1. 分层模型不是考试题是排查网络问题的地图计算机网络的教科书和面试题大家都背过但说实话我见过太多人能把OSI七层倒背如流却在线上服务超时的时候只会重启。计网知识点这东西如果只用来应付考试那真是浪费了它最大的价值——它其实是整个互联网系统的底层地图是你在遇到网页打不开接口偶发超时视频卡顿这类问题时用来判断问题出在哪一层的思维工具。我最早带团队的时候有个同事排查一个数据库连接偶尔断开的问题前后折腾了一下午最后发现根本不是数据库的问题而是网络设备对空闲连接做了回收。如果他脑子里有清晰的分层概念看一眼抓包结果就能把方向锁定在传输层而不是在应用层的代码里反复找bug。所以这篇东西我不想按教科书顺序讲我想换一个角度把计网知识点里那些真正在实际工作中反复用到、又容易被忽略的核心内容拆开揉碎讲清楚顺便把常见的误区和排查思路也一起说了。1.1 OSI七层和TCP/IP四层的本质区别很多资料喜欢把OSI七层和TCP/IP四层放在一起对比记忆这本身没错但很多人背完就忘了它们到底解决什么问题。简单说OSI七层是一个理论参考模型它把网络通信拆成应用层、表示层、会话层、传输层、网络层、数据链路层、物理层七层而TCP/IP四层是实际工程中跑得通的协议栈把网络接口、网际层、传输层、应用层合并成了四层。两者不是一一对应的不必较真每层对应关系真正要理解的是为什么要分层。分层的核心价值在于解耦。应用层只需要关心我要发什么数据传输层负责数据能不能可靠到达网络层负责数据该往哪个方向走链路层负责相邻设备之间怎么传。每一层只和上下相邻层打交道这一层出了问题不会影响其他层的设计。打个比方你往外地寄快递你只需要写好地址交给快递员不需要自己开卡车跑高速也不需要关心快递中转站的卸货流程。各层各司其职整个系统才能在这种复杂度下运转起来。实际工作中分层模型最大的用处是把问题定位范围缩小。用户反馈网页打不开可能的环节有DNS解析失败、TCP连接超时、HTTP服务未响应、后端代码异常、数据库连接池满了。如果你没有分层意识就会像无头苍蝇一样乱试有了分层意识你会先确认哪一层出了问题再往下钻。这就是计网知识点能不能转化成生产力的分水岭。1.2 分层思想在真实抓包中的映射分层不是抽象的抓包工具里看得清清楚楚。你用抓包软件看一次完整的HTTP请求能看到一个清晰的分层结构最外层是以太网帧头链路层往里是IP头网络层再往里是TCP头传输层最里面才是HTTP的请求行和请求头应用层。每一层都把自己的信息封装好然后像套娃一样一层套一层。这带来的第一个实操经验是看到报错不要急着看最上层的报错信息先看一眼报错发生在哪一层。比如浏览器提示无法连接到服务器这大概率发生在TCP连接阶段提示无法解析服务器的DNS地址那问题在DNS解析提示服务器返回了无效的响应那问题可能在HTTP协议层或后端代码。报错本身已经隐含了分层信息很多人忽略了这一点。我还想多说一句分层模型在实际排查中有一个很反直觉的点很多应用层的诡异问题根子其实在网络层或传输层。比如接口偶尔超时代码里找不到任何问题但抓包发现TCP重传率高得吓人说明网络链路存在丢包这时候不管你怎么优化代码都没用得从链路质量入手。这就是为什么我一直强调计网知识点的价值不在于背熟层名而在于遇到实际问题时能准确判断该去查哪一层。2. TCP三次握手与四次挥手交互背后被忽略的细节TCP是传输层的绝对主角也是面试里被问得最烂的内容。三次握手、四次挥手、TIME_WAIT、滑动窗口、拥塞控制人人都会背概念但真到了线上环境理解深度立刻见真章。我见过有人一看到TIME_WAIT状态就紧张也见过有人完全无视它导致连接重建失败。这一节我把TCP连接管理里最容易被忽略、又最影响实战的几个点掰开讲。2.1 为什么一定是三次握手而不是两次三次握手的本质是确认双方的收发能力都正常。第一次握手客户端发送SYN表示我想建立连接第二次握手服务端回复SYNACK表示我收到了你的SYN我也可以发送数据第三次握手客户端回复ACK表示我收到了你的SYNACK。三次之后双方都确认了自己发的数据对方能收到对方发的数据自己能收到。