如果你跟我一样读《网络是怎样连接的》这类经典网络入门书时第一遍大概率是“看懂了但机器一坏还是不会排障”第二遍才会真正开窍。前面两篇“核心框架版”我们走完了两段路浏览器输入网址后DNS 如何解析出 IP、HTTP 请求如何交给套接字操作系统协议栈如何把数据切成 TCP 段、加上 IP 头、再由网卡芯片转成电信号送上网线。现在到第三篇重点就是电信号离开网卡之后的故事——网线、交换机、路由器以及你身边那些“什么都不动突然就连不通”的疑难杂症根源多数藏在这一段。这篇内容最大的价值是帮你在脑海里立起一张完整的“数据交接图”从电脑网口到交换机从交换机到路由器网络包到底靠什么认路、靠谁改地址、为什么一定要有 MAC 地址表和 ARP。适合正在啃网络基础、想转行做运维或网络工程师的朋友也适合只想搞清楚“公司里两台电脑为什么互相 ping 不通”的普通开发者。1. 先给整套框架定位第三期究竟在讲哪一段1.1 一条主线串起五段链路《网络是怎样连接的》这本书厉害的地方在于它不是按 OSI 七层模型讲而是按“一次真实访问的完整路径”来串。我把它的核心框架拆成五段浏览器发请求、协议栈与网卡封装、局域网转发、路由与接入网、互联网骨干与服务器响应。前两期已经覆盖前两段。这一期是第三段网络包变成电信号后在网线、交换机、集线器里是怎么走的。再往后路由器如何把包送出去其实是第四段的内容但网关和默认路由这两件事必须在这一期先讲清楚不然你看到“路由表”三个字会直接卡住。为什么这样分段对入门者最友好因为大多数人的困惑不在于 TCP 三次握手而在于“数据明明已经到了本地网络凭什么从右边电脑送到左边电脑”——这个“凭什么”就是交换机的 MAC 地址表以及主机判断“目标在不在本地”的网段计算。框架一旦立住后续学路由协议、防火墙策略都会顺手很多。1.2 本期的核心问题从“会配 IP”到“知道帧去哪了”我接触过的初学者大部分能背出 IP 地址、子网掩码、网关这“网络配置三件套”但真问他“网关到底干活的”他说不清楚。第三期就是来解决这件事的。你可以把这一篇的目标压缩成三个问题交换机把一个帧从 1 口转出去依据是什么电脑要访问另一台电脑凭什么决定“直接发”还是“先发给网关”帧到了路由器之后MAC 地址和 IP 地址各自发生了什么变化这三个问题弄明白你再看任何二层交换设备、任何抓包工具里的数据都不会再觉得是乱码。后面章节的所有配合也都是围绕这三个问题展开。2. 交换机局域网里的智能分拣员2.1 MAC 地址表不是天生的是“学”出来的很多人以为交换机像老式电话总机管理员手动把每个端口对应的机器填好然后照着表去接。实际不是。普通交换机完全靠自动学习核心就一张表——MAC 地址表。这张表记录“哪个 MAC 地址、从哪个端口能到达、学到的 VLAN 是多少、表项多久后过期”。它的学习过程非常朴素交换机收到一个以太网帧先看帧头里的源 MAC 地址记录“这个源 MAC 是从哪个端口进来的”写进表里再看目的 MAC 地址去表里查该往哪个端口发。查到了就单播转发查不到就把帧从除了接收端口以外的所有端口复制出去这个动作叫“泛洪”。举个例子。假设 PC-A 插在交换机的第 1 口PC-B 插在第 2 口。PC-A 第一次给 PC-B 发包时交换机不知道 PC-B 在哪于是把帧复制给 2 口、3 口、4 口…… PC-B 收到后回复交换机从第 2 口收到 PC-B 的帧立刻把 PC-B 和端口 2 记进表里。从这以后PC-A 再给 PC-B 发数据交换机直接查表从 2 口出去不再喊所有端口听一遍。这就是“自学习”的本质。