下载文档原格式
BPDU协议分析－sniffer应用系列作者: 保通出处:ChinaITLab ( 5 ) 砖 ( 11 ) 好评论 ( 0 ) 条进入论坛更新时间：2005-12-05 23:33关键词：协议阅读提示：现代交换网络环境中，为了防止发生交换环路引起广播风暴等问题，常采用STP （Spanning Tree Prtocol，生成树协议）技术。
STP利用BPDU（Bridge Protocol Data Unit，网桥协议数据单元）中三个字段：路径开销、网桥ID、端口优先级/端口ID来确定到根桥的最佳路径顺序，从而决定一个生成树实例。
2.1 BPDU协议概述现代交换网络环境中，为了防止发生交换环路引起广播风暴等问题，常采用STP（Spanning Tree Prtocol，生成树协议）技术。
STP利用BPDU（Bridge Protocol Data Unit，网桥协议数据单元）中三个字段：路径开销、网桥ID、端口优先级/端口ID来确定到根桥的最佳路径顺序，从而决定一个生成树实例。
2.2 BPDU包结构BPDU协议的包结构如下图所示：图1 BPDU包结构首先是以太网帧头，包括DLC头部、LLC头部，接下来是BPDU字段，最后是为了补齐60字节边界用的DLC填充（Padding）8字节（注意，BPDU帧也经常被封装在802.1Q头部后）。
其中的BPDU协议包结构如图2所示。
图2 BPDU包格式2.3 BPDU协议sniffer分析2.3.1 BPDU协议sniffer分析图3是sniffer捕获到到的Catalyst WS-C2924-XL输出BPDU部。
图3 BPDU帧格式在图中，应该注意到以下一些重要信息：●BPDU采用的是多播目标MAC地址：01-80-c2-00-00-00（Bridge_group_addr：网桥组多播地址）●DLC后面所跟的802.3帧的总长度为38字节，是指除了DLC头、尾之外的所有容的长度接下来是BPDU头部，如图4所示：图4 BPDU头部其中：应该注意到以下一些重要信息：●协议标识符和协议版本都是固定的0。
第1章什么是Sniffer网络工程师经常要做的工作是通过诊断网络解决各种问题。
为了解决网络问题需要对网络中的数据进行相应的捕获和分析，Sniffer就是这样一种类型的软件。
它能够针对网络工作中的各种数据进行相应的捕获和分析。
从本章开始，本书将对Sniffer这类网络工具的功能和使用方法进行介绍。
1.1局域网安全概述局域网是日常使用中最常见的一种网络结构，同时也是组成网络的基本单位。
由于Sniffer必须在局域网中使用，所以在使用Sniffer之前必须了解局域网的一些性能和基本知识。
目前的局域网基本上都采用以广播为技术基础的以太网。
在这种网络结构中任何两个节点之间的通信数据包不仅为这两个节点的网卡所接收，同时也为处在同一以太网上的任何一个节点的网卡所截获。
因此，只要使用软件在接入以太网上的任一节点进行侦听，就可以捕获在这个以太网上传输的所有数据包。
如果使用相应的算法对截获的数据包进行解包分析，就可以获得相应的关键信息，这是以太网固有的安全隐患。
针对这一安全隐患，可以使用多种软件达到截获数据包并进行分析的目的。
Sniffer就是这样的一种软件。
这也是本书的一个意义：认识这种安全隐患技术，从而达到避免这种安全隐患，维护网络安全的目的。
针对以太网的这种固有的安全隐患可以使用如下几种方法来解决局域网安全问题。
1.1.1 网络分段网络分段通常被认为是控制网络广播风暴的一种基本手段，也是保证网络安全的一项重要措施。
其目的就是将非法用户与敏感的网络资源相互隔离，从而防止可能的非法侦听。
网络分段可分为物理分段和逻辑分段两种方式。
物理分段是以硬件设备将网络划分成不同的网络地址段。
在出现问题时可以通过物理手段来断开网络以避免更大的损失。
第1章什么是Sniffer逻辑分段则通过网段的划分和IP地址策略的制定达到网络分段的目的。
在实际的网络工程应用中，这两种方式经常混合使用以便达到更好的效果。
通常在保密级别相对较高的地点会采用物理分段的方式，而保密的级别相对较低的地点采用逻辑分段就可以了。
Sniffer功能和使用详解一Sniffer介绍Sniffer，中文翻译为嗅探器，是一种基于被动侦听原理的网络分析方式。
使用这种技术方式，可以监视网络的状态、数据流动情况以及网络上传输的信息。
当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。
将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。
Sniffer技术常常被黑客们用来截获用户的口令，据说某个骨干网络的路由器网段曾经被黑客攻入，并嗅探到大量的用户口令。
