1. 复习前先理清脉络DAY9的主攻方向期末复习到了第九天说实话这个阶段最忌讳的就是打开书从头翻到尾看似努力实则无效。TCP/IP协议栈的内容量非常大从物理层的比特流到应用层的报文格式每一层都有一堆细节考前最后几天如果还按部就班地啃教材时间肯定不够用而且容易越看越慌。我的建议是DAY9必须干三件事第一把TCP/IP协议栈的分层模型和每一层的核心协议重新在脑子里过一遍建立整体框架第二集中精力把传输层和网络层的关键机制彻底吃透这两个部分是考试的重灾区分值占比通常也最高第三把手边的真题或模拟题拿出来针对错题反查知识点专门补漏。TCP/IP协议栈说到底是四层模型也有说法是把数据链路层和物理层分开算五层应用层、传输层、网络层、网络接口层。上层依赖下层提供服务下层对上层的细节透明。这就像寄快递你只需要把包裹交给快递员应用层快递公司负责分拣和运输传输层和网络层至于路上走高铁还是走飞机你不需要操心。理解这个“分层解耦”的思路很多协议设计的动机就都能看明白了。DAY9的核心关键词是“抓大放小”。TCP的三次握手、四次挥手、拥塞控制、流量控制IP协议的分片与重组、子网划分、路由转发再加上ARP、ICMP这些基础协议踏踏实实把这些啃下来通过考试的问题就不大了。至于一些偏门的细节建议直接放弃或者只做了解别让它们拖慢你的复习节奏。2. 网络层核心考点IP协议、分片计算与子网划分2.1 IP报文格式里最容易丢分的字段IP协议是网络层的核心IPv4报文头部的各个字段经常出现在选择题和简答题里。版本号、头部长度、服务类型、总长度、标识、标志位、片偏移、TTL、协议号、首部校验和、源IP和目的IP这些字段的职责和位置最好记住。特别是标识Identification、标志位Flags和片偏移Fragment Offset这三个字段在数据报分片时配合使用考试几乎年年都考。TTLTime To Live看起来简单但它有一个很容易被忽略的细节TTL的单位不是秒而是跳数。每经过一个路由器TTL减1减到0时数据报被丢弃同时路由器向源地址发送ICMP超时消息。为什么这么设计主要是为了防止数据报在网络中无限循环。我记得有一次实操中抓包看到一个包的TTL是1结果它就在下一跳被丢弃了当时才真正理解“逐跳递减”的含义。理解了这个ping命令里的TTL输出就不会那么神秘了。2.2 IP分片计算的万能套路IP分片问题看起来绕其实就是一道数学应用题掌握了套路之后两分钟就能解出来。一个数据链路层MTU为1500字节的网络要发送一个总长度为4000字节的IP数据报含20字节IP首部问需要分成几片每片的片偏移是多少。先把IP首部的20字节去掉实际可用的数据长度是4000减20等于3980字节。因为每片都要带上20字节的IP首部所以每片能携带的最大数据量是1500减20等于1480字节。分片数是3980除以1480向上取整得到3片。片偏移的单位是8字节所以每片的数据长度必须是8的倍数。1480正好是8的倍数不用调整。第一片的片偏移是0第二片是1480除以8等于185第三片是2960除以8等于370。这里有一个坑要提醒如果MTU是1480或者其它不是8倍数的数值计算出来的片偏移就会带小数这时候职业道德不允许你写小数。必须把每片能携带的数据长度向下调整到8的倍数再重新计算。比如一个原始数据是1500字节的场景调整后每片容量取1480还是1472需要根据MTU具体算。2.3 子网划分的快速技巧子网划分这块很多人喜欢死记公式结果题目一变就懵。我的经验是理解CIDR无类别域间路由的本质IP地址就是32位二进制数子网掩码告诉你前多少位是网络位剩下的就是主机位。比如192.168.1.0/26斜杠后面的26表示网络位长度主机位就是6位可用主机数是2的6次方减2等于62。为什么减2因为主机位全0是网络地址全1是广播地址这两个地址不能分给主机使用。如果题目要求把一个C类网段划分成4个子网你需要向主机位借2位2的2次方等于4原来的/24变成/26。