网络数据包各层结构

# 封装过程

## TCP 头

① 源端口、目标端口：计算机上的进程要和其他进程通信是要通过计算机端口的，而一个计算机端口某个时刻只能被一个进程占用，所以通过指定源端口和目标端口，就可以知道是哪两个进程需要通信。源端口、目标端口是用16 位表示的，可推算计算机的端口个数为0-65535（2^16）个，服务器的端口固定的；客户端的端口随机的

cat /etc/services 查询常见服务器端口号，常见的端口号：

http 80/tcp　　https 443/tcp　　ssh 22/tcp　　ftp 21/tcp 文件传输协议　　tftp 69/utp　　smtp 25/tcp 邮件

pops 110/tcp　　dns 53/tcp/udp　　dhcp udp 67 68 自动获取IP　　telnet 23/tcp 远程主机　　mysql 3306/tcp 数据库

oracle 1521/tcp　　sql server 1433/tcp　　smb 445 139 137 138/udp windows共享　　snmp 161udp 监控管理

② 序列号：表示本报文段所发送数据的第一个字节的编号。在TCP 连接中所传送的字节流的每一个字节都会按顺序编号。由于序列号由32位表示，所以每2^32个字节，就会出现序列号回绕，再次从0开始

③ 确认号：表示接收方期望收到发送方下一个报文段的第一个字节数据的编号。也就是告诉发送方：我希望你（指发送方）下次发送的数据的第一个字节数据的编号是这个确认号

④ 数据偏移：表示TCP 报文段的首部长度，共4位，由于TCP 首部包含一个长度可变的选项部分，需要指定这个TCP 报文段到底有多长。它指出TCP 离报文段的数据起始处距离 TCP 报文段的起始处有多远。该字段的单位是32 位( 即4 个字节为计算单位），4 位二进制最大表示15，所以数据偏移也就是TCP首部最大60字节

⑤ 标记位 ：（下篇讲到三次握手、四次挥手中很重要）

URG ：表示本报文段中发送的数据是否包含紧急数据。后面的紧急指针字段（urgent pointer ）只有当URG=1 时才有效，URG=0无效

ACK ：表示是否前面的确认号字段是否有效。ACK=1 ，表示有效。只有当ACK=1时，前面的确认号字段才有效。TCP 规定，连接建立后，ACK 必须为1, 带ACK 标志的TCP 报文段称为确认报文段

PSH ：提示接收端应用程序应该立即从TCP 接收缓冲区中读走数据，为接收后续数据腾出空间。如果为1 ，则表示对方应当立即把数据提交给上层应用，而不是缓存起来，如果应用程序不将接收到的数据读走，就会一直停留在TCP 接收缓冲区中

RST ：如果收到一个RST=1 的报文，说明与主机的连接出现了严重错误（如主机崩溃），必须释放连接，然后再重新建立连接。或者说明上次发送给主机的数据有问题，主机拒绝响应，带RST 标志的TCP 报文段称为复位报文段

SYN ：在建立连接时使用，用来同步序号。当SYN=1 ，ACK=0 时，表示这是一个请求建立连接的报文段；当SYN=1 ，ACK=1 时，表示对方同意建立连接。SYN=1，说明这是一个请求建立连接或同意建立连接的报文。只有在前两次握手中SYN才置为1，带SYN 标志的TCP 报文段称为同步报文段

FIN ：表示通知对方本端要关闭连接了，标记数据是否发送完毕。如果FIN=1 ，即告诉对方：“我的数据已经发送完毕，你可以释放连接了”，带FIN 标志的TCP报文段称为结束报文段

⑥ 窗口大小：表示现在充许对方发送的数据量，也就是告诉对方，从本报文段的确认号开始允许对方发送的数据量

⑦ 校验和：提供额外的可靠性

⑧ 紧急指针：标记紧急数据在数据字段中的位置

⑨ 选项部分：其最大长度可根据TCP 首部长度进行推算。TCP首部长度用4位表示，选项部分最长为：(2^4-1)*4-20=40 字节

常见选项：

最大报文段长度：Maxium Segment Size ，MSS

窗口扩大：Windows Scaling

时间戳： Timestamps

## IP 头

① 版本: 占4 位,IP 协议的版本目前的IP 协议版本号为4，Ipv4

② 首部长度: 占4 位, 可表示的最大数值是15 个单位，一个单位为4 字节，因此IP 的首部长度的最大值是60 字节

③ 区分服务: 占8 位, 用来获得更好的服务, 在旧标准中叫做服务类型,但实际上一直未被使用过. 后改名为区分服务. 只有在使用区分服务(DiffServ) 时, 这个字段才起作用. 一般的情况下都不使用

④ 总长度: 占16 位, 指首部和数据之和的长度, 单位为字节, 因此数据报的为最大长度为 65535 字节，总长度必须不超过最大传送单元 MTU

⑤ 标识: 占16 位, 它是一个计数器, 通常，每发送一个报文，改值会加1，也用于数据包分片，在同一个包的若干分片中，该值是相同的

⑥ 标志(flag): 占3 位, 目前只有后两位有意义

DF：Don‘t Fragment当 ，中间的一位，只有当 DF=0 时才允许分片

MF：More Fragment ，最高位，MF=1 表示后面还有分片。MF=0表示最后一个分片

⑦ 片偏移: 占12 位, 指较长的分组在分片后，该分片在原分组中的相对位置. 片偏移以8 个字节为偏移单位

⑧ 生存时间: 占8 位, 记为TTL (Time To Live) 数据报在网络中可通过的路由器数的最大值,TTL 字段是由发送端初始设置一个8 bit 字段. 推荐的初始值由分配数字 RFC 指定, 当前值为64，发送 ICMP应答时经常把 TTL 设为最大值 255

linux 默认为64 windows 默认为128

cat /proc/sys/net/ipv4/ip_default_ttl 查询本机的TTL

echo 128 > /proc/sys/net/ipv4/ip_default_ttl 修改自动ttl，伪装为windows

⑨ 协议: 占8 位, 指出此数据报携带的数据使用何种协议以便目的主机的IP 层将数据部分上交给哪个处理过程, 1表示为 ICMP协议, 2表示为 IGMP 协议, 6表示为 TCP 协议, 17表示为UDP协议

⑩ 首部检验和: 占16 位, 只检验数据报的首部不检验数据部分.这里不采用 CRC 检验码而采用简单的计算方法

⑪ 源地址和目的地址: 都各占4 字节, 分别记录源地址和目的地址

## MAC 头

# 参考

计算机网络七层模型
linux OSI七层模型、TCP/IP协议栈及每层结构大揭秘