如果只握手两次会有一个隐患客户端第一次发送的SYN因为网络延迟在连接释放后才到达服务端服务端回复SYNACK后客户端这个迟到的SYN对应的连接根本不存在客户端不会回复ACK服务端却已经开始为这个连接分配资源白白浪费了资源。三次握手让服务端等到了客户端的ACK确认没有确认就不知道客户端是否真的准备好了可以避免这种半打开连接的资源泄漏。实际工程里有个更直观的理解三次握手同时完成了一个重要任务——在连接建立初期就交换初始序列号。TCP的可靠性建立在序列号机制上发送方和接收方需要知道彼此的初始序列号才能正确排序、去重、确认数据。SYN报文里携带的就是初始序列号第三次握手的ACK报文同时还确认了对方序列号的有效性。所以你看到的握手过程不只是打招呼它顺带完成了收发同步的初始化工作。2.2 TIME_WAIT不是玄学是主动关闭方的宿命四次挥手的过程大家都不陌生主动关闭方发送FIN被动关闭方回复ACK被动关闭方再发送FIN主动关闭方回复ACK。但这里有个关键细节——主动关闭方在发送完最后的ACK后不会立刻进入关闭状态而是进入TIME_WAIT状态要等待2MSL报文最大生存时间的两倍才真正释放连接。很多人在线上看到大量TIME_WAIT连接就慌了以为是什么故障。其实TIME_WAIT是TCP在主动关闭方设计的一个安全缓冲区。它有两个目的一是确保最后一个ACK能到达对方如果这个ACK丢了被动关闭方会重发FIN主动关闭方还能在TIME_WAIT期间重新回复ACK二是确保本连接中所有迟到的报文在网络中消失不会串扰到后续的同一个四元组的新连接里。但如果一个服务端主动关闭了大量短连接TIME_WAIT堆积过多就会占满本地端口资源导致无法建立新连接。我遇到过一个真实案例某服务用短连接模式请求外部接口出现大量TIME_WAIT本地可用端口耗尽新请求全部失败。解决方案不是调低TIME_WAIT时间而是改成长连接复用或者调整内核参数允许TIME_WAIT连接复用。这种问题的排查思路恰恰是对TCP状态机理解得够不够深的问题。2.3 握手阶段最容易被忽视的异常半连接队列和全连接队列我再说一个线上排查中经常踩的坑——TCP连接队列。服务端在三次握手过程中维护了两个队列半连接队列存未完成三次握手的连接和全连接队列存已完成的连接。当并发量很高时如果用户态进程处理连接的速度跟不上全连接队列会溢出内核会直接丢弃SYN或者发送RST表现就是客户端连不上或握手超时。判断全连接队列是否溢出有一个非常简单直接的命令——netstat -s里如果出现SYNs to LISTEN sockets dropped或者ss -lnt里Send-Q的值已经达到上限并且持续不降大概率就是队列满了。解决方向一般是加大监听队列长度、提高进程的accept并发能力、排查应用层卡顿的原因。这类问题靠背概念是发现不了的你得对TCP的状态机运行机制有画面感看到监控指标异常时才能想到这一层。3. 从输入URL到页面渲染一条链路串起所有计网核心概念如果你问我把计网知识点串起来最好的方式是什么我推荐用输入一个URL到页面渲染这条链路。它几乎覆盖了网络层的绝大多数核心概念DNS解析、TCP连接、TLS握手、HTTP请求、数据抓包、缓存、Cookie、CDN调度。把这个过程完整走一遍比背十遍协议定义有用得多。这是我自己带新人时最常用的一个教学路径也是我自己排查问题时的基准线。3.1 DNS解析的真实流程缓存优先级比想象中更重要输入www.example.com后浏览器做的第一件事是解析这个域名对应的IP地址。完整的DNS解析顺序是浏览器缓存 → 操作系统缓存 → 本地hosts文件 → 本地DNS服务器递归查询 → 根DNS服务器 → 顶级域名服务器 → 权威DNS服务器。这里有经验的人不会一上来就抓包而是先逐级排查缓存。我遇到过很多次别人能访问我访问不了的问题最后发现是本地hosts被写入了错误的映射或者操作系统DNS缓存过期了没有刷新。Windows下用ipconfig /flushdnsLinux下可以重启systemd-resolved或用nscd清理缓存。在排查域名解析问题时先确认缓存清理手段有没有用再去怀疑DNS服务器效率会高很多。