IP 地址与子网划分

• CIDR 表示法与子网掩码换算
• 子网数、主机数、广播地址的计算
• 网络地址与可用地址范围

CIDR 表示法 192.168.1.0/26 中，/26 表示网络前缀为 26 位，即子网掩码前 26 位为 1，点分十进制为 255.255.255.192。192.168.1.0/26 是划分后的第一个子网，其网络位为 26 位，主机位为 32-26=6 位。每子网主机数（含网络与广播地址）为 2^6=64 个，其中可用主机数为 2^6-2=62 个（去掉网络地址与广播地址）。该子网为 192.168.1.0/26，网络地址 192.168.1.0，广播地址为 192.168.1.63（主机位全 1），可用地址范围 192.168.1.1–192.168.1.62。若从 192.168.1.0/24 原网段划分，/26 将其划分为 2^(26-24)=4 个子网：192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26，每个子网 64 个地址、62 个可用。子网掩码 255.255.255.192 对应的 /26 即 11000000（掩码的第四段 192 的二进制为 11000000），可清晰看出网络位与主机位的划分。

子网计算的要点是"主机位决定地址数"：/26 有 6 位主机位，2^6=64 个地址、62 个可用（去掉网络与广播地址）。广播地址 = 网络地址 + 主机位全 1，需代入二进制计算。回答需给出完整计算过程。

• VLSM 变长子网掩码的原理（按需分配不同长度掩码）
• 按主机数从大到小分配子网
• 完整划分实例与可用地址计算

VLSM（Variable Length Subnet Mask，变长子网掩码）允许在同一主网段内使用不同长度的子网掩码，按各部门实际主机数需求分配不同大小的子网，避免浪费地址。划分原则是"按主机数从大到小分配"，先分配需求最大的子网，再分配较小的，每个子网大小取满足需求的最小 2 的幂。实例：假设拥有 192.168.1.0/24（256 个地址），需给 A 部门（需 100 台主机）、B 部门（需 50 台）、C 部门（需 25 台）、D 部门（需 10 台）分配。A 部门需 100 台，需 2^7=128 个地址（可用 126 个），分配 192.168.1.0/25（掩码 255.255.255.128），可用 192.168.1.1–192.168.1.126；B 部门需 50 台，需 2^6=64 个地址（可用 62 个），分配 192.168.1.128/26（掩码 255.255.255.192），可用 192.168.1.129–192.168.1.190；C 部门需 25 台，需 2^5=32 个地址（可用 30 个），分配 192.168.1.192/27（掩码 255.255.255.224），可用 192.168.1.193–192.168.1.222；D 部门需 10 台，需 2^4=16 个地址（可用 14 个），分配 192.168.1.224/28（掩码 255.255.255.240），可用 192.168.1.225–192.168.1.238。剩余 192.168.1.240–192.168.1.255 可留作扩展。对比固定划分子网（如统一 /26），VLSM 显著节省地址空间，是地址规划的核心技术。

VLSM 的核心是"按需分配、由大到小"：先满足主机数最大的需求，剩余地址再为较小需求分配。每个子网大小取"满足需求的最小的 2 的幂"，且注意地址必须从剩余段的起始地址开始。该实例体现了完整计算过程。

• CIDR 表示法与子网划分算法
• 主机数需求与网段数需求的换算
• 地址块大小与掩码长度的确定

CIDR（无类别域间路由）用 /前缀长度 表示网络位，允许任意长度的前缀（相比 classful 的 8/16/24 位固定边界）。子网划分需同时满足"主机数"与"网段数"两个约束。确定掩码长度：主机位 n 满足 2^n - 2 ≥ 所需主机数（减 2 去掉网络与广播地址），因此主机位数 = ceil(log2(所需主机数 + 2))，掩码长度 = 32 - n。网段数约束：若原网段为 /p，划分为 /q 子网，则子网数为 2^(q-p)，需满足 2^(q-p) ≥ 所需网段数。划分步骤：先由主机数确定每个子网的主机位 n 与掩码长度（32-n），再由网段数确认是否足够（不够则需更大网段或增大掩码）；然后按地址块大小（2^n）从网络地址开始依次分配，每个子网起始地址对齐到块大小。示例：给定网段 192.168.0.0/22，需 4 个子网且每网至少 500 台主机。每网 500 台需主机位 n 满足 2^n-2≥500，n=10（2^10-2=1022），即每个子网需 2^10=1024 个地址、对应掩码 /22；4 个 /22 子网共需 4096 个地址，而原 /22 网段只有 1024 个地址、不够用，需在 /20 网段（4096 个地址）中划分，故用 192.168.0.0/20 划分为 192.168.0.0/22、192.168.4.0/22、192.168.8.0/22、192.168.12.0/22。CIDR 计算需同时满足两个约束，缺一不可。

