出厂时默认是 64 还是 128，不同设备对 TTL 的初始设定

抓十台不同设备发出的报文，TTL 的出厂值往往能分成几派：有人是 64，有人是 128，还有人开口就是 255。这些数字不是随手写的，而是设备厂商在系统里定好的默认值，代理IP转发层那台机器的初始值同样由它的系统决定。

读懂出厂值，等于拿到了一把识别设备系统的尺子——虽然这把尺子有刻度限制，量不准时也会骗人。

主流出厂值都是谁在用

最常见的几个初始值是 64、128、255。64 是 Linux 系和不少网络设备的选择；128 是 Windows 系的默认；255 多见于部分路由器和老式 Unix 系统。数字本身没有优劣，只是各家约定的习惯，沿用至今。

要特别说明的是：这些只是默认值，用户和管理员都可以改。看到 64 只能说「大概率是这类系统」，不能当铁证。系统越老、发行版越杂，例外越多，判断时要把这条记在心上。

出厂值为什么留得这么宽

留宽的目的是让报文在正常路径上永远够用。全球互联网主干路径的跳数通常在 10 到 30 之间，64 已经富余；即便绕了远路，也很难把 64 用完。出厂值不需要精打细算，宽裕才是第一要求，宁可浪费也不让报文半路寿终。

代理IP链路里的初始值是谁填的

报文离开本机时，初始值由本机系统填；但走代理IP时要注意，链路被拆成两段，转发层替客户端发起的那段新报文，初始值由转发层那台机器的系统填。所以同一趟访问，两段报文的出厂值可能不一样。

举个具体例子：本机是 Windows，出厂值 128；转发层跑的是 Linux，替客户端发起的报文出厂值就是 64。抓包时先看到 128 系列的递减，过转发层后突然变成 64 系列，这种「断层」正是链路被拆成两段的直接证据。

这一点解释了为什么抓包时会看到 TTL 数值断层：前一段还是 64 的递减系列，后一段突然变成 128 的系列。那不是异常，是两段旅程分别由不同系统开了头，各走各的计数。

看到出厂值怎么用

判断一段报文的旅程长度，先要确认它的出厂值：系统类型能对上号就用常见的那个，对不上号就按 64 起算再复核。初始值认错了，后面反推的跳数就全错，一步错步步错。

判断报文来自哪类系统，除了看初始值，还要结合报文的其他特征交叉印证。单独一个 TTL 值只能说「像」，多个特征一起看才谈得上「判断」。把出厂值当参考线索，别当鉴定结论。

对代理IP使用者，最实用的场景是核对链路是否绕远：把目标站回包的 TTL 和直连时的对比，差得多说明走的路径差异大，可能是出口位置或者转发层选择的问题。

拿静态代理IP做长连接业务时尤其建议留这个心眼：路径每多一跳，报文往返的稳定性就多一分不确定，能用近的转发层就别绕远，出厂值的余量也能留得更足。

长路径业务优先近的转发层：如果业务对链路长度敏感，选转发层离目标站近的代理IP服务商，能让每段报文的出厂值余量更宽裕，长路径下的表现也更稳。