Wireshark详解系列（五）——从分层模型和数据包封装认识数据包解码

前篇

上一篇文章我们引入了一个实例，让大家了解了用Wireshark能实现的价值。要精通Wireshark，其实需要做到2点：一是熟悉Wireshark的界面、功能及使用方法；而是对网络协议有深层次的理解。所以免不了要讲一些和基础相关的东西，希望不要跳过基础知识学习。本篇文章细节内容较多，可能会比较费时。

前言

这周行里上新设备，挺折腾，没能第一时间更新。要周末了，终于有点儿时间可以给大家继续讲解Wireshark。今天计划跟大家讲讲Wireshark的数据包解码界面，周末构思了很久，觉得还是有必要把网络分层模型、数据包封装解封装和数据包结构给大家讲解一下，在对这些基础知识掌握了以后，再使用Wireshark才能够做到水到渠成。希望大家能一步一个脚印，不要想着一口气吃成个大胖子。

一、网络分层模型和数据包结构

我不想把文章写成教材里面的样子，能用大白话就尽量用大白话来解释。先看张图（图片来源于网络）：

相信计算机相关专业的都知道OSI7层模型或TCP/IP分层模型。我这里就把分层模型和数据包结合着讲，其实就是把网络职责进行分工：

（1）物理层：实现数据包物理传递（研究通过各种载体（线缆），把电压电平信号传递到对面去，保证我网卡发出10100110，对面收到也是10100110）。数据包里看不到物理层的信息，wireshark解码中看到的数据包标号和捕获时间都是网卡加上去的。
（2）数据链路层（2层）：解决局域网（本地网）通信的一层。举例：你要上互联网，所有的数据就需要交给网关，你和本地网关（比如你家里的TP-Link路由器）通信就是局域网通信的一种。2层通信靠MAC地址，在二层传输要实现数据包传输，数据包就必须包含足够的二层信息（包含在数据包包头中）。
（3）网络层（3层）：解决互联网通信的一层。举例：上海的数据包要发到北京，就需要三层设备进行中转（路由器，用路由表进行转发），3层通信靠IP地址，要让三层设备知道往哪儿转发，数据包就必须包含足够的三层信息（包含在数据包包头中）。
（4）传输层（4层）：QQ的数据包不能让微信收吧？传输层就是解决进程（QQ）和进程之间通信的一层。要传输可靠就用TCP，要传输效率高就用UDP。因此，数据包还得有足够的第四层