网络层这块内容我前前后后翻过不下五遍不同版本的教材和讲义每次重看都有新的体会。很多人学完传输层再往上走到了网络层就开始犯迷糊——明明TCP/UDP那一套还能靠端口号想明白怎么一到IP这里就全是地址、掩码、分片、路由这些看着就头大的东西。其实网络层是整个协议栈里最“接地气”的一层它要解决的就是一个特别朴素的问题两台隔着无数台设备的机器怎么把数据从这头送到那头。你手机连WiFi刷视频数据包从你家路由器出发经过运营商骨干网、跨过好几个自治系统最后落到某个机房的服务器上这一路上全靠网络层在扛。这篇文章我打算把网络层的核心逻辑掰开揉碎讲清楚从设计哲学到IP地址规划从分片重组到路由选路再到实操中怎么排查网络层的问题尽量做到你看完能自己动手配、能自己动手查。适合刚学完传输层想往上走的同学也适合工作几年但网络基础一直没系统梳理过的开发者。1. 网络层到底在解决什么问题1.1 从“端到端”到“点到点”的视角切换传输层关心的是“进程到进程”TCP负责把数据可靠地送到对端应用的端口上它假设底下有一条能用的路。但这条路是谁铺的传输层不管。网络层干的就是铺路这件事它关心的是“主机到主机”——准确说是“接口到接口”因为一个主机可能有多个网卡、多个IP。这个视角切换特别关键很多初学者把IP地址和端口号混在一起理解就是因为没把这两层的职责分清楚。我习惯用一个类比传输层像快递公司的客服负责跟你确认“这个包裹要送到哪个收件人手里”网络层像物流调度中心负责规划“包裹从哪个分拣站出发、经过哪几个中转站、最后到哪个片区的配送点”。客服不关心路线调度中心不关心收件人是谁。你写代码调socket的时候填的那个IP就是告诉调度中心“目的地片区在哪”端口号则是告诉客服“具体找哪个人”。这个分工带来的直接好处是解耦。应用层换协议、传输层换TCP还是UDP底下的路由体系完全不用动。反过来网络层升级IPv4到IPv6上层的HTTP、DNS照样跑只是地址格式变了。理解这个解耦逻辑后面学什么NAT、什么隧道技术你都能想明白它们是在哪一层做的“手脚”。1.2 无连接与尽最大努力交付的设计取舍网络层最核心的设计决策之一就是IP协议选择“无连接、不可靠、尽最大努力交付”。这个选择在今天看来理所当然但当年是有争议的。为什么不在网络层就做可靠传输答案藏在“端到端原则”里——可靠性应该放在通信的两端去做网络中间节点越简单越好。你想如果每个路由器都要维护连接状态、要确认、要重传那骨干网上的核心路由器得扛多大的状态表一个核心节点每秒转发几千万个包每个包都记状态内存和CPU根本吃不消。而且链路一断中间节点上的状态全乱套恢复起来极其麻烦。把可靠性推给端系统中间节点只管“收到包、查表、转发出去”简单粗暴但极其高效。这就是为什么IP包丢了就丢了TCP在两端负责重传。注意这里说的“不可靠”不是指网络层故意丢包而是指它不提供确认和重传机制。实际网络中丢包大多发生在拥塞时的队列溢出这是拥塞控制的范畴和可靠性是两码事。这个设计带来的一个实操影响是你在排查网络问题时如果ping丢包但TCP连接还能勉强维持往往说明链路有拥塞或质量抖动而不是“网络层坏了”。因为TCP有重传和拥塞退避能扛住一定程度的丢包而ping用的ICMP没有重传丢一个就是一个。这个判断技巧在实际运维里非常有用。1.3 网络层与数据链路层的边界在哪很多人分不清网络层和数据链路层觉得都是“发数据”。边界其实很清楚网络层负责“从源主机到目的主机”的全局寻址和路由数据链路层负责“相邻两个节点之间”的帧传输。IP地址是全局唯一的逻辑地址MAC地址是本地链路上的物理地址。一个包从主机A到主机B中间经过路由器R1、R2。在A到R1这一段源IP是A、目的IP是B但源MAC是A的网卡、目的MAC是R1入口网卡的MAC。到了R1它查路由表发现下一跳是R2于是把目的MAC改成R2入口网卡的MAC但IP地址不变。每一跳MAC都在变IP始终不变。这个“IP不变、MAC逐跳改变”的规律是理解整个转发过程的关键。我见过不少同学配网络时把网关地址配错或者ARP表出问题本质都是没理清这两层的配合关系。