利用Linux Sniffer排查网络故障指南

Sniffer(嗅探器)是网络故障排查中强大的工具，可以帮助你捕获和分析网络流量。以下是使用Linux下的Sniffer工具进行网络故障排查的方法：

常用Linux Sniffer工具

1. tcpdump - 命令行网络分析工具
2. Wireshark (GUI界面)
3. tshark (Wireshark的命令行版本)
4. ngrep - 类似grep的网络数据包搜索工具

基本排查步骤

1. 安装必要工具

# Ubuntu/Debian
sudo apt-get install tcpdump wireshark ngrep

# CentOS/RHEL
sudo yum install tcpdump wireshark ngrep

2. 使用tcpdump捕获流量

基本捕获：

sudo tcpdump -i eth0

捕获特定主机的流量：

sudo tcpdump -i eth0 host 192.168.1.100

捕获特定端口的流量：

sudo tcpdump -i eth0 port 80

将捕获结果保存到文件：

sudo tcpdump -i eth0 -w capture.pcap

3. 分析常见网络问题

检查连接问题：

sudo tcpdump -i eth0 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
# 查看SYN包是否得到响应

检查DNS问题：

sudo tcpdump -i eth0 port 53

检查HTTP流量：

sudo tcpdump -i eth0 -A port 80

4. 使用ngrep进行内容搜索

搜索HTTP GET请求：

sudo ngrep -q -d eth0 '^GET' port 80

搜索特定字符串：

sudo ngrep -d eth0 'error' port 80

5. 高级分析技巧

统计TCP标志：

sudo tcpdump -r capture.pcap -nn 'tcp[tcpflags] & (tcp-syn|tcp-fin|tcp-rst) != 0' | awk '{print $NF}' | sort | uniq -c

分析重传：

sudo tcpdump -i eth0 'tcp[13] & 4!=0'

常见网络问题及对应排查命令

| 问题类型 | 排查命令 |
|---------|---------|
| 连接超时 | sudo tcpdump -i eth0 host target_ip |
| DNS解析失败 | sudo tcpdump -i eth0 port 53 |
| HTTP/HTTPS问题 | sudo tcpdump -i eth0 -A port 80 or port 443 |
| 广播/多播问题 | sudo tcpdump -i eth0 ether broadcast or ether multicast |
| ARP问题 | sudo tcpdump -i eth0 arp |

注意事项

1. 使用sniffer需要root权限
2. 在生产环境使用时要注意隐私和法律问题
3. 捕获大量流量可能影响性能，建议使用过滤条件
4. 复杂的分析可能需要将捕获文件导入Wireshark进行图形化分析

通过合理使用这些工具，你可以有效地诊断网络连接问题、协议问题、性能问题等各种网络故障。

(www.nzw6.com)