我做过不少网络相关的项目真正把我从“交换机能通”带到“网络是门系统工程”这个认知阶段的是一门后来补修的进阶课程课程名叫“计算机网络2”。如果你以为它只是在《计算机网络》基础上多讲几章那就低估了。这门课或者说这个专题核心是把数据链路层以上那部分真正讲透IP怎么规划、路由怎么选、TCP为什么可靠、拥塞从哪来以及网络出了问题到底怎么定位。很多人学完第一部分只会配交换机、划分VLAN一进到路由和传输层就懵就是因为“计算机网络2”这部分的知识密度突然增大概念又抽象。这篇内容我想用自己做实验、跑模拟、排查故障的经验把这块知识重讲一遍。我尽可能用“实验现场”的方式来讲而不是罗列协议章节。你会看到一个三层园区网从零搭起来的过程也会看到我不止一次把网络“弄断”再救活的完整过程。不管是正在被路由协议折磨的学生还是在公司里刚接手网络维护、想补底层原理的开发者这篇都适合当复习提纲来看。1. 计算机网络2到底在讲什么1.1 从“能通”到“知道为什么通”很多人学完计算机网络的第一阶段停留在“配置IP、接交换机、ping通”这个层面。这种状态不是不对而是不够。因为在一个单台交换机或者一个小型局域网里通信路径太短很多问题不会暴露。一旦规模扩大数据要跨设备、跨网段、跨运营商线路传输就必须要理解网络层的转发逻辑、路由的选路依据以及传输层是怎么保证数据不丢、不乱、不重复。这是我总结“计算机网络2”最核心的一条主线它把所有“默认能通”的场景拆开逼你去回答一系列“为什么会通”和“为什么不痛”的问题。为什么A机器能访问B机器数据包经过了哪些设备为什么路由表有下一跳而下一跳不一定是目的地为什么TCP要建立连接而UDP不用为什么网络明明没有断下载速度却上不去这些问题在第一阶段几乎不会遇到。而“计算机网络2”就是用来回答它们的。1.2 核心知识地图和一张TCP/UDP对照表我建议学这门专题前先建立一个整体地图别一头扎进协议细节。整个知识体系大致分四层往下卷网络层IPv4/IPv6编址、子网划分、路由表、静态路由、动态路由协议RIP、OSPF、VLAN间路由、网络地址转换NAT、ICMP。传输层端口、UDP、TCP报文段结构、三次握手与四次挥手、可靠传输、滑动窗口、拥塞控制。应用层DNS解析过程、HTTP请求往返、HTTPS握手、DHCP地址获取过程。网络管理与安全ACL访问控制、VRRP网关冗余、常见的攻击面比如扫描、洪泛、欺骗。传输层是“计算机网络2”里最劝退人的地方尤其是TCP。学之前我建议先把TCP和UDP的定位差异背熟对比项TCPUDP连接状态面向连接有建立和释放过程无连接随时可发可靠性确认、重传、排序保证可靠不保证可靠传输效率握手和确认开销大开销小时延低适用场景文件传输、网页、远程登录音视频流、DNS查询、游戏上报流量控制有滑动窗口无拥塞控制有无不要死背“TCP可靠、UDP不可靠”这个结论。要理解为什么。我打一个比方TCP是快递签收流程每一单都要确认签收丢件了要补发顺序乱了要重新排好UDP是发传单扔出去就不管拿到没拿到、顺序对不对接收方自己承担。视频通话和在线游戏用UDP就是因为“晚到但正确”的数据没有意义实时性优先。1.3 为什么这部分知识是“项目的分水岭”我做过的几个背靠背的小项目比如某个跨平台系统的内网互通优化、一个园区网的搭建调试几乎全部卡在“计算机网络2”的基础概念上。第一步可以靠百度第二步可以靠经验但第三步绝对靠原理。举一个最简单的例子两个不同VLAN的主机要通信你以为只要把交换机端口划好就行结果发现ping不通。因为VLAN隔离了广播域二层走不通必须有“三层设备”来转发也就是网关。这时候你需要的不是再堆一台交换机而是要在交换机上创建VLANIF接口或者接一台路由器做单臂路由或三层交换。这个“为什么二层不通”的根因就是“计算机网络2”最典型的考点。所以这门专题不是课本上的文字它直接决定了你以后能不能独立设计一套能用的网络而不只是会照别人拓扑图敲命令。2. 项目设计与组网拓扑规划2.1 一个模拟三层园区网的需求拆解我以自己做过的一个模拟项目为例项目代号叫某园区网改造。场景是这样的一栋办公楼两层结构一楼是办公区二楼是研发区另外有一个独立机房放服务器。