第7章 网络层协议

本课程锁定Chris Sanders著，诸葛建伟、陆宇翔、曾皓辰译《Wireshark数据包分析实战（第3版）》，人民邮电出版社，2018年12月，332页，ISBN 9787115494313；英文原版Practical Packet Analysis, Third Edition，No Starch Press，2017年4月，368页，ISBN 9781593278021。No Starch Press官方页面与详细目录确认导言、13章、附录A/B和索引；中文版目录确认203个编号节/小节。附录内部条目以官方英文详细目录补齐，忠实度分母共253个正式节点。

从一个可证伪的数据包结论开始

先写预测：ARP、IP与ICMP跨层相关，遗漏一层会把邻居解析失败误判为路由失败。然后固定接口、捕获点、时钟、snaplen、名称解析和配置方案，保存未经修改的原始PCAP。任何结论必须指向具体帧号、字段、字节偏移和相邻事务。

本页主问题是：逐字段分析ARP、IPv4、IPv6、ICMP、ICMPv6和traceroute数据包。验收不变量是：链路地址、网络地址、协议字段、校验、跳数与请求响应能逐字节对应。看到一个协议标签、专家告警、最终错误或统计峰值都只是线索，不能单独证明根因。

核心词汇与第3版边界

ARP、IPv4、IPv6、ICMP、traceroute

本书工具边界固定在Wireshark 2.0.5和2017年英文第3版：保留TShark、tcpdump、AirPcap、WEP/WPA、原书恶意流量案例和当时工具生态。当前Wireshark语法、Npcap演进、WPA2/WPA3或QUIC可以另作对照，不能替换正式节点。

核心机制深读

先证明捕获点看得见目标流量

画出端点、交换机、路由器、镜像口或分流器和分析主机。记录双向包数、接口丢包、snaplen、硬件卸载和时钟来源；混杂模式本身不保证交换网络可见性。

从原始字节到协议树

先定位帧边界和十六进制偏移，再按链路层、网络层、传输层和应用层解释。解析器、名称解析、着色和专家信息都是可变解释层，必须与原始字节互证。

用会话与时间线而不是孤立帧诊断

为请求/响应、Seq/Ack、窗口、重传、DNS标识或无线认证建立有方向的时间线。先找首个不满足预期的帧，再区分原因、传播和最终症状。

只改变一个分析变量

固定PCAP，只改变一个过滤器、解析器、时间参考或配置方案；或固定环境，只改变一个网络条件。保存前后包数、帧号和字节差异，避免多变量实验。

用独立复现关闭证据门

另一位学习者只拿原始PCAP、捕获说明和命令即可得到同一结论。若还需要口头解释，说明捕获位置、字段映射、版本边界或反例仍不完整。

五层数据包证据矩阵

第一层：证明捕获完整性

捕获开始前保存拓扑、接口名称、链路速率、网卡模式、snaplen、缓冲区、时间源和硬件卸载设置。捕获结束后比较接口计数器、Wireshark丢包统计、文件首尾时间和双向流量。镜像口可能过载，虚拟交换机会改变可见范围，发送端卸载还可能让本机抓包出现尚未在线路上传输的大包；这些都必须先排除，才能讨论协议故障。

第二层：证明解码与原始字节一致

解析树只是解析器基于端口、启发式规则和上下文给出的解释。围绕 第7章 网络层协议 的关键帧，同时保存 frame.number、frame.time_relative、五元组、协议字段和十六进制偏移；遇到非标准端口、截断包或畸形长度时，分别比较默认解析、Decode As和原始字节。名称解析必须能关闭，否则主机名和服务名可能掩盖真实地址与端口。

第三层：证明时序和方向

把客户端到服务器、服务器到客户端分成两条有向时间线，统一相对时间参考。TCP要追踪Seq、Ack、标志、窗口、重传和乱序；请求响应协议要追踪事务标识、状态和重试；无线认证要追踪帧类型、信道与BSSID。只有孤立帧时，不得从“先看到”推断“先发生”，因为捕获位置、时钟漂移和缓冲刷新都会影响顺序。

第四层：区分首个偏差、传播与症状

先写正常状态机，再寻找第一个不满足预期的帧。后续RST、超时、重复请求或应用报错是传播结果，不能自动成为根因。第7章 网络层协议 的诊断要保留至少一个竞争解释，例如“服务器慢”与“接收窗口受限”、“线路丢包”与“抓包点丢包”、“恶意扫描”与“正常健康检查”，并用新增捕获或端点日志逐一排除。

第五层：让复核者独立重放

第7章 网络层协议 的证据包以只读原始 PCAP 及其哈希为起点，另存分析副本、显示过滤器、TShark/tcpdump命令、配置方案、关键帧表、故障注入、恢复步骤和结论。复核者必须能从空白配置开始重放，并指出相同首个偏差和字节位置。若工具版本导致字段名变化，应保留第3版语法，同时单独记录现代等价写法，不能静默改写历史课程。

frame=42  direction=client->server  delta=0.120s  offset=0x22
expected="ACK advances and receive window remains open"
observed="duplicate ACK, unchanged acknowledgment number"
next_test="compare capture loss counters and receiver window"

