计算机网络：从物理层到 HTTP/3 的全栈协议与排查

0. 元信息

• 主题路径：docs/topics/network/README.md
• 主分类：计算机基础
• 辅助分类：安全与可靠性
• 适合对象：会用 Linux 命令行，想系统理解网络并处理线上故障的开发者
• 建议周期：12～16 周（每周 8～12 小时，至少一半时间用于实验）
• 前置知识：无；会安装软件、读日志和运行命令即可
• 最终目标：能从线缆、帧、IP、TCP、TLS 一路解释到 HTTP/3，并用 Wireshark、tcpdump、ss、mtr 和 eBPF 给生产问题找证据

1. 学习路线

物理介质与 Ethernet
  → IP、CIDR、路由、ICMP
  → TCP、UDP、拥塞控制
  → DNS 与命名
  → TLS、证书与 HTTPS
  → HTTP/1.1、HTTP/2、HTTP/3
  → 协议状态机与兼容设计
  → 抓包、过滤与解密
  → 生产网络排障与 eBPF

我们按报文真实经过的路径学。每一层都抓包。先说明观察点，再下结论。

2. 阶段周数分配

12 周方案节奏紧。16 周方案多出的时间用来重做实验和制造故障，不用来囤课。

3. 九阶段表

关键陷阱有三个：分层模型不是实际代码调用栈；单个抓包点看不到全网；相关性不能替代因果实验。

4. 第一周任务

Day 1 运行约定：使用 Linux shell。安装 iproute2、ethtool、tcpdump、Wireshark/tshark、dig、curl、openssl、mtr。抓包需要 root、CAP_NET_RAW 或正确配置的 dumpcap 权限。所有命令记录版本、接口、时间和目标。

Day 7 步骤 A 只求链路完整：DNS → TCP → TLS → HTTP。步骤 B 每次只改变一个条件。严格过滤和自动化放到四类异常都跑通后。

5. 阶段通用验收

1. 不看答案画出本阶段主要报文头或状态机；
2. 用自己的话说清它解决什么问题、在哪一层生效、失败时有什么信号；
3. 保存原始命令、版本、抓包位置、pcap 和关键输出；
4. 测试正常、超时、拒绝、丢包或损坏四类路径；
5. 至少准备 3 组可重复实验，写出预期与实际结果；
6. 记录 RTT、重传、吞吐、窗口、状态码等可量化指标；
7. 能修改网络条件或服务配置，再用相同观测方法验证变化。

6. 最终验收

• 独立画出 Ethernet、IPv4、TCP、DNS、TLS 1.3、HTTP/2 与 QUIC 的关键结构或时序；
• 完成至少 30 个实验。每个子主题不少于 2 个，抓包与排障合计不少于 8 个；
• 制造并定位至少 8 类故障：DNS、路由、MTU、SYN、重传、证书、ALPN、HTTP 服务端延迟；
• 完成 1 个综合项目，交付 pcap/PCAPNG、指标、时间线、结论、修复和验证；
• 能用 15 分钟讲清浏览器发起 HTTPS 请求的全链路，以及 HTTP/3 改了什么。

7. 综合项目

首选：用 Wireshark + tcpdump 抓一次完整 HTTPS 请求并产出全链路分析报告。

报告必须覆盖：DNS 查询、TCP 或 QUIC 建连、TLS 握手、证书链、ALPN、HTTP 请求/响应、各阶段耗时、异常标记、抓包边界、隐私脱敏。我们要保存原始 pcap 和可重复命令。结论必须指向包号、时间戳或指标。

备选：自建最小 HTTP/3 服务。

用 Caddy、nginx-quic 或 quiche 起一个静态服务。用 curl --http3-only、Wireshark 和服务日志验证 QUIC、TLS 1.3、ALPN h3 与请求响应。

备选：用 eBPF 编写连接慢响应定位器。

跟踪 connect、TCP retransmit、socket RTT 或服务端 accept 延迟。输出连接五元组、时间戳、延迟阶段和丢事件统计。优先用现成 bpftrace/BCC 示例改造，再决定是否写 CO-RE 程序。