后面讲实操排查的时候我会专门说怎么用ARP和路由表来定位这类问题。2. IP地址与子网划分的实操逻辑2.1 IPv4地址结构与分类的来龙去脉IPv4是32位地址写成点分十进制就是四段0到255。早期的分类地址A类、B类、C类设计得很粗糙A类给大型网络、B类给中型、C类给小型靠地址前几位的固定模式来区分。这套方案在互联网早期够用但很快暴露出问题B类地址块65536个地址对很多中等规模组织来说太大浪费严重而C类256个地址又不够用。地址空间被切得七零八落利用率极低。后来引入了子网掩码和CIDR无类别域间路由才把“网络号”和“主机号”的边界从固定变成可变。现在你看到192.168.1.0/24这种写法斜杠后面的24就是掩码长度表示前24位是网络号后8位是主机号。这个表示法叫CIDR记法比写255.255.255.0简洁得多而且支持任意长度的前缀不再受分类限制。我建议新手一开始就养成用CIDR记法的习惯别再去背A/B/C类。分类地址是历史包袱实际配置里几乎见不到但考试和教材里还会提知道它为什么被淘汰就行。2.2 子网划分的计算方法与常见坑子网划分的核心就一句话从主机位借位当网络位。假设你拿到10.0.0.0/8这个大块要切成若干个子网每个子网至少容纳50台主机。50台主机需要多少主机位2的6次方是64减去网络地址和广播地址两个保留地址可用62个够用。所以主机位留6位网络位就是32减6等于26位也就是/26的子网。/26意味着每个子网有64个地址块大小是64。第一个子网10.0.0.0/26可用范围10.0.0.1到10.0.0.62广播地址10.0.0.63。第二个子网从10.0.0.64开始以此类推。这里有个特别容易踩的坑很多人算块大小的时候用256减去掩码最后一段比如掩码255.255.255.192256减192等于64这个64就是块大小没错。但如果掩码跨了字节边界比如/20就得按位来算不能简单用256减。我整理了一个快速计算的口诀实测下来很稳掩码长度块大小每子网可用主机数/24256254/25128126/266462/273230/281614/2986/3042/30特别常用点对点链路只需要两个可用地址用/30刚好不浪费。/31在RFC 3021里允许点对点链路使用两个地址都可用但很多老设备不支持配之前要确认。提示划分子网时先确定“每个子网要多少主机”再倒推主机位最后算网络位。别一上来就盯着掩码看容易绕晕。2.3 私有地址、NAT与地址规划的实战建议IPv4地址早就分完了现在内部网络基本都用私有地址段10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。这三段不会在公网上路由内部随便用出公网的时候靠NAT做地址转换。NAT的原理不复杂出口路由器维护一张转换表把内部私有地址加端口映射成公网地址加端口。但实操中有几个坑得注意。第一NAT会破坏端到端的透明性外部主动连内部主机是连不上的除非做端口映射DNAT。第二某些协议在载荷里携带IP地址比如老式的FTP主动模式、SIPNAT设备如果不做应用层网关ALG就转换不了会导致连接失败。第三NAT表项有超时时间长连接如果长时间没流量可能被回收需要靠应用层心跳保活。地址规划这块我的经验是按业务或按楼层划分大段再按需细分预留足够的扩展空间。比如一个园区网核心层用10.0.0.0/16每个楼栋分一个/20楼内再按部门分/24。这样路由表聚合起来干净排查问题的时候看IP就知道大概位置。千万别东一块西一块地随手配后期维护会非常痛苦。3. IP分片、重组与MTU的那些事3.1 为什么需要分片MTU的限制每种链路层技术都有最大传输单元MTU以太网默认1500字节。IP数据报如果超过MTU就得分成多个分片传输。注意MTU限制的是整个IP数据报的大小含IP头不是载荷。所以以太网上一个IP数据报最大1500字节减去20字节IP头TCP载荷最多1480字节再减20字节TCP头应用数据最多1460字节。这就是为什么很多系统里TCP的MSS默认是1460。