1. 从一个让人抓狂的排障现场说起前阵子帮一个做嵌入式开发的朋友排查一个局域网通信故障现象很典型两台设备在同一台交换机下A 能 ping 通 BB 却 ping 不通 A抓包一看A 发出的请求到了 BB 的回包却不知道跑哪去了。最后定位下来问题出在 B 设备的子网掩码配错了它把 A 的地址当成了外网回包直接甩给了默认网关而网关那头根本没有回程路由。这个案例里真正决定数据包命运的东西就是 IPv4 协议里那几个看起来平平无奇的字段——源地址、目的地址、子网掩码、网关。很多人学网络是从背 OSI 七层模型开始的背完还是不知道一个数据包到底怎么从你的电脑跑到服务器上。IPv4 协议的功能实现原理恰恰是把这个黑盒拆开给你看的地方。它不只是一个地址格式的问题而是一整套关于寻址、分片、转发、差错处理的机制组合。搞懂它你排查网络问题的速度会从瞎试变成按图索骥。这篇内容适合谁看如果你是刚入行的运维、后端、嵌入式工程师或者正在准备网络相关的面试又或者你只是单纯好奇我敲下 ping 命令之后到底发生了什么那这篇东西就是写给你的。我会尽量少堆术语多用数据包视角来讲把 IPv4 头部每个字段为什么存在、怎么工作、踩过哪些坑一条条掰开说清楚。2. IPv4 协议的整体设计思路拆解2.1 为什么是无连接、尽力而为IPv4 最核心的设计哲学就八个字无连接、尽力而为。这两个词听起来像是甩锅但其实是深思熟虑的取舍。所谓无连接是指发送方在发数据之前不需要和接收方建立任何握手关系。你不需要先问一句你在吗直接把包扔出去就行。这跟 TCP 的三次握手形成鲜明对比。为什么这么设计因为 IPv4 要承载的是整个互联网的底层转发如果每个包都要先建连接路由器的状态表会被撑爆。把可靠性这件事交给上层的 TCP 去做IP 层只负责尽力把包送到这是分层思想最典型的体现。所谓尽力而为是指 IPv4 不保证送达、不保证顺序、不保证不重复。包可能丢、可能乱序、可能重复这些都不是 IP 层的责任。IP 层只承诺一件事如果我能送我就按目的地址尽力送如果送不到我会通过 ICMP 告诉你一声也不一定告诉。这个设计带来的直接后果是所有可靠性的工作——重传、排序、去重、流量控制——全部上移到了传输层。你在写应用的时候感觉不到这些是因为 TCP 帮你兜底了。但一旦你用 UDP这些坑就全暴露出来了。2.2 头部字段的取舍逻辑IPv4 头部固定 20 字节不含选项这个长度是精心算过的。我们来看几个关键字段的设计意图字段长度设计意图版本4 bit区分 IPv4/IPv6为未来留口子首部长度4 bit因为选项可变需要动态指示头部边界总长度16 bit最大 65535 字节决定了单个 IP 包的上限标识/标志/片偏移32 bit支撑分片与重组是 IPv4 最复杂的机制之一TTL8 bit防止包在网络里无限打转是生存时间的计数器协议8 bit告诉接收方上层是 TCP(6) 还是 UDP(17) 还是 ICMP(1)首部校验和16 bit只校验头部不校验数据减轻路由器负担源/目的地址各 32 bit寻址的核心转发决策的唯一依据这里有个细节值得单独拎出来说首部校验和只校验头部不校验数据。为什么因为路由器每转发一次就要改 TTL改完就得重算校验和。如果连数据一起校验路由器每次转发都要把整个包扫一遍性能直接崩掉。所以 IPv4 选择只保护头部数据完整性交给上层TCP/UDP 有自己的校验和。这个取舍在当年是合理的但也埋下了数据被篡改而 IP 层无感知的隐患。2.3 32 位地址空间的历史包袱IPv4 用 32 位表示地址理论上有约 43 亿个地址。当年设计的时候觉得够用了结果互联网爆发式增长地址早就分完了。这个历史包袱直接催生了 NAT、CIDR、私有地址等一系列补丁技术。理解这一点很重要你现在看到的很多奇怪的网络配置本质上都是在给 IPv4 地址不够用打补丁。比如你家路由器给你分配的 192.168.x.x就是私有地址它不能直接在公网上路由必须经过 NAT 转换。再比如子网划分本质上是把一个大地址块切成小块提高利用率。所以学 IPv4 不能只学协议本身还要理解它是在什么约束下工作的。这些约束塑造了今天整个网络世界的形态。3. 核心字段的深度解析与实操要点3.1 TTL一个被误解最深的字段TTL 全称 Time To Live字面意思是生存时间但它实际上是一个跳数计数器不是时间。每经过一个路由器TTL 减 1减到 0 就丢弃并回一个 ICMP 超时报文。为什么用跳数而不是真实时间因为时间同步在分布式系统里是个大难题而跳数简单、确定、无需时钟同步。