Chapter 09 ARP 與 ICMP

本章提要 9-1 ARP 簡介 9-2 ARP 封包格式 9-3 ARP 工具程式 9-4 ICMP 簡介 9-5 各類型的 ICMP 封包

ARP 與 ICMP 在 TCP / IP 協定組合中, 屬於網路層的協定有 IP、ARP 與 ICMP 等 3 種。其中最主要的當然是 IP, 至於 ARP 與 ICMP 一般皆視為輔助 IP 的協定。 本章將依序介紹 ARP 與 ICMP 這 2 個協定, 以及相關的應用。

9-1 ARP 簡介 您還記得第 4 章介紹的 MAC 位址嗎？讓我們複習一下鏈結層與網路層位址的特性： 網路層在傳遞封包時, 必須利用網路層位址（例如：IP 位址）來識別目的裝置。

ARP 簡介 從上述特性我們可以得到以下推論：當網路層封包要封裝為鏈結層封包之前, 必須先取得目的裝置的 MAC 位址。以 IP 為例, 便是將取得 MAC 位址的工作交由 ARP （Address Resolution Protocol, 位址解析協定）來執行。 若以 OSI 模型來說明 ARP 的功能, 便是利用網路層位址, 來取得對應的鏈結層位址。

ARP 簡介 換言之, 如果網路層使用 IP, 鏈結層使用乙太網路, 當我們知道某項裝置的 IP 位址時, 便可利用 ARP 來取得對應的乙太網路 MAC 位址。 由於 MAC 位址是區域網路內傳送封包所需的識別資訊, 因此, 在傳送 IP 封包之前, 必然會使用 ARP 這個協定。

9-1-1 ARP 運作方式 以 IP 而言, 網路上每部裝置的 IP 與 MAC 位址的對應關係, 並未集中記錄在某個資料庫, 因此, 當 ARP 欲取得某裝置的 MAC 位址時, 必須直接向該裝置詢問。 ARP 運作的方式相當簡單, 整個過程是由 ARP 要求（ARP Request）與 ARP 答覆（ARP Reply）兩種封包所組成。為了方便說明, 我們假設有 A、B 兩部電腦。A 電腦已經知道 B 電腦的 IP 位址, 現在要傳送 IP 封包給 B 電腦, 因此必須先利用 ARP 取得 B 電腦的 MAC 位址。

ARP 要求 A 電腦廣播 ARP 要求封包給區域網路上所有的電腦。

ARP 要求 ARP 要求封包在鏈結層是屬於廣播封包（亦即乙太網路廣播封包）, 因此區域網路上的每一部電腦都會處理此一封包。A 電腦所送出的 ARP 要求封包除了記錄所要解析的 IP 位址（亦即 B 電腦的 IP 位址）外, 也會包含 A 電腦本身的 IP 位址與 MAC 位址。

ARP 答覆 區域網路內的所有電腦都會收到 ARP 要求封包, 並與本身的 IP 位址比對, 判斷自己是否為要求解析的對象。以上例而言, B 電腦為 ARP 要求的解析對象, 因此只有 B 電腦會送出回應的 ARP 答覆封包。 由於 B 電腦可從 ARP 要求封包中得知 A 電腦的 IP 位址與 MAC 位址, 因此 ARP 答覆封包不必再使用廣播的方式, 而是直接在乙太網路封包中, 指定 A 電腦的 MAC 位址為目的位址。

ARP 答覆 ARP 答覆封包中最重要的內容當然就是 B 電腦的 MAC 位址。A 電腦收到此 ARP 答覆封包後, 即完成 MAC 位址解析的工作。

ARP 的解析範圍 由於 ARP 在解析過程中, ARP 要求封包為乙太網路廣播封包, 而路由器會阻擋乙太網路廣播封包, 使該封包無法跨越到其它網路。因此 ARP 僅能解析同一網路內的 MAC 位址, 無法解析其他網路的 MAC 位址。

9-1-2 ARP 快取 由於 ARP 要求為鏈結層的廣播封包, 如果經常出現, 勢必造成區域網路的沉重負擔。為了避免此項問題, 在實作 ARP 時, 通常會加入 ARP 快取的設計。 快取的英文為『Cache』, 意思是將常用（或是預期將用到）的資料暫存在讀寫效率較佳的儲存區域, 以加速存取的過程。ARP 快取可將網路裝置的 IP / MAC 位址記錄在在本機電腦上（通常是儲存在記憶體中）。

