,如果源服務器訪問目標服務器出現異常，而且參閱文檔, ,ping ,,丟包或不通時鏈路測試說明, ,和, ,,,能 ping ,,通但端口不通時端口可用性探測說明 ,排查分析處理後，還是未能解決問題，則需要通過抓包獲取最原始的交互數據做進一步排查分析。本文先介紹了常用的抓包工具，然後對抓包的操作步驟進行了簡要說明。本文不涉及抓包數據的分析處理說明。

,常用抓包工具介紹

---

,根據操作係統類型的不同，常用抓包工具分別簡要介紹如下:

• ,Linux 環境下的抓包工具介紹
• ,,Windows ,環境下的抓包工具介紹

,Linux ,環境下的抓包工具介紹

,Linux ,環境下，通常通過 ,tcpdump ,來進行抓包和分析。它是幾乎所有 ,Linux ,發行版本預裝的數據包抓取和分析工具,。

,tcpdump ,工具的獲取和安裝可以參閱相應操作係統的官方文檔，本文不再詳述。

 

,tcpdump ,的用法如下：

tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ] 
         [ -c count ] 
         [ -C file_size ] [ -G rotate_seconds ] [ -F file ] 
         [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ] 
         [ --number ] [ -Q in|out|inout ] 
         [ -r file ] [ -V file ] [ -s snaplen ] [ -T type ] [ -w file ] 
         [ -W filecount ] 
         [ -E spi@ipaddr algo:secret,... ] 
         [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ] 
         [ --time-stamp-precision=tstamp_precision ] 
         [ --immediate-mode ] [ --version ] 
         [ expression ]

 

,常見參數說明,（,區分大小寫）,：

• ,-s ,設置數據包抓取長度。如果置為,0,，則表示自動選擇合適的長度來抓取數據包。
• ,,-w,將抓包結果導出到文件，而不是在控製台進行分析和打印輸出。
• ,,,-i ,指定需要監聽的接口（網卡）。
• ,,,,-vvv ,輸出詳細的數據交互信息。
• ,,,,,expression ,一個正則表達式，用作過濾報文的條件。主要包含如下幾類：
  • ,,,,,關於類型的關鍵字：包括, ,host,（主機），,net,（網絡），,port,（端口）。
  • ,,,,,,確定傳輸方向的關鍵字：包括, ,src,（源），,dst,（目標），,dst or src,（源或目標），,dst and src,（源和目標）。
  • ,,,,,,,使用協議的關鍵字：包括, ,icmp,，,ip,，,arp,，,rarp,，,tcp,，,udp,等類型。

,更多參數說明及用法，可以參閱 ,tcpdump ,的 ,man ,幫助。

 

,常見用法和示例輸出：

1. ,抓取指定網卡指定端口的交互數據
   • ,操作指令

     tcpdump -s 0 -i eth0 port 22

   • ,示例輸出

     tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
     listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
     20:24:59.414951 IP 172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], seq 442372:442536, ack 53, win 141, length 164
     20:24:59.415002 IP 172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], seq 442536:442700, ack 53, win 141, length 164
     20:24:59.415052 IP 172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], seq 442700:442864, ack 53, win 141, length 164
     20:24:59.415103 IP 172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], seq 442864:443028, ack 53, win 141, length 164