这个设计非常务实。TTL 的默认值因操作系统而异这个差异在排查问题时很有用操作系统默认 TTLLinux64Windows128部分网络设备255你可以用这个特性做一件很有意思的事通过 ping 返回的 TTL 值反推对方是什么系统以及中间经过了多少跳。比如你 ping 一个地址返回 TTL57那大概率对方是 Linux64-577 跳或者对方是 Windows 但经过了 71 跳128-5771不太可能。这个技巧在渗透测试和故障定位里都用得上。注意TTL 是可以被伪造的有些系统会故意改 TTL 来混淆探测。所以它只能作为参考不能作为铁证。实操中还有一个坑traceroute 就是靠 TTL 实现的。它发送 TTL1 的包第一个路由器减到 0 就回 ICMP 超时于是它知道了第一跳的地址然后发 TTL2 的包知道第二跳……以此类推。如果你发现 traceroute 中间全是星号可能是中间设备禁了 ICMP也可能是防火墙拦了。3.2 分片机制MTU 背后的博弈分片是 IPv4 里最容易出问题的地方。核心概念是MTU最大传输单元以太网默认 1500 字节。当一个 IP 包超过链路 MTU 时就必须分片。分片涉及三个字段协同工作标识Identification同一个原始包的所有分片共享同一个标识值标志FlagsDF 位表示禁止分片MF 位表示后面还有分片片偏移Fragment Offset指示这个分片在原始数据中的位置单位是 8 字节这里有个关键计算片偏移以 8 字节为单位所以每个分片的数据长度必须是 8 的倍数最后一个除外。假设 MTU1500IP 头 20 字节那么每个分片最多携带 1480 字节数据。1480 正好是 8 的倍数1480/8185所以没问题。但如果 MTU 是 1501 呢1481 不是 8 的倍数就得取 14721472/8184剩下的 9 字节放到下一个分片。分片的坑在于分片增加路由器负担现代网络普遍希望避免分片分片丢失会导致整个包重传因为接收方凑不齐所有分片就无法重组DF 位被设置时如果包超过 MTU路由器会丢弃并回 ICMP 需要分片但 DF 置位这就是PMTUD路径 MTU 发现机制的由来发送方先发一个 DF1 的大包如果收到 ICMP 错误就减小包大小重试直到找到路径上的最小 MTU。但 PMTUD 有个致命问题如果 ICMP 被防火墙拦了发送方永远收不到错误通知就会一直卡住。这就是著名的PMTUD 黑洞问题很多网页打不开但 ping 得通的故障都是它引起的。实操心得遇到疑似 MTU 问题可以用ping -M do -s 1472 目标地址Linux来测试。1472281500如果通说明路径 MTU 至少 1500如果不通逐步减小 -s 的值找到临界点。3.3 首部校验和的计算与验证首部校验和的算法是反码求和具体步骤把首部校验和字段置 0把首部按 16 位分组逐组相加用反码算术进位要回卷加到低位对最终结果取反码填入校验和字段接收方验证时把整个首部含校验和按同样方法相加如果结果是全 10xFFFF说明没出错。这个算法看起来简单但有个细节容易搞错进位回卷。普通加法溢出就丢了反码加法要把溢出的进位加回到最低位。举个例子0x8000 0x8000 0x10000 → 溢出位 1 回卷 → 0x0000 1 0x0001为什么要用这么绕的算法因为它在当年硬件上实现成本极低而且能检测出大部分常见错误。虽然不如 CRC 强但对头部这种小数据量足够了。注意每经过一个路由器TTL 变了校验和就得重算。这是路由器转发路径上的固定开销。现代网卡普遍支持校验和卸载checksum offload把这件事交给硬件做CPU 就不用在上面耗时间了。3.4 地址分类与 CIDR 的演进早期的 IPv4 地址分 A/B/C/D/E 五类A 类前 8 位是网络号B 类前 16 位C 类前 24 位。这种分类方式极其浪费一个 B 类地址块有 65534 个可用地址很多机构根本用不完但又不允许拆分。CIDR无类别域间路由的出现解决了这个问题。它用网络前缀长度代替固定分类比如 192.168.1.0/24 表示前 24 位是网络号后 8 位是主机号。这样地址块可以按需切分利用率大幅提升。CIDR 带来的一个实用技能是快速计算子网范围。