在TCP/IP详解一书中谈到了协议的分用，书中的图1-8如上。图1-8可以很好地解释在互联网的分层结构中，底层的协议头是如何承载上层的不同的协议的。对于链路层而言，以太网首部中有不同帧类型用于表示以太网帧内的数据。在IP数据包的首部，也有专门的8位协议类型，用于表示IP包中的上层协议类型，网址http://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml中给出了IETF规定的详细的协议类型号，其中TCP是6，UDP是17，ICMP是1。不过在传输层的两个常用协议TCP和UDP首部中，并没有协议类型的字段，TCP和UDP包内的应用程协议的类型依靠的是TCP和UDP包首部的端口号来进行区分。对于一些常用的应用层协议IETF都规定了相应的熟知端口号，在网址http://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml中有一份详细的列表。TCP和UDP报头的16比特端口号给应用层协议的设计提供了足够的设计空间（65535个）和足够的灵活度。
理解了协议的分用之后，就比较容易理解wireshark是如何将数据包识别和展示出来的了。wireshark的工作原理的简单介绍可以参见http://gaia.cs.umass.edu/wireshark-labs/Wireshark_Intro_v6.0.pdf。概括地说，就是wireshark是一款建立在已有的包捕捉工具上的一款数据包分析软件。常见的抓包的库有libpcap、jpcap、winpcap等等，这些抓包工具将主机的网卡设置为混杂模式，从而可以捕捉到目的MAC不是主机网卡的数据包。而wireshark基于这些库捕捉到的包进行识别和分析，将包中内容按照协议类型和层次展示出来。
不过对于那些不采用熟知端口传输的应用层协议而言，wireshark就有可能出现无法识别的情况，这也是我最近遇到的一个场景。我在抓包的时候遇见了wireshark protocol一栏显示enttec，Info 一栏显示 unknown的情况。经过一段时间的分析，可以确定wireshark显示enttec和unknown的原因是TCP采用了非熟知端口发送HTTP报文。不过wireshark在设计中已经考虑到这样一种情况的出现，可以针对非熟知端口的已知应用层协议设置相应的解码方式。具体的方法是：选中无法识别的报文->右键单击->Decode As->选择相应的应用层协议。
