用Wireshark抓包实战：40分钟掌握HTTP、TCP、IP、DNS等常见网络协议

做网络开发、运维排查、面试准备最难的不是记住协议名字而是把 HTTP、TCP、IP、DNS 这些概念连成一条线一个请求从浏览器发出中间经过哪些封装每一层做了什么出了问题看哪一层。这次我们来看一套非常适合零基础入门的“常见网络协议学习路线”并且把学习过程压缩到一次完整实操里——不需要你先啃几百页协议文档只用一台电脑、一个 Wireshark、几条命令就能把最常见的网络协议从头到尾“看”一遍。这个学习方案的核心特点可以概括为四点第一按“应用层 → 传输层 → 网络层”分层推进先学最常用的 HTTP/HTTPS再往下看 TCP/UDP 和 IP/ICMP思路清晰第二用抓包工具直接观察真实数据包每一步都有可视化证据不靠死记硬背第三配套的命令行操作ping、curl、nslookup、netstat 等在 Windows 和 Linux 上都能跑覆盖日常排查场景第四整个流程围绕一次真实 HTTP 请求展开40 分钟内可以完成工具安装、协议观察、问题定位三个环节。本文会带大家完成以下实操内容安装并启动 Wireshark用浏览器和命令行产生测试流量抓取一次完整 HTTP 请求的数据包识别 TCP 三次握手、HTTP 请求响应、TCP 挥手用 ping 和 nslookup 验证网络层和 DNS 行为最后给出常见网络故障的排查思路和排查命令。如果你刚接触网络协议、准备运维或后端岗位面试或者在 Windows 7 这类老系统上遇到过网络打印、共享连接不通的问题这篇内容可以直接收藏。1. 学习路线速览与核心能力能力项说明学习范围HTTP/HTTPS、TCP/UDP、IP/ICMP、DNS、ARP以及常见网络打印相关协议如 SMB、IPP的初步识别学习方式理论分层讲解 Wireshark 抓包验证 命令行实测工具依赖Wireshark、浏览器开发者工具、Windows/Linux 自带命令行工具前置要求会打开命令行、会输入网址即可不需要编程基础40 分钟时间分配10 分钟装工具 15 分钟分层协议讲解与抓包演示 10 分钟命令行排查实操 5 分钟常见问题梳理适合人群零基础入门者、运维/后端岗位面试者、日常需要排查网络故障的开发人员实操收益能看懂抓包文件中的 TCP 连接、HTTP 状态码、DNS 解析过程能独立排查大部分连通性问题合规提醒抓包只能针对自己拥有或已获授权的设备与网络不要抓取他人流量不要解析未知网络中的敏感数据这套路线的设计思路不是“从 OSI 七层模型第一层开始背”而是“先抓到一个请求然后顺着数据包看它经历了什么”。对初学者来说数据包比概念图更容易建立直觉看到 TCP 三次握手的三个包你就知道“连接建立”不是抽象名词看到 HTTP GET 和 200 OK 的上下行成对出现你就知道“请求-响应”模型长什么样。2. 适用场景与学习边界这套网络协议学习内容适合下面几类人群刚入行的技术支持或运维人员需要快速看懂 ping 超时、端口不通、HTTP 500 这类问题到底发生在哪一层。后端开发或全栈开发者写接口、调接口时经常需要排查“连不上”“响应慢”“数据不对”理解 TCP 和 HTTP 能显著降低沟通成本。准备网络基础面试的求职者常见面试题如“浏览器输入 URL 后发生了什么”“TCP 三次握手过程”“DNS 解析流程”都可以用抓包结果来回答。使用老系统办公的用户例如在 Windows 7 上配置网络打印时可能涉及 SMB 共享或 IPP 打印协议理解这些协议有助于判断是端口问题还是协议版本兼容问题。它不适合解决什么问题第一不深入协议内部实现细节不展开 TCP 拥塞控制的数学原理也不讨论 IP 分片的位级字段第二不替代网络安全知识抓包能让你看到明文内容和连接过程但安全防护、加密算法、防火墙策略是另一套知识体系第三如果你已经是资深网络工程师这套内容的深度会明显不够可以当作快速回顾但建议直接看 RFC 和 Wireshark 高级过滤。还有一个必须强调的边界Wireshark 可以抓取网卡上经过的数据包但抓包行为必须限定在合法授权范围内。不要在公司网络抓同事流量不要在公共 Wi-Fi 下嗅探他人数据不要尝试破解或窃取未授权信息。本文出现的抓包操作都只针对自己本机访问自己本机的流量这是一个安全的测试环境。3. 