IP 层

IP 层的意义

我们不妨来做个思想实验：如果网络中把 IP 层（网络层）完全抽走，只保留底层的 MAC 地址（数据链路层），这个世界会发生什么？

理解了没有 IP 层会有多绝望，就能深刻明白 IP 层的意义到底是什么。

• 灾难：如果只有 MAC 地址会怎样？

  底层的物理网卡在出厂时都有一个全球唯一的标识——MAC 地址（比如 00:1A:2B:3C:4D:5E）。它就像你的身份证号一样，虽然全球唯一，但它有一个致命的弱点：它毫无地理规律和层级结构。

  问题一：无法有效寻址。 想象一下，你想给远在北京的朋友寄一封信，但信封上只写了你朋友的身份证号，没有写城市、街道和门牌号。邮局面对这个身份证号会彻底崩溃——他们怎么可能知道这个身份证号的人现在住在哪个省的哪个小区？

  问题二：恐怖的广播风暴。 在二层（MAC 层）网络中，如果交换机不知道目标 MAC 地址在哪里，它的默认行为是“广播（泛洪）”——把数据包复制给网络中的每一台电脑，大喊：“这是不是你的？”如果全地球的电脑都连在同一个没有 IP 层的二层网络里，你每次发个微信，全地球几十亿台设备都会收到一次广播询问，整个网络会在几秒钟内被广播风暴彻底挤瘫痪。

• IP 层的伟大发明：引入“逻辑邮政编码”

  面对 MAC 地址带来的灾难，IP 层的核心意义在于：它发明了一种有地域层级、可聚合的“逻辑邮编系统”——也就是 IP 地址。

  • 层级结构： IP 地址（比如 202.120.2.1）不再是随机的乱码，它是有严密层级的。就像电话号码的区号一样，202.x.x.x 可能代表亚洲，202.120.x.x 代表上海，202.120.2.x 代表上海交通大学。

  • 路由器的诞生： 有了这套“邮编”，就可以在路口设立“邮局分拨中心”了——这就是路由器。

    当路由器看到一个包发往 202.120.2.1，它根本不需要知道这台电脑具体插在交大校园的哪个宿舍里，它只要看一眼路由表：“凡是开头是 202.120 的，统统扔给通往上海的主干道”。

    这个过程叫做“路由聚合”。依靠这种按网段汇总的方式，全世界数以十亿计的设备，只需要不到一百万条路由规则就能完成全球寻址。

  • 屏蔽底层物理差异： IP 层还做了一件极其伟大的事。底层的物理网络千奇百怪：有插网线的以太网，有手机的 5G 信号，有跨海的光纤，还有卫星网络（WiFi 和 5G 底层的数据帧格式完全不同）。

    IP 层就像一个万能转换器，它强行在这些不同的物理介质之上，铺上了一层统一的、逻辑上的 IP 数据包格式。 因为有了统一的 IP 层，你的微信才能顺畅地从手机 5G 发送，穿过跨国光缆，最终送达一台接在光纤上的服务器，上层应用完全不需要关心底层的物理连接究竟是什么。

互联网和路由器

Internet 这个词的前缀 Inter- 意思是“互相、之间”。所以 Internet 的字面意思就是：“网络的网络 (Network of Networks)”。

清华大学的网络、阿里巴巴的网络、中国移动的网络，它们原本是互相隔离的“孤岛”。当它们拉起几根超大带宽的光缆，把各自边界上的核心路由器对接在一起时，孤岛就连成了大陆。

当全世界数以万计的这种“孤岛网络”（自治系统 AS）互相连接、互相签订协议交换数据时，这张覆盖全球的超级大网，才被称为“互联网”。

路由器

在路由器的真实内存中，这张用来指导转发的表格叫做 FIB（Forwarding Information Base，硬件转发表）。

路由器的 FIB 表中，每一行规则通常包含三个最关键的字段：

目标 IP 范围 (目的网段/掩码)       下一跳 IP     出接口      规则含义
 202.120.2.0/24　　　　　　　　　　10.0.0.2　　　Port_1　　　去往交大某校区的包，从 1 号口扔给 10.0.0.2
198.51.100.0/24　　　　　　　　　　10.0.0.6　　　Port_2　　　去往海外某 VPS 的包，从 2 号口扔给 10.0.0.6
   0.0.0.0/0 (默认路由)　　　　　　10.0.0.1　　　Port_3　　　如果不认识这个 IP，统统从 3 号口扔给上级路由器

• 目标 IP 范围： 这里用的叫 CIDR（无类别域间路由）表示法。/24 表示前 24 位是固定的，代表一个包含了 256 个 IP 的网段。路由器不需要记住每一个具体的 IP，它只记“网段（范围）”，这就极大压缩了路由表的体积。
• 下一跳 IP： 这一定是和路由器直接用网线连在一起的相邻路由器的接口 IP。
• 出接口： 硬件层面，数据包到底该从路由器的哪一个光纤插口（比如 100G 光口 1）发射出去。

孤岛网络（自治系统 AS）

自治系统内部有自己的通信协议。

AS 获取 ASN 和 IP，用 BGP 广播

• IP address allocation hierarchy

  • IANA

    At the very top is the IANA (Internet Assigned Numbers Authority), which is a part of ICANN. Think of IANA as the "manufacturer" that creates and holds the entire global pool of IP addresses.

  • The 5 RIRs

    IANA does not deal with individual ISPs. Instead, it distributes massive blocks of IPs to five RIRs (Regional Internet Registries).

