IP协议是TCP/IP协议族中最为核心的协议。它提供不可靠、无连接的服务，也即依赖其他层的协议进行差错控制。在局域网环境，IP协议往往被封装在以太网帧中传送。而所有的TCP、UDP、ICMP、IGMP数据都被封装在IP数据报中传送。
TCP/IP报文封装：
一、MAC帧头定义
typedef struct _MAC_FRAME_HEADER
{
char m_cDstMacAddress[6]; //目的mac地址
char m_cSrcMacAddress[6]; //源mac地址
short m_cType; //上一层协议类型，如0x0800代表上一层是IP协议，0x0806为arp
}attribute((packed))MAC_FRAME_HEADER,*PMAC_FRAME_HEADER;
二、IP头结构的定义
typedef struct _IP_HEADER
{
char m_cVersionAndHeaderLen; //版本信息(前4位)，头长度(后4位)
char m_cTypeOfService; // 服务类型8位
short m_sTotalLenOfPacket; //数据包长度
short m_sPacketID; //数据包标识
short m_sSliceinfo; //分片使用
char m_cTTL; //存活时间
char m_cTypeOfProtocol; //协议类型
short m_sCheckSum; //校验和
unsigned int m_uiSourIp; //源ip
unsigned int m_uiDestIp; //目的ip
} attribute((packed))IP_HEADER, *PIP_HEADER ;
三、tcp头结构定义
typedef struct _TCP_HEADER
{
short m_sSourPort; // 源端口号16bit
short m_sDestPort; // 目的端口号16bit
unsigned int m_uiSequNum; // 序列号32bit
unsigned int m_uiAcknowledgeNum; // 确认号32bit
short m_sHeaderLenAndFlag; // 前4位：TCP头长度；中6位：保留；后6位：标志位
short m_sWindowSize; // 窗口大小16bit
short m_sCheckSum; // 检验和16bit
short m_surgentPointer; // 紧急数据偏移量16bit
}attribute((packed))TCP_HEADER, *PTCP_HEADER;
typedef struct _TCP_OPTIONS
{
char m_ckind;
char m_cLength;
char m_cContext[32];
}attribute((packed))TCP_OPTIONS, *PTCP_OPTIONS;
四、UDP头结构的定义
typedef struct _UDP_HEADER
{
unsigned short m_usSourPort; // 源端口号16bit
unsigned short m_usDestPort; // 目的端口号16bit
unsigned short m_usLength; // 数据包长度16bit
unsigned short m_usCheckSum; // 校验和16bit
}attribute((packed))UDP_HEADER, *PUDP_HEADER;IP数据包结构（20字节）：
1-1.版本4位，表示版本号，目前最广泛的是4=B1000，即常说的IPv4；相信IPv6以后会广泛应用，它能给世界上每个纽扣都分配一个IP地址。
1-2.头长4位，数据包头部长度。它表示数据包头部包括多少个32位长整型，也就是多少个4字节的数据。无选项则为5（红色部分）。
1-3.服务类型，包括8个二进制位，每个位的意义如下：
过程字段：3位，设置了数据包的重要性，取值越大数据越重要，取值范围为：0（正常）~ 7（网络控制）
延迟字段：1位，取值：0（正常）、1（期特低的延迟）
流量字段：1位，取值：0（正常）、1（期特高的流量）
可靠性字段：1位，取值：0（正常）、1（期特高的可靠性）
成本字段：1位，取值：0（正常）、1（期特最小成本）
保留字段：1位 ，未使用
1-4.包裹总长16位，当前数据包的总长度，单位是字节。当然最大只能是65535，及64KB。
2-1.重组标识16位，发送主机赋予的标识，以便接收方进行分片重组。
2-2.标志3位，他们各自的意义如下：
保留段位(2)：1位，未使用
不分段位(1)：1位，取值：0（允许数据报分段）、1（数据报不能分段）
更多段位(0)：1位，取值：0（数据包后面没有包，该包为最后的包）、1（数据包后面有更多的包）
2-3.段偏移量13位，与更多段位组合，帮助接收方组合分段的报文，以字节为单位。
3-1.生存时间8位，经常ping命令看到的TTL（Time To Live）就是这个，每经过一个路由器，该值就减一，到零丢弃。