还有一个很多人会忽略的点DNS解析不只有A记录还有AAAA记录、CNAME、MX、TXT等。如果你查一个域名查不到A记录先看看CNAME有没有指向别的域名如果是发邮件失败查的是MX记录而不是A记录。我在线下交流时发现不少初级工程师对域名解析的理解仅限于A记录IP地址稍微复杂一点的解析链路就走不通了。3.2 TCP连接、TLS握手、HTTP请求的协同过程拿到IP地址之后浏览器开始建立TCP连接三次握手。如果是HTTPS页面TCP建立之后还会进行TLS握手协商加密密钥然后才发送HTTP请求。这个过程在抓包里看非常清晰先是三次握手的SYN、SYN-ACK、ACK然后是Client Hello、Server Hello、证书交换、密钥交换最后才是HTTP的GET请求和响应。理解这个顺序对性能调优特别有用。比如你发现一个页面加载特别慢把时间拆开看DNS解析用了多少毫秒、TCP建连多少毫秒、TLS握手多少毫秒、服务端处理请求多少毫秒、响应传输多少毫秒。瓶颈在哪个阶段就针对哪个阶段优化DNS慢就上缓存或优化DNS供应商TCP慢就检查链路质量TLS慢就考虑会话复用服务端处理慢那就是后端问题。没有这个分解能力你只会笼统地说网站很卡根本无从下手。这里我想提一个性能优化里常见的技巧TLS握手比TCP握手多一个RTT往返时间在弱网环境下这个成本非常明显。开启TLS会话复用session resumption可以跳过部分握手过程把建连时间砍掉一截。很多框架默认支持这个特性但有些人不知道它生效的前提——客户端和服务端都开启并且会话票据的过期时间不能配得太短。细节决定成败这就是一例。3.3 这条链路里最容易出问题的三个环节第一个环节是DNS解析污染或劫持。这次解析结果和上次不一致或者解析到一个明显不相关的IP在公共网络里不算罕见。解决方案包括使用可信的DNS服务器、开启DNS over HTTPSDoH。第二个环节是中间链路丢包。TCP重传率一高页面加载必然变慢排查方式是用mtr或traceroute看看是哪一跳的延迟和丢包率异常。第三个环节是服务端并发瓶颈。全连接队列溢出、线程池耗尽、数据库慢查询都会表现为请求进来了但没有响应。这三个环节对应的是网络层、传输层和应用层的问题恰好又是一个分层模型的实战映射。我把它们放在一起说是因为很多人排查问题时喜欢从代码入手实际上页面打不开这类问题大约有一半的概率根子不在代码而在这些底层环节。先确认网络链路没问题再去看应用这个顺序能让排错效率高一个数量级。4. HTTP状态码与缓存机制前端后端都要懂的协作协议HTTP协议是应用层里打交道最多的协议前端要懂后端要懂运维也要懂。但这部分的知识点太碎状态码一堆、头字段一堆、缓存规则一堆很多人只记住了200和404就以为够了。实际上真正到排查线上问题和做性能优化的时候状态码和缓存机制是最常用的工具之一。4.1 状态码背后对应的是问题现场HTTP状态码按大类区分2xx成功、3xx重定向、4xx客户端错误、5xx服务端错误。但在真实世界里状态码没那么简单。比如401和403的含义经常被混淆——401是未认证你需要登录403是认证通过但没权限你登录了也不能访问。还有204 No Content表示请求成功但没有响应体305已经被弃用307和308都是重定向但语义有细微差别。这些细节在接口联调时踩坑特别多。我把工作中最常用的几个状态码场景整理一下。502 Bad Gateway表示网关或代理收到上游的无效响应常见原因是后端服务崩溃或超时503 Service Unavailable表示服务暂时不可用通常是因为过载或维护中504 Gateway Timeout表示网关等待上游响应超时。502和504的区别在于502是上游给了坏响应504是上游根本没在超时时间内给响应。很多人在报警群里看到这些状态码就慌乱其实只要明白背后对应的网络环节定位方向就清晰了。比较冷门但值得了解的是状态码与重试策略的关系。对于5xx错误很多客户端会自动重试但你得知道不是所有5xx都适合无条件重试——503如果带了Retry-After头应该按它的时间重试502通常可以重试但如果后端正在重启重试只会加速压垮它。