Linux之网络层协议（IP协议）

一、IP 层的定位：承接传输层，解决主机到主机的交付

学习完传输层协议后我们已经清楚：传输层负责端到端的进程级通信，保障数据可靠、按序交付给对应程序；而 IP 层（网络层）的核心使命，是解决主机到主机之间的路径选择与跨网转发，也就是路由问题。

学习 IP 协议的核心入口是 IP 报头 ------ 所有封装、解包、分用、路由、分片能力，都依托报头字段实现。本文将沿着「报头载体→地址编址→路由转发→分片机制→地址演进」的脉络，完整梳理 IPv4 协议的核心原理。

二、IPv4 报头详解：封装、解包与分用的核心载体

IPv4 报头分为 20 字节的固定首部，和最长 40 字节的可选选项字段，整体长度范围为 20~60 字节。我们按功能属性拆分讲解所有字段。

2.1 基础控制类字段

• 4 位版本号：指定 IP 协议的版本，IPv4 对应取值为 4。需要明确：IPv4 与 IPv6 是两套完全不兼容的协议体系，报文格式、地址长度、处理逻辑均有本质差异。

• 4 位首部长度：单位为 4 字节，字段取值范围为 5~15，对应实际首部长度 20 字节～60 字节。最小值 5 对应 20 字节固定首部；最大值 15 对应 60 字节上限。该字段是 IP 层解包的核心依据：读取该字段即可精准定位首部与数据载荷的边界。

• 8 位服务类型（TOS）：该字段最初用于服务质量控制，结构为：3 位优先级字段 + 4 位服务类型位 + 1 位保留位。其中 4 位服务类型位分别对应：最小延时、最大吞吐量、最高可靠性、最小成本，四者相互冲突，同一时刻只能置位一个。 目前该字段已被重新定义为 6 位 DSCP（区分服务码点）+ 2 位 ECN（显式拥塞通知），用于差异化服务与拥塞控制，原 TOS 定义已较少直接使用。

• 16 位总长度：单位为字节，表示整个 IP 数据报的总长度（首部 + 数据载荷），最大取值 65535 字节。

疑问：已经有首部长度可以区分首部和数据，为什么还需要总长度？ 该字段是分片重组的核心依据，同时用于链路层帧长度校验，具体作用会在分片章节详细说明。

2.2 转发与交付类字段

• 8 位生存时间（TTL）：表示 IP 数据报在网络中的最大存活跳数。设计 TTL 的核心目的，是避免路由环路导致数据包在网络中无限循环转发，耗尽全网带宽资源。 实际工作机制：数据报每经过一个路由器，TTL 值减 1；当 TTL 减至 0 时，路由器直接丢弃该报文，并向源主机返回 ICMP 超时差错报文。

• 8 位协议：标识 IP 数据报的数据载荷部分，交付给传输层的哪一种协议处理。常见取值：TCP 对应 6、UDP 对应 17、ICMP 对应 1。

疑问：传输层协议类型为什么放在 IP 首部，而不是传输层首部？ 这是由协议栈的分用逻辑决定的：自顶向下封装时，网络层可以直接获知上层协议类型；自底向上解包分用时，IP 层必须先通过该字段知道载荷属于哪种协议，才能调用对应传输层的处理函数，将数据正确交付。

• 16 位首部校验和 ：用于校验 IP 首部在传输过程中是否发生损坏，仅校验首部，不校验数据载荷。路由器转发报文时会修改 TTL 等字段，因此每经过一跳都会重新计算首部校验和。

• 32 位源 IP 地址 + 32 位目的 IP 地址：标识数据报的发送方与接收方主机地址，是路由转发的核心依据。

2.3 扩展选项字段

选项字段为可变长度，最多 40 字节，用于支持安全、源路由、时间戳等扩展功能。实际公网中极少启用，这也是 IP 首部通常为 20 字节的原因。

注：报头中的 16 位标识、3 位标志、13 位片偏移属于分片机制专用字段，将在第五章统一详解。

2.4 封装、解包与分用的完整流程

• 封装：传输层将报文向下交付给网络层，IP 层在数据载荷前填充 IP 首部，构成完整 IP 数据报，继续向下交付给链路层。
• 解包：接收方链路层将报文上交 IP 层，IP 层读取首部长度字段，移动指针跳过首部，提取出传输层数据载荷。
• 分用：IP 层根据 8 位协议字段，将载荷交付给对应的传输层协议处理（TCP/UDP 等）。

