1. 为什么要在模拟器里死磕ARP与ICMP刚入行做网络运维那会儿我最怕的就是ping不通这三个字。用户说上不了网你ping一下网关不通ping一下DNS不通再ping一下隔壁工位还是不通。这时候如果只会重启设备和检查网线那基本就卡死了。真正能让你从重启工程师进阶到排障工程师的分水岭就是能不能把ARP和ICMP这两个最基础的协议吃透。ARP负责把IP地址翻译成MAC地址ICMP负责传递网络层的差错和控制消息。这两个协议一个管找路一个管报信几乎所有的连通性故障排查都绕不开它们。而在eNSP这个华为官方模拟器里做抓包实验最大的好处就是你能亲眼看到每一个数据包的字段变化不用猜、不用蒙所有答案都在Wireshark的抓包窗口里摆着。这篇内容适合三类人看一是正在备考华为HCIA/HCIP认证的学员实验考试里ARP和ICMP的抓包分析是高频考点二是刚接触网络运维的新人想搞明白ping不通到底发生了什么三是已经有一定基础但没系统抓过包的老手想补上这块底层认知的短板。我会从实验拓扑搭建开始一步步带你走完ARP请求与应答、ICMP请求与应答的完整抓包流程把每个字段的含义、每次抓包的位置选择、每个异常现象背后的原因都掰开揉碎讲清楚。整个实验的核心逻辑其实就一句话让两台路由器通过一台交换机互联在通信过程中抓取ARP和ICMP报文逐字段分析。听起来简单但里面藏着不少坑比如抓包接口选错导致抓不到包、ARP缓存导致第二次ping看不到ARP报文、eNSP的桥接模式配置不当导致Wireshark抓不到数据等等。这些坑我都会在对应的环节里提前给你标出来。2. 实验环境搭建与拓扑设计思路2.1 为什么选两台路由器加一台交换机拓扑设计这件事很多人觉得随便搭搭就行但其实拓扑结构直接决定了你能观察到什么现象。我选择两台路由器一台交换机这个最小拓扑是有明确考量的。如果只用两台路由器直连你就观察不到交换机对ARP广播的转发行为也看不到ARP广播域的概念。如果加三台甚至更多路由器拓扑复杂度上去了但核心知识点并没有增加反而会分散注意力。两台路由器中间挂一台交换机既能观察到ARP广播在广播域内的泛洪又能保持拓扑足够简洁让你把精力集中在协议本身而不是拓扑维护上。具体设备选型上路由器我选AR2220这是eNSP里最常用的路由器型号支持的功能全启动速度快不像某些高端型号动辄要等好几分钟才能起来。交换机选S5700二层转发功能足够用而且端口密度高方便后续扩展实验。IP地址规划遵循一个原则同一网段内通信方便观察ARP。具体规划如下表设备接口IP地址子网掩码说明AR1GE0/0/0192.168.1.1255.255.255.0左侧路由器AR2GE0/0/0192.168.1.2255.255.255.0右侧路由器LS1———二层交换机无需配IP这里有个细节要注意两台路由器的接口必须在同一网段否则ARP请求的目标IP就不在本地网段路由器会直接查路由表转发而不是发ARP请求那你就抓不到ARP报文了。这个坑我在早期实验中踩过当时把两台路由器配成了不同网段ping了半天抓不到ARP还以为是eNSP的bug后来才发现是自己网段规划错了。2.2 eNSP与Wireshark的联动配置eNSP本身不具备抓包能力它是通过调用本机安装的Wireshark来实现抓包的。所以第一步要确保你的电脑上已经安装了Wireshark并且在eNSP的工具菜单里正确设置了Wireshark的路径。具体操作路径是打开eNSP点击菜单栏的工具选择选项在弹出的窗口里找到Wireshark路径一栏指向你本机Wireshark安装目录下的Wireshark.exe。如果你装的是默认路径一般在C:\Program Files\Wireshark\Wireshark.exe。设置好之后在拓扑里右键点击某条链路选择开始抓包eNSP就会自动拉起Wireshark并开始捕获该链路上的数据包。这里有个非常关键的注意事项抓包的位置决定了你能看到什么。如果你在AR1和交换机之间的链路上抓包你能看到AR1发出的所有报文如果你在交换机和AR2之间的链路上抓包你能看到AR2收到的报文。但如果你想同时看到双方的发包和收包就需要在两条链路上分别抓包或者干脆在交换机上做端口镜像。在eNSP里最方便的做法是直接在路由器接口所在的链路上抓包因为eNSP的抓包是链路级别的不是接口级别的。还有一个常见问题是Wireshark抓不到任何数据包。这通常有三个原因一是抓包链路选错了选到了一条没有流量经过的链路二是eNSP的Wireshark路径配置不对导致Wireshark启动了但没关联到正确的网卡三是防火墙或安全软件拦截了eNSP和Wireshark之间的通信。排查的时候按这个顺序检查基本都能解决。2.3 设备启动与基础配置的实操步骤设备启动这个环节看似简单但eNSP的设备启动顺序和速度是有讲究的。我的习惯是先启动交换机再启动路由器。因为交换机启动速度快先起来之后可以确保路由器启动完毕后链路状态能立即变为Up。如果反过来先启动路由器路由器接口在交换机还没起来的时候会处于Down状态虽然最终也会Up但中间会多等一段时间。设备全部启动完毕后开始配置IP地址。以AR1为例配置命令如下Huawei system-view [Huawei] sysname AR1 [AR1] interface GigabitEthernet 0/0/0 [AR1-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0 [AR1-GigabitEthernet0/0/0] undo shutdown [AR1-GigabitEthernet0/0/0] quitAR2的配置类似只是IP地址换成192.168.1.2。配置完成后用display ip interface brief命令检查接口状态确认物理层和协议层都是UpIP地址配置正确。交换机LS1不需要任何配置它默认就是二层转发模式所有端口都在VLAN 1里直接插上就能通。这也是我选S5700的原因之一零配置就能用省去了配VLAN、配Trunk的麻烦。当然如果你想观察VLAN对ARP广播域的影响可以后续在交换机上划分VLAN那是另一个实验了。配置完成后先别急着ping。我建议你先在AR1上执行display arp all看看ARP表这时候应该是空的或者只有一些接口自身的条目。记住这个初始状态因为后面ping完之后ARP表的变化才是我们关注的重点。