1.1 以太报文结构 EthernetII 以太网帧结构 Ethernet_IIDMACSMACTy peDATA/PADFCS Ethernet_II 以太网帧类型报文结构为：目的MAC 地址（6by tes）＋源MAC地址＋（6by tes）上层协议类型（2by tes）＋数据字段（46-1500by tes)＋校验（4by tes）。 添加时间戳目的上层协议Sniffer自动MAC地址源MAC地址类型 Sniffer 会在捕获报文的时候自动记录捕获的时间，在解码显示时显示出来，在分析问题时提供了很好的时间记录。 源目的MAC 地址在解码框中可以将前 3 字节代表厂商的字段翻译出来，方便定位问题，例如网络上2 台设备 IP 地址设置冲突，可以通过解码翻译出厂商信息方便的将故障设备找到，如 00e0fc 为华为，010042 为Cisco 等等。如果需要查看详细的MAC 地址用鼠标在解码框中点击此 MAC 地址，在下面的表格中会突出显示该地址的16 进制编码。 IP 网络来说 Etherty pe 字段承载的时上层协议的类型主要包括 0x 800 为IP协议，0x 806 为ARP 协议。 IEEE802.3 以太网报文结构 LLC子层MAC子层DSAPSSAPControl8bit8bit8/16bitDMACSMACLengthLLCDATA/FCSIEEE802.3帧结构 上图为IEEE802.3SNAP 帧结构，与EthernetII 不通点是目的和源地址后面的字段代表的不是上层协议类型而是报文长度。并多了LLC 子层。 1.2 IP 协议 IP 报文结构为IP 协议头＋载荷，其中对IP 协议头部的分析，时分析IP 报文的主要内容之一，关于IP 报文详细信息请参考相关资料。这里给出了IP协议头部的一个结构。 版本：4——IPv 4 首部长度：单位为4 字节，最大 60 字节 TOS：IP 优先级字段 总长度：单位字节，最大 65535 字节 标识：IP 报文标识字段 标志：占 3 比特，只用到低位的两个比特 MF（More Fragment） MF=1，后面还有分片的数据包 MF=0，分片数据包的最后一个 DF（Don't Fragment） DF=1，不允许分片 DF=0，允许分片 段偏移：分片后的分组在原分组中的相对位置，总共13 比特，单位为8 字节 寿命：TTL（Time To Liv e）丢弃TTL=0 的报文 协议：携带的是何种协议报文 1 ：ICMP 6 ：TCP 17：UDP 89：OSPF 头部检验和：对IP 协议首部的校验和 源IP 地址：IP 报文的源地址 目的IP 地址：IP 报文的目的地址 上图为Sniffer 对IP 协议首部的解码分析结构，和IP 首部各个字段相对应，并给出了各个字段值所表示含义的英文解释。如上图报文协议（Protocol）字段的编码为...