补充：Linux 内核中 sk_buff 的传递机制

Linux 内核用sk_buff结构体统一描述网络报文，协议栈各层共享同一个sk_buff，通过指针偏移实现各层首部的定位，无需频繁拷贝数据，效率极高。

• 接收方向（自底向上） ：链路层处理完成后，sk_buff的data指针指向 IP 首部；IP 层解包后，data指针向数据方向移动「首部长度」个字节，定位到传输层首部；再根据protocol字段查找注册的传输层处理函数，将sk_buff指针直接传递给传输层入口函数。
• 发送方向（自顶向下） ：传输层构造完报文后，将sk_buff传递给 IP 层；IP 层在data指针前预留首部空间并填充字段，再向下交付给链路层。

三、IP 编址体系：从分类到无类的地址设计演进

IP 地址是网络主机的唯一标识，也是路由转发的核心依据。IP 编址的设计思路，始终围绕两个核心目标展开：一是保证地址的全局唯一性，二是通过网段聚合降低路由表规模，提升转发效率。本节我们从设计初衷出发，梳理 IP 编址从早期分类方案到现行无类方案的完整演进逻辑。

3.1 IP 地址的本质与结构

IPv4 地址是一个 32 位的二进制整数，通常写作点分十进制形式（如 192.168.1.1），每 8 位为一组，转换为 0~255 的十进制数。

从功能上，IP 地址被拆分为网络号 + 主机号两部分：

• 网络号：标识主机所属的网段，同一网段内所有主机的网络号完全相同；
• 主机号：标识网段内的唯一主机，同一网段内主机号不可重复。

类比理解：IP 地址就像学号，前半段代表学院（网络号），后半段代表学院内的学生编号（主机号）。只需要知道学院，就能把信件送到对应学院，再由学院分发到个人，无需全校每个学生的地址都单独备案。

这种分层设计的核心价值是路由聚合：路由器不需要为每一台主机保存路由条目，只需要保存每个网段的路由即可，同网段的所有主机共享同一条路由，极大压缩了路由表的规模，这也是 IP 网络能够支撑全球规模的核心基础。

3.2 分类编址：早期的固定边界方案

设计思路

IPv4 诞生早期，网络规模小、机构数量少，因此采用了固定边界的分类划分法：将 IP 地址按首位特征分为 A、B、C、D、E 五大类，每类的网络号和主机号边界固定，运营商和机构按类申请地址段。

五类地址的详细划分

地址类别	首位特征	网络号长度	主机号长度	默认子网掩码	第一字节范围	核心用途
A 类	0	8 位	24 位	255.0.0.0（/8）	1~126	大型机构、国家级网络
B 类	10	16 位	16 位	255.255.0.0（/16）	128~191	中型机构、高校企业
C 类	110	24 位	8 位	255.255.255.0（/24）	192~223	小型机构、局域网
D 类	1110	无网络号 / 主机号划分	-	-	224~239	组播地址
E 类	1111	无网络号 / 主机号划分	-	-	240~255	保留研究使用

注：127.0.0.0/8 属于 A 类地址范围，但被单独划定为本地环回地址，不用于公网分配。

可用地址计算规则

任何一个网段中，有两个特殊地址不可分配给主机：

• 主机号全 0：代表网络地址，用于标识整个网段；
• 主机号全 1：代表定向广播地址，发送给该地址的报文会送达网段内所有主机。

因此，一个网段的可用主机数公式为： 可用主机数 = 2^主机位位数 - 2

例如一个 B 类网段，主机位 16 位，可用主机数为 2^16 - 2 = 65534 台。

分类编址的核心缺陷

分类编址作为早期方案，随着互联网规模扩张，两大缺陷愈发致命，最终退出了公网地址分配的主流：

1. 地址浪费极其严重 网段粒度太粗：B 类网段可容纳 6 万多台主机，C 类仅能容纳 254 台，绝大多数机构的规模介于两者之间 ------ 申请 B 类浪费大量地址，申请 C 类又不够用。以申请量最大的 B 类地址为例，绝大多数分配出去的 B 类网段地址利用率不足 10%。
2. 路由表持续膨胀 分类地址粒度固定，公网路由器需要为每一个 B 类、C 类网段单独保存路由条目。随着接入网络的机构增多，核心路由器的路由表规模快速增长，转发性能和存储压力剧增。

