Ubuntu Sniffer如何进行网络故障排查

Ubuntu Sniffer进行网络故障排查的步骤

1. 安装Sniffer工具

在Ubuntu系统中，常用Sniffer工具为tcpdump（命令行）和Wireshark（图形化）。通过以下命令安装：

# 更新软件包列表
sudo apt-get update
# 安装tcpdump（命令行工具）
sudo apt-get install tcpdump
# 安装Wireshark（图形化工具，需图形界面支持）
sudo apt-get install wireshark

2. 启动Sniffer捕获流量

使用tcpdump捕获指定网络接口的流量（如以太网接口eth0、无线接口wlan0）：

# 基本捕获命令（需要root权限）
sudo tcpdump -i eth0
# 仅显示数据包摘要（减少输出量）
sudo tcpdump -i eth0 -q

3. 过滤特定流量

通过过滤表达式缩小捕获范围，聚焦可疑流量：

# 捕获HTTP流量（端口80）
sudo tcpdump -i eth0 port 80
# 捕获HTTPS流量（端口443）
sudo tcpdump -i eth0 port 443
# 捕获特定IP地址的流量（如192.168.1.100）
sudo tcpdump -i eth0 host 192.168.1.100
# 捕获ICMP流量（ping请求/响应）
sudo tcpdump -i eth0 icmp

4. 保存与读取捕获文件

将捕获的流量保存为.pcap文件（便于后续分析），或读取已有文件：

# 保存捕获流量到文件（如capture.pcap）
sudo tcpdump -i eth0 -w capture.pcap
# 读取.pcap文件（命令行）
sudo tcpdump -r capture.pcap -nn
# 读取.pcap文件（图形化，用Wireshark打开）
wireshark capture.pcap

5. 分析常见网络故障

① 网络连接问题

现象：无法访问网页、远程服务器。
分析方法：捕获与目标服务器之间的流量，检查是否有SYN包（连接请求）和SYN-ACK包（响应）。若只有SYN无SYN-ACK，可能是目标服务器未响应或中间网络阻断。

示例命令：

sudo tcpdump -i eth0 host 192.168.1.1 and port 80 -nn

② 数据包丢失或延迟

现象：网页加载缓慢、视频卡顿、ping值高。
分析方法：捕获连续的数据包，检查时间戳（tcpdump -ttt显示精确时间），观察数据包间隔是否均匀。若间隔过长或数据包缺失，可能存在网络拥塞或链路问题。
示例命令：
```
sudo tcpdump -i eth0 -ttt -n
```

③ 协议异常

现象：特定服务（如HTTP、FTP）无法使用。
分析方法：捕获对应协议的流量，检查协议字段（如HTTP的GET/POST请求、FTP的USER/PASS命令）是否符合规范。若协议字段错误，可能是客户端或服务端配置问题。