计算机网络基础（2）：传输层、网络层与应用层排障指南

计算机网络基础（2），这个标题一看就知道是系列内容。上一篇大概率已经把物理层、链路层、局域网还有基础的网络设备讲完了，这一篇要往前再走一步，去碰传输层、网络层和应用层。我最近在帮团队带新人，也顺便翻了不少期末复习笔记，发现一个共性：很多人不是不理解协议，而是不知道这些协议到底在什么场景下被触发，更不知道抓包看到的内容长什么样。这篇就把“计算机网络基础”里最容易考、也最影响排障能力的三个层次拆开讲，给你一份可复用的学习路径。

先说明白这篇适合谁看。如果你是准备期末考试的计算机专业学生，这篇能帮你把TCP、UDP、IP、DNS、HTTP这些高频考点串成线；如果你是想转DevOps或者已经在做运维开发，这篇会更偏"实战感"，你会看到这些协议怎么在日常排障里起作用；哪怕你只是好奇为什么有时候网页会弹"系统检测到异常流量"这种提示，阅读这篇也能理解背后是服务端的限流策略，而不是你电脑出了问题。

1. 先搞清楚：基础（2）到底该学什么

1.1 从检索热词里看真实的网络基础需求

把这次的热搜词摊开看，能发现很有意思的现象。围绕"计算机网络基础"检索的人，画风基本分三类：一类是学生在搜"王道""谢希仁""自顶向下""期末复习"，这说明大家卡在教材和考试的对应关系上；一类是技术人员在搜"DevOps工程师学习的计算机网络""应用层"，这属于想学以致用的；还有一类是搜"系统检测到您的计算机网络中存在异常流量"，明显是遇到实际问题来求答案的。

这三类需求其实指向同一个底层问题：教材里的网络体系是分层的，但真实世界的网络问题是跨层的。"异常流量"提示到底是应用层的限流还是网络层的丢包？"应用层该学多深"和"期末复习该背什么"听起来是两个问题，答案却都在同一个协议栈里。

所以基础（2）的内容编排，我的建议是不要按书上的章节顺序机械地往后翻。更高效的方式是：先把传输层吃透，因为TCP的状态机制是后面所有排障的抓手；再学网络层的IP编址和路由逻辑，因为真实系统的IP规划问题全在这里；最后看应用层的HTTP、DNS、DHCP，因为这些是你平时敲命令、写脚本时真正打交道的东西。

1.2 自顶向下、王道、谢希仁怎么选

这几乎是每个学网络基础的人都会问的问题。湖科大教书匠的视频在B站很火，适合配合课件理解概念，尤其是动画演示三次握手和滑动窗口，比死读书快很多。王道的书和课程定位是考研，知识点密集，重点突出，但如果你不是要考试，读起来会有点干。谢希仁的《计算机网络》是很多学校的教材，写法比较传统，胜在完整，缺点是概念密度高，容易看完一章忘一章。

我的实话是：不要同时开三本书，会精神分裂。选一条主线，比如谢希仁或者王道，作为骨架；再选一个视频课作为画外音，帮你把动态过程看明白；最后必须配一个抓包工具，让自己亲手看到报文长什么样。三条腿走路，比任何单本书都管用。自顶向下的《计算机网络：自顶向下方法》其实特别适合作为第一本入门书，它从应用层开始讲，先让你看到HTTP、DNS这些能感知的东西，再往底层挖，对于"我学这玩意儿到底干嘛用"的困惑，这个切入角度天然有优势。

2. 传输层：TCP和UDP，基础阶段最值钱的战场

2.1 三次握手和四次挥手，别只背状态名

传输层是计算机网络基础（2）的核心，也是期末和面试的必考点。TCP三次握手大家都会背：SYN、SYN+ACK、ACK。但我发现一个普遍问题：很多人能背出状态名，却看不懂抓包结果，更不知道握手失败时怎么排查。

实际的握手过程是客户端先发一个SYN包，携带一个初始序列号，比如1000；服务器收到后回复SYN+ACK，携带自己的初始序列号比如5000，同时确认收到客户端的1000；客户端再发一个ACK，确认收到服务器的5000。这个时候连接建立。你抓包时会看到三次TCP握手，颜色各不相同，第一次是SYN，第二次是SYN+ACK，第三次是ACK。

