你们搞网络的人应该都遇到过这种场面面试官问“TCP和IP有什么区别”或者刚入行的同事拿着抓包软件问我“这两个包到底谁是谁”。TCP/IP这个叫法太顺口了顺到很多人默认它们是同一个东西或者觉得TCP是IP的升级版。但实际上这俩是分工完全不同的两个协议一个管传输一个管寻路只是因为在TCP/IP协议族里配合得最紧密才总被绑在一起说。这篇文章我就从一个常年跟网络打交道的人的角度把TCP和IP的异同掰开揉碎讲清楚。不整那些教科书式的定义堆砌就讲它们各自到底负责什么、哪些地方长得像、哪些地方根本是两路人、以及排障的时候怎么靠这个区分快速定位问题。适合刚入门网络的学生、写业务代码但老被网络问题折磨的后端开发还有那些天天跟交换机路由器打交道但没系统捋过协议栈的运维兄弟。1. 先搞清楚各自的位置TCP和IP在协议栈里各管哪一段1.1 为什么总是“TCP/IP”连在一起叫这事得从协议分层说起。咱们平时说的网络通信本质上是两台设备之间把数据从A点搬到B点。但“搬数据”这件事太复杂了涉及到物理信号、寻址、路由、可靠传输、应用语义等等一堆问题所以协议栈把整个流程拆成了好几层每一层只管自己那一摊事上下层之间通过标准接口对接。TCP/IP协议族最经典的分法是四层应用层、传输层、网络层、网络接口层。TCP工作在传输层IP工作在网络层这俩刚好是中间的两层也是整个协议栈的灵魂。应用层不管你的数据怎么走网络接口层不管你的数据是谁的真正干活的、决定数据能不能到、到了对不对的就是中间的TCP和IP。所以TCP/IP这个叫法不是随便拼的它代表了整个互联网通信最核心的两块拼图IP解决“怎么找到对方”TCP解决“怎么可靠地把话说清楚”。少了任何一个互联网都跑不起来。1.2 TCP是传输层的“快递公司”TCP全称是传输控制协议Transmission Control Protocol它的活儿可以用一句话概括保证数据从一端进程可靠地送到另一端进程。什么叫“进程到进程”就是你的浏览器跟远程的Web服务器之间那个具体的应用对话。IP只管把数据包送到那台服务器但服务器上跑着Web服务、邮件服务、SSH服务那么多东西数据到了之后给谁TCP用端口号解决了这个问题。HTTP走80/443SSH走22SMTP走25端口就是进程的“门牌号”。TCP还干了一堆保证可靠性的脏活累活把应用层的数据拆成合适的段segment、给每个段编号、发出去之后等对方确认、没确认就重传、接收方要按序号重组、还要做流量控制和拥塞控制防止把网络或者对端打死。你可以把TCP理解成一家“保价快递”寄件要签收、丢件要补发、顺序乱了要重排、路上太堵要绕行。1.3 IP是网络层的“交通调度”IP全称是网际协议Internet Protocol它的活儿是把数据包从源地址送到目的地址中间跨越一个或多个网络。IP不管你的数据是谁的、内容是什么、丢了要不要补它只关心一件事——这个包该往哪个方向送。它给每个设备分配IP地址做标识根据路由表决定下一跳转发到哪中间路由器只认“目的IP地址”这个信息做完转发决策就撒手不管。所以IP更像邮政的普通平邮系统信封上写好收件地址投入邮筒接下来交给一个个中转站接力送中间丢了邮局不负责到了也不给你回执。正因为它“尽力而为”才能做到轻量、快速、无状态让全球几十亿台设备能在一个统一地址体系下互相寻址。2. 相同之处凭什么说它们是一家人2.1 同一个协议族同一套分层哲学TCP和IP最大的共同点就是它们同属TCP/IP协议族遵循同一套设计思想。这套思想的核心是每一层只做自己的事层与层之间通过标准格式的头部字段通信上层的数据交给下层去封装下层的数据到达后再剥出来交给上层。拿数据封装来说应用层产生数据后TCP会给它加上TCP头部包含源端口、目的端口、序号、确认号等然后整个丢给IP层IP层再在前面加上IP头部包含源IP、目的IP、TTL、协议号等最后通过网卡发出去。接收端收到后一层层剥掉头部IP先看目的IP是不是自己是的话把载荷交给TCPTCP再根据端口号找到对应的应用进程。这种“各层加头、逐层解头”的机制让TCP和IP在设计上是一套互相咬合的齿轮。TCP头部里有个字段叫“协议号”IP头部里也有一个字段标识上层协议是TCP还是UDP——两层的头部设计是互相配套的这是它们同为协议族成员的直接证据。