以太网帧类型速查

以太网首部28字节ARP 数据包E T H _D S CE T H _S R C帧类型硬件类型协议类型硬件地址长度 协议地址长度OP 发送方以太网地址 发送方以太网IP 地址 接收方以太网地址 接收方IP 地址6 6 2 2 2 1 1 2 64 6 4 目的MAC 地址 （0xff BoardCast)源MAC 地址 ARP:0x0806 IP:0x0800 PPPoE:0x8864 硬件接口类型对于以太网MAC 为1 映射的协议地址类型。

IP 地址：0x08006 4ARP 数据包类型1:ARP_Request2:ARP_Acknowledge 3:RARP_Request4:RARP_AcknowledgeＩＰ首部版本号 （４位） 首部长度 （４位）服务类型（ＴＯＳ） （８位）总长度 （１６位）标识（１６位） 标志 （３位） 分片偏移量 （１３位） 生存时间（ＴＴＬ） （８位）协议 （８位）首部校验和 （１６位）源ＩＰ地址（３２位） 目的ＩＰ地址（３２位） 选项字段（若存在）数据区数据报规定了首部的格式，却没有规定其后数据的格式，所以ＩＰ数据报可以用来运输任意类型的数据。

１、版本号 ＩＰｖ４－－－４ＩＰｖ６－－－６２、首部长度 字为单位 该字段最大值１５（１５＊４＝６０ｂｙｔｅ）。

３、服务类型 （Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ，ＴＯＳ）当前ＩＰ数据报急需的服务类型：最小延时，最大吞吐量，最高可靠性，最小费 用等。

路由在转发时根据该字段选择最合理路径。

４、总长度 ＭＴＵ限制５、１６位标识字段用于标识ＩＰ层发送出去的每一份ＩＰ数据报，分片中用。

６、３位标志字段。

１：保留。

２：不分片位。

３：更多分片位。

７、１３位偏移字段８、生存时间：该ＩＰ数据报最多能转发的次数。

９、协议：ＩＰ数据报上层来源。

１：ＩＣＭＰ。

２：ＩＧＭＰ。

６：ＴＣＰ。

１７：ＵＤＰ。

１０、首部校验：只针对ＩＰ首部校验。

１６ｂｉｔｓ １６ｂｉｔｓ ＵＤＰ首部 源端口号 目的端口号 总长度 校验和ＵＤＰ数据区 数据区常见的ＴＣＰ熟知端口： 熟知端口 协议 说明 ０ ———— 保留７ Ｅｃｈｏ 报文回送服务器端口 ２０ ＦＴＰ－ＤＡＴＡ 文件传送协议（数据） ２１ ＦＴＰ 文件传送协议 ２３ ＴＥＬＮＥＴ 终端连接 ２５ ＳＭＴＰ 简单邮件传送协议 ５３ ＤＮＳ 域名服务器 ８０ ＨＴＴＰ 万维网服务器 １１０ ＰＯＰ３ 邮局协议版本３ １０８０ ＳＯＣＫＳ代理服务器协议URG 首部中的紧急指针字段有效 ACK 首部中的确认序号字段有效 PSH 推送数据 RST 连接复位SYN 发起连接，同步序号 FIN 终止连接0 16 31TCP 首部源端口号（16位）目的端口号（16位） 序号（32位） 确认序号（32位）首部长度 （4位）保留 （6位）U R GA C K P S H R S T S Y N F I N窗口大小（16） 校验和（16位）紧急指针（16位） 选项和填充（如果有）TCP 数据区数据区。

以太网帧类型2009年12月17日星期四下午 1:52以太网帧格式目前，有四种不同格式的以太网帧在使用，它们分别是：●Ethernet II即DIX 2.0：Xerox与DEC、Intel在1982年制定的以太网标准帧格式。

Cisco名称为：ARPA。

●Ethernet 802.3 raw：Novell在1983年公布的专用以太网标准帧格式。

Cisco名称为：Novell-Ether。

●Ethernet 802.3 SAP：IEEE在1985年公布的Ethernet 802.3的SAP版本以太网帧格式。

Cisco名称为：SAP。

●Ethernet 802.3 SNAP：IEEE在1985年公布的Ethernet 802.3的SNAP版本以太网帧格式。

Cisco名称为：SNAP。

在每种格式的以太网帧的开始处都有64比特（8字节）的前导字符，如图3所示。

其中，前7个字节称为前同步码（Preamble），内容是16进制数0xAA，最后1字节为帧起始标志符0xAB，它标识着以太网帧的开始。

前导字符的作用是使接收节点进行同步并做好接收数据帧的准备。

图3 以太网帧前导字符除此之外，不同格式的以太网帧的各字段定义都不相同，彼此也不兼容。

3.1 Ethernet II帧格式如图4所示，是Ethernet II类型以太网帧格式。

图4 Ethernet II帧格式Ethernet II类型以太网帧的最小长度为64字节（6＋6＋2＋46＋4），最大长度为1518字节（6＋6＋2＋1500＋4）。