这些判断在设计和排查分布式系统时非常有用。4.2 浏览器缓存的判断链路强缓存和协商缓存的区别HTTP缓存是我觉得很多人听过但没真正理解的知识点之一。缓存分为强缓存和协商缓存。强缓存的意思是浏览器直接用本地缓存不发请求对应Cache-Control: max-agexxx或Expires协商缓存的意思是浏览器先发一个请求问服务器我用缓存行不行服务器回答可以用就返回304回答不行就返回200和新数据对应Last-Modified/ETag头。排查缓存问题时我最常做的一件事是看浏览器开发者工具里的请求头和响应头。如果一个静态资源明明改了版本客户端却还在用旧文件十有八九是强缓存时间配得太长或者文件名的hash没有变。传统的解决方案是给文件名加内容hash——每次文件内容变文件名就变强缓存可以放心开得很长。这个思路现在已经成为前端构建工具的标准做法但它的底层逻辑就是HTTP缓存的知识点。关于协商缓存还有一个常见误区很多人以为304就是没有更新的意思其实304也可以理解为服务器确认你本地的版本是最新的所以响应体就不用重复传了。它省的是传输成本不是处理成本——服务器还是收到了请求、判断了ETag、返回了状态码。所以如果你的页面每次打开都发起一堆304请求说明缓存策略没有做到极致真正常态的静态资源应该命中强缓存一个请求都不发。4.3 HTTP/2和HTTP/3对性能的实际影响HTTP/2的核心改进是多路复用、头部压缩和服务端推送。多路复用的意思是一个TCP连接里可以同时发多个请求不再受队头阻塞限制。头部压缩用HPACK把重复的请求头压缩到很小的体积。HTTP/3更进一步把传输层从TCP换成了QUIC基于UDP彻底解决了TCP层队头阻塞的问题——HTTP/2虽然应用层解决了队头阻塞但TCP自己丢失一个包后面的数据还是得等重传这个问题只有换协议才能根除。你在实际项目中启用HTTP/2最直观的感受就是同一时间加载N个静态资源建连时间显著减少但如果某个资源是动态接口HTTP/2的提升没那么明显瓶颈还是在服务端处理耗时。HTTP/3目前依赖CDN和部分浏览器的支持好处是在弱网和移动网络下更稳定。我个人在排查页面加载性能时会先确认站点是否已经启用HTTP/2如果还在HTTP/1.1上跑性能优化空间是巨大的。这里想特别提醒一点启用HTTP/2不是改个配置就完事你要确认自己的服务端和负载均衡器都支持并且客户端也要支持。常见的问题包括旧版库不支持h2、某些中间件对多路复用的资源调度处理不当、连接复用导致的连接数统计异常等。升级协议本身不难难的是升级后对整个生态的影响评估。5. 网络排查实操从ping到tcpdump的完整思路纸上谈兵到此为止接下来是network运维和开发者都跑不掉的实操环节。很多人遇到网络问题就慌其实网络排查是有套路、有命令、有顺序的。我在这一节把自己这些年沉淀下来的排查方法论完整写出来配合一个我实际拆解过的案例希望能给你一个可以直接抄作业的思路。5.1 常规排查手段谁先谁后有讲究我习惯把网络排查的三板斧挨个过一遍ping、telnet、curl。ping测的是连通性和延迟它是基于ICMP协议的能通表示网络层通、路由可达telnet测的是端口通不通如果telnet ip port能建立连接说明传输层的TCP握手成功了curl测的是HTTP层的响应curl -I能拿到响应头curl -v能打印完整的过程包括DNS解析、TCP连接、TLS握手的耗时。这三个工具的顺序不是随便定的它们从下层到上层逐级验证和分层模型一一对应。如果ping不通后面的telnet和curl大概率也通不了问题在网络层及以上如果ping通但telnet不通可能是端口没监听或者防火墙拦截如果telnet通但curl拿不到响应问题在HTTP服务本身。用这个顺序排查你永远不会在链路层还没确认的情况下就去翻应用日志浪费时间。不过我要提醒几个trapping不通不代表一定不通因为很多服务器的防火墙会过滤ICMP报文但不影响TCP数据正常传输telnet工具现在很多系统默认不装可以用nc -zv ip port替代curl -v看的是HTTP请求过程别拿它来测非HTTP协议。