ICMP 差错是什么

ICMP 差错报文是 IP 层的退信通知：路由器无法转发、或目的主机无法交付某个包时，会回一条 ICMP 给源地址说明失败原因。它不承载业务数据，只承载「为什么没送到」，所以是可达性问题的第一手证据。IPv4 差错类型主要有 3 目的不可达、5 重定向、11 超时、12 参数问题；IPv6 的同类信息走 icmpv6 字段，语义相近但类型号不同。差错报文固定内嵌「触发它的原始 IP 头加原始载荷前 8 字节」，Wireshark 会把内层包展开，据此可把差错精确关联到某条具体流。

基本信息

典型使用场景

• 路径逐跳结果异常：想确认每跳到底回了什么类型差错，读内嵌原始包即可对上
• UDP 服务排查：应用收不到请求而抓包出现 type 3 code 3，说明目的端口没有监听进程
• 大包不通小包正常：出现 type 3 code 4，是路径 MTU 发现黑洞的典型信号
• 连接立刻失败：区分回 RST 还是回 ICMP 不可达，前者多为服务或策略拒绝，后者是路由不可达
• 跨设备排障：中间设备回管理员禁止，说明是被 ACL 拦截而不是路由缺失

定位 ICMP 差错

icmp.type == 3                     # Destination Unreachable，目的不可达
icmp.type == 3 && icmp.code == 3   # Port Unreachable，UDP 端口无监听常见
icmp.type == 3 && icmp.code == 4   # Fragmentation Needed，PMTUD 黑洞信号
icmp.type == 3 && icmp.code == 13  # 被策略过滤，Communication Administratively Filtered
icmp.type == 11                    # Time Exceeded，TTL 超时
tshark -r a.pcap -Y 'icmp.type==3' -T fields -e ip.src -e icmp.code  # 命令行提取源与 code

type/code 速查