网络层这块内容我前前后后翻过不下五遍。每次重读都有新收获因为它不像应用层那样看得见摸得着也不像传输层那样跟端口号打交道那么直观。网络层是整个TCP/IP协议栈里最“闷”的一层但恰恰是这层决定了数据包能不能从你的机器跳到对面那台机器上。很多人学网络卡就卡在网络层——IP地址、子网掩码、路由表、ARP、ICMP单拎出来每个概念都认识合在一起就不知道它们怎么协作了。这篇内容我打算换个讲法不按教科书那种“先定义后分类”的路子走而是从“一个数据包要出远门”这个视角把网络层的关键机制串起来。不管你是刚学完数据链路层准备往下走的在校生还是工作中被路由配置和子网划分搞得头大的运维或者是面试前想快速把网络层知识点捋一遍的开发者下面这些内容应该都能帮到你。1. 网络层到底在解决一个什么问题1.1 从“隔壁工位”到“跨城市”的通信鸿沟数据链路层解决的是同一个局域网内两台机器怎么通信。你可以把它理解成“同一个小区里送快递”——知道门牌号走几步就到了。MAC地址就是门牌号交换机就是小区里的路标。但问题是一旦收件人住在另一个城市你光知道门牌号就没用了你得先知道对方在哪个城市、走哪条路能到、路上要经过几个中转站。网络层就是干这个的。具体来说网络层要解决三个核心问题。第一是编址——给每一台联网设备一个全球唯一的逻辑地址也就是IP地址让不同网络里的设备能互相识别。第二是路由——当源和目的不在同一个网络时数据包该走哪条路经过哪些中间节点这是路由协议要干的事。第三是分组转发——路由器收到数据包后根据路由表决定从哪个接口发出去这是每个路由器在微秒级别要完成的动作。这三个问题听起来简单但每一个展开都是一大块知识。编址涉及IP地址分类、子网掩码、CIDR、NAT路由涉及静态路由、动态路由协议RIP、OSPF、BGP分组转发涉及路由表结构、最长前缀匹配、ARP解析。下面我会逐个拆开讲但始终围绕一个主线数据包从源到目的网络层到底帮它做了什么。1.2 网络层与上下层的关系夹心饼干里的那层“逻辑胶水”网络层上面是传输层下面是数据链路层。它跟上下层的关系可以用一个简单的类比来理解。传输层是“寄件人和收件人之间的对话”——TCP负责确认对方收到没有UDP负责快速扔出去不管。网络层是“快递公司的运输网络”——它不关心包裹里装的是什么只负责把包裹从A城市的集散中心送到B城市的集散中心。数据链路层是“最后一公里的配送员”——负责把包裹从集散中心送到具体的小区门口。这个分层设计的好处是解耦。传输层不需要知道底层是以太网还是Wi-Fi网络层不需要知道上层是HTTP还是FTP。每一层只关心自己的职责通过标准接口交互。但这也带来一个代价网络层提供的服务是“尽力而为”的它不保证数据包一定到达不保证按顺序到达也不保证不重复。可靠性要么交给传输层的TCP要么由应用层自己处理。理解这一点很关键因为很多初学者会误以为IP层会帮忙重传或排序实际上它什么都不管。1.3 一个数据包的“出远门”全流程为了把后面的知识点串起来我们先看一个完整场景。假设你在浏览器里访问一个远端服务器你的机器IP是192.168.1.100目标服务器IP是203.0.113.5。数据包从你的机器出发到抵达目标网络层参与了哪些环节第一步你的机器发现目标IP跟自己不在同一个子网通过子网掩码判断于是决定把包发给默认网关。第二步通过ARP协议找到默认网关的MAC地址把数据包封装成帧发给网关。第三步网关也就是路由器收到帧后拆掉链路层头部看目标IP查路由表决定下一跳。第四步路由器把包重新封装成新的帧发给下一跳路由器。这个过程重复多次直到到达目标网络的路由器。第五步最后一跳路由器通过ARP找到目标主机的MAC地址把包送达。整个过程中源IP和目标IP始终不变除非经过NAT但MAC地址每一跳都在变。这是理解网络层最核心的一句话IP地址端到端不变MAC地址逐跳改变。后面讲ARP和路由的时候我们会反复回到这个点上。2. IP地址与子网划分网络层的“门牌号系统”2.1 IP地址的组成逻辑与分类的由来IPv4地址是32位二进制数通常写成点分十进制比如192.168.1.1。这32位被分成两部分网络号和主机号。网络号标识设备所在的网络主机号标识网络内的具体设备。问题在于从哪里切开早期的做法是把IP地址分成A、B、C、D、E五类每类有固定的网络号长度。A类地址第一位是0网络号占8位主机号占24位能容纳1600多万台主机适合超大型网络。B类地址前两位是10网络号占16位主机号占16位适合中型网络。C类地址前三位是110网络号占24位主机号占8位最多254台主机适合小型网络。D类是组播地址E类保留实验用。这种分类方式在互联网早期够用但很快就暴露出问题。一个中型企业如果申请B类地址会浪费大量主机号如果申请多个C类地址又会导致路由表膨胀。这就是所谓的地址浪费和路由表爆炸问题。我见过不少老教材还在花大篇幅讲分类但实际工作中你几乎不会用到“这个地址是B类”这种判断取而代之的是CIDR和子网掩码。2.2 子网掩码把“一刀切”变成“可裁剪”子网掩码的作用是告诉设备IP地址的哪部分是网络号哪部分是主机号。掩码也是32位网络号对应的位是1主机号对应的位是0。比如255.255.255.0表示前24位是网络号后8位是主机号。把IP地址和子网掩码做按位与运算就得到网络地址。子网划分的本质是从主机号里“借”几位来做子网号。举个例子一个C类网络192.168.1.0/24有254个可用主机地址。如果公司有四个部门每个部门需要独立子网你可以借2位主机号做子网号变成/26每个子网有62个可用主机地址。四个子网分别是192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26。这里有个容易踩的坑子网号和广播地址不能分配给主机。