3. ARP请求与应答的抓包全流程拆解3.1 ARP协议的工作原理与报文结构在动手抓包之前有必要先把ARP的工作原理捋清楚。ARP的全称是Address Resolution Protocol地址解析协议。它的核心任务就一个已知目标IP地址求出对应的MAC地址。为什么需要这个翻译过程因为以太网通信靠的是MAC地址不是IP地址。当一台主机要发送数据给同一网段内的另一台主机时它知道对方的IP但不知道对方的MAC数据帧就没法封装。这时候ARP就出场了发送方广播一个ARP请求问谁是这个IP请告诉我你的MAC广播域内所有设备都能收到这个请求但只有IP匹配的那台设备会单播回复一个ARP应答说我是这个IP我的MAC是XX。ARP报文的结构不复杂关键字段包括硬件类型以太网为1、协议类型IPv4为0x0800、硬件地址长度MAC为6、协议地址长度IP为4、操作码1表示请求2表示应答、发送方MAC、发送方IP、目标MAC、目标IP。抓包的时候重点看操作码和四个地址字段请求报文的目标MAC是全0应答报文的目标MAC是请求方的MAC。这里有个容易混淆的点ARP请求是广播发送的目的MAC是FF:FF:FF:FF:FF:FFARP应答是单播发送的目的MAC是请求方的MAC。很多初学者以为应答也是广播这是错的。你抓包的时候可以特别留意一下以太网帧头部的目的MAC字段一眼就能分辨出是请求还是应答。3.2 在AR1侧抓取ARP请求报文现在开始实操。首先在AR1和交换机之间的链路上右键选择开始抓包。Wireshark会自动弹出并开始捕获。这时候Wireshark里可能已经有一些STP、LLDP之类的协议报文在滚动不用管它们我们只关心ARP。在AR1上执行ping命令AR1 ping 192.168.1.2注意第一次ping的时候因为AR1的ARP表里没有192.168.1.2对应的MAC地址所以它会先发ARP请求。你会在Wireshark里看到第一个ARP报文操作码是1request源MAC是AR1的接口MAC源IP是192.168.1.1目标MAC是全0目标IP是192.168.1.2。这里有个细节值得展开ARP请求报文里的发送方MAC字段填的是AR1自己的MAC这个字段在请求报文里就已经填好了目的是让接收方在回复时知道该把应答发给谁。很多人以为请求报文里发送方MAC是空的其实不是。你可以把ARP请求理解成一封信信封上写了寄件人地址和收件人地址收件人收到后按寄件人地址回信。抓包时还要注意一个现象ARP请求是广播的所以交换机LS1会把这份请求从除了接收端口之外的所有端口泛洪出去。如果你在交换机和AR2之间的链路上也开了抓包你会看到同样的ARP请求报文。这验证了ARP广播域的概念——同一广播域内所有设备都能收到ARP请求。提示如果你在Wireshark里看到ARP请求报文但看不到应答先检查AR2的接口是否Up、IP是否配置正确。ARP应答只有在目标IP匹配且接口Up的情况下才会发出。3.3 在AR2侧抓取ARP应答报文ARP应答的抓包位置很关键。如果你只在AR1侧抓包你只能看到AR1收到的应答看不到AR2发出的应答。虽然内容一样但观察角度不同。我建议在AR2和交换机之间的链路上也开一个抓包窗口这样你能同时看到AR2收到请求和发出应答的完整过程。AR2收到ARP请求后会做几件事首先检查目标IP是不是自己发现是192.168.1.2匹配然后把自己的MAC地址填入应答报文的发送方MAC字段把请求方的MAC填入目标MAC字段最后单播发送这个应答。在Wireshark里你会看到第二个ARP报文操作码是2reply源MAC是AR2的接口MAC源IP是192.168.1.2目标MAC是AR1的接口MAC目标IP是192.168.1.1。注意这里的源和目标跟请求报文正好反过来了因为应答是回信。这里有个实操心得ARP应答的抓包时机很重要。因为ARP应答是单播的只有AR1能收到交换机不会泛洪。所以如果你在AR2侧抓包你能看到AR2发出的应答如果你在AR1侧抓包你能看到AR1收到的应答。但如果你在交换机和其他设备的链路上抓包你是看不到这个应答的因为它不走那些链路。这个特性可以用来验证单播和广播的区别。3.4 ARP缓存表的变化与验证ARP交互完成后AR1和AR2的ARP表里都会多出一条记录。在AR1上执行AR1 display arp all你会看到类似这样的输出IP地址MAC地址类型接口192.168.1.2xxxx-xxxx-xxxxDynamicGE0/0/0192.168.1.1xxxx-xxxx-xxxxDynamicGE0/0/0类型是Dynamic说明是动态学习的。这条记录有老化时间默认是20分钟。在老化之前如果AR1再次ping 192.168.1.2就不会再发ARP请求了直接用缓存里的MAC地址封装数据帧。这就是为什么你第二次ping的时候在Wireshark里看不到ARP报文的原因。如果你想强制刷新ARP缓存可以执行reset arp dynamic命令清除动态ARP表项然后再ping就能重新看到ARP交互过程。这个技巧在实验演示的时候特别有用因为默认情况下ARP缓存会吞掉你的第二次抓包。注意reset arp dynamic会清除所有动态ARP表项在生产环境慎用。在模拟器里随便用没问题但在真实设备上执行前要确认不会影响业务。4. ICMP请求与应答的抓包深度分析4.1 ICMP协议在ping操作中的角色ARP搞定之后AR1知道了AR2的MAC地址接下来就可以发送ICMP报文了。ICMP的全称是Internet Control Message Protocol互联网控制消息协议。它不传输用户数据专门用来传递网络层的控制信息和差错报告。ping命令就是ICMP最典型的应用。ping的工作原理是发送方发一个ICMP Echo Request类型8代码0接收方收到后回一个ICMP Echo Reply类型0代码0。每个ICMP报文里都包含一个标识符、一个序列号和一些数据。标识符用来区分不同的ping进程序列号用来标记报文的顺序数据部分通常是一些填充字节用来测试链路质量。在Wireshark里抓ICMP报文重点看这几个字段Type类型、Code代码、Checksum校验和、Identifier标识符、Sequence Number序列号。Type和Code组合起来表示不同的ICMP消息比如Type 8 Code 0是Echo RequestType 0 Code 0是Echo ReplyType 3 Code 3是端口不可达Type 11 Code 0是超时。