ARP 快取 系統每次要解析 MAC 位址前, 便先在 ARP 快取中查看是否有符合的紀錄。若 ARP 快取中有符合的紀錄, 便直接使用；若 ARP 快取中找不到符合的紀錄, 才需要發出 ARP 要求的廣播封包。如此, 不僅加快位址解析的過程, 也可避免過多的 ARP 要求廣播封包。 ARP 快取所包含的紀錄, 依產生的方式, 可分為動態與靜態等兩種紀錄。

動態紀錄 當 ARP 完成每筆 IP / MAC 位址的解析後, 便會將結果儲存在 ARP 快取中, 供後續使用, 以避免重覆向同一對象要求位址解析。這些由 ARP 自動產生的紀錄即為動態紀錄。 以先前 A、B 電腦為例, 當 A 電腦經由 ARP 要求和 ARP 答覆取得 B 電腦的 MAC 位址後, 便將 B 電腦的 IP 位址與 MAC 位址儲存在 A 電腦的 ARP 快取中。

動態紀錄 ARP 快取的動態紀錄雖然可提高位址解析的效能, 但也可能產生問題。 以先前 A、B 電腦為例, 當 A 電腦的 ARP 快取中有 B 電腦 MAC 位址的紀錄時, 若 B 電腦故障、關機或更換網路卡, A 電腦因為無從得知, 仍然會依據 ARP 快取中的紀錄將封包傳送出去。這些封包傳送出去後不會有任何裝置加以處理, 就好像是丟到黑洞一樣有去無回, 此種現象稱為『網路黑洞』。

動態紀錄 為了避免此種情形發生, ARP 快取中的動態紀錄必須有一定的壽命時間, 超過時限的紀錄便會被刪除。

靜態紀錄 當使用者已知某裝置的 IP / MAC 位址的對應關係後, 可經由手動的方式將之加入 ARP 快取中, 此即為靜態紀錄。

9-2 ARP 封包格式 ARP 封包主要是記錄 IP 與 MAC 位址的相關資訊, 其包含的欄位如下：

ARP 封包格式

Hardware Type 長度為 2 Bytes, 指定硬體類型, 亦即資料連結層所用的技術。以乙太網路為例, Hardware Type 欄位值應為 1。下表列出一些常見的 Hardware Type 欄位值：

Protocol Type 長度為 2 Bytes, 指定網路層所使用的協定, 一般即是 IP, 其欄位值為 2048, 若以 16 進位表示則為 0 x 0800。

Hardware Address Length 長度為 1 Byte, 指定 MAC 位址的長度。以乙太網路為例, 其 MAC 位址長度為 6 Bytes, 因此 Hardware Address Length 欄位值為 6。 此欄位值也決定了後續 Sender Hardware Address 與 Target Hardware Address 的長度。

Protocol Address Length 長度為 1 Byte, 網路層協定所用的位址長度。 若 Protocol Type 為 2048（IP）, 由於 IP 位址長度為 4 Bytes, 因此 Protocol Address Length 欄位值為 4。 此欄位值也決定了後續 Sender Protocol Address 與 Target Protocol Address 的長度。

Operation 長度為 2 Bytes, 指定 ARP 封包的類型, 最常見的即是 request 與 reply 兩種類型：

Sender Hardware Address ARP 封包來源端的 MAC 位址, 以乙太網路為例, 即為 6 Bytes 的 MAC 位址。

Sender Protocol Address ARP 封包來源端的所用協定的位址, 以 IP 為例, 即為 4 Bytes 的 IP 位址。

Target Hardware Address ARP 封包目的端的 MAC 位址, 以乙太網路為例, 即為 6 Bytes 的 MAC 位址。若是 ARP request 封包, 因為還不知道目的端的 MAC 位址, 因此 Target Hardware Address 欄位址為 000000000000。

Target Protocol Address ARP 封包目的端所用協定的位址, 以 IP 為例, 即為 4 Bytes 的 IP 位址。

ARP 封包的長度 ARP 封包的長度並不固定, 因為不同的網路層與鏈結層, 所使用的位址長度都不同。若以網路層使用 IP、鏈結層使用乙太網路為例, 則 ARP 封包的長度應該為 28 Bytes。 在眾多協定的封包當中, ARP 封包的結構算是比較簡單, 因此我們只擷取一個 ARP 要求封包, 用來驗證上述的文字說明：

