排查网络故障的时候我最先看的往往不是应用层而是 IP 这一层。你抓包也好用 traceroute 看路径也罢数据包里最显眼的那个源地址和目标地址就写在 IP 头上。TCP/IP 协议模型详解这个系列写到第三篇我终于要聊到网络层的核心——IP 协议。如果说 TCP 负责的是“可靠地把数据送到”那 IP 负责的就是“找对路送到对的地方”。这篇文章适合正在学网络基础的学生、刚入行的运维、以及被“为什么上不了网”折磨过的开发者。每次用 ping 能通、curl 却卡住的时候很多人会下意识怀疑 DNS 或应用本身但真正的根因经常埋在 IP 层路由没有下一跳、TTL 被减到零、报文被分片后丢失、IP 地址冲突。这些场景里的“罪魁祸首”都是我们今天要拆解的 IP 协议。下面我按自己的学习路径和排障习惯把这层的东西完整过一遍。1. IP协议在TCP/IP模型中的位置与三大使命1.1 网络层的职责边界TCP/IP 模型一共四层链路层、网络层、传输层、应用层。链路层解决的是“同一根网线里怎么把比特组成帧”传输层解决的是“数据怎么可靠地交给某个进程”应用层解决的是“数据长什么样、怎么解释”。网络层夹在中间干的事最简单也最麻烦它不关心数据的内容也不关心使用什么端口只负责把数据包从源主机送到目的主机。这个“送”字听起来像快递物流。IP 协议做的事情就是给每一个数据包贴上一张“快递面单”上面写着发件人地址源 IP、收件人地址目的 IP、这件包裹总共多大、是不是被拆过箱、最多允许中转多少次。链路层的 MAC 地址负责“相邻两站之间怎么走”而 IP 地址负责“整条路怎么走”。1.2 三大核心任务寻址、分片、路由IP 协议在网络层承担三件大事。第一件是寻址。IPv4 用 32 位二进制给每台主机编号这就是我们熟悉的点分十进制 IP 地址。没有这个编号网络设备根本不知道数据该往哪里送。第二件是分片与重组。以太网帧的载荷上限通常是 1500 字节而 IP 报文可能更大。当报文超过下一跳链路的 MTU最大传输单元时IP 协议会把报文拆成几个小片到达目的地后再重组。注意是“到达目的地后再重组”不是每一跳都重组这一点很多人会搞错。第三件是路由。每个路由器维护一张路由表收到一个 IP 分组就查一下目的地址应该送向哪个接口、哪个下一跳。这个过程被称作逐跳转发。1.3 为什么值得单独写一篇很多人觉得 IP 协议很“基础”不值得单独拉一篇出来。但实际工作中二次开发、网络优化、故障排查绕不开的恰恰是 IP 头部那些字段。TCP 的序号和确认号是保证“不丢不乱”的机制IP 的标识符、标志位和片偏移是保证“大数据在受限链路上能传过去”的机制。不懂分片你就不明白为什么大 ping 包通、小 ping 包不通不懂 TTL你就看不明白 traceroute 的原理。这篇我打算把 IPv4 头的每个字段掰开揉碎再讲地址规划、路由转发和排障实战。2. 拆开IPv4协议头20字节里的门道2.1 六个必须背下来的核心字段IPv4 的标准头部长度是 20 字节没有可选项的话就是这个数。从头到尾依次是版本号4 bit、头部长度 IHL4 bit、服务类型8 bit、总长度16 bit、标识符 Identification16 bit、标志位 Flags3 bit、片偏移13 bit、生存时间 TTL8 bit、上层协议号8 bit、头部校验和16 bit、源 IP32 bit、目的 IP32 bit。版本号永远填 4这没什么好说的。头部长度字段的单位是“4 字节”也就是说如果值是 5表示头部是 5×420 字节如果带了可选项这个值会变大。总长度字段告诉接收方“这个 IP 报文整体多大”单位是字节最大 65535。这里要特别留意IP 总长度包含头部而 TCP/UDP 报文段的长度是从 IP 总长度里减去头部长度推算出来的。2.2 标识符、标志位、片偏移分片三元组这个组合是 IP 层排障中最容易被忽略的地方。标识符 Identification 用来标识“同一个原始报文的所有分片”发送方每发一个原始 IP 报文标识符就加一分片时所有小片共享同一个标识符。标志位里有两位关键DFDont Fragment不允许分片和 MFMore Fragments后面还有分片。片偏移Fragment Offset字段的单位是 8 字节表示当前分片的数据部分在原始报文中的位置所以分片的数据部分长度必须能被 8 整除。三个字段配合起来接收方可以判断这些片是不是同一个报文的、顺序怎么排、是不是全部到齐了。