1. 先定位数据链路层是整个网络的“快递中转站”学计算机网络很多人卡住的地方不是最常见的IP恰恰是夹在中间的数据链路层。物理层还能靠网线和光缆找到一点实物感网络层也有IP地址可以抓手偏偏第二层——数据链路层概念又多又抽象MAC地址、以太网帧、CSMA/CD、交换机、VLAN、PPP……每个名词单拿出来都能讲一节课串起来却总觉得缺一根线。这一层到底管什么事我习惯用一个快递中转站的画面去理解物理层是那一辆辆运货卡车负责把比特流从一个节点搬到相邻节点但卡车只认“路”不知道车上装的是什么数据链路层则是中转站的分拣员它把裸的比特流重新切分成一包一包有头有尾的“包裹”帧检查包裹有没有在路上损坏再照着包裹上的寄件人、收件人地址源MAC、目的MAC决定该往哪个站点送。IP地址解决的是“这台设备在全球哪个位置”的问题而MAC地址解决的是“在眼前这条链路上下一站到底是谁”的问题二者定位完全不同千万别混。这篇数据链路层知识汇总面向刚入门计算机网络、准备系统打基础的同学也面向工作中要接触交换机、排查局域网故障的从业者。它不是一本什么都写的百科全书而是把你必须搞懂的主干知识串起来配合实操排查经验帮你在脑子里把第二层的框架真正搭稳。1.1 为什么物理层之上还要单独搞一层很多人第一次学OSI七层模型时都会问物理层不是已经能把比特流送过去了吗为什么还要链路层这个问题的答案恰恰是理解第二层的钥匙。物理层只负责把0和1变成电信号、光信号或无线信号从线路这一端送到另一端。但它有三个天生的局限第一它不区分比特流的边界发送方发了一长串01接收方不知道哪儿是一个数据单元的结束、下一个数据单元从哪儿开始第二信号在传输过程中会受到干扰、衰减出现比特翻转它自己发现不了第三物理层是全裸的没有任何“地址”概念一堆设备共享一条线路时它不知道该把数据送给谁。数据链路层就是为了补上这三个洞而存在的。它把比特流切成帧在帧头帧尾加上边界标记用校验码检查帧在传输中有没有出错出错就丢弃再给每个设备分配一个物理地址MAC地址让数据能在共享链路上准确找到目标。所以数据链路层解决的是“相邻节点之间如何可靠、有序地传递数据”的问题。这里特别提醒初学者一点数据链路层只管相邻节点一跳一跳地传它不负责跨越多个中间节点找路那是网络层的事。很多人学到后面把二层和三层搞混根源就在这里。1.2 链路层必须处理的三个基本问题把数据链路层的工作抽象一下其实就是处理三个基本问题封装成帧、透明传输、差错检测。这三个问题不光贯穿整个第二层也是面试和考试里最常出现的考点。封装成帧通俗说就是给比特流画边界。发送端把网络层交下来的IP数据报前后分别加上帧头和帧尾形成一个完整的帧。以太网帧头里最关键的是目的MAC和源MAC帧尾是校验字段。帧头和帧尾还包含定界符告诉接收端“一帧从这儿开始、到这儿结束”。不同的协议定界方式不一样以太网用前导码加帧起始定界符PPP协议用标志字段0x7E这些都是很具体的记法。透明传输解决的是“数据里恰好出现了和定界符长得一模一样的内容怎么办”的问题。如果不处理接收端就会误判成帧的开始或结束把好好的数据切得七零八落。解决办法有两类面向字节的协议用字节填充在数据中遇到定界符SOH、EOT时前面加一个转义字符ESC接收端识别后把ESC去掉面向比特的协议用零比特填充PPP协议就是在数据中每遇到连续5个1后面自动插入一个0接收端看到连续5个1就检查第6位如果是0就删除。这两种办法的效果都一样让上层数据在链路里“透明”传输不管里面出现什么内容都不会被误判为控制信息。差错检测最常见的是CRC循环冗余校验。发送端把数据看作一个大整数用约定的生成多项式做模2除法得到的余数就是帧校验序列FCS附加在帧尾。