其中前12字节分别标识出发送数据帧的源节点MAC地址和接收数据帧的目标节点MAC地址。

接下来的2个字节标识出以太网帧所携带的上层数据类型，如16进制数0x0800代表IP协议数据，16进制数0x809B代表AppleTalk协议数据，16进制数0x8138代表Novell类型协议数据等。

在不定长的数据字段后是4个字节的帧校验序列（Frame Check Sequence，FCS），采用32位CRC循环冗余校验对从"目标MAC地址"字段到"数据"字段的数据进行校验。

各种不同以太网帧格式利用抓包软件的来抓包的人，可能经常会被一些不同的Frame Header搞糊涂，为何用的Frame的Header是这样的，而另外的又不一样。

这是因为在Ethernet中存在几种不同的帧格式，下面我就简单介绍一下几种不同的帧格式及他们的差异。

一、Ethernet帧格式的发展1980 DEC,Intel,Xerox制订了Ethernet I的标准；1982 DEC,Intel,Xerox又制订了Ehternet II的标准；1982 IEEE开始研究Ethernet的国际标准802.3；1983迫不及待的Novell基于IEEE的802.3的原始版开发了专用的Ethernet帧格式；1985 IEEE推出IEEE 802.3规范；后来为解决EthernetII与802.3帧格式的兼容问题推出折衷的Ethernet SNAP格式。

(其中早期的Ethernet I已经完全被其他帧格式取代了所以现在Ethernet只能见到后面几种Ethernet的帧格式现在大部分的网络设备都支持这几种Ethernet 的帧格式如:cisco的路由器在设定Ethernet接口时可以指定不同的以太网的帧格式:arpa,sap,snap,novell-ether)二、各种不同的帧格式下面介绍一下各个帧格式Ethernet II是DIX以太网联盟推出的，它由6个字节的目的MAC地址，6个字节的源MAC地址，2个字节的类型域（用于表示装在这个Frame、里面数据的类型)，以上为Frame Header,接下来是46--1500 字节的数据，和4字节的帧校验）Novell Ethernet它的帧头与Ethernet有所不同其中EthernetII帧头中的类型域变成了长度域，后面接着的两个字节为0xFFFF用于标示这个帧是Novell Ether类型的Frame，由于前面的0xFFFF站掉了两个字节所以数据域缩小为44-1498个字节,帧校验不变。

《信息系统安全》实验实验 - 使用 Wireshark 检查以太网帧Mininet 拓扑目标第 1 部分：检查以太网 II 帧中的报头字段第 2 部分：使用 Wireshark 捕获和分析以太网帧背景/场景当上层协议互相通信时，数据会向下流到开放式系统互联 (OSI) 的各层中，并最终被封装进第 2 层帧。

帧的成分取决于介质访问类型。

例如，如果上层协议是 TCP 和 IP 并且访问介质是以太网，则第 2 层帧的封装为以太网 II。

这是 LAN 环境的典型情况。

在了解第 2 层的概念时，分析帧报头信息很有帮助。

在此实验的第 1 部分，同学们将复习以太网 II 帧包含的字段。

在第 2 部分，同学们将使用 Wireshark 为本地通信和远程通信捕获和分析以太网 II 帧头字段。

所需资源•CyberOps Workstation VM•互联网接入第 1 部分：检查以太网 II 帧中的报头字段在第 1 部分中，同学们需要检查提供给同学们的以太网 II 帧中的报头字段和内容。

