以下内容摘自笔者编著的《网管员必读——网络测试、监控和实验》一书。
3.3.2 Sniffer Portable 4.8中的IP协议头
在Sniffer Portable所抓的IP数据帧中，同样包含有IP Header（IP协议头）如图3-13所示。尽管这里显示的信息比较多，但对照图3-12所示的IP协议头格式我们就可以很好地理解各部分的含义的。
第2行“Version = 4，header length = 20 bytes”显示的是图3-12中的“版本”和“首部长度”两个字段信息，这里的版本号为4，即为IP v4协议，IP头长度为20个字节。这与前面介绍的IP协议头总长度为20个字节是一致的。
第3行“Type of service = 00”显示的是图3-12中的“服务类型”字段值，此处为十六进制的“00”，表示一般服务。
图
3-13 Sniffer 4.8
中的
IP
协议头示例
第4~9行为“服务类型”字段中8位中各位的值。对照本节前面IP协议头中的“服务类型”中8位取值定义可以知道具体的含义。第4行中的3位0值位为“过程”（routine）字段，全为0时，表示正常；第5行中的1位0值位为“延迟”（delay）字段，值为0时为正常延时（normal delay）；第6行中的1位0值位为“流量”（throughout）字段，值为0时为正常流量（normal throughtout）；第7行中的1位0值位为“可靠性”（reliability）字段，值为0时为正常可靠性（normal reliability）；第8行中的1位0值位为“显式拥塞指示传输字段”（ECN-Capable Transport）字段，值为0时为不支持ECN，传输协议将忽略CE位（tansport protocol will ignore the CE bit）；第9行中的1位0值位为“拥塞预警”（Congestion Experienced，CE）字段，值为0时为正常，不拥塞（no congestion）。
第10行的“Total length”为图3-12中的“包长”字段，显示的是IP数据包的总长，包括IP协议头和数据。这里显示的是40个字节，除去IP协议头的20个字节，可以得出，真正的数据大小为20个字节。
第11行的“Identification”为图3-12中的“标识”字段，当前IP包的标识为8430。
第12~14行为“Flage”为图3-12中的“标记”字段的描述。第12行为当前IP包中标记字段的结果，当前的值为十六进制的4X；第13行中1个1值位显示的是IP包能否再分段，当为0时可以分段，为1时不可能分段，本IP包值为1，表示不能再分段（Don’t fagment）；第14行中的1个0值位显示的是当前IP包是否是本次数据传输中的最后一个IP包，为0 表示为最后一个包，为1时表示后面还有IP包。此处值为0，表示此次传输中后面没有IP包了（last fagment）。
第15行的“Fragment offset”为图3-12中的“段偏移量”（FO）字段。此处显示的是0byte，表示没有偏移。
第16行的“Total to live”为图3-12中的“生存时间”（TTL）字段。这里显示的是每跳128秒。
第17行的“Protocol”为图3-12中的“协议”（PROT）字段。此处值为6，对照表3-1可知，传输该IP包的协议为TCP协议。
第18行的“Header checksum”为图3-12中的“首部校验和”字段。此处显示的是值为十六进制的866B，后面的correct表示校验正确。
第18行的“Source address”为图3-12中的“源地址”（SA）字段。指出当前IP包发出的主机IP地址，此处显示的是192.168.0.10，后面显示的是对应的主机名。
第18行的“Destinaion address”为图3-12中的“目的地址”（DA）字段。指出当前IP包发送到的目的主机IP地址，此处显示的是121.0.25.196。
第19行的“Options”为图3-12中的“选项”字段。此处后面的值为“No Options”，表示没有选项。
本文转自王达博客51CTO博客，原文链接http://blog.51cto.com/winda/87528如需转载请自行联系原作者
茶乡浪子