为什么需要三次而不是两次？核心原因是双方需要确认彼此的收发能力都正常。第一次：客户端发SYN，服务器能收到，说明客户端的发送能力和服务器的接收能力没问题。第二次：服务器回复SYN+ACK，客户端能收到，说明服务器的发送能力和客户端的接收能力也没问题，但此时服务器还不知道客户端能不能正常收到自己发的数据，所以第三次客户端必须发ACK确认，服务器收到后才确认"他也能正常收我发的数据"。这个逻辑类似两个人对讲机试麦，你说一句"你能听到我吗"对方回"我能听到你能听到我吗"，你再回一句"我也能听到你"，这才算链路完全可靠。

四次挥手也一样，别死记FIN的顺序。重点是理解TCP是全双工的，两条方向的数据通道是独立的。A说"我这边数据发完了，准备关闭"，发FIN，B回复ACK表示收到了；但B可能还有数据要继续发，等B也发完了，才发FIN；A再回ACK，连接才真正关闭。所以你会看到四次交互，偶尔还会合并成三次，因为B的ACK和FIN可能在同一个包里发出。

这种细节为什么重要？因为实际排障时，你执行netstat看到大量TIME_WAIT或者CLOSE_WAIT，如果不懂四次挥手的状态转移，就完全不知道问题出在哪一端。比如CLOSE_WAIT堆积，通常是服务端收到了对方的FIN却没有正确调用close，说明应用层漏了资源释放；TIME_WAIT过多，则通常是主动关闭方在高并发场景下积累的，可以通过调整内核参数缓解。

2.2 可靠传输、流量控制和拥塞控制：搞懂为止

TCP的可靠传输依赖三件事：序列号、确认应答、超时重传。序列号解决了数据乱序怎么排序的问题，确认应答告诉发送方"我收到了哪些数据"，超时重传处理的是"没收到确认怎么办"。这三件事合在一起，TCP才能在一个可能丢包的IP网络上，给上层应用提供一条"看起来不会丢数据"的通道。

流量控制解决的是"别把接收方撑爆"。接收方会在ACK里带上自己的窗口大小，告诉发送方"你最多再发这么多"。这就像一个仓库管理员在门口挂牌子，写着"还能再卸三车"，发送方看到牌子就控制发货速度。如果接收方处理不过来，窗口变成0，发送方就停下来，但会定期发探测包问"仓库腾出地方了吗"。

拥塞控制解决的是"别把网络本身搞崩溃"。这里面有几个经典算法：慢启动、拥塞避免、快重传、快恢复。慢启动不是真的"慢"，而是一个探测过程，从很小的拥塞窗口开始，每轮翻倍，指数增长，直到达到阈值；然后进入拥塞避免的线性增长阶段。一旦发生丢包，就把阈值降一半，窗口回退，重新开始。

这块内容期末复习时很容易出计算题，比如"已知RTT，问慢启动到某个窗口需要几轮"。我的建议是不要死记公式，而是画一张拥塞窗口随时间变化的锯齿图，把慢启动的翻倍增长、拥塞避免的加性增长、超时后的乘法减小标清楚，所有计算题都能从这张图推出来。

2.3 UDP：看起来简单，排障时却容易忽略

UDP和TCP最大的区别总结成一句话：UDP只管发，不管有没有送到。没有握手、没有确认、没有重传，头部只有源端口、目的端口、长度和校验和。这种"不管不顾"反而让UDP在很多场景下不可或缺：DNS查询、DHCP、视频会议、游戏实时通信，都用UDP。

这个特性带来的排障思路差异非常大。TCP连接如果出现问题，你第一反应是查握手流程，可能卡在防火墙或者SYN包被丢。UDP出了问题，没有握手可查，只能看三个层面：端口通不通、服务有没有监听、防火墙有没有放行UDP流量。我遇到过好几次"服务正常但客户端连不上"的问题，排查到最后都是云安全组或者iptables策略没放开UDP端口，而因为TCP是通的，大家总觉得网络没问题。这就是只看TCP不看UDP的典型教训。

很多人还会忽略一个细节：UDP是面向报文的，TCP是面向字节流的。这意味着用UDP发一次数据，对方一次recv就收到完整报文；用TCP发送两次数据，接收端可能一次就收到，也可能分很多次收到。应用层用TCP协议时必须在消息边界上做处理，比如加长度头或者分隔符，这也是为什么HTTP/1.1需要Content-Length字段的原因。期末复习的时候，如果题目问你"为什么TCP粘包而UDP不粘包"，答案就在于这个面向字节流和面向报文的区别。

3. 网络层：IP编址与路由，帮你把拓扑图看懂

3.1 子网划分和CIDR，做需求计算最有用

应用层因为贴近工作，是很多人实际接触最多的部分，但如果真的在实施环境里做规划，你马上会发现底层IP知识不够用。网络层这一块，期末爱考子网划分和路由协议，实际工作中最常用的则是CIDR、VLSM、路由表查表逻辑和NAT。

