用tcpdump观察ICMP往返包需聚焦echo request（Type=8）与reply（Type=0）的ID、seq匹配，辅以ARP、TTL超时（Type=11）、不可达（Type=3）及重定向（Type=5）等报文综合分析路径与故障。
用 tcpdump 观察 ICMP 往返包，核心是看清 echo request 和 echo reply 的对应关系，同时注意中间可能触发的 ARP、TTL 超时或不可达等辅助报文。这不是单纯看“发一个、回一个”，而是要结合协议栈行为理解每帧出现的逻辑原因。
抓取干净的 ICMP 流量
避免干扰，优先过滤出目标主机的 ICMP 包：
-
tcpdump -i eth0 -nn icmp and host 192.168.1.100—— 只捕获与该 IP 的 ICMP 往来 -
tcpdump -i eth0 -nn -c 10 icmp—— 限制抓 10 个包，防止刷屏 - 加
-e可看到源/目的 MAC 地址，判断是否跨网段、是否走网关 - 加
-vv显示 ICMP 类型、代码、ID、序列号（seq）、校验和等字段细节
识别 echo request 与 reply 的匹配依据
ICMP ping 不靠端口区分会话，而是靠三个字段唯一标识一次请求-响应对：
- ID 字段：通常为发起 ping 进程的进程 ID（低字节），同一 ping 命令中不变
- Sequence Number（seq）：从 0 或 1 开始递增，每次请求加 1
- Type 字段：8 表示 request，0 表示 reply；二者 ID+seq 完全一致才构成一对
例如：ICMP echo request, id 12345, seq 1 与 ICMP echo reply, id 12345, seq 1 就是一次完整往返。
留意非 echo 类型的 ICMP 报文
实际网络中，ICMP 不只是 ping。tcpdump 可能捕获到这些关键辅助报文：
- TTL 超时（Type 11, Code 0）：出现在 traceroute 中，每跳路由器返回一个，说明路径经过了该节点
- 目标不可达（Type 3）：常见子码有 0（网络不可达）、1（主机不可达）、3（端口不可达）。若 ping 失败，先查这类报文来源
- 重定向（Type 5）：路由器提示“你发错网关了”，多见于配置不当的局域网
-
ARP 请求/响应：虽然不是 ICMP，但 ping 前若无本地 ARP 缓存，tcpdump 会先看到
arp who-has X tell Y，这是 ICMP 发送的前提
结合 TTL 和时间戳分析路径行为
ICMP 报文封装在 IP 层中，其 IP 头部的 TTL 和时间戳可辅助诊断：
- TTL 初始值因系统而异（Linux 常为 64，Windows 为 128），每经一跳减 1；reply 包的 TTL 值反映响应方到本机的跳数
- tcpdump 默认不显示精确时间戳，加
-tt可输出自 Unix 纪元起的秒数，用于计算 RTT（需配合 ping 输出的 time=xx ms 对照） - 若 request 包发出后长期无 reply，但出现多个 Type 3 Code 1（主机不可达），说明路由可达但目标关机或防火墙丢包