分片的字段在IP头里标识Identification用来标记同一个数据报的所有分片标志位Flags里有DFDont Fragment和MFMore Fragments片偏移Fragment Offset表示该分片在原始数据报中的位置。接收方靠标识、源IP、目的IP、协议号四元组来归并分片。3.2 分片重组的风险与PMTUD机制分片本身不复杂但问题在于只要有一个分片丢了整个数据报就得重传。而且分片增加了中间设备的处理负担防火墙和NAT对分片的处理经常出幺蛾子。所以现代网络的最佳实践是尽量避免分片靠路径MTU发现PMTUD来动态确定整条路径上最小的MTU。PMTUD的工作方式是发送方先把DF位置1发一个大包。如果路径上某段MTU不够路由器会回一个ICMP“需要分片但DF置位”的差错报文里面带着下一跳的MTU值。发送方收到后调小包的大小重试。这个机制很优雅但有个致命弱点很多防火墙把ICMP差错报文全拦了导致发送方收不到通知大包一直发不出去表现为“小包能通、大包不通”的诡异现象。我踩过这个坑。有一次排查一个跨机房的文件传输问题ping小包正常传大文件就卡死。最后定位到中间某台防火墙拦了ICMP type 3 code 4的报文PMTUD失效。解决办法要么放行这类ICMP要么在端系统上把MSS钳制到一个保守值比如1360。这个经验告诉我排查网络层问题ICMP不能一棍子打死全禁得看类型。3.3 实操用ping和traceroute验证MTU验证路径MTU最直接的办法是用ping带DF位和大包大小去试探。Linux下ping -M do -s 1472 -c 3 目标地址-M do表示禁止分片DF置1-s 1472是载荷大小加上8字节ICMP头和20字节IP头正好1500。如果通说明路径MTU至少1500如果不通且返回“Frag needed”说明路径MTU更小逐步减小-s的值直到通为止就能测出实际MTU。Windows下用ping -f -l 1472 目标地址-f是DF位-l是载荷大小。注意Windows的-l也是指ICMP载荷算法和Linux一致。traceroute也能辅助判断但它的原理是逐跳发TTL递增的包看哪一跳开始不通能大致定位MTU瓶颈在哪一段。不过traceroute本身对ICMP的依赖也强防火墙环境下结果可能不准得结合两边抓包看。4. 路由与转发从路由表到选路算法4.1 路由表的结构与最长前缀匹配路由器转发包的核心依据是路由表。一条路由表项至少包含目的网络/前缀长度、下一跳、出接口、度量值。收到一个包拿目的IP去匹配表项匹配规则是“最长前缀匹配”——在所有能匹配上的表项里选前缀最长的那条。为什么因为前缀越长网络越具体路由越精确。举个例子路由表里有10.0.0.0/8下一跳是R110.1.0.0/16下一跳是R210.1.1.0/24下一跳是R3。现在有个包目的地址是10.1.1.5三条都能匹配但/24最长所以走R3。如果目的地址是10.1.2.5匹配/8和/16选/16走R2。如果目的地址是10.2.0.5只匹配/8走R1。这个机制是CIDR能工作的基础也是路由聚合的前提。你把多个连续子网聚合成一个大前缀发布出去上游路由器表项就少了但聚合后的前缀不能和更具体的路由冲突否则最长前缀匹配会选错。4.2 静态路由与动态路由的选型考量静态路由是手工配的简单直接不占CPU不占带宽适合拓扑稳定的小网络或末梢网络。缺点是拓扑一变就得手工改规模大了维护不动。动态路由协议RIP、OSPF、BGP等能自动学习拓扑变化适合中大型网络但有收敛时间和协议开销。选型的判断标准我一般看三条网络规模、拓扑变化频率、运维能力。十台以内设备、拓扑基本不动静态路由足够几十上百台、有冗余链路需要自动切换上OSPF跨自治系统互联BGP。别为了用而用小网络跑OSPF纯属给自己找事协议报文和邻居维护也是成本。注意默认路由0.0.0.0/0是最短前缀只有在没有更具体匹配时才用。配默认路由要小心环路尤其是双向都配默认路由指向对方的情况。