1. 网络层到底在解决什么问题聊到网络层很多人第一反应就是“IP地址”“路由器”这几个词但真要问它到底解决了什么问题不少人就卡壳了。我刚开始学网络的时候也是这样把OSI七层模型背得滚瓜烂熟但一到实际抓包分析就完全不知道从哪下手。后来踩了不少坑才慢慢明白网络层最核心的使命其实就一句话让数据包从源主机出发跨越若干个彼此独立的网络最终到达目标主机。这句话听起来简单但里面藏着两个关键难题。第一个难题是“跨越若干个网络”——互联网本质上是由无数个局域网、城域网、广域网拼接而成的每个网络的底层链路技术可能完全不同有的用以太网有的用光纤有的用无线网络层必须把这些差异全部屏蔽掉提供一套统一的寻址和转发机制。第二个难题是“到达目标主机”——数据包在传输过程中要经过很多台路由器每台路由器都要独立做出转发决策而且这个决策必须足够快、足够准否则整个互联网就会瘫痪。所以网络层设计的核心思路就是无连接、尽力而为。什么叫无连接就是发送数据之前不需要建立任何握手直接把包扔出去就行。什么叫尽力而为就是路由器会尽最大努力转发你的包但不保证一定送到也不保证按顺序送到更不保证送到的延迟是固定的。这种设计看起来很不靠谱但恰恰是它让互联网变得极其简单和可扩展。你可以把网络层想象成邮政系统你往邮筒里扔一封信不需要提前通知收件人邮政系统会一站一站地转运但中途信丢了或者晚到了邮政不负责赔偿。这一章要聊的内容就是围绕这个核心使命展开的。我会从IP协议的基本原理讲起把IP地址的编址方式、子网划分、CIDR聚合这些容易混淆的概念掰开揉碎然后讲IP数据报的格式和分片机制接着深入路由器的转发流程和路由协议的分类最后聊一聊ICMP、ARP这些配套协议以及NAT这个让IPv4续命至今的关键技术。每一块我都会尽量结合实际抓包场景和配置案例来讲而不是干巴巴地列定义。提示如果你之前学网络层只是背了“IP地址分五类”这种结论建议先把那些结论放一边跟着我的思路重新理解一遍“为什么这么设计”效果会完全不一样。2. IP协议与IP地址编址的底层逻辑2.1 IP协议的两大核心职责IP协议是整个网络层的基石它主要干两件事寻址和转发。寻址就是给每一台联网设备分配一个逻辑地址这个地址在全球范围内或者至少在某个自治系统范围内是唯一的这样数据包才知道该往哪送。转发就是路由器根据数据包头部携带的目标地址决定从哪个接口把它发出去。这里有个很容易混淆的点IP地址是逻辑地址不是物理地址。你的网卡上烧录的MAC地址才是物理地址它是出厂就固定的理论上全球唯一。但MAC地址有个致命问题——它没有层次结构就像身份证号一样你没法从一串MAC地址里看出这台设备在哪个网络。而IP地址是分层的它由网络号和主机号两部分组成路由器只需要知道“目标网络号对应的出口是哪个”就行了不需要记住每一台主机的具体位置。这就是IP地址设计的精妙之处。2.2 分类编址为什么被淘汰了早期的IP地址采用分类编址把地址分成A、B、C、D、E五类。A类以0开头网络号占8位能容纳1600多万台主机B类以10开头网络号占16位能容纳6万多台主机C类以110开头网络号占24位只能容纳254台主机。这种设计在当时看起来挺合理但实际用起来问题很大。最大的问题是地址浪费极其严重。假设一个公司需要300个IP地址它只能申请一个B类地址因为C类最多254个不够用。但一个B类地址有65534个可用主机号这意味着超过65000个地址被白白浪费了。随着互联网规模爆炸式增长这种浪费直接导致IPv4地址池迅速枯竭。我查过一些资料到2011年的时候全球IPv4地址就已经分配殆尽了后来全靠NAT和CIDR这些技术续命。2.3 子网划分与子网掩码的实际用法子网划分的核心思想很简单从主机号里借几位出来当子网号。比如一个C类地址192.168.1.0/24默认主机号是8位能容纳254台主机。如果我想把它分成4个子网每个子网60台主机那就从主机号里借2位当子网号子网掩码变成255.255.255.192也就是/26。具体计算过程是这样的借2位子网号可以产生2的2次方等于4个子网。剩下的主机号是6位每个子网可容纳2的6次方减2等于62台主机减2是因为全0和全1的地址有特殊用途。四个子网的网络地址分别是192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26。这里有个实操中经常踩的坑子网掩码必须和IP地址成对出现。