★ FEATURED ARTICLE 1. 抓包这件事为什么值得单独开一堂实验1.1 配置敲通了不等于懂了抓包是唯一能把看不见的行为摊开的工具做网络这行时间长了会有个很明显的感受命令行回显里那几个up、Established、Full是结果不是过程。设备内部到底做了哪些动作、报文以什么顺序出去、字段被改成什么样配置界面和display命令基本不告诉你。很多人配通一个拓扑之后就卡在这一步——能通但说不出为什么通一旦不通也说不出卡在哪一跳。抓包协议分析这门实验的价值就在这儿它把中间过程原原本本录下来你看到的是原始字节流任何一层封装的字段都藏不住。我见过不少刚入门的同学ping不通就开始乱改配置先删路由、再关防火墙、然后重配地址改了一圈发现是某台交换机某个口 VLAN 配错了。这种蒙式的排障方式效率极低而且改坏了也复现不回来。真正靠谱的做法是先抓包看 ICMP 请求到底有没有从源端发出去、从哪个接口发出去、有没有到达对端、回包有没有回来。四个问题问完问题域基本就被压缩到一两个设备上了。这个思路不是天生的是抓包抓出来的。所以我把抓包协议分析当成一门独立的实验而不是某个配置实验的附属环节。它不是教你点几下鼠标看几个包而是训练一种用证据说话的思维习惯。这门实验做扎实了后面学任何协议都会轻松很多因为你知道它长什么样、怎么交互、出问题时症状是什么。1.2 为什么把实验放在 eNSP 里做而不是直接上真机真机抓包能做但门槛不低。要么串接一台分光/汇聚设备要么在交换机上做端口镜像把某个业务口或整个 VLAN 的流量复制到一个观察口再把笔记本接到观察口上跑抓包软件。这套流程在企业里是标准做法但对做实验来说成本太高设备要钱、镜像口要占用、拓扑搭一次要拆一次而且做错了没法撤销。在 eNSP 这类网络模拟器里做就轻松多了。链路上右键就能起抓包抓到的文件随时保存拓扑可以存成工程文件反复打开需要复现某个现象就回滚到之前的配置点再走一遍。同一个实验可以反复做十遍每遍只改一个变量这在真机上是很难做到的。更重要的一点是模拟器里可以放心大胆地搞破坏性操作——把 OSPF 断掉、把 STP 根桥抢过来、把地址配冲突——这些在真机环境里是绝对不敢碰的。当然也要承认模拟器的局限。eNSP 的转发是软件模拟的性能、时延、丢包模型跟真机有差距抓出来的时间戳只能反映模拟器内部的调度顺序不能拿来做精确的性能分析。另外部分设备对一些高级特性支持有限某些协议字段可能构造得不够完整。这一点在写实验结论的时候要有意识地区分哪些结论是协议本身的性质可以推广哪些只是模拟器的实现细节不能推广。1.3 实验拓扑的整体设计一个拓扑吃透七种协议我不太喜欢那种一个实验只 ping 一下的极简拓扑抓出来的包信息量太少学不到东西。我的做法是搭一个够用但不过分复杂的中型拓扑一次装好后面七八个协议的抓包实验都在上面做。具体是这样组织的区域设备角色承担的实验内容接入层两台二层交换机划分两个 VLANVLAN 隔离、802.1Q 标签、STP 报文汇聚/网关一台三层交换机做 VLAN 间路由ARP、ICMP、VLANIF 抓包出口一台路由器做 NAT 与默认路由NAT 转换前后对照、DNS 请求终端三到四台 PC 与一台服务器DHCP 获取地址、HTTP 访问、TCP 握手路由协议路由器与三层交换机之间跑 OSPFHello/DD/LSR 等报文抓取这么设计的考量是所有抓包点都能在一个拓扑里找到不用来回换工程文件同时各个协议之间有依赖关系比如 PC 要先 DHCP 拿到地址才能 ARPARP 通了才能 pingping 通了才能访问 HTTP正好形成一个自然的递进链条。做实验的时候按这个链条往下走每一步都是上一步的验证逻辑非常顺。