每个子网的第一个地址是网络地址最后一个地址是广播地址。所以/26的子网虽然有64个地址实际可用只有62个。很多人在做子网规划时忘了扣掉这两个导致地址不够用。2.3 CIDR与路由聚合让路由表不再“爆炸”CIDR无类别域间路由的核心思想是打破A/B/C类的固定边界用“/前缀长度”来表示网络。比如192.168.1.0/24前缀长度24表示前24位是网络号。CIDR的另一个重要作用是路由聚合也叫超网。假设一个ISP有四个连续的C类网络200.1.0.0/24、200.1.1.0/24、200.1.2.0/24、200.1.3.0/24。如果不做聚合路由器需要为每个网络维护一条路由条目共4条。但观察它们的二进制形式前22位是相同的只有第23、24位不同。于是可以聚合成一条路由200.1.0.0/22。这样路由表就少了3条。路由聚合的好处是减少路由表规模加快查表速度。但聚合也有前提这些网络的下一跳必须相同否则不能聚合。实际网络中ISP之间的路由聚合非常普遍这也是互联网路由表虽然庞大但还能控制住的原因之一。2.4 私有地址与NATIPv4地址不够用的“续命方案”IPv4地址只有约43亿个早就分配完了。私有地址和NAT是让它继续服役的关键机制。私有地址有三个范围10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。这些地址不能出现在公网上只能在内部网络使用。NAT网络地址转换让多台内网设备共享一个公网IP。当内网设备访问外网时NAT设备把源IP替换成自己的公网IP并记录一个端口映射。回包到达时再根据端口映射把目标IP替换回内网地址。这样一个公网IP可以支撑成千上万台设备上网。NAT的代价是破坏了端到端的透明性。外网设备无法主动连接内网设备因为NAT表里没有对应的映射。这就是为什么P2P应用需要打洞技术也是为什么有些游戏联机需要做端口映射。另外NAT设备需要维护映射表连接数太多时会成为瓶颈。我在实际工作中遇到过NAT会话表被打满导致新连接无法建立的情况排查了半天才发现是某个内网主机中了病毒疯狂发起连接。3. 路由与转发数据包该往哪里走3.1 路由表的结构与最长前缀匹配每台运行IP协议的设备都有一张路由表。路由表的核心字段包括目标网络、子网掩码、下一跳、出接口、度量值。当设备要发送数据包时它拿目标IP去查路由表找到匹配的条目然后从对应接口发给下一跳。查表的关键规则是最长前缀匹配。假设路由表里有三条条目0.0.0.0/0默认路由、192.168.0.0/16、192.168.1.0/24。现在要发一个包到192.168.1.50。三条都匹配但/24的前缀最长所以选第三条。如果没有/24那条就选/16。如果都没有就走默认路由。默认路由0.0.0.0/0是路由表里的“兜底”条目。当目标地址不匹配任何具体路由时就走默认路由。家用路由器通常只有一条默认路由指向ISP的网关。企业路由器则可能有几十上百条路由默认路由只是最后的选择。3.2 静态路由与动态路由的取舍静态路由是管理员手动配置的路由条目。它的优点是简单、可控、不占带宽。缺点是网络拓扑变化时需要手动修改不适合大型网络。静态路由适合小型网络、末梢网络、或者需要精确控制的场景。动态路由是路由器之间通过协议交换路由信息自动计算最优路径。常见的动态路由协议有RIP、OSPF、BGP。RIP基于距离向量算法最大跳数15适合小型网络。OSPF基于链路状态算法收敛快适合中大型企业网络。BGP是自治系统之间的路由协议是互联网的“骨架”。选择哪种路由协议取决于网络规模和需求。我个人的经验是如果网络设备少于10台且拓扑稳定静态路由足够如果网络经常变动或者设备超过20台上OSPF如果涉及多运营商出口BGP是必须的。不要为了“技术先进”而盲目上动态路由维护成本也是成本。3.3 ARP协议IP地址到MAC地址的“翻译官”ARP的作用是在局域网内根据IP地址找到对应的MAC地址。当设备要发送数据包给同一子网的目标时它知道目标IP但不知道目标MAC。于是它广播一个ARP请求“谁是192.168.1.50请告诉我你的MAC地址。”目标收到后单播回复自己的MAC地址。发送方把结果缓存到ARP表里下次直接查表。ARP表有老化时间通常是几分钟到几十分钟。如果目标设备下线或更换网卡ARP表里的条目会过期重新解析。ARP是“无状态”的它不验证回复的真实性这就给了ARP欺骗可乘之机。攻击者可以伪造ARP回复把自己伪装成网关截获所有流量。防范ARP欺骗的方法包括静态ARP绑定、ARP防护功能、或者使用DHCP Snooping。还有一个容易混淆的概念代理ARP。当目标不在同一子网时路由器可以代替目标回复ARP请求把自己的MAC地址告诉发送方。这样发送方以为目标在同一子网实际上数据包发给了路由器。代理ARP在某些场景下有用但也会带来安全隐患一般建议关闭。3.4 ICMP协议网络层的“诊断工具”ICMP是网络层的控制协议用来传递错误报告和诊断信息。最常用的两个工具是ping和traceroute。ping发送ICMP Echo Request目标回复Echo Reply用来测试连通性和往返延迟。traceroute利用IP头部的TTL字段逐跳探测路径上的路由器。ICMP的常见消息类型包括目标不可达Type 3、超时Type 11、重定向Type 5、Echo请求和回复Type 8和0。目标不可达又细分为网络不可达、主机不可达、端口不可达等。当你ping一个地址收到“Destination Host Unreachable”时说明中间有路由器不知道如何到达目标网络。ICMP虽然简单但在排查网络问题时非常有用。