接收端收到后用同一个多项式重新去除整个数据加FCS如果余数为0大概率没错不为0一定出错直接丢弃。以太网里FCS字段是4字节用的就是CRC-32。这里要记住一个重要结论CRC只能检错不能纠错更不能定位错误具体发生在哪几位。链路层遇到错帧的策略基本就是“扔掉让上层重传”而不是自己把错误改回来。2. 局域网里那台设备怎么“认人”MAC地址与以太网帧到了局域网环境真正跑在最底层的协议几乎都是以太网。所以搞懂数据链路层最核心的就是搞懂以太网那一套规则设备之间怎么标识身份MAC地址数据怎么打包以太网帧多人共用一根线路时怎么避免乱套CSMA/CD。2.1 物理地址的由来为什么是48位每块网卡出厂时就被烧录了一个全球唯一的物理地址叫MAC地址也叫硬件地址。它一共48位也就是6字节通常写成十六进制连字符分段的格式比如 00:1A:2B:3C:4D:5E也有厂商习惯写成 001A.2B3C.4D5E 这种点分格式只是显示习惯不同含义一样。48位前24位是组织唯一标识符OUI由标准化机构分配给各个网卡厂商后24位是厂商自己分配的序列号。所以看到MAC地址前三位字节就能大概知道是哪家厂商的产品。局域网里交换机的MAC地址表靠的就是这个地址来“认人”。MAC地址还有三种类型这个区分特别容易考到单播地址第一个字节最低位是0发给某个特定网卡多播地址最低位是1一组设备都能收广播地址是全FF:FF:FF:FF:FF:FF发给同一广播域内的所有设备。ARP请求、DHCP发现报文用的都是广播地址。很多初学者会问既然有了IP地址为什么还要MAC地址打个比方IP地址像是“收件人姓名和城市地址”用于跨城快递的路由规划而MAC地址是“小区里具体那栋楼那个门牌号”快递到了这个城市还得靠门牌号找到最终那户人。在同一个广播域内IP定位到一个网段后真正把数据塞进网卡、送到具体某台设备的还是靠MAC地址。这里还有一个常见误区一台设备有多个网卡就有多个MAC地址比如电脑的有线网卡、无线网卡各一个路由器上每个接口也各有一个MAC地址。MAC地址是绑定在接口上的不是绑定在整台机器上的。初学阶段记住这一点后面学路由器、交换机配置时会省很多困惑。2.2 以太网帧把比特流装进标准信封以太网V2格式的标准帧是网工必须默写出来的基本功。它从前往后依次是前导码、帧起始定界符、目的MAC、源MAC、类型/长度字段、数据部分、帧校验序列。前导码和起始定界符属于物理层同步用的抓包软件里通常看不到从目的MAC开始到FCS才是真正意义上的以太网帧。字段长度作用前导码7字节连续1010...交替比特用于收发双方时钟同步帧起始定界符1字节以11结尾表示帧正式开始目的MAC6字节接收方物理地址源MAC6字节发送方物理地址类型/长度2字节标识上层协议0x0800表示IPv40x0806表示ARP0x86DD表示IPv6数据46~1500字节上层IP数据报不够46字节需填充FCS4字节CRC32校验值校验从目的MAC到数据字段注意那个类型字段。经典以太网把它当“类型”用直接告诉接收端上层是什么协议IEEE 802.3后来又把大于某个阈值的数值解释为“长度”。实际抓包里你看到的几乎都是类型用法0x0800这个值只要见过一次就不会忘。数据字段最少46字节、最多1500字节这两个数字也有讲究。1500字节叫最大传输单元MTU是IP层报文封装进以太网帧时不能超过的载荷上限所以常见的MTU是1500。46字节的最小值则跟CSMA/CD有关后面细说。如果上层数据不足46字节链路层会在数据后面补填充位接收端用帧头里的长度或类型信息把填充去掉。还有一个细节值得一说VLAN标签就是在源MAC和类型字段之间插入4字节的802.1Q Tag其中包含12位的VLAN ID。