★ FEATURED ARTICLE 很多人学计算机网络第一反应就是去背协议三次握手、IP地址分类、HTTP状态码……背的时候条条清晰可真到了实际环境里要么被一个ARP问题卡住要么被一套子网划分算到怀疑人生。我早期就是这么学的后来在排障和面试里反复碰壁才悟出一个道理网络不是一门背诵课而是一门工程课。这篇笔记就是我从“背知识点”转向“搭知识体系”之后重新梳理网络核心基础的精讲学习记录。我不会按教材目录一章一章平推而是沿着一条主线走先搭起分层模型这个总框架再把数据链路层、网络层、传输层这些真正的地基部分讲透最后落到应用层的常见协议和排障实战。内容里会穿插Wireshark抓包、子网划分的计算过程、TCP状态变化等实操细节都是我自己做过、验证过的。适合三类人参考正在准备408或期末复习的在校生、刚入行的运维和开发同学以及自学网络想查漏补缺的爱好者。1. 怎么学才不白学路线设计与资料取舍1.1 为什么核心基础比花哨技术更重要很多新手上来就想摸K8s网络、SDN、VXLAN这些看起来很“高级”的东西但我和身边做网络的同学有一个共同感受凡是能在线上环境里真正解决问题的人最后拼的都是基础功底。你不懂ARP可能连“为什么换了IP还是上不了网”都解释不清不懂TCP半连接队列线上偶发连接超时的时候只能干瞪眼不谈HTTP连接模型后端接口性能调优就少了一半思路。所谓网络核心基础指的就是分层模型、帧与包的结构、IP编址与路由、TCP可靠性、DNS和HTTP这些底层机制。它们看似枯燥却是所有上层技术的共同底座。就像盖房子你可以在上面装修得很漂亮但地基松了墙皮再好看也撑不住。我给自己定的原则是不追求“听过很多协议名”而是追求“每个核心机制的为什么都能答上来”。比如TCP为什么要三次握手而不是两次子网掩码为什么这么算帧校验序列是怎么出来的。这些“为什么”才是面试和排障真正会考到的东西。1.2 主流教材和资料怎么选市面上的网络教材很多常被问到的几套我简单做个横向对比方便你按自己的场景选择。资料特点适合场景谢希仁《计算机网络》体系完整原理细节讲得清楚课后题质量高系统学习、考研备考、期末复习《计算机网络自顶向下》从应用层切入贴近工程Wireshark实验多有基础后加深理解、开发者入门王道考研计算机网络考点浓缩真题导向节奏快408短期冲刺、快速过重点湖科大教书匠B站讲解细致图表丰富偏原理推导配合教材理解底层逻辑适合打基础我的建议是时间充裕就以谢希仁或自顶向下为主干视频课做辅助时间紧张就直接王道加湖科大视频搭配刷题。但无论选哪套有一点躲不开——必须动手练习光看视频和书很难形成手感。1.3 我的学习闭环读、练、抓包这套方法看起来朴素但极其有效我每一层协议都是这么学过来的第一遍读教材对应章节把概念过一遍第二遍做至少十道相关题目包括计算题和概念题第三遍打开Wireshark抓真实的网络包把理论上的字节结构和实际报文对起来。比如链路层我读完“以太网帧由目的MAC、源MAC、类型、数据和FCS组成”之后就去抓了一个ping包亲眼看到二层源MAC地址、目的MAC地址以及三层里的源IP、目的IP被一层层封装在里面。那一刻我才真正理解了什么叫“封装”。这个流程听起来慢但学到的东西非常牢固后面排障时很多判断都是靠这种直觉。2. 分层模型先有骨架再谈细节2.1 为什么网络一定要分层分层这件事平时你可能觉得没什么好讲的但它恰恰是整个网络体系里最重要的思想。想象一下寄快递你只需要在包裹上写好寄件人和收件人信息快递公司负责分拣和运输卡车飞机负责实际运送。你不需要关心快递公司内部怎么调度快递公司也不需要自己造飞机。网络分层也是同一个逻辑——每一层只关心自己的职责向上层屏蔽细节向下层提出需求。这样做的好处有三个一是问题隔离哪一层出了故障就排查哪一层二是标准化只要接口报文格式固定各层实现可以独立替换三是可演进从IPv4换到IPv6时不需要把物理网线全部重铺一遍。很多人分不清“分层”和“协议栈”这两个概念。简单理解协议栈是分层的具体实现每一层跑着对应的协议比如网络层跑IP协议传输层跑TCP或UDP协议。