我常用的排查顺序是先ping网关确认本地网络通再ping外网IP确认路由通再ping域名确认DNS正常最后traceroute看路径在哪一跳断了。这个顺序能快速定位问题是在本地、在网关、在ISP、还是在目标端。4. 网络层实战排查与常见误区4.1 子网划分算错导致“能ping通自己但ping不通别人”这是我在实际工作中遇到最多的网络层问题。某台机器配置了IP 192.168.1.100子网掩码255.255.255.192/26网关192.168.1.1。这台机器能ping通自己但ping不通同网段的192.168.1.200。为什么算一下/26的掩码意味着每个子网64个地址。192.168.1.0/26的范围是192.168.1.0到192.168.1.63192.168.1.64/26的范围是64到127192.168.1.128/26的范围是128到191。192.168.1.100属于64/26这个子网而192.168.1.200属于192/26这个子网。它们不在同一个子网所以192.168.1.100会把包发给网关但网关可能没有到192.168.1.192/26的路由或者网关配置了但回包路径不对。这个问题的根因是子网规划时没有统一掩码。有些设备配了/24有些配了/26导致对“同一子网”的判断不一致。解决办法是统一所有设备的子网掩码或者在路由器上配置正确的路由条目。4.2 路由环路TTL耗尽与“ping不通但traceroute能看到路径”路由环路是指数据包在两个或多个路由器之间来回转发永远到不了目标。产生的原因是路由配置错误比如A路由器认为到目标网络要走BB路由器认为要走A。数据包在A和B之间循环直到TTL减到0被丢弃。表现症状是ping目标地址超时但traceroute能看到路径在几个IP之间反复出现。排查方法是检查相关路由器的路由表看是否存在互相指向的条目。修复方法是修正路由配置或者启用路由协议的防环机制如OSPF的SPF算法天然防环RIP的水平分割和毒性逆转。预防路由环路的最好办法是规划好网络拓扑避免出现多条等价路径却没有正确的度量值。如果必须有多条路径确保路由协议能正确计算最短路径并且有防环机制。4.3 NAT环境下的“单向通信”问题NAT环境下最常见的问题是内网能访问外网外网不能访问内网。这是NAT的设计使然不算故障。但有时候内网访问外网也出问题表现为“能建立连接但收不到回包”或者“时通时不通”。一个典型场景是内网有两台设备A和B都通过NAT上网。A访问了外网服务器SNAT表里记录了A的映射。B也访问了SNAT表里记录了B的映射。如果NAT设备的会话表满了新连接就会被丢弃。或者NAT设备的端口分配策略有问题导致端口冲突。排查NAT问题首先要看NAT设备的会话表数量和端口范围。家用路由器的NAT会话表通常只有几千条企业级设备可能有几十万条。如果内网有P2P应用或者大量并发连接很容易打满。解决办法是升级设备、限制P2P、或者调整NAT超时时间。4.4 MTU与分片为什么大包会“神秘丢失”MTU是链路层能传输的最大帧大小以太网默认是1500字节。如果IP数据包超过MTU就需要分片。分片可以在发送端做也可以在中间路由器做。但分片会带来问题只要有一个分片丢失整个数据包都要重传而且分片增加了路由器的处理负担。更麻烦的是路径MTU问题。源和目的之间的路径可能经过不同MTU的链路。如果发送端按自己的MTU发送中间链路MTU更小路由器就要分片。但如果路由器设置了DFDon‘t Fragment标志就会丢弃数据包并返回ICMP“需要分片但DF置位”消息。如果ICMP被防火墙拦截发送端就不知道要减小包大小导致大包丢失、小包正常。这个问题的典型表现是ping小包正常ping大包超时或者SSH能连接但传输大文件时卡死。解决办法是调整MTU值或者启用PMTUD路径MTU发现。在Linux上可以用ping -M do -s 1472来测试路径MTU1472加上28字节的IP和ICMP头部就是1500。5. 网络层知识的实际应用场景5.1 企业网络规划中的子网设计给一个中型企业做网络规划网络层设计是第一步。假设公司有500台设备分为研发、市场、财务、行政四个部门每个部门需要独立子网。同时需要预留访客网络和服务器区。我的做法是先确定总部的地址块比如10.1.0.0/16。然后按部门划分研发10.1.1.0/24市场10.1.2.0/24财务10.1.3.0/24行政10.1.4.0/24服务器区10.1.10.0/24访客网络10.1.20.0/24。每个/24有254个可用地址足够各部门使用。如果某个部门设备超过254台可以升级到/23。划分时要注意地址预留。不要把所有地址都分完留出一些给未来扩展。另外服务器区最好独立子网方便做访问控制。访客网络要隔离只能访问外网不能访问内网。5.2 云环境下的VPC与路由配置云环境下的网络层跟传统网络有相似之处也有不同。VPC虚拟私有云相当于一个隔离的网络环境你可以自定义子网、路由表、网关。云厂商通常提供默认路由表所有子网默认关联到主路由表。在云上配置网络层关键点是路由表与子网的关联。每个子网必须关联一个路由表路由表决定了子网内资源的流量走向。比如要让子网内的云主机访问公网需要在路由表里添加一条0.0.0.0/0指向互联网网关的路由。要让两个VPC互通需要配置对等连接和对应的路由条目。云环境的坑在于安全组和网络ACL。安全组是实例级别的防火墙网络ACL是子网级别的防火墙。两者都基于网络层和传输层信息做过滤。配置时要注意规则的方向和优先级否则会出现“路由通了但安全组拦了”的情况。5.3 容器网络与Overlay网络层的新挑战容器技术给网络层带来了新问题。每个容器有自己的IP容器之间要通信容器和宿主机要通信容器和外网要通信。Docker默认使用bridge网络容器通过NAT访问外网。