TCP/IP 协议栈：从 IP 到 ICMP

0. 元信息

• 主题路径：docs/topics/network/subtopics/tcp-ip-stack/
• 父主题：network
• 主分类：计算机基础
• 辅助分类：工程技术
• 适合对象：懂二层帧、MAC、以太网 ARP 和基本 Linux 命令的学习者
• 建议周期：3～4 周（每周 6～8 小时，含抓包、命令实验、复盘）
• 前置知识：physical-and-link-layer；会 ip、ss、ping 基本用法
• 最终目标：能读懂 IPv4/IPv6 报文头、做完 CIDR 划分、用 traceroute / mtr / tcpdump 定位丢包和 MTU 问题

1. 学习路线

二层交付边界
  → IPv4 报文头与编址
  → CIDR 与子网计算
  → 路由表与最长前缀匹配
  → MTU、分片、PMTUD
  → ICMP 类型与代码
  → NAT 与 conntrack
  → IPv6 报文、地址、邻居发现
  → Linux 抓包与综合排障

每一步都要在两台机器上抓一次包。坑在「只看 RFC 不抓包」——字段太多，背不下来；看到真实字节流才算入门。

2. 阶段周数分配

3. 九阶段表

阶段 9 真实场景：服务跨 VPC 调用慢，要能从 mtr 跳点变化判断是「丢在运营商」还是「目标主机丢包」。

4. 第一周任务

Day 7 拆解

步骤 A —— 最小可用（60 分钟）

1. tcpdump -ni any -w /tmp/icmp.pcap icmp 抓 30 秒；
2. ping -c 3 1.1.1.1；
3. 用 tcpdump -r /tmp/icmp.pcap -vv 列出请求和应答；
4. 把 echo request 的 IP 头字段逐一对照 RFC 791 §3.1 标注。

步骤 B —— 补齐边界（30 分钟）

• 同时跑 traceroute -n 1.1.1.1，抓 hop 2 处的 ICMP Time Exceeded；
• 改用 traceroute -I 1.1.1.1 抓 ICMP 探测包；
• 故意把 ping TTL 设成 1（ping -t 1 1.1.1.1），验证看到 Time Exceeded；
• 记录到 notes/week1-day7.md。

进阶：稳定通过后，再叠加 BPF 过滤 tcpdump 'icmp[icmptype] == 11'，验证只看 Time Exceeded。

5. 阶段通用验收

1. 不看 RFC 也能画出 IPv4 头 20 字节的字段分布；
2. 用自己的话解释「为什么需要分片」「为什么 IPv6 不分片」；
3. 画一张图：主机 A → 路由器 R1 → R2 → 主机 B 上每跳 IP 头变化（TTL、checksum、地址）；
4. 测试异常：TTL=0、DF 置位 + 大包、不可达目的地址、错误 checksum；
5. 准备 3 组自定义数据并贴实际输出（不同 TTL、不同 MTU、不同路由）；
6. 记录每次抓包的 BPF 过滤器和命令；
7. 能修改 BPF 抓到想要的报文，而不是只能照抄。

6. 最终验收

• 独立完成：手算 20 道 CIDR、抓一次跨网段 ping、定位一次「服务不通」故障；
• 至少完成 6 个实验（CIDR 算题、路由实验、MTU 实验、ICMP 类型识别、NAT 实验、IPv6 实验）；
• 完成 1 个综合排障项目：模拟一个跨网段延迟升高 / 丢包场景，写定位报告；
• 能用 15 分钟讲清楚 IP 头字段、路由查询、ICMP 错误传递三者关系。

7. 综合项目

首选：跨网段服务延迟定位（必做：在两台 Linux 上用 network namespace 模拟 3 跳网络，故意在某跳注入丢包或延迟，用 mtr + tcpdump 定位）。

备选：

• 抓包分析 100 条 ICMP 报文并分类；
• 用 iptables 模拟 SNAT/Hairpin NAT 并验证；
• IPv4/IPv6 双栈对比 ping 行为差异。

综合项目必做要求：

1. 场景描述：网络拓扑、预期行为、实际行为；
2. 工具选择理由：为什么用 mtr 而不是 ping？为什么用 tcpdump 而不是 wireshark 命令行版本？
3. 核心分析：每一跳的现象、判断依据、根因定位；
4. 复现脚本：可重复运行的 ip netns add / tc qdisc add / iptables 命令；
5. 边界测试：换协议（UDP/TCP）、换方向、换 MTU 都验证过；
6. 运行说明：环境依赖（iproute2、iptables、traceroute、mtr、tcpdump）、复现步骤；
7. README：项目介绍、目录结构、复盘；
8. 复盘记录：用时、难点、收获、下一步。