分层的价值就是让这些协议能够有序地协作。2.2 OSI七层与TCP/IP四层的对照学习时一定要把这两套模型的对应关系搞清楚否则做题时容易懵。OSI七层TCP/IP四层典型协议典型设备应用层、表示层、会话层应用层HTTP、DNS、FTP、SMTP计算机、应用服务器传输层传输层TCP、UDP防火墙、四层负载均衡网络层网络层IP、ICMP、ARP、OSPF路由器、三层交换机数据链路层网络接口层Ethernet、Wi-Fi交换机、网卡物理层网络接口层网线、光纤、无线电中继器、集线器面试里常问“DNS属于哪一层”要注意DNS报文本身走UDP/TCP传输但按功能它属于应用层因为它解决的是“域名到IP的映射”这个应用问题。同理ICMP虽然跑在IP之上但通常还是归到网络层因为它是协助IP工作的控制协议。这些边界问题需要刻意去记。2.3 用分层视角拆解一次完整网页访问把一次网页访问从头到尾走一遍是检验自己是否真的理解分层的最好方式。我经常用这个例子帮朋友建立全局感浏览器输入网址后应用层先用DNS把域名解析成IP地址传输层发起TCP连接经过三次握手建立可靠通道网络层把数据封装成IP包通过路由表找到下一跳数据链路层把IP包进一步封装成帧填上源和目的MAC地址物理层把帧变成比特流在网线或无线信道里传输。数据到达服务器后再按相反方向逐层解封装最终取出HTTP请求返回响应。整个过程里每一层都只处理自己关心的信息应用层不关心路由怎么走网络层也不关心数据是HTTP还是FTP。理解了这个主流程后面看任何协议都会觉得顺很多。3. 数据链路层帧在网线里的模样3.1 链路层的三个基本功数据链路层负责把网络层交下来的IP数据报封装成帧再通过物理层发送出去。它干的事情主要有三件封装成帧、差错检测、介质访问控制。封装成帧的核心是在数据前后加上首部和尾部让接收方知道一个帧从哪里开始、到哪里结束。差错检测则是在帧尾附加一个校验码防止数据在传输过程中被噪声干扰。介质访问控制在早期以太网里非常重要那时候多台设备共享一条总线为了避免同时发送导致冲突才有了CSMA/CD这种“先听再发、冲突退避”的机制。现在的以太网普遍采用交换机和全双工模式处撞检测基本退出了历史舞台但帧的封装格式和差错检测仍然完整保留着。理解这些基本功对后面理解交换机和排障都很有帮助。3.2 亲手抓一个以太网帧Wireshark是我最推荐的网络学习工具没有之一。装好之后选择一块正在通信的网卡过滤框里输入eth.type 0x0800就能只看到封装IPv4报文的以太网帧。双击任意一个包展开Ethernet II那一层你会看到目的MAC地址、源MAC地址和类型字段。字段含义就是前6字节目的MAC、后6字节源MAC、紧跟着2字节类型字段0x0800表示上层是IPv40x0806表示上层是ARP。再往下展开能看到IP层、TCP层、应用层的数据每一层都嵌套在前一层的“数据”字段里。我第一次抓包看到这种一层套一层的结构时对“封装”两个字的理解完全不同了。你在网上看一百遍概念都不如亲眼看到一帧数据里的地址字段来得直观。3.3 CRC差错检测算一个FCS差错检测里最常见的是CRC循环冗余校验。以太网帧尾的FCS就是CRC-32的计算结果它能以极高的概率发现传输过程中的比特错误但不是加密也做不到纠错。理解CRC可以看这个简化例子。假设生成多项式是G(x)x^3x1对应的二进制是1011要发送的数据是1101。发送方在数据后面补3个0变成1101000然后不断和1011做模2除法也就是按位异或。这个过程的Python实现如下def crc_remainder(data_bits, gen_bits): data data_bits [0] * (len(gen_bits) - 1) for i in range(len(data) - len(gen_bits) 1): if data[i]: for j in range(len(gen_bits)): data[i j] ^ gen_bits[j] return data[-(len(gen_bits) - 1):] data [1, 1, 0, 1] gen [1, 0, 1, 1] print(crc_remainder(data, gen)) # [0, 1, 1]即 FCS 011所以最终发送的比特串是1101011。