子网划分需同时满足"主机数"（决定主机位与掩码长度）与"网段数"（决定总地址空间）。关键是先定主机位 n=ceil(log2(主机数+2))，再据网段数核算总掩码，注意地址块对齐。

• 127.0.0.0/8 环回地址与测试
• 169.254/16 link-local 的自动配置与故障
• 224/4 组播地址的应用

127.0.0.0/8 是环回地址（loopback），其中 127.0.0.1 最常用，用于本机回环测试，数据包不离开本机网卡，用于本机网络服务的自检（如 ping 127.0.0.1 验证本机 TCP/IP 栈）；若 ping 127.0.0.1 失败，说明本机网络栈有问题。169.254.0.0/16 是 link-local 地址（自动私有地址，APIPA），当主机启用 DHCP 但无法获取到地址（DHCP 服务器不可达/无响应）时，系统自动分配 169.254.x.x 地址；典型故障表现：主机 IP 显示为 169.254.x.x，说明无法从 DHCP 获取地址，常见于网线未接、DHCP 服务器故障、VLAN 配置错误、网络不通，排障时优先检查 DHCP 与链路。224.0.0.0/4 是组播地址（multicast），用于一对多通信，如 OSPF 的 224.0.0.5/224.0.0.6、mDNS 的 224.0.0.251、VXLAN 组播等；组播地址仅作为目的地址，不能作为源地址，主机需加入组播组才能接收。224/4 组播地址范围 224.0.0.0–239.255.255.255，其中 224.0.0.0/24 为本地链路组播（TTL 为 1，不跨路由器）。特殊地址段的理解有助于快速识别网络故障（如 169.254 指向 DHCP 问题）。

特殊地址的"典型故障表现"是排障关键：127.x 用于自测、169.254 指向 DHCP 获取失败、224/4 组播用于一对多。理解这些地址段能快速定位网络问题类型。

• 私有地址段（10/8、172.16/12、192.168/16）与公网地址
• NAT 的三种类型（静态、动态、PAT）
• 端口复用与地址转换

私有地址段包括 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，这些地址在互联网上不可路由，仅用于局域网内部，需通过 NAT（网络地址转换）把私有地址映射为公网地址才能访问互联网。NAT 的三种类型：静态 NAT——一个私有地址固定映射一个公网地址，一对一，常用于服务器对外发布（如把内网 192.168.1.10 映射为公网 1.2.3.4）；动态 NAT——私有地址从公网地址池中动态分配，多对多，但同一时刻一个公网地址仍只对应一个私有地址，公网地址池大小限制了并发数；PAT（Port Address Translation，端口多路复用，也称 NAPT）——多个私有地址共享一个公网地址，通过端口号（源端口）区分不同会话，实现"一对多"，是最常用的 NAT 形式（如家用路由器、企业出口 NAT），只需一个公网地址即可支撑大量内网主机上网。PAT 依赖端口号区分映射，因此同一内网主机可同时发起多个连接（不同端口），但公网地址端口有限（约 65535 个），大规模使用可能端口耗尽。NAT 在解决 IPv4 地址短缺的同时也带来端到端穿透问题（如 P2P 需要 NAT 穿透）。

私有地址 + NAT 是缓解 IPv4 地址短缺的核心手段。三种 NAT 的差异核心是"映射关系"：静态一对一、动态多对多（池）、PAT 一对多（端口复用）。PAT 端口复用是理解 NAT 的重点。