所以你在网管型交换机上执行查看 MAC 地址表的命令时看到的表项不是厂商预设的而是设备运行之后一点点学出来的。这个表还有老化时间主流设备默认 300 秒左右。也就是说一个设备如果 5 分钟没发任何帧它的表项会被删掉下次通信又要重新泛洪一次。这也是为什么有些低频设备比如网络摄像头第一次 ping 会超时第二次才通——你还以为网络不稳定其实是表项老化而已。实务上有一个常用技巧遇到“第一次不通、第二次通”的诡异现象优先怀疑 MAC 地址表老化而不是线路丢包。2.2 广播、泛洪与环路隐患泛洪是交换机处理“未知目的帧”的方式但还有一种帧会让交换机“不得不”把数据发给所有端口——广播帧。以太网广播帧的目的 MAC 地址写的是FF-FF-FF-FF-FF-FF。交换机只要看到这个全 F 地址就知道这是广播必须从除了接收端口之外的所有端口转发出去。网络里每个人都收但不是每个人都处理——网卡收到广播帧会看一眼目的 MAC 是自己、广播还是组播都不是就丢弃不会影响应用层。泛洪和广播的区别要分清泛洪是交换机查表查不到时才做广播是目的 MAC 本身就是广播地址没有办法定向。两者都会让帧传遍整个广播域。如果你的局域网里某一台机器中了病或者配置错误疯狂发广播帧整个二层网络都会被拖慢这就是经常听到的“广播风暴”。更麻烦的是环路。两根网线把交换机接到一起又没有启用环路保护协议时广播帧就会在两个交换机之间来回复制转发最终把端口流量打到满。这时候你去看交换机所有端口指示灯都在快速闪烁仿佛整个网络疯了。排查最早出现广播风暴的根源永远先断开可疑连接、再启用环路保护协议比如常见的生成树协议。这些内容在书里也有讲到但如果你没实操过很难体会那种“整个楼层集体断网”的紧张感。2.3 集线器和交换机差一个“脑子”差出整个时代前面用了不少篇幅讲交换机是因为现在你几乎接触不到纯集线器了。但明白集线器为什么会死你才懂交换机到底强在哪。集线器是物理层设备没有 MAC 地址表它做的事情就是“收到什么信号就从所有其他端口原样发出去”。这相当于一个共用的大喇叭A 对 B 说话C 和 D 也都能听见只是 C、D 网卡不接收而已。更重要的是集线器所有端口共享同一条通信链路同一时刻只能有一个设备发送数据。假如两台电脑同时发信号在线上撞在一起就叫冲突。以太网早期的防冲突机制叫 CSMA/CD先听后说发的时候还要监听一旦发现冲突所有设备随机退避一段时间再重发。这种机制下设备越多冲突概率越大实际可用带宽大打折扣。交换机则完全不同每个端口独立处理帧端口之间可以同时通信而且是全双工即收和发同时进行。从“共享带宽”变成“独享带宽”从“半双工”变成“全双工”这就是一个“脑子”MAC 地址表带来的代差。排障的时候这个知识非常管用。如果交换机端口出现大量冲突错误计数、CRC 错误十有八九是链路两端双工模式协商失败一端跑全双工、一端跑半双工数据就会频繁丢失。这类问题不会直接显示“网络断开”而是表现为“能通但很卡、丢包严重”。3. 路由器与网关真正决定方向的岔路口3.1 主机先判断目标到底在不在本地网络包在局域网内部走得再溜也终归要面对一个现实目标电脑不在这个网段里。这时就该路由器登场了。但有个细节很多人没意识到——发起请求的电脑得先自己判断“目标到底在不在本地网络”。判断方法很简单拿自己的 IP 和子网掩码做与运算得到自己的网段再拿目标 IP 和同一个子网掩码做与运算得到目标网段。如果两个网段相同目标就在本地直接通过 ARP 查目标 IP 对应的 MAC 地址把帧发给它如果不同说明目标在外面主机就把帧的“目的 MAC 地址”填成网关接口的 MAC 地址而“目的 IP 地址”仍然填目标机器的 IP。