计算机网络实验指南：从Wireshark抓包到TCP三次握手实战-北京尧图网络

简介中北大学计算机网络课程实验报告内容主要围绕网络常用命令、Wireshark工具使用与以太网帧结构三个实验展开适合计算机专业本科生应对课程实验、复习备考或补充实验报告素材。报告详细记录了Tracert和Ping命令的作用与使用场景Wireshark抓包分析ARP、ICMP、TCP三次握手与四次挥手、DNS域名解析及HTTP请求页面的完整流程并深入剖析了以太网MAC帧格式、地址组成、各字段功能与ARP高速缓存表结构操作过程与结果分析均具有较强参考性。资源包为单个doc文档共1个文件大小5.04MB下载后可直接编辑或打印使用。该实验报告已吸引363人学习其知识点覆盖网络层、链路层与应用层核心协议可作为撰写计算机网络实验报告、理解抓包原理及排查网络故障的实用参考。1. 计算机网络实验到底怎么做一份能照着抄的报告模板做计算机网络课设或者实验课的同学大概率都经历过这种场面老师让交实验报告要求抓包、分析报文、截图但你打开 Wireshark 一脸懵不知道过滤栏该填什么抓到的包也看不出个所以然。这份中北大学的《计算机网络实验报告》恰好把五个最经典的验证型实验串在了一起——网络常用命令、Wireshark 抓包、以太网帧结构、ARP 解析、TCP 三次握手与连接关闭。它不是那种高深的路由器配置实验而是把计算机网络教材里最核心的协议概念落到实操上。我拆完之后的感觉是这份报告的价值不在于它多复杂而在于它把「实验怎么做、报告怎么填、抓包结果怎么对应理论」这套完整流程给捋顺了新手可以直接照着走一遍熟手也能从它的报文表格里找回一些容易忽略的细节。适合正在做计网实验、或者准备期末复习的从业者和学生参考。2. 把 Windows 命令玩明白Ping 和 Tracert 的判定逻辑2.1 Ping 不只是测通断更是故障定位的第一板斧Ping 的原理很简单向目标主机发一个 ICMP 回送请求目标收到后回复应答报文。但很多人只拿它来「试一下通不通」没把它的输出信息利用起来。实际上 Ping 的结果分成几种情况超时、丢包、延迟波动、TTL 值异常每种情况对应的故障方向都不一样。比如 Ping 不通的时候报告里已经给出了排查思路——先看网线物理连接再看本机网络适配器的 IP 配置然后检查 IP 地址是否冲突。我一般会按这个顺序执行ipconfig /all ping 127.0.0.1 ping 本机IP ping 网关IP ping 8.8.8.8第一句是看本机网络配置全貌包括 IP、子网掩码、网关、DNS还有物理地址。第二句 ping 回环地址验证本机 TCP/IP 协议栈是否正常这一步不通就说明协议栈装坏了属于系统层面的问题。第三句 ping 本机 IP 是验证网卡和驱动有没有正常工作。第四句 ping 网关是判断本机到路由器这一段链路是否通这一步如果通了说明局域网内部没问题。最后再 ping 一个外网 IP能通就说明出口路由和运营商链路没问题。核心判断逻辑是哪一步开始不通故障就出在哪一段。比如本机 IP 能通但网关不通那就是网线或者交换机端口的问题网关通但外网 IP 不通那就要查路由表或者运营商侧。这个逐段排除的思路比盲目重启路由器靠谱得多。2.2 Tracert 的价值在于看路径而不只是看通不通Tracert 和 Ping 一样基于 ICMP但 Tracert 能看到每一跳路由器的响应时间。它靠 IP 报头里的 TTL 字段逐跳递减来工作第一跳 TTL1路由器收到后 TTL 变成 0 就丢弃并返回超时消息这样 Tracert 就能记录下第一跳的地址然后 TTL2 探测第二跳以此类推。实际使用的时候有个细节容易被忽略Tracert 显示超时的节点不一定是链路故障。很多路由器出于安全策略直接丢弃 ICMP 报文不回复这时候显示*是正常的。所以判断路径问题要看整体趋势——如果连续好几跳都超时或者延迟突然从 10ms 跳到 100ms那才是真的有问题。Tracert 更适合用在大型网络环境下排查路由环路和延迟瓶颈在课程实验里它的意义主要是让你直观看到数据包经过了哪些中间节点理解「路径」这个概念。3. Wireshark 抓包分析从安装到看懂 TCP、DNS、HTTP 报文3.1 抓包环境准备和三个最常用的过滤姿势用 Wireshark 做实验第一步不是打开软件就抓而是要先规划好过滤条件。实验环境一般是自己电脑访问一个网页然后抓 DNS 解析、TCP 握手、HTTP 请求这几个过程。在开始抓包之前先清空浏览器缓存把 Wireshark 的抓包接口选成正在上网的网卡通常是 WLAN 或者以太网再设置过滤规则。