现状说明：分类编址作为公网地址分配方案已被淘汰，但其基础概念（如默认掩码、A/B/C 类划分）仍是网络知识的基础，且在部分小型局域网中仍有沿用。

3.3 CIDR 无类编址与子网划分：现行主流方案

演进核心：打破固定边界

为解决分类编址的两大缺陷，业界推出了CIDR（无类域间路由，Classless Inter-Domain Routing），彻底打破 A/B/C 类的固定边界，允许任意长度的网络前缀，实现地址的按需分配与路由聚合。

核心表示方法

CIDR 采用「IP 地址 / 前缀长度」的表示法，例如192.168.1.0/24，表示前 24 位为网络号，后 8 位为主机号。 与之配套的子网掩码与前缀长度一一对应：子网掩码由连续的 1 和连续的 0 组成，1 的位数等于前缀长度，对应网络号；0 的位数对应主机号。

将 IP 地址与子网掩码做按位与运算，即可得到该 IP 所属的网络地址。 示例：IP 地址 128.89.83.8，前缀 / 24（掩码 255.255.255.0） 按位与运算结果：128.89.83.0，即该 IP 的网络地址。

子网划分：按需定制网段大小

子网划分是 CIDR 最常用的场景：从主机号中借出若干位作为子网号，将一个大网段拆分为多个小网段，按需分配，减少地址浪费。

完整计算示例：某机构需要 4 个独立子网，每个子网至少容纳 30 台主机，给定网段 192.168.1.0/24，如何划分？

1. 计算所需主机位：30 台主机需要至少 5 位主机号（2^5-2=30，满足需求）；
2. 计算子网位：原主机位 8 位，保留 5 位主机位，可借出 3 位作为子网位；
3. 新前缀长度：24 + 3 = 27，对应子网掩码 255.255.255.224；
4. 子网数量：2^3 = 8 个子网，满足 4 个的需求；
5. 每个子网可用主机数：2^5 - 2 = 30 台。

路由聚合（超网）：压缩路由表规模

CIDR 的另一核心价值是路由聚合（也叫超网）：将多个连续的小网段合并为一个大网段，用一条路由条目代表多个网段，大幅减少公网路由器的路由表规模。

示例：某运营商拥有 8 个连续的 C 类网段：202.0.0.0/24 ~ 202.0.7.0/24 观察地址发现，前 19 位完全相同，因此可以聚合为一个大网段：202.0.0.0/19。 原本需要 8 条路由条目，聚合后仅需 1 条，路由表规模压缩为原来的 1/8。

正是依靠 CIDR 的路由聚合能力，公网核心路由器的路由表规模才得到有效控制，支撑了互联网的持续扩张。

补充规则：标准子网掩码必须是连续的二进制 1 后跟连续的二进制 0，不允许出现非连续的掩码（如 255.255.0.255），主流网络设备也不支持非连续掩码。

3.4 特殊地址体系：公网、私网与保留地址

按照使用范围和用途，IP 地址可以分为公网地址、私网地址和特殊保留地址三大类。

1. 公网 IP 由国际互联网管理机构统一分配，全球唯一，可在公网路由器中正常路由转发，是设备直接访问互联网的身份标识。

2. 私网 IP（内网 IP） 私网地址是专门为局域网预留的地址段，无需申请，只要同一局域网内唯一即可使用。RFC 1918 标准规定了三段专用私网地址：

• 10.0.0.0/8：10.0.0.0 ~ 10.255.255.255，适合大型企业内网
• 172.16.0.0/12：172.16.0.0 ~ 172.31.255.255，适合中型企业
• 192.168.0.0/16：192.168.0.0 ~ 192.168.255.255，适合家庭、小型局域网

