議原理到網(wǎng)絡(luò)排錯實戰(zhàn))
1. 從一次網(wǎng)絡(luò)故障排查說起為什么我們離不開ping前幾天一個剛?cè)胄械耐略诓渴鹦路?wù)時遇到了麻煩。他的應(yīng)用服務(wù)器死活連不上數(shù)據(jù)庫頁面一直報“連接超時”。他先是檢查了代碼配置又重啟了服務(wù)折騰了半天毫無頭緒。我過去看了一眼只敲了一行命令ping 數(shù)據(jù)庫IP地址。屏幕上立刻返回了“請求超時”。問題瞬間清晰了——不是應(yīng)用配置問題而是底層的網(wǎng)絡(luò)根本就沒通。接下來我們順著網(wǎng)線、交換機(jī)、防火墻一路排查很快定位到是安全組的入站規(guī)則漏配了。這個簡單到幾乎被遺忘的命令往往是網(wǎng)絡(luò)世界的第一道“聽診器”。ping這個源自聲納脈沖擬聲詞的命令幾乎是所有接觸計算機(jī)網(wǎng)絡(luò)的人學(xué)會的第一個診斷工具。它的原理看似直白發(fā)送一個包看對方能不能回一個包。但就是這個簡單的“一問一答”背后卻串聯(lián)起了IP協(xié)議、ICMP報文、路由尋址、生存時間TTL等多個核心的網(wǎng)絡(luò)概念。很多人會用ping卻說不清它發(fā)出的到底是什么、回來的又是什么、中間經(jīng)歷了怎樣的旅程。理解ping的完整過程不僅是解決“網(wǎng)絡(luò)不通”這類具體問題的鑰匙更是深入理解計算機(jī)網(wǎng)絡(luò)分層模型和數(shù)據(jù)包生命周期的絕佳切入點(diǎn)。無論你是運(yùn)維工程師、開發(fā)人員還是正在備考網(wǎng)絡(luò)認(rèn)證的學(xué)生徹底搞懂ping你的網(wǎng)絡(luò)排錯能力和理論功底都會上一個臺階。2. ping命令的核心原理與ICMP協(xié)議拆解ping命令的本質(zhì)是利用ICMPInternet Control Message Protocol互聯(lián)網(wǎng)控制報文協(xié)議的回送請求Echo Request和回送應(yīng)答Echo Reply報文來測試主機(jī)之間的可達(dá)性。ICMP是TCP/IP協(xié)議族中一個位于網(wǎng)絡(luò)層第三層的子協(xié)議它不像TCP或UDP那樣用于傳輸用戶數(shù)據(jù)而是專門用于在IP主機(jī)、路由器之間傳遞控制消息比如網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等。2.1 ICMP報文的結(jié)構(gòu)不只是“數(shù)據(jù)”很多人誤以為ping發(fā)送的就是純粹的數(shù)據(jù)其實它發(fā)送的是一個結(jié)構(gòu)化的ICMP報文。一個完整的ICMP回送請求/應(yīng)答報文封裝在IP數(shù)據(jù)報中其結(jié)構(gòu)可以分為兩部分ICMP首部和ICMP數(shù)據(jù)部分。ICMP首部對于Echo類型主要包含以下幾個字段類型Type8位字段。對于回送請求值為8對于回送應(yīng)答值為0。這是區(qū)分報文用途的關(guān)鍵。代碼Code8位字段。對于回送請求和應(yīng)答這個值都是0。校驗和Checksum16位字段。用于檢驗整個ICMP報文包括首部和數(shù)據(jù)在傳輸過程中是否出錯。標(biāo)識符Identifier16位字段。通常設(shè)置為發(fā)送進(jìn)程的PID進(jìn)程ID用于在同時進(jìn)行多個ping會話時區(qū)分不同會話的回應(yīng)。序列號Sequence Number16位字段。從0開始每發(fā)送一個回送請求報文就加1。用于匹配請求和應(yīng)答計算丟包率。ICMP數(shù)據(jù)部分 這部分可以包含任意內(nèi)容。ping命令通常會在這里填充一組數(shù)據(jù)比如經(jīng)典的字母表序列“abcdefghijklmnopqrstuvwabcdefghi”并且會在數(shù)據(jù)部分加入一個時間戳。當(dāng)目標(biāo)主機(jī)發(fā)回回送應(yīng)答時必須原封不動地返回這部分?jǐn)?shù)據(jù)。這樣發(fā)送方通過比較發(fā)送和接收的時間戳就能計算出往返時間RTT。注意ICMP報文是直接封裝在IP數(shù)據(jù)報里的它沒有端口號的概念那是傳輸層TCP/UDP的事。因此當(dāng)你用tcpdump或Wireshark抓包時看到的是“IP協(xié)議號1”的數(shù)據(jù)包后面跟著的就是ICMP報文內(nèi)容。2.2 ping的工作模式無連接的“對話”理解ping的工作模式有助于澄清一個常見誤區(qū)。ping使用的是ICMP而ICMP是網(wǎng)絡(luò)層協(xié)議它本身是無連接的。這意味著沒有握手不像TCP需要三次握手建立連接ping直接發(fā)出請求報文。不可靠IP協(xié)議本身是“盡力而為”的ICMP報文也可能在傳輸中丟失。所以ping顯示丟包是正常現(xiàn)象。無狀態(tài)發(fā)送方發(fā)出請求后就等待回復(fù)。目標(biāo)主機(jī)收到后如果配置允許回應(yīng)就會自動生成一個應(yīng)答報文發(fā)回這個過程不維護(hù)任何會話狀態(tài)。這種簡單性既是優(yōu)點(diǎn)也是缺點(diǎn)。優(yōu)點(diǎn)是開銷極小能快速探測網(wǎng)絡(luò)連通性缺點(diǎn)是無法穿透那些嚴(yán)格過濾ICMP報文尤其是Echo Request的防火墻或安全設(shè)備此時你會看到ping不通但基于TCP的應(yīng)用如HTTP卻可能正常工作。2.3 為什么是ICMP底層協(xié)議的不可替代性你可能會問為什么非要用ICMP用TCP或UDP不行嗎當(dāng)然可以像telnet或nmap的端口探測就是基于TCP/UDP的連通性測試。但ping選擇ICMP有其不可替代的優(yōu)勢網(wǎng)絡(luò)層診斷ping測試的是最基礎(chǔ)的IP層連通性。如果ICMP Echo都過不去那么建立在IP之上的TCP/UDP應(yīng)用大概率也無法通信。它排除了傳輸層及以上如端口監(jiān)聽、應(yīng)用服務(wù)狀態(tài)的干擾直指網(wǎng)絡(luò)底層問題。