Kubernetes则使用CNI插件常见的有Calico、Flannel、Cilium。Overlay网络是解决跨主机容器通信的方案。它把容器的数据包封装在宿主机之间的隧道里外层用宿主机的IP内层用容器的IP。这样容器就像在同一个大二层网络里但实际上底层是三层路由。VXLAN是常见的Overlay协议它把二层帧封装在UDP里传输。Overlay的代价是额外的封装开销和MTU问题。VXLAN封装会增加50字节的头部所以底层网络的MTU要相应调大否则分片会很严重。在云环境下底层MTU可能是1450或1400留给容器的MTU就更小。配置容器网络时MTU是一个必须关注的参数。6. 几个容易被忽略的网络层细节6.1 IP分片与重组的时间窗口IP分片后接收端需要重组。重组需要等待所有分片到达但等待时间不能无限长。IPv4规定重组超时是60秒超时后丢弃所有已到达的分片。这个超时值在现代网络中可能太长因为分片丢失后重传的代价很高。更关键的是分片重组只在最终目的地进行中间路由器不重组。这意味着如果分片在途中丢失只有目的地知道源端要等传输层超时才会重传。对于TCP来说这意味着整个段要重传对于UDP来说整个数据报就丢了。避免分片的最好方法是路径MTU发现。发送端先发一个DF置位的大包如果中间路由器返回ICMP“需要分片”发送端就减小包大小重试。但如前所述ICMP可能被拦截导致PMTUD失效。这时候只能手动设置一个保守的MTU值。6.2 路由表的“隐藏条目”直连路由和本地路由路由表里除了管理员配置的静态路由和协议学习的动态路由还有两类自动生成的条目直连路由和本地路由。直连路由是接口配置IP后自动生成的表示该接口所在的网段是直连的。本地路由是/32的主机路由指向设备自己的IP。这两类路由的优先级通常最高因为它们是“最直接”的路径。当你要ping自己的IP时走的是本地路由当你要ping同网段的其他设备时走的是直连路由。理解这一点有助于排查“为什么路由表里有条目但ping不通”——可能是接口down了直连路由消失了。6.3 TTL的妙用与误用TTL生存时间原本的设计是防止数据包在网络中无限循环。每经过一个路由器TTL减1减到0就丢弃并返回ICMP超时。traceroute正是利用这个机制发送TTL从1开始递增的包逐跳获取路径。但TTL也被用于其他目的。有些操作系统用TTL的初始值来识别对方系统Linux通常64Windows通常128某些网络设备255。这可以用于粗略的指纹识别但很容易伪造。另外有些防火墙会修改TTL值来隐藏网络拓扑或者丢弃TTL异常的包。TTL的误用包括设置过大的TTL导致环路时占用带宽或者设置过小的TTL导致正常包被丢弃。默认值通常是64或128一般不需要修改。如果发现ping通但traceroute显示某跳之后全是星号可能是中间设备不返回ICMP超时消息。6.4 网络层安全IP欺骗与入站过滤IP欺骗是指攻击者伪造源IP地址发送数据包。由于网络层不验证源IP的真实性攻击者可以轻易伪造。IP欺骗常用于DDoS攻击如SYN Flood和绕过基于IP的访问控制。防范IP欺骗的方法包括入站过滤和uRPF。入站过滤是在网络边界检查数据包的源IP是否属于内部网络如果不属于就丢弃。uRPF单播反向路径转发是检查数据包的源IP是否可以通过收到该包的接口路由回去如果不能就丢弃。这两种方法都能有效减少IP欺骗。但入站过滤也有局限性。如果攻击者伪造的源IP在允许范围内过滤就失效了。而且入站过滤需要网络管理员在边界路由器上配置很多网络并没有做。所以不能完全依赖网络层安全应用层和传输层的防护同样重要。7. 从网络层出发的学习路径建议7.1 先动手抓包再回头看理论我学网络层最大的体会是光看书没用必须抓包。Wireshark是最直观的工具它能让你看到IP头部每个字段的实际值看到ARP请求和回复的交互过程看到ICMP消息的类型和代码。很多概念在抓包之前是抽象的抓包之后就变得具体了。建议的抓包练习ping一个外网地址观察ICMP Echo Request和Reply的IP头部traceroute一个地址观察TTL递增和ICMP超时消息访问一个网站观察TCP三次握手和IP分片如果有的话。抓包之后对照协议格式看每个字段理解它们的作用。7.2 用模拟器搭建网络拓扑光抓包还不够还需要自己搭建网络。GNS3、EVE-NG、Cisco Packet Tracer都是不错的选择。用模拟器搭建一个多路由器的拓扑配置静态路由和动态路由观察路由表的变化和数据包的路径。我建议的练习搭建三个路由器串联的拓扑配置静态路由让两端互通然后换成OSPF观察路由表如何自动学习再故意配置错误的路由观察路由环路和TTL耗尽。这种“故意犯错”的练习比正常配置更有价值因为它能让你理解故障的成因。7.3 关注网络层的新发展网络层不是一成不变的。IPv6正在逐步替代IPv4它解决了地址耗尽问题简化了头部格式改进了分片机制。SRv6分段路由是新一代的流量工程方案它把路径信息编码在IPv6头部让网络更可编程。这些新技术值得关注但前提是先把IPv4网络层的基础打牢。另外网络层的可编程性是一个趋势。P4语言允许自定义数据包处理逻辑智能网卡可以卸载网络层处理。这些技术正在改变网络设备的形态但核心概念——编址、路由、转发——依然不变。基础打好了新技术上手就快。我个人在实际操作中的体会是网络层最核心的能力不是记住多少协议细节而是建立一种“数据包视角”的思维方式。遇到网络问题的时候能想象出数据包从源到目的经过了哪些设备、在每个设备上发生了什么、可能在哪一步出了问题。这种思维方式一旦建立起来排查问题的效率会有质的提升。 