3-2.协议代码8位，表明使用该包裹的上层协议，如TCP=6，ICMP=1，UDP=17等。
3-3.头检验和16位，是IPv4数据包头部的校验和。
4-1.源始地址，32位4字节，我们常看到的IP是将每个字节用点（.）分开，如此而已。
5-1.目的地址，32位，同上。
6-1.可选选项，主要是给一些特殊的情况使用，往往安全路由会当作攻击而过滤掉，普联（TP_LINK）的TL-ER5110路由就能这么做。
7-1.用户数据。
TCP数据包结构：
1-1.源始端口16位，范围当然是0-65535啦。
1-2.目的端口，同上。
2-1.数据序号32位，TCP为发送的每个字节都编一个号码，这里存储当前数据包数据第一个字节的序号。
3-1.确认序号32位，为了安全，TCP告诉接受者希望他下次接到数据包的第一个字节的序号。
4-1.偏移4位，类似IP，表明数据距包头有多少个32位。
4-2.保留6位，未使用，应置零。
4-3.紧急比特URG—当URG＝1时，表明紧急指针字段有效。它告诉系统此报文段中有紧急数据，应尽快传送(相当于高优先级的数据)。
4-3.确认比特ACK—只有当ACK＝1时确认号字段才有效。当ACK＝0时，确认号无效。参考TCP三次握手
4-4.复位比特RST(Reset) —当RST＝1时，表明TCP连接中出现严重差错（如由于主机崩溃或其他原因），必须释放连接，然后再重新建立运输连接。参考TCP三次握手
4-5.同步比特SYN—同步比特SYN置为1，就表示这是一个连接请求或连接接受报文。参考TCP三次握手
4-6.终止比特FIN(FINal)—用来释放一个连接。当FIN＝1时，表明此报文段的发送端的数据已发送完毕，并要求释放运输连接。
4-7.窗口字段16位，窗口字段用来控制对方发送的数据量，单位为字节。TCP连接的一端根据设置的缓存空间大小确定自己的接收窗口大小，然后通知对方以确定对方的发送窗口的上限。
5-1.包校验和16位，包括首部和数据这两部分。在计算检验和时，要在TCP报文段的前面加上12字节的伪首部。
5-2.紧急指针16位，紧急指针指出在本报文段中的紧急数据的最后一个字节的序号。
6-1.可选选项24位，类似IP，是可选选项。
6-2.填充8位，使选项凑足32位。
7-1.用户数据……
也许之前很多人会有疑问，明明我的业务是1M，为什么下载速度到100K就飙不上去了？512K的为什么50多K就封顶了？… 这里所说的1M是指1Mbps ，也就是1M比特每秒，即一秒钟传输1048576个二进制位。我们知道一个字节是8个二进制位，即 1M=1048756÷8=131072÷1024=128K。那也应该有128K啊，为什么下载速度还是很少到120K，110K都谢天谢地了。看到这里，你的帐就对了……
可以看出，每个IP包至少要20字节的头部长度，这些与下载内容无关，加上目前多数传输，包括http协议（就是IE直接下载），都是基于TCP协议的，所以IP包裹还要从用户数据中扣除20字节的TCP包头，这里已经是40字节，加上其他程序的连接，状态确认等等包裹，因而算出来要比理论值要小。另外网络环境（包括稳定因素和传输节点的转发率）也是影响下载速度的重要原因…
wireshark抓包分析
通过wireshark获取的tcp数据包如下（包头一般是：链路层14字节，IP20字节，TCP20字节/UDP8字节）：
00 07 ed ff 06 00 00 0f
ea fd 9f 96 08 00 45 00
00 29 38 13 40 00 40 06
7d 60 c0 a8 02 0a c0 a8
02 01 18 98 00 17 37 8d
49 3b 00 46 74 e0 50 18
fe d9 ea f7 00 00 32
下面将对其做具体分析。
1、MAC包头
MAC包头占有14字节，即：
00 07 ed ff 06 00 00 0f ea fd 9f 96 08 00
很容易看出来 00 07 ed ff 06 00 和 00 0f ea fd 9f 96 分别是目的MAC地址和源MAC地址，后面的 08 00，代表type是ipv4（0800）
2、IP包头
IP包头占有20个字节，即：
45 00 00 29 38 13 40 00 40 06 7d 60 c0 a8 02 0a c0 a8 02 01
(1) “45”，其中“4”是IP协议的版本（Version），说明是IP4。“5”是IHL（Internet Header Length）位，表示IP头部的长度，是一个4bit字段，最大就是1111了，值为12。而这里为“5”，说明是20字节，这是标准的IP头部长度，头部报文中没有发送可选部分数据。