2.2 都以“报文/数据报”为单位头部设计思路一致TCP处理的基本单位叫分段segmentIP处理的基本单位叫数据报datagram虽然名字不同但本质上都是“头部载荷”的结构。而且两者的头部都由固定部分和可选部分组成固定部分都是20字节起步字段都是按位对齐的二进制格式讲究的是解析效率。这种设计背后有一个共通逻辑路由器、协议栈在海量数据流里要极快地做判断头部字段的位置和长度必须固定、可预测这样硬件和操作系统才能用最少的计算量完成解析。TCP的20字节固定头部和IP的20字节固定头部都是多年实战沉淀下来的“最优解”没有多余的修饰每一个bit都有用处。2.3 共同的“端到端”思想TCP和IP还有一个容易被忽略的相同点都遵循端到端原则。所谓端到端就是通信的智能功能尽量放在通信的两端源主机和目的主机中间的网络设备路由器、交换机只做必要的、最简单的转发。IP层贯彻这点最明显——路由器不看TCP端口号更不看应用数据内容只看目的IP做逐跳转发。TCP也一样它的确认、重传、排序、流量控制全部发生在两端主机上中间任何一台路由器都不知道也不关心TCP有没有重传。正是这种“中间傻、两头聪明”的设计才让互联网能无限扩展因为中间设备越简单异构网络互相连通的门槛就越低。3. 核心差异逐个拆一张表记住再往深里讲3.1 工作层次、寻址方式、可靠性的根本不同先把最关键的差异列成一张对照表后面每一行我都会展开讲。对比维度TCPIP工作层传输层网络层寻址单位端口号标识进程IP地址标识主机/网卡是否面向连接面向连接需三次握手无连接直接发包可靠性可靠确认重传排序尽力而为不保证送达传输方式字节流数据报流量控制有滑动窗口无拥塞控制有慢启动/拥塞避免无头部来源TCP头部IP头部中断恢复连接中断可感知丢包不通知3.2 面向连接与无连接三次握手背后的哲学差异TCP是面向连接的协议通信前必须先建立连接。这个连接不是物理线路而是双方在各自系统里记录“会话状态”——对方是谁、发了多少数据、该确认哪些序号、窗口还剩多少。建立连接的过程就是经典的三次握手客户端发SYN服务器回SYNACK客户端再回ACK。三次的目的很明确双方都要确认“我能发给你、你也能发给我”并且同步初始序号为后面的可靠传输打地基。IP则是无连接的它连“对方是否存在”都不在乎。你ping一个不存在的IPIP层照样把ICMP包发出去只是没有回应而已。路由器的转发表也是无状态的——每个包进来查表、转发、忘记不维护任何会话记录。这个差异在故障场景里特别明显TCP连接断了双方能感知到超时重传、RST但IP地址换了、路由断了IP层自己不会主动通知任何人只有靠上层协议的心跳或者超时才能发现。3.3 可靠与尽力而为确认、重传、有序和“丢了不管”TCP的可靠性靠一整套机制背书每个发送的字节都有序号接收方用确认号告诉发送方“我收到哪了”发送方用超时重传处理丢失的段接收方用缓冲区把乱序到达的段排好滑动窗口机制控制发送速率免得把对端冲垮。IP对此的态度是我只管尽最大努力把包送到目的地如果中间路由器因为拥塞丢包、因为TTL过期丢弃、因为路由环路找不到出口IP不会有任何补偿动作。这个设计不是偷懒而是有意为之。如果把可靠性放到IP层那么每个路由器都要维护状态、做确认互联网根本不可能有今天的规模和性能。所以IP的“不可靠”恰恰是它最大的优势——它把可靠性这个难题甩给了上层让TCP这样的协议去按需实现。3.4 端口与IP地址一个是“找楼”一个是“找门牌”里的房间IP地址解决的是“哪台设备”的问题端口号解决的是“设备上哪个进程”的问题。用楼来做类比IP地址是楼的门牌号端口是楼里的房间号。一个数据包到了楼门口目的IP还要知道是送给收发室还是总经理办公室目的端口TCP头部里的端口号就是干这个的。所以TCP的头部里有源端口和目的端口两个16位字段IP头部里则是源IP地址和目的IP地址两个32位字段。实际通信中一条TCP连接靠“四元组”唯一标识源IP、源端口、目的IP、目的端口。四元组里两个来自IP层两个来自TCP层缺一个都无法唯一定位一条连接。这也是NAT、负载均衡、连接跟踪这些机制能工作的基础。3.5 头部结构20字节对20字节但审美完全不同两边都是20字节固定头部但字段设计体现了各自的任务差异。IP头部的核心字段包括版本、首部长度、服务类型、总长度、标识、标志、片偏移、TTL、协议号、校验和、源IP、目的IP处处为“路由转发”服务中间路由器改TTL、改校验和就能往下传。