對(duì)于 ICMP 協(xié)議，你想知道的，可能包括以下幾點(diǎn)：

• ICMP 是啥
• 為啥需要 ICMP
• ICMP 有哪些報(bào)文類型
• ICMP 報(bào)文格式長(zhǎng)啥樣
• 有哪些命令用了 ICMP
• ICMP 有哪些內(nèi)核參數(shù)
• ICMP 的問題

帶著這些問題，下面我們就來一一解答。

1. ICMP 是啥

ICMP，全稱是 Internet Control Message Protocol，即互聯(lián)網(wǎng)控制報(bào)文協(xié)議，所謂控制，就是通過下發(fā)指令來感知和控制網(wǎng)絡(luò)環(huán)境，所以它一定是配合一個(gè)無(wú)法感知網(wǎng)絡(luò)環(huán)境的協(xié)議來工作的，這個(gè)協(xié)議就是 IP(包括 IPv4 和 IPv6)。

所以，ICMP 通常被認(rèn)為是 IP 協(xié)議的一部分，它封裝在 IP 層中，使用 IP 協(xié)議進(jìn)行傳輸。因此，嚴(yán)格來說，ICMP 既不是一個(gè)網(wǎng)絡(luò)層協(xié)議，也不是一個(gè)傳輸層協(xié)議，而是介于兩者之間的一個(gè)協(xié)議。

它的主要功能是傳輸網(wǎng)絡(luò)診斷信息，信息主要包括兩類：

• 一類是 查詢類報(bào)文 ：主要用于信息的查詢和采集，比如采集傳輸路徑上的每個(gè)路由器都是誰(shuí)，本次傳輸?shù)膱?bào)文是否達(dá)到目的地等等。
• 另一類是 差錯(cuò)診斷類報(bào)文 ：主要用于診斷網(wǎng)絡(luò)故障，比如傳輸報(bào)文被丟棄的原因是什么等等。

2. 為啥需要 ICMP

我們都知道，IP 協(xié)議是一個(gè)不可靠協(xié)議，如果 IP 包在傳輸過程中出現(xiàn)錯(cuò)誤，比如 checksum 對(duì)不上，擁塞，超時(shí)等等，那么 IP 包是會(huì)直接被丟棄的，之后也不會(huì)有進(jìn)一步的努力來修正。

這是 IP 協(xié)議的一個(gè)設(shè)計(jì)準(zhǔn)則決定的，也就是 best effort，盡力而為，這樣的好處是讓 IP 協(xié)議盡量保持簡(jiǎn)單的形態(tài)，只負(fù)責(zé)有效率的數(shù)據(jù)傳輸，而更多的質(zhì)量控制交給高層的協(xié)議去處理(比如 TCP)。

但高層能提供質(zhì)量控制的協(xié)議畢竟在少數(shù)，所以就需要在下層有協(xié)議來輔助 IP 完成必要的網(wǎng)絡(luò)質(zhì)量管理。ICMP 協(xié)議自然就被提出來了。

通過 ICMP 協(xié)議，當(dāng) IP 包發(fā)生錯(cuò)誤的時(shí)候，上層發(fā)送 IP 包的主機(jī)或路由器并不知道下層發(fā)生了錯(cuò)誤，這個(gè)時(shí)候，下層的主機(jī)或路由器就可以通過發(fā)送 ICMP 包，將錯(cuò)誤信息匯報(bào)給上層，從而讓上層的主機(jī)或路由器進(jìn)行調(diào)整。

不過需要注意的是，ICMP 僅僅只能提供某些特定類型的錯(cuò)誤信息匯報(bào)，并不能幫助 IP 協(xié)議成為可靠的協(xié)議。它能做的事還是有限，但用于基本的網(wǎng)絡(luò)質(zhì)量管理是足夠了。

3. ICMP 報(bào)文格式長(zhǎng)啥樣

如下圖所示，ICMP 報(bào)文是被封裝在 IP 數(shù)據(jù)報(bào)中傳輸?shù)摹?/p>

IP 報(bào)頭中的 Protocol 字段為 1 即表示該報(bào)文攜帶的是 ICMP 報(bào)文。(此處只是為了說明問題，因此 IP 報(bào)頭是簡(jiǎn)化了的)