比如给你 10.0.0.0/22你能立刻说出它的地址范围吗计算方法/22 表示前 22 位是网络号后 10 位是主机号主机号有 2^10 1024 个地址网络地址是 10.0.0.0第三段 0 的二进制是 00000000前 6 位属于网络号广播地址是 10.0.3.255可用主机范围是 10.0.0.1 到 10.0.3.254这个计算在划分子网、配防火墙规则时天天要用。我见过太多人配错子网掩码导致通信异常本质上就是没算清楚这个。4. 数据包转发全流程实操解析4.1 从应用层到网线的完整旅程我们跟着一个数据包走一遍完整流程。假设你在浏览器里访问一个地址敲下回车的那一刻发生了什么第一步应用层生成数据。浏览器构造 HTTP 请求交给传输层。第二步传输层封装。TCP 加上源端口、目的端口、序列号等形成 TCP 段。此时数据单元叫段Segment。第三步网络层封装。IP 层加上 IPv4 头部源 IP 是你本机地址目的 IP 是服务器地址协议字段填 6TCPTTL 填 64计算校验和。此时数据单元叫包Packet。第四步查路由表决定下一跳。这是关键一步。系统拿目的 IP 和本机路由表逐条匹配找到最具体的路由条目。匹配规则是最长前缀匹配——比如同时有 0.0.0.0/0 和 192.168.1.0/24 两条路由目的地址是 192.168.1.5那肯定选后者。第五步ARP 解析下一跳 MAC 地址。如果下一跳在同一子网直接 ARP 查它的 MAC如果不在查网关的 MAC。ARP 结果会缓存避免每次都广播。第六步数据链路层封装。加上以太网头部源 MAC、目的 MAC、类型 0x0800 表示 IPv4形成帧Frame。第七步物理层发送。网卡把帧转成电信号或光信号发出去。这个流程里路由表查询和 ARP 解析是最容易出问题的环节。路由表配错会导致包发不出去ARP 缓存污染会导致包发错地方。4.2 路由表查询的最长前缀匹配实战最长前缀匹配是 IPv4 转发的核心算法但很多人只是背了概念没真正理解它的行为。我们用一个具体例子说明假设路由表如下0.0.0.0/0 via 192.168.1.1 192.168.0.0/16 via 192.168.1.2 192.168.1.0/24 directly connected 192.168.1.128/25 via 192.168.1.3现在有一个目的地址 192.168.1.200它会匹配哪条0.0.0.0/0匹配前缀长度 0192.168.0.0/16匹配前缀长度 16192.168.1.0/24匹配前缀长度 24192.168.1.128/25匹配前缀长度 25最长的是 /25所以走 192.168.1.3。如果目的地址是 192.168.1.100 呢/25 那条不匹配100 128所以走 /24直接连接。这个算法的实现通常用Trie 树字典树查询复杂度是 O(前缀长度)非常高效。理解这一点你就能明白为什么加一条更具体的路由能覆盖默认路由——因为前缀更长。实操心得排查路由问题时ip route get 目的地址Linux能直接告诉你系统会选哪条路由比你自己对着路由表算快得多。Windows 上用Find-NetRoute命令。4.3 ARP 与 IPv4 的协作细节IPv4 本身不负责把 IP 地址解析成 MAC 地址这件事交给 ARP 协议。但 ARP 和 IPv4 的协作有几个容易忽略的细节细节一ARP 请求是广播应答是单播。请求方广播谁是 192.168.1.1目标单播回复我是我的 MAC 是 xx。这样设计是为了减少广播风暴。细节二ARP 缓存有老化时间。Linux 默认约 60 秒到几分钟不等。如果对端换了网卡旧缓存会导致通信中断直到老化后重新解析。这就是为什么换个网卡要等一会儿才能通。细节三免费 ARPGratuitous ARP。设备启动或 IP 变更时会主动广播自己的 ARP目的是让其他设备更新缓存。高可用场景下比如 VIP 漂移免费 ARP 是保证快速切换的关键。细节四ARP 欺骗。因为 ARP 没有认证机制任何人都可以伪造 ARP 应答。这是局域网攻击的常见手段防御靠静态 ARP 绑定或 DAI动态 ARP 检测。这些细节在协议文档里可能只是一句话但在实际运维中每一个都能变成事故。4.4 一个完整的抓包分析示例光说理论不够我们看一个真实的抓包场景。假设你在排查为什么 A 能 ping 通 BB 不能 ping 通 A在 A 上抓包看到A - B ICMP Echo Request src192.168.1.10 dst192.168.1.20 B - A ICMP Echo Reply src192.168.1.20 dst192.168.1.10在 B 上抓包看到A - B ICMP Echo Request 没有 Reply说明 B 收到了请求但回包没发出去。