在 Debian 上使用抓包工具定位网络问题的实用流程
一 工具选型与安装
- 抓包与分析的主力是tcpdump（命令行、轻量、可保存为 pcap 供后续分析）与Wireshark（图形化、过滤强大、适合深度分析）。
- 实时带宽与主机排行可用iftop，便于快速发现异常占用者。
- 安装命令：
- sudo apt-get update
- sudo apt-get install -y tcpdump wireshark iftop
- 合规提示：抓包可能触及隐私与合规要求，务必在获得明确授权的网络与主机上操作。
二 快速定位流程
- 步骤1 明确现象与范围
- 记录问题表现（如丢包、延迟、连接超时、DNS 解析失败、带宽异常）、涉及的源/目的 IP 与端口、发生时间段与触发动作（访问某 URL、重启某服务）。
- 步骤2 连通性与路径排障（先于抓包）
- 基础连通：ping 目标；解析校验：nslookup/dig 目标域名；路径追踪：traceroute 到目标；服务端口：nc -vz 目标 端口；本机状态：ip a、ss -lntp、iptables -S、systemctl status 服务。
- 步骤3 实时抓包定位
- 接口与权限：sudo tcpdump -i eth0（必要时用 -i any 捕获所有接口）。
- 写入文件便于复盘：sudo tcpdump -i eth0 -w capture.pcap。
- 典型过滤表达式（按需组合）：
- 只看某主机：host 192.168.1.100
- 只看某端口：port 80 或 port 443
- 只看某方向：src host 10.0.0.5 或 dst port 3306
- 只看 TCP 握手与挥手：tcp[tcpflags] & (tcp-syn|tcp-fin) != 0
- DNS 查询：udp port 53 or tcp port 53
- 示例：抓取与某主机的 443 流量并写盘
- sudo tcpdump -i eth0 -nn -s0 -w capture.pcap ‘host 203.0.113.10 and port 443’
- 步骤4 用 Wireshark 深度分析
- 在 Wireshark 中打开 capture.pcap，结合显示过滤器（如 dns、http、tls、tcp.analysis.retransmission、tcp.analysis.duplicate_ack）定位异常。
- 步骤5 带宽与主机排查
- sudo iftop -i eth0，观察是否有异常主机/连接占用带宽。
三 典型场景与抓包要点
| 场景 |
抓包命令示例 |
关键观察点 |
| 网站访问慢或打不开 |
sudo tcpdump -i any -nn -s0 -w web.pcap ‘tcp port 80 or tcp port 443’ |
是否存在TCP 重传（tcp.analysis.retransmission）、重复 ACK（tcp.analysis.duplicate_ack）、TLS 握手是否完成（ClientHello/ServerHello、证书交换）、HTTP 是否返回异常状态码 |
| DNS 解析失败或超时 |
sudo tcpdump -i any -nn -s0 -w dns.pcap ‘udp port 53 or tcp port 53’ |
是否有SERVFAIL/REFUSED、响应延迟、请求无响应、截断响应（TC 标志） |
| 数据库连接异常 |
sudo tcpdump -i any -nn -s0 -w db.pcap ‘port 3306 or port 5432’ |
是否能完成三次握手、是否存在重置 RST、认证阶段是否异常断开 |
| 内网主机间歇性丢包 |
sudo tcpdump -i any -nn -s0 -w loss.pcap ‘host 192.168.1.50’ |
是否存在ICMP 目的不可达/超时、链路层冲突/错误、异常ARP |
| 可疑流量或攻击排查 |
sudo tcpdump -i any -nn -s0 -w suspect.pcap ‘tcp[tcpflags] & (tcp-syn) != 0’ 或 ‘icmp[icmptype] == icmp-echo’ |
SYN 洪泛（大量半开连接）、异常 ICMP 洪泛、畸形包特征等 |
- 提示：抓包时尽量使用**-nn**（不解析主机名/端口名）与**-s0**（抓取完整包），避免遗漏关键细节。
四 结果解读与优化建议
- 快速判定清单
- 无响应但无抓包：多为物理/链路/ACL/防火墙阻断，或抓包点不在路径上；检查交换机/路由/安全组与本地防火墙规则（iptables/firewalld）。
- 有握手但无数据：可能是应用层协议不匹配、SNI/证书问题或负载均衡/反向代理异常。
- 大量重传/重复 ACK：链路拥塞/抖动或远端窗口过小，结合端到端 RTT 与服务器负载排查。
- DNS 查询无响应：检查DNS 服务器可达性、解析超时、域名是否被劫持。
- 性能与合规
- 长时间抓包会产生CPU/磁盘 I/O压力，建议设置合理时间窗与BPF 过滤；必要时在镜像端口/网关上抓包以减少对本机影响。
- 抓包文件较大时，可在 Wireshark 中使用显示过滤器聚焦关键流，或按时间/主机拆分分析。
