讲个真实段子。有次线上排查一个“死活连不上数据库”的问题应用日志里IP地址、端口全对安全组也放通了抓包一看ARP请求一直在广播但就是没人应答。折腾半天才发现是那台数据库服务器的MAC地址被人为改过交换机上动态ARP表项一直没刷新。你说这算网络编程问题还是运维问题其实都算。IP和MAC这层东西看着是八股文可真到了排障、写socket、调协议栈的时候它就是你躲不过去的地基。这个系列的第五篇我打算把这俩货彻底掰开揉碎讲清楚顺带把Linux下的查配置、改配置、抓包验证的实操一并带上。这篇文章适合刚接触Linux网络编程的开发者也适合那些能写业务代码但对底层转发一脸懵的运维和测试。我会从IP和MAC的本质区别讲起穿插ARP协议的工作原理再落回Linux命令行和socket编程里的具体用法。看完之后你再遇到“同一网段ping不通”或“跨网段通但丢包”这类问题脑子里会有一条清晰的排查链路而不是瞎试。1. 整体设计思路为什么非要把IP和MAC放在一起讲网络编程这个系列写到现在第二条链路是TCP/IP协议栈。但协议栈不是凭空跑的数据包在网线上跑的时候本质是在一堆MAC地址之间跳来跳去。很多人写socket代码时只关心IP和端口觉得MAC是网卡的事跟业务无关。这个认知在“单机自测”阶段确实没问题但一旦涉及多机联调、容器网络、虚拟化、交换机组网MAC层就会跳出来给你上一课。IP和MAC放在一起讲核心是要解决一个认知错位IP地址是逻辑地址MAC地址是物理地址。逻辑地址负责“这条数据要去哪”物理地址负责“下一跳交给谁”。两者之间靠ARP协议建立映射。把这个模型在脑子里立住后面无论看路由表、抓包分析还是排查网络抖动都不会跑偏。设计这篇文章时我给自己定了三条主线本质拆解IP和MAC各自是什么、长什么样、生命周期如何。搞清楚之后很多“为什么”就自然有答案了。协作机制ARP协议是怎么把逻辑地址翻译成物理地址的广播、缓存、老化、冲突检测这些细节决定了网络的稳定性。Linux实操用ip命令、抓包工具、socket接口把这套理论落到键盘上能看、能查、能改。整体篇幅偏长但每段都可以独立参考。你完全可以直接跳到第五节看排障思路但建议从头过一遍很多排查技巧的原理就在前几节里。1.1 从地址的本质说起IP地址IPv4是32位写成点分十进制比如192.168.1.100。它代表的是“这台机器在当前网络里的逻辑位置”。逻辑位置是可以变的——你把这个IP配到另一台机器上它就在另一台机器上了。路由器转发数据时看的就是这个IP所以它要全球或至少局域网内唯一。MAC地址48位十六进制写成六段比如00:1a:2b:3c:4d:5e。它出厂烧在网卡ROM里理论上全球唯一代表的是“这块网卡的物理身份”。交换机转发二层帧时看的是MAC地址。这里有个细节很多人忽略MAC地址虽然出厂唯一但操作系统层面可以改这就引出了“MAC欺骗”和“MAC漂移”之类的问题。实际项目中我们改MAC的场景主要是克隆软路由、绕过某些网络准入限制、或者测试。打个比方。你把快递寄给一个人收件地址是“北京市朝阳区某某大厦12层1206室”这个地址就相当于IP地址它描述了目标的位置。而“某某大厦”这栋楼本身的经纬度坐标就相当于MAC地址它在物理上是固定的。快递到了大厦门口门卫得按具体房间号派送这就是IP到MAC的翻译过程。你搬家了收件地址变了但你人还是那个人——对应到网络里IP变了MAC没变。1.2 为什么三层转发看IP二层转发看MAC这是很多新手卡住的地方。一个IP数据包从A机器发往B机器如果两台机器在同一网段数据链路层直接封装目标MAC就是B机器的MAC源MAC是A机器的MAC。整个过程中IP不变MAC就是通信双发的真实网卡地址。如果A和B跨网段情况就变了。A要把包发给默认网关路由器的接口IP所以数据链路层封装的目标MAC是网关的MAC源MAC是A的MAC。路由器收到后解开二层头看三层IP发现目标不是自己查路由表决定从哪个接口转发出去。转发时重新封装二层头源MAC变成出接口的MAC目标MAC变成下一跳设备的MAC。IP层始终没动MAC每一跳都在变。所以你会发现在中间链路上抓包永远看不到最原始那台主机的MAC只能看到相邻设备的MAC。这就是“三层路由逐跳转发二层寻址逐跳更换”的核心逻辑。面试时如果被问“TCP/IP模型里数据包怎么封装和解封装”本质就是在考这个。2. 核心细节解析IP与MAC在数据链路层的样子这节我们看一些硬核细节。