很多人学计算机网络，第一反应就是去背协议：三次握手、IP地址分类、HTTP状态码……背的时候条条清晰，可真到了实际环境里，要么被一个ARP问题卡住，要么被一套子网划分算到怀疑人生。我早期就是这么学的，后来在排障和面试里反复碰壁，才悟出一个道理：网络不是一门背诵课，而是一门工程课。这篇笔记，就是我从“背知识点”转向“搭知识体系”之后，重新梳理网络核心基础的精讲学习记录。
我不会按教材目录一章一章平推，而是沿着一条主线走：先搭起分层模型这个总框架，再把数据链路层、网络层、传输层这些真正的地基部分讲透，最后落到应用层的常见协议和排障实战。内容里会穿插Wireshark抓包、子网划分的计算过程、TCP状态变化等实操细节，都是我自己做过、验证过的。适合三类人参考：正在准备408或期末复习的在校生、刚入行的运维和开发同学，以及自学网络想查漏补缺的爱好者。
1. 怎么学才不白学：路线设计与资料取舍
1.1 为什么核心基础比花哨技术更重要
很多新手上来就想摸K8s网络、SDN、VXLAN这些看起来很“高级”的东西，但我和身边做网络的同学有一个共同感受：凡是能在线上环境里真正解决问题的人，最后拼的都是基础功底。你不懂ARP，可能连“为什么换了IP还是上不了网”都解释不清；不懂TCP半连接队列，线上偶发连接超时的时候只能干瞪眼；不谈HTTP连接模型，后端接口性能调优就少了一半思路。
所谓网络核心基础，指的就是分层模型、帧与包的结构、IP编址与路由、TCP可靠性、DNS和HTTP这些底层机制。它们看似枯燥，却是所有上层技术的共同底座。就像盖房子，你可以在上面装修得很漂亮，但地基松了，墙皮再好看也撑不住。
我给自己定的原则是：不追求“听过很多协议名”，而是追求“每个核心机制的为什么都能答上来”。比如TCP为什么要三次握手而不是两次，子网掩码为什么这么算，帧校验序列是怎么出来的。这些“为什么”才是面试和排障真正会考到的东西。
1.2 主流教材和资料怎么选
市面上的网络教材很多，常被问到的几套我简单做个横向对比，方便你按自己的场景选择。
| 资料 | 特点 | 适合场景 |
|---|---|---|
| 谢希仁《计算机网络》 | 体系完整，原理细节讲得清楚，课后题质量高 | 系统学习、考研备考、期末复习 |
| 《计算机网络：自顶向下》 | 从应用层切入，贴近工程，Wireshark实验多 | 有基础后加深理解、开发者入门 |
| 王道考研计算机网络 | 考点浓缩，真题导向，节奏快 | 408短期冲刺、快速过重点 |
| 湖科大教书匠（B站） | 讲解细致，图表丰富，偏原理推导 | 配合教材理解底层逻辑，适合打基础 |
我的建议是：时间充裕就以谢希仁或自顶向下为主干，视频课做辅助；时间紧张就直接王道加湖科大视频搭配刷题。但无论选哪套，有一点躲不开——必须动手练习，光看视频和书很难形成手感。
1.3 我的学习闭环：读、练、抓包
这套方法看起来朴素，但极其有效，我每一层协议都是这么学过来的：第一遍读教材对应章节，把概念过一遍；第二遍做至少十道相关题目，包括计算题和概念题；第三遍打开Wireshark，抓真实的网络包，把理论上的字节结构和实际报文对起来。
比如链路层，我读完“以太网帧由目的MAC、源MAC、类型、数据和FCS组成”之后，就去抓了一个ping包，亲眼看到二层源MAC地址、目的MAC地址，以及三层里的源IP、目的IP被一层层封装在里面。那一刻我才真正理解了什么叫“封装”。这个流程听起来慢，但学到的东西非常牢固，后面排障时很多判断都是靠这种直觉。
2. 分层模型：先有骨架再谈细节
2.1 为什么网络一定要分层
分层这件事，平时你可能觉得没什么好讲的，但它恰恰是整个网络体系里最重要的思想。想象一下寄快递：你只需要在包裹上写好寄件人和收件人信息，快递公司负责分拣和运输，卡车飞机负责实际运送。你不需要关心快递公司内部怎么调度，快递公司也不需要自己造飞机。网络分层也是同一个逻辑——每一层只关心自己的职责，向上层屏蔽细节，向下层提出需求。
这样做的好处有三个：一是问题隔离，哪一层出了故障就排查哪一层；二是标准化，只要接口（报文格式）固定，各层实现可以独立替换；三是可演进，从IPv4换到IPv6时，不需要把物理网线全部重铺一遍。
很多人分不清“分层”和“协议栈”这两个概念。简单理解，协议栈是分层的具体实现，每一层跑着对应的协议，比如网络层跑IP协议，传输层跑TCP或UDP协议。分层的价值，就是让这些协议能够有序地协作。