# 只抓 DNS 流量实验二 udp.port 53 # 只抓 HTTP 流量实验二 http # 只抓 ICMP 流量配合实验一的 Ping icmp这里udp.port 53是 DNS 查询和响应的标准端口DNS 报文本身就封装在 UDP 里。http过滤器会把所有 HTTP 协议相关的报文过滤出来包括请求行、响应行、头部字段。icmp是配合 Ping 命令查看回显请求和回显应答报文用的。抓包的时候有个重要提醒Wireshark 默认会把自己的管理流量也抓进来比如 LLMNR、NBNS 这些名字解析协议过滤条件一定要写准确否则实验截图会显得很乱。3.2 三次握手抓包怎么对照着看实验二的核心是理解 TCP 三次握手Wireshark 里这一块对应得非常清楚。打开抓包文件输入过滤器tcp.flags.syn 1 || tcp.flags.ack 1就能只显示握手相关的报文。你会看到三个报文先是客户端发一个 SYN 报文Flags 里 SYN 置位服务器回复一个 SYNACK 报文Flags 里 SYN 和 ACK 都置位最后客户端再回一个 ACK 报文。对应的三次握手的完整过程是这样的客户端发送 SYN 报文序列号为 x状态变为 SYN_SENT服务器收到后回复 SYNACK 报文确认号是 x1自己的序列号是 y状态变为 SYN_RCVD客户端收到后发送 ACK 报文确认号是 y1双方进入 ESTABLISHED 状态在报告里要把这三个报文的 Sequence Number、Acknowledgment Number 填进表格。注意 SYN 报文本身要占一个序列号所以确认号总是「对方的初始序号 1」。这是考试和报告里最容易写错的一个点很多人会漏掉这个 1 的原因——SYN 标志位要占一个字节的序列号空间。实验五里给出的报文表格就是对着 Wireshark 逐项记录的报文一序列号 3237943377确认号 0SYN1 ACK0报文二序列号 3360954440确认号 3237943378SYN1 ACK1报文三序列号 3237943378确认号 3360954441SYN0 ACK1。如果你自己抓包把数字替换成你环境里的真实值就行。同一批报文里不会完全一样但规律完全相同三次握手的第三次 ACK 确认号正好等于第二次的序列号加 1。3.3 HTTP 报文里值得记录的字段实验二的后半部分要能认出 HTTP 请求报文和响应报文。在 Wireshark 的报文详情里HTTP 请求会有几个关键字段请求行Method、URI、Version、Host 头部、User-Agent、Accept。响应报文则有 Status Code 和 Phrase比如200 OK表示成功。实际操作的时候我一般先访问一个纯文本页面的网址这样响应内容短截图放得下。请求和响应的对应关系可以通过帧号找到——Wireshark 里点中某个 HTTP 请求报文选择「追踪流」-「HTTP Stream」就能看到完整的请求响应内容。报告中需要写清楚浏览器收到响应报文后抽取出页面内容渲染的过程这部分对应的是应用层行为。4. 以太网帧结构与 ARP 协议从帧格式到跨网段通信的链路逻辑4.1 以太网帧每个字段的作用要能背下来实验三和实验四其实是一套的都在讲链路层。以太网帧的结构在网上流传的版本有点混乱严格来说是 7 字节前导码 1 字节帧起始定界符 6 字节目的 MAC 6 字节源 MAC 2 字节类型/长度用户数据 4 字节 FCS。报告里列的字段表更细把数据字段长度和 LLC 分开列了。考试或写报告的时候记住这个表就够了字段长度作用前导码7 字节使接收器建立比特同步起始定界符 SFD1 字节指示一帧的开始目的地址 DA6 字节指出接收该帧的工作站源地址 SA6 字节指示发送该帧的工作站数据字段长度2 字节指示逻辑链路控制数据字节长度LLC 帧不定携带用户数据填充字段 PAD不定保证帧长度满足碰撞检测需要帧校验序列 FCS4 字节CRC 循环冗余校验检验传输差错这些字段里真正需要理解的是 PAD 的作用。以太网规定帧的最小长度是 64 字节从目的 MAC 到 FCS如果数据太短就要填充。原因是以太网是共享介质的如果帧太短发送端可能在发送过程中还没检测到碰撞就已经发完了导致碰撞检测失效。理解这一条就知道填充字段不只是在凑数字而是为了保证 CSMA/CD 协议能正常工作。MAC 地址的构成也要说清楚前 24 位是 OUI 供应商代码由 IEEE 管理分配后 24 位序列号由厂商自己分配。