这时候查 B 的路由表default via 192.168.2.1 dev eth0 192.168.2.0/24 dev eth0问题找到了B 的子网掩码配成了 /24它认为 192.168.1.10 不在本地子网于是把回包发给了网关 192.168.2.1。但网关那边没有到 192.168.1.0/24 的路由包就丢了。修复方法把 B 的子网掩码改成 /16或者加一条到 192.168.1.0/24 的路由。这个案例说明IPv4 通信是双向的单向能通不代表配置正确。排查时一定要两个方向都看。5. 常见问题与排查技巧实录5.1 故障排查速查表现象可能原因排查命令ping 不通同网段设备子网掩码错误、ARP 失败ip addr、arp -aping 通 IP 但域名不通DNS 问题非 IPv4 问题nslookup、dig能 ping 通但网页打不开MTU 问题、防火墙拦 TCPping -M do -s、telnet 端口间歇性丢包路由抖动、ARP 老化、双工不匹配mtr、ethtooltraceroute 中间断ICMP 被拦、路由黑洞换 TCP traceroute大包不通小包通MTU/PMTUD 黑洞逐步减小包大小测试5.2 三个我踩过的真实坑坑一TTL 设太小导致跨区域通信失败。有次在一个多区域网络里两个区域之间隔了 20 多跳结果某些设备 TTL 默认设成了 16包还没到就过期了。现象是近的能通远的偶尔通非常迷惑。后来统一把 TTL 调到 64 才解决。教训是TTL 默认值不要随便改小除非你非常确定网络直径。坑二分片重组超时。有个场景是大文件传输偶尔失败抓包发现分片包有的到了有的没到接收方等不齐所有分片重组超时后全部丢弃。根因是路径上有个设备对分片包做了限速导致部分分片延迟过大。解决办法是启用 PMTUD 或者直接在应用层限制包大小避免分片。坑三ARP 缓存导致的幽灵故障。一台服务器换了网卡IP 没变但其他设备还是往旧 MAC 发包导致通信中断。等了 5 分钟 ARP 老化后才恢复。后来学乖了换网卡后主动发免费 ARP或者手动清其他设备的 ARP 缓存。5.3 几个提升排查效率的技巧技巧一用ip -s link看网卡统计。errors、dropped、overrun 这些计数器能快速告诉你是不是链路层的问题。技巧二ss -i看 TCP 的 RTT 和重传。虽然这是传输层信息但能反推 IP 层的质量。RTT 抖动大、重传多往往是路径问题。技巧三抓包时用过滤器。tcpdump -i eth0 ip host 192.168.1.10 and icmp比抓全量包再翻效率高得多。Wireshark 里用ip.addr x.x.x.x icmp同理。技巧四对比法。同一网段找一台正常的设备对比路由表、ARP 表、MTU 设置差异点往往就是问题所在。技巧五分层验证。先 ping 网关验证二层和本地配置再 ping 外网 IP验证路由和 NAT最后 ping 域名验证 DNS。一层层排除不要跳步。6. 从 IPv4 到 IPv6 的过渡思考虽然这篇讲的是 IPv4但绕不开一个现实IPv4 地址早就耗尽了IPv6 是必然趋势。理解 IPv4 的实现原理其实也是为了更好地理解 IPv6 为什么要那么设计。IPv6 把地址从 32 位扩展到 128 位头部简化到固定 40 字节去掉了校验和交给链路层和传输层去掉了分片由发送方负责 PMTUDTTL 改名 Hop Limit。这些改动都是针对 IPv4 暴露出的问题做的优化。但过渡不会一蹴而就。双栈、隧道、NAT64 这些过渡技术会长期存在。所以 IPv4 的知识在未来很多年内依然有用尤其是排查那些混合环境的问题时。我个人在实际操作中的体会是不要指望一次学完所有协议细节而是遇到问题再深入。IPv4 的字段就那么多但每个字段在不同场景下的行为差异很大。真正让你成长的是那些明明配置看起来对但就是不通的故障逼着你去翻 RFC、去抓包、去验证每一个假设。这个过程走下来协议就不再是纸上的字段表而是你脑子里的一张动态地图。最后分享一个小技巧如果你想把 IPv4 头部字段记得更牢可以自己用 Python 的struct模块手动解析一个抓包文件。亲手把二进制拆成字段的那一刻比看十遍文档都管用。 
