干了这些年网络运维被人问得最多的一个问题就是TCP/IP到底是个啥每次我都得先用一句话稳住对方这玩意儿不是某个具体的“东西”而是一整套规则。没有这套规则你家电脑和我家手机之间只能干瞪眼——谁先说话、说什么语言、数据走哪条路、丢了怎么办这些问题必须有一整套约定机器才能协作。TCP/IP就是互联网世界的“通用语言”你刷一条公众号、付一笔订单、给同事传一个几百MB的文件背后全是这套协议在起作用。这篇要写的不是教科书式的名词解释而是我在实际项目里反复踩坑之后觉得最值得记住的那部分。我会从分层模型讲起一路拆到IP地址、路由、TCP连接、抓包排障最后聊聊IPv6和未来网络形态。内容尽量给到可以直接落地的操作和能复制去用的排查思路。1. 从协议栈分层说起为什么TCP/IP能统治网络1.1 OSI七层模型与TCP/IP四层模型别把两张图搞混很多人一开始学网络容易被两张模型图劝退。一张是ISO提出的OSI七层模型——应用层、表示层、会话层、传输层、网络层、数据链路层、物理层另一张是实际跑在各种设备里的TCP/IP模型只有四层——应用层、传输层、网络层、网络接口层。我的建议是OSI七层可以作为理解用的参考真正排障和配置时脑子里要多用TCP/IP四层模型。原因很简单——现在所有网络设备、操作系统、路由协议都是围绕TCP/IP这套实际协议栈设计的。OSI里的表示层、会话层在实际工程中基本都被应用层协议自己承担了硬要对着七层模型找会话层在哪儿容易钻牛角尖。打个比方OSI七层模型像驾校发的交通法规教材什么情况都有理论依据TCP/IP四层模型则是你真正上路后养成的驾驶习惯简洁、直接层级划分以“能跑通、好排障”为目的。那分层到底解决了什么问题核心是职责分离。每一层只关心自己的事向上层提供服务向下层调用服务不需要管别的层怎么实现。比如应用层只负责生成HTTP请求至于这个请求怎么被拆成数据块、怎么找到服务器、怎么变成电信号在网线里跑应用层一概不管。这种模块化设计带来的最大好处是出了问题能快速定位——网页打不开你只需要判断是应用层、传输层、网络层还是链路层出了问题不需要把整个协议栈推倒重来。1.2 一次网页访问的完整旅程分层的价值在于“各干各的”光说理论太抽象来看一个真实场景你在浏览器地址栏输入一个网址按下回车。这时候分层模型就开始了流水线作业。应用层先发起一个HTTP请求把“我要访问这个页面”的需求写成一个标准格式的报文。传输层拿到这个报文后选择TCP协议把它拆成一个个合适大小的数据段给每个段编上序号标记源端口和目的端口。网络层把这些数据段装进IP数据包里填上源IP地址和目的IP地址然后开始思考目标IP跟我是不是同一个网段不是的话我把包交给谁这个“交给谁”的答案就是网关。数据链路层拿到IP包后需要把它变成能在物理介质上传输的帧于是填上源MAC地址和目的MAC地址添加帧校验序列然后交给物理层。物理层把这些0和1变成网线上的电平信号、光纤里的光脉冲或者无线信道里的电磁波真正开始传输。数据到了服务器那边整个过程反过来物理层还原信号链路层拆掉MAC帧网络层拆掉IP包头传输层把数据段按序号拼接并确认应用层最终取出HTTP请求内容把网页数据原路返回给你。整个过程里每一层都只认识自己那一层的“信封”。这种逐层封装和解析的机制用寄快递来类比就很好懂——应用层是你写在信纸上的内容传输层是快递单号网络层是收件人地址数据链路层是快递车实际走的路线每一层都只关心自己负责的那部分信息谁也不会越界去拆别人的信封。所以做网络排障时我习惯先从“信封”入手先看链路层通不通再看网络层路由对不对最后才查应用层内容这是最快的方法。2. 网络层核心IP地址、子网与路由一台电脑如何找到另一台电脑2.1 IP地址的两大流派与常见分类网络层的核心任务就是寻址和路由。IP地址就是网络世界的门牌号。目前主流是IPv432位二进制写成点分十进制就长这样192.168.1.10。理论上能提供约42亿个地址听着挺多当年设计者以为够了没想到互联网膨胀得这么快。除了IPv4还有一个IPv6128位数量多到能给地球上每一粒沙子分配地址写作八组十六进制数比如2001:0db8:85a3:0000:0000:8a2e:0370:7334。