系統(tǒng)內(nèi)核支持對ICMP Echo Request的應(yīng)答功能通常由操作系統(tǒng)內(nèi)核直接實現(xiàn)無需任何用戶態(tài)服務(wù)監(jiān)聽。只要主機(jī)在線且網(wǎng)絡(luò)策略允許就會響應(yīng)。這使得ping成為一個普遍可用的標(biāo)準(zhǔn)工具。低開銷與高效率ICMP報文結(jié)構(gòu)簡單沒有傳輸層的連接建立和維護(hù)開銷非常適合做快速的健康檢查。3. 一次ping的完整旅程數(shù)據(jù)包的生命周期詳解讓我們跟隨一個從主機(jī)A192.168.1.10發(fā)往主機(jī)B10.0.0.5的ping數(shù)據(jù)包看看它究竟經(jīng)歷了什么。這個過程完美詮釋了數(shù)據(jù)包如何在網(wǎng)絡(luò)中“旅行”。3.1 階段一本地封裝與發(fā)送主機(jī)A應(yīng)用層觸發(fā)你在命令行輸入ping 10.0.0.5并回車。生成ICMP報文ping程序通常是/bin/ping在用戶空間構(gòu)建一個ICMP回送請求報文。它設(shè)置類型為8代碼為0生成一個標(biāo)識符如進(jìn)程ID 1234和一個序列號比如0并填充數(shù)據(jù)部分包含發(fā)送時間戳。計算校驗和程序計算整個ICMP報文的校驗和填入首部。交給操作系統(tǒng)內(nèi)核用戶態(tài)的ping程序通過系統(tǒng)調(diào)用將這個ICMP報文傳遞給內(nèi)核的網(wǎng)絡(luò)協(xié)議棧。網(wǎng)絡(luò)層封裝內(nèi)核協(xié)議棧的IP模塊收到這個ICMP報文將其作為IP數(shù)據(jù)報的載荷數(shù)據(jù)。然后構(gòu)建IP首部源IP192.168.1.10目標(biāo)IP10.0.0.5協(xié)議號設(shè)置為1代表載荷是ICMP報文。TTL生存時間通常設(shè)置一個初始值Linux/Unix默認(rèn)為64Windows默認(rèn)為128。TTL每經(jīng)過一個路由器減1減到0時包被丟棄防止環(huán)路。確定下一跳內(nèi)核查看目標(biāo)IP10.0.0.5發(fā)現(xiàn)它不在本地局域網(wǎng)192.168.1.0/24網(wǎng)段。于是查詢本地路由表找到默認(rèn)網(wǎng)關(guān)比如192.168.1.1作為下一跳的IP地址。數(shù)據(jù)鏈路層封裝IP模塊將IP數(shù)據(jù)報下傳給數(shù)據(jù)鏈路層如以太網(wǎng)卡驅(qū)動。鏈路層需要知道下一跳192.168.1.1的MAC地址。主機(jī)A查詢本地的ARP緩存看是否有192.168.1.1的MAC地址。如果沒有則發(fā)起一個ARP廣播請求“誰的IP是192.168.1.1請告訴192.168.1.10”。網(wǎng)關(guān)路由器回應(yīng)其MAC地址如00:11:22:33:44:55。構(gòu)建以太網(wǎng)幀鏈路層構(gòu)建一個以太網(wǎng)幀目標(biāo)MAC是網(wǎng)關(guān)的MAC00:11:22:33:44:55源MAC是自己的MAC類型字段為0x0800表示載荷是IP數(shù)據(jù)報。最后將封裝好的以太網(wǎng)幀通過物理網(wǎng)卡發(fā)送出去。3.2 階段二網(wǎng)絡(luò)中的路由與轉(zhuǎn)發(fā)網(wǎng)關(guān)接收默認(rèn)網(wǎng)關(guān)路由器的接口收到這個以太網(wǎng)幀檢查目標(biāo)MAC地址是自己于是拆掉以太網(wǎng)頭部將內(nèi)部的IP數(shù)據(jù)報交給路由器的IP層處理。路由查詢路由器查看IP數(shù)據(jù)報的目標(biāo)IP10.0.0.5并根據(jù)自己的路由表決定這個包該從哪個接口轉(zhuǎn)發(fā)出去。假設(shè)路由表顯示通往10.0.0.0/8網(wǎng)絡(luò)的下一跳是另一個路由器IP為172.16.0.1。TTL減1與轉(zhuǎn)發(fā)路由器將IP頭中的TTL值減1從64變?yōu)?3。如果減后TTL為0路由器會丟棄該包并向源主機(jī)192.168.1.10發(fā)送一個ICMP“超時”報文Type11。這就是traceroute命令的工作原理基礎(chǔ)。重新封裝路由器需要將IP數(shù)據(jù)報發(fā)送給下一跳172.16.0.1。它查詢ARP緩存獲取172.16.0.1的MAC地址然后以該MAC為目標(biāo)以自己的出接口MAC為源重新封裝一個新的以太網(wǎng)幀從相應(yīng)接口發(fā)出。穿越多個網(wǎng)絡(luò)上述過程可能在多個路由器之間重復(fù)數(shù)據(jù)包經(jīng)過一跳又一跳最終到達(dá)目標(biāo)網(wǎng)絡(luò)10.0.0.0/24的邊界路由器。3.3 階段三目標(biāo)處理與響應(yīng)主機(jī)B最終投遞目標(biāo)網(wǎng)絡(luò)的路由器發(fā)現(xiàn)10.0.0.5就在其直連的局域網(wǎng)內(nèi)。它通過ARP找到主機(jī)B的MAC地址將數(shù)據(jù)包封裝成以太網(wǎng)幀發(fā)送給主機(jī)B。本地接收主機(jī)B的網(wǎng)卡收到幀確認(rèn)目標(biāo)MAC是自己后拆掉幀頭將IP數(shù)據(jù)報上傳給IP層。IP層檢查IP層檢查目標(biāo)IP地址是否為本機(jī)IP之一。如果是且協(xié)議號為1則知道這是一個ICMP報文于是將其交給ICMP協(xié)議模塊處理。ICMP處理ICMP模塊解析報文看到是類型8Echo Request。如果系統(tǒng)沒有禁用ICMP回應(yīng)出于安全考慮有些服務(wù)器會關(guān)閉此功能內(nèi)核會立即構(gòu)造一個ICMP回送應(yīng)答報文。生成應(yīng)答這個應(yīng)答報文Type0, Code0將請求報文中的標(biāo)識符、序列號和數(shù)據(jù)部分原樣拷貝過來。然后計算新的校驗和。