進(jìn)一步看，ICMP 報(bào)頭為 4 個(gè)字節(jié)：

• 類型 type：占 1 個(gè)字節(jié)，表示較大范圍類型分類的 ICMP 報(bào)文
• 代碼 code：占 1 個(gè)字節(jié)，表示較小范圍類型分類的 ICMP 報(bào)文(type的細(xì)分)
• 校驗(yàn)和 checksum：占 2 個(gè)字節(jié)，ICMP checksum 的計(jì)算方法類似于 IP checksum，但是不同的是 IP 只校驗(yàn)頭部，ICMP 校驗(yàn)頭部+數(shù)據(jù)部分

后面緊接的 ICMP 數(shù)據(jù)部分，根據(jù)前面的類型和代碼字段的不同，具有不同的內(nèi)容。

4. ICMP 有哪些報(bào)文類型

ICMP 支持的報(bào)文類型非常多，詳細(xì)看下表：

類型字段指代了一大類，代碼字段又細(xì)分了幾大小類。

上面可能不夠明確，我們通過下面這兩張表來列舉一下，由于類型太多了，而且有些平時(shí)非常少見，因此，這里我們只列舉常見的一些類型。

第一張表：類型表

注：R表示查詢報(bào)文，E表示差錯(cuò)報(bào)文

進(jìn)一步，對(duì)于每種類型，又可以根據(jù)代碼字段細(xì)分多種子類型，請(qǐng)看第二張表：

第二張表：類型細(xì)分表

通過這兩張表，每一種類型的 ICMP 包的意思應(yīng)該都比較清楚了。

有一種可能不太好理解，這里再重點(diǎn)講解一下：

(1) 源端抑制

屬于差錯(cuò)信息。如果某個(gè)源主機(jī)向目的主機(jī)快速地發(fā)送數(shù)據(jù)包，但目的主機(jī)來不及處理，就會(huì)向源主機(jī)發(fā)出該類型的 ICMP 包，提醒源主機(jī)放慢發(fā)送速度。

(2) 重定向

屬于差錯(cuò)信息。如果某個(gè)源主機(jī)向網(wǎng)絡(luò)中發(fā)送一個(gè) IP 包，路徑中某個(gè)路由器收到這個(gè) IP 包，對(duì)照其路由表，發(fā)現(xiàn)自己不應(yīng)該接收該包(包需要原路返回，或者不是最佳路由路徑)，就會(huì)向源主機(jī)發(fā)送該類型的 ICMP 包，提醒源主機(jī)修改自己的路由表，下次路由到另外一個(gè)更好的路由器。

(3) 需要分片但設(shè)置了不分片位

屬于差錯(cuò)信息。如果某個(gè)源主機(jī)在發(fā)送一個(gè) IP 包之前，對(duì)該 IP 包中的首部字段 DF 位設(shè)為 1，也就是“分片禁止位=1”，表示該包在傳輸?shù)倪^程中不允許分片，但是中間某個(gè)路由器允許傳輸?shù)淖畲舐窂?MTU 小于該包大小，需要分片才能傳輸，但是由于設(shè)置不分片位，路由器會(huì)將該包丟棄，并向源主機(jī)發(fā)送一個(gè)攜帶 MTU 信息的 ICMP 包，提醒源主機(jī)下次發(fā)包的大小不應(yīng)超過該 MTU 的值。

這種類型的 ICMP 包通常用來發(fā)現(xiàn)傳輸路徑上的 MTU 值。

(4) TTL超時(shí)

屬于差錯(cuò)信息。超時(shí)定義了數(shù)據(jù)包在網(wǎng)絡(luò)中存活的最長(zhǎng)時(shí)間，IPv4 中的 TTL 字段和 IPv6 中的 Hop Limit 字段都表示了這層意思，它們是一個(gè)整數(shù)值，會(huì)隨著經(jīng)過的路由器而遞減，當(dāng)減為 0 時(shí)，就認(rèn)為該 IP 包超時(shí)，然后當(dāng)前減為 0 的路由器會(huì)向源主機(jī)發(fā)送 ICMP 包，通知它發(fā)生了超時(shí)錯(cuò)誤。