现在很多企业已经双栈运行IPv4和IPv6同时开。IPv4地址按用途可以分为公网地址和私网地址。公网地址要在互联网上唯一需要申请私网地址可以在局域网内部重复使用但不会在公网上路由。三块经典私网网段是哪几个干网络的必须背下来10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。你家里路由器给你电脑分配的基本就是192.168开头。早期IPv4还按首字节分了A、B、C、D、E类A类前几位固定B类接着往后以此类推。后来发现这种固定分类太浪费就改成了无类别域间路由CIDR用前缀长度表示网络位和主机位比如192.168.1.0/24这个/24就表示前面24位是网络位。现在配置地址基本都是按CIDR来A类B类这些旧分类只出现在考试题里实际工作中很少再拿它们说事。地址不够用怎么办NAT网络地址转换派上了大用场。NAT技术允许一个公网IP背后挂一整片私网设备家里路由器用的就是这个思路你手机、电脑、电视各自拿一个内网IP出去上网时统一用路由器那一个公网IP做转换。省了公网地址还附带了一层安全隔离——外界直接访问不到你的内网设备所以很多小公司到现在还在用带NAT的出口设备做基础防护。2.2 子网掩码与CIDR从192.168.1.0/24延伸到实际划分理解子网掩码你只需要记住一句话掩码的作用是区分IP地址里哪些位是网络位、哪些位是主机位。255.255.255.0换成二进制就是连续24个1加8个0所以它等价于/24。实际项目里最常干的活儿就是划分子网。比如一个办公室拿到个192.168.1.0/24的C段现在要给四个彼此隔离的部门各分一个独立子网那就要向主机位借位。/24的主机位原本有8位要分成4个子网需要借2位主机位2的2次方等于4。网络位从24位变成26位子网掩码从255.255.255.0变成255.255.255.192。每个子网剩余主机位6位理论上有2的6次方等于64个地址减去一个网络地址和一个广播地址实际可用主机地址是62个。四个子网的具体划分是这样的子网网络地址可用主机范围广播地址子网A192.168.1.0/26192.168.1.1 ~ 192.168.1.62192.168.1.63子网B192.168.1.64/26192.168.1.65 ~ 192.168.1.126192.168.1.127子网C192.168.1.128/26192.168.1.129 ~ 192.168.1.190192.168.1.191子网D192.168.1.192/26192.168.1.193 ~ 192.168.1.254192.168.1.255注意每个子网的第一个地址是网络地址不能分配给设备最后一个地址是广播地址也不能分配。网关一般习惯用可用地址的第一个或最后一个比如子网A的网关设成192.168.1.1就很常见。我碰到过不少刚入行的同事配置设备时把广播地址填成主机IP结果这台机器怎么都不通。核心原因就是没搞清网络地址和广播地址的含义。所以每次拿到一个IP段先写一遍可用范围再配地址这个习惯能省掉后面不少排查时间。2.3 路由与网关跨网段数据是怎么走的同一个子网内的通信很简单源主机直接通过ARP找到目标主机的MAC地址然后发数据帧就行。但跨子网通信就没这么直接了——源主机根本不认识目标主机的MAC地址它得把数据包先交给网关。网关就是连接不同网络的关口设备通常是一台路由器的某个接口IP。你在电脑上配置的默认网关就是你的“默认出口”。当你的电脑发现目标IP和自己不在同一个子网时就把包发给默认网关。网关收到后查自己的路由表决定这个包下一步该往哪个接口送、下一跳是谁。路由表是路由器的核心。静态路由是管理员手动配置的适合结构稳定的小型网络动态路由则由协议自动学习常见的有OSPF、IS-IS、BGP等。OSPF用在自己公司内部网络算路径时考虑带宽和延迟收敛也快BGP跑在运营商和大型网络之间传递全网路由规模大得惊人。