(2) “00”，服务类型（Type of Service）。这个8bit字段由3bit的优先权子字段（现在已经被忽略），第8比特保留未用。第4至第7 bit置1时分别代表要求最小时延、最大吞吐量、最高可靠性和最小费用，这四个1bit位最多只能有一个为1，本例中都为0，表示是一般服务。 服务类型字段声明了数据报被网络系统传输时可以被怎样处理。例如：TELNET协议可能要求有最小的延迟，FTP协议（数据）可能要求有最大吞吐量，SNMP协议可能要求有最高可靠性，NNTP（Network News Transfer Protocol，网络新闻传输协议）可能要求最小费用，而ICMP协议可能无特殊要求（4比特全为0）。实际上，大部分主机会忽略这个字段，但一些动态路由协议如OSPF（Open Shortest Path First Protocol）、IS-IS（Intermediate System to Intermediate System Protocol）可以根据这些字段的值进行路由决策。
(3) “00 29”，IP数据报文总长，包含头部以及数据，这里表示41字节。这41字节由20字节的IP头部以及21字节的TCP头构成（最后的一个字节为数据）。目前最大的IP数据包长度是65535字节。
(4) “38 13”，两个字节的标志位，用来唯一地标识主机发送的每一份数据报。通常每发一份报文，它的值会加1。
(5) “40”，转换为二进制就是“0100 0000”，其中第一位是IP协议目前没有用上的，为0。接着的是两个标志DF和MF。DF为1表示不要分段，MF为1表示还有进一步的分段（本例为0）。然后的“0 0000”是分段偏移（Fragment Offset）。
(6) “00”，待定。
(7) “40”这个字节就是TTL（Time To Live）了，表示一个IP数据流的生命周期，用Ping显示的结果，能得到TTL的值，很多文章就说通过TTL位来判别主机类型。因为一般主机都有默认的TTL值，不同系统的默认值不一样。比如WINDOWS为128。不过，一般Ping得到的都不是默认值，这是因为每次IP数据包经过一个路由器的时候TTL就减一，当减到0时，这个数据包就消亡了。这也时Tracert的原理。本例中为“40”，转换为十进制就是64了，我用的WinXP。
(8) “06”，这个字节表示传输层的协议类型（Protocol）。在RFC790中有定义，6表示传输层是TCP协议。
(9) “7d 60”这个16bit是头校验和（Header Checksum）。
(10) “c0 a8 02 0a”，这个是源地址，也就是PC的IP地址，转换为十进制的IP地址就是：192.168.2.10。
(11) “c0 a8 02 01”，这个是目标地址，也就是DIY_DE2的地址，转换为十进制的IP地址就是：192.168.2.1。
3、TCP包头
TCP包头占有20个字节，即：
18 98 00 17 37 8d 49 3b 00 46 74 e0 50 18 fe d9 ea f7 00 00
(1) “18 98”，表示本地端口号，转换为十进制就是3368。
(2) “00 17”，表示目标端口号，转换为十进制就是23，因为我是连接TELNET站点，所以，这个就是23。
(3) “37 8d 49 3b”，是顺序号（Sequence Number），简写为SEQ。
(4) “00 46 74 e0”，是确认号（Acknowledgment Number），简写为ACKNUM。
(5) “50 18”，转换为二进制，“0101 0000 0001 1000”。这两个字节，总共16bit，有好多东西。第一个4bit“0101”，是TCP头长，十进制为5，表示20个字节。接着的6bit现在TCP协议没有用上，都为0。最后的6bit“01 1000”是六个重要的标志。这是两个计算机数据交流的信息标志。接收和发送断根据这些标志来确定信息流的种类（UA PRSF）。下面是一些介绍：
URG：（Urgent Pointer field significant）紧急指针。用到的时候值为1，用来处理避免TCP数据流中断。
ACK：（Acknowledgment fieldsignificant）置1时表示确认号（AcknowledgmentNumber）为合法，为0的时候表示数据段不包含确认信息，确认号被忽略。
PSH：（Push Function），PUSH标志的数据，置1时请求的数据段在接收方得到后就可直接送到应用程序，而不必等到缓冲区满时才传送。
RST：（Reset the connection）用于复位因某种原因引起出现的错误连接，也用来拒绝非法数据和请求。如果接收到RST位时候，通常发生了某些错误。
SYN：（Synchronize sequence numbers）用来建立连接，在连接请求中，SYN=1，ACK=0，连接响应时，SYN=1，ACK=1。即，SYN和ACK来区分Connection Request和Connection Accepted。
FIN：（No more data from sender）用来释放连接，表明发送方已经没有数据发送了。
这6个标志位，对号入座。本例中SYN=0，ACK=1，当然就是表示连接请求了。在分析TCP包头时候，要注意这两位的变换。
(6) “fe d9”，窗口值，用来控制实现流量控制。
(7) “ea f7”，检验和，TCP的检验和是强制的。
(8) “00 00”，紧急指针。