《Wireshark协议分析基础与提升》第二季 TCPIP协议栈详解(上)

这门课到底在讲什么

先把定位说清楚：第二季的「上」半部分，切口是链路层和网络层，也就是 Ethernet、IP、ARP、ICMP、DHCP 这五个协议。它不碰 TCP 的滑动窗口、拥塞控制那些传输层话题——那是「下」半部分的事。所以如果你正卡在「抓包能看到一堆帧，但看不懂每一层在干什么」的阶段，这一季的对口度很高；如果你已经能手撕 TCP 三次握手细节，只想补传输层，那这季可以先放一放。

结构上它是三件工具串起来用的：GNS3 搭拓扑造流量，Wireshark 抓真实报文，Visio 画原理图。30 个课时拆出 21 个实验、40 张手绘图解。这套组合的意义在于，协议不是被念出来的，是被「造出来—抓下来—画明白」这样走一遍的。

课纲里含金量最高的几块

按我翻课纲的判断，有三处值得反复看：

• ARP 部分。免费 ARP、代理 ARP、ARP 欺骗的报文特征，很多人工作几年都说不清「为什么同一个 IP 会有两条 ARP 记录」。这块通常会有跨网段实验，属于容易被忽略但实战里天天撞上的内容。
• ICMP 的类型码拆解。重定向、不可达、时间超时这几类，配着 Wireshark 看 Type/Code 字段，比背表格有用得多。traceroute 的底层原理也会在这里被拆开。
• DHCP 的四步交互（DORA）。从 Discover 到 Ack，逐包看 Option 字段，尤其是中继场景下的报文走向。这块是排查「设备拿不到地址」类问题的基本功。

IP 首部字段和分片那几节，如果你是奔着软考网络方向去的，属于必看——分片偏移、MF/DF 标志位这些是考点，也是排障时的判断依据。

资料包该怎么拆开用

不要按课时顺序从头刷到尾，那样效率低。建议分三层用：

• 第一层：原理图先过一遍。40 张原创图解是这门课最省时间的资产。先看图，对协议交互有个轮廓，再进实验，抓包时就知道自己在看哪一步。
• 第二层：21 个实验挑着做。GNS3 环境搭起来成本不低，不用每个都亲手敲。挑 ARP、DHCP 这类报文交互步骤多的动手做，ICMP 这种看抓包结果就够。
• 第三层：抓包文件单独存。把 Wireshark 的 pcap 留一份，以后遇到线上故障可以拿来对比特征，比重新搭实验快。

适合谁，不适合谁

适合：准备软考网络方向、需要把协议栈从「背过」变成「看懂」的人；做运维/安全、日常要对着抓包结果下判断的人；已经有基础网络概念、但底层细节模糊的人。

不适合：完全零基础、连 IP 和子网掩码都没搞明白的——这门课默认你有基本网络常识，直接上手搭 GNS3 会卡在环境上；以及只想补 TCP 传输层细节的，这季给不了。

一句话概括：这是一门把「抓包—画图—造流量」闭环做完整的基础课，重点不在广度，在那几个底层协议抠得够细。