我在实际抓包里见过很多因为分片重组失败导致的传输问题MF 位为 1 的包迟迟不来接收方缓存已满只能把之前收到的分片全部丢弃。2.3 TTL控制数据报一生的计数器TTLTime To Live是一个 8 位计数器源主机设置初始值常见的是 64、128、255。每经过一台路由器TTL 减一减到 0 时路由器直接丢弃这个包同时回给源主机一个 ICMP 超时消息。之所以要有这个机制是防止数据包在网络环路里无限兜圈子。这也是 traceroute 的原理先发一个 TTL1 的包第一跳路由器丢弃并回复超时再发 TTL2 的包第二跳丢弃并回复超时……以此类推就能把路径上每一跳的 IP 地址都“问”出来。你ping 某个 IP 时看到“Time to live exceeded”往往不是目标主机不回包而是路径中间有节点把包丢了。3. IP地址体系分类、子网与CIDR3.1 IPv4地址分类与特殊地址的坑传统上 IPv4 地址分成 A、B、C、D、E 五类。A 类从 1.0.0.0 到 126.255.255.255默认掩码 /8B 类从 128.0.0.0 到 191.255.255.255默认掩码 /16C 类从 192.0.0.0 到 223.255.255.255默认掩码 /24D 类是组播地址224.0.0.0 到 239.255.255.255E 类保留研究用。有几个特殊地址必须记住127.0.0.0/8 是回环地址发到 127.0.0.1 的包不会真正的出网卡而是由本机协议栈处理169.254.0.0/16 是链路本地地址当设备没拿到 DHCP 地址时Windows 和 Linux 会自动给自己配置这个网段的地址很多人看到“IP 地址是 169.254.x.x”就知道 DHCP 失败了私网地址则是 10.0.0.0/8、172.16.0.0/12、192.16 8.0.0/16 这三个段公网上不可路由。3.2 子网掩码与CIDR计算实战子网掩码的作用是区分“网络位”和“主机位”。比如 255.255.255.0 的二进制是连续 24 个 1代表前 24 位是网络位。后来大家觉得分类太死板直接用 CIDR 记法/24 就代表掩码前 24 位为 1/26 就是前 26 位为 1对应的掩码是 255.255.255.192。来算一个实际的例子。192.168.1.0/26网络位 26 位主机位 6 位能用的主机数量是 2 的 6 次方减 2也就是 62 台去掉网络地址和广播地址。这个子网的范围是 192.168.1.0 到 192.168.1.63其中 .0 是网络地址.63 是广播地址可用地址从 .1 到 .62。如果一个办公室里接了 63 台电脑你给他们配 /26就一定会有一台获取不到地址——这种边界问题实打实地出现在日常维护里。3.3 变长子网掩码与地址规划VLSM可变长子网掩码让你把一个较大的网段切成多个大小不一的子网。比如把 192.168.1.0/24 分成四个 /26每个子网 62 个可用地址也可以切一个 /25126 个可用再切两个 /26这样合计 1266262250正好覆盖 250 台终端的场景。做地址规划的原则我自己的经验是“按区域收敛、给未来留余量”。比如办公区、生产区、管理区各用独立网段设备互联地址一律用 /30四个地址里只有两个可用最省地址。有人会觉得这样浪费但真出网络隔离问题时清晰的地址规划能让你一眼看出哪些流量不该互通。4. 路由与转发把IP数据包送到目的地4.1 逐跳转发的基本原理IP 数据报的转发方式是逐跳的。源主机把包交给默认网关网关路由器查路由表决定下一跳是谁然后从对应接口送出去下一跳继续做同样的事直到抵达目标网段。你电脑上的默认网关就是本机的“下一跳”出口而每一跳只关心“下一步怎么走”并不关心整条路径是什么样。这也解释了为什么路由器的 WAN 口和 LAN 口 IP 通常不在同一网段它必须既能作为内网的网关又能通过外网侧路由表找到互联网出口。4.2 路由表与最长前缀匹配路由器选择路径时不是看“哪条路由条目先出现”而是看“哪条条目最精确地匹配目的地址”。这个规则叫最长前缀匹配。Linux 里用 ip route show 能看到路由表比如默认路由 0.0.0.0/0 是一个兜底规则任何地址都匹配而 192.168.1.0/24 的规则只匹配这个网段内的地址。要访问 192.168.1.8 时同时有默认路由和这条具体路由路由器一定选后者因为 /24 的掩码比 /0 长、更精确。