你可以把路由选择理解成地图导航你的包从上海出发去北京导航查到有三条高速会根据路况选一条最优路径中间经过的每个城市路由器都按自己的路牌路由表继续指导。实际配置中我见过最多的问题就是把网关配错。一个子网的网关必须落在该子网的可用地址范围内。比如你的电脑IP是192.168.2.100网关却是192.168.1.1那包根本出不去因为电脑会认为网关不在本地网络里。所以配完IP第一件事就是ping网关通了再往下查。3. 传输层核心TCP的连接、传输与拥塞控制3.1 三次握手为什么必须是三次而不是两次TCP是一种面向连接的可靠传输协议通信前要先建立连接。三次握手的流程你背过无数次客户端发送SYN包服务器回复SYNACK客户端再回一个ACK连接建立。那为什么不能两次因为两次无法确认双方的“收发能力”都正常。第一次客户端发SYN服务器收到后可以确认客户端的发送能力和自己的接收能力没问题服务器回SYNACK后若客户端只回一次ACK结束那服务器无法确认自己发出去的SYN客户端是否收到。只有客户端再回第二个ACK服务器收到了才能确认客户端的接收能力和自己的发送能力也没问题。双方收发双通道全部确认连接才能放心用。更重要的是三次握手还能处理网络里“迟到”的旧连接请求。假设客户端发了一个SYN因为网络拥塞迟迟没到客户端超时重发了一个结果第一个旧SYN又突然冒出来了。如果只有两次握手服务器收到旧SYN就会建立一条废弃连接白白占用资源。而三次握手中客户端可以根据旧SYN对应的ACK里带的序号判断这不是自己想要的直接发RST断开避免脏数据污染。这里也引出一个关键知识点服务器的半连接队列。半连接状态叫SYN_RCVD是服务器已经收到SYN、还没收到最终ACK时的状态。并发量一大半连接队列容易被塞满新连接进不来表现就是连接超时。实际运维中我们经常要关注这个队列必要时调大队列深度或开启SYN cookies来缓解这既是性能调优的手段也是防攻击的方向。3.2 四次挥手TCP如何优雅地告别断开连接比建立连接更复杂因为TCP连接是双向的必须两边都确认不再发数据了才算真正关干净。正常流程是主动关闭方发FIN对方回ACK然后对方再发FIN主动方回ACK。四次消息下来连接才算彻底关闭。第一次FIN表示“我不再发数据了”但对方还可以往我这边发等对方也发FIN表示“我也不发了”整个会话才结束。四次挥手里有一个非常经典的状态叫TIME_WAIT主动关闭方在发出最后的ACK后会进入TIME_WAIT软禁自己2个MSL报文最大生存时间通常是2分钟才能关闭。为什么非得等这么久两个原因一是确保最后的ACK如果丢了对方重发FIN时自己还能用同一个连接状态去响应二是让网络上残留的旧数据包自然消亡不会误入一个相同端口号的新连接。TIME_WAIT本身是正常的但如果一台服务器上冒出成千上万条TIME_WAIT连接就要注意了。常见场景是服务器端主动关闭大量短连接比如某些服务频繁关闭和客户端的连接导致TIME_WAIT堆积最终耗尽端口资源。经验之谈先判断谁在主动关闭。如果业务允许调整服务端的keep-alive策略减少主动断开或者开启端口复用和回收机制但前提是确保协议允许否则可能带来数据错乱。3.3 滑动窗口与流量控制TCP如何控制发送速度TCP的可靠传输核心机制是“发送一个数据段等一个确认”。但如果发一个等一个效率太低于是就有了滑动窗口。滑动窗口解决的是流量控制问题接收方告诉发送方“我这还能收多少数据”这个值就是窗口大小。发送方只能在窗口范围内连续发送数据不用每发一个包都停下来等待确认。窗口有多大取决于接收方的接收缓冲区有多空也取决于发送方自己的拥塞窗口状态。我见过一个网工同事在调一个跨省链路传输文件时始终跑不满带宽后来发现是接收窗口太小数据到了对端直接被丢弃反复重传。把接收缓冲区调大后吞吐量立刻翻倍。做调优时可以记住一个公式带宽时延积等于带宽乘以链路往返延迟它代表链路上同时能容纳的数据量。假设带宽是10GbpsRTT是20ms那带宽时延积就是10Gbps乘以20ms等于200兆比特换算约25MB。窗口至少要达到这个量级链路才能被占满否则发送方总在等确认链路实际利用率上不去。