环境准备与前置条件实际动手前准备下面几样东西就够。首先是一台能联网的电脑。Windows 7、Windows 10、Windows 11、Ubuntu、CentOS 都可以。如果用的是 Windows 7 这类老系统安装 Wireshark 时选择对应系统支持的历史版本即可同时注意网卡驱动是否支持混杂模式否则可能抓不到完整数据包。其次是 Wireshark 抓包工具。它是当前最主流的开源网络协议分析工具支持 Windows、macOS、Linux。安装包可以从官方网站下载安装过程一路下一步即可注意安装到最后会有是否安装 Npcap 或 WinPcap 的选项这是抓包依赖的底层驱动必须勾选。然后是命令行终端。Windows 下按Win R输入cmd回车打开命令提示符或者使用 PowerShellLinux/macOS 下直接打开 Terminal 即可。下面这些命令在大多数系统自带不需要额外安装命令用途ping测试目标主机是否可达观察网络层 ICMP 返回ipconfig / ifconfig / ip addr查看本机 IP、网卡配置nslookup查询 DNS 解析结果curl发送 HTTP/HTTPS 请求查看响应头和状态码telnet测试指定 IP 和端口的 TCP 连通性netstat查看本机端口监听和连接状态最后是一个测试用的 HTTP 服务。最简单的方法是打开一个普通网站比如访问http://example.com或http://www.baidu.com。如果希望完全掌控请求内容可以在本机用 Python 起一个临时 HTTP 服务# 用 Python 3 在当前目录启动一个 HTTP 服务默认端口 8000 python -m http.server 8000# 启动后浏览器访问 http://127.0.0.1:8000这样请求只在自己机器内部完成抓包更干净不涉及外部网络干扰。如果要测试 HTTPS也可以用 Python 起 HTTPS 服务的通用方式但初学者先用 HTTP 把流程跑通更稳妥。磁盘空间和内存方面Wireshark 本体占用很小几百 MB 足够抓包文件如果不长时间连续抓取也不会占用太多空间。重点提醒抓包前先设置一个较小的抓包文件大小上限避免内存和硬盘被写满。4. 工具安装与启动方式4.1 Wireshark 安装与首次启动打开 Wireshark 官网选择对应系统的安装包下载。Windows 安装时注意勾选 Npcap 组件Linux 下可以用包管理器安装例如# Ubuntu/Debian 系 sudo apt update sudo apt install wireshark# CentOS/RHEL 系 sudo yum install wireshark安装完成后启动 Wireshark主界面会列出当前机器的网卡列表。选择正在使用的网卡一般是有流量的那个双击开始抓包。停止抓包可以点击左上角的红色方块按钮。如果打开 Wireshark 后看不到网卡在 Windows 下要以管理员身份运行否则抓包权限不足。这里的核心操作是“先抓包再产生流量”顺序不能反。启动抓包之后再做访问网站的动作才能把整个过程完整记录下来。如果先访问网站再开始抓前面的 TCP 握手和 DNS 查询就已经丢了。4.2 命令行工具启动与验证打开命令提示符或 PowerShell先做一次基础环境验证# 查看本机 IP ipconfig # 测试本机回环地址连通性 ping 127.0.0.1 # 查看 DNS 解析结果 nslookup example.com以上三条命令只要不报“不是内部或外部命令”就说明命令行环境正常。ping 127.0.0.1 能通表示本机 TCP/IP 协议栈正常nslookup 能返回 IP 则说明 DNS 客户端配置可用。4.3 浏览器开发者工具这一步不是必须但非常推荐。在浏览器里按 F12 打开开发者工具切换到 Network网络面板刷新页面能够看到每个请求的 URL、状态码、协议版本、耗时等。它和 Wireshark 的区别是开发者工具只展示应用层请求视图看不到 TCP 三次握手Wireshark 能看到完整的数据包。两者搭配使用能很快定位问题在“应用层”还是“传输层”。5. 分层学习从应用层到底层网络协议数量很多但如果按 TCP/IP 分层模型来看日常频繁打交道的其实就是几类。