子网划分的核心思路，是把你手上的IP段切分成更小的网段，每个网段对应一个广播域或者一个部门。比如你拿到一个192.168.1.0/24，需要给三个部门各分配一个子网，每部门最多50台设备。/24表示子网掩码有24个1，主机位只有8位，可用地址最多254个。想分三个子网，至少得借2位主机位给网络位，/26，每个子网可用地址是2^(32-26)-2=62，够50台用，四个子网，给三个部门，还多一个备用。

这类计算题到期末非常常见。我不建议靠背诵"2的幂次表"来硬算，更推荐用二进制快速转换：子网掩码255.255.255.192，写成二进制是最后8位为11000000，说明主机位6位，2^6 - 2 = 62。借了2位，所以/24变成/26。所有变长子网划分题基本都能用这个思路推算。

实际项目中，两个最常见的问题都出在子网规划上：一是IP冲突，机器多起来后有人手动配置了重复地址；二是子网掩码写错导致广播域扩大，网络里到处是广播包，整体性能下降。所以我一直强调，网络基础不是纯理论，它直接决定你会不会把一套几百台设备的办公网搞崩。

3.2 路由与NAT：真实环境的"转发逻辑"

路由协议分为静态路由和动态路由。动态路由里，RIP是距离矢量协议，跳数作为度量值，适合小型网络；OSPF是链路状态协议，基于带宽计算开销，适合中大型网络；BGP是边界网关协议，用在互联网AS之间的互联。期末考试的复习重点通常是RIP和OSPF的对比，一个靠"听说"，一个靠"地图"。

OSPF为什么比RIP强？因为RIP只知道自己到目标有几跳，不关心链路质量，一个1Mbps的链路和一个10Gbps的链路跳数相同，它会傻乎乎地选1Mbps那条。OSPF让每台路由器把自己知道的所有链路信息广播给全网，每台路由器都构建出完整的网络拓扑图，然后用Dijkstra算法算出最短路径树。这一套机制不复杂，但它能解释为什么现代企业网都在用OSPF而不是RIP。

NAT就更是网络基础里的重点了。内网设备使用的是私有IP地址，比如192.168.x.x、10.x.x.x，要访问公网，必须经过NAT转换，把私有IP映射成公网IP和端口。家用路由器就是在帮你做这个事。抓包的时候你会经常看到源地址是192.168.x.x，但到了公网抓包，看到的源地址已经变成运营商分配的公网IP了。这个"看不见的转换"经常导致两个问题：第一个是内网设备从外网无法主动访问，因为NAT映射表里根本没有这条记录；第二个是某些应用层协议携带了自身的IP地址信息，比如FTP的PORT命令，做主被动模式切换时会莫名失败。

4. 应用层：基础阶段离工作最近的部分

4.1 HTTP/HTTPS：从URL到响应，抓包看一次就够了

应用层是计算机网络基础（2）里最"亲民"的部分，因为你日常开发、写接口、调API全在跟它打交道。学习HTTP最有效的方法，不是背状态码，而是打开抓包工具，亲手发几个请求看看报文结构。

一个HTTP请求报文，由请求行、请求头、空行、请求体组成。请求行包含方法、URI、协议版本；请求头里的Host、User-Agent、Accept、Cookie各有各的意思。响应报文则是状态行、响应头、空行、响应体。你只要抓几次包，就能记住200表示成功、301/302表示重定向、403禁止访问、404不存在、500服务器内部错误。这个状态码分布是分布式系统排障的基本语言。

HTTPS则是HTTP之上加了TLS/SSL加密层。基础阶段至少要理解两件事：非对称加密用来协商对称密钥，对称加密用来加密实际数据；数字证书用来验证服务器身份。很多人面试被问"HTTPS握手过程"会紧张，其实抓住主干就够了：客户端连上服务器后，服务器把证书发过来；客户端验证证书是否可信，可信就生成一个随机密钥，用服务器的公钥加密发回去；服务器用私钥解密拿到随机密钥，之后双方就用这个随机密钥做对称加密通信。

我强烈建议做一个小实验：命令行里执行curl -v https://example.com，观察输出的* Connected to、subject、issuer、SSL connection using这些段落，你立刻就能把证书验证和密钥协商的全过程串起来。比反复看时序图强得多。