流量控制的另一个关键词是零窗口。接收方缓冲区满了会在ACK里通告窗口为0让发送方暂停。发送方收到零窗口后会启动一个持续计时器定期发送“窗口探测”报文看看接收方窗口恢复没有。这里我踩过一个坑如果对端应用不消费数据窗口会一直为零但发送方还在不断探测导致一堆小包占满网络看起来像网络拥塞实际是应用层消费能力出了问题。所以遇到“网络很忙但吞吐量奇低”别急着加大带宽先查接收端应用的状态。3.4 拥塞控制慢启动、拥塞避免、快速重传与快恢复流量控制管的是“接收方能收多少”拥塞控制管的是“网络本身能承受多少”。TCP里有一套完整的拥塞控制策略其中之一是慢启动连接刚建立时拥塞窗口从1个MSS最大报文段长度开始每收到一个确认就翻倍窗口呈指数增长。这个阶段不慢其实很快通常几个RTT就到十几兆了。当窗口增长到慢启动阈值ssthresh就转入拥塞避免阶段窗口改成线性增长每次RTT只加1个MSS目的就是小心翼翼地试探网络的极限。一旦出现丢包TCP会认为是网络拥塞了于是把ssthresh降到当前窗口的一半再把拥塞窗口降下来重新开始慢启动或直接减半。这里可以记一下经典的处理动作超时丢包说明网络拥堵严重拥塞窗口直接降回1从头慢启动。收到3个重复ACK说明网络还能通只是中途丢了数据启用快速重传直接重发该数据段并把拥塞窗口减半进入快速恢复不必回到慢启动初始值。这些机制保证了TCP不会把网络“塞死”。实际使用中大家可以观察大流量下载刚开始时速度是一条陡峭的爬升曲线那就是慢启动在起作用。短连接特别多的场景里慢启动会拖慢整体效率因为每个连接都要从头爬升。这也是为什么HTTP/2和HTTP/3都强调连接复用把多个请求放在一条长连接上省掉反复慢启动的开销。3.5 UDP不保证到达但速度快得不行TCP绝不是万能的很多实时场景里大家宁可用UDP。UDP是用户数据报协议无连接不确认不重传不排序头部只有8个字节开销极小。数据发出去了就不管了丢了就丢了接收方拿到什么是什么。适用场景很典型视频通话、在线游戏、语音实时传输。你开会时画面卡了一帧电话那头也不可能停下来等网络重传宁可跳过去继续播也不能让整个画面卡住等几秒钟。这时UDP的“尽力而为”反而是最适合的。TCP与UDP的差异可以整理成一张表对比项TCPUDP连接状态面向连接先建连无连接直接发可靠性确认、重传、排序尽力而为不保证流量控制滑动窗口机制无拥塞控制慢启动、拥塞避免无头部大小20字节以上8字节典型应用HTTP、文件传输、邮件域名查询、实时音视频、DHCP值得一提的还有QUIC协议它基于UDP实现了可靠传输、加密和低延迟握手有点像“给UDP加装TCP的能力”。很多现代浏览器的HTTP/3流量已经走QUIC它的思路很有启发性——与其在旧协议栈上修修补补不如用更低层的方式重新组合。这也是TCP/IP体系还在持续进化的证明。4. 数据链路层与物理层数据真正落地的环节4.1 MAC地址与ARP从IP地址找到网卡IP地址解决的是“目标在哪个网络”但真正要把数据帧送到目标主机网卡上还需要知道对方的MAC地址。MAC地址是网卡的物理地址48位出厂时固化在硬件上理论上全球唯一。可以简单理解成身份证号IP地址则是住址你可以在不同网络里换住址但身份证号永远跟着你。在一个二层局域网里主机A知道目标主机IP但不知道它的MAC地址怎么办发ARP广播请求谁是这个IP的拥有者请把你的MAC地址告诉我。目标主机收到广播发现是在找自己就单播回复一个ARP应答。源主机把这个IP到MAC的映射缓存起来下次就不用再广播。这个流程看似简单却埋了安全大坑——ARP不校验真实性谁都可以伪造应答。实战中也常有因为两台设备被配了相同IP导致ARP表在两个MAC之间反复横跳表现为网络时通时断。排查时清空ARP缓存的命令帮过大忙清完重新学习如果还是频繁变化十有八九是IP冲突去查DHCP地址分配记录最直接。4.2 交换机与VLAN让局域网更有序交换机是二层网络的核心设备它维护一张MAC地址表知道每个MAC地址挂在哪个端口上。数据帧进来后交换机根据目的MAC查表只把帧转发到对应端口而不是傻傻地广播给所有人。这是交换机能提升局域网效率的根本原因。