学习顺序建议从上往下先看应用层HTTP/HTTPS、DNS再看传输层TCP/UDP最后看网络层IP/ICMP。这样符合一次请求的真实路径。5.1 应用层 HTTP/HTTPSHTTP 是网页访问的基础协议。一个最简单的 HTTP GET 请求由三部分组成请求行方法、URL、版本、请求头Host、User-Agent 等、请求体GET 通常没有。服务器返回的响应由状态行版本、状态码、原因短语、响应头、响应体组成。测试步骤在 Wireshark 开始抓包。在浏览器地址栏输入http://example.com回车。停包后在 Wireshark 过滤栏输入http查看 HTTP 数据包。判断标准能看到浏览器发出的GET / HTTP/1.1请求以及服务器返回的HTTP/1.1 200 OK响应。如果请求成功但过滤不出 HTTP 包说明访问的是 HTTPS 加密流量需要改用tls过滤器。HTTPS 与 HTTP 的区别在于传输内容经过 TLS 加密。Wireshark 中直接抓 HTTPS 流量只能看到 TLS 握手和密文看不到明文请求。如果要分析明文内容需要配置 SSLKEYLOGFILE 环境变量或者优先用 HTTP 学习基础流程。初学者建议先用 HTTP 建立概念。5.2 传输层 TCP/UDPTCP 是 HTTP、HTTPS 的底层传输协议特点是面向连接、可靠、有序。学习 TCP 最有价值的就是三次握手和四次挥手。三次握手发生在 HTTP 请求之前四次挥手发生在连接关闭阶段。测试步骤抓包时访问http://example.com然后关闭浏览器标签页。在 Wireshark 过滤栏输入tcp。找到客户端 IP 和服务器 IP 之间的 TCP 流点击右键选择“Follow TCP Stream”。预期结果在连接建立阶段看到三个关键数据包。第一个是客户端发送SYN第二个是服务器回复SYN, ACK第三个是客户端发送ACK。这三个包就是常说的三次握手。关闭连接时能看到双方各发送FIN和ACK完成四次挥手。UDP 面向无连接不保证可靠交付常用于 DNS 查询、视频流、游戏通信。Wireshark 中过滤udp即可看到 UDP 数据包。DNS 查询就是一个典型的 UDP 应用客户端发送一个 DNS 请求包服务器返回一个响应包没有握手过程。5.3 网络层 IP/ICMPIP 负责数据包的路由和寻址。Wireshark 中每个数据包都有 IP 层信息包括源 IP、目的 IP、TTL、协议号等。这部分不需要专门抓包只要看 Wireshark 列表中间的Internet Protocol Version 4展开行即可。ICMP 是网络层的重要协议ping命令发送的就是 ICMP Echo Request目标主机回复 ICMP Echo Reply。# 测试目标主机是否可达 ping 8.8.8.8# 持续 ping 指定次数观察丢包 ping -n 10 192.168.1.1观察 Wireshark 过滤icmp可以看到一对一对的Echo (request)和Echo (reply)。如果只有 request 没有 reply说明路径上可能丢包、目标主机开启了防火墙过滤或者本机路由配置有问题。5.4 DNS 与其他常见协议DNS 是域名解析协议。当你输入http://example.com时浏览器首先需要知道example.com对应的 IP 地址。Wireshark 过滤dns可以看到查询包的 Query 名称和响应包中的 IP 地址。nslookup 命令可以直接测试 DNS 解析nslookup example.com预期输出类似Name: example.com Address: 93.184.216.34如果返回server cant find example.com说明 DNS 解析失败需要检查本机 DNS 配置或网络连通性。另外日常办公中常遇到的“网络打印协议”也属于应用层范畴。Windows 7 系统下网络打印机通常通过 SMB 协议共享打印队列或者使用 IPPInternet Printing Protocol直接访问打印机的 IP。排查思路是先确定打印机 IP然后用 ping 测连通性用telnet 打印机IP 9100测试打印端口如果打印机使用 RAW 打印协议默认端口一般是 9100用telnet 打印机IP 631测试 IPP 端口。