分片是分組交換的體現，也是IP協議解決的兩個主要問題之壹。IP協議中的分片算法主要解決不同物理網絡的最大傳輸單元(MTU)的差異所帶來的傳輸問題。但是在傳輸過程中不斷的對數據包進行分片和重組，會帶來大量的工作量，增加壹些不安全因素。在這篇小論文中，我們將討論IP碎片化的原因、原理、實現和安全問題。
壹、什麽是IP碎片化？
IP分片是在網絡上傳輸IP報文的壹種技術手段。在傳輸數據包時，IP協議將數據包分成幾個片段進行傳輸，並在目標系統中重新組裝。這個過程叫做碎片化。
二、為什麽IP碎片化？
每個物理網絡都會規定鏈路層數據幀的最大長度，稱為鏈路層MTU(最大傳輸單位)。在IP協議中，傳輸數據包時，如果添加數據幀頭後的IP數據報長度大於MTU，那麽數據包將被分割成若幹塊進行傳輸，並在目標系統中重新組裝。例如，在以太網環境中可以傳輸的最大IP消息大小(MTU)是1500字節。如果要傳輸的數據幀大小超過1500字節，即IP數據報長度大於1472(1500-20-8 = 1472，普通數據報)字節，則需要進行分片後再傳輸。
三、知識產權碎片化的原理及分析
分片重組的過程對傳輸層是透明的，因為IP數據報分片後，只有到達目的站才能重組，在目的地由IP層完成。分段的數據報也可以根據需要再次分段。
IP分片和完整的IP報文幾乎都有相同的IP頭，每個分片的ID字段都是壹致的，這樣在重組的時候就可以識別出來自同壹個IP報文的分片。在IP頭中，16位標識號唯壹記錄了壹個IP包的ID，具有相同ID的IP分片將被重新組裝；13切片偏移記錄了IP切片相對於整個分組的位置；這兩個表中間的3位標誌表示在這個片段之後是否有新的片段。這三個標誌構成了IP分片的所有信息(後面會介紹)，接收方可以利用這些信息重組IP數據。
1，標誌字段的作用
標誌字段在分段數據報中起著重要的作用。當數據報被分片時，其值被復制到每個分片的標誌字段的壹位稱為“無分片”位，壹位用來表示“更多分片”。對於除最後壹個數據報之外的每個數據報，該位應該設置為1。切片偏移字段指的是切片偏移原始數據報開頭的位置。此外，當數據報被分段時，每個分段的總長度值應改為該分段的長度值。如果標誌字段的位被設置為1，IP將不分段數據報。如果它需要在中間路由器上分段，它將丟棄數據報並向源主機發送ICMP不可達錯誤消息。如果不是特殊需要，不應該設置為1；最右邊的位1表示該消息不是最後壹個IP片段。故意發送壹些IP碎片而不是全部，會導致目標主機壹直等待碎片消耗和占用系統資源。壹些碎片化風暴攻擊就是基於這個原理。這裏以以太網為例。由於以太網傳輸的電氣限制，每個以太網幀的最小大小為64字節，最大大小為1518字節。扔掉以太網幀末尾的頭(DMAC目的MAC地址48bit=6Bytes+SMAC源MAC地址48 bit = 6 bytes+類型字段2bytes)14Bytes和CRC校驗部分4Bytes，那麽剩下來承載上層協議的地方，也就是數據字段，最多只能有1500Bytes，也就是上面提到的MTU的值。這也是網絡層協議非常關心的地方，因為網絡層的IP協議會根據這個值來決定是否對上層傳達的數據進行分片。就像壹個盒子裝不下壹大塊面包壹樣，我們需要把面包切成塊，放在多個盒子裏。
以下是IP報頭中標誌位的格式和每個標誌的含義:
識別
稀有
DF
中頻
片段偏移
r:保持不用；DF:不分片，“不分片”的那個位，如果這個位設置為1，IP層不會對數據報進行分片；MF: more fragment，“more fragments”，除了最後壹個片段，組成數據報的每隔壹個片段都要把比特設置為1；片段偏移:該片段從原始數據包的開始位置偏移。偏移的字節數是該值乘以8。
2.MTU原則
當兩臺遠程PC需要通信時，它們的數據需要經過許多路由器和各種網絡介質才能到達對端。網絡中不同介質的MTU是不壹樣的，就像壹段很長的水管，由不同粗細的水管組成(MTU不壹樣)。通過這壹段水管的最大水量由中間最小的水管決定。
