数据包结构：从比特流到应用消息

说实话，刚学网络那会儿，我盯着 Wireshark 里那一长串十六进制数据，完全不知道它在说什么。后来带我的老工程师丢给我一句话：「你只要搞懂数据包是怎么一层层包起来的，反过来就能看懂它怎么拆开。」这句话，我今天也送给你。

这一章我们不讲复杂的过滤语法，也不急着抓包。先把数据包的「骨架」摸清楚。你想想看，一个数据包从你电脑发出去，到服务器收到，中间经历了什么？

1. 数据包的「俄罗斯套娃」结构

Wireshark 里抓到的一个包，其实是一层套一层的。我习惯把它想象成寄快递：

• 最外面是快递盒 —— 帧（Frame），包含 MAC 地址，负责在局域网里找到下一跳设备。
• 里面是快递单 —— IP 头部，写明了从哪寄到哪（源 IP 和目的 IP）。
• 再里面是内部流转单 —— TCP 或 UDP 头部，标记了哪个应用在收发（端口号）。
• 最里面才是真正的货物 —— 应用层数据，比如 HTTP 请求、DNS 查询。

在 Wireshark 里点开任意一个包，你会看到类似这样的分层：

Frame 1: 74 bytes on wire (592 bits)
    Ethernet II, Src: aa:bb:cc:dd:ee:ff, Dst: 11:22:33:44:55:66
    Internet Protocol Version 4, Src: 192.168.1.100, Dst: 8.8.8.8
    User Datagram Protocol, Src Port: 54321, Dst Port: 53
    Domain Name System (query)

嗯，这里要注意：Wireshark 显示的顺序是从外到内，也就是从帧头到应用层。但数据在网络上传输时，是反过来的——发送方从内往外封装，接收方从外往内解封装。

2. OSI 与 TCP/IP：两个模型，一张图说清

很多教材喜欢把 OSI 七层模型和 TCP/IP 四层模型分开讲，然后让你背。我个人觉得没必要。你只要记住一件事：OSI 是理论框架，TCP/IP 是实际用的。

我在项目里排查问题时，从来不会说「这是会话层的问题」，因为实际抓到的包只有四层。但 OSI 模型帮我理解了一个关键点——每一层只关心自己的事，不越界。

下面这张对照表，我建议你收藏起来。以后看 Wireshark 时，随时对照：

OSI 七层	TCP/IP 四层	Wireshark 中看到的协议举例	核心作用
应用层、表示层、会话层	应用层	HTTP, DNS, TLS, FTP	用户数据本身
传输层	传输层	TCP, UDP	端到端通信、端口号
网络层	网络层	IP, ICMP, ARP	路由寻址
数据链路层、物理层	网络接口层	Ethernet, Wi-Fi	物理传输、MAC 地址

3. 封装与解封装：数据包的「变形记」

这是本章最重要的概念。说白了，就是数据在发送端被一层层「穿上衣服」，在接收端被一层层「脱掉衣服」。

我曾经帮一个同事排查一个诡异的问题：网页能打开，但图片加载不出来。他抓了包，盯着应用层数据看了半天没发现问题。我让他看 IP 层——结果发现分片了，而且有一个分片丢了。这就是典型的「只看应用层，忽略了底层封装」的坑。

发送端：封装过程

1. 应用层：浏览器生成 HTTP GET 请求数据。
2. 传输层：TCP 给数据加上头部（源端口、目的端口、序列号），形成 TCP 段。
3. 网络层：IP 给 TCP 段加上头部（源 IP、目的 IP），形成 IP 数据报。
4. 数据链路层：以太网给 IP 数据报加上头部（源 MAC、目的 MAC）和尾部（FCS 校验），形成帧。
5. 物理层：帧被转换成比特流，通过网线或 Wi-Fi 发出去。

接收端：解封装过程

1. 物理层：收到比特流，还原成帧。
2. 数据链路层：检查 MAC 地址是否匹配，校验 FCS，去掉帧头和帧尾，取出 IP 数据报。
3. 网络层：检查 IP 地址是否匹配，去掉 IP 头部，取出 TCP 段。
4. 传输层：检查端口号，去掉 TCP 头部，取出应用数据。
5. 应用层：浏览器拿到 HTTP 响应，渲染页面。

4. 一张图看懂全过程

下面这张 SVG 图，把封装和解封装的过程画在了一起。左边是发送端，右边是接收端，中间是网络传输。我建议你盯着看 30 秒，把每一层的「穿脱衣服」动作在脑子里过一遍。

5. 实战：在 Wireshark 里验证封装

光看理论不过瘾。我带你实际操作一下。打开 Wireshark，抓一个 HTTP 包（比如访问 http://example.com），然后展开任意一个包。你会看到：

1. Frame 层：显示接口 ID、包大小、时间戳。这不是真正的协议层，而是 Wireshark 自己加的元信息。
2. Ethernet II 层：源 MAC 和目的 MAC。如果你在局域网内抓包，这里能看到网关的 MAC。
3. IP 层：源 IP 和目的 IP。注意看 TTL 字段，每经过一个路由器就会减 1。
4. TCP 层：源端口、目的端口、序列号、确认号。还有一堆标志位（SYN、ACK、FIN 等）。
5. 应用层：比如 HTTP 的 GET 请求行和头部。

6. 为什么你要理解这些？

你可能会问：「我直接用 Wireshark 的过滤语法不就行了？干嘛要学这些底层结构？」

我举个例子。有一次，客户反馈说他们的视频会议经常卡顿。我抓了包，发现 UDP 包大量乱序。如果我不懂传输层封装，我可能会以为是网络带宽不够。但看了 UDP 头部之后，我发现是接收端的缓冲区设置太小，导致包被丢弃了。这就是「懂结构」和「只会用工具」的区别。

说白了，Wireshark 只是一个翻译器。它把二进制数据翻译成你能看懂的文字。但如果你不懂数据包的结构，你连翻译结果都看不懂。这一章的内容，就是你读懂 Wireshark 的「字母表」。