平时用ipconfig /all看到的物理地址就是这两个部分拼接成的比如某块网卡的 MAC 是44-8A-5B-E1-D8-6B前三位44-8A-5B对应的就是供应商后三位是网卡出厂序列号。4.2 ARP 实验高速缓存表要回答的三个问题实验四的核心是 ARP 协议报告里详细列了 ARP 高速缓存表的组成。缓存表每项包含这些字段状态FREE/PENDING/RESOLVED、硬件类型、协议类型、硬件地址长度、协议地址长度、接口号、队列号、尝试次数、超时时间、硬件地址、协议地址。这些字段分别对应 ARP 报文的头部字段和本地维护信息。关键要理解的是 ARP 请求报文本身的内容。我给你用一个具体的交互过程来描述主机 EIP 172.16.0.15MAC 44-8A-5B-E1-D8-6B要 ping 主机 FIP 172.16.0.16。E 先查自己的 ARP 缓存发现没有 F 的 MAC 地址就向同一个网段发送广播帧询问「谁是 172.16.0.16请告诉我你的 MAC 地址」。这个广播帧的目的 MAC 是全 FF:FF:FF:FF:FF:FF只有 F 会响应其他主机直接丢弃。F 收到后回复一个单播 ARP 应答把自己的 MAC 告诉 E。E 收到后把这条映射写进缓存表之后就不再发广播了。还有一个细节E 在广播请求里把自己的 IP 和 MAC 一起带上了所以 F 收到请求后也能学到 E 的映射。这是 ARP 的一个特性任何收到请求的节点都可以利用请求方的 IP/MAC 信息更新自己的缓存表。4.3 ARP 跨子网通信的两个关键答疑报告最后有两个问答恰好也是考试考过很多次的点。第一个问题ARP 请求报文能否跨越子网进行地址解析答案是不能。ARP 报文是链路层协议它的广播只在本网段内有效路由器不会转发 ARP 广播帧。脱离子网ARP 报文自动失效。第二个问题ARP 在跨子网通信里起什么作用答案是只负责解析网关的 MAC 地址。主机 A 要访问外网主机 BA 的 ARP 缓存表里存的不是 B 的 MAC因为根本查不到而是本网段路由器接口的 MAC。A 把数据帧发给路由器路由器再在自己的路由表里查下一跳由下一跳网络继续解析。这个机制解释了为什么主机配置 IP 时必须把网关配对——网关的 MAC 地址是整个外网通信的第一跳。这个实验也可以对比着操作查看arp -a命令的输出内容能看到本机缓存表里有哪些 IP 和 MAC 的映射。注意观察网关那一行的 MAC 地址是否和路由器背面的标签一致。如果不一致那说明局域网里有设备私改 IP这是排查故障时一个常见的切入点。5. 按照 TCP 报文结构做实验三次握手与四次挥手抓包对照指南5.1 三次握手的报文关系要横向对比实验五的表格是所有计网实验报告里最有含金量的部分。这份报告里记录了七个报文其中报文一、二、三是三次握手报文四、五、六、七对应连接关闭。要理解这份表格你不能竖着看每个报文的字段而要横着看它们之间的关联。三次握手那段表格我重新整理一下字段报文一报文二报文三序列号323794337733609544403237943378确认号032379433783360954441ACK011SYN110看懂了就会发现报文二的序列号是 3360954440但它的确认号 3237943378 恰好等于报文一的序列号 3237943377 加 1。报文三的序列号 3237943378 又等于报文二里的确认号报文三的确认号 3360954441 等于报文二的序列号加 1。这里 1 的原因就是前面的 SYN 占序号规则。这三个报文的数值环环相扣写报告的时候如果数字对不上那说明抓包时混入了其它连接的数据。用 Wireshark 复现这个实验可以把过滤条件写成tcp.port 80然后打开一个网页。在抓到的报文里找到第一条带 SYN 标志的报文这就是三次握手的开始。点击该报文Wireshark 下方会显示十六进制内容展开 TCP 层就能看到 Sequence Number 和 Acknowledgment Number还有头部长度、窗口大小这些参数。把这些记录下来填写到表格里就行。5.2 四次挥手的报文区分为什么是四次而不是两次连接关闭的过程对初学者来说迷惑性比较大。报告里已经把逻辑写清楚了TCP 连接释放是双向的A 发送断开报文B 回复确认后A 到 B 这个方向的通道关闭了但 B 到 A 的方向还开着这叫半关闭状态。直到 B 的数据发完了B 才发送断开报文A 再回一个确认整个连接才算真正释放。这里有三个坑要特别注意。第一个坑很多教材画四次挥手只有四个报文但实际上抓包经常看到 FIN、ACK 合在一个报文里。