分类: 系统运维
2008-11-05 13:22:43
traceroute 有使用两种:使用ICMP的和使用UDP的。Microsoft使用ICMP,所以win95上发出的traceRT应使用的是ICMP,但我没有用 sniffer查过;其它包括unix和cisco router都使用UDP.
ICMP traceroute:
===========
使用ICMP Echo Request, Echo Reply and TTL-expired.
源
发出 ICMP
Equest,第一个request的TTL为1,第二个request的TTL为2,以后依此递增直至第30个;中间的router送回ICMP
TTL-expired ( ICMP type 11)
通知source,(packet同时因TTL超时而被drop),由此source知晓一路上经过的每一个router;最后的destination
送回ICMP Echo Reply。
所以中间任何一个router上如果封了ICMP Echo Request,
traceroute就不能工作;如果封了type 11 (TTL-expired), 中间的router全看不到,但能看到packet
到达了最后的destination;如果封了ICMP Echo Reply,中间的全能看到,最后的destination看不到。
UDP traceroute:
==========
使用ICMP TTL-expired(type 11), ICMP port unreachable(type 3, code 3), UDP port >32768.
source
发出UDP packet, source port使用随机的任何大于32768的高段port#, destination port #
从33434开始每送个probe依此递增,直至33434+29,(cisco
router上使用extended-traceroute命令可以修改这个起始的33434 port #),
同时TTL从1开始依此递增,直至1+29=30(最多送30个probe)。中间的router送回 ICMP
TTL-expired,使得source得知了中间的每一个router,最后的destination送回TTL-expired 和ICMP
port unreachable (因为任何主机上都没有应用使用UDP port# >32768这样的高段port#)。
所以中间某处封掉UDP port>32768回导致traceroute不工作;封掉TTL超时会使source看不到中间的router(有的router根本不支持回送TTL超时);封掉type3, code3可能看不到destination.
另
外需要知道的是,由于回送TTL-expired的信息需要CPU生成一个packet,必须打断 CPU,为保证其它工作的正常进行,cisco
router每隔一秒才处理traceroute,所以在source 上你可能看到中间一路 * * *,但却看得到最后的destination.
这时你应知道这是中间的router CPU太忙或者中间路由器不回送TTL-expired包的原因,不必大惊小怪的。