Linux内核TCP/IP协议栈：IP分片与重组机制深度解析

前言

在网络通信中，IP分片（Fragmentation）与重组（Reassembly）是TCP/IP协议栈中一个至关重要却常被忽视的机制。当IP数据包的大小超过链路层的最大传输单元（MTU）时，路由器必须将数据包分割成多个较小的分片；而接收端则需要将这些分片重新组装成原始数据包。本文将深入剖析IP分片的原理、头部字段、重组算法，以及分片带来的安全问题和性能影响。

1. MTU与分片的必要性

每种链路层技术都对帧大小有限制，这个限制称为最大传输单元（MTU）。以太网的默认MTU为1500字节，而某些广域网链路（如PPP over Serial）的MTU可能只有576字节甚至更小。当路由器从MTU较大的接口转发数据到MTU较小的接口时，如果IP数据包大小超过了出口链路的MTU，就必须进行分片。

IPv4头部中的以下三个字段直接参与分片机制：

• 标识符（Identification，16位）：每个IP数据包的唯一标识，同一原始数据包的所有分片共享相同的标识符。
• 标志位（Flags，3位）：包含DF（Don't Fragment，不分片）、MF（More Fragments，后续还有分片）两个关键标志。
• 分片偏移（Fragment Offset，13位）：指出该分片在原始数据包中的相对位置，以8字节为单位。

2. IPv4头部分片字段详解

IPv4头部格式中与分片相关的字段布局如下：

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|Version|  IHL  |    TOS    |          Total Length             |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|         Identification        |Flags|      Fragment Offset    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|    TTL        |    Protocol |         Header Checksum         |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                       Source Address                          |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                    Destination Address                        |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

标志位（Flags）的3个比特含义：

• Bit 0：保留（必须为0）
• Bit 1：DF（Don't Fragment）— 1表示不允许分片，若数据包超过MTU则丢弃并返回ICMP不可达错误
• Bit 2：MF（More Fragments）— 1表示后续还有分片，0表示这是最后一个分片

分片偏移（Fragment Offset）以8字节（64位）为单位，因此每个分片的起始位置必须是8字节的整数倍。这意味着除了最后一个分片外，其他分片的数据部分长度必须是8的倍数。13位的分片偏移最大可表示 8192 × 8 = 65536 字节，恰好与IPv4数据包最大长度65535字节相符。

3. IP分片过程详解

假设一个4000字节的IP数据包（包含20字节头部和3980字节数据）需要通过MTU为1500字节的以太网链路：

1. 每个分片需要有20字节IP头部，因此每个分片最大可携带 1500 - 20 = 1480 字节数据。
2. 1480 ÷ 8 = 185，恰好整除（满足8字节对齐要求）。
3. 第一个分片：数据偏移0，MF=1，数据长度1480，总长度1500。
4. 第二个分片：数据偏移185，MF=1，数据长度1480，总长度1500。
5. 第三个分片：数据偏移370，MF=0，数据长度1020，总长度1040。

验证：1480 + 1480 + 1020 = 3980 字节，恰好等于原始数据长度。

所有三个分片的Identification字段相同，均为原始数据包的标识值（通常由发送端递增生成）。分片偏移告诉接收端如何将它们重新组装。

4. IP重组算法

接收端（目的主机）负责将收到的分片重新组装成原始IP数据包。重组过程涉及以下关键步骤：

4.1 分片识别与缓存

接收端根据（源IP、目的IP、协议号、Identification）四元组来识别哪些分片属于同一个原始数据包。匹配的分片被放入分片缓存（Fragment Cache）中。Linux内核使用哈希表来组织分片队列，每个IP会话对应一个ipq（IP Queue）结构。

4.2 位图追踪（Bitmap Tracking）

接收端使用位图（Bitmap）来追踪哪些8字节块已经收到。每当一个分片到达时，根据其分片偏移和数据长度设置相应的位。当位图显示从偏移0到最后一个字节的所有位都被覆盖时，重组完成。

4.3 超时与资源管理

为了防止资源耗尽攻击，接收端对分片缓存有严格的超时限制：

• Linux默认的IP分片超时时间为30秒（ipfrag_time）。
• 最大分片缓存内存为 4MB × 2^（可调整）。
• 如果在超时时间内未收到全部分片，已缓存的分片全部丢弃。
• 连续收到重复的第一分片时，会重置超时计时器（防止恶意重置攻击）。

5. 分片带来的性能问题

虽然分片机制保证了IP层的透明性，但它带来了显著的性能开销：

• 开销放大：每个分片都需要独立的IP头部（20字节），浪费了带宽。一个3980字节的数据如果不分片只需一个20字节头部，分片后则需要3×20=60字节头部。
• 丢包雪崩：IP重组要求所有分片都到达。丢失任何一个分片就意味着整个原始数据包需要重传。如果有N个分片，任一分片的丢包率是p，则重组失败概率为 1-(1-p)^N，当N较大时失败概率显著增加。
• 重组CPU开销：接收端需要维护分片缓存、执行位图操作、处理超时，这些在高带宽场景下消耗可观的CPU资源。
• 状态防火墙/NAT复杂性增加：防火墙和NAT设备必须跟踪所有分片状态以实现状态检测，增加了内存和计算负担。

