1. 课程导入：学习目标、课程结构、抓包工具概述
1.1 为什么需要抓包分析
TCP/IP 协议栈是互联网通信的基石，但协议本身是抽象的、不可见的。当网络出现延迟、丢包、连接中断或应用异常时，仅凭 ping 或 tracert 往往只能判断“通不通”，无法回答“为什么慢”“为什么断”“哪个环节出错”。抓包分析通过捕获网卡上真实传输的数据帧，将协议交互过程以可读的报文形式呈现出来，是定位网络问题、理解协议行为最直接的手段。
本课程的核心目标并非背诵协议字段，而是建立“抓包 → 过滤 → 分析 → 定位”的实战能力。你将学会使用 Wireshark 和 tcpdump 捕获流量，识别 TCP 三次握手、四次挥手、重传、窗口更新、HTTP/HTTPS 请求响应等关键过程，并能够从报文特征反推网络故障的根因。
学习目标（完成本章后应能回答）
- 能说出抓包工具的工作原理（旁路监听 vs 内核钩子）。
- 能根据排查场景选择合适的抓包工具（图形界面 vs 命令行）。
- 能理解 Wireshark 主界面各区域的功能划分。
- 能使用 tcpdump 完成一次基本的网卡流量捕获并保存为 pcap 文件。
1.2 课程结构总览
本课程共 30 章，按“基础 → 协议 → 实战 → 进阶”四个阶段递进。前 5 章聚焦工具使用与抓包原理；第 6～15 章深入 TCP/IP 核心协议（以太网、IP、ARP、TCP、UDP、ICMP、DNS、HTTP/HTTPS）；第 16～25 章为典型场景实战（网页慢、视频卡顿、文件传输中断、内网攻击等）；最后 5 章涉及 TLS 解密、性能分析、远程抓包与自动化脚本。每章均配有真实抓包文件（pcap）和对应的分析思路。
| 阶段 | 章节范围 | 核心能力 |
|---|---|---|
| 工具基础 | 第 1～5 章 | Wireshark/tcpdump 操作、捕获过滤与显示过滤 |
| 协议详解 | 第 6～15 章 | 以太网/IP/ARP/TCP/UDP/ICMP/DNS/HTTP 报文结构 |
| 场景实战 | 第 16～25 章 | 慢访问、丢包重传、连接异常、安全攻击分析 |
| 进阶提升 | 第 26～30 章 | TLS 解密、性能建模、远程抓包、脚本自动化 |
每章遵循统一的学习路径：先讲协议原理与关键字段，再演示抓包操作，最后通过一个真实故障案例复盘分析过程。建议你边学边抓包，不要只看不练。
1.3 抓包工具概述：Wireshark 与 tcpdump
抓包工具的核心机制是旁路监听：将网卡设置为混杂模式（Promiscuous Mode），使网卡接收所有经过的数据帧，而不仅仅是发给本机的帧。工具本身不参与通信，因此不会改变数据流的内容与时序。Wireshark 是图形化分析工具，适合交互式深度检查；tcpdump 是命令行工具，适合在服务器或嵌入式环境快速抓取。
1.3.1 Wireshark 核心功能
- 实时捕获与离线分析：支持从网卡实时抓包，也可打开保存的 pcap/pcapng 文件。
- 协议解析器：自动识别超过 2000 种协议，并以树形结构展示每个字段。
- 显示过滤器：基于协议字段的布尔表达式，例如
tcp.port == 443或http.request.method == "GET"。 - 着色规则：用不同颜色标记 TCP 重传、乱序、黑名单 IP 等异常报文。
- 追踪流：重组 TCP 或 HTTP 会话，还原完整的请求与响应内容。
1.3.2 tcpdump 常用命令
tcpdump 使用 -i 指定网卡，-w 保存文件，-c 限制捕获包数。以下命令捕获 eth0 上 80 端口的 HTTP 流量并保存：
# 查看可用网卡
tcpdump -D
# 捕获 eth0 上 80 端口流量，保存为 pcap 文件
sudo tcpdump -i eth0 -w http_traffic.pcap 'tcp port 80'
# 实时查看但不保存，显示 IP 地址而非域名
sudo tcpdump -i eth0 -nn 'tcp port 80'
# 限制捕获 100 个包后自动停止
sudo tcpdump -i eth0 -c 100 -nn 'icmp'选择建议：图形界面优先选 Wireshark（尤其需要深度协议解析时）；远程服务器或无图形环境选 tcpdump；两者可配合使用——先用 tcpdump 抓包保存，再将 pcap 文件拷贝到本地用 Wireshark 分析。
1.4 抓包环境准备与权限说明
在 Linux 系统上，抓包需要 root 权限或 CAP_NET_RAW 能力。Windows 上安装 Wireshark 时会自动安装 Npcap/WinPcap 驱动。macOS 上需要安装 Xcode Command Line Tools 并授权终端访问网络接口。
# Linux 临时赋予当前用户抓包能力（无需 root）
sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump
# 验证是否生效
getcap /usr/sbin/tcpdump1.5 常见误区与复盘
误区一：抓包越多越好。在高速链路上不加过滤地抓包，会导致磁盘写满或丢包。正确做法是先使用 tcpdump -c 100 或 Wireshark 的捕获条件限制范围。
误区二：混淆捕获过滤器与显示过滤器。捕获过滤器（Capture Filter）在数据写入内存前丢弃不匹配的包，语法基于 BPF（如 host 192.168.1.1）；显示过滤器（Display Filter）仅隐藏界面上的包，数据仍完整保留。误用会导致“明明抓到了却看不到”的困惑。
误区三：忽略混杂模式。默认情况下网卡只接收目的 MAC 为本机的帧。若未开启混杂模式，将无法捕获其他主机的流量，导致分析结果不完整。
复盘案例：某次排查“网页加载缓慢”问题，工程师在客户端用 Wireshark 抓包，发现大量 TCP Dup ACK 与 Retransmission，但服务器端 tcpdump 却显示正常。进一步对比发现，客户端所在交换机端口开启了广播抑制，导致上行流量被限速。若仅看客户端抓包，容易误判为服务器问题；只有结合两端抓包才能定位到中间链路。