TCP/IP: что это, как работает и зачем нужен сетевой стек

TCP/IP — сетевой стек, который помогает устройствам находить друг друга, передавать пакеты и поднимать соединения между программами. Это не один протокол, а набор правил, на котором держатся адресация, маршрутизация и обмен данными в сети. Без этой базы тяжело разбирать доступность сервисов в работе.

IP отвечает за адрес и путь пакета через сеть. TCP работает поверх IP и добавляет соединение, порядок байтов, подтверждения и повтор потерянных данных. Проще говоря: IP доставляет пакет к узлу, а TCP делает обмен между программами надёжнее.

Нет. TCP/IP — сетевой слой, который помогает довести данные до нужного узла и порта. HTTP работает выше и описывает уже сам запрос приложения: метод, заголовки, статус и тело ответа. Поэтому ошибка HTTP не всегда означает сетевую проблему.

Ping использует ICMP и показывает только часть картины. Узел может отвечать на ping, но не принимать подключение на нужный TCP-порт; бывает и наоборот, когда ICMP закрыт, а сервис доступен. Поэтому дальше всё равно надо проверять DNS, маршрут, порт и соединение.

Сначала проверяют имя и адрес, затем маршрут, потом нужный порт и сам факт TCP-соединения. Только после этого переходят к TLS, HTTP, авторизации и логике приложения. Такой порядок помогает не спорить о коде там, где запрос ещё не дошёл до сервиса.

Не только сетевым инженерам. Он нужен DevOps, SRE, системным администраторам, бэкенд-разработчикам, безопасникам и поддержке. Чем больше распределённых сервисов и интеграций, тем чаще именно понимание TCP/IP помогает быстро показать, где исчез доступ и кто должен чинить проблему.

OSI — учебная эталонная модель, TCP/IP — рабочая: по ней реально ходит трафик в интернете. Верхние три уровня OSI (прикладной, представления, сеансовый) в TCP/IP слиты в один прикладной, а физический и канальный объединены в уровень сетевого доступа. На собеседованиях чаще спрашивают OSI, в реальной диагностике думают уровнями TCP/IP — полезно свободно переводить одно в другое.

TCP гарантирует доставку и порядок: он подтверждает каждый сегмент и досылает потерянное — поэтому на нём живут сайты, почта и API. UDP просто кидает датаграммы без подтверждений: быстрее, но без гарантий. Его выбирают там, где опоздавший пакет хуже потерянного — звонки, стримы, онлайн-игры, DNS-запросы. QUIC (основа HTTP/3) построен поверх UDP, но сам добавляет надёжность.

Перед передачей данных TCP устанавливает соединение за три шага: клиент шлёт SYN, сервер отвечает SYN-ACK, клиент подтверждает ACK. После этого обе стороны знают начальные номера последовательностей и готовы обмениваться данными. Если видите зависание на SYN_SENT в выводе ss — SYN ушёл, а ответа нет: порт закрыт файрволом или сервис не слушает.

MTU — максимальный размер кадра, который канал передаёт без фрагментации; для Ethernet это обычно 1500 байт. Если по пути есть туннель (VPN, PPPoE), полезное место уменьшается, а пакеты с флагом «не фрагментировать» начинают молча пропадать. Классический симптом: ping проходит, маленькие страницы открываются, а большие висят. Лечится подбором MTU или включением MSS clamping на роутере.

NAT подменяет приватные адреса вида 192.168.x.x на один публичный IP роутера и запоминает соответствия в таблице трансляций: какой внутренний адрес и порт каким внешним портом представлен. Ответ из интернета приходит на роутер, тот по таблице возвращает пакет нужному устройству. Так весь офис выходит в сеть через один адрес — но входящие соединения извне без проброса портов не пройдут.

IPv4 даёт около 4,3 млрд адресов — их не хватает, отсюда NAT и серые сети. IPv6 использует 128-битные адреса вида 2001:db8::1, встроенную автоконфигурацию и избавляет от NAT. Переход медленный, потому что обе версии несовместимы напрямую: провайдерам и сервисам приходится держать двойной стек, а старое оборудование и приложения знают только IPv4.

Сокет — программный интерфейс к сети: комбинация IP-адреса, порта и протокола, через которую приложение читает и пишет данные. Сервер «слушает» сокет 0.0.0.0:443, клиент открывает свой с временным портом — вместе они образуют соединение. Когда сервис не стартует с ошибкой address already in use, это про сокет: порт уже занят другим процессом.

