1、在我自己 PC 机上面抓包的过程 1拓扑图在 R1 的 F 0/0 口抓包，R2 作为 DHCP 服务器分析，在 F 0/0 口抓包的过程，解析 DHCP 工作原理首先，PC 机向局域网发出一个广播，DHCP DISCOVER ，如图所示，在这个阶段，pc 机用源为 0.0.0.0 的 ip 向局域网发出广播；看下帧格式PC- DHCP ServerDHCP 使用的是 UDP 协议。它的二层源地址是：cc:00:0e:d0:00:00 目的地址：全 f 二层是广播那么我们看下，fa 0/0 口的信息R1#sh interfaces fa 0/0FastEthernet0/0 is up, li
2、ne protocol is up Hardware is AmdFE, address is cc00.0ed0.0000 (bia cc00.0ed0.0000)看这些就行了，它的源 mac 地址就是 fa 0/0 的 mac 地址;现在看下三层的信息PC 上没有 IP 地址，所以用 0.0.0.0 暂时作为 IP 地址发送广播，寻找 dhcp 服务器，其中携带了自己的 MAC 地址。这儿，可以看出，客户端发送的端口是 68 ，server 接收的端口是 67。它携带的信息有：源 Mac 地址，再看下这儿，也就是这个过程它的源 MAC 地址是 cc:01:0e:d0:00:00 目的地址是
3、广播地址：全 f。接下来，看下 r2 上 fa 0/0 的 mac，判断下它是不是从 r2 上发出的，也就是说它是不是从dhcp 服务器上发出的。R2#sh interfaces fa 0/0FastEthernet0/0 is up, line protocol is up Hardware is AmdFE, address is cc01.0ed0.0000 (bia cc01.0ed0.0000)现在，很清楚了，它是从 DHCP 服务器上发出的，DHCP 服务器发出这个有什么意义呢？它的源地址是 56.1.1.254，也就是网关地址，从服务器上发出的，目的地址是 56.1.1.1 。这
4、是一个 request，询问是否有 56.1.1.1 ，如果没有，继续下一步。然后，DHCP-Offer PC这个过程先看 2 层，源是 DHCP 服务器，目的地址是广播地址或者组播地址；然后看下三层，源是 56.1.1.254 目的是广播那么，它携带了那些信息呢?如图，DHCP 服务器的 IP 地址；消息类型，主机号，租用时间，续约时间，rebinding tme,掩码，网关，第三步，PC-REQUEST DHCP SERVER先看 2 层信息，源是 PC，目的是广播三层，源地址是：0.0.0.0 说明它还没有获得地址，目的是：255.255.255.255Request 携带的信息有：DH
5、CP 主机，要租用的 IP 地址，租期，主机名第四步，DHCP SERVER-ACK PC2 层信息，源地址：DHCP 目的：ff:ff:ff:ff:ff:ff3 层，源地址：56.1.1.254 目的：255.255.255.255至此，DHCP server 将 IP 地址分配给了 PC 机。这是一个无故 ARP用来告诉其他 PC，我是 56.1.1.1这个是有 PC 机发出的。无故（Gratuitous ARP，GARP）ARP 也称为无为 ARP。主机有时会使用自己的 IP 地址作为目标地址发送 ARP 请求。这种 ARP 请求称为无故 ARP，GARP ，主要有两个用途： （1）检查重复地址（如果收到 ARP 响应表明存在重复地址） 。 （2）用于通告一个新的数据链路标识。当一个设备收到一个 arp 请求时，发现 arp 缓冲区中已有发送者的 IP 地址，则更新此 IP 地址的 MAC 地址条目。 因为它不是经过其他主机的 ARP 请求广播后发出的 ARP 广播，所以叫无故 ARP，也有人叫免费 ARP。
