第 8章 IP 数 据 报计算机网络技术 耿强本次课主要内容,
1.源路由、记录路由及时间戳选项
2.ICMP的主要功能
3.实践内容剖析 ping命令使用 ping命令及其选项本次课重点,
1.源路由、记录路由及时间戳选项
2.ICMP的主要功能本次课难点,
1.源路由、记录路由及时间戳选项授课形式,讲授 +演示课时安排,2课时
（第 16次课） IP数据报选项,ICMP报文一 IP数据报选项功能：主要用于控制和测试用户可以使用也可以不使用 IP选项。但所有实现 IP协议的设备必须能处理 IP选项
IP数据报选项由选项码、长度和选项数据三部分组成
1,源路由选项源路由,IP数据报穿越互联网所经过的路径是由源主机指定的。
应用场合：测试某特定网络吞吐率，使数据报绕开出错网络等。
源路由选项分为：
严格源路由选项：规定 IP数据报要经过路径上的每一个路由器松散源路由选项：只给出 IP数据报必须经过的一些“要点”
2,记录路由选项
（ 1）记录路由：记录 IP数据报从源主机到目的主机所经过路径上各个路由器的 IP地址
（ 2）应用场合查看 IP数据报传输过程中所经过的路径测试路由器的路由配置是否正确
3,时间戳选项时间戳：记录 IP数据报经过每一路由器时的当地时间应用场合：分析网络吞吐率、拥塞情况、负载情况等计算机网络技术 耿强二 ICMP报文分析与 Ping命令实践计算机网络技术 耿强
1,差错与控制报文
IP互联网利用 ICMP传输控制报文和差错报文
ICMP报文的封装：封装在 IP数据报中计算机网络技术 耿强
2,ICMP差错控制
（ 1） ICMP的基本功能之一是提供差错报告；
（ 2） ICMP协议不严格规定对出现的差错采取的处理方式；
（ 3） ICMP差错报告都是采用路由器到源主机的模式：
IP数据报本身只包含源主机地址和目的主机地址，
错误报告给目的主机没有意义（有时也不可能）。
路由器独立选路，发现错误的路由器不知道该数据报经过的路径，无法将错误通知相应路由器。
计算机网络技术 耿强
3,ICMP差错报文的主要特点
ICMP差错报告作为一般数据传输，不享受特别优先权和可靠性；
ICMP差错报告 数据中除包含故障 IP数据报报头外，还包含故障 IP数据报数据区的前 64bit数据；
ICMP差错报告是伴随着抛弃出错 IP数据报而产生的。
计算机网络技术 耿强
4,ICMP主要差错报告类型
（ 1）目的地不可达报告：网络不可达、主机不可达、协议和端口不可达等。
（ 2）超时报告
（ 3）参数出错报告计算机网络技术 耿强
5.ICMP控制报文
（ 1）拥塞控制与源抑制报文
（ 2）路由控制与重定向报文
（ 3） ICMP请求 /应答报文对计算机网络技术 耿强
（ 1）拥塞控制与源抑制报文
① 拥塞什么是拥塞？
路由器被大量涌入的 IP数据报“淹没”的现象。
拥塞产生的原因？
路由器处理速度太慢，不能完成数据报排队等日常工作；
路由器传入数据速率大于传出数据速率。
② 拥塞控制：源站抑制利用 ICMP源抑制报文抑制源主机发送数据报的速率。
计算机网络技术 耿强
③ 发送源站抑制报文策略路由器的某输出队列溢出后，抛弃新来的数据报，发送 ICMP源抑制报文；
为路由器的输出队列设置阈值，超过域值后抛弃新来的数据报，发送 ICMP源抑制报文；
有选择地抑制 IP数据报发送率较高的源主机。
④ 接收源站抑制报文收到源抑制报文后，源主机可以降低发送 IP数据报的速率。
注意：拥塞解除后路由器不主动通知源主机计算机网络技术 耿强
（ 2）路由控制与重定向报文
① ICMP
重定向机制主机在启动时具有一定的路由信息，但不一定是最优的路由器检测到 IP数据报经非优路由传输，就通知主机去往该目的地的最优路径。
功能：保证主机拥有动态的、既小且优的路由表。
② ICMP重定向机制只能在同一网络的路由器与主机之间使用。
计算机网络技术 耿强计算机网络技术 耿强
（ 3） ICMP请求 /应答报文对
① 回应请求与应答测试目的主机或路由器可达性
② 时戳请求与应答获取其他设备的当前时间
③ 掩码请求与应答从路由器获取本网的子网掩码计算机网络技术 耿强
④ 回应请求与应答机理：