这是全篇文章里最值得反复读的一段话。因为很多人问“我的电脑为什么把数据先发给路由器而不是直接发给外网”答案就在这儿二层帧只能在同一个局域网里传播不同网段之间的数据必须由路由器这个三层设备接力。你可以想象一栋办公楼同一层楼里传文件你可以直接走过去要寄快递到别的城市你肯定先把东西交给楼下的快递站由快递站决定走哪条路。路由器就是那个快递站网关 IP 就是快递站的门牌号。3.2 ARP把 IP 翻译成 MAC 的那张名片刚才提到“通过 ARP 查 MAC 地址”。ARP 的全称是地址解析协议作用就是根据 IP 地址找到对应设备的 MAC 地址。它的工作过程像在走廊里大喊一声“谁是 192.168.1.10请把你的 MAC 告诉我。”这一步用的是广播帧源主机把 ARP 请求包封装在一个目的 MAC 为FF-FF-FF-FF-FF-FF的广播帧里发出去。局域网内所有设备都会收到但只有 IP 地址匹配的那台机器才会回复一个 ARP 应答应答通常用单播帧直接发回给请求者。请求方收到后会把 IP 和 MAC 的对应关系记进 ARP 缓存表方便下次直接用。Windows 上查看 ARP 缓存的命令是arp -aLinux 上可以用ip neigh show。排障时这个命令价值极高。我见过不少情况电脑明明配好了 IP 和网关ping 网关却不通一看 ARP 表网关 IP 对应的 MAC 地址根本不是路由器应有的 MAC——这是有人手动填错了或者局域网里出现了“争抢网关 IP”的设备。清掉缓存、重新解析一遍问题立刻暴露。注意ARP 是局域网协议路由器会把 ARP 请求限制在自己接口所在的网段内不会替你转发到外网。所以“跨网段通信靠 IP 路由”这句话永远是第一原则。3.3 为什么 IP 和 MAC 必须成对出现把 IP 和 MAC 的关系彻底想透是读懂后续所有网络内容的分水岭。很多初学者会问既然 IP 地址在全球唯一为什么不直接用 IP 定位设备还要弄一个 MAC 地址我给一个比喻IP 地址是“人的身份证号”MAC 地址是“你当前住的房间号”。身份证号跟着人走但你搬了家、换了网络环境房间号就会变。以太网帧要在同一段物理链路里被设备接收就必须写清楚“具体哪个房间”的地址也就是 MAC而跨网络寻址必须靠逻辑上的“身份证号”也就是 IP。更准确地说MAC 地址每次经过路由器都会被改写。主机发给网关的帧源 MAC 是主机自己的目的 MAC 是网关的网关查路由表后从一个出口转发出去时会把源 MAC 改成出口接口的 MAC目的 MAC 改成下一跳设备的 MAC。但整个过程中源 IP 和目的 IP 一般保持不变。这个“MAC 一跳一跳变IP 始终不变”的规律就是整个互联网转发的基础。用抓包软件看数据最能验证这一点同一段网络通信里只看 IP 头数据包的“出发地”和“目的地”始终是你熟悉的那两个地址往下看以太网层每一跳的 MAC 都在换。很多安全分析、故障排查就是靠追踪 MAC 变化来定位设备位置。3.4 默认路由一个“0.0.0.0/0”走天下电脑知道“目标不在本地就交给网关”之后剩下的路就全交给路由器的路由表了。路由表本质上是一张“告诉路由器去哪个网段该走哪个接口/下一跳”的表。路由器处理数据包时会拿目的 IP 对照路由表按“最长前缀匹配”原则选择一条最精确的路径。比如目的 IP 是 192.168.2.100同时存在 192.168.2.0/24 和 0.0.0.0/0 两条路由路由器会优先选掩码更长的 /24 条目而不是默认路由。