Устройство без адреса шлёт широковещательный запрос DISCOVER, DHCP-сервер предлагает адрес (OFFER), клиент просит его (REQUEST), сервер подтверждает (ACK) — схему запоминают как DORA. Вместе с IP приходят маска, шлюз и DNS-серверы, всё в аренду на время. Если устройство получило адрес 169.254.x.x — DHCP-сервер не ответил, и система назначила заглушку сама.

IP-адрес говорит, куда доставить пакет логически, но внутри локального сегмента кадры ходят по MAC-адресам. ARP переводит одно в другое: устройство спрашивает в широковещательном запросе «у кого IP 192.168.1.1?», владелец отвечает своим MAC. Посмотреть таблицу соответствий можно командой ip neigh или arp -a — при странностях в локалке это одна из первых проверок.

Каждая строка — маршрутизатор на пути пакета, время в миллисекундах — задержка до него. traceroute намеренно отправляет пакеты с растущим TTL: каждый узел, обнуляя счётчик, выдаёт себя ICMP-ответом. Звёздочки не всегда беда: многие узлы просто не отвечают на такие запросы. Тревожный признак — рост задержки, который сохраняется на всех последующих узлах, или обрыв трассы до цели.

Обе утилиты показывают открытые соединения и слушающие порты. netstat — классика, есть почти везде, но в Linux считается устаревшей; ss работает быстрее и показывает больше деталей о состояниях TCP. Базовая команда на каждый день: ss -tulpn — все слушающие TCP/UDP-порты с процессами. Так за секунды выясняется, кто занял порт и слушает ли сервис вообще.

Поставьте Wireshark, запишите минуту трафика при открытии одного сайта и разберите её. Освойте display-фильтры: http, dns, tcp.port == 443, ip.addr == x.x.x.x — без них дамп нечитаем. Найдите three-way handshake через Follow TCP Stream, посмотрите DNS-запрос и ответ. Один такой разбор даёт больше понимания стека, чем десяток статей.

Заметная часть инцидентов в инфраструктуре — сетевые: сервис не отвечает, балансировщик шлёт в мёртвый бэкенд, под в Kubernetes не видит базу. Docker-сети, ingress, service mesh, security groups — всё это надстройки над TCP/IP, и без понимания основ их поведение выглядит магией. В московском IT-срезе DevOps — главная роль по числу вакансий с этим навыком: 264 позиции.

Классика: уровни моделей и что на каком живёт, отличие TCP от UDP, рукопожатие и разрыв соединения, как работает ARP и NAT, расчёт подсетей по маске. Дальше идут сценарии: «пользователь не открывает сайт — ваши действия по шагам». Ценят не заученные определения, а порядок диагностики: от канального уровня к прикладному, с конкретными командами на каждом шаге.

Зарплату в вакансиях с TCP/IP определяют роль и грейд, а не сам навык — актуальные данные смотрите в рыночном блоке этой страницы. Сетевой инженер — одна из самых частых ролей рядом с DevOps. Заметно поднимают вилку смежные навыки: чаще всего в паре с TCP/IP доплачивают за Grafana, Docker и PostgreSQL.

Это три самых частых порта в работе: 80 — HTTP, 443 — HTTPS, 22 — SSH. Ими проверяют доступность веб-сервиса и удалённый доступ к серверу: curl -v на 80/443, ssh на 22. Из той же обоймы: 53 — DNS, 25/465 — почта, 3306 и 5432 — MySQL и PostgreSQL. Знание well-known портов ускоряет чтение вывода ss и правил файрвола.

Это два разных TTL. В IP-пакете TTL — счётчик прыжков: каждый маршрутизатор уменьшает его на единицу, при нуле пакет отбрасывается — так сеть защищается от вечных петель, а traceroute строит маршрут. В DNS TTL — время в секундах, на которое ответ кешируется: поэтому после смены A-записи сайт «переезжает» не мгновенно, а когда истечёт кеш.

CIDR-суффикс говорит, сколько бит адреса отведено под сеть: /24 — это маска 255.255.255.0 и 254 адреса для хостов, /16 — 65 534. Подсети делят большую сеть на изолированные сегменты: офисные ВЛАНы, приватные подсети в облаке, сети подов в Kubernetes. Уметь быстро посчитать диапазон по маске — базовое требование и в сетевых, и в DevOps-вакансиях.

Порядок такой: разберите 4 уровня стека и путь пакета от браузера до сервера, затем руками пройдитесь по своей сети командами ip addr, ip route, ping, traceroute, dig, ss. Дальше — Wireshark и разбор живого трафика, потом подсети и NAT на домашнем роутере или в бесплатном Packet Tracer. Через месяц такой практики уровень уже выше, чем у большинства кандидатов на поддержку и джуниор-админа.