Wireshark 捕获可用于检查这些字段中的内容。

第 1 步：检查以太网 II 帧头字段的描述和长度。

第 2 步：在 Wireshark 捕获中检查以太网帧。

以下 Wireshark 捕获显示了从 PC 主机向其默认网关发出 ping 操作生成的数据包。

Wireshark 应用了一个过滤器，以仅查看 ARP 和 ICMP 协议。

会话首先利用 ARP 查询网关路由器的 MAC 地址，然后是四次 ping 请求和应答。

第 3 步：检查 ARP 请求的以太网 II 报头内容。

下表使用 Wireshark 捕获中的第一个帧，并显示以太网 II 帧头字段中的数据。

关于目的地址字段的内容，需要注意什么？_______________________________________________________________________________________ _______________________________________________________________________________________ 为什么 PC 会在发送第一个 ping 请求之前发送广播 ARP？_______________________________________________________________________________________ _______________________________________________________________________________________ _______________________________________________________________________________________ 第一个帧的源设备的 MAC 地址是什么？_______________________________________________________ 源设备的网卡的供应商 ID (OUI) 是什么？ ______________________________________________________ MAC 地址的哪个部分是 OUI？______________________________________________________________ 源设备的网卡序列号是什么？_______________________________________________________________ 第 2 部分：使用 Wireshark 捕获和分析以太网帧在第 2 部分中，同学们将使用 Wireshark 捕获本地和远程以太网帧。

判断以太网的帧格式类型
使用软件：softperfect network sniffer
网络信号获取：自己的笔记本上的
结论：自己电脑上的以太网帧格式是Nthernet V2.
遇到的困惑
1、 昨天晚上（3月12日）弄了两三个小时的网络帧格式判断，数据是得到了，但
是总是不知道从什么地方开始分析。

好不容易上了网了，却发现自己的数据和
网上搜到的网络数据是不一样的，怎么也找不到开始的8个字节的前导数据和
结尾的4个字节的FCS 数据，然后就根本不知道从哪里去分析了。

2、 面对着一大片的捕获的数据，根本就不知道以什么为判断依据去分析。

网络资料的帮助
1、 sniffer 软件捕获的只是去头去尾的数据，所以没有了一贯的前导码和FCS 数据。

2、 判断以太网的帧格式类型主要依据是DLC 源地址域后面的十六进制数据：
i. Ethernet V2是通过DLC 头两个字节的类型（Type ）的字段来辨别处理的。

类型字段是用来指定上层协议的（0800指IP,0806指ARP ）,它的值一定
大于05FF.
在offset 处的数据中，观察其两个字节，如果是含有等于FFFF 的，那么这是Novel 802.3 raw 的标准值；如果含有的是AAAA,则是802.3 SNAP ；否则，这个数据就是属于802.3的。

下面以我在自己电脑上捕获的数据进行一点说明。

由于捕获到的数据的类型处的数据为0806大于05FF ，所以，这个帧格式是
Nthernet V2.。

以太⽹帧结构详解⽹络通信协议⼀般地，关注于逻辑数据关系的协议通常被称为上层协议，⽽关注于物理数据流的协议通常被称为低层协议。

IEEE802就是⼀套⽤来管理物理数据流在局域⽹中传输的标准，包括在局域⽹中传输物理数据的802.3以太⽹标准。

还有⼀些⽤来管理物理数据流在使⽤串⾏介质的⼴域⽹中传输的标准，如帧中继FR（FrameRelay），⾼级数据链路控制HDLC（High-LevelDataLinkControl），异步传输模式ATM（AsynchronousTransferMode）。

分层模型0OSI国际标准化组织ISO于1984年提出了OSIRM（OpenSystemInterconnectionReferenceModel，开放系统互连参考模型）。