工具有限思路对齐才是关键。5.2 一个真实的连接超时案例完整排查链路还原有一次线上的某服务反馈外部接口调用超时错误率明显上升。我先把所有超时请求的时间分布拉出来看发现问题集中出现在每分钟的某个峰值时段。这个线索说明不是突发事故而是某个周期性任务触发的。顺着时间线我看到高峰期正好是另一个批量任务运行的时间段第一个猜测是这个任务抢占了系统资源。但我没有停在这个猜测上。我接着用ss -s查看系统连接状态发现TIME_WAIT数量比平时多出好几倍然后抓包看那个失败接口的TCP连接过程——发现SYN包发出去之后迟迟没有收到对端的SYN-ACK。这说明问题不在我们服务器端而对端根本没有响应。我再用curl -v测试相同接口发现偶尔能通但延迟极高。综合这些信息我判断是批量任务在那段时间产生了大量的出站请求打满了系统可用的本地端口资源导致正常的业务请求没有可用端口发送SYN。修复方案有两步第一步是给批量任务重用连接改成连接池模式第二步是把系统net.ipv4.ip_local_port_range的范围调大并开启net.ipv4.tcp_tw_reuse仅对发起方有效。改完后再看监控超时率直接归零。这个案例最值得记的不是修复方案本身而是排查链路先看时间分布锁定规律再看连接状态缩小范围然后抓包精确到TCP收发过程最后定位到端口资源。每一步都有明确的方向而不是靠猜。5.3 抓包工具的正确用法wireshark和tcpdump抓包是最有说服力的排查手段但很多人要么不会用要么一抓一大片不知道看什么。我的经验是先有的放矢再抓包。明确你要验证什么假设比如连接没有建立成功重传率很高HTTP响应超时然后针对这个假设设计抓包过滤条件否则海量报文只会让你更迷茫。tcpdump常用参数先记几个-i any抓所有网卡host x.x.x.x按IP过滤port 8080按端口过滤tcp只看TCP报文-w file.pcap保存文件供wireshark分析。线上环境不建议长时间抓包通常抓个几十秒到几分钟把问题复现出来就够了。抓到包之后看关键信息TCP三次握手有没有完成如果没有卡在SYN_SENT还是SYN_RECV有没有TCP重传重传的报文是哪些间隔如何有没有RST包是谁发的对应什么操作。wireshark有一项非常好用的能力是统计菜单下的TCP流图和往返时间分析。流图可以把整个TCP交互过程可视化你能一眼看到哪个阶段卡住了往返时间图可以看延迟分布判断是否存在拥塞。我在分析慢请求时几乎每次都先用这两个功能扫一遍通常十几秒就能定位问题方向。5.4 把排查思路固化成自己的检查清单我后来把网络排查经验整理成了一个简单的检查清单每次遇到网络问题就按顺序过一遍。这个清单不是标准答案但它能保证你不会抓瞎先确认问题范围单用户还是全站单接口还是全部再看监控指标延迟、错误率、重传率、队列溢出然后逐层验证ping→telnet→curl→应用日志最后抓包分析如果前面没定位的话。每一层都能排除一个范围走到下一层时问题空间越来越小。排查过程的记录也很重要。我习惯把每次排查的时间点、假设、验证结果简单记在工单里哪怕结论最后是没有发现问题也要记。因为很多棘手问题不是一次就能复现的你记录的信息越多下一次遇到同类问题时定位越快。这不算计网知识点本身但它是把知识用起来的放大器。最后聊聊我踩过的坑写这篇东西的时候我脑子里过了一圈这些年处理过的网络问题。如果要提炼几条最容易踩、又最容易被忽视的经验大概是这几条第一不管现象多离谱先按分层模型缩小范围不要一上来就怀疑代码逻辑第二连接异常先看状态统计不要急着改业务代码第三抓包之前先想清楚自己在验证什么假设否则抓到的只是一堆噪音第四缓存和DNS这两个环节出现的玄学问题往往最后发现都是配置或过期导致。计网知识点真正内化之后不是你能默写多少协议字段而是你遇到页面打不开接口超时视频卡顿这些问题时脑子里会自然浮现出一条从物理链路到应用层的链路图然后顺着链路一层层往下找。这个思维方式才是这些知识点真正值钱的地方。希望这篇文章能在你形成这种思维方式的过程中帮你省掉一些弯路。