1. TCP/IP协议栈实战拆解

TCP/IP协议栈就像快递公司的分级配送系统，从应用层到物理层层层封装数据。我在排查网络问题时发现，90%的故障源于对协议栈工作原理理解不透彻。让我们用抓包实例拆解这个"黑箱"：

当你在浏览器输入www.example.com时，Wireshark抓包会显示：

1. 应用层：生成HTTP请求报文

GET / HTTP/1.1 Host: www.example.com

2. 传输层：TCP头部添加源/目的端口（如源端口49215，目的端口80）
3. 网络层：IP头部封装源/目的IP（如192.168.1.100 → 93.184.216.34）
4. 数据链路层：以太网帧头添加MAC地址

关键陷阱：很多同学混淆了TCP的可靠传输机制。通过这个实验可以清晰看到，TCP通过序列号（Seq）和确认号（Ack）实现数据包排序。例如：

Seq=1 Len=1460 Ack=1 Win=64240

表示本次发送1460字节数据（Seq=1开始），同时确认收到对方Seq=1之前的数据。

2. 子网划分的"庖丁解牛"技法

子网划分的难点在于快速确定可用地址范围。我总结出"三斧头"心算方法：

1. 看掩码尾数：例如掩码255.255.254.0，关键在第三段254（二进制11111110）
2. 算块大小：非全1段的最右0位权值=2（2^1），所以块大小是2×256=512
3. 定网络号：IP地址第三段值÷块大小取整。如IP 192.168.23.45，23÷2=11余1，网络号192.168.22.0

实战案例：某公司需要划分5个子网，每个子网至少支持20台主机。解题步骤：

1. 主机位需要满足2^n-2≥20 → n=5（保留5位主机位）
2. 借用3位网络位（2^3=8≥5）
3. 新掩码：255.255.255.224（原C类掩码借3位）

易错点：初学者常忽略"全0全1"地址不可用的规则。例如子网192.168.1.64/27中：

• 可用地址范围是192.168.1.65~192.168.1.94
• 192.168.1.64是网络地址，192.168.1.95是广播地址

3. 路由选择算法的实战推演

距离矢量算法就像快递员问路：每个路由器都告诉邻居"我到各个目的地的距离"。通过GNS3模拟器搭建下图拓扑：

[A]---3---[B] | \ / | 2 1 4 5 | \ / | [C]---[D]

当网络收敛后，路由器D的路由表计算过程：

1. 接收B的矢量：(A:3, B:0, C:2, D:1) → 加链路成本1得(A:4, B:1, C:3, D:2)
2. 接收C的矢量：(A:2, B:4, C:0, D:1) → 加链路成本1得(A:3, B:5, C:1, D:2)
3. 最终选择最小值：(A:3, B:1, C:1, D:0)

关键洞察：路由环路常由"慢收敛"引起。例如当A-B链路断开：

• B误以为通过C能到A（跳数=2+1=3）
• C误以为通过B能到A（跳数=3+1=4）
• 形成A←→B←→C的计数到无穷问题

解法：添加水平分割（不向来源接口回传路由）或触发更新（立即广播变化）。

4. 典型考题的降维打击策略

选择题秒杀技巧：遇到"下列哪个说法正确/错误"题型，先找绝对化表述。例如：

• "交换机绝对不检查IP头"（错误，三层交换机会检查）
• "UDP完全不提供可靠性"（正确）

简答题结构化应答：采用"定义→分类→举例"框架。如回答"缓解IPv4地址紧缺的方法"：

1. 技术定义：NAT（网络地址转换）将私有IP映射为公有IP
2. 实现方式：
   • 静态NAT：1对1映射
   • PAT（端口转换）：多对1映射
3. 实例佐证：家庭路由器使用192.168.1.0/24通过单个公网IP上网

综合题拆解模板：以"分析ICMP差错报文"为例：

1. 协议定位：ICMP属于网络层但封装在IP包内
2. 报文类型：
   • 差错报告（Type=3目的不可达）
   • 查询请求（Type=8 Echo Request）
3. 抓包验证：显示TTL超时报文的Type=11 Code=0

5. 网络故障排查的"福尔摩斯法"

通过真实案例演示排查流程：某办公室电脑能ping通网关但无法上网。

排查路线：

1. 链路层验证：arp -a检查网关MAC是否正确
2. 网络层验证：tracert 8.8.8.8卡在第三跳
3. 传输层验证：telnet 8.8.8.8 53测试DNS端口
4. 应用层验证：nslookup example.com解析失败

最终定位：公司防火墙拦截了除80端口外的所有出站流量。解决方案：

# 在Linux防火墙添加规则（示例） iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

6. 协议交互的"三维透视"法

用Wireshark过滤http && tcp.port==80观察完整交互：

1. TCP三次握手：
   • SYN → SYN-ACK → ACK
2. HTTP请求/响应：
   • GET / → HTTP/1.1 200 OK
3. TCP四次挥手：
   • FIN → ACK → FIN → ACK

关键发现：通过tcp.analysis.retransmission过滤器可快速定位重传包。某次故障中发现：

Packet# Time Info 123 1.234s [TCP Retransmission] Seq=1 Len=1460 127 1.538s [TCP Retransmission] Seq=1 Len=1460

说明Seq=1的数据包在1.2秒内未收到确认，触发了快速重传机制。