• IPv4 与 IPv6 的地址结构与长度
• IPv6 头部简化与扩展头
• 过渡技术（双栈、隧道、NAT64）

IPv4 与 IPv6 的核心差异：地址长度——IPv4 为 32 位（约 43 亿地址），IPv6 为 128 位（约 3.4×10^38 地址），以十六进制 8 组冒号分隔表示，支持前导零省略与 :: 压缩；地址来源——IPv6 无需 NAT，可唯一全局寻址，天然支持更多设备。头部简化：IPv6 基础头部固定为 40 字节、字段更少（去掉了 IPv4 的头部长度、校验和、分片字段等），路由器处理更简单高效；分片由发送端决定（IPv6 仅源节点可分片），不再有路由器分片；校验和由上层（TCP/UDP）负责，IPv6 头部不再计算校验和。IPv6 通过扩展头（扩展头链）实现可选项（如分段头、路由头、AH/ESP）。过渡技术：双栈（Dual Stack）——主机/网络同时运行 IPv4 与 IPv6，按需选择；隧道（Tunnel）——将 IPv6 包封装在 IPv4 包中传输（如 6to4、ISATAP、GRE），用于穿越 IPv4 网络；NAT64——将 IPv4 流量转换为 IPv6 流量（或反向，NAT64 通常是 IPv6 节点访问 IPv4 资源），配合 DNS64 实现协议翻译。实践中双栈是主流过渡方式，隧道与 NAT64 用于特定场景。

IPv6 的核心优势是"地址空间巨大 + 头部简化（无校验和、无路由器分片）"。过渡技术双栈（同时运行）、隧道（封装）、NAT64（翻译）是 IPv4 向 IPv6 演进的关键，理解各自适用场景是重点。

• 云网络中的地址规划（VPC CIDR、子网）
• NAT 网关与公网访问
• IPv6 与云网络的双栈实践

云网络中的地址规划基于 VPC（虚拟私有云）与子网：管理员为 VPC 规划 CIDR 网段（如 10.0.0.0/16），再细分为多个子网（如 10.0.1.0/24、10.0.2.0/24），不同子网用于不同可用区/业务/安全层级，遵循"按环境、业务、可用区分段"的原则，预留扩展空间。私网地址通过 VPC 路由表控制子网间通信；访问公网时，通过 NAT 网关（为无公网 IP 的子网提供出向公网访问，PAT 端口复用）或弹性公网 IP（EIP，静态 NAT 发布服务）。混合云场景通过 VPC 对等连接、专线/VPN 实现跨网络互通。IPv6 实践：云厂商普遍支持 IPv6 双栈（同时分配 IPv4 与 IPv6 地址），或 IPv6-only 网络；通过 IPv6 网关、IPv6 弹性公网 IP 提供 IPv6 公网访问，过渡场景可用 NAT64 实现 IPv6 节点访问 IPv4 资源。云网络地址规划需避免地址冲突（VPC 与 VPC、VPC 与本地数据中心网段之间），预留足够的 CIDR 空间，并通过路由表、安全组、网络 ACL 控制访问，避免路由黑洞（路由缺失导致流量丢弃）。

云网络地址规划的核心是"VPC 网段预留 + 子网分段 + 路由控制"。公网访问通过 NAT 网关（出向）与 EIP（入向），IPv6 以双栈为主，规划需避免地址冲突与路由黑洞。

• 网络位与主机位的划分
• CIDR 前缀长度与子网掩码
• 广播地址的计算

在 IPv4 中，一个 IP 地址由网络位（网络号）与主机位（主机号）组成，网络位标识所在子网，主机位标识子网内的主机。CIDR 用 /前缀长度 表示网络位位数，如 192.168.1.10/24 中 /24 表示前 24 位为网络位，后 8 位为主机位，子网掩码 255.255.255.0。网络地址 = IP 地址与子网掩码按位与（主机位清零）；广播地址 = 网络地址主机位全 1。例如 192.168.1.130/26：网络位 26 位，主机位 6 位，子网掩码 255.255.255.192；网络地址 = 192.168.1.128（192.168.1.130 & 255.255.255.192），广播地址 = 192.168.1.191（主机位全 1），可用地址 192.168.1.129–192.168.1.190。主机位全 0 是网络地址（标识子网本身），主机位全 1 是广播地址，两者不可分配给主机，因此每子网可用主机数 = 2^(主机位数) - 2。网络位越长（掩码越深），子网数越多、每子网主机数越少；网络位越短，子网数越少、每子网主机数越多。

