如果你是一個(gè)網(wǎng)絡(luò)從業(yè)者，一定學(xué)習(xí)過(guò) OSI 7 層模型，長(zhǎng)期以來(lái)，這一直作為我們理解和解決網(wǎng)絡(luò)問(wèn)題的基石存在。

然而，2023年9月，Robert Graham 在Google文檔發(fā)表了一篇名為“OSI Deprogrammer，重新構(gòu)想網(wǎng)絡(luò)空間”的文章，并主張“OSI模型必須淘汰！”

Robert Graham曾在20世紀(jì)90年代末擔(dān)任Network General的首席架構(gòu)師，為OSI和TCP/IP編寫(xiě)代碼。本文的大部分內(nèi)容來(lái)自他從不同角度看待網(wǎng)絡(luò)的經(jīng)驗(yàn)，而不僅僅是OSI或TCP/IP的角度。其后也在數(shù)據(jù)中心工作了多年，解決了很多互聯(lián)網(wǎng)的核心問(wèn)題，除了實(shí)踐經(jīng)驗(yàn)外，他還綜合了很多學(xué)術(shù)論文的觀點(diǎn)。

Graham在摘要中表示，OSI模型是一個(gè)徹頭徹尾的謊言，沒(méi)有任何幫助。除了作為20世紀(jì)70年代大型機(jī)的歷史注腳外，它應(yīng)該被徹底移除。

我們普遍理解的OSI 7層模型每層都有其獨(dú)特的功能：

物理層：處理硬件，如電纜和網(wǎng)卡。

數(shù)據(jù)鏈路層：確保連接設(shè)備之間有牢固的鏈接，并處理錯(cuò)誤。它定義了“幀”——物理鏈接可使用的最大單元，并標(biāo)識(shí)了鏈接上的內(nèi)容。

網(wǎng)絡(luò)層：使用鏈路層的幀和鏈路層標(biāo)識(shí)在不同網(wǎng)絡(luò)之間發(fā)送數(shù)據(jù)。

傳輸層：管理設(shè)備之間的數(shù)據(jù)流并修復(fù)錯(cuò)誤。

會(huì)話(huà)層：使用一個(gè)或多個(gè)底層傳輸設(shè)置并維護(hù)應(yīng)用程序之間的連接。

表示層：確保數(shù)據(jù)可讀且安全。

應(yīng)用層：軟件應(yīng)用與網(wǎng)絡(luò)進(jìn)行交互的地方。

Graham認(rèn)為，OSI模型存在多個(gè)方面的問(wèn)題：

它基于過(guò)時(shí)的、大型機(jī)時(shí)代的概念，強(qiáng)調(diào)跨過(guò)程調(diào)用棧的嚴(yán)格功能分離，而這些概念已不再適用。

它缺乏靈活性，實(shí)際上網(wǎng)絡(luò)中的功能可以在不同上下文之間交叉。調(diào)用可以進(jìn)入傳輸層（TCP、UDP），影響網(wǎng)絡(luò)和鏈路層（IPv4或IPv6，以及以太網(wǎng)或光網(wǎng)絡(luò)）在會(huì)話(huà)方面的行為。

它對(duì)網(wǎng)絡(luò)交換的哪些部分發(fā)生在本地，哪些發(fā)生端到端以及在此過(guò)程中客戶(hù)端和服務(wù)器的各自角色方面施加了限制。

本文重點(diǎn)選取了“誤解”一章的部分內(nèi)容，這一章中Graham揭露了諸如“分層”之類(lèi)的普遍“錯(cuò)誤”觀念。

01OSI 不是通用理論

OSI 被視為理論的主要原因是很多人并不知道它的含義。該模型包含很多只適用于大型機(jī)網(wǎng)絡(luò)的術(shù)語(yǔ)。大家不了解大型機(jī)，所以當(dāng)遇到一個(gè)本應(yīng)特定于大型機(jī)的術(shù)語(yǔ)時(shí)，他們反過(guò)來(lái)強(qiáng)行將其重新解釋?zhuān)屗鼇?lái)做到包含所有網(wǎng)絡(luò)通用的含義。

