简介东南大学网络安全学院网络测量课程设计配套的源码与运行说明压缩包面向正在修读该课程或需要完成网络测量实验的学生也可供网络协议分析、流量监控、性能评估等方向的课程设计参考。压缩包大小约17.4MB内含多个文件以源码工程和运行说明文档为主内容涵盖 TCP/IP 协议栈各层应用层、传输层、网络层、数据链路层的工作原理、数据包捕获与预处理、基于统计方法和算法的流量模式识别、延迟/丢包率/吞吐量等性能指标测量等内容源码可供逐步研读运行说明文档则详细给出编译、执行、参数设置与结果解读方法。已有142人学习。通过实际运行课程设计读者能掌握 Wireshark、ping、traceroute 等工具的使用场景学会如何搭建测量环境、采集网络数据并分析异常行为同时锻炼代码阅读与调试能力结合实验与作业环节还能将课堂理论转化为动手实践为日后从事网络管理、安全分析等工作筑牢基础。1. 网络测量课程设计源码能跑只是及格线测量逻辑才是评分重点“网络测量课程设计”对网安学院本科生来说就是自己构造探测包、解析响应、从 pcap 里剥离 TCP 流特征最后把 RTT、丢包率、路径和流统计写进实验报告。东南大学网安学院的这个课设包在标题里就点明“内含源码和运行说明”确实省掉了从零起步的功夫但源码能不能跑、数据能不能复现取决于你怎么理解每个参数。拿到压缩包之后我按解压、跑通、调参、避坑的顺序讲重点放在运行说明没写透、实际动手一定会遇到的地方。适合正在做课设的学生、要复现测量实验的研究生以及想快速搭一个 ICMP/TCP 测量原型的人。2. 主动测量与被动测量课程设计的测量工具到底在测什么课程设计里的“测量”通常不是让你抓一波流量瞎看而是分两条主线走主动测量和被动测量。主动测量是你以探测者的身份主动往目标发包从回包反推网络状态被动测量是你站在旁观者角度解析已有流量文件从中统计连接特征。很多课设题目会把两条主线合在一起先写一个 ping/traceroute 工具测时延和路径再解析学校提供的样例 pcap 统计 TCP 流。两条线的实现方式和注意点完全不同分开说才不会混。2.1 主动测量用 ICMP 与 TCP 探测把 RTT、丢包率、路径拿到手主动测量的基础是 ICMP 回显。主机 A 发 ICMP echo request对端回 echo replyRTT 就是发出到收到的时间差丢包率就是超时回执数与总探测次数的比值。这个逻辑听着简单但课程设计不允许你直接调用系统 ping 命令交差评分点恰恰在于你怎么自己构造包、怎么解析响应、怎么处理超时。用 Python 的 scapy 库可以省掉裸 socket 的麻烦。一个最小可用的 RTT 探测循环是import time from scapy.all import IP, ICMP, sr1, conf conf.verb 0 # 关掉 scapy 的冗余输出 pkt IP(dst127.0.0.1) / ICMP(seq1) start time.time() reply sr1(pkt, timeout1, retry1) end time.time() if reply is None: print(超时本次探测丢包) else: rtt (end - start) * 1000 print(fRTT {rtt:.2f} ms, 来源 {reply.src})这段代码的核心是 sr1它发送一个包并等待第一个响应。timeout1 表示最多等 1 秒retry1 表示超时后再重试一次所以单次探测最坏情况会占 2 秒。RTT 的计算直接用 end - start没有用 scapy 内部的 packet.sent_time因为那个字段在部分环境下精度并不稳定课程设计场景里用系统时间戳反而更可控。把这段循环套上不同目标地址和多次统计就是一个合格的 ping 工具雏形。另一个需要留意的参数是发送间隔。把探测间隔设为 0 会让包像洪水一样打出去校园网网关往往会对 ICMP 限速导致回执被丢弃丢包率虚高。课程设计一般把间隔控制在 0.1 秒以上这样一百个样本也只要十秒。同一时刻只保留一个在途探测包避免响应串台如果开了多线程乱发后面统计 RTT 会把别人的回包算到自己头上数据基本没法看。路径测量则是另一个套路发 TTL 逐跳递增的探测包路由器每转发一次就把 TTL 减一减到零时丢弃并回 ICMP time exceeded 报文所以第 N 个探测包的回包来源就是第 N 跳路由器。常见做法是发 UDP 包到高位端口到达目标主机后端口不可达主机回 ICMP destination unreachable路径探测结束。路径测量的结论不是完整的链路表而是“这段路径上愿意回应探测的节点”有些中间设备不回 ICMP就会表现为星号这本身也是测量结果的一部分。