3. Объекты исследования, оборудование, материалы и наглядные пособия.

4. Задание на работу (рабочее задание).

Изучить теоретическую часть, где приведены краткие сведения о технологии Ethernet, описан формат кадра Ethernet, рассмотрено использование протокола ARP для определения MAC-адреса по IP-адресу и для проверки наличия в сети дублированного IP-адреса, а также представлены примеры захвата пакетов анализатором EtherPeek и примеры создания фильтров в анализаторе EtherPeek для захвата нужных пакетов.

Выполнить эксперименты с целью изучения работы протокола ARP в сети Ethernet, используя для захвата пакетов демонстрационную версию анализатора EtherPeek (раздел 7).

5. Ход работы (порядок выполнения работы).

1. Для случая расположения хоста-отправителя и хоста-получателя в одной сети

Схема эксперимента подобна показанной на рис. 4 пункта 5.1. Используйте любые два компьютера локальной сети, один из которых будет хостом A (отправителем), а другой – хостом B (получателем). В эксперименте нужно будет очистить таблицу ARP хоста A, послать эхо-запрос (используя команду ping) на хост B и с помощью демонстрационной версии анализатора протоколов EtherPeek захватить и проанализировать кадры, переданные между хостами A и B. Ниже приведен порядок действий.

Определите MAC-адреса и IP-адреса хостов A и B, введя в командной строке каждого хоста команду ipconfig /all или winipcfg в зависимости от используемой операционной системы. Запишите эти адреса. Все перечисленные ниже действия выполняйте на хосте A.

1) Введите в командной строке команду arp –a, которая позволяет просмотреть содержимое таблицы ARP. Если в ней есть какие-либо записи, удалите их, введя команду arp –d, после чего снова введите arp –a, чтобы убедиться, что таблица пуста. Введите в командной строке команду ping IP-адрес хоста B. После получения ответа от хоста B снова введите в командной строке команду arp –a, чтобы убедиться в появлении в таблице ARP динамической записи, устанавливающей соответствие между IP-адресом и MAC-адресом хоста B.

2) Запустите демонстрационную версию программы анализатора протоколов EtherPeek, используя ярлык EtherPeek Demo на рабочем столе. В появившемся диалоговом окне перечисляются отличия демонстрационной версии программы EtherPeek от полной версии. Для выполнения данной лабораторной работы следует учесть два основных отличия – время захвата пакетов ограничено тридцатью секундами и после запуска программы можно открыть не более пяти окон захвата. Нажмите OK.

Если открылось окно Monitor Options (необязательно), в нем будет выделен адаптер Ethernet, обнаруженный программой в используемом вами компьютере. Анализатор будет захватывать пакеты, поступающие на этот адаптер и передаваемые им. Нажмите OK. Окно Monitor Options закроется. Если окно Monitor Options автоматически не открылось, то адаптер, пакеты которого будет захватывать анализатор, можно определить из строки состояния в низу экрана или выбрав в меню Monitor строки главного меню опцию Select Monitor Adapter…, чтобы открыть окно Monitor Options.

3) Выберите в меню View строки главного меню опцию Filters. Появится список фильтров, которые могут использоваться при захвате пакетов анализатором EtherPeek. Без дополнительной настройки эти “встроенные” фильтры позволяют фильтровать пакеты только по протоколам. Однако, как указывалось в пункте 5.1, в лабораторной работе понадобятся фильтры, фильтрующие пакеты не только по протоколам, но и по адресам (MAC и IP).

В частности, в соответствии с приведенным выше планом эксперимента и описанием, представленным в пункте 5.1, нужно создать четыре фильтра: первый – для захвата ARP-запросов от хоста A, второй – для захвата ARP-ответов хоста B хосту A, третий – для захвата эхо-запросов от хоста A к хосту B и четвертый – для захвата эхо-ответов хоста B хосту A (чтобы обеспечить возможность использования созданных в данном пункте фильтров и для следующего эксперимента, описанного в пункте 7.2, рекомендуется третий фильтр создать для захвата эхо-запросов от хоста A не к хосту B, а к любому хосту, а четвертый – для захвата эхо-ответов не от хоста B, а от любого хоста к хосту A).