我个人建议不要一上来就堆 OSPF、BGP、MPLS 这些重量级协议。先把 ARP、ICMP、DHCP、TCP 这四样吃透这四样占了日常排障场景的八成以上。控制平面协议可以放到第二轮实验那时候你已经熟悉了抓包工具的操作和过滤器的写法效率会高很多。1.4 一次只验证一个协议实验节奏的把控模拟器里最忌讳的就是一口气全配完再看结果。全配完的时候任何一个环节出问题你都不知道是哪一步引入的。我的习惯是把整个实验拆成若干个最小可验证单元每个单元只改一处配置、只抓一段流量、只得出一个结论。具体操作上每做完一个单元就存一次工程文件的快照比如命名为exp9-01-arp、exp9-02-icmp这样后面出问题可以直接回到上一个已知良好的状态。这个习惯救过我很多次有一回在验证 NAT 的时候发现内网 ping 不通外网回头一看是上个单元改 VLAN 时把网关所在的接口划错了如果没存快照就得从头捋一遍配置。节奏上也要控制。一个完整的抓包实验我一般安排四个小时一小时搭拓扑和验证基础连通性两小时做核心协议的抓包分析剩下一小时做异常场景和整理报告。时间给得太紧抓包文件来不及细看最后就变成了跑通了但没学到。2. 环境搭建与抓包点选择决定你能看到什么2.1 模拟器与抓包工具的版本搭配这一步最容易翻车环境这块我踩过的坑最多值得单独拿出来说。eNSP 本身只是个模拟引擎抓包要靠外部的抓包软件来接收数据两者之间通过一个虚拟网卡把链路流量镜像过去。中间这条链路依赖一个底层的抓包驱动库而这个驱动库的版本兼容性相当刁钻。最常见的现象是拓扑搭好了在链路上右键点开始抓包结果什么反应都没有或者弹出一个报错窗口一闪就消失。十次里有八次是驱动的问题。老版本的驱动库在新版操作系统上装不上新版本驱动又默认不开启对老接口的兼容模式两种情况都会导致模拟器调不起抓包软件。我的处理顺序是这样的先确认抓包软件本身能独立启动能正常列出本机网卡列表。这一步不通说明软件安装就有问题别往下折腾。再确认驱动库安装时勾选了兼容模式选项。安装过程中会有一个关于兼容旧接口的勾选项默认是不勾的这个默认值坑了无数人必须手动勾上。然后在模拟器的设置里指定抓包软件的可执行文件路径注意路径里不能有中文和空格这是硬要求很多人把软件装在带中文的目录下怎么点都调不起来。最后做一次最小验证单台 PC 加一台交换机ping 一下网关看能不能抓到包。版本上我倾向于用稍微老一点的抓包软件版本。新版软件功能更全但对模拟器镜像过来的这类虚拟链路解析有时会出问题比如把正常的以太网帧识别成未知格式或者把封装层次解错。回退一到两个大版本之后反而稳定。这个结论不是绝对的不同环境表现不一样但从我和身边同行的经验看抓包工具版本新不如稳这条在模拟器场景下基本成立。提示如果点击抓包后抓包软件启动了但界面是空的先看它是不是抓到了一个叫本地连接或者带Loopback字样的接口。模拟器镜像过来的流量经常落在这种虚拟接口上手动在接口列表里选对那个接口就能看到包。2.2 设备选型上的取舍不是越高级越好拓扑里选什么设备直接影响到抓包能看到什么。三层交换机适合做 VLAN 间路由的抓包因为它一次能体现 VLAN 封装被剥掉、三层转发、重新封装的全过程路由器适合做 NAT 和路由协议的抓包因为它的接口类型更接近真实出口场景。但这里有个常被忽略的问题设备型号选得越高启动越慢、占内存越多。一个五六台设备的拓扑如果全选顶配型号开机启动可能就要花五六分钟中途某台设备启动失败还得重来。我的经验是把设备分成两类处理承担核心抓包任务的两三台用功能完整的型号纯做接入和终端的用轻量型号。这样既保证了功能又控制了资源占用。还有一点是关于 PC 设备的。模拟器里的 PC 是简化的仿真终端本身没有抓包能力你只能在它连出去的那条链路上抓。