2.2 被动测量用 dpkt 解析 pcap把 TCP 流特征抽出来被动测量不产生任何探测流量而是解析抓好的 pcap 文件。课程设计里常见的样本是网络出口抓的一段匿名流量要你统计连接数、五元组、包长分布、TCP 标志位比例。解析 pcap 最轻量的 Python 库是 dpkt它不做交互只负责把二进制报文拆成易于访问的对象。import dpkt with open(capture.pcap, rb) as f: reader dpkt.pcap.Reader(f) for ts, buf in reader: eth dpkt.ethernet.Ethernet(buf) if eth.type ! dpkt.ethernet.ETH_TYPE_IP: continue ip eth.data if isinstance(ip.data, dpkt.tcp.TCP): tcp ip.data print(f{ts} {ip.src}:{tcp.sport} - {ip.dst}:{tcp.dport} len{tcp.data_len})这里 ts 的单位是微秒是 pcap 文件里的标准时间戳不是抓包程序的相对时间buf 是完整以太网帧先解析以太网头得到 IP再判断上层是不是 TCP。dpkt 的经典 pcap.Reader 只能读 pcap 格式如果拿到的是 pcapng会直接报错先用 Wireshark 另存为 pcap 再喂给脚本。data_len 是 TCP 载荷长度不含 IP 和 TCP 头统计应用层字节数时非常有用别拿 ip.len 去当应用层长度。统计 TCP 流特征时不能只看单包。一个完整的连接由 SYN 开始经过数据交换以 FIN 或 RST 结束。最简单的做法是维护一个字典键是五元组值是首包时间、末包时间、字节数和标志位序列。每读一包就查字典SYN 包创建流FIN/RST 关闭流超过阈值没有新包的流强制关闭。这个“流超时”阈值直接影响连接数统计阈值设 5 秒会把长连接切成好几段阈值设 120 秒又会把相邻的短连接并起来报告里必须写明你用的是哪个值。单向抓包里经常看不到完整的握手回包半开连接的比例也要单独统计并向老师说明观察点的限制。2.3 选型理由为什么课程设计代码几乎都用 Python scapy/dpkt有些同学喜欢用 C 写原始套接字结果一周时间耗在结构体对齐和字节序上连测量逻辑都没写几行。课设的目标是验证测量原理不是重新发明协议栈所以主流方案就是 Python 加两个库主动探测用 scapy被动解析用 dpkt。scapy 的优点是包的构造和响应匹配都封装好了不需要手动处理 ICMP 校验和dpkt 的优点是纯解析、单文件、性能比 scapy 的 sniff 快一个数量级适合批量刷 pcap。还有一个更现实的理由报告要出图。RTT 时序图、CDF 图、丢包率对比图matplotlib 和 numpy 在同一套环境里就能画完不需要导数据到别的地方。如果课程设计要求必须用 C那也存在可行路径libpcap 提供抓包与过滤接口raw socket 构造 ICMP经典教材里的代码都能改。但调试代价确实高光是要处理 ICMP 头校验和、网络字节序和 pcap 文件头三项就够耗掉大量时间。除非题目明确限死语言否则我不建议为了“显得硬核”放弃 Python 这套组合。3. 解包与跑通把 zip 里的源码和运行说明变成实际输出拿到“内含源码和运行说明.zip”之后第一反应都是解压、运行、看结果。但课程设计的代码往往不是当下写的运行说明里的环境和你手里的环境可能差了好几个版本。先别急着双击入口脚本把 zip 解压这一步做稳后面能省很多排查时间。3.1 解压之前先看运行说明目录结构、依赖清单、权限要求我的习惯是解压后先看运行说明再碰源码。因为说明文件里通常会写清楚入口文件名、Python 版本、依赖库和是否需要 root 权限这些信息比代码本身更能定位问题。目录结构方面常见做法是一个入口脚本加几个辅助模块入口脚本叫 measure.py 或 main.py公共函数放在 utils 或 lib 目录抓包样本放在 pcap 或 data 目录输出报告放在 report 目录最外层配一个 README 或运行说明.txt。如果整个包只有一个 py 文件所有函数平铺到底启动成本反而更低。中文文件名的 zip 在 Linux 下解压有个经典坑直接 unzip 可能把“东南大学”解成“涓滃崡澶у”。这是因为 zip 里的文件名用了 GBK/GB18030 编码而现代终端默认 UTF-8。稳妥的做法是指定编码解压# 先把 zip 用 GBK 编码解压避免中文目录名乱码 unzip -O GBK 东南大学-网安学院-网络测量课程设计-内含源码和运行说明.zip -d netmeasure cd netmeasure ls -launzip -O 选项在 Linux 常见发行版上可用macOS 自带的 unzip 不支持 -O可以用 unar 或 ditto 代替Windows 上直接右键解压一般没问题。