Wireshark抓包解析：IPv4数据报服务类型字段从ToS到DSCP+ECN的演进

作者： 非凡大爹｜版本：v1.0｜DocID：CN-NET-IP-DSCP-ECN-WIRESHARK-V1｜日期：2026-08-24

原创声明： 本文为作者原创技术与实验教学资料，首发于 CSDN。

引用说明： 如需引用本文中的观点、实验设计、命令说明或图表内容，请注明作者、文章标题及原文链接。

版本说明： 本文为网络公开学习版，后续如形成教材、讲义、课程资源包或正式出版物，以作者修订版及出版社审定版本为准。

文章目录

[1. 一个来自真实抓包的问题](#1. 一个来自真实抓包的问题)
[2. IPv4服务类型字段的位置](#2. IPv4服务类型字段的位置)
[3. 传统ToS：教材和考试中的知识点](#3. 传统ToS：教材和考试中的知识点)
- [3.1 优先级（Precedence）](#3.1 优先级（Precedence）)
- [3.2 D、T、R服务要求](#3.2 D、T、R服务要求)
- 关于C（Cost）的说明
[4. 为什么ToS演进为DS字段？](#4. 为什么ToS演进为DS字段？)
- （1）互联网规模扩大
- （2）业务需求更加复杂
- [**DSCP（Differentiated Services Field）**](#DSCP（Differentiated Services Field）)
[5. 现代IPv4服务类型字段：DSCP + ECN](#5. 现代IPv4服务类型字段：DSCP + ECN)
- [5.1 DSCP](#5.1 DSCP)
- [DSCP（Differentiated Services Code Point，区分服务代码点）](#DSCP（Differentiated Services Code Point，区分服务代码点）)
- [常见 DSCP 类型及应用实例](#常见 DSCP 类型及应用实例)
- [5.2 ECN](#5.2 ECN)
- [ECN：（Explicit Congestion Notification，显式拥塞通知）](#ECN：（Explicit Congestion Notification，显式拥塞通知）)
- [5.2 典型应用实例](#5.2 典型应用实例)
- - [实例1：企业 VoIP 电话](#实例1：企业 VoIP 电话)
  - 实例2：视频会议业务
  - 实例3：校园网教学直播
  - 实例4：数据中心业务
[6. Wireshark抓包实例解析（重点）](#6. Wireshark抓包实例解析（重点）)
- [6.1 DS字段整体解析](#6.1 DS字段整体解析)
[7. 截图中的DSCP解析](#7. 截图中的DSCP解析)
[8. 截图中的ECN解析](#8. 截图中的ECN解析)
[9. 如果是语音业务，会有什么不同？](#9. 如果是语音业务，会有什么不同？)
总结

1. 一个来自真实抓包的问题

在学习 IPv4 数据报首部时，教材通常介绍：

服务类型（Type of Service，ToS）字段用于表示数据报希望获得的网络服务质量。

例如：

低时延；
高吞吐量；
高可靠性。

但是，当使用 Wireshark 分析真实网络数据包时，会发现 IPv4 首部中显示：

复制代码

Differentiated Services Field

而不是：

复制代码

Type of Service

例如：

截图中：

复制代码

Differentiated Services Field: 0x00

同时展开后显示：

复制代码

Differentiated Services Codepoint: Default (0)

Explicit Congestion Notification: Not ECN-Capable Transport (0)

那么：

ToS 是否消失了？
Differentiated Services Field 是什么？
DSCP 和 ECN 表示什么？

实际上：IPv4 首部中的这个 8 bit 字段一直存在，只是随着网络技术发展，其定义方式发生了变化。

2. IPv4服务类型字段的位置

IPv4首部结构：

服务类型字段：

位于 IPv4 首部第 2 个字节；
长度为 8 bit。

它经历了两个阶段：

复制代码

传统 ToS(Type of Service)     ---->     现代 DS 字段 (Differentiated Services Field)

