TCPDump 实际抓包案例及故障分析

引言

在网络运维和开发过程中，网络故障的排查是常见且关键的任务。tcpdump 作为一款强大的命令行网络抓包工具，能够帮助工程师捕获和分