概念
协议分析（Protocol analysis）对一个程序或设备是解码网络协议头部和尾部来了解这个数据和在分组内部由一个协议压缩的信息的过程。为了管理协议分析，分组必须被实时捕获用于线路速度分析或随后分析。这样的程序或设备被叫做一个协议分析器。常见的协议分析软件：windows下有sniffer、科来网络分析系统。unix类操作系统下比较出名的有wireshark。
ARP协议分析
ARP(Address Resolution Protocol，地址解析协议)是获取物理地址的一个TCP/IP协议。某节点的IP地址的ARP请求被广播到网络上后，这个节点会收到确认 其物理地址的应答，这样的数据包才能被传送出去。RARP(逆向ARP)经常在无盘工作站上使用，以获得它的逻辑IP地址。OSI 模式把网络工作分为七层，彼此不直接打交道，只通过接口(layer interface). IP地址在第三层, MAC地址在第二层。协议在发送数据包时，得先封装第三层（IP地址），第二层（MAC地址）的报头, 但协议只知道目的节点的IP地址，不知道其MAC地址，又不能跨第二、三层，所以得用ARP的服务。
ppp协议分析
PPP（Point to Point Protocol，点对点协议）协议是为在两个对等实体间传输数据包，建立简单连接而设计的。这种连接提供了同时的双向全双工操作，并且假定数据包是按顺 序投递的。PPP协议还满足了动态分配IP地址的需要，并能够对上层的多种协议提供支持。PPP在TCP/IP协议集中是位于数据链路层的协议，其物理实 现方式有两种：一种是通过以太网口（这时称之为PPPoE，即PPP over Ethernet），另一种就是利用普通的串行接口。
PPP 封装用于消除上层多种协议数据包的歧义，加入帧头、帧尾， 使之成为互相独立的串行数据帧。PPP 采用HDLC 的组帧格式，它是面向字符的。在完整的PPP 帧中，帧头由帧开始标记、地址域、控制域、协议域组成，帧尾由校验域、帧结束标记组成。
PPP主要由以下几部分组成
封装：一种封装多协议数据报的方法。PPP 封装提供了不同网络层协议同时在同一链路传输的多路复用技术。PPP 封装精心设计，能保持对大多数常用硬件的兼容性，克服了SLIP不足之处的一种多用途、点到点协议，它提供的WAN数据链接封装服务类似于LAN所提供的封闭服务。所以，PPP不仅仅提供帧定界，而且提供协议标识和位级完整性检查服务。
链路控制协议：一种扩展链路控制协议，用于建立、配置、测试和管理数据链路连接。
网络控制协议：协商该链路上所传输的数据包格式与类型，建立、配置不同的网络层协议。
配置：使用链路控制协议的简单和自制机制。该机制也应用于其它控制协议，例如：网络控制协议（NCP）。
为了建立点对点链路通信，PPP 链路的每一端，必须首先发送 LCP 包以便设定和测试数据链路。在链路建立，LCP 所需的可选功能被选定之后，PPP 必须发送 NCP 包以便选择和设定一个或更多的网络层协议。一旦每个被选择的网络层协议都被设定好了，来自每个网络层协议的数据报就能在链路上发送了。
PPP帧封装格式
Ethernet II协议简介
以太网是当今现有局域网采用的最通用的通信协议标准。该标准定义了在局域网中采用的电缆类型和信号处理方法。Ethernet II由DEC，Intel和Xerox在1982年公布其标准，Etherent II主要更改了Ethernet I的电气特性和物理接口，在帧格式上并无变化。Etherent II采用CSMA/CD的媒体接入和广播机制。
Ethernet II报头详解
Ethernet II协议报头结构每个字段的详细解释如下：
1、目标地址：此数据包的目标MAC地址。
2、源地址：此数据包的源MAC地址。
3、协议类型：上层协议，表示网络层使用的协议。
4、数据：高层协议、数据和填充符，范围在46～1500字节。
5、FCS：数据帧校验序列，用于确定数据包在传输过程中是否损坏。
实验分析
原文地址：http://12047117.blog.51cto.com/12037117/1854439