TCP头部的核心字段则是源端口、目的端口、序号、确认号、数据偏移、标志位SYN/ACK/FIN/RST/PSH/URG、窗口大小、校验和、紧急指针每一个都在为“可靠传输”服务。这个差异也解释了为什么中间设备对两层头部的处理权限不一样。路由器会修改IP头部TTL减一、重新计算校验和但绝不会去动TCP头部——动了就把端到端的语义破坏了。抓包的时候你看一眼头部字段就能判断这是哪个层的报文有端口号、序号、确认号的就是TCP有TTL、协议号、IP地址的就是IP。3.6 分片与分段名字像机制完全两回事IP有分片机制当数据报超过出口链路MTU最大传输单元时路由器会把数据报拆成多个分片每个分片都带IP头部到目的端再重组。TCP有分段机制它把应用层数据流按MSS最大报文段长度切成合适的段这个MSS又是由MTU减掉IP头部和TCP头部的长度算出来的。这两个机制容易混淆但方向完全不同。IP分片是“网络层视角的物理限制妥协”——链路传不动那么大就切开TCP分段是“传输层视角的发送策略优化”——在发送端主动控制每个段的大小尽量避免让IP层再去分片。实际工作中如果TCP的MSS配置不合理比如开了TCP MSS clamping但没跟MTU对应上就会导致大包被IP层分片而IP分片在现代网络里会引发性能问题和安全问题所以现在很多网络设备甚至直接丢弃带分片的包。理解这层关系遇到“大包不通、小包通”的诡异问题时你就知道往MTU和MSS方向查了。4. 实际配合工作一次HTTP请求里TCP和IP怎么接力4.1 从输入网址到页面打开两层各自干了什么我特别推荐初学者用“一次HTTP请求”来串起TCP和IP的关系因为这是最直观的接力赛。你在浏览器输网址敲回车后先是DNS解析拿到服务器的IP地址——注意这是IP层要用的地址。然后浏览器作为客户端由操作系统协议栈发起TCP连接构造一个SYN报文TCP头部写上源端口随机高位端口和目的端口80或443交给IP层。IP层收到后在前面套上IP头部源IP写本机地址目的IP写服务器的地址再交给网卡发出去。中间经过的每一台路由器只看IP头部的目的地址按路由表一跳跳转发。路由器不关心TCP端口是什么、数据是什么。包到了服务器后IP层先处理目的IP匹配本机地址剥掉IP头部把载荷交给TCP层TCP层检查目的端口找到对应的Web服务进程然后回复SYNACK——这个回包也要带上IP头部才能回到你的电脑。三次握手完成连接建立后面的HTTP请求响应来回全是这套流程TCP负责把HTTP数据切成段、编号、确认IP负责把这些段装进数据报、逐跳送达。4.2 三次握手和四次挥手里IP只是“跑腿的”很多人背得熟三次握手是SYN、SYNACK、ACK但没想过这个流程里IP是什么角色。其实三次握手期间IP层一直在默默跑腿每个握手报文都需要IP头部来寻址和路由但IP完全不知道这些报文是握手报文它眼里只有“目的IP是哪个往哪发”。这在抓包里看得很清楚。你用Wireshark抓一次完整的HTTP访问能看到两层的“对话”叠在一起IP层每一跳的TTL在变TCP层的SEQ/ACK在推进。有个容易让人困惑的点是TCP握手报文本身就携带IP头部所以你在抓包列表里看到的每一条记录既是TCP报文也是IP报文——它们是封装关系不是并列关系。理解了这层封装再看“TCP和IP的区别”就豁然开朗了它们不是竞争关系是上下级关系。4.3 抓包实操教你在Wireshark里区分两类报文我建议你亲手抓一次包感受一下。打开Wireshark选一个网络接口访问任意一个HTTP网站然后停止抓包在过滤器栏输入tcp看到的所有报文都是TCP报文同时也带IP头部。随便点开一条展开IP header那一栏能看到源IP、目的IP、TTL、协议号66就是TCP的编号再展开TCP header那一栏能看到源端口、目的端口、SEQ、ACK、Flags。如果你想只过滤IP层的而不管上层是什么可以用ip想看到底有没有UDP参与用udp一过滤就能看到那些用UDP的DNS请求、QUIC流量它们同样也带着IP头部。这个实操特别能帮你建立“封装”的直觉IP头部永远在外层TCP或UDP头部在内层应用数据在最里面。以后你看到任何网络头部的讨论都能第一时间判断对方说的是哪一层的字段。5. 工作中最常见的坑分不清TCP问题还是IP问题5.1 IP冲突两台设备抢同一个地址IP层的典型故障是IP地址冲突。