注意：

字段位置没有改变，改变的是8 bit内容的解释方式。

3. 传统ToS：教材和考试中的知识点

IPv4早期标准 RFC 791 中，将该字段定义为：

3.1 优先级（Precedence）

占3 bit。

用于表示数据包的重要程度。

例如：

值	含义
000	普通
001	优先
010	立即
011	快速
100	关键
101	互联网控制
110	网络控制
111	最高

考试常考：

ToS字段中的优先级占多少位？答案：3 bit。

3.2 D、T、R服务要求

字段	英文	含义	典型应用
D	Delay	降低时延	VoIP语音、视频会议、在线游戏、实时控制等对响应时间敏感的业务
T	Throughput	提高吞吐量	文件传输（FTP）、视频流媒体、大文件下载、数据备份等需要较高带宽的业务
R	Reliability	提高可靠性	金融交易、数据库同步、关键业务系统等要求数据准确可靠传输的业务

例如：

语音通信关注低延迟；
文件传输关注高吞吐量；
关键业务关注可靠性。

需要注意的是，D、T、R表示的是应用对网络服务的需求倾向，并不是网络一定能够同时满足的绝对保证。例如，提高可靠性可能需要增加确认、重传等处理过程，而这些操作可能会增加时延。因此，实际网络中通常通过QoS机制，根据业务特点进行分类和调度。

关于C（Cost）的说明

部分资料会介绍：

复制代码

D/T/R/C

其中：C（Cost，成本）表示希望选择成本较低的路径。

但是：RFC 791正式定义的ToS字段中并不存在独立的C位，Cost更多用于描述QoS思想。

4. 为什么ToS演进为DS字段？

传统ToS存在实际部署问题：

（1）互联网规模扩大

互联网由多个运营商组成：用户要面对或接入不同的ISP，不同网络难以统一执行ToS策略。

（2）业务需求更加复杂

现代网络需要支持：

IP电话；
视频会议；
在线教学；
云计算业务。

因此需要更加灵活的服务分类机制。

于是：IPv4服务类型字段演进为：

DSCP（Differentiated Services Field）

5. 现代IPv4服务类型字段：DSCP + ECN

现代定义：

5.1 DSCP

DSCP（Differentiated Services Code Point，区分服务代码点）

作用：表示数据包的服务等级。

例如：

常见 DSCP 类型及应用实例

类别	DSCP值	十进制	含义	典型应用实例
Default Forwarding（DF）	000000	0	默认转发	普通网页访问、邮件、普通TCP业务
Class Selector 1（CS1）	001000	8	低优先级	批量下载、备份任务
Class Selector 2（CS2）	010000	16	普通业务	一般数据应用
Class Selector 3（CS3）	011000	24	业务关键数据	企业内部业务系统
Class Selector 4（CS4）	100000	32	高优先级业务	视频会议、关键业务系统
Class Selector 5（CS5）	101000	40	网络控制业务	路由协议、网络管理
Expedited Forwarding（EF）	101110	46	快速转发	VoIP语音、实时音频
Assured Forwarding（AF）	AF11/AF21/AF31/AF41	10/18/26/34	保证转发	视频会议、企业关键应用

实际网络中并不会使用全部 64 个值，而是根据业务需求选择典型等级。

5.2 ECN

ECN：（Explicit Congestion Notification，显式拥塞通知）

作用：表示网络拥塞状态。

传统方式：

复制代码

拥塞  -->  丢包 -->  TCP调整

ECN：

复制代码

拥塞  -->  路由器标记  -->  通知发送端  -->  降低发送速率

5.2 典型应用实例

实例1：企业 VoIP 电话

场景：

IP电话

交换机

核心路由器

语音服务器

管理员设置：DSCP = EF (46)