2.2 OSI七层与TCP/IP四层的对照
学习时一定要把这两套模型的对应关系搞清楚，否则做题时容易懵。
| OSI七层 | TCP/IP四层 | 典型协议 | 典型设备 |
|---|---|---|---|
| 应用层、表示层、会话层 | 应用层 | HTTP、DNS、FTP、SMTP | 计算机、应用服务器 |
| 传输层 | 传输层 | TCP、UDP | 防火墙、四层负载均衡 |
| 网络层 | 网络层 | IP、ICMP、ARP、OSPF | 路由器、三层交换机 |
| 数据链路层 | 网络接口层 | Ethernet、Wi-Fi | 交换机、网卡 |
| 物理层 | 网络接口层 | 网线、光纤、无线电 | 中继器、集线器 |
面试里常问“DNS属于哪一层”，要注意DNS报文本身走UDP/TCP传输，但按功能它属于应用层，因为它解决的是“域名到IP的映射”这个应用问题。同理，ICMP虽然跑在IP之上，但通常还是归到网络层，因为它是协助IP工作的控制协议。这些边界问题需要刻意去记。
2.3 用分层视角拆解一次完整网页访问
把一次网页访问从头到尾走一遍，是检验自己是否真的理解分层的最好方式。我经常用这个例子帮朋友建立全局感：
浏览器输入网址后，应用层先用DNS把域名解析成IP地址；传输层发起TCP连接，经过三次握手建立可靠通道；网络层把数据封装成IP包，通过路由表找到下一跳；数据链路层把IP包进一步封装成帧，填上源和目的MAC地址；物理层把帧变成比特流在网线或无线信道里传输。数据到达服务器后，再按相反方向逐层解封装，最终取出HTTP请求，返回响应。
整个过程里，每一层都只处理自己关心的信息，应用层不关心路由怎么走，网络层也不关心数据是HTTP还是FTP。理解了这个主流程，后面看任何协议都会觉得顺很多。
3. 数据链路层：帧在网线里的模样
3.1 链路层的三个基本功
数据链路层负责把网络层交下来的IP数据报封装成帧，再通过物理层发送出去。它干的事情主要有三件：封装成帧、差错检测、介质访问控制。
封装成帧的核心是在数据前后加上首部和尾部，让接收方知道一个帧从哪里开始、到哪里结束。差错检测则是在帧尾附加一个校验码，防止数据在传输过程中被噪声干扰。介质访问控制在早期以太网里非常重要，那时候多台设备共享一条总线，为了避免同时发送导致冲突，才有了CSMA/CD这种“先听再发、冲突退避”的机制。
现在的以太网普遍采用交换机和全双工模式，处撞检测基本退出了历史舞台，但帧的封装格式和差错检测仍然完整保留着。理解这些基本功，对后面理解交换机和排障都很有帮助。
3.2 亲手抓一个以太网帧
Wireshark是我最推荐的网络学习工具，没有之一。装好之后，选择一块正在通信的网卡，过滤框里输入eth.type == 0x0800，就能只看到封装IPv4报文的以太网帧。
双击任意一个包，展开Ethernet II那一层，你会看到目的MAC地址、源MAC地址和类型字段。字段含义就是：前6字节目的MAC、后6字节源MAC、紧跟着2字节类型字段，0x0800表示上层是IPv4，0x0806表示上层是ARP。再往下展开，能看到IP层、TCP层、应用层的数据，每一层都嵌套在前一层的“数据”字段里。
我第一次抓包看到这种一层套一层的结构时，对“封装”两个字的理解完全不同了。你在网上看一百遍概念，都不如亲眼看到一帧数据里的地址字段来得直观。
3.3 CRC差错检测：算一个FCS
差错检测里最常见的是CRC循环冗余校验。以太网帧尾的FCS就是CRC-32的计算结果，它能以极高的概率发现传输过程中的比特错误，但不是加密，也做不到纠错。
理解CRC可以看这个简化例子。假设生成多项式是G(x)=x^3+x+1，对应的二进制是1011，要发送的数据是1101。发送方在数据后面补3个0，变成1101000，然后不断和1011做模2除法，也就是按位异或。这个过程的Python实现如下：
