A 机器的 a 端口访问 B 机器的 b 端口不可达时，为什么 B 机器的响应是一个 ICMP 端口不可达的包？

[zhoudaiyu]

ICMP 不是三层的协议吗？不看关注端口的话，A 的包已经到 B 了，至少从 IP 层考虑包已经到 B，只是因为端口导致了不可达。

[xiaopc]

ICMP 报文内容是放在 IP 包数据部分的

[zhoudaiyu]

@xiaopc #1 我的理解 ICMP 只管包从 A 是否路由到了 B，不管上层协议啊

[xiaopc]

这个 ICMP 的包是 B 主动发的啊
当然也可以不发，不过就违反 RFC 了

[zhoudaiyu]

@xiaopc 就是 TCP 层没有字段表示端口不可达，而低一层的 IP 层可以通过 ICMP 协议可以表示不可达，所以就让 ICMP 代劳了？

[xiaopc]

因为 ICMP 提供了发送端口不可达等网络控制消息的服务，所以 TCP UDP 这些就不需要提供同样的功能了
ICMP 是 IP 的重要组成部分

[billlee]

如果是 UDP, 这是正常行为。因为 UDP 没有能表示端口不可达的包。如果是 TCP, 正常应该是返回 RST 包，如果收到的是 ICMP 端口不可达，大概率是防火墙的行为。

[zhoudaiyu]

@billlee TCP 是 Connection Refused

[billlee]

@zhoudaiyu 没有专门的 connection refused 包，那是 BSD socket API 定义的错误码 ECONNREFUSED. 在协议上表现是收到 SYN 的主机响应 ACK + RST.

[zhoudaiyu]

@billlee 抱歉抱歉，我搞错了，刚才脑子不清醒，确实是 RST

[zhoudaiyu]

@billlee #8 但是防火墙为什么要返回 ICMP 的响应而不是通过发送 RST 呢

[billlee]

@zhoudaiyu 不知道为什么，但 iptables 指定 -j REJECT 而没有指定 --reject-with 的时候默认行为就是用 ICMP port unreachable. 一些商用防火墙是用 ACK + RST