逆向旅程開始主機(jī)B的協(xié)議棧將這個ICMP應(yīng)答報文封裝進(jìn)一個新的IP數(shù)據(jù)報源IP設(shè)為10.0.0.5目標(biāo)IP設(shè)為192.168.1.10TTL通常設(shè)為64或128由目標(biāo)主機(jī)決定然后開始它的返程。返程的路由過程與來時類似可能路徑對稱也可能不對稱。3.4 階段四源主機(jī)接收與統(tǒng)計主機(jī)A接收應(yīng)答主機(jī)A最終收到來自10.0.0.5的IP數(shù)據(jù)報拆解后發(fā)現(xiàn)是ICMP回送應(yīng)答Type0且標(biāo)識符和序列號與之前發(fā)出的某個請求匹配。計算RTTping程序從數(shù)據(jù)部分提取出發(fā)送時的時間戳與當(dāng)前時間比較計算出往返時間RTT。輸出結(jié)果程序在屏幕上打印一行結(jié)果通常包括數(shù)據(jù)字節(jié)數(shù)、來自哪個IP、序列號、TTL值以及最關(guān)鍵的RTT時間。持續(xù)與結(jié)束ping默認(rèn)會持續(xù)發(fā)送請求Windows發(fā)4個Linux持續(xù)發(fā)直到按CtrlC。程序會統(tǒng)計發(fā)送數(shù)、接收數(shù)、丟包率以及RTT的最小、平均、最大時間并在結(jié)束時匯總顯示。實操心得理解這個過程后再看ping的輸出就非常清晰了。Reply from 10.0.0.5: bytes32 time15ms TTL55這句輸出中“bytes32”是ICMP數(shù)據(jù)部分長度不包括IP和ICMP首部“time15ms”就是計算出的RTT“TTL55”是應(yīng)答包到達(dá)你手里時的剩余生存時間。通過初始TTL如64和收到時的TTL55你可以粗略推斷中間經(jīng)過了大約64-559個路由器跳數(shù)。4. 高級用法與參數(shù)實戰(zhàn)不止于連通性測試基礎(chǔ)的ping命令只能告訴你通不通、延遲多少。但通過其豐富的參數(shù)我們可以進(jìn)行更精細(xì)化的網(wǎng)絡(luò)探測和診斷。不同操作系統(tǒng)Windows/Linux/macOS的ping參數(shù)略有差異但核心功能相通。這里以Linux/Unix系的ping為例進(jìn)行說明。4.1 常用參數(shù)詳解與場景參數(shù)含義典型應(yīng)用場景-c count發(fā)送指定數(shù)量的Echo Request包后停止。自動化腳本中測試網(wǎng)絡(luò)避免無限發(fā)送。例ping -c 5 google.com-i interval設(shè)置發(fā)送每個包之間的時間間隔秒。默認(rèn)通常為1秒。1.降低探測頻率ping -i 5每5秒發(fā)一次減輕對敏感設(shè)備或鏈路的壓力。2.壓力測試ping -i 0.2快速發(fā)送觀察在高頻率下是否出現(xiàn)丟包或延遲抖動。-s packetsize指定發(fā)送的ICMP數(shù)據(jù)部分字節(jié)數(shù)。默認(rèn)通常是56字節(jié)加上8字節(jié)ICMP首部和20字節(jié)IP首部總長84字節(jié)。測試MTU最大傳輸單元相關(guān)問題。例如逐漸增加包大小-s 1472當(dāng)包大小超過路徑MTU時可能會收到“需要分片但設(shè)置了DF位”的ICMP錯誤從而定位MTU瓶頸。-t ttl設(shè)置發(fā)出包的IP生存時間TTL。模擬數(shù)據(jù)包能經(jīng)過的最大跳數(shù)。用于排查路由環(huán)路或特定跳數(shù)的設(shè)備問題。-W timeout設(shè)置等待每個回復(fù)的超時時間秒。在延遲不穩(wěn)定或較高的網(wǎng)絡(luò)如跨國鏈路中增大超時時間-W 5以避免誤判為超時。-I interface指定從哪個網(wǎng)絡(luò)接口發(fā)送ping包。主機(jī)有多塊網(wǎng)卡時測試特定網(wǎng)絡(luò)的連通性。例ping -I eth1 8.8.8.8-D在輸出時間戳前打印Unix時間戳。便于將ping結(jié)果與其他日志時間對齊進(jìn)行關(guān)聯(lián)分析。-q安靜模式。只顯示開始和結(jié)束的統(tǒng)計信息不顯示每個包的回復(fù)詳情。只需要最終統(tǒng)計結(jié)果時輸出更簡潔。-R記錄路由Record Route。在IP首部選項字段中記錄包經(jīng)過的路由器IP。注意由于IP選項字段長度限制和安全原因現(xiàn)代網(wǎng)絡(luò)設(shè)備大多忽略或不允許此選項實用性已不高。更應(yīng)使用traceroute。-f洪水模式Flood。以最快速度發(fā)送大量ping包。極度危險這會嚴(yán)重消耗網(wǎng)絡(luò)和系統(tǒng)資源等同于DoS攻擊。嚴(yán)禁在非受控的測試環(huán)境或生產(chǎn)網(wǎng)絡(luò)中使用。4.2 實戰(zhàn)案例使用ping進(jìn)行基礎(chǔ)網(wǎng)絡(luò)排查場景用戶反饋訪問內(nèi)部Web服務(wù)器IP: 10.1.2.100時斷時續(xù)。排查步驟基礎(chǔ)連通性測試在客戶端執(zhí)行ping -c 10 10.1.2.100。觀察結(jié)果。如果完全不通100%丟包問題可能出在物理鏈路、交換機(jī)端口、服務(wù)器關(guān)機(jī)、或服務(wù)器防火墻禁ping。需要逐級排查。如果時通時斷有丟包記錄丟包率。例如10 packets transmitted, 8 received, 20% packet loss。定位丟包區(qū)間使用ping分段測試。ping -c 20 客戶端網(wǎng)關(guān)IP測試本地局域網(wǎng)是否穩(wěn)定。ping -c 20 核心交換機(jī)IP測試到網(wǎng)絡(luò)核心的連通性。ping -c 20 服務(wù)器網(wǎng)關(guān)IP測試到服務(wù)器所在網(wǎng)段網(wǎng)關(guān)的連通性。對比各段的丟包率可以大致將問題范圍縮小到某兩個節(jié)點(diǎn)之間。分析延遲與抖動在ping統(tǒng)計信息中關(guān)注RTT的min/avg/max/mdev平均偏差。mdev值大說明網(wǎng)絡(luò)延遲不穩(wěn)定抖動大這可能是鏈路擁塞或無線信號不穩(wěn)的跡象即使沒有丟包也會影響音視頻等實時應(yīng)用體驗。