★ FEATURED ARTICLE 经常有朋友问TCP/IP 学了 IP 地址、路由、子网掩码之后下一步该干什么我的回答几乎都是同一个——去把 ICMP 数据包抓一遍彻底弄明白 ping 和 traceroute 背后的协议机制。ICMP 这个协议平时看不见摸不着但一旦网络出问题你翻来覆去排查半天最后大概率都会回到它身上。它看起来只是几个报文类型实际上承载着网络可达性检测、差错上报、路径探测、MTU 发现等一系列核心功能。这篇文章按“第二步”的定位来写假设你已经知道 IP 报文长什么样也理解“数据包在网络里一跳一跳转发”的基本模型。我会从 ICMP 在协议栈里的角色讲起逐字节拆开报文结构接着用真实抓包带你过一遍 ping 的完整流程再分享我工作里处理过的几个疑难排障场景。无论你是网络工程师、运维同学还是刚入门想把这个知识点学扎实的后端开发者照着这篇文章动手操作一遍应该能把 ICMP 真正吃透。1. ICMP 到底在网络协议栈里扮演什么角色1.1 它是 IP 的“快递回执系统”先回一个问题IP 协议本身只负责尽力而为地转发数据包它不提供任何差错反馈机制。就像一家只负责送货、不管签收和退件的快递公司。你寄了一个包裹快递员把东西扔出去对方到底收没收到、中间是不是掉进河里了寄件人完全不知道。如果每次都靠应用层自己探测效率太低而且很多错误比如 TTL 超时、路由不可达发生在网络中间节点应用层根本无从感知。ICMP 就是为此而生的全称 Internet Control Message Protocol互联网控制报文协议。它工作在网络层但和 IP 是共生关系ICMP 仲载在 IP 数据包的数据区里传输IP 头里的协议号字段固定填 1表示后面这个载荷是 ICMP 报文。也就是说ICMP 不是独立承载数据的协议它是 IP 的“辅助协议”专门用来传递控制消息和差错信息。类比一下IP 是快递员ICMP 就是快递员手里那部报话机。快递送不到、地址错误、包裹超时滞留快递员用报话机喊一声总部源主机就能得到反馈。这就是为什么学 TCP/IP 不能绕过 ICMP——它填补了 IP 不可靠传输留下的信息盲区。1.2 两类 ICMP 消息差错报告与查询ICMP 消息按功能分成两大族搞清这个分类后面看报文头里的 type 字段就不会晕。第一类是差错报告消息Error Reporting Messages用于向源端报告转发过程中出现的问题。典型的有目的不可达Type 3再细分 code比如网络不可达、主机不可达、端口不可达、需要分片但设置了 DF 位等超时Type 11常见于 TTL 减到 0 被丢弃的场景traceroute 靠它工作参数问题Type 12IP 头或选项字段解析出错重定向Type 5路由器告诉源主机“你下次应该走另一条路”。第二类是查询消息Query Messages用于主动探测网络状态。最常见的就是回显请求Type 8和回显应答Type 0也就是 ping 的核心还有时间戳请求Type 13和时间戳应答Type 14用来粗略测量时延和时钟偏差不过现在实际场景已经不太常用了。在实际工程里你 90% 的时间只会和“回显请求/应答”“目的不可达”“超时”这三类打交道。但另外那几类并不是没用——比如重定向消息在安全攻防里是一把双刃剑会在后面第 4 章展开。1.3 为什么把 ICMP 归为网络层而不是传输层这是初学者最容易混淆的一点。从封装位置看ICMP 位于 IP 头之后跟 TCP/UDP 一样属于 IP 的载荷从功能看它似乎又在“传输某种信息”很像传输层协议。但 ICMP 没有端口概念不建立连接不提供流量控制或可靠传输它只是网络层的控制平面协议。协议栈的分层从来不是看封装位置而是看协议的服务目标。搞清楚这一点你在 Wireshark 里就不会傻傻地用tcp.port 8去过滤 ping 包了。ICMP 的过滤语法是icmp它和 TCP/UDP 是平级的关系都挂在 IP 层之下。2. 