我见过不少新手在配置路由器的时候只写了IP地址忘了写掩码结果路由器根本不知道这个地址属于哪个网络。另外子网掩码的二进制表示中1必须是连续的不能出现“10101010”这种非连续的情况。如果你算出来的掩码不连续那一定是算错了。2.4 CIDR与路由聚合的实战价值CIDR无类别域间路由是子网划分的逆操作它把多个连续的小网络合并成一个大网络从而减少路由表条目。举个例子假设你有四个连续的C类网络200.1.0.0/24、200.1.1.0/24、200.1.2.0/24、200.1.3.0/24。如果不做聚合路由器里就要写四条路由条目。但如果你用CIDR把它们聚合成200.1.0.0/22就只需要一条条目。聚合的计算方法是找这些网络的共同前缀。200.1.0.0到200.1.3.0前22位是相同的只有第23和24位在变化所以聚合后的前缀长度就是22。这个技术在大型网络中极其重要因为路由器的路由表容量是有限的如果不做聚合全球路由表早就爆了。我实测过一个中等规模的企业网络如果不做聚合路由表条目可能上千条做了聚合之后能降到几十条转发效率提升非常明显。注意CIDR聚合要求被聚合的网络必须是连续的而且聚合后的前缀不能和已有路由冲突。如果聚合范围过大把不属于自己的网络也包进去了会导致流量被错误地转发到你的网络里这就是所谓的“路由泄漏”。3. IP数据报格式与分片机制详解3.1 IP数据报头部各字段的实际含义IP数据报的头部固定部分是20字节如果有选项字段则最多可扩展到60字节。这20个字节里每个字段都有明确的用途我挑几个容易忽略的讲一下。版本字段占4位目前主要是IPv4值是4。首部长度占4位单位是4字节所以最小值是5即20字节最大值是15即60字节。总长度占16位包括首部和数据部分所以IP数据报最大是65535字节。标识字段占16位用于分片重组同一个数据报的所有分片标识相同。标志字段占3位其中DF位表示“不允许分片”MF位表示“后面还有分片”。片偏移占13位单位是8字节表示该分片在原始数据报中的位置。生存时间TTL占8位每经过一台路由器减1减到0就丢弃。这个字段的设计初衷是防止数据包在网络中无限循环。协议字段占8位表示上层协议类型比如6代表TCP17代表UDP1代表ICMP。首部校验和只校验头部不校验数据部分因为数据部分由上层协议负责校验。3.2 分片与重组的完整流程分片发生在什么时候当IP数据报的大小超过了链路的MTU最大传输单元时路由器或者发送方就会对它进行分片。以太网的MTU通常是1500字节所以一个总长度为4000字节的IP数据报在以太网上传输时必须分成多个分片。假设有一个4000字节的数据报20字节头部3980字节数据要经过MTU为1500的链路。每个分片的最大数据部分是1500减20等于1480字节。但1480不是8的整数倍片偏移字段要求必须是8的倍数所以实际每个分片的数据部分最多是1472字节1472除以8等于184。这样算下来3980字节的数据需要分成3个分片前两个各1472字节第三个1036字节。第一个分片的片偏移是0MF位为1第二个分片的片偏移是1472除以8等于184MF位为1第三个分片的片偏移是2944除以8等于368MF位为0表示这是最后一个分片。所有分片的标识字段相同接收方根据标识、片偏移和MF位来重组原始数据报。提示分片对性能影响很大因为接收方要等所有分片到齐才能重组任何一个分片丢失都会导致整个数据报被丢弃。所以在实际网络中我们通常会用路径MTU发现机制来避免分片让发送方提前知道路径上的最小MTU直接发送合适大小的数据报。3.3 抓包分析分片过程用抓包工具抓一次ping大包的过程就能直观看到分片。比如在命令行执行ping -l 3000 目标地址如果路径MTU小于3000就会触发分片。抓包结果里会看到多个ICMP请求包它们的标识字段相同片偏移依次递增MF位除了最后一个都是1。把抓到的包按片偏移排序就能还原出原始数据报的结构。我建议你自己动手抓一次比看十遍书都管用。抓包的时候注意看IP头部的总长度字段和片偏移字段这两个字段的变化规律最能说明问题。另外如果你看到DF位被置1但包还是被分片了那说明路径上某台设备的MTU比你发送的包还小这时候通常会收到一个ICMP不可达消息提示“需要分片但DF位被设置”。4. 路由器转发流程与路由协议分类4.1 路由器转发一个包的完整决策过程路由器收到一个数据包后转发决策分三步走。