这里的 0.0.0.0/0 就是默认路由它表示“所有没写过更明确走向的地址都从这里走”。你平时在电脑上配置“默认网关”本质就是给这台主机添加一条 0.0.0.0/0 的默认路由。这一期先理解到“默认路由所有未知流量的大门口”就够用了。真正的动态路由协议比如自动交换最优路径的那些协议到第四期再展开因为那时我们才进入多家运营商、多层路由表互相交换的世界。现在你只要记住没有默认路由的内网主机离开本网段的所有通信都会失败。4. 最小实验把“转发”从纸上搬到屏幕4.1 实验拓扑与观察点理论讲再多不如自己动手抓一个包。这个实验只需要两台电脑、一台傻瓜交换机、一个家用路由器当网关用再加一个可以装抓包工具的笔记本就够了。拓扑建议搭成这样PC-A 和 PC-B 都接在交换机上路由器的 LAN 口也接同一台交换机然后把 PC-A 当作主要观察对象用 Wireshark 抓它的流量。IP 规划就按最常见的网段来例如 PC-A 是 192.168.1.10PC-B 是 192.168.1.20路由器 LAN 口是 192.168.1.1掩码统一 /24。记住 PC-A 和 PC-B 的默认网关都要填 192.168.1.1。这个实验的目标是回答三个问题同网段互访时帧目的 MAC 到底是谁跨网段访问时帧目的 MAC 会不会变成网关交换机在中间到底做了什么。4.2 抓包实战同网段和跨网段的帧差别很大先让 PC-A ping PC-B。开始前在 PC-A 上开好 Wireshark抓包之后观察你会先看到一个 ARP 广播请求紧接着是 PC-B 的 ARP 应答。再往后才是 ICMP 的 Echo Request 报文。这时候看以太网层的“Destination MAC”一栏会发现它填的是 PC-B 的 MAC 地址而不是网关的 MAC再看 IP 层的“Destination IP”同样填的是 PC-B 的 IP。这说明什么同一网段主机判断目标在本地所以把目的 MAC 和目的 IP 都指向目标机器。接下来让 PC-A ping 一个外网地址也可以直接用电脑里配置的模拟公网网段比如另一个网段的测试 IP。关键操作前先执行清 ARP 缓存的命令保证整个过程可以被完整观察到。再抓包时就非常清楚了ICMP 请求的 IP 层目的 IP 是外网目标以太网层目的 MAC 却是路由器的 LAN 口 MAC。这就是“IP 不变、MAC 变下一跳”的直观证据。4.3 用镜像端口看交换机眼中的世界直接在 PC-A 上抓包只能看到 A 自己收发的内容。如果你想看交换机在中间到底做了多少次泛洪就得用带有端口镜像功能的网管型交换机。把笔记本接到交换机的镜像口上然后把 PC-A 的端口配置成源端口这样笔记本就能复制一份流过该端口的所有帧。重启实验前先清空交换机的 MAC 地址表通常重启即可。让 PC-A ping PC-B你会在镜像端口上看到非常有意思的现象第一次通信时交换机确实把帧泛洪到了很多端口同时能数出 ARP、ICMP 等不同类型的帧。第二次再 ping捕获到的帧数量明显变少因为 MAC 表已经建立不再需要全网广播。这个过程能把“自学习”从概念变成肉眼可见的事实。很多朋友做实验没有镜像口也可以接受。只要明白一个原则抓包不等于看到交换机的全部转发行为抓包只能告诉你本机收发了什么。要验证交换机的转发决策还是要看设备的 MAC 地址表和统计计数。