Wireshark网络分析就这么简单

林沛满先生关于WireShark的两本书：《WireShark网络分析就这么简单》《WireShark网络分析的艺术》，都很不错。可惜自己读的时候并没有就一些知识在自己电脑上实践，只是一股脑读完了，但是也有很大收获。 首先，认知感受方面。从实践方面一张张的截图，让我学习中遇到的TCP报文中的一些字段（SYN、ACK、Seq、Ack、Win、Len、MSS）不再停留在教科书上，有了更直观的感受和理解；还有MSS和MTU，之前分不清的概念也渐渐清晰起来（话说这两个概念是我在几本书中遇到多次才搞清楚的，后来每一次再遇到更多一些理解和深刻，完全不是一本书一次性搞懂的。这或许就是对我而言知识获取的难度吧，理解了发现很简单的概念，但不理解的时候脑子一团浆糊）； 然后，就是WireShark软件的一些使用技巧。记得大二学CN的时候电脑上下载了WireShark，印象中根本就没自己动手尝试和验证书中的理论知识，只是用它完成了老师布置的作业而已。对，犹记得当时自己的主动学习的能力是有多差。 再有，就是一些边角料的认识。了解到OSI七层模型是一个没有市场的笨重模型，市场上广泛使用的是TCP/IP四层模型，我们教科书一般使用的是两者结合的五层模型，可考试还是会考OSI七层模型的知识点，难怪作者说：“大学的应试教育可见一斑”；才知道SUN公司居然是源自“Stanford University Network”的首字母，长见识了。 最后，这两本书质量蛮高的原因之一就是作者就一些问题分析时给出了详细的截图。的确，发现某些好的书籍就擅于使用大量的图片，更易于读者理解，纯文本有些时候对于计算机类这种实践性强的专业反而不如图片更加直观易懂。 总的来说，两本书值得后面遇到相关问题第二次阅读查阅，再次体会每类问题的解决思路和方案。 一年以来比较深入（可能只是自己以为的深入，其实还是浅尝辄止，浮于表面，但比自己大学刚开始学习的时候进步很大）的学习计算机基础知识，尤其是计算机底层的一些东西，改变了我的一些看法。大一大二的时候认为敲代码是一件很玄学的事，有时候一个配置、一行代码，可能就是跑通和跑不通两种完全的结果，以至于那时候认为敲代码要靠运气，我的电脑上跑不通的到了其他人电脑上就可以跑通了。可是慢慢学习底层的一些东西，理解到所有的代码，最后都要通过一系列的预处理编译汇编链接或者是解释转换为机器代码执行，最后机器执行的只是二进制的01序列，所以写出来的代码有问题肯定是某方面出了问题，绝不是玄学的事。可是当自己的理解不够深入时，有时候很小的问题对自己来说也可能是一团乱麻，所以，面对问题，首先不要慌张，头脑清晰的分析问题，思考背后深层次的原因，或许就可以找到解决bug的方法。提高解决问题的能力需要在实践中慢慢提高。

不可多得的书，不可多得的工具。我很少用微信读书来看完一本IT书籍，因为手机看IT书太难看了，IT书籍更适合纸书，而此书图片放大下可以接受，而内容不苦涩，通俗易懂，内容长度适中，适合碎片时间阅读。 Wireshark是个好工具，它把协议、网络与死记硬背的知识可视化，入门容易，是个实用的工具。

且不论此书有多少干货，单作者对待技术的态度，以及在技术圈子浮躁的大环境下依然保持冷静独立的思考就值得打5分。况且全书能把枯燥的技术问题和专业术语表达的这么生动有趣，把网路协议解释的这么清楚。即授人以鱼，又授人以渔。