ARP 封包的長度

9-3-1 ARP Windows 98 / XP 提供了 ARP.EXE 這個工具程式, 方便使用者檢視與編輯 ARP 快取的內容。 刪除紀錄 新增紀錄

檢視 ARP 快取中的紀錄 您可以利用 ARP.EXE 檢視 ARP 快取中目前的紀錄。 語法如下：

檢視 ARP 快取中的紀錄 請參考以下範例：

檢視 ARP 快取中的紀錄 Internet Address 欄位代表解析對象的 IP 位址, Physical Address 欄位為解析所得的 MAC 位址, Type 欄位則是代表此紀錄產生的方式。 若是動態紀錄, Type 欄位值為 dynamic；若是靜態紀錄, Type 欄位值為 static。

刪除紀錄 刪除 ARP 快取紀錄的語法如下： 請參考以下範例：

刪除紀錄

新增紀錄 在 ARP 快取中新增一筆靜態紀錄的語法如下：

新增紀錄 請參考以下範例：

9-4 ICMP 簡介 IP 在傳送封包時, 只是單純的將 IP 封包送出即完成任務。在傳送過程中若發生問題, 則是由上層的協定來負責確認、重送等工作。 但是, 在 IP 路由的過程中若發生問題, 例如：路由器找不到合適的路徑, 或無法將 IP 封包傳送出去, 則勢必需要某種機制, 將此狀況通知 IP 封包的來源端。這時候便會用到 ICMP（Internet Control Message Protocol）這個協定。

ICMP 簡介 ICMP 屬於在網路層運作的協定, 一般視為是 IP 的輔助協定, 常用來『報告錯誤』。換言之, 在 IP 路由的過程中, 若主機或路由器發現任何異常, 便可利用 ICMP 來傳送相關的資訊。不過, 請讀者特別注意, ICMP 只負責報告問題, 至於要如何解決問題則不是 ICMP 的管轄範圍。 除了路由器或主機可利用 ICMP 來報告問題外, 網管人員也可利用適當的工具程式發出 ICMP 封包, 以便測試網路連線或排解問題等等。

9-4-1 ICMP 封包的封裝方式 ICMP 封包實際上是以 IP 封包的形式在網路上傳送。因此, ICMP 封包的外層必須以如下方式來包裝：

9-4-2 ICMP 封包的欄位格式 ICMP 封包可分為以下兩部份： 每個 ICMP 封包都會有 ICMP 表頭, 其中包含了 3 個固定長度的欄位：Type、Code 與 Checksum。至於 ICMP 資料的部份, 則會隨著 ICMP 封包的類型而異。

Type（類型） 長度為 1 Byte。本欄位定義了 ICMP 封包的類型, 每一種類型會有不同的功能。後文會針對數種常見的類型, 詳細說明其功能。

Type（類型）

Code（代碼） 長度為 1 Byte。 每種 ICMP 封包類型可再根據 Code 欄位細分為各種不同的用途。例如：Destination Unreachable 類型的 ICMP 封包便利用 Code 欄位值來區分無法傳遞 IP 封包的各種情況。 不過, 大部份 ICMP 封包類型（Type）只定義了一種 Code 欄位值。

Checksum（錯誤檢查碼） 長度為 2 Bytes, 記錄了 ICMP 封包的錯誤檢查碼。

ICMP 資料 ICMP 資料會隨著 Type 欄位值, 定義不同的欄位。

9-5 各類型的 ICMP 封包 9-5-1 回應要求與回應答覆 9-5-2 無法送達目的 9-5-3 降低來源端傳送速度 9-5-4 重新導向 9-5-5 傳送逾時

9-5-1 回應要求與回應答覆 回應要求與回應答覆（Echo Request / Echo Reply）可說是最常見的 ICMP 封包類型, 可用來排解網路問題, 包括 IP 路由的設定、網路連線等等。 回應要求與回應答覆必須以配對的方式來運作：

回應要求與回應答覆

回應要求與回應答覆 1. A 主動發出回應要求封包給 B。 2. B 收到回應要求後, 被動發出回應答覆封包給 A。 由於 ICMP 封包都是包裝成 IP 封包的形式來傳送, 因此, 若能完成上述步驟, A 便能確認以下事項： B 裝置存在, 且運作正常。 A、B 之間的網路連線狀況正常。 A、B 之間的 IP 路由正常。