每个子网的地址范围怎么算把最后一个字节的二进制展开按借位后的网络位变化来划分即可。记住一个小规律借n位子网掩码就往右延长n个1每个子网的地址跨度是256除以2的n次方。2.4 ARP协议与ICMP协议的区别ARP地址解析协议解决的是“我知道IP地址但不知道MAC地址”的问题。因为同一个局域网内通信数据链路层只认MAC地址所以发送数据之前要通过ARP广播查询。ARP广播只在同一个广播域内有效路由器不会转发ARP广播这也是为什么跨网段通信必须配置网关。ICMP互联网控制报文协议更像是网络层的“体检报告”它不传输用户数据专门负责报告差错和查询信息。ping命令用的就是ICMP回显请求和回显应答报文。区分这两个协议的办法很简单ARP工作在IP协议之下是“接生婆”ICMP工作在IP协议之上是“值班医生”。3. 传输层核心机制连接的建立、释放与状态迁移3.1 三次握手为什么非要是三次TCP三次握手的过程几乎人人都背过但考官最爱的追问是“为什么不能是两次”。从机制设计上看三次握手的核心目的是同步双方的初始序列号。假设客户端发送的第一次握手SYN在网络中滞留了很久才到达服务端服务端以为是新的连接请求就回复了SYNACK。如果只有两次握手服务端这边连接就建立了它会为这个连接分配缓冲区等资源而客户端因为自己没发送新请求会忽略这个回复服务端就白白浪费了资源等在那里。有了第三次握手客户端可以明确告诉服务端“我确实要建立连接”服务端收到ACK之后才真正完成连接建立。对于迟到的旧SYN客户端在第三次握手时会携带正确的序列号服务端如果发现序列号不对就能判断这是一个过期报文直接丢弃。状态机的变化也要注意CLOSED到SYN_SENT到ESTABLISHED是客户端路径CLOSED到LISTEN到SYN_RCVD到ESTABLISHED是服务端路径。3.2 四次挥手TIME_WAIT为何要等2MSL断开连接需要四次挥手这个知识点难就难在为什么要等2MSL报文最大生存时间而不是立即关闭。首先要理解主动关闭的一方在发送最后一个ACK之后会进入TIME_WAIT状态持续时间为2MSL。这么做有一个非常重要的目的确认被动关闭方能够收到最后的ACK。如果这个ACK丢了被动关闭方会超时重传FIN主动关闭方需要能够再发一次ACK。等待2MSL正好覆盖了FIN重传和ACK再次到达的时间窗口。第二个目的是让旧连接的延迟报文在网络中自然消失避免干扰后续使用相同端口的新连接。如果新连接建立了却收到了旧连接迟到的一个数据包那数据就被污染了这个后果比多等几十秒严重得多。3.3 TCP可靠传输的三大工具TCP的可靠性靠的是确认应答ACK、超时重传和序列号机制这三驾马车。接收方每收到一个数据段都会回复确认确认号表示“我期待下一个字节的序号”。发送方如果超过重传超时时间没收到确认就重传数据并且以指数退避的方式加长超时时间避免网络拥塞时雪上加霜。这里要分清连续ARQ协议和滑动窗口协议的区别。连续ARQ是收到某一个确认之前连续发送多个数据段采用累积确认的方式好处是即使中间丢了几个包也不需要对每个包都单独确认。滑动窗口则是在连续ARQ的基础上允许发送方在未收到确认的情况下连续发送多个帧窗口大小由接收方的接收能力决定。3.4 滑动窗口与流量控制的配合流量控制解决的是发送方发太快而接收方处理不过来的问题。TCP头部里有一个窗口字段接收方会在每次确认时告诉发送方自己的接收缓冲区还剩多少空间。发送方必须确保未确认数据的总量不超过对方通告的窗口大小。你可能要问如果接收方窗口变为0了怎么办发送方不能一直傻等TCP引入了一个坚持定时器Persistence Timer周期性地发送窗口探测报文看看接收方的窗口是否恢复。同时接收方收到探测报文后会回复最新的窗口大小这样就避免了死锁状态。3.5 拥塞控制四个算法要背熟拥塞控制是一个容易混淆的重灾区因为TCP的拥塞控制算法经历了好几个版本题目里往往会混着考。慢启动阶段每收到一个确认拥塞窗口cwnd增加一个MSS最大报文段长度指数增长直到达到慢启动阈值ssthresh。