网络测量课程设计：源码跑通不算完，参数调优与避坑才是高分关键

简介：东南大学网络安全学院网络测量课程设计配套的源码与运行说明压缩包，面向正在修读该课程或需要完成网络测量实验的学生，也可供网络协议分析、流量监控、性能评估等方向的课程设计参考。压缩包大小约17.4MB，内含多个文件，以源码工程和运行说明文档为主，内容涵盖 TCP/IP 协议栈各层（应用层、传输层、网络层、数据链路层）的工作原理、数据包捕获与预处理、基于统计方法和算法的流量模式识别、延迟/丢包率/吞吐量等性能指标测量等内容，源码可供逐步研读，运行说明文档则详细给出编译、执行、参数设置与结果解读方法。已有142人学习。通过实际运行课程设计，读者能掌握 Wireshark、ping、traceroute 等工具的使用场景，学会如何搭建测量环境、采集网络数据并分析异常行为，同时锻炼代码阅读与调试能力；结合实验与作业环节，还能将课堂理论转化为动手实践，为日后从事网络管理、安全分析等工作筑牢基础。

1. 网络测量课程设计：源码能跑只是及格线，测量逻辑才是评分重点

“网络测量课程设计”对网安学院本科生来说，就是自己构造探测包、解析响应、从 pcap 里剥离 TCP 流特征，最后把 RTT、丢包率、路径和流统计写进实验报告。东南大学网安学院的这个课设包在标题里就点明“内含源码和运行说明”，确实省掉了从零起步的功夫，但源码能不能跑、数据能不能复现，取决于你怎么理解每个参数。拿到压缩包之后，我按解压、跑通、调参、避坑的顺序讲，重点放在运行说明没写透、实际动手一定会遇到的地方。适合正在做课设的学生、要复现测量实验的研究生，以及想快速搭一个 ICMP/TCP 测量原型的人。

2. 主动测量与被动测量：课程设计的测量工具到底在测什么

课程设计里的“测量”通常不是让你抓一波流量瞎看，而是分两条主线走：主动测量和被动测量。主动测量是你以探测者的身份主动往目标发包，从回包反推网络状态；被动测量是你站在旁观者角度解析已有流量文件，从中统计连接特征。很多课设题目会把两条主线合在一起：先写一个 ping/traceroute 工具测时延和路径，再解析学校提供的样例 pcap 统计 TCP 流。两条线的实现方式和注意点完全不同，分开说才不会混。

2.1 主动测量：用 ICMP 与 TCP 探测把 RTT、丢包率、路径拿到手

主动测量的基础是 ICMP 回显。主机 A 发 ICMP echo request，对端回 echo reply，RTT 就是发出到收到的时间差，丢包率就是超时回执数与总探测次数的比值。这个逻辑听着简单，但课程设计不允许你直接调用系统 ping 命令交差，评分点恰恰在于你怎么自己构造包、怎么解析响应、怎么处理超时。

用 Python 的 scapy 库可以省掉裸 socket 的麻烦。一个最小可用的 RTT 探测循环是：

import time from scapy.all import IP, ICMP, sr1, conf conf.verb = 0 # 关掉 scapy 的冗余输出 pkt = IP(dst="127.0.0.1") / ICMP(seq=1) start = time.time() reply = sr1(pkt, timeout=1, retry=1) end = time.time() if reply is None: print("超时，本次探测丢包") else: rtt = (end - start) * 1000 print(f"RTT = {rtt:.2f} ms, 来源 = {reply.src}")

这段代码的核心是 sr1，它发送一个包并等待第一个响应。timeout=1 表示最多等 1 秒，retry=1 表示超时后再重试一次，所以单次探测最坏情况会占 2 秒。RTT 的计算直接用 end - start，没有用 scapy 内部的 packet.sent_time，因为那个字段在部分环境下精度并不稳定，课程设计场景里用系统时间戳反而更可控。把这段循环套上不同目标地址和多次统计，就是一个合格的 ping 工具雏形。