这里有个容易忽略的点ICMP报文是封装在IP报文里的IP报文又封装在以太网帧里。所以你在Wireshark里看到的一个ICMP包实际上有三层以太网帧头、IP包头、ICMP报文。展开的时候要一层层看先看以太网帧头的源MAC和目的MAC再看IP包头的源IP和目的IP最后看ICMP的类型和代码。4.2 抓取ICMP Echo Request报文继续在AR1侧抓包执行ping命令。这次因为ARP缓存已经有了所以你不会再看到ARP报文直接就是ICMP报文。Wireshark里第一个ICMP报文的Type是8Code是0这就是Echo Request。展开IP包头源IP是192.168.1.1目的IP是192.168.1.2协议号是1表示ICMP。展开以太网帧头源MAC是AR1的MAC目的MAC是AR2的MAC。注意这里的目的是单播MAC不是广播因为ARP已经解析过了。ICMP报文里的Identifier字段值得关注。在华为设备上ping命令默认的Identifier是根据会话动态生成的每次ping可能不一样。Sequence Number从1开始递增每发一个ping包加1。Data部分默认是56字节的填充数据加上ICMP头部的8字节和IP头部的20字节总共84字节这就是为什么ping显示的时候说56 data bytes。如果你在AR1上执行ping -c 3 192.168.1.2你会看到3个Echo Request和3个Echo Reply。在Wireshark里这6个报文会交替出现Request和Reply的Sequence Number是一一对应的。你可以通过Sequence Number来匹配请求和应答验证有没有丢包。4.3 抓取ICMP Echo Reply报文Echo Reply的抓包位置同样建议在AR2侧也开一个窗口。AR2收到Echo Request后会生成一个Echo ReplyType变成0Code还是0Identifier和Sequence Number跟请求报文保持一致源IP和目的IP互换。在Wireshark里对比Request和Reply你会发现几个关键差异Type从8变成0源IP和目的IP互换源MAC和目的MAC互换其他字段基本一致。这个对比过程能帮你深刻理解ICMP请求应答的对称性。这里有个实操技巧Wireshark的过滤器可以帮你快速定位ICMP报文。在过滤器栏输入icmp就只显示ICMP报文输入icmp.type 8只显示Echo Request输入icmp.type 0只显示Echo Reply。用过滤器能大幅提高分析效率尤其是在流量比较大的时候。提示如果你在Wireshark里看到ICMP报文但ping命令显示超时检查一下是不是ARP没解析成功或者中间链路有ACL拦截了ICMP。在eNSP里默认是没有ACL的所以这种情况一般不会出现但在真实环境里很常见。4.4 ping命令输出与抓包结果的对照分析ping命令的输出信息跟抓包结果是完全对应的。当你在AR1上执行ping看到这样的输出PING 192.168.1.2: 56 data bytes, press CTRL_C to break Reply from 192.168.1.2: bytes56 Sequence1 ttl255 time10 ms Reply from 192.168.1.2: bytes56 Sequence2 ttl255 time10 ms Reply from 192.168.1.2: bytes56 Sequence3 ttl255 time10 ms每一行Reply from对应一个Echo Reply报文。Sequence1对应Wireshark里Sequence Number为1的那个Reply。ttl255是因为eNSP里路由器默认的TTL是255每经过一跳减1这里直连所以还是255。time10 ms是往返时间在模拟器里这个值不太准确参考一下就行。如果ping显示Request time out说明在超时时间内没有收到Echo Reply。可能的原因包括ARP没解析成功、目的IP不可达、ICMP被拦截、链路故障。排查的时候先在Wireshark里看有没有Echo Request发出再看有没有Echo Reply回来一步步缩小范围。如果ping显示Destination host unreachable这通常是收到了ICMP Type 3的差错报文说明中间有路由器找不到目的网络。在eNSP里如果你把AR2的接口shutdown了再ping就会看到这个提示。这时候抓包会看到ICMP Type 3 Code 1的报文表示主机不可达。5. 抓包过程中的典型问题与排查实录5.1 Wireshark抓不到包的常见原因抓不到包是eNSP实验里最高频的问题没有之一。我总结了一下原因基本逃不出下面这几种第一种是抓包链路选错了。eNSP的抓包是链路级别的你必须右键点击正确的链路。如果你点了一条没有流量经过的链路Wireshark里自然什么都没有。判断方法很简单看拓扑里哪条链路连接了你关心的设备就在那条链路上抓。第二种是Wireshark路径配置错误。eNSP调用Wireshark是通过路径配置的如果路径不对Wireshark可能启动了但没关联到eNSP的虚拟网卡。解决办法是在eNSP的工具-选项里重新指定Wireshark路径然后重启eNSP。第三种是防火墙拦截。某些安全软件会拦截eNSP和Wireshark之间的本地通信导致抓包失败。临时关闭防火墙测试一下如果能抓到就说明是防火墙的问题把eNSP和Wireshark加入白名单即可。第四种是网卡选择错误。Wireshark启动后如果弹出了网卡选择界面你要选eNSP相关的虚拟网卡通常名字里带eNSP或VirtualBox字样。选错了物理网卡抓到的就是你本机的流量跟实验无关。问题现象可能原因排查方法Wireshark无任何报文抓包链路选错检查右键点击的链路是否正确Wireshark启动后立即关闭路径配置错误重新配置Wireshark路径抓到的是本机流量网卡选择错误选择eNSP虚拟网卡抓包时eNSP卡死资源占用过高关闭其他抓包窗口减少同时抓包的链路数5.2 ARP抓包中的异常现象分析有时候你会看到一些奇怪的ARP报文比如ARP请求发了但没收到应答或者收到了不是自己请求的ARP应答。这些异常现象背后都有原因。