這一點(diǎn)在“會(huì)話(huà)層（session）”尤為明顯。在 OSI 命名這一層時(shí)，它與一般會(huì)話(huà)無(wú)關(guān)，而是與將終端連接到大型機(jī)的非常具體的問(wèn)題有關(guān)。他們甚至可以用許多同義詞來(lái)稱(chēng)呼它：連接層、通道層、討論層、對(duì)話(huà)層、交互層、關(guān)聯(lián)層等等。

我們所認(rèn)為的會(huì)話(huà) （如在HTTP中）實(shí)際上在 OSI 中稱(chēng)為關(guān)聯(lián)（associations），并分配給應(yīng)用層。

而OSI 的會(huì)話(huà)從來(lái)就不是指我們現(xiàn)在所認(rèn)為的抽象的、理論性的概念。它從不包含HTTP會(huì)話(huà)cookie、SSL會(huì)話(huà)握手和NetBIOS會(huì)話(huà)服務(wù)等內(nèi)容。

人們往往會(huì)被自己的無(wú)知所迷惑。他們不知道OSI最初的session是什么意思，所以相信它可以是任何意思。這就導(dǎo)致了每個(gè)人的解釋都不一樣的問(wèn)題。這同樣適用于幾乎所有其他OSI術(shù)語(yǔ)。它們都有特定的含義——對(duì)大型機(jī)而言。我們不清楚這些詞在其他語(yǔ)境中到底是什么意思，所以每個(gè)人都在對(duì)它們的意思做出自己的解釋。

02OSI不是一個(gè)框架

OSI 模型中的“層”有兩個(gè)用途。第一個(gè)是協(xié)議的具體設(shè)計(jì)。第二個(gè)是某種分類(lèi)法、層次結(jié)構(gòu)、分類(lèi)系統(tǒng)、類(lèi)別、框架、時(shí)間線、位置或本體論。即使沒(méi)有協(xié)議屬于這層，也會(huì)將概念分配給層。

例如，沒(méi)有表示層協(xié)議，但盡管如此，人們還是將功能分配給該層，例如加密或壓縮。

我們現(xiàn)在將功能分配給層的方式實(shí)際上很大程度上都是用的TCP/IP 模型。今天的傳輸層幾乎從未像 OSI 那樣定義，而取決于 TCP 如何定義自身。

實(shí)際上，網(wǎng)絡(luò)的大多數(shù)功能都可以發(fā)生在任何層。

例如，我們分配給傳輸層的大多數(shù)功能，連接、分段、流量控制和重傳實(shí)際上可以在任何層發(fā)生。

我們所看到的分配給層的功能來(lái)自于重新解釋。將以太網(wǎng)和TCP/IP協(xié)議的功能分配給最近的OSI層，然后根據(jù)以太網(wǎng)和TCP/IP的功能定義OSI層。由于TCP 支持這些功能（連接、分段、流量控制、重傳），并且我們將 TCP 指定為T(mén)ransport傳輸，因此我們聲稱(chēng)這些是傳輸層的功能。

層中定義的真正功能實(shí)際上很小。例如，OSI 對(duì)傳輸層的真正定義是它是端到端的，其中端點(diǎn)被定義為在兩臺(tái)計(jì)算機(jī)上運(yùn)行的進(jìn)程。就這樣，沒(méi)有更多了。

所有層都是如此。OSI 幾乎沒(méi)有為任何特定層分配任何內(nèi)容，現(xiàn)在分配給特定層的大多數(shù)功能都是由多個(gè) OSI 層處理的。

03OSI前 3 層是虛構(gòu)的，下4層也不準(zhǔn)確

OSI 模型有 7 層。然而，在當(dāng)今的互聯(lián)網(wǎng)上，只有最后 4 個(gè)以任何合理的形式存在。這給很多人帶來(lái)了難題，他們往往選擇以下兩種策略之一：

1）忽略上面 3 層，重點(diǎn)關(guān)注下面 4 層。

2）制作一些東西來(lái)填充上面 3 層。

OSI 模型的上面 3 層是虛構(gòu)的，下面 4 層大致映射到以太網(wǎng) MAC+PHY 和互聯(lián)網(wǎng) TCP/IP。

這里的一個(gè)問(wèn)題是，以太網(wǎng)和互聯(lián)網(wǎng)實(shí)際上并不符合這 4 層的原始定義，即 20 世紀(jì) 70 年代創(chuàng)建的定義。為了讓它變得合適，他們對(duì) OSI 的說(shuō)法以及以太網(wǎng)和互聯(lián)網(wǎng)的工作原理“撒了謊”。