私网地址的核心规则：公网路由器会直接丢弃目的地址为私网 IP 的报文，私网地址仅在局域网内有效，无法直接访问公网 ------ 这也是 NAT 技术存在的前提。我们日常家庭、办公网络中的设备 IP，几乎都属于私网地址。

1. 其他特殊保留地址

• 本地环回地址：127.0.0.0/8，最常用的是 127.0.0.1。发送到该地址的报文不会流出本机，直接由内核网络栈回环处理，用于本机服务测试与进程间通信。
• 链路本地地址：169.254.0.0/16，当设备无法获取 DHCP 地址时自动分配，仅在同一物理链路内有效，无法跨路由器转发。
• 有限广播地址：255.255.255.255，发送给该地址的报文会在当前局域网内广播，所有主机都会接收，路由器不会转发该地址的报文。

注：任何子网中，主机号全 0 代表网络地址、全 1 代表广播地址，均不可分配给主机使用；且地址分配按 2 的幂次划分，仍存在少量浪费，但相比分类地址已极大优化。

四、路由转发原理：IP 层的核心能力

4.1 路由的本质：基于网段的路径选择

公网 IP 按区域、运营商分配，不同网段对应不同的地理位置与网络节点。路由器通过网段判断转发路径，这也是 IP 可以定位地理位置的底层逻辑 ------ 基于 IP 分配的地域数据库实现，并非 IP 地址本身携带位置信息。

4.2 路由表的结构与字段

路由器依靠路由表完成转发决策，路由表核心字段如下：

字段	含义
destination	目标网络 / 主机地址
gateway	下一跳地址，即下一个接收该报文的路由器接口 IP
genmask	目标网段的子网掩码，用于匹配目的 IP
flags	路由标志位：U（路由可用 Up）、H（目标是主机而非网段）、G（指向网关）、D（路由协议动态生成）、M（已被修改）、!（拒绝路由）
metric	路由开销，值越小路径越优
iface	转发报文的出接口

4.3 路由转发的三类场景

我们可以用「车站问路」类比路由转发的逻辑：

1. 保安明确知道路线，直接告诉你下一站怎么走 → 路由器匹配到具体路由条目，转发给下一跳路由器；
2. 保安不知道具体路线，但知道找谁问 → 路由器未匹配到具体路由，转发给默认网关（default gateway）；
3. 保安说「这里就是目的地」 → 目的 IP 是本机地址，报文向上层协议栈交付。

4.4 路由匹配的基本原则

路由器转发报文时，将目的 IP 与路由表条目逐一按掩码匹配，遵循最长前缀匹配原则：匹配到的前缀越长，路由越精确，优先级越高；优先级相同时，选择 metric 开销最小的路径。

全球网络拓扑复杂多变，没有任何一台路由器掌握全网路由，而是通过 OSPF、BGP 等动态路由协议，自动学习和更新路由表，最终实现全球可达。

五、IP 分片机制：MTU 限制下的传输方案

5.1 为什么需要分片：MTU 的限制

以太网默认的**MTU（最大传输单元）**为 1500 字节，即链路层帧中承载的 IP 数据报最大不能超过 1500 字节。但 IP 数据报理论最大可达 65535 字节，当报文长度超过出链路的 MTU 时，就需要在 IP 层进行分片，将一个大数据报拆分为多个小分片，分别传输后在目的主机重组。

5.2 为什么分片在 IP 层实现

分片放在 IP 层，而非链路层或传输层，是由分层架构的职责边界决定的：

1. 为什么不是链路层：不同链路的 MTU 不同（以太网 1500、PPP 链路可能更小），链路层只负责直连网段的传输，无法感知端到端路径上的所有 MTU；且链路层帧格式不具备端到端的分片标识与重组能力。
2. 为什么不是传输层：传输层工作在端系统，无法感知路径上每一段链路的 MTU；且传输层协议众多，若每个协议都实现分片，重复设计且效率低下。
3. IP 层的天然优势：IP 是端到端的网络层协议，首部天然具备标识、标志、片偏移字段，支持跨链路的分片与端到端重组；且所有传输层协议都承载在 IP 之上，在 IP 层统一实现分片，对上层透明，复用性最高。