第一步是检查目的IP地址提取出目标网络号。第二步是查路由表在路由表中找到匹配的条目。路由表的匹配规则是“最长前缀匹配”也就是说如果有多个条目都能匹配目标地址选择前缀最长的那一个。第三步是封装并转发把数据包从查到的出口接口发出去同时把TTL减1重新计算首部校验和。这里有个细节很多人不知道路由器在转发时会重新封装数据链路层的帧头。也就是说源MAC地址变成路由器出口接口的MAC目的MAC地址变成下一跳设备的MAC。但IP头部的源IP和目的IP是不变的除非用了NAT。这就是为什么说IP地址是端到端的而MAC地址是点到点的。4.2 静态路由与动态路由的取舍静态路由是管理员手动配置的路由条目优点是简单、可控、不占用网络带宽。缺点是网络拓扑一变就得手动改规模大了根本管不过来。动态路由是路由器之间通过协议自动交换路由信息优点是能自动适应拓扑变化缺点是配置复杂、有收敛时间、可能产生环路。我个人的经验是小型网络用静态路由中型以上网络用动态路由。比如一个只有几台路由器的小办公室静态路由完全够用配置起来也直观。但如果是几十台路由器的企业网络静态路由的维护成本会高到无法接受这时候就必须上OSPF或者IS-IS这类动态路由协议。4.3 距离向量与链路状态的本质区别动态路由协议分两大类距离向量和链路状态。距离向量的代表是RIP链路状态的代表示OSPF和IS-IS。它们的核心区别在于路由器掌握的信息范围。距离向量协议里每台路由器只知道“到某个目标网络的距离和下一跳”不知道全网拓扑。它通过周期性地把整张路由表发给邻居来更新信息收敛速度慢而且容易产生环路。链路状态协议里每台路由器都掌握全网的拓扑结构它通过泛洪链路状态通告来同步信息然后各自用最短路径算法计算路由。收敛速度快不容易产生环路但计算量大、内存占用高。RIP的最大跳数限制是15跳超过15跳就认为不可达。这个限制在小型网络里没问题但在大型网络里就太少了。OSPF没有跳数限制而且支持区域划分可以把大型网络分成多个区域来管理减少链路状态通告的泛洪范围。4.4 BGP为什么是互联网的“胶水”BGP是自治系统之间的路由协议它不关心AS内部的具体拓扑只关心“到某个目标网络应该从哪个AS出去”。BGP的设计目标是策略控制而不是最优路径因为不同AS之间的路由决策往往涉及商业利益、安全策略等非技术因素。BGP的路由选择过程非常复杂有十几条选路规则按优先级依次比较。比如先比较权重本地有效再比较本地优先级再比较AS路径长度再比较起源类型等等。这些规则让网络管理员可以精细地控制流量走向。我见过一些大型网络通过调整BGP属性来实现流量工程把流量引导到特定的链路上效果非常明显。5. ICMP、ARP与NAT的协同工作5.1 ICMP的常见类型与实用场景ICMP是IP协议的配套协议用于传递差错和控制信息。最常见的ICMP消息是回送请求和回送应答也就是ping命令用的。还有目标不可达当路由器无法转发数据包时会发送这个消息里面会附带具体原因比如网络不可达、主机不可达、端口不可达等。超时消息在TTL减到0时发送traceroute就是利用这个机制来探测路径的。重定向消息比较有意思当路由器发现数据包应该从另一个接口转发时会发送重定向消息告诉发送方“下次直接发给那个路由器”。这个机制在早期网络中能优化转发路径但现在出于安全考虑很多网络都禁用了ICMP重定向。注意ICMP消息本身也是IP数据报所以它也可能被分片、丢失或延迟。而且很多防火墙会过滤ICMP导致ping不通但实际服务是正常的。排查网络问题时不能只依赖ping的结果。5.2 ARP的工作机制与安全风险ARP的作用是把IP地址解析成MAC地址。当主机要发送数据包时它知道目标IP但不知道目标MAC就会在本地网络广播一个ARP请求“谁的IP是192.168.1.1请告诉我你的MAC。”目标主机收到后单播回复自己的MAC地址。主机把这个映射关系缓存在ARP表里下次直接查表就行。ARP有个设计缺陷它没有认证机制。任何主机都可以发送ARP应答声称某个IP对应的MAC是自己。这就是ARP欺骗的原理。攻击者可以冒充网关把流量引到自己这里实现中间人攻击。防范ARP欺骗的常见方法是配置静态ARP表或者使用ARP防护功能但在大型网络中完全静态配置不现实通常还是靠交换机层面的防护。5.3 NAT如何让IPv4续命至今NAT网络地址转换的核心思想是在私有网络内部使用私有IP地址出公网时转换成公网IP地址。