表现就是某台设备时通时不通甚至整段网络间歇性瘫痪。排查方法我建议先看网关的ARP表也可以用arp -a看本机缓存找到对应IP换了MAC地址的迹象。我在实际排障中遇到过一次很典型的一个办公室的AP管理地址被人手动改成了和打印机一样的IP结果打印机时不时掉线AP也连不上。这种问题如果不懂IP层的地址唯一性原理光去重启打印机一百遍也解决不了。处理IP冲突的正确姿势是找到冲突的两台设备保留一台合法地址另一台改成别的。如果你用的是DHCP环境优先检查有没有人手动配了静态IP落在DHCP地址池里这类问题在企业网里相当常见尤其是那些“懂一点网络”的同事喜欢给自己的电脑设固定IP。5.2 TCP连接建立不了先分清是“路不通”还是“服务没起”遇到“连不上服务器”很多人第一反应是问“IP能不能ping通”。这方向对但不够。ping通只代表IP层通不代表TCP层通——因为ping用的是ICMP协议就算TCP端口没开ICMP照样能通。反过来很多服务器出于安全策略禁ping但HTTP服务是好的。所以我的排查顺序是第一步测IP层连通性ping 目标IP通不通心里有个底第二步测TCP层连通性telnet 目标IP 端口或者用nc -vz 目标IP 端口能连上说明TCP握手成功第三步如果telnet不通再抓包看是根本没回包可能是IP路由问题、回了RST端口没监听或防火墙拒绝、还是发了SYN但没ACK可能被防火墙丢包或TCP协议栈异常。这套顺序能帮你快速把故障分层IP层的问题和TCP层的问题处理手段完全不同。5.3 TCP重传和DUP ACK传输层的“警报器”TCP层最常见的性能警报是重传和重复确认。抓包看到大量TCP Retransmission说明有包丢了或超时了看到大量TCP Dup ACK说明接收方在催“你有一个段我没收到”。很多人一看到这个就怀疑“网络丢包”其实不一定要分两层看。如果是IP层的问题比如链路拥塞、路由器丢包、MTU不匹配那重传是结果不是原因如果是TCP层自身的问题比如窗口设置过小、发送端压力过大、接收端处理不过来那跟IP层关系不大。我在调一个跨机房的同步任务时就遇到过这种情况抓包显示一大片重传但链路质量测试一点问题没有最后定位到是接收端的TCP接收缓冲区设得太小应用层还没来得及读内核就丢包了。这种“看起来像网络问题其实是主机协议栈配置问题”的案例最能说明理解TCP和IP分工的价值——一旦你搞清楚了每个机制属于哪一层排查就不会在原地打转。5.4 一张速查表故障现象和该查哪一层故障现象大概率相关层优先排查方向ping不通、路由不可达、TTL超时IP层路由表、网关、IP地址配置、防火墙策略ping通但TCP端口连不上TCP层/应用层服务是否监听、端口号、防火墙、telnet测试现象是时通时断、间歇性卡顿IP层网络质量 TCP层重传抓包看丢包位置、查ARP、查MTU/分片大量TCP重传但ping很稳TCP层接收窗口、接收端处理能力、中间设备缓存策略大量Dup ACK但吞吐还行TCP层链路质量居中按丢包率判断是否需要优化拥塞控制参数这张表不是万能公式但能让你在最开始的两分钟内不乱。网络排障最怕的就是东敲一下西敲一下先分层再定位至少能保证方向不跑偏。6. 最后聊几句我自己的体会TCP和IP的关系我一直觉得像“写信”和“送信”的配合IP是邮政系统负责把信从一个城市送到另一个城市中间可以经手无数个中转站但不管内容TCP是寄信双方之间的约定比如你说“我写三页纸第三页没收到就再给我寄一次”这个约定只在寄信人和收信人之间生效邮政系统根本不知道你有这个约定。搞懂这层关系之后你再看很多技术问题会有种“通了”的感觉。比如为什么NAT要同时改IP和端口因为IP层负责跨网络寻址TCP层负责进程识别两者都要变才能让内网多台设备共享一个公网IP为什么防火墙经常要同时配IP规则和端口规则因为只拦IP地址挡不住换了IP的攻击者只拦端口又挡不住改变端口的流量——每一层都有自己的安全边界你得都顾到。对我个人来说最大的收获是排障思路的转变。以前遇到“连不上”就一通乱试现在会下意识地先问自己一句“这是路由的问题还是传输的问题”这么一问至少一半的故障能立刻把范围缩小一半。希望这篇东西也能帮你有同样的感觉。下次再有人问你TCP和IP有什么区别你可以不背定义直接拿一次浏览网页的过程把两层分工讲给他听那才是真懂了。
