抓包（packet capture）就是將網(wǎng)絡傳輸發(fā)送與接收的數(shù)據(jù)包進行截獲、分析，甚至可以用來轉(zhuǎn)發(fā)，重傳等等，抓包可使用的場景很多，排錯、驗證、測試、核對等，我就舉幾個例子來說明吧。
場景一、在一臺存儲上啟用了SNMP服務，隨后想通過驗證UDP161/162的偵聽狀態(tài)來確認服務是否確實啟動了。
詳情：最簡單的方式就是用進入存儲的OS運行類似netstat –anop查看UDP端口狀態(tài)，還有些同學會條件反射的說telnet一下唄或者用nmap的工具做端口掃描，但是最后發(fā)現(xiàn)結(jié)果是Open | Filtered，這又有什么意思？除非找到這些工具的使用說明，否則無法明白其輸出的意思。但有的時候就是沒有太多參考文檔，比如netstat顯示的UDP端口狀態(tài)列都是空的，沒有任何狀態(tài)，這代表什么呢？其實網(wǎng)絡抓包可以幫助我們。你可以在telnet的同時抓包，結(jié)果會發(fā)現(xiàn)telnet發(fā)起了TCP SYN包，立刻就被對端給Reset掉了，所以用telnet的提議是錯誤的，用TCP去驗證一個UDP端口是否在偵聽，顯然是南轅北轍了。同樣，做nmap掃描的同時抓包，你會發(fā)現(xiàn)原來UDP使用ICMP返回消息來判斷端口狀態(tài)。如果端口關(guān)閉，那么對端會返回port unreachable，如果沒有任何ICMP返回呢？那就說明中間存在包過濾邏輯，這也是為什么nmap掃描顯示open | filtered，nmap也無法確認端口狀態(tài)，因為沒有任何ICMP消息返回。所以，nmap的掃描結(jié)果不能判斷端口狀態(tài)，必須采取其它手段。不過這不是這個場景的重點，我們的重點是可以通過抓包看到應用程序的行為。
總結(jié)：判斷端口狀態(tài)的方式很多，但你是否采用了正確的方式，完全可以通過抓包來判斷，它會告訴你一個應用程序的行為，幫助你發(fā)現(xiàn)原因。
場景二、發(fā)現(xiàn)應用程序與服務器之間的通信很慢。
詳情：為什么拿這個場景來說，因為抓包和對TCP的分析在這個場景里幾乎就直接問題原因所在了。通過分析TCP分段，我們發(fā)現(xiàn)了traffic pattern的變化，延遲由正常的幾個ms逐漸轉(zhuǎn)變?yōu)榱耸畮讉€ms，并在之后的流量中看到了Window Full以及最終的ZeroWindow消息。對TCP熟悉的同學立馬能夠判斷出接收端存在處理能力的問題，導致無法及時清理TCP接收緩存，使得隊列長度越來越長，根據(jù)Little Law和Utilization Law，響應時間會呈指數(shù)上升，這也為什么我們會觀察到響應時間的變化。還有同學提問中間的交換機/路由器是否有可能發(fā)生這樣的過載？當然是肯定的，但我們這個場景里不是這個問題，為什么？因為我們抓包沒有看到任何重傳。
總結(jié)：抓包在這個case幫你排除了看起來最有可能是網(wǎng)絡問題的問題，TCP的行為非常清晰的指出了問題所在。
最后，給到大家一些建議：
網(wǎng)絡包在大部分時候能夠告訴你真相，所以用好它很有價值。
網(wǎng)絡包告訴你發(fā)生了什么，但不會告訴你為什么發(fā)生，理解協(xié)議行為和分析是你的任務。
不要只看文檔，嘗試抓一下包，因為真相可能和文檔是不同的。
面對海量數(shù)據(jù)包，需要訓練你的眼睛和大腦來過濾消息
TCP其實是老好人，不要總是責怪它。理解它，分析它，你會發(fā)現(xiàn)錯誤大部分時候是在別的地方。
新一代數(shù)據(jù)中心網(wǎng)絡十分復雜，用好工具，會幫你解決很多難題。
另外有需要云服務器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。
重慶分公司
重慶分公司