接收方拿到数据后用同样的生成多项式再做一次除法如果余数全为零就认为传输没有问题。这套机制在网卡硬件里实现速度快、开销小是数据通信里最值得了解的计算之一。3.4 交换机怎么转发MAC地址表数据链路层的核心设备是交换机。交换机启动时MAC地址表是空的收到一个帧之后它会做三件事记录源MAC地址和对应端口查目的MAC地址如果表里有就只从对应端口转发如果表里没有就向除入端口外的所有端口泛洪。听起来很简单但这里藏着一个常见的性能问题MAC地址表是有限的如果局域网里广播帧特别多所有设备都会被反复打扰。一些网络异常场景比如某台设备中了蠕虫病毒疯狂发送目的MAC不明确的数据帧就会导致交换机泛洪量暴涨整网卡顿。这就是为什么我一直说链路层的知识不是考试限定而是真正能拿来排查日常网络问题的工具。头歌平台上有不少以太网帧结构的实训题我的建议是先自己抓包看一遍真实帧结构再做而不是直接找答案。抓过包之后那些字段为什么存在、顺序为什么这样排会变得非常自然。4. 网络层IP规划与路由是进阶敲门砖4.1 IPv4地址的几个核心概念IPv4地址是32位二进制数为了人类可读才写成点分十进制。早期网络用分类编址把地址分成A、B、C类后来因为浪费严重现在普遍用CIDR无类别域间路由用“/前缀长度”表示网络位和主机位的划分。有几个地址段必须烂熟于心私有地址段是10.0.0.0/8、172.16.0.0/12和192.168.0.0/16这些地址只能在局域网内部使用不能直接上公网回环地址是127.0.0.1用来表示本机。还有一个常用的是169.254.0.0/16这是DHCP分配失败时系统自动配置的地址看到它往往意味着没拿到IP我排障时第一时间就会确认这个。理解网关也很有用。网关本质上是本网段通往其他网段的出口路由器的IP地址。主机发往非本网段的数据包必须先交给网关再由网关做路由转发。4.2 子网划分实战从需求到方案子网划分是网络层最核心的计算能力之一也是408和面试题里的常客。每次做这类题我都按固定流程走先统计需求再确定主机位长度最后分配地址段。举一个实际案例某公司拿到了一个192.168.1.0/24网段需要划分给两个部门部门A需要120台主机部门B需要50台主机。计算步骤是这样的部门A需要120台那么主机位至少要有7位因为2^7-2126够用且不浪费对应前缀长度是32-725也就是/25子网。部门B需要50台主机位至少6位因为2^6-262够用对应前缀是/26。具体分配如下部门子网掩码可用地址范围广播地址部门A192.168.1.0/25255.255.255.128192.168.1.1 ~ 192.168.1.126192.168.1.127部门B192.168.1.128/26255.255.255.192192.168.1.129 ~ 192.168.1.190192.168.1.191剩余192.168.1.192/26可以作为后续扩容段。这里最容易被忽略的是子网分配顺序必须连续不交叉不能先从192.168.1.64/26开始给A那样会和B的地址空间重叠。另一个高频坑是忘记减2网络地址和广播地址都不能分配给主机。如果需求是“一个园区总共需要500个地址”那就直接用一个/23网段比如192.168.4.0/23掩码255.255.254.0可用地址从192.168.4.1到192.168.5.254广播地址是192.168.5.255。这类题的关键就一句话先算主机位再定掩码最后按顺序切段。4.3 路由表转发与最长前缀匹配路由器的核心工作是查路由表决定把数据包交给哪个下一跳。路由表项通常包含目的网络、掩码、下一跳地址和出接口。