拥塞避免阶段每经过一个往返时间RTTcwnd线性增加1个MSS缓慢试探。快重传收到连续3个重复的ACK立即重传丢失的数据不用等超时定时器。快恢复发生连三收重的时候ssthresh减半cwnd设为ssthresh加3个MSS然后进入拥塞避免阶段。需要特别注意TCP Reno和TCP Tahoe的一个重要区别也在这里Tahoe在检测到拥塞的时候会直接把cwnd降到1个MSS重新慢启动而Reno会跳到ssthresh附近快恢复。哪个版本对应哪种行为建议在笔记本上画个对照表考前再扫一眼。3.6 UDP和TCP面对面的比较UDP的头部只有8个字节源端口、目的端口、长度、校验和没有序号、确认号、窗口这些复杂字段。它不保证可靠交付不保证按序到达也不提供拥塞控制。但正因为“轻”它的头部开销小传输时延低适合视频直播、VoIP语音、DNS查询这些能容忍少量丢包的应用。面试和问答里有一个经典问题既然UDP不可靠为什么还要用它答案很简单在某些场景里实时性比可靠性更重要。视频画面丢一帧可以接受卡顿三秒用户就要骂人了。4. 应用层协议与综合案例分析4.1 DNS域名解析的完整过程DNS解析是应用层考察频率很高的内容。当你在浏览器输入一个域名操作系统首先查本地的hosts文件和DNS缓存没找到就向配置的本地DNS服务器发送递归查询本地DNS服务器如果没有缓存就代为向根域名服务器、顶级域名服务器、权威域名服务器依次发起迭代查询最后把IP地址返回给终端。递归和迭代这两个词经常被混用。记住一个口诀递归查询是“你帮我问到结果再告诉我”迭代查询是“你告诉我下一个该问谁我自己去问”。一般终端到本地DNS服务器是递归查询本地DNS服务器到根服务器是迭代查询。4.2 HTTP和HTTPS的差异HTTP是明文协议数据包抓到之后用Wireshark的“Follow TCP Stream”功能可以直接看到原始内容包括你提交的表单数据。这就意味着在公共Wi-Fi环境下你的敏感信息很容易被嗅探。HTTPS在HTTP和TCP之间插入了TLS/SSL层通过数字证书完成身份验证通过非对称加密协商出对称加密密钥后续数据用对称加密传输。它的安全性依赖证书体系的信任链所以操作系统里预置了一堆根证书的信任列表。4.3 FTP的双通道连接FTP和其他协议不太一样的地方在于它有两条连接一条是控制连接端口21负责传输命令和应答一条是数据连接端口20或者动态端口负责实际的文件数据。主动模式PORT模式下服务器主动向客户端发起数据连接被动模式PASV模式下客户端主动向服务器的某个动态端口发起数据连接。如果客户端处在防火墙后面主动模式往往会被防火墙拦截所以实际使用中被动模式更常见。4.4 NAT技术与端口映射NAT网络地址转换解决了IPv4地址枯竭的问题。家庭路由器把内网私有IP映射为公网IP多个设备共享同一个公网地址访问互联网。不过NAT有一个明显的副作用外部网络无法主动访问内网设备因为内网地址只在本地局域网内有效。为了支持外部访问可以配置端口映射把公网IP的某个端口映射到内网特定设备的特定端口。这个原理在搭建个人服务器、远程访问家里电脑的时候特别实用很多智能家居设备的远程控制也依赖这个机制。5. 考前易错点速查与实操验证方法5.1 高频易错点清单端口号的分类范围0到1023是公认端口1024到49151是注册端口49152到65535是动态或私有端口。HTTP是80HTTPS是443DNS是53FTP控制是21SSH是22Telnet是23TFTP是69这些常用端口号必须一击即中。TCP的确认号表示期望的下一个字节序号不是最后一个字节序号。IP分片只在源主机或路由器上发生重组的最终目的是送到目的主机。中间路由器不会帮你重组因为路由器不知道后续分片什么时候能到齐。ping通不代表端口是开放的ping走的是ICMP端口是TCP/UDP层面的事。ARP请求是广播ARP应答是单播。一个网段的可用主机地址数是2的N次方减2其中N是主机位长度别把网络地址和广播地址算进去。