解压后如果运行说明.txt 打开是乱码不要急着换编辑器先用 file 命令看编码再决定file 运行说明.txt。显示 ISO-8859 或 unknown 时在 VS Code 里用“重新打开已编码文件”切到 GBK 就行。这一步解决的编码问题是课设群里被问得最多的一类属于典型的“环境问题伪装成代码问题”。3.2 环境准备Python 版本、scapy/dpkt 安装与 libpcap 前置运行说明里一般会写依赖清单常见的是 scapy、dpkt、matplotlib、numpy 四件套。先对照自己环境的 Python 版本python3 --version。课设代码如果是几年前的很可能按 Python 3.6 写的用 3.10 或 3.11 跑一般也能兼容但如果用了 f-strings 以外的老语法新版本反而没问题要注意的是 scapy 在新 Python 版本上偶尔有告警通常不影响课程设计量级的探测。安装依赖建议先建虚拟环境避免污染系统 Pythonpython3 -m venv venv source venv/bin/activate pip install scapy dpkt matplotlib numpydpkt 解析已抓好的 pcap 不依赖 libpcap只有实时抓包才需要装 Npcap 驱动或 libpcap-dev。Linux 上 scapy 发包默认需要 root 权限因为 ICMP 原始套接字的创建受权限管控Windows 上 scapy 依赖 Npcap 驱动没装驱动时发包会卡在发送阶段回包也收不到。很多同学在这一步卡一晚上以为代码写错了实际是抓包驱动没装。判断方法很简单sudo python3 -c from scapy.all import *; print(conf.ifaces)能列出网卡说明 scapy 正常列不出来就回到驱动问题。3.3 最小验证命令先对本机回环测一次 RTT再用 tcpdump 对照环境装好后别直接拿公网地址测试先对回环地址做一次最小验证。回环不走网卡、不过防火墙能最快把“代码逻辑错误”和“网络环境问题”分开。回环不通问题一定在脚本、依赖或权限回环通了但外网不通问题在网络环境。# 先做一次回环自测入口文件名和参数格式以运行说明为准 python3 measure.py --mode ping --target 127.0.0.1 --count 5 # 另开一个终端看回环接口上是否有 ICMP 报文 sudo tcpdump -i lo icmp -nntcpdump 输出里能同时看到 echo request 和 echo reply说明包确实在系统里进出脚本逻辑没问题。如果 request 有、reply 没有优先怀疑防火墙或 Npcap 的抓包回注链路。如果 tcpdump 一条都没有说明包根本没发出来检查 root 权限和网卡选择。跑通回环之后再把 target 换成校园网网关或一台内网主机最后才测公网地址。按这个顺序验证能把 80% 的“翻车”压缩到环境准备阶段。4. 核心测量参数从能跑到测得准需要调好的 4 个地方能跑通只是及格线课程设计评分的分水岭在参数调节。同样的代码探测次数、超时阈值、流超时设不同值结果会完全不同。这些参数没有绝对正确答案但你必须知道每个值改下去会发生什么能在报告里给出理由。4.1 探测次数与超时阈值RTT 样本量过小会让结果全是玄学探测次数直接决定统计可信度。做 3 次就把丢包率写进报告老师一眼看出数据没有统计意义做 1000 次又太慢容易被对端限速。课程设计常用 100 到 200 次配合 0.2 秒间隔一分钟内正好完成一轮采样。样本量再大就要考虑对端负载和时间跨度带来的误差样本量再小则中位数和平均值都会跳变。超时阈值的设置更有讲究。局域网 RTT 可能只有几毫秒公网可能几十到几百毫秒阈值设得比真实 RTT 还小慢包会被全部判成丢包设得过大每次丢包都要干等实验拖到地老天荒。一个实用经验是先用 5 个包测出粗 RTT把正式阈值设为粗 RTT 的 3 到 5 倍再跑完整采样。比如校园网内网粗测 10ms阈值给 50ms 就很稳公网粗测 200ms阈值给 1 秒。抽样的标准化在报告中写一句话就够了“超时阈值按粗测 RTT 的 5 倍设置避免慢包误判”。4.2 TTL 递增与端口选择traceroute 的“*”不一定是网络故障路径测量用的是 TTL 递增原理实现时要注意探测包的协议和匹配方式。常见做法是 UDP 探测加递增端口端口从 33434 开始每跳加一这样能避免中间设备或目标主机把多个探测包当成同一个连接。