如何用CentOS Sniffer诊断网络问题

在 CentOS 上使用抓包工具诊断网络问题的实用流程

一 工具选择与准备

• 在 CentOS 环境中，常用的“Sniffer”类工具以tcpdump（系统自带、轻量、适合命令行排障）为主，也可配合Wireshark/Tshark（图形化/深度解析）、或按协议专用的go-sniffer、mysql-sniffer等。抓包通常需要root或具备CAP_NET_RAW能力的账户。安装示例：sudo yum install -y tcpdump；如需协议专用嗅探器，可进一步安装相应软件包或二进制。抓包前建议先确认网卡名称（如eth0/ens33）与链路状态。

二 快速定位流程与常用命令

• 步骤1 链路与连通性
  • 物理/链路：查看接口与灯态（ip a、ethtool），确认链路UP与速率双工；必要时更换网线/光模块或切换交换机口。
  • 基础连通：ping 网关与关键业务 IP，区分二层不通与三层可达性问题。
• 步骤2 本机配置核对
  • IP/掩码/网关：ip addr、ip route；确认默认路由与回程路由正确。
  • DNS：nslookup/dig 检查域名解析是否返回正确 IP。
• 步骤3 防火墙与安全策略
  • 规则核查：iptables/nftables -S；firewalld 状态与区域/服务放行情况。
  • 策略限制：排查 SELinux、安全软件/AV 是否拦截业务端口或协议。
• 步骤4 抓包定位（tcpdump 常用）
  • 指定接口与抓少量包：sudo tcpdump -i eth0 -c 100
  • 保存以便图形化分析：sudo tcpdump -i eth0 -s 0 -w /tmp/demo.pcap
  • 读包与文本查看：sudo tcpdump -r /tmp/demo.pcap；sudo tcpdump -A -r /tmp/demo.pcap
  • 精准过滤示例：
    • 某主机双向流量：sudo tcpdump -i eth0 host 192.168.1.10
    • 某端口（如 80）：sudo tcpdump -i eth0 port 80
    • 某主机+端口：sudo tcpdump -i eth0 host 192.168.1.10 and port 80
    • ICMP 连通性：sudo tcpdump -i eth0 icmp
  • 提示：使用 -s 0 抓全包，配合 -w 导出后用 Wireshark 做深度分析。

三 典型场景与抓包要点

• 场景1 DNS 解析异常
  • 现象：域名访问失败但 IP 直连正常。
  • 抓包：sudo tcpdump -i eth0 -n port 53 or udp port 53
  • 判读要点：请求是否发出、是否收到NOERROR/REFUSED响应、响应是否来自配置的 DNS 服务器。若仅有请求无响应，多为 DNS 服务器不可达或策略拦截。
• 场景2 TCP 连接失败（端口不通/服务未监听）
  • 现象：访问某 IP:端口超时或拒绝。
  • 抓包：sudo tcpdump -i eth0 host 10.0.0.20 and port 3306
  • 判读要点：是否出现 SYN；若无 SYN 应答，多为对端未监听/ACL 拦截/中间设备阻断；若有 SYN-ACK 但客户端无 ACK，多为本机或中间策略问题。
• 场景3 HTTP/HTTPS 访问异常
  • 现象：页面打不开或返回异常码。
  • 抓包：sudo tcpdump -i eth0 -A -s 0 host 10.0.0.10 and port 80
  • 判读要点：HTTP 请求是否发出、是否收到200/3xx/4xx/5xx；若 HTTPS，建议仅过滤 443 并配合服务器日志/证书检查。
• 场景4 丢包与重传（性能/拥塞）
  • 现象：访问慢、卡顿、偶发超时。
  • 抓包：sudo tcpdump -i eth0 -nn ‘tcp[tcpflags] & (tcp-syn|tcp-ack) != 0’ or ‘tcp[tcpflags] & tcp-rst != 0’
  • 判读要点：是否存在重复 ACK、快速重传、超时重传、零窗口等 TCP 异常事件，结合业务峰值与接口带宽占用判断拥塞或主机处理能力瓶颈。

四 进阶工具与自动化

• Wireshark/Tshark 深度分析
  • 将 .pcap 文件导入 Wireshark，利用“Expert Info”、IO/时序图、重传/零窗口统计定位复杂问题；命令行可用 tshark 做批量解析。
• 协议专用嗅探器
  • go-sniffer：按协议抓包，如 go-sniffer eth0 redis、go-sniffer eth0 mysql -p 3306，便于快速查看Redis/MySQL 协议层交互。
  • mysql-sniffer：专抓 MySQL 查询，支持从 .pcap 回放分析，适合定位慢查询与异常语句。
• 结果复核与交叉验证
  • 抓包结论需与路由表、防火墙、服务状态、物理链路交叉验证，避免单点证据导致误判。

五 合规与排错建议

• 合规要求
  • 抓包涉及网络数据与隐私，务必取得明确授权，仅在生产变更窗口内、最小必要范围抓包，妥善保存与清理数据。
• 常见排错清单
  • 权限/能力：确保以root或具备 CAP_NET_RAW 运行；抓包失败先检查权限与接口名。
  • 接口与驱动：确认网卡驱动正常、接口未 down；必要时更换口/线缆/光模块。
  • 资源与日志：检查CPU/内存是否瓶颈、系统日志与抓包工具日志是否有报错；必要时升级/重装抓包工具版本。