这一点要提前想清楚想看 PC 发出的 DHCP 请求就抓 PC 到交换机那条链路想看交换机对请求的应答可以抓同一个位置双向流量都能看到也可以抓交换机到网关的上行链路做对比。2.3 抓包点选在哪位置决定视野这是整个实验里最需要动脑子的部分。同样一个 ping在不同位置抓看到的包完全不一样。我把常见的抓包位置和对应的可见范围整理成了下面这张表做实验的时候对着查会省很多时间抓包位置能看到什么看不到什么终端与接入交换机之间Access 口原始以太网帧不带 VLAN 标签DHCP、ARP、ICMP 原始形态三层转发后的地址变化交换机之间Trunk 链路带 802.1Q 标签的帧可以看到 VLAN 标识与优先级字段标签被剥离后的形态三层交换机与路由器之间路由后的报文TTL 递减源目地址已改写内网 VLAN 细节路由器出口侧NAT 转换后的公网侧地址与端口内网私有地址原始形态任意链路的双向请求与应答可以对照看一眼看出谁没回—我通常的做法是在同一个实验里至少抓两个点做对照。比如验证 NAT就在内网侧和出口侧各抓一份然后把两份文件并排打开看源地址和源端口怎么变的、校验和有没有重算。这种对照式的看法比单看一份文件的信息量大得多也更容易发现看起来通了但其实有问题的情况。还有一个实用技巧如果一时判断不准该在哪抓就先在所有关键链路上都开抓包跑一遍业务然后逐个文件看哪个有内容。模拟器里的抓包开销不大多开几个不影响结果比事后猜位置强。2.4 抓包过滤器和显示过滤器别混为一谈这两个概念新手特别容易搞混但用错了会很痛苦。抓包过滤器是在抓之前就设好的不符合条件的包根本不会被记录下来。它的好处是文件小、性能好坏处是抓漏了就没了得重新抓一遍。语法是那套经典的host、port、net组合。显示过滤器是抓完之后在界面上筛文件里其实什么都有只是不显示。好处是随时可以改条件、随时能看到全貌坏处是文件会很大几万个包一起打开会卡。我的用法是分阶段的做未知问题的排查时不加任何抓包过滤器先把全流量抓下来宁可文件大一点等定位到大概方向了再用显示过滤器一点点收窄。做已知目标的验证性实验比如就只想看 DHCP可以加一个轻量的抓包过滤器比如只保留 UDP 67/68 端口减少干扰。注意加抓包过滤器时不要写得太窄。我见过有人只写了port 80结果三次握手里的 SYN 是能抓到但 TCP 层的某些辅助报文被过滤掉了最后分析握手时序的时候发现对不上。留一点余量比抠得太死更安全。3. 典型协议逐层拆解抓到的包到底该怎么读3.1 ARP地址解析是整条链路的起点ARP 是最适合拿来入门的协议因为它的交互极其简单——一问一答广播问、单播答没有状态机没有超时重传的花样。但就是这么简单的协议能讲清楚的事情不少。在 PC 上第一次 ping 网关抓包会看到一条广播的 ARP 请求源 MAC 是 PC 自己的目的 MAC 是全 F报文里带着我想找某个 IP它的 MAC 是多少。网关收到之后回一个单播的 ARP 应答把自己的 MAC 填进去。这两条报文抓下来你就能直观理解为什么同网段通信靠 MAC、跨网段通信靠网关。我一般会让学生重点观察三个细节请求是广播应答是单播。这个不对称性很多人背过但没真正看过抓一次就记住了。ARP 表是有老化时间的。ping 通之后等几分钟再 ping会重新看到 ARP 请求连续 ping 则只看到 ICMP看不到 ARP。这个现象能引出一个很重要的排障经验如果突然出现大量 ARP 请求往往是表项老化或者有人在扫描。免费 ARP。设备接口 up 或者地址变更时会主动发一个源和目的都是自己的 ARP 请求用来探测地址冲突并刷新别人的缓存。在接口刚配置好地址的那一刻抓包能看到这条特殊报文。