ARP请求无应答最常见的原因是目标IP不存在或者目标设备接口Down。在eNSP里如果AR2的接口没配IP或者被shutdown了AR1的ARP请求就得不到应答。这时候AR1的ARP表里不会有192.168.1.2的记录ping也会失败。还有一种情况是收到了免费的ARPGratuitous ARP。这种ARP报文的源IP和目标IP是同一个通常是设备接口Up的时候主动发出的用来通告自己的MAC地址或者检测IP冲突。在eNSP里路由器接口配置IP后可能会发免费ARP你在Wireshark里看到源IP和目标IP都是192.168.1.1的ARP报文那就是免费ARP不用大惊小怪。ARP欺骗在模拟器里一般不会遇到但如果你在真实环境里抓包看到大量源MAC相同但源IP不同的ARP应答那就要警惕ARP欺骗了。这时候需要配置静态ARP或者开启ARP检测功能。5.3 ICMP超时与不可达的排查思路ICMP超时和不可达是ping排障的核心。超时Request time out意味着请求发出去了但没收到应答不可达Destination host unreachable意味着收到了ICMP差错报文。排查超时的思路是先在发送方抓包确认Echo Request发出去了再在接收方抓包确认Echo Request收到了然后在接收方抓包确认Echo Reply发出去了最后在发送方抓包确认Echo Reply收到了。哪一步断了问题就在哪一步。排查不可达的思路是看ICMP差错报文的Type和Code。Type 3 Code 0表示网络不可达通常是路由表里没有目的网络的路由Type 3 Code 1表示主机不可达通常是ARP解析失败Type 3 Code 3表示端口不可达通常是目的主机的对应端口没开放。根据Code值就能快速定位问题类型。提示在eNSP里做ICMP不可达实验可以先把AR2的接口shutdown然后在AR1上ping 192.168.1.2你会看到Destination host unreachable同时在Wireshark里抓到ICMP Type 3 Code 1的报文。这个实验能帮你直观理解ICMP差错报文的触发条件。5.4 抓包文件的高效分析方法抓到包只是第一步会分析才是关键。Wireshark提供了很多分析工具用好了能事半功倍。第一个是过滤器。除了前面说的icmp和arp你还可以用ip.addr 192.168.1.1过滤特定IP的报文用eth.addr xx:xx:xx:xx:xx:xx过滤特定MAC的报文。过滤器支持逻辑运算比如icmp ip.addr 192.168.1.1表示既要是ICMP报文又要是跟192.168.1.1相关的。第二个是统计功能。Wireshark的统计菜单里有会话、端点、协议分级等选项能帮你快速了解抓包文件里有哪些通信对、各协议占比多少。做实验报告的时候这些统计图表很有用。第三个是标记和导出。你可以右键点击某个报文选择标记给它加个颜色标记方便后续查找。也可以选择导出特定分组把筛选后的报文单独保存成一个文件方便分享和分析。第四个是时间分析。Wireshark默认显示的是相对时间你可以改成绝对时间或者两个报文之间的时间差。分析ping的往返时间时看Request和Reply之间的时间差就是RTT。6. 从抓包实验延伸出的实战经验6.1 实验环境与生产环境的差异认知在eNSP里抓包跟在真实网络里抓包差异还是很大的。模拟器里的链路是理想的没有丢包、没有延迟抖动、没有物理层故障。真实网络里你可能抓到的是不完整的报文、乱序的报文、重传的报文分析难度大得多。但模拟器实验的价值在于帮你建立协议的基本认知。你知道ARP请求长什么样、ICMP Echo Request的Type是8、ARP缓存的默认老化时间是20分钟这些基础知识在真实环境里同样适用。区别只是真实环境里变量更多你需要考虑的因素更复杂。我的建议是先在eNSP里把基础实验做熟做到不看文档就能配出拓扑、抓出报文、分析字段。然后再去真实环境里做验证对比模拟器和真实环境的差异。这个从模拟到真实的过渡过程是每个网络工程师都要经历的。6.2 抓包技能在日常排障中的实际应用抓包技能在日常排障中的价值怎么强调都不过分。我举几个实际场景。场景一用户说访问某个网站慢。你在用户电脑上抓包发现DNS解析正常、TCP握手正常但HTTP响应时间很长。进一步分析发现是服务器端处理慢不是网络问题。如果没有抓包你可能就会在网络上瞎折腾。场景二用户说ping不通某台服务器。你抓包发现Echo Request发出去了但收到的ICMP Reply的源IP不是目标服务器而是中间某台路由器。这说明中间有路由器做了NAT或者代理问题不在目标服务器而在中间设备。场景三网络里出现大量广播报文。你抓包发现是某台设备在发ARP请求而且请求的IP地址不在本网段。这说明该设备的子网掩码配错了把跨网段通信当成了同网段通信。修正子网掩码后问题解决。这些场景的共同点是没有抓包你只能猜有了抓包你能看到真相。抓包不是万能的但它是最接近真相的排障手段。6.3 进阶实验方向与技能提升路径ARP和ICMP的抓包只是入门后面还有很多可以深入的方向。第一个方向是ARP进阶做ARP代理实验、免费ARP实验、ARP检测实验。ARP代理能让路由器代替其他设备回应ARP请求免费ARP能检测IP冲突ARP检测能防止ARP欺骗。这些实验在eNSP里都能做而且对理解ARP的完整功能很有帮助。第二个方向是ICMP进阶做ICMP重定向实验、ICMP差错报文实验、路径MTU发现实验。ICMP重定向能让路由器告诉主机走更优的路径路径MTU发现能避免IP分片。这些实验能帮你理解ICMP除了ping之外的更多用途。第三个方向是抓包分析进阶学习用Wireshark的IO图表分析流量趋势用专家信息分析异常报文用协议分层统计定位问题协议。这些高级功能在复杂排障场景里非常有用。第四个方向是结合其他协议把ARP和ICMP跟DHCP、DNS、TCP结合起来做综合实验。比如抓一次完整的DHCP获取IP过程里面就包含了ARP和ICMP的交互。综合实验能帮你建立协议之间的关联认知而不是孤立地理解每个协议。我个人在实际操作中的体会是抓包这件事看一百遍不如自己抓一遍。你在Wireshark里亲眼看到ARP请求的目标MAC是全0比看十遍文档都记得牢。所以别光看动手做把拓扑搭起来把包抓出来把字段一个个点开看。踩过的坑越多成长越快。