任何项目都要包含：

1. 需求与成功标准；
2. 网络拓扑、抓包点和工具选择理由；
3. 协议时序与指标定义；
4. 可重复命令或模块化源码；
5. 正常、超时、拒绝、丢包/损坏测试；
6. 环境、权限、清理和脱敏说明；
7. README 与原始证据索引；
8. 结论、限制、修复和验证记录。

8. 推荐开源资料

默认顺序：RFC 只读当前实验所需章节 → 抓包 → 对照 Wireshark 字段 → 制造单变量故障 → 看 Linux 指标 → 写结论。复制代码前再检查目标仓库当前 LICENSE。

9. 学习资料汇聚（v0.3 自包含）

本节由本计划生成。链接指向原始材料或作者公开内容。标准会更新，实验记录必须写明版本和日期。

9.1 背景与动机

计算机网络来自一个简单约束：不同机器要在不可靠、异构、会拥塞的链路上通信。分组交换让链路可共享。分层让每一代链路、主机和应用能独立演进。

ARPANET、TCP/IP、DNS、Web、TLS、HTTP/2 和 QUIC 是这条线上的关键节点。今天的生产问题也沿着这条线出现。页面慢可能是 DNS、路由、丢包、TCP、证书、服务端队列或浏览器协议选择。学会读 wire evidence，猜测会少很多。

9.2 概念地图

flowchart LR
  Medium[线缆 / 光纤 / Wi-Fi] --> Ethernet[Ethernet / 802.11]
  Ethernet --> IP[IPv4 / IPv6]
  IP --> ICMP[ICMP / 路由 / PMTUD]
  IP --> TCP[TCP]
  IP --> UDP[UDP]
  DNS[DNS] --> UDP
  DNS --> TCP
  TCP --> TLS[TLS 1.2 / 1.3]
  UDP --> QUIC[QUIC]
  TLS --> HTTP1[HTTP/1.1]
  TLS --> HTTP2[HTTP/2]
  QUIC --> HTTP3[HTTP/3]
  PCAP[tcpdump / Wireshark] -.观察.-> Ethernet
  PCAP -.观察.-> IP
  PCAP -.观察.-> TCP
  PCAP -.观察.-> TLS
  EBPF[eBPF / socket metrics] -.观察.-> TCP
  EBPF -.观察.-> QUIC

核心关系：链路承载 IP；IP 逐跳转发；TCP/UDP/QUIC 提供不同传输语义；TLS 建立安全通道；HTTP 提供应用语义。DNS 在应用发起连接前提供名字到地址的映射。pcap 看线上字节，eBPF 看内核事件，两者互补。

9.3 基础知识讲解

9.3.1 经典论文

9.3.2 经典书籍

重点读这 5 本。我们不从头背到尾。每本都跟一个实验。

备查：Tanenbaum & Wetherall 的 Computer Networks、Comer 的 Internetworking with TCP/IP、Stevens 的 UNIX Network Programming。它们分别适合理论全景、TCP/IP 教材和 socket 编程。

9.3.3 优秀博客

9.3.4 核心人物

9.3.5 开发方法

重点 RFC 共 5 篇/组：

1. RFC 8200 — IPv6 Specification：定义 IPv6 基本头、扩展头和转发语义。它展示网络层如何在简化基础头后保留扩展能力。
2. RFC 9293 — Transmission Control Protocol：当前 TCP 核心规范。握手、序列号、状态机、重传和关闭都要回到这里核对。
3. RFC 1034 + RFC 1035 — DNS Concepts and Implementation：作为一组学习。前者讲体系，后者讲报文和实现。现代 DNS 的基本模型仍在这里。
4. RFC 8446 — TLS 1.3：把握手、密钥派生和旧算法清理写清。排查现代 HTTPS 必读。
5. RFC 9000 + RFC 9114 — QUIC and HTTP/3：作为一组学习。QUIC 定义传输，HTTP/3 定义映射。它们解释为何 HTTP/3 不再跑在 TCP 上。