通俗易懂，作者非常幽默。可以边学技术边看段子，要命的是段子更吸引人。如果作者以后失业了，强烈建议去做段子手，哈哈哈。。。 下面是一些摘抄。 一、深有同感的 我们也许可以在几个小时里学会使用Wireshark软件，在几天里学会一个协议，但是思路的养成却需要经年累月的锻炼。 最后要分享的，是我认为最“笨”但也是最重要的一个技巧——勤加练习。只要练到这些技巧都变成习惯，就可以算登堂入室了。 技术深度和广度的关系，就像登山时的高度和视野。假如你爬到半山腰就停下来眺望，就只能看到一半的视野；但如果埋头爬到山顶，一抬头便是无边的风景。 二、学习与段子结合（递归查询与迭代查询的例子） 递归查询：老板给我发个短信：“阿满，附近哪个川菜馆最正宗？”我屁颠屁颠地去问我的吃货朋友二胖，二胖又问了他的女友川妹子；川妹子把答案告诉二胖，二胖再告诉我，最后我装作很专业的样子回复了老板。这个过程对老板来说就是递归查询。 迭代查询：老板说：“阿满，推荐一下附近的洗脚店呗？”我立即严辞拒绝：“这个我不知道，不过你可以问问公关部的张总。”老板去找到张总，又被指引到销售部的小李，最终从小李那里问到了。这个过程就是迭代查询，因为是老板自己一步一步地查到答案。 三、精彩段子 我的老板气宇轩昂，目光笃定，在人群中颇有大将风范（当然是老板娘不在场的时候）。有一年我们在芝加哥流落街头，也没见他皱过眉头。不过前几天，这位气场型领导竟然板着脸跑过来，说赶紧帮忙，有位同事被客户骂惨了。我当然不能拒绝帮（yao）助（qiu）同（jia）事（xin）的机会，立即加入电话会议。 这时候我才真正被Patrick的实力所震撼。觉得自己就像武侠小说中初涉江湖的少年，一年前被深藏不露的大侠所救，却只看到好剑的厉害。一年后再次身陷险境，看到大侠出招，才知道自己有眼不识泰山，恨不得立即磕头拜师。 一旦用它解决了第一个问题，恭喜你，很快就会中毒上瘾的。中毒之后会有什么症状呢？你可能碰到什么问题都想抓个包分析，就像小时候刚学会骑车一样，到小区门口打个酱油都要骑车去。 从另一个角度考虑，正是复杂的设计才让我们有了这份工作，感谢祖师爷们赐饭。 根据多一道公式就会丢失一半读者的原理，本文将对此只字不提。 在他们询问我的名字前，我已经关上车门，只留下一个伟岸的背影，深藏功与名。其实心里还有一个怨念：为什么他们就可以午睡？ 人类比电脑狡诈太多，还是管电脑省心。 我就算包揽下一年的洗碗工作也难以回报。

这本书虽然是有关于Wireshark这一款工具的介绍和使用，看起来更像是一本工具书。但是林工像一位循循善诱的老师，带着我去理解网络知识。理论没有讲很多，确实都是真实发生在他身上的事迹。当我还在考虑是否要跳槽，是否要选择技术广度还是技术深度方向发展时。给了我一个新的思路，“技术广度和深度的关系，就像登山时的高度和视野，假如你爬到半山腰就停下眺望，就只能看到一半的视野，但如果埋头爬到山顶，一抬头便是无边的风景。”

可惜无缘认识林先生。如果有机会当面致谢，应当是十分荣幸的事。 技术，尤其是网络技术，历来都是枯燥无味。但是林先生这本书让人读的酣畅淋漓，爱不释手。我因为要解决一个网络问题，碰巧遇到此书，拿起来便放不下。甚至有种打游戏的感觉。 技术，网络技术，调试，解决问题，思考，思考职业轨迹…… 好书! 

确实是很老的书了，关于wireshark的用法的讲解其实也不多，更多一些协议和实战案例的介绍，看完确实可以泛泛的了解到使用wireshark解决问题，分析网络问题相关的知识。不过重点是书里的文字很有趣。

