点赞 点赞 0
评论 0
书签 书签 2

TCP/IP 五层模型实战：从 Wireshark 抓包到 3 个协议栈交互分析

原创 于 2026-07-05 12:20:47 发布 · 178 阅读 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
cknow-ai 代码可运行

TCP/IP五层模型实战：从Wireshark抓包到协议栈交互深度解析

1. 五层模型与Wireshark的完美结合

当我们打开浏览器访问一个网站时，背后隐藏着一场精密的协议交响乐。TCP/IP五层模型——应用层、传输层、网络层、数据链路层和物理层——就像五个配合默契的乐手，各自演奏却又浑然一体。Wireshark作为这场音乐会的"录音设备"，能让我们捕捉到每个协议层的真实表现。

为什么选择Wireshark？ 这款开源网络协议分析器就像网络工程师的"显微镜"，可以：

  • 实时捕获网络流量
  • 解码数百种协议
  • 可视化协议交互过程
  • 提供强大的过滤和统计功能

在开始抓包前，我们需要做好以下准备： 

# 安装Wireshark（Linux示例）
sudo apt update
sudo apt install wireshark
sudo usermod -aG wireshark $USER  # 将当前用户加入wireshark组

提示：生产环境抓包需谨慎，避免捕获敏感数据。建议在测试环境练习时使用HTTPS等加密协议保护隐私信息。

2. ARP协议：网络世界的"问路"机制

当我们在Wireshark过滤栏输入 arp ，看到的不仅是简单的地址解析请求，更是一个局域网内的"社交网络"。ARP协议的工作流程就像在陌生派对上找人：

  1. 主机A查看本地ARP缓存（ arp -a 命令可查看）
  2. 若无目标MAC记录，广播ARP请求（目标MAC为FF:FF:FF:FF:FF:FF）
  3. 目标主机B单播回复ARP响应
  4. 主机A更新ARP缓存表

Wireshark实战观察点 ：

  • ARP请求是广播帧，目的MAC全F
  • ARP响应是单播帧
  • 操作码1表示请求，2表示响应
  • 免费ARP（Gratuitous ARP）的特殊用途

ARP报文结构示例：

字段 长度 说明
硬件类型 2字节 1表示以太网
协议类型 2字节 0x0800表示IPv4
硬件地址长度 1字节 通常为6（MAC地址长度）
协议地址长度 1字节 通常为4（IPv4地址长度）
操作码 2字节 1为请求，2为响应
发送方MAC 6字节 源MAC地址
发送方IP 4字节 源IP地址
目标MAC 6字节 目的MAC地址（请求时为0）
目标IP 4字节 目的IP地址

3. TCP三次握手：可靠的连接建立艺术

在Wireshark中输入 tcp.flags.syn==1 or tcp.flags.ack==1 ，你会看到TCP连接的"礼貌问候"。三次握手不仅是技术需求，更是网络可靠性的基石。

深入握手细节 ：

  1. SYN（同步序列号） ：客户端随机生成初始序列号（ISN），如Seq=100
  2. SYN-ACK ：服务器确认客户端序列号（ACK=101），同时发送自己的ISN（如Seq=500）
  3. ACK ：客户端确认服务器序列号（ACK=501）

Wireshark观察技巧 ：

  • 注意相对序列号选项（默认启用）
  • 观察Window size字段的协商过程
  • 检查MSS（Maximum Segment Size）选项
  • 关注TCP时间戳选项（如有）

TCP头部关键字段解析： 

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Source Port          |       Destination Port        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                        Sequence Number                        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Acknowledgment Number                      |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|  Data |           |U|A|P|R|S|F|                               |
| Offset| Reserved  |R|C|S|S|Y|I|            Window             |
|       |           |G|K|H|T|N|N|                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|           Checksum            |         Urgent Pointer        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Options                    |    Padding    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                             data                              |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