请求者向特定目的 IP地址发送包含任选数据区的回应请求报文目的主机或路由器收到，响应回应应答报文（包含请求报文中任选数据的复制）
请求者成功收到应答则说明：
目的主机（或路由器）可以到达源主机与目的主机（或路由器）的 ICMP软件和 IP 软件工作正常回应请求与应答 ICMP报文经过的中间路由器路由选择功能正常计算机网络技术 耿强
6,ICMP实现
ICMP是,InternetControlMessageProtocol”
（ Internet控制消息协议）的缩写。 它是 TCP/IP协议族的一个子协议，用于在 IP主机、路由器之间传递控制消息。 控制消息是指 网络通不通、主机是否可达、
路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。
我们在网络中经常会使用到 ICMP协议，只不过我们觉察不到而已。比如我们经常使用的用于检查网络通不通的 Ping命令，这个,Ping”的过程实际上就是
ICMP协议工作的过程。还有其他的网络命令如跟踪路由的 Tracert命令也是基于 ICMP协议的。
计算机网络技术 耿强
ICMP的重要性
ICMP协议对于网络安全具有极其重要的意义。 ICMP
协议本身的特点决定了它非常容易被用于攻击网络上的路由器和主机。例如，在 1999年 8月海信集团“悬赏” 50万元人民币测试防火墙的过程中，其防火墙遭受到的 ICMP攻击达 334050次之多，占整个攻击总数的 90%
以上！可见,ICMP的重要性绝不可以忽视！
比如，可以利用操作系统规定的 ICMP数据包最大尺寸不超过 64KB这一规定，向主机发起
,Ping of Death” （死亡之 Ping）攻击。
,Ping of Death” 攻击的原理是：如果 ICMP数据包的尺寸超过 64KB上限时，主机就会出现内存分配错误，导致 TCP/IP堆栈崩溃，致使主机死机。
此外，向目标主机长时间、连续、大量地发送 ICMP
数据包，也会最终使系统瘫痪。大量的 ICMP数据包会形成,ICMP风暴”，使得目标主机耗费大量的 CPU资源处理，疲于奔命。
计算机网络技术 耿强
7,应对 ICMP攻击虽然 ICMP协议给黑客以可乘之机，但是 ICMP攻击也并非无药可医。只要在日常网络管理中未雨绸缪，
提前做好准备，就可以有效地避免 ICMP攻击造成的损失。
对于,Ping of Death” 攻击，可以采取两种方法进行防范,第一种方法 是在路由器上对 ICMP数据包进行带宽限制，将 ICMP占用的带宽控制在一定的范围内，这样即使有 ICMP攻击，它所占用的带宽也是非常有限的，对整个网络的影响非常少； 第二种方法 就是在主机上设置 ICMP数据包的处理规则，最好是设定拒绝所有的 ICMP数据包。
计算机网络技术 耿强设置 ICMP数据包处理规则的方法也有两种,一种 是在操作系统上设置包过滤 ;另一种 是在主机上安装防火墙。具体如下：
（ 1）在 Windows 2000 Server中设置 ICMP过滤
Windows 2000 Server提供了“路由与远程访问”服务，但是默认情况下是没有启动的，因此 首先 要启动它：点击“管理工具”中的“路由与远程访问”，启动设置向导。在其中选择
“手动配置服务器”项，点击 [下一步 ]按钮。稍等片刻后，系统会提示“路由和远程访问服务现在已被安装。要开始服务吗？”，点击 [是 ]按钮启动服务。
服务启动后，在计算机名称的分支下会出现一个,IP路由选择”，点击它展开分支，再点击“常规”，会在右边出现服务器中的网络连接（即网卡）。用鼠标右键点击你要配置的网络连接，在弹出的菜单中点击“属性”，会弹出一个网络连接属性的窗口 中两个按钮，一个是“输入筛选器”（指对此服务器接受的数据包进行筛选），另一个是“输出筛选器”（指对此服务器发送的数据包进行筛选），这里应该点击 [输入筛选器 ] 按钮，会弹出一个“添加筛选器”窗口，再点击 [添加 ]按钮，表示要增加一个筛选条件。
计算机网络技术 耿强计算机网络技术 耿强在“协议”右边的下拉列表中选择,ICMP”，
在随后出现的,ICMP类型”和,ICMP编码”中均输入,255”，代表所有的 ICMP类型及其编码。