4.2 DNS和DHCP：两个"没人注意但坏了就全挂"的服务

考试里DNS、DHCP通常只是选择题的配角，可一旦工作中DNS出问题，全公司都会沸腾。DNS负责域名解析，把www.example.com变成IP地址。解析过程是递归加迭代：你的电脑先问本地配置的DNS服务器，这个服务器如果没有缓存，就替你去问根服务器，再问顶级域服务器，再问权威服务器，逐级拿到答案，最后把结果返回给你。

排查DNS问题，常用命令是nslookup和dig。dig的输出比nslookup详细得多，可以直接看到ANSWER SECTION、查询耗时和DNS服务器IP。有一次同事反馈"网站打不开"但浏览器访问IP地址却正常，我一查dig，发现是本地DNS解析到一个已经下线的旧IP，TTL又特别长，刷新缓存后问题立刻解决。这种场景，学的就是DNS那一小节的应用。

DHCP就更有意思了。它让你的设备开机后自动获得IP地址、子网掩码、网关和DNS。DHCP通信过程用UDP协议，客户端发DISCOVER广播去找服务器，服务器发OFFER提供地址租约，客户端发REQUEST确认要这一个地址，服务器回ACK批准。四个步骤：DISCOVER、OFFER、REQUEST、ACK。抓包时你会看到四次交互，而且因为客户端此时还没有IP，源地址是0.0.0.0，目的地址是255.255.255.255。在企业网络里，DHCP服务器配置错误经常导致IP地址范围不够用或者错误分配网关，学基础的时候把这些细节过一遍，后面工作能少踩很多坑。

4.3 给DevOps方向的一点延伸

DevOps工程师学的计算机网络，和应用开发、运维工程师侧重点不同。你不一定需要能手写复杂协议，但必须建立"请求从客户端到一个复杂系统，走通全链路"的能力。具体来说，需要掌握几个实操点：理解HTTP的幂等语义，设计健康检查接口时避免非幂等下被误判；理解TCP连接池和TIME_WAIT，调优负载均衡器的长连接参数；理解DNS解析和CDN回源，排查调度的延迟问题；理解TLS握手和证书链，处理证书过期和双向认证；理解NAT和网关，打通Kubernetes里Pod跨节点通信的规则。

这些能力听起来分散，归根到底都是对"数据包经过每一层，发生了什么"的理解。所以我说基础（2）其实是整个职业生涯的底层建筑，不是考完试就可以扔的东西。

5. 实操建议：三组命令和一个抓包习惯

5.1 用命令行建立网络感

学网络基础，光看书不行。至少要把下面这组命令练到下意识就会用。

ping用来测连通性，看ICMP回包和丢包率，但它只能说明"通或者不通"，不能说明"为什么不通"。traceroute（Windows下是tracert）可以看到经过每一跳路由器的延迟，排查链路瓶颈和黑洞路由时特别好用。netstat是查看本机端口状态和连接状态的利器，LISTEN表示有服务在监听，ESTABLISHED表示已建立连接，前面提到的TIME_WAIT和CLOSE_WAIT都是在这里看的。ss是netstat的现代替代品，输出更快更准，我建议直接用ss。curl是应用层排障神器，-I拿响应头，-v看完整握手过程，-k跳过证书验证，-x指定代理，配合-w还能输出耗时明细，直接定位哪里慢。

有一类常见问题值得单独说：浏览器访问网页出现"我们的系统检测到您的计算机网络中存在异常流量"这类提示。这通常是目标服务的网关或安全组件在做请求频率限制、验证码校验或风控策略，判定你的来源IP在同一时间窗口内请求次数过多，于是临时拦截，提示你稍后重试。它和本机TCP/IP协议栈坏没坏基本无关，和"计算机网络基础"这门课的关系也不大。如果你遇到，优先看自己是不是单位出口IP或者运营商NAT出口IP，因为是多人共享出口，别人刷得太猛也会"连坐"你；其次看是否短时间内有脚本或自动化工具在请求该站点；实在不行就等一段时间再访问，或者换一个网络环境验证。这个提示并不是说你的电脑被入侵或网络故障，不用自己吓自己。

5.2 抓包怎么抓才不白抓

抓包工具两个主流选择：命令行首选tcpdump，图形界面首选Wireshark。新手最常犯的错误是一上来就直接抓一整块网卡，把几万条报文全抓到，然后懵住。正确做法是先明确目标，再抓包。

我举一个经典实验：抓一次访问网站首页的完整HTTP请求。第一步，清空浏览器缓存；第二步，先开好抓包工具，过滤条件写成tcp port 80 or tcp port 443，或者更直接地，host example.com；第三步，发起访问，记录时间点；第四步，停止抓包，看报文列表，你会发现TCP三次握手的三个包，颜色分别是深灰、浅灰、深灰，然后出现一个携带GET / HTTP/1.1的TCP报文，接着服务器返回一堆HTTP报文。对照着书本上的图看，你会瞬间理解什么叫"分层的协议栈"。