网络设备：识别EF ---> 进入高优先级队列 ---> 优先发送

效果：即使网络拥塞，保证通话质量。

语音：★★★★★

普通下载：★★

实例2：视频会议业务

例如：企业视频会议；在线教学；远程医疗。

特点：大带宽；对时延敏感。

通常设置：DSCP = AF41

网络设备：保证一定带宽；较低丢包率。

实例3：校园网教学直播

校园网络中：

复制代码

           核心交换机
    ---------------------
    |          |         |
 教学直播    办公系统    软件更新

可以规划：业务 DSCP策略

课堂直播 AF41
教师办公系统 AF31
普通网页 CS0
软件下载 CS1

网络拥塞时：优先保证教学业务。

实例4：数据中心业务

数据中心：

用户访问

↓

Web服务器

↓

数据库服务器

↓

存储系统

可以设置：业务 DSCP

数据库同步 AF31/AF41
普通访问 CS0
备份任务 CS1

避免备份流量影响核心业务。

6. Wireshark抓包实例解析（重点）

下面分析截图中的关键内容。

Wireshark（展开）如图所示。

复制代码

Internet Protocol Version 4

可以看到：

复制代码

Differentiated Services Field: 0x00

这就是IPv4服务类型字段。

6.1 DS字段整体解析

字段值：0x00

转换为二进制：00000000

按照现代定义：

复制代码

000000  |  00

 DSCP      ECN

因此：

复制代码

DSCP = 000000
ECN  = 00

7. 截图中的DSCP解析

Wireshark显示：

复制代码

Differentiated Services Codepoint: Default (0)

表示：DSCP = 0

对应：Default Forwarding 默认转发

含义：该数据包没有设置特殊服务等级，网络设备按照普通业务处理。

例如：

普通网页访问；
普通TCP通信；
一般互联网应用。

这是互联网中最常见的情况。

8. 截图中的ECN解析

Wireshark显示：

复制代码

Explicit Congestion Notification: Not ECN-Capable Transport (0)

表示：ECN = 00

含义：当前TCP通信没有启用ECN机制。

即：该数据流仍采用传统TCP拥塞处理方式。

9. 如果是语音业务，会有什么不同？

例如企业VoIP：

设置：DSCP = EF，即：46

网络设备：

复制代码

识别DSCP

↓

进入高优先级队列

↓

优先发送

效果：

降低语音延迟；
减少通话卡顿。

这就是：DSCP字段如何在实际网络QoS中发挥作用。

总结

IPv4首部中的服务类型字段没有消失，而是经历了从ToS（RFC791：优先级+D/T/R）到现代DiffServ：DSCP+ECN的演进。

对于不同学习目标：

目标	重点
课程学习、考试	掌握ToS和D/T/R含义
Wireshark抓包	理解DSCP和ECN字段
网络工程实践	理解QoS如何利用DSCP实现业务保障

一句话总结：

教材中的ToS帮助我们理解IPv4服务质量思想，Wireshark中的Differentiated Services Field则展示了现代网络实际采用的DSCP+ECN机制。

参考文献

$1$ Postel, J. RFC 791: Internet Protocol. Internet Engineering Task Force (IETF), 1981.

https://www.rfc-editor.org/rfc/rfc791

$2$ Nichols, K., Blake, S., Baker, F., Black, D. RFC 2474: Definition of the Differentiated Services Field (DS Field) in the IPv4 and IPv6 Headers. IETF, 1998.

https://www.rfc-editor.org/rfc/rfc2474

$3$ Ramakrishnan, K. K., Floyd, S., Black, D. RFC 3168: The Addition of Explicit Congestion Notification (ECN) to IP. IETF, 2001.

https://www.rfc-editor.org/rfc/rfc3168

$4$ Kurose, J. F., Ross, K. W. Computer Networking: A Top-Down Approach（第8版）. Pearson, 2021.

$5$ 谢希仁. 《计算机网络》（第8版）. 北京：电子工业出版社，2021.

$6$ Wireshark Foundation. Wireshark User's Guide.

https://www.wireshark.org/docs/