简介这份计算机网络实验报告面向高校计算机与网络工程专业学生围绕使用网络协议分析器捕捉和分析协议数据包展开帮助读者掌握抓包工具的使用并验证各类协议报文格式。报告在MacOSARM架构以太网环境下完成内容涵盖安装Ethereal/Wireshark、验证数据帧与IP数据报及TCP数据段格式、分析ARP报文、解读ping与tracert中的ICMP报文参数、剖析TCP三次握手过程以及捕捉FTP工作流程和WWW应用协议报文并针对HTTP持久连接、往返时间RTT、TCP连接次数等经典问题给出分析与解答。资源包共1个docx文件约7.17MB为完整实验报告文档含实验目的、环境、内容、过程记录与总结结构清晰。目前已有352人学习下载适合正在修读计算机网络实验课程、需要参考抓包分析思路与实验报告写法的学生使用。1. 网络协议分析器抓包从一份实验报告标题里拆出可复现的链路很多人第一次看到「计算机网络实验报告-使用网络协议分析器捕捉和分析协议数据包」这个标题脑子里浮现的是交作业打开 Wireshark随便抓几个包截图写两段话收工。但真到工作里抓包这件事的分量完全不一样——线上接口偶发超时、TCP 重传率莫名升高、DNS 解析时快时慢、TLS 握手偶发失败这些问题的第一现场往往只存在于网卡流过的那些字节里事后日志根本还原不出来。协议分析器就是那个把「网络黑匣子」打开的工具而这份实验报告标题背后真正要练的是「怎么抓得全、怎么滤得准、怎么从一堆十六进制里读出协议行为」这三件事。这篇笔记面向三类人正在做计算机网络实验、需要把抓包流程跑通并写出有说服力分析的同学刚转做后端或 DevOps、需要自己定位网络问题的工程师以及复习计算机网络、想把「自顶向下」课本里的协议字段和真实数据包对上号的人。下面按「先立住原理 → 再动手抓 → 再逐层分析 → 再避坑 → 最后进阶」的顺序走每一步都给可抄的命令和参数。2. 抓包前必须想清楚的三件事抓点、权限、过滤器2.1 抓点选在哪决定了你能看到什么协议分析器不是「万能摄像头」它只能看到流经某个抓取点的数据包。选错抓点后面分析全是白费。常见抓点有三类本机网卡、交换机镜像口SPAN、中间设备网关/代理/容器宿主机。做实验最常用的是本机网卡但这里有个容易被忽略的细节——抓本机网卡时你抓到的是「本机视角」的包如果目标是分析两台外部主机之间的通信本机网卡根本看不到除非流量经过本机转发。选抓点的判断逻辑很简单先问「我要分析的通信两端是谁」。如果一端是本机抓本机网卡即可如果两端都不是本机就必须在路径上的某个转发节点抓比如交换机镜像口或容器宿主机的网桥。实验环境里如果只是分析本机访问外部服务本机网卡完全够用。另一个细节是网卡的工作模式。普通网卡默认只接收目的 MAC 是自己的帧这叫「非混杂模式」。协议分析器通常会把网卡切到混杂模式promiscuous mode这样同一广播域内所有帧都能收到。但在交换式网络里混杂模式也看不到其他端口的单播流量这就是为什么镜像口存在。理解这一点能避免「为什么我开了混杂模式还是抓不到别人的包」这种困惑。2.2 权限与驱动为什么你打开软件看不到网卡在 Linux 上抓包需要 CAP_NET_RAW 能力普通用户直接跑会提示权限不足。最省事的做法是加 sudo但更规范的是给抓包程序单独授权# 给 dumpcap 授予抓包能力避免每次 sudo sudo setcap CAP_NET_RAWeip CAP_NET_ADMINeip /usr/bin/dumpcap # 确认当前用户是否在 wireshark 组部分发行版需要 groups $USER # 查看可用网卡列表确认抓包程序能识别到接口 tshark -Dsetcap给二进制文件授予原始套接字能力这样非 root 用户也能抓包tshark -D列出所有可抓接口编号会用在-i参数里。如果-D输出为空或报错通常是驱动没加载或权限没配好。Windows 上则是安装 Npcap 驱动安装时勾选「WinPcap 兼容模式」否则部分工具识别不到网卡。提示在虚拟机里抓包要确认虚拟网卡是桥接模式还是 NAT 模式。NAT 模式下虚拟机看到的是虚拟网关的 MAC抓到的包和物理网络里的不完全一致分析链路层时容易对不上。2.3 过滤器分两种用错顺序会白抓这是新手最容易翻车的地方捕获过滤器capture filter和显示过滤器display filter是两套完全不同的语法作用时机也不同。捕获过滤器在抓包时生效用的是 BPF 语法不匹配的包直接丢弃不占磁盘显示过滤器在抓完之后生效用的是 Wireshark 自己的语法只影响展示不影响已抓到的数据。