TCP与IP的区别：从传输层到网络层的分工与排障实战
你们搞网络的人应该都遇到过这种场面面试官问“TCP和IP有什么区别”或者刚入行的同事拿着抓包软件问我“这两个包到底谁是谁”。TCP/IP这个叫法太顺口了顺到很多人默认它们是同一个东西或者觉得TCP是IP的升级版。但实际上这俩是分工完全不同的两个协议一个管传输一个管寻路只是因为在TCP/IP协议族里配合得最紧密才总被绑在一起说。这篇文章我就从一个常年跟网络打交道的人的角度把TCP和IP的异同掰开揉碎讲清楚。不整那些教科书式的定义堆砌就讲它们各自到底负责什么、哪些地方长得像、哪些地方根本是两路人、以及排障的时候怎么靠这个区分快速定位问题。适合刚入门网络的学生、写业务代码但老被网络问题折磨的后端开发还有那些天天跟交换机路由器打交道但没系统捋过协议栈的运维兄弟。1. 先搞清楚各自的位置TCP和IP在协议栈里各管哪一段1.1 为什么总是“TCP/IP”连在一起叫这事得从协议分层说起。咱们平时说的网络通信本质上是两台设备之间把数据从A点搬到B点。但“搬数据”这件事太复杂了涉及到物理信号、寻址、路由、可靠传输、应用语义等等一堆问题所以协议栈把整个流程拆成了好几层每一层只管自己那一摊事上下层之间通过标准接口对接。TCP/IP协议族最经典的分法是四层应用层、传输层、网络层、网络接口层。TCP工作在传输层IP工作在网络层这俩刚好是中间的两层也是整个协议栈的灵魂。应用层不管你的数据怎么走网络接口层不管你的数据是谁的真正干活的、决定数据能不能到、到了对不对的就是中间的TCP和IP。所以TCP/IP这个叫法不是随便拼的它代表了整个互联网通信最核心的两块拼图IP解决“怎么找到对方”TCP解决“怎么可靠地把话说清楚”。少了任何一个互联网都跑不起来。1.2 TCP是传输层的“快递公司”TCP全称是传输控制协议Transmission Control Protocol它的活儿可以用一句话概括保证数据从一端进程可靠地送到另一端进程。什么叫“进程到进程”就是你的浏览器跟远程的Web服务器之间那个具体的应用对话。IP只管把数据包送到那台服务器但服务器上跑着Web服务、邮件服务、SSH服务那么多东西数据到了之后给谁TCP用端口号解决了这个问题。HTTP走80/443SSH走22SMTP走25端口就是进程的“门牌号”。TCP还干了一堆保证可靠性的脏活累活把应用层的数据拆成合适的段segment、给每个段编号、发出去之后等对方确认、没确认就重传、接收方要按序号重组、还要做流量控制和拥塞控制防止把网络或者对端打死。你可以把TCP理解成一家“保价快递”寄件要签收、丢件要补发、顺序乱了要重排、路上太堵要绕行。1.3 IP是网络层的“交通调度”IP全称是网际协议Internet Protocol它的活儿是把数据包从源地址送到目的地址中间跨越一个或多个网络。IP不管你的数据是谁的、内容是什么、丢了要不要补它只关心一件事——这个包该往哪个方向送。它给每个设备分配IP地址做标识根据路由表决定下一跳转发到哪中间路由器只认“目的IP地址”这个信息做完转发决策就撒手不管。所以IP更像邮政的普通平邮系统信封上写好收件地址投入邮筒接下来交给一个个中转站接力送中间丢了邮局不负责到了也不给你回执。正因为它“尽力而为”才能做到轻量、快速、无状态让全球几十亿台设备能在一个统一地址体系下互相寻址。2. 相同之处凭什么说它们是一家人2.1 同一个协议族同一套分层哲学TCP和IP最大的共同点就是它们同属TCP/IP协议族遵循同一套设计思想。这套思想的核心是每一层只做自己的事层与层之间通过标准格式的头部字段通信上层的数据交给下层去封装下层的数据到达后再剥出来交给上层。拿数据封装来说应用层产生数据后TCP会给它加上TCP头部包含源端口、目的端口、序号、确认号等然后整个丢给IP层IP层再在前面加上IP头部包含源IP、目的IP、TTL、协议号等最后通过网卡发出去。接收端收到后一层层剥掉头部IP先看目的IP是不是自己是的话把载荷交给TCPTCP再根据端口号找到对应的应用进程。这种“各层加头、逐层解头”的机制让TCP和IP在设计上是一套互相咬合的齿轮。TCP头部里有个字段叫“协议号”IP头部里也有一个字段标识上层协议是TCP还是UDP——两层的头部设计是互相配套的这是它们同为协议族成员的直接证据。