如果端口不通优先检查防火墙和打印机网络配置。6. 抓包分析案例一次 HTTP 请求的完整过程把前面几节的知识合并到一起就形成一个完整实验用 Wireshark 抓一次 HTTP 请求然后把数据包按顺序捋一遍。操作步骤关闭其他占用网络的程序避免抓包文件混杂无关流量。启动 Wireshark选择当前网卡开始抓包。在浏览器访问http://example.com。等页面加载完成后停止抓包。在过滤栏输入http or dns or tcp.port 80过滤本次相关流量。正常情况下数据包列表会呈现这样的顺序顺序数据包类型说明1DNS Query查询 example.com 的 IP2DNS Response返回对应 IP3TCP SYN客户端向服务器发起连接请求4TCP SYN, ACK服务器接受连接5TCP ACK客户端确认三次握手完成6HTTP GET客户端发送 HTTP 请求7HTTP 200 OK服务器返回响应8TCP FIN / ACK 等连接关闭过程判断成功标准能在同一个流中看到“DNS 解析 → TCP 连接 → HTTP 请求 → HTTP 响应 → 连接关闭”的完整闭环说明你已经具备独立分析基础网络交互的能力。如果只看到 HTTP 包而没有 TCP 握手包说明只是中途开始抓包过滤条件或抓包开始时机需要调整。进阶操作右键点击任意 TCP 包选择 Follow TCP Stream可以看到完整的应用层会话内容。HTTP 的明文请求头、响应头都会直接显示这是最直观的协议学习方式。如果这一步抓到的流量杂音太多可以使用 Wireshark 的显示过滤功能# 只显示 IP 为 93.184.216.34 的流量以实际 IP 为准 ip.addr 93.184.216.34 # 只显示 TCP 80 端口流量 tcp.port 80 # 只显示 HTTP GET 请求 http.request.method GET7. 命令行网络排查与性能观察抓包分析之外命令行是日常排查中最快的工具。下面这套命令组合建议背下来遇到问题时按顺序执行。第一检查本机基础网络配置。ipconfig /all重点看 IPv4 地址、子网掩码、默认网关、DNS 服务器。如果 IP 是 169.254.x.x说明 DHCP 获取失败网卡没有从路由器拿到地址。第二测试网关连通性。ping 192.168.1.1以实际网关 IP 为准。网关都不通说明问题在本机到路由器这一段网关通但外网不通问题可能在 DNS 或路由器出口。第三测试 DNS 解析。nslookup example.comDNS 解析失败时会出现DNS request timed out或Non-existent domain之类提示。可以临时改用公共 DNS 再试但要注意网络环境规定。第四测试目标端口连通性。telnet 192.168.1.100 445telnet 连接成功后会进入空白界面或者显示连接成功退出用Ctrl ]再输入quit。如果提示Could not open connection to the host说明端口不可达。Windows 7 网络打印排查中telnet 打印机IP 9100是常用的一步。第五查看本机端口和连接状态。netstat -anonetstat -ano可以列出所有 TCP 连接、监听端口和对应的进程 PID。配合任务管理器可以找到是哪个进程占用了端口。关于性能观察抓包时可以留意几个指标指标怎么看异常表现三次握手耗时找到 SYN 包和最后一个 ACK 的时间差时间差过大可能说明服务器负载高或链路拥塞DNS 解析耗时Wireshark 中 DNS Query 和 Response 的时间差DNS 响应慢通常与本地 DNS 配置或上游 DNS 有关HTTP 响应时间HTTP GET 到 HTTP 200 OK 的时间差主要看服务器处理能力TCP 重传Wireshark 有tcp.analysis.retransmission过滤重传说明网络丢包需要检查链路质量和 MTU 设置端口 RST连接被重置常见于端口未监听、防火墙拒绝或协议不匹配降低排查成本的一个技巧是不要一次抓所有流量先用显示过滤收窄范围也不要开多个抓包窗口否则容易混淆数据包所属会话。8. 