另一个需要留意的参数是发送间隔。把探测间隔设为 0 会让包像洪水一样打出去，校园网网关往往会对 ICMP 限速，导致回执被丢弃，丢包率虚高。课程设计一般把间隔控制在 0.1 秒以上，这样一百个样本也只要十秒。同一时刻只保留一个在途探测包，避免响应串台；如果开了多线程乱发，后面统计 RTT 会把别人的回包算到自己头上，数据基本没法看。

路径测量则是另一个套路：发 TTL 逐跳递增的探测包，路由器每转发一次就把 TTL 减一，减到零时丢弃并回 ICMP time exceeded 报文，所以第 N 个探测包的回包来源就是第 N 跳路由器。常见做法是发 UDP 包到高位端口，到达目标主机后端口不可达，主机回 ICMP destination unreachable，路径探测结束。路径测量的结论不是完整的链路表，而是“这段路径上愿意回应探测的节点”，有些中间设备不回 ICMP，就会表现为星号，这本身也是测量结果的一部分。

2.2 被动测量：用 dpkt 解析 pcap，把 TCP 流特征抽出来

被动测量不产生任何探测流量，而是解析抓好的 pcap 文件。课程设计里常见的样本是网络出口抓的一段匿名流量，要你统计连接数、五元组、包长分布、TCP 标志位比例。解析 pcap 最轻量的 Python 库是 dpkt，它不做交互，只负责把二进制报文拆成易于访问的对象。

import dpkt with open("capture.pcap", "rb") as f: reader = dpkt.pcap.Reader(f) for ts, buf in reader: eth = dpkt.ethernet.Ethernet(buf) if eth.type != dpkt.ethernet.ETH_TYPE_IP: continue ip = eth.data if isinstance(ip.data, dpkt.tcp.TCP): tcp = ip.data print(f"{ts} {ip.src}:{tcp.sport} -> {ip.dst}:{tcp.dport} len={tcp.data_len}")

这里 ts 的单位是微秒，是 pcap 文件里的标准时间戳，不是抓包程序的相对时间；buf 是完整以太网帧，先解析以太网头得到 IP，再判断上层是不是 TCP。dpkt 的经典 pcap.Reader 只能读 pcap 格式，如果拿到的是 pcapng，会直接报错，先用 Wireshark 另存为 pcap 再喂给脚本。data_len 是 TCP 载荷长度，不含 IP 和 TCP 头，统计应用层字节数时非常有用，别拿 ip.len 去当应用层长度。

统计 TCP 流特征时，不能只看单包。一个完整的连接由 SYN 开始，经过数据交换，以 FIN 或 RST 结束。最简单的做法是维护一个字典，键是五元组，值是首包时间、末包时间、字节数和标志位序列。每读一包就查字典，SYN 包创建流，FIN/RST 关闭流，超过阈值没有新包的流强制关闭。这个“流超时”阈值直接影响连接数统计，阈值设 5 秒会把长连接切成好几段，阈值设 120 秒又会把相邻的短连接并起来，报告里必须写明你用的是哪个值。单向抓包里经常看不到完整的握手回包，半开连接的比例也要单独统计并向老师说明观察点的限制。

2.3 选型理由：为什么课程设计代码几乎都用 Python + scapy/dpkt

有些同学喜欢用 C 写原始套接字，结果一周时间耗在结构体对齐和字节序上，连测量逻辑都没写几行。课设的目标是验证测量原理，不是重新发明协议栈，所以主流方案就是 Python 加两个库：主动探测用 scapy，被动解析用 dpkt。scapy 的优点是包的构造和响应匹配都封装好了，不需要手动处理 ICMP 校验和；dpkt 的优点是纯解析、单文件、性能比 scapy 的 sniff 快一个数量级，适合批量刷 pcap。

