1. 为什么网络层是整本书的分水岭翻到《计算机网络自顶向下方法》网络层这一章的时候很多人会有一种明显的“坡度变陡”的感觉。前面应用层、运输层还能靠生活类比混过去到了网络层转发和路由这两个词一摆出来加上各种协议缩写脑子就开始发胀。我当初读第一遍的时候也是这样硬啃了两周合上书只记得“IP地址”和“路由器”两个词。后来第二遍、第三遍重读加上实际抓包和组网折腾才慢慢把这一章的逻辑理顺。网络层真正要解决的问题其实就一句话如何把数据从一个网络送到另一个网络。注意不是从一台主机送到另一台主机——那是运输层的事——而是跨越一个个独立的网络把数据包接力送到目的地。这个“跨网络”的定位是理解整个网络层所有设计的钥匙。这一章的核心关键词包括转发与路由、IP协议、子网划分、CIDR、DHCP、NAT、ICMP、路由算法、OSPF、BGP。看起来多但它们其实是一条链上的不同环节IP协议定义了数据包的格式和地址体系转发和路由决定了包怎么走DHCP负责让主机自动拿到地址NAT解决地址不够用的问题ICMP负责报错和探测路由算法和OSPF、BGP则是路由器之间交换路径信息的规则。这篇文章适合两类人看一类是正在啃这本书、被网络层卡住的读者另一类是想把网络层知识真正用起来、能自己动手抓包和配路由的从业者。我会按照“设计思路—核心细节—实操过程—问题排查”的顺序展开尽量把书上的抽象概念落到能动手操作的程度。2. 网络层的整体设计与思路拆解2.1 转发和路由一个动作一个决策书里把网络层的功能拆成两个词转发forwarding和路由routing。这两个词中文看着像英文也像但含义完全不同。转发是数据平面的事指的是一个数据包到达路由器某个输入端口后路由器根据转发表把它从某个输出端口送出去。这是一个极快的动作通常由硬件完成时间尺度是纳秒级。你可以把它理解成邮局分拣员看一眼信封上的邮编直接扔进对应的格子。路由是控制平面的事指的是路由器之间互相交换信息计算出从源到目的地的完整路径并据此维护转发表。这是一个相对慢的过程时间尺度是秒级甚至分钟级。它相当于邮局总部根据各地交通状况决定每个邮编的邮件该走哪条干线。提示很多人学网络层时把这两个概念混在一起导致后面看OSPF和BGP时完全不知道它们在干什么。记住一句话——路由决定表转发表决定包的去向。书里用了一个很好的类比 routing 是规划一次从北京到上海的旅行路线forwarding 是在每个路口看路牌决定左转还是右转。规划路线可以慢慢想但到了路口必须瞬间决定。2.2 为什么网络层要“尽力而为”网络层提供的服务是**尽力而为best-effort**的。也就是说它不保证数据包一定到达不保证按顺序到达也不保证到达的时间。这个设计选择经常让初学者困惑为什么不做得可靠一点原因在于端到端的可靠性应该由端系统负责。如果网络层每个路由器都要保证可靠传输那么每个路由器都要维护连接状态、做确认和重传这会带来巨大的复杂度和开销。而互联网的设计哲学是“智能端系统简单网络核心”。可靠性交给TCP去做网络层只管尽力转发。这个分工让网络核心可以做得非常简单和高速也是互联网能扩展到今天这个规模的根本原因之一。理解这一点之后你再看IP协议为什么没有确认机制、为什么没有重传就不会觉得它是“缺陷”而是一种刻意的设计取舍。2.3 数据平面和控制平面的分离书里把网络层明确分成数据平面和控制平面两部分这个划分非常重要。数据平面关注的是“每个包怎么走”核心是转发表和转发动作。控制平面关注的是“路由表怎么来”核心是路由算法和路由协议。传统上控制平面是分布式的——每个路由器自己跑路由算法和邻居交换信息独立计算路径。这就是OSPF、BGP的工作方式。但书里也介绍了**SDN软件定义网络**的思路把控制平面集中到一个远程控制器上路由器只负责转发。控制器统一计算路由再把转发表下发给每台路由器。这两种思路的对比是网络层最精彩的部分之一。分布式控制的好处是健壮、没有单点故障集中式控制的好处是全局视野、策略灵活。实际生产环境中传统分布式路由仍然是主流但SDN在数据中心和云网络里已经非常普遍。3. 核心细节解析与实操要点3.1 IPv4数据报格式每个字段都有存在的理由IPv4数据报的头部有20字节固定部分加上可选的选项字段。书里逐字段讲了一遍但很多人看完就忘。我建议你结合抓包来看印象会深很多。