1. 为什么要在模拟器里死磕ARP与ICMP刚入行做网络运维那会儿我最怕的就是ping不通这三个字。用户说上不了网你ping一下网关不通ping一下DNS不通再ping一下隔壁工位还是不通。这时候如果只会重启设备和检查网线那基本就卡死了。真正能让你从重启工程师进阶到排障工程师的分水岭就是能不能把ARP和ICMP这两个最基础的协议吃透。ARP负责把IP地址翻译成MAC地址ICMP负责传递网络层的差错和控制消息。这两个协议一个管找路一个管报信几乎所有的连通性故障排查都绕不开它们。而在eNSP这个华为官方模拟器里做抓包实验最大的好处就是你能亲眼看到每一个数据包的字段变化不用猜、不用蒙所有答案都在Wireshark的抓包窗口里摆着。这篇内容适合三类人看一是正在备考华为HCIA/HCIP认证的学员实验考试里ARP和ICMP的抓包分析是高频考点二是刚接触网络运维的新人想搞明白ping不通到底发生了什么三是已经有一定基础但没系统抓过包的老手想补上这块底层认知的短板。我会从实验拓扑搭建开始一步步带你走完ARP请求与应答、ICMP请求与应答的完整抓包流程把每个字段的含义、每次抓包的位置选择、每个异常现象背后的原因都掰开揉碎讲清楚。整个实验的核心逻辑其实就一句话让两台路由器通过一台交换机互联在通信过程中抓取ARP和ICMP报文逐字段分析。听起来简单但里面藏着不少坑比如抓包接口选错导致抓不到包、ARP缓存导致第二次ping看不到ARP报文、eNSP的桥接模式配置不当导致Wireshark抓不到数据等等。这些坑我都会在对应的环节里提前给你标出来。2. 实验环境搭建与拓扑设计思路2.1 为什么选两台路由器加一台交换机拓扑设计这件事很多人觉得随便搭搭就行但其实拓扑结构直接决定了你能观察到什么现象。我选择两台路由器一台交换机这个最小拓扑是有明确考量的。如果只用两台路由器直连你就观察不到交换机对ARP广播的转发行为也看不到ARP广播域的概念。如果加三台甚至更多路由器拓扑复杂度上去了但核心知识点并没有增加反而会分散注意力。两台路由器中间挂一台交换机既能观察到ARP广播在广播域内的泛洪又能保持拓扑足够简洁让你把精力集中在协议本身而不是拓扑维护上。具体设备选型上路由器我选AR2220这是eNSP里最常用的路由器型号支持的功能全启动速度快不像某些高端型号动辄要等好几分钟才能起来。交换机选S5700二层转发功能足够用而且端口密度高方便后续扩展实验。IP地址规划遵循一个原则同一网段内通信方便观察ARP。具体规划如下表设备接口IP地址子网掩码说明AR1GE0/0/0192.168.1.1255.255.255.0左侧路由器AR2GE0/0/0192.168.1.2255.255.255.0右侧路由器LS1———二层交换机无需配IP这里有个细节要注意两台路由器的接口必须在同一网段否则ARP请求的目标IP就不在本地网段路由器会直接查路由表转发而不是发ARP请求那你就抓不到ARP报文了。这个坑我在早期实验中踩过当时把两台路由器配成了不同网段ping了半天抓不到ARP还以为是eNSP的bug后来才发现是自己网段规划错了。2.2 eNSP与Wireshark的联动配置eNSP本身不具备抓包能力它是通过调用本机安装的Wireshark来实现抓包的。所以第一步要确保你的电脑上已经安装了Wireshark并且在eNSP的工具菜单里正确设置了Wireshark的路径。具体操作路径是打开eNSP点击菜单栏的工具选择选项在弹出的窗口里找到Wireshark路径一栏指向你本机Wireshark安装目录下的Wireshark.exe。如果你装的是默认路径一般在C:\Program Files\Wireshark\Wireshark.exe。设置好之后在拓扑里右键点击某条链路选择开始抓包eNSP就会自动拉起Wireshark并开始捕获该链路上的数据包。这里有个非常关键的注意事项抓包的位置决定了你能看到什么。如果你在AR1和交换机之间的链路上抓包你能看到AR1发出的所有报文如果你在交换机和AR2之间的链路上抓包你能看到AR2收到的报文。但如果你想同时看到双方的发包和收包就需要在两条链路上分别抓包或者干脆在交换机上做端口镜像。在eNSP里最方便的做法是直接在路由器接口所在的链路上抓包因为eNSP的抓包是链路级别的不是接口级别的。还有一个常见问题是Wireshark抓不到任何数据包。这通常有三个原因一是抓包链路选错了选到了一条没有流量经过的链路二是eNSP的Wireshark路径配置不对导致Wireshark启动了但没关联到正确的网卡三是防火墙或安全软件拦截了eNSP和Wireshark之间的通信。排查的时候按这个顺序检查基本都能解决。2.3 设备启动与基础配置的实操步骤设备启动这个环节看似简单但eNSP的设备启动顺序和速度是有讲究的。我的习惯是先启动交换机再启动路由器。因为交换机启动速度快先起来之后可以确保路由器启动完毕后链路状态能立即变为Up。如果反过来先启动路由器路由器接口在交换机还没起来的时候会处于Down状态虽然最终也会Up但中间会多等一段时间。设备全部启动完毕后开始配置IP地址。以AR1为例配置命令如下Huawei system-view [Huawei] sysname AR1 [AR1] interface GigabitEthernet 0/0/0 [AR1-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0 [AR1-GigabitEthernet0/0/0] undo shutdown [AR1-GigabitEthernet0/0/0] quitAR2的配置类似只是IP地址换成192.168.1.2。配置完成后用display ip interface brief命令检查接口状态确认物理层和协议层都是UpIP地址配置正确。交换机LS1不需要任何配置它默认就是二层转发模式所有端口都在VLAN 1里直接插上就能通。这也是我选S5700的原因之一零配置就能用省去了配VLAN、配Trunk的麻烦。当然如果你想观察VLAN对ARP广播域的影响可以后续在交换机上划分VLAN那是另一个实验了。配置完成后先别急着ping。我建议你先在AR1上执行display arp all看看ARP表这时候应该是空的或者只有一些接口自身的条目。记住这个初始状态因为后面ping完之后ARP表的变化才是我们关注的重点。3. ARP请求与应答的抓包全流程拆解3.1 ARP协议的工作原理与报文结构在动手抓包之前有必要先把ARP的工作原理捋清楚。