ICMP有许多不同的类型（ Ping就是一种类型 )，
每种类型也有许多不同的状态，用不同的“编码”
来表示。因为其类型和编码很复杂，这里不再叙述。
点击 [确定 ]按钮返回“输入筛选器”窗口，此时会发现“筛选器”列表中多了一项内容（如图 2
所示 ).点击 [确定 ]按钮返回“本地连接”窗口，再点击 [确定 ]按钮，此时筛选器就生效了，从其他计算机上 Ping这台主机就不会成功了。
计算机网络技术 耿强
（ 2）用防火墙设置 ICMP过滤现在许多防火墙在默认情况下都启用了
ICMP过滤的功能。如果没有启用，只要选中
“防御 ICMP攻击”、“防止别人用 ping命令探测”就可以了,
计算机网络技术 耿强计算机网络技术 耿强实践,ping命令剖析与使用功能：测试网络的连通性和可达性工作机理：回应请求 /应答 ICMP报文对的具体实现
UNIX,Linux,Windows等网络操作系统都支持 ping命令不同网络操作系统对 ping命令的实现稍有不同计算机网络技术 耿强
Windows 2000的 ping命令形式
ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS] [-r count] [-s
count] [[-j host-list] | [-k host-list]] [-w timeout] 目的 IP地址计算机网络技术 耿强连续发送 ping探测报文计算机网络技术 耿强自选数据长度的 ping探测报文计算机网络技术 耿强不允许对 ping探测报分片计算机网络技术 耿强修改,ping”命令的请求超时时间计算机网络技术 耿强
ping对目的地不可达的屏幕响应
1.目的网络不可达（ Destination net unreachable）
没有到目的地的路由原因：通常是,Reply from”中列出的路由器路由错误造成的
2.请求超时（ Request timed out）
在指定的超时时间内没有对探测报文作出响应原因：路由器关闭、目标主机关闭、没有路由返回到主机或响应的等待时间大于指定的超时时间等计算机网络技术 耿强谢 谢！
1.源路由、记录路由及时间戳选项
2.ICMP的主要功能
3.实践内容剖析 ping命令使用 ping命令及其选项本次课重点,
1.源路由、记录路由及时间戳选项
2.ICMP的主要功能本次课难点,
1.源路由、记录路由及时间戳选项授课形式,讲授 +演示课时安排,2课时
（第 16次课） IP数据报选项,ICMP报文一 IP数据报选项功能：主要用于控制和测试用户可以使用也可以不使用 IP选项。但所有实现 IP协议的设备必须能处理 IP选项
IP数据报选项由选项码、长度和选项数据三部分组成
1,源路由选项源路由,IP数据报穿越互联网所经过的路径是由源主机指定的。
应用场合：测试某特定网络吞吐率，使数据报绕开出错网络等。
源路由选项分为：
严格源路由选项：规定 IP数据报要经过路径上的每一个路由器松散源路由选项：只给出 IP数据报必须经过的一些“要点”
2,记录路由选项
（ 1）记录路由：记录 IP数据报从源主机到目的主机所经过路径上各个路由器的 IP地址
（ 2）应用场合查看 IP数据报传输过程中所经过的路径测试路由器的路由配置是否正确
3,时间戳选项时间戳：记录 IP数据报经过每一路由器时的当地时间应用场合：分析网络吞吐率、拥塞情况、负载情况等计算机网络技术 耿强二 ICMP报文分析与 Ping命令实践计算机网络技术 耿强
1,差错与控制报文
IP互联网利用 ICMP传输控制报文和差错报文
ICMP报文的封装：封装在 IP数据报中计算机网络技术 耿强
2,ICMP差错控制
（ 1） ICMP的基本功能之一是提供差错报告；
（ 2） ICMP协议不严格规定对出现的差错采取的处理方式；
（ 3） ICMP差错报告都是采用路由器到源主机的模式：
IP数据报本身只包含源主机地址和目的主机地址，
错误报告给目的主机没有意义（有时也不可能）。
路由器独立选路，发现错误的路由器不知道该数据报经过的路径，无法将错误通知相应路由器。
计算机网络技术 耿强
3,ICMP差错报文的主要特点
ICMP差错报告作为一般数据传输，不享受特别优先权和可靠性；
