1. 項(xiàng)目概述從“信封”到“數(shù)字郵差”的IP數(shù)據(jù)報(bào)如果你接觸過(guò)網(wǎng)絡(luò)哪怕只是配置過(guò)家里的Wi-Fi大概率也聽(tīng)過(guò)“IP地址”這個(gè)詞。但I(xiàn)P地址是如何承載著你的聊天信息、視頻流跨越千山萬(wàn)水準(zhǔn)確抵達(dá)目的地的這背后的核心載體就是IP數(shù)據(jù)報(bào)。你可以把它想象成互聯(lián)網(wǎng)世界里的“標(biāo)準(zhǔn)信封”每一個(gè)想要在網(wǎng)絡(luò)中旅行的數(shù)據(jù)包都必須被封裝進(jìn)這個(gè)格式統(tǒng)一的信封里上面寫(xiě)明寄件人源IP和收件人目的IP地址再由沿途的“郵局”路由器根據(jù)地址信息決定下一步該往哪里送。我最初學(xué)習(xí)網(wǎng)絡(luò)協(xié)議時(shí)面對(duì)IP數(shù)據(jù)報(bào)那一個(gè)個(gè)十六進(jìn)制的字段也覺(jué)得頭大。直到后來(lái)真正動(dòng)手用抓包工具如Wireshark拆開(kāi)幾個(gè)真實(shí)的數(shù)據(jù)包把那些抽象的字段和屏幕上跳動(dòng)的網(wǎng)絡(luò)活動(dòng)一一對(duì)應(yīng)起來(lái)才豁然開(kāi)朗。這次我們就來(lái)徹底拆解這個(gè)“數(shù)字信封”——IPv4數(shù)據(jù)報(bào)的結(jié)構(gòu)弄懂每一個(gè)字段的職責(zé)、設(shè)計(jì)初衷以及在實(shí)際網(wǎng)絡(luò)運(yùn)維和問(wèn)題排查中如何運(yùn)用它們。無(wú)論你是剛?cè)腴T(mén)的學(xué)生還是需要經(jīng)常排查網(wǎng)絡(luò)問(wèn)題的運(yùn)維工程師理解IP數(shù)據(jù)報(bào)的細(xì)節(jié)都是你從“會(huì)用網(wǎng)絡(luò)”到“懂網(wǎng)絡(luò)”的關(guān)鍵一步。2. IP數(shù)據(jù)報(bào)整體結(jié)構(gòu)與設(shè)計(jì)哲學(xué)2.1 為什么需要固定的報(bào)文結(jié)構(gòu)在深入字段之前必須先理解其設(shè)計(jì)哲學(xué)?；ヂ?lián)網(wǎng)是由無(wú)數(shù)異構(gòu)網(wǎng)絡(luò)設(shè)備不同廠商的路由器、交換機(jī)和系統(tǒng)Windows, Linux, macOS構(gòu)成的。要讓它們能無(wú)縫協(xié)作就必須有一套全球通用的“語(yǔ)言”和“信封格式”。IP協(xié)議就是這套語(yǔ)言而IP數(shù)據(jù)報(bào)的固定結(jié)構(gòu)就是確保所有設(shè)備都能正確解讀和處理信息的基礎(chǔ)。固定結(jié)構(gòu)帶來(lái)了幾個(gè)核心好處高效解析設(shè)備網(wǎng)卡或內(nèi)核協(xié)議棧收到一串二進(jìn)制比特流后無(wú)需猜測(cè)直接按照預(yù)定偏移量就能提取出關(guān)鍵信息如總長(zhǎng)度、目的地址實(shí)現(xiàn)快速轉(zhuǎn)發(fā)。靈活擴(kuò)展通過(guò)“版本”、“首部長(zhǎng)度”、“協(xié)議”等字段為未來(lái)協(xié)議升級(jí)如IPv6和承載多種上層數(shù)據(jù)如TCP、UDP、ICMP留出了空間?？煽勘Ｕ贤ㄟ^(guò)“首部校驗(yàn)和”字段確保IP包頭在傳輸過(guò)程中沒(méi)有因物理鏈路錯(cuò)誤而損壞避免將錯(cuò)亂的數(shù)據(jù)包誤傳到錯(cuò)誤的目的地。2.2 IPv4數(shù)據(jù)報(bào)格式全景圖一個(gè)標(biāo)準(zhǔn)的IPv4數(shù)據(jù)報(bào)由兩大塊組成IP首部Header和數(shù)據(jù)載荷Data。