2.2 都以“报文/数据报”为单位头部设计思路一致TCP处理的基本单位叫分段segmentIP处理的基本单位叫数据报datagram虽然名字不同但本质上都是“头部载荷”的结构。而且两者的头部都由固定部分和可选部分组成固定部分都是20字节起步字段都是按位对齐的二进制格式讲究的是解析效率。这种设计背后有一个共通逻辑路由器、协议栈在海量数据流里要极快地做判断头部字段的位置和长度必须固定、可预测这样硬件和操作系统才能用最少的计算量完成解析。TCP的20字节固定头部和IP的20字节固定头部都是多年实战沉淀下来的“最优解”没有多余的修饰每一个bit都有用处。2.3 共同的“端到端”思想TCP和IP还有一个容易被忽略的相同点都遵循端到端原则。所谓端到端就是通信的智能功能尽量放在通信的两端源主机和目的主机中间的网络设备路由器、交换机只做必要的、最简单的转发。IP层贯彻这点最明显——路由器不看TCP端口号更不看应用数据内容只看目的IP做逐跳转发。TCP也一样它的确认、重传、排序、流量控制全部发生在两端主机上中间任何一台路由器都不知道也不关心TCP有没有重传。正是这种“中间傻、两头聪明”的设计才让互联网能无限扩展因为中间设备越简单异构网络互相连通的门槛就越低。3. 核心差异逐个拆一张表记住再往深里讲3.1 工作层次、寻址方式、可靠性的根本不同先把最关键的差异列成一张对照表后面每一行我都会展开讲。对比维度TCPIP工作层传输层网络层寻址单位端口号标识进程IP地址标识主机/网卡是否面向连接面向连接需三次握手无连接直接发包可靠性可靠确认重传排序尽力而为不保证送达传输方式字节流数据报流量控制有滑动窗口无拥塞控制有慢启动/拥塞避免无头部来源TCP头部IP头部中断恢复连接中断可感知丢包不通知3.2 面向连接与无连接三次握手背后的哲学差异TCP是面向连接的协议通信前必须先建立连接。这个连接不是物理线路而是双方在各自系统里记录“会话状态”——对方是谁、发了多少数据、该确认哪些序号、窗口还剩多少。建立连接的过程就是经典的三次握手客户端发SYN服务器回SYNACK客户端再回ACK。三次的目的很明确双方都要确认“我能发给你、你也能发给我”并且同步初始序号为后面的可靠传输打地基。IP则是无连接的它连“对方是否存在”都不在乎。你ping一个不存在的IPIP层照样把ICMP包发出去只是没有回应而已。路由器的转发表也是无状态的——每个包进来查表、转发、忘记不维护任何会话记录。这个差异在故障场景里特别明显TCP连接断了双方能感知到超时重传、RST但IP地址换了、路由断了IP层自己不会主动通知任何人只有靠上层协议的心跳或者超时才能发现。3.3 可靠与尽力而为确认、重传、有序和“丢了不管”TCP的可靠性靠一整套机制背书每个发送的字节都有序号接收方用确认号告诉发送方“我收到哪了”发送方用超时重传处理丢失的段接收方用缓冲区把乱序到达的段排好滑动窗口机制控制发送速率免得把对端冲垮。IP对此的态度是我只管尽最大努力把包送到目的地如果中间路由器因为拥塞丢包、因为TTL过期丢弃、因为路由环路找不到出口IP不会有任何补偿动作。这个设计不是偷懒而是有意为之。如果把可靠性放到IP层那么每个路由器都要维护状态、做确认互联网根本不可能有今天的规模和性能。所以IP的“不可靠”恰恰是它最大的优势——它把可靠性这个难题甩给了上层让TCP这样的协议去按需实现。3.4 端口与IP地址一个是“找楼”一个是“找门牌”里的房间IP地址解决的是“哪台设备”的问题端口号解决的是“设备上哪个进程”的问题。用楼来做类比IP地址是楼的门牌号端口是楼里的房间号。一个数据包到了楼门口目的IP还要知道是送给收发室还是总经理办公室目的端口TCP头部里的端口号就是干这个的。所以TCP的头部里有源端口和目的端口两个16位字段IP头部里则是源IP地址和目的IP地址两个32位字段。实际通信中一条TCP连接靠“四元组”唯一标识源IP、源端口、目的IP、目的端口。四元组里两个来自IP层两个来自TCP层缺一个都无法唯一定位一条连接。这也是NAT、负载均衡、连接跟踪这些机制能工作的基础。3.5 头部结构20字节对20字节但审美完全不同两边都是20字节固定头部但字段设计体现了各自的任务差异。IP头部的核心字段包括版本、首部长度、服务类型、总长度、标识、标志、片偏移、TTL、协议号、校验和、源IP、目的IP处处为“路由转发”服务中间路由器改TTL、改校验和就能往下传。