长河君 · 2026/10/22 19:34:55 · 阅读 1.2k 网络层核心机制详解：IP地址、子网划分、路由与ARP协作原理
网络层这块内容我前前后后翻过不下五遍。每次重读都有新收获因为它不像应用层那样看得见摸得着也不像传输层那样跟端口号打交道那么直观。网络层是整个TCP/IP协议栈里最“闷”的一层但恰恰是这层决定了数据包能不能从你的机器跳到对面那台机器上。很多人学网络卡就卡在网络层——IP地址、子网掩码、路由表、ARP、ICMP单拎出来每个概念都认识合在一起就不知道它们怎么协作了。这篇内容我打算换个讲法不按教科书那种“先定义后分类”的路子走而是从“一个数据包要出远门”这个视角把网络层的关键机制串起来。不管你是刚学完数据链路层准备往下走的在校生还是工作中被路由配置和子网划分搞得头大的运维或者是面试前想快速把网络层知识点捋一遍的开发者下面这些内容应该都能帮到你。1. 网络层到底在解决一个什么问题1.1 从“隔壁工位”到“跨城市”的通信鸿沟数据链路层解决的是同一个局域网内两台机器怎么通信。你可以把它理解成“同一个小区里送快递”——知道门牌号走几步就到了。MAC地址就是门牌号交换机就是小区里的路标。但问题是一旦收件人住在另一个城市你光知道门牌号就没用了你得先知道对方在哪个城市、走哪条路能到、路上要经过几个中转站。网络层就是干这个的。具体来说网络层要解决三个核心问题。第一是编址——给每一台联网设备一个全球唯一的逻辑地址也就是IP地址让不同网络里的设备能互相识别。第二是路由——当源和目的不在同一个网络时数据包该走哪条路经过哪些中间节点这是路由协议要干的事。第三是分组转发——路由器收到数据包后根据路由表决定从哪个接口发出去这是每个路由器在微秒级别要完成的动作。这三个问题听起来简单但每一个展开都是一大块知识。编址涉及IP地址分类、子网掩码、CIDR、NAT路由涉及静态路由、动态路由协议RIP、OSPF、BGP分组转发涉及路由表结构、最长前缀匹配、ARP解析。下面我会逐个拆开讲但始终围绕一个主线数据包从源到目的网络层到底帮它做了什么。1.2 网络层与上下层的关系夹心饼干里的那层“逻辑胶水”网络层上面是传输层下面是数据链路层。它跟上下层的关系可以用一个简单的类比来理解。传输层是“寄件人和收件人之间的对话”——TCP负责确认对方收到没有UDP负责快速扔出去不管。网络层是“快递公司的运输网络”——它不关心包裹里装的是什么只负责把包裹从A城市的集散中心送到B城市的集散中心。数据链路层是“最后一公里的配送员”——负责把包裹从集散中心送到具体的小区门口。这个分层设计的好处是解耦。传输层不需要知道底层是以太网还是Wi-Fi网络层不需要知道上层是HTTP还是FTP。每一层只关心自己的职责通过标准接口交互。但这也带来一个代价网络层提供的服务是“尽力而为”的它不保证数据包一定到达不保证按顺序到达也不保证不重复。可靠性要么交给传输层的TCP要么由应用层自己处理。理解这一点很关键因为很多初学者会误以为IP层会帮忙重传或排序实际上它什么都不管。1.3 一个数据包的“出远门”全流程为了把后面的知识点串起来我们先看一个完整场景。假设你在浏览器里访问一个远端服务器你的机器IP是192.168.1.100目标服务器IP是203.0.113.5。数据包从你的机器出发到抵达目标网络层参与了哪些环节第一步你的机器发现目标IP跟自己不在同一个子网通过子网掩码判断于是决定把包发给默认网关。第二步通过ARP协议找到默认网关的MAC地址把数据包封装成帧发给网关。第三步网关也就是路由器收到帧后拆掉链路层头部看目标IP查路由表决定下一跳。第四步路由器把包重新封装成新的帧发给下一跳路由器。这个过程重复多次直到到达目标网络的路由器。第五步最后一跳路由器通过ARP找到目标主机的MAC地址把包送达。整个过程中源IP和目标IP始终不变除非经过NAT但MAC地址每一跳都在变。这是理解网络层最核心的一句话IP地址端到端不变MAC地址逐跳改变。后面讲ARP和路由的时候我们会反复回到这个点上。2. IP地址与子网划分网络层的“门牌号系统”2.1 IP地址的组成逻辑与分类的由来IPv4地址是32位二进制数通常写成点分十进制比如192.168.1.1。这32位被分成两部分网络号和主机号。网络号标识设备所在的网络主机号标识网络内的具体设备。问题在于从哪里切开早期的做法是把IP地址分成A、B、C、D、E五类每类有固定的网络号长度。A类地址第一位是0网络号占8位主机号占24位能容纳1600多万台主机适合超大型网络。B类地址前两位是10网络号占16位主机号占16位适合中型网络。C类地址前三位是110网络号占24位主机号占8位最多254台主机适合小型网络。D类是组播地址E类保留实验用。这种分类方式在互联网早期够用但很快就暴露出问题。一个中型企业如果申请B类地址会浪费大量主机号如果申请多个C类地址又会导致路由表膨胀。这就是所谓的地址浪费和路由表爆炸问题。我见过不少老教材还在花大篇幅讲分类但实际工作中你几乎不会用到“这个地址是B类”这种判断取而代之的是CIDR和子网掩码。2.2 子网掩码把“一刀切”变成“可裁剪”子网掩码的作用是告诉设备IP地址的哪部分是网络号哪部分是主机号。掩码也是32位网络号对应的位是1主机号对应的位是0。比如255.255.255.0表示前24位是网络号后8位是主机号。把IP地址和子网掩码做按位与运算就得到网络地址。子网划分的本质是从主机号里“借”几位来做子网号。举个例子一个C类网络192.168.1.0/24有254个可用主机地址。如果公司有四个部门每个部门需要独立子网你可以借2位主机号做子网号变成/26每个子网有62个可用主机地址。四个子网分别是192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26。