IP和MAC的协作说起来简单但落实到具体的报文格式和协议行为上有很多值得注意的坑。我不会把RFC从头念一遍只挑编程和排障中最常遇到的几个点。2.1 IP报文头里到底藏了哪些关键信息IPv4报文头标准长度20字节包含版本号、头长度、服务类型、总长度、标识、标志、片偏移、TTL、协议号、校验和、源IP、目标IP。编程中常用的几个字段TTL防止无限循环、协议号TCP是6UDP是17、总长度IP头载荷。抓包时你可能会看到IP分片。如果一个TCP报文段超过MTU以太网通常是1500字节IP层会把它拆成多片传输。分片相关的字段标识和片偏移就起作用了。实际项目中遇到“ping大包通、普通业务不通”时多半和分片有关比如路径MTU发现失效、某些中间设备丢弃了带DF标志的大包。写socket代码时你真正操作到IP头的场景其实不多通常是由内核协议栈帮你填充。但如果用原始套接字SOCK_RAW做Ping或自定义协议就得自己手工构造IP头。我见过不少人在这上面栽跟头字节序搞错、校验和算错、TTL填了0导致构造出来的包发出去没反应。2.2 MAC地址与ARP报文格式以太网帧头14字节目标MAC6字节、源MAC6字节、类型2字节。类型字段0x0800表示上层是IPv4报文0x0806表示上层是ARP报文。ARP报文有固定格式总共28字节。核心字段包括硬件类型1表示以太网、协议类型0x0800表示IP、硬件地址长度6、协议地址长度4、操作码1是请求2是应答、发送方MAC、发送方IP、目标MAC、目标IP。注意ARP请求里目标MAC填的是全0广播发出去等真正持有这个IP的机器来应答。抓包时看到ARP报文很多人都不会看细节。其实只要抓住一对映射关系就行发送方MAC与发送方IP这是数据来源目标IP这是要找谁。应答包再把目标MAC补上源和目的对调整个“问路”和“应答”就闭环了。2.3 免费ARP与IP冲突检测免费ARPGratuitous ARP是一种特殊的ARP请求发送方IP和目标IP都填自己。它不是在问路而是在“宣告”——我用了这个IP我的MAC是这个谁也别抢。开机配置IP时网卡一般都会发一个免费ARP。如果有人回应说明局域网内已有一个相同IP的机器冲突就发生了。排障时这个机制很有用。如果你怀疑某台机器IP冲突可以在目标机器上tcpdump抓ARP包或者用arping去探测。arping 192.168.1.100能收到多个MAC的应答那说明IP冲突实锤了。后面第五节我会写具体命令实战。3. Linux环境下的地址管理与配置实操理论讲完该上手了。Linux下管理IP和MAC的工具老一代是ifconfig和arp新一代是ip命令iproute2套件。我的建议是早学会用ip命令ifconfig早晚要被淘汰而且它显示的信息不如ip命令全面。但就算用ip命令也不妨碍你抓包验证因为真正的数据面行为在协议栈里工具只是让你看到状态。3.1 查看IP、MAC、ARP表的核心命令查看所有网卡接口及IP地址ip addr show这个命令输出里每个接口下面会列一行“link/ether”开头的那是MAC地址下面“inet”开头的是IPv4地址后面跟着子网掩码前缀长度。比如inet 192.168.1.100/24表示IP是192.168.1.100子网掩码是255.255.255.0。查看ARP缓存表ip neigh show每一行表示一个邻居条目格式类似192.168.1.1 dev eth0 lladdr 00:11:22:33:44:55 REACHABLE。lladdr就是对应的MAC地址状态有REACHABLE、STALE、DELAY、FAILED等。如果状态一直是FAILED说明ARP解析失败要么对方不在线要么广播被隔离了。3.2 修改IP地址与MAC地址的实操流程临时改IP重启后失效sudo ip addr add 192.168.1.100/24 dev eth0 sudo ip addr del 192.168.1.99/24 dev eth0注意先删除旧IP再添加新IP避免出现两个IP同时在网卡上的状态。生产服务器改IP前一定要确认SSH连接不会断最好是本地控制台操作或者用带外管理。