原书目录核对清单

• 第7章 网络层协议
• 7.1 地址解析协议
• 7.1.1 ARP头
• 7.1.2 数据包1：ARP请求
• 7.1.3 数据包2：ARP响应
• 7.1.4 Gratuitous ARP
• 7.2 互联网协议
• 7.2.1 互联网协议第4版（IPv4）
• 7.2.2 互联网协议第6版（IPv6）
• 7.3 互联网控制消息协议
• 7.3.1 ICMP头
• 7.3.2 ICMP类型和消息
• 7.3.3 Echo请求与响应
• 7.3.4 路由跟踪
• 7.3.5 ICMP第6版（ICMPv6）

可复现实验记录

capture = interface + topology + direction + clock + snaplen + loss_counter
packet  = frame_number + timestamp + five_tuple + protocol_fields + raw_bytes
claim   = prediction + first_deviation + alternative_explanation + recovery

tshark -r sample.pcapng -Y "tcp.analysis.retransmission" -T fields -e frame.number -e frame.time_relative -e ip.src -e tcp.seq
tcpdump -nn -r sample.pcap 'host 192.0.2.10 and tcp port 80'

动手试：保存一次正常事务、一次单变量故障和一次恢复事务。对每条结论记录原始文件哈希、帧号、显示过滤器、字段偏移、首个偏差、责任人与复核人。

独立证据门

第7章 网络层协议 的最小证据包包含：第3版节点、工具版本、拓扑、捕获点、原始PCAP哈希、帧号、过滤器、原始字节、单变量故障、恢复、偏差、责任人与复核人。

练习

本章回顾

“第7章 网络层协议”的核心是逐字段分析ARP、IPv4、IPv6、ICMP、ICMPv6和traceroute数据包。真正掌握不是记过滤器或菜单，而是能从捕获位置、原始字节、协议状态与时间线证明结论，并构造最小反例。

← 上一页：第6章 用命令行分析数据包 · 下一页：第8章 传输层协议 →

原版目录概念补充核对

以下条目补齐官方目录中容易被示例主线掩盖的概念。它们不重复罗列目录，而是明确每项概念的机制、适用边界和验收证据。

7.1 地址解析协议：机制、边界与证据

第7章 网络层协议中的7.1 地址解析协议必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.1.1 ARP头：机制、边界与证据

第7章 网络层协议中的7.1.1 ARP头必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.1.2 数据包1：ARP请求：机制、边界与证据

第7章 网络层协议中的7.1.2 数据包1：ARP请求必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.1.3 数据包2：ARP响应：机制、边界与证据

第7章 网络层协议中的7.1.3 数据包2：ARP响应必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.1.4 Gratuitous ARP：机制、边界与证据

第7章 网络层协议中的7.1.4 Gratuitous ARP必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.2 互联网协议：机制、边界与证据

第7章 网络层协议中的7.2 互联网协议必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.2.1 互联网协议第4版（IPv4）：机制、边界与证据

第7章 网络层协议中的7.2.1 互联网协议第4版（IPv4）必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.2.2 互联网协议第6版（IPv6）：机制、边界与证据

第7章 网络层协议中的7.2.2 互联网协议第6版（IPv6）必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.3 互联网控制消息协议：机制、边界与证据

第7章 网络层协议中的7.3 互联网控制消息协议必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.3.1 ICMP头：机制、边界与证据

第7章 网络层协议中的7.3.1 ICMP头必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.3.2 ICMP类型和消息：机制、边界与证据

第7章 网络层协议中的7.3.2 ICMP类型和消息必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。

7.3.3 Echo请求与响应：机制、边界与证据

第7章 网络层协议中的7.3.3 Echo请求与响应应被写成“观察字段—推断状态—反例条件”的证据链。保留原始帧号和时间戳，说明所用过滤器与会话边界，再用至少一个相邻层字段或端点日志交叉验证，避免从单个高亮报文直接跳到根因。

7.3.4 路由跟踪：机制、边界与证据

第7章 网络层协议中的7.3.4 路由跟踪应被写成“观察字段—推断状态—反例条件”的证据链。保留原始帧号和时间戳，说明所用过滤器与会话边界，再用至少一个相邻层字段或端点日志交叉验证，避免从单个高亮报文直接跳到根因。

7.3.5 ICMP第6版（ICMPv6）：机制、边界与证据

第7章 网络层协议中的7.3.5 ICMP第6版（ICMPv6）必须沿封装层次和会话时序解释：字段只在对应协议状态与方向中有意义。核查时同时查看上下层地址、长度/校验信息、序列或事务标识和响应关系，并把异常帧关联到发送端日志或套接字状态。