    Each RIR is a non-profit organization that manages all the IPs for its specific geographic region of the world.

    The five RIRs are:

    • ARIN: North America
    • RIPE NCC: Europe, the Middle East, and Central Asia
    • APNIC: Asia-Pacific
    • LACNIC: Latin America and the Caribbean
    • AFRINIC: Africa

  • LIRs / End-user

    The RIRs then allocate or assign smaller blocks of IPs to organizations within their region.

    The RIRs have two main "customer" types: LIRs and end-users.

    LIRs (Local Internet Registries) get large "Provider-Aggregatable" (PA) block allocation of IPs to distribute from RIR, and assign IPs to their customers for profit. (IANA -> RIR -> LIR -> customer)

    End-users get a "Provider-Independent" (PI) block assignment of IPs for portability from RIR, and use IPs for their own internal network. (IANA -> RIR -> End-User)

    LIRs can be:

    • Internet Service Providers (Home internet)

      Verizon, Comcast, AT&T, 中国电信

    • Telecommunication companies (Mobile network)

      T-Mobile, Verizon Wireless, AT&T Mobility

    • Cloud & hosting providers

      Amazon Web Services (AWS), Google Cloud, Microsoft Azure, DigitalOcean, OVH

      Their entire business is renting servers (which need IPs) to customers.

    End-users can be:

    • Corporations

      Large corporations like Ford need many IPs for their internal network.

    • Universities

    • Government agencies

      A nation's Department of Defense, a national research lab, or large federal agencies.

    • Non-profit org

      Large research consortiums or foundational organizations.

• ASN allocation hierarchy

  • IANA to RIRs (The Global Pool)

    Who: IANA (Internet Assigned Numbers Authority)

    To Whom: The five RIRs (Regional Internet Registries: ARIN, RIPE, APNIC, LACNIC, AFRINIC)

    IANA manages the central, global pool of all available ASNs. It doesn't deal with individual companies; it allocates large blocks of ASNs to each of the five RIRs to manage for their specific geographic region.

  • RIRs to Organizations (The Final Assignment)

    Who: The RIRs (like ARIN, RIPE, etc.)

    To Whom: Any organization that can demonstrate the technical need to run its own independent network.

    This is the main "assignment" step. The RIRs are the ones who give ASNs to "end-users" (in the broad sense).

    These organizations include:

    • ISPs (Internet Service Providers)
    • Telecommunication Companies (mobile carriers)
    • Cloud & Hosting Providers (like AWS, Google Cloud, DigitalOcean)
    • Large Corporations (like Google, Microsoft, Ford)
    • Universities
    • Government Agencies

    These organizations need an ASN so they can control their own network routing using BGP (Border Gateway Protocol) and announce their IP address blocks to the rest of the internet.

• Whole process

  • Get IPs from RIR

    An LIR (like Comcast) or a large End-User (like a university) applies to their RIR (like ARIN) and gets a block of IP addresses. This is the "resource" they own.

  • Get ASN from RIR

    Because they want to control their own routing for those IPs (e.g., for redundancy or portability), they also apply to the RIR for an Autonomous System Number (ASN). This is their "network ID."

  • Use BGP to Announce

    This is the key. They configure their network's "border routers" to use BGP (Border Gateway Protocol). This protocol sends out a constant, public announcement to their neighboring networks that says:

    "Hey, world! If you want to reach any IP in my block (192.0.2.0/24), send the traffic to me. I am ASN 64500."

    The other networks (ISPs) hear this announcement, add it to their global routing tables, and the "mapping" is complete. The rest of the internet now knows that ASN 64500 is the correct path to reach those IPs.

• Relationship between ASN and IP

  Every public IP address that is active on the internet is associated with an ASN.

  An IP address is just a "house number." The ASN is the "street" or "neighborhood" that the house is on.

  For a packet of data to find its way to an IP address, it must first be routed to the correct network (the "neighborhood"). The internet's routing system (BGP) works by telling all the other networks which "neighborhoods" (ASNs) it knows how to reach.

  If a public IP address isn't announced by an ASN, it's effectively "off the map." The rest of the internet has no way to find it or send traffic to it.

不同 AS 之间的物理连接

• 互联网交换中心（IXP / NAP）：公共广场的大型交换机

  这是互联网最核心的物理枢纽，学术上叫做 IXP (Internet Exchange Point)，早期在国内常被称为 NAP (Network Access Point，国家级互联网交换中心)。

  物理场景： 想象一栋极其庞大的中立大楼（比如全球知名的 Equinix 数据中心，或者国内的北上广深国家级交换中心）。这栋楼不属于任何一家运营商，它是中立的。楼里有一个或者几个像衣柜一样巨大的、拥有成百上千个端口的核心交换机。

  怎么连： 阿里云、腾讯云、中国电信、中国联通，大家都在这栋楼里租一个机柜，放上自己的边界路由器。然后，每家都拉一根光纤，统一插到那个“公共大交换机”上。

  通信逻辑： 这叫做 公共对等互联 (Public Peering)。大家都在一个大局域网里，阿里云想传数据给联通，只要把数据包发给这个公共交换机，交换机瞬间就能转给联通。这就省去了互相之间一对一拉网线的麻烦。

• 私有对等互联（PNI）：两家公司的“地下接头”