修改MAC地址需要先让网卡down再upsudo ip link set dev eth0 down sudo ip link set dev eth0 address 00:11:22:33:44:55 sudo ip link set dev eth0 up改完MAC后原来基于旧MAC建立的网络连接会全部失效ARP表也要清一下。如果你在物理服务器上这么干务必确认机房接入层交换机没有做端口安全策略否则交换机可能直接shutdown端口那你连上去都费劲了。3.3 静态ARP条目与网关MAC绑定正常情况下ARP表是动态学习和过期刷新的但有些场景需要静态绑定。比如网关MAC偶尔会变换了路由器而你的机器还持有旧MAC会导致“外网通但很卡偶尔断流”。这时候可以绑定网关的IP和MACsudo ip neigh replace 192.168.1.1 lladdr 00:11:22:33:44:55 dev eth0 nud permanentnud permanent表示永久生效不老化。反向操作把静态条目删掉sudo ip neigh del 192.168.1.1 dev eth0这条命令我非常推荐记下来。之前做过一次网关割接新网关的MAC地址换了现场十几台服务器全部外网异常就是靠这个命令批量把旧ARP表清掉再触发重新学习解决的。当然更好的做法是让网关主动发免费ARP来更新大家但不是所有设备都会这么做。4. socket编程中的IP与MAC实践这部分回到程序员的视角。很多做应用开发的人从来没在代码里接触过MAC地址但如果你想做MAC地址白名单、设备发现、局域网探测或者只是好奇自己的程序发出的包长什么样下面这些内容就有用了。4.1 获取本机IP和MAC的几种方法C语言里最传统的方法是用ioctl配合SIOCGIFADDR和SIOCGIFHWADDR遍历网卡列表逐个拿到IP和MAC。代码不算长但依赖struct ifreq和ioctl写起来有一定年代感。比较现代一点的做法是用getifaddrs()它能一次性返回所有网卡的所有地址信息包括AF_INETIPv4和AF_PACKETMAC地址。优点是可移植性好在多平台都能用代码也更简洁。下面给一个核心片段#include arpa/inet.h #include ifaddrs.h #include netinet/in.h #include stdio.h #include string.h #include sys/socket.h #include net/if.h void print_ip_mac() { struct ifaddrs *ifaddr, *ifa; if (getifaddrs(ifaddr) -1) { perror(getifaddrs); return; } for (ifa ifaddr; ifa ! NULL; ifa ifa-ifa_next) { if (ifa-ifa_addr NULL) continue; if (ifa-ifa_addr-sa_family AF_INET) { char ip[INET_ADDRSTRLEN]; struct sockaddr_in *sin (struct sockaddr_in *)ifa-ifa_addr; inet_ntop(AF_INET, sin-sin_addr, ip, sizeof(ip)); printf(if%s IP%s\n, ifa-ifa_name, ip); } else if (ifa-ifa_addr-sa_family AF_PACKET) { struct sockaddr_ll *sll (struct sockaddr_ll *)ifa-ifa_addr; unsigned char *mac sll-sll_addr; printf(if%s MAC%02x:%02x:%02x:%02x:%02x:%02x\n, ifa-ifa_name, mac[0], mac[1], mac[2], mac[3], mac[4], mac[5]); } } freeifaddrs(ifaddr); }注意AF_PACKET不是所有平台都有Windows下对应的是不同机制。写跨平台工具时建议包一层条件编译。这段代码在Linux上编译运行输出每个网卡的IP和MAC对排查“我到底哪块网卡在用”这类问题非常直观。4.2 绑定源IP与ARP的关系写TCP/UDP客户端时内核会在connect()或sendto()之前自动做完路由选择和ARP解析。