回應要求與回應答覆 回應要求與回應答覆的 ICMP 表頭為：

回應要求與回應答覆 回應要求與回應答覆的 ICMP 資料包含了Identifier、Sequence Number、Optional Data 等 3 個欄位：

Identifier 長度為 2 Bytes, 作為識別之用。 Identifier 欄位由 Echo Request 來源端裝置的程式（例如：上例 A 電腦的 PING 程式）所決定。 以 Windows XP 的 PING 工具程式為例, 所發出 Echo Request 的 Identifier 值皆固定為 512；Linux 版本的 PING 工具程式則沒有固定值, 但同一次執行時所發出的 Echo Request 具有相同的 Identifier 值。

Identifier 當接收端（例如：上例 B 電腦）收到 Echo Request 後, 所回應 Echo Reply 的 Identifier 欄位值必須與收到的 Echo Request 相同。

Sequence Number 長度為 2 Bytes, 用來記錄序號。 Sequence Number 欄位由 Echo Request 來源端裝置的程式所決定。 以 Windows XP 的 PING 工具程式為例, 每次發出 Echo Request 的 Sequence Number 值會遞增 256。 例如：第一次發出 Echo Request 的 Sequence Number 若為 1, 第二次發出 Echo Request 的 Sequence Number 便為 257, 第三次發出 Echo Request 的 Sequence Number 便為 513, 依此類推。

Sequence Number 當裝置收到 Echo Request 後, 所發出的 Echo Reply 的 Sequence Number 欄位值必須與收到的 Echo Request 相同。 由於 Echo Request 與 Echo Reply 有配對的關係, Identifier 與 Sequence Number 兩個欄位合起來可識別特定配對的 Echo Request 與 Echo Reply。

Optional Data 本欄位由 Echo Request 來源端裝置的程式所決定, 可記錄一些選擇性的資料。 當裝置收到 Echo Request 後, 所發出的 Echo Reply 的 Optional Data 欄位值必須與收到的 Echo Request 相同。 來源端收到 Echo Reply 後, 會讀取 Optional Data 欄位, 確認此為配對的 Echo Reply。

9-5-2 無法送達目的 無法送達目的（Destination Unreachable）也是常見的 ICMP 封包類型。 在路由過程中若出現下列問題, 路由器或目的裝置便會發出此類型的 ICMP 封包, 通知 IP 封包的來源端。 路由器無法將 IP 封包傳送出去。例如：在路由表中找不到合適的路徑, 或是連線中斷而無法將封包從合適的路徑傳出。 目的裝置無法處理收到的 IP 封包。例如：目的裝置無法處理 IP 封包內所裝載的傳輸層協定。

無法送達目的 無法送達目的的 ICMP 表頭為：

無法送達目的 Code 欄位值可從 0 至 12, 以下僅舉例說明 3 個較常見的值： 0, Network Unreachable：路由器收到 IP 封包後, 在路由表中若找不到合適的路徑, 便會發出 Network unreachable 的訊息給 IP 封包的來源端裝置。

無法送達目的 1, Host unreachable：路由器收到 IP 封包後, 若目的位址與路由器在同一個 IP 網路上, 但路由器無法將 IP 封包傳送給目的裝置（目的裝置未回應路由器的 ARP Request）, 便會發出 Host unreachable 的訊息給 IP 封包的來源端裝置。 2, Protocol unreachable：當 IP 封包送達目的裝置後, 若目的裝置無法處理 IP 封包表頭中 Protocol 欄位所指定的協定, 便會發出 Protocol unreachable 的訊息給 IP 封包的來源端裝置。

無法送達目的 無法送達目的的 ICMP 資料欄位有Unused 和 IP 表頭與 Payload 兩個欄位：

Unused 長度為 4 Bytes。本欄位未定義用途, 欄位內容必須為 0。

IP 表頭與 Payload 當路由器或目的裝置要發出無法送達目的的封包時, 會將問題封包的 IP 表頭（長度不定）, 以及 IP Payload 的前 8 Bytes 寫入本欄位。 IP 封包來源端（也就是發出問題封包的電腦）收到無法送達目的封包後, 可根據本欄位的資訊, 得知是哪一個 IP 封包有問題, 並據此決定因應的措施。