  当两个 AS 之间的流量大到极其恐怖的地步时（比如阿里云和中国电信之间，每天有海量的视频和网页数据要跑），公共交换机的端口就不够用了，他们会选择 PNI (Private Network Interconnect，私有网络互联)。

  物理场景： 阿里云和中国电信恰好在同一栋中立数据中心大楼里都有机柜（或者两栋相邻的大楼）。

  怎么连： 阿里云的工程师向大楼物业（数据中心服务商）提交一个叫做 “交叉互连 (Cross-Connect)” 的工单。物业工程师会拿出一根黄色的单模光纤（通常几十米长），从阿里云的路由器端口拉出来，顺着机房天花板的桥架，一路走线，直接“咔哒”一声，插进中国电信的路由器端口里。

  通信逻辑： 这是一根绝对私有的物理直连网线。两台路由器通过这根网线建立 BGP 邻居关系，直接互传数据，既不收费，也不绕路。你平时感受到的“极速秒开”，很多都得益于这种物理直连。

• IP 穿透 / 购买过路费（IP Transit）：小弟拜大哥

  世界上有几万个 AS，不可能大家都跑到同一个大楼里去插网线。一个小型的 AS（比如某个大学的校园网，或者一家小的宽带公司）如果想访问全球互联网，该怎么办？

  物理场景： 小 AS 只能找到离自己最近的一家一级运营商（Tier 1，比如中国电信）的机房。

  怎么连： 小 AS 自己花钱雇工程队挖沟，铺一条几公里长的光纤，连到中国电信的机房里，插在电信的路由器上。

  通信逻辑： 小 AS 每个月要向中国电信支付高昂的“过路费（带宽费）”。中国电信收了钱，就会通过 BGP 协议向全球宣布：“如果有人找这个小 AS，都把数据交给我，我负责用我的光纤给它送过去。”这就是 IP Transit。

AS 内部通信和跨 AS 通信

浙江访问北京，到底是 AS 内部还是跨 AS，完全取决于你两端用的是哪家运营商（或者哪家云厂商）的网络，和物理距离有多远毫无关系。

我们可以分三种真实场景来拆解：

• 场景一：同运营商 —— 典型的“AS 内部通信” (Intra-AS)

  • 条件： 你在浙江家里用的是中国电信宽带，你访问的北京服务器放在北京中国电信的机房里。

  • 通信过程： 你的数据包从浙江电信的接入网进入，被扔进中国电信的 163 骨干网（它的全球唯一编号是 AS4134）。数据包顺着京沪光缆狂奔 1000 多公里到达北京，然后从北京电信的接口出来，送达服务器。

  • 结论： 尽管跨越了大半个中国，但整个过程数据包从来没有离开过 AS4134 掌管的网络。这属于绝对的 AS 内部通信。在 AS4134 内部，电信的路由器们依靠 iBGP（内部边界网关协议）和 OSPF/IS-IS 来指路。

• 场景二：跨运营商 —— 典型的“跨 AS 通信” (Inter-AS)

  • 条件： 你在浙江家里用的是中国移动宽带（AS9808），但你访问的北京服务器放在了中国联通（AS4837）的机房里。

  • 通信过程： 数据包从浙江移动出发，在移动的网络里走到某个核心交汇点（比如国家级互联网交换中心 NAP，或者两家运营商直连的互联互通节点）。在这里，移动的边界路由器通过 eBGP（外部边界网关协议）与联通的边界路由器“握手交接”，数据包跨过边界，进入联通的网络（AS4837），最后送到北京。

  • 结论： 跨越了两个不同的利益集团，这是标准的跨 AS 通信。

• 场景三：访问云厂商 —— “跨 AS 通信”的现代常态

  • 条件： 你在浙江用电信宽带（AS4134），访问部署在北京阿里云的服务器。

  • 通信过程： 像阿里云、腾讯云这样的超级云厂商，早就申请了自己独立的 ASN（比如阿里云的 AS37963）。它们就像虚拟的运营商一样。你的数据包会在北京（或沿途其他交汇点），从电信的 AS4134 跨出边界，交接给阿里云的 AS37963。

  • 结论： 同样是跨 AS 通信。

国内互联网访问实例

你的数据包（携带目标 IP 北京阿里云服务器）从浙江出发出发，全程经历了 5 个阶段、数十个硬件交接。

• 第一阶段：你的房间与小区（二层网络：交换机为主）

  • 你的电脑（终端）：

    应用程序（如浏览器）产生 TCP 数据包，操作系统加上 IP 头部，打包成以太网帧。电脑查了一下路由表，发现目标 IP 不在局域网内，于是把数据包发给默认网关。

  • 家用路由器（LAN/WAN）：

    你家里的路由器先做 NAT（网络地址转换），把数据包的源 IP 改成运营商分配给你的公网 IP，然后将电信号转成光信号（通过光猫），通过光纤发往小区。

  • 小区/街道 OLT（光线路终端）与接入交换机：

    光信号沿着小区光纤进入运营商在社区的接入交换机/OLT。这里的二层交换机只看 MAC 地址，把来自成百上千户的数据流汇聚起来，打包推向运营商的城域网。

• 第二阶段：浙江省内城域网（二层/三层交界：汇聚交换机与接入路由器）

  • 城域网汇聚交换机（Metro Aggregation Switch）：

    数据包到达杭州（或你所在的浙江城市）的城域网节点，交换机剥离二层 MAC 头部，将数据扔给城域网核心路由器 (BRAS / Service Router)。

  • 城域网核心路由器（L3 寻址）：

    这台路由器首次在三层（IP 层）真正处理数据包。它看了一眼目标 IP，查阅自身的 FIB（硬件转发表），发现这个 IP 既不是浙江本地的，也不是本运营商内部的，属于 阿里云 AS37963。它通过 OSPF / IS-IS 内部路由协议，把数据包抛向浙江省级骨干网出口。