你可以显式绑定源IPstruct sockaddr_in local; local.sin_family AF_INET; local.sin_addr.s_addr inet_addr(192.168.1.100); local.sin_port 0; bind(fd, (struct sockaddr *)local, sizeof(local));绑定了源IP内核填IP头时就用这个IP同时ARP解析也是从这个IP作为发送方发出的。有个坑如果你绑定了一个本机不存在的IP发送时ARP请求源IP就是你虚拟的那个地址别人应答不应答还另说路由表也不一定认。所以bind之前请确认这个IP确实配在了某块网卡上。4.3 抓包理解connect是一个动作直接用tcpdump验证一下当你的程序connect()一个对端IP时以太网层面发生了什么sudo tcpdump -i eth0 -nn -e arp or host 192.168.1.200-nn表示不解析域名和端口-e显示MAC地址arp or host表示只抓ARP包或与此IP相关的包。你会看到先是ARP广播询问谁有192.168.1.200然后得到ARP单播应答再接着是TCP SYN包。整个过程正好把前面讲的IP/MAC协作串起来了。5. 常见问题排查与心得实录这节整理了我实际工作中踩过的一些坑以及对应排查手段。配一张思路清晰的流程图会很有帮助但我们用文字把它讲清楚。5.1 IP冲突排查实操IP冲突最典型的现象是“网络时通时断有时候ping得通有时候ping不通”。原因是两台机器用了同一个IPARP表在两者之间反复横跳。排查步骤先看冲突机器的ARP表ip neigh show如果同一个IP对应了不止一个MAC基本可以确定冲突。在网关上抓ARP广播tcpdump -i eth0 arp看有没有对同一个源IP出现不同源MAC的应答。用arping主动探测arping -I eth0 -c 3 192.168.1.100如果收到多个不同的MAC应答冲突就是事实了。处理办法把其中一台机器的IP改掉如果冲突源是某台设备开机自动获取的IP检查DHCP服务器地址池是否分配重叠。5.2 ARP表污染与网关丢包还有一个高频故障跨网段网络不通但局域网内正常。这类问题十有八九和网关ARP有关。思路是ping网关IP看通不通通的话再ping网关MAC是否被正确解析ip neigh show 192.168.1.1看条目状态。如果条目是FAILED说明ARP解析失败如果是STALE且MAC不对把条目删了重新触发解析。导致ARP表污染的原因也多样有人的机器手动指定了网关IP但MAC写错了某些设备开启了ARP欺骗防护拒绝应答非本机的ARP请求甚至有人拿测试工具伪造ARP包。安全考虑生产环境建议开启交换机的动态ARP检测DAI或DHCP Snooping否则这种问内网的问题会浪费大量时间。5.3 跨网段通、同网段不通的诡异情况有一个很怪的案例A和B同网段A能上网B能上网但A ping不通B。抓包发现B的MAC地址永远不对后来才发现B机器上装了虚拟网卡软件把物理网卡的MAC地址改了而A的ARP表缓存了旧MAC。这个案例的教训是排查网络问题时不要只盯着IP先确认对端设备的真实MAC再确认ARP缓存是否一致。再扩展一个场景如果交换机端口做了MAC地址绑定比如802.1X或端口安全你手动改了MAC之后可能导致直接断网。所以改MAC之前先看看你的网络环境允不允许别自己把自己坑了。5.4 我的排障顺序清单根据经验遇到“网络不通”我会按下面这个顺序走一遍ping 127.0.0.1确认本机协议栈正常。ip addr show确认IP、掩码、网卡状态UP还是DOWN有没有RUNNING标志。ping 网关IP确认二层转发是否OK。ip neigh show确认网关MAC是否解析成功。ping 对端IP如果同网段不走网关跨网段走网关再逐层对比。最后才考虑用tcpdump抓包定位是不是有ARP、路由、防火墙层面的问题。这套顺序看起来朴素但真能解决八成网络疑难杂症。很多人一上来就抓包反而容易被无关流量干扰。最后再分享一个小经验排查网络问题的时候尽量别同时改多个变量。比如又改IP又改MAC又刷新ARP表出了问题根本定位不到是哪一个步骤导致的。一次只改一个观察结果确认没问题了再动下一个。这套思路不光用于网络排任何系统问题都适用。