但实际上Sniffer技术被广泛地应用于网络故障诊断、协议分析、应用性能分析和网络Sniffer的分类如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。
二sniffer proSniffer软件是NAI公司推出的功能强大的协议分析软件。
Sniffer Pro - 功能●捕获网络流量进行详细分析●利用专家分析系统诊断问题●实时监控网络活动●收集网络利用率和错误等使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。
如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。
因此，网络中捕获的流量越多，建议Sniffer系统应该有一个速度尽可能快的计算机。
1. Sniffer Pro计算机的连接要使Sniffer能够正常捕获到网络中的数据，安装Sniffer的连接位置非常重要，必须将它安装在网络中合适的位置，才能捕获到内、外部网络之间数据的传输。
如果随意安装在网络中的任何一个地址段，Sniffer就不能正确抓取数据，而且有可能丢失重要的通信内容。
一般来说，Sniffer应该安装在内部网络与外部网络通信的中间位置，如代理服务器上，也可以安装在笔记本电脑上。
当哪个网段出现问题时，直接带着该笔记本电脑连接到交换机或者路由器上，就可以检测到网络故障，非常方便。
cdp协议CDP（Cisco Discovery Protoco）是思科公司开发的一种用于交换网络设备信息的协议，它能够帮助网络管理员在网络中识别和管理思科设备。
CDP是一种属于二层的网络协议，可以在局域网（LAN）上自动发现和识别连接的Cisco设备。
CDP协议的工作方式非常简单，它通过以太网中的广播消息来实现设备之间的信息交换。
一旦启用了CDP协议，思科设备上的CDP守护程序开始发送CDP报文，同时也会监听和接收其他设备发送的CDP报文。
通过CDP报文，网络管理员可以获取有关远程设备的信息，如设备名称、IP地址、设备类型、操作系统版本和支持的协议等。
CDP协议提供了许多优势。
首先，CDP协议能够帮助网络管理员快速构建和维护一个网络设备的拓扑图。
在网络中的所有设备都运行CDP的情况下，通过收集和分析CDP报文，网络管理员可以了解到网络中的每个设备及其相互连接的关系。
这对于监控和故障排除网络非常有帮助。
其次，CDP协议可以帮助网络管理员快速识别连接到网络的其他思科设备。
通过检测其他设备发送的CDP报文，网络管理员可以获知设备的名称、IP地址和设备类型等信息，从而帮助他们更容易地识别和管理设备。
这对于进行远程配置和故障排除也非常有帮助。
CDP还可以在设备之间共享一些配置信息，如VLAN信息和QoS配置等。
这对于在网络中实现一致的配置非常重要，可以提高网络的可靠性和性能。
然而，CDP协议也有一些限制。
首先，CDP只能用于识别和管理思科设备，对于其他厂商的设备是不适用的。
因此，在多厂商网络中，CDP协议的作用有限。
其次，CDP是一种基于广播的协议，会占用带宽资源。
在大型网络中，CDP的频繁广播会导致网络拥堵和性能下降。
因此，在配置CDP时需要慎重考虑网络规模和流量。
总的来说，CDP是一种非常有用的网络协议，可以帮助网络管理员快速识别和管理思科设备。
通过CDP协议，网络管理员可以获得有关设备的重要信息，可以更好地配置和维护网络。
Sniffer的使用一、实验简介：Sniffer是一个完善的网络监听工具。
使用Sniffer的目的是截获通信的内容，同时能对数据包的内容进行协议分析，使同学们加深对IP协议、TCP协议、UDP 协议和ICMP协议的认识。
二、实验步骤：1、设置Sniffer1．在抓包过滤器窗口中，选择Address选项卡，如图所示。
2．窗口中需要修改两个地方：在Address下拉列表中，选择抓包的类型是IP，在Station1下面输入主机的IP地址；在与之对应的Station2下面输入虚拟机的IP地址.3．设置完毕后，点击该窗口的Advanced选项卡，拖动滚动条找到IP项，将IP和ICMP选中，如下图所示。
4．向下拖动滚动条，将TCP和UDP选中，再把TCP下面的FTP和Telnet两个选项选中，如图所示。
5．这样Sniffer的抓包过滤器就设置完毕了，后面的实验也采用这样的设置。
选择菜单栏Capture下Start菜单项，启动抓包以后，在主机的DOS窗口中Ping虚拟机，如图所示。
6.这样Sniffer的抓包过滤器就设置完毕了，后面的实验也采用这样的设置。
选择菜单栏Capture下Start菜单项，启动抓包以后，在主机的DOS窗口中Ping虚拟机，如图所示。
7.等Ping指令执行完毕后，点击工具栏上的停止并分析按钮，如图所示。