最大的謊言是假裝以太網(wǎng)不是網(wǎng)絡(luò)。

以太網(wǎng)是一個(gè)成熟的網(wǎng)絡(luò)，它根據(jù)目標(biāo)地址逐跳轉(zhuǎn)發(fā)數(shù)據(jù)包。這就是以太網(wǎng)交換機(jī)內(nèi)部發(fā)生的情況。然而，為了能夠合理解釋這一切，他們創(chuàng)造了一些新詞，例如， 當(dāng)以太網(wǎng)執(zhí)行中繼時(shí)，將中繼稱(chēng)為“橋接”，而當(dāng)互聯(lián)網(wǎng)執(zhí)行中繼時(shí)，將中繼稱(chēng)為“路由”。事實(shí)上，它的功能相同，只有細(xì)微的差別。

同樣，TCP/IP 互聯(lián)網(wǎng)是一個(gè)互聯(lián)網(wǎng)絡(luò) ，而不是 OSI網(wǎng)絡(luò)層設(shè)想的網(wǎng)絡(luò)，必須對(duì)它們最初的含義“撒謊”，才能夠自圓其說(shuō)。

同樣的情況也發(fā)生在互聯(lián)網(wǎng)上，互聯(lián)網(wǎng)確實(shí)在以太網(wǎng)上運(yùn)行，但在一個(gè)模型中一起展示細(xì)節(jié)是錯(cuò)誤的抽象層。正確的抽象層是在本地網(wǎng)絡(luò)（如以太網(wǎng)）上定義互聯(lián)網(wǎng)。然后我們可以展開(kāi)子層，顯示每個(gè)子層如何執(zhí)行相同的功能。這樣，上2層就不會(huì)與下2層糾纏在一起。

04OSI 的“層”概念并不存在

除了列舉具體的層之外，OSI 還將分層（layering）作為一個(gè)抽象概念。

例如以下抽象，其中每一層都是根據(jù)它如何與這一端的相鄰層交互來(lái)定義的，同時(shí)與遠(yuǎn)程端的對(duì)等層進(jìn)行通信。

但實(shí)際上沒(méi)有任何層純粹以這種方式工作。

網(wǎng)絡(luò)堆棧最重要的原則是事物是分層的。但這并不意味著存在固有的層次，即某些東西屬于 某個(gè)特定的層次。

我們喜歡分層的是整個(gè)網(wǎng)絡(luò)?；ヂ?lián)網(wǎng)是一個(gè)完整的網(wǎng)絡(luò)。在ISP中，它可能位于MPLS之上，MPLS 也是整個(gè)網(wǎng)絡(luò)。MPLS本身可以在本地鏈路上分層，包括以太網(wǎng)，這是一個(gè)完整的網(wǎng)絡(luò)。

分層的另一種類(lèi)型是協(xié)議。它們是在彼此之上運(yùn)行的，但這并不意味著它們屬于堆棧中的某個(gè)位置。

例如，MS-RPC一種重要的 Microsoft 協(xié)議，下圖是它的原理圖。它基于各種協(xié)議，而這些協(xié)議又相互疊加。

這里沒(méi)有一致的框架?！笆挛铩敝皇欠謱釉谄渌笆挛铩敝?。

有些人可能會(huì)聲稱(chēng) IPv4 和 IPv6 是同一“層”的替代“協(xié)議”，但事實(shí)并非如此。它們實(shí)際上是同一協(xié)議的兩個(gè)版本。它們與互聯(lián)網(wǎng)堆棧的其余部分（例如TCP、UDP、ICMP、DHCP、DNS等）集成度太高。唯一可以實(shí)際聲明層的地方是整個(gè)網(wǎng)絡(luò)的抽象層，例如Internet 層或以太網(wǎng)層。