對於網絡層的上層協議(這裏以TCP/IP協議族為例)，他們並不關心“水管”的粗細，他們認為這是網絡層的事情。網絡層IP協議將檢查來自上層協議的每個數據包的大小，並根據本地MTU的大小決定是否“分段”。碎片化最大的缺點是降低了傳輸性能。壹次能做的事情分多次做，所以在網絡層更高壹層(也就是傳輸層)的實現中往往會註意到這壹點！有些高層會問我，這個面包因為某種原因不能切片。我希望面包是完整的，所以我會在IP包頭加壹個標簽:DF(不要碎片)。這樣，當IP包在大斷面網絡(水管內部)傳輸時，如果MTU小於IP包，轉發設備會按要求丟棄該包。然後向發送方返回壹條錯誤消息。這往往會導致壹些通信問題，但幸運的是，大多數網絡鏈路的MTU都是1500或更高(只有X.25網絡中的576和點對點網絡中的296小於1500)。
對於UDP協議來說，這個協議本身就是壹個無連接的協議，它並不關心數據包的到達順序和是否正確到達，所以壹般的UDP應用對分片沒有特殊的要求。
TCP協議則不同，它是面向連接的協議。對於TCP協議來說，非常關心數據包的到達順序和傳輸中是否有錯誤。因此，壹些TCP應用程序需要分段-無分段(DF)。
3.MSS原理
Mss(最大信令大小)是TCP數據包壹次可以傳輸的最大數據段。為了達到最佳的傳輸效率，TCP協議通常在建立連接時協商雙方的MSS值。這個值在TCP協議實現時經常被MTU值代替(IP包頭的大小和TCP數據段的頭需要減去20個字節)，所以MSS值經常是1460。通信雙方將根據雙方提供的最小MSS值確定此次連接的最大MSS值。
當IP數據報被分片後，每個分片都成為壹個有自己IP頭的包，在選擇路由時獨立於其他包。這樣，當這些數據報到達目的地時，它們可能是無序的，但IP報頭中有足夠的信息供接收器正確組裝這些數據報。
雖然IP分片過程看似透明，但有壹點是人們不想用的，那就是即使只丟失壹段數據，也要重傳整個數據報。因為IP層本身沒有超時重傳機制——更高層負責超時和重傳(TCP有超時和重傳機制，UDP沒有。壹些UDP應用程序本身執行超時和重傳)。當TCP段中的壹個片段丟失時，TCP將在超時後重新發送整個TCP段，這對應於壹個IP數據報。沒有辦法只重發數據報中的壹個數據報。事實上，如果數據報是由中間路由器而不是始發系統分段的，那麽始發系統就無法知道數據報是如何分段的。由於這個原因，經常需要避免碎片化。
四、IP分片算法的原理
分片重組是IP層最重要的工作，其主要思想是:當壹個數據包從壹個網絡A進入另壹個網絡B時，如果原網絡的數據包長於另壹個網絡或接口的MTU長度，則需要進行分片(如果DF設置為1，則丟棄該數據包，並發回壹條ICMP不可達錯誤消息)。因此，在IP包的報頭中有幾個標識字段來指示分片包的相同標識號、分片的偏移量、是否是最後壹個分片以及是否允許分片。傳輸過程中的網關使用這些標識字段進行重新分片，這樣主機就可以將接收到的分片重新組裝起來恢復數據。因此，當壹個分片的數據包經過網絡監控設備、安全設備和系統管理設備時，需要對數據包進行分片或重組，以獲取信息和處理數據。
動詞 （verb的縮寫）IP碎片的安全問題
IP分段是壹種常用於在網絡上傳輸IP消息的技術，但存在壹些安全風險。在重組IP碎片的過程中，Ping of Death、teardrop等攻擊可能會導致壹些系統關閉或重啟。除了拒絕服務攻擊之外，壹些IP碎片攻擊經常被用作避開防火墻或網絡入侵檢測系統的手段。由於缺乏IP分段和重組，壹些路由器或基於網絡的入侵檢測系統(NIDS)無法執行正常的過濾或檢測。
介紹微小碎片攻擊:
微小碎片攻擊是指通過惡意操作發送微小碎片，繞過包過濾系統或入侵檢測系統的攻擊方式。攻擊者可以通過惡意操作將TCP頭(通常為20字節)分布在兩個片段中，使目的端口號包含在第二個片段中。對於包過濾設備或入侵檢測系統，首先通過判斷目的端口號來采取允許/禁止措施。但由於目的端口號通過惡意分片定位在第二個分片中，因此包過濾設備通過判斷第壹個分片來確定是否允許後續分片通過。但是這些碎片在目標主機上重組後會形成各種攻擊。這種方法可以繞過壹些入侵檢測系統和壹些安全過濾系統。目前，壹些智能包過濾設備直接丟棄報頭中不包含端口信息的片段。