这是因为 Wireshark 的显示过滤规则。你设置的过滤条件如果是tcp.flags.fin 1它会把请求和应答的 FIN 报文都显示出来但实际传输过程中确认报文和断开请求可能合并在同一个包里。第二个坑关闭连接时为什么要有「等待一段时间」报告里对三次握手的解释已经很到位了——防止上一次滞留的失效连接请求报文突然又被送到 B导致 B 白白建立一条无人使用的连接。这段论述值得多读几遍它其实是面试里经常问的「TIME_WAIT 状态为什么存在」的底层逻辑。第三个坑实验表格里「报文四、五、六」这一栏显示的窗口大小是 65535这个值是在 TCP 头部里标明的接收窗口表示本端接收缓冲区还能容纳多少字节。如果看到这个值是 0说明对端已经收不下更多数据了这是流量控制的一种表现。做实验的时候如果抓到的包窗口值特别小注意两边是不是开启了 TCP window scaling 选项这会影响到你自己对这个数值的理解。5.3 直接交付和间接交付的数据链路差异报告末尾有一段 ARP 工作流程的对比如下主机 A 向主机 B 发送数据时应用层数据经过传输层和网络层的封装变成 IP 数据报到达链路层后需要封装成帧帧头需要目的 MAC 地址主机 A 在 ARP 缓存表中查找对应 IP 的 MAC 地址如果没有则发起 ARP 广播请求得到单播应答如果主机 A 和主机 B 不在同一个局域网内ARP 就要找到位于本局域网内的某一个路由器的 MAC 地址把分组发给这个路由器直接交付和间接交付的区别就在第 4 步。同网段时目的 MAC 直接写目标主机的 MAC。跨网段时目的 MAC 写的是网关的 MACIP 报文里的目的 IP 不变。很多人会在这一点上犯迷糊既然目的 MAC 是网关的那 IP 报文里为什么还是目标主机的 IP因为 MAC 地址只在当前局域网内有效每经过一个路由器都会被替换而 IP 地址是整个通信过程中不变的。抓包时看同一份 TCP 流在不同链路段上的以太网帧头会发现源和目的 MAC 一直在变但 IP 层始终是那两个地址。6. TCP/IP 抓包实验避坑手册高频翻车点与实测解决方案6.1 Wireshark 抓不到 HTTP 请求只看到 TLS 加密现象在浏览器地址栏输入网址后Wireshark 里过滤http条件结果没有出现任何 HTTP 报文反而是一堆 TLS 报文。原因现在的网站默认都开了 HTTPSHTTP 报文被 TLS 加密后Wireshark 无法直接识别内部结构。报告中实验二写的是 HTTP 请求的完整过程但真实环境下你访问任何主流网站都抓不到明文 HTTP。解决实验时访问一个明确支持 HTTP 的站点或者直接在内网搭一个简单的 HTTP 服务。更简单的做法是在地址栏输入某个网站的 IP 地址访问因为我用浏览器访问http://开头的地址时大多数网站会自动跳转到 HTTPS。也可以用 Python 在本地起一个临时 Web 服务python3 -m http.server 8888然后在浏览器访问http://127.0.0.1:8888Wireshark 就能稳定抓到 HTTP 报文。这个方法能保证你实验报告里抓到的直接就是 HTTP 明文而不是加密后没法分析的 TLS 报文。6.2 ARP 广播包抓到了但看不到响应现象Wireshark 里能看到本机发出的 ARP 广播请求目的 MAC 是ff:ff:ff:ff:ff:ff但迟迟没有收到单播应答。原因常见原因有三种。一是目标主机关闭了 ARP 响应杀毒软件或系统安全策略拦截二是目标 IP 根本不存在网络上没有任何设备响应这个广播三是目标主机和本机不在同一个 VLAN 里广播被交换机隔离了。解决先用arp -a查看本机缓存表确认目标是否可达再 ping 目标 IP 触发一次 ARP。如果 ping 不通但有响应多半是防火墙拦截 ICMP。如果 ping 和 ARP 都没响应那就检查 IP 地址是否写错或者直接抓目标主机的 Wireshark 看它有没有收到广播帧。6.3 抓到了 TCP 报文但序列号对不上教科书现象自己抓包显示的 Sequence Number 非常大比如 3237943377而教材上的例子是 1、2、3 这种小数字于是怀疑自己抓错了包。原因现代操作系统 TCP 协议栈默认开启随机初始序列号 ISNInitial Sequence Number每次建立连接时从一个随机值开始计数。这是为了防止 TCP 序列号预测攻击属于安全机制的体现。解决写报告时不需要把序列号改成小数字。直接把实际抓到的序列号填进表格只要保证三次握手的报文中确认号前一个报文序列号 1 的关系成立即可。