ICMP差错报告 数据中除包含故障 IP数据报报头外，还包含故障 IP数据报数据区的前 64bit数据；
ICMP差错报告是伴随着抛弃出错 IP数据报而产生的。
计算机网络技术 耿强
4,ICMP主要差错报告类型
（ 1）目的地不可达报告：网络不可达、主机不可达、协议和端口不可达等。
（ 2）超时报告
（ 3）参数出错报告计算机网络技术 耿强
5.ICMP控制报文
（ 1）拥塞控制与源抑制报文
（ 2）路由控制与重定向报文
（ 3） ICMP请求 /应答报文对计算机网络技术 耿强
（ 1）拥塞控制与源抑制报文
① 拥塞什么是拥塞？
路由器被大量涌入的 IP数据报“淹没”的现象。
拥塞产生的原因？
路由器处理速度太慢，不能完成数据报排队等日常工作；
路由器传入数据速率大于传出数据速率。
② 拥塞控制：源站抑制利用 ICMP源抑制报文抑制源主机发送数据报的速率。
计算机网络技术 耿强
③ 发送源站抑制报文策略路由器的某输出队列溢出后，抛弃新来的数据报，发送 ICMP源抑制报文；
为路由器的输出队列设置阈值，超过域值后抛弃新来的数据报，发送 ICMP源抑制报文；
有选择地抑制 IP数据报发送率较高的源主机。
④ 接收源站抑制报文收到源抑制报文后，源主机可以降低发送 IP数据报的速率。
注意：拥塞解除后路由器不主动通知源主机计算机网络技术 耿强
（ 2）路由控制与重定向报文
① ICMP
重定向机制主机在启动时具有一定的路由信息，但不一定是最优的路由器检测到 IP数据报经非优路由传输，就通知主机去往该目的地的最优路径。
功能：保证主机拥有动态的、既小且优的路由表。
② ICMP重定向机制只能在同一网络的路由器与主机之间使用。
计算机网络技术 耿强计算机网络技术 耿强
（ 3） ICMP请求 /应答报文对
① 回应请求与应答测试目的主机或路由器可达性
② 时戳请求与应答获取其他设备的当前时间
③ 掩码请求与应答从路由器获取本网的子网掩码计算机网络技术 耿强
④ 回应请求与应答机理：
请求者向特定目的 IP地址发送包含任选数据区的回应请求报文目的主机或路由器收到，响应回应应答报文（包含请求报文中任选数据的复制）
请求者成功收到应答则说明：
目的主机（或路由器）可以到达源主机与目的主机（或路由器）的 ICMP软件和 IP 软件工作正常回应请求与应答 ICMP报文经过的中间路由器路由选择功能正常计算机网络技术 耿强
6,ICMP实现
ICMP是,InternetControlMessageProtocol”
（ Internet控制消息协议）的缩写。 它是 TCP/IP协议族的一个子协议，用于在 IP主机、路由器之间传递控制消息。 控制消息是指 网络通不通、主机是否可达、
路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。
我们在网络中经常会使用到 ICMP协议，只不过我们觉察不到而已。比如我们经常使用的用于检查网络通不通的 Ping命令，这个,Ping”的过程实际上就是
ICMP协议工作的过程。还有其他的网络命令如跟踪路由的 Tracert命令也是基于 ICMP协议的。
计算机网络技术 耿强
ICMP的重要性
ICMP协议对于网络安全具有极其重要的意义。 ICMP
协议本身的特点决定了它非常容易被用于攻击网络上的路由器和主机。例如，在 1999年 8月海信集团“悬赏” 50万元人民币测试防火墙的过程中，其防火墙遭受到的 ICMP攻击达 334050次之多，占整个攻击总数的 90%
以上！可见,ICMP的重要性绝不可以忽视！
比如，可以利用操作系统规定的 ICMP数据包最大尺寸不超过 64KB这一规定，向主机发起
,Ping of Death” （死亡之 Ping）攻击。
,Ping of Death” 攻击的原理是：如果 ICMP数据包的尺寸超过 64KB上限时，主机就会出现内存分配错误，导致 TCP/IP堆栈崩溃，致使主机死机。
此外，向目标主机长时间、连续、大量地发送 ICMP
数据包，也会最终使系统瘫痪。大量的 ICMP数据包会形成,ICMP风暴”，使得目标主机耗费大量的 CPU资源处理，疲于奔命。
计算机网络技术 耿强