设备上接入层有若干台二层交换机汇聚层有一台三层交换机核心层再有一台三层交换机或路由器出口接一条模拟外网线路。需求整理下来一共四条办公区、研发区之间二层隔离不能随便广播互访但可以三层互通。服务器区要能被办公区访问但办公区不能反向直接登录服务器后台只能通过特定端口访问。网络要有冗余核心到汇聚不能单点故障。外网访问要统一走NAT内部地址全部私有化。这个需求本身并不复杂但如果VLAN划分、网关位置、路由协议选型有一个地方偷懒后面排查就能熬到凌晨。这也是我后来特别强调“先画图、再规划、后动手”的原因。2.2 IP地址规划与VLAN的分配逻辑规划的第一步是分VLAN。我按“业务位置”两个维度来分VLAN 10办公区网段 192.168.10.0/24网关 192.168.10.254。VLAN 20研发区网段 192.168.20.0/24网关 192.168.20.254。VLAN 30服务器区网段 192.168.30.0/24网关 192.168.30.254。VLAN 100设备管理网段网段 192.168.100.0/24专门用来管理交换机、路由器。这里有一个细节很多人会忽略设备之间的互联地址也就是路由器与路由器、交换机与交换机之间直连的IP我单独规划了一段 10.0.0.0/30 和 10.0.1.0/30 这样的地址。它们和业务网段完全分开。原因是避免路由表里出现“业务流量和设备管理流量混在一起”的尴尬局面也方便后续维护时一眼看出是哪两个节点之间的链路。用/30掩码一个子网正好4个地址2个可用不多浪费私网地址。这是我强烈推荐的做法。网关为什么要放在汇聚层而不是接入层因为办公区、研发区需要三层互通网关放在接入层每个接入交换机都要跑路由协议设备压力和配置复杂度都会翻倍。放汇聚层接入层专心做二层转发整个广播域也很干净。2.3 模拟工具和实验环境选择的经验很多新手都喜欢直接拿真实机器练但“计算机网络2”阶段的拓扑动辄十几台设备真实设备不仅贵还难重置。我个人的经验是先在模拟器里跑通一遍再碰真机效率最高。做这个项目的时候我用的是轻量级教学模拟器和命令行更接近真实设备的模拟平台。前者胜在零基础友好后者更适合做路由协议实验。选择工具的核心标准只有一条能不能让你亲手敲命令、看状态、抓包。如果只是点鼠标连线实验效果会大打折扣。2.4 从零开始的配置步骤下面这些配置我按操作顺序写。使用的命令风格是主流园区网络设备通用的命令行写法不同厂商会有小区别但思路通用。第一步在接入交换机上创建VLAN并划分端口system-view sysname Access-SW1 vlan batch 10 20 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 20 interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 20这里要注意接终端的端口设成access接上级交换机的端口设成trunk。Trunk是把多个VLAN的二层帧往上传的通道如果不放行对应VLAN数据到不了上层。第二步在汇聚三层交换机上创建VLANIF网关并配置VLAN间路由system-view sysname Core-SW vlan batch 10 20 30 100 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif20 ip address 192.168.20.254 255.255.255.0 interface Vlanif30 ip address 192.168.30.254 255.255.255.0配置完后VLAN10里的主机把网关指向192.168.10.254VLAN20的主机指向192.168.20.254跨VLAN通信就不再需要外部路由器了。因为我用的三层交换机本身就是路由设备。第三步配置通往出口路由器的静态路由或缺省路由。如果没有动态路由协议至少要加一条默认路由指向出口设备ip route-static 0.0.0.0 0.0.0.0 10.0.1.2意思是所有不知道往哪送的数据包统一丢给下一跳10.0.1.2这个地址是出口路由器的接口。