实验中五的表格也用的是实际抓包的大序列号数字比如 3237943377 这种量级。如果你想把理论讲得更清楚可以额外备注「ISN 为随机初始化值」这一条。6.4 局域网内 ping 另一台主机时抓不到包现象两台电脑在同一个路由器下A 主机 ping B 主机A 上抓不到任何 ICMP 报文B 上也一样。原因很多家用路由器默认开启 AP 隔离或客户端隔离功能无线终端之间不能直接通信。此外Windows 系统防火墙默认拦截来自其它设备的 ICMP 请求所以 B 收到了报文但不会回复A 自然看不到应答。解决在 B 机器的 Windows 防火墙里放行「文件和打印机共享回显请求 - ICMPv4-In」规则或者临时关闭防火墙。如果是实验室环境确认路由器没开客户端隔离。抓包的本机最好是用有线连接的机器无线网卡驱动有时会把本机发出的报文直接过滤掉需要在 Wireshark 的抓包选项里取消勾选「Promiscuous Mode」下面的「Capture packets in monitor mode」之类的选项才能看到。这类问题排查的时候最直接的一个技巧是先 ping 一下自己的 IP如果自己的包都抓不到就是网卡或者驱动层面的问题。6.5 Tracert 显示中途某一跳全是超时现象tracert 命令运行后前面几跳响应正常到某一跳之后显示连续几个*但最终又能到达目标主机。原因路由器不响应 ICMP 超时消息这是一些运营商的常见安全策略。中间节点的响应超时并不代表链路断了只要最终目的可达就说明转发路径是通着的。解决在报告里如实写「该节点配置了禁 ping 策略」即可。不要因为这个现象去修改文本描述掩盖实际的网络行为反而会让实验报告失去真实性。如果实在需要显示每一跳地址可以用支持 TCP 探测的工具或者在防火墙策略里放行 ICMP TTL 超时消息。7. 把这份报告改造成自己的实验作业内容替换、截图规范和加分细节拿到这份模板之后直接交原样是不行的每台电脑的网络环境都不一样抓到的报文数据也不同。我用这份报告做过两次类似的课程实验总结了一下改造流程。第一步是信息替换。把报告封面里的专业、班级、学号、姓名改成你自己的这是最基本的。实验日期也要改有些老师会在意是否当期完成。第二步是截图替换。报告里凡是涉及报文号的截图一定要是你自己 Wireshark 里截出来的。截图的规范如下要包含帧列表上方的过滤表达式栏、报文详情面板、报文内容面板三个区域缺一不可。如果报告里需要帧号截图里必须能清楚看到 Frame 编号。按 AltPrintScreen 可以只截当前窗口比直接 PrintScreen 再裁剪要省事。第三步是把报文表格里的数字改成自己抓包的实际值。你可以做一个这样的流程来提取数值# 启动抓包 # 浏览器访问一个 http 站点 # 停止抓包过滤表达式输入 tcp.flags.syn 1 || tcp.flags.ack 1 # 在报文详情里找到 Transmission Control Protocol - Sequence Number # 逐个记录我一般会在 Excel 里先把每个报文的 Sequence Number、Acknowledgment Number、Flags 记成一张表确认关系都对了再填进报告正文。避免在报告的表格里互相矛盾批改老师如果发现确认号对不上一眼就能看出是编的数据。第四步是补充网络拓扑描述。报告里只写了主机 A ping 主机 B但实际实验环境是什么样的建议画一个简单的拓扑说明两台机器的 IP、MAC、连接方式直连网线还是通过交换机、网关地址。这个内容可以放在实验报告的「实验环境」小节里不算额外工作但能给报告增色不少。注意 IP 地址要用实验环境的真实值不要写 192.168.1.1 这种模板 IP。还有一个值得操作的加分细节把ipconfig /all的完整输出贴到实验一的报告里然后用文字说明每个关键参数的含义。这比只写「使用 ping 命令可快速查看网络信息」要扎实得多。最后多说一句做计网实验最忌讳的就是包抓到什么全盘照抄不去理解报文之间的时序关系。我从那以后每次交报告都会强制走一遍这个流程先把我自己抓到的报文整理成表格手工验证确认号是否等于对方序列号加 1再用过滤器重新过一遍确认截图里的报文和表格里的数据完全对应最后才写结论。这个习惯救过我很多次——有一回就是因为没检查交上去的报告里四次挥手的报文方向标反了被老师当堂叫起来回答问题。希望这篇拆解能帮你在做计网实验时少走这些弯路把一份模板真正变成自己的东西。本文还有配套的精品资源点击获取

