传输层基础：端口、复用与端到端通信

到网络层为止，我们解决的问题是「一个包怎么送到某一台主机」。但现实里，一台主机上同时跑着一大堆程序：浏览器开着几十个标签、后台连着数据库、SSH 会话、消息队列消费者、Web 服务器……网络层把包送到了这台机器的网卡，可操作系统怎么知道这份数据到底该交给哪个程序？IP 地址只能定位到「哪台机器」，没法定位到「机器里的哪个进程」。这道缺口，就是传输层要补的。

很多人学传输层，上来就背「端口是 0~65535」「TCP 可靠 UDP 不可靠」，却没搞清最根本的机制：操作系统到底是凭什么、按什么步骤，把网卡收到的一份数据准确分发给某个进程的某个连接的。 所以这一篇我们先把这套「分发机制」讲透——端口怎么参与、复用和分用具体怎么发生、内核靠什么键值找到目标 socket，再回头解释端口号、端到端、以及为什么传输层要分裂成 TCP 和 UDP 两种风格。

网络层把通信从「主机到主机」做到位，传输层在它之上再补一层，把通信细化成「进程到进程」——准确说，是「socket 到 socket」。

一、传输层到底补上了哪道缺口

先把分工说清。IP 地址标识的是「网络中的一个接口」，它能把包送到正确的主机，但到此为止——它对「这台主机里有哪些进程、数据该给谁」一无所知。

传输层用一个新东西补上：端口号（port）。每个想收发网络数据的进程，会向操作系统申请一个端口；数据到达时，操作系统就按端口号把它分发给对应的进程。

一个常用的比喻：IP 地址负责把信送到「正确的大楼」，端口号负责把信送到「楼里正确的房间」。没有房间号，信只能堆在大楼门口，没人知道该给谁。

这就是传输层存在的根本理由：让一台主机上多个程序能够有序地共享同一套网络收发能力，而互不串扰。

二、端口号的本质：一个逻辑分发编号

要破除一个常见误解：端口不是物理硬件插口，它纯粹是操作系统用来做数据分发的逻辑编号，范围 0~65535（16 位）。理解它的几个关键点：

  • 服务端「监听」一个端口：一个进程调用 bind + listen 占用某端口，等于告诉内核「发往这个端口的数据都交给我」。80→HTTP、443→HTTPS、22→SSH、3306→MySQL，这些是约定俗成的知名端口（0~1023），但这只是约定，技术上没强制。
  • 客户端用「临时端口」：客户端发起连接时，内核会自动从一段临时端口范围（ephemeral port，Linux 默认约 32768~60999）里随便挑一个没被占用的作为源端口。你平时不用关心它具体是几。
  • 端口是分发的「键」：内核维护着一张「端口（及更多信息）→ socket」的对应关系，数据来了就靠它查找投递。

所以端口一点都不神秘——它就是操作系统手里的一把「分发钥匙」，凭这把钥匙把数据塞进对的进程。

三、核心机制：复用与分用怎么发生

「复用（multiplexing）」和「分用（demultiplexing）」是传输层最核心的两个动作，听着抽象，拆成发送和接收两个方向就一目了然：

复用（发送侧）：主机上多个进程（浏览器、SSH、数据库客户端……）都要发数据。传输层把每个进程的数据各自打上源端口、目的端口封装成段（segment），再统统交给下面的 IP 层发出去。「多个进程的数据汇聚到同一条网络出口」——这就是复用。

分用（接收侧）：网卡收到一个个包，传输层要把它们拆开，准确分发给各自的目标进程。问题是：凭什么分？这就引出了机制的核心——内核靠哪些字段来定位目标 socket。这里 TCP 和 UDP 不一样：

  • UDP 是「二元组」分用：UDP 无连接，内核基本只看目的 IP + 目的端口就把数据报投给监听该端口的 socket。所有发往这个端口的数据，不管来自谁，都进同一个 socket。
  • TCP 是「四元组」分用：TCP 面向连接，内核要靠完整的 四元组（源 IP、源端口、目的 IP、目的端口） 来定位具体是哪一条连接。

四元组是理解 TCP 分用的钥匙：哪怕成千上万个客户端都连向服务器的同一个端口（比如 443），内核也能把它们区分成成千上万条独立连接——因为每条连接的「源 IP + 源端口」不同，四元组就不同。

这解释了一个经典疑惑：一个服务端口能同时服务多少连接？ 答案是：远不止一个。服务端 bind 在 443，但每来一个客户端，内核都会基于四元组建立一条独立连接、分配一个独立的连接 socket。限制连接数的从来不是「端口只有一个」，而是文件描述符、内存等资源。

四、把分发过程走一遍

把上面的机制串成一次完整的数据到达过程，设服务器 1.2.3.4 上 nginx 监听 443：

  1. 一个 TCP 段到达网卡，网络层确认目的 IP 是本机 1.2.3.4，把载荷交给 TCP 层；
  2. TCP 层取出段里的源端口、目的端口，组合出四元组：(客户端IP, 客户端端口, 1.2.3.4, 443)；
  3. 内核拿这个四元组去连接表里查：如果命中某条已建立连接，就把数据投进那条连接的接收缓冲区；
  4. 如果是新的 SYN（没有匹配的已建立连接），就交给监听在 443 的 listen socket，走建连流程；
  5. 对应进程（nginx 的某个 worker）从 socket 读到数据。