还有一个更现实的理由：报告要出图。RTT 时序图、CDF 图、丢包率对比图，matplotlib 和 numpy 在同一套环境里就能画完，不需要导数据到别的地方。如果课程设计要求必须用 C，那也存在可行路径：libpcap 提供抓包与过滤接口，raw socket 构造 ICMP，经典教材里的代码都能改。但调试代价确实高，光是要处理 ICMP 头校验和、网络字节序和 pcap 文件头三项，就够耗掉大量时间。除非题目明确限死语言，否则我不建议为了“显得硬核”放弃 Python 这套组合。

3. 解包与跑通：把 zip 里的源码和运行说明变成实际输出

拿到“内含源码和运行说明.zip”之后，第一反应都是解压、运行、看结果。但课程设计的代码往往不是当下写的，运行说明里的环境和你手里的环境可能差了好几个版本。先别急着双击入口脚本，把 zip 解压这一步做稳，后面能省很多排查时间。

3.1 解压之前先看运行说明：目录结构、依赖清单、权限要求

我的习惯是解压后先看运行说明，再碰源码。因为说明文件里通常会写清楚入口文件名、Python 版本、依赖库和是否需要 root 权限，这些信息比代码本身更能定位问题。目录结构方面，常见做法是一个入口脚本加几个辅助模块：入口脚本叫 measure.py 或 main.py，公共函数放在 utils 或 lib 目录，抓包样本放在 pcap 或 data 目录，输出报告放在 report 目录，最外层配一个 README 或运行说明.txt。如果整个包只有一个 py 文件，所有函数平铺到底，启动成本反而更低。

中文文件名的 zip 在 Linux 下解压有个经典坑：直接 unzip 可能把“东南大学”解成“涓滃崡澶у”。这是因为 zip 里的文件名用了 GBK/GB18030 编码，而现代终端默认 UTF-8。稳妥的做法是指定编码解压：

# 先把 zip 用 GBK 编码解压，避免中文目录名乱码 unzip -O GBK 东南大学-网安学院-网络测量课程设计-内含源码和运行说明.zip -d netmeasure cd netmeasure ls -la

unzip -O 选项在 Linux 常见发行版上可用，macOS 自带的 unzip 不支持 -O，可以用 unar 或 ditto 代替；Windows 上直接右键解压一般没问题。解压后如果运行说明.txt 打开是乱码，不要急着换编辑器，先用 file 命令看编码再决定：file 运行说明.txt。显示 ISO-8859 或 unknown 时，在 VS Code 里用“重新打开已编码文件”切到 GBK 就行。这一步解决的编码问题，是课设群里被问得最多的一类，属于典型的“环境问题伪装成代码问题”。

3.2 环境准备：Python 版本、scapy/dpkt 安装与 libpcap 前置

运行说明里一般会写依赖清单，常见的是 scapy、dpkt、matplotlib、numpy 四件套。先对照自己环境的 Python 版本：python3 --version。课设代码如果是几年前的，很可能按 Python 3.6 写的，用 3.10 或 3.11 跑一般也能兼容，但如果用了 f-strings 以外的老语法，新版本反而没问题；要注意的是 scapy 在新 Python 版本上偶尔有告警，通常不影响课程设计量级的探测。

安装依赖建议先建虚拟环境，避免污染系统 Python：

python3 -m venv venv source venv/bin/activate pip install scapy dpkt matplotlib numpy

dpkt 解析已抓好的 pcap 不依赖 libpcap，只有实时抓包才需要装 Npcap 驱动或 libpcap-dev。Linux 上 scapy 发包默认需要 root 权限，因为 ICMP 原始套接字的创建受权限管控；Windows 上 scapy 依赖 Npcap 驱动，没装驱动时发包会卡在发送阶段，回包也收不到。很多同学在这一步卡一晚上，以为代码写错了，实际是抓包驱动没装。判断方法很简单：sudo python3 -c "from scapy.all import *; print(conf.ifaces)"，能列出网卡说明 scapy 正常，列不出来就回到驱动问题。