长河君 · 2026/10/22 11:10:08 · 阅读 1.2k IPv4协议功能实现原理深度解析：从头部字段到数据包转发全流程
1. 从一个让人抓狂的排障现场说起前阵子帮一个做嵌入式开发的朋友排查一个局域网通信故障现象很典型两台设备在同一台交换机下A 能 ping 通 BB 却 ping 不通 A抓包一看A 发出的请求到了 BB 的回包却不知道跑哪去了。最后定位下来问题出在 B 设备的子网掩码配错了它把 A 的地址当成了外网回包直接甩给了默认网关而网关那头根本没有回程路由。这个案例里真正决定数据包命运的东西就是 IPv4 协议里那几个看起来平平无奇的字段——源地址、目的地址、子网掩码、网关。很多人学网络是从背 OSI 七层模型开始的背完还是不知道一个数据包到底怎么从你的电脑跑到服务器上。IPv4 协议的功能实现原理恰恰是把这个黑盒拆开给你看的地方。它不只是一个地址格式的问题而是一整套关于寻址、分片、转发、差错处理的机制组合。搞懂它你排查网络问题的速度会从瞎试变成按图索骥。这篇内容适合谁看如果你是刚入行的运维、后端、嵌入式工程师或者正在准备网络相关的面试又或者你只是单纯好奇我敲下 ping 命令之后到底发生了什么那这篇东西就是写给你的。我会尽量少堆术语多用数据包视角来讲把 IPv4 头部每个字段为什么存在、怎么工作、踩过哪些坑一条条掰开说清楚。2. IPv4 协议的整体设计思路拆解2.1 为什么是无连接、尽力而为IPv4 最核心的设计哲学就八个字无连接、尽力而为。这两个词听起来像是甩锅但其实是深思熟虑的取舍。所谓无连接是指发送方在发数据之前不需要和接收方建立任何握手关系。你不需要先问一句你在吗直接把包扔出去就行。这跟 TCP 的三次握手形成鲜明对比。为什么这么设计因为 IPv4 要承载的是整个互联网的底层转发如果每个包都要先建连接路由器的状态表会被撑爆。把可靠性这件事交给上层的 TCP 去做IP 层只负责尽力把包送到这是分层思想最典型的体现。所谓尽力而为是指 IPv4 不保证送达、不保证顺序、不保证不重复。包可能丢、可能乱序、可能重复这些都不是 IP 层的责任。IP 层只承诺一件事如果我能送我就按目的地址尽力送如果送不到我会通过 ICMP 告诉你一声也不一定告诉。这个设计带来的直接后果是所有可靠性的工作——重传、排序、去重、流量控制——全部上移到了传输层。你在写应用的时候感觉不到这些是因为 TCP 帮你兜底了。但一旦你用 UDP这些坑就全暴露出来了。2.2 头部字段的取舍逻辑IPv4 头部固定 20 字节不含选项这个长度是精心算过的。我们来看几个关键字段的设计意图字段长度设计意图版本4 bit区分 IPv4/IPv6为未来留口子首部长度4 bit因为选项可变需要动态指示头部边界总长度16 bit最大 65535 字节决定了单个 IP 包的上限标识/标志/片偏移32 bit支撑分片与重组是 IPv4 最复杂的机制之一TTL8 bit防止包在网络里无限打转是生存时间的计数器协议8 bit告诉接收方上层是 TCP(6) 还是 UDP(17) 还是 ICMP(1)首部校验和16 bit只校验头部不校验数据减轻路由器负担源/目的地址各 32 bit寻址的核心转发决策的唯一依据这里有个细节值得单独拎出来说首部校验和只校验头部不校验数据。为什么因为路由器每转发一次就要改 TTL改完就得重算校验和。如果连数据一起校验路由器每次转发都要把整个包扫一遍性能直接崩掉。所以 IPv4 选择只保护头部数据完整性交给上层TCP/UDP 有自己的校验和。这个取舍在当年是合理的但也埋下了数据被篡改而 IP 层无感知的隐患。2.3 32 位地址空间的历史包袱IPv4 用 32 位表示地址理论上有约 43 亿个地址。当年设计的时候觉得够用了结果互联网爆发式增长地址早就分完了。这个历史包袱直接催生了 NAT、CIDR、私有地址等一系列补丁技术。理解这一点很重要你现在看到的很多奇怪的网络配置本质上都是在给 IPv4 地址不够用打补丁。比如你家路由器给你分配的 192.168.x.x就是私有地址它不能直接在公网上路由必须经过 NAT 转换。再比如子网划分本质上是把一个大地址块切成小块提高利用率。所以学 IPv4 不能只学协议本身还要理解它是在什么约束下工作的。这些约束塑造了今天整个网络世界的形态。3. 核心字段的深度解析与实操要点3.1 TTL一个被误解最深的字段TTL 全称 Time To Live字面意思是生存时间但它实际上是一个跳数计数器不是时间。每经过一个路由器TTL 减 1减到 0 就丢弃并回一个 ICMP 超时报文。