复盘项目交付物统一存到 notes/：

• notes/design.md：拓扑、命令、定位逻辑；
• notes/test.md：每组数据输入、期望、实际；
• notes/retrospective.md：踩过的坑与改进点。

本主题贡献

本主题沉淀 IPv4/IPv6 报文、CIDR 子网、ICMP 错误传递、MTU/PMTUD 与 NAT/conntrack 五条主线能力，所有结论都要能在两台 Linux 上用 tcpdump -vv -X 重现。

职责（3 项）

1. 解析 IPv4 头 14 个字段、IPv6 头固定 40 字节与扩展头链，能从 hex 标注 TTL、Protocol、Header Checksum、Hop Limit、Next Header；
2. 在两 namespace + 两 veth 拓扑上用 tc qdisc add dev lo root netem loss 30% 注入丢包与延迟，用 mtr -r -c 30 + tcpdump 区分丢在运营商还是目标主机，能解释 PMTUD 与 DF 位的关系；
3. 配 SNAT/DNAT/Hairpin NAT、抓五元组变化、读 conntrack -L，能解释 NAT 为什么破坏端到端可达性，以及为什么 ICMP Fragmentation Needed 被防火墙误杀会引发 MTU 黑洞。

交付物（4 项）

1. 一份带字段标注的 IPv4 报文 hexdump（tcpdump -ni any -vv -X icmp），含 TTL、Protocol、Header Checksum 逐字节对照；
2. 20 道 CIDR 手算（覆盖 /20 /27 /30），用 ipcalc / python netaddr 校验并保留截图；
3. 跨网段延迟升高场景的 mtr 报告 + tcpdump -w /tmp/p.pcap 证据，能定位丢包 hop 与 ICMP Time Exceeded 出现位置；
4. IPv4/IPv6 双栈对比实验记录（ip -6 neigh、ping6 fe80::1%eth0），含 NAT 转换前后五元组变化对照表。

指标（3 项）

1. 跨网段问题定位 hop 数 ≤ 5（用 mtr Last/Avg/StDev 与抓包共同判定）；
2. PMTUD 失败场景下 TCP fallback 到 clamp_mss 的恢复时间 < 30 秒；
3. NAT 转换记录与 conntrack 表一致性检查通过率 100%（五元组 + 超时匹配）。

8. 推荐开源资料（按角色分工）

许可证提示：Wireshark 样例 pcap 是公开教学资源；iproute2 是 GPL-2.0。复制或参考命令前先确认许可证。

源码阅读时机：iproute2 源码放到「阶段 4（路由）」之后再读；RFC 原文从 Day 1 就开始对照，但不要试图一次通读所有 RFC——按当前阶段挑相关章节。

9. 学习资料汇聚（v0.3 自包含）

本节内容基于公开 RFC、Linux 手册与个人整理，标注「由本计划生成」处为计划自写。本节是子主题自包含的最后一节，不再依赖 notes/ 子目录。

9.1 背景与动机

• 1981 年 RFC 791 标准化 IPv4，1983 年 ARPANET 切到 TCP/IP，互联网从实验网络变成全球基础设施。
• 1990 年代 CIDR 取代有类编址，解决 IPv4 地址耗尽和路由表爆炸。
• 1996 年 RFC 2460 引入 IPv6，根本解法是扩大地址空间到 128 位。
• ICMP 看似「只是错误报告」，其实是网络层唯一的「信号通道」：traceroute、PMTUD、Redirect 都靠它。
• 一句话总结：Internet 是无连接的；可靠和顺序由上层（TCP）提供；这一层只负责「尽力而为」地把数据报送到下一跳。这一点很多人栽过——以为 IP 丢了会重传，其实不会。

9.2 概念地图

flowchart LR
  App[应用层] --> Socket
  Socket --> TCP[TCP/UDP]
  TCP --> IP[IPv4/IPv6 报文]
  IP --> ICMP[ICMP 控制]
  IP --> Frag[分片/重组]
  IP --> Route{路由查询}
  Route -->|出接口| L2[链路层]
  L2 -->|出网卡| Wire[物理层]
  Wire --> Next[下一跳]
  Next --> L2
  IP --> NAT[NAT 转换]
  IP --> PMTUD[PMTUD]
  PMTUD --> ICMP
  ICMP --> Traceroute[traceroute/mtr]
  IP --> Addr[编址/CIDR]
  IP --> Fwd[转发/最长前缀]