子网划分的基础是"网络位/主机位"的划分。网络地址 = 与掩码按位与，广播地址 = 主机位全 1，主机位全 0/全 1 不可用，可用主机数 = 2^n - 2。理解掩码与位数关系是计算核心。

• 网络地址（主机位全 0）与广播地址（主机位全 1）的边界
• 可用地址（去掉网络与广播地址）
• classful 时代的规则与 CIDR 的演变

子网划分中每个子网有固定的地址边界：网络地址（主机位全 0，用于标识子网）与广播地址（主机位全 1，用于向子网所有主机广播），其余地址为可用地址，分配给主机。因此每个子网可用地址数 = 2^(主机位数) - 2。主机位全 0 与全 1 不可用的原因：在 classful（分类编址）时代，IPv4 地址定为 A/B/C 类，主机位全 0 表示"本网络/子网"（网络地址），主机位全 1 表示"定向广播"（广播地址），两者是特殊用途地址，不能分配给主机。尽管 CIDR（无类别）已不再区分固定类别，但"网络地址与广播地址不可分配"的约定仍然保留（除了 /31、/32 等特殊点对点场景）。例如 192.168.1.0/24 中，192.168.1.0 是网络地址（定义子网），192.168.1.255 是广播地址，可用地址 192.168.1.1–192.168.1.254。理解这些边界对正确分配地址、避免冲突至关重要。特殊场景：点对点链路可用 /31（无需广播地址，两个地址均可用），/32 用于单主机地址（如路由器的管理地址）。

网络地址（全 0）与广播地址（全 1）是子网的边界保留地址，可用地址 = 2^n - 2。这是 classful 时代的规则，CIDR 时代仍保留（除 /31、/32 特殊场景），理解边界才能正确分配地址。

• MTU 与 IP 分片
• MSS 与 TCP 分段
• DF 位与 PMTUD（路径 MTU 发现）

MTU（Maximum Transmission Unit）是链路层最大传输单元（如以太网 1500 字节），IP 包超过 MTU 时需分片。IP 分片由路由器执行，将大数据包拆成多个片发送，接收端重组，但分片增加了开销、丢一片则整包重传、且分片绕过防火墙/中间设备可能成为攻击向量（分片攻击），因此应尽量避免。TCP 推荐 MSS（Maximum Segment Size）而非依赖 IP 分片：MSS 是 TCP 段最大长度，在握手时协商，通常设为 MTU - IP 头 - TCP 头（如 1500 - 20 - 20 = 1460 字节），使 TCP 段加上头部后不超过 MTU，从而避免 IP 分片，由 TCP 在传输层"主动分段"，减少网络层分片开销。DF 位（Don't Fragment）用于禁止分片：设置 DF 位后，若包超过链路 MTU，路由器丢弃该包并回送 ICMP "Fragmentation Needed"（含新 MTU）。路径 MTU 发现（PMTUD）正是利用 DF 位：发送方设置 DF 位发送探测，根据收到的 ICMP 报错（ping too big 提示 MTU）逐步调整包大小，直到找到能通过整条路径的最大包大小（路径 MTU），从而避免分片、提高效率。若中间设备过滤 ICMP，PMTUD 会失效导致丢包（黑洞问题），需通过 MSS clamping 等缓解。

核心是"避免 IP 分片"：TCP 用 MSS 在传输层主动分段（MSS = MTU - 头部），IP 分片仅在网络层兜底。PMTUD 通过 DF 位 + ICMP 探测发现路径 MTU，是避免分片与黑洞的关键机制。

