IP ​

IP（Internet Protocol）负责在网络层给数据包标注源地址、目的地址，并把上层协议的数据交给下一跳转发。排查跨网段通信、路由方向、分片、TTL 异常或“包有没有到达目标网段”时，可以从 IP 层开始。

不要把 IP 和 TCP/UDP 混淆：IP 负责寻址和转发；TCP/UDP 负责传输层端口和会话语义。也不要把 IP 地址和 MAC 地址混淆：MAC 属于链路层，通常只在本地链路内有效。

Wireshark 中看什么 ​

常用显示过滤字段 ​

ip

只显示 IPv4 报文。

ip.addr == 192.0.2.10

查看与某个 IPv4 地址相关的双向流量。请替换为现场地址。

ip.src == 192.0.2.10 && ip.dst == 198.51.100.20

查看指定方向的流量。

ip.proto == 6

筛选 IPv4 中承载 TCP 的报文。

ip.proto == 17

筛选 IPv4 中承载 UDP 的报文。

ip.flags.mf == 1 || ip.frag_offset > 0

查找 IPv4 分片相关报文。

常见分析问题 ​

为什么同一个连接在不同抓包点看到的 MAC 不一样？ ​

IP 地址表示端到端的网络层地址，MAC 地址表示当前链路上的下一跳。报文经过路由器后，IP 地址通常保持通信双方不变，而链路层 MAC 会随每一跳改变。

看到目的 IP 就说明应用一定收到了吗？ ​

不能。IP 层只能说明数据包被抓包点观察到，是否被应用处理还要继续看 TCP/UDP、ICMP 错误、主机防火墙、端口状态和应用响应。

分片一定是故障吗？ ​

不一定。分片本身是 IPv4 的机制之一，但大量分片、重组失败或只看到部分分片时，可能影响上层协议解析，需要结合 MTU、路径和丢包现象判断。

相关页面和外部参考 ​

• TCP
• UDP
• ICMP
• ARP
• Display Filters
• Wireshark Wiki 原页：<https://wiki.wireshark.org/IP&gt;

相关 Wireshark Wiki 页面 ​

• Wireshark Wiki 首页Home · 入门与使用
• Internet_ProtocolInternet_Protocol · 协议参考