首部包含所有路由和管控信息長(zhǎng)度通常為20字節(jié)無(wú)選項(xiàng)時(shí)數(shù)據(jù)載荷則承載了上層協(xié)議如TCP報(bào)文段或UDP數(shù)據(jù)報(bào)的內(nèi)容。我們討論的“各字段含義”主要集中在首部這20-60個(gè)字節(jié)的范圍內(nèi)。為了讓你有一個(gè)直觀印象我們先看一個(gè)用Wireshark抓取的真實(shí)IP數(shù)據(jù)包首部樣例以十六進(jìn)制和字段對(duì)應(yīng)方式呈現(xiàn)4500 0073 0000 4000 4011 b861 c0a8 0001 c0a8 00c7別怕接下來(lái)我們會(huì)把這一串“天書(shū)”逐個(gè)字段地翻譯成你能懂的網(wǎng)絡(luò)故事。3. 核心字段詳解與實(shí)戰(zhàn)解析我們將IP首部按4字節(jié)32位一行進(jìn)行劃分逐行解析其含義。3.1 第一行版本、長(zhǎng)度、服務(wù)與總長(zhǎng)對(duì)應(yīng)十六進(jìn)制4500 0073版本Version4位4。這4個(gè)比特直接說(shuō)明了這是IPv4數(shù)據(jù)報(bào)。如果是IPv6這個(gè)值會(huì)是6。這是接收設(shè)備解讀整個(gè)數(shù)據(jù)包格式的根本依據(jù)。首部長(zhǎng)度IHL4位5。這個(gè)字段的單位是“4字節(jié)字”。這里的5表示IP首部長(zhǎng)度為 5 * 4 20字節(jié)。這是最典型的長(zhǎng)度表明該數(shù)據(jù)報(bào)沒(méi)有“選項(xiàng)”字段。IHL的最大值是15因此IP首部最大可達(dá)60字節(jié)。區(qū)分服務(wù)Differentiated Services8位00。早期被稱(chēng)為服務(wù)類(lèi)型TOS字段用于指示數(shù)據(jù)包需要的服務(wù)質(zhì)量如最小延遲、最大吞吐量、最高可靠性等。在實(shí)際的普通互聯(lián)網(wǎng)流量中這個(gè)字段經(jīng)常為0。但在企業(yè)網(wǎng)絡(luò)或運(yùn)營(yíng)商網(wǎng)絡(luò)中可用于QoS服務(wù)質(zhì)量策略?xún)?yōu)先轉(zhuǎn)發(fā)語(yǔ)音、視頻等實(shí)時(shí)流量?？傞L(zhǎng)度Total Length16位0073十六進(jìn)制轉(zhuǎn)換為十進(jìn)制是115。這個(gè)字段定義了整個(gè)IP數(shù)據(jù)報(bào)首部數(shù)據(jù)的總字節(jié)數(shù)。因此我們可以計(jì)算出數(shù)據(jù)載荷部分長(zhǎng)度為 115 - 20 95字節(jié)。這個(gè)字段是必需的因?yàn)橄聦尤缫蕴W(wǎng)的數(shù)據(jù)幀格式可能不同需要知道在哪里截?cái)郔P包。實(shí)操心得在排查“數(shù)據(jù)包被截?cái)唷被颉皯?yīng)用層數(shù)據(jù)不完整”的問(wèn)題時(shí)檢查“總長(zhǎng)度”字段是否與實(shí)際捕獲的字節(jié)數(shù)相符是第一步。如果不符可能是在某個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)被錯(cuò)誤地處理了。3.2 第二行標(biāo)識(shí)、標(biāo)志與片偏移對(duì)應(yīng)十六進(jìn)制0000 4000這行字段全部用于處理IP分片F(xiàn)ragmentation這是IP協(xié)議適應(yīng)不同網(wǎng)絡(luò)傳輸單元MTU的關(guān)鍵機(jī)制。標(biāo)識(shí)Identification16位0000。發(fā)送主機(jī)為每個(gè)發(fā)出的IP數(shù)據(jù)報(bào)分配一個(gè)唯一ID。