所以打了VLAN标签的帧最小46字节的限制仍然存在但MTU对IP层来说实际能用的载荷一般按1496字节考虑。这个知识点在配置Trunk、调MTU的时候很实用。2.3 CSMA/CD一堆设备抢一根线的规矩早期的以太网是总线型拓扑所有设备共享一根同轴电缆一台发数据其他设备理论上都能收到但同一时刻只能有一台设备发送。问题是你怎么知道此刻没人发大家都抢线怎么办CSMA/CD就是用来解决这个问题的协议全称是载波监听多点接入/碰撞检测。它的工作过程可以概括成四句话先听后发、边发边听、冲突停发、随机重发。设备发送前先监听信道空闲才发发送过程中继续监听一旦检测到电压异常确认发生了冲突立刻停止发送并补发一个强化冲突信号让全网都知道通道出事了然后等一个随机退避时间再重新尝试。随机退避用的是截断二进制指数退避算法。第K次重传时从0到2的K次方减1之间随机选一个数r等待r个争用期时间再重发K最大取到10重传超过16次就把帧丢弃并向上层报告出错。这个算法的巧妙之处在于冲突越频繁参与重传的设备越多等待时间的可选范围越大设备们重新碰撞的概率就越低。多人抢线吵架吵成一团时总得有人先闭嘴退后一步否则永远吵不完。CSMA/CD直接引出了以太网最小帧长的概念。一个设备发送完帧后才知道冲突就已经晚了因为收到冲突信号的设备都已经把帧当作有效数据收了。为了确保发送方在发完一帧之前就能感知到冲突帧的发送时间必须大于争用期。在10M以太网里争用期是51.2微秒对应发送64字节所以以太网帧最少不能低于64字节。这就是上一节那个46字节最小载荷的真正来历。现在的交换机已经用全双工取代了半双工的共享线路发送和接收走不同线对理论上不会再冲突CSMA/CD在纯交换网络里基本退出了历史舞台。但校园网、考试、面试里依然爱考它因为它是理解“为什么早期以太网要限制帧长度”这段历史的必经之路而且CSMA/CD背后的退避思想在很多无线和分布式协议里仍然在用。3. 交换机的自学习机制与VLAN二层网络的中枢如果你的实验环境里只有两台电脑直连研究数据链路层还不太需要交换机。但任何像样的局域网络都离不开交换机。交换机是工作在数据链路层的核心设备理解了交换机才真正理解了二层网络。3.1 交换机为什么比集线器强交换机的前身是集线器。集线器纯属物理层设备收到信号就给所有端口广播式地转发一遍所有端口共享同一个冲突域和同一个带宽。接的设备越多冲突越频繁整个网络越慢。它就像一个大会议室的广播喇叭谁说话所有人都听人多必乱。交换机则完全不同。它工作在数据链路层能读懂以太网帧里的目的MAC地址查自己的地址表后只从对应的那个端口把帧转发出去其他端口收不到。这样一来每个端口都独享带宽双方通信不干扰第三方。同样是大会议室交换机相当于给每个座位之间加了一对一的对讲小通道。这里要强调一个重要的域概念冲突域是可能发生冲突的范围集线器所有端口处于同一个冲突域交换机每个端口各自是一个冲突域广播域是广播帧能到达的范围默认情况下交换机所有端口仍然处于同一个广播域除非用VLAN把它切开。冲突域靠交换机就能隔离广播域必须靠VLAN隔离。3.2 CAM地址表是怎么“自学”出来的交换机内部维护一张MAC地址表专业称呼是CAM表记录“MAC地址—端口—老化时间”的对应关系。它不需要人工配置完全靠自学习建立这是链路层很精彩的设计。学习过程分四步。第一收到一个以太网帧先看源MAC地址把“源MAC — 入端口”的对应关系记到表里这就是学习。第二查目的MAC表里没有匹配项就把帧从除入端口外的所有端口泛洪Flooding出去广播式寻找目标。第三表里有匹配项且对应端口不是入端口就把帧精确转发到那个端口。