逐字节拆解 ICMP 报文格式2.1 通用头部结构ICMP 报文结构并不复杂每个报文都带一个固定 8 字节的通用头后面跟内容和数据。通用头由三个字段组成Type1 字节标识消息类型。8 是回显请求0 是回显应答3 是目的不可达5 是重定向11 是超时。Code1 字节同一种类型下更细分的子类。比如 Type 3 下面Code 0 是网络不可达Code 1 是主机不可达Code 4 是需要分片但 DF 置位。Checksum2 字节校验整个 ICMP 报文包含头和后续数据在传输过程中是否损坏。通用头之后还有 4 字节但这 4 字节的语义会根据消息类型变化。比如回显请求/应答里它们是标识符Identifier和序号Sequence Number在差错报告消息里它们是未使用字段加触发报文的原始 IP 头部分。理解这个变化是分析和构造 ICMP 包的关键。2.2 回显请求/应答消息ping 的完整生命周期回显消息Type 8 / Type 0是 ICMP 里最基础、最常用的类型。它的额外 4 字节是标识符Identifier用于匹配请求和应答。发送方一般填进程 ID 或随机数这样就算同时 ping 多个目标也能把哪一个应答对应哪一个请求分清楚。序号Sequence Number从 0 或 1 开始递增。作用是检测丢包。如果发送了 5 个请求只收到 3 个应答看序号就知道丢了第几包。数据区Data是可选部分内容由发送方决定。Windows 的 ping 默认填充一串小写字母abcdefghijklmnopqrstuvwabcdefghi这串数据同样参与校验和计算也必须参与往返一致性验证。Linux 下 ping 默认填充的内容略有不同但原理一致。一个完整的 ping 流程是这样的主机 A 构造 ICMP 回显请求报文塞进 IP 数据报里发往主机 B中间每一跳路由器只做普通转发主机 B 收到后检查标识符和序号再原样把所有字段填充到回显应答报文里数据区保持原内容发回给主机 A。主机 A 收到应答后计算当前时间减去发送时间得到往返时延对比数据区内容确认 payload 没被改写。你可以把标识符理解成一个“对话 ID”序号是“对话里的第几句”数据区是“对话内容”。对方只有和你对得上 ID确认说的是同一件事这个 ping 才算有效。2.3 差错报告消息IP 的“退件通知单”差错报告消息的格式和查询消息差别很大。以目的不可达Type 3为例它的通用头后不是标识符和序号而是一个保留字段全 0紧接着是触发这个报错的原始 IP 报文头外加原始 IP 载荷的前 8 字节。为什么要带这 8 字节因为只有知道原始报文的四元组信息源 IP、目的 IP、源端口、目的端口等源端才能确定到底是哪一个连接或数据包出了错。这里有几个重要的限定规则差错报文不应由另一个差错报文触发否则可能造成无限循环。差错报文不能被发往广播地址、组播地址或回环地址。差错报文必须携带原始报文的完整 IP 头否则接收方无从定位上下文。这些规则不是协议设计者吃饱了撑的而是为了防止差错报文像雪崩一样在网络里泛滥。想想看如果每丢失一个 IP 包就产生一个新的 ICMP 差错包而这个差错包本身又带着差错信息那在拥塞链路上会形成“差错风暴”把网络彻底打瘫痪。所以 ICMP 差错消息的生成频率通常也会被操作系统限速这是内核级别的保护机制。2.4 Checksum 校验和计算与验证校验和算法是 ICMP 学习一个容易卡住的点但真搞懂了就一劳永逸。它的计算步骤把整个 ICMP 报文含头部和数据区按 16 位2 字节为单位切分不足 16 位的最后部分补零将所有 16 位值累加溢出部分回卷carry bits 加回低位对最终结果按位取反得到校验和。接收方的验证方式则是把所有 16 位值包括校验和字段本身按同样的方式相加如果结果全为 10xFFFF说明校验通过。举个简单例子假设 ICMP 报文数据只有 2 字节头部几个字段值加起来是 0x1234数据区是 0x5678求和得 0x68AC取反得 0x9753这就是我们要填的 checksum。