这里有个容易踩的坑子网号和广播地址不能分配给主机。每个子网的第一个地址是网络地址最后一个地址是广播地址。所以/26的子网虽然有64个地址实际可用只有62个。很多人在做子网规划时忘了扣掉这两个导致地址不够用。2.3 CIDR与路由聚合让路由表不再“爆炸”CIDR无类别域间路由的核心思想是打破A/B/C类的固定边界用“/前缀长度”来表示网络。比如192.168.1.0/24前缀长度24表示前24位是网络号。CIDR的另一个重要作用是路由聚合也叫超网。假设一个ISP有四个连续的C类网络200.1.0.0/24、200.1.1.0/24、200.1.2.0/24、200.1.3.0/24。如果不做聚合路由器需要为每个网络维护一条路由条目共4条。但观察它们的二进制形式前22位是相同的只有第23、24位不同。于是可以聚合成一条路由200.1.0.0/22。这样路由表就少了3条。路由聚合的好处是减少路由表规模加快查表速度。但聚合也有前提这些网络的下一跳必须相同否则不能聚合。实际网络中ISP之间的路由聚合非常普遍这也是互联网路由表虽然庞大但还能控制住的原因之一。2.4 私有地址与NATIPv4地址不够用的“续命方案”IPv4地址只有约43亿个早就分配完了。私有地址和NAT是让它继续服役的关键机制。私有地址有三个范围10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。这些地址不能出现在公网上只能在内部网络使用。NAT网络地址转换让多台内网设备共享一个公网IP。当内网设备访问外网时NAT设备把源IP替换成自己的公网IP并记录一个端口映射。回包到达时再根据端口映射把目标IP替换回内网地址。这样一个公网IP可以支撑成千上万台设备上网。NAT的代价是破坏了端到端的透明性。外网设备无法主动连接内网设备因为NAT表里没有对应的映射。这就是为什么P2P应用需要打洞技术也是为什么有些游戏联机需要做端口映射。另外NAT设备需要维护映射表连接数太多时会成为瓶颈。我在实际工作中遇到过NAT会话表被打满导致新连接无法建立的情况排查了半天才发现是某个内网主机中了病毒疯狂发起连接。3. 路由与转发数据包该往哪里走3.1 路由表的结构与最长前缀匹配每台运行IP协议的设备都有一张路由表。路由表的核心字段包括目标网络、子网掩码、下一跳、出接口、度量值。当设备要发送数据包时它拿目标IP去查路由表找到匹配的条目然后从对应接口发给下一跳。查表的关键规则是最长前缀匹配。假设路由表里有三条条目0.0.0.0/0默认路由、192.168.0.0/16、192.168.1.0/24。现在要发一个包到192.168.1.50。三条都匹配但/24的前缀最长所以选第三条。如果没有/24那条就选/16。如果都没有就走默认路由。默认路由0.0.0.0/0是路由表里的“兜底”条目。当目标地址不匹配任何具体路由时就走默认路由。家用路由器通常只有一条默认路由指向ISP的网关。企业路由器则可能有几十上百条路由默认路由只是最后的选择。3.2 静态路由与动态路由的取舍静态路由是管理员手动配置的路由条目。它的优点是简单、可控、不占带宽。缺点是网络拓扑变化时需要手动修改不适合大型网络。静态路由适合小型网络、末梢网络、或者需要精确控制的场景。动态路由是路由器之间通过协议交换路由信息自动计算最优路径。常见的动态路由协议有RIP、OSPF、BGP。RIP基于距离向量算法最大跳数15适合小型网络。OSPF基于链路状态算法收敛快适合中大型企业网络。BGP是自治系统之间的路由协议是互联网的“骨架”。选择哪种路由协议取决于网络规模和需求。我个人的经验是如果网络设备少于10台且拓扑稳定静态路由足够如果网络经常变动或者设备超过20台上OSPF如果涉及多运营商出口BGP是必须的。不要为了“技术先进”而盲目上动态路由维护成本也是成本。3.3 ARP协议IP地址到MAC地址的“翻译官”ARP的作用是在局域网内根据IP地址找到对应的MAC地址。当设备要发送数据包给同一子网的目标时它知道目标IP但不知道目标MAC。于是它广播一个ARP请求“谁是192.168.1.50请告诉我你的MAC地址。”目标收到后单播回复自己的MAC地址。发送方把结果缓存到ARP表里下次直接查表。ARP表有老化时间通常是几分钟到几十分钟。如果目标设备下线或更换网卡ARP表里的条目会过期重新解析。ARP是“无状态”的它不验证回复的真实性这就给了ARP欺骗可乘之机。攻击者可以伪造ARP回复把自己伪装成网关截获所有流量。防范ARP欺骗的方法包括静态ARP绑定、ARP防护功能、或者使用DHCP Snooping。还有一个容易混淆的概念代理ARP。当目标不在同一子网时路由器可以代替目标回复ARP请求把自己的MAC地址告诉发送方。这样发送方以为目标在同一子网实际上数据包发给了路由器。代理ARP在某些场景下有用但也会带来安全隐患一般建议关闭。3.4 ICMP协议网络层的“诊断工具”ICMP是网络层的控制协议用来传递错误报告和诊断信息。最常用的两个工具是ping和traceroute。ping发送ICMP Echo Request目标回复Echo Reply用来测试连通性和往返延迟。traceroute利用IP头部的TTL字段逐跳探测路径上的路由器。ICMP的常见消息类型包括目标不可达Type 3、超时Type 11、重定向Type 5、Echo请求和回复Type 8和0。目标不可达又细分为网络不可达、主机不可达、端口不可达等。当你ping一个地址收到“Destination Host Unreachable”时说明中间有路由器不知道如何到达目标网络。ICMP虽然简单但在排查网络问题时非常有用。