如果原始數(shù)據(jù)報(bào)需要分片那么所有分片后的數(shù)據(jù)報(bào)都共享這個(gè)相同的ID。接收端依靠這個(gè)ID來(lái)識(shí)別哪些分片屬于同一個(gè)原始數(shù)據(jù)報(bào)以便進(jìn)行重組。標(biāo)志Flags3位0...二進(jìn)制。我們關(guān)注后兩位。保留位必須為0。不分片DF位示例中為0表示“允許分片”。如果此位被置為1路由器在需要分片時(shí)會(huì)直接丟棄該包并返回一個(gè)“需要分片”的ICMP錯(cuò)誤消息。這在一些場(chǎng)景如路徑MTU發(fā)現(xiàn)中非常有用。更多分片MF位示例中為0表示這是最后一個(gè)分片或者數(shù)據(jù)報(bào)根本沒(méi)有被分片。如果為1則表示后面還有更多的分片。片偏移Fragment Offset13位0。這個(gè)字段指示當(dāng)前分片在原始未分片數(shù)據(jù)報(bào)中的相對(duì)位置單位是8字節(jié)。由于是13位最大可表示8191 * 8 65528字節(jié)的位置這支持了IP數(shù)據(jù)報(bào)的最大長(zhǎng)度65535字節(jié)。注意事項(xiàng)現(xiàn)代網(wǎng)絡(luò)中盡量避免IP分片。因?yàn)榉制瑫?huì)降低性能丟失任何一個(gè)分片都會(huì)導(dǎo)致整個(gè)數(shù)據(jù)報(bào)重傳且一些防火墻和安全策略會(huì)直接丟棄分片包。通常通過(guò)TCP的路徑MTU發(fā)現(xiàn)機(jī)制可以協(xié)商出合適的報(bào)文大小避免在IP層分片。3.3 第三行生存時(shí)間、協(xié)議與首部校驗(yàn)和對(duì)應(yīng)十六進(jìn)制4011 b861生存時(shí)間Time to Live TTL 8位40十六進(jìn)制即十進(jìn)制64。這是一個(gè)“跳數(shù)限制”計(jì)數(shù)器。數(shù)據(jù)報(bào)每經(jīng)過(guò)一個(gè)路由器即一跳TTL值就減1。當(dāng)TTL減到0時(shí)路由器會(huì)丟棄該數(shù)據(jù)包并發(fā)送ICMP超時(shí)消息。這可以防止因路由環(huán)路導(dǎo)致的數(shù)據(jù)包在網(wǎng)絡(luò)中無(wú)限循環(huán)。常見(jiàn)的初始值Windows系統(tǒng)通常為128Linux/Unix系統(tǒng)通常為64。協(xié)議Protocol 8位11十六進(jìn)制即十進(jìn)制17。這個(gè)字段指明了數(shù)據(jù)載荷部分承載的是哪種上層協(xié)議。17對(duì)應(yīng)UDP6對(duì)應(yīng)TCP1對(duì)應(yīng)ICMP。接收方的IP層根據(jù)這個(gè)字段決定將數(shù)據(jù)交付給哪個(gè)上層協(xié)議處理模塊。首部校驗(yàn)和Header Checksum 16位b861。它只校驗(yàn)IP首部的完整性不包含數(shù)據(jù)部分。發(fā)送方計(jì)算接收方驗(yàn)證。如果校驗(yàn)失敗數(shù)據(jù)報(bào)會(huì)被靜默丟棄。計(jì)算方法是將首部每16位當(dāng)作一個(gè)數(shù)進(jìn)行二進(jìn)制反碼求和結(jié)果取反存入該字段。排查技巧tracertWindows或tracerouteLinux命令的原理就是利用TTL。它發(fā)送一系列TTL從1開(kāi)始遞增的探測(cè)包。當(dāng)TTL1的包到達(dá)第一個(gè)路由器時(shí)TTL超時(shí)路由器返回ICMP超時(shí)消息這樣就知道了第一跳的地址。依此類(lèi)推直到到達(dá)目的地。通過(guò)觀察TTL的衰減值也可以初步判斷源主機(jī)的操作系統(tǒng)類(lèi)型。