补充：TCP 会通过MSS（最大分段大小，Maximum Segment Size） 主动避免 IP 分片。MSS 指 TCP 分段中数据部分的最大长度，计算公式为 MSS = MTU - IP首部长度 - TCP首部长度。在以太网默认 MTU=1500 字节的场景下，MSS 默认值为 1460 字节。TCP 在发送数据时，会按照 MSS 拆分数据段，确保封装后的 IP 数据报不超过 MTU，从而避免在传输路径上被路由器分片，这也是传输层优化传输可靠性的重要手段。

5.3 分片相关字段详解

• 16 位标识：同一个数据报的所有分片，标识字段值完全相同；不同数据报的标识不同。目的主机通过该字段判断哪些分片属于同一个原始数据报。
• 3 位标志 ：
  • 第 1 位：保留位，未使用；
  • 第 2 位：DF（Don't Fragment，禁止分片），置 1 时表示不允许分片，若报文超过 MTU 则直接丢弃，并返回 ICMP 不可达报文；
  • 第 3 位：MF（More Fragment，更多分片），除了最后一个分片 MF=0，其余所有分片 MF=1。
• 13 位片偏移 ：单位为8 字节，表示当前分片的数据部分，在原始数据报的数据载荷中的偏移位置。

5.4 分片的判断与重组

如何判断一个报文是分片？

满足以下任一条件即为分片：

• MF 标志位为 1；
• MF 标志位为 0，但片偏移大于 0（最后一个分片）。 只有「MF=0 且 片偏移 = 0」时，才是完整的未分片数据报。

如何判断分片是否收全？

1. 如果所有收到的分片中，没有 MF=0 的分片，说明最后一个分片未到达，肯定没收全；
2. 如果收到了 MF=0 的分片，以片偏移为索引排序，通过「片偏移 ×8 + (总长度 - 首部长度)」计算每个分片的结束位置，校验是否连续且覆盖完整数据长度。 这也是 16 位总长度字段的核心作用之一：配合片偏移完成分片的长度校验与重组。

5.5 分片机制的缺陷

IP 分片有一条核心规则：路由器仅执行分片，不执行重组；所有分片的重组只在目的主机的 IP 层完成。 这也带来了明显缺陷：任意一个分片丢失，整个原始数据报都视为丢失，需要重传所有分片，大幅提升丢包概率与传输开销。因此实际网络中，通常通过 PMTU 发现、TCP MSS 协商等方式尽量避免 IP 分片。

六、IPv4 地址枯竭的解决方案

IPv4 地址总数为 2^32≈43 亿，扣除保留地址、特殊用途地址后，可用公网 IP 不足 40 亿，早已无法满足全球海量设备的接入需求。目前行业有两大主流解决方案：一是以 NAT 为核心的地址复用过渡方案，二是以 IPv6 为核心的地址空间扩容方案。

6.1 NAT 技术：当下的主流过渡方案

NAT（Network Address Translation，网络地址转换）的核心思想是地址复用：通过在网关设备上维护地址映射表，让多个私网设备共享少量公网 IP 访问互联网，在不升级协议的前提下极大缓解了公网地址短缺问题，是当前全球部署最广泛的过渡方案。

6.1.1 NAT 的工作前提：公网与私网的隔离

NAT 技术的基础是前文提到的私网地址体系（RFC 1918）。私网地址仅在局域网内有效，公网路由器不会转发目的地址为私网 IP 的报文，因此私网设备无法直接与公网通信，必须通过 NAT 网关完成地址转换，才能访问公网资源。

家用路由器就是最典型的 NAT 网关设备：它一侧连接内网（LAN 侧），使用私网地址段；另一侧连接运营商网络（WAN 侧），配置对应网段的 IP 地址，承担内外网之间的地址转换与报文转发职责。

6.1.2 NAT 的三种主流实现类型

根据转换规则的不同，NAT 主要分为三类，适用场景各有差异：

1. 静态 NAT（Static NAT） 私网 IP 与公网 IP 一一固定绑定，一个私网地址永久对应一个公网地址。

   • 优点：配置简单，外网可以直接通过绑定的公网 IP 访问内网主机；
   • 缺点：无法节省公网 IP，一个私网主机占用一个公网地址；
   • 适用场景：企业内网服务器需要对外提供服务的场景。