实操上我建议做一次对照实验先ping一次记下时间然后在 PC 上查看 ARP 缓存表等老化时间过去或者手动清空缓存再ping一次两份抓包文件一对比ARP 出现和消失的规律就非常清楚了。这种改一个变量看变化的方法比读十页教材管用。3.2 ICMPping 通了和 ping 不通抓包给出的答案不一样ICMP 的抓包分析要分两种情况看这两种情况的排查思路完全不同。第一种ping 通了。抓包能看到一问一答成对出现请求的 Type 是 8、Code 是 0应答的 Type 是 0。要重点看的是两个东西一是 TTL每经过一台三层设备减一据此可以推断路径长度也能验证路由是否按预期走二是往返时间把请求和应答的时间戳相减就是这一跳的 RTT。模拟器里的 RTT 数值意义不大软件转发几乎为零但这个计算方法是通用的。第二种ping 不通。这时候抓包的价值才真正体现出来。要问的第一个问题是请求发出去了吗如果源端链路上连请求都没抓到问题在源端地址没配、路由没有、接口 down如果抓到了请求但目的端没收到问题在中间路径如果目的端收到了请求但没回应答问题在目的端的回程路由或策略。还有一种很典型的情况是收到了 ICMP 差错报文。比如 Type 3 Code 3 表示目的网络不可达Type 11 表示 TTL 超时。看到这类报文说明包已经走到了某个路由器但那一跳转不出去。抓包里差错报文的源地址就是卡住的那一跳这个信息比在源端瞎猜有用一百倍。我记得有一回帮人看一个内网能通、跨网段不通的问题抓包发现 ICMP 请求到了核心交换机但回的是一个 Type 3 Code 1主机不可达源地址是核心交换机的网关接口。这就直接锁定了问题核心交换机上没有到目的网段的路由包被丢弃并回了差错报文。整个过程不到五分钟如果靠猜可能要把三层配置翻个底朝天。3.3 DHCP四个报文里藏着一个完整的租约生命周期DHCP 的交互是四个报文业内叫 DORADiscover发现、Offer提供、Request请求、Ack确认。这四个报文在抓包里非常干净一眼就能认出来特别适合用来讲状态机这个概念。抓包的时候有几点必须注意Discover 是广播的源地址是 0.0.0.0、目的地址是 255.255.255.255源 MAC 是客户端物理地址。这个没有地址却要申请地址的矛盾正好解释了为什么 DHCP 要用广播。Offer 里带的东西比想象中多。除了分配的 IP还有租期、子网掩码、网关、DNS 服务器这些都是选项字段Option携带的。抓包里展开协议树把这些选项一个个对照着看比背配置命令命令印象深刻得多。Request 也是广播的。很多人不理解为什么客户端拿到 Offer 之后要广播 Request 而不是单播回去——因为可能有多个服务器给了 Offer广播是为了告诉所有服务器我选了哪一个。这个设计意图只有看到广播 Request 才能体会。续租的时机。租期过半的时候客户端会发单播的 Request 续租这时候抓包看到的交互只有两条报文Request Ack不是四条。这个差异能直接说明续租和首次获取在流程上的不同。还有一类场景是 DHCP 中继。如果 DHCP 服务器和客户端不在同一个广播域中间需要有设备做中继转发。抓包时在服务器侧看到的报文源地址会变成中继设备的接口地址报文里还有一个中继代理信息选项记录着原始客户端的信息。这条链路的抓包对照非常有意思能清楚看到广播变单播的过程。3.4 TCP三次握手和四次挥手序号字段才是重点TCP 的抓包文件是所有协议里信息密度最高的因为它有状态、有序号、有确认号、有标志位。新手打开 TCP 的抓包文件通常一脸懵满屏的[TCP Retransmission]、[TCP Out-of-Order]看得头皮发麻。我的读法是先只看握手和挥手把序号的变化理清楚再去看数据传输阶段。