4. HTTP协议：应用层通信的透明窗口

使用过滤器 http ，我们可以直观看到网页加载的秘密对话。现代HTTP/1.1的持久连接机制使得一个TCP连接可以传输多个资源，显著提高了效率。

HTTP请求/响应关键点 ：

  • 请求方法（GET/POST等）和状态码
  • Host头字段（虚拟主机支持）
  • Content-Type和Content-Length
  • Connection: keep-alive
  • Transfer-Encoding: chunked

HTTPS的特殊性 ：

  • 端口通常是443
  • 应用层数据被加密
  • 可观察TLS握手过程（过滤 ssl ）

HTTP报文示例： 

GET /index.html HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/5.0
Accept: text/html,application/xhtml+xml
Accept-Language: en-US,en
Connection: keep-alive

HTTP/1.1 200 OK
Date: Mon, 23 May 2022 22:38:34 GMT
Server: Apache/2.4.1 (Unix)
Last-Modified: Wed, 08 Jan 2022 13:24:52 GMT
Content-Length: 438
Content-Type: text/html; charset=UTF-8

<!DOCTYPE html>
<html>
<head>
    <title>Example Domain</title>
...

5. 五层协议交互全景图

通过Wireshark的"Follow TCP Stream"功能，我们可以完整观察一个HTTP请求如何在各层封装：

  1. 应用层 ：HTTP请求文本
  2. 传输层 ：添加TCP头（源/目的端口、序列号等）
  3. 网络层 ：添加IP头（源/目的IP、TTL等）
  4. 数据链路层 ：添加以太网头（源/目的MAC）
  5. 物理层 ：转换为电信号/光信号传输

协议封装过程示意图： 

+---------------------+
| HTTP请求            | 应用层数据
+---------------------+
| TCP头               | 传输层封装
+---------------------+
| IP头                | 网络层封装
+---------------------+
| 以太网头            | 数据链路层封装
+---------------------+
| 电信号/光信号       | 物理层传输
+---------------------+

6. 实战案例：网页加载全流程分析

让我们跟踪一个典型网页加载过程：

  1. DNS解析 ：过滤 dns ，观察域名到IP的转换
  2. TCP连接 ：三次握手过程
  3. TLS协商 （HTTPS）：ClientHello、ServerHello等
  4. HTTP请求 ：GET/POST等请求方法
  5. 资源加载 ：多个并行TCP连接或HTTP/2流
  6. 连接终止 ：四次挥手或RST

关键性能指标：

  • DNS解析时间
  • TCP连接建立延迟
  • TLS握手时间
  • TTFB（Time To First Byte）
  • 资源加载并行度

7. 高级分析技巧与故障排查

Wireshark高级功能 ：

  • IO图表分析吞吐量
  • 专家信息识别异常
  • 流图可视化（Statistics > Flow Graph）
  • 协议分层统计（Statistics > Protocol Hierarchy）

常见问题排查 ：

  • TCP重传： tcp.analysis.retransmission
  • 零窗口： tcp.window_size == 0
  • 连接拒绝： tcp.flags.reset == 1
  • 慢速应用：观察ACK延迟