比如路由表里有三条路由192.168.1.0/24指向接口A192.168.0.0/16指向接口B0.0.0.0/0指向运营商网关。现在来了一个目标地址192.168.1.55的数据包按最长前缀匹配原则它应该走192.168.1.0/24这条路由因为它的前缀长度最长匹配最精确。默认路由0.0.0.0/0之所以排在最后就是因为它匹配所有地址但精确度最低。只有当前面没有更精确的路由时数据包才会走默认路由。这个原则我建议亲自在路由器或模拟器里配置一次印象会深很多。4.4 ARPIP地址和MAC地址之间的桥网络层用IP地址寻址数据链路层用MAC地址寻址两者之间靠ARP协议衔接。ARP的工作过程就两步本机广播一个“谁的IP是192.168.1.1请把你的MAC地址告诉我”目标设备收到后单播回复自己的MAC地址然后双方把这条映射缓存起来缓存通常几分钟后过期。ARP看起来简单但实际排障里经常遇到问题。比如IP地址冲突两台主机配置了同一个IPARP请求会得到两个不同的MAC应答通信就会时断时续。还有ARP欺骗有人故意发送伪造的ARP应答让流量被劫持。遇到这类问题可以先在命令行里用arp -a查看本机ARP缓存再用ipconfig /all确认本机IP和网关配置往往能找到线索。5. 传输层和应用层建立连接的细节5.1 TCP三次握手和四次挥手拆解TCP三次握手应该是全网被讲烂的话题但真正理解它背后的“为什么”比背状态名重要得多。第一次握手客户端发送SYN报文携带初始序列号x第二次握手服务器回复SYNACK确认号是x1同时带上自己的初始序列号y第三次握手客户端发送ACK确认号是y1。为什么不是两次因为三次握手可以防止失效的连接请求突然到达服务器。比如客户端发起了一个连接请求因为网络拥塞迟迟没到超时后客户端重发请求并成功建立了连接这时第一次的旧请求又到了服务器如果是两次握手服务器会误以为这是一个新连接并浪费资源三次握手后客户端对旧请求不会回应服务器自然就能识别出来。四次挥手则是因为TCP连接是全双工的两个方向需要分别关闭。主动关闭方发送FIN被动方回复ACK然后被动方发送自己的FIN主动方再回复ACK。主动方收到对方的FIN后会进入TIME_WAIT状态等待2MSL再关闭。等待的原因有两个一是确保最后一个ACK能到达对方如果丢了可以重发二是让老连接的数据包在网络中彻底消失避免干扰新连接。5.2 可靠传输的机制TCP的可靠性不是靠某个单一机制而是靠序列号、确认应答、超时重传和滑动窗口这套体系协同工作。发送方给每个字节编号接收方收到后回ACK确认。发送方如果迟迟没有收到确认就会在一段时间后重传。滑动窗口则解决了效率问题让发送方不用每发一个包就停下来等确认而是可以一次性发送多个数据包根据窗口大小控制并发量。理解这一块最好的方式是观察抓包里的序列号和确认号。你会发现确认号往往不是简单的当前包序号加1而是“期望收到的下一个字节序号”。这个细节搞明白之后TCP的很多疑难杂症就都能解释了。5.3 HTTP的核心演进和常用状态码应用层最常碰到的是HTTP。HTTP/1.1用持久连接加管线化来复用TCP连接但还是存在队头阻塞问题HTTP/2引入多路复用在同一个连接上并行传输多个流很大程度上解决了队头阻塞HTTP/3改用QUIC协议基于UDP把连接建立和加密握手合并适合弱网场景。状态码也是必须掌握的2xx表示成功最常用2003xx表示重定向301是永久重定向302是临时重定向4xx表示客户端错误404是资源不存在403是禁止访问5xx表示服务器错误500是服务器内部错误502是网关错误504是网关超时。排障时看到状态码基本能定位问题在前端、网关还是后端。DNS也值得单独说一句。解析流程大致是先查本地缓存再查系统配置的DNS服务器如果缓存没有DNS服务器会替你去根域名服务器、顶级域名服务器和权威域名服务器逐级查询。遇到“域名能ping通但有网页访问慢”的情况多半和DNS解析时间有关可以用nslookup命令查看具体解析耗时。5.4 用抓包验证TCP状态变化只看书很难形成肌肉记忆我强烈建议你亲手抓一次TCP连接过程。