結(jié)合其他工具如果ping到服務(wù)器網(wǎng)關(guān)正常但到服務(wù)器IP丟包則問題很可能在服務(wù)器本身或接入交換機(jī)。此時可以登錄服務(wù)器執(zhí)行ping 客戶端IP做反向測試并檢查服務(wù)器防火墻規(guī)則如iptables -L -n查看是否丟棄了ICMP。注意事項ping不通不代表服務(wù)不可用。許多云服務(wù)器或安全設(shè)備默認(rèn)禁止ICMP Echo。此時應(yīng)使用基于TCP的探測如telnet IP 端口或nc -zv IP 端口來測試具體服務(wù)如80、443端口是否可達(dá)。5. 常見問題、深度解析與安全考量5.1 為什么能ping通但打不開網(wǎng)頁/連不上服務(wù)這是最經(jīng)典的網(wǎng)絡(luò)問題之一。ping基于ICMP網(wǎng)絡(luò)層而網(wǎng)頁瀏覽使用HTTP/HTTPS over TCP傳輸層/應(yīng)用層。能ping通只說明IP層連通性沒問題但問題可能出在目標(biāo)服務(wù)未運(yùn)行Web服務(wù)器進(jìn)程崩潰或未啟動。防火墻攔截服務(wù)器或中間網(wǎng)絡(luò)的防火墻允許ICMP通過但攔截了TCP 80/443端口。DNS解析失敗你能ping通IP但瀏覽器輸入域名無法解析。此時應(yīng)使用nslookup或dig命令測試DNS。主機(jī)文件或代理設(shè)置本地hosts文件錯誤配置或瀏覽器代理設(shè)置異常。TCP連接問題服務(wù)端TCP backlog隊列滿、連接數(shù)限制、或存在TCP層面的攔截。排查順序建議先pingIP通再telnet IP 端口不通則問題在傳輸層以上最后檢查本地DNS和代理設(shè)置。5.2 TTL值的奧秘與操作系統(tǒng)識別收到的ping回復(fù)中的TTL值隱含了源主系統(tǒng)的信息。因為不同操作系統(tǒng)對出站數(shù)據(jù)包設(shè)置的初始TTL值有慣例Linux/Unix/Android通常為64Windows通常為128早期Unix/Cisco設(shè)備可能為255當(dāng)你收到一個TTL為56的回復(fù)時你可以推斷初始TTL可能是64經(jīng)過了大約64 - 56 8跳路由初始TTL也可能是128經(jīng)過了128 - 56 72跳但這在互聯(lián)網(wǎng)上不常見因為跳數(shù)通常少于30。結(jié)合其他信息可以輔助判斷目標(biāo)主機(jī)類型。nmap等掃描工具就利用了這個特性進(jìn)行操作系統(tǒng)探測。5.3 安全風(fēng)險ICMP與信息泄露、攻擊ICMP雖然用于管理和診斷但也被攻擊者利用主機(jī)發(fā)現(xiàn)攻擊者使用ping掃描ping sweep一個網(wǎng)段根據(jù)是否有ICMP回復(fù)來發(fā)現(xiàn)存活主機(jī)。網(wǎng)絡(luò)拓?fù)涮綔y結(jié)合traceroute基于ICMP TTL超時或端口不可達(dá)報文可以繪制目標(biāo)網(wǎng)絡(luò)的路由路徑和關(guān)鍵設(shè)備。ICMP隧道將其他協(xié)議的數(shù)據(jù)封裝在ICMP Echo報文的數(shù)據(jù)字段中進(jìn)行傳輸可以繞過只檢查端口的防火墻。ICMP洪水攻擊發(fā)送海量ICMP請求如使用-f參數(shù)或定制工具耗盡目標(biāo)主機(jī)或網(wǎng)絡(luò)帶寬資源。因此在生產(chǎn)環(huán)境中安全策略常常會入站方向在邊界防火墻或主機(jī)防火墻上限制或禁止來自外部的ICMP Echo RequestType 8但可能允許ICMP Destination UnreachableType 3或 Time ExceededType 11等對通信必要的報文。出站方向通常允許內(nèi)部主機(jī)向外發(fā)送ping請求。5.4 進(jìn)階工具traceroute與mtr當(dāng)ping不通或延遲高時你需要知道問題出在哪一跳。ping是“兩點(diǎn)測試”而tracerouteWindows下是tracert是“逐跳診斷”。原理traceroute巧妙地利用IP協(xié)議的TTL機(jī)制。它首先發(fā)送一個TTL1的探測包可以是UDP、ICMP或TCP第一臺路由器將TTL減至0并丟棄它同時發(fā)回一個ICMP Time Exceeded報文這樣源主機(jī)就知道了第一跳路由器的地址。然后它發(fā)送TTL2的包發(fā)現(xiàn)第二跳……如此反復(fù)直到到達(dá)目標(biāo)。使用traceroute google.com。結(jié)果會顯示路徑上每一跳的IP和延遲。mtr這是ping和traceroute的結(jié)合體。mtr google.com會持續(xù)向路徑上的每一跳發(fā)送探測包并動態(tài)更新每跳的丟包率和延遲是診斷間歇性網(wǎng)絡(luò)問題的利器。5.5 防火墻與網(wǎng)絡(luò)策略對ping的影響理解網(wǎng)絡(luò)策略如何影響ping是高級排錯的關(guān)鍵。禁Ping過濾Echo Request這是最常見的策略。服務(wù)器不回復(fù)ping但其他服務(wù)正常。這增加了攻擊者發(fā)現(xiàn)主機(jī)的難度但也給合法運(yùn)維帶來了不便。此時需要其他監(jiān)控手段如TCP端口探測。單向流量限制可能允許ICMP Echo Request進(jìn)入但過濾了Echo Reply出去導(dǎo)致有去無回。速率限制網(wǎng)絡(luò)設(shè)備可能對ICMP報文進(jìn)行限速當(dāng)ping頻率過高時如-i 0.1后續(xù)報文被丟棄造成丟包假象。ICMP重定向路由器可能會發(fā)送ICMP重定向報文Type 5告訴主機(jī)有更優(yōu)的路由?，F(xiàn)代系統(tǒng)通常忽略此類報文因為它可能被用于攻擊。在復(fù)雜的網(wǎng)絡(luò)環(huán)境中排錯腦海中要有這張“過濾網(wǎng)”的拓?fù)鋱D清晰地知道你的ping包可能在哪一層被攔截或修改。 深入解析ping命令：從ICMP協(xié)議原理到網(wǎng)絡(luò)排錯實戰(zhàn)
