Tracert命令作为一个路由跟踪、诊断实用程序，在DOS和Unix系统下都有此命令，它通过发送Internet控制消息协议 (ICMP) 回显请求和回显答复消息，产生关于经过每个路由器的命令行报告输出，从而跟踪路径。该程序是网管必备的TCP/IP工具之一，经常被用于测试网络的连通性，确定故障位置。因此，我们有必要通过对Tracert路由跟踪数据包的精确解析，完整了解Tracert命令的运行过程。

数据包的捕获

1．网络环境如图1所示。

 

 

图1

2．捕获工具Sniffer pro过滤器设置步骤：

我们知道Tracert命令是ICMP协议实现原理的具体应用，因此要捕获Tracert运行后产生的数据包,只须设置过滤器捕获ICMP流量即可，过滤器如图2所示。

 

 

图2

（1） 选择“Capture”—— “Define Filter”。

（2） 选择“Profiles”，在Captuer Profiles窗口中选择“New”

（3） 选择ICMP作为文件的名字。因为Sniffer pro已经有一个只过滤ICMP的文件，所以你可以选择“Copy Sample Profile”, 选择IP/ICMP，点击OK。

（4） 当然你还需要在Define Filter窗口中定义“address”，捕获本机与任何主机的ICMP流量。

3．运行Sniffer Pro，点击F10键开始捕获过程，在本机打开一个CMD窗口，发送TRACERT -d 10.4.153.165（使用带有-d选项的 tracert命令时，TRACERT将不会对每个IP地址执行 DNS查找。如图3所示），命令运行结束后，按F9停止捕获，选择“Decode”，显示捕获的数据包，如图4所示。

 

 

图3

 

 

图4

数据包解析

从捕获的数据报，我们可以看到Tracert命令是如何使用IP生存时间(TTL)字段和ICMP错误消息，确定一个主机到网络上其他主机的路由。IP包头的TTL（Time to Live）字段，是由发送端初始设置的一个8bit字段，它指出数据包的有效时间，即生存周期。每个处理数据报的路由器都需要把TTL值减1或减去数据报在路由器中的停留秒数。由于大多数的路由器转发数据报的时延都小于1秒钟，因此TTL最终成为一个跳站的计数器，按照ICMP协议的有关规定，当路由器收到一份数据报，如果其TTL字段是0或1，则路由器丢弃该数据报，并给源主机发送一份ICMP“超时”信息。Tracert命令正是据此发现路由器、确定路由的。

下面我们来对数据包逐帧解析，体会Tracert命令的工作过程。

帧1：主机A（10.4.152.16）向主机B（10.4.153.165）发送一个信息类型为8，代码为0的ECHO请求包。IP包头的TTL值为1，如图5所示。

 

 

图5

帧2：由于目的主机在另一个网段，因此数据包被发往本地网关路由器A（10.4.152.254）,路由器A收到主机A发来的的ECHO请求包后，返回了一个一个类型为11，代码为0的ICMP包。回复“超时”（Time to live exceeded in transit），如图6所示。

 

 

图6

从这两帧我们可以看到， 主机A首先发送TTL为1的回显数据包，路径上第一个路由器A（10.4.152.254）在转发数据包之前将数据包上的TTL递减 1，当数据包上的TTL减为0时，路由器丢弃该数据包，并将“ICMP Time Exceeded”（超时）的消息发回源主机A，由此，发现路径上的第一个路由器。

主机A为了获得往返延迟时间的信息，在这一跳发送了三个TTL都为1、长度、目标地址相同的报文（帧1、帧3、帧5），路由器A依次丢弃这三个报文，并向主机A发送“超时”消息（帧2、帧4、帧6）。

帧7：主机A（10.4.152.16）向目标主机B(10.4.153.165)发送TTL值为2的回显数据包。

帧8：路由器B（10.4.147.82）路由器B向源主机（主机A）发送一个“ICMP Time Exceeded（超时）”数据包。9 7 3 1 2 4 8 :