我常用的排查顺序是先ping网关确认本地网络通再ping外网IP确认路由通再ping域名确认DNS正常最后traceroute看路径在哪一跳断了。这个顺序能快速定位问题是在本地、在网关、在ISP、还是在目标端。4. 网络层实战排查与常见误区4.1 子网划分算错导致“能ping通自己但ping不通别人”这是我在实际工作中遇到最多的网络层问题。某台机器配置了IP 192.168.1.100子网掩码255.255.255.192/26网关192.168.1.1。这台机器能ping通自己但ping不通同网段的192.168.1.200。为什么算一下/26的掩码意味着每个子网64个地址。192.168.1.0/26的范围是192.168.1.0到192.168.1.63192.168.1.64/26的范围是64到127192.168.1.128/26的范围是128到191。192.168.1.100属于64/26这个子网而192.168.1.200属于192/26这个子网。它们不在同一个子网所以192.168.1.100会把包发给网关但网关可能没有到192.168.1.192/26的路由或者网关配置了但回包路径不对。这个问题的根因是子网规划时没有统一掩码。有些设备配了/24有些配了/26导致对“同一子网”的判断不一致。解决办法是统一所有设备的子网掩码或者在路由器上配置正确的路由条目。4.2 路由环路TTL耗尽与“ping不通但traceroute能看到路径”路由环路是指数据包在两个或多个路由器之间来回转发永远到不了目标。产生的原因是路由配置错误比如A路由器认为到目标网络要走BB路由器认为要走A。数据包在A和B之间循环直到TTL减到0被丢弃。表现症状是ping目标地址超时但traceroute能看到路径在几个IP之间反复出现。排查方法是检查相关路由器的路由表看是否存在互相指向的条目。修复方法是修正路由配置或者启用路由协议的防环机制如OSPF的SPF算法天然防环RIP的水平分割和毒性逆转。预防路由环路的最好办法是规划好网络拓扑避免出现多条等价路径却没有正确的度量值。如果必须有多条路径确保路由协议能正确计算最短路径并且有防环机制。4.3 NAT环境下的“单向通信”问题NAT环境下最常见的问题是内网能访问外网外网不能访问内网。这是NAT的设计使然不算故障。但有时候内网访问外网也出问题表现为“能建立连接但收不到回包”或者“时通时不通”。一个典型场景是内网有两台设备A和B都通过NAT上网。A访问了外网服务器SNAT表里记录了A的映射。B也访问了SNAT表里记录了B的映射。如果NAT设备的会话表满了新连接就会被丢弃。或者NAT设备的端口分配策略有问题导致端口冲突。排查NAT问题首先要看NAT设备的会话表数量和端口范围。家用路由器的NAT会话表通常只有几千条企业级设备可能有几十万条。如果内网有P2P应用或者大量并发连接很容易打满。解决办法是升级设备、限制P2P、或者调整NAT超时时间。4.4 MTU与分片为什么大包会“神秘丢失”MTU是链路层能传输的最大帧大小以太网默认是1500字节。如果IP数据包超过MTU就需要分片。分片可以在发送端做也可以在中间路由器做。但分片会带来问题只要有一个分片丢失整个数据包都要重传而且分片增加了路由器的处理负担。更麻烦的是路径MTU问题。源和目的之间的路径可能经过不同MTU的链路。如果发送端按自己的MTU发送中间链路MTU更小路由器就要分片。但如果路由器设置了DFDon‘t Fragment标志就会丢弃数据包并返回ICMP“需要分片但DF置位”消息。如果ICMP被防火墙拦截发送端就不知道要减小包大小导致大包丢失、小包正常。这个问题的典型表现是ping小包正常ping大包超时或者SSH能连接但传输大文件时卡死。解决办法是调整MTU值或者启用PMTUD路径MTU发现。在Linux上可以用ping -M do -s 1472来测试路径MTU1472加上28字节的IP和ICMP头部就是1500。5. 网络层知识的实际应用场景5.1 企业网络规划中的子网设计给一个中型企业做网络规划网络层设计是第一步。假设公司有500台设备分为研发、市场、财务、行政四个部门每个部门需要独立子网。同时需要预留访客网络和服务器区。我的做法是先确定总部的地址块比如10.1.0.0/16。然后按部门划分研发10.1.1.0/24市场10.1.2.0/24财务10.1.3.0/24行政10.1.4.0/24服务器区10.1.10.0/24访客网络10.1.20.0/24。每个/24有254个可用地址足够各部门使用。如果某个部门设备超过254台可以升级到/23。划分时要注意地址预留。不要把所有地址都分完留出一些给未来扩展。另外服务器区最好独立子网方便做访问控制。访客网络要隔离只能访问外网不能访问内网。5.2 云环境下的VPC与路由配置云环境下的网络层跟传统网络有相似之处也有不同。VPC虚拟私有云相当于一个隔离的网络环境你可以自定义子网、路由表、网关。云厂商通常提供默认路由表所有子网默认关联到主路由表。在云上配置网络层关键点是路由表与子网的关联。每个子网必须关联一个路由表路由表决定了子网内资源的流量走向。比如要让子网内的云主机访问公网需要在路由表里添加一条0.0.0.0/0指向互联网网关的路由。要让两个VPC互通需要配置对等连接和对应的路由条目。云环境的坑在于安全组和网络ACL。安全组是实例级别的防火墙网络ACL是子网级别的防火墙。两者都基于网络层和传输层信息做过滤。配置时要注意规则的方向和优先级否则会出现“路由通了但安全组拦了”的情况。5.3 容器网络与Overlay网络层的新挑战容器技术给网络层带来了新问题。