网络协议分层与数据包结构
说实话，我刚入行那会儿，抓包就是瞎点。看到一大堆十六进制和ASCII混排的"天书"，根本不知道从哪下手。后来带我的老工程师丢给我一句话：「不懂分层，抓包就是抓瞎」。这句话，我今天也送给你。
核心观点：网络协议分层，是把复杂通信拆解成可独立处理的模块。抓包的本质，就是在各层之间"截获"并解析这些模块的头部信息。
1.1 为什么要分层？
假设你要寄一个包裹。你会关心什么？
- 寄件人/收件人地址（网络层：IP地址）
- 包裹内容物（应用层：HTTP/FTP数据）
- 运输方式（传输层：TCP/UDP）
- 快递小哥怎么送（链路层：以太网）
每一层只负责自己的事，互不干扰。这就是分层设计。
我在项目中遇到过最典型的反面教材——有人直接拿应用层数据去匹配链路层地址，折腾了两天才发现是层数搞错了。你想想看，如果分层清晰，这种低级错误根本不会发生。
1.2 OSI七层 vs TCP/IP四层
教材上总会让你背OSI七层模型。但说实话，实际抓包时我们用得最多的是TCP/IP四层模型。它更贴近真实网络协议栈。
| 层级（TCP/IP） | 代表协议 | 抓包看到的典型字段 |
|---|---|---|
| 应用层 | HTTP, DNS, FTP | URL, 状态码, 域名 |
| 传输层 | TCP, UDP | 源/目的端口, 序列号, 标志位 |
| 网络层 | IP (IPv4/IPv6) | 源/目的IP, TTL, 协议号 |
| 链路层 | 以太网, PPP | MAC地址, 帧类型 |
小经验：抓包时先看传输层的端口和标志位。端口告诉你"这是什么应用"，标志位告诉你"连接状态如何"。我个人习惯从这往下看链路层，再往上看应用层。
1.3 数据包结构实战
一个数据包（Packet）长什么样？说白了就是一层套一层。每一层都把自己的头部（Header）加在前面，像俄罗斯套娃。
我习惯画一个简图来理解：
+------------------+------------------+------------------+------------------+
| 链路层头部 | 网络层头部 | 传输层头部 | 应用层数据 |
| (14字节/以太网) | (20字节/IPv4) | (20字节/TCP) | (可变长度) |
+------------------+------------------+------------------+------------------+
抓包工具（比如Wireshark）会替你拆开这些头部，并且在界面上用颜色区分。但我建议你手动盯一次原始十六进制数据。为什么？因为有一次我排查一个诡异的MTU问题，就是靠肉眼从十六进制里找到了"DF"标志位（不分片标志）——当时界面上的解析居然是错的。
1.4 抓包时各层怎么看？
嗯，这里要注意。不同层的头部字段，重要性是不一样的。
链路层（Layer 2）
- Mac地址：源和目的。局域网内寻址用。
- EtherType：告诉上层是什么协议（0x0800=IPv4，0x0806=ARP）。
- 避坑：我曾经抓了半天发现数据包"消失了"，结果是交换机端口开启了MAC地址过滤，包根本没过网卡。
网络层（Layer 3）
- IP地址：源和目的。跨网络通信关键。
- TTL：跳数限制。如果太短，包会在中途被丢弃。
- 协议号：6=TCP，17=UDP，1=ICMP。猜猜哪个是你抓到的包？
- 注意：IPv4头部有20字节固定长度+可选字段。别小看这20字节，里面藏着服务类型、标识、片偏移——处理分片时它们就是救命稻草。
传输层（Layer 4）
- 端口号：源端口随机分配，目的端口决定服务。
- TCP标志位：SYN（建连）、ACK（确认）、FIN（断开）、RST（重置）。这三板斧能解决80%的连接问题。
- 序列号/确认号：确保数据有序到达。丢包重传就看它。
- 个人经历：有一次定位"为什么下载速度忽快忽慢"，最后发现是接收窗口（Window Size）变小了。TCP流量控制就在这个字段里。
应用层（Layer 7）
- 协议正文：比如HTTP的请求行、头部、正文。
- 编码和压缩：很多数据是gzip压缩的，抓包直接看就是乱码。得先解压。
- 注意：有些抓包工具会自动解码。但我建议手动配置一次解码规则，不然遇到自定义协议时你根本不知道工具在干什么。
警告：不要混淆分层模型和实际协议栈。例如ICMP，教材上放网络层，其实它工作在IP之上，但又不像传输层那样提供端口。抓包时ICMP没有端口字段，你只能用类型/代码去找问题。
1.5 数据包封装与解封装
发送方：应用层数据 → 加传输层头 → 加网络层头 → 加链路层头 → 物理层发出去。
接收方：反着来，一层层剥掉头部。
这里面有个关键点：每一层都只处理自己关心的头部。链路层不关心IP地址，网络层不关心端口号。各司其职，才能保证网络稳定。
我还记得刚学抓包时，看到Wireshark里面显示的"帧"、"包"、"段"、"报文"这几个术语，差点崩溃。后来明白了：
- 帧（Frame）：链路层的数据单位，包含MAC头。
- 包（Packet）：网络层的数据单位，包含IP头。
- 段（Segment）：传输层的数据单位（TCP叫段，UDP叫数据报）。
- 报文（Message）：应用层的数据单位。
你看，分层解决了术语混乱的问题。每个术语都对应一个层级。这就是分层带来的清晰度。