课题 4 TCP/IP 常用协议-171主机测评

课题 4 TCP/IP 常用协议

前言

本章分为两大模块：网络层底层支撑协议（ARP、ICMP）、应用层 TCP/UDP 协议集合，包含协议原理、报文结构、交互流程、端口、运维命令、工程规范，是网络排错、组网的核心考点。

第一部分网络层支撑协议

一、ARP 地址解析协议

1. 基础定义

层级：网络层辅助协议，承载在以太网二层帧传输；

核心作用：同一广播域内，IP 地址解析为 MAC 地址；

二层标识：以太网帧 Type 字段 0x0806，用于区分 ARP 报文与普通 IP 报文 (0x0800)。

2. ARP 标准报文结构

以太网帧头部（14 字节）+ ARP 报文 + FCS 校验 (4 字节)

ARP 报文关键字段：

硬件类型：1 = 以太网；

协议类型：0x0800=IPv4；

硬件地址长度：6（MAC 地址 6 字节）；

协议地址长度：4（IPv4 地址 4 字节）；

Opcode 操作码：

1 = ARP 请求；二层广播发送，目标 MAC 全 F FFFF-FFFF-FFFF，目标 MAC 字段填充全 0；
2 = ARP 应答；二层单播回复，携带自身完整 MAC。

3. 基础 ARP 完整工作流程

主机需要和目标 IP 通信，先查询本地 ARP 缓存表；

表中无对应 IP-MAC 条目 → 发送 ARP 广播请求；

广播域内所有设备接收报文，匹配目标 IP 的主机生成 ARP 单播应答；

源主机收到应答，将 IP+MAC 动态存入 ARP 表；

后续通信直接查表获取 MAC，不再发送广播。

4. 各平台查看 ARP 表命令

Windows：arp -a；清空 arp -d；静态绑定 arp -s IP MAC
Linux：arp -a
思科 / 华为交换机路由器：show arp / display arp

5. 四类 ARP 细分详解

（1）标准 ARP

常规同网段 IP 查 MAC，请求广播、应答单播，日常通信最常用。

（2）无故 ARP（Gratuitous ARP）

特征：广播发送，发送 IP = 目标 IP，分为两种：

请求型无故 ARP：检测局域网内是否存在 IP 冲突；

应答型无故 ARP：主动广播刷新全网所有设备 ARP 表、交换机 MAC 表；典型场景：VRRP 虚拟网关切换。

（3）代理 ARP

适用场景：主机未配置网关，跨网段通信。

工作逻辑：路由器收到跨网段 ARP 请求，发现目标网段路由可达，用自身接口 MAC 回复主机，伪装成目标设备完成二层转发。

厂商差异：

Cisco 三层接口默认开启代理 ARP；
华为 / H3C 设备默认关闭；

工程规范：所有三层接口必须执行

no ip proxy-arp

关闭，防止广播风暴与异常转发。

（4）RARP 反向地址解析协议

功能：已知 MAC，查询本机 IP，早期无盘工作站开机使用；

现状：完全淘汰，DHCP 协议替代。

二、ICMP 互联网控制报文协议

1. 基础属性

层级：网络层协议，封装在 IP 报文内，IP 协议号 = 1；

核心作用：传递网络控制、报错、探测信息，不承载业务数据；

ICMP 固定头部：类型 (1B)+ 代码 (1B)+ 校验和 (2B)+ 可变数据段。

2. 高频核心报文类型对照表

类型值报文名称核心用途

8	Echo Request	ping 探测请求包
0	Echo Reply	ping 回复应答包
3	目标不可达	细分网络 / 主机 / 协议 / 端口不可达
11	数据报超时	tracert 路由追踪核心报文
5	ICMP 重定向	告知主机更优下一跳网关

3. Ping 连通性测试原理

源主机发送 ICMP Type=8 请求报文；

可达目标主机回复 Type=0 应答报文；

源主机统计丢包、往返延迟、TTL；

Windows 常用参数：

ping -t：持续发包；
ping -l 1472：自定义数据包长度；
ping -l 1472 -f：禁止数据包分片。

4. Tracert 路由追踪原理

作用：查询源到目标主机经过的所有三层设备（路由器），分主机、设备两种实现方式：

Windows tracert：发送递增 TTL 的 ICMP 报文；

路由器 traceroute：发送递增 TTL 的 UDP 报文；

流程：

初始 TTL=1，每经过一台路由器 TTL 自动 – 1；

TTL=0 时设备丢弃报文，回复 ICMP Type=11 超时报文；

源主机记录该跳 IP，TTL 逐步 + 1，直到抵达目标；

目标主机返回端口不可达报文，追踪结束。

5. ICMP 目标不可达细分（Type=3）

代码区分故障类型，排错关键：

代码 0：网络不可达（无对应路由）
代码 1：主机不可达（路由可达，但主机离线 / 防火墙拦截）
代码 2：协议不可达（目标主机无对应传输层协议）
代码 3：端口不可达（端口未开放、服务未启动）

6. ICMP 重定向

路由器告知客户端存在更优网关，减少转发跳数；

工程安全规范：接口关闭 no ip redirect，防止路由劫持攻击。

7. ICMP 整体工程配置要求

接口统一关闭：

no ip proxy-arp 关闭代理 ARP

no ip directed-broadcast 关闭定向广播

no ip unreachables 关闭 ICMP 不可达报文

no ip redirect

关闭 ICMP 重定向，减少 ICMP 报文攻击、降低设备 CPU 消耗。

第二部分应用层协议（TCP/UDP 分类）

一、TCP 协议（面向连接、可靠传输，有会话、重传、流量控制）

TCP 应用协议端口与功能汇总

协议TCP 端口功能说明

FTP	21 (控制)、20 (主动数据)	文件传输，双连接架构
Telnet	23	明文远程终端登录，生产禁用
SSH	22	加密安全远程登录，替代 Telnet
HTTP	80	明文网页访问
HTTPS	443	SSL 加密网页访问
SMTP	25	邮件服务器发送邮件
POP3	110	客户端下载接收邮件
RDP	3389	Windows 远程桌面连接
CIFS/Samba	139、445	Windows 局域网文件共享