5.2 用抓包工具验证理论光背书容易忘我建议你花半小时做一个小实验打开Wireshark在本地回环接口上抓包然后访问一个网站。你会看到DNS查询报文、TCP三次握手的SYN/SYNACK/ACK然后是TLS握手最后是HTTP或HTTPS的数据流。逐条点开这些报文对照教材里的报文格式图字段名和值一一对应很多记忆就自然牢固了。尤其是TCP的SACK选项、Window大小、序列号和确认号的连续性看一次比背十次都管用。5.3 答疑如果传输层的序号绕回怎么办TCP序列号是32位无符号整数最大值为2的32次方减1。如果序列号增长到最大值再继续增长就会绕回从0开始。协议规定TCP连接的建立和释放都要协商初始序列号接收方通过序号判断数据段的先后顺序即使绕回也能通过序号大小和位运算正确处理除非同一时刻网络中存在同一个连接里新包和旧包序号相同的情况。这种极端情况由TCP的保序机制和序列号随机化来降低概率。6. 实操心得与最后叮嘱TCP/IP协议栈的内容多但考来考去就是几个核心原理分层、可靠传输、面向连接、寻址和复用分用。给正在复习的人三个建议第一手里备一份协议字段速查表考前最后一天上下班路上都能翻两遍第二把三次握手和四次挥手的状态迁移图默画两遍这个考点出现的频率高得离谱第三计算题分片、子网划分至少亲手做五道以上光看例题和亲自算一遍的感觉完全不一样。我个人实际操作中的体会是很多人TCP/IP学不好不是因为笨而是因为把协议当成死知识在背没有把协议和真实的网络行为对应起来。Wireshark这个工具真的是学生的好朋友抓一次包抵得上翻十页教材。哪怕现在离考试只剩几天花一个小时动手抓包看看真实的三次握手过程对理解连接建立的机制也有立竿见影的效果。结尾多说一句复习到第九天拼的是心态和策略不是体力。把基础考点夯扎实把容易混淆的机制分清楚把常考的计算题练熟这门课考试就不会给你使绊子。加油DAY10你甚至可以腾出时间专门刷一遍错题集了。 
长河君 · 2026/10/22 4:53:16 · 阅读 1.2k TCP/IP协议栈核心考点速览：从分层原理到抓包验证
1. 复习前先理清脉络DAY9的主攻方向期末复习到了第九天说实话这个阶段最忌讳的就是打开书从头翻到尾看似努力实则无效。TCP/IP协议栈的内容量非常大从物理层的比特流到应用层的报文格式每一层都有一堆细节考前最后几天如果还按部就班地啃教材时间肯定不够用而且容易越看越慌。我的建议是DAY9必须干三件事第一把TCP/IP协议栈的分层模型和每一层的核心协议重新在脑子里过一遍建立整体框架第二集中精力把传输层和网络层的关键机制彻底吃透这两个部分是考试的重灾区分值占比通常也最高第三把手边的真题或模拟题拿出来针对错题反查知识点专门补漏。TCP/IP协议栈说到底是四层模型也有说法是把数据链路层和物理层分开算五层应用层、传输层、网络层、网络接口层。上层依赖下层提供服务下层对上层的细节透明。这就像寄快递你只需要把包裹交给快递员应用层快递公司负责分拣和运输传输层和网络层至于路上走高铁还是走飞机你不需要操心。理解这个“分层解耦”的思路很多协议设计的动机就都能看明白了。DAY9的核心关键词是“抓大放小”。TCP的三次握手、四次挥手、拥塞控制、流量控制IP协议的分片与重组、子网划分、路由转发再加上ARP、ICMP这些基础协议踏踏实实把这些啃下来通过考试的问题就不大了。至于一些偏门的细节建议直接放弃或者只做了解别让它们拖慢你的复习节奏。2. 网络层核心考点IP协议、分片计算与子网划分2.1 IP报文格式里最容易丢分的字段IP协议是网络层的核心IPv4报文头部的各个字段经常出现在选择题和简答题里。版本号、头部长度、服务类型、总长度、标识、标志位、片偏移、TTL、协议号、首部校验和、源IP和目的IP这些字段的职责和位置最好记住。特别是标识Identification、标志位Flags和片偏移Fragment Offset这三个字段在数据报分片时配合使用考试几乎年年都考。TTLTime To Live看起来简单但它有一个很容易被忽略的细节TTL的单位不是秒而是跳数。