5. 有哪些命令體現(xiàn)了 ICMP

ICMP 的這些包的類型，用戶可以充分用來診斷網(wǎng)絡(luò)的故障情況。

因此誕生了一些利用 ICMP 協(xié)議的網(wǎng)絡(luò)診斷工具，其中比較知名的就是 ping 和 traceroute。這兩工具分別利用兩種類型的 ICMP 報(bào)文：

• ping 使用查詢類型報(bào)文
• traceroute 使用差錯(cuò)類型報(bào)文

(1) ping

ping 使用了查詢報(bào)文中的請(qǐng)求報(bào)文(類型為 8)和應(yīng)答報(bào)文(類型為 0)，主要查詢某個(gè)網(wǎng)絡(luò)節(jié)點(diǎn)的連通性，如果出現(xiàn)網(wǎng)絡(luò)不連通的情況，具體是什么問題，會(huì)在應(yīng)答報(bào)文中附帶相關(guān)的差錯(cuò)信息予以告知。比如網(wǎng)絡(luò)不可達(dá)(Network Unreacheable)、主機(jī)不可達(dá)(Host Unreachable)等等，然后用戶就可以根據(jù)這些信息來分析具體是哪個(gè)環(huán)節(jié)出現(xiàn)問題。

下面一張圖，顯示了一個(gè) ping 包的完整流程：

可以看到，通過各層協(xié)議棧的層層封裝和解封裝，一個(gè) ping 包從一臺(tái)主機(jī)發(fā)送到另一臺(tái)主機(jī)，包括請(qǐng)求包和應(yīng)答包。其中，如果目標(biāo) MAC 地址未知的話，需要先發(fā)出 ARP 請(qǐng)求拿到，然后再進(jìn)行封裝。

關(guān)于 ping 命令的使用案例可以參考這篇文章：ping容易忽略的10點(diǎn)用法和排查問題技巧。

(2) traceroute

traceroute 是類 Linux 系統(tǒng)自帶的工具，Windows 上類似的工具是 tracert，兩者有些許不同，tracert 默認(rèn)使用 ICMP 報(bào)文探測(cè)，而 traceroute 默認(rèn)使用 UDP，但是也可以使用 TCP/ICMP 三種報(bào)文探測(cè)。

traceroute 利用 ICMP 差錯(cuò)報(bào)文，主要用來確定這幾件事：

• 確定通信雙方路徑上經(jīng)過的路由器設(shè)備
• 確定 UDP 包是否成功達(dá)到目的地
• 發(fā)現(xiàn)路徑 MTU

確定通信雙方路徑上經(jīng)過的路由器設(shè)備 。就是利用上面提到的超時(shí)類型的 ICMP 報(bào)文來實(shí)現(xiàn)。traceroute 向目的地發(fā)送 IP 包，剛開始的時(shí)候，將 TTL 設(shè)置為 1，當(dāng)經(jīng)過第一個(gè)路由器時(shí)，TTL -1 = 0 引發(fā)超時(shí)錯(cuò)誤，第一個(gè)路由器回復(fù) ICMP 超時(shí)報(bào)文，源主機(jī)就可以知道路徑第一個(gè)路由器的信息，隨后 TTL 被設(shè)置為 2、3、4, ...，直到到達(dá)目的地，這樣，沿途每個(gè)路由器都會(huì)向源主機(jī)回復(fù) ICMP 超時(shí)報(bào)文，traceroute 就可以拿到所有的路由器信息了。

不過這里要 注意 ，并不是所有路由器都會(huì)返回 ICMP 報(bào)文，因?yàn)槌鲇诎踩钥紤]，大多數(shù)防火墻以及啟用了防火墻功能的路由器都默認(rèn)配置為不返回任何 ICMP 報(bào)文，管理員也會(huì)主動(dòng)配置，所以這時(shí)使用 traceroute 就不一定能拿到所有路由器信息了。

確定 UDP 包是否成功達(dá)到目的地 。使用上面的方法能拿到路由器信息，但并不能確定發(fā)的包是否到達(dá)目的地。traceroute 通過發(fā)送 UDP 包來解決了這個(gè)問題，因?yàn)?UDP 包的可用端口號(hào)范圍 <3000，所以就可以在發(fā)送 UDP 包的時(shí)候填入一個(gè) >3000 的端口號(hào)，這樣，如果當(dāng)包確實(shí)到達(dá)了目的地，由于端口不匹配，就會(huì)返回一個(gè)端口不可達(dá)的 ICMP 報(bào)文，源主機(jī)就可以確定包確實(shí)到了目的地了。