9-5-3 降低來源端傳送速度 當路由器因為來往 的 IP 封包太多, 以致於來不及處理時, 便會發出降低來源端傳送速度（Source Quench）的 ICMP 封包給 IP 封包的來源端裝置。 在正式文件中並未規定路由器發出降低來源端傳送速度的條件。 在實作時, 廠商通常是以路由器的 CPU 或緩衝區的負荷作為衡量標準, 例如：路由器的緩衝區使用量到達 85 % 時, 便發出降低來源端傳送速度封包。

降低來源端傳送速度 降低來源端傳輸速度的 ICMP 表頭為：

降低來源端傳送速度 降低來源端傳輸速度的 ICMP 資料包含了Unused 和 IP 表頭與 Payload 等 2 個欄位： 這兩個欄位的內容與長度與無法送達目的相同。

9-5-5 傳送逾時 我們在第 8 章曾經說明 IP 表頭記錄了封包的存活時間, 其主要功能是為了防止 IP 封包在不當的路由架構中永無止境地傳送。 當路由器收到存活時間為 1 的 IP 封包時, 會將此 IP 封包丟棄, 然後送出傳送逾時（Time Exceeded）的 ICMP 封包給 IP 封包的來源裝置。

傳送逾時 此外, 當 IP 封包在傳送過程中發生切割時, 必須在目的裝置重組切割後的 IP 封包。重組的過程中若在指定的時間內未收到全部切割後的 IP 封包, 目的裝置也會發出傳送逾時的 ICMP 封包給 IP 封包的來源裝置。

傳送逾時 傳送逾時的 ICMP 表頭為：

傳送逾時 Code 欄位值可為 0 或 1, 請參考以下說明： 0, TTL count exceeded：當路由器收到 TTL 值為 1 的 IP 封包時, 便會發出此訊息給 IP 封包的來源端裝置。 1, Fragment reassembly time exceeded：IP 封包目的裝置重組 IP Fragment 時, 若在指定的時間內未收到全部的 IP Fragment, 便會發出本訊息給 IP 封包的來源端裝置。

傳送逾時 傳送逾時的 ICMP 資料包含了 Unused 與 IP 表頭與 Payload 等 2 個欄位：

Unused 長度為 4 Bytes。本欄位未定義用途, 欄位內容必須為 0。

IP 表頭與 Payload 當路由器或目的裝置要發出傳送逾時的封包時, 會將問題封包的 IP 表頭, 以及 IP Payload 的前 8 Bytes 寫入本欄位, 提供 IP 封包來源端額外的資訊。

9-6 ICMP 工具程式 大部份作業系統都會提供一些 ICMP 工具程式, 方便使用者測試網路連線狀況。以下便以 Windows 作業系統為例, 介紹數種常見的 ICMP 工具程式。

9-6-1 PING PING 工具程式可用來發出 ICMP 回應要求封包。網管人員可利用 PING 工具程式, 發出回應要求給特定的主機或路由器, 以診斷網路的問題。

利用 PING 來診斷網路問題 當您發現網路連線異常時, 可參考下列步驟, 利用 PING 工具程式, 由近而遠逐步鎖定問題所在。 2. ping 本機 IP 位址 3. ping 對外連線的路由器 4. ping 網際網路上電腦的 IP 位址 5. ping 網際網路上電腦的網址

1. ping 127.0.0.1 127.0.0.1 是所謂的 Loopback 位址（請參考第 8 章）。 此一動作主要是用來測試本機的 TCP / IP 協定是否正常運作。

2. ping 本機 IP 位址 若步驟 1 中本機 TCP / IP 設定正確, 接下來可試試看網路裝置是否正常。若網路裝置有問題（例如：舊型網路卡的 IRQ 設定有誤）, 則不會回應。

3. ping 對外連線的路由器 也就是 PING『預設閘道』（在Windows 98 稱為『通訊閘』）的 IP 位址。若成功, 代表內部網路與對外連線的路由器正常。

4. ping 網際網路上電腦的 IP 位址 您可以隨便找一台網際網路上的電腦, PING 它的 IP 位址。如果有回應, 代表 IP 設定全部正常。

5. ping 網際網路上電腦的網址 您可以隨便找一台網際網路上的電腦, PING 它的網址, 例如：www.hinet.net.（Hinet 的 WWW 伺服器）。如果有回應, 代表 DNS 設定無誤。