每个容器有自己的IP容器之间要通信容器和宿主机要通信容器和外网要通信。Docker默认使用bridge网络容器通过NAT访问外网。Kubernetes则使用CNI插件常见的有Calico、Flannel、Cilium。Overlay网络是解决跨主机容器通信的方案。它把容器的数据包封装在宿主机之间的隧道里外层用宿主机的IP内层用容器的IP。这样容器就像在同一个大二层网络里但实际上底层是三层路由。VXLAN是常见的Overlay协议它把二层帧封装在UDP里传输。Overlay的代价是额外的封装开销和MTU问题。VXLAN封装会增加50字节的头部所以底层网络的MTU要相应调大否则分片会很严重。在云环境下底层MTU可能是1450或1400留给容器的MTU就更小。配置容器网络时MTU是一个必须关注的参数。6. 几个容易被忽略的网络层细节6.1 IP分片与重组的时间窗口IP分片后接收端需要重组。重组需要等待所有分片到达但等待时间不能无限长。IPv4规定重组超时是60秒超时后丢弃所有已到达的分片。这个超时值在现代网络中可能太长因为分片丢失后重传的代价很高。更关键的是分片重组只在最终目的地进行中间路由器不重组。这意味着如果分片在途中丢失只有目的地知道源端要等传输层超时才会重传。对于TCP来说这意味着整个段要重传对于UDP来说整个数据报就丢了。避免分片的最好方法是路径MTU发现。发送端先发一个DF置位的大包如果中间路由器返回ICMP“需要分片”发送端就减小包大小重试。但如前所述ICMP可能被拦截导致PMTUD失效。这时候只能手动设置一个保守的MTU值。6.2 路由表的“隐藏条目”直连路由和本地路由路由表里除了管理员配置的静态路由和协议学习的动态路由还有两类自动生成的条目直连路由和本地路由。直连路由是接口配置IP后自动生成的表示该接口所在的网段是直连的。本地路由是/32的主机路由指向设备自己的IP。这两类路由的优先级通常最高因为它们是“最直接”的路径。当你要ping自己的IP时走的是本地路由当你要ping同网段的其他设备时走的是直连路由。理解这一点有助于排查“为什么路由表里有条目但ping不通”——可能是接口down了直连路由消失了。6.3 TTL的妙用与误用TTL生存时间原本的设计是防止数据包在网络中无限循环。每经过一个路由器TTL减1减到0就丢弃并返回ICMP超时。traceroute正是利用这个机制发送TTL从1开始递增的包逐跳获取路径。但TTL也被用于其他目的。有些操作系统用TTL的初始值来识别对方系统Linux通常64Windows通常128某些网络设备255。这可以用于粗略的指纹识别但很容易伪造。另外有些防火墙会修改TTL值来隐藏网络拓扑或者丢弃TTL异常的包。TTL的误用包括设置过大的TTL导致环路时占用带宽或者设置过小的TTL导致正常包被丢弃。默认值通常是64或128一般不需要修改。如果发现ping通但traceroute显示某跳之后全是星号可能是中间设备不返回ICMP超时消息。6.4 网络层安全IP欺骗与入站过滤IP欺骗是指攻击者伪造源IP地址发送数据包。由于网络层不验证源IP的真实性攻击者可以轻易伪造。IP欺骗常用于DDoS攻击如SYN Flood和绕过基于IP的访问控制。防范IP欺骗的方法包括入站过滤和uRPF。入站过滤是在网络边界检查数据包的源IP是否属于内部网络如果不属于就丢弃。uRPF单播反向路径转发是检查数据包的源IP是否可以通过收到该包的接口路由回去如果不能就丢弃。这两种方法都能有效减少IP欺骗。但入站过滤也有局限性。如果攻击者伪造的源IP在允许范围内过滤就失效了。而且入站过滤需要网络管理员在边界路由器上配置很多网络并没有做。所以不能完全依赖网络层安全应用层和传输层的防护同样重要。7. 从网络层出发的学习路径建议7.1 先动手抓包再回头看理论我学网络层最大的体会是光看书没用必须抓包。Wireshark是最直观的工具它能让你看到IP头部每个字段的实际值看到ARP请求和回复的交互过程看到ICMP消息的类型和代码。很多概念在抓包之前是抽象的抓包之后就变得具体了。建议的抓包练习ping一个外网地址观察ICMP Echo Request和Reply的IP头部traceroute一个地址观察TTL递增和ICMP超时消息访问一个网站观察TCP三次握手和IP分片如果有的话。抓包之后对照协议格式看每个字段理解它们的作用。7.2 用模拟器搭建网络拓扑光抓包还不够还需要自己搭建网络。GNS3、EVE-NG、Cisco Packet Tracer都是不错的选择。用模拟器搭建一个多路由器的拓扑配置静态路由和动态路由观察路由表的变化和数据包的路径。我建议的练习搭建三个路由器串联的拓扑配置静态路由让两端互通然后换成OSPF观察路由表如何自动学习再故意配置错误的路由观察路由环路和TTL耗尽。这种“故意犯错”的练习比正常配置更有价值因为它能让你理解故障的成因。7.3 关注网络层的新发展网络层不是一成不变的。IPv6正在逐步替代IPv4它解决了地址耗尽问题简化了头部格式改进了分片机制。SRv6分段路由是新一代的流量工程方案它把路径信息编码在IPv6头部让网络更可编程。这些新技术值得关注但前提是先把IPv4网络层的基础打牢。另外网络层的可编程性是一个趋势。P4语言允许自定义数据包处理逻辑智能网卡可以卸载网络层处理。这些技术正在改变网络设备的形态但核心概念——编址、路由、转发——依然不变。基础打好了新技术上手就快。我个人在实际操作中的体会是网络层最核心的能力不是记住多少协议细节而是建立一种“数据包视角”的思维方式。遇到网络问题的时候能想象出数据包从源到目的经过了哪些设备、在每个设备上发生了什么、可能在哪一步出了问题。这种思维方式一旦建立起来排查问题的效率会有质的提升。