第四匹配项的端口恰好是入端口说明目标设备就在同一端口侧交换机直接丢弃帧不再转发。每条表项都不是永久有效的一般会有一个老化时间常见默认是300秒。超过时间内这个MAC没有再发来过任何帧表项自动删除。这样设计的好处是设备移动、更换网口之后旧表项不会一直卡在那里交换机能在新位置重新学习。实际排障时你会用到几条命令来看这张表比如查看某台设备的MAC在哪个端口、某个端口学了多少个MAC以及有没有出现重复学习。MAC地址表本身也是攻击面之一有人可以伪造大量虚假源MAC不停发帧把交换机的地址表撑爆或填成攻击者自己的端口导致正常流量被劫持到错误端口。防护思路一般是限制端口MAC学习数量、开启端口安全这是后话了但初学阶段能看懂地址表就已经赢了一半。3.3 VLAN把一台交换机拆成几个虚拟局域网默认情况下交换机所有端口都在同一个广播域。等网络规模一大问题就来了一台设备发广播帧全楼所有端口都收到无关的设备也要跟着处理、转发既浪费带宽也带来安全隐患。VLAN虚拟局域网就是为了切广播域而生的。VLAN的核心思路很简单在一台物理交换机上用软件把端口划分成几个彼此隔离的虚拟局域网。每个VLAN是一个独立广播域VLAN内的广播帧不会跨VLAN传播更重要的是不同VLAN之间默认是不通信的必须经过三层设备路由器或三层交换机才能互通。所以VLAN天生就带一层隔离属性财务部的VLAN 10和人事部的VLAN 20在二层上永远互不可见。VLAN ID的范围是从1到409412位正好对应802.1Q里那个12位字段。日常规划中VLAN 1很特殊它是系统默认VLAN默认所有端口都在里面很多厂商默认不允许删除。实务里建议不要把用户业务放在VLAN 1里尤其不要把管理VLAN放进去因为默认管理VLAN暴露面太大不如单独划一个专用管理VLAN来管理网络设备。划VLAN的好处还体现在简化管理和提高性能上把一个大的广播域拆小广播流量大幅降低同一个VLAN内的设备可以按部门或功能统一命名、统一做策略而且VLAN的划分不依赖设备物理位置人在三层楼也能划进同一个VLAN管理上灵活很多。3.4 接口类型Access和Trunk怎么配合交换机端口和VLAN打交道时分两种角色Access口和Trunk口初学者最容易在这里绕晕。Access口通常接终端设备比如电脑、打印机。它只属于某一个VLAN进出这个端口的帧都是不带标签的普通以太网帧。发送时Access口会把帧打上自己所属VLAN的标签交给交换机内部处理转发给终端时再把标签剥掉设备完全感知不到VLAN的存在。所以配Access口你只需要关心一件事这个端口划到哪个VLAN里。Trunk口则用在交换机互连或交换机连接路由器时可以同时承载多个VLAN的流量。它不剥标签帧在Trunk链路上是带着802.1Q标签走的目的交换机根据标签判断该帧属于哪个VLAN。配置Trunk时要指定允许哪些VLAN通过很多故障就出在“允许列表没加”或“默认VLAN没放行”上。一句话记忆法Access口收单VLAN但彼此隔开Trunk口扛着多VLAN跑在交换机之间。这两个角色配套使用才能让VLAN跨多台交换机保持同一身份。排查跨交换机的VLAN不通时我第一反应永远是两端Trunk封装是否一致、允许VLAN列表是否匹配而不是去查终端配置因为这里踩坑的概率最高。4. 广域网链路上的数据链路协议PPP那些事局域网的链路层是共享介质和交换机的天下但到了广域网环境链路通常是点对点专线或者拨号连接设备少、介质固定协议设计思路也跟着变。这个场景下最常见的链路层协议就是PPP点对点协议。4.1 为什么广域网要另一套链路协议局域网的以太网帧需要靠MAC地址找目标因为总线上站着一堆设备但广域网专线通常是两台设备之间一条固定的物理链路两端一对一连MAC地址的意义就很小了。