• 第三阶段：跨省传输——电信/联通骨干网（三层：核心路由器 + 骨干光缆）

  • 浙江骨干网出口路由器（Core Router）：

    数据包到达浙江省级核心节点（如杭州电信/联通核心机房）。这里的骨干网核心路由器极其庞大，它把数据包塞进连接京沪/京广干线的高性能光传输网（OTN）。

  • 沿途骨干网中继路由器（Backbone Routers）：

    数据包以光速沿着埋在地下的京沪/京浙骨干光缆一路向北狂奔。途经江苏、山东等省份的骨干网节点时，沿途的骨干路由器只做一件事：用 TCAM 硬件芯片 极其快速地查表，确认下一跳，将光信号继续向前推送，完全不惊动 CPU。

• 第四阶段：跨自治系统（AS）交接——BGP 与互联网交换节点

  • 北京骨干网入口路由器：

    数据包抵达北京的运营商核心节点（如北京电信/联通核心机房）。

  • 运营商与阿里云的边界路由器（AS Border Router）：

    在北京的中立数据中心（IXP）或私有互联点（PNI），运营商的边界路由器（如电信 AS4134）与阿里云的边界路由器（AS37963）通过一根直接对插的黄色光纤（Cross-Connect）相连。

    • 运营商路由器查 BGP 表：“发往阿里云这个网段的数据包，直接走这根光纤交给阿里云！”
    • 跨 AS 交接完成：数据包正式离开运营商网络，进入阿里云内部。

• 第五阶段：阿里云北京数据中心内部（三层/二层：Spine-Leaf 交换机架构）

  • 阿里云数据中心边界路由器（Border Gateway）：

    阿里云的边界路由器接住数据包，进行流量清洗和安全防护（防 DDoS），然后投递给数据中心内部网络。

  • DPU / SmartNIC（硬件解封）：

    阿里云网络底层将数据包进行 VXLAN（Overlay 虚拟化） 封装，标记上你的云服务器所在的虚拟私有云（VPC）ID。

  • Spine 交换机（脊交换机）：

    数据包进入 Spine-LeafClos 架构。Spine 交换机通过 ECMP（等价多路径） 哈希算法，在几百条并行链路上做负载均衡，将数据包下发给目标服务器所在的 Leaf 交换机。

  • Leaf 交换机（叶交换机 / TOR 柜顶交换机）：

    Leaf 交换机位于服务器机柜顶部。它接收数据包，剥离上层路由标记，通过最后一根短网线/光纤，直接插进目标物理服务器的网卡。

  • 北京阿里云服务器（目标终端）：

    目标服务器网卡收到数据包，硬件网卡（DPU）解封装，通过 PCIe 总线直接将数据送入 CPU 和内存，交给 Web 服务进程（如 Nginx 或 Java 程序）处理。

跨国互联网访问

物理连接

从中国上海到美国洛杉矶的跨国物理连接全过程。

• 骨干核心路由器 CR（Core Router）

  这是你数据包在国内跑的最后一段。它负责把全国各地（包括你浙江）发来准备出国的流量汇聚在一起。

• 国际出口网关 IGW（International Gateway）

  • 国际出口网关接手：你的数据包经过国内的层层网络，最终汇聚到了中国电信设在上海市区的国际出口网关。

  • 路由计算结束： 这是数据包在接下来一万公里内，最后一次被解读 IP 地址。上海的国际出口网关查完路由表，决定把它送往洛杉矶。

  • 光信号输出： 国际出口网关将数据包转换为普通的灰色光信号，通过一根十几公里长的城市地下光纤，发送往位于海边的特殊设施——海缆登陆站 (CLS)。

• 中国登陆站：打包与下海 (Multiplexing)

  数据到达海滩上的上海登陆站后，网络层的逻辑彻底结束，纯粹的物理光学物理介入。在这个建筑里，不同运营商的流量要被强行“揉”进同一根海底光纤里。

  • 着色 (Coloring)： 登陆站的光终端设备 (SLTE) 接收到电信路由器的普通光信号后，给它分配一个特定的波长——比如，把它变成一束“红光”。同时，联通的数据包可能被变成“蓝光”，Google 的数据包变成“绿光”。

  • 波分复用 (DWDM 打包)： 像一个反向的三棱镜一样，DWDM 设备将这几十束不同颜色的单色光，强行合并成一束高密度的“复合光”，精准地注入海底光缆中心那根只有头发丝粗细的玻璃纤芯中。

  • 注入高压电： 单靠光是跑不了一万公里的。登陆站的电源设备会向光缆外层的铜套管注入上万伏的直流高压电，与复合光信号一起冲入深海。

• 太平洋深海：纯物理的狂奔

  在跨越太平洋的这一万公里中，没有任何路由器，也没有任何 IP 寻址，这是一段纯粹的物理通道。

  • 海底中继器 (Repeater)： 光信号在玻璃里传输，每隔 50 到 100 公里就会衰减变暗。海底光缆上每隔一段距离就挂着一个金属圆筒（中继器）。

  • 沿途放大： 中继器消耗着从上海和洛杉矶登陆站传来的高压电，把衰减的“复合光”重新放大、点亮，继续向东冲刺。

• 美国登陆站：拆包与最终交接 (Demultiplexing)