OSI参考模型很快成为了计算机⽹络通信的基础模型。

OSI参考模型具有以下优点：简化了相关的⽹络操作；提供了不同⼚商之间的兼容性；促进了标准化⼯作；结构上进⾏了分层；易于学习和操作。

OSI参考模型各个层次的基本功能如下：物理层:在设备之间传输⽐特流，规定了电平、速度和电缆针脚。

数据链路层：将⽐特组合成字节，再将字节组合成帧，使⽤链路层地址（以太⽹使⽤MAC地址）来访问介质，并进⾏差错检测。

⽹络层：提供逻辑地址，供路由器确定路径。

传输层：提供⾯向连接或⾮⾯向连接的数据传递以及进⾏重传前的差错检测。

会话层：负责建⽴、管理和终⽌表⽰层实体之间的通信会话。

该层的通信由不同设备中的应⽤程序之间的服务请求和响应组成。

表⽰层：提供各种⽤于应⽤层数据的编码和转换功能，确保⼀个系统的应⽤层发送的数据能被另⼀个系统的应⽤层识别。

应⽤层：OSI参考模型中最靠近⽤户的⼀层，为应⽤程序提供⽹络服务。

分层模型-TCP/IPTCP/IP模型同样采⽤了分层结构，层与层相对独⽴但是相互之间也具备⾮常密切的协作关系。

TCP/IP模型将⽹络分为四层。

TCP/IP模型不关注底层物理介质，主要关注终端之间的逻辑数据流转发。

一、以太网帧格式来自线路的二进制数据包称作一个帧。

从物理线路上看到的帧，除其他信息外，还有前导码和帧开始符。

任何物理硬件都会需要这些信息。

下面的表格显示了在以1500个八位元组为MTU传输(有些吉比特以太网甚至更高速以太网支持更大的帧，称作巨型帧)时的完整帧格式。

一个八位元组是八个位组成的数据(也就是现代计算机的一个字节)。

表1：802.3 以太网帧结构802.3 以太网帧结构前导码帧开始符MAC 目标地址MAC源地址802.1Q 标签(可选)以太类型或长度负载冗余校验帧间距10101010 7个octet 101010111个octet6 octets6octets(4 octets) 2 octets46–1500 octets4octets12octets64–1522 octets72–1530 octets84–1542 octets二、PPPOE格式PPPOE，全称Point-to-Point Protocol Over Ethernet,它工作在OSI的数据链路层，PPPOE协议提供了在广播式的网络（如以太网）中多台主机连接到远端的访问集中器（我们对目前能完成上述功能的设备为宽带接入服务器）上的一种标准。

PPPOE协议共包括两个阶段，即PPPOE的发现阶段（PPPOE Discovery Stage）和PPPOE的会话阶段（PPPOE Session Stage）。

而两者的主要区别在于只是在PPP的数据报文前封装了PPPOE的报文头。

PPPOE的数据报文是被封装在以太网帧的数据域内的。

简单来说我们可能把PPPOE报文分成两大块，，一大块是PPPOE的数据报头，另一块则是PPPOE 的净载荷（数据域），对于PPPOE报文数据域中的内容会随着会话过程的进行而不断改变。

下表为PPPOE的报文的格式：表2：PPPOE报文的格式+ Bits 0–3 4–7 8–15 16–310 版本类型代码会话ID32 长度数据以下是对上表中PPPOE各个字段的描述：表1：PPPOE各个字段的描述版本这个域的内容填充0x1。

常见以太网帧结构详解以太网是一个常用的局域网技术，其数据传输是以帧的形式进行的。

以太网帧是以太网数据传输的基本单位，通过帧头、帧数据和帧尾等部分来描述有效载荷的数据。

以太网帧的结构如下：1. 帧前同步码（Preamble）：以太网帧的开始部分有7个字节的帧前同步码，其作用是为接收端提供定时的参考，帮助接收端进行帧同步。

2.帧起始界定符（SFD）：帧前同步码之后的1字节帧起始界定符为0x55，标志着以太网帧的开始。

3. 目标MAC地址（Destination MAC Address）：目标MAC地址占6个字节，表示帧的接收者的MAC地址。

4. 源MAC地址（Source MAC Address）：源MAC地址占6个字节，表示帧的发送者的MAC地址。

5. 长度/类型字段（Length/Type Field）：长度/类型字段占2个字节，当该字段的值小于等于1500时，表示以太网帧的长度；当该字段大于等于1536时，表示该字段定义了帧中的协议类型。

6. 帧数据（Data）：帧数据部分是以太网帧的有效载荷，其长度为46到1500字节，不包括帧头和帧尾。

7. 帧校验序列（Frame Check Sequence，FCS）：帧校验序列占4个字节，主要用于对帧进行错误检测，以保证数据的可靠性。

8. 帧尾（Frame Check Sequence，FCS）：帧尾占4个字节，用于标识以太网帧的结束。

以太网帧的长度为64到1518字节，其中有效载荷部分数据长度为46到1500字节，不同帧的长度可以根据网络需求进行调整。

在发送以太网帧时，发送方会在帧尾的后面添加额外的字节以保证整个帧的长度达到最低限制。

这些额外的字节即填充字节（Padding），用于使帧长达到最小限制的要求。

以上是以太网帧的常见结构，它描述了以太网帧的各个部分的作用和位置。

了解以太网帧的结构对于理解以太网的工作原理和网络通信非常重要。

《信息系统安全》实验实验 - 使用 Wireshark 检查以太网帧Mininet 拓扑目标第 1 部分：检查以太网 II 帧中的报头字段第 2 部分：使用 Wireshark 捕获和分析以太网帧背景/场景当上层协议互相通信时，数据会向下流到开放式系统互联 (OSI) 的各层中，并最终被封装进第 2 层帧。