更重要的是这种链路上需要支持复杂的协商过程链路建立后要验证双方身份、协商各种传输参数、动态分配网络层地址所以PPP的任务比以太网更加“管理员化”。PPP实际上是个协议族三个核心组件缺一不可用来建立、配置和测试数据链路连接的LCP用来协商和配置网络层协议参数的NCP比如为IP服务的IPCP以及可选的多种认证协议用来验证对端身份是否合法。PPP的帧格式也有自己的特点。帧首尾是标志字段0x7E也就是01111110地址字段固定为FF控制字段固定为03因为点对点不需要寻址接着是协议字段告诉上层用哪个协议比如C021表示LCP8021表示IPCP然后是信息字段最后是FCS校验。如果信息字段里出现了和标志0x7E相同的字节就用前面说的零比特填充法处理保证不会和帧定界符混淆。4.2 PPP的工作流程LCP到NCPPPP建立一条可用的链路大致走五个阶段链路建立、认证可选、网络层协商、链路维持、链路终止。第一阶段LCP发送配置请求报文协商链路最基本的参数比如最大接收单元MRU、是否启用认证、认证协议选哪个。双方你来我往地协商对参数都满意了LCP进入开启状态链路层基本就通了。第二阶段是认证如果LCP协商时约定了要认证双方就用约定好的PAP或CHAP协议互验身份。第三阶段NCP上场对于IP网络就是IPCP双方协商IP地址、分配逻辑地址完成后网络层才能真正开始跑流量。第四阶段是维持阶段LCP会周期性发送链路探测报文来检查链路健康状态接收方收到后回应确认。第五阶段任一方发终止请求或链路物理中断LCP关闭连接并通知网络层协议停止使用。排障时看PPP卡在哪一步非常直观接口状态停在“链路建立阶段”多半是物理层或两端LCP参数不一致停在“认证阶段”多半是用户名密码或认证方式不匹配停在“网络层协商阶段”则要查IP地址分配是否冲突。我曾遇到一个案例链路始终建立不起来查来查去发现是两端的MRU协商没有达成共识一方要求1500另一方只支持1492调整成一致后立刻恢复。4.3 PAP与CHAP两种认证的差距PPP认证是一个特别经典的考点因为PAP和CHAP这两种方式的差异恰好反映了早期网络协议演进中的安全思路。PAP全称密码认证协议过程最简单客户端把用户名和密码以明文形式直接发给服务端服务端校验后返回成功或失败。只有两次握手看起来干脆但缺陷很明显密码在线路上裸奔任何人抓包就能直接看到明文而且它不防重放攻击别人截获一次成功应答之后就可以冒充客户端反复发送。现在除非是老旧设备兼容性需求否则不应再让PAP上场。CHAP就聪明得多。它用三次握手加挑战握手的方式全程不传输密码本身服务端先发一个随机挑战值给客户端客户端用自己的密码结合这个挑战值计算一个哈希摘要返回服务端拿到摘要后和本地算出的结果比对一致则认证通过。关键是接下来还可以周期性重复发起新的挑战防止一次认证后就被离线破解。CHAP面对重放攻击也天然免疫因为每次挑战值都不同。实际配置时还有一个细节PAP和CHAP的用户名密码存储位置、解密方式都不同不少排障时间花在“密码里大小写不对”或“不支持某个哈希算法”上。理解两种协议的本质区别后排查起来思路会清晰很多PAP查链路CHAP查两端摘要算法和密钥库。5. 二层网络常见故障与排查思路理论说再多最终都要落到排障上。数据链路层的问题往往不是“完全断网”这种大而明显的故障而是“网络时好时坏”“速度突然变慢”“频繁要重试”这些让人抓狂的慢性病。下面这三个场景是我觉得入门者最值得先掌握的排查经验。5.1 广播风暴整个网络瞬间变卡的原因广播风暴是我见过最能快速打垮一个局域网的故障。