當一方要與另一方聯系時就發送一個初始序號給對方，意思是：“讓我們建立聯系吧？”，服務方收到后要發個獨立的序號給發送方，意思是“消息收到，數據流將以這個數開始。”由此可看出，TCP連接完全是雙向的，即雙方的數據流可同時傳輸。在傳輸過程中雙方數據是獨立的，因此每個TCP連接必須有兩個順序號分別對應不同方向的數據流。
32位確認序號：也稱為應答號（Acknowledgment Number），簡寫為ACK。在握手階段，確認序號將發送方的序號加1作為回答，在數據傳輸階段，確認序號將發送方的序號加發送的數據大小作為回答，表示確實收到這些數據。在第三組的分析中將看到這一過程。
4位首部長度：。這個字段占4位，它的單位時32位（4個字節）。本例值為7，TCP的頭長度為28字節，等于正常的長度2 0字節加上可選項8個字節。，TCP的頭長度最長可為60字節（二進制1111換算為十進制為15，15*4字節=60字節）。
6個標志位。
URG 緊急指針，告訴接收TCP模塊緊要指針域指著緊要數據
ACK 置1時表示確認號（為合法，為0的時候表示數據段不包含確認信息，確認號被忽略。
PSH 置1時請求的數據段在接收方得到后就可直接送到應用程序，而不必等到緩沖區滿時才傳送。
RST 置1時重建連接。如果接收到RST位時候，通常發生了某些錯誤。
SYN 置1時用來發起一個連接。
FIN 置1時表示發端完成發送任務。用來釋放連接，表明發送方已經沒有數據發送了。
圖13的3個圖分別為3-5行TCP協議的頭信息，這三行是三次握手的過程，我們看看握手的過程標志位發生了什么？
如圖13-1請求端208號機發送一個初始序號（SEQ）987694419給1號機。標志位SYN置為1。
如圖13-2服務器1號機收到這個序號后，將應答信號（ACK）和隨機產生一個初始序號（SEQ）1773195208發回到請求端208號機，因為有應答信號和初始序號，所以標志位ACK和SYN都置為1。
如圖13-3請求端208號機收到1號機的信號后，發回信息給1號機。標志位ACK置為1，其它標志為都為0。注意此時SYN值為0，SYN是標示發起連接的，上兩部連接已經完成。
16位窗口大小：TCP的流量控制由連接的每一端通過聲明的窗口大小來提供。窗口大小為字節數，起始于確認序號字段指明的值，這個值是接收端正期望接收的字節。窗口大小是一個16字節字段，因而窗口大小最大為65535字節。
16位檢驗和：檢驗和覆蓋了整個的TCP報文段： TCP首部和TCP數據。這是一個強制性的字段，一定是由發端計算和存儲，并由收端進行驗證。
16位緊急指針：只有當U R G標志置1時緊急指針才有效。緊急指針是一個正的偏移量，和序號字段中的值相加表示緊急數據最后一個字節的序號。
選項：圖13-1和圖13-2有8個字節選項，圖13-3沒有選項。最常見的可選字段是最長報文大小，又稱為MSS (Maximum Segment Size)。每個連接方通常都在握手的第一步中指明這個選項。它指明本端所能接收的最大長度的報文段。圖13-1可以看出208號機可以接受的最大字節數為1460字節，1460也是以太網默認的大小，在第三組的數據分析中可以看到數據傳送正是以1460字節傳送的。
握手小結
上面我們分開講了三次握手，看著有點散，現在小結一下。
第三組 數據傳輸
1）下圖顯示的是57-60行的數據
圖14
2）解釋數據包
這四行數據是數據傳輸過程中一個發送一個接收的過程。
前文說過，TCP提供一種面向連接的、可靠的字節流服務。當接收端收到來自發送端的信息時，接受端要發送一條應答信息，表示收到此信息。數據傳送時被TCP分割成認為最適合發送的數據塊。一般以太網在傳送時TCP將數據分為1460字節。也就是說數據在發送方被分成一塊一塊的發送，接受端收到這些數據后再將它們組合在一起。
57行顯示1號機給208號機發送了大小為1514字節大小的數據，注意我們前文講過數據發送時是層層加協議頭的，1514字節=14字節以太網頭 + 20字節IP頭 + 20字節TCP頭 + 1460字節數據
58行顯示的應答信號ACK為：1781514222，這個數是57行得SEQ序號1781512762加上傳送的數據1460，208號機將這個應答信號發給1號機說明已收到發來的數據。
59、60行顯示的是繼續傳送數據的過程。
這個過程就像我向張三借書，借給我幾本我要說：“我已借了你幾本了。”，他說：“知道了”。
3）頭信息
圖15-1和圖15-2分別是57行和58行的頭信息，解釋參考第二組。
第四組 終止連接
1）下圖顯示的是93-96行的數據
圖16
2）解釋數據包
93-96是兩機通訊完關閉的過程。
建立一個連接需要三次握手，而終止一個連接要經過4次握手。這是因為一個TCP連接是全雙工（即數據在兩個方向上能同時傳遞），每個方向必須單獨地進行關閉。4次握手實際上就是雙方單獨關閉的過程。
本例文件下載完后，關閉瀏覽器終止了與服務器的連接圖16的93-96行顯示的就是終止連接所經過4次握手過程。
93行數據顯示的是關閉瀏覽器后，如圖17-1所示208號機將FIN置1連同序號(SEQ)987695574發給1號機請求終止連接。
94行數據和圖17-2顯示1號機收到FIN關閉請求后，發回一個確認，并將應答信號設置為收到序號加1，這樣就終止了這個方向的傳輸。
95行數據和圖17-3顯示1號機將FIN置1連同序號(SEQ)1773196056發給208號機請求終止連接。
96行數據和圖17-4顯示208號機收到FIN關閉請求后，發回一個確認，并將應答信號設置為收到序號加1，至此TCP連接徹底關閉。
3）頭信息
六、掃描實例
下面我們再舉個ping的實例，測試某臺計算機是否通，最常用的命令就是ping命令。Ping 一臺計算機，出現如圖18所示界面就是通，出現如圖19所示界面就是不通，不通有兩種情況，一是該計算機不存在或沒接網線，二是該計算機安裝了防火墻并設置為不允許ping。如何區別這兩種情況呢？下面還是利用iris跟蹤上述情況。
圖18
圖19
如圖20是ping通的情況。
如圖21是ping不通該計算機不存在的情況。從圖可以看出ARP請求沒有回應。
如圖22是ping不通，該計算機存在但安裝了防火墻的情況。從圖可以看出ARP請求有回應。但ICMP請求沒回應。
從分析可以看出雖然后兩種情況的表面現象是一樣的，但實質確是截然相反的。通過頭信息可以清楚的看出PING是
ICMP協議來完成的，通訊過程是在第三層完成的，沒有用到第四層的TCP協議。
圖20
圖21
圖22
七、后記
本文不是個教程，許多問題都沒有涉及到，比如TCP重發、IP分解、路由等，只是提出個學習思路，希望能起到拋磚引玉的作用。TCP/IP協議族是非常復雜的，但只要理解了還是不難學的。最后向感興趣的朋友提個問題：分別telnet三臺機器，一臺正常23端口開放，一臺網是通的但23端口沒開放，另外一臺是不存在的。用我們學過的方法跟蹤一下，比較三個的不同。其實這就是用TCP掃描判斷對方機器是否在線的一種方法。