交换机还有个关键概念叫广播域。默认情况下所有端口都属于同一个广播域任何一台设备发送广播帧所有端口都会收到。设备一多广播流量会拖垮整张网络这时候就要用VLAN虚拟局域网来隔离。VLAN把一个物理交换机切成多个逻辑交换机不同VLAN之间广播隔离直到需要跨VLAN通信时才通过路由器或三层交换机进行路由。我在一个办公项目里就干过这事两百多台终端挤在一个广播域里打印请求和ARP广播多得吓人配了交换机端口安全和几条VLAN之后网络慢的问题立刻缓解。这里补充一句经验之谈——VLAN划分不要太细否则跨VLAN流量全挤在核心交换机的三层接口上反而成为瓶颈。划VLAN前先分析流量模型哪些设备之间经常通信尽量放在同一个VLAN里。4.3 网线与物理层新手最容易忽略的隐性坑很多人觉得物理层没什么好查的但实际排障里网线出问题的概率远比想象中高。网线从类别上分为超五类、六类、超六类等。超五类可以跑到千兆但距离长了、环境干扰大了可能降速到百兆六类是千兆网络的基础配置超六类和八类主要面向万兆和更高速率。水晶头线序现在基本统一用T568B标准线序是橙白、橙、绿白、蓝、蓝白、绿、棕白、棕。虽然百兆以太网理论只用4根线但千兆必须8根全通。所以我判断一条网线能不能跑千兆不只看线缆类别还要看水晶头触点是否全部导通了。网线的极限传输距离通常按100米算这里说的是从设备到设备的链路总长中间无论接面板、配线架还是模块都算在100米内。超过这个距离信号衰减会非常明显。之前有个客户网络不稳定找到最后发现是一条从办公室拉到会议室的长线总长度差不多110米中间还缠了一大捆测出来千兆直接协商失败重新放线后问题解决。所以布线和面板施工时一定给我留出余量别算得太死。5. 应用层协议实战HTTP、DNS、DHCP 背后的设计智慧5.1 HTTP浏览器和服务器之间的日常对话应用层是离用户最近的协议层最有代表性的就是HTTP。HTTP定义了浏览器和服务器之间以什么格式交换数据。方法包括GET、POST、PUT、DELETE等状态码从2xx成功到3xx重定向、4xx客户端错误、5xx服务器错误每一个都代表不同的语义。HTTP从1.0到1.1再到2.0演进的核心是效率。HTTP/1.0每次请求都要重新建立TCP连接代价很高。HTTP/1.1引入持久连接默认一个TCP连接可以发送多个请求但存在队头阻塞问题——前面的请求不响应后面的请求只能排队等着。HTTP/2换成了二进制分帧多个请求可以复用同一条TCP连接并行传输理论上效率大幅提升。但HTTP/2的底层还是TCP一旦丢包重传所有请求还是会一起等。HTTP/3便直接改用基于QUIC的UDP传输进一步规避了TCP队头阻塞。网上大部分“网页加载慢”在协议层面往往就是这些细节在拖后腿。这里补一句关于HTTPS的。HTTPS是在HTTP与TCP之间加了一层TLS加密。TLS握手里服务器先给客户端发数字证书证书里包含公钥客户端验证证书身份后用公钥加密一个临时对称密钥发给服务器服务器用私钥解密之后双方都用这个对称密钥加密通信。这种“非对称加密协商密钥、对称加密传输数据”的设计兼顾了安全性和性能。所以判断一个网站能不能信任第一步就是检查证书是否有效。5.2 DNS互联网的电话本你每天输入的网址计算机根本看不懂它需要把域名转换成IP地址才能发起连接干这活的就叫DNS。DNS本质上是一个分布式的全球数据库域名按层级组织根域在最上面下面是顶级域如.com再往下是二级域名、三级域名。域名解析的过程是分步完成的。首先电脑查本地缓存和hosts文件没有就去问本地配置的DNS服务器。如果这台服务器也不知道它会代替你去递归查询问根服务器根服务器告诉它“.com归谁管”再去问.com顶级服务器对方告诉它“这个具体域名归哪个权威服务器管”最后问权威服务器拿到最终IP地址。整个链条里本地DNS服务器通常是递归查询者其他服务器做迭代应答。实际排障中DNS问题高发。常见表现是IP能ping通域名却解析不了或者解析出来的IP过期了导致网站访问异常。我的习惯是先用nslookup或dig命令直接查记录看看域名服务器返回什么。