私有IP地址有三个段10.0.0.0/8、172.16.0.0/12、192.168.0.0/16这些地址不会在公网上路由所以可以在不同组织内部重复使用。NAT路由器维护一张转换表记录“内部IP:端口”到“外部IP:端口”的映射关系。当内部主机访问外网时NAT路由器把源IP和源端口替换成自己的公网IP和一个临时端口收到回复后再根据转换表还原。这样多个内部主机可以共享一个公网IP上网。NAPT网络地址端口转换是NAT的增强版它同时转换IP和端口让成千上万台设备共享一个公网IP成为可能。你家里的路由器用的就是NAPT你的手机、电脑、电视都连在同一个路由器上但对外只显示一个公网IP。NAT的代价是破坏了端到端通信模型。外网主机无法主动连接内网主机因为NAT表里没有对应的映射条目。这就导致了很多P2P应用、VoIP应用需要额外的穿透技术才能工作。另外NAT还增加了转发延迟因为每个包都要查表、改地址、重算校验和。6. 网络层实操排查与常见问题速查6.1 路由表查看与解读在Linux系统上用ip route show命令可以查看路由表。输出里每一行代表一条路由格式是“目标网络 via 下一跳 dev 出口接口”。比如default via 192.168.1.1 dev eth0表示默认路由所有不匹配其他条目的流量都从eth0发给192.168.1.1。192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100表示直连路由目标网络是192.168.1.0/24从eth0直接发出源IP是192.168.1.100。在Windows系统上用route print命令查看路由表。输出格式略有不同但核心信息是一样的。我建议你把路由表打印出来对照着实际网络拓扑看一遍理解每一条路由的来源和作用这比看任何教程都有效。6.2 常见问题速查表问题现象可能原因排查方法ping不通但服务正常防火墙过滤了ICMP用telnet或curl测试目标端口能ping通但丢包严重链路拥塞或MTU不匹配用mtr查看每一跳的丢包率跨网段访问失败路由表缺少条目或网关配置错误检查路由表和默认网关分片导致性能下降路径MTU不匹配用ping -M do测试路径MTUNAT后外网无法访问内网NAT表没有映射条目配置端口映射或使用穿透技术6.3 路径MTU发现的实操方法路径MTU发现是避免分片的关键技术。在Linux上可以用ping -M do -s 1472 目标地址来测试。-M do表示不允许分片-s 1472表示发送1472字节的数据加上20字节IP头和8字节ICMP头总共1500字节。如果返回“Frag needed and DF set”说明路径MTU小于1500需要减小数据长度再试。逐步减小直到能ping通就能找到路径MTU。找到路径MTU后可以在应用程序里设置合适的发送缓冲区大小避免IP层分片。比如TCP协议会根据路径MTU自动调整MSS最大报文段长度但UDP协议不会需要应用层自己控制。6.4 我踩过的几个坑第一个坑是子网掩码算错导致路由不通。有一次我给一台服务器配了192.168.1.100/25但网关是192.168.1.1。/25的掩码是255.255.255.128网络地址是192.168.1.0广播地址是192.168.1.127。而网关192.168.1.1在这个范围内所以理论上能通。但实际不通后来发现是交换机端口配置的VLAN和子网不匹配。这个坑告诉我配IP之前一定要先确认VLAN和子网的对应关系。第二个坑是NAT转换表满了导致新连接建立失败。家用路由器一般能支持几千条NAT映射但如果内网有大量设备同时发起连接比如P2P下载很容易把表占满。表现就是新连接时通时不通老连接正常。解决办法是限制P2P连接数或者换企业级路由器。第三个坑是TTL设置过小导致跨网段访问失败。有些应用默认TTL是64但如果路径跳数超过64包就会被丢弃。我遇到过一种情况内网访问正常但跨几个路由器之后就不通了最后发现是路径跳数刚好超过TTL。把TTL调大就解决了。网络层的内容远不止这些但把上面这些核心概念和实操方法吃透应付绝大多数场景已经足够了。剩下的就是在实际工作中不断积累经验遇到问题多抓包、多查路由表、多分析协议交互过程慢慢就能形成自己的排查思路。