2. 动态 NAT（Dynamic NAT） 网关配置一个公网地址池，私网主机访问外网时，动态从地址池中分配一个空闲公网 IP 进行映射，连接断开后地址归还地址池。

   • 优点：公网 IP 可以被多个私网主机分时复用，一定程度节省地址；
   • 缺点：公网地址池有多少个 IP，就最多支持多少台主机同时上网，地址复用率有限；
   • 适用场景：中型企业内网，公网 IP 数量少于内网主机数量的场景。

3. NAPT（Network Address Port Translation，网络地址端口转换，也叫 PAT） 这是目前家用网络、企业网络最主流的 NAT 形式，也是绝大多数人日常接触的 NAT 类型。它不仅转换 IP 地址，还转换传输层的端口号，让多台内网主机可以同时复用同一个公网 IP，通过不同的源端口区分不同主机的连接。

   • 核心原理：NAT 网关维护一张「私网 IP: 源端口 → 公网 IP: 转换后源端口」的映射表，每新建一个连接就生成一条映射条目；
   • 优势：地址复用率极高，一个公网 IP 可以同时承载上万条连接，支持数千台设备同时上网；
   • 局限：端口号为 16 位，理论上单 IP 最多支持 65536 个并发端口映射，实际可用端口约 3 万多个。

6.1.3 结合拓扑详解：SNAT 出向转发完整流程

我们结合典型的多层 NAT 网络拓扑，逐跳拆解内网主机访问公网服务器的完整过程。拓扑中包含两级 NAT：家庭内网的家用路由器（一级 NAT）、运营商网络的运营商路由器（二级 NAT，即运营商级 NAT）。

拓扑关键地址对应：

• 内网主机：192.168.1.201/24
• 家用路由器 LAN 口（网关）：192.168.1.1/24；WAN 口：10.1.1.2/24
• 运营商路由器内网侧：10.1.1.1/24；公网侧：122.77.241.4/24
• 公网目标服务器：122.77.241.3/24

出向（内网→公网）完整转发步骤：

1. 内网主机发出原始报文 主机 192.168.1.201 构造 IP 报文，源 IP 为 192.168.1.201，目的 IP 为 122.77.241.3；封装 TCP/UDP 头部后，发送给默认网关 192.168.1.1（家用路由器）。

2. 家用路由器执行一级 NAT（SNAT） 家用路由器收到报文后，判断目的 IP 不在本地内网网段，需要转发到 WAN 口。此时执行源地址转换：

   • 将报文的源 IP 从192.168.1.201替换为自身 WAN 口地址10.1.1.2；
   • 同时替换传输层源端口（例如将源端口 50000 转换为 60000），并在 NAT 映射表中新增一条记录：192.168.1.201:50000 → 10.1.1.2:60000；
   • 转换完成后，将报文转发给运营商侧的下一跳 10.1.1.1。

3. 运营商路由器执行二级 NAT（CGNAT） 运营商路由器收到报文后，发现源地址 10.1.1.2 是私网地址，无法在公网路由，因此执行第二次源地址转换：

   • 将源 IP 从10.1.1.2替换为自身公网口地址122.77.241.4；
   • 再次替换传输层源端口（例如将 60000 转换为 30000），并在运营商 NAT 表中记录：10.1.1.2:60000 → 122.77.241.4:30000；
   • 转换完成后，将报文通过广域网转发到目标服务器 122.77.241.3。

4. 公网服务器接收报文 服务器收到的报文，源 IP 显示为122.77.241.4，源端口为 30000；服务器无法感知背后的多层内网主机，只能看到运营商的公网出口地址。

通过这两级 NAT 转换，成百上千个家庭的海量内网设备，只需要占用少量公网 IP 即可同时访问互联网，极大提升了公网地址的利用率。

6.1.4 入向转发：DNAT 与端口映射

很多人会有疑问：出方向通过地址转换能访问外网，那外网主动发起的请求，如何精准找到内网的某一台主机？这就需要目的地址转换（DNAT，Destination NAT），也常被称为端口映射或虚拟服务器。