关系说明：

• IP 是中心节点，向上接传输层，向下交链路层；
• ICMP 不携带业务数据，但承载 traceroute、PMTUD、错误通知；
• NAT 在出口路由器改写源/目的地址和端口，需要 conntrack 记录映射；
• PMTUD 通过 ICMP Fragmentation Needed（v4）或 ICMPv6 Packet Too Big 反馈；
• 路由 在主机和路由器都要查，用最长前缀匹配选路。

9.3 基础知识讲解

经典论文 / 经典书籍 / 优秀博客 / 核心人物 / 开发方法 五大类，每类 ≥3 条。

经典论文 / RFC（必读）

经典书籍（系统化）

优秀博客（按问题查）

核心人物（知道谁定的规范）

开发方法（动手习惯）

缺失部分：tcpdump 的 -dd 输出语法、BPF 字面量在不同 libpcap 版本的差异。本计划不重写工具手册；查 man pcap-filter 即可。

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• IPv4/IPv6：定义无连接数据报格式、分片、转发机制；不保证可靠、不保证顺序；
• ICMP：承载错误报告与诊断（Echo、Time Exceeded、Destination Unreachable、Redirect、Packet Too Big）；
• CIDR：替代有类编址，提供任意长度前缀与路由聚合；
• 路由：在主机与路由器上用最长前缀匹配选路；
• iproute2 / Linux kernel：事实上的实现与工具。

不适用：实时多媒体（用 UDP/RTP）、可靠字节流（用 TCP）、应用语义（用 HTTP/gRPC）。与传输层关系：IP 提供「从源主机到目的主机」能力，TCP/UDP 在此之上提供「端到端进程间」能力。

9.6.3 Structure

IPv4 头（20 字节，必会字段）：

IPv6 头（40 字节固定，扩展头链式）：

ICMPv4 常见类型：

9.6.4 Ecosystem

• 内核实现：Linux kernel 的 net/ipv4/ 与 net/ipv6/；
• 用户态工具：iproute2（ip、tc、ss）、net-tools（ifconfig、netstat，已不推荐）、iptables/nftables（NAT / 防火墙）、tcpdump/wireshark（抓包）、mtr/traceroute（路径探测）；
• 事实标准 vs 标准本身：
  • ping 多数实现走 ICMP，少数（Windows）允许 TCP/UDP；
  • traceroute 默认 UDP 高端口，Linux -I 走 ICMP，-T 走 TCP SYN；
  • PMTUD 在 ECMP + 防火墙场景常失败，工程上 fallback 到「clamp MSS」。

9.6.5 Depth Tiers

本计划目标：阶段 9 综合排障时达到 L3。

9.6.6 Source

• RFC Editor：所有 IPv4/IPv6/ICMP 原文（https://www.rfc-editor.org/）；
• IANA Protocol Numbers：协议号与端口号权威分配（https://www.iana.org/assignments/protocol-numbers/）；
• iproute2 官方文档（https://wiki.linuxfoundation.org/networking/iproute2）；
• Linux man 7 ip / man 8 tcpdump / man 8 iptables；
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 把 IP 当成「可靠传输」：IP 不重传、不保序、不保证到达；
• 抓包不指定接口：用 -i any 在多网卡主机上时间戳会乱；
• 改路由不验证：ip route add 后没 ip route get 验证，发包还是走老路；
• 误以为 ping 通就服务通：ICMP 防火墙策略常常与 TCP 不同步；
• 抓 ICMP 看到 Time Exceeded 就当故障：traceroute 故意制造的 TTL=1 也会触发；
• IPv6 Link-Local 不写 zone：ping6 fe80::1 在多接口主机上会报 connect: Invalid argument；
• PMTUD 失败就调大 MTU：MTU 黑洞是路径问题，不是主机问题，应该 tracepath；
• 用 ifconfig 配路由：现代发行版推荐 iproute2，ifconfig 输出格式与新内核能力已不匹配；
• 改 /etc/sysctl.conf 不 sysctl -p：编辑完没生效；
• 抓到分片就以为有 bug：很多大文件传输、P2P 协议正常分片；
• 把 ICMP Destination Unreachable code 3 当成「主机挂」：可能是 MTU 通告，路径上抓到要对端抓包对照；
• 只看 tcpdump 第一行摘要：丢包排障一定要 -vv 看 TTL、ID、flags。

11. 所有知识点分类（统一规则）

按本仓库统一分类规则（与父主题一致）：

1. 编程语言
2. 数据结构与算法
3. 计算机基础：网络协议、操作系统、组成原理
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力

本计划归属：计算机基础 主 + 工程技术 辅。