from scapy.all import IP, ICMP, UDP, sr1, conf conf.verb 0 dst 8.8.8.8 # 示例地址实际换成校园网可达的主机或网关 for ttl in range(1, 31): pkt IP(dstdst, ttlttl) / UDP(dport33434 ttl) reply sr1(pkt, timeout0.5, retry0) if reply is None: print(f{ttl:2d}: *) elif reply.haslayer(ICMP) and reply[ICMP].type 3: print(f{ttl:2d}: {reply.src} 到达目的) break else: print(f{ttl:2d}: {reply.src})timeout0.5 秒是为了让整条路径在 15 秒左右探测完retry0 表示每条只发一次避免并发请求之间互相干扰。如果中间某跳出现星号后续 TTL 更大的包依然能发出去拓扑图中间会缺一跳这不代表断链。连续七跳以上全是星号才需要考虑是不是探测类型被防火墙过滤换成 TCP SYN 探测再试。到达判定用的是 ICMP type3也就是 UDP 端口不可达这是目标主机正常回送的差错报文不是故障。4.3 被动流量流超时pcap 里同一连接怎么切分成不同流被动测量最容易被忽视的参数是流超时。一条 TCP 连接从 SYN 到 FIN 可能持续几秒也可能持续几十分钟pcap 解析程序怎么知道一个流结束了常见做法是设定 idle timeout同一五元组超过 N 秒没有新包就认为流结束。N 取 30 秒、60 秒还是 120 秒直接影响连接数统计结果。实际处理时先按五元组聚合包的序列时间戳要先用绝对时间而非包序号。部分抓包文件来自多接口采集时间戳可能不单调聚合前先按 ts 排序一次否则会出现“流的结束时间早于开始时间”这种荒谬结果。SYN 包创建流并记录起始时间FIN/RST 正常关闭流超时强制关闭。如果一段流量里大量连接只有 SYN 没有回包可能是抓包点位于单向链路上这种情况要在报告里写明观察点限制不要硬把半开连接解释成攻击特征。4.4 参数对照表默认值、影响范围与调参建议下面这张参数表可以直接贴到报告附录里也可以当作代码里的默认值配置来源参数课程设计常用取值对结果的影响调整建议探测次数 count100 ~ 200样本量太小丢包率跳变严重太大耗时边长先测 10 次粗看再正式采样超时阈值 timeout0.5 ~ 1 s小于真实 RTT 会把慢包判丢过大会拖时间按粗测 RTT 的 3~5 倍设置发送间隔 interval0.1 ~ 1 s间隔太短触发对端限速丢包率虚高局域网取 0.1s公网取 0.2~0.5sTTL 上限 max_ttl20 ~ 30上限太小会截断路径显示不全先设 30全部超时再降流超时 flow_timeout30 ~ 120 s过小切断长连接过大会合并相邻短流按流量类型选并写明理由注意参数表不是摆设。报告中给出一组默认值跑完就交和给出两组不同参数的对比评分差距很大。比如同样一段路径把超时从 0.5 秒改成 2 秒丢包率下降多少、为什么下降这就是测量实验该有的分析过程。5. 避坑网络测量课设最常见的 5 个翻车现场课程设计运行环境千奇百怪下面是五个高频踩坑记录。每一条都是“现象、原因、解决”的结构遇到类似问题可以直接对号入座。5.1 管理员权限与防火墙scapy 发包收不到回显的 3 种可能现象脚本能跑起来但 reply 永远是 None用 tcpdump 看发出的 echo request 存在reply 一条都没有。原因分三种Linux 下 raw socket 创建需要 root 权限普通用户直接被拒Windows 下 Npcap 驱动没装scapy 发包无响应Windows 防火墙默认拦截入站 ICMP 回显导致回包到不了程序。解决Linux 用 sudo 执行Windows 以管理员身份运行终端确认 Npcap 驱动已安装临时放行“文件和打印机共享回显请求”或直接关闭防火墙仅限实验环境测完恢复。判断顺序是先测 127.0.0.1回环不通就是权限和驱动问题回环通了外网不通才是防火墙问题。5.2 校园网限制 ICMPtraceroute 全是“*”不代表代码写错现象ping 脚本对公网地址全部超时traceroute 打出来一串星号但浏览器打开网页完全正常。原因校园网或运营商接入设备会丢弃部分 ICMP 报文这是限流和防探测的常见策略不是故障。解决把探测类型改成 TCP SYN目标是常见端口时收到 RST 或 SYN-ACK 就能证明路径可达RTT 同样可以计算。