# 捕获过滤器BPF 语法只抓 80 端口且目标是 10.0.0.5 的包 tshark -i eth0 -f tcp port 80 and host 10.0.0.5 -w http.pcapng # 显示过滤器Wireshark 语法从已抓文件里筛出 HTTP GET 请求 tshark -r http.pcapng -Y http.request.method \GET\-f后面跟捕获过滤器-Y后面跟显示过滤器-w把原始包写入文件。关键区别捕获过滤器写错可能把你要的包直接丢了事后无法恢复显示过滤器写错只是看不到数据还在。所以我的习惯是——捕获时只做粗过滤比如限定主机和端口把精细筛选留给显示过滤器给自己留后悔药。3. 用 tshark 和 Wireshark 跑通一次完整抓包与分析3.1 最小可复现的抓包命令先跑一个最小闭环抓一次 DNS 查询和 HTTP 请求确认工具链正常。# 抓 30 个包限定 DNS(53) 和 HTTP(80) 端口写入文件 tshark -i eth0 -f port 53 or port 80 -c 30 -w demo.pcapng # 另开终端触发一次请求 curl -s http://example.com /dev/null nslookup example.com # 抓完后统计协议分布 tshark -r demo.pcapng -q -z io,phs-c 30表示抓满 30 个包就停避免无限抓-z io,phs输出协议分层统计能快速看出这次抓包里各协议占比。如果io,phs里只有 TCP 没有 DNS说明触发请求时 DNS 已经缓存需要换个没查过的域名。3.2 逐层分析从帧到应用层怎么读抓到包只是开始分析要按协议栈自下而上走。以一次 HTTP 请求为例在 Wireshark 里点开一个包会看到 Frame → Ethernet → IP → TCP → HTTP 的分层结构。每一层要关注什么我整理成一张表层级关键字段分析价值帧Frame帧号、时间戳、帧长度定位时序、判断是否有超大帧以太网源/目的 MAC、类型判断是否跨网段、是否有 ARPIP源/目的 IP、TTL、分片标志判断路由跳数、是否分片TCP端口、序列号、标志位、窗口判断连接状态、重传、流控应用层方法、状态码、头部字段判断业务行为用 tshark 直接提取这些字段比在 GUI 里一个个点更高效# 提取每个包的帧号、源IP、目的IP、TCP标志位、TTL tshark -r demo.pcapng -T fields \ -e frame.number -e ip.src -e ip.dst -e tcp.flags -e ip.ttl \ -E headery -E separator,-T fields指定按字段输出-e每跟一个字段名就多一列-E headery打印表头。这样输出的结果可以直接导入表格做统计比如统计 SYN、ACK、RST 各出现多少次快速判断连接是否正常建立和关闭。3.3 用 follow stream 还原一次完整会话单个包看不出业务全貌真正有用的是把一条 TCP 流的所有包拼起来看。Wireshark 的 Follow TCP Stream 就是干这个的命令行对应的是-z follow# 跟踪第 5 条 TCP 流的完整内容模式为 ASCII tshark -r demo.pcapng -q -z follow,tcp,ascii,5 # 先列出所有 TCP 流编号再决定跟哪条 tshark -r demo.pcapng -q -z conv,tcp-z conv,tcp输出 TCP 会话列表包含每条流的地址、端口、包数、字节数能快速找到「包数异常多」或「字节数异常大」的流。follow,tcp,ascii,5里的5就是流编号。这一步在排查「请求发出去了但响应不对」时特别有用——你能直接看到服务端返回的原始内容而不是被日志加工过的版本。3.4 时序分析用 IO Graph 和 tcp.analysis 定位卡顿如果问题是「慢」光看单个包没用要看时间分布。Wireshark 的 IO Graph 能画出每秒包数/字节数曲线命令行里可以用-z io,stat做类似的事# 按 1 秒间隔统计包数和字节数 tshark -r demo.pcapng -q -z io,stat,1,COUNT(frame)frame,SUM(frame.len)frame.len # 筛出所有 TCP 重传和乱序的包 tshark -r demo.pcapng -Y tcp.analysis.retransmission or tcp.analysis.out_of_orderio,stat,1表示 1 秒一个统计窗口后面跟的是统计表达式。tcp.analysis.retransmission是 Wireshark 内置的分析标记能直接筛出重传包。