帧的成分取决于介质访问类型。

例如，如果上层协议是 TCP 和 IP 并且访问介质是以太网，则第 2 层帧的封装为以太网 II。

这是 LAN 环境的典型情况。

在了解第 2 层的概念时，分析帧报头信息很有帮助。

在此实验的第 1 部分，同学们将复习以太网 II 帧包含的字段。

在第 2 部分，同学们将使用 Wireshark 为本地通信和远程通信捕获和分析以太网 II 帧头字段。

所需资源•CyberOps Workstation VM•互联网接入第 1 部分：检查以太网 II 帧中的报头字段在第 1 部分中，同学们需要检查提供给同学们的以太网 II 帧中的报头字段和内容。

Wireshark 捕获可用于检查这些字段中的内容。

第 1 步：检查以太网 II 帧头字段的描述和长度。

第 2 步：在 Wireshark 捕获中检查以太网帧。

以下 Wireshark 捕获显示了从 PC 主机向其默认网关发出 ping 操作生成的数据包。

Wireshark 应用了一个过滤器，以仅查看 ARP 和 ICMP 协议。

会话首先利用 ARP 查询网关路由器的 MAC 地址，然后是四次 ping 请求和应答。

第 3 步：检查 ARP 请求的以太网 II 报头内容。

下表使用 Wireshark 捕获中的第一个帧，并显示以太网 II 帧头字段中的数据。

关于目的地址字段的内容，需要注意什么？_______________________________________________________________________________________ _______________________________________________________________________________________ 为什么 PC 会在发送第一个 ping 请求之前发送广播 ARP？_______________________________________________________________________________________ _______________________________________________________________________________________ _______________________________________________________________________________________ 第一个帧的源设备的 MAC 地址是什么？_______________________________________________________ 源设备的网卡的供应商 ID (OUI) 是什么？ ______________________________________________________ MAC 地址的哪个部分是 OUI？______________________________________________________________ 源设备的网卡序列号是什么？_______________________________________________________________ 第 2 部分：使用 Wireshark 捕获和分析以太网帧在第 2 部分中，同学们将使用 Wireshark 捕获本地和远程以太网帧。

以太网帧类型2009年12月17日星期四下午 1:52以太网帧格式目前，有四种不同格式的以太网帧在使用，它们分别是：●Ethernet II即DIX 2.0：Xerox与DEC、Intel在1982年制定的以太网标准帧格式。

Cisco名称为：ARPA。

●Ethernet 802.3 raw：Novell在1983年公布的专用以太网标准帧格式。

Cisco名称为：Novell-Ether。

●Ethernet 802.3 SAP：IEEE在1985年公布的Ethernet 802.3的SAP版本以太网帧格式。

Cisco名称为：SAP。

●Ethernet 802.3 SNAP：IEEE在1985年公布的Ethernet 802.3的SNAP版本以太网帧格式。

Cisco名称为：SNAP。

在每种格式的以太网帧的开始处都有64比特（8字节）的前导字符，如图3所示。

其中，前7个字节称为前同步码（Preamble），内容是16进制数0xAA，最后1字节为帧起始标志符0xAB，它标识着以太网帧的开始。

前导字符的作用是使接收节点进行同步并做好接收数据帧的准备。

图3 以太网帧前导字符除此之外，不同格式的以太网帧的各字段定义都不相同，彼此也不兼容。

3.1 Ethernet II帧格式如图4所示，是Ethernet II类型以太网帧格式。

图4 Ethernet II帧格式Ethernet II类型以太网帧的最小长度为64字节（6＋6＋2＋46＋4），最大长度为1518字节（6＋6＋2＋1500＋4）。

其中前12字节分别标识出发送数据帧的源节点MAC地址和接收数据帧的目标节点MAC地址。

接下来的2个字节标识出以太网帧所携带的上层数据类型，如16进制数0x0800代表IP协议数据，16进制数0x809B代表AppleTalk协议数据，16进制数0x8138代表Novell类型协议数据等。

在不定长的数据字段后是4个字节的帧校验序列（Frame Check Sequence，FCS），采用32位CRC循环冗余校验对从"目标MAC地址"字段到"数据"字段的数据进行校验。