每经过一个路由器TTL减1减到0时数据报被丢弃同时路由器向源地址发送ICMP超时消息。为什么这么设计主要是为了防止数据报在网络中无限循环。我记得有一次实操中抓包看到一个包的TTL是1结果它就在下一跳被丢弃了当时才真正理解“逐跳递减”的含义。理解了这个ping命令里的TTL输出就不会那么神秘了。2.2 IP分片计算的万能套路IP分片问题看起来绕其实就是一道数学应用题掌握了套路之后两分钟就能解出来。一个数据链路层MTU为1500字节的网络要发送一个总长度为4000字节的IP数据报含20字节IP首部问需要分成几片每片的片偏移是多少。先把IP首部的20字节去掉实际可用的数据长度是4000减20等于3980字节。因为每片都要带上20字节的IP首部所以每片能携带的最大数据量是1500减20等于1480字节。分片数是3980除以1480向上取整得到3片。片偏移的单位是8字节所以每片的数据长度必须是8的倍数。1480正好是8的倍数不用调整。第一片的片偏移是0第二片是1480除以8等于185第三片是2960除以8等于370。这里有一个坑要提醒如果MTU是1480或者其它不是8倍数的数值计算出来的片偏移就会带小数这时候职业道德不允许你写小数。必须把每片能携带的数据长度向下调整到8的倍数再重新计算。比如一个原始数据是1500字节的场景调整后每片容量取1480还是1472需要根据MTU具体算。2.3 子网划分的快速技巧子网划分这块很多人喜欢死记公式结果题目一变就懵。我的经验是理解CIDR无类别域间路由的本质IP地址就是32位二进制数子网掩码告诉你前多少位是网络位剩下的就是主机位。比如192.168.1.0/26斜杠后面的26表示网络位长度主机位就是6位可用主机数是2的6次方减2等于62。为什么减2因为主机位全0是网络地址全1是广播地址这两个地址不能分给主机使用。如果题目要求把一个C类网段划分成4个子网你需要向主机位借2位2的2次方等于4原来的/24变成/26。每个子网的地址范围怎么算把最后一个字节的二进制展开按借位后的网络位变化来划分即可。记住一个小规律借n位子网掩码就往右延长n个1每个子网的地址跨度是256除以2的n次方。2.4 ARP协议与ICMP协议的区别ARP地址解析协议解决的是“我知道IP地址但不知道MAC地址”的问题。因为同一个局域网内通信数据链路层只认MAC地址所以发送数据之前要通过ARP广播查询。ARP广播只在同一个广播域内有效路由器不会转发ARP广播这也是为什么跨网段通信必须配置网关。ICMP互联网控制报文协议更像是网络层的“体检报告”它不传输用户数据专门负责报告差错和查询信息。ping命令用的就是ICMP回显请求和回显应答报文。区分这两个协议的办法很简单ARP工作在IP协议之下是“接生婆”ICMP工作在IP协议之上是“值班医生”。3. 传输层核心机制连接的建立、释放与状态迁移3.1 三次握手为什么非要是三次TCP三次握手的过程几乎人人都背过但考官最爱的追问是“为什么不能是两次”。从机制设计上看三次握手的核心目的是同步双方的初始序列号。假设客户端发送的第一次握手SYN在网络中滞留了很久才到达服务端服务端以为是新的连接请求就回复了SYNACK。如果只有两次握手服务端这边连接就建立了它会为这个连接分配缓冲区等资源而客户端因为自己没发送新请求会忽略这个回复服务端就白白浪费了资源等在那里。有了第三次握手客户端可以明确告诉服务端“我确实要建立连接”服务端收到ACK之后才真正完成连接建立。对于迟到的旧SYN客户端在第三次握手时会携带正确的序列号服务端如果发现序列号不对就能判断这是一个过期报文直接丢弃。状态机的变化也要注意CLOSED到SYN_SENT到ESTABLISHED是客户端路径CLOSED到LISTEN到SYN_RCVD到ESTABLISHED是服务端路径。3.2 四次挥手TIME_WAIT为何要等2MSL断开连接需要四次挥手这个知识点难就难在为什么要等2MSL报文最大生存时间而不是立即关闭。