网络层IP基础原理

IP地址是什么？说白了就是网络中的门牌号。你想想看，没有门牌号，数据包怎么找到目标设备？我记得刚做安全审计那会儿，总觉得IP地址基础没啥好学的，无非就是点分十进制嘛。直到有一次排查异常源IP，因为搞混了私网地址范围，白忙活了一整天。嗯，从那以后我老实了——基础不牢，审计白搞。

IP地址结构

IPv4地址是32位的二进制数，通常写成点分十进制的形式，比如 10.3.22.151。每段8位，范围0到255。但光看懂格式还不够，你得知道它属于哪一类。

早年IPv4地址分了A、B、C、D、E五类。我们常用的就是A、B、C三类。怎么区分？看第一个8位的前几位就行：

我个人习惯用CIDR表示法，比如 192.168.1.0/24，一眼就能看出网络位和主机位。在密钥审计日志里，你常会看到类似 src=10.3.22.151 这样的字段。光看IP本身你判断不了什么，但结合子网掩码，就能知道这个源IP是不是来自你预期的网段。

子网划分

说白了就是「把一个大的IP段切成几个小的」。为啥要这么做？因为一个A类网段有1600多万个地址，放在一个广播域里，网络早就被广播风暴淹没了。

我在一个金融客户的项目里遇到过这么个事：他们的密钥分发服务器突然收到大量来自「内部」的异常请求。一开始以为是密码爆破，后来一查，源IP确实是内网段 10.0.0.0/8 的。但再仔细看子网掩码，发现那台服务器的子网划分根本没做隔离，整个大楼都在同一个广播域里。攻击者只要连上内网，就能伪装成任意IP。

子网划分的核心公式其实就两个：

子网数 = 2^(借用的主机位数)
每子网主机数 = 2^(剩余主机位数) - 2

举个例子，把 192.168.1.0/24 划分成4个子网：

原掩码: 255.255.255.0  (/24)
借用2位主机位 → 新掩码: 255.255.255.192  (/26)

子网1: 192.168.1.0/26    (可用: 192.168.1.1 ~ 192.168.1.62)
子网2: 192.168.1.64/26   (可用: 192.168.1.65 ~ 192.168.1.126)
子网3: 192.168.1.128/26  (可用: 192.168.1.129 ~ 192.168.1.190)
子网4: 192.168.1.192/26  (可用: 192.168.1.193 ~ 192.168.1.254)

在密钥审计实践中，子网划分能帮你快速圈定「合法源范围」。比如你的密钥管理平台只允许 10.3.22.0/25 的地址访问，那所有源IP为 10.3.22.200 的请求就应该被标记为异常——因为它不在 /25 的范围内。

路由概念

数据包从一个网络走到另一个网络，靠的就是路由。路由的核心是路由表。每台路由器（或者启用了路由功能的主机）都维护着一张表，告诉它「去某个网络该走哪个接口，下一跳是谁」。

路由表里通常有这么几项：

• 目的网络 — 你要去哪儿，比如 10.3.22.0/24
• 下一跳 — 先把包交给谁，比如 192.168.1.1
• 出接口 — 从哪个口发出去，比如 eth0
• 优先级 — 多条路由冲突时谁说了算

我建议你在排查异常源IP时，先画一张简单的网络拓扑图。搞清楚目标IP在哪个子网，中间经过哪些路由设备。有一次我审计到一批来源不明的密钥请求，源IP每隔几分钟就换一个。顺着路由表一查，发现所有请求都来自同一个上游出口——那台路由器被人植入了后门，在做源IP欺骗。

路由类型大致分三种：

你想想看，如果一台密钥服务器收到来自 10.3.22.151 的请求，而你的路由表显示去往10.3.22.0/24的下一跳应该走内网接口，但这个请求却从外网接口进来——那这个源IP十有八九是被伪造的。

嗯，以上就是网络层IP基础的核心三块：地址结构、子网划分、路由概念。这些看起来是基础中的基础，但在密钥审计中，每一条源IP异常的背后，几乎都能追溯到这三个层面中的某一个。搞懂了它们，你再看审计日志里的源IP，就不再是一串数字，而是一张清晰的网络地图。