4.4 把验证结论变成一套排查动作做完实验可以顺手把自己的排障步骤固化成一套动作先确认本机 IP 和掩码判断目标网段再查 ARP 缓存看目标 IP 对应的 MAC 是否合理接着 ping 网关把问题范围切成“本端”和“外部”最后才考虑交换机端口状态、VLAN 和路由表。这个顺序能避免你一开始就往复杂的路由协议里钻。这也是我推荐每个人都做一遍这个最小实验的原因。光学知识点你虽然知道交换机有 MAC 表但不知道表会老化、广播会泛洪。踩过“第一次不通、第二次通”的坑之后再看到这类报障基本不用抓包也能猜个八九不离十。5. 常见问题与避坑书里没写全的那些细节5.1 问题速查表现象常见原因排查命令/方法同一交换机下两台电脑互 ping 不通掩码错误、ARP 表异常、防火墙拦截核对 IP/掩码清 ARP 缓存关防火墙测试能 ping 通网关但上不了外网路由器默认路由缺失或运营商侧故障查看路由器路由表确认 0.0.0.0/0 是否存在第一次 ping 通第二次通不过MAC 地址表老化、ARP 缓存过期多次 ping观察 ARP 解析过程确认表项老化时间网络延迟大、丢包严重双工模式不匹配、网线质量差查看交换机端口错误计数强制端口双工/速率整个办公室突然断网二层环路、广播风暴逐个断开交换机级联口启用环路保护协议端口灯亮但数据传不动协商异常、VLAN 配置不一致查看端口状态确认两端 VLAN 编号一致这张表解决的是“看到现象后去哪里找原因”的问题。真正的排障高手不是一下子猜中答案而是能用最快速度把可能范围一次次缩小。5.2 三个容易踩的认知坑第一个坑以为 MAC 地址表记录了 IP 地址。 查表时你会看到 MAC 和端口这没问题但它不代表交换机会关心 IP。三层以下交换机根本不去解析 IP 头它对“192.168.1.10 属于谁”毫无概念。一定要形成条件反射——二层设备看 MAC三层设备看 IP。第二个坑以为 MTU 1500 是“网络包总长”。 以太网帧的 1500 字节特指载荷部分排头尾的 MAC 头、FCS 校验等都不算。如果你把 MTU 理解成整个帧的长度在配置隧道、调整分片策略时就会出大问题。实际抓包里常见帧总长度在 1518 字节左右就是因为加了以太网头部和校验。第三个坑以为“交换机隔离冲突域”等于“交换机隔离广播域”。 交换机确实把每个端口隔成独立冲突域但广播域默认还是同一个。两台交换机级联在一起二层广播帧照样会全部扩散。需要隔离广播域时要上 VLAN 和三层路由这个知识点会在后面几期越来越重要。5.3 一套能直接照做的快速排查思路无论新人还是老手我建议把排查顺序固定下来。先物理层看网线灯亮不亮、端口状态 up 还是 down再二层看交换机端口 CRC 计数、MAC 表有没有学错然后三层看本机 IP、网关、ARP、默认路由最后再往上看上层服务和防火墙策略。这套流程的好处是避免“盲猜”。我曾遇到过朋友办公室两台电脑连同一台交换机但一个能上网一个不能他怀疑交换机坏了。我让他先ipconfig /all对比一下结果发现不能上网那台的网关填错了网段。这就是典型的跳过了三层排查直接怀疑硬件。越是大问题越要一层一层来因为网络协议栈本来就是分层的排查也应当分层。这个“分层思维”是第三期真正想传递给大家的隐形知识。它比记住几个 MAC、ARP 关键词更值钱。我个人带新人时最常强调的一句话是网络转发不是靠“感觉”而是靠“每一层都有明确决策依据”。交换机依据 MAC 表主机依据网段计算和 ARP路由器依据路由表。当你能说出某个包在某台设备上依据什么转发、改了哪些地址时你才真正跨过了网络入门那道坎。这篇第三期帮大家立起交换机和路由器这两根主梁后面接入网、互联网骨干那些内容都在这套框架上继续加砖。