网络基础回顾：OSI模型与TCP/IP协议栈、数据封装与解封装、MAC地址与IP地址
核心原理：OSI七层模型与TCP/IP四层协议栈
网络通信的本质是分层协作。OSI参考模型将网络功能划分为七个层次，每一层只负责特定的任务，并为上层提供透明的服务。TCP/IP协议栈则是实际互联网运行的工业标准，它将OSI模型压缩为四层。理解两者的对应关系，是抓包分析时判断“数据在哪一层被处理”的基石。
| OSI 七层模型 | TCP/IP 四层模型 | 典型协议与设备 | 抓包关注点 |
|---|---|---|---|
| 应用层 (7) | 应用层 | HTTP, DNS, SMTP, FTP | 报文内容、URL、状态码 |
| 表示层 (6) | SSL/TLS 加密、字符编码 | 证书、加密套件 | |
| 会话层 (5) | NetBIOS, RPC | 会话建立与断开 | |
| 传输层 (4) | 传输层 | TCP, UDP | 端口号、序列号、标志位 |
| 网络层 (3) | 网络层 | IP, ICMP, 路由器 | 源/目的IP、TTL、分片 |
| 数据链路层 (2) | 网络接口层 | Ethernet, 交换机 | 源/目的MAC、帧类型 |
| 物理层 (1) | 网线、光纤、集线器 | 电平、信号、时钟 |
方法流程：数据封装与解封装
当你在浏览器输入网址并回车，数据从上层向下层传递，每一层都会在原有数据前添加自己的头部信息，这个过程称为封装。接收端则反向操作，逐层剥离头部，称为解封装。抓包时看到的每一个数据包，都是封装完成后的最终形态。
- 应用层：生成HTTP请求报文（如
GET /index.html HTTP/1.1）。 - 传输层：TCP协议添加端口号（源端口随机，目的端口80），并计算序列号，形成TCP段。
- 网络层：IP协议添加源/目的IP地址，设置TTL，形成IP包。
- 数据链路层：以太网协议添加源/目的MAC地址，并附加帧校验序列（FCS），形成以太网帧。
- 物理层：将帧转换为比特流，通过网线或无线信号发送。
案例/场景：一次HTTP请求的抓包分析
假设你在主机A（IP: 192.168.1.10）上访问主机B（IP: 192.168.1.20）的Web服务。使用Wireshark抓包，你会看到以下关键信息：
Frame 1: 74 bytes on wire (592 bits)
Ethernet II, Src: AA:BB:CC:DD:EE:01, Dst: AA:BB:CC:DD:EE:02
Internet Protocol Version 4, Src: 192.168.1.10, Dst: 192.168.1.20
Transmission Control Protocol, Src Port: 49152, Dst Port: 80, Seq: 1
Hypertext Transfer Protocol: GET / HTTP/1.1在这个抓包结果中，你可以清晰地看到MAC地址只负责局域网内的下一跳传输。如果主机A和主机B不在同一网段，那么帧头中的目的MAC地址将是默认网关（路由器）的MAC地址，而IP包中的目的IP仍然是192.168.1.20。这就是“IP地址端到端，MAC地址逐跳”的核心区别。
TCP Dup ACK或TCP Retransmission时，不要只盯着IP层。先检查链路层是否存在大量CRC错误或丢帧，这往往指向网线质量、交换机端口故障或双工模式不匹配。误区/复盘：MAC地址与IP地址的混淆
初学者最容易犯的错误是认为MAC地址和IP地址是“一一对应”的。实际上，两者工作在不同层次，服务于不同目的：
- MAC地址（48位，物理地址）：烧录在网卡上，理论上全球唯一，用于局域网内的设备寻址。它不具备路由能力，无法跨网段通信。
- IP地址（32位，逻辑地址）：由网络管理员分配，用于互联网中的设备寻址。它包含网络号和主机号，路由器依靠IP地址进行跨网段转发。
一个常见的误区是：“我改了IP地址，MAC地址也会跟着变吗？” 答案是否定的。MAC地址是硬件属性，IP地址是网络配置。你可以在一台电脑上随意修改IP地址，但MAC地址始终不变。反之，更换网卡后，MAC地址会改变，但IP地址可以保持不变。
arp -a 命令可以查看本机ARP缓存，快速定位冲突设备。复盘总结：抓包时，请始终问自己三个问题——这个包是谁发的？发给谁？经过哪些设备？ 第一个问题看源MAC和源IP，第二个问题看目的MAC和目的IP，第三个问题则需要结合路由表和ARP缓存来判断。只有将MAC地址的“逐跳”特性与IP地址的“端到端”特性结合起来，才能准确还原数据包的完整传输路径。