ARP的全称是Address Resolution Protocol地址解析协议。它的核心任务就一个已知目标IP地址求出对应的MAC地址。为什么需要这个翻译过程因为以太网通信靠的是MAC地址不是IP地址。当一台主机要发送数据给同一网段内的另一台主机时它知道对方的IP但不知道对方的MAC数据帧就没法封装。这时候ARP就出场了发送方广播一个ARP请求问谁是这个IP请告诉我你的MAC广播域内所有设备都能收到这个请求但只有IP匹配的那台设备会单播回复一个ARP应答说我是这个IP我的MAC是XX。ARP报文的结构不复杂关键字段包括硬件类型以太网为1、协议类型IPv4为0x0800、硬件地址长度MAC为6、协议地址长度IP为4、操作码1表示请求2表示应答、发送方MAC、发送方IP、目标MAC、目标IP。抓包的时候重点看操作码和四个地址字段请求报文的目标MAC是全0应答报文的目标MAC是请求方的MAC。这里有个容易混淆的点ARP请求是广播发送的目的MAC是FF:FF:FF:FF:FF:FFARP应答是单播发送的目的MAC是请求方的MAC。很多初学者以为应答也是广播这是错的。你抓包的时候可以特别留意一下以太网帧头部的目的MAC字段一眼就能分辨出是请求还是应答。3.2 在AR1侧抓取ARP请求报文现在开始实操。首先在AR1和交换机之间的链路上右键选择开始抓包。Wireshark会自动弹出并开始捕获。这时候Wireshark里可能已经有一些STP、LLDP之类的协议报文在滚动不用管它们我们只关心ARP。在AR1上执行ping命令AR1 ping 192.168.1.2注意第一次ping的时候因为AR1的ARP表里没有192.168.1.2对应的MAC地址所以它会先发ARP请求。你会在Wireshark里看到第一个ARP报文操作码是1request源MAC是AR1的接口MAC源IP是192.168.1.1目标MAC是全0目标IP是192.168.1.2。这里有个细节值得展开ARP请求报文里的发送方MAC字段填的是AR1自己的MAC这个字段在请求报文里就已经填好了目的是让接收方在回复时知道该把应答发给谁。很多人以为请求报文里发送方MAC是空的其实不是。你可以把ARP请求理解成一封信信封上写了寄件人地址和收件人地址收件人收到后按寄件人地址回信。抓包时还要注意一个现象ARP请求是广播的所以交换机LS1会把这份请求从除了接收端口之外的所有端口泛洪出去。如果你在交换机和AR2之间的链路上也开了抓包你会看到同样的ARP请求报文。这验证了ARP广播域的概念——同一广播域内所有设备都能收到ARP请求。提示如果你在Wireshark里看到ARP请求报文但看不到应答先检查AR2的接口是否Up、IP是否配置正确。ARP应答只有在目标IP匹配且接口Up的情况下才会发出。3.3 在AR2侧抓取ARP应答报文ARP应答的抓包位置很关键。如果你只在AR1侧抓包你只能看到AR1收到的应答看不到AR2发出的应答。虽然内容一样但观察角度不同。我建议在AR2和交换机之间的链路上也开一个抓包窗口这样你能同时看到AR2收到请求和发出应答的完整过程。AR2收到ARP请求后会做几件事首先检查目标IP是不是自己发现是192.168.1.2匹配然后把自己的MAC地址填入应答报文的发送方MAC字段把请求方的MAC填入目标MAC字段最后单播发送这个应答。在Wireshark里你会看到第二个ARP报文操作码是2reply源MAC是AR2的接口MAC源IP是192.168.1.2目标MAC是AR1的接口MAC目标IP是192.168.1.1。注意这里的源和目标跟请求报文正好反过来了因为应答是回信。这里有个实操心得ARP应答的抓包时机很重要。因为ARP应答是单播的只有AR1能收到交换机不会泛洪。所以如果你在AR2侧抓包你能看到AR2发出的应答如果你在AR1侧抓包你能看到AR1收到的应答。但如果你在交换机和其他设备的链路上抓包你是看不到这个应答的因为它不走那些链路。这个特性可以用来验证单播和广播的区别。3.4 ARP缓存表的变化与验证ARP交互完成后AR1和AR2的ARP表里都会多出一条记录。在AR1上执行AR1 display arp all你会看到类似这样的输出IP地址MAC地址类型接口192.168.1.2xxxx-xxxx-xxxxDynamicGE0/0/0192.168.1.1xxxx-xxxx-xxxxDynamicGE0/0/0类型是Dynamic说明是动态学习的。这条记录有老化时间默认是20分钟。在老化之前如果AR1再次ping 192.168.1.2就不会再发ARP请求了直接用缓存里的MAC地址封装数据帧。这就是为什么你第二次ping的时候在Wireshark里看不到ARP报文的原因。如果你想强制刷新ARP缓存可以执行reset arp dynamic命令清除动态ARP表项然后再ping就能重新看到ARP交互过程。这个技巧在实验演示的时候特别有用因为默认情况下ARP缓存会吞掉你的第二次抓包。注意reset arp dynamic会清除所有动态ARP表项在生产环境慎用。在模拟器里随便用没问题但在真实设备上执行前要确认不会影响业务。4. ICMP请求与应答的抓包深度分析4.1 ICMP协议在ping操作中的角色ARP搞定之后AR1知道了AR2的MAC地址接下来就可以发送ICMP报文了。ICMP的全称是Internet Control Message Protocol互联网控制消息协议。它不传输用户数据专门用来传递网络层的控制信息和差错报告。ping命令就是ICMP最典型的应用。ping的工作原理是发送方发一个ICMP Echo Request类型8代码0接收方收到后回一个ICMP Echo Reply类型0代码0。每个ICMP报文里都包含一个标识符、一个序列号和一些数据。标识符用来区分不同的ping进程序列号用来标记报文的顺序数据部分通常是一些填充字节用来测试链路质量。在Wireshark里抓ICMP报文重点看这几个字段Type类型、Code代码、Checksum校验和、Identifier标识符、Sequence Number序列号。Type和Code组合起来表示不同的ICMP消息比如Type 8 Code 0是Echo RequestType 0 Code 0是Echo ReplyType 3 Code 3是端口不可达Type 11 Code 0是超时。