層的一個(gè)重要概念是它們彼此獨(dú)立。而 OSI 并沒(méi)有能夠體現(xiàn)這一點(diǎn)。互聯(lián)網(wǎng)沒(méi)有固定的層數(shù)。當(dāng)數(shù)據(jù)包通過(guò)互聯(lián)網(wǎng)傳輸時(shí)，它們下面的層數(shù)會(huì)發(fā)生巨大變化。同樣，頂部的層數(shù)也根據(jù)應(yīng)用而變化。然后還有諸如 VPN 之類(lèi)的東西，它們將互聯(lián)網(wǎng)置于自身之上。

05數(shù)據(jù)包標(biāo)頭

OSI 強(qiáng)調(diào)數(shù)據(jù)包沿層傳遞，每層添加一個(gè)標(biāo)頭。有時(shí)在數(shù)據(jù)包嗅探器中看起來(lái)是這樣，但這不是正確的抽象。相反，協(xié)議在其有效負(fù)載中封裝了其他內(nèi)容。

下面是Wireshark的圖片，它是一個(gè)數(shù)據(jù)包嗅探器，可以從本地網(wǎng)絡(luò)捕獲數(shù)據(jù)包。該顯示共有三個(gè)窗格。

頂部窗格顯示已捕獲的數(shù)據(jù)包列表。

底部窗格顯示數(shù)據(jù)包的原始十六進(jìn)制轉(zhuǎn)儲(chǔ)。

中間窗格“解碼”十六進(jìn)制轉(zhuǎn)儲(chǔ)，顯示原始字節(jié)的含義，例如對(duì)應(yīng)于IP 標(biāo)頭的字節(jié)。

以下是與上面相同的數(shù)據(jù)包的十六進(jìn)制轉(zhuǎn)儲(chǔ)，并對(duì)每個(gè)標(biāo)頭進(jìn)行了著色：以太網(wǎng)、IPv4、TCP，然后是 SSL (TLS) 記錄標(biāo)頭。

OSI 通過(guò)數(shù)據(jù)包在一端沿網(wǎng)絡(luò)堆棧下行來(lái)描述這一點(diǎn)，每一層都添加自己的標(biāo)頭。該過(guò)程在接收時(shí)相反，每一層在傳遞到上面的下一層之前剝離自己的標(biāo)頭。

這種概念化的方式并不適用于所有情況，在實(shí)踐中只有偶爾才能發(fā)生。

特別是TCP 的有效負(fù)載是字節(jié)流，而不是數(shù)據(jù)包。當(dāng) TCP 有效負(fù)載較小且適合單個(gè)段時(shí)，它看起來(lái)符合上圖。但在其他情況下，單個(gè) TCP 分段可能攜帶多個(gè)有效負(fù)載，或者有效負(fù)載可能跨越多個(gè) TCP 分段。

下面的Wireshark 捕獲中可以看到這兩種情況都發(fā)生了。SSL (TLS) 將數(shù)據(jù)作為一系列記錄進(jìn)行傳輸。我們看到單個(gè) TCP 段可以包含多個(gè) SSL 記錄，并且一個(gè) SSL 記錄可以跨越多個(gè) TCP 段。

在下面的數(shù)據(jù)包中，我們?cè)趩蝹€(gè) TCP/IP 數(shù)據(jù)包中看到五個(gè) SSL 記錄。其中四個(gè)記錄完全包含在數(shù)據(jù)包中，而第五個(gè)記錄跨越該數(shù)據(jù)包的末尾和下一個(gè)數(shù)據(jù)包的開(kāi)頭。

用上面的圖來(lái)畫(huà)這個(gè)，就會(huì)變成下面這樣：

這類(lèi)錯(cuò)誤在現(xiàn)實(shí)世界中具有重要意義。以Snort IDS為例。它嘗試通過(guò)搜索數(shù)據(jù)包中的簽名 （特定攻擊特有的字節(jié)模式）來(lái)檢測(cè)黑客活動(dòng)。它將每個(gè)TCP 段視為僅包含一個(gè)SSL 記錄，并且無(wú)法檢測(cè)到不符合此條件的攻擊。

關(guān)鍵字“depth”是從數(shù)據(jù)包有效負(fù)載的開(kāi)頭而不是流的開(kāi)頭開(kāi)始測(cè)量的。例如，以下是著名的 OpenSSL Heartbleed攻擊的簽名，與|18 03 03 00 40| 的 SSL 記錄標(biāo)頭匹配。在數(shù)據(jù)包的前五個(gè)字節(jié)中。