  几十毫秒后，这束混合着高压电和海量数据的复合光，冲出海平面，抵达美国洛杉矶的海缆登陆站。这里的设备和上海完全对称，只是把动作反了过来。

  • 分离电力： 登陆站首先安全地导出并接地处理掉高压电，只留下纯净的光信号。

  • 波分解复用 (DWDM 拆箱)： 复合光进入解复用设备，像三棱镜折射一样，原本混合在一起的光被重新分离成红色、蓝色、绿色等几十束独立的单色光。

  • 物理直连海外 PoP： 属于中国电信的那束“红光”被单独提取出来，接上一根光纤，直接铺进洛杉矶市区的数据中心，插进了一台路由器里——注意，这台路由器依然是中国电信的！这就是电信的海外 PoP 节点。（至此，数据包到此刻一直在中国电信的 AS 自治系统内部）。

  • 最终的跨 AS 握手： 直到此刻，数据包才再次进入网络层。中国电信在洛杉矶的路由器读取 IP 地址，通过一根短距离网线，利用 BGP 协议将数据包移交给同一机房里的美国本地运营商（如 AT&T）或云厂商（如 AWS）的边界路由器。

墙

• 物理位置：放在哪里？

  中国庞大的互联网流量并不是从漫长的海岸线上随便找个地方就能出海的，所有的跨国流量在出海前，必须先汇聚到几个法定的国家级核心枢纽。最核心的三大出入口局位于：北京、上海、广州（近年来增加了成都、郑州等地，但北上广依然是绝对主力）。

  绝大部分 GFW 的核心硬件和 CR IGW 部署在出入口局的机房里。

  在上面“上海到洛杉矶”的推演中：

  • 硬件不在海缆登陆站（沙滩上）： 海缆登陆站主要负责物理层的分光、加电。

  • 硬件在出入口局机房： 墙的硬件集群，物理上通常放置在上海市区的中国电信/联通的出入口局机房内。

• 拓扑位置：卡在哪个网络节点？

  从网络拓扑上看，它的硬件精确地卡在 CR 和 IGW 之间的这段链路上。

  这是数据包出海前的“最后一关”，也是回国数据的“第一关”。

• 硬件形态与拦截原理（旁路与串联）

  为了不让海量的跨国流量因为审查而产生严重的物理延迟，这套集群在硬件架构上采用了极其巧妙的“旁路为主，串联为辅”的设计。它的硬件主要由三大部件组成：

  • 光分路器（Optical Splitter）—— 旁路监听

    这是整个系统最底层的物理硬件。在出入口局的机房里，连接 CR 和 IGW 的光纤，并不是一根直通的线，中间接入了分光器。

    • 物理动作： 它的作用像是一个三通管。当你的光信号穿过时，主光束继续飞向太平洋，而分光器会复制一份一模一样的光信号（通常叫做镜像流量 / Port Mirroring），折射到旁边的 GFW 服务器集群中。

    • 意义： 你的数据包在出海时，并没有被墙“拦住检查”，它是直接飞走的同时，被墙“看了一眼”。这就是旁路（Out-of-band）部署，保证了即使墙的硬件宕机，跨国物理网络也不会断。

  • DPI 深度包检测集群（算力中心）—— 特征识别

    分光器复制出来的海量光信号，会被送入机房旁边的几百个机柜。这里放着成排的 DPI (Deep Packet Inspection，深度包检测) 服务器，里面跑着定制化的 ASIC/FPGA 芯片。

    • 物理动作： 这些超级计算机在纳秒级的时间内，解开 IP 层和 TCP 层，直接深入到应用层，查看你访问的域名（SNI 字段）或特征码。

    • 拦截动作（TCP RST 抢答）： 如果 DPI 集群发现你正在访问被封锁的网站，它会利用自己距离你更近（在上海）的物理优势，伪造一个“连接重置 (TCP Reset)”数据包，以极快的速度反向射回你的浙江电脑。

    • 结果： 你的电脑收到这个伪造包后，以为对面的服务器主动断开了连接，浏览器就会显示“连接已重置”。而此时，你真正的数据包其实已经飞到了太平洋中央，但你的电脑已经单方面把连接掐断了。

  • BGP 路由黑洞（核心路由器配合）—— 串联阻断

    对于一些直接被封杀的纯 IP 地址，墙甚至不需要动用复杂的 DPI 算力。

    • 物理动作： 墙的控制中心会直接向三大运营商的骨干路由器下发 BGP 路由策略。

    • 结果： 骨干路由器的 FIB 表中会被强行写入一条规则：“凡是发往 x.x.x.x (某被封 IP) 的数据包，下一跳直接指向 Null0 (也就是路由器的垃圾桶)”。你的数据包刚走到骨干网，就直接被硬件路由器物理丢弃了。