def crc_remainder(data_bits, gen_bits): data = data_bits + [0] * (len(gen_bits) - 1) for i in range(len(data) - len(gen_bits) + 1): if data[i]: for j in range(len(gen_bits)): data[i + j] ^= gen_bits[j] return data[-(len(gen_bits) - 1):] data = [1, 1, 0, 1] gen = [1, 0, 1, 1] print(crc_remainder(data, gen)) # [0, 1, 1]，即 FCS = 011所以最终发送的比特串是1101011。接收方拿到数据后，用同样的生成多项式再做一次除法，如果余数全为零，就认为传输没有问题。这套机制在网卡硬件里实现，速度快、开销小，是数据通信里最值得了解的计算之一。
3.4 交换机怎么转发：MAC地址表
数据链路层的核心设备是交换机。交换机启动时MAC地址表是空的，收到一个帧之后，它会做三件事：记录源MAC地址和对应端口；查目的MAC地址，如果表里有就只从对应端口转发；如果表里没有，就向除入端口外的所有端口泛洪。
听起来很简单，但这里藏着一个常见的性能问题：MAC地址表是有限的，如果局域网里广播帧特别多，所有设备都会被反复打扰。一些网络异常场景，比如某台设备中了蠕虫病毒，疯狂发送目的MAC不明确的数据帧，就会导致交换机泛洪量暴涨，整网卡顿。这就是为什么我一直说，链路层的知识不是考试限定，而是真正能拿来排查日常网络问题的工具。
头歌平台上有不少以太网帧结构的实训题，我的建议是先自己抓包看一遍真实帧结构再做，而不是直接找答案。抓过包之后，那些字段为什么存在、顺序为什么这样排，会变得非常自然。
4. 网络层：IP规划与路由是进阶敲门砖
4.1 IPv4地址的几个核心概念
IPv4地址是32位二进制数，为了人类可读才写成点分十进制。早期网络用分类编址，把地址分成A、B、C类，后来因为浪费严重，现在普遍用CIDR无类别域间路由，用“/前缀长度”表示网络位和主机位的划分。
有几个地址段必须烂熟于心：私有地址段是10.0.0.0/8、172.16.0.0/12和192.168.0.0/16，这些地址只能在局域网内部使用，不能直接上公网；回环地址是127.0.0.1，用来表示本机。还有一个常用的是169.254.0.0/16，这是DHCP分配失败时系统自动配置的地址，看到它往往意味着没拿到IP，我排障时第一时间就会确认这个。
理解网关也很有用。网关本质上是本网段通往其他网段的出口路由器的IP地址。主机发往非本网段的数据包，必须先交给网关，再由网关做路由转发。
4.2 子网划分实战：从需求到方案
子网划分是网络层最核心的计算能力之一，也是408和面试题里的常客。每次做这类题，我都按固定流程走，先统计需求，再确定主机位长度，最后分配地址段。
举一个实际案例：某公司拿到了一个192.168.1.0/24网段，需要划分给两个部门，部门A需要120台主机，部门B需要50台主机。
计算步骤是这样的：部门A需要120台，那么主机位至少要有7位，因为2^7-2=126，够用且不浪费；对应前缀长度是32-7=25，也就是/25子网。部门B需要50台，主机位至少6位，因为2^6-2=62，够用；对应前缀是/26。
具体分配如下：
| 部门 | 子网 | 掩码 | 可用地址范围 | 广播地址 |
|---|---|---|---|---|
| 部门A | 192.168.1.0/25 | 255.255.255.128 | 192.168.1.1 ~ 192.168.1.126 | 192.168.1.127 |
| 部门B | 192.168.1.128/26 | 255.255.255.192 | 192.168.1.129 ~ 192.168.1.190 | 192.168.1.191 |
剩余192.168.1.192/26可以作为后续扩容段。这里最容易被忽略的是子网分配顺序必须连续不交叉，不能先从192.168.1.64/26开始给A，那样会和B的地址空间重叠。另一个高频坑是忘记减2，网络地址和广播地址都不能分配给主机。
如果需求是“一个园区总共需要500个地址”，那就直接用一个/23网段，比如192.168.4.0/23，掩码255.255.254.0，可用地址从192.168.4.1到192.168.5.254，广播地址是192.168.5.255。这类题的关键就一句话：先算主机位，再定掩码，最后按顺序切段。
4.3 路由表转发与最长前缀匹配
路由器的核心工作是查路由表，决定把数据包交给哪个下一跳。路由表项通常包含目的网络、掩码、下一跳地址和出接口。