三次握手客户端发 SYN带一个初始序号比如 1000服务端回 SYNACK带自己的初始序号比如 5000同时确认号是 1001客户端序号加一客户端再回一个 ACK确认号是 5001。三个包抓下来把序号和确认号的对应关系标在纸上握手就彻底理解了。这里的关键是理解确认号表示我期待收到的下一个字节序号而不是我收到了第几个字节。四次挥手一方发 FIN另一方回 ACK此时是半关闭状态然后另一方也发 FIN最后回 ACK。为什么是四次不是三次因为 TCP 是全双工的两个方向的关闭要分别确认。抓包里看 FIN 和 ACK 的分组这个道理就不用背了。数据传输阶段要关注的是窗口大小和 MSS。窗口字段反映接收方的处理能力窗口突然变成 0 说明接收缓冲区满了MSS 在握手阶段协商抓包里能看到双方各自声明自己能接收的最大报文段长度。这两个参数直接关系到性能做拥塞分析的起点就在这里。至于那些重传和乱序标记我的建议是先别急着下结论。在模拟器环境里因为软件调度、虚拟机负载等原因抓到的包出现乱序和重传的频率比真机高得多很多时候不是协议本身的问题。判断方法是对照时间戳如果重传的间隔非常规律比如正好是 RTO 的整数倍那可能是真的丢了如果间隔杂乱无章多半是模拟器调度导致的假象。3.5 DNS 与 HTTP应用层字段怎么读才算读了抓应用层的包重点不在传输层在于协议树展开后的那些字段。DNS 查询很简单一个查询报文一个响应报文UDP 53 端口。要看的字段是查询名、查询类型A 记录、AAAA 记录、CNAME 等、响应码NOERROR、NXDOMAIN 表示域名不存在、以及响应里的解析结果和 TTL。在实验里可以故意查询一个不存在的域名抓包里就能看到 NXDOMAIN 响应码这比看文档印象深。HTTP 的抓包要注意一点如果链路是明文传输能看到完整的请求行、请求头、响应码、响应体但现在很多场景走加密抓到的就是一堆无意义的字节。在模拟器环境里搭一个本地服务器做测试一般走明文正好方便观察。我常让学生重点看的是请求头和响应头的对应关系。比如请求里有Host字段响应里有Content-Type和Content-Length请求里有User-Agent服务端会根据它返回不同内容。把这些字段和浏览器访问网页这个日常行为联系起来协议就不抽象了。还有一个小技巧抓包工具一般都有跟踪某个 TCP 流的功能把一条完整的连接的所有报文拼成一段可读的文本。用它看 HTTP 交互比一个包一个包翻效率高太多。这个功能在排查请求发出去了但响应不对这类问题时几乎是必用的。3.6 VLAN 与 802.1Q标签在抓包里长什么样VLAN 这部分在模拟器里抓包特别有教学价值因为你能同时看到有标签和没标签两种形态。在 Access 口抓包看到的是最普通的以太网帧没有任何 VLAN 信息。在 Trunk 链路上抓包同样的帧中间会多出四个字节的标签两个字节的标签协议标识两个字节里包含了 VLAN ID 和优先级。抓包里展开这个标签能清楚看到 VLAN 号是多少、优先级是几。这个对照实验我建议一定要做在 PC 上 ping 另一个 VLAN 的地址同时在 Access 口和 Trunk 口各抓一份两份文件放在一起看。你会看到 PC 发出的帧不带标签到了 Trunk 上被交换机加上了标签到了对端又会被剥掉。这一加一剥就解释了为什么 VLAN 是二层隔离这件事——隔离发生在标签判断上交换机认标签决定往哪些口转发。还有一个容易忽略的点交换机发给终端的帧可能是带标签的如果那个口配了 Trunk 或者 hybrid。抓包里如果看到 PC 收到带 VLAN 标签的帧而 PC 不认这个标签就会出现链路 up 但不通的怪现象。