三大案例分析网络排错应从数据包分析开始

《三大案例分析网络排错应从数据包分析开始》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、三大案例分析网络排错应从数据包分析开始～教育资源库　　对于诸如断网、风暴等灾难性的网络故障，相信大多数管理员朋友能够比较快速地定位并进行排错。但网络是复杂的，在运维中经常会遇到诸如网络速度慢，时断时续，频繁丢包等故障，相对来说，这些故障的排错是比较麻烦的。笔者做技术支持多年，看到运维同仁在遇到此类故障时往往束手无策，此前屡试不爽的观察法、隔离法、替代法不仅太费时间，而且经常让大家走弯路，并且能否排除故障还是未知数。基于此，笔者和大家分享一些自己的经验，即通过捕获网络数据包并分析的手法对网络故障进行诊断，让网络排错从

2、数据包分析开始。　　1.数据包的捕获方式　　要进行数据包分析，首先要在故障的网络的特定节点捕获数据包。因此，笔者先和大家谈谈数据包的捕获方式。数据包的捕获方式很多，最常见的是所谓的协议分析仪。它是针对OSI模型2-7层设计的，能够在2-7层上进行解码，解释450多种网络协议，采用剥洋葱方式，从低层开始，一直到第七层，甚至对ORACLE数据库、SYBASE数据库都可以进行协议分析。协议分析仪有硬件和软件相结合的专门产品，也有纯软件产品。数据包捕获，当然首选是专门的硬件分析仪。不过对于一般的网络，网络管理员凭借自己的技

3、术、经验，借助专门数据包捕获软件实施网络排错已经足够。笔者通常使用的工具主要是Sniffer，此外微软的MicrosoftNetiscuous)模式状态的工具软件，当网卡处于这种混杂方式时，该网卡具备对遭遇到的每一个帧都产生一个硬件中断，以便提醒操作系统处理流经该物理媒体上的每一个报文包(绝大多数的网卡具备Promiscuous方式的能力)。　　3.协议分析仪的功能　　了解协议分析仪的主要功能，以便管理员在特定情景中利用分析仪进行数据捕获和分析是非常有帮助的，笔者也做一概括。(1).分析从硬件分析仪中捕捉的数据包，

4、具有完整的七层包捕捉、过滤和解码能力。(2).实时监测网络利用率和误码率、帧大小分布、协议分布、最多发送者/接收者、对话矩阵、VLAN流量分析、应用程序响应时间分析等。(3).智能专家故障分析、诊断功能在监测实时流量时自动发现错误、快速指出问题所在并给出修改建议。(4).支持本地和远程网络分析。(5)支持特殊的协议：ExtremeEDP、ESRP以及CiscoCDP和VTP等。(6).停止并保存捕捉会话、发送一个SNMP陷阱、发送Email或寻呼通知等。(7).在日志文件中保存告警消息、启动一个应用程序和过滤等。(

5、8).协议分析仪上的功能延展就是加入网管功能、自动网络信息搜集功能等。　　4.数据包分析排除网络故障案例　　通过上面的介绍，大家对网络分析仪捕获数据的方式，以及其工作原理功能有了足够的了解。下面笔者列举三个案例，再现用数据包分析排除网络故障的过程。　　案例一：交换机端口锁死　　(1).故障现象　　交换机的某一端13联接了一个HUB，HUB上面有DNS及WEB服务器。在没有任何征兆的情况下，交换机的这一端口突然出现故障，端口上的所有设备不能联网。　　(2).故障检查　　①换交换机另一个好的端口，约几分钟后重复上述故障

6、。　　②怀疑连接交换机的HUB有物理故障，换了一个好的以后，过一段时间后故障仍然存在，可以确定不是HUB故障引起的。　　，③关掉交换机电源，重新加电后，原来出故障的端口恢复正常，但过一段时间后故障再次出现。由此判断端口故障很可能是因某种原因锁死，并非烧坏。依此，初步判断故障是由DNS　　或WEB服务器的硬件或软件异常引起的。　　④使用Sniffer协议分析仪接入该网段，测试后发现，DNS通过HUB接入一个好的交换机端口后，很快产生了几个广播风暴，之后交换机的端口就锁死。广播风暴是造成交换机端121锁　　死的直接原因

7、。　　⑤通过解读捕捉到的数据包内容，可以看到，广播风暴产生的原因，是本地DNS(主)服务器，与一台远程DNS(从)服务器之间产生了大量通信，通信内容是远程DNS服务器向本地DNS服务器查询一个主机的名字解析，而本地DNS服务器没有设置该主机所在域的DNS服务器地址，从而造成异常的通信过程。　　⑥从协议分析仪还可以看出，在1秒钟内，2台DNS之间有1155个这样的包来回.这种数据包产生了一个广播风暴，造成了交换机端口锁死。　　(3).故障排除　　将(基于保密用*代替)所在域的DNS服务器的地址定义在本地DNS上，故障

8、排除。　　(4).排错总结　　在这个例子中，远程DNS向本地DNS查询的地址解释，本地DNS答复找不到以后，理论上远程DNS不应再发出查询请示，但由于软件BUG的问题，造成了DNS系统异常，产生了一个广播风暴，使交换机出现了故障。　　案例二：广域网传输极慢　　(1).故障现象　　在DDN线路上，正常情况下Ping一个远端的IP，回包时间从三十几毫秒到几百毫秒