排查性能问题时，抓包看两个关键指标：TCP重传和往返时间（RTT）。如果大量重传，说明有丢包，可能链路质量差或带宽打满；如果RTT不稳定，时高时低，可能有问题在队列排队。学会用Wireshark的过滤表达式和在tcpdump里加-vv选项，排障效率比什么都高。

6. 期末复习与面试速查：概念怎么背、题怎么做

6.1 高频概念速查表

基础（2）这部分考试，高频考点集中在传输层和应用层，顺手整理成一张速查表，适合考前翻：

考前建议把所有协议画在一张分层图上。自底向上：网卡和物理线路属于物理层；交换机、MAC地址、ARP解析属于链路层；IP编址、子网划分、路由属于网络层；端口、连接管理、可靠传输属于传输层；HTTP、DNS、DHCP、FTP这些具体服务属于应用层。这张图自己画一遍，比背十遍笔记都有效。

6.2 常见问题与答法：从记忆到理解

期末复习光背概念容易翻车，因为现在很多题型是"给场景、找原因"。举两个典型。

第一个，题目说"客户端连接服务器很慢，但连接建立后数据传输正常"，该怎么分析？答案主线是看握手阶段哪里卡。如果SYN发出后一直没有SYN+ACK，大概率是防火墙丢弃了SYN包或者服务器半连接队列满了；如果SYN+ACK正常但最后一次ACK丢了，服务器一直处于SYN_RECV状态，会反复重发SYN+ACK。这些都需要结合TCP状态机去回答，而不是背一句"可能是网络慢"。

第二个，题目说"应用层收到的数据顺序是对的，从未丢失，为什么还需要传输层做可靠传输"？这个问题是本质题。答案在于IP层只负责尽力而为地交付，它不管顺序、不管丢包、不管重复。TCP提供的可靠服务是在不可靠IP之上建立的一层"可信抽象"，它通过序列号解决顺序和重复，通过确认和重传解决丢失。理解了这个"层与层之间的依赖和增强"关系，你就抓住了整个计算机网络体系设计的灵魂。

6.3 给学习进度提个醒

如果你在准备期末，建议用"三遍法"过基础（2）：第一遍，用自顶向下或者王道快速通读，标记不懂的点，不纠结细节，目标是有整体框架；第二遍，对着视频课详细过一遍传输层和网络层，配合抓包实验加深印象，目标是理解机制的动线；第三遍，只刷期末题和历年考研题，真题的意义不只是练计算，更是帮你把不同章节的知识串联起来，比如一道NAT的题，实际在同时考网络层和传输层端口的作用。

如果你是已经开始工作的DevOps工程师，方法略有不同。我建议不要从头到尾刷书，而是挑实际痛点往回找知识点。比如Kubernetes集群里服务间调不通，就去看Service和Pod的IP转发逻辑，追到iptables规则和网络策略；比如Nginx出现大量TIME_WAIT，就回头复习TCP四次挥手的内核参数优化；比如某个域名解析时快时慢，就去看DNS的TTL和CDN架构。这个"从问题到原理"的方式，比按章节顺序学更不容易忘。

写在最后的一点体会

我自己学网络基础的时候走过不少弯路，最深的感触是：不要把协议当成一坨一坨需要背的文字，而是把它们当成一整套对话规则。你的电脑每时每刻都在跟路由器、DNS服务器、对方的服务器说很多话，只是你听不见。抓包工具就是让你听见这些对话的翻译器。当你第一次用Wireshark亲眼看到三次握手的过程，看到HTTP请求一行一行地发出去，再回头看那些教材里的图，你会觉得整门课突然通透了。

计算机网络基础（2）不是一个孤立的知识模块，它正好处于承上启下的位置：往下，是已经讲过的物理和链路物理连接；往上，是所有你能感知到的互联网应用。把这一篇学扎实，不管是期末考试、面试，还是实际的系统排障，你都会比别人多一份"我知道底层在发生什么"的底气。

最后分享一个小技巧。学网络的时候，每学一个协议，就顺手问自己三个问题：这个协议解决什么问题？不解决会怎样？它依赖了下面哪一层的能力？比如学TCP，问"为什么UDP做不到可靠传输"；学DNS，问"为什么还需要ARP"。这种自问自答的习惯，能把你从"记住知识"推向"理解系统"。这套方法，在我带过的每一届新人和每一个转行同事身上，都验证过有效。