这类问题在真机上很常见在模拟器里复现出来印象会非常深。3.7 NAT转换前后的两份抓包对照着看NAT 的分析必须用对照法单看一份文件看不出名堂。做法是在内网侧NAT 设备之前抓一份在出口侧NAT 设备之后抓一份然后同时发起一次对内网服务器的访问。两份文件里找到同一条连接对比这几个字段字段内网侧出口侧源 IP内网私有地址转换后的出口地址源端口客户端随机端口转换后的端口可能被改写目的 IP目的地址一般不变校验和原始值因为地址改写必须重算端口被改写这件事很多人只知道概念没见过实物。抓包之后你会看到两个不同的内网主机访问同一目标时源端口可能都被改成不同的值这就是端口复用。同时也能看到为什么外网主动访问内网很难——转换表里没有对应条目包进不来。还有一个细节值得留意分片报文的 NAT。如果报文被分片只有第一片带传输层头后续分片不带端口信息NAT 设备处理起来就有额外逻辑。在模拟器里构造大包比如 ping 带大量数据并禁止分片能看到相关行为这个点做深了能写出一篇很好的分析。3.8 控制平面协议OSPF 的 Hello 里到底有什么控制平面协议的抓包跟数据平面不太一样它不是用户发起的请求-响应而是设备之间周期性的心跳。OSPF 的 Hello 报文就是典型每十秒一次雷打不动。抓包看 Hello重点关注这几个字段Router ID每台设备的唯一标识一般取最大的环回口地址。Hello 间隔和 Dead 间隔两边必须一致不一致就建立不了邻居。这是实际排障中非常高频的一个问题点抓包里一对照就能看出来。区域 ID同一链路上两台设备的区域 ID 必须相同否则连 Hello 都不算数。邻居列表Hello 里带着自己已经发现的邻居从邻居列表的填充过程能看出邻居关系是怎么一步步建立的。我一般会在实验里故意制造一次邻居建立失败把一边的 Hello 间隔改成 15 秒另一边保持 10 秒然后抓包看。你会看到两边都在发 Hello但就是建立不起来。这种看起来都在正常发报文但就是不通的场景是最能体现抓包价值的——配置界面上一片正常只有抓包能看到参数不匹配。4. 过滤器速查与高效分析套路4.1 显示过滤器速查表过滤器写不熟抓包效率至少打对折。下面这张表是我自己常用的基本能覆盖八成场景想看的对象写法说明某个 IP 相关的所有流量ip.addr 192.168.1.10双向都包含不区分源目只看源地址ip.src 192.168.1.10单向过滤某个网段ip.addr 192.168.1.0/24整段匹配ARP 报文arp也可细到arp.opcode 1请求ICMPicmp细分icmp.type 3差错报文DHCPbootp老版本写作dhcpDNSdns细分dns.flags.rcode 3NXDOMAINTCP 握手包tcp.flags.syn 1只看 SYNTCP 重置包tcp.flags.reset 1排查连接被拒绝带 VLAN 标签vlan细分vlan.id 10某个端口tcp.port 80UDP 用udp.port排除噪音!(arp or icmp)取反用感叹号用法上有两个小经验。一是组合条件用and连接比如ip.addr 10.0.0.1 and tcp.port 443比抓两次再对比快。二是过滤器会记住历史输入框下拉能看到之前用过的常用的那几条很快就会形成肌肉记忆。排查类的场景我建议先用排除法先写!(arp or stp or ospf)把周期性噪音去掉剩下的就清爽了问题报文一眼就能看到。4.2 抓包文件的命名与归档为复盘做准备这一点看起来是小事实际上是能不能复盘的生死线。我见过太多人做实验的时候抓了十几个文件全叫捕获1到捕获15两天之后自己都不知道哪个是哪个。