这里有个容易忽略的点ICMP报文是封装在IP报文里的IP报文又封装在以太网帧里。所以你在Wireshark里看到的一个ICMP包实际上有三层以太网帧头、IP包头、ICMP报文。展开的时候要一层层看先看以太网帧头的源MAC和目的MAC再看IP包头的源IP和目的IP最后看ICMP的类型和代码。4.2 抓取ICMP Echo Request报文继续在AR1侧抓包执行ping命令。这次因为ARP缓存已经有了所以你不会再看到ARP报文直接就是ICMP报文。Wireshark里第一个ICMP报文的Type是8Code是0这就是Echo Request。展开IP包头源IP是192.168.1.1目的IP是192.168.1.2协议号是1表示ICMP。展开以太网帧头源MAC是AR1的MAC目的MAC是AR2的MAC。注意这里的目的是单播MAC不是广播因为ARP已经解析过了。ICMP报文里的Identifier字段值得关注。在华为设备上ping命令默认的Identifier是根据会话动态生成的每次ping可能不一样。Sequence Number从1开始递增每发一个ping包加1。Data部分默认是56字节的填充数据加上ICMP头部的8字节和IP头部的20字节总共84字节这就是为什么ping显示的时候说56 data bytes。如果你在AR1上执行ping -c 3 192.168.1.2你会看到3个Echo Request和3个Echo Reply。在Wireshark里这6个报文会交替出现Request和Reply的Sequence Number是一一对应的。你可以通过Sequence Number来匹配请求和应答验证有没有丢包。4.3 抓取ICMP Echo Reply报文Echo Reply的抓包位置同样建议在AR2侧也开一个窗口。AR2收到Echo Request后会生成一个Echo ReplyType变成0Code还是0Identifier和Sequence Number跟请求报文保持一致源IP和目的IP互换。在Wireshark里对比Request和Reply你会发现几个关键差异Type从8变成0源IP和目的IP互换源MAC和目的MAC互换其他字段基本一致。这个对比过程能帮你深刻理解ICMP请求应答的对称性。这里有个实操技巧Wireshark的过滤器可以帮你快速定位ICMP报文。在过滤器栏输入icmp就只显示ICMP报文输入icmp.type 8只显示Echo Request输入icmp.type 0只显示Echo Reply。用过滤器能大幅提高分析效率尤其是在流量比较大的时候。提示如果你在Wireshark里看到ICMP报文但ping命令显示超时检查一下是不是ARP没解析成功或者中间链路有ACL拦截了ICMP。在eNSP里默认是没有ACL的所以这种情况一般不会出现但在真实环境里很常见。4.4 ping命令输出与抓包结果的对照分析ping命令的输出信息跟抓包结果是完全对应的。当你在AR1上执行ping看到这样的输出PING 192.168.1.2: 56 data bytes, press CTRL_C to break Reply from 192.168.1.2: bytes56 Sequence1 ttl255 time10 ms Reply from 192.168.1.2: bytes56 Sequence2 ttl255 time10 ms Reply from 192.168.1.2: bytes56 Sequence3 ttl255 time10 ms每一行Reply from对应一个Echo Reply报文。Sequence1对应Wireshark里Sequence Number为1的那个Reply。ttl255是因为eNSP里路由器默认的TTL是255每经过一跳减1这里直连所以还是255。time10 ms是往返时间在模拟器里这个值不太准确参考一下就行。如果ping显示Request time out说明在超时时间内没有收到Echo Reply。可能的原因包括ARP没解析成功、目的IP不可达、ICMP被拦截、链路故障。排查的时候先在Wireshark里看有没有Echo Request发出再看有没有Echo Reply回来一步步缩小范围。如果ping显示Destination host unreachable这通常是收到了ICMP Type 3的差错报文说明中间有路由器找不到目的网络。在eNSP里如果你把AR2的接口shutdown了再ping就会看到这个提示。这时候抓包会看到ICMP Type 3 Code 1的报文表示主机不可达。5. 抓包过程中的典型问题与排查实录5.1 Wireshark抓不到包的常见原因抓不到包是eNSP实验里最高频的问题没有之一。我总结了一下原因基本逃不出下面这几种第一种是抓包链路选错了。eNSP的抓包是链路级别的你必须右键点击正确的链路。如果你点了一条没有流量经过的链路Wireshark里自然什么都没有。判断方法很简单看拓扑里哪条链路连接了你关心的设备就在那条链路上抓。第二种是Wireshark路径配置错误。eNSP调用Wireshark是通过路径配置的如果路径不对Wireshark可能启动了但没关联到eNSP的虚拟网卡。解决办法是在eNSP的工具-选项里重新指定Wireshark路径然后重启eNSP。第三种是防火墙拦截。某些安全软件会拦截eNSP和Wireshark之间的本地通信导致抓包失败。临时关闭防火墙测试一下如果能抓到就说明是防火墙的问题把eNSP和Wireshark加入白名单即可。第四种是网卡选择错误。Wireshark启动后如果弹出了网卡选择界面你要选eNSP相关的虚拟网卡通常名字里带eNSP或VirtualBox字样。选错了物理网卡抓到的就是你本机的流量跟实验无关。问题现象可能原因排查方法Wireshark无任何报文抓包链路选错检查右键点击的链路是否正确Wireshark启动后立即关闭路径配置错误重新配置Wireshark路径抓到的是本机流量网卡选择错误选择eNSP虚拟网卡抓包时eNSP卡死资源占用过高关闭其他抓包窗口减少同时抓包的链路数5.2 ARP抓包中的异常现象分析有时候你会看到一些奇怪的ARP报文比如ARP请求发了但没收到应答或者收到了不是自己请求的ARP应答。这些异常现象背后都有原因。ARP请求无应答最常见的原因是目标IP不存在或者目标设备接口Down。