字段长度作用实操关注点版本4位标识IP版本抓包时看是4还是6首部长度4位头部有多少个4字节通常为5即20字节服务类型8位区分服务实际中常被QoS使用总长度16位整个数据报长度最大65535字节标识/标志/片偏移各若干位分片相关MTU问题排查关键生存时间TTL8位每经一跳减1traceroute靠它工作协议8位上层协议6是TCP17是UDP1是ICMP首部校验和16位校验头部每跳都要重算源/目的IP各32位地址核心字段这里面最值得说的是TTL。TTL每经过一个路由器减1减到0就丢弃并发送ICMP超时报文。这个机制防止数据包在网络中无限循环。而traceroute正是利用这个机制它发送TTL依次为1、2、3的包每到一个路由器就收到一个ICMP超时从而逐跳探测出路径。分片也是重点。当一个数据报大于链路MTU时路由器会把它分片。标识字段用来让目的端把同一数据报的分片重组标志字段的DF位表示“不许分片”MF位表示“后面还有分片”。实际排查网络问题时如果看到“需要分片但设置了DF位”的ICMP报文就说明路径上某段MTU太小这就是所谓的**PMTUD路径MTU发现**问题。3.2 IP地址与子网从分类到CIDR的演进早期的IP地址是分类编址的A类以0开头B类以10开头C类以110开头。这种方式的缺点是地址浪费严重——一个B类地址能容纳6万多台主机但很多组织根本用不完。后来引入了子网划分把一个网络再分成几个子网用子网掩码来区分网络部分和主机部分。再后来是CIDR无类别域间路由用a.b.c.d/x的记法x表示网络前缀的位数。CIDR让地址分配更灵活也支持路由聚合。这里必须掌握的是子网掩码的计算。比如192.168.1.0/24掩码是255.255.255.0可用主机地址是192.168.1.1到192.168.1.254共254个。为什么是254不是256因为全0是网络地址全1是广播地址都不能分配给主机。再比如10.0.0.0/8掩码255.0.0.0可用地址超过1600万个。而172.16.0.0/12的掩码是255.240.0.0这个计算稍微绕一点12位网络前缀意味着第二个字节的前4位也是网络部分所以掩码第二个字节是11110000即240。注意私有地址段有三个——10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。这些地址不会在公网路由家庭和企业内网大量使用。理解私有地址是理解NAT的前提。3.3 DHCP主机怎么自动拿到IP一台主机接入网络时怎么获得IP地址手动配太麻烦于是有了DHCP动态主机配置协议。DHCP的工作过程常被概括为四个步骤发现、提供、请求、确认。主机广播DHCP DISCOVERDHCP服务器回应DHCP OFFER主机再广播DHCP REQUEST选择某个offer服务器最后回DHCP ACK确认。为什么主机要用广播而不是单播因为此时主机还没有IP地址也不知道服务器在哪只能广播。DHCP还有一个重要特性地址租用期。分配的IP不是永久的而是有租期的。租期过半时主机会尝试续租。这个设计让地址可以回收再利用避免地址被长期占用。实操中你可以在Linux上用dhclient或nmcli触发DHCP在Windows上用ipconfig /release和ipconfig /renew。抓包时过滤bootp或udp port 67 or 68就能看到完整的DHCP交互。3.4 NAT地址不够用的救星IPv4地址只有32位总共约43亿个早就分完了。**NAT网络地址转换**是缓解地址枯竭的关键技术。NAT的基本思路是内网用私有地址出口路由器维护一张转换表把内网地址端口映射成公网地址端口。内网主机访问外网时源地址被替换成公网地址外网回包时根据端口查表还原成内网地址。这里的关键是端口。因为多个内网主机可能同时访问外网仅靠公网IP无法区分所以NAT用端口号来区分不同的连接。这也是为什么NAT又叫NAPT网络地址端口转换。NAT带来的问题也不少。首先是破坏了端到端原则——外网主机无法主动连接内网主机因为NAT表里没有对应条目。这就是为什么需要端口映射端口转发才能让外网访问内网服务。其次是对某些协议不友好比如FTP、SIP这些在载荷里携带IP地址的协议需要ALG应用层网关来特殊处理。提示NAT和防火墙经常一起工作但它们是不同的东西。NAT做地址转换防火墙做访问控制。很多家用路由器两者都集成了容易混淆。