但是，正如我們?cè)谏厦婵吹降?，SSL 記錄標(biāo)頭可以出現(xiàn)在 TCP 有效負(fù)載中的任何位置，而不僅僅是數(shù)據(jù)包邊界。TCP 確實(shí)有數(shù)據(jù)包邊界的概念，這是只有我們?nèi)祟?lèi)才能看到的東西。以下是利用Heartbleed 的數(shù)據(jù)包 ，它不會(huì)觸發(fā)上述簽名，因?yàn)樗谇懊娌迦肓?7 字節(jié)的 TLS 記錄，將包含攻擊的第二條記錄推入數(shù)據(jù)包的更深處，超出了 depth:5 的 限制。

在當(dāng)今的網(wǎng)絡(luò)堆棧中，這種向數(shù)據(jù)包添加標(biāo)頭的模型實(shí)際上只出現(xiàn)在兩個(gè)地方。一個(gè)是內(nèi)核添加組合的 TCP/IP 標(biāo)頭，另一個(gè)是添加以太網(wǎng)標(biāo)頭：

這與替代的兩層模型一致，即互聯(lián)網(wǎng)在以太網(wǎng)等本地網(wǎng)絡(luò)上運(yùn)行。

盡管我們?cè)跀?shù)據(jù)包中看到一系列的標(biāo)頭，但實(shí)際的層邊界并不完全落在我們看到的線上。它們是一個(gè)偶然的產(chǎn)物，而不是被設(shè)計(jì)成這樣工作的。

06僅本地可見(jiàn)性

OSI 模型假設(shè)所有層作為單個(gè)網(wǎng)絡(luò)一起工作，所有內(nèi)容都遵循相同的模型。

事實(shí)是，我們只能了解本地網(wǎng)絡(luò)或互聯(lián)網(wǎng)上發(fā)生的情況。我們的數(shù)據(jù)包到底發(fā)生了什么細(xì)節(jié)對(duì)我們來(lái)說(shuō)是不透明的。下圖重新繪制了上面的模型，其中左側(cè)符合我們的網(wǎng)絡(luò)，但網(wǎng)絡(luò)的其余部分如何未知，有時(shí)層數(shù)較少，有時(shí)層數(shù)較多。我們無(wú)法了解網(wǎng)絡(luò)的其余部分是如何構(gòu)建的。

07控制協(xié)議

大家根據(jù)數(shù)據(jù)傳輸方式來(lái)學(xué)習(xí)分層，但對(duì)于控制信息如何傳輸存在很多困惑。

我們需要DHCP 來(lái)配置IP地址。

我們需要ICMP 來(lái)控制消息。

我們需要 ARP 和NDP 來(lái)查找以太網(wǎng)上的MAC 地址 。

我們需要DNS 將名稱(chēng)轉(zhuǎn)換為地址。

我們需要以太網(wǎng)中的一個(gè)子層來(lái)自動(dòng)協(xié)商鏈路速度。

我們需要TCP中的SYN和FIN數(shù)據(jù)包來(lái)創(chuàng)建和銷(xiāo)毀連接。

我們需要完全脫離網(wǎng)絡(luò)堆棧的SSL證書(shū)管理。

WiFi 需要與接入點(diǎn)關(guān)聯(lián)。

在所有層，有時(shí)我們還需要身份驗(yàn)證以確保安全。

所有層上都有大量的網(wǎng)絡(luò)管理正在進(jìn)行，跟蹤計(jì)費(fèi)和監(jiān)控等使用情況。

數(shù)據(jù)如何傳輸是容易的，但控制是困難的。

當(dāng)試圖將 OSI 模型應(yīng)用于TCP/IP時(shí)，它被徹底歪曲了。盡管像DHCP這樣功能運(yùn)行在UDP 之上，但它們并不是“應(yīng)用層”的一部分。DHCP的功能是IP 協(xié)議功能的重要組成部分。這同樣適用于BGP，盡管它運(yùn)行在路由器之間的 TCP 連接上，但它確實(shí)是 IP“層”的一部分。