• ARP 协议的作用与工作过程（请求/应答）
• ARP 缓存与 ARP 欺骗
• ARP 欺骗防御（静态绑定、DAI、端口安全）

ARP（Address Resolution Protocol）用于将 IP 地址解析为 MAC 地址，在同一广播域内工作。工作过程：主机要发送数据到某 IP 时，先查本地 ARP 缓存；未命中则广播 ARP 请求（"谁的 IP 是 x.x.x.x，请告诉我 MAC 地址"），目标主机收到后单播 ARP 应答（告知自己的 MAC），发送方将 IP-MAC 映射存入 ARP 缓存，并可直接通信。ARP 欺骗原理：ARP 是无状态、无认证的协议，主机收到 ARP 应答（或免费的 ARP 通告）后直接更新缓存，不验证来源；攻击者伪造 ARP 应答，宣称自己的 MAC 是网关（或目标主机）的 MAC，使受害主机把流量发往攻击者，实现中间人攻击（窃听/篡改）、或破坏性攻击（使目标无法通信）。防御方法：静态 ARP 绑定（手动配置 IP-MAC 映射，防止动态更新）、在交换机上启用 DAI（Dynamic ARP Inspection，校验 ARP 报文合法性）与端口安全（限制端口 MAC 数量）、启用 DHCP Snooping（建立 IP-MAC 绑定表供 DAI 使用）、监控异常 ARP 流量。ARP 欺骗是二层网络安全的常见威胁，防御重点在于"校验 ARP 来源"与"限制二层信任"。

ARP 的核心缺陷是"无认证、信任广播"，导致可通过伪造应答/通告实施欺骗。防御思路是"静态绑定 + 交换机校验（DAI/端口安全）+ 信任边界"，理解 ARP 工作过程与无状态特性是防御前提。

• VLSM 细分与超网聚合的相反关系
• 路由聚合的计算（公共前缀）
• 聚合对路由表的影响

VLSM（变长子网掩码）是"细分"：把一个大网段按需划分成不同长度的子网；超网（Supernetting，路由聚合/路由汇总）是"聚合"：把多个连续的小网段合并成一个更大的网段，用更短的掩码表示，从而减少路由表条目。VLSM 与超网是"细分"与"聚合"的相反操作。路由聚合的计算方法：找出多个连续网段的"公共前缀"，聚合掩码长度 = 公共前缀的位数。示例：聚合 192.168.8.0/24、192.168.9.0/24、192.168.10.0/24、192.168.11.0/24 四个网段，它们的二进制前 22 位相同（192.168.8.0 到 192.168.11.0 是 192.168.8.0/22 的四个子网），因此聚合为 192.168.8.0/22。前提是这些网段必须连续且地址块对齐（是同一大网段的子集）。聚合收益：减少路由表条目、降低路由计算与转发开销、同步减少路由宣告（如 BGP 路由聚合）；但聚合可能带来次优路由（聚合后无法区分具体子网，流量可能被送往非最优路径），需权衡。路由聚合（CIDR 超网）是互联网路由表可扩展性的关键。

VLSM 细分与超网聚合是"分"与"合"的关系。聚合计算的核心是"公共前缀"：连续且对齐的网段可合并为更高位前缀。聚合需权衡"路由表精简"与"选路精度"。

• 路由与网关的概念
• 默认网关与路由表
• 静态路由与动态路由

路由是决定数据包"下一跳"（next hop）转发路径的过程，网关（Gateway）是连接不同网络的设备（路由器），数据包跨网段需通过网关转发。路由表是路由器/主机维护的转发决策表，每条路由记录目标网段（目的网络）、子网掩码、下一跳地址、出接口等。匹配规则：最长前缀匹配，即路由表中有多条匹配时，选择前缀最长（最具体）的路由；无匹配时使用默认路由（缺省路由）。默认网关（Default Gateway）是主机的默认路由（0.0.0.0/0），指向本机默认出口路由器，用于转发"不在本网段"的数据包。静态路由是管理员手工配置的路由（指定目的网段与下一跳），简单可控、无开销，但需手工维护、不自动适应网络变化，适合小型/稳定网络；动态路由由路由协议（如 OSPF、BGP、RIP）自动学习与更新，适应网络拓扑变化、可扩展，但引入协议开销与收敛时间。主机侧，通过 route/ip route 查看路由表，配置默认网关与静态路由；跨网段通信的关键是正确配置默认网关与路由表，否则出现"通内网不通外网"或路由黑洞。

