做菜讲究刀工，切菜要快准稳。其实抓网络数据包也一样，尤其是传输层的协议包，就像处理一条鱼，得一层层来，先去鳞（链路层），再剖腹（网络层），最后取内脏（传输层）。
从端锅到端口，理解传输层的作用
你在厨房炒菜，火候靠的是控制炉灶的开关和大小。在网络世界里，传输层就是那个控制“火候”的环节。它负责把数据准确送到某个具体的应用程序，比如你刷视频用的是TCP，看直播可能用UDP，这就跟炒菜用大火、炖汤用小火一个道理。
常见的传输层协议就两个：TCP 和 UDP。TCP 像是慢炖煲汤，讲究完整不丢料；UDP 则像爆炒，快进快出，哪怕少片蒜也不耽误上桌。
抓个包看看长什么样
用 Wireshark 抓个网页加载时的数据流，找到一个 TCP 包点开。你会看到源端口、目的端口、序列号、确认号、标志位（SYN、ACK这些）、窗口大小、校验和等字段。这就像打开一锅汤的配方表，每样调料放多少都写得清清楚楚。
比如一个典型的 TCP 首部结构：
源端口: 54321
目的端口: 80
序列号: 1000
确认号: 2000
数据偏移: 5 (即 20 字节)
标志位: ACK
窗口大小: 64240
校验和: 0xabcd
紧急指针: 0标志位就像灶台上的按钮
SYN 是点火启动，FIN 是关火收工，ACK 是回应“收到了”，RST 是锅烧干了强行断连。你打开浏览器访问网站时，三次握手的过程就像是点火、试火、正式开炒——
- 客户端发 SYN：我想炒个菜，能点火吗？
- 服务器回 SYN+ACK：可以，火开了，你也准备接招。
- 客户端回 ACK：好嘞，开始炒。
这个过程走完，锅热了，油下了，才能下食材——也就是传数据。
UDP 更像是随手一炒
UDP 没有握手，没有重传，只管把数据扔出去。就像你颠勺时随手撒把葱花，不管落没落到菜上。DNS 查询经常用 UDP，因为查一次很快，错了再试一遍也来得及，没必要先握手再通信。
一个 UDP 包头很简单：
源端口: 12345
目的端口: 53
长度: 28
校验和: 0xef01没那么多步骤，上来就干，适合对实时性要求高的场景。
实际调试中怎么用
公司内网某个服务连不上，别急着重启。抓个包看看传输层有没有发出 SYN？如果发了但没收到 ACK，可能是防火墙拦了，就像你点了火但煤气没通。如果一直重传，说明对方根本没应答，问题可能出在网络路径上。
再比如直播卡顿，抓包发现大量 UDP 包丢失，那不一定是网络差，也可能是发送端压根没重传机制，得从应用层想办法补帧。
学会看传输层包，就跟掌握火候一样，能让问题排查从“瞎猜”变成“精准调味”。