计算机网络实验指南：从Wireshark抓包到TCP三次握手实战

相关推荐

STM32裸机C++运行时四重缝合：从__libc_init_array到operator new

TL494打造0-60V/20A BUCK电源：95%+效率实战

Deepseek小红书运营提示词模板：从角色化到避坑的完整指南

更多资讯

TileLang GPU 内核开发教程：用几行 Python 写出对标 cuBLAS 的 GEMM

Go 与 Linux 网络命名空间：基于 CNI `ns` 包的安全切换实践（KubeVirt 视角）

为什么有的 NVMe SSD 有 DRAM，有的没有？——NVMe SSD 的 DRAM 缓存机制详解

【AI】手把手WSL源码安装openclaw（Clawdbot、Moltbot）

用三元运算符 `?` 与逻辑或 `||` 重写 JavaScript 函数：checkAge 一行式改造实战

Warp Async Find：把终端查找移出主线程的增量式流式搜索架构

今日更新

Multisim仿真NE555 PWM控制器：从搭电路到调占空比全流程

S32K312 AUTOSAR BSW开发实战：从配置踩坑到烧录交付

双目视觉三维人脸重建：从视差图到点云粗配准全流程解析

本周精选

CMOS设计三大物理效应：体效应、沟道长度调制与亚阈值导电

微信小程序在线阅读毕设全解析：Java后端+MySQL+避坑实战

Android音频问题五层分析法：从App到Codec的系统化诊断

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？