首先要理解主动关闭的一方在发送最后一个ACK之后会进入TIME_WAIT状态持续时间为2MSL。这么做有一个非常重要的目的确认被动关闭方能够收到最后的ACK。如果这个ACK丢了被动关闭方会超时重传FIN主动关闭方需要能够再发一次ACK。等待2MSL正好覆盖了FIN重传和ACK再次到达的时间窗口。第二个目的是让旧连接的延迟报文在网络中自然消失避免干扰后续使用相同端口的新连接。如果新连接建立了却收到了旧连接迟到的一个数据包那数据就被污染了这个后果比多等几十秒严重得多。3.3 TCP可靠传输的三大工具TCP的可靠性靠的是确认应答ACK、超时重传和序列号机制这三驾马车。接收方每收到一个数据段都会回复确认确认号表示“我期待下一个字节的序号”。发送方如果超过重传超时时间没收到确认就重传数据并且以指数退避的方式加长超时时间避免网络拥塞时雪上加霜。这里要分清连续ARQ协议和滑动窗口协议的区别。连续ARQ是收到某一个确认之前连续发送多个数据段采用累积确认的方式好处是即使中间丢了几个包也不需要对每个包都单独确认。滑动窗口则是在连续ARQ的基础上允许发送方在未收到确认的情况下连续发送多个帧窗口大小由接收方的接收能力决定。3.4 滑动窗口与流量控制的配合流量控制解决的是发送方发太快而接收方处理不过来的问题。TCP头部里有一个窗口字段接收方会在每次确认时告诉发送方自己的接收缓冲区还剩多少空间。发送方必须确保未确认数据的总量不超过对方通告的窗口大小。你可能要问如果接收方窗口变为0了怎么办发送方不能一直傻等TCP引入了一个坚持定时器Persistence Timer周期性地发送窗口探测报文看看接收方的窗口是否恢复。同时接收方收到探测报文后会回复最新的窗口大小这样就避免了死锁状态。3.5 拥塞控制四个算法要背熟拥塞控制是一个容易混淆的重灾区因为TCP的拥塞控制算法经历了好几个版本题目里往往会混着考。慢启动阶段每收到一个确认拥塞窗口cwnd增加一个MSS最大报文段长度指数增长直到达到慢启动阈值ssthresh。拥塞避免阶段每经过一个往返时间RTTcwnd线性增加1个MSS缓慢试探。快重传收到连续3个重复的ACK立即重传丢失的数据不用等超时定时器。快恢复发生连三收重的时候ssthresh减半cwnd设为ssthresh加3个MSS然后进入拥塞避免阶段。需要特别注意TCP Reno和TCP Tahoe的一个重要区别也在这里Tahoe在检测到拥塞的时候会直接把cwnd降到1个MSS重新慢启动而Reno会跳到ssthresh附近快恢复。哪个版本对应哪种行为建议在笔记本上画个对照表考前再扫一眼。3.6 UDP和TCP面对面的比较UDP的头部只有8个字节源端口、目的端口、长度、校验和没有序号、确认号、窗口这些复杂字段。它不保证可靠交付不保证按序到达也不提供拥塞控制。但正因为“轻”它的头部开销小传输时延低适合视频直播、VoIP语音、DNS查询这些能容忍少量丢包的应用。面试和问答里有一个经典问题既然UDP不可靠为什么还要用它答案很简单在某些场景里实时性比可靠性更重要。视频画面丢一帧可以接受卡顿三秒用户就要骂人了。4. 应用层协议与综合案例分析4.1 DNS域名解析的完整过程DNS解析是应用层考察频率很高的内容。当你在浏览器输入一个域名操作系统首先查本地的hosts文件和DNS缓存没找到就向配置的本地DNS服务器发送递归查询本地DNS服务器如果没有缓存就代为向根域名服务器、顶级域名服务器、权威域名服务器依次发起迭代查询最后把IP地址返回给终端。递归和迭代这两个词经常被混用。记住一个口诀递归查询是“你帮我问到结果再告诉我”迭代查询是“你告诉我下一个该问谁我自己去问”。一般终端到本地DNS服务器是递归查询本地DNS服务器到根服务器是迭代查询。4.2 HTTP和HTTPS的差异HTTP是明文协议数据包抓到之后用Wireshark的“Follow TCP Stream”功能可以直接看到原始内容包括你提交的表单数据。