Чтобы создать фильтр для ARP-запросов от хоста A, сделайте следующее.

Расположив указатель мыши в области списка фильтров, нажмите правую кнопку мыши и щелкните на Insert. Появится окно Edit Filter.

В поле Filter введите имя фильтра для ARP-запросов от хоста A (например, ARP Requests).

В поле Comment введите комментарий, описывающий назначение фильтра.

Отметьте рамку Address filter.

В ниспадающем спиcке поля Type выберите Physical.

В поле Address 1 введите MAC-адрес хоста A.

Отметьте верхнюю кнопку-флажок рядом с полем Address 2.

Нажмите на направленной вправо стрелке рядом с полем Address 2 и в появившемся меню щелкните на Name Table. В таблице открывшегося окна Select Name выделите строку Ethernet Broadcast и нажмите кнопку Select. В поле Address 2 появится Ethernet Broadcast, что означает широковещательный адрес Ethernet.

Нажмите кнопку Both directions и в появившемся меню щелкните на Address 1 to 2.

Отметьте рамку Protocol Filter и нажмите кнопку Protocol… В появившемся окне Protocol Filter нажмите на знаке “+” рядом с опцией Ethernet Type 2 (идентифицирующей кадр формата Ethernet II, используемый в операционных системах Windows по умолчанию), затем на знаке “+” рядом с элементом ARP, выделите элемент Request и нажмите OK. Рядом с кнопкой Protocol… появится ARP Request.

Нажмите кнопку OK в окне Edit Filter. В списке фильтров EtherPeek появится фильтр с именем, введенным в поле Filter окна Edit Filter.

Создайте аналогичным образом три других фильтра (в пункте 5.1 приведены соответствующие примеры окон Edit Filter). При создании фильтров для эхо-запросов и эхо-ответов, для передачи которых используется протокол ICMP, после нажатия в окне Edit Filter кнопки Protocol и разворачивания дерева Ethernet Type 2 следует нажать на знаке “+” рядом с элементом IP, затем на знаке “+” рядом с элементом ICMP, после чего выделить элемент Echo Req или Echo Reply и нажать OK.

После создания фильтров выберите в меню Capture строки главного меню опцию Start Capture. Появится окно Capture Options. Перейдите в нем на закладку Filters. По умолчанию никакие фильтры не используются, что подтверждается сообщением Accept all packets (Принимаются все пакеты) в верхней части окна. В списке фильтров должны присутствовать четыре созданных вами фильтра. Отметьте их. Сообщение в верхней части окна должно измениться на Accept only packets matching at least one of 4 filters (Принимаются только пакеты, соответствующие хотя бы одному из четырех фильтров). Нажмите OK. Откроется окно захвата Capture 1.

5) Нажмите в окне захвата Capture 1 анализатора кнопку Start Capture и, не теряя времени (захват в EtherPeek Demo продолжается только 30 секунд!), введите в командной строке команду arp –d, чтобы очистить таблицу ARP, и затем сразу команду ping –n 1 IP-адрес хоста B.

Проанализируйте содержимое окна захвата анализатора, где должно быть захвачено четыре пакета (если щелкнуть мышью в строке заголовка таблицы полученных данных анализатора, появится окно Packets List Options, в списке закладки Columns которого можно отметить различные опции и нажать OK, в результате чего в таблице появятся другие столбцы с информацией о захваченных пакетах). Зачем хост A посылает ARP-запрос перед передачей эхо-запроса? Что сообщает хост B в своем ARP-ответе?

(Примечание. Если вы не успели в течение 30 секунд после нажатия кнопки Start Capture в окне Capture 1 анализатора выполнить действия, указанные на шаге 6, то на фоне пустого окна захвата анализатора появится диалоговое окно с сообщением об останове захвата. Нажмите в этом окне кнопку OK и выберите в меню File строки главного меню анализатора опцию New. Появится окно Capture Options с открытой закладкой Filters. Отметьте в этом окне созданные вами фильтры и нажмите OK. Откроется окно захвата Capture 2 и можно будет повторить действия, начиная с шага 5, для окна Capture 2).