Wireshark 里看到 checksum 那一行的状态是 “correct”说明计算过程完全一致。很多人在自己写 ICMP 探测工具时校验和算不对多半是忘了在计算前把 checksum 字段先置为 0算完再回填。这个细节我踩过一次坑写在这里提醒一下。3. 实操在 Wireshark 里完整抓一次 ping 包3.1 最小复现环境与抓包前的准备要理解 ICMP光背书没用一定要亲手抓一次包。你不需要什么昂贵设备一台电脑就够了本机回环或者和另一台主机互 ping 都行。我个人建议在一台本机上做环回 ping然后在 Wireshark 里抓lo接口如果想看真实的网络链路可以连到家里的网关再 ping 外网地址。操作步骤很简单打开 Wireshark选择对应网卡开始抓包先设定显示过滤器为icmp避免被其他广播包干扰打开命令行执行 ping 命令。Windows 下是ping 127.0.0.1 -n 5Linux 下是ping -c 5 127.0.0.1抓包结束后停止捕获查看过滤结果。如果你抓外网 ping建议同时打开 Wireshark 的“解析名称解析resolve names”功能方便看清源目 IP。当然抓包本身不会干扰正常业务但要注意有些公司网络策略会丢弃 ICMP导致 ping 请求“有去无回”这也是后面第 4 章要讲的排查点。3.2 观察一个真实 ICMP 包从十六进制转储到字段标注这里我给一个标准回显请求报文的十六进制抓包示意以太网头 IP 头 ICMP 头 数据区你可以对照着看0000 00 00 5e 00 01 01 00 0c 29 6b 12 34 08 00 45 00 0010 00 3c 2a 3d 00 00 40 01 3a b0 c0 a8 01 01 c0 a8 0020 01 02 08 00 4d 5e 02 00 03 00 61 62 63 64 65 66 0030 67 68 69 6a 6b 6c 6d 6e 6f 70 71 72 73 74 75 76 0040 77 61 62 63 64 65 66 67 68 69逐字段拆解00 00 5e 00 01 01目的 MAC 地址00 0c 29 6b 12 34源 MAC 地址08 00以太网类型字段0x0800 表示上层是 IP45IP 头第一字节版本号 4头长度 5 × 4 20 字节00 3cIP 总长度 60 字节也就是 20 字节 IP 头 8 字节 ICMP 头 32 字节数据40 01TTL 是 640x40协议号 01 正是 ICMP3a b0IP 层校验和c0 a8 01 01源 IP 192.168.1.1c0 a8 01 02目的 IP 192.168.1.208ICMP Type8 代表回显请求00ICMP Code回显请求时固定 04d 5eICMP 校验和02 00标识符03 00序号即第三帧回显请求后面 32 字节数据区内容。看一遍十六进制转储比看十遍教科书都管用。你会直观地理解什么是“ICMP 嵌套在 IP 里”也会体会到“协议号 1”这句话到底意味着什么。3.3 用 ICMP 实测端到端 MTU 发现抓包操作之外我一直推荐初学者做一个小实验用 ping 探测两端的路径 MTU。这也是 ICMP 差错报告最有工程价值的一个场景。原理很简单当一台主机发送的数据包超过链路 MTU并且 IP 头里设置了“不分片DF”标志时中间路由器会丢弃这个包返还一个 Type 3 Code 4 的 ICMP 报文同时在报文里附上它允许的最大 MTU 值。发送端收到这个差错报文就知道要把包改小这就是路径 MTU 发现PMTUD的机制。Windows 下可以这样操作ping 192.168.1.2 -f -l 1472-f表示在 IP 头里设置 DF 标志-l 1472表示发送数据区大小为 1472 字节。1472 是怎么算出来的以太网标准 MTU 1500 字节减去 20 字节 IP 头和 8 字节 ICMP 头就是 1472。