我的命名规则是四段式实验编号-场景-抓包点-序号比如exp9-nat-inside-01。这样光看文件名就知道在哪个场景、哪个位置抓的找起来极快。如果一次实验抓了很多份还可以在文件备注里记一句当时的配置变更事后对照着看非常有用。归档上我习惯每个实验建一个目录里面放三样东西工程文件快照、抓包文件、一份简单的笔记记下当时改了什么配置、观察到了什么现象。这三样凑齐这个实验就是可复现的。半年之后回头看笔记比记忆靠谱得多。4.3 用统计功能快速出结论很多人只会在包列表里一条条翻效率很低。抓包工具有一整套统计视图能在一分钟内告诉你整体情况会话统计按 IP 或端口聚合一眼看出谁在跟谁通信、谁流量最大。排查某台主机异常时先看这个。协议分层统计告诉你这次抓包都涉及哪些协议。如果预期有 HTTP 却完全没有那问题可能出在应用层压根没起来。TCP 流图把一个 TCP 连接的收发用图形方式画出来握手、数据传输、挥手一目了然。专家信息工具会自己标注出异常比如重传、校验和错误、连接重置。这个是最快的入口先看专家信息再看具体报文。我做异常分析的标准流程是打开文件 → 看专家信息有没有红黄标记 → 看协议分层确认协议是否齐全 → 用会话统计定位可疑的主机对 → 再回到包列表做细节分析。这个顺序能避免一上来就陷进包列表里。4.4 时间差的测量往返时延和间隔怎么算准抓包里的时间戳是相对第一个包的时间偏移这个设计对分析时序很方便。测量两个包之间的间隔直接看时间列相减就行。几个常用的测量场景RTT请求和应答之间的间隔直接反映这一跳的时延。重传间隔同一个序号被重复发送的间隔能反推 RTO。周期性协议间隔Hello、STP 的 BPDU 都有固定周期间隔对不上就是异常。有个坑要提醒如果先抓了一会儿才开始有业务流量第一个包可能是某个背景噪音包时间基准就不是你想要的了。处理办法是用设置时间参考功能把业务开始的那个包设为时间零点之后的偏移就都相对它算了读起来清爽很多。另外模拟器环境的时间精度有限千分之几秒的差异没有分析价值。我一般把注意力放在秒级的间隔上毫秒级的波动不作为结论依据。5. 常见问题与排查实录5.1 点了抓包没反应或者抓包窗口一闪就没了这是最高频的问题占了我在实验答疑里的一大半。排查顺序按概率从高到低现象大概率原因处理办法点击后完全无响应抓包软件路径未配置或配置错误在设置里重新指定可执行文件路径窗口一闪即退底层驱动未安装或未开兼容模式重装驱动并勾选兼容旧接口选项软件启动了但没有包抓错了网卡选到了物理网卡在接口列表里选虚拟接口只有部分链路能抓某些设备型号不支持该功能换一个抓包位置或换设备型号抓包一段时间后自动停止磁盘空间不足或单文件上限清理空间或设置自动分割文件驱动那一项要注意重装之前先把旧版本彻底卸载干净并重启否则残留会继续干扰。我吃过亏只卸载了软件没卸载驱动重装之后仍然报错折腾了半小时才发现是残留问题。5.2 抓不到目标报文这种情况要区分是根本没发生还是确实抓漏了。判断方法很简单把抓包范围放到最大不加任何过滤执行一次操作看文件里有没有任何新包。如果连背景噪音都没有说明抓包链路本身就没通如果有背景流量但目标报文缺失说明报文确实没有产生或者没有经过这个位置。一旦确认是报文没产生排查方向就转到设备侧了。比如应该发 ARP 但没有去看接口是不是 down、地址是不是配了、ARP 表里是不是已经有表项了。应该发 DHCP 但没有去看终端是不是已经有一个有效地址了有地址就不会重新申请。还有一种容易被忽略的情况抓包点选在了错误的方向上。同一个链路上流量是有方向的如果你抓的是一个单向镜像点可能只看到了一半。换到链路另一侧再抓一次做对照问题就暴露了。5.3 抓到的包看起来不正常重复、乱序、时间戳怪异模拟器环境下这几种现象非常普遍需要有个正确的预期。