8. 在出现的窗口选择Decode选项卡，可以看到数据包在两台计算机间的传递过程，如图所示。
2、抓取Ping指令发送的数据包1．按照前面对Sniffer的设置抓取Ping指令发送的数据包，命令执行如图所示。
2. 其实IP报头的所有属性都在报头中显示出来，可以看出实际抓取的数据报和理论上的数据报一致，分析如图所示。
3、抓取TCP数据包1．启动Sniffer，然后在主机的DOS命令行下利用FTP指令连接目标主机上的FTP服务器，连接过程如图所示。
2．登录FTP的过程是一次典型的TCP连接，因为FTP服务使用的是TCP协议。
网络分析SNIFFER软件的使用介绍Sniffer（嗅探器）就是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种技术。
该技术被广泛应用于网络维护和管理方面，它工作的时候就像一部被动声纳，默默的接收着来自网络的各种信息，通过对这些数据的分析，网络管理员可以深入了解网络当前的运行状况，以便找出所关心的网络中潜在的问题。
Sniffer技术简介数据在网络上是以很小的称为“帧”（又称：包）的单位传输的，帧由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网的前12个字节存放的是源地址和目的地址，这些数据告诉网络该帧的来源和去处。
其余的部分存放实际用户数据、TCP/IP 的报头或IPX报头等等。
帧是根据通讯所使用的协议，由网络驱动程序按照一定规则生成，然后通过网络接口卡（网络接口卡，在局域网中一般指网卡）发送到网络中，通过网线传送到它们的目的主机，在目的主机的一端按照同样的通讯协议执行相反的过程。
接收端机器的网络接口卡捕获到这些帧，并告诉操作系统有新的帧到达，然后对其进行存储。
在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的地址（这里的目的地址是指物理地址而非IP地址，该地址是网络设备的唯一性标志）和自己的物理地址一致或者是广播地址（就是被设定为一次性发送到网络所有主机的特殊地址，当目标地址为该地址时，所有的网络接口卡都会接收该帧），网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。
我们可以想象到这样一种特别的情况：如果网络中某个网络接口卡的物理地址不确定呢（这可以通过本地网络接口卡设置成“混杂”状态来实现）？网络接口卡会如何处理收到的帧呢？实际的情况是该网络接口卡将接收所有在网络中传输的帧，无论该帧是广播的还是发向某一指定地址的，这就形成了监听。
如果某一台主机被设置成这种监听模式，它就成了一个Sniffer。
软件使用指南在日常的局域网维护中，对于一款软件，不仅要知道其表面的功能，更要深入了解其工作原理，这样才能更有效地挖掘软件更高级的应用及功能，以此来解决网络中的疑难故障。
下面结合一些日常网络故障实例，介绍一下Sniffer在局域网维护中的综合应用。
Sniffer软件是NAI公司推出的功能强大的协议分析软件，具有捕获网络流量进行详细分析、实时监控网络活动、利用专家分析系统诊断问题、收集网络利用率和错误等功能。
Sniffer Pro 4.6可以运行在各种Windows平台上，只要安装在网络中的任何一台机器上，都可以监控到整个网络。
以下以Sniffer 4.7.5汉化版本为例，介绍一下Snffer在局域网维护中的具体应用。
一、Sniffer软件的安装在网上下载Sniffer软件后，直接运行安装程序，系统会提示输入个人信息和软件注册码，安装结束后，重新启动，之后再安装Sniffer汉化补丁。
运行Sniffer程序后，系统会自动搜索机器中的网络适配器，点击确定进入Sniffer主界面。
二、Sniffer软件的使用打开Sniffer软件后，会出现主界面(如图1)，显示一些机器列表和Sniffer软件目前的运行情况，上面是软件的菜单，下面有一些快捷工具菜单，左侧还有一排快捷菜单按钮。
由于使用的是汉化版软件，因此部分词语汉化不是太准确。
1、获取网络中的机器列表Sniffer软件运行后，首先要搜索网络中的机器。
在"工具”菜单中找到"地址簿”选项并运行，在"地址簿”中的左侧工具菜单中，可以找到一个"放大镜”的图标，这是"自动搜索”的按钮。
运行"自动搜索”功能后，在IP地址段中输入网络的开始IP地址和结束地址，然后系统会自动搜索。
搜索完成后，会出现一个如图1的机器列表。
2、保存机器列表Sniffer搜索网络中所有的机器列表后，可以在"数据库”菜单中选择"保存地址簿”选项，将当前的机器列表保存，以备日后使用。
超级网络嗅探器——Sniffer pro 的使用Sniffer软件是NAI公司推出的功能强大的协议分析软件。
