《Wireshark协议分析基础与提升》第二季 TCPIP协议栈详解(上)

很多人用 Wireshark 抓过包，但抓完就卡住了：窗口里一列列十六进制看得懂中文，却看不出问题出在哪。ping 不通，你能看到请求发出去了，但回包有没有、在哪一跳丢的、是 ARP 没解析还是 ICMP 被拦，说不清楚。这门课要补的，就是这层「看得见但读不懂」的缺口。

先搞清楚：你缺的不是抓包工具，是协议细节

Wireshark 本身不难，难的是你脑子里得先有「正常的包长什么样」。第二季上篇把范围收在 TCP/IP 协议栈最底下那几层：以太网、IP、ARP、ICMP、DHCP。这几个协议是后面讲 TCP、HTTP 的地基，地基不牢，往上抓包全靠猜。

这门课不直接教你「点哪个按钮过滤」，而是先让你手动画出协议结构，再回到抓包窗口里逐字段对。比如一个以太网帧的头部哪些字段在什么情况下会变、IP 头里的 TTL 每经过一跳减一到底减在哪、分片时 MF 标志和片偏移怎么配合，这些在教材里是文字，在抓包里是活的数据。软考网络方向考协议时，考的就是这些字段的取值和含义，死记容易混，看着实际包记会稳很多。

实验环境是自己搭的，不是看别人演示

课程用 GNS3 搭拓扑，这意味着你能自己造出「只有两台路由器、故意配错掩码」这种场景，然后抓包看 ARP 请求发给了谁、广播域里有没有回应。21 个分解实验基本都围绕「制造一个异常，再解释异常」来设计：

• ARP 请求与应答的完整交互，以及免费 ARP、ARP 欺骗时抓包长什么样；
• ICMP 的几种类型，ping 和 traceroute 分别靠哪些报文工作，TTL 超时是怎么被触发的；
• DHCP 的 DORA 四步流程，地址租约、续租、释放时各自有哪些报文；
• IP 分片与重组，什么时候会分片、抓包界面如何把它们拼回去看。

这些实验的价值在于：你抓到的不是厂商给的示例文件，而是自己刚制造出来的流量，错了能立刻改配置重抓，因果关系最清楚。

原创图解解决的是「脑补不出结构」的问题

协议分析的卡点常常是空间想象力——报文一层套一层，字段之间还有长度和偏移的依赖关系。课程里用 Visio 画的原创原理图，作用是把封装、解封装、字段偏移这类抽象过程画成一张能盯着看的图。看的时候建议对照抓包窗口同步看：图里标了 TTL，就去包里找 TTL 那一行；图里标了 DHCP 的 Option 字段，就在包里展开对应选项。图和包对得上，记忆才落地。

30 个课时不算短，但拆得比较细，每个协议基本是「理论结构 → 实验制造流量 → 抓包逐字段验证」这个节奏。如果时间紧，可以按协议跳着看，但建议 Ethernet 和 IP 这两块别跳，后面所有分析都建立在对这两层的熟悉度上。

看完你应该能回答这些问题

判断有没有学进去，不看你看完了多少课时，看你能不能答上来：

• 同一个局域网里两台主机通信，为什么先要有 ARP，没有 ARP 表会怎样？
• ping 一个外网地址，抓包时你会先看到哪类报文，再看到哪类，顺序说明了什么？
• 一个 IP 包被分片，抓包窗口里怎么确认它们是同一个原始包，靠哪几个字段？
• 主机开机拿到 IP 地址，DHCP 四个报文里，哪个是广播、哪个是单播，为什么？
• ICMP 除了 ping，还有哪些常见类型会在排障时出现，分别代表什么情况？

如果这几个问题你能对着抓包结果讲清楚，这一季的上半部分就到位了。答不上来也别急着往下走——TCP 和上层协议只会让问题更绕，底层没理清，越学越像背命令。缺什么补什么，这门课适合正在准备软考网络部分、或者转岗后天天跟抓包打交道却发现看不懂底层的人，先把自己卡在哪一层弄清楚，再决定从哪一集开始看。