TCP头部的核心字段则是源端口、目的端口、序号、确认号、数据偏移、标志位SYN/ACK/FIN/RST/PSH/URG、窗口大小、校验和、紧急指针每一个都在为“可靠传输”服务。这个差异也解释了为什么中间设备对两层头部的处理权限不一样。路由器会修改IP头部TTL减一、重新计算校验和但绝不会去动TCP头部——动了就把端到端的语义破坏了。抓包的时候你看一眼头部字段就能判断这是哪个层的报文有端口号、序号、确认号的就是TCP有TTL、协议号、IP地址的就是IP。3.6 分片与分段名字像机制完全两回事IP有分片机制当数据报超过出口链路MTU最大传输单元时路由器会把数据报拆成多个分片每个分片都带IP头部到目的端再重组。TCP有分段机制它把应用层数据流按MSS最大报文段长度切成合适的段这个MSS又是由MTU减掉IP头部和TCP头部的长度算出来的。这两个机制容易混淆但方向完全不同。IP分片是“网络层视角的物理限制妥协”——链路传不动那么大就切开TCP分段是“传输层视角的发送策略优化”——在发送端主动控制每个段的大小尽量避免让IP层再去分片。实际工作中如果TCP的MSS配置不合理比如开了TCP MSS clamping但没跟MTU对应上就会导致大包被IP层分片而IP分片在现代网络里会引发性能问题和安全问题所以现在很多网络设备甚至直接丢弃带分片的包。理解这层关系遇到“大包不通、小包通”的诡异问题时你就知道往MTU和MSS方向查了。4. 实际配合工作一次HTTP请求里TCP和IP怎么接力4.1 从输入网址到页面打开两层各自干了什么我特别推荐初学者用“一次HTTP请求”来串起TCP和IP的关系因为这是最直观的接力赛。你在浏览器输网址敲回车后先是DNS解析拿到服务器的IP地址——注意这是IP层要用的地址。然后浏览器作为客户端由操作系统协议栈发起TCP连接构造一个SYN报文TCP头部写上源端口随机高位端口和目的端口80或443交给IP层。IP层收到后在前面套上IP头部源IP写本机地址目的IP写服务器的地址再交给网卡发出去。中间经过的每一台路由器只看IP头部的目的地址按路由表一跳跳转发。路由器不关心TCP端口是什么、数据是什么。包到了服务器后IP层先处理目的IP匹配本机地址剥掉IP头部把载荷交给TCP层TCP层检查目的端口找到对应的Web服务进程然后回复SYNACK——这个回包也要带上IP头部才能回到你的电脑。三次握手完成连接建立后面的HTTP请求响应来回全是这套流程TCP负责把HTTP数据切成段、编号、确认IP负责把这些段装进数据报、逐跳送达。4.2 三次握手和四次挥手里IP只是“跑腿的”很多人背得熟三次握手是SYN、SYNACK、ACK但没想过这个流程里IP是什么角色。其实三次握手期间IP层一直在默默跑腿每个握手报文都需要IP头部来寻址和路由但IP完全不知道这些报文是握手报文它眼里只有“目的IP是哪个往哪发”。这在抓包里看得很清楚。你用Wireshark抓一次完整的HTTP访问能看到两层的“对话”叠在一起IP层每一跳的TTL在变TCP层的SEQ/ACK在推进。有个容易让人困惑的点是TCP握手报文本身就携带IP头部所以你在抓包列表里看到的每一条记录既是TCP报文也是IP报文——它们是封装关系不是并列关系。理解了这层封装再看“TCP和IP的区别”就豁然开朗了它们不是竞争关系是上下级关系。4.3 抓包实操教你在Wireshark里区分两类报文我建议你亲手抓一次包感受一下。打开Wireshark选一个网络接口访问任意一个HTTP网站然后停止抓包在过滤器栏输入tcp看到的所有报文都是TCP报文同时也带IP头部。随便点开一条展开IP header那一栏能看到源IP、目的IP、TTL、协议号66就是TCP的编号再展开TCP header那一栏能看到源端口、目的端口、SEQ、ACK、Flags。如果你想只过滤IP层的而不管上层是什么可以用ip想看到底有没有UDP参与用udp一过滤就能看到那些用UDP的DNS请求、QUIC流量它们同样也带着IP头部。这个实操特别能帮你建立“封装”的直觉IP头部永远在外层TCP或UDP头部在内层应用数据在最里面。以后你看到任何网络头部的讨论都能第一时间判断对方说的是哪一层的字段。5. 工作中最常见的坑分不清TCP问题还是IP问题5.1 IP冲突两台设备抢同一个地址IP层的典型故障是IP地址冲突。