3.5 ICMP网络层的“报错员”**ICMP互联网控制报文协议**是网络层的辅助协议用来传递差错和控制信息。它本身不传输用户数据而是封装在IP数据报里发送。常见的ICMP报文类型包括目的不可达类型3、超时类型11、回显请求和应答类型8和0。ping命令用的就是回显请求和应答traceroute用的是超时报文。ICMP的一个争议点是是否应该被屏蔽。很多网络管理员出于安全考虑会屏蔽ICMP但这会带来副作用PMTUD依赖ICMP的“需要分片”报文如果被屏蔽大包可能无法通过。所以屏蔽ICMP要谨慎至少应该放行必要的类型。4. 路由算法与协议从理论到实操4.1 链路状态与距离向量两种思路路由算法分两大类链路状态LS和距离向量DV。链路状态算法的代表是Dijkstra算法。每个路由器先通过泛洪获得全网拓扑然后以自己为根计算到所有目的地的最短路径。OSPF就是链路状态协议。它的优点是收敛快、无环路缺点是每个路由器都要存全网拓扑规模大时开销高。距离向量算法基于Bellman-Ford方程。每个路由器只知道到邻居的距离以及邻居告诉它的到目的地的距离然后迭代更新。RIP是距离向量协议。它的优点是简单缺点是收敛慢容易出现计数到无穷问题。书里用了一个很形象的例子解释计数到无穷A到X断了但B告诉A“我能到X距离2”A就更新为距离3然后B又更新为4如此反复直到无穷。解决办法包括水平分割不把从某邻居学到的路由再告诉该邻居和毒性逆转告诉邻居那条路不可达。4.2 OSPF企业内网的主力**OSPF开放最短路径优先**是链路状态协议广泛用于企业内网。它的核心特点包括使用洪泛传播链路状态但只在区域area内洪泛减少开销支持等价多路径ECMP多条同代价路径可以负载均衡使用层次结构骨干区域area 0连接其他区域用HELLO报文发现和维护邻居关系OSPF的配置在路由器上通常不复杂。以某厂商设备为例基本步骤是启用OSPF进程、配置router-id、把接口划入区域、设置网络宣告。配置完成后用show ip ospf neighbor看邻居状态用show ip ospf route看计算出的路由。注意OSPF邻居建立需要多个参数匹配包括区域ID、认证、MTU、HELLO间隔等。如果邻居卡在EXSTART或EXCHANGE状态多半是MTU不匹配。4.3 BGP互联网的粘合剂BGP边界网关协议是自治系统AS之间交换路由信息的协议是互联网能运转的关键。它属于路径向量协议交换的是到达某个前缀的AS路径。BGP分eBGP不同AS之间和iBGP同一AS内部。eBGP用来和外部AS交换路由iBGP用来在AS内部传播从外部学到的路由。BGP的选路不是简单的最短路径而是基于一系列属性权重、本地优先级、AS路径长度、起源类型、MED、eBGP优于iBGP等。这个选路顺序是BGP的核心也是面试常考点。BGP的配置比OSPF复杂得多涉及邻居配置、路由策略、前缀过滤等。实际运维中BGP出问题往往不是协议本身而是策略配置错误导致路由被过滤或错误宣告。4.4 SDN控制平面的新思路SDN软件定义网络把控制平面从路由器上抽离出来放到一个集中的控制器上。控制器掌握全局拓扑计算路由再通过OpenFlow等协议把流表下发给交换机。SDN的优势在于可编程性。网络管理员可以用软件定义任意转发策略而不必逐台设备配置。这在数据中心里特别有用因为数据中心流量模式复杂需要灵活调度。书里介绍了SDN的架构应用层、控制层、数据层。应用层是各种网络应用控制层是SDN控制器数据层是交换机。控制器通过南向接口如OpenFlow控制交换机通过北向接口向应用层提供API。5. 实操过程与核心环节实现5.1 用抓包工具观察IP数据报理论看再多不如抓一次包。我建议用Wireshark抓一次ping和traceroute的包观察IP头部各字段。抓ping包时过滤icmp你会看到回显请求和应答。展开IP头部重点看TTL、协议号1表示ICMP、源和目的地址。抓traceroute时你会看到TTL依次递增的UDP包Linux下traceroute默认用UDP和返回的ICMP超时报文。这个练习能让你把书上的字段和实际数据对应起来比死记硬背强得多。5.2 手动划分子网并验证拿一个192.168.10.0/24的网段试着划分成4个子网。每个子网需要多少位4个子网需要2位所以子网掩码变成/26即255.255.255.192。