3.3 最小验证命令：先对本机回环测一次 RTT，再用 tcpdump 对照

环境装好后，别直接拿公网地址测试，先对回环地址做一次最小验证。回环不走网卡、不过防火墙，能最快把“代码逻辑错误”和“网络环境问题”分开。回环不通，问题一定在脚本、依赖或权限；回环通了但外网不通，问题在网络环境。

# 先做一次回环自测；入口文件名和参数格式以运行说明为准 python3 measure.py --mode ping --target 127.0.0.1 --count 5 # 另开一个终端，看回环接口上是否有 ICMP 报文 sudo tcpdump -i lo icmp -nn

tcpdump 输出里能同时看到 echo request 和 echo reply，说明包确实在系统里进出，脚本逻辑没问题。如果 request 有、reply 没有，优先怀疑防火墙或 Npcap 的抓包回注链路。如果 tcpdump 一条都没有，说明包根本没发出来，检查 root 权限和网卡选择。跑通回环之后，再把 target 换成校园网网关或一台内网主机，最后才测公网地址。按这个顺序验证，能把 80% 的“翻车”压缩到环境准备阶段。

4. 核心测量参数：从能跑到测得准，需要调好的 4 个地方

能跑通只是及格线，课程设计评分的分水岭在参数调节。同样的代码，探测次数、超时阈值、流超时设不同值，结果会完全不同。这些参数没有绝对正确答案，但你必须知道每个值改下去会发生什么，能在报告里给出理由。

4.1 探测次数与超时阈值：RTT 样本量过小会让结果全是玄学

探测次数直接决定统计可信度。做 3 次就把丢包率写进报告，老师一眼看出数据没有统计意义；做 1000 次又太慢，容易被对端限速。课程设计常用 100 到 200 次，配合 0.2 秒间隔，一分钟内正好完成一轮采样。样本量再大就要考虑对端负载和时间跨度带来的误差，样本量再小则中位数和平均值都会跳变。

超时阈值的设置更有讲究。局域网 RTT 可能只有几毫秒，公网可能几十到几百毫秒，阈值设得比真实 RTT 还小，慢包会被全部判成丢包；设得过大，每次丢包都要干等，实验拖到地老天荒。一个实用经验是：先用 5 个包测出粗 RTT，把正式阈值设为粗 RTT 的 3 到 5 倍，再跑完整采样。比如校园网内网粗测 10ms，阈值给 50ms 就很稳；公网粗测 200ms，阈值给 1 秒。抽样的标准化在报告中写一句话就够了：“超时阈值按粗测 RTT 的 5 倍设置，避免慢包误判”。

4.2 TTL 递增与端口选择：traceroute 的“*”不一定是网络故障

路径测量用的是 TTL 递增原理，实现时要注意探测包的协议和匹配方式。常见做法是 UDP 探测加递增端口，端口从 33434 开始，每跳加一，这样能避免中间设备或目标主机把多个探测包当成同一个连接。

from scapy.all import IP, ICMP, UDP, sr1, conf conf.verb = 0 dst = "8.8.8.8" # 示例地址，实际换成校园网可达的主机或网关 for ttl in range(1, 31): pkt = IP(dst=dst, ttl=ttl) / UDP(dport=33434 + ttl) reply = sr1(pkt, timeout=0.5, retry=0) if reply is None: print(f"{ttl:2d}: *") elif reply.haslayer(ICMP) and reply[ICMP].type == 3: print(f"{ttl:2d}: {reply.src} 到达目的") break else: print(f"{ttl:2d}: {reply.src}")

timeout=0.5 秒是为了让整条路径在 15 秒左右探测完，retry=0 表示每条只发一次，避免并发请求之间互相干扰。如果中间某跳出现星号，后续 TTL 更大的包依然能发出去，拓扑图中间会缺一跳，这不代表断链。连续七跳以上全是星号，才需要考虑是不是探测类型被防火墙过滤，换成 TCP SYN 探测再试。到达判定用的是 ICMP type=3，也就是 UDP 端口不可达，这是目标主机正常回送的差错报文，不是故障。

