Linux Sniffer如何进行故障诊断 - 问答

Linux Sniffer故障诊断实战指南

一、诊断流程与定位思路

二、常用工具与关键命令

工具选型
- tcpdump：Linux标配，基于libpcap/BPF的高效抓包与过滤。
- Wireshark：图形化协议分析，支持显示过滤、IO/协议统计、专家信息。
- EtherApe：按主机/协议的可视化拓扑与流量统计图。
快速上手命令
- 实时抓取并写入文件：
  - tcpdump -i eth0 -nn -s 0 -w capture.pcap
- 读取分析：
  - tcpdump -nn -r capture.pcap
- 只抓某主机/端口/协议：
  - tcpdump -i eth0 host 192.168.1.10 and port 80
  - tcpdump -i eth0 tcp port 443
- 抓少量样本便于定位：
  - tcpdump -i eth0 -c 100 -w sample.pcap
- 图形化分析：用 Wireshark 打开**.pcap**，在“Statistics/Protocol Hierarchy/IO Graphs”查看分布与趋势；EtherApe 观察节点与协议热点。

三、典型故障的抓包诊断要点

症状	抓包位置	关键过滤	判读要点
无法连通（ping/SSH）	客户端、服务器、网关	icmp or port 22	请求是否有ICMP应答/ARP解析；TCP SYN是否到达服务器、是否返回SYN-ACK或RST
高时延/卡顿	客户端、服务器、瓶颈链路	host A and host B	观察RTT、重传（retransmission）、重复ACK、零窗口（zero window）
丢包/应用超时	发送端、接收端、中间设备	port 80 or port 443	TCP重传、乱序（out-of-order）、丢包指示（如ICMP）
DNS解析慢/失败	客户端、DNS服务器	udp port 53 or port 53 and host DNS_IP	请求是否发出、是否SERVFAIL/REFUSED、响应时延
异常流量/疑似DoS	入口镜像、受害主机	icmp or udp or tcp	ICMP洪泛、异常SYN洪泛、畸形/超大报文、异常协议占比
ARP异常/IP冲突	同网段主机	arp	ARP请求/响应风暴、同一IP对应多个MAC
防火墙/ACL拦截	客户端、服务器、边界	host A and host B	仅一方收不到包或仅SYN无SYN-ACK，结合策略验证放行规则
说明：tcpdump输出中的S/F/P/R/.标志位、ack、win等字段可快速判断握手、确认与窗口问题；图形化工具可辅助统计与可视化。

四、高效过滤表达式与解读技巧

基本语法
- 类型：host / net / port；方向：src / dst / src or dst；协议：ip / tcp / udp / icmp / arp。
- 组合：and(&&)、or(||)、not(!)；括号需转义：如“( … )”。
常用示例
- 两端通信：tcpdump host 10.0.0.1 and host 10.0.0.2
- 排除某主机：tcpdump host 10.0.0.1 and not host 10.0.0.2
- 某主机与某网段：tcpdump host 10.0.0.1 and net 192.168.1.0/24
- 仅HTTP：tcpdump -i eth0 port 80 -nn
- 仅DNS：tcpdump -i eth0 udp port 53 or port 53
- 抓少量ARP样本：tcpdump arp -i eth0 -c 5 -n
解读要点
- 关注TCP标志位（S/F/P/R）、序列号/确认号、窗口大小、重传/重复ACK、ICMP类型；
- 链路层信息可用**-e查看MAC**与方向，辅助判断二层转发/VLAN问题。

五、排错清单与最佳实践

环境与权限
- 以root或具备CAP_NET_RAW运行；确认接口名（ip link）；必要时开启混杂模式。
- 抓包文件可能很大，使用**-c限制数量、-w写入文件、事后用-r**分析。
系统与网络联动排查
- 先用ping/nslookup/ip/ifconfig验证连通性/DNS/地址/路由；
- 检查iptables/firewalld规则与服务状态（systemctl）；
- 关注CPU/内存/磁盘IO，避免抓包与分析过载；
- 查看**/var/log/**相关日志获取线索。
抓包策略
- 在问题两端与中间镜像口同步抓包，便于对照；
- 先统计后时序，先过滤后深钻；
- 保留**.pcap**样本，便于复核与归档。
合规与安全
- 仅在授权范围内抓包与分析，避免泄露敏感数据；
- 对抓包文件设置访问控制，必要时脱敏后共享。

0 赞

0 踩