企业官网建设流程全解析

1. 第一次计网实验到底在做什么：从抓包到协议分层的完整拆解

第一次计网实验，绝大多数人的经历都差不多：打开实验指导书，看到一堆协议名词，然后对着电脑不知道从哪下手。我当年也是这样，实验课上老师丢过来一个抓包工具，说“去抓几个包看看”，然后就没了。真正让我把整个实验串起来的，是后来自己反复折腾了几遍之后才搞明白的——这个实验的核心不是“抓包”这个动作本身，而是通过抓包去理解网络协议的分层结构，以及每一层到底在干什么。

这个实验通常出现在计算机网络课程的开头阶段，目的是让你用最直观的方式看到“数据是怎么从一台机器跑到另一台机器”的。它解决的是一个很根本的问题：课本上讲的OSI七层模型、TCP/IP四层模型，到底长什么样？你光看图是没感觉的，但当你亲手抓到一串数据包，展开看到以太网帧头、IP头、TCP头、HTTP内容一层层嵌套在一起的时候，那种“原来真的是这样”的感觉就来了。

适合谁来参考？如果你是刚接触计算机网络的学生，或者转行做后端、运维、网络方向但没系统学过网络基础的开发者，这个实验是你建立网络直觉的最佳入口。它不需要你写代码，但需要你动手、观察、思考。我下面会把整个实验的完整流程、关键细节、容易踩的坑全部拆开讲，你照着做一遍，基本就能把网络分层这件事吃透。

2. 实验前的准备工作：工具选型与环境搭建

2.1 抓包工具怎么选：为什么我最终用了Wireshark

抓包工具的选择其实不多，常见的就是Wireshark、tcpdump、Fiddler这几类。我试过一圈之后，第一次实验最推荐的还是Wireshark。原因很简单：它有图形界面，能把每个数据包的每一层协议展开给你看，颜色标记清晰，过滤规则也直观。tcpdump虽然更轻量，但纯命令行输出对新手不太友好，你抓一堆包出来满屏都是文本，根本不知道从哪看起。Fiddler偏HTTP层面，看不到TCP握手和IP层的细节，不适合做这个实验。

Wireshark的安装没什么特别的，官网下载对应系统的安装包，一路下一步就行。Windows下安装的时候会提示你装Npcap，这个是抓包驱动，必须装，不装的话Wireshark找不到网卡。Linux下用包管理器装就行，比如apt install wireshark或者yum install wireshark，装完之后普通用户可能没有抓包权限，需要把用户加到wireshark组里，或者直接用sudo跑。

注意：Linux下如果不想每次都用sudo，可以执行sudo usermod -aG wireshark $USER，然后重新登录生效。这个细节很多指导书里不写，但实际用的时候不加会一直提示权限不足。

2.2 实验环境的网络拓扑怎么搭

第一次实验一般不需要复杂的拓扑，最简单的就是一台机器直接连网络，抓自己的流量。但如果你想做更可控的实验，比如观察TCP三次握手，那最好搭一个简单的客户端-服务端环境。我的做法是：本机开一个简单的HTTP服务，然后用浏览器或者curl去访问，这样抓到的流量完全可控，不会混入其他无关的数据包。

具体操作：Python自带http.server模块，一行命令就能起一个HTTP服务：

python3 -m http.server 8080

然后在浏览器访问http://localhost:8080，同时在Wireshark里抓loopback接口（Windows下是Adapter for loopback traffic capture，Linux下是lo）。这样抓到的包就是你自己产生的，干净、可控、可复现。

如果你不想用localhost，也可以用两台机器，一台起服务，另一台去访问，中间经过交换机。但这种情况下你需要确保两台机器在同一网段，而且抓包要在正确的网卡上进行。我建议第一次实验就用localhost，简单直接，先把协议看明白再说。

2.3 抓包前的关键设置：过滤规则先配好

很多人第一次打开Wireshark就直接点开始，然后满屏的数据包滚得飞快，根本看不清。正确的做法是先设置抓包过滤器（capture filter），只抓你关心的流量。比如你只关心HTTP，那就设tcp port 8080；只关心某个IP，就设host 192.168.1.100。