这就意味着在公共Wi-Fi环境下你的敏感信息很容易被嗅探。HTTPS在HTTP和TCP之间插入了TLS/SSL层通过数字证书完成身份验证通过非对称加密协商出对称加密密钥后续数据用对称加密传输。它的安全性依赖证书体系的信任链所以操作系统里预置了一堆根证书的信任列表。4.3 FTP的双通道连接FTP和其他协议不太一样的地方在于它有两条连接一条是控制连接端口21负责传输命令和应答一条是数据连接端口20或者动态端口负责实际的文件数据。主动模式PORT模式下服务器主动向客户端发起数据连接被动模式PASV模式下客户端主动向服务器的某个动态端口发起数据连接。如果客户端处在防火墙后面主动模式往往会被防火墙拦截所以实际使用中被动模式更常见。4.4 NAT技术与端口映射NAT网络地址转换解决了IPv4地址枯竭的问题。家庭路由器把内网私有IP映射为公网IP多个设备共享同一个公网地址访问互联网。不过NAT有一个明显的副作用外部网络无法主动访问内网设备因为内网地址只在本地局域网内有效。为了支持外部访问可以配置端口映射把公网IP的某个端口映射到内网特定设备的特定端口。这个原理在搭建个人服务器、远程访问家里电脑的时候特别实用很多智能家居设备的远程控制也依赖这个机制。5. 考前易错点速查与实操验证方法5.1 高频易错点清单端口号的分类范围0到1023是公认端口1024到49151是注册端口49152到65535是动态或私有端口。HTTP是80HTTPS是443DNS是53FTP控制是21SSH是22Telnet是23TFTP是69这些常用端口号必须一击即中。TCP的确认号表示期望的下一个字节序号不是最后一个字节序号。IP分片只在源主机或路由器上发生重组的最终目的是送到目的主机。中间路由器不会帮你重组因为路由器不知道后续分片什么时候能到齐。ping通不代表端口是开放的ping走的是ICMP端口是TCP/UDP层面的事。ARP请求是广播ARP应答是单播。一个网段的可用主机地址数是2的N次方减2其中N是主机位长度别把网络地址和广播地址算进去。5.2 用抓包工具验证理论光背书容易忘我建议你花半小时做一个小实验打开Wireshark在本地回环接口上抓包然后访问一个网站。你会看到DNS查询报文、TCP三次握手的SYN/SYNACK/ACK然后是TLS握手最后是HTTP或HTTPS的数据流。逐条点开这些报文对照教材里的报文格式图字段名和值一一对应很多记忆就自然牢固了。尤其是TCP的SACK选项、Window大小、序列号和确认号的连续性看一次比背十次都管用。5.3 答疑如果传输层的序号绕回怎么办TCP序列号是32位无符号整数最大值为2的32次方减1。如果序列号增长到最大值再继续增长就会绕回从0开始。协议规定TCP连接的建立和释放都要协商初始序列号接收方通过序号判断数据段的先后顺序即使绕回也能通过序号大小和位运算正确处理除非同一时刻网络中存在同一个连接里新包和旧包序号相同的情况。这种极端情况由TCP的保序机制和序列号随机化来降低概率。6. 实操心得与最后叮嘱TCP/IP协议栈的内容多但考来考去就是几个核心原理分层、可靠传输、面向连接、寻址和复用分用。给正在复习的人三个建议第一手里备一份协议字段速查表考前最后一天上下班路上都能翻两遍第二把三次握手和四次挥手的状态迁移图默画两遍这个考点出现的频率高得离谱第三计算题分片、子网划分至少亲手做五道以上光看例题和亲自算一遍的感觉完全不一样。我个人实际操作中的体会是很多人TCP/IP学不好不是因为笨而是因为把协议当成死知识在背没有把协议和真实的网络行为对应起来。Wireshark这个工具真的是学生的好朋友抓一次包抵得上翻十页教材。哪怕现在离考试只剩几天花一个小时动手抓包看看真实的三次握手过程对理解连接建立的机制也有立竿见影的效果。结尾多说一句复习到第九天拼的是心态和策略不是体力。把基础考点夯扎实把容易混淆的机制分清楚把常考的计算题练熟这门课考试就不会给你使绊子。加油DAY10你甚至可以腾出时间专门刷一遍错题集了。