路由的核心是"最长前缀匹配 + 默认路由"。网关是跨网段出口，默认网关是主机的缺省路由（0.0.0.0/0）。静态路由（手工）与动态路由（协议自动）各有适用场景，理解路由表匹配规则是排障关键。

• DHCP 的 DORA 四步（Discover/Offer/Request/Ack）
• 租约续租与地址冲突检测（免费 ARP）
• VLAN 与 DHCP relay（DHCP 中继）

DHCP（动态主机配置协议）为客户端自动分配 IP、子网掩码、网关、DNS 等配置。工作过程为 DORA 四步：Discover——客户端广播 DHCP Discover 报文寻找 DHCP 服务器；Offer——服务器回应 DHCP Offer 报文，提供可用的 IP 与配置；Request——客户端广播 DHCP Request 报文，确认选择某服务器的地址（可能多台服务器，客户端选择其一）；Ack——服务器广播 DHCP Ack 确认，客户端获得租约。租约续租：租约到期前（一般 50% 时）客户端单播 Request 请求续租，服务器可续租或拒绝。地址冲突检测：客户端在获得地址后发送免费 ARP（Gratuitous ARP，ARP 请求自己新 IP）检测是否有其他主机使用相同 IP，若收到应答则说明冲突，重新申请。VLAN 与 DHCP relay：DHCP 广播报文不能跨 VLAN（广播被 VLAN 隔离），若 DHCP 服务器与客户端不在同一二层广播域，客户端无法收到服务器的 Offer；此时配置 DHCP relay（DHCP 中继），在客户端所在子网的网关/交换机上把 DHCP 广播报文转换为单播转发给远程 DHCP 服务器，实现跨 VLAN 的 DHCP 分配。常见故障：客户端拿到 169.254.x.x 说明 DHCP 不可达（relay 未配置、服务器未启动、VLAN 隔离）；地址冲突（免费 ARP 检测到）需排查静态/动态地址冲突。

DHCP 的 DORA 四步是核心流程，租约续租（50% 时）与免费 ARP 冲突检测是保障机制。跨 VLAN 时 DHCP 广播无法通过，需 DHCP relay 单播转发，这是企业网络 VLAN 场景的常见配置点。

• VPC 的 CIDR 规划与预留
• 跨可用区子网与高可用
• 对等连接、路由表与路由黑洞

云上网络规划以 VPC 为单位。CIDR 规划：为 VPC 选择一个足够大的 CIDR（如 10.0.0.0/16），并预留足够的网段空间（考虑未来扩展、与本地数据中心/其他 VPC 的互连），避免与可能对等的网段冲突，因为对等连接要求两端 CIDR 不重叠。子网规划：VPC 内按可用区与业务切分为多个子网（如每个可用区一个子网，或按环境/安全层级分段），跨可用区部署子网可获得高可用（单可用区故障不影响服务）；不同子网通过路由表控制互访。路由表设计：VPC 有默认路由表（本地 VPC 内互通），按需创建自定义路由表，配置"目的地网段 + 下一跳"（如互联网网关、NAT 网关、VPC 对等连接、VPN、专线）。对等连接（VPC Peering）实现两个 VPC 的私有互通，需在两端路由表添加指向对端 VPC 网段的路由，且对端网段不能与本 VPC 网段重叠。路由黑洞：当路由表中某网段没有对应路由（或下一跳不可达/未配置），发往该网段的流量会被丢弃，表现为"部分网段不通"；规避方法是确保路由表覆盖所有需要通信的网段、正确配置下一跳、避免 CIDR 冲突导致的路由覆盖错误。综合考虑 CIDR 预留、跨可用区子网、对等连接与路由表，可避免地址冲突与路由黑洞，构建高可用、可扩展的云网络。

云网络规划的核心是"CIDR 预留 + 子网分段 + 路由表控制"。对等连接要求 CIDR 不重叠，路由黑洞源于路由缺失或下一跳错误，这些是规划时需重点规避的问题。