抓包过滤器是在抓之前生效的，它决定哪些包被记录下来。显示过滤器（display filter）是在抓完之后用的，它决定哪些包显示在界面上。这两个别搞混了。我一般抓包的时候不设太严的过滤器，先全抓，然后用显示过滤器去筛。因为有时候你设了抓包过滤器，结果发现想看的包没抓到，还得重来。

提示：显示过滤器最常用的几个：http（只看HTTP）、tcp.port == 8080（只看8080端口的TCP）、ip.addr == 192.168.1.1（只看某个IP相关的包）、tcp.flags.syn == 1（只看SYN包，用来观察三次握手）。

3. 核心实验环节：从抓包到协议分析的完整实操

3.1 第一次抓包：观察TCP三次握手

TCP三次握手是计网实验里最经典的观察对象。操作很简单：在Wireshark里开始抓包，然后在浏览器访问你起的HTTP服务，抓完之后用显示过滤器输入tcp.port == 8080，你就能看到一串TCP包。最前面的三个包就是三次握手：

• 第一个包：客户端发SYN，标志位SYN=1, ACK=0，序列号是随机值，比如Seq=0（相对序列号）。
• 第二个包：服务端回SYN+ACK，标志位SYN=1, ACK=1，序列号也是随机值，确认号是客户端序列号+1。
• 第三个包：客户端回ACK，标志位ACK=1，序列号是客户端序列号+1，确认号是服务端序列号+1。

你在Wireshark里点开每个包，展开TCP头部，就能看到这些字段。重点看几个东西：源端口、目的端口、序列号、确认号、标志位。序列号和确认号的机制是TCP可靠传输的核心，第一次看可能觉得绕，但你把三个包的序列号变化列出来，就一目了然了。

我当时的做法是拿纸把三个包的Seq和Ack抄下来，然后对照课本上的图看，瞬间就理解了。这个笨办法很有效，推荐你也试试。

3.2 观察HTTP请求与响应：应用层到底发了什么

三次握手之后，客户端会发HTTP请求。在Wireshark里找到第一个带HTTP标记的包，点开看。你会看到HTTP请求行、请求头、请求体（如果有的话）。比如GET请求：

GET / HTTP/1.1 Host: localhost:8080 User-Agent: Mozilla/5.0 ... Accept: text/html ...

服务端返回的响应包里有状态行、响应头、响应体：

HTTP/1.1 200 OK Content-Type: text/html Content-Length: 1234 ...

这里的关键是理解：HTTP是应用层协议，它的内容被封装在TCP的数据部分里。你在Wireshark里看到的层级结构是：以太网帧头 -> IP头 -> TCP头 -> HTTP数据。这就是协议分层的直观体现。每一层都有自己的头部信息，每一层只关心自己的事情。IP层关心的是源IP和目的IP，TCP层关心的是端口和序列号，HTTP层关心的是请求方法和路径。

注意：如果你抓的是HTTPS流量，HTTP层是加密的，看不到明文内容。第一次实验建议用HTTP，别用HTTPS，否则你只能看到TLS握手，看不到应用层数据。

3.3 追踪一次完整的TCP流：把碎片拼成完整故事

Wireshark有个很好用的功能叫“Follow TCP Stream”，在某个TCP包上右键，选择Follow -> TCP Stream，它会把整个TCP会话的所有数据拼在一起显示。这样你就能看到完整的HTTP请求和响应，而不是一个个分散的包。

这个功能的意义在于：网络通信本质上是字节流，TCP负责把字节流切成一段段的数据包发出去，接收端再拼回来。你抓包看到的是一个个包，但实际通信是连续的流。Follow TCP Stream帮你还原了这个流，让你看到应用层实际传输的内容。

我建议你在实验报告里把Follow TCP Stream的结果截图放进去，然后标注哪部分是请求、哪部分是响应、哪部分是TCP头部、哪部分是IP头部。这样一份实验报告就能把分层结构讲得很清楚。