7) Отобразите содержимое захваченного кадра ARP-запроса, дважды щелкнув в первой строке таблицы данных окна захвата, и проанализируйте выведенную на экран информацию. Почему поле Target Hardware Addr (аппаратный адрес получателя) ARP-пакета содержит одни нули? Для чего нужны дополнительные байты (секция Extra bytes), состоящие из одних нулей, и почему их 18?

8) Закройте окно содержимого захваченного кадра ARP-запроса и дважды щелкните мышью во второй строке таблицы данных окна захвата. Появится содержимое кадра ARP-ответа. Проанализируйте выведенную на экран информацию. В каком поле ARP-пакета хосту A сообщается MAC-адрес хоста B?

2. Для случая расположения хоста-отправителя и хоста-получателя в разных сетях

Схема эксперимента подобна показанной на рис. 15 пункта 5.2. В качестве хоста A (отправителя) используйте тот же компьютер, который использовали как хост A в пункте 7.1, а в качестве хоста B (шлюза) используйте компьютер, указанный преподавателем. В эксперименте нужно будет очистить таблицу ARP хоста A, послать эхо-запрос (используя команду ping) через Интернет на некоторый хост C и с помощью демонстрационной версии анализатора протоколов EtherPeek захватить и проанализировать кадры, переданные между хостами A и B. Ниже приведен порядок действий.

Выполните на хосте A следующие действия.

Выберите в меню File строки главного меню анализатора опцию New. Появится окно Capture Options. Перейдите в нем на закладку Filters (если она не открыта сразу). По умолчанию никакие фильтры не используются, что подтверждается сообщением Accept all packets (Принимаются все пакеты) в верхней части окна. В списке фильтров должны присутствовать четыре ранее созданных вами фильтра. Отметьте их. Сообщение в верхней части окна должно измениться на Accept only packets matching at least one of 4 filters (Принимаются только пакеты, соответствующие хотя бы одному из четырех фильтров). Нажмите OK. Откроется новое окно захвата.

Нажмите в окне захвата анализатора кнопку Start Capture и, не теряя времени, введите в командной строке команду arp –d, чтобы очистить таблицу ARP, и затем сразу же команду ping –n 1 IP-адрес хоста C (например, ping –n 1 195.151.99.68).

Проанализируйте содержимое окна захвата анализатора, где должно быть захвачено четыре пакета. MAC-адрес какого хоста хочет определить хост A с помощью своего ARP-запроса и почему?

4) Отобразите содержимое захваченного кадра эхо-запроса, дважды щелкнув в третьей строке таблицы данных окна захвата, и проанализируйте выведенную на экран информацию. MAC-адрес какого хоста указан в поле Destination (адрес назначения) заголовка кадра Ethernet (секция Ethernet Header)? IP-адрес какого хоста указан в поле Dest. IP Address (IP-адрес назначения) заголовка IP-пакета (секция IP Header – Internet Protocol Datagram) протокола ICMP?

5) Закройте окно содержимого захваченного кадра эхо-запроса и дважды щелкните мышью в четвертой строке таблицы данных окна захвата. Появится содержимое кадра эхо-ответа. Проанализируйте выведенную на экран информацию. MAC-адрес какого хоста указан в поле Source (адрес источника) заголовка кадра Ethernet (секция Ethernet Header)? IP-адрес какого хоста указан в поле Source IP Address (IP-адрес источника) заголовка IP-пакета (секция IP Header – Internet Protocol Datagram) протокола ICMP?

3. Проверка наличия в сети дублированного IP-адреса

Схема эксперимента подобна показанной на рис. 4 пункта 5.1. Используйте те же компьютеры, которые использовали в пункте 7.1. В эксперименте нужно будет сначала установить IP-адрес хоста B равным IP-адресу хоста A и с помощью демонстрационной версии анализатора протоколов EtherPeek на хосте A определить, как протокол ARP позволяет хосту B узнать, что заданный на этом хосте IP-адрес уже имеется в локальной сети. Затем нужно будет восстановить на хосте B прежний IP-адрес и с помощью анализатора на хосте A определить, как протокол ARP позволяет хосту B узнать, что заданного на этом хосте IP-адреса в локальной сети нет. Ниже приведен порядок действий.