4.3 被动流量流超时：pcap 里同一连接怎么切分成不同流

被动测量最容易被忽视的参数是流超时。一条 TCP 连接从 SYN 到 FIN 可能持续几秒，也可能持续几十分钟，pcap 解析程序怎么知道一个流结束了？常见做法是设定 idle timeout：同一五元组超过 N 秒没有新包，就认为流结束。N 取 30 秒、60 秒还是 120 秒，直接影响连接数统计结果。

实际处理时，先按五元组聚合包的序列，时间戳要先用绝对时间而非包序号。部分抓包文件来自多接口采集，时间戳可能不单调，聚合前先按 ts 排序一次，否则会出现“流的结束时间早于开始时间”这种荒谬结果。SYN 包创建流并记录起始时间，FIN/RST 正常关闭流，超时强制关闭。如果一段流量里大量连接只有 SYN 没有回包，可能是抓包点位于单向链路上，这种情况要在报告里写明观察点限制，不要硬把半开连接解释成攻击特征。

4.4 参数对照表：默认值、影响范围与调参建议

下面这张参数表可以直接贴到报告附录里，也可以当作代码里的默认值配置来源：

注意：参数表不是摆设。报告中给出一组默认值跑完就交，和给出两组不同参数的对比，评分差距很大。比如同样一段路径，把超时从 0.5 秒改成 2 秒，丢包率下降多少、为什么下降，这就是测量实验该有的分析过程。

5. 避坑：网络测量课设最常见的 5 个翻车现场

课程设计运行环境千奇百怪，下面是五个高频踩坑记录。每一条都是“现象、原因、解决”的结构，遇到类似问题可以直接对号入座。

5.1 管理员权限与防火墙：scapy 发包收不到回显的 3 种可能

现象：脚本能跑起来，但 reply 永远是 None；用 tcpdump 看，发出的 echo request 存在，reply 一条都没有。原因分三种：Linux 下 raw socket 创建需要 root 权限，普通用户直接被拒；Windows 下 Npcap 驱动没装，scapy 发包无响应；Windows 防火墙默认拦截入站 ICMP 回显，导致回包到不了程序。解决：Linux 用 sudo 执行；Windows 以管理员身份运行终端，确认 Npcap 驱动已安装，临时放行“文件和打印机共享（回显请求）”或直接关闭防火墙（仅限实验环境，测完恢复）。判断顺序是先测 127.0.0.1，回环不通就是权限和驱动问题，回环通了外网不通才是防火墙问题。

5.2 校园网限制 ICMP：traceroute 全是“*”不代表代码写错

现象：ping 脚本对公网地址全部超时，traceroute 打出来一串星号，但浏览器打开网页完全正常。原因：校园网或运营商接入设备会丢弃部分 ICMP 报文，这是限流和防探测的常见策略，不是故障。解决：把探测类型改成 TCP SYN，目标是常见端口时，收到 RST 或 SYN-ACK 就能证明路径可达，RTT 同样可以计算。报告里写“ICMP 被中间网络过滤”本身就是一个有效的测量结论，不需要为了补全星号去强行换协议。

5.3 虚拟机 NAT 网卡：为什么测量结果里 RTT 忽大忽小

现象：在 VMware 或 VirtualBox 里跑探测，同一个目标相邻两次测量 RTT 相差十倍，数据没法解释。原因：NAT 模式把虚拟机的流量经过宿主网络栈做地址转换，虚拟机网卡的中断调度和宿主机的调度抖动都会混入测量结果；NAT 还可能在转发时重写探测包的标识字段，影响基于 IP ID 的匹配。解决：需要精确数值时改用桥接模式，让虚拟机直接获得局域网地址；如果只是验证代码逻辑，本机回环就够了。课设机房环境里很多人都在虚拟机里开发，这个坑会直接毁掉报告里的时序图。