比如路由表里有三条路由：192.168.1.0/24指向接口A，192.168.0.0/16指向接口B，0.0.0.0/0指向运营商网关。现在来了一个目标地址192.168.1.55的数据包，按最长前缀匹配原则，它应该走192.168.1.0/24这条路由，因为它的前缀长度最长，匹配最精确。
默认路由0.0.0.0/0之所以排在最后，就是因为它匹配所有地址，但精确度最低。只有当前面没有更精确的路由时，数据包才会走默认路由。这个原则我建议亲自在路由器或模拟器里配置一次，印象会深很多。
4.4 ARP：IP地址和MAC地址之间的桥
网络层用IP地址寻址，数据链路层用MAC地址寻址，两者之间靠ARP协议衔接。ARP的工作过程就两步：本机广播一个“谁的IP是192.168.1.1，请把你的MAC地址告诉我”，目标设备收到后单播回复自己的MAC地址，然后双方把这条映射缓存起来，缓存通常几分钟后过期。
ARP看起来简单，但实际排障里经常遇到问题。比如IP地址冲突，两台主机配置了同一个IP，ARP请求会得到两个不同的MAC应答，通信就会时断时续。还有ARP欺骗，有人故意发送伪造的ARP应答，让流量被劫持。遇到这类问题，可以先在命令行里用arp -a查看本机ARP缓存，再用ipconfig /all确认本机IP和网关配置，往往能找到线索。
5. 传输层和应用层：建立连接的细节
5.1 TCP三次握手和四次挥手拆解
TCP三次握手应该是全网被讲烂的话题，但真正理解它背后的“为什么”，比背状态名重要得多。
第一次握手，客户端发送SYN报文，携带初始序列号x；第二次握手，服务器回复SYN+ACK，确认号是x+1，同时带上自己的初始序列号y；第三次握手，客户端发送ACK，确认号是y+1。为什么不是两次？因为三次握手可以防止失效的连接请求突然到达服务器。比如客户端发起了一个连接请求，因为网络拥塞迟迟没到，超时后客户端重发请求并成功建立了连接，这时第一次的旧请求又到了服务器，如果是两次握手，服务器会误以为这是一个新连接并浪费资源；三次握手后，客户端对旧请求不会回应，服务器自然就能识别出来。
四次挥手则是因为TCP连接是全双工的，两个方向需要分别关闭。主动关闭方发送FIN，被动方回复ACK，然后被动方发送自己的FIN，主动方再回复ACK。主动方收到对方的FIN后，会进入TIME_WAIT状态，等待2MSL再关闭。等待的原因有两个：一是确保最后一个ACK能到达对方，如果丢了可以重发；二是让老连接的数据包在网络中彻底消失，避免干扰新连接。
5.2 可靠传输的机制
TCP的可靠性不是靠某个单一机制，而是靠序列号、确认应答、超时重传和滑动窗口这套体系协同工作。
发送方给每个字节编号，接收方收到后回ACK确认。发送方如果迟迟没有收到确认，就会在一段时间后重传。滑动窗口则解决了效率问题，让发送方不用每发一个包就停下来等确认，而是可以一次性发送多个数据包，根据窗口大小控制并发量。
理解这一块最好的方式是观察抓包里的序列号和确认号。你会发现确认号往往不是简单的当前包序号加1，而是“期望收到的下一个字节序号”。这个细节搞明白之后，TCP的很多疑难杂症就都能解释了。
5.3 HTTP的核心演进和常用状态码
应用层最常碰到的是HTTP。HTTP/1.1用持久连接加管线化来复用TCP连接，但还是存在队头阻塞问题；HTTP/2引入多路复用，在同一个连接上并行传输多个流，很大程度上解决了队头阻塞；HTTP/3改用QUIC协议，基于UDP，把连接建立和加密握手合并，适合弱网场景。
状态码也是必须掌握的：2xx表示成功，最常用200；3xx表示重定向，301是永久重定向，302是临时重定向；4xx表示客户端错误，404是资源不存在，403是禁止访问；5xx表示服务器错误，500是服务器内部错误，502是网关错误，504是网关超时。排障时看到状态码，基本能定位问题在前端、网关还是后端。
DNS也值得单独说一句。解析流程大致是：先查本地缓存，再查系统配置的DNS服务器，如果缓存没有，DNS服务器会替你去根域名服务器、顶级域名服务器和权威域名服务器逐级查询。遇到“域名能ping通但有网页访问慢”的情况，多半和DNS解析时间有关，可以用nslookup命令查看具体解析耗时。
5.4 用抓包验证TCP状态变化