找下一跳时如果配置错误比如某条路由的下一跳根本无法通过链路层到达包就会被丢弃然后在控制平面报错。排障时我习惯先看 ip route 里有没有默认路由没有默认路由外网一定不通不管网线亮不亮。4.3 静态路由与动态路由协议小型网络用静态路由就够了每条路手动写好目标网段、掩码、下一跳。但网络一大手动维护不可行于是有了动态路由协议。内部网关协议里RIP 用跳数选路OSPF 用链路状态与最短路径算法选路外部网关协议的霸主则是 BGP。对于普通运维和开发来说理解一个概念就够了动态路由协议是为了“在网络拓扑变化时自动收敛”而存在的。链路断了OSPF 秒级收敛流量自动切到备用路径如果没有动态协议只能等人工去改静态路由业务中断时间往往从分钟级起算。4.4 NAT私网地址如何上网家里路由器给你分配的 192.168.x.x 是私网地址互联网上没人知道怎么把包送回来。NAT网络地址转换在这里起了关键作用出方向的包路由器把源地址换成自己的公网 IP同时记录一条会话映射回来的包根据映射再转换回内网地址。PAT端口复用 NAT是家用场景最常见的形式几十台终端共享一个公网 IP靠不同端口区分会话。这里最容易踩的坑是内网服务器要被外部访问时必须做端口映射并且要理解 NAT 只认四元组映射不是单纯改个 IP 那么简单。有些老旧应用协议不兼容 NAT需要路由器开启 ALG 模块比如 FTP 的主动模式。5. IP协议的左膀右臂ARP、ICMP与IGMP5.1 ARP把IP地址翻译成MAC地址IP 地址负责“送到哪个网络”但最终在同一段链路里传输时靠的是 MAC 地址。ARP地址解析协议就是干这个翻译工作的。主机 A 要发给主机 B 时会先查自己的 ARP 缓存没有就会在本地广播“谁是 192.168.1.2请告诉你的 MAC 地址”。被询问的主机单播回复A 收到后缓存结果再发送真正的 IP 数据报。注意 ARP 只工作在 IPv4 的局域网内。它能被恶意利用比如伪造 ARP 回复让对方把流量发到攻击者机器上这就是 ARP 欺骗。交换机上的动态 ARP 检测、静态 ARP 绑定可以缓解但根上的思路是不要信任局域网内不可控的设备。在路由器上查看接入设备时第一件事就是对照 IP 和 MAC 是不是你认识的人。5.2 ICMPPing和Traceroute都靠它ICMP因特网控制消息协议是 IP 的附属协议本质是传输“控制消息和错误信息”。最常见的两类Echo Request类型 8和 Echo Reply类型 0这就是 ping 的底层Destination Unreachable类型 3告诉你目标不可达或协议端口不可达Time Exceeded类型 11告诉源主机有包 TTL 超时了。抓包的时候要注意ICMP 报文外面也套着 IP 头所以它实际上是由 IP 承载的。用 tcpdump 抓 ICMP 流量时你会看到一层 IP、一层 ICMP。而当防火墙禁了 ICMP 时ping 不通不代表网络不通这也是排查中最重要的认知。5.3 IGMP与组播组播场景里主机要用 IGMP组管理协议告诉路由器自己加入了哪个组播组。上路由器查询组员回复报告离开时发送离开报文。普通业务的单向视频直播、IPTV 偶尔会用到。说实话组播在企业网里不是高频场景但云计算里负载均衡、VXLAN 控制面偶尔也会碰到组播概念了解 IGMP 的三类消息不至于让你一头雾水。先记住一个点IGMP 管的是“主机与路由器之间关于组播组成员关系”的通信路由器和路由器之间的组播路由那是另一套协议的事。6. IPv6新一代IP协议的关键变化6.1 128位地址与压缩规则IPv6 的地址长度是 128 位表示成 8 组十六进制数每组 16 位。比如 2001:0db8:85a3:0000:0000:8a2e:0370:7334。它允许多种压缩写法每组的开头零可以省略连续的全零组可以用一对冒号 :: 替代但只能替代一次否则接收方无法判断省略了多少。这也是一个高频排障点。如果你看到地址里出现了两个 ::那一定是错的。链路本地地址 fe80::/10 几乎每个 IPv6 网卡都有它只在本地链路内有效不允许被路由转发也没有公网意义。6.2 协议头和分片机制的变化IPv6 基本头固定 40 字节把 IPv4 头里很多字段删掉了。没有头部长度字段没有头部校验和没有分片字段。IPv6 的分片信息被放进扩展头而且只有源节点可以分片中间路由器不允许再对 IPv6 报文分片。