icmp報文和ip報文分析

　　各種類型的I C M P報文如圖所示，不同類型由報文中的類型字段和代碼字段來共同決定。圖中的最后兩列表明I C M P報文是一份查詢報文還是一份差錯報文。因為對I C M P差錯報文有時需要作特殊處理，因此我們需要對它們進行區分。例如，在對I C M P差錯報文進行響應時，永遠不會生成另一份I C M P差錯報文（如果沒有這個限制規則，可能會遇到一個差錯產生另一個差錯的情況，而差錯再產生差錯，這樣會無休止地循環下去）。

　　當發送一份I C M P差錯報文時，報文始終包含I P的首部和產生I C M P差錯報文的I P數據報的前8個字節。這樣，接收I C M P差錯報文的模塊就會把它與某個特定的協議（根據I P數據報首部中的協議字段來判斷）和用戶進程（根據包含在I P數據報前8個字節中的T C P或U D P報文首部中的T C P或U D P端口號來判斷）聯系起來。6 。 5節將舉例來說明一點。

　　下面各種情況都不會導致產生I C M P差錯報文：

　　1） ICMP差錯報文（但是，I C M P查詢報文可能會產生I C M P差錯報文）。

　　2） 目的地址是廣播地址或多播地址的I P數據報。

　　3） 作為鏈路層廣播的數據報。

　　4） 不是I P分片的第一片。

　　5） 源地址不是單個主機的數據報。這就是說，源地址不能為零地址、環回地址、廣播地

　　址或多播地址。

　　這些規則是為了防止過去允許I C M P差錯報文對廣播分組響應所帶來的廣播風暴。

　　下面是幾種常見的ICMP報文：

　　1.響應請求

　　我們日常使用最多的ping，就是響應請求（Type=8）和應答（Type=0），一臺主機向一個節點發送一個Type=8的ICMP報文，如果途中沒有異常（例如被路由器丟棄、目標不回應ICMP或傳輸失?。?，則目標返回Type=0的ICMP報文，說明這臺主機存在，更詳細的tracert通過計算ICMP報文通過的節點來確定主機與目標之間的網絡距離。

　　2.目標不可到達、源抑制和超時報文

　　這三種報文的格式是一樣的，目標不可到達報文（Type=3）在路由器或主機不能傳遞數據報時使用，例如我們要連接對方一個不存在的系統端口（端口號小于1024）時，將返回Type=3、Code=3的ICMP報文，它要告訴我們：“嘿，別連接了，我不在家的！”，常見的不可到達類型還有網絡不可到達（Code=0）、主機不可到達（Code=1）、協議不可到達（Code=2）等。源抑制則充當一個控制流量的角色，它通知主機減少數據報流量，由于ICMP沒有恢復傳輸的報文，所以只要停止該報文，主機就會逐漸恢復傳輸速率。最后，無連接方式網絡的問題就是數據報會丟失，或者長時間在網絡游蕩而找不到目標，或者擁塞導致主機在規定時間內無法重組數據報分段，這時就要觸發ICMP超時報文的產生。超時報文的代碼域有兩種取值：Code=0表示傳輸超時，Code=1表示重組分段超時。

　　3.時間戳

　　時間戳請求報文（Type=13）和時間戳應答報文（Type=14）用于測試兩臺主機之間數據報來回一次的傳輸時間。傳輸時，主機填充原始時間戳，接收方收到請求后填充接收時間戳后以Type=14的報文格式返回，發送方計算這個時間差。一些系統不響應這種報文。

　　ICMP協議提供的診斷報文類型如表1所示。