• 单播/广播/组播/任播的寻址语义
• Anycast 的选路原理（BGP 同一地址多节点）
• Anycast 在 DNS/CDN 的应用

网络寻址方式分为：单播（Unicast）——一对一的通信，一个源地址发给一个目的地址；广播（Broadcast）——一对多的通信，一个源发送给网段内所有主机（IPv4 用 255.255.255.255 或定向广播，IPv6 无广播而以组播替代）；组播（Multicast）——一对多（一组）的通信，发送给加入某组播组的多个主机（IPv4 用 224/4 组播地址）；任播（Anycast）——一对多中"最近的一个"，同一地址被多台服务器（不同地理位置）宣告，路由器根据路由协议选择到"最近/最优"的节点，发往该地址的流量被路由到最合适的那个节点。Anycast 的选路原理：多家服务器使用相同的 IP 地址（通常通过 BGP 向不同区域宣告同一前缀），路由器按路由选路（最短路径/AS 路径/延迟）选择最近的节点，从而实现就近接入。Anycast 在 DNS/CDN 的应用：根 DNS 服务器、公共 DNS（如 8.8.8.8）使用 Anycast 部署，用户请求被路由到最近的 DNS 节点，降低解析延迟、提升可靠性；CDN 通过 Anycast 实现就近调度与负载均衡。Anycast 天然具有高可用与抗 DDoS 能力（流量分散到多个节点）。寻址语义差异的核心：单播是"指定一个"，广播是"全广播域"，组播是"指定一组"，任播是"最近的一个"。

四种寻址语义的核心区别是"目的地址对应谁"：单播一个、广播全部、组播一组、任播最近的一个。Anycast 的价值在于"就近 + 高可用"，通过 BGP 多节点宣告同一地址实现，是 DNS/CDN 的基础技术。

• MAC 地址（二层）与 IP 地址（三层）的分工
• MAC 地址的本地意义与跨网段边界
• ARP 在跨网段通信中的边界与网关角色

二层寻址（MAC 地址）与三层寻址（IP 地址）分工不同：MAC 地址是硬件地址，用于同一广播域（局域网）内的帧传输，具有"本地意义"——只在当前链路有效，跨网段（路由器）时 MAC 地址会改变；IP 地址是逻辑地址，用于跨网段的端到端寻址，具有"全局意义"，在整个通信过程中保持不变。数据包跨网段时，IP 地址不变，但帧的源/目的 MAC 地址逐跳改变（每经过一个路由器就重新封装帧）。ARP 在跨网段通信中的边界：主机构造数据包时，若目标 IP 在本地网段，则通过 ARP 解析目标主机的 MAC；若目标 IP 不在本地网段，则通过 ARP 解析默认网关的 MAC，把数据包发给网关（而不是直接解析目标 IP 的 MAC，因为目标在别的网段，无法直接二层到达）。网关在转发中的角色：网关（路由器）是跨网段通信的"中转站"，负责接收本网段发来的数据包，根据路由表决策下一跳，并用下一跳的 MAC 重新封装帧后转发，逐跳把数据包送达目标网段。理解"MAC 逐跳变、IP 端到端不变"是排障（如抓包分析 MAC 变化）与网络设计的基础。

核心是"MAC 本地有效、IP 全局有效"。跨网段时目标 MAC 通过对端网关的 ARP 解析，帧的 MAC 逐跳变化而 IP 不变。网关是三层转发的角色，负责路由决策与帧重封装。

• NAT 解决 IPv4 地址短缺的局限
• IPv6 无需 NAT 的全局寻址
• 双栈迁移方案

NAT（网络地址转换）是 IPv4 时代为解决公网地址短缺而引入的，将私有地址映射为公网地址，通过 PAT 端口复用实现多内网主机共享一个公网地址。但 NAT 存在局限：破坏端到端透明性（需额外映射、NAT 穿透问题）、干扰上层协议（如 FTP、IPsec 等需 ALG 处理）、增加故障排查复杂度。IPv6 拥有 128 位地址空间，地址足够充足，每个节点可拥有唯一的全局地址，无需 NAT，实现了真正的端到端通信，简化了 P2P、安全等应用。双栈迁移：双栈（Dual Stack）是过渡的推荐方案，主机/网络同时运行 IPv4 与 IPv6，应用层按需选择协议栈，既能访问 IPv4 资源也能访问 IPv6 资源；过渡期逐步将流量从 IPv4 迁移到 IPv6。除双栈外，还有隧道（IPv6 封装在 IPv4 中穿越）与 NAT64（IPv6 节点访问 IPv4 资源时的协议翻译）等过渡技术。到 IPv6 时代，NAT 不再是必需（虽然 IPv6 也有 NAT66 用于地址隐藏等场景，但并非地址短缺所需），网络回归"端到端"模型，这是 IPv6 相较 IPv4 的一个重要架构优势。