很多项目没跑通就是缺这“最后一条路”。这个配置过程看着简单但每一个网段、每一个VLAN、每一条路由背后都有明确的逻辑。我在实际做项目时会把规划表打印出来配置完一项勾一项能避免至少一半的失误。3. 关键机制的“为什么”拆解3.1 三次握手为什么一定要三次TCP三次握手几乎是必考内容但搞懂的不多。我当时学的时候也很机械地记“SYNSYNACKACK”直到自己用抓包工具看了完整交互才明白。握手要解决的核心问题是让双方确认“自己发送的能力”和“对方接收的能力”都是正常的同时同步初始序列号。为什么两次不行假设A发一个SYN给BB回一个SYNACK给AA不再回应的话B并不知道A有没有收到自己的回包。这时候B就已经建立连接了而A那边可能因为回包超时还在重传。还有更麻烦的情况一个延迟的旧SYN包突然到达如果不做第三次确认B会误以为这是新连接请求浪费系统资源甚至被利用来发起洪泛攻击。三次握手A对B回包的确认本质上是在说“我确实收到了你的同步信息连接可以建立”。用类比来说两个人约见面A说“我明天到”B回“好我明天在”。只有B收到A再回一句“收到”双方才都放心。少一次总有一方心里不踏实。3.2 可靠传输不是“重传”这么简单TCP的可靠性听起来很直白丢了就重传。但实际实现远不止如此。因为网络不知道什么时候会丢重传太激进会加剧网络拥塞重传太保守又会让应用卡顿。这里要理解三个紧密关联的东西序号、确认号、滑动窗口。发送方给每个字节编号接收方收到后返回确认号表示“到这为止都收到了”。滑动窗口则决定了发送方不需要等一个确认再发下一个而是可以连续发多个数据包。窗口越大单位时间能发出去的数据越多但前提是接收方能接得住。这个设计非常像流水线生产生产线不需要等每个零件都检验完再继续而是允许一批在制半成品在线上移动。窗口就是线上允许同时处理的数量。窗口太小产能上不去窗口太大一旦网络拥塞大量半成品积压在路上反而浪费时间。3.3 拥塞控制里的慢启动和“加法增大”拥塞控制是我觉得整门课里最贴近现实的部分。TCP不会在一开始就猛发数据而是从很小的拥塞窗口开始比如1个报文段每收到一个确认就翻倍这就是慢启动。别被名字骗了慢启动阶段增长其实非常快是指数级的。到达慢启动阈值之后进入拥塞避免阶段窗口变成每经过一个往返时间加1这叫加法增大。一旦发现丢包或者超时窗口会快速下降再重新走一遍启动过程。为什么这样设计因为TCP并不知道网络到底能承载多少流量只能“试探着来”。这跟开车进入浓雾路段很像你不敢一脚油门直接冲只能先低速走确认前路通畅后逐渐提速一旦看到危险就立刻减速等恢复后再慢慢试探提速。全速发送就是给网络添乱极端情况下一堆包全部超时效率反而变成零。我遇到过一个实际问题两台机器之间的网络明明有千兆带宽但通过路由器转发时吞吐量始终上不去。抓包看到大量重传和窗口缩减最后定位是路由器接口的缓冲太小再加上两端之间的往返时延偏大带宽时延积算下来一个小窗口根本填不满链路。这个案例让我真正理解了参数和原理是怎么联系起来的。4. 实操中的故障排查与心得4.1 最常见的六类故障和排查命令做“计算机网络2”的实验我碰到过的故障基本可以归成六类列成一张表方便对照现象可能原因排查命令或思路ping不通网关VLAN划错或物理链路故障查看端口状态、display vlan再ping网关地址能通网关、不通隔壁网段缺少回程路由或VLANIF没配置查看路由表检查两端网关和路由协议邻居状态地址冲突时通时断DHCP分配重复IP查看ARP表排查冲突地址来源外网不通缺默认路由或NAT策略错误检查路由表、NAT映射表、ACL规则大包ping不通小包能通MTU不一致导致分片丢失用不同大小ping包测试检查接口MTUTCP连接频繁超时重置中间设备安全策略拦截或半连接队列溢出看抓包分析SYN、RST包的来源和去向这个表格之所以好用是因为它能让你从现象直接跳到一个可操作的起点而不是在拓扑里乱猜。排查网络问题最忌讳“东敲一下命令西看一眼状态”必须有顺序。4.2 一次从“不通”到“通了”的真实定位过程有一次我给一个模拟项目加动态路由协议配置做完之后办公区电脑可以访问服务器区的服务器但研发区怎么都通不了。