一、内容回顾本书分为三个部分 （1）初试锋芒 激发兴趣。提出日常中常见的问题，激发我们的兴趣，并用wireshark去解决。比如两台主机配好了网络为什么不能相互通信？Excel文件的存储过程是怎么样的（通过存储到网络盘上，抓包分析）？等等，让我们带着问题，去寻找答案。 内容生动。没有像传统的“中国技术书籍”一样，一上来就是xxx背景介绍，然后xxx的安装，xxx的特性。而是通过穿插一个个案例，用到了什么，才教我们什么 （2）庖丁解牛 内容进阶，通过wireshark透彻地分析常见的网络协议，也通过对包的分析实打实滴了解网络分层的工作情况 NFS：网络文件系统。以前我们只知道如何使用这个协议去共享文件，但是在wireShark的帮助下，我们能够把它如何实现“共享”的每一步都看的清清楚楚，从此开始，学习协议再也不用看枯燥且抽象的文字说明了！ TCP/IP：学习过计算机网络的一定对TCP这一块内容深恶痛绝，它几乎是互联网的基石，难以撼动，但却有如此多的特性让人琢磨不透（特别是国内的八股文车轱辘话，让本就蒙着一层面纱的它又裹上了一层棉被），但通过wireshark，你就能避开那些车轱辘话，亲眼看到TCP是如何给数据包加上传输信息，如何三次握手，如何重传，也能明白什么是窗口大小，影响TCP传输的因素具体它到底有多大的影响。 UDP：知道了TCP的特点，学习起UDP就更能理解它的缺点和优点了。 CIFS：也就是Windows上的SMB文件共享协议。学习了NFS，分析起来也是如鱼得水。 DNS：DNS就是那个熟悉的陌生人，平时经常接触，但从来不知道它是怎么运作的，甚至有些特性都不了解，也是看了这一章，我才知道PTR、SRV等记录的用处 FTP：又是一个文件共享协议，通过wireshark给它的特点分析的彻彻底底，也是在这一章才知道FTP有两种模式，两种连接... HTTP：每天访问都离不开的协议，也可以通过wireshark看看有没有什么新发现 （3）举重若轻： 这部分内容跟标题一样“轻”读起来最愉快。六篇内容大部分讲的都是作者这个侠客利用wireshark这把宝剑嘎嘎乱杀的，印象最深的是“棋逢对手”一章，没想到工程师也能有武侠风范哈哈哈哈哈 二、对作者的感情（1）语言的敬佩：能够讲清楚一门技术很难，能够把一门技术讲的幽默有趣更难。很明显，作者两样都做到了，把枯燥无味的技术结合现实问题，化作了一篇篇生动的故事，让读者读来如春风拂面，在一篇篇故事中不知觉就学习到了知识，可以说是一看进去就停不下来了。 （2）思想的敬佩：除了语言上的敬佩，我最佩服的是作者的思想 （2.1）深入浅出，传道授业 作者不仅将技术讲的生动有趣，传授我们“术”，也在不断地教导我们“道”。作者说： “我们也许可以在几个小时里学会使用Wireshark软件，在几天里学会一个协议，但是思路的养成却需要经年累月的锻炼。最隐蔽的问题往往在网络包中看不到蛛丝马迹，我们不得不用推理、联想甚至发散的思维来寻找原因。希望通过这些案例，有助于读者们形成这种思维习惯。” “在武侠小说里看到过一段话，大意是练习歪门邪道的功夫，很快便能小有成就，但永远成不了高手。而名门正派的武功虽然入门艰辛，进步缓慢，却是成为一代宗师的必由之路。这段话深得我心，学习网络也只能老老实实地去参透各个协议，才能达到最高境界。研究协议的过程虽然枯燥缓慢，但是不可或缺。” （2.2）浪漫情怀 “这个建议一年后被采纳了，第三版的协议决定把TCP和IP分离开来，并且延续至今。无巧不成书，Jon Postel恰好是Vinton的高中同学，也是阿帕网项目的同事。他在1998年因病去世时，Vinton为他写了一篇感人至深的讣告，并且作为RFC2468发布。据我所知，这是唯一一篇无关技术的RFC。对一位计算机科学家来说，这也许是最有意义的纪念方式。我们今天还可以通过http://tools.ietf.org/html/rfc2468阅读它。” “当我在台灯下写到这一篇时，不由得想到几个月后，另一束灯光下的读者正翻到这一页，跨越时空的交流真是奇妙。我要感谢你购买本书并坚持读到这里。” （2.3）对IT技术清醒的认知 “其实在全栈的概念出现之前，关于技术广度和深度的讨论就从来没有停止过。在时间有限的情况下，究竟是应该扩展广度，各种技术都去涉猎，还是把所有精力都投入在一门技术上呢？我个人更倾向于后者，因为当某项技术学到了较深的程度后，眼界就不一样了，再学其他的技术也容易达到类似境界。” “中国也不是没有老工程师的发展空间，而是因为第一批工程师还没有变老。” “人类比电脑狡诈太多，还是管电脑省心。我们就把办公室政治这样劳心的活儿留给走管理路线的同事吧，只要不站队不说是非，用技术帮助所有人，自然会成为单位里最受尊敬的人。” “而且更大的副作用是，多次换工作导致了各种技术都只学到皮毛，等醒悟过来已经晚了。如果某个新职位吸引你的亮点只是加薪，我建议三思而行。”

是一本值得反复阅读的书。做项目需要抓包，比较了抓包工具，还是选择了wireshark，从0开始，网上的资料少之又少，官方文件又太官方，项目来不及细读。然后看到了此书，叹为观止，爱不释手。虽然还有很多地方一知半解，但书读百遍其义自见，life is tough，but wireshark make it easy.

子网掩码： tcpdump -i eth0 host 10.11.32.200.231 -w /tmp/tcpdump.cap NAT：网络地址转换 whireshark分析重传： dpk nagle算法提高性能、提高传输效率、减轻网络负担 延迟确认、缓冲机制、在发出去的数据还没有被确认之前，假如又有小数据生成、那就把小数据收集起来、凑满一个MSS或者等待收到确认之后再发送。 ​​​​​​netsh interface tcp set global congestionprovider=ctcp windows tcp算法 compound