Sniffer在网络故障定位中的作用
结论与能力
典型故障场景与判断要点
| 故障现象 | 抓包可观察到的特征 | 定位思路 |
|---|---|---|
| 连通性故障（Ping不通、端口不通） | 目标主机无ARP响应；或TCP SYN发出后无SYN-ACK；ICMP超时/目的不可达 | 检查二层是否学到MAC、是否存在ACL/防火墙丢弃；对比跨VLAN/跨网段路径 |
| 高丢包/高时延/抖动 | 重传（TCP Retransmission/ Dup ACK）、乱序（Out-of-Order）、零窗口（Zero Window）、RTT显著增大 | 定位拥塞点（链路/服务器/中间设备）；核查带宽占用与QoS策略 |
| 应用层异常（访问慢、报错） | HTTP 5xx/4xx、TLS握手失败、DNS解析超时/错误、应用层超时重传 | 从TCP三次握手到HTTP/TLS事务逐跳排查，核对证书、SNI、时延 |
| 异常流量/疑似攻击 | 短时间内大量SYN、异常端口扫描（如集中访问445）、P2P/BT占带宽 | 以TOP Talker/IP/协议识别异常源，结合基线阈值告警与阻断策略 |
| 无线/光纤链路问题 | 误码/CRC错误、帧长异常、链路不稳定 | 借助无线嗅探或TAP获取物理层信号质量与链路事件证据 |
| 上述判断依赖嗅探器对TCP/IP栈行为、协议字段与统计指标的可视化与过滤能力，可显著缩短排障时间。 |
部署与使用要点
局限与合规