6. Path MTU Discovery（PMTUD）

为了避免分片，现代TCP/IP栈使用PMTU发现机制：

1. 发送端设置DF标志位（不分片），发送一个较大数据包。
2. 中间路由器若发现数据包超出MTU，则丢弃该包并返回ICMP Fragmentation Needed消息。
3. 发送端根据ICMP消息中的MTU信息降低数据包大小，重新发送。
4. 通过迭代发现整条路径的最小MTU，此后按此MSS（Maximum Segment Size）发送数据。

PMTUD的核心参数MSS（Maximum Segment Size）= 路径MTU - IP头部(20) - TCP头部(20)。在标准以太网中，MSS通常为1460字节。

PMTUD的脆弱性：如果中间防火墙过滤了ICMP消息（某些管理员误配置），PMTUD会"黑洞化"——数据包被默默丢弃，连接挂起。这就是著名的PMTUD Black Hole问题。解决方案包括TCP MSS Clamping（在SYN包中修改MSS值）和TCP Level PMTUD（PLPMTUD，RFC 4821）。

7. IP分片与安全防护

IP分片机制在网络安全领域引发了多种攻击和防护技术：

7.1 分片重叠攻击（Overlapping Fragments）

攻击者故意发送偏移重叠的分片，利用不同操作系统对重叠分片的不同处理策略（优先保留先到达的还是后到达的），绕过入侵检测系统（IDS）。例如，Snort和iptables对重叠分片的处理方式不同，攻击者可以将恶意载荷拆分到重叠区域，使IDS看到的是无害内容，而实际主机重组后得到的是恶意载荷。

7.2 微小分片攻击（Tiny Fragment Attack）

攻击者将TCP头部信息（如目的端口）拆分到第二个分片中。第一个分片只有8字节（不含TCP头部），导致无状态防火墙无法检查端口信息而放行。Linux内核通过ipfrag_max_dist参数限制分片的合法距离来防范此类攻击。

7.3 资源耗尽攻击（Resource Exhaustion）

攻击者发送大量不完整分片（只有第一个或中间分片），迫使目标系统缓存这些分片直至超时。Teardrop就是经典的利用分片偏移重叠触发内核崩溃的攻击。现代操作系统已对此类异常分片进行了严格校验。

7.4 IPv6的分片差异

IPv6简化了分片机制：中间路由器不再执行分片，分片只能在源节点进行。源节点必须使用PMTUD确定路径MTU。IPv6使用扩展头部分片（Fragment Header），路由器只需转发不做处理。这大大减少了路由器的负担，同时使PMTUD成为IPv6的强制要求。

8. Linux内核中的IP重组实现

Linux内核通过netfilter框架中的nf_conntrack模块处理IP分片重组。关键数据结构包括：

• struct inet_frags：分片控制结构，包含分片操作函数表（构造、散列、比较、超时处理）。
• struct ipq：一个IP数据包的所有分片队列，包含红黑树以偏移排序缓存分片。
• struct sk_buff：内核网络数据包结构，分片通过frag_list链接。

关键sysctl参数：

• net.ipv4.ipfrag_time：分片超时时间（默认30秒）。
• net.ipv4.ipfrag_high_thresh：分片缓存最大内存（默认4MB）。
• net.ipv4.ipfrag_low_thresh：开始回收分片的阈值。
• net.ipv4.ipfrag_max_dist：分片间最大偏移差异（默认64，防重叠攻击）。

9. 最佳实践与建议

基于以上分析，给出网络编程和运维中的关键建议：

1. 始终启用PMTUD：在发送端使用DF标志，配合TCP MSS协商，尽量避免中间节点分片。
2. 不要盲目过滤ICMP：允许ICMP Type 3 Code 4（Fragmentation Needed）通过，防止PMTUD黑洞。
3. 防火墙配置：现代防火墙应启用分片重组（如iptables的-f选项配合conntrack）后再进行安全策略匹配。
4. 监控分片流量：异常的分片流量往往是扫描或攻击的前兆，应纳入网络监控体系。
5. 迁移到IPv6：IPv6消除了中间节点分片，从根本上减少了分片攻击面。

总结

IP分片与重组是TCP/IP协议栈中最古老也最精妙的机制之一。它通过仅3个字段的精巧设计，实现了网络层上的透明传输。但它也带来了性能损失和安全风险。理解分片的原理不仅有助于网络故障诊断（如MTU不匹配导致的连接问题），也是构建安全网络架构的基础知识。在云原生时代，虽然Overlay网络（如VXLAN、Geneve）进一步封装了传统IP层，但底层的分片机制依然是网络工程师必须掌握的核心知识。