1. 无线网络基础：标准演进、频段与拓扑
各位同学，欢迎来到《无线抓包分析从入门到精通》的第一章。
我是你们的讲师，一个在无线通信领域摸爬滚打了十几年的老工程师。今天咱们不聊虚的，直接切入正题。想学会抓包分析，你首先得明白你抓的到底是什么玩意儿。这就像修车，你得先知道发动机长什么样，才能听出异响在哪儿。
这一章，我们就来把无线网络的老底儿翻一翻。从古老的802.11a/b/g，到现在的Wi-Fi 7（802.11be），再到那些绕不开的频段和拓扑结构。嗯，这些都是基本功，但也是你未来成为高手的基石。
1.1 无线标准演进：从11Mbps到46Gbps
无线标准这玩意儿，说白了就是一套大家共同遵守的“游戏规则”。IEEE 802.11工作组从1997年推出第一个标准开始，就一直在给这套规则打补丁、升级版本。
核心观点： 每一次标准的迭代，目标都极其明确——更快、更稳、更远的连接。但现实往往很骨感，物理定律和法规限制是两座绕不开的大山。
我个人习惯把这段演进史分成三个阶段来看：
- 启蒙时代（802.11a/b/g）： 解决“能不能连”的问题。速率从2Mbps提升到54Mbps，虽然现在看慢得可怜，但在当时可是革命性的。
- 提速时代（802.11n/ac）： 解决“连得快不快”的问题。引入了MIMO（多入多出）和信道捆绑，速率直接飙到Gbps级别。我在2012年第一次调试802.11n的3x3 MIMO时，看着吞吐量突破300Mbps，那感觉，比第一次开车上高速还激动。
- 高密时代（802.11ax/be）： 解决“人多时连得爽不爽”的问题。引入了OFDMA（正交频分多址）和MU-MIMO（多用户多入多出），专门应对机场、体育馆这种高密度场景。
下面这张表，我建议你收藏起来。做抓包分析时，看到帧头里的字段，你得能立刻反应出它属于哪一代技术。
| 标准 | Wi-Fi 代际 | 推出年份 | 频段 | 最大速率（单流） | 关键技术 |
|---|---|---|---|---|---|
| 802.11a | Wi-Fi 2 | 1999 | 5 GHz | 54 Mbps | OFDM |
| 802.11b | Wi-Fi 1 | 1999 | 2.4 GHz | 11 Mbps | DSSS/HR-DSSS |
| 802.11g | Wi-Fi 3 | 2003 | 2.4 GHz | 54 Mbps | OFDM |
| 802.11n | Wi-Fi 4 | 2009 | 2.4 / 5 GHz | 150 Mbps | MIMO, 信道捆绑(40MHz) |
| 802.11ac | Wi-Fi 5 | 2013 | 5 GHz | 866.7 Mbps | MU-MIMO (下行), 信道捆绑(160MHz) |
| 802.11ax | Wi-Fi 6/6E | 2019 | 2.4 / 5 / 6 GHz | 1.2 Gbps | OFDMA, MU-MIMO (上下行), 1024-QAM |
| 802.11be | Wi-Fi 7 | 2024 | 2.4 / 5 / 6 GHz | 2.88 Gbps | CMU-MIMO, 320MHz信道, 4096-QAM, 多链路操作(MLO) |
抓包小贴士： 在Wireshark里，你可以通过过滤 wlan.fc.type_subtype == 8 来查看Beacon帧。Beacon帧的帧体里会携带 Supported Rates 和 HT Capabilities (802.11n) / VHT Capabilities (802.11ac) / HE Capabilities (802.11ax) 等信息。看一眼这些字段，你就能知道这个AP支持到哪一代标准。
1.2 频段与信道：看不见的高速公路
无线信号在空气中传播，就像汽车在高速公路上跑。频段就是高速公路，信道就是上面的车道。
目前主流的频段有三个：2.4 GHz、5 GHz 和 6 GHz。你想想看，为什么2.4 GHz穿墙好，但速度慢？因为频率低，波长长，衍射能力强，但带宽窄，就像乡间小路，虽然能绕开障碍物，但跑不快。5 GHz频率高，带宽大，速度快，但穿墙差，就像城市高速，路况好但一堵墙就能挡住信号。
2.4 GHz 频段
- 频率范围： 2.400 – 2.4835 GHz
- 信道宽度： 20 MHz（不重叠信道只有3个：1、6、11）
- 特点： 覆盖广、穿墙好，但干扰极大（蓝牙、微波炉、ZigBee都挤在这里）。
避坑指南： 我曾经在一个大型仓库做无线勘测，客户死活说2.4G信号满格但网速慢。我一抓包，发现信道1上除了他们的AP，还有十几个邻居的AP和一堆蓝牙信标。信道利用率高达90%！这就是典型的“信号满格，但全是噪音”。后来我强制他们全部迁移到5 GHz，问题立刻解决。
5 GHz 频段
- 频率范围： 5.150 – 5.850 GHz（各国法规不同）
- 信道宽度： 20/40/80/160 MHz
- 特点： 干扰少、速度快，但覆盖范围小，且部分信道需要DFS（动态频率选择）支持，会与气象雷达冲突。
6 GHz 频段 (Wi-Fi 6E / Wi-Fi 7)
- 频率范围： 5.925 – 7.125 GHz
- 信道宽度： 20/40/80/160 MHz
- 特点： 全新的“净土”，干扰极少，带宽巨大。但覆盖能力比5 GHz还弱。
做抓包分析时，你经常需要查看某个帧是在哪个信道上被捕获的。在Wireshark里，Radiotap Header 里的 Channel frequency 字段会告诉你精确的频率。比如，频率 2412 MHz 对应信道1，频率 5180 MHz 对应信道36。
1.3 无线网络拓扑结构：谁在跟谁说话
搞清楚了信号在哪跑，接下来得知道这些设备是怎么组织起来的。无线网络的拓扑结构，说白了就是设备之间的“社交关系”。
主要有三种模式：
- 基础架构模式（Infrastructure Mode）： 这是最常见的模式。所有客户端（STA）都通过一个中心节点——接入点（AP）来通信。你家里的路由器、公司的无线网络，都是这种模式。抓包时，你会看到大量的数据在AP和STA之间来回穿梭。
- 自组网模式（Ad-hoc Mode / IBSS）： 没有AP，设备之间直接通信。就像两个人面对面聊天，不经过总机。这种模式现在很少见了，但在一些应急通信或文件共享场景下还能看到。
- 扩展服务集（ESS）： 多个AP通过分布式系统（DS，通常是有线网络）连接在一起，形成一个大的无线网络。你在商场里从一个AP漫游到另一个AP，就是ESS在起作用。
为了让你更直观地理解这三种拓扑，我画了一张图。
在抓包分析中，识别拓扑结构至关重要。比如，你看到Beacon帧里 Frame Control 字段的 From DS 和 To DS 位，就能判断这个帧是去往AP还是来自AP。如果两个位都是0，那就是Ad-hoc模式下的直接通信。
抓包小贴士： 在Wireshark里，你可以添加一个自定义列，显示 wlan.fc.ds 字段。这样你一眼就能看出当前帧的“方向”，快速判断网络拓扑。