网络性能优化点 ：

  • TCP窗口缩放选项
  • 选择性确认（SACK）
  • 时间戳选项
  • 初始拥塞窗口大小

8. 安全视角下的协议分析

从安全角度看协议交互：

ARP欺骗检测 ：

  • 同一IP对应多个MAC
  • 异常ARP响应

TCP安全考量 ：

  • ISN随机性
  • SYN Flood攻击特征
  • 异常RST包

HTTP安全 ：

  • 敏感信息明文传输
  • Cookie未设置Secure/HttpOnly
  • CORS配置不当

9. 现代网络协议演进

对比观察新旧协议：

HTTP/1.1 vs HTTP/2 ：

  • 多路复用
  • 头部压缩
  • 服务器推送

TCP vs QUIC ：

  • 0-RTT连接建立
  • 改进的拥塞控制
  • 前向纠错

10. 构建自己的协议分析工作流

高效分析建议：

  1. 捕获过滤 ：减少无关数据 

    # 只捕获HTTP和DNS流量
tcp port 80 or udp port 53

  2. 显示过滤 ：快速定位问题 

    http.response.code == 404
tcp.analysis.retransmission

  3. 着色规则 ：视觉区分流量类型

  4. 自定义列 ：显示关键字段

  5. 配置文件 ：保存常用设置

自动化分析 ：

  • 使用tshark命令行工具
  • 结合Python分析pcap文件
  • 生成定期报告

通过这样系统的Wireshark实践，五层模型不再只是理论概念，而是活生生的网络对话。每个数据包都讲述着协议如何协同工作，而我们需要做的，就是学会倾听这种语言。

标签
#计算机网络 #TCP/IP #Wireshark #协议分析
用wireshark抓包分析TLS协议
m0_50084718的博客
01-29 2万+
一、SSL/TLS简介 1、协议介绍 SSL/TLS是保护计算机网络通讯安全的一类加密协议，它们在传输层上给原先非安全的应用层协议提供加密保护，如非安全的HTTP协议即可被SSL/TLS保护形成安全的HTTPS协议。 SSL、TLS协议其实是有所差异的，TLS协议是继承了SSL协议并写入RFC，标准化后的产物。因此，通常使用SSL来指代SSL协议和TLS协议。 SSL (Secure Socket Layer)安全套接字层协议 • SSL通过互相认证、使用数字签名确保完整性、使用加密确保私密性，以实现客
网络运维：TCP/IP 协议栈与 Wireshark 抓包分析实战
asdfsdgss的博客
10-30 608
TCP/IP 协议栈是互联网通信的基础框架，分为四层（或五层模型）。
Wireshark抓包——qq分析
热门推荐
young的博客
11-12 1万+
Wireshark抓包qq分析 Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。 Wireshark的主窗口如下，它由3个面板组成，从上到下依次是packet list(数据包列表)、packet details（数据包细节）和packet bytes（数据包字节）。 一、打开wireshark选择本机网卡，由于我本机使用的是wifi，所以
用Wireshark抓包分析TCP/IP协议栈：从理论到实践的完整指南
ooo22的博客
03-06 477
本文提供了一份从理论到实践的完整指南，详细讲解如何利用Wireshark网络协议分析器进行TCP/IP协议栈的抓包分析。通过从数据链路层到应用层的逐层剖析，结合ICMP、TCP三次握手、HTTP/DNS等协议实例，帮助网络工程师和开发者可视化数据流动，掌握网络故障排查与协议学习的核心技能。
Wireshark抓包分析实战：从TCP/IP协议看大小端序的网络传输奥秘
onion的博客
02-20 753
本文通过Wireshark抓包实战，深入解析TCP/IP协议中的字节顺序（大小端序）奥秘。从网络字节序标准到协议栈各层的字节序差异，结合代码示例和常见陷阱分析，帮助网络工程师准确解读数据帧的真实含义，提升协议分析和开发能力。
别再死记硬背了！用Wireshark抓包实战，带你真正搞懂软考里的TCP/IP协议栈
weixin_30776273的博客
03-27 382
