ICMP协议ICMP(Internet Control Message Protocol)是介于网络层和传输层的协议。它的主要功能是传输网络诊断信息。ICMP传输的信息可以分为两类一类是错误(error)信息这一类信息可用来诊断网络故障。我们已经知道IP协议的工作方式是“Best Effort”如果IP包没有被传送到目的地或者IP包发生错误IP协议本身不会做进一步的努力。但上游发送IP包的主机和接力的路由器并不知道下游发生了错误和故障它们可能继续发送IP包。通过ICMP包下游的路由器和主机可以将错误信息汇报给上游从而让上游的路由器和主机进行调整。需要注意的是ICMP只提供特定类型的错误汇报它不能帮助IP协议成为“可靠”(reliable)的协议。另一类信息是咨询(Informational)性质的比如某台计算机询问路径上的每个路由器都是谁然后各个路由器同样用ICMP包回答。(ICMP基于IP协议。也就是说一个ICMP包需要封装在IP包中然后在互联网传送。ICMP是IP套装的必须部分也就是说任何一个支持IP协议的计算机都要同时实现ICMP。)ICMP包的结构A bunch of TypesICMP包都会有Type, Code和Checksum三部分。Type表示ICMP包的大的类型而Code是一个Type之内细分的小类型。针对不同的错误信息或者咨询信息会有不同的Type和Code。从上面我们可以看到ICMP支持的类型非常多就好像瑞士军刀一样有各种各样的功能。Checksum与IP协议的header checksum相类似但与IP协议中checksum只校验头部不同这里的Checksum所校验的是整个ICMP包(包括头部和数据)。余下的ICMP包格式根据不同的类型不同。另一方面ICMP包通常是由某个IP包触发的。这个触发IP包的头部和一部份数据会被包含在ICMP包的数据部分。ICMP协议是实现ping命令和traceroute命令的基础。这两个工具常用于网络排错。常见的ICMP包类型回音回音(Echo)属于咨询信息。ping命令就是利用了该类型的ICMP包。当使用ping命令的时候将向目标主机发送Echo-询问类型的ICMP包而目标主机在接收到该ICMP包之后会回复Echo-回答类型的ICMP包并将询问ICMP包包含在数据部分。ping命令是我们进行网络排查的一个重要工具。如果一个IP地址可以通过ping命令收到回复那么其他的网络协议通信方式也很有可能成功。源头冷却源头冷却(source quench)属于错误信息。如果某个主机快速的向目的地传送数据而目的地主机没有匹配的处理能力目的地主机可以向出发主机发出该类型的ICMP包提醒出发主机放慢发送速度(请温柔一点吧)。目的地无法到达目的地无法到达(Destination Unreachable)属于错误信息。如果一个路由器接收到一个没办法进一步接力的IP包它会向出发主机发送该类型的ICMP包。比如当IP包到达最后一个路由器路由器发现目的地主机down机就会向出发主机发送目的地无法到达(Destination Unreachable)类型的ICMP包。目的地无法到达还可能有其他的原因比如不存在接力路径比如不被接收的端口号等等。超时超时(Time Exceeded)属于错误信息。IPv4中的Time to Live(TTL)和IPv6中的Hop Limit会随着经过的路由器而递减当这个区域值减为0时就认为该IP包超时(Time Exceeded)。Time Exceeded就是TTL减为0时的路由器发给出发主机的ICMP包通知它发生了超时错误。traceroute就利用了这种类型的ICMP包。traceroute命令用来发现IP接力路径(route)上的各个路由器。它向目的地发送IP包第一次的时候将TTL设置为1引发第一个路由器的Time Exceeded错误。这样第一个路由器回复ICMP包从而让出发主机知道途径的第一个路由器的信息。随后TTL被设置为2、3、4...直到到达目的主机。这样沿途的每个路由器都会向出发主机发送ICMP包来汇报错误。traceroute将ICMP包的信息打印在屏幕上就是接力路径的信息了。重新定向重新定向(redirect)属于错误信息。当一个路由器收到一个IP包对照其routing table发现自己不应该收到该IP包它会向出发主机发送重新定向类型的ICMP提醒出发主机修改自己的routing table。比如下面的网络假如145.1发送到145.15的IP包结果被中间的路由器通过145.17的NIC收到。那么路由器会发现根据自己的routing table这个IP包要原路返回。那么router就可以判断出145.1的routing table可能有问题。所以路由器会向145.1发送redirect类型的ICMP包。IPv6的Neighbor DiscoveryARP协议用于发现周边的IP地址和MAC地址的对应。然而ARP协议只用于IPv4IPv6并不使用ARP协议。IPv6包通过邻居探索(ND, Neighbor Discovery)来实现ARP的功能。ND的工作方式与ARP类似但它基于ICMP协议。ICMP包有Neighbor Solicitation和Neighbor Advertisement类型。这两个类型分别对应ARP协议的询问和回复信息。总结ICMP协议是IP协议的排错帮手它可以帮助人们及时发现IP通信中出现的故障。基于ICMP的ping和traceroute也构成了重要的网络诊断工具。然而需要注意的是尽管ICMP的设计是出于好的意图但ICMP却经常被黑客借用进行网络攻击比如利用伪造的IP包引发大量的ICMP回复并将这些ICMP包导向受害主机从而形成DoS攻击。而redirect类型的ICMP包可以引起某个主机更改自己的routing table所以也被用作攻击工具。许多站点选择忽视某些类型的ICMP包来提高自身的安全性。