实现对网络的监控，更深入地了解网络存在的问题，检测和修复网络故障和安全问题。
Sniffer可以监听到网上传输的所有信息，主要用来接收在网络上传输的信息。
Sniffer可以截获口令、专用信道内的信息、信用卡号、经济数据、E-mail等，还可以用来攻击与自己相临的网络。
Sniffer的功能主要包括如下几方面：捕获网络流量进行详细分析。
利用专家分析系统诊断问题。
实时监控网络活动情况。
监控单个工作站、会话或者网络中任何一部分的网络利用情况和错误统计。
支持主要的LAN、WAN和网络技术。
提供在位和字节水平过滤数据包的能力。
1 Sniffer Pro的启动和设置2 理解Sniffer Pro主要4种功能组件的作用：监视：实时解码并显示网络通信流中的数据。
捕获：抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用。
分析：利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。
显示：对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。
3 学会sniffer工具的基本使用方法，用sniffer捕获报文并进行分析。
环境：windows XP， windows 7，能访问INTERNET。
Sniffer pro主界面在默认情况下，Sniffer将捕获其接入的域中流经的所有数据包，但在某些场景下，有些数据包可能不是我们所需要的，为了快速定位网络问题所在，有必要对所要捕获的数据包作过滤。
Sniffer提供了捕获数据包前的过滤规则的定义，过滤规则包括2、3层地址的定义和几百种协议的定义。
定义过滤规则的做法一般如下：(1) 在主界面选择【Capture】→【Define Filter】。
(2) 在“Define Filter”对话框中选择“Address”选项卡，这是最常用的定义。
其中包括MAC地址、IP地址和IPX地址的定义。
Sniffer软件的功能和使用方法6.2.3 Sniffer软件的功能和使用方法一、Sniffer基本概念Sniffer，中文可以翻译为嗅探器，是一种基于被动侦听原理的网络分析方式。
使用这种技术方式，可以监视网络的状态、数据流动情况以及网络上传输的信息。
当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。
将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。
Sniffer技术常常被黑客们用来截获用户的口令，据说某个骨干网络的路由器网段曾经被黑客攻入，并嗅探到大量的用户口令。
但实际上Sniffer技术被广泛地应用于网络故障诊断、协议分析、应用性能分析和网络安全保障等各个领域。
二、Sniffer功能Sniffer Pro主要包含4种功能组件（1）监视：实时解码并显示网络通信流中的数据。
（2）捕获：抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用。
（3）分析：利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。
（4）显示：对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。
网络监控是Sniffer的主要功能，其他功能都是为监控功能服务的，网络监控可以提供下列信息。
（1）负载统计数据，包括一段时间内传输的帧数、字节数、网络利用率、广播和组播分组计数等。
（2）出错统计数据，包换CRC错误、冲突碎片、超长帧、对准出错、冲突计数等。
（3）按照不同的底层协议进行统计的数据。
（4）应用程序的响应时间和有关统计数据。
（5）单个工作站或会话组通信量的统计数据。
（6）不同大小数据包的统计数据。
三、 Sniffer Pro 网络监控的几种模式1.1 moniter host table图中不同颜色的区块代表了同一网段内与你的主机相连接的通信量的多少。
本次以 IP 地址为测量基准。
1.2 monitor matrix 监听矩阵显示该兰色圆中的各点连线表明了当前处于活跃状态的点对点连接，也可通过将鼠标放在IP地址上点右键showselectnodes查看特定的点对多点的网络连接，如下图，表示出与192.168.0.250相连接的IP 地址1.3、monitor protocol distribution查看协议分布状态，可以看到不同颜色的区块代表不同的网络协议1.4、monitor dashboard该表显示各项网络性能指标包括利用率、传输速度、错误率Network：显示网络利用率等统计信息。