本文通过Wireshark实战演示，深入解析TCP/IP协议栈的核心机制，帮助开发者摆脱死记硬背的学习方式。从TCP三次握手到HTTP/HTTPS协议分析，再到DNS、DHCP和ICMP协议的实用技巧，七个实战案例带你透视网络通信本质，特别适合准备软考的软件设计师提升网络基础知识。
从抓包到造包：用Wireshark配合hping3，深度理解TCP/IP协议栈（实战演示）
weixin_30859423的博客
06-01 668
本文通过Wireshark和hping3工具，详细演示了从抓包到造包的TCP/IP协议栈深度解析过程。通过构造、发送、捕获和分析数据包的闭环实验，帮助读者深入理解TCP三次握手、UDP无连接特性等核心网络协议原理，并提供了协议栈安全测试和网络诊断的实战技巧。
Qwen3.5-9B网络协议分析与抓包实战：Wireshark与TCP/IP详解
weixin_42629522的博客
04-05 134
本文介绍了如何在星图GPU平台上自动化部署Qwen3.5-9B 90 亿参数开源大语言模型镜像，实现网络协议分析与抓包功能。通过结合Wireshark工具，该镜像可智能解析TCP/IP协议栈，应用于网络故障诊断、性能优化等场景，显著提升网络工程师的排障效率。
从抓包到造包：用Wireshark配合hping3，彻底搞懂TCP/IP协议栈
weixin_30952535的博客
03-29 441
本文详细介绍了如何利用Wireshark和hping3工具构建TCP/IP协议实验室，从抓包到造包的全过程。通过实战演示IP地址欺骗、TTL追踪、TCP三次握手及SYN Flood攻击模拟，帮助读者深入理解TCP/IP协议栈的工作原理和网络安全防御策略。
【网络通信】Wireshark 与 TCP/IP 五层模型速读手册
云小逸的博客
01-30 1009
从下到上依次为：物理层 → 数据链路层 → 网络层 → 传输层 → 应用层。数据在发送端逐层封装，上行展示为“data → http → tcp → ip → eth”；接收端按相反顺序逐层解封装。| User-Agent | curl/8.15.0 | 客户端标识 || Host | nginx.org | 虚拟主机标识 || 空行 | \r\n | 分隔头与体（此处无请求体） |请求头（Request Headers）| 头字段 | 取值 | 作用 || 可接受任意类型响应 |
Wireshark实战：从抓包到分析的全过程
NightshadeEagle34的博客
01-06 583
作为一个网络工程师，我经常需要排查各种网络问题，而Wireshark就像我的"网络显微镜"，能让我看清数据包在网线里流动的每一个细节。在过滤栏输入表达式，比如"http"只显示HTTP流量，"ip.addr==192.168.1.1"只看特定IP的通信。刚开始可能会被海量数据吓到，但只要掌握正确方法，Wireshark绝对是你排查网络问题的利器。对于想系统学习网络协议的同学，我建议从简单的HTTP抓包开始，逐步深入到TCP/IP协议栈。每次遇到网络异常时，养成抓包分析的习惯，慢慢就能培养出"读包"的直觉。
Wireshark抓包分析FTP协议完整流程实战
weixin_42613017的博客
11-29 1168
Wireshark只是一个工具，真正有价值的是那种层层剥茧、追根溯源的分析思维。每一次抓包，都是一次对系统本质的探索。FTP虽然古老，但它所体现的协议设计理念——分离控制与数据、分层通信、状态机驱动——至今仍在影响着现代API、微服务架构的设计。更重要的是，它提醒我们：安全从来不是附加功能，而是设计之初就必须考虑的基石。一个明文传输密码的协议，在今天看来简直是灾难，但在当年却是合理的权衡。
计算机网络协议栈实战指南：用Wireshark抓包分析TCP三次握手与HTTP请求
uuu88的博客
02-18 746
本文详细介绍了如何使用Wireshark进行计算机网络协议栈的实战分析，重点解析TCP三次握手与HTTP请求过程。通过环境配置、抓包技巧和异常模拟，帮助开发者深入理解网络通信原理，提升网络调试与安全分析能力。
从抓包分析PPP协议：Wireshark图解LCP/NCP协商全过程（附pcap文件下载）
tomato的博客
03-03 1014
