Linux Sniffer 故障排除实战指南
一 快速定位思路
- 明确症状与目标：是丢包、高时延、连接失败、带宽异常还是安全事件，据此确定要抓的主机、端口、协议与时间窗口。
- 选好抓包位置：优先在问题路径的关键节点抓包（如靠近客户端的接入、服务器上联、网关/防火墙前后）；交换机无端口镜像时，可临时串接集线器或使用TAP。
- 最小化先抓再放大：先用短时长、强过滤的抓包确认现象，再逐步放宽过滤条件定位根因。
- 关联系统状态：同步查看链路/ARP、路由、DNS、防火墙等，避免只盯抓包结果。
- 复现与对照：在问题复现时抓包，并与基线或正常时段对比。
以上思路结合tcpdump的过滤与Ethereal/Wireshark、EtherApe的可视化分析，可系统化定位大多数网络问题。
二 工具与权限准备
- 常用工具与用途
- tcpdump：命令行抓包与过滤，适合服务器与快速排查。
- Wireshark/Ethereal：图形化分析，适合深度协议解码与会话重组。
- EtherApe：按主机/连接关系图形化展示流量，便于识别异常主机与热点。
- 安装与依赖（示例）
- CentOS/RHEL：抓包依赖libpcap；编译相关工具可安装**libpcap-devel、gcc、gcc-c++**等。
- Ubuntu/Debian：抓包依赖libpcap-dev。
- 权限与接口
- 抓包通常需要root或CAP_NET_RAW能力；Linux 上可用sudo运行。
- 通过ip addr或ifconfig确认接口名（如eth0、ens33），抓包时务必用**-i**指定正确接口。
以上准备可确保工具可用、权限正确、接口无误，为后续抓包与分析打基础。
三 常见故障与对应抓包方法
| 症状 |
快速抓包命令 |
判读要点 |
进一步动作 |
| 无法连通某主机/端口 |
tcpdump -ni any host and port |
SYN 无 SYN-ACK（超时）常见于对端未监听/ACL 拦截；有 RST 常见于端口关闭/策略拒绝 |
服务器端确认服务监听与iptables/firewalld；路径上检查ACL/安全组 |
| 高时延/卡顿 |
tcpdump -ni any -ttt host |
重传（如重复 ACK、超时重传）、乱序、窗口为 0 提示拥塞或链路问题 |
结合traceroute/mtr定位跳点；检查链路质量与对端窗口设置 |
| 丢包 |
tcpdump -ni any -c 1000 'tcp[tcpflags] & (tcp-syn |
tcp-ack) == tcp-syn’ |
大量 SYN 无响应常见于半开连接过多/资源不足/连接耗尽 |
| 带宽异常/疑似 DoS |
tcpdump -ni any icmp or udp or tcp port 80 -c 1000 |
ICMP/特定端口流量异常峰值；可结合按源 IP 聚合识别异常来源 |
临时封禁/限速异常源；核查业务合法性并加固 |
| ARP 异常 |
tcpdump -ni any arp -c 20 |
频繁 ARP 请求/应答不匹配，或IP 冲突迹象 |
核对网关/租约与交换机 ARP 表，排查私接设备 |
| DNS 解析慢/失败 |
tcpdump -ni any port 53 -vv |
请求无响应或响应延迟大；响应截断/错误码 |
检查DNS 服务器与**/etc/resolv.conf**；抓包对比内外 DNS 路径 |
| 抓不到对端流量 |
tcpdump -ni any -c 10 |
交换机未做端口镜像且为全双工交换网络时，嗅探器通常只能看到本机/广播流量 |
在网关/上联口做SPAN/镜像；或使用TAP/集线器串接 |
以上命令中的过滤语法、工具选择与场景判断，可参考tcpdump常用选项与图形化工具的使用方法。
四 抓包与分析技巧
- 先抓后析：用**-w file.pcap落盘，再用-r file.pcap**离线分析，避免现场分析影响结果。
- 强过滤优先：如host、port、proto、tcp flags等，减少无关流量干扰。
- 时间线判读：用**-ttt输出相对时间，便于观察握手、重传、零窗口**等时序问题。
- 链路层信息：用**-e查看MAC/VLAN**，辅助定位二层转发/VLAN 打标问题。
- 协议细节：用**-vv观察TTL、窗口大小、校验和等字段，辅助判断TTL 异常/窗口受限**。
- 图形化辅助：用Wireshark/Ethereal做协议解码与会话重组，用EtherApe快速识别异常主机/热点连接。
这些技巧能显著提升定位效率与准确性。
五 环境与权限排错清单
- 权限不足：未以root或未赋予CAP_NET_RAW会导致“无法打开设备/无权限抓包”。
- 接口错误：未用**-i指定或指定了down/不存在**的接口，导致“抓不到包”。
- 依赖缺失：未安装libpcap/libpcap-dev，编译或运行第三方嗅探器会失败。
- 交换机未镜像：在交换网络中未配置端口镜像/SPAN/TAP，嗅探器通常只能看到广播/本机流量。
- 资源与策略：抓包CPU/磁盘不足、或iptables/nftables/安全组策略限制，都会影响抓包与分析。
逐项核对以上要点，可快速排除环境与权限类问题。