如果返回超时检查本地DNS服务器配置如果返回错误IP看看是不是缓存了旧记录。另外提醒一句配置DNS服务器地址时别图省事随便填一个内网存在但根本不做递归解析的地址你会收获一堆莫名其妙的超时。5.3 DHCPIP地址自动分配与租约管理手动给每台设备配IP在现代网络里不现实DHCP就是为解决这个问题而生的。它用四个交互步骤完成地址分配简称DORADiscover客户端广播找服务器、Offer服务器响应可用的IP、Request客户端确认要这个IP、Ack服务器最终确认。搞定之后客户端还会收到子网掩码、默认网关和DNS服务器地址。DHCP分配出去的IP是有租期的。租期过半时客户端会尝试续租租约到期没续上就释放。理解租约机制对排障很重要——有次项目组遇到某台服务器IP不知道被谁占用了查了半天发现是它旁边一台测试机通过DHCP被分配了同一个IP因为那台服务器用的是手动静态IP而网段重用的地址恰好没从DHCP地址池里排除。所以规范做法是静态IP设备必须规划好固定IP段并在DHCP服务器里把这段地址排除掉不要让动态池和静态池重叠。DHCP还有一个常见坑是跨网段分配。DHCP默认靠广播工作而广播不能跨路由因此要在路由器上配置DHCP中继让不同VLAN的客户端也能找到DHCP服务器。如果连了中继还是分配不到IP先抓包看Discover能不能到达服务器再查中继配置里的源接口和目的服务器地址这两步基本能定位九成问题。6. 安全问题一讲防火墙、加密与常见攻击手法拆解6.1 防火墙网络的第一道门防火墙是网络边界的第一道防线按工作层次大体分成三类。包过滤防火墙工作在网络层和传输层检查源IP、目标IP、源端口、目标端口按规则放行或丢弃速度快但管不了内容。状态检测防火墙会在传统规则基础上维护一张连接状态表只允许“和已有合法连接相关联”的数据包通过能有效拦截伪造的陌生报文。应用层防火墙则看得更深好一点的WAFWeb应用防火墙能识别HTTP请求里的SQL注入、XSS等攻击特征。配置防火墙时最基础也最重要的原则是默认拒绝默认丢弃所有流量只允许明确放行的业务。很多企业出安全问题就是图省事开了“允许所有”防火墙形同虚设。另一个经验是分区域管理常见做法是划分内网、外网和DMZ区对外提供服务的服务器放DMZ即使被攻破也难以直接跳进内网。这种“纵深防御”思想比买一台昂贵设备有用得多。6.2 针对TCP/IP的常见攻击手法看懂威胁才能防御理解TCP/IP的攻击手法排障时才能找到根因。举几个最常见的例子。ARP欺骗发生在数据链路层。攻击者伪造ARP应答把自己的MAC地址和网关IP绑定在一起受害者的流量就会被劫持到攻击者机器上。表现是“能上网但速度极慢、页面被篡改、账号密码异常”。防御手段有给关键设备和网关配置静态ARP表在交换机上开DAI动态ARP检测功能。SYN Flood针对的是TCP握手机制。攻击者疯狂发送SYN请求但不完成三次握手把服务器的半连接队列占满正常用户连不上。防护思路从SYN cookies到限制单IP连接速率都有技术上成熟关键是你要能感知到服务器半连接队列的状态变化。DDoS攻击的量级不是某一台设备能挡住的防火墙只是第一层通常还需要流量清洗服务把攻击流量引流到清洗节点丢掉。中间人攻击则更多发生在不可信的网络环境里攻击者在通信链路中截获、篡改数据。HTTPS在这里作用很大——即使流量被截获对方也解不开密文。所以别贪省事跳过证书校验那等于把门敞开给攻击者。我把常见攻击和排查方向整理成一张表攻击类型针对目标典型现象主要防御手段ARP欺骗数据链路层网络时断时续、流量被劫持静态ARP、交换机DAISYN FloodTCP握手队列大量连接超时、半连接爆满SYN cookies、连接限速DDoS流量攻击网络带宽/设备性能整条链路拥塞、服务不可达流量清洗、扩容、限速中间人攻击通信链路数据被篡改、凭据泄露TLS加密、严格证书校验6.3 加密让明文变密文的那点事网络安全的另一个支柱是加密。简单分两类对称加密用同一个密钥加解密速度快但密钥怎么安全地送到对方手里是个难题非对称加密用公钥加密、私钥解密解决了密钥分发问题但性能开销大。