1. 核心原理 NAT 网关在公网侧监听指定端口，当收到外网发往该端口的报文时，根据预设的映射规则，将目的 IP 和目的端口替换为对应内网主机的 IP 和端口，再转发到内网。 映射规则示例：将公网122.77.241.4:8080映射到内网192.168.1.201:80，所有访问公网 8080 端口的流量，都会被转发到内网主机的 80 端口。

2. 关键前提：映射必须提前配置 对于普通家用 NAT，外网无法主动访问内网主机，因为 NAT 映射表中没有对应条目。只有两种情况外网可以主动访问：

   • 手动在路由器上配置端口映射（DNAT 规则），提前指定端口与内网主机的对应关系；
   • 内网主机先主动向外网发起连接，NAT 设备生成临时映射条目，外网的响应报文可以沿着映射原路返回。

这也是 NAT 的一个核心特性：默认只支持 "内网主动、外网响应" 的通信模式，不支持外网主动发起连接，天然具备一定的网络隔离与安全防护作用。

6.1.5 运营商级 NAT（CGNAT）：多层 NAT 的普及

早期家用路由器的 WAN 口会直接分配公网 IP，只需要一层 NAT。但随着接入设备激增，公网 IP 愈发紧缺，运营商开始在自身网络内部再部署一层 NAT，这就是运营商级 NAT（Carrier-Grade NAT，简称 CGNAT，也叫大 NAT）。

1. CGNAT 的网络结构 如拓扑所示，家用路由器的 WAN 口不再分配公网 IP，而是分配一个运营商私网地址（如 10.x.x.x 网段）；多个家庭共享这个运营商私网网段，再通过运营商的核心 NAT 设备，统一转换为少量公网 IP 访问互联网。 整个链路形成「终端内网 → 家用 NAT → 运营商私网 → 运营商 NAT → 公网」的多层 NAT 结构。

2. CGNAT 的影响

   • 优势：进一步提升公网 IP 利用率，延缓地址枯竭；
   • 弊端：用户无法获得公网 IP，无法通过家用路由器配置端口映射实现外网访问内网；多层 NAT 也会增加网络延迟，对 P2P、游戏联机等应用造成阻碍。 如果需要外网访问家中设备，需要向运营商申请公网 IP，绕过 CGNAT。

6.1.6 NAT 的技术局限与延伸问题

NAT 虽然解决了地址短缺问题，但也破坏了 TCP/IP 协议原本的 "端到端连通性" 设计，带来了一系列衍生问题：

1. 对 P2P 应用的阻碍 P2P 下载、游戏联机、视频通话等场景，需要两台主机直接建立连接。如果双方都处于 NAT 之后，都没有公网 IP，就无法直接主动连接对方，必须通过 NAT 穿越技术解决。 常见的 NAT 穿越方案：UDP 打洞、STUN/TURN/ICE 协议，通过公网中继服务器协助建立连接。

2. 应用层协议的适配问题（ALG） 部分协议会在应用层载荷中携带 IP 和端口信息（如 FTP、SIP 协议），NAT 只能转换 IP 首部的地址，无法修改应用层数据，会导致协议异常。 因此 NAT 设备通常支持**ALG（应用层网关）**功能，可以识别特定协议，同步修改应用层载荷里的地址信息，保证协议正常工作。

3. 溯源与管控问题 多个内网主机共享同一个公网 IP，公网服务器只能看到公网出口地址，无法直接定位到具体终端。运营商通过 NAT 日志记录端口映射与时间的对应关系，可以在合规范围内完成用户溯源，这也是网络合规治理的技术基础。

6.2 IPv6：长远的根本方案

IPv6 将地址长度从 32 位扩展为 128 位，地址空间近乎无限，从根本上解决了地址枯竭问题，是万物互联时代的长期方案。IPv6 与 IPv4 协议不兼容，目前主流网络都支持双栈部署，逐步完成过渡。

七、全文总结

IP 层是整个 TCP/IP 协议栈的核心枢纽：报头是所有能力的载体，定义了封装、分用的规则；编址体系是路由的基础，从分类到无类的演进持续优化地址利用率；路由转发是 IP 层的核心能力，通过路由表实现跨网段的主机到主机交付；分片机制适配不同链路的 MTU 限制，保障大数据报的传输；NAT 与 IPv6 则分别从过渡和长远两个维度，解决了 IPv4 地址枯竭的问题。