表现就是某台设备时通时不通甚至整段网络间歇性瘫痪。排查方法我建议先看网关的ARP表也可以用arp -a看本机缓存找到对应IP换了MAC地址的迹象。我在实际排障中遇到过一次很典型的一个办公室的AP管理地址被人手动改成了和打印机一样的IP结果打印机时不时掉线AP也连不上。这种问题如果不懂IP层的地址唯一性原理光去重启打印机一百遍也解决不了。处理IP冲突的正确姿势是找到冲突的两台设备保留一台合法地址另一台改成别的。如果你用的是DHCP环境优先检查有没有人手动配了静态IP落在DHCP地址池里这类问题在企业网里相当常见尤其是那些“懂一点网络”的同事喜欢给自己的电脑设固定IP。5.2 TCP连接建立不了先分清是“路不通”还是“服务没起”遇到“连不上服务器”很多人第一反应是问“IP能不能ping通”。这方向对但不够。ping通只代表IP层通不代表TCP层通——因为ping用的是ICMP协议就算TCP端口没开ICMP照样能通。反过来很多服务器出于安全策略禁ping但HTTP服务是好的。所以我的排查顺序是第一步测IP层连通性ping 目标IP通不通心里有个底第二步测TCP层连通性telnet 目标IP 端口或者用nc -vz 目标IP 端口能连上说明TCP握手成功第三步如果telnet不通再抓包看是根本没回包可能是IP路由问题、回了RST端口没监听或防火墙拒绝、还是发了SYN但没ACK可能被防火墙丢包或TCP协议栈异常。这套顺序能帮你快速把故障分层IP层的问题和TCP层的问题处理手段完全不同。5.3 TCP重传和DUP ACK传输层的“警报器”TCP层最常见的性能警报是重传和重复确认。抓包看到大量TCP Retransmission说明有包丢了或超时了看到大量TCP Dup ACK说明接收方在催“你有一个段我没收到”。很多人一看到这个就怀疑“网络丢包”其实不一定要分两层看。如果是IP层的问题比如链路拥塞、路由器丢包、MTU不匹配那重传是结果不是原因如果是TCP层自身的问题比如窗口设置过小、发送端压力过大、接收端处理不过来那跟IP层关系不大。我在调一个跨机房的同步任务时就遇到过这种情况抓包显示一大片重传但链路质量测试一点问题没有最后定位到是接收端的TCP接收缓冲区设得太小应用层还没来得及读内核就丢包了。这种“看起来像网络问题其实是主机协议栈配置问题”的案例最能说明理解TCP和IP分工的价值——一旦你搞清楚了每个机制属于哪一层排查就不会在原地打转。5.4 一张速查表故障现象和该查哪一层故障现象大概率相关层优先排查方向ping不通、路由不可达、TTL超时IP层路由表、网关、IP地址配置、防火墙策略ping通但TCP端口连不上TCP层/应用层服务是否监听、端口号、防火墙、telnet测试现象是时通时断、间歇性卡顿IP层网络质量 TCP层重传抓包看丢包位置、查ARP、查MTU/分片大量TCP重传但ping很稳TCP层接收窗口、接收端处理能力、中间设备缓存策略大量Dup ACK但吞吐还行TCP层链路质量居中按丢包率判断是否需要优化拥塞控制参数这张表不是万能公式但能让你在最开始的两分钟内不乱。网络排障最怕的就是东敲一下西敲一下先分层再定位至少能保证方向不跑偏。6. 最后聊几句我自己的体会TCP和IP的关系我一直觉得像“写信”和“送信”的配合IP是邮政系统负责把信从一个城市送到另一个城市中间可以经手无数个中转站但不管内容TCP是寄信双方之间的约定比如你说“我写三页纸第三页没收到就再给我寄一次”这个约定只在寄信人和收信人之间生效邮政系统根本不知道你有这个约定。搞懂这层关系之后你再看很多技术问题会有种“通了”的感觉。比如为什么NAT要同时改IP和端口因为IP层负责跨网络寻址TCP层负责进程识别两者都要变才能让内网多台设备共享一个公网IP为什么防火墙经常要同时配IP规则和端口规则因为只拦IP地址挡不住换了IP的攻击者只拦端口又挡不住改变端口的流量——每一层都有自己的安全边界你得都顾到。对我个人来说最大的收获是排障思路的转变。以前遇到“连不上”就一通乱试现在会下意识地先问自己一句“这是路由的问题还是传输的问题”这么一问至少一半的故障能立刻把范围缩小一半。希望这篇东西也能帮你有同样的感觉。下次再有人问你TCP和IP有什么区别你可以不背定义直接拿一次浏览网页的过程把两层分工讲给他听那才是真懂了。