PING 的語法與參數 PING 的語法如下： PING 的參數相當多, 以下僅說明較常用的參數：

PING 範例 若要讓 PING 執行 DNS 反向查詢：

PING 範例 利用 -w 參數, 可以延長等待回應答覆的時間。

PING 範例

9-6-2 TRACERT TRACERT（Trace Route）工具程式可找出本機電腦至目的 IP 位址所經過的路由器。

TRACERT 原理

TRACERT 原理 首先假設如下的網路環境： 若從 A 主機執行 TRACERT, 並將目的地設為 B 主機, 則 TRACERT 會利用以下步驟, 找出沿途所經過的路由器： 1. 發出回應要求封包, 該封包的目的地設為 B, 存活時間設為 1。為了方便說明, 我們將所有封包都加以命名, 此封包命名為『回應要求 1』。

TRACERT 原理 2. R1 路由器收到『回應要求 1』後, 因為存活時間為 1, 因此會丟棄此封包, 然後發出『傳送逾時 1』給 A。 3. A 收到『傳送逾時 1』之後, 便可得知到 R1 為路由過程中的第一部路由器。接著, A 再發出『回應要求 2』, 目的地設為 B, 存活時間設為 2。

TRACERT 原理 4.『回應要求 2』會先送到 R1, 然後再轉送至 R2。到達 R2 時, 『回應要求 2』的存活時間為 1, 因此, R2 會丟棄此封包, 然後傳送『傳送逾時 2』給 A。 5. A 收到『傳送逾時 2』之後, 便可得知到 R2 為路由過程中的第二部路由器。接著, A 再發出『回應要求 3』, 目的地設為 B, 存活時間設為 3。

TRACERT 原理 6.『回應要求 3』會經由 R1、R2 然後轉送至 B。B 收到此封包後便會回應『回應答覆 1』給 A。

TRACERT 原理

TRACERT 的語法與參數 TRACERT 的語法如下： 以下為 TRACERT 常用的參數：

TRACERT 範例 以下我們不使用任何參數, 利用 TRACERT 找出至目的主機沿途所經的路由器。

TRACERT 範例 TRACERT 的結果顯示了以下資訊： 由近到遠, 顯示沿途所經的每部路由器。以上範例顯示, 從來源端主機至 168.95.192.1 主機必須經過 8 部路由器。 顯示每部路由器回應的時間。由於 TRACERT 會傳送 3 個回應要求封包給每部路由器, 因此會有 3 個回應時間。

9-7 擷取 ICMP 封包 接下來我們將利用 NetAnalyzer, 在執行 PING 與 TRACERT 時, 擷取過程中所有的封包。

9-7-1 PING 首先我們在 192.168.0.40 這部主機上開始擷取封包, 然後執行 PING 工具程式, 目的主機為 192.168.0.140。 在 NetAnalyzer 中利用設定過濾器功能, 只擷取 ICMP 的封包。以下依序說明檢視前兩對 Echo Request / Echo Reply 封包的情形。

PING

PING Type = 8、Code = 0, 代表此為 Echo Request 封包。 錯誤檢查碼。 Windows 2000 的 PING 工具程式, Identifier 欄位皆為 512。 每個 Echo Request 封包的 Sequence Number 都不一樣, 每次遞增 256。 32 Bytes 的 Optional Data 欄位。

9-7-2 TRACERT 我們仍舊在 192.168.0.40 這部主機上擷取封包, 然後執行 TRACERT 工具程式, 目的主機為 www.hinet.net（IP 位址為 168.95.1.88）：

TRACERT

TRACERT 由以上結果可以得知： 封包從 192.168.0.40 出發到達 168.95.1.88, 總共經過 10 部路由器（編號 1～10 為路由器, 編號 11 為目的主機）。 第 7 部路由器收到 Echo Request 封包後, 在 TRACERT 的等待期限內沒有回應, 因此以 * 代表回應時間。

TRACERT tracert 對每個節點發出 3 個 Echo Request 封包, 每個節點應該回覆 3 個封包, 總計有 11 個節點（10 部路由器 + 目的主機）發出封包, 所以總共應擷取到 66個封包。但是因為第 7 部路由器沒有回覆, 少了 3 個封包, 所以擷取的封包總數為 63 個。 我們將檢視第 1 個 Echo Request 與第 1 個 Time Exceeded 封包, 以及最後 1 個 Echo Request 與 Echo Reply 封包。