AS 和线路

AS 和线路不是一个概念。

AS

以中国电信为例，它拥有两个最核心的 AS：

• AS4134（ChinaNet / 163骨干网）：

  这是电信的“平民网”。全国 90% 以上的普通家宽都在这张网里。它的物理链路长期满载，晚高峰跨国必定拥堵丢包。对应商业上的“普通线路”。

  注意，拥堵丢包仅仅发生在中外边界的那个物理瓶颈（国际出口网关 IGW + 海缆）上，AS4134 在国内绝对是一张极其优秀、带宽庞大的高质量网络。

• AS4809（CN2 / 下一代承载网）：

  这是电信为了政企大客户和外企专门花重金平行建设的“贵族网”。节点少、设备新、带宽余量极大、跨国绝不拥堵。对应商业上的“优质线路（专线）”。

线路

在跨国网络中，中国电信利用 AS4134 和 AS4809 这两张网，组合出了三种不同等级的“线路”。这时候，AS 的边界和线路的边界就错开了：

• 纯 163 普通线路（Economy Class）

  • AS 组合： 国内段跑 AS4134 ➔ 国际出口跑 AS4134 ➔ 海外 PoP 是 AS4134
  • 体验： 全程拥堵。这是最基础的线路。

• CN2 GT 线路（Global Transit / 中端商务舱）

  • AS 组合： 国内段（比如从浙江到上海）依然在 AS4134（163网）里和普通网民一起挤 ➔ 到了上海的国际出口核心机房，数据包被切入 AS4809 ➔ 跨国段和海外 PoP 跑 AS4809。
  • 体验： 在国内跨省阶段还是会轻微拥堵丢包，但跨国那一瞬间走的是高速公路。这是一条“混合了两个 AS 的线路”。

• CN2 GIA 线路（Global Internet Access / 顶级头等舱）

  • AS 组合： 从你浙江家门口的城域网开始，直接进入 AS4809 ➔ 跨省跑 AS4809 ➔ 跨国跑 AS4809。
  • 体验： 全程 VIP，独立通道，延迟极低且稳定。这是一条“单一高级 AS 的线路”。

联通 AS 和线路

联通在 BGP 路由表里，主要握着三个具有战略意义的自治系统编号（ASN）：

• AS4837（联通 169 骨干网）：

  这是联通体量最庞大的主干网。你在国内拉的联通家用宽带，物理城域网和省际骨干网全部属于这个 AS。它的特点是覆盖极广、总带宽高，但里面挤满了普通网民。

• AS9929（联通 A 网 / 产业互联网）：

  这是当年“中国网通”留下来的极其珍贵的独立骨干网。联通把它定位为政企专网。它的特点是：国内覆盖节点少（通常只在核心大城市有），物理带宽绝对值不大，但由于严格限制接入，网络极度空旷。

• AS10099（联通国际 CUG）：

  这是中国联通在海外设立的国际公司（China Unicom Global）专属的 AS。它的物理设备部署在法兰克福、洛杉矶、东京等海外数据中心，专门负责在海外和外方网络（如 AT&T）进行 BGP 对等互联。

联通通过在路由器上写不同的 BGP 策略，用上面那三块积木，组合出了不同的跨国线路产品：

• 普通 169 线路（Economy 标准版）

  这是最基础的跨国商业宽带。

  • 积木组合方式： 数据包从头到尾在 AS4837 里跑。
  • 物理推演： 你的数据包在国内走 AS4837，到了北上广的国际出口网关（IGW），依然通过 AS4837 出海，最后在海外移交给目标服务器。
  • 商业表现： 晚高峰时，出海口（IGW）会发生一定程度的物理拥堵和尾部丢包。但在三大运营商的普通线路里，它的表现通常是最好的，因为联通的用户基数比电信少，相当于“同等宽度的马路，车更少”。

• CU VIP 线路（对标电信的 CN2 GT）

  这是 VPS 市场上非常火爆的高性价比精品线，也是最能体现“线路是由多个 AS 拼接而成”的例子。

  • 积木组合方式： 国内段跑 AS4837，跨国出海段切入 AS9929。
  • 物理推演： 因为 AS9929 在国内的节点很少，你的数据包必须先在拥挤的 AS4837 里跨省传输，跑到北上广的核心机房。然后，路由策略发动，把你的包通过一根内部网线，强行扔进 AS9929 的出海路由器。
  • 商业表现： 国内段可能会卡，但跨越太平洋的那一瞬间，走的是极度空旷的专属海缆切片。这是一种“混合 AS 线路”。

• 纯正 9929 线路 / 联通高品质专线（对标电信 CN2 GIA）

  这是联通手里最顶级的昂贵商品。

  • 积木组合方式： 国内段跑 AS9929，跨国出海段跑 AS9929，海外交接跑 AS10099。
  • 物理推演： 如果企业买了这个商品，联通会拉一根专线直接连进 AS9929 的国内节点。你的数据包全程避开 169 平民网，在国内和跨国段都享受 VIP 队列，到海外后，由联通国际公司（AS10099）的 PoP 路由器负责护送给目标 VPS 厂商。
  • 商业表现： 物理上全程畅通无阻，丢包率常年趋近于 0，当然价格也是极其昂贵的。

针对国内去程访问优化的 VPS

• VPS 厂商向电信买 IP Transit

  以 CN2 VPS 举例。CN2 VPS 的 IP 并不属于 AS4809（中国电信），VPS 厂商也没有向电信买 IP。他们向电信买的，是“过路费（IP Transit / 带宽）”。

  • 资源准备：VPS 厂商的自有资产

    假设有一家叫“瓦工云”的海外 VPS 厂商，他们在洛杉矶租了一个大机房。

    • 获取 IP： 他们向北美地区分配 IP 的机构（ARIN）申请了一大段属于自己的 IP（比如 198.51.100.0/24）。

    • 获取 ASN： 他们也申请了自己的自治系统号（比如 AS65000）。

      所以，这台 VPS 的 IP 归属是美国 ARIN 机构，ASN 是瓦工云自己的 AS65000，和中国电信毫无关系。

  • 物理相连：机房里的“地下接头”