为什么用跳数而不是真实时间因为时间同步在分布式系统里是个大难题而跳数简单、确定、无需时钟同步。这个设计非常务实。TTL 的默认值因操作系统而异这个差异在排查问题时很有用操作系统默认 TTLLinux64Windows128部分网络设备255你可以用这个特性做一件很有意思的事通过 ping 返回的 TTL 值反推对方是什么系统以及中间经过了多少跳。比如你 ping 一个地址返回 TTL57那大概率对方是 Linux64-577 跳或者对方是 Windows 但经过了 71 跳128-5771不太可能。这个技巧在渗透测试和故障定位里都用得上。注意TTL 是可以被伪造的有些系统会故意改 TTL 来混淆探测。所以它只能作为参考不能作为铁证。实操中还有一个坑traceroute 就是靠 TTL 实现的。它发送 TTL1 的包第一个路由器减到 0 就回 ICMP 超时于是它知道了第一跳的地址然后发 TTL2 的包知道第二跳……以此类推。如果你发现 traceroute 中间全是星号可能是中间设备禁了 ICMP也可能是防火墙拦了。3.2 分片机制MTU 背后的博弈分片是 IPv4 里最容易出问题的地方。核心概念是MTU最大传输单元以太网默认 1500 字节。当一个 IP 包超过链路 MTU 时就必须分片。分片涉及三个字段协同工作标识Identification同一个原始包的所有分片共享同一个标识值标志FlagsDF 位表示禁止分片MF 位表示后面还有分片片偏移Fragment Offset指示这个分片在原始数据中的位置单位是 8 字节这里有个关键计算片偏移以 8 字节为单位所以每个分片的数据长度必须是 8 的倍数最后一个除外。假设 MTU1500IP 头 20 字节那么每个分片最多携带 1480 字节数据。1480 正好是 8 的倍数1480/8185所以没问题。但如果 MTU 是 1501 呢1481 不是 8 的倍数就得取 14721472/8184剩下的 9 字节放到下一个分片。分片的坑在于分片增加路由器负担现代网络普遍希望避免分片分片丢失会导致整个包重传因为接收方凑不齐所有分片就无法重组DF 位被设置时如果包超过 MTU路由器会丢弃并回 ICMP 需要分片但 DF 置位这就是PMTUD路径 MTU 发现机制的由来发送方先发一个 DF1 的大包如果收到 ICMP 错误就减小包大小重试直到找到路径上的最小 MTU。但 PMTUD 有个致命问题如果 ICMP 被防火墙拦了发送方永远收不到错误通知就会一直卡住。这就是著名的PMTUD 黑洞问题很多网页打不开但 ping 得通的故障都是它引起的。实操心得遇到疑似 MTU 问题可以用ping -M do -s 1472 目标地址Linux来测试。1472281500如果通说明路径 MTU 至少 1500如果不通逐步减小 -s 的值找到临界点。3.3 首部校验和的计算与验证首部校验和的算法是反码求和具体步骤把首部校验和字段置 0把首部按 16 位分组逐组相加用反码算术进位要回卷加到低位对最终结果取反码填入校验和字段接收方验证时把整个首部含校验和按同样方法相加如果结果是全 10xFFFF说明没出错。这个算法看起来简单但有个细节容易搞错进位回卷。普通加法溢出就丢了反码加法要把溢出的进位加回到最低位。举个例子0x8000 0x8000 0x10000 → 溢出位 1 回卷 → 0x0000 1 0x0001为什么要用这么绕的算法因为它在当年硬件上实现成本极低而且能检测出大部分常见错误。虽然不如 CRC 强但对头部这种小数据量足够了。注意每经过一个路由器TTL 变了校验和就得重算。这是路由器转发路径上的固定开销。现代网卡普遍支持校验和卸载checksum offload把这件事交给硬件做CPU 就不用在上面耗时间了。3.4 地址分类与 CIDR 的演进早期的 IPv4 地址分 A/B/C/D/E 五类A 类前 8 位是网络号B 类前 16 位C 类前 24 位。这种分类方式极其浪费一个 B 类地址块有 65534 个可用地址很多机构根本用不完但又不允许拆分。CIDR无类别域间路由的出现解决了这个问题。它用网络前缀长度代替固定分类比如 192.168.1.0/24 表示前 24 位是网络号后 8 位是主机号。这样地址块可以按需切分利用率大幅提升。CIDR 带来的一个实用技能是快速计算子网范围。