08OSI 從不是真正的標(biāo)準(zhǔn)

Graham 一直在反復(fù)強(qiáng)調(diào)，當(dāng)前我們所學(xué)的或者是別人教授給我們的，并不是原始的 OSI 標(biāo)準(zhǔn)，而是他們自己的非標(biāo)準(zhǔn)解釋。

OSI 從來(lái)就不是一種理論或正確的框架。人們?nèi)绱酥匾曀牟糠衷蚴且驗(yàn)樗徽J(rèn)定為“標(biāo)準(zhǔn)”。換句話(huà)說(shuō)，如果大家都采用了這個(gè)標(biāo)準(zhǔn)，那么它就成為了理論和框架。

但 OSI 失敗了。1980 年左右的學(xué)術(shù)論文和早期教科書(shū)是錯(cuò)誤的，因?yàn)闆](méi)有人真正采用該框架，OSI 最初的計(jì)劃從未完成，已被互聯(lián)網(wǎng)淘汰。盡管官方標(biāo)準(zhǔn)文件存在，但它是一個(gè)已失效的標(biāo)準(zhǔn)。這是謊言，不是真理。無(wú)論有多少標(biāo)準(zhǔn)組織堅(jiān)稱(chēng)這是事實(shí)，它仍然是一個(gè)謊言。

OSI 是由不懂網(wǎng)絡(luò)的人編寫(xiě)的。他們專(zhuān)注于終端與大型機(jī)的對(duì)話(huà)，因?yàn)檫@是他們自己的大部分個(gè)人經(jīng)驗(yàn)。OSI 就是這樣設(shè)計(jì)的。

1981 年，當(dāng) Tanenbaum 創(chuàng)建第一本計(jì)算機(jī)網(wǎng)絡(luò)大學(xué)教科書(shū)時(shí)，TCP/IP 尚未發(fā)布。這在某種程度上是正確的，因?yàn)楫?dāng)時(shí)大多數(shù)學(xué)術(shù)論文都以某種方式引用了 OSI 模型。但后期的 OSI只是通過(guò)強(qiáng)行解釋?zhuān)屗鼇?lái)適配當(dāng)今互聯(lián)網(wǎng)的發(fā)展模式。

互聯(lián)網(wǎng)并不是因?yàn)樗l(fā)展的。

09爭(zhēng) 議

研究科學(xué)家George Michaelson表示對(duì)Graham的觀點(diǎn)并不完全贊同。Michaelson介紹，自己自1982年以來(lái)就一直在這個(gè)領(lǐng)域工作，曾在英國(guó)的VAX VMS系統(tǒng)上使用PL/1編寫(xiě)OSI傳輸類(lèi)1、2和3的早期實(shí)現(xiàn)，并在1985/6年在倫敦的UCL-CS參與了由Marshall Rose監(jiān)督的項(xiàng)目，后來(lái)成為ISODE系統(tǒng)。其現(xiàn)在在應(yīng)用領(lǐng)域工作，涉及到X.400和X.500系統(tǒng)（電子郵件和目錄服務(wù)）。

Michaelson稱(chēng)QUIC協(xié)議在UDP上保持連接狀態(tài)的做法很好地符合會(huì)話(huà)層的定義。它保存的狀態(tài)使應(yīng)用程序在底層網(wǎng)絡(luò)發(fā)生變化時(shí)保持靈活。這正是OSI模型中會(huì)話(huà)層所執(zhí)行的一些功能。同樣，TLS模塊模擬了會(huì)話(huà)層行為。

Michaelson還認(rèn)為物理-鏈接-網(wǎng)絡(luò)的抽象不可被摒棄，因?yàn)檫@些概念與我們的理解密切相關(guān)。Michaelson強(qiáng)調(diào)，模型不僅是一本規(guī)則書(shū)，更是相互理解和進(jìn)一步討論的基礎(chǔ)。

總的來(lái)說(shuō)，Graham的文章推理嚴(yán)密，感興趣的朋友可以點(diǎn)擊閱讀原文查看完整內(nèi)容，也歡迎大家在評(píng)論區(qū)發(fā)表自己的觀點(diǎn)！

審核編輯：湯梓紅