    瓦工云知道，如果让这些 IP 走普通的美国宽带（比如 Comcast 或 GTT）回中国，晚高峰会卡到无法呼吸，根本卖不上价。

    碰巧，中国电信在同一个洛杉矶数据中心里，设有 PoP 节点（AS4809 的边界路由器）。

    于是，瓦工云的工程师拉了一根光纤，插进了中国电信洛杉矶 PoP 路由器的端口上。这就完成了物理连接。

  • 商业交易：购买 IP Transit（过路费）

    物理连接插好后，不交钱是没法通网的。瓦工云和中国电信亚太分公司（CTG）签了一份极其昂贵的商业合同，购买 CN2 GIA IP Transit 服务（通常按 10Gbps 甚至 100Gbps 的端口计费，价格是普通线路的十几倍）。

  • BGP 协议发力：魔法时刻

    交完钱后，瓦工云的边界路由器通过那根光纤，利用 eBGP 协议向中国电信的 PoP 路由器发送一条宣告：

    “电信老大哥，我是 AS65000。如果中国国内有任何人想访问我这批 IP (198.51.100.0/24)，请你用你最高贵的 AS4809 (CN2) 网络，把他们的数据包一路护送到我这里！”

    中国电信的路由器收到宣告后，立刻更新全球路由表。

• 访问过程

  当你从浙江访问这个“CN2 VPS”的 IP 时：

  • 你的数据包进入浙江电信网络，电信的路由器查表发现：“哦，这个美国 IP (198.51.100.x) 是交了 CN2 保护费的 VIP 客户！”
  • 路由器直接把数据包扔进 AS4809 (CN2) 骨干网。
  • 数据包享受极低的延迟，一路绿灯冲过太平洋，到达洛杉矶的中国电信 PoP 节点。
  • 中国电信通过那根光纤，把包移交给瓦工云的 AS65000。
  • 最终到达你的 VPS 虚拟机。

• 线路的选择谁决定

  所以，线路的选择，一般是目标 ip 所属的公司和运营商商谈决定的，普通用户决定不了。

不同去程线路的选择

我们讨论一下一个 VPS 厂商买不同线路的情况，有几个点要说明：

• 路由规则不一样

  如果厂商买普通 163 线路和 CN2 GIA 线路，那么当我们访问这个 VPS 时，碰到的第一个路由器里的路由规则，会把数据包发往 AS4134 或者 AS4809。然后，数据包会一直在 AS4134/AS4809 里面转，然后出境。

• 国内都差不多，出国不一样

  如果厂商买普通 163 线路和 CN2 GT 线路，那么访问 VPS 时，在国内部分都是 AS4134。在国内用 AS4134 不堵，因为国内骨干网的物理冗余极大。

  但所有跨省去往国外的流量，最终都要像漏斗一样，汇聚到北上广的 IGW（国际出口网关）。

  • 如果出境继续跑 AS4134： 这就是标准的 163 普通线路。因为总出口的海缆带宽极小（相对于庞大的国内流量），IGW 路由器的出方向队列缓存会在晚高峰被瞬间塞满，发生极其惨烈的物理丢包。这就像几万辆车从八车道的高速公路，突然挤向一个两车道的跨海大桥收费站。

  • 如果出境切换到 AS4809： 在 IGW 这个拥堵的节点，路由策略把你的数据包抽离出来，扔进了旁边另一台连接着高优先级、低负载海缆通道的 CN2 路由器。你的数据包瞬间获得了“VIP 专用跨海大桥”的通行权，丢包率立刻降为 0。

• 国内也用更高级的 AS

  既然国内段 AS4134 已经挺好了，为什么那些顶级的电竞玩家、金融量化交易机构，还要花成倍的价钱去买国内跨国全程跑在贵族 AS（如 CN2 GIA 或纯 9929）上的线路呢？

  这是为了消灭那最后的 “微小不确定性（Jitter/抖动）”。

  国内的 AS4134 虽然带宽高，但它是一张“Best Effort（尽力而为）”的网。在晚高峰，你从浙江发往上海 IGW 的这几百公里，虽然不至于严重丢包，但延迟可能会从平时的 10ms 跳动到 30ms、50ms，产生网络抖动。

  看视频、刷网页对这种抖动毫无察觉（因为有应用层缓存），但在高强度的 FPS 跨国网游（比如 CS:GO、Valorant）或者对冲基金的自动化交易中，这种抖动是致命的。

  所以，顶级线路（GIA）的存在意义，就是用纯粹的金钱开道，不仅买下跨国那座大桥的 VIP，甚至把你家门口到大桥收费站的这段省际高速公路，也给你包场了。

回程

• 回程数据包的目的 IP

  回程时，数据包的 Destination IP 就是你的公网出口 IP。

• 回程的路线是谁决定的

  去程怎么走，是中国电信的路由器决定的；而回程怎么走，完全是由 VPS 的路由器决定的。

  VPS 大门： 服务器把包扔给 VPS 机房路由器。路由器查 BGP 表：“目标 IP 是中国电信。把它交给我们的上游服务商 NTT (AS2914)。”