现代安全协议基本都是“非对称握手、对称传输”的组合拳。TLS是在传输层之上做安全保护的典型。客户端验证服务器证书、交换密钥后面所有数据都用高速的对称加密传输。IPsec则工作在网络层对IP包本身提供认证与加密常用于在两个网络之间建立一条加密隧道保护跨网段传输的数据不被窃听篡改。在部署这类隧道时只要记住认证不够还要加密隧道以外的地方要做好访问控制防止加密数据包在实际网络中任意穿梭。加密算法和密钥协商的细节很深但做网络部署的人最需要关心的是协议版本和证书管理。旧版本的TLS已有多处被攻破的案例设备上能用新版本就别开旧版本。证书过期是运维事故高发点提前加监控在证书到期前完成替换比什么都重要。7. 排障实战从ping到抓包一套能落地的排查方法7.1 ping验证网络连通性的第一根探针ping可能是最常用的网络命令它基于ICMP协议向目标发送探测报文然后等对方回一个应答。通了说明从你到目标的网络路径大概率是通的超时说明某个环节有问题或对方禁止ICMP。ping有很多实用参数。连续ping用参数-tWindows可以持续测试看丢包率和延迟抖动指定数据包大小用参数-l可以测试大包是否被分片或拦截指定源地址用参数-S在有多网卡的机器上可以测试从哪个接口出去。另外要看懂TTLTTL是数据包在网络上最多经过的路由跳数每过一个路由器减1减到0就被丢弃。不同操作系统初始TTL不一样通过TTL能大致判断对方是不是Windows系统也能粗判路径跳数。用ping排障有个黄金顺序先ping本地回环127.0.0.1通了说明TCP/IP协议栈正常再ping自己网卡的IP通了说明网卡和驱动正常再ping网关通了说明局域网链路正常最后ping公网IP通了说明出口路由和NAT正常。这个顺序一层一层往下推每次都能缩小排查范围。我个人的操作习惯是客户端出问题时先把网关ping稳定网关都不通就别急着查DNS和HTTP省下的时间足够喝杯咖啡了。7.2 traceroute看数据包实际走过的路ping能告诉你不通但如果不通发生在中间环节ping不知道卡在哪一跳。traceroute就是来解决这个问题的。它的原理是利用TTL字段先发一个TTL为1的包经过第一个路由器后TTL减为0路由器丢弃包并回送一个超时消息这样就定位了第一跳。接着发TTL为2的包定位第二跳。如此逐跳递增最终拿到从源到目的地的完整路径。Windows用tracert命令默认使用ICMPLinux的traceroute默认使用UDP可以用参数指定ICMP。某些网络设备会禁止超时消息所以命令输出里看到星号星号星号不代表路径断了可能只是对方不回应探针。这个细节我反复跟同事强调过——看到星号先别激动多等几跳再看结果。实际操作中traceroute最大的价值是判断故障点。比如视频会议卡顿从用户端跟踪到服务器如果发现某一跳延迟突然从3ms跳到300ms压力十有八九集中在那一段链路。当然公网里的路由器延迟高也可能是该设备优先级低、不处理探测包这时候要结合其他工具的检测结果综合判断。7.3 Wireshark抓包让流量不再抽象要是ping和traceroute都看不出问题那就得上抓包工具了。Wireshark是我最推荐的一款它会把你网卡上跑的每一个数据包都展示出来连报文里的每一个字段都解析得清清楚楚。注意抓包前先确定要监听哪块网卡服务器上有多块网卡时选错接口抓到的数据全是废的。抓包时要用过滤表达式来缩小范围。常见的有ip.addr192.168.1.10只看某台设备的流量tcp.port80只看某个端口的流量还有dns、http这样按协议过滤。等抓完数据选择一条TCP流量右键“追踪TCP流”能直接把整个会话的内容还原出来跟看聊天记录一样直观。我分享一个实际碰到的案例。某办公室里一台电脑能ping通内网但打开网页一直接收不到数据。用Wireshark抓包后发现HTTP请求已经发出去了服务器也回了数据包但客户端的TCP窗口始终显示为0等于客户端在告诉服务器“我这边缓冲区满了你先别发”。那问题根子就在客户端主机的接收缓冲区或相关服务被占满折腾半天网络设备没意义。