利用 Sniffer 优化 CentOS 网络的实操流程
一 核心思路与准备
- Sniffer 的作用是发现瓶颈而非直接提速：通过抓包与分析定位高延迟、丢包、重传、异常流量与应用慢请求，再据此调整系统、协议栈与业务配置，实现间接优化。抓包本身会带来一定开销，建议短时、定向、过滤抓包，避免对业务造成影响。抓包前准备：确认目标接口（如 eth0）、抓包时长、过滤表达式与落盘路径，并尽量在维护窗口或离线环境进行。
二 抓包与定位瓶颈
- 常用工具与安装
- 安装抓包与命令行分析工具：tcpdump、wireshark、tshark、ngrep。示例：sudo yum install -y tcpdump wireshark wireshark-cli ngrep。
- 快速抓包与过滤示例
- 抓取指定接口到文件：sudo tcpdump -i eth0 -w capture.pcap
- 仅抓取 HTTP 流量：sudo tcpdump -i eth0 port 80 -w http.pcap
- 抓取某主机流量：sudo tcpdump -i eth0 host 192.168.1.10 -w host.pcap
- 使用显示过滤器（Wireshark/tshark）：tcp.port == 80 || dns
- 关键指标与定位方法
- 延迟与抖动：观察 TCP 握手时延（SYN→SYN-ACK）、应用首包时延；长握手或首包慢通常指向服务端处理或网络路径问题。
- 丢包与重传：关注 TCP Retransmission、Duplicate ACK、Out-of-Order，结合 ping/延迟与丢包 判断是链路、对端还是本机问题。
- 带宽占用与异常流量：识别 单连接/单应用占带宽、异常协议与扫描行为，为 QoS/防火墙 策略提供依据。
- 连接与端口分析：用 ss -s、netstat -s、sar -n DEV 等配合抓包，验证连接数、错误与丢包是否异常。
三 典型问题与优化动作
| 问题现象 |
抓包指征 |
优化动作 |
| 高握手时延、首包慢 |
SYN→SYN-ACK 或 GET→首响应时间长 |
优化应用（DB/缓存/线程池）、启用 HTTP Keep-Alive、缩短超时；必要时扩容实例或就近接入 |
| 带宽被少数连接占满 |
单 IP/端口占用高、长连接大流量 |
使用 tc 限流与整形（如 tbf/HTB），或在边界做 QoS/ACL 分流关键业务 |
| 频繁重传与丢包 |
Retransmission、Dup ACK、Out-of-Order |
核查链路质量（光衰/误码/丢包）、对端窗口与处理能力；必要时更换链路/网卡或优化 MTU |
| 连接数打满、端口耗尽 |
ss -s 显示 TIME_WAIT/CLOSE_WAIT 堆积 |
调整内核与业务（如 tcp_tw_reuse/tcp_tw_recycle 视内核版本谨慎开启）、启用长连接/连接池、优化超时 |
| 数据库慢查询 |
MySQL 抓包可见长 SQL、频繁 COMMIT |
优化 SQL/索引、批处理与事务、读写分离与连接池；可用 mysql-sniffer/go-sniffer 定位热点语句 |
| 突发流量冲击 |
瞬时带宽峰值、P95/P99 抖动 |
启用 tc 令牌桶/分级队列限流，保护关键业务与核心端口 |
| 以上动作需结合抓包结论与基线指标实施，并在变更后进行 A/B 验证与回滚预案。 |
|
|
四 系统与安全加固
- 内核网络参数优化（示例，按带宽与 RTT 调优）
- 增大套接字缓冲：net.core.rmem_max=16777216；net.core.wmem_max=16777216
- 提升连接与文件句柄：在 /etc/security/limits.conf 设置 * soft/hard nofile 65536
- 持久化：修改 /etc/sysctl.conf 后执行 sysctl -p 生效
- 流量整形与访问控制
- 限流示例：sudo tc qdisc add dev eth0 root tbf rate 1mbit burst 32kbit latency 400ms
- 结合 firewalld/iptables 限制不必要入站/出站，保护敏感端口与服务
- 抓包安全与合规
- 抓包仅在授权范围内进行，避免捕获敏感数据；最小化抓包范围与时长，及时清理抓包文件
- 不建议为抓包长期开启 混杂模式 或关闭 SELinux/Firewalld，必要时短时操作并做好回滚
五 一条可复用的排障与优化命令清单
- 1）抓包定位：sudo tcpdump -i eth0 -s 0 -w base.pcap ‘tcp port 80 or dns’
- 2）实时看重传：sudo tcpdump -i eth0 ‘tcp[tcpflags] & tcp-ack != 0 and (tcp[tcpflags] & tcp-syn) = 0’
- 3）查看连接与错误：ss -s；netstat -s；sar -n DEV 1 10
- 4）数据库语句定位：使用 mysql-sniffer 或 go-sniffer eth0 mysql -p 3306
- 5）限流保护关键业务：sudo tc qdisc add dev eth0 root tbf rate 1mbit burst 32kbit latency 400ms
- 6）持久化优化：在 /etc/sysctl.conf 设置 rmem/wmem 与队列相关参数，执行 sysctl -p；在 /etc/security/limits.conf 提升 nofile。