平时遇到服务器ping不通网关，很多人第一反应是“网线松了”或者“防火墙拦了”，但真正把问题定位到网络层之后，你会发现大部分故障的根源都出在IP地址规划、路由表条目和ARP缓存这几件事上。这篇文章想写的，正是Linux环境下网络层和IP协议从理论到落地的完整链路，包括IP地址与子网掩码的关系、ARP的工作细节、路由表的最长前缀匹配逻辑，以及静态路由、双网卡和永久路由的实际配置方法。无论你是刚接触Linux的运维新手，还是需要自己搭实验环境验证转发路径的网络工程师，这篇文章都可以作为一份直接抄作业的手册。

1. 先从一条ping命令说起：网络层到底解决什么问题

1.1 为什么需要“网络层”这一层

在TCP/IP协议族里，我们经常听到链路层、网络层、传输层和应用层。很多人会背OSI七层模型，但真到排障时却分不清哪一层该看什么。我个人理解是这样：链路层解决的是“同一根网线（或同一个广播域）里，两个设备怎么把数据帧交给对方”，而网络层解决的是“跨越多个网络时，数据包怎么找到一条通往目的地的路径”。换句话说，网络层就是整个互联网的“寻址和路由系统”，而IP协议就是这套系统的核心规则。

你可以把IP协议想象成快递上的收件人地址，路由器就是一道道分拣中心。寄件人不需要知道收件人具体在哪个小巷子，只需要写上足够详细的省市区街道，每个分拣中心会按自己的路由表决定把包裹往哪个方向送。Linux服务器作为网络中的一台主机，必然要参与到这套寻址体系中，所以理解IP协议不是“背概念”，而是排障和架构设计的基本功。

1.2 数据包从本机出发时，网络层做了什么事

假设你在Linux机器上执行 ping 192.168.10.20，从网络层视角看，它要完成这么几件事：

1. 判断目标IP和自己是否在同一个子网。如果同网段，直接通过ARP解析目标IP对应的MAC地址，二层转发；如果不同网段，则把数据包交给网关，由网关继续转发。
2. 在IP头部填入源IP、目标IP、TTL、协议号等字段。协议号17代表UDP，1代表ICMP，6代表TCP，接收方靠这个字段知道把数据交给哪个上层协议。
3. 查询路由表，决定数据包的“下一跳”接口和网关IP。
4. 把IP数据包交给链路层封装成帧，如果目标是不同网段，帧头里的目标MAC地址填的是网关MAC，而不是远端目标主机的MAC。

很多初学者在这一步会有个经典误解：以为只要是跨网段通信，数据帧的目标MAC就是目标主机的MAC。其实二层帧每经过一个路由器都会重写源MAC和目标MAC，但IP头里的源IP和目标IP全程保持不变（NAT场景例外）。明白这一点，后面看抓包结果时就不会懵。

1.3 网络层与上下层的关系，一句话说清

传输层（TCP/UDP）关心的是“进程到进程”的通信，网络层关心的是“主机到主机”的通信，链路层关心的是“设备到设备”的通信。它们各自解决不同范围的问题，但数据在发送时会一层层封装：应用数据 → TCP/UDP头 → IP头 → 以太网头，最后变成01比特流发出去。收包时再一层层解封装。Linux内核里的网络协议栈就是按这个分层结构实现的，所以我们用 tcpdump 抓包时，能看到完整的以太网头、IP头、TCP/UDP头，每一层都有对应的字段可以检查。

2. IP地址与子网掩码：看得懂地址，才能谈路由

2.1 IPv4地址结构、分类与CIDR

IPv4地址是32位二进制数，每8位一组，用点分十进制表示，比如 192.168.1.1。早期它被分成A/B/C/D/E五类，A类第一位是0，B类前两位是10，C类前三位是110……这套分类方式在今天已经基本被CIDR（无类别域间路由）取代了，但很多教材还在讲“A类地址范围是1.0.0.0到127.255.255.255”，容易让人越学越糊涂。

实际工作中，你只需要掌握一个核心概念：IP地址 = 网络号 + 主机号，而子网掩码决定网络号占多少位。比如 192.168.1.10/24，/24 就是说前24位是网络号，后8位是主机号，对应的子网掩码是 255.255.255.0。这个子网里可用主机地址是 192.168.1.1 到 192.168.1.254，网络地址是 192.168.1.0，广播地址是 192.168.1.255。

CIDR的核心价值就是能灵活划分地址空间，不再被A/B/C类固定边界绑死。给一个小型办公网分配 10.0.0.0/24 可以，分配 `172.16.1.