本文通过Wireshark抓包实战与LwIP协议栈源码分析，深度解析PPP协议的全生命周期。文章详细图解了LCP链路建立、PAP/CHAP认证、IPCP网络层协商等核心过程，并提供了利用虚拟串口环境进行抓包分析、结合LwIP状态机进行故障诊断的完整方法，是理解PPP协议动态交互与网络问题排查的实用指南。
别再死记硬背了！用湖科大计网视频+实战抓包，真正搞懂TCP/IP协议栈
weixin_28698059的博客
04-11 316
本文介绍了一种突破传统死记硬背的TCP/IP协议栈学习方法，结合湖科大计网视频与Wireshark抓包实战，帮助学习者从数据包层面深入理解网络协议。通过搭建协议分析实验室、设计关键抓包场景和逐层解析协议栈，读者将掌握TCP/IP的核心机制，提升网络故障诊断能力。
Qwen3.5-4B-Claude-Opus效果展示：网络协议栈分层功能与抓包分析
weixin_42515842的博客
05-04 759
本文介绍了如何在星图GPU平台上自动化部署Qwen3.5-4B-Claude-4.6-Opus-Reasoning-Distilled-GGUF镜像，该镜像特别强化了结构化分析和分步骤回答能力。通过该平台，用户可以快速搭建网络协议分析环境，应用于网络抓包、协议解析等场景，显著提升网络故障排查和性能优化效率。
从‘三次握手’到‘四次挥手’：用Wireshark抓包带你亲历TCP/IP协议栈的每一层
weixin_29215815的博客
03-29 428
本文通过Wireshark抓包工具，详细解析了TCP/IP协议栈从三次握手到四次挥手的全流程。从实验环境准备到数据传输过程观察，再到高级协议分析技巧，帮助读者深入理解网络通信的底层机制。文章还涵盖了企业级网络排错、安全防护实践以及云环境和移动端的协议分析，是网络工程师和开发者的实用指南。
用Wireshark学网络协议：跟着抓包结果图解HTTP/TCP/IP协议栈
alpha的博客
02-26 466
本文通过Wireshark抓包实战，图解HTTP、TCP、IP及ARP等核心网络协议。从ICMP/Ping、TCP三次握手到HTTP请求，逐层拆解数据包，将抽象协议原理与真实网络流量对应，提供直观的学习方法。文章还分享了高效过滤技巧与网络问题排查思路，帮助读者从数据包层面深入理解网络通信机制。
Wireshark抓包分析 TCP三次握手/四次挥手详解
llzhang_fly的博客
09-19 4921
（图文并茂，权威最详细）Wireshark抓包分析 TCP三次握手/四次挥手详解 2019-11-13阅读1.9K0 作者：踏歌追云 来源：https://urlify.cn/jYVZn2 本文结合wireshark抓包，对TCP协议的三次握手和四次挥手进行详细的讲解。大家要认真看完，这可能是全网讲得最详细的文章了。 01 TCP/IP协议族 TCP/IP是一个协议族，通常分不同层次进行开发，每个层次负责不同的通信功能。包含以下四个层次： 1. 链路层，也称作数据链路层或者网....
工业母机结构设计岗位高级工程师简历范本
最新发布
07-05
内容概要：本文详细阐述了工业母机技术领域中“高级结构设计工程师”这一岗位的全方位任职要求与职业发展路径，涵盖职位对标、目标企业、学历与证书要求、年龄范围、管理半径、晋升关键点、必备工作经验年限以及薪资待遇区间。重点突出该岗位对高端数控机床核心结构（如床身、主轴箱、导轨等）设计能力的要求，强调有限元分析、精度控制、热变形补偿、振动抑制等核心技术能力，并明确指出需具备项目主导经验、团队管理能力和跨部门协作经验。同时，根据不同企业类型和发展阶段，给出了清晰的年薪划分标准，体现了市场对该岗位的技术深度与综合能力的高度认可。; 适合人群：具备5年以上工业母机或高端机床结构设计经验，致力于向高级工程师、技术专家或管理岗位发展的结构设计从业者；或希望转型进入高端装备制造业的精密机械研发人员。; 使用场景及目标：①用于求职者精准定位职业发展方向，评估自身与高级岗位之间的能力差距；②辅助企业制定人才招聘标准与薪酬体系；③指导技术人员规划技能提升路径，聚焦核心技术积累与项目经验沉淀。; 阅读建议：建议结合个人职业发展阶段对照文中各项指标进行自我诊断，重点关注“晋升关键点”与“必备年限”部分，有针对性地补齐技术短板、积累主导项目经验，并注重专利成果与团队管理能力的培养，以全面提升竞争力。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值