CentOS 环境下 Sniffer 的故障排查应用
一 适用场景与可发现问题
- 网络接口与配置：核对 IP 地址、子网掩码、网关 与接口启用状态，快速定位配置错误。
- DNS 解析：验证域名是否能正确解析为 IP，定位 DNS 故障根因。
- 路由可达性：检查 路由表 与 网关 是否可达，识别静态/动态路由配置问题。
- 防火墙与安全策略：发现 iptables/firewalld 或 SELinux 规则阻断导致的访问异常。
- 服务可用性：确认关键 网络服务 是否已启动、配置是否正确。
- 网络拥塞与异常流量：分析带宽占用、异常协议/端口流量，定位 拥塞 与潜在攻击。
- 硬件链路：辅助判断 网线、网卡、交换机、路由器 等物理层问题。
以上场景均可在获得授权的网络环境中，通过嗅探抓包与分析加以验证与定位。
二 快速上手流程
- 明确目标与观测点：优先在问题源/目的主机或关键 网关/镜像口 抓包，减少无关流量干扰。
- 选择工具与权限：在 CentOS 上常用 tcpdump（命令行）与 Wireshark（图形化）；抓包通常需要 root 或具备 CAP_NET_RAW 能力的账户。
- 配置捕获接口：将网卡置于 混杂模式，仅抓取与问题相关的 主机、协议、端口，避免过载。
- 启动抓包与复现：边抓包边复现问题，控制抓包时长与文件大小，便于后续分析。
- 停止与保存：及时停止抓包并保存 pcap 文件，便于离线分析与复盘。
- 分析与定位：围绕 连通性、时延、重传、丢包、异常响应码 等关键指标，结合过滤表达式聚焦问题域。
- 处置与回归：调整 路由/防火墙/服务配置 后复测，确认问题闭环。
以上流程覆盖从准备、捕获到分析的关键步骤，适用于大多数网络故障定位任务。
三 常用命令与过滤示例
- 抓取指定接口全部流量（提升速度：不做 DNS/端口解析）
- 只抓取 TCP 80 端口（源或目的）
- tcpdump -i eth0 -nn ‘tcp port 80’
- 抓取与某主机的 HTTP 流量
- tcpdump -i eth0 -nn -A ‘host 10.0.0.10 and tcp port 80’
- 抓取 ICMP（便于连通性/时延分析）
- tcpdump -i eth0 -nn ‘icmp’
- 抓取双向流量并限制包数
- tcpdump -i eth0 -nn -c 100
- 方向过滤（入/出/双向）
- 将结果写入文件以便 Wireshark 深入分析
- tcpdump -i eth0 -nn -w capture.pcap
这些表达式覆盖常见的按接口、协议、端口、方向与数量的过滤需求，可显著缩短定位时间。
四 典型故障的抓包定位方法
- 连通性异常：对目标执行 ping（ICMP）并在抓包中观察是否收到 Echo Reply；若无应答，进一步排查 路由、ACL、防火墙 与物理链路。
- DNS 解析失败：在抓包中检查是否存在 DNS 查询/响应；若只有查询无响应，多为 DNS 服务器 或 防火墙 问题。
- TCP 连接异常：观察 TCP 三次握手（SYN/SYN-ACK/ACK） 是否完成；出现仅 SYN 无响应或反复重传，常见于对端服务未监听、端口被拒或中间策略拦截。
- 应用层错误：抓取 HTTP 4xx/5xx 或 TLS 握手失败，结合响应码与握手过程定位应用配置、证书或后端问题。
- 高丢包/高重传：关注 TCP Retransmission、Duplicate ACK，定位链路拥塞、服务器过载或 MTU 不匹配。
- 防火墙/SELinux 阻断：抓包可见 SYN 被丢弃 或无响应，配合检查 iptables/firewalld 与 SELinux 策略是否放行相关流量。
- 路由错误：对关键网段执行 traceroute 并抓包，核对 TTL 超时 位置与下一跳是否符合预期路由。
以上方法将抓包指标与故障现象一一对应，便于快速收敛根因。
五 实践建议与合规要求
- 合法合规：仅在获得明确授权的网络与主机上抓包，避免侵犯隐私或违反策略。
- 最小化抓包：优先使用精确过滤器，控制抓包时长与文件大小，避免性能与存储压力。
- 权限与安全：以 最小权限 运行抓包工具，抓包文件妥善保护；必要时临时调整 firewalld/SELinux 仅作排查，完成后及时恢复。
- 协同分析：在 CentOS 侧用 tcpdump 快速定位，将 pcap 导入 Wireshark 做深度协议分析与可视化。
- 排错清单：若抓不到包，先检查接口是否选对、是否进入混杂模式、过滤器是否过严、以及 Sniffer/抓包进程 是否运行与日志报错。
以上做法兼顾效率与安全，有助于在复杂环境中稳定复现与定位问题。