无处不在的头部

每一层封装实际上都是一个头部，放在上一层传下来的内容前面。在网络传输中，从外到内读取，一个 Web 请求看起来是这样的：

Ethernet header | IP header | TCP header | data

每个头部都包含该层的寻址信息：Ethernet 头部包含MAC 地址，IP 头部包含IP 地址和 TTL，TCP 头部包含端口和序列号。

这就是 Wireshark 这类工具能够解析任何抓包内容的原因：嵌套顺序始终相同，因此每个头部都会告诉解析器接下来是什么。