4、网络层基础：IP协议头部结构、IP地址分类、子网划分与CIDR
网络层是TCP/IP协议栈中最核心的层次，它负责将数据包从源主机跨越多跳网络送达目的主机。理解IP协议头部结构、IP地址的编址逻辑以及子网划分与CIDR（无类域间路由）技术，是进行网络排障、路由设计和抓包分析的基础。本节将深入拆解IPv4报文头部的每一个字段，梳理传统分类编址到CIDR的演进逻辑，并通过实战案例演示如何高效地进行子网规划。
上图左侧展示了IPv4报文头部的标准20字节结构，右侧则概括了传统IP地址分类与CIDR无类编址的核心关系。在抓包分析中，理解头部字段的二进制含义是定位问题的关键；而在网络规划中，掌握CIDR与子网划分则是避免地址浪费、控制广播域的核心技能。下面我们逐一展开。
4.1 IP协议头部结构：逐字段拆解与抓包视角
核心原理：IPv4头部是网络层协议数据单元（PDU）的“控制大脑”，固定部分为20字节，所有字段均为二进制大端序传输。在Wireshark等抓包工具中，这些字段会被解析为可读文本，但排障时必须理解其底层含义。
| 字段 | 长度 | 作用与排障要点 |
|---|---|---|
| 版本（Version） | 4bit | 恒为4（IPv4）。若抓到版本号为其他值，说明链路层封装错误或报文被篡改。 |
| 首部长度（IHL） | 4bit | 以4字节为单位，最小值为5（20字节）。若大于5，说明携带选项（Options），常用于记录路由或时间戳。 |
| 服务类型（ToS/DSCP） | 8bit | 现代路由器主要使用DSCP（差分服务代码点）进行QoS队列调度。抓包中若看到ToS=0x00，通常为尽力而为转发。 |
| 总长度（Total Length） | 16bit | 包含头部+数据的总字节数。若该值大于接口MTU（如1500），则报文在传输前必须分片。 |
| 标识（Identification） | 16bit | 同一数据报分片后共享此标识，用于接收端重组。抓包中可通过标识+源/目的地址唯一确定一个数据报。 |
| 标志（Flags） | 3bit | DF（禁止分片）位为1时，若报文超MTU则直接丢弃并回送ICMP错误；MF（更多分片）位为1表示后续还有分片。 |
| 片偏移（Fragment Offset） | 13bit | 以8字节为单位，指示该分片在原始数据报中的位置。首片偏移为0。 |
| TTL（生存时间） | 8bit | 每经过一台路由器减1，减到0时丢弃并回送ICMP超时。抓包中TTL=64常见于Linux/Windows，TTL=128常见于Windows旧版。 |
| 协议（Protocol） | 8bit | 标识上层协议：1=ICMP，6=TCP，17=UDP，89=OSPF。若抓包看到协议号与预期不符，可能存在端口扫描或封装错误。 |
| 首部校验和（Header Checksum） | 16bit | 仅校验头部，不校验数据。每经过一跳路由器，TTL变化后必须重新计算。若校验失败，路由器直接丢弃。 |
| 源/目的IP地址 | 各32bit | 源地址必须是单播地址，目的地址可为单播、广播或多播。 |
4.2 IP地址分类：从有类编址到无类编址的演进
核心原理：早期互联网采用“有类编址”（Classful Addressing），将IPv4地址空间划分为A、B、C、D、E五类。A/B/C类用于单播，D类用于组播，E类保留。这种固定分类方式导致严重的地址浪费——一个B类网络可容纳65534台主机，但多数机构用不了这么多。
判断方法：通过首字节的二进制前缀即可快速判断类别：A类首位为0（0-127），B类首位为10（128-191），C类首位为110（192-223），D类首位为1110（224-239），E类首位为1111（240-255）。
随着互联网爆炸式增长，有类编址的缺陷愈发明显。1993年推出的CIDR（无类域间路由）彻底打破了A/B/C类的固定边界，允许使用任意长度的前缀（如/25、/27），并通过“最长前缀匹配”原则进行路由查找。CIDR还支持路由聚合（Route Summarization），将多个连续子网合并为一个路由条目，显著减小了核心路由器的路由表规模。
10.1.0.0/16 表示前16位为网络位，后16位为主机位。前缀长度直接对应子网掩码中连续的1的个数。/24 等价于 255.255.255.0，/26 等价于 255.255.255.192。
4.3 子网划分与CIDR实战：从需求分析到地址规划
操作流程：子网划分的本质是从主机位“借位”作为子网位。核心步骤包括：确定每个子网所需的主机数量 → 计算满足需求的最小前缀长度 → 推导子网地址、广播地址和可用IP范围。
假设某公司获得一个公网地址段 203.0.113.0/24，需要划分为4个部门子网，每个子网至少50台主机。计算过程如下：
- 确定主机位：每个子网50台主机，加上网络地址和广播地址，至少需要52个地址。2^6=64 ≥ 52，因此主机位至少需要6位。
- 确定前缀长度：32-6=26，即使用
/26子网掩码255.255.255.192。 - 计算子网数量：原为/24，现为/26，借用了2位，子网数=2^2=4个。
- 推导子网范围：每个子网块大小为64（2^6）。子网1：203.0.113.0/26，可用IP 203.0.113.1-62，广播203.0.113.63；子网2：203.0.113.64/26，可用IP 203.0.113.65-126，广播203.0.113.127；以此类推。
| 子网编号 | 网络地址 | 可用主机范围 | 广播地址 | 用途 |
|---|---|---|---|---|
| 1 | 203.0.113.0/26 | .1 - .62 | .63 | 研发部 |
| 2 | 203.0.113.64/26 | .65 - .126 | .127 | 市场部 |
| 3 | 203.0.113.128/26 | .129 - .190 | .191 | 销售部 |
| 4 | 203.0.113.192/26 | .193 - .254 | .255 | 运维部 |
案例拆解：某校园网核心路由器收到一个目的地址为 203.0.113.77 的数据包。路由表中有两条匹配路由：203.0.113.0/24（默认出口）和 203.0.113.64/26（市场部VLAN）。根据最长前缀匹配原则，路由器会选择 /26 这条更具体的路由，将数据包转发至市场部网关。若错误配置为 /24 路由优先，则数据包会被错误引导至核心交换机，导致跨VLAN通信异常。该案例说明，CIDR环境下必须依赖前缀长度而非网络号大小进行路由决策。
/27 误写为 255.255.255.224 时计算错误。
4.4 总结复盘：网络层基础的关键要点
本节内容从三个维度构建了网络层基础：头部结构决定了IP协议的工作机制，地址分类反映了编址技术的演进历史，子网划分与CIDR则是现代网络规划的核心工具。在实际抓包分析中，应养成先看IP头部关键字段（TTL、协议、总长度、标志位）的习惯；在地址规划中，务必使用CIDR进行灵活划分，并利用VLSM（可变长子网掩码）避免地址浪费。最后，牢记私有地址段与公网地址段的边界，以及NAT对抓包分析的影响——当你在内网抓包看到源地址为192.168.x.x而访问公网时，实际出口地址已被NAT改写，此时应同时抓取出口路由器内外两侧的流量进行对比。