Создайте в анализаторе EtherPeek на хосте A два новых фильтра: один – для захвата широковещатель­ных ARP-запросов от хоста B, а другой – для захвата ARP-ответов от хоста A хосту B, которые будут посылаться в том случае, когда IP-адрес хоста B будет таким же, как у хоста A (в разделе 6 приведены соответствующие примеры окон Edit Filter).

В анализаторе EtherPeek на хосте A инициируйте создание нового окна захвата (нажмите File  New), на закладке Filters появившегося окна Capture Options отметьте два только что созданных вами фильтра и нажмите OK. Откроется новое окно захвата.

В настройках TCP/IP хоста B установите такой же IP-адрес, как у хоста A, но пока не закрывайте последнее окно настроек TCP/IP (конкретные действия для установки/изменения IP-адреса зависят от используемой операционной системы).

Если на хосте B используется операционная система Windows 95/98:

закройте последнее окно настроек TCP/IP и в появившемся диалоговом окне с предложением перезагрузить компьютер нажмите кнопку Да, после чего подождите появления заставки Windows при загрузке компьютера и перейдите к шагу 4.

Если на хосте B используется операционная система Windows NT/2000/XP:

перейдите к шагу 4.

В открытом окне захвата анализатора EtherPeek на хосте A нажмите кнопку Start Capture.

Если на хосте B используется операционная система Windows 95/98:

ждите на хосте A появления информации в окне захвата анализатора.

Если на хосте B используется операционная система Windows NT/2000/XP:

закройте на хосте B последнее окно настроек TCP/IP и ждите на хосте A появления информации в окне захвата анализатора.

Проанализируйте на хосте A содержимое окна захвата анализатора (анализатор должен захватить четыре пакета). Почему на посланный хостом B ARP-запрос хост A посылает ARP-ответ?

Отобразите содержимое захваченного кадра ARP-запроса, дважды щелкнув в первой строке таблицы данных окна захвата, и проанализируйте выведенную на экран информацию. Особое внимание обратите на значения полей Sender Internet Addr (сетевой адрес отправителя) и Target Internet Addr (сетевой адрес получателя). Почему значения этих полей одинаковы?

Введите в командной строке на хосте B команду ipconfig /all или winipcfg (в зависимости от используемой операционной системы). Почему IP-адрес хоста B – 0.0.0.0?

В анализаторе EtherPeek на хосте A инициируйте создание нового окна захвата (нажмите File  New), на закладке Filters появившегося окна Capture Options отметьте два нужных фильтра и нажмите OK. Откроется новое окно захвата.

В настройках TCP/IP хоста B установите IP-адрес, который ранее имел хост B, но пока не закрывайте последнее окно настроек TCP/IP.

Если на хосте B используется операционная система Windows 95/98:

закройте последнее окно настроек TCP/IP и в появившемся диалоговом окне с предложением перезагрузить компьютер нажмите кнопку Да, после чего подождите появления заставки Windows при загрузке компьютера и перейдите к шагу 10.

Если на хосте B используется операционная система Windows NT/2000/XP:

перейдите к шагу 10.

В открытом окне захвата анализатора EtherPeek на хосте A нажмите кнопку Start Capture.

Если на хосте B используется операционная система Windows 95/98:

ждите на хосте A появления информации в окне захвата анализатора.

Если на хосте B используется операционная система Windows NT/2000/XP:

закройте на хосте B последнее окно настроек TCP/IP и ждите на хосте A появления информации в окне захвата анализатора.

Найдите на хосте A в окне захвата анализатора самообращенные ARP-запросы от хоста B. Почему хост A не послал на них ARP-ответы?

Введите в командной строке на хосте B команду ipconfig /all или winipcfg (в зависимости от используемой операционной системы) и убедитесь, что хосту B присвоен IP-адрес, который вы указали в настройках TCP/IP хоста B.