打开Wireshark过滤框输入tcp.stream eq 0然后访问任意一个HTTP网站并关闭页面就能看到完整的握手和挥手过程。前三个包是SYN、SYNACK、ACK注意观察他们的序列号如何递增。随后是大量数据包每个数据包的Seq和Ack都在有序推进。最后四个包是FIN、ACK、FIN、ACK其中第一个FIN后的那个ACK对应的是TCP状态里的CLOSE_WAIT到LAST_ACK变化最后一个ACK之后主动方进入TIME_WAIT。如果你在抓包里看不到最后一个ACK往往是因为它很快被系统回收了这也是正常现象。这套观察做一次TCP对你来说就不再是抽象的状态机而是看得见摸得着的东西。6. 学习中的坑点和排障记录6.1 初学阶段最容易踩的坑我见过太多人栽在下面这几类问题上提前写出来希望你能绕开。第一分不清端口到底属于哪一层。端口是传输层的概念TCP和UDP用端口号来区分应用IP层没有端口。第二以为MAC地址是全局唯一的。MAC地址只需要在局域网内唯一跨网段通过路由转发时二层地址每经过一跳都会变成新的源和目的而IP地址保持不变。第三计算广播地址时忘记把主机位全置1。第四把子网掩码当成一种“路由配置项”其实它是用来区分网络位和主机位的工具所有主机都需要正确配置掩码才能判断目标是否在本网段。第五以为ping通了就代表网络没问题。ping只能说明ICMP可达端口能不能通、服务正不正常都需要进一步验证。这五个坑每一个我都在真实环境里碰到过。特别是第二点理解了“MAC地址逐跳变化、IP地址端到端不变”之后对路由转发机制的理解会提升一个档次。6.2 实战异常流量告警怎么排查有时候系统会弹出一条提示“我们的系统检测到您的计算机网络中存在异常流量请稍后重新发送请求。”这种情况我在多个场景都遇到过先别慌它不一定是被攻击也可能是某款软件后台行为导致的。我的排查顺序是这样的第一步打开任务管理器切到详细信息页签按网络占用排序看看是哪个进程在大量收发数据。第二步用netstat -ano查看当前所有建立的TCP连接找到大量外连的PID再到任务管理器里反查是哪个程序。第三步如果疑似是P2P下载器或挖矿程序直接结束进程并断网确认。第四步更新系统补丁、杀毒软件全盘扫描同时检查路由器的设备列表排除局域网内其他设备被劫持的可能。现象可能原因处理方向某个进程持续占满带宽P2P下载、后台视频上传结束进程、限制带宽出现大量未知外连IP挖矿木马、远控后门断网隔离、杀毒局域网整体变慢某设备大量泛洪、ARP欺骗登录路由器排查终端列表访问网页频繁提示异常流量共享IP被滥用、代理出口被封更换出口IP、检查本地进程很多人以为“异常流量”一定是黑客攻击其实大多数情况下就是自己电脑上某个不守规矩的软件在后台高频请求。只要按这个流程走基本能定位到源头。6.3 备考408和期末复习的针对性建议如果你在准备408网络部分的特点是选择题多、单题分值不高但大题一定会有计算和综合题比如静态路由配置、子网划分、TCP连接和滑动窗口的计算。复习顺序建议是数据链路层、网络层、传输层、应用层、物理层网络层和传输层是绝对重点投入时间值得拉满。资料搭配上我的体会是湖科大教书匠的视频负责把原理讲透王道负责把考点浓缩和题型练熟谢希仁的教材和课后题负责覆盖细节自顶向下则适合那些想从应用层角度理解网络的同学。不建议贪多把其中两套吃透就足够。期末复习则围绕“封装和解封装”这条主线展开把每一层加了什么、去了什么弄清楚再把DNS、DHCP、TCP、IP这几个核心协议的过程默写一遍及格和拿高分都不成问题。头歌这类实训平台上有不少网络实验题能自己做就自己做做的时候先想清楚协议行为再去查命令和参数而不是反过来靠搜索引擎找答案。我个人在实际操作中最深的体会是学网络一定要动手。抓包、划子网、看路由表都是低成本的事但每次动手之后的理解深度比读十遍书还要扎实。还有一个小技巧学完一章试着给同事或同学讲一遍讲得出来才算真懂了。这份笔记只是一份骨架希望你能借着它搭起自己的知识体系少走点我当时走过的弯路。
阅读完成 · 觉得有帮助？