重点 TCP 协议深度讲解

1. FTP 文件传输协议

（1）双连接机制（核心考点）

控制连接：TCP 21 端口，全程保持，传输登录、cd、dir、get/put 等命令；

数据连接：仅传输文件 / 目录列表，传输完成自动断开。

（2）两种传输模式

ASCII 模式：仅用于纯文本文件；

Binary 二进制模式：图片、程序、压缩包、镜像文件必须使用。

（3）两种数据通道建立方式

主动模式 PORT：客户端发送 PORT 命令告知临时端口，服务器从 20 端口主动发起数据连接；防火墙环境易拦截；

被动模式 PASV：客户端发送 PASV，服务器随机开放高端口等待客户端连接，现代网络主流使用。

2. Telnet & SSH

Telnet：端口 23，所有账号密码、指令明文传输，存在极大安全风险，企业生产环境全部禁用；依靠 NVT 网络虚拟终端统一字符格式实现跨系统终端交互。

SSH：端口 22，全程加密传输账号、数据，标准远程运维方案。

3. 邮件协议 SMTP + POP3

SMTP (25)：MTA 邮件服务器之间转发、客户端向外发送邮件；

POP3 (110)：本地客户端从邮件服务器下载邮件到本地。

二、UDP 协议（无连接、轻量、无重传，速度快）

UDP 应用协议端口与功能汇总

协议UDP 端口功能说明

DNS	53	域名解析，默认 UDP，超大报文切换 TCP
DHCP	67 (服务器)、68 (客户端)	自动分配 IP、掩码、网关、DNS
TFTP	69	极简文件传输，无认证，多用于设备系统升级
NTP	123	全网设备时间同步
SNMP	161 (读写 Get/Set)、162 (Trap 告警)	批量网络设备监控运维
Syslog	514	收集设备日志，故障追溯
Radius	1812 认证、1813 计费	宽带 / 无线用户 AAA 认证计费

重点 UDP 协议深度讲解：DNS 域名解析协议

1. 基础作用

人类易记域名 ↔ 机器识别 IP 地址映射，默认 UDP 53 端口。

2. 本地静态解析：Hosts 文件

优先级高于 DNS 服务器，本地手动绑定域名与 IP，无需网络查询。

3. 域名层级结构

根域 . → 顶级域 (com/cn/edu/org) → 二级域名 → 三级域名；完整带根域名称为 FQDN 完全合格域名。

4. 两种查询方式

递归查询：客户端 ↔ 本地 DNS 服务器；服务器全权代为查询，直接返回最终 IP 结果；

迭代查询：本地 DNS ↔ 根 / 顶级域服务器；服务器仅返回下一级服务器地址，客户端逐层查询。

5. 反向解析

基于in-addr.arpa专用反向域，通过已知 IP 反向查询对应域名。

第三部分运维常用网络命令

一、Windows 系统网络命令

ping：连通性、延迟、丢包测试，支持自定义包长、禁止分片；

tracert -d：路由路径追踪，-d关闭域名反向解析，加速探测；

ipconfig：查看 IP、掩码、网关；/all查看完整信息 + MAC；/release释放 DHCP 地址；/renew重新获取；

arp：arp -a查看 ARP 表、arp -d清空动态 ARP、arp -s静态绑定；

route：route print查看路由表、route add添加静态路由、-p永久路由；

netstat：查看本机所有 TCP/UDP 监听端口、活动连接；

ftp：文件传输，支持get下载、put上传、ascii/binary切换传输模式。

二、Linux 基础网络命令

ifconfig：配置网卡 IP、查看 MAC、启停网卡；

route：查看、添加、删除静态路由，配置默认网关；

用户管理：su root切换超级管理员、sudo passwd root修改 root 密码。

第四部分综合工程规范与排错要点

1. 安全规范

远程管理优先 SSH (22)，禁用明文 Telnet (23)；

三层接口关闭代理 ARP、ICMP 重定向、定向广播，减少攻击面；

内网地址使用私有 IP，外网访问通过 NAT 转换；

设备日志统一上传 Syslog 服务器，通过 SNMP 做集中监控。

2. 易混淆核心考点整理

ARP 承载于二层帧，Type=0x0806；ICMP 承载于 IP，协议号 1；

FTP 双端口：控制 21，主动模式数据 20，被动模式随机高端口；

DNS 默认 UDP53，仅超大解析报文使用 TCP；

tracert 依靠 ICMP 超时报文实现路径探测；

RARP 彻底淘汰，DHCP 替代无盘工作站地址分配；

代理 ARP 仅临时兼容无网关主机，生产环境必须全局关闭；

同一广播域 ARP 广播跨交换机，无法跨路由器转发。

3. 实验配套任务

搭建 DNS 服务器，实现域名解析访问 Web/FTP；

配置 DHCP，客户端自动获取 IP 并正常访问内网文件服务器；

配置 SSH 远程桌面，实现设备 / Windows 主机远程管理；

使用 ping、tracert、arp 命令排查网络不通、丢包故障。