3.4 断开连接：观察TCP四次挥手

HTTP请求响应完成之后，TCP连接不会一直保持，通常会断开。断开的过程是四次挥手：

• 客户端发FIN，表示自己没有数据要发了。
• 服务端回ACK，确认收到FIN。
• 服务端发FIN，表示自己也没有数据要发了。
• 客户端回ACK，确认收到FIN。

在Wireshark里用tcp.flags.fin == 1过滤，就能看到FIN包。四次挥手比三次握手多一次，原因是TCP是全双工的，每个方向都需要单独关闭。这个细节课本上讲过，但抓包看到的时候感受完全不一样。

4. 常见问题与排查技巧实录

4.1 抓不到包怎么办：排查思路速查表

4.2 我踩过的几个坑

第一个坑：抓包的时候没设过滤器，抓了几万个包，Wireshark卡得要死，找个HTTP包找了半天。后来学乖了，先设显示过滤器，界面清爽很多。

第二个坑：用HTTPS做实验，抓了半天只看到TLS握手，应用层全是加密的。第一次实验一定要用HTTP，别给自己找麻烦。

第三个坑：在Windows上抓localhost的流量，发现抓不到。原因是Windows的loopback流量不走物理网卡，需要专门抓loopback接口。Wireshark在Windows上会有一个Adapter for loopback traffic capture，选那个才行。

第四个坑：序列号是相对值，不是绝对值。Wireshark默认显示相对序列号，这样看起来更直观。如果你想看绝对序列号，可以在TCP协议设置里改。第一次实验用相对序列号就够了，别纠结绝对值。

提示：如果你在实验中发现抓到的包和课本上画的不一样，比如多了些奇怪的包，别慌。网络环境复杂，有ARP、DNS、ICMP等各种流量混在一起很正常。用显示过滤器筛出你关心的就行。

4.3 实验报告怎么写才不像流水账

很多人写实验报告就是截图堆砌，一张张图放上去，配一句“如图所示”。这种报告拿不到高分，因为看不出你到底理解了什么。我的写法是：每个实验环节先写目的，再写操作步骤，然后放关键截图，最后写分析。分析部分要写清楚你观察到了什么现象、这个现象对应什么协议机制、为什么会有这个机制。

比如三次握手部分，不要只截图，要写：第一个包的SYN标志位为1，序列号为X，说明客户端请求建立连接；第二个包的SYN和ACK都为1，确认号为X+1，说明服务端同意建立连接并确认收到客户端的SYN；第三个包的ACK为1，确认号为Y+1，说明客户端确认收到服务端的SYN。这样写下来，老师一看就知道你真的看懂了。

5. 从这次实验延伸出去：还能学什么

第一次计网实验做完之后，你其实已经具备了继续深入的基础。接下来可以尝试几个方向：一是抓DNS查询，看看域名是怎么解析成IP的；二是抓ARP请求，理解同一网段内MAC地址是怎么获取的；三是用tcpdump在Linux上抓包，对比图形界面和命令行的差异；四是尝试分析TCP重传和拥塞控制，观察网络状况不好时TCP的行为。

我个人觉得最有价值的是DNS和ARP这两个，因为它们直接解释了“你输入一个网址之后到底发生了什么”这个经典问题。你把DNS、ARP、TCP握手、HTTP请求这几个环节的包都抓一遍，串起来看，整个网络通信的流程就彻底通了。

另外，如果你对网络安全方向感兴趣，抓包分析是基础中的基础。很多安全问题本质上就是协议设计或实现上的缺陷，你能看懂正常流量，才能识别异常流量。这个实验虽然简单，但它是后面所有网络相关工作的起点。

最后分享一个小技巧：Wireshark的统计功能很好用，比如Statistics -> Flow Graph可以生成时序图，Statistics -> Protocol Hierarchy可以看协议分布。这些功能在写实验报告或者做流量分析的时候能帮你快速理清思路。我一开始不知道这些功能，手动一个个包看，效率很低。后来发现了Flow Graph，直接生成一张图，三次握手和四次挥手一目了然，省了很多事。