1抓包点、过滤器与证据完整性
闭卷画出抓包点、过滤器与证据完整性的拓扑、报文状态机、公式与失败证据。
计算机网络与协议实验 · 小纸条
选一章打印。双面打印（按长边翻页）后沿虚线剪开，每张卡片正面题目、背面答案。
第 1 页 · 正面（题目）
2从二层到应用逐层解码
闭卷画出从二层到应用逐层解码的拓扑、报文状态机、公式与失败证据。
3TCP握手与重传诊断
闭卷画出TCP握手与重传诊断的拓扑、报文状态机、公式与失败证据。
4DNS、TLS与HTTP故障分界
闭卷画出DNS、TLS与HTTP故障分界的拓扑、报文状态机、公式与失败证据。
5RTT、吞吐与重传指标提取
闭卷画出RTT、吞吐与重传指标提取的拓扑、报文状态机、公式与失败证据。
6系统化故障假设表
闭卷画出系统化故障假设表的拓扑、报文状态机、公式与失败证据。
7实验：离线报文分析器
闭卷画出实验：离线报文分析器的拓扑、报文状态机、公式与失败证据。
第 1 页 · 背面（答案）
机制：先确认帧与VLAN，再验证IP、传输状态，最后解释应用协议，层层保留原始字段；实验：对一组十六进制包输出Ethernet、IPv4、TCP和HTTP关键字段；边界：解码器必须按长度字段防越界，未知选项应跳过或拒绝而非错位解析。
机制：采集点决定可见方向和封装，过滤器缩小范围但可能删掉关键前因；实验：为客户端、网关和服务端三个采集点设计同一连接的匹配键；边界：单点没看到报文可能是路由、镜像、卸载或过滤问题，不能直接断言未发送。
机制：DNS响应、TLS告警和HTTP状态分别位于不同阶段，错误码必须与时间线对齐；实验：给NXDOMAIN、证书主机名不匹配、503三例写最短验证步骤；边界：HTTP 503证明已越过网络和TLS的某些阶段，但不证明所有依赖正常。
机制：按五元组和序号重建连接，区分SYN无回应、拒绝、数据重传和零窗口；实验：从时间线判断客户端超时发生在DNS、连接、TLS还是首字节阶段；边界：重复包可能来自抓包镜像或卸载，需结合序号、方向与采集点去重。
机制：每个假设写预测、最小观测和排除条件，优先做能区分多个假设的检查；实验：针对偶发慢请求建立DNS、丢包、队列、服务端和依赖五类假设矩阵；边界：先重启会擦除现场并制造暂时恢复，不能替代根因证据。
机制：由成对报文估算RTT，由有效字节和时间窗算吞吐，由序号重叠识别重传；实验：对合成抓包记录计算中位RTT、好吞吐和重传比例；边界：采样抓包与丢包会偏置指标，应用好吞吐不能直接用链路字节除时长。
机制：读取文本化抓包记录，按流分组并统计握手完成、重传、RTT和HTTP状态；实验：实现无pcap依赖的协议分析器，测试乱序、重复、缺包和多流；边界：分析器结论必须带证据包序号，不能把启发式分类写成确定事实。