比如给你 10.0.0.0/22你能立刻说出它的地址范围吗计算方法/22 表示前 22 位是网络号后 10 位是主机号主机号有 2^10 1024 个地址网络地址是 10.0.0.0第三段 0 的二进制是 00000000前 6 位属于网络号广播地址是 10.0.3.255可用主机范围是 10.0.0.1 到 10.0.3.254这个计算在划分子网、配防火墙规则时天天要用。我见过太多人配错子网掩码导致通信异常本质上就是没算清楚这个。4. 数据包转发全流程实操解析4.1 从应用层到网线的完整旅程我们跟着一个数据包走一遍完整流程。假设你在浏览器里访问一个地址敲下回车的那一刻发生了什么第一步应用层生成数据。浏览器构造 HTTP 请求交给传输层。第二步传输层封装。TCP 加上源端口、目的端口、序列号等形成 TCP 段。此时数据单元叫段Segment。第三步网络层封装。IP 层加上 IPv4 头部源 IP 是你本机地址目的 IP 是服务器地址协议字段填 6TCPTTL 填 64计算校验和。此时数据单元叫包Packet。第四步查路由表决定下一跳。这是关键一步。系统拿目的 IP 和本机路由表逐条匹配找到最具体的路由条目。匹配规则是最长前缀匹配——比如同时有 0.0.0.0/0 和 192.168.1.0/24 两条路由目的地址是 192.168.1.5那肯定选后者。第五步ARP 解析下一跳 MAC 地址。如果下一跳在同一子网直接 ARP 查它的 MAC如果不在查网关的 MAC。ARP 结果会缓存避免每次都广播。第六步数据链路层封装。加上以太网头部源 MAC、目的 MAC、类型 0x0800 表示 IPv4形成帧Frame。第七步物理层发送。网卡把帧转成电信号或光信号发出去。这个流程里路由表查询和 ARP 解析是最容易出问题的环节。路由表配错会导致包发不出去ARP 缓存污染会导致包发错地方。4.2 路由表查询的最长前缀匹配实战最长前缀匹配是 IPv4 转发的核心算法但很多人只是背了概念没真正理解它的行为。我们用一个具体例子说明假设路由表如下0.0.0.0/0 via 192.168.1.1 192.168.0.0/16 via 192.168.1.2 192.168.1.0/24 directly connected 192.168.1.128/25 via 192.168.1.3现在有一个目的地址 192.168.1.200它会匹配哪条0.0.0.0/0匹配前缀长度 0192.168.0.0/16匹配前缀长度 16192.168.1.0/24匹配前缀长度 24192.168.1.128/25匹配前缀长度 25最长的是 /25所以走 192.168.1.3。如果目的地址是 192.168.1.100 呢/25 那条不匹配100 128所以走 /24直接连接。这个算法的实现通常用Trie 树字典树查询复杂度是 O(前缀长度)非常高效。理解这一点你就能明白为什么加一条更具体的路由能覆盖默认路由——因为前缀更长。实操心得排查路由问题时ip route get 目的地址Linux能直接告诉你系统会选哪条路由比你自己对着路由表算快得多。Windows 上用Find-NetRoute命令。4.3 ARP 与 IPv4 的协作细节IPv4 本身不负责把 IP 地址解析成 MAC 地址这件事交给 ARP 协议。但 ARP 和 IPv4 的协作有几个容易忽略的细节细节一ARP 请求是广播应答是单播。请求方广播谁是 192.168.1.1目标单播回复我是我的 MAC 是 xx。这样设计是为了减少广播风暴。细节二ARP 缓存有老化时间。Linux 默认约 60 秒到几分钟不等。如果对端换了网卡旧缓存会导致通信中断直到老化后重新解析。这就是为什么换个网卡要等一会儿才能通。细节三免费 ARPGratuitous ARP。设备启动或 IP 变更时会主动广播自己的 ARP目的是让其他设备更新缓存。高可用场景下比如 VIP 漂移免费 ARP 是保证快速切换的关键。细节四ARP 欺骗。因为 ARP 没有认证机制任何人都可以伪造 ARP 应答。这是局域网攻击的常见手段防御靠静态 ARP 绑定或 DAI动态 ARP 检测。这些细节在协议文档里可能只是一句话但在实际运维中每一个都能变成事故。4.4 一个完整的抓包分析示例光说理论不够我们看一个真实的抓包场景。假设你在排查为什么 A 能 ping 通 BB 不能 ping 通 A在 A 上抓包看到A - B ICMP Echo Request src192.168.1.10 dst192.168.1.20 B - A ICMP Echo Reply src192.168.1.20 dst192.168.1.10在 B 上抓包看到A - B ICMP Echo Request 没有 Reply说明 B 收到了请求但回包没发出去。