如果重传集中在某几秒基本可以判断那段时间链路质量差或对端处理慢。这是把「玄学卡顿」变成「可量化证据」的关键一步。4. 协议数据包分析避坑五条血泪经验4.1 抓到的包不完整TCP 流拼不起来现象Follow TCP Stream 里内容断断续续或者提示「缺少部分数据段」。原因抓包开始时连接已经建立或者抓包结束时连接还没关闭导致缺少握手或挥手包也可能是捕获过滤器把部分包丢了。解决抓包前先启动抓包再触发请求确保抓到完整的三次握手捕获过滤器放宽到只限定主机不要限定太细的端口组合如果确实缺包用tcp.stream编号确认缺的是哪一段必要时重新抓。4.2 时间戳看起来不对分析时序全乱现象包与包之间的时间间隔明显不合理或者和日志时间对不上。原因抓包工具默认用系统时间如果系统时间没同步或者抓包文件是从别的机器拷来的时区不一致。解决抓包前确认系统时间已同步分析时用frame.time_relative看相对时间而不是绝对时间跨机器对比时统一用 UTC 时间戳。4.3 显示过滤器写对了但筛不出结果现象明明记得有 HTTP 请求http过滤器却一个包都不显示。原因流量走了 HTTPS443 端口Wireshark 看不到明文 HTTP或者协议识别没触发需要手动「Decode As」。解决先确认端口443 的流量要用tls过滤器如果是非标准端口右键包选 Decode As 指定协议确认抓包时没有用捕获过滤器把相关包丢掉。4.4 混杂模式开了还是抓不到别人的流量现象在交换机环境里开了混杂模式只能看到广播和本机流量。原因交换机按 MAC 地址表转发单播帧不会把其他端口的单播流量泛洪到你的端口。解决配置交换机镜像口SPAN把目标端口流量复制一份到抓包端口或者在网关/路由器上抓。这是网络拓扑决定的不是软件设置问题。4.5 大文件抓包把磁盘写满现象长时间抓包后磁盘告警或者抓包文件打不开。原因没有设置文件大小和数量限制pcap 文件无限增长。解决用-b参数设置环形缓冲# 每个文件最大 100MB最多保留 10 个循环覆盖 tshark -i eth0 -b filesize:102400 -b files:10 -w ring.pcapngfilesize:102400单位是 KB即 100MBfiles:10表示最多 10 个文件超出后覆盖最旧的。这样既能长时间抓又不会撑爆磁盘。5. 进阶把抓包变成可复用的排查脚本单次抓包分析解决的是眼前问题真正省时间的是把常见排查场景固化成脚本。我一般会准备几个模板遇到问题直接改参数跑。第一个模板是「按主机和端口抓 N 秒并输出统计」#!/bin/bash # 用法: ./capture.sh interface host port seconds IFACE$1; HOST$2; PORT$3; DUR$4 OUTcapture_$(date %Y%m%d_%H%M%S).pcapng # 后台抓包到时自动停 timeout $DUR tshark -i $IFACE -f host $HOST and port $PORT -w $OUT # 输出会话统计和重传统计 echo TCP 会话 tshark -r $OUT -q -z conv,tcp echo 重传包 tshark -r $OUT -Y tcp.analysis.retransmission | wc -ltimeout控制抓包时长避免忘记停抓完自动输出会话列表和重传计数一眼就能判断这次通信健不健康。这个脚本我用了很久改改参数就能套到不同服务上。第二个技巧是「用 tshark 做字段级统计」比在 GUI 里数快得多# 统计每个目的 IP 的包数按数量降序 tshark -r capture.pcapng -T fields -e ip.dst | \ sort | uniq -c | sort -rn | head -20 # 统计 HTTP 状态码分布 tshark -r capture.pcapng -Y http.response -T fields -e http.response.code | \ sort | uniq -c | sort -rn第一段找出「谁在疯狂发包」第二段找出「服务端返回了多少错误码」。这两个统计在排查「流量异常」和「接口报错」时几乎是第一步。最后一个习惯每次分析完把关键结论和对应的过滤器表达式记在一个 markdown 文件里。比如「重传排查 →tcp.analysis.retransmission」「DNS 慢 →dns.time 0.5」。下次遇到类似问题不用重新想过滤器怎么写直接翻笔记。抓包这件事工具用法是次要的真正拉开差距的是「知道该看哪个字段」——而这个只能靠一次次踩坑积累。希望帮到你。本文还有配套的精品资源点击获取