NAT 是 IPv4 地址短缺的"补丁"，IPv6 通过充足地址空间实现免 NAT 的端到端通信。双栈是平滑过渡的主流方案，隧道与 NAT64 用于特定场景。理解"IPv6 免 NAT"的架构意义是重点。

• IPv6 地址的十六进制表示与压缩
• 双栈过渡技术
• NAT64 与 DNS64 的翻译机制

IPv6 地址为 128 位，用 8 组十六进制数表示，每组 4 个十六进制字符，以冒号分隔，如 2001:0db8:85a3:0000:0000:8a2e:0370:7334。压缩规则：每组前导零可省略（如 0000 写成 0）；连续的多组全零可用 :: 表示且只能使用一次（如 2001:0db8::8a2e:0370:7334，:: 代表一组或多组全零）。IPv6 还支持内嵌 IPv4 的表示（如 ::ffff:192.168.1.1）。过渡技术：双栈（Dual Stack）——主机和网络同时运行 IPv4 与 IPv6 协议栈，应用按需选择 IPv4 或 IPv6 访问，是过渡期的主流方案，兼容性最好，但需要同时维护两套地址与路由。NAT64——协议翻译技术，用于 IPv6 节点访问 IPv4 资源：NAT64 设备将 IPv6 流量转换为 IPv4 流量（IPv6 地址中嵌入 IPv4 地址，如 64:ff9b::/96 前缀），配合 DNS64（DNS 服务器把 IPv4 域名解析结果合成 IPv6 地址）实现 IPv6-only 客户端访问 IPv4 资源；NAT64 是单向的（主要用于 IPv6 访问 IPv4），与 IPv4 访问 IPv6 的 NAT46 相对。双栈是"同时运行"，NAT64 是"协议翻译"，两者应用场景不同。

IPv6 地址表示的关键是"前导零省略 + :: 压缩（只能用一次）"。过渡技术双栈（同时运行）与 NAT64（翻译）原理不同，NAT64 配合 DNS64 实现 IPv6 访问 IPv4，是 IPv6-only 网络的关键。

• 地址段按环境/业务/可用区分段
• 预留扩展空间与可扩展性
• 地址规划与路由聚合（CIDR）的关系

IP 地址规划的最佳实践核心是"结构化、可扩展、可聚合"。按环境/业务/可用区分段：将地址空间按环境（生产/测试/开发）、业务（应用/数据库/中间件）、可用区（AZ）等维度划分成清晰的网段，便于管理、隔离与安全策略（如按网段配置防火墙/安全组）。预留扩展空间：每个网段预留适当的主机位（不把地址段用满），保留一定的地址余量用于扩容，避免业务增长后重新规划；同时预留用于未来 VPC 互连、专线、扩展的网段，避免与本地数据中心或其他 VPC 冲突。与路由聚合的关系：地址规划应尽量连续、对齐，使多个网段能聚合成更短的 CIDR 前缀（如按可用区或业务段聚合为一个大网段），这样路由表条目少、路由宣告简洁、故障收敛快；若地址随意零散分配，无法聚合，路由表膨胀、路由管理复杂。因此地址规划应"分层规划、连续分配、支持聚合"，既便于管理（按维度分段）又能最高效地利用路由聚合（CIDR 汇总），这是大型网络（尤其云网络）地址规划的核心原则。

地址规划的原则是"按维度分段 + 留扩展 + 可聚合"。分段便于管理，预留保证可扩展，连续对齐的分配支持 CIDR 聚合（精简路由表）。三者结合才能支撑大规模、可扩展的网络架构。