1. 從一次網(wǎng)絡(luò)故障排查說起為什么我們離不開ping前幾天一個剛?cè)胄械耐略诓渴鹦路?wù)時遇到了麻煩。他的應(yīng)用服務(wù)器死活連不上數(shù)據(jù)庫頁面一直報“連接超時”。他先是檢查了代碼配置又重啟了服務(wù)折騰了半天毫無頭緒。我過去看了一眼只敲了一行命令ping 數(shù)據(jù)庫IP地址。屏幕上立刻返回了“請求超時”。問題瞬間清晰了——不是應(yīng)用配置問題而是底層的網(wǎng)絡(luò)根本就沒通。接下來我們順著網(wǎng)線、交換機(jī)、防火墻一路排查很快定位到是安全組的入站規(guī)則漏配了。這個簡單到幾乎被遺忘的命令往往是網(wǎng)絡(luò)世界的第一道“聽診器”。ping這個源自聲納脈沖擬聲詞的命令幾乎是所有接觸計算機(jī)網(wǎng)絡(luò)的人學(xué)會的第一個診斷工具。它的原理看似直白發(fā)送一個包看對方能不能回一個包。但就是這個簡單的“一問一答”背后卻串聯(lián)起了IP協(xié)議、ICMP報文、路由尋址、生存時間TTL等多個核心的網(wǎng)絡(luò)概念。很多人會用ping卻說不清它發(fā)出的到底是什么、回來的又是什么、中間經(jīng)歷了怎樣的旅程。理解ping的完整過程不僅是解決“網(wǎng)絡(luò)不通”這類具體問題的鑰匙更是深入理解計算機(jī)網(wǎng)絡(luò)分層模型和數(shù)據(jù)包生命周期的絕佳切入點(diǎn)。無論你是運(yùn)維工程師、開發(fā)人員還是正在備考網(wǎng)絡(luò)認(rèn)證的學(xué)生徹底搞懂ping你的網(wǎng)絡(luò)排錯能力和理論功底都會上一個臺階。2. ping命令的核心原理與ICMP協(xié)議拆解ping命令的本質(zhì)是利用ICMPInternet Control Message Protocol互聯(lián)網(wǎng)控制報文協(xié)議的回送請求Echo Request和回送應(yīng)答Echo Reply報文來測試主機(jī)之間的可達(dá)性。ICMP是TCP/IP協(xié)議族中一個位于網(wǎng)絡(luò)層第三層的子協(xié)議它不像TCP或UDP那樣用于傳輸用戶數(shù)據(jù)而是專門用于在IP主機(jī)、路由器之間傳遞控制消息比如網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等。2.1 ICMP報文的結(jié)構(gòu)不只是“數(shù)據(jù)”很多人誤以為ping發(fā)送的就是純粹的數(shù)據(jù)其實它發(fā)送的是一個結(jié)構(gòu)化的ICMP報文。一個完整的ICMP回送請求/應(yīng)答報文封裝在IP數(shù)據(jù)報中其結(jié)構(gòu)可以分為兩部分ICMP首部和ICMP數(shù)據(jù)部分。ICMP首部對于Echo類型主要包含以下幾個字段類型Type8位字段。對于回送請求值為8對于回送應(yīng)答值為0。這是區(qū)分報文用途的關(guān)鍵。代碼Code8位字段。對于回送請求和應(yīng)答這個值都是0。校驗和Checksum16位字段。用于檢驗整個ICMP報文包括首部和數(shù)據(jù)在傳輸過程中是否出錯。標(biāo)識符Identifier16位字段。通常設(shè)置為發(fā)送進(jìn)程的PID進(jìn)程ID用于在同時進(jìn)行多個ping會話時區(qū)分不同會話的回應(yīng)。序列號Sequence Number16位字段。從0開始每發(fā)送一個回送請求報文就加1。用于匹配請求和應(yīng)答計算丟包率。ICMP數(shù)據(jù)部分 這部分可以包含任意內(nèi)容。ping命令通常會在這里填充一組數(shù)據(jù)比如經(jīng)典的字母表序列“abcdefghijklmnopqrstuvwabcdefghi”并且會在數(shù)據(jù)部分加入一個時間戳。當(dāng)目標(biāo)主機(jī)發(fā)回回送應(yīng)答時必須原封不動地返回這部分?jǐn)?shù)據(jù)。這樣發(fā)送方通過比較發(fā)送和接收的時間戳就能計算出往返時間RTT。注意ICMP報文是直接封裝在IP數(shù)據(jù)報里的它沒有端口號的概念那是傳輸層TCP/UDP的事。因此當(dāng)你用tcpdump或Wireshark抓包時看到的是“IP協(xié)議號1”的數(shù)據(jù)包后面跟著的就是ICMP報文內(nèi)容。2.2 ping的工作模式無連接的“對話”理解ping的工作模式有助于澄清一個常見誤區(qū)。ping使用的是ICMP而ICMP是網(wǎng)絡(luò)層協(xié)議它本身是無連接的。這意味著沒有握手不像TCP需要三次握手建立連接ping直接發(fā)出請求報文。不可靠IP協(xié)議本身是“盡力而為”的ICMP報文也可能在傳輸中丟失。所以ping顯示丟包是正常現(xiàn)象。無狀態(tài)發(fā)送方發(fā)出請求后就等待回復(fù)。目標(biāo)主機(jī)收到后如果配置允許回應(yīng)就會自動生成一個應(yīng)答報文發(fā)回這個過程不維護(hù)任何會話狀態(tài)。這種簡單性既是優(yōu)點(diǎn)也是缺點(diǎn)。優(yōu)點(diǎn)是開銷極小能快速探測網(wǎng)絡(luò)連通性缺點(diǎn)是無法穿透那些嚴(yán)格過濾ICMP報文尤其是Echo Request的防火墻或安全設(shè)備此時你會看到ping不通但基于TCP的應(yīng)用如HTTP卻可能正常工作。2.3 為什么是ICMP底層協(xié)議的不可替代性你可能會問為什么非要用ICMP用TCP或UDP不行嗎當(dāng)然可以像telnet或nmap的端口探測就是基于TCP/UDP的連通性測試。但ping選擇ICMP有其不可替代的優(yōu)勢網(wǎng)絡(luò)層診斷ping測試的是最基礎(chǔ)的IP層連通性。如果ICMP Echo都過不去那么建立在IP之上的TCP/UDP應(yīng)用大概率也無法通信。它排除了傳輸層及以上如端口監(jiān)聽、應(yīng)用服務(wù)狀態(tài)的干擾直指網(wǎng)絡(luò)底層問題。