如果你往链路里加入 VLAN 标签MTU 就成了 1496那请求限制就得用 1496 - 28 1468 字节。把-l参数从 1400 慢慢往上加到 1500在某一个临界值你会突然看到应答变成了Fragmentation needed或Packet needs to be fragmented but DF set。那个临界值就是端到端路径 MTU。我用这个办法排查过几次跨运营商专线的丢包问题效果立竿见影。3.4 观察 TTL 超时traceroute 的运行机制第二步实验建议做 traceroute。Windows 下命令是tracertLinux/macOS 用traceroute或tracepath。它的原理就是“诱骗”路径上的路由器交出身份发送方先发一个 TTL1 的探测包第一跳路由器收包后把 TTL 减 1 变成 0于是丢弃并回一个 Time-to-live exceededType 11的 ICMP 报错这个报错的源地址就是第一跳路由器的接口地址接着发送端再发 TTL2 的包第二跳路由器如法炮制。这样逐跳加 TTL就能把一条路径上的所有路由器都“点名”出来。你在 Wireshark 里抓 traceroute 的包会看到一串 TTL 从 1 递增的 UDP 包Windows 的 tracert 用的是 ICMP 回显请求Linux 默认用 UDP 到高端口以及对应返回的 Type 11 差错报文。这个实验能把“差错报告”这一族 ICMP 消息的作用看得明明白白。4. ICMP 在网络排障与安全防护中的工程价值4.1 ping 通不代表链路健康ping 不通也不代表全不通这是我最想纠正的一个认知误区。很多人把“能 ping 通”等同于“网络没问题”实际工作中真的不是这样。ICMP 包很小通常只有几十字节它在链路里走的路由策略、优先级队列和业务流量可能完全不同。我见过不少案例ping 网关能通但访问业务系统极慢无比一排查发现中间链路对 ICMP 做了特殊 QoS 优先级ICMP 包走得快TCP 业务流量却在拥塞队列里排队反过来防火墙把 ICMP 全部丢弃但 TCP 80/443 业务完全正常。所以在排查时要把 ping 当作“第一探针”而不是“终极裁判”。ping 通说明路由可达和 ARP 解析没问题但应用层的性能、TCP 握手耗时、丢包重传都需要用更细的手段去量。4.2 ICMP 重定向正常功能也能成为攻击面再讲一个容易忽略的点ICMP 重定向Type 5。它的正常目的是当路由器发现有更好的路径时主动告诉源主机“你下次发往某目标时直接走另一台路由器”。看起来很好用但这里藏着安全风险。如果网络里有人伪造一个重定向报文把主机的默认路由指到恶意设备上就能劫持流量做中间人嗅探。这属于典型的“协议功能被滥用”。应对思路不算复杂在主机侧把 ICMP 重定向接收功能关掉或者至少对需要重定向的接口启用严格校验在网络侧用 ACL 限制出方向的 ICMP 重定向防止伪造报文进入可信网络。这类问题在公司内部网络尤其值得重视因为攻击者一旦进入内网ICMP 重定向是低成本的横向攻击手段之一。4.3 ICMP 洪水与资源消耗型攻击的防御视角ICMP 还有一个绕不开的话题就是分布式拒绝服务攻击。攻击者可以发出大量伪造源地址的回显请求让目标主机忙于应答耗尽它的带宽和 CPU。经典的做法是把请求包发往广播地址目标网络内所有主机都不得不响应放大数十倍。现代网络环境普遍关闭了定向广播转发这类放大攻击已经没有以前那么容易实现但直接发高流量 ICMP 包的攻击手段并没有消失。从防御侧看常规做法包括在网络入口限制 ICMP 速率比如设备上配置 ICMP rate-limit允许少量差错报文但限制突发流量用防火墙或安全组策略只放行必要的 ICMP 类型比如放行 Echo/Reply禁止其他高风险类型在边界设备上丢弃 TTL 异常的、源 IP 是内部地址却从外部接口进入的 ICMP 包。