常见问题与排查方法问题现象可能原因排查方式解决方案浏览器访问网页提示“无法访问此网站”本机断网、DNS 失败或目标服务不可达依次 ping 网关、ping 公网 IP、nslookup 域名按 ping 网关 → ping 公网 IP → DNS 解析的顺序定位断点ping 外网 IP 通但域名打不开DNS 配置问题nslookup 域名查看返回结果更换 DNS 服务器或检查 hosts 文件Wireshark 启动后看不到网卡未以管理员运行或 Npcap 驱动未安装右键以管理员身份运行 Wireshark重新安装 Npcap重装后重启系统再次尝试抓包后过滤http没有数据访问的是 HTTPS 网站流量已加密改用tls过滤器查看握手过程学习原理优先用 HTTP 网站避免密文干扰TCP 三次握手只有 SYN 没有 ACK服务器端口未监听或防火墙拦截用 telnet 测试端口检查服务端口监听状态、防火墙入站规则打印机网络不通IP 冲突、打印端口不通或协议版本不兼容ping 打印机 IPtelnet 测试 9100、631 端口重新设置打印机 IP检查 SMB 或 IPP 协议配置访问局域网共享提示找不到路径SMB 协议版本不匹配或 445 端口被禁用netstat 检查 445 端口telnet 测试 445启用对应 SMB 版本或改用支持当前系统的协议HTTP 返回 404 / 500请求资源路径错误或服务器端异常查看服务器日志用浏览器开发者工具看响应体修正 URL排查后端服务和数据库状态抓包文件过大导致电脑卡顿抓取时间过长包含大量无关流量设置抓包停止条件限制文件大小抓包前配置自动停止用显示过滤减少显示负载9. 学习路径与最佳实践网络协议学习不是“把每个协议字段背一遍”而是“能在一个真实场景里把数据包对号入座”。建议按下面这套节奏推进。第一把一次 HTTP 请求的完整抓包流程做到非常熟练。目标是随手就能复现“DNS 解析 → TCP 三次握手 → HTTP 请求响应 → 四次挥手”的完整过程。这个闭环是后面所有排查能力的基础。第二抓包时养成三个习惯先设置过滤再做操作抓包只针对本机或已获授权的目标每次抓包记录操作时间和预期结果。如果能坚持记录你很快会形成一个自己的“协议行为对照手册”。第三学会把 Wireshark 和命令行配合使用。Wireshark 负责看细节命令行负责快速判断方向。例如先 ping 判断通断再 telnet 判断端口最后抓包看具体报错。不要反过来一上来就抓包往往会迷失在庞大的数据包列表里。第四单独练习“端口排查”这个能力。运维面试和日常故障里最常见的描述就是“连不上”“不通”。你需要形成条件反射先确认目标 IP 能 ping 通再确认目标端口能用 telnet 或 netstat 访问然后检查本机路由和防火墙最后再用 Wireshark 看协议交互。第五遇到老系统相关问题时注意协议兼容性。例如 Windows 7 访问网络打印机时打印机可能只支持 SMB 1.0而较新系统默认禁用了该协议此时需要确认打印机型号、固件版本和协议支持列表不要盲目调整系统设置。涉及系统安全策略时优先查询官方文档。第六安全边界要时刻明确。抓包工具本身是中性工具但它能捕获网络中的明文信息。任何时候都不要在未授权设备或他人网络环境下进行嗅探不要尝试抓取、保存或传播任何人的明文账号密码、聊天记录等敏感数据。10. 总结与下一步回到开头的问题40 分钟能不能轻松搞定常见网络协议如果目标是“把最常见协议用起来、看得懂抓包、能定位基础故障”完全可以。这套路线最大的价值是把抽象概念变成了可见的数据包序列让零基础的人也能在短时间内建立网络排查的直觉。最先应该动手验证的是第 6 节的一次 HTTP 请求抓包实验。它把应用层、传输层、DNS 全部串在一起完成一次实验就等于看懂了一半的网络交互过程。最容易踩的坑是抓包开始时机太晚导致 TCP 握手和 DNS 查询没有被捕获解决办法是先启动抓包再做操作并且保持过滤条件简洁。后续可以继续深入的方向包括TCP 重传与拥塞控制分析、HTTP/2 与 HTTP/3 的新特性对比、Wireshark 高级过滤表达式、企业网络中常见协议DHCP、ARP、VLAN的抓包观察以及 HTTPS 解密调试。每进入一个新方向都继续沿用今天的方法先产生流量再抓包观察再对照文档理解。建议收藏备用下次遇到“网络不通”的时候拿着这份路线从头到尾走一遍基本能解决大部分日常问题。