系統(tǒng)內(nèi)核支持對ICMP Echo Request的應(yīng)答功能通常由操作系統(tǒng)內(nèi)核直接實現(xiàn)無需任何用戶態(tài)服務(wù)監(jiān)聽。只要主機(jī)在線且網(wǎng)絡(luò)策略允許就會響應(yīng)。這使得ping成為一個普遍可用的標(biāo)準(zhǔn)工具。低開銷與高效率ICMP報文結(jié)構(gòu)簡單沒有傳輸層的連接建立和維護(hù)開銷非常適合做快速的健康檢查。3. 一次ping的完整旅程數(shù)據(jù)包的生命周期詳解讓我們跟隨一個從主機(jī)A192.168.1.10發(fā)往主機(jī)B10.0.0.5的ping數(shù)據(jù)包看看它究竟經(jīng)歷了什么。這個過程完美詮釋了數(shù)據(jù)包如何在網(wǎng)絡(luò)中“旅行”。3.1 階段一本地封裝與發(fā)送主機(jī)A應(yīng)用層觸發(fā)你在命令行輸入ping 10.0.0.5并回車。生成ICMP報文ping程序通常是/bin/ping在用戶空間構(gòu)建一個ICMP回送請求報文。它設(shè)置類型為8代碼為0生成一個標(biāo)識符如進(jìn)程ID 1234和一個序列號比如0并填充數(shù)據(jù)部分包含發(fā)送時間戳。計算校驗和程序計算整個ICMP報文的校驗和填入首部。交給操作系統(tǒng)內(nèi)核用戶態(tài)的ping程序通過系統(tǒng)調(diào)用將這個ICMP報文傳遞給內(nèi)核的網(wǎng)絡(luò)協(xié)議棧。網(wǎng)絡(luò)層封裝內(nèi)核協(xié)議棧的IP模塊收到這個ICMP報文將其作為IP數(shù)據(jù)報的載荷數(shù)據(jù)。然后構(gòu)建IP首部源IP192.168.1.10目標(biāo)IP10.0.0.5協(xié)議號設(shè)置為1代表載荷是ICMP報文。TTL生存時間通常設(shè)置一個初始值Linux/Unix默認(rèn)為64Windows默認(rèn)為128。TTL每經(jīng)過一個路由器減1減到0時包被丟棄防止環(huán)路。確定下一跳內(nèi)核查看目標(biāo)IP10.0.0.5發(fā)現(xiàn)它不在本地局域網(wǎng)192.168.1.0/24網(wǎng)段。于是查詢本地路由表找到默認(rèn)網(wǎng)關(guān)比如192.168.1.1作為下一跳的IP地址。數(shù)據(jù)鏈路層封裝IP模塊將IP數(shù)據(jù)報下傳給數(shù)據(jù)鏈路層如以太網(wǎng)卡驅(qū)動。鏈路層需要知道下一跳192.168.1.1的MAC地址。主機(jī)A查詢本地的ARP緩存看是否有192.168.1.1的MAC地址。如果沒有則發(fā)起一個ARP廣播請求“誰的IP是192.168.1.1請告訴192.168.1.10”。網(wǎng)關(guān)路由器回應(yīng)其MAC地址如00:11:22:33:44:55。構(gòu)建以太網(wǎng)幀鏈路層構(gòu)建一個以太網(wǎng)幀目標(biāo)MAC是網(wǎng)關(guān)的MAC00:11:22:33:44:55源MAC是自己的MAC類型字段為0x0800表示載荷是IP數(shù)據(jù)報。最后將封裝好的以太網(wǎng)幀通過物理網(wǎng)卡發(fā)送出去。3.2 階段二網(wǎng)絡(luò)中的路由與轉(zhuǎn)發(fā)網(wǎng)關(guān)接收默認(rèn)網(wǎng)關(guān)路由器的接口收到這個以太網(wǎng)幀檢查目標(biāo)MAC地址是自己于是拆掉以太網(wǎng)頭部將內(nèi)部的IP數(shù)據(jù)報交給路由器的IP層處理。路由查詢路由器查看IP數(shù)據(jù)報的目標(biāo)IP10.0.0.5并根據(jù)自己的路由表決定這個包該從哪個接口轉(zhuǎn)發(fā)出去。假設(shè)路由表顯示通往10.0.0.0/8網(wǎng)絡(luò)的下一跳是另一個路由器IP為172.16.0.1。TTL減1與轉(zhuǎn)發(fā)路由器將IP頭中的TTL值減1從64變?yōu)?3。如果減后TTL為0路由器會丟棄該包并向源主機(jī)192.168.1.10發(fā)送一個ICMP“超時”報文Type11。這就是traceroute命令的工作原理基礎(chǔ)。重新封裝路由器需要將IP數(shù)據(jù)報發(fā)送給下一跳172.16.0.1。它查詢ARP緩存獲取172.16.0.1的MAC地址然后以該MAC為目標(biāo)以自己的出接口MAC為源重新封裝一個新的以太網(wǎng)幀從相應(yīng)接口發(fā)出。穿越多個網(wǎng)絡(luò)上述過程可能在多個路由器之間重復(fù)數(shù)據(jù)包經(jīng)過一跳又一跳最終到達(dá)目標(biāo)網(wǎng)絡(luò)10.0.0.0/24的邊界路由器。3.3 階段三目標(biāo)處理與響應(yīng)主機(jī)B最終投遞目標(biāo)網(wǎng)絡(luò)的路由器發(fā)現(xiàn)10.0.0.5就在其直連的局域網(wǎng)內(nèi)。它通過ARP找到主機(jī)B的MAC地址將數(shù)據(jù)包封裝成以太網(wǎng)幀發(fā)送給主機(jī)B。本地接收主機(jī)B的網(wǎng)卡收到幀確認(rèn)目標(biāo)MAC是自己后拆掉幀頭將IP數(shù)據(jù)報上傳給IP層。IP層檢查IP層檢查目標(biāo)IP地址是否為本機(jī)IP之一。如果是且協(xié)議號為1則知道這是一個ICMP報文于是將其交給ICMP協(xié)議模塊處理。ICMP處理ICMP模塊解析報文看到是類型8Echo Request。如果系統(tǒng)沒有禁用ICMP回應(yīng)出于安全考慮有些服務(wù)器會關(guān)閉此功能內(nèi)核會立即構(gòu)造一個ICMP回送應(yīng)答報文。生成應(yīng)答這個應(yīng)答報文Type0, Code0將請求報文中的標(biāo)識符、序列號和數(shù)據(jù)部分原樣拷貝過來。然后計算新的校驗和。