标签：
1. 测试机器，源地址 IP 为 10.21.28.110，目的 IP 地址为 10.6.0.24。
2. 使用 ip.src == 10.6.0.24 or ip.dst == 10.6.0.24 过滤规则，只显示 10.21.28.110 与 10.6.0.24 交互的数据。
如上图所示，Windows 中 ping 命令默认执行 4 次 ping 程序，所以 Wireshark 会抓到 8 个 ICMP 报文。
3. 观察第一个编号为 2066 的 Echo (ping) request 数据帧。
如上图所示，可以看到这个数据帧的结构是：
| Ethernet II |
| IP |
| ICMP |
4. 观察 Ethernet II 数据帧的内容。
Ethernet II 数据帧的格式如下：
| DA | SA | Type |
| Data | ||
DA: 该字段有 6 个字节，表示目的 MAC 地址。如上图所示，目的 MAC 地址为 30:37:a6:f6:5a:4f。
SA: 该字段有 6 个字节，表示源 MAC 地址。如上图所示，源 MAC 地址为 54:ee:75:25:33:fd。
Type: 该字段有 2 个字节，表示数据包的类型。如上图所示，类型的值为 0x0800，表示 Internet Protocol(IP)。
Data: 数据载荷。
5. 观察 IP 数据包的内容。
如上图所示，可以看到 IP 数据包的信息：
Version: 4，表示 IPv4。
Header Length: 5, 表示 5 个以 32 bit 为单位的 word，即 20 bytes。
Time to live： 64， 生存时间。
Protocol: 1，表示 ICMP。
Source: 10.21.28.110，源 IP 地址。
Destination: 10.6.0.24，目的 IP 地址。
6. 观察 ICMP 数据包内容。
ICMP 数据包的格式如下：
| Type | Code | Checksum |
| Identifier | Seq Num | |
| Data | ||
Type: 该字段有 1 个字节，表示特定类型的 ICMP 报文。
Code: 该字段有 1 个字节，进一步细分 ICMP 的类型。如上图所示，Type 的值为 8，Code 的值为 0，表示回显请求。
Checksum: 该字段有 2 个字节，表示校验和。
Identifier: 该字段有 2 个字节，用于匹配 Request/Reply 的标识符。
Seq Num: 该字段有 2 个字节，用于匹配 Request/Reply 的序列号。
Data: 数据载荷。
标签：
原文地址：http://www.cnblogs.com/huey/p/4820998.html