3.4 第四、五行源與目的IP地址對(duì)應(yīng)十六進(jìn)制c0a8 0001和c0a8 00c7源IP地址Source Address 32位c0a8 0001-192.168.0.1。這是發(fā)送設(shè)備的IP地址。目的IP地址Destination Address 32位c0a8 00c7-192.168.0.199。這是接收設(shè)備的IP地址。這是IP數(shù)據(jù)報(bào)中最核心的尋址字段。路由器查閱路由表的核心依據(jù)就是目的IP地址。源IP地址則用于接收方回復(fù)信息。常見(jiàn)問(wèn)題網(wǎng)絡(luò)不通時(shí)首先用ping命令測(cè)試。如果ping不通在排除物理連接后一個(gè)關(guān)鍵檢查點(diǎn)就是雙方IP地址是否在同一網(wǎng)段以及網(wǎng)關(guān)配置是否正確。抓包分析時(shí)確認(rèn)源和目的IP是否符合預(yù)期是判斷數(shù)據(jù)流方向是否正確的基礎(chǔ)。3.5 可選字段與填充在標(biāo)準(zhǔn)的20字節(jié)首部之后是長(zhǎng)度可變的選項(xiàng)Options字段。但由于其長(zhǎng)度不固定且不是所有路由器都支持處理選項(xiàng)因此在實(shí)際網(wǎng)絡(luò)流量中并不常見(jiàn)。為了確保IP首部長(zhǎng)度是4字節(jié)的整數(shù)倍這是對(duì)齊要求在選項(xiàng)字段后面可能會(huì)使用填充Padding用0補(bǔ)足。4. 從理論到實(shí)踐Wireshark抓包深度分析理解了字段含義最好的鞏固方式就是實(shí)戰(zhàn)。打開(kāi)Wireshark隨便抓取一點(diǎn)本地流量比如訪問(wèn)一個(gè)網(wǎng)頁(yè)然后找到一個(gè)IP協(xié)議的數(shù)據(jù)包。定位IP層在數(shù)據(jù)包詳情面板找到并展開(kāi)“Internet Protocol Version 4”這一行。對(duì)照解析你會(huì)看到圖形化界面清晰地列出了我們講過(guò)的所有字段。例如Version: 4Header Length: 20 bytesTotal Length: 89Identification: 0x3a9dFlags: 0x4000, Don‘t fragment(這里DF位被置1了)Time to live: 64Protocol: TCP (6)Header checksum: 0x7243 [validation disabled](Wireshark可能默認(rèn)關(guān)閉校驗(yàn))Source: 192.168.1.100Destination: 104.18.25.35查看原始數(shù)據(jù)點(diǎn)擊底部“Packet Bytes”面板選擇以“Hex Dump”模式查看。找到IP數(shù)據(jù)報(bào)開(kāi)始的位置嘗試對(duì)照我們之前的講解手動(dòng)識(shí)別出每一行對(duì)應(yīng)的字段。例如開(kāi)頭的45對(duì)應(yīng)版本和首部長(zhǎng)00是區(qū)分服務(wù)0059是總長(zhǎng)度十進(jìn)制89……這個(gè)過(guò)程能極大地加深你對(duì)數(shù)據(jù)報(bào)結(jié)構(gòu)的空間記憶。5. 常見(jiàn)網(wǎng)絡(luò)問(wèn)題與IP字段關(guān)聯(lián)排查掌握了IP數(shù)據(jù)報(bào)結(jié)構(gòu)很多網(wǎng)絡(luò)問(wèn)題就有了清晰的排查思路。5.1 場(chǎng)景一目標(biāo)主機(jī)不可達(dá)現(xiàn)象ping命令返回 “Destination Host Unreachable” 或 “Request timed out”。排查思路檢查目的IP地址是否正確是否屬于一個(gè)可路由的地址比如公網(wǎng)地址或本地子網(wǎng)地址。