这时候查 B 的路由表default via 192.168.2.1 dev eth0 192.168.2.0/24 dev eth0问题找到了B 的子网掩码配成了 /24它认为 192.168.1.10 不在本地子网于是把回包发给了网关 192.168.2.1。但网关那边没有到 192.168.1.0/24 的路由包就丢了。修复方法把 B 的子网掩码改成 /16或者加一条到 192.168.1.0/24 的路由。这个案例说明IPv4 通信是双向的单向能通不代表配置正确。排查时一定要两个方向都看。5. 常见问题与排查技巧实录5.1 故障排查速查表现象可能原因排查命令ping 不通同网段设备子网掩码错误、ARP 失败ip addr、arp -aping 通 IP 但域名不通DNS 问题非 IPv4 问题nslookup、dig能 ping 通但网页打不开MTU 问题、防火墙拦 TCPping -M do -s、telnet 端口间歇性丢包路由抖动、ARP 老化、双工不匹配mtr、ethtooltraceroute 中间断ICMP 被拦、路由黑洞换 TCP traceroute大包不通小包通MTU/PMTUD 黑洞逐步减小包大小测试5.2 三个我踩过的真实坑坑一TTL 设太小导致跨区域通信失败。有次在一个多区域网络里两个区域之间隔了 20 多跳结果某些设备 TTL 默认设成了 16包还没到就过期了。现象是近的能通远的偶尔通非常迷惑。后来统一把 TTL 调到 64 才解决。教训是TTL 默认值不要随便改小除非你非常确定网络直径。坑二分片重组超时。有个场景是大文件传输偶尔失败抓包发现分片包有的到了有的没到接收方等不齐所有分片重组超时后全部丢弃。根因是路径上有个设备对分片包做了限速导致部分分片延迟过大。解决办法是启用 PMTUD 或者直接在应用层限制包大小避免分片。坑三ARP 缓存导致的幽灵故障。一台服务器换了网卡IP 没变但其他设备还是往旧 MAC 发包导致通信中断。等了 5 分钟 ARP 老化后才恢复。后来学乖了换网卡后主动发免费 ARP或者手动清其他设备的 ARP 缓存。5.3 几个提升排查效率的技巧技巧一用ip -s link看网卡统计。errors、dropped、overrun 这些计数器能快速告诉你是不是链路层的问题。技巧二ss -i看 TCP 的 RTT 和重传。虽然这是传输层信息但能反推 IP 层的质量。RTT 抖动大、重传多往往是路径问题。技巧三抓包时用过滤器。tcpdump -i eth0 ip host 192.168.1.10 and icmp比抓全量包再翻效率高得多。Wireshark 里用ip.addr x.x.x.x icmp同理。技巧四对比法。同一网段找一台正常的设备对比路由表、ARP 表、MTU 设置差异点往往就是问题所在。技巧五分层验证。先 ping 网关验证二层和本地配置再 ping 外网 IP验证路由和 NAT最后 ping 域名验证 DNS。一层层排除不要跳步。6. 从 IPv4 到 IPv6 的过渡思考虽然这篇讲的是 IPv4但绕不开一个现实IPv4 地址早就耗尽了IPv6 是必然趋势。理解 IPv4 的实现原理其实也是为了更好地理解 IPv6 为什么要那么设计。IPv6 把地址从 32 位扩展到 128 位头部简化到固定 40 字节去掉了校验和交给链路层和传输层去掉了分片由发送方负责 PMTUDTTL 改名 Hop Limit。这些改动都是针对 IPv4 暴露出的问题做的优化。但过渡不会一蹴而就。双栈、隧道、NAT64 这些过渡技术会长期存在。所以 IPv4 的知识在未来很多年内依然有用尤其是排查那些混合环境的问题时。我个人在实际操作中的体会是不要指望一次学完所有协议细节而是遇到问题再深入。IPv4 的字段就那么多但每个字段在不同场景下的行为差异很大。真正让你成长的是那些明明配置看起来对但就是不通的故障逼着你去翻 RFC、去抓包、去验证每一个假设。这个过程走下来协议就不再是纸上的字段表而是你脑子里的一张动态地图。最后分享一个小技巧如果你想把 IPv4 头部字段记得更牢可以自己用 Python 的struct模块手动解析一个抓包文件。亲手把二进制拆成字段的那一刻比看十遍文档都管用。