在eNSP里如果AR2的接口没配IP或者被shutdown了AR1的ARP请求就得不到应答。这时候AR1的ARP表里不会有192.168.1.2的记录ping也会失败。还有一种情况是收到了免费的ARPGratuitous ARP。这种ARP报文的源IP和目标IP是同一个通常是设备接口Up的时候主动发出的用来通告自己的MAC地址或者检测IP冲突。在eNSP里路由器接口配置IP后可能会发免费ARP你在Wireshark里看到源IP和目标IP都是192.168.1.1的ARP报文那就是免费ARP不用大惊小怪。ARP欺骗在模拟器里一般不会遇到但如果你在真实环境里抓包看到大量源MAC相同但源IP不同的ARP应答那就要警惕ARP欺骗了。这时候需要配置静态ARP或者开启ARP检测功能。5.3 ICMP超时与不可达的排查思路ICMP超时和不可达是ping排障的核心。超时Request time out意味着请求发出去了但没收到应答不可达Destination host unreachable意味着收到了ICMP差错报文。排查超时的思路是先在发送方抓包确认Echo Request发出去了再在接收方抓包确认Echo Request收到了然后在接收方抓包确认Echo Reply发出去了最后在发送方抓包确认Echo Reply收到了。哪一步断了问题就在哪一步。排查不可达的思路是看ICMP差错报文的Type和Code。Type 3 Code 0表示网络不可达通常是路由表里没有目的网络的路由Type 3 Code 1表示主机不可达通常是ARP解析失败Type 3 Code 3表示端口不可达通常是目的主机的对应端口没开放。根据Code值就能快速定位问题类型。提示在eNSP里做ICMP不可达实验可以先把AR2的接口shutdown然后在AR1上ping 192.168.1.2你会看到Destination host unreachable同时在Wireshark里抓到ICMP Type 3 Code 1的报文。这个实验能帮你直观理解ICMP差错报文的触发条件。5.4 抓包文件的高效分析方法抓到包只是第一步会分析才是关键。Wireshark提供了很多分析工具用好了能事半功倍。第一个是过滤器。除了前面说的icmp和arp你还可以用ip.addr 192.168.1.1过滤特定IP的报文用eth.addr xx:xx:xx:xx:xx:xx过滤特定MAC的报文。过滤器支持逻辑运算比如icmp ip.addr 192.168.1.1表示既要是ICMP报文又要是跟192.168.1.1相关的。第二个是统计功能。Wireshark的统计菜单里有会话、端点、协议分级等选项能帮你快速了解抓包文件里有哪些通信对、各协议占比多少。做实验报告的时候这些统计图表很有用。第三个是标记和导出。你可以右键点击某个报文选择标记给它加个颜色标记方便后续查找。也可以选择导出特定分组把筛选后的报文单独保存成一个文件方便分享和分析。第四个是时间分析。Wireshark默认显示的是相对时间你可以改成绝对时间或者两个报文之间的时间差。分析ping的往返时间时看Request和Reply之间的时间差就是RTT。6. 从抓包实验延伸出的实战经验6.1 实验环境与生产环境的差异认知在eNSP里抓包跟在真实网络里抓包差异还是很大的。模拟器里的链路是理想的没有丢包、没有延迟抖动、没有物理层故障。真实网络里你可能抓到的是不完整的报文、乱序的报文、重传的报文分析难度大得多。但模拟器实验的价值在于帮你建立协议的基本认知。你知道ARP请求长什么样、ICMP Echo Request的Type是8、ARP缓存的默认老化时间是20分钟这些基础知识在真实环境里同样适用。区别只是真实环境里变量更多你需要考虑的因素更复杂。我的建议是先在eNSP里把基础实验做熟做到不看文档就能配出拓扑、抓出报文、分析字段。然后再去真实环境里做验证对比模拟器和真实环境的差异。这个从模拟到真实的过渡过程是每个网络工程师都要经历的。6.2 抓包技能在日常排障中的实际应用抓包技能在日常排障中的价值怎么强调都不过分。我举几个实际场景。场景一用户说访问某个网站慢。你在用户电脑上抓包发现DNS解析正常、TCP握手正常但HTTP响应时间很长。进一步分析发现是服务器端处理慢不是网络问题。如果没有抓包你可能就会在网络上瞎折腾。场景二用户说ping不通某台服务器。你抓包发现Echo Request发出去了但收到的ICMP Reply的源IP不是目标服务器而是中间某台路由器。这说明中间有路由器做了NAT或者代理问题不在目标服务器而在中间设备。场景三网络里出现大量广播报文。你抓包发现是某台设备在发ARP请求而且请求的IP地址不在本网段。这说明该设备的子网掩码配错了把跨网段通信当成了同网段通信。修正子网掩码后问题解决。这些场景的共同点是没有抓包你只能猜有了抓包你能看到真相。抓包不是万能的但它是最接近真相的排障手段。6.3 进阶实验方向与技能提升路径ARP和ICMP的抓包只是入门后面还有很多可以深入的方向。第一个方向是ARP进阶做ARP代理实验、免费ARP实验、ARP检测实验。ARP代理能让路由器代替其他设备回应ARP请求免费ARP能检测IP冲突ARP检测能防止ARP欺骗。这些实验在eNSP里都能做而且对理解ARP的完整功能很有帮助。第二个方向是ICMP进阶做ICMP重定向实验、ICMP差错报文实验、路径MTU发现实验。ICMP重定向能让路由器告诉主机走更优的路径路径MTU发现能避免IP分片。这些实验能帮你理解ICMP除了ping之外的更多用途。第三个方向是抓包分析进阶学习用Wireshark的IO图表分析流量趋势用专家信息分析异常报文用协议分层统计定位问题协议。这些高级功能在复杂排障场景里非常有用。第四个方向是结合其他协议把ARP和ICMP跟DHCP、DNS、TCP结合起来做综合实验。比如抓一次完整的DHCP获取IP过程里面就包含了ARP和ICMP的交互。综合实验能帮你建立协议之间的关联认知而不是孤立地理解每个协议。我个人在实际操作中的体会是抓包这件事看一百遍不如自己抓一遍。你在Wireshark里亲眼看到ARP请求的目标MAC是全0比看十遍文档都记得牢。所以别光看动手做把拓扑搭起来把包抓出来把字段一个个点开看。踩过的坑越多成长越快。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