逆向旅程開始主機(jī)B的協(xié)議棧將這個ICMP應(yīng)答報文封裝進(jìn)一個新的IP數(shù)據(jù)報源IP設(shè)為10.0.0.5目標(biāo)IP設(shè)為192.168.1.10TTL通常設(shè)為64或128由目標(biāo)主機(jī)決定然后開始它的返程。返程的路由過程與來時類似可能路徑對稱也可能不對稱。3.4 階段四源主機(jī)接收與統(tǒng)計主機(jī)A接收應(yīng)答主機(jī)A最終收到來自10.0.0.5的IP數(shù)據(jù)報拆解后發(fā)現(xiàn)是ICMP回送應(yīng)答Type0且標(biāo)識符和序列號與之前發(fā)出的某個請求匹配。計算RTTping程序從數(shù)據(jù)部分提取出發(fā)送時的時間戳與當(dāng)前時間比較計算出往返時間RTT。輸出結(jié)果程序在屏幕上打印一行結(jié)果通常包括數(shù)據(jù)字節(jié)數(shù)、來自哪個IP、序列號、TTL值以及最關(guān)鍵的RTT時間。持續(xù)與結(jié)束ping默認(rèn)會持續(xù)發(fā)送請求Windows發(fā)4個Linux持續(xù)發(fā)直到按CtrlC。程序會統(tǒng)計發(fā)送數(shù)、接收數(shù)、丟包率以及RTT的最小、平均、最大時間并在結(jié)束時匯總顯示。實操心得理解這個過程后再看ping的輸出就非常清晰了。Reply from 10.0.0.5: bytes32 time15ms TTL55這句輸出中“bytes32”是ICMP數(shù)據(jù)部分長度不包括IP和ICMP首部“time15ms”就是計算出的RTT“TTL55”是應(yīng)答包到達(dá)你手里時的剩余生存時間。通過初始TTL如64和收到時的TTL55你可以粗略推斷中間經(jīng)過了大約64-559個路由器跳數(shù)。4. 高級用法與參數(shù)實戰(zhàn)不止于連通性測試基礎(chǔ)的ping命令只能告訴你通不通、延遲多少。但通過其豐富的參數(shù)我們可以進(jìn)行更精細(xì)化的網(wǎng)絡(luò)探測和診斷。不同操作系統(tǒng)Windows/Linux/macOS的ping參數(shù)略有差異但核心功能相通。這里以Linux/Unix系的ping為例進(jìn)行說明。4.1 常用參數(shù)詳解與場景參數(shù)含義典型應(yīng)用場景-c count發(fā)送指定數(shù)量的Echo Request包后停止。自動化腳本中測試網(wǎng)絡(luò)避免無限發(fā)送。例ping -c 5 google.com-i interval設(shè)置發(fā)送每個包之間的時間間隔秒。默認(rèn)通常為1秒。1.降低探測頻率ping -i 5每5秒發(fā)一次減輕對敏感設(shè)備或鏈路的壓力。2.壓力測試ping -i 0.2快速發(fā)送觀察在高頻率下是否出現(xiàn)丟包或延遲抖動。-s packetsize指定發(fā)送的ICMP數(shù)據(jù)部分字節(jié)數(shù)。默認(rèn)通常是56字節(jié)加上8字節(jié)ICMP首部和20字節(jié)IP首部總長84字節(jié)。測試MTU最大傳輸單元相關(guān)問題。例如逐漸增加包大小-s 1472當(dāng)包大小超過路徑MTU時可能會收到“需要分片但設(shè)置了DF位”的ICMP錯誤從而定位MTU瓶頸。-t ttl設(shè)置發(fā)出包的IP生存時間TTL。模擬數(shù)據(jù)包能經(jīng)過的最大跳數(shù)。用于排查路由環(huán)路或特定跳數(shù)的設(shè)備問題。-W timeout設(shè)置等待每個回復(fù)的超時時間秒。在延遲不穩(wěn)定或較高的網(wǎng)絡(luò)如跨國鏈路中增大超時時間-W 5以避免誤判為超時。-I interface指定從哪個網(wǎng)絡(luò)接口發(fā)送ping包。主機(jī)有多塊網(wǎng)卡時測試特定網(wǎng)絡(luò)的連通性。例ping -I eth1 8.8.8.8-D在輸出時間戳前打印Unix時間戳。便于將ping結(jié)果與其他日志時間對齊進(jìn)行關(guān)聯(lián)分析。-q安靜模式。只顯示開始和結(jié)束的統(tǒng)計信息不顯示每個包的回復(fù)詳情。只需要最終統(tǒng)計結(jié)果時輸出更簡潔。-R記錄路由Record Route。在IP首部選項字段中記錄包經(jīng)過的路由器IP。注意由于IP選項字段長度限制和安全原因現(xiàn)代網(wǎng)絡(luò)設(shè)備大多忽略或不允許此選項實用性已不高。更應(yīng)使用traceroute。-f洪水模式Flood。以最快速度發(fā)送大量ping包。極度危險這會嚴(yán)重消耗網(wǎng)絡(luò)和系統(tǒng)資源等同于DoS攻擊。嚴(yán)禁在非受控的測試環(huán)境或生產(chǎn)網(wǎng)絡(luò)中使用。4.2 實戰(zhàn)案例使用ping進(jìn)行基礎(chǔ)網(wǎng)絡(luò)排查場景用戶反饋訪問內(nèi)部Web服務(wù)器IP: 10.1.2.100時斷時續(xù)。排查步驟基礎(chǔ)連通性測試在客戶端執(zhí)行ping -c 10 10.1.2.100。觀察結(jié)果。如果完全不通100%丟包問題可能出在物理鏈路、交換機(jī)端口、服務(wù)器關(guān)機(jī)、或服務(wù)器防火墻禁ping。需要逐級排查。如果時通時斷有丟包記錄丟包率。例如10 packets transmitted, 8 received, 20% packet loss。定位丟包區(qū)間使用ping分段測試。ping -c 20 客戶端網(wǎng)關(guān)IP測試本地局域網(wǎng)是否穩(wěn)定。ping -c 20 核心交換機(jī)IP測試到網(wǎng)絡(luò)核心的連通性。ping -c 20 服務(wù)器網(wǎng)關(guān)IP測試到服務(wù)器所在網(wǎng)段網(wǎng)關(guān)的連通性。對比各段的丟包率可以大致將問題范圍縮小到某兩個節(jié)點(diǎn)之間。分析延遲與抖動在ping統(tǒng)計信息中關(guān)注RTT的min/avg/max/mdev平均偏差。