核心思路是ICMP 是控制面协议我们需要它来发现问题但不能让它成为攻击链的一部分。操作上记住一个原则——ICMP 要放行但不能放开错误报告要能收到但要有速率限制。5. 常见问题与排障实测记录5.1 ICMP 类型与代码速查表日常排障过程中我把常用 ICMP 消息整理成了一张速查表贴到现在团队共享文档里。这里也分享给你TypeCode含义常见触发场景00回显应答ping 成功响应30网络不可达目的网络路由不存在31主机不可达目的主机离线或地址不可达32协议不可达目的主机不支持指定协议33端口不可达UDP 端口未监听traceroute 结束34需要分片但 DF 置位包超 MTU无法透传40源抑制已弃用路由器拥塞时叫源端降速50/1/3重定向告诉源端有更优路径80回显请求ping 发起110TTL 超时传输中traceroute 输出中间跳111分片重组超时分片在中间节点停留过久120IP 头参数错误IP 头存在无法解析的选项字段130时间戳请求老式时间同步探测140时间戳应答配合 Type 13 使用5.2 一个真实案例ping 超时但业务完全正常某次处理一个客户工单反馈“服务器不通”。我远程上去第一件事就是 ping 服务器 IP结果连续超时。按惯例判断这链路八成是有问题了。结果登录对端设备一看CPU 负载、网络接口流量全部正常业务进程也在跑。再用 TCP 端口探测工具测了一下发现 443 端口握手一切正常业务完全没受影响。后来排查发现客户在安全组策略里只放行了 TCP/UDPICMP 被默拒绝。那个“服务器不通”其实是“ICMP 不通”的误判。这个案例对我的启发很大以后听到“不通”两个字我第一句一定会反问“是 ping 不通还是业务不通”这两者在大规模云环境和自动化运维体系里经常表现出完全不同的现象。5.3 实操中容易被忽略的小细节最后分享几个我踩过坑之后长记性的细节ping 命令默认包大小在不同平台不一致。Windows 下默认 32 字节 ping 数据Linux 下默认 56 字节计算总长度时别搞混。做 MTU 探测时Windows 用-f -lLinux 用-M do -s参数名完全不同。TTL 初始值不等于恒定值。不同操作系统的默认 TTL 不一样Linux 是 64Windows 是 128某些网络设备是 255。traceroute 显示途中出现“链路环回”嫌疑时记得先确认源端 TTL 初始值再推断经过了跳数。抓包一定要配合显示过滤器。直接全量抓包会被 ARP、组播等其他流量淹没加上icmp过滤之后整个实验会清爽很多。如果同时抓多台主机的包可以在过滤条件里写icmp and ip.addr 目标IP。ICMP 差错报文不一定会出现在所有丢包场景。比如中间设备静默丢弃、防火墙上做了丢弃但不回差错报文这种情况下 ping 只会显示超时但你看不到任何 ICMP 反馈。遇到这种情况别死等 ICMP赶紧换路径逐段排查。这些细节单独拎出来都不起眼但在真实排障时能把诊断时间缩短一大截。6. 从“看得懂报文”到“用得好协议”如果你已经按照上面的步骤亲手抓过包、改过 ping 参数、见过 Type 3 Code 4 的报错那说明你对 ICMP 的认识已经超过了不少天天摸网络的人。我个人很深的体会是学网络协议花 30 分钟读文档的效率远不如花 5 分钟抓包观察一个协议报文在真实环境里的样子。协议栈里各种字段、标志位只有变成十六进制转储里那些实实在在出现的字节你才会真正理解它们存在的意义。ICMP 是学习 TCP/IP 路上特别值得投入的一个知识点。它低调报文短小逻辑也不复杂但它连接着网络排障、路径优化、安全防护三个重要方向。建议你接下来做两件事第一用 traceroute 对自己常访问的几个目标站点跑一次观察返回的中间节点和延迟分布第二找出你公司网络边界设备上对 ICMP 的过滤或限速策略记录一下放行和限制的规则。做完这两件事你对“ICMP 在网络里无处不在”这句话的理解会比任何教程都深。
阅读完成 · 觉得有帮助？