  NTT 的算盘： NTT 收到包后，查它的全球 BGP 地图，发现：“要把包送回中国电信，我在东京机房刚好和中国电信的 163 骨干网 (AS4134) 有一根免费的对等互联直连网线。走这条路最省钱！”

• 开始排队

  NTT 会毫不犹豫地把包塞回给普通的 163 线路（AS4134）的东京 PoP 节点。接下来，惨烈的拥堵开始了，主要发生在两个物理瓶颈处：

  瓶颈一（商业交接拥堵）： NTT 和中国电信在日本交接的那个路由器端口，由于是免费互联，两边都不愿花钱扩容，端口长期处于 100% 满载状态。你的回程包在这里就要被丢掉一批。

  瓶颈二（跨海归国拥堵）： 就算熬过了交接，数据包进入电信东京节点后，准备跨越海底光缆回到上海 IGW 网关。晚高峰时，海外无数的服务器（视频、游戏、网页）都在疯狂向国内发数据，上海 IGW 的入方向（Inbound）接口队列瞬间溢出，发生极其严重的尾部丢弃（Tail Drop）。

• 如何改变 VPS 的路由器路由策略

  VPS 厂商可以控制自己机房的路由器怎么发数据，厂商在日本机房花钱拉了一根中国电信 CN2 (AS4809) 的网线。

  然后厂商在机房核心路由器里写死一条策略路由：“只要目标 IP 是中国大陆的，绝对不要交给 NTT 或者 163，全部强行塞进那根极其昂贵的 CN2 物理网线里。”

专线

IPLC 和 IEPL

IPLC 和 IEPL，直接抛弃了 IP 和路由器，降维到了数据链路层（Layer 2）甚至物理层（Layer 1）。

在专线的世界里，没有 AS，没有 BGP，没有 路由表，甚至 ISP（电信/联通）根本就不看你的 IP 地址。

• IPLC (International Private Leased Circuit) —— 纯物理层的“裸线”

  • 中文名： 国际专线

  • OSI 层面： Layer 1 (物理层)

  • 物理本质：基于 TDM（时分复用）或波分复用技术的端到端比特流。

    这就像是你花钱，让中国电信在上海机房和洛杉矶机房之间，焊死了一根专属的物理铜线/光纤（或者在 DWDM 设备上为你独占一个特定波长/时隙）。

  • ISP 的视角： 运营商的设备完全不解析任何数据包。你在这头输入高低电平（0101），运营商就在洛杉矶原封不动地吐出高低电平。哪怕你在里面跑的不是 TCP/IP 协议，而是你自己发明的火星协议，运营商也照传不误。

  • 你的视角： 就像一根极长极长的跨国网线。你需要在上海和洛杉矶两端各放一台自己的路由器，自己规划内网 IP（比如 192.168.1.x）。

• IEPL (International Ethernet Private Line) —— 跨越太平洋的“二层交换机”

  • 中文名： 国际以太网专线

  • OSI 层面： Layer 2 (数据链路层)

  • 物理本质：以太网 over SDH/OTN。

    IPLC 因为太底层，接口通常是老式的串行接口（比如 E1/T1/STM-1），对现代服务器非常不友好。于是 IEPL 诞生了。ISP 给你的接口就是最普通的 RJ45 网口或者标准光口。

  • ISP 的视角： 运营商的设备在这个层级只看 MAC 地址（以太网帧），依然不看 IP 地址。它就像是一个覆盖了半个地球的巨大二层交换机。你在上海的服务器发一个 ARP 广播，洛杉矶的服务器能直接收到。

  • 商业现状： 因为以太网接口极其方便，目前市面上绝大多数被称为“IPLC”的商业产品，底层其实都已经替换成了 IEPL 技术。

专线和墙的关系

真正的专线，在物理拓扑上完美绕过了 GFW。

回忆一下我们之前总结的拓扑：墙的 DPI 集群卡在哪里？卡在国内骨干路由器 (CR) 和 国际出口网关 (IGW) 之间。这是公共互联网 (Public Internet) 的必经之路。

而专线的拓扑是怎样的？

[你的上海办公室]
↓ (市域传输网)
[上海海缆登陆站 (传输局)]  ← 【根本不经过 CR 和 IGW，直接物理下海】
↓ (太平洋海底光缆)
[洛杉矶你的服务器]

因为专线是端到端的企业内部局域网（Intranet），它不需要也不允许与其他公共 IP 路由，所以它在机房施工时，物理光纤直接跳过了公共出入口局的路由集群，直接接入了底层的光传输网（OTN）。因为没有经过 DPI 设备的物理旁路分光，所以 GFW 根本看不见里面的流量，TCP RST 也就无从谈起。

专线 VPS

市面上的“专线 VPS”，其实是 VPS 厂商做了一层“流量转发中转 (Port Forwarding / Tunneling)”。

它的真实架构是一套拼接怪：

• 国内段（公网 Layer 3）： 你在家用 AS4134 的宽带，访问 VPS 厂商设在国内（比如深圳阿里云）的一台入口服务器。这段走的是普通公网。

• 跨国段（专线 Layer 2）： 深圳阿里云机房里，有一条 VPS 厂商花重金合租来的 IEPL 专线，直通香港机房。这台入口服务器把你的流量塞进这条物理专线，瞬间穿越到香港。

• 海外段（公网 Layer 3）： 到了香港的出口服务器后，再把你的流量解包，发送给真正的国际互联网（比如去访问 Google）。