mdev值大說明網(wǎng)絡(luò)延遲不穩(wěn)定抖動大這可能是鏈路擁塞或無線信號不穩(wěn)的跡象即使沒有丟包也會影響音視頻等實時應(yīng)用體驗。結(jié)合其他工具如果ping到服務(wù)器網(wǎng)關(guān)正常但到服務(wù)器IP丟包則問題很可能在服務(wù)器本身或接入交換機(jī)。此時可以登錄服務(wù)器執(zhí)行ping 客戶端IP做反向測試并檢查服務(wù)器防火墻規(guī)則如iptables -L -n查看是否丟棄了ICMP。注意事項ping不通不代表服務(wù)不可用。許多云服務(wù)器或安全設(shè)備默認(rèn)禁止ICMP Echo。此時應(yīng)使用基于TCP的探測如telnet IP 端口或nc -zv IP 端口來測試具體服務(wù)如80、443端口是否可達(dá)。5. 常見問題、深度解析與安全考量5.1 為什么能ping通但打不開網(wǎng)頁/連不上服務(wù)這是最經(jīng)典的網(wǎng)絡(luò)問題之一。ping基于ICMP網(wǎng)絡(luò)層而網(wǎng)頁瀏覽使用HTTP/HTTPS over TCP傳輸層/應(yīng)用層。能ping通只說明IP層連通性沒問題但問題可能出在目標(biāo)服務(wù)未運(yùn)行Web服務(wù)器進(jìn)程崩潰或未啟動。防火墻攔截服務(wù)器或中間網(wǎng)絡(luò)的防火墻允許ICMP通過但攔截了TCP 80/443端口。DNS解析失敗你能ping通IP但瀏覽器輸入域名無法解析。此時應(yīng)使用nslookup或dig命令測試DNS。主機(jī)文件或代理設(shè)置本地hosts文件錯誤配置或瀏覽器代理設(shè)置異常。TCP連接問題服務(wù)端TCP backlog隊列滿、連接數(shù)限制、或存在TCP層面的攔截。排查順序建議先pingIP通再telnet IP 端口不通則問題在傳輸層以上最后檢查本地DNS和代理設(shè)置。5.2 TTL值的奧秘與操作系統(tǒng)識別收到的ping回復(fù)中的TTL值隱含了源主系統(tǒng)的信息。因為不同操作系統(tǒng)對出站數(shù)據(jù)包設(shè)置的初始TTL值有慣例Linux/Unix/Android通常為64Windows通常為128早期Unix/Cisco設(shè)備可能為255當(dāng)你收到一個TTL為56的回復(fù)時你可以推斷初始TTL可能是64經(jīng)過了大約64 - 56 8跳路由初始TTL也可能是128經(jīng)過了128 - 56 72跳但這在互聯(lián)網(wǎng)上不常見因為跳數(shù)通常少于30。結(jié)合其他信息可以輔助判斷目標(biāo)主機(jī)類型。nmap等掃描工具就利用了這個特性進(jìn)行操作系統(tǒng)探測。5.3 安全風(fēng)險ICMP與信息泄露、攻擊ICMP雖然用于管理和診斷但也被攻擊者利用主機(jī)發(fā)現(xiàn)攻擊者使用ping掃描ping sweep一個網(wǎng)段根據(jù)是否有ICMP回復(fù)來發(fā)現(xiàn)存活主機(jī)。網(wǎng)絡(luò)拓?fù)涮綔y結(jié)合traceroute基于ICMP TTL超時或端口不可達(dá)報文可以繪制目標(biāo)網(wǎng)絡(luò)的路由路徑和關(guān)鍵設(shè)備。ICMP隧道將其他協(xié)議的數(shù)據(jù)封裝在ICMP Echo報文的數(shù)據(jù)字段中進(jìn)行傳輸可以繞過只檢查端口的防火墻。ICMP洪水攻擊發(fā)送海量ICMP請求如使用-f參數(shù)或定制工具耗盡目標(biāo)主機(jī)或網(wǎng)絡(luò)帶寬資源。因此在生產(chǎn)環(huán)境中安全策略常常會入站方向在邊界防火墻或主機(jī)防火墻上限制或禁止來自外部的ICMP Echo RequestType 8但可能允許ICMP Destination UnreachableType 3或 Time ExceededType 11等對通信必要的報文。出站方向通常允許內(nèi)部主機(jī)向外發(fā)送ping請求。5.4 進(jìn)階工具traceroute與mtr當(dāng)ping不通或延遲高時你需要知道問題出在哪一跳。ping是“兩點(diǎn)測試”而tracerouteWindows下是tracert是“逐跳診斷”。原理traceroute巧妙地利用IP協(xié)議的TTL機(jī)制。它首先發(fā)送一個TTL1的探測包可以是UDP、ICMP或TCP第一臺路由器將TTL減至0并丟棄它同時發(fā)回一個ICMP Time Exceeded報文這樣源主機(jī)就知道了第一跳路由器的地址。然后它發(fā)送TTL2的包發(fā)現(xiàn)第二跳……如此反復(fù)直到到達(dá)目標(biāo)。使用traceroute google.com。結(jié)果會顯示路徑上每一跳的IP和延遲。mtr這是ping和traceroute的結(jié)合體。mtr google.com會持續(xù)向路徑上的每一跳發(fā)送探測包并動態(tài)更新每跳的丟包率和延遲是診斷間歇性網(wǎng)絡(luò)問題的利器。5.5 防火墻與網(wǎng)絡(luò)策略對ping的影響理解網(wǎng)絡(luò)策略如何影響ping是高級排錯的關(guān)鍵。禁Ping過濾Echo Request這是最常見的策略。服務(wù)器不回復(fù)ping但其他服務(wù)正常。這增加了攻擊者發(fā)現(xiàn)主機(jī)的難度但也給合法運(yùn)維帶來了不便。此時需要其他監(jiān)控手段如TCP端口探測。單向流量限制可能允許ICMP Echo Request進(jìn)入但過濾了Echo Reply出去導(dǎo)致有去無回。速率限制網(wǎng)絡(luò)設(shè)備可能對ICMP報文進(jìn)行限速當(dāng)ping頻率過高時如-i 0.1后續(xù)報文被丟棄造成丟包假象。ICMP重定向路由器可能會發(fā)送ICMP重定向報文Type 5告訴主機(jī)有更優(yōu)的路由?，F(xiàn)代系統(tǒng)通常忽略此類報文因為它可能被用于攻擊。在復(fù)雜的網(wǎng)絡(luò)環(huán)境中排錯腦海中要有這張“過濾網(wǎng)”的拓?fù)鋱D清晰地知道你的ping包可能在哪一層被攔截或修改。