1.1 CDP协议概述CDP（Cisco Discovery Protocol，Cisco设备发现协议）用于发现直连的CISCO设备相关信息。
CDP利用直连的两个设备间定时发送hello信息（CDP数据包）维持邻居关系。
默认情况下，每隔60秒的时间，每个CISCO设备都要向互连的对方发送一个CDP数据包。
如果经过3个hello周期（180秒，称为holdtime或TTL）还没有收到对方的CDP包，则本地设备在CDP邻居表中删除那个CDP邻居设备。
如图1所示，是在一台Cisco Catalyst 2924交换机上对CDP数据包的诊断输出信息。
可以看到，交换机在每个活动接口发送CDP数据包。
图1 debug cdp packet直连设备互相之间交换的CDP包中的内容主要包括：对端设备的名称、对端设备的性能（如交换机还是路由器）、对端设备的平台（型号）、对端设备的IP地址（或管理IP）等信息。
对于如图2所示的网络拓扑来说，可以分别在两个设备上使用相关的命令得到对端设备的有关信息。
图2网络拓扑如图3所示，是在路由器R1上利用命令show cdp neighbors得到的CDP信息的输出。
从中我们可以看出路由器R1的直连邻居设备Sw1的一些相关信息，包括：设备ID、保持时间、性能、平台、本地和对端的连接端口。
图3show cdp neighbors使用命令show cdp neighbors detail，可以得到对端设备的更详细的信息。
如图4所示。
同样的命令也可以在交换机Sw1上执行。
图4 show cdp neighbors detail1.2 CDP包结构CDP包的结构如图5所示。
图5 CDP包结构首先是以太网帧头，包括DLC头部、LLC头部、SNAP头部，接下来是长度不定的CDP字段。
其中，CDP帧中除了开始的3个部分：CDP版本（2）、TTL（180秒）、校验和外，其余的内容由若干个TLV项（Type类型、Length长度、Value值）组成。
常见的TLV的定义如表1所示。
表1 CDP常见的TLV1.3 CDP协议sniffer分析1.3.1 Catalyst WS-C2924-XL f0/17输出cdp包图6是sniffer捕获到到的Catalyst WS-C2924-XL f0/17输出cdp包头部。
图6 CDP报文头部格式从图中我们可以知道这是一个SNAP帧（其帧格式如图7所示）。
图7 SNAP帧格式在CDP头部中，应该注意到以下一些重要信息：●CDP采用的是多播目标MAC地址：01-00-0C-CC-CC-CC（用于CDP和VTP）●DLC后面所跟的802.3帧的总长度为372字节，是指除了DLC头之外的所有内容的长度●SNAP中的前3字节表示OUI ID，这里是00-00-0C代表厂商Cisco●SNAP中的后2字节表示此帧承载的协议类型，0x2000表示是CDP协议图8显示了此包中的CDP输出部分（第1部分）。
图8 CDP部分（第1部分）其中，应该注意到以下一些重要信息：●当前采用的CDP的版本是CDP2.0●保持时间（TTL）为180秒●校验和：2字节随后是若干个TLV字段，它们分别是：●TLV1（其内容是TLV的组合）■T（2字节）：0x0001（设备名称）：■L（2字节）：7（T、L、V加在一起的总长度）：■V（3字节）：Sw1（主机名称）●TLV2■T（2字节）：0x0002（IP地址）■L（2字节）：17（T、L、V加在一起的总长度）■V（13字节）：◆包内地址数（4字节）：1◆协议类型（1字节）：1＝NLPID◆协议长度（1字节）：1◆协议值（1字节）：0xCC＝IP◆地址长度（2字节）：4◆管理IP地址（4字节）：192.168.0.130●TLV3■T（2字节）：0x0003（端口号）■L（2字节）：20（T、L、V加在一起的总长度）■V（16字节）：端口＝"FastEthernet0/24"图9显示了此包中的CDP输出部分（第2部分）。
图9 CDP部分（第2部分）其中，主要有以下一些TLV字段，它们分别是：●TLV4■T（2字节）：0x0004（性能）■L（2字节）：8（T、L、V加在一起的总长度）■V（4字节）：◆Capabilities flag（2字节）：未用◆Capabilities flags（2字节）：●0：不提供1层功能（不是中继器）●0：网桥/交换机不转发IGMP报告包（不支持/使能IGMP）●0：设备在进行路由协议（不是一个主机）●1：执行2层交换（是个交换机）●0：不执行2层源路由桥接●1：执行（运行）2层透明网桥●0：不执行3层路由●TLV5■T（2字节）：0x0005（版本信息）■L（2字节）：226（T、L、V加在一起的总长度）■V （222字节）：版本信息"Cisco Internetwork Operating System Software .IOS (tm) C2900XL Software (C2900XL-C3H2S-M), Version 12.0(5)WC9a, RELEASE SOFTWARE(fc1).Copyright (c) 1983-7004 by cisco systems, piled Tue 13-Jan-04 11:54 by antonino"（实际上是在该设备上执行命令show version的输出信息）。
