A 机器的 a 端口访问 B 机器的 b 端口不可达时，为什么 B 机器的响应是一个 ICMP 端口不可达的包？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

V2EX 提问指南

这是一个创建于 1178 天前的主题，其中的信息可能已经有所发展或是发生改变。

ICMP 不是三层的协议吗？不看关注端口的话，A 的包已经到 B 了，至少从 IP 层考虑包已经到 B，只是因为端口导致了不可达。

11 条回复 • 2021-08-24 18:18:47 +08:00

xiaopc

2021-08-24 15:54:03 +08:00

ICMP 报文内容是放在 IP 包数据部分的

zhoudaiyu

2021-08-24 15:57:16 +08:00

@xiaopc #1 我的理解 ICMP 只管包从 A 是否路由到了 B，不管上层协议啊

xiaopc

2021-08-24 16:03:42 +08:00

这个 ICMP 的包是 B 主动发的啊
当然也可以不发，不过就违反 RFC 了

zhoudaiyu

2021-08-24 16:10:17 +08:00

@xiaopc 就是 TCP 层没有字段表示端口不可达，而低一层的 IP 层可以通过 ICMP 协议可以表示不可达，所以就让 ICMP 代劳了？

xiaopc

2021-08-24 16:19:22 +08:00

因为 ICMP 提供了发送端口不可达等网络控制消息的服务，所以 TCP UDP 这些就不需要提供同样的功能了
ICMP 是 IP 的重要组成部分

billlee

2021-08-24 17:06:46 +08:00

如果是 UDP, 这是正常行为。因为 UDP 没有能表示端口不可达的包。如果是 TCP, 正常应该是返回 RST 包，如果收到的是 ICMP 端口不可达，大概率是防火墙的行为。

zhoudaiyu

2021-08-24 17:11:43 +08:00

@billlee TCP 是 Connection Refused

billlee

2021-08-24 17:20:21 +08:00

@zhoudaiyu 没有专门的 connection refused 包，那是 BSD socket API 定义的错误码 ECONNREFUSED. 在协议上表现是收到 SYN 的主机响应 ACK + RST.

zhoudaiyu

2021-08-24 17:27:57 +08:00

@billlee 抱歉抱歉，我搞错了，刚才脑子不清醒，确实是 RST

zhoudaiyu

2021-08-24 17:38:05 +08:00

@billlee #8 但是防火墙为什么要返回 ICMP 的响应而不是通过发送 RST 呢

billlee

2021-08-24 18:18:47 +08:00

@zhoudaiyu 不知道为什么，但 iptables 指定 -j REJECT 而没有指定 --reject-with 的时候默认行为就是用 ICMP port unreachable. 一些商用防火墙是用 ACK + RST