课程导入：学习目标、课程结构、TCP/IP协议栈概述
一、学习目标：从“会配置”走向“能排障”
很多网络工程师在配置设备时得心应手，但一旦遇到“能通但慢”“时通时断”“抓包看不懂”这类问题，就陷入无从下手的困境。本课程的核心目标，是帮助你建立一套基于协议原理的故障分析与定位能力。学完本课程后，你应当能够：
- 说清层次：不借助参考图，准确描述TCP/IP四层模型中每一层的核心职责、典型协议与数据封装关系。
- 看懂交互：能够读懂TCP三次握手、四次挥手、重传、滑动窗口等关键状态流转，并能用抓包工具验证。
- 定位问题：面对“网页打不开”“视频卡顿”“内网慢”等典型故障，能快速判断问题出在哪一层，并给出排查路径。
- 理解参数：理解MTU、TTL、端口、序列号、窗口大小等关键参数的作用，知道它们异常时会产生什么症状。
二、课程结构：按“问题域”组织的30章内容
本课程共30章，不按协议栈自底向上的顺序平铺直叙，而是按网络工程师日常最常遇到的7类问题域来组织。每一章都从一个真实故障或疑问切入，再回溯到协议原理进行拆解。整体结构如下：
| 模块 | 章节范围 | 核心问题域 |
|---|---|---|
| 基础篇 | 第1~4章 | 协议栈全景、封装与解封装、寻址与端口 |
| 连接篇 | 第5~10章 | TCP连接建立/释放、超时重传、流量控制 |
| 路由篇 | 第11~15章 | IP寻址、子网划分、路由协议与转发决策 |
| 应用篇 | 第16~20章 | DNS、HTTP/HTTPS、DHCP等应用层协议 |
| 排障篇 | 第21~25章 | 抓包分析、连通性排查、性能瓶颈定位 |
| 安全篇 | 第26~28章 | 常见攻击原理、防火墙与访问控制 |
| 实战篇 | 第29~30章 | 综合案例复盘与排障思路总结 |
每一章都遵循“现象描述 → 原理剖析 → 排查方法 → 误区复盘”的闭环结构，确保你学到的不仅是知识点，更是可复用的分析思路。
三、TCP/IP协议栈概述：一张图看懂全局
TCP/IP协议栈是互联网通信的“通用语言”。它并非严格遵循OSI七层模型，而是将其简化为四层：应用层、传输层、网络层、网络接口层。理解这四层的关键，在于把握两个核心概念：封装（Encapsulation）与解封装（Decapsulation）。发送数据时，每一层为上层数据加上自己的头部信息；接收数据时，每一层剥掉对应的头部，逐层还原。
下图展示了数据从一台主机上的应用发送到另一台主机应用时，经过的完整封装与流转过程，以及各层常见的协议与设备：
从上图可以看到，数据在发送端经历“应用层数据 → 传输层加TCP头 → 网络层加IP头 → 网络接口层加帧头尾”的逐层封装过程。中间路由器只查看IP头部进行转发决策，交换机只查看帧头中的MAC地址进行转发，而接收端则逐层剥离头部，最终将原始数据交给应用进程。
四、常见误区与复盘
误区1：把“四层模型”和“七层模型”对立起来。实际上，TCP/IP的四层模型是对OSI七层模型的工程化简化。OSI的会话层、表示层功能在TCP/IP中通常由应用层协议自行处理（如TLS负责加密，HTTP负责会话状态）。学习时不必纠结于“哪一层对应哪一层”，而应关注每一层实际解决什么问题。
误区2：认为“ping通就代表网络没问题”。ping使用的是ICMP协议，属于网络层。它只能证明IP层的连通性。如果HTTP服务异常、TCP端口不通、DNS解析失败，ping依然可能成功。因此，ping通不代表应用可用，排查时必须逐层向上验证。
复盘案例：某次故障中，用户反馈“网页打不开”，但ping服务器IP地址完全正常。工程师按“从底层到高层”的顺序排查：先确认IP连通（ping通），再检查TCP 80端口（telnet不通），最终定位为服务器防火墙未放行HTTP流量。这个案例说明：每一层都有独立的故障可能，必须逐层验证，不能因为底层通了就跳过上层检查。