抓包的价值就在这里——它把问题从“玄学”变成“证据”你甚至能精确到是哪个报文丢了、哪一层的哪个字段异常。7.4 排障思路分层法从底层往上还是从上层往下做网络排障最忌讳的是东一榔头西一棒子。我习惯按分层模型自下而上来一遍。先把典型现象和可能原因对应起来整理成速查表现象优先排查方向典型证据完全不通网线、端口、物理链路交换机端口指示灯不亮通但丢包严重网线质量、双工协商、线路干扰ping有大量丢包延迟不稳局域网通跨网段不通路由、网关配置网关ping不通或路由表缺失域名打不开但IP能通DNS解析链路nslookup超时或返回错误IP网页打开极慢HTTP往返、TCP窗口、MTU抓包看到大量TCP重传或窗口0外部访问不到内部服务防火墙规则、NAT映射抓包看到请求被丢弃工作这些年我最大的心得是不要在半层没敲定的时候就急着往上排查。物理层都没通去调服务器配置纯粹是浪费时间。反过来如果物理层、链路层都正常也别一遍遍去测网线赶紧往上层看。这套方法虽然朴素但能稳定解决九成以上的网络故障。8. 现在与未来TCP/IP 面临的新边界8.1 IPv6为什么我们非换不可IPv4地址已经耗尽新业务还在不断增长IPv6是规模化的必然选择。IPv6不仅地址空间大还有几个特性值得记住它内置了地址自动配置能力设备接入网络后可以自己生成地址不必依赖DHCP它把安全扩展作为设计的一部分同时在报文处理上做了精简转发效率更高。真正的挑战在过渡。现在绝大多数网络设备和应用都兼容IPv4IPv6想完全取代它需要漫长过程。当前最主流的过渡方式是双栈——设备同时配置IPv4和IPv6地址两种协议并行运行。这种方式兼容性最好但管理复杂度会上升因为你得同时维护两套路由和两套防火墙规则。身边不少网络团队已经在做IPv6专项不是因为它马上要替代IPv4而是因为新开通的互联网业务、新采购的云资源越来越多地要求具备IPv6能力。作为网络从业者至少得知道地址结构、自动配置和双栈原理这三件事遇到项目不至于抓瞎。8.2 物联网与5G网络的新变量传统的TCP/IP模型是为“电脑与服务器”设计的但今天的网络栈要面对海量传感器、可穿戴设备、智能家居等终端。这些设备数量巨大、功耗受限、很多还经常离线继续让它们跑完整TCP握手和复杂状态机既费电又费带宽。所以物联网领域常见MQTT这类轻量级消息协议它们往往在TCP之上做简化有些更进一步在低功耗无线网络里采用更短的控制头减少开销。5G网络带来的则是低延迟和高带宽很多业务走的是嵌入式网络切片不同应用拥有彼此隔离的专用网络资源。这些新场景不会让TCP/IP消失反而会用扩展和替代协议来补充它的能力边界。做部署时先看清楚业务类型实时控制类用轻量协议可靠文件传输类用TCP实时媒体类用UDP或基于UDP的改进协议。协议选型对了网络就成功了一半。8.3 可编程网络运维方式正在改变软件定义网络SDN和网络自动化是这几年网络领域最值得关注的方向。传统的网络设备每个盒子都有独立控制逻辑架构调整往往需要登录每一台设备逐个配置。SDN把控制逻辑集中起来形成统一的控制器由它统一计算路径再通过开放接口把转发规则下发给底层交换机。这样网络策略的调整可以像发布软件一样快速迭代。对运维人员来说这带来两个变化。第一网络变成可编程的资源池配置错误、路由冲突这类问题可以靠自动化工具在发布前模拟验证。第二排障手段从登录设备敲命令演进到从全局视图分析流量路径能看到整张网的拓扑和流表状态。当然这不代表底层协议不重要——恰恰相反想用好SDN你得先清楚传统协议是怎么工作的才能在自动化脚本里写出正确的配置逻辑。基础越扎实引入新工具后就越能发挥效果。最后再分享一个我自己的体会。这么多年下来每次遇到网络问题我都先在脑子里过一遍分层模型的顺序物理层通不通链路层通不通网络层能不能路由传输层连接状态正不正常应用层到底在报什么错。这套思路给我解决过太多“看起来毫无头绪”的问题。TCP/IP不是一门靠背就能掌握的课程它本质上是一套解决问题的思维方式。把分层的视野、抓包的习惯、逐层定位的方法装进脑子里以后无论面对传统网络、物联网还是自动化网络你都能快速找到属于自己的切入点。