●TLV6■T（2字节）：0x0006（设备平台、型号）■L（2字节）：21（T、L、V加在一起的总长度）■V（17字节）：设备型号：cisco WS-C2924-XL图10显示了此包中的CDP输出部分（第2部分）。
图10 CDP部分（第3部分）其中，主要有以下一些TLV字段，它们分别是：●TLV8■T（2字节）：0x0008（交换机簇管理）■L（2字节）：36（T、L、V加在一起的总长度）■V（32字节）：◆厂商代码：00－00－0c（cisco）◆协议ID：0x0112（交换机簇管理）◆交换机簇管理IP：0.0.0.0◆交换机MAC地址：00-04-28-d2-09-00◆管理Vlan：1◆… …●TLV9■T（2字节）：0x0009（VTP 管理域）■L（2字节）：14（T、L、V加在一起的总长度）■V（10字节）：VTP 管理域名：chinaitlab●TLV10■T（2字节）：0x000a（本征Vlan）■L（2字节）：6（T、L、V加在一起的总长度）■V（2字节）：本征Vlan：1（可以通过int vlan 2、ip add xxx改变）●TLV11■T（2字节）：0x000b（双工方式）■L（2字节）：5（T、L、V加在一起的总长度）■V（1字节）：双工方式：1＝全双工1.3.2 Cisco 2500 e0输出cdp包图11是sniffer捕获到到的Cisco 2500 e0输出cdp包中的CDP部分（第1部分）。
图11 CDP部分（第1部分）其中，应该注意到以下一些重要信息：●当前采用的CDP的版本是CDP2.0●保持时间（TTL）为180秒●校验和：2字节随后是若干个TLV字段，它们分别是：●TLV1■T（2字节）：0x0001（设备名称）■L（2字节）：6（T、L、V加在一起的总长度）■V（2字节）：R1（主机名称）●TLV2■T（2字节）：0x0002（IP地址）■L（2字节）：17（T、L、V加在一起的总长度）：2字节■V（13字节）：◆包内地址数（4字节）：1◆协议类型（1字节）：1＝NLPID◆协议长度（1字节）：1◆协议值（1字节）：0xCC＝IP◆地址长度（2字节）：4IP地址（4字节）：10.0.0.1●TLV3■T（2字节）：0x0003（端口号）■L（2字节）：13（T、L、V加在一起的总长度）■V（9字节）：端口＝"Ethernet0"图12显示了此包中的CDP输出部分（第2部分）。
图12 CDP部分（第2部分）其中，主要有以下一些TLV字段，它们分别是：●TLV4■T（2字节）：0x0004（性能）■L（2字节）：8（T、L、V加在一起的总长度）■V（4字节）：◆Capabilities flag（2字节）：未用◆Capabilities flags（2字节）：●0：不提供1层功能●0：网桥/交换机不转发IGMP报告包●0：设备在路由协议●0：不执行2层交换●0：不执行2层源路由桥接●0：不执行（运行）2层透明网桥●1：（为至少一个网络协议）执行3层路由功能●TLV5■T（2字节）：0x0005（版本信息）■L（2字节）：215（T、L、V加在一起的总长度）■V （211字节）：版本信息"Cisco Internetwork Operating System Software .IOS (tm) 2500 Software (C2500-JK8OS-L), Version 12.2(1d), RELEASE SOFTWARE (fc1).Copyright (c) 1983-7002 by cisco Systems, piled Sun 03-Feb-02 22:01 by srani"（实际上是在该设备上执行命令show version的输出信息）。
●TLV6■T（2字节）：0x0006（设备平台、型号）■L（2字节）：14（T、L、V加在一起的总长度）■V（3字节）：设备型号：cisco 2500图13显示了此包中的CDP输出部分（第3部分）。
图13 CDP部分（第部分）其中，主要有以下一些TLV字段，它们分别是：●TLV7■T（2字节）：0x000B（双工方式）■L（2字节）：5（T、L、V加在一起的总长度）■V（1字节）：双工方式：0＝半双工。