重复包同一个报文出现两次序号、时间戳几乎一样。这通常是镜像机制或软件调度导致的不代表真的重传。判断方法是看两份报文之间有没有其他流量穿插纯粹紧邻重复的一般是抓包侧的问题。乱序前后两个包的序号颠倒了。真机上也偶尔出现但模拟器里更频繁。如果整个文件里只有零星几处乱序基本可以忽略如果大面积乱序可能是虚拟机负载太高可以考虑降低抓包的并发数量或者关掉一些不必要的设备。时间戳怪异比如两个包间隔显示为负数或者时间倒退。这几乎都是虚拟机时钟同步的问题跟协议本身无关。遇到这种情况重启虚拟机、减少同时运行的设备数量通常能缓解。我的态度是模拟器主要用于理解协议的逻辑和字段不要用它做性能和精确定时的分析。这两件事分开看很多怪异现象就不纠结了。5.4 协议解析不全字段显示成未知抓到的包能看但某一层显示为未知协议或者字段是空白的。原因一般有两个一是抓包工具版本对该协议的解析支持不好尤其是比较新的协议二是端口号不标准导致工具猜错了上层协议。处理办法有两个。第一升级或降级抓包工具版本试一下这个在模拟器场景下往往有效。第二手动指定解码方式——大多数工具支持解码为功能可以强制把某段数据按指定协议解析。比如某个自定义端口承载的是明文 HTTP工具默认不认识手动指定之后字段就都出来了。5.5 常见问题速查症状首先检查其次检查抓包工具打不开安装是否完整、是否有权限杀毒软件是否拦截抓到大量无关广播是否选在大范围广播域上抓加显示过滤器收缩范围双向流量只看得到一边抓包点是否为单向镜像换到链路另一端对照文件名乱码路径是否含中文改用英文路径分析时找不到关键包抓包过滤器是否设得过窄去掉过滤器重抓文件过大打不开是否长时间无过滤抓取分割文件分段分析6. 实验报告怎么写才像做过的人写的6.1 结论要落到字段级证据上写抓包实验的报告最容易犯的错是写成配置说明——把命令贴一遍然后写实验成功。这种报告没有任何分析价值。真正有价值的写法是每个结论都要能指到某个包、某个字段。比如不要写DHCP 工作正常而要写客户端发出的 Discover 报文中客户端硬件地址为某值事务 ID 为某值服务器返回的 Offer 中携带了租期与网关选项两者的响应间隔为若干秒据此判断同一事务的请求与应答配对正确。这种写法看起来很啰嗦但它强迫你把每个判断都建立在观察到的证据上。写多了之后你会形成一种先找证据再说话的本能这个本能比任何配置命令都值钱。6.2 几个实操中总结出来的加分点和扣分点加分的地方通常在这几处主动做了对照抓包两个位置、两次实验前后对比而不是只抓一份。记录了异常场景比如故意配错参数、故意制造不通然后分析抓包表现。这部分往往是整份报告里信息量最大的。对过滤器写法有说明为什么这么筛筛掉了什么。附上了原始抓包文件的命名和归档说明让别人能复现。扣分的地方也很集中只贴图不分析或者分析停留在这个包是 ARP 请求这种描述层面。抓包点选择不合理抓的位置根本看不到想验证的流量。时间戳、序号这些关键字段没读或者读错了比如把确认号理解成已收到的字节数。结论超出证据范围比如拿模拟器里的时延数据去论证性能问题。我个人还有个习惯报告最后留一小节写这次没搞明白的问题。比如某个报文为什么多出来一条、某个字段的含义查不到权威解释。把疑问记下来下次做实验专门去验证。这一节往往是最能体现思考深度的地方也是自己回头翻看时最有价值的记录。做抓包分析这些年最深的体会是工具的操作半小时就能学会难的是看到包之后知道自己该看什么。这个能力没法速成只能靠在一次次实验里建立协议应该长什么样的预期然后拿实际抓到的包去对。预期对了异常一眼就能看出预期没有抓再多包也只是看热闹。所以每做一次实验我都会问自己一句如果下次遇到同类问题我能在几分钟内定位吗能这次实验才算真的做完了。
阅读完成 · 觉得有帮助？