它的成因通常是二层环路交换机之间有多条物理链路形成回路广播帧在这张环形网里被不断复制、转发、回环像滚雪球一样指数级膨胀最终把交换机的CPU和链路带宽全部耗尽。表现是网络全面卡顿交换机指示灯疯狂闪烁CPU占用率逼近100%。排查思路从物理下手先看拓扑结构有没有交换机之间多接了线再看端口流量统计哪个端口收发的广播帧数量异常爆炸往往就是环路所在的端口。最简单粗暴的办法是找到那根多条链路冗余的线拔掉观察故障立刻消失基本就能锁定。真正的解决方案是启用生成树协议STP让冗余链路处于阻塞备份状态正常时只有一条路径工作链路故障时再自动切换既防环路又不损失冗余。5.2 双工不匹配与CRC错误看接口计数器的门道交换机上每个端口都有收发字节、错误包、CRC错误、碰撞、Runts和Giants等计数器。这些计数器就是揭示链路质量的黄历常规操作是把所有错误计数清零观察一段时间再来看增长情况。如果发现CRC错误持续增长优先怀疑物理层质量线缆过长、线序不对、水晶头松动、电磁干扰。另一个高频原因是双工模式不匹配一端强制全双工另一端自动协商成半双工收发时序对不上数据就会大量出错。这种场景下端口统计里往往同时伴随Late Collision和CRC错误。遇到时先把两端双工模式改成一致的自动协商或者统一强制成同一个全双工速率问题多能缓解。Runts是小于64字节的帧Giants是超过1518字节的帧这两种帧出现大量增长要么是某块网卡驱动异常要么是链路质量问题导致帧被截断或串扰。看到这些计数器别急着怀疑交换机自身优先查物理介质和对端设备因为交换机的转发芯片极少出错错误往往来自线缆和网卡。5.3 MAC地址漂移地址表“跳来跳去”说明什么正常网络里一个MAC地址应该只稳定出现在交换机地址表的一个端口上。如果同一个MAC一会儿从端口1学到、一会儿从端口5学到就发生了MAC地址漂移。漂移最常见的原因有二层环路广播帧沿不同路径绕圈交换机从多个端口收到同一个来源的帧地址表被反复改写也有可能是两台交换机之间做了不合规的级联或用户设备接了双网卡做了链路聚合但没有正确配置。漂移的直接后果是流量走错误的路径间歇性丢包、时通时断极难排查。排查时先看系统日志里的MAC漂移告警再结合地址表的端口变化规律找到被反复刷新的MAC到底挂在哪个链路上最后检查对应路径是否存在环路。实际项目里我也见过有人用端口安全的粘滞MAC作为防护让交换机把一个设备锁定在首个学习到的端口出现漂移直接拒绝但真正的病根大多还是链路结构不够规整。6. 给入门者的一条实操路径学了这么多概念最后的落脚点还是动手。我的体会是数据链路层看起来抽象但只要把“谁发给谁、帧怎么走、失败怎么退”这三件事具象化一下就通了。建议入门者先做三件小事。第一用两台设备直连抓包观察以太网帧头里的目的MAC、源MAC和类型字段亲眼看到0x0800代表IPv4、0x0806代表ARP。第二用命令查看交换机上的MAC地址表在PC上清一下网卡缓存再发几个包看地址表是怎么飞快学习出表项的。第三把两台机器接入一个交换机然后故意封掉一个端口、让流量走另一条路径体会二层转发和广播域隔离到底意味着什么。这三个实验做完数据链路层的很多概念就不再是一堆名词而会成为你脑子里能回放的操作画面。更进阶一点用网络模拟器搭一个小环境两台交换机互联两端分别划分多个不同VLAN配置Access和Trunk然后用抓包确认不同VLAN的帧是否真的互相到了该到的地方。在这过程中你大概率会遇到广播风暴、VLAN不匹配、Trunk放行列表漏配等问题有些坑自己踩过一遍比看十遍书都管用。毕竟数据链路层的价值从来不只是考试卷上的几道题而是让你在真实网络出问题时能顺着帧的路径一步一步找到那个出错的节点。