檢查本地主機(jī)的源IP地址和子網(wǎng)掩碼配置確認(rèn)與目的IP是否在同一網(wǎng)絡(luò)或是否配置了正確的網(wǎng)關(guān)網(wǎng)關(guān)地址會(huì)出現(xiàn)在你發(fā)出的數(shù)據(jù)包的“目的MAC地址”字段屬于以太網(wǎng)幀范疇但緊密相關(guān)。如果使用tracert觀察在哪個(gè)跳數(shù)之后中斷結(jié)合TTL字段的耗盡情況可以定位故障大致范圍。5.2 場(chǎng)景二網(wǎng)絡(luò)性能慢時(shí)斷時(shí)續(xù)現(xiàn)象訪問(wèn)應(yīng)用慢偶爾丟包。排查思路抓包分析觀察是否有大量標(biāo)識(shí)字段相同但片偏移非零的數(shù)據(jù)包這可能是觸發(fā)了IP分片而分片處理效率低下或丟失。應(yīng)嘗試調(diào)整上層應(yīng)用的MTU設(shè)置。觀察協(xié)議字段是否是非預(yù)期的協(xié)議流量占用了帶寬檢查T(mén)TL值是否在合理范圍內(nèi)異常跳變穩(wěn)定的TTL衰減路徑是正常的。5.3 場(chǎng)景三疑似數(shù)據(jù)篡改或傳輸錯(cuò)誤現(xiàn)象應(yīng)用層數(shù)據(jù)解析錯(cuò)誤。排查思路雖然IP層的首部校驗(yàn)和主要保障路由正確但可以作為一個(gè)基礎(chǔ)檢查點(diǎn)。在Wireshark中可開(kāi)啟校驗(yàn)和驗(yàn)證需謹(jǐn)慎某些網(wǎng)卡會(huì)卸載校驗(yàn)和計(jì)算。更重要的結(jié)合上層協(xié)議如TCP的序列號(hào)、確認(rèn)號(hào)、校驗(yàn)和進(jìn)行綜合判斷。IP數(shù)據(jù)報(bào)的“數(shù)據(jù)載荷”完整性由上層協(xié)議保障。6. 進(jìn)階思考IPv4與IPv6的字段演進(jìn)了解了IPv4再看IPv6的數(shù)據(jù)報(bào)稱(chēng)為“分組”結(jié)構(gòu)就能理解其設(shè)計(jì)上的改進(jìn)。IPv6固定首部長(zhǎng)度40字節(jié)字段精簡(jiǎn)為8個(gè)去除了IPv4中一些“歷史包袱”取消首部校驗(yàn)和將數(shù)據(jù)完整性檢查完全交給上層TCP/UDP和底層鏈路層提升路由器處理效率。取消分片相關(guān)字段分片功能不再由中間路由器負(fù)責(zé)而是由源主機(jī)通過(guò)路徑MTU發(fā)現(xiàn)機(jī)制提前完成。固定首部長(zhǎng)度去除了“首部長(zhǎng)度”和“選項(xiàng)”字段處理更快速。流標(biāo)簽新增字段更好地支持對(duì)特定數(shù)據(jù)流的服務(wù)質(zhì)量控制。這種演進(jìn)反映了網(wǎng)絡(luò)設(shè)計(jì)思想從“功能復(fù)雜、處處校驗(yàn)”到“核心簡(jiǎn)單、邊緣智能”的轉(zhuǎn)變。理解IPv4字段的細(xì)節(jié)正是為了能更好地理解這些變化背后的原因和優(yōu)勢(shì)。最后我個(gè)人的體會(huì)是網(wǎng)絡(luò)協(xié)議的學(xué)習(xí)絕不能停留在書(shū)本圖示。一定要配合抓包工具把每一個(gè)字段和網(wǎng)絡(luò)上的真實(shí)流量對(duì)應(yīng)起來(lái)。當(dāng)你第一次親手從一串十六進(jìn)制數(shù)中解讀出源地址、目的地址和協(xié)議類(lèi)型時(shí)當(dāng)你通過(guò)修改過(guò)濾條件只看到特定協(xié)議的數(shù)據(jù)流時(shí)那種對(duì)整個(gè)網(wǎng)絡(luò)通信過(guò)程建立起具象認(rèn)知的感覺(jué)是任何理論描述都無(wú)法替代的。IP數(shù)據(jù)報(bào)是這座大廈的基石現(xiàn)在你已經(jīng)擁有了仔細(xì)端詳這塊基石的能力。