四个子网分别是192.168.10.0/26可用地址.1到.62192.168.10.64/26可用地址.65到.126192.168.10.128/26可用地址.129到.190192.168.10.192/26可用地址.193到.254划完之后在Linux上用ip addr add给接口配地址用ip route看路由表验证同子网能通、跨子网需要网关。这个过程能帮你彻底搞懂子网划分。5.3 搭建一个小型OSPF实验如果有条件用两台Linux主机加quagga或frr软件路由可以搭一个OSPF实验。步骤大致是安装frr启用ospfd配置router-id和网络宣告在两端接口上启用OSPF用show ip ospf neighbor确认邻居建立用show ip route看OSPF学到的路由这个实验能让你直观看到OSPF邻居建立和路由计算的过程。如果邻居起不来检查区域ID、网络类型、MTU是否一致。5.4 用traceroute理解TTL和ICMPtraceroute是理解网络层最好的工具之一。它发送TTL1的包第一个路由器收到后TTL减为0丢弃并回ICMP超时于是traceroute知道了第一跳。然后发TTL2的包知道第二跳以此类推。你可以用traceroute -I强制用ICMP用traceroute -T用TCP观察不同协议下的路径差异。有时候不同协议的路径不一样这反映了网络的负载均衡策略。6. 常见问题与排查技巧实录6.1 网络层问题速查表现象可能原因排查方法ping不通同子网主机子网掩码错误、ARP问题检查掩码、arp -aping不通跨子网主机网关配置错误、路由缺失ip route、traceroute大包不通小包通MTU问题、PMTUD被屏蔽ping -M do -s 1472能ping通但服务不通防火墙、NAT端口映射检查ACL、NAT表路由环路路由配置错误traceroute看是否循环OSPF邻居起不来参数不匹配检查区域、MTU、认证BGP路由不学习策略过滤、前缀列表检查route-map、prefix-list6.2 几个我踩过的坑第一个坑是MTU。有一次跨机房访问小包正常大包卡死。查了半天才发现是路径上某段MTU是1400而PMTUD的ICMP被防火墙屏蔽了。解决办法是在接口上手动调小MTU或者放行ICMP类型3的报文。第二个坑是NAT和端口映射。内网服务想被外网访问配了端口映射但不通。后来发现是NAT表里已经有同端口的条目冲突了。换一个外部端口就好了。这提醒我端口映射的外部端口要避开常用端口减少冲突。第三个坑是OSPF的MTU不匹配。两台路由器邻居卡在EXSTART怎么都不起来。后来用show interface对比MTU发现一边是1500一边是9000。改成一致后立刻起来了。OSPF默认会检查MTU这个细节很容易忽略。第四个坑是BGP的AS路径。有一次BGP邻居起来了但路由不学习。查了半天发现是对端发了路由但被本端的入方向策略过滤了。BGP的调试要用show ip bgp和show ip bgp neighbors看收发情况光看邻居状态不够。6.3 独家避坑技巧抓包永远是最快的定位手段。理论分析半天不如抓一次包看实际交互。改配置前先备份。路由配置改错可能导致断网尤其是远程操作时。一次只改一个变量。同时改多个参数出问题不知道是哪个引起的。用ping和traceroute做分层排查。先通不通再慢不慢最后看路径对不对。理解协议的状态机。OSPF、BGP都有状态机卡在哪个状态就查哪个状态的触发条件。7. 网络层知识在实际工作中的延伸网络层这一章的知识在实际工作中用处极大。做运维的排查网络故障离不开IP、子网、路由、NAT这些概念做开发的理解网络层能帮你写出更高效的网络程序做安全的理解NAT和ICMP能帮你更好地设计防护策略。我个人在实际操作中的体会是网络层最难的其实不是协议细节而是建立全局视角。你要能在一张图里同时看到IP地址、子网、路由表、NAT表、ICMP报文理解它们之间的联动关系。一旦这个视角建立起来很多问题会变得非常直观。最后再分享一个小技巧如果你在学网络层时觉得抽象就打开Wireshark一边抓包一边对照书上的字段看。抓一次ping、一次traceroute、一次DHCP比看十遍书都管用。网络层是“做”出来的学问不是“背”出来的。