發(fā)現(xiàn)路徑 MTU 。這塊在上面講 “需要分片但設(shè)置了不分片位” 類型報(bào)文的時(shí)候已經(jīng)講過，traceroute 就是利用這種類型報(bào)文來逐一地確認(rèn)傳輸路徑上各個(gè)路由器之間的 MTU 值。

關(guān)于 traceroute 命令的使用案例可以參考這篇文章：排查網(wǎng)絡(luò)問題，請(qǐng)務(wù)必掌握這款工具。

(3) MTR

MTR 全稱 my traceroute，相對(duì)以上兩個(gè)其實(shí)是更好的網(wǎng)絡(luò)排障工具，只是用的人不多，導(dǎo)致它不太出名。之所以說它好，是因?yàn)樗Y(jié)合了 ping 、nslookup、traceroute 三款工具的特性。

關(guān)于 MTR 的安裝和使用分析詳見這篇文章：這款網(wǎng)絡(luò)排查工具，堪稱神器!

(4) tcptraceroute

這塊工具從名稱就可以看出，是基于 TCP 的 traceroute，也就是它使用 TCP 包(具體是 TCP 的 SYN 包)來進(jìn)行網(wǎng)絡(luò)探測(cè)，而不是 ICMP 包。

從上面我們已經(jīng)知道，traceroute -T 就是使用 TCP 包進(jìn)行探測(cè)，所以 tcptraceroute 其實(shí)等效于 traceroute -T 。

使用 TCP 包進(jìn)行探測(cè)的原因，主要是因?yàn)楝F(xiàn)代廣泛使用的防火墻，出于安全的考慮，都會(huì)攔截 UDP 包和 ICMP 包，而通常不會(huì)攔截 TCP SYN 包。所以使用 TCP 包探測(cè)能夠通過大多數(shù)的網(wǎng)絡(luò)設(shè)備，使探測(cè)結(jié)果更加精確。

6. ICMP 有哪些內(nèi)核參數(shù)

總結(jié)了下面一幅圖，其中比較常用的是 net.ipv4.icmp_echo_ignore_all，這是禁 ping 的一個(gè)參數(shù)，禁 ping 有幾種方法，可以參考這篇文章：Linux禁止ping以及開啟ping的方法。

其他的參數(shù)大家有興趣也可以看看，遇到不懂的直接查這個(gè)圖即可。

7. ICMP 的問題

ICMP 協(xié)議是 IP 協(xié)議的助手，能夠?yàn)?IP 協(xié)議提供相關(guān)的故障診斷和控制信息，但 ICMP 仍然不能為 IP 提供可靠性，最常見的丟包(路由器緩沖區(qū)溢出)并不會(huì)觸發(fā)任何的 ICMP 信息，只能由其他協(xié)議如 TCP 來處理這種情況。

此外，正因?yàn)?ICMP 能夠查詢網(wǎng)絡(luò)設(shè)備相關(guān)的配置信息，并且使用簡(jiǎn)單，黑客們都比較青睞使用 ICMP 報(bào)文來構(gòu)建攻擊報(bào)文。所以很多的網(wǎng)絡(luò)設(shè)備都會(huì)用防火墻來阻止 ICMP 報(bào)文，這讓很多診斷工具，比如上面介紹的幾種，都很難發(fā)揮用武之地。

常見的 ICMP 攻擊是 ICMP 泛洪攻擊，這是一種 DDoS 攻擊。簡(jiǎn)單說就是攻擊者向一個(gè)子網(wǎng)的的廣播地址發(fā)送多個(gè) ICMP echo 包，包的源地址偽裝成他想要攻擊的目的主機(jī)的 IP，然后該子網(wǎng)的所有主機(jī)的 ICMP reply 包都會(huì)送到被攻擊主機(jī)，該主機(jī)瞬時(shí)收到大量的 ICMP 回復(fù)包，消耗大量資源，來不及處理，便會(huì)進(jìn)入癱瘓或無(wú)法提供正常服務(wù)。

解決 ICMP 泛洪攻擊最簡(jiǎn)單的方法就是禁 ping 了。只要禁 ping，不管黑客有多少肉機(jī)，他都無(wú)可奈何了。