2. , 抓取指定網卡發送給指定 IP 上指定端口的交互數據，並在控製台輸出詳細交互信息 
   • 操作指令

     tcpdump -s 0 -i eth1 -vvv port 22

   • 示例輸出

     tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
     20:24:20.991006 IP (tos 0x10, ttl 64, id 22747, offset 0, flags [DF], proto TCP (6), length 316)
         172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], cksum 0x2504 (incorrect -> 0x270d), seq 133624:133900, ack 1, win 141, length 276
     20:24:20.991033 IP (tos 0x0, ttl 53, id 2348, offset 0, flags [DF], proto TCP (6), length 92)
         42.120.74.107.43414 > 172.16.2.226.ssh: Flags [P.], cksum 0x4759 (correct), seq 1:53, ack 129036, win 15472, length 52
     20:24:20.991130 IP (tos 0x10, ttl 64, id 22748, offset 0, flags [DF], proto TCP (6), length 540)
         172.16.2.226.ssh > 42.120.74.107.43414: Flags [P.], cksum 0x25e4 (incorrect -> 0x5e78), seq 133900:134400, ack 53, win 141, length 500
     20:24:20.991162 IP (tos 0x0, ttl 53, id 2349, offset 0, flags [DF], proto TCP (6), length 40)
         42.120.74.107.43414 > 172.16.2.226.ssh: Flags [.], cksum 0xf39e (correct), seq 53, ack 129812, win 15278, length 0

3. 抓取發送至指定 IP 的 ping 交互數據，並在控製台輸出詳細交互信息 
   • 操作指令

     tcpdump -s 0 -i eth1 -vvv dst 223.5.5.5 and icmp

   • 示例輸出

     tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
     20:26:00.368958 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
         172.16.2.226 > public1.alidns.com: ICMP echo request, id 55097, seq 341, length 64
     20:26:01.369996 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
         172.16.2.226 > public1.alidns.com: ICMP echo request, id 55097, seq 342, length 64
     20:26:02.371058 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
         172.16.2.226 > public1.alidns.com: ICMP echo request, id 55097, seq 343, length 64
     20:26:03.372181 IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto ICMP (1), length 84)
         172.16.2.226 > public1.alidns.com: ICMP echo request, id 55097, seq 344, length 64

4. ,抓取係統內所有接口數據並保存到指定文件
   • 操作指令

     tcpdump -i any -s 0 -w test.cap

   • 示例輸出

     tcpdump: listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes

Windows 環境下的抓包工具介紹

,Windows ,環境下，通常通過 ,Wireshark ,來進行抓包和分析。它是 ,Windows,下最流行的免費開源的數據包抓取和分析工具。

,Wireshark ,工具的獲取和安裝說明可以參閱其,,,官方網站,，本文不再詳述。

 

,Wireshark,抓包步驟：

1. ,安裝後打開軟件。
2. ,,選擇菜單 ,捕獲 ,> ,選項，,彈出如下圖所示WireShark 捕獲接口配置圖：
   
    
3. ,如上圖所示，根據接口名稱或對應的 ,IP ,地址選定需要進行抓包的網卡，然後點擊 ,開始 ,啟動抓包。
4. ,,一段時間後，選擇菜單 捕獲 ,> 停止,，停止抓包。
5. ,,,選擇菜單 ,文件 ,> ,保存,，將抓包結果保存到指定文件。

, 更多關於 ,Wireshark ,工具的使用和數據分析方法可以參閱其,,,官方文檔,，本文不再詳述。

,抓包操作步驟及工單提交須知

---

,抓包應該在出現異常時，從源服務器和目標服務器同時並發操作，以便於對比分析。其操作步驟如下：

1. ,明確源服務器和目標服務器通過自身哪個網卡進行數據交互。
2. ,,如果源服務器通過 ,NAT ,共享方式訪問公網，則訪問 ,ip.taobao.com ,等網站，獲取本地網絡對應的公網 ,IP,。
3. ,,,出現異常時，參閱前文說明，通過相關工具從源服務器對目標服務器地址的目標端口，進行抓包。或者進行完整抓包，然後保存抓包數據。
4. ,,,,出現異常時，參閱前文說明，通過相關工具從目標服務器對源服務器地址進行抓包。或者進行完整抓包，然後保存抓包數據。
5. ,如果抓包數據可能很大，超出工單係統附件大小限製（當前為, 2M,）。則需要先將前述抓包結果打包壓縮，再上傳到第三方網盤並獲取外鏈分享地址，或者通過 ,OSS ,管理控製台,,,上傳,,文件,並,,,獲取,,訪問地址,（如果用戶購買了阿裏雲對象存儲, OSS ,服務）。

,聯係,,,售後技術支持,，反饋,上述抓包數據獲取地址，以便阿裏雲工程師做進一步排查分析,。