4.3 实操读懂和验证路由表Linux下看路由表ip route show输出类似default via 192.168.1.1 dev eth0 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.100 10.0.0.0/8 via 192.168.1.254 dev eth0第一行是默认路由第二行是直连网段proto kernel表示内核自动生成第三行是去10.0.0.0/8的静态路由。验证某条路由是否生效用ip route get 目的地址它会告诉你内核实际会选哪条路由、从哪个接口出、源地址是什么。这个命令排查多网卡选路问题特别好用。Windows下用route print看表tracert看路径。排查时先确认路由表有没有对应条目再看下一跳是否可达同网段直接ARP跨网段看网关最后看接口状态。这三步走完大部分路由问题都能定位。5. 网络层排障实录与常见问题速查5.1 分层排查法从物理到应用的逐层验证网络层排障我习惯从下往上逐层确认别一上来就抓包。第一步看接口状态ip link确认网卡up、有速率第二步看IP配置ip addr确认地址和掩码正确第三步看路由ip route确认有去目的地的路由第四步ping网关确认二层和三层到网关通第五步ping远端确认跨网段通第六步才上traceroute和抓包定位具体哪一跳出问题。这个顺序的逻辑是每一层都依赖下一层下层不通上层肯定不通先排除简单问题再上复杂手段。我见过有人一上来就抓包分析TCP重传结果发现是网线没插好白折腾半天。5.2 常见问题速查表现象可能原因排查手段ping网关不通掩码配错、网关地址错、ARP失败ip addr看掩码arp -n看ARP表能ping通IP但域名不通DNS配置问题cat /etc/resolv.confnslookup测试小包通大包不通MTU不匹配、PMTUD被拦ping -M do -s逐步试探跨网段不通但同网段通路由缺失、网关未配ip route get验证选路间歇性丢包链路质量、拥塞、双工不匹配ping -f压测看接口错误计数能出不能回NAT/防火墙单向放行两端抓包对比看回程是否到达5.3 几个容易忽略的细节第一个细节是ARP缓存。同网段通信靠ARP解析MACARP表项有老化时间如果ARP表被污染或者老化异常会出现“有时通有时不通”。arp -n看表项状态arping可以主动探测。第二个细节是ICMP被禁。很多安全策略默认禁ping导致你以为网络不通其实只是ICMP被拦TCP照样能连。排查时用telnet 目标 端口或nc -zv 目标 端口验证TCP层。第三个细节是双工模式。链路两端双工不匹配一端全双工一端半双工会导致大量冲突和丢包表现为“能通但极慢且丢包”看接口的collisions计数能发现。提示抓包是终极手段但别滥用。先用ping、traceroute、ip route get这些轻量工具缩小范围确定可疑点后再在关键节点抓包效率高得多。6. 从网络层延伸出去的几个方向网络层学扎实了往上可以看路由协议的具体实现OSPF的LSA、BGP的路径属性往下可以看链路层的交换和VLAN横向可以看网络安全里的ACL、防火墙策略、流量整形。我个人觉得最值得深入的是路由策略和流量工程这块因为实际生产环境里“能通”只是及格线“通得高效、通得可控”才是真功夫。比如多出口场景下怎么根据目的地址选路、怎么用策略路由做分流、怎么用ECMP做负载均衡这些都是在网络层基础上做的文章。另外IPv6也值得花时间看虽然地址长、写法多但它的设计比IPv4干净很多没有广播、有流标签、地址自动配置理解了IPv4再学IPv6主要是记新的报文格式和邻居发现机制。我实际配过几次IPv6的OSPFv3感觉比v2清爽少了很多历史包袱。最后分享一个我自己的学习习惯每学一个协议就拿Wireshark抓一次真实流量对着字段一个一个看。网络层的东西光看书容易飘抓一次包看IP头里每个字段的实际取值看分片怎么切、TTL怎么递减、校验和怎么算印象会深得多。我当年就是靠反复抓包把IP头那十几个字段彻底记牢的比背十遍教材管用。