这条路强行要求端到端做路径 MTU 发现好处是转发更快、处理更简单代价是如果 ICMPv6 错误消息被防火墙丢弃就可能出现“大包不通小包通”的经典问题。另外一个重要变化IPv4 的广播在 IPv6 里被彻底去掉了对应的场景由组播承担。这减少了不必要的局域网打扰也让地址扫描变得更难算是一个安全上的加分项。6.3 IPv6过渡与双栈目前部署 IPv6 最常见的方式是双栈设备同时配置 IPv4 地址和 IPv6 地址应用优先走 IPv6不行再回落到 IPv4。过渡技术还有各种隧道和翻译方案。如果你是运维短期内最重要的还是学会在设备上配置双栈、看懂 ip -6 addr 的输出以及知道 fe80:: 开头的地址为什么不能被当成公网地址来访问。IPv6 排障思路和 IPv4 基本一致先确认本机地址再 ping 网关的链路本地地址或全局地址再用 traceroute6 看路径。7. 排障实战IP层的常见坑与快速定位法7.1 本机IP配置检查的完整命令排障第一步永远是确认本机配置。Windows 上用 ipconfig /all重点看四行IPv4 地址、子网掩码、默认网关、DNS 服务器。Linux 上直接 ip addr 查看接口状态和地址ip route show 查看路由表。如果地址是 169.254.x.x说明 DHCP 没通如果网关地址和本机 IP 不在同一网段包根本出不去。很多新手忽略的一点是配置了静态 IP 但忘了配网关或者网关 IP 写错系统不会报错但 ping 外网直接 timeout。所以看到“网络图标正常”不等于“能上网”一定要用命令确认。7.2 用Ping大小包定位MTU问题如果你发现访问某个网站特别慢、大文件传输卡住而网页浏览正常优先怀疑 MTU 问题。用 Windows 的 ping -l 参数发不同的包大小先从 1472 开始1500 减 28 字节的 IPICMP 头能通就往下减不能通往上加逐步找到临界值。PPPoE 拨号环境下 MTU 一般是 1492所以 1500 字节的包过去会被分片如果分片被运营商设备丢弃就会出现大包不通。如果发现 MTU 值异常小就需要在客户端或路由器上调整 MTU。这个排查方法对 IPv6 同样适用只是 ICMPv6 的“包太大”消息更明确因为源节点本来就不允许中间路由器分片。7.3 抓包看IP层异常的三种典型情况抓包是观察 IP 层最直接的手段。Linux 上 tcpdump -i eth0 icmpWindows 上用 Wireshark 过滤 icmp 或 ip.addr目标IP。三种典型的异常情况第一种只有请求没有响应说明回包被丢弃或目标主机没回第二种看到多个相同 Identification 的分片但一直没收到 MF0 的最后一个分片说明分片丢失第三种连续出现 TTL exceeded说明路径出现了环路或路由配置错误数据包在绕圈。还有一种容易被忽略的情况目的不可达的 ICMP 返回包中带有一段原始 IP 头和前 8 字节数据这段内容会精确告诉你哪个包出了什么问题。看 ICMP 错误消息时务必顺着它的嵌套结构找到原始报文的信息那才是真正的排障线索。7.4 IP层问题快速排查清单现象可能原因优先排查手段本机拿到 169.254 地址DHCP 未通或服务故障检查网卡与 DHCP 服务ping 网关不通网线/无线断开、IP 冲突ipconfig /all 核对地址与网关ping 网关通、外网不通没有默认路由或 NAT 失效ip route 查看 0.0.0.0/0大包通小包不通MTU 不一致或分片被丢弃调节 ping 包大小找临界值某段路径 TTL exceeded中间路由器丢弃或环路traceroute 逐跳观察访问内网服务超时没有精确路由或防火墙拦截检查路由表与抓包确认丢包点这套清单是我实际排查时反复用到的。很多时候出问题的不只是某一个点而是链路整体建议从链路层往上逐层确认网线通不通、IP 正不正确、路由有没有、以及防火墙有没有悄悄丢掉你需要的协议。最后再分享一点心得写了这么多最想强调的是别把 IP 协议当成一堆需要死记硬背的字段。它本质上就是一张快递单把你的数据包安全地、按规则地送到目的地。遇到网络问题先看地址、再看路由、最后抓包能解决绝大多数让人头秃的情况。IPv4 和 IPv6 的细节虽然有差异但排查思路是通用的。多亲手敲几次 ipconfig、route、tcpdump比看多少篇详解都管用——这是我踩了无数次坑之后最想提醒你的一句话。