整个过程里，端口号是分发的入口，四元组是 TCP 精确定位连接的依据。看懂这条链路，你就明白「数据到了主机之后，凭什么进了对的进程、对的连接」。

五、端到端：复杂性为什么留在两端

传输层还有一个常被忽略却极重要的特性——它是**端到端（end-to-end）**的。意思是：传输层的协议头（端口、序列号、确认号、窗口这些），只在通信的源主机和目的主机被完整解释和处理；中间的路由器一概不看。

中间的路由器只干一件事：看 IP 头转发。它不关心、也不解析你这个段是发给浏览器还是数据库，不维护你的 TCP 连接状态。所有的可靠性、顺序、流量控制逻辑，全都由两端的主机负责。

这就是著名的「端到端原则」：让中间网络尽量简单（只管转发），把复杂功能推到两端去实现。

为什么这么设计？因为中间网络规模巨大、设备各异，如果让每台路由器都维护每条连接的状态，既不可扩展也不可靠（路由随时可能变，包可能走不同路径）。把状态和复杂逻辑收敛到两端，网络核心就能保持简单、高效、易扩展——互联网能长成今天这个规模，这个原则功不可没。（注意：NAT、防火墙这类中间设备其实偷看并修改了传输层信息，所以它们被称为「破坏端到端原则」的存在，上一篇 NAT 的种种副作用根源正在于此。）

六、为什么传输层要分成 TCP 和 UDP

机制讲清了，最后回答这个设计问题。既然传输层负责进程间通信，为什么不做一个协议包打天下，非要分成 TCP 和 UDP？

因为不同应用对通信质量的诉求根本矛盾：

  • 有的场景要的是可靠、有序、不丢不重：网页加载、数据库访问、文件传输、RPC 调用——少一个字节、顺序错乱都可能出大问题。这些选 TCP，它用连接、确认、重传、排序、流控把这些都兜住。
  • 有的场景要的是低延迟、低开销、自己说了算：实时语音、视频、在线游戏、DNS 查询——晚到的数据还不如直接丢掉补新的，建连接的开销和重传的延迟反而是负担。这些选 UDP，它只做最基本的端口分发和校验，其余交给应用。

传输层没有强行统一，而是提供两种风格，让应用按需选择。这本身就是一种成熟的设计哲学：与其用一个折中的协议谁都伺候不好，不如提供两个极端，让上层自己权衡。 后面两篇我们就分别展开 UDP 和 TCP。

七、工程视角：传输层离后端有多近

传输层看着底层，其实你写后端时天天在碰它，只是常被框架藏起来：

  • 端口占用与监听：Address already in use 是最常见的报错之一——某端口已被占用。ss -tlnp / lsof -i:端口 看谁占了端口，是基本功。服务到底 bind 在 127.0.0.1 还是 0.0.0.0，决定了它能不能被外部访问。
  • 连接数与四元组：理解了「连接靠四元组区分」，你就明白为什么单台服务器能扛几十万并发连接（受限于内存/fd，而非端口数），也明白客户端在「连同一个目标」时才会受临时端口数量（约 6 万）的限制。
  • ss / netstat 排障：看连接处于什么状态、连向哪、源端口是几，全建立在端口和四元组概念上。
  • 负载均衡与 NAT 会话：四层负载均衡（LVS、L4 LB）就是基于四元组转发；NAT 的会话表也以四元组为键。它们都直接架在传输层概念之上。

八、学习这一部分最容易踩的坑

1. 以为端口是硬件插口

端口是操作系统用于数据分发的逻辑编号，跟物理网口无关。一台机器一块网卡，照样能用成千上万个端口。

2. 以为一个端口只能服务一个连接

服务端监听一个端口，能同时承载海量连接——因为 TCP 靠四元组区分连接，源 IP/端口不同就是不同连接。限制连接数的是资源，不是端口数量。

3. 混淆 TCP 和 UDP 的分用依据

UDP 基本按「目的 IP + 目的端口」二元组分用，TCP 按完整四元组分用。搞不清这点，就理解不了 TCP 为什么能在同一端口上区分千万连接。

4. 忽略「端到端」的含义

中间路由器不解析传输层，可靠性等逻辑全在两端。NAT/防火墙偷看并改传输层信息，正是「破坏端到端」的典型，许多疑难问题的根子就在这。

总结

这一篇我们先讲机制、后讲设计，核心是看清「数据到达主机后，凭什么准确进入对的进程、对的连接」：

  • 传输层用端口号补上了 IP 的缺口，把通信从「主机到主机」细化为「进程（socket）到进程」；
  • 端口是操作系统的逻辑分发编号，服务端监听固定端口，客户端用临时端口；
  • 复用是发送侧把多进程数据打上端口汇聚出网，分用是接收侧按端口/四元组拆分投递；
  • UDP 按「目的 IP+端口」二元组分用，TCP 按完整四元组分用，故一个服务端口能承载海量连接；
  • 端到端原则让中间网络只管转发、复杂性留在两端，NAT/防火墙因偷改传输层信息而「破坏」了它；
  • 传输层分成 TCP 和 UDP，是为了用两种极端服务满足「可靠有序」与「低延迟轻量」两类矛盾诉求。

当你能说清「一个发往 443 端口的包，内核是怎么靠四元组把它送进千万连接中正确那一条」的，传输层的地基就稳了。下一篇我们从轻量的 UDP 开始。

参考资源：