补充查阅：HTTP Semantics RFC 9110、HTTP/2 RFC 9113、HTTP/1.1 RFC 9112、IPv4 RFC 791、ICMP RFC 792。旧 RFC 仍有历史价值，但实现判断优先看更新后的规范及其 Obsoletes/Updates 关系。

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• IEEE 802 标准处理局域链路和物理介质。IP 处理跨网络寻址与逐跳转发。
• TCP、UDP、QUIC 处理端到端传输。它们不定义业务语义。
• DNS 处理命名。TLS 处理通信机密性、完整性和对端认证。HTTP 处理请求/响应语义。
• RFC 定义 wire behavior。Linux、浏览器、代理、CDN 和网卡实现会增加默认值、优化和限制。
• pcap 适合看经过观察点的包。eBPF 适合看内核路径与 socket 状态。两者都不能自动证明应用根因。

9.6.3 Structure

• 标准文档常见结构：术语、报文格式、状态机、处理规则、错误、扩展、安全与 IANA considerations。
• 必须掌握的字段：EtherType、VLAN ID、IP 地址/TTL/Next Header、端口、TCP seq/ack/flags/window/options、DNS ID/flags/RR、TLS ClientHello/SNI/ALPN、HTTP method/status/header、QUIC Connection ID/packet number/frame。
• 必须掌握的接口：socket/connect/bind/listen/accept、getaddrinfo、getsockopt、netlink、pcap capture/filter、Linux BPF maps/programs/ring buffer。
• 必须掌握的方法：读 RFC 的更新关系；画 FSM；做 packet timeline；把抓包、系统指标和应用 trace 关联起来。

9.6.4 Ecosystem

• 操作系统实现：Linux、FreeBSD、Windows、Apple Network Extension/Network.framework。
• 工具：iproute2、tcpdump/libpcap、Wireshark/tshark、dig/kdig、curl、OpenSSL、mtr、iperf3、bpftrace/BCC。
• 服务实现：BIND、Unbound、CoreDNS、Nginx、Caddy、Envoy、HAProxy、nghttp2、quiche、OpenSSL/BoringSSL/rustls。
• 扩展点：TCP options、IPv6 extension headers、DNS EDNS、TLS extensions、HTTP fields/settings、QUIC transport parameters、eBPF hooks。
• 事实标准与标准本身要分开。比如浏览器的 HTTP/3 启用策略、Linux 默认拥塞算法、CDN 的 Alt-Svc 生命周期都属于实现和部署选择。

9.6.5 Depth Tiers

本父主题目标是 L3。协议设计或 eBPF 项目可触及局部 L4，但不作为 12～16 周的硬门槛。

9.6.6 Source

• IETF Datatracker 与 RFC Editor：查 RFC 正文、状态、更新与勘误。
• IEEE 802 与 Linux networking documentation：查链路标准组织和 Linux 实现接口。
• 核心版本：RFC 8200、9293、1034/1035、8446、9000、9110～9114。
• 引用版本快照日期：2026-07-30。实际项目开始时再检查 RFC Updates、Obsoletes 和 errata。

10. 常见误区

• 把 OSI 七层当作真实实现的固定模块；
• 看到 ping 通就认定 TCP、UDP 和应用都通；
• 只在客户端抓包，却断言包在服务端被丢；
• 把 traceroute 某一跳不回包当成那一跳丢业务流量；
• 把 DNS TTL 当成所有缓存的唯一寿命；
• 混淆 TCP 的 rwnd 与 cwnd；
• 用平均 RTT 掩盖 P95/P99 抖动和重传；
• 认为 TLS 加密后抓包没有价值；
• 认为 HTTP/2 消除了所有队头阻塞；
• 认为 QUIC 基于 UDP，所以不可靠；
• 不记录抓包接口、时间、过滤器、snaplen 和 offload；
• 直接按 Wireshark Expert Info 修系统，不核对两端证据；
• 在生产环境无限制抓全包，忽略隐私、权限和磁盘；
• eBPF 程序不统计 lost events，却把缺失事件当作没有发生。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：计算机基础 主 + 安全与可靠性 辅。