第一反应是查VLAN划分结果没有问题。第二反应是查路由协议邻居发现汇聚层交换机和核心交换机之间的OSPF邻居状态一直是“DOWN”。这就奇怪了接口都是UP的物理链路没有断。后来我拿着抓包工具在两端互发PING发现包能到达对面但协议的Hello报文没有被正常处理。问题出在两端配置的网络宣告范围不一致。OSPF只有在宣告了自己所属网段后邻居才能在同一条链路里识别对方。我把核心侧的互联接口网段漏宣告了导致邻居关系起不来路由表里自然没有研发网段的路由。补上一条network命令后几十秒内邻居变FULL全网路由瞬间通了。这件事给我的教训很深刻协议“配置了”和“配置对了”是两回事。每写完一段配置一定要主动用查看命令确认结果而不是想当然。4.3 排除网络故障时要记住的避坑细节不要忽略回包路径。很多问题不是“去路不通”而是“回路不通”所以排查双向路由。抓包时不仅看数据包还要看ARP。如果MAC地址对应错误说明有IP地址冲突或ARP欺骗。配置ACL时注意方向。入方向和出方向的规则逻辑完全不同我多次因为把方向写反导致本月度访问异常。使用等价路由做负载均衡时要确认上层设备是否支持逐流散列否则同一个会话的包会乱序TCP性能反而变差。不管模拟器还是真机配置完毕后一定保存配置并且备份一份版本文件方便回滚。这些看起来都是小细节但每一条背后都有真实的踩坑经历。5. 学计算机网络2的高效路径和扩展建议5.1 永远把“验证”放在“背诵”前面我直到现在都很反感“背协议报文结构”的学习方式。报文结构当然要懂但更好的理解方式是抓包去看。比如用抓包工具把一个网页访问的全过程录下来你能够清楚看到DNS查询发生在什么时候TCP握手花了多少毫秒HTTP请求和响应用了几个数据包。这个时候再回头看教科书里的报文头字段基本过目不忘。所以我的建议是每一个知识点都配一个验证实验。学TCP握手就抓三次握手的包看SYN、ACK标记。学路由协议就故意删掉一条网段宣告观察邻居变化。学NAT就在外网侧抓包看私网地址怎样被转换成了公网地址。学DHCP就释放掉IP重新获取抓取四个阶段的数据包。这个过程花的时间不长但对建立直觉非常有帮助。我现在判断很多网络问题往往不是靠背诵哪个命令而是靠曾经抓过包、观察过状态留下的“画面感”。5.2 从“点对点”扩展到“端到端”如果你只是想应付考试“计算机网络2”的重点可能集中在协议细节上。但如果你以后要设计和维护网络建议把视角拉高到“端到端”的整个链路。以访问一个网站为例完整链路包括DNS解析出IP浏览器发起TCP连接数据包经过你的网关、运营商路由器、目标机房防火墙最终到达服务器。服务器返回数据包再原路回来。哪一段影响性能哪一段有安全风险哪一段会导致打不开这就是网络工程师或后台开发真正要关心的东西。我会要求自己把仿真环境里的每一台设备当作真实场景去看待。配置交换机时我会问如果这条链路断了怎么办配置路由协议时我会问如果某一条路由意外消失流量会不会走环配置ACL时我会问这个规则会不会把正常业务也挡掉有时候问题就在这些“多问一句”里被提前发现。5.3 围绕“计算机网络2”可以继续深入的方向学完整套基础知识以后后面的路可以分好几条走。一条是往网络工程方向深入做园区网的冗余设计、安全加固、自动化运维脚本。一条是往云基础设施方向走理解虚拟网络、负载均衡、容器网络这些本质上都是“计算机网络2”里的模型在云上的延伸。还有一条是往应用层和性能优化走比如HTTP/2与HTTP/3、QUIC协议、边缘计算网络这些又依赖传输层原理。无论走哪条基础都脱离不开本篇讲到的这些底层机制。地址规划、路由选路、可靠传输、拥塞控制、故障排查这五件事始终是网络世界的底座。最后再分享一个我自己的习惯我电脑里常备一个很小的文档专门记录实验拓扑图、IP规划表、VLAN清单和故障时间线。每当遇到奇怪的问题我都会回翻这个文档十有八九能发现是自己规划阶段埋下的坑。比如某次新加网段时忘了更新网关某次ACL里漏放行了一个服务端口某次用了重复的VLAN ID。网络里的问题很多都是设计期问题真正要学的不是“救火”而是“防火”。“计算机网络2”教给我的正是这种全局视角和防火能力。