5.4 pcap 时间戳精度：微秒与纳秒混用导致流量统计对不上

现象：dpkt 解析出来的时间比实际抓包时间早了几十年，或者整个文件时间戳先升后降。原因：经典 pcap 的 ts 单位是微秒，pcapng 格式可能用纳秒，代码按微秒解读纳秒数据就会放大 1000 倍；多接口采集或抓包工具切换还会导致时间戳交错。解决：先用 tshark -r input.pcapng -c 1 查看时间基准，确认单位；pcapng 先转成 pcap 再喂给 dpkt；读入后按 ts 排序一次再进行流合并。特别注意：有些素材文件扩展名是 .pcap，实际内容是 pcapng，dpkt 一读就崩，排查方向应该先看文件头而不要怀疑代码。

5.5 ICMP 差错报文的匹配：端口不可达回包里到底带什么

现象：多跳 traceroute 时，第 5 跳的来源地址偶尔跳到第 6 跳，或者 RTT 出现负数。原因：ICMP 差错报文里会携带触发错误的原始 IP 分组头部和部分载荷，如果代码只用简单的计数器去配对，在并发或重传时会把相邻探针的响应认错。解决：解析 ICMP payload 里封装的原始数据报，核对源地址和端口再记账。

raw = reply[ICMP].payload # 差错报文里装的是原始 IP 分组 orig = raw[IP] print(f"{orig.src}:{raw[UDP].sport} -> {orig.dst}:{raw[UDP].dport}")

这段代码只对 type=3 或 type=11 的 ICMP 差错报文有效。发送时把跳数编码进 UDP sport，解析时从 ICMP payload 取出原始 IP 头和端口，完全匹配后才计入该跳的 RTT，就不会张冠李戴。课程设计不追求并发速度，最稳的做法是顺序发送、顺序接收，一次只让一个探测包在途。

6. 进阶：把测量代码变成能出报告图的实验骨架

测量数据只有变成图，才有说服力。

6.1 报告里最加分的两张图：RTT 时序图与丢包 CDF 图

RTT 时序图能直观看出网络波动，CDF 图能看出延迟的分布和中位数，比只给一个平均 RTT 有用得多。把每次探测的 RTT 写进 CSV，画图代码很短：

import matplotlib.pyplot as plt import numpy as np rtts = list(map(float, open("rtt.csv").read().split())) order = np.arange(1, len(rtts) + 1) cdf = np.arange(1, len(rtts) + 1) / len(rtts) plt.figure(figsize=(8, 3)) plt.subplot(1, 2, 1) plt.plot(order, rtts, marker="o", ms=3) plt.xlabel("probe #") plt.ylabel("RTT (ms)") plt.subplot(1, 2, 2) plt.plot(np.sort(rtts), cdf) plt.xlabel("RTT (ms)") plt.ylabel("CDF") plt.tight_layout() plt.savefig("rtt_report.png", dpi=150)

CDF 的中位点和长尾比平均值更说明问题：如果 50% 的包都在 20ms 以下，但尾部拖到 200ms，说明存在间歇性拥塞，这种结论靠均值是看不出来的。

6.2 批量实验与 zip 打包：让每一次测量都留底稿

我自己的习惯是每次实验单独建一个目录，原始 CSV、报告图、代码版本一起打包，下一次测量直接在上一轮 CSV 上重画图，不用重新跑网络探测。交付时保持 zip 包结构的整洁很重要：

zip -r 网络测量课程设计-交付.zip measure.py 运行说明.txt report/ data.csv

把代码、运行说明、图表和原始数据放同一个压缩包里，别人解压后不联网也能复现报告里的每一张图，这才是“内含源码和运行说明”该有的样子。我做课设那会儿吃过没保存原始数据的亏，重跑一遍被防火墙拦，报告里的图全是补测的，读起来自己都心虚。现在交付任何测量任务，data.csv 和 report 目录都是必留项。希望帮到你。

本文还有配套的精品资源，点击获取