7,应对 ICMP攻击虽然 ICMP协议给黑客以可乘之机，但是 ICMP攻击也并非无药可医。只要在日常网络管理中未雨绸缪，
提前做好准备，就可以有效地避免 ICMP攻击造成的损失。
对于,Ping of Death” 攻击，可以采取两种方法进行防范,第一种方法 是在路由器上对 ICMP数据包进行带宽限制，将 ICMP占用的带宽控制在一定的范围内，这样即使有 ICMP攻击，它所占用的带宽也是非常有限的，对整个网络的影响非常少； 第二种方法 就是在主机上设置 ICMP数据包的处理规则，最好是设定拒绝所有的 ICMP数据包。
计算机网络技术 耿强设置 ICMP数据包处理规则的方法也有两种,一种 是在操作系统上设置包过滤 ;另一种 是在主机上安装防火墙。具体如下：
（ 1）在 Windows 2000 Server中设置 ICMP过滤
Windows 2000 Server提供了“路由与远程访问”服务，但是默认情况下是没有启动的，因此 首先 要启动它：点击“管理工具”中的“路由与远程访问”，启动设置向导。在其中选择
“手动配置服务器”项，点击 [下一步 ]按钮。稍等片刻后，系统会提示“路由和远程访问服务现在已被安装。要开始服务吗？”，点击 [是 ]按钮启动服务。
服务启动后，在计算机名称的分支下会出现一个,IP路由选择”，点击它展开分支，再点击“常规”，会在右边出现服务器中的网络连接（即网卡）。用鼠标右键点击你要配置的网络连接，在弹出的菜单中点击“属性”，会弹出一个网络连接属性的窗口 中两个按钮，一个是“输入筛选器”（指对此服务器接受的数据包进行筛选），另一个是“输出筛选器”（指对此服务器发送的数据包进行筛选），这里应该点击 [输入筛选器 ] 按钮，会弹出一个“添加筛选器”窗口，再点击 [添加 ]按钮，表示要增加一个筛选条件。
计算机网络技术 耿强计算机网络技术 耿强在“协议”右边的下拉列表中选择,ICMP”，
在随后出现的,ICMP类型”和,ICMP编码”中均输入,255”，代表所有的 ICMP类型及其编码。
ICMP有许多不同的类型（ Ping就是一种类型 )，
每种类型也有许多不同的状态，用不同的“编码”
来表示。因为其类型和编码很复杂，这里不再叙述。
点击 [确定 ]按钮返回“输入筛选器”窗口，此时会发现“筛选器”列表中多了一项内容（如图 2
所示 ).点击 [确定 ]按钮返回“本地连接”窗口，再点击 [确定 ]按钮，此时筛选器就生效了，从其他计算机上 Ping这台主机就不会成功了。
计算机网络技术 耿强
（ 2）用防火墙设置 ICMP过滤现在许多防火墙在默认情况下都启用了
ICMP过滤的功能。如果没有启用，只要选中
“防御 ICMP攻击”、“防止别人用 ping命令探测”就可以了,
计算机网络技术 耿强计算机网络技术 耿强实践,ping命令剖析与使用功能：测试网络的连通性和可达性工作机理：回应请求 /应答 ICMP报文对的具体实现
UNIX,Linux,Windows等网络操作系统都支持 ping命令不同网络操作系统对 ping命令的实现稍有不同计算机网络技术 耿强
Windows 2000的 ping命令形式
ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS] [-r count] [-s
count] [[-j host-list] | [-k host-list]] [-w timeout] 目的 IP地址计算机网络技术 耿强连续发送 ping探测报文计算机网络技术 耿强自选数据长度的 ping探测报文计算机网络技术 耿强不允许对 ping探测报分片计算机网络技术 耿强修改,ping”命令的请求超时时间计算机网络技术 耿强
ping对目的地不可达的屏幕响应
1.目的网络不可达（ Destination net unreachable）
没有到目的地的路由原因：通常是,Reply from”中列出的路由器路由错误造成的
2.请求超时（ Request timed out）
在指定的超时时间内没有对探测报文作出响应原因：路由器关闭、目标主机关闭、没有路由返回到主机或响应的等待时间大于指定的超时时间等计算机网络技术 耿强谢 谢！