报告里写“ICMP 被中间网络过滤”本身就是一个有效的测量结论不需要为了补全星号去强行换协议。5.3 虚拟机 NAT 网卡为什么测量结果里 RTT 忽大忽小现象在 VMware 或 VirtualBox 里跑探测同一个目标相邻两次测量 RTT 相差十倍数据没法解释。原因NAT 模式把虚拟机的流量经过宿主网络栈做地址转换虚拟机网卡的中断调度和宿主机的调度抖动都会混入测量结果NAT 还可能在转发时重写探测包的标识字段影响基于 IP ID 的匹配。解决需要精确数值时改用桥接模式让虚拟机直接获得局域网地址如果只是验证代码逻辑本机回环就够了。课设机房环境里很多人都在虚拟机里开发这个坑会直接毁掉报告里的时序图。5.4 pcap 时间戳精度微秒与纳秒混用导致流量统计对不上现象dpkt 解析出来的时间比实际抓包时间早了几十年或者整个文件时间戳先升后降。原因经典 pcap 的 ts 单位是微秒pcapng 格式可能用纳秒代码按微秒解读纳秒数据就会放大 1000 倍多接口采集或抓包工具切换还会导致时间戳交错。解决先用 tshark -r input.pcapng -c 1 查看时间基准确认单位pcapng 先转成 pcap 再喂给 dpkt读入后按 ts 排序一次再进行流合并。特别注意有些素材文件扩展名是 .pcap实际内容是 pcapngdpkt 一读就崩排查方向应该先看文件头而不要怀疑代码。5.5 ICMP 差错报文的匹配端口不可达回包里到底带什么现象多跳 traceroute 时第 5 跳的来源地址偶尔跳到第 6 跳或者 RTT 出现负数。原因ICMP 差错报文里会携带触发错误的原始 IP 分组头部和部分载荷如果代码只用简单的计数器去配对在并发或重传时会把相邻探针的响应认错。解决解析 ICMP payload 里封装的原始数据报核对源地址和端口再记账。raw reply[ICMP].payload # 差错报文里装的是原始 IP 分组 orig raw[IP] print(f{orig.src}:{raw[UDP].sport} - {orig.dst}:{raw[UDP].dport})这段代码只对 type3 或 type11 的 ICMP 差错报文有效。发送时把跳数编码进 UDP sport解析时从 ICMP payload 取出原始 IP 头和端口完全匹配后才计入该跳的 RTT就不会张冠李戴。课程设计不追求并发速度最稳的做法是顺序发送、顺序接收一次只让一个探测包在途。6. 进阶把测量代码变成能出报告图的实验骨架测量数据只有变成图才有说服力。6.1 报告里最加分的两张图RTT 时序图与丢包 CDF 图RTT 时序图能直观看出网络波动CDF 图能看出延迟的分布和中位数比只给一个平均 RTT 有用得多。把每次探测的 RTT 写进 CSV画图代码很短import matplotlib.pyplot as plt import numpy as np rtts list(map(float, open(rtt.csv).read().split())) order np.arange(1, len(rtts) 1) cdf np.arange(1, len(rtts) 1) / len(rtts) plt.figure(figsize(8, 3)) plt.subplot(1, 2, 1) plt.plot(order, rtts, markero, ms3) plt.xlabel(probe #) plt.ylabel(RTT (ms)) plt.subplot(1, 2, 2) plt.plot(np.sort(rtts), cdf) plt.xlabel(RTT (ms)) plt.ylabel(CDF) plt.tight_layout() plt.savefig(rtt_report.png, dpi150)CDF 的中位点和长尾比平均值更说明问题如果 50% 的包都在 20ms 以下但尾部拖到 200ms说明存在间歇性拥塞这种结论靠均值是看不出来的。6.2 批量实验与 zip 打包让每一次测量都留底稿我自己的习惯是每次实验单独建一个目录原始 CSV、报告图、代码版本一起打包下一次测量直接在上一轮 CSV 上重画图不用重新跑网络探测。交付时保持 zip 包结构的整洁很重要zip -r 网络测量课程设计-交付.zip measure.py 运行说明.txt report/ data.csv把代码、运行说明、图表和原始数据放同一个压缩包里别人解压后不联网也能复现报告里的每一张图这才是“内含源码和运行说明”该有的样子。我做课设那会儿吃过没保存原始数据的亏重跑一遍被防火墙拦报告里的图全是补测的读起来自己都心虚。现在交付任何测量任务data.csv 和 report 目录都是必留项。希望帮到你。本文还有配套的精品资源点击获取