只看书很难形成肌肉记忆，我强烈建议你亲手抓一次TCP连接过程。打开Wireshark，过滤框输入tcp.stream eq 0，然后访问任意一个HTTP网站并关闭页面，就能看到完整的握手和挥手过程。
前三个包是SYN、SYN+ACK、ACK，注意观察他们的序列号如何递增。随后是大量数据包，每个数据包的Seq和Ack都在有序推进。最后四个包是FIN、ACK、FIN、ACK，其中第一个FIN后的那个ACK，对应的是TCP状态里的CLOSE_WAIT到LAST_ACK变化，最后一个ACK之后主动方进入TIME_WAIT。如果你在抓包里看不到最后一个ACK，往往是因为它很快被系统回收了，这也是正常现象。
这套观察做一次，TCP对你来说就不再是抽象的状态机，而是看得见摸得着的东西。
6. 学习中的坑点和排障记录
6.1 初学阶段最容易踩的坑
我见过太多人栽在下面这几类问题上，提前写出来，希望你能绕开。
第一，分不清端口到底属于哪一层。端口是传输层的概念，TCP和UDP用端口号来区分应用，IP层没有端口。第二，以为MAC地址是全局唯一的。MAC地址只需要在局域网内唯一，跨网段通过路由转发时，二层地址每经过一跳都会变成新的源和目的，而IP地址保持不变。第三，计算广播地址时忘记把主机位全置1。第四，把子网掩码当成一种“路由配置项”，其实它是用来区分网络位和主机位的工具，所有主机都需要正确配置掩码才能判断目标是否在本网段。第五，以为ping通了就代表网络没问题。ping只能说明ICMP可达，端口能不能通、服务正不正常，都需要进一步验证。
这五个坑，每一个我都在真实环境里碰到过。特别是第二点，理解了“MAC地址逐跳变化、IP地址端到端不变”之后，对路由转发机制的理解会提升一个档次。
6.2 实战：异常流量告警怎么排查
有时候系统会弹出一条提示：“我们的系统检测到您的计算机网络中存在异常流量，请稍后重新发送请求。”这种情况我在多个场景都遇到过，先别慌，它不一定是被攻击，也可能是某款软件后台行为导致的。
我的排查顺序是这样的：第一步，打开任务管理器，切到详细信息页签，按网络占用排序，看看是哪个进程在大量收发数据。第二步，用netstat -ano查看当前所有建立的TCP连接，找到大量外连的PID，再到任务管理器里反查是哪个程序。第三步，如果疑似是P2P下载器或挖矿程序，直接结束进程并断网确认。第四步，更新系统补丁、杀毒软件全盘扫描，同时检查路由器的设备列表，排除局域网内其他设备被劫持的可能。
| 现象 | 可能原因 | 处理方向 |
|---|---|---|
| 某个进程持续占满带宽 | P2P下载、后台视频上传 | 结束进程、限制带宽 |
| 出现大量未知外连IP | 挖矿木马、远控后门 | 断网隔离、杀毒 |
| 局域网整体变慢 | 某设备大量泛洪、ARP欺骗 | 登录路由器排查终端列表 |
| 访问网页频繁提示异常流量 | 共享IP被滥用、代理出口被封 | 更换出口IP、检查本地进程 |
很多人以为“异常流量”一定是黑客攻击，其实大多数情况下就是自己电脑上某个不守规矩的软件在后台高频请求。只要按这个流程走，基本能定位到源头。
6.3 备考408和期末复习的针对性建议
如果你在准备408，网络部分的特点是选择题多、单题分值不高，但大题一定会有计算和综合题，比如静态路由配置、子网划分、TCP连接和滑动窗口的计算。复习顺序建议是：数据链路层、网络层、传输层、应用层、物理层，网络层和传输层是绝对重点，投入时间值得拉满。
资料搭配上，我的体会是：湖科大教书匠的视频负责把原理讲透，王道负责把考点浓缩和题型练熟，谢希仁的教材和课后题负责覆盖细节，自顶向下则适合那些想从应用层角度理解网络的同学。不建议贪多，把其中两套吃透就足够。
期末复习则围绕“封装和解封装”这条主线展开，把每一层加了什么、去了什么弄清楚，再把DNS、DHCP、TCP、IP这几个核心协议的过程默写一遍，及格和拿高分都不成问题。头歌这类实训平台上有不少网络实验题，能自己做就自己做，做的时候先想清楚协议行为，再去查命令和参数，而不是反过来靠搜索引擎找答案。
我个人在实际操作中最深的体会是：学网络，一定要动手。抓包、划子网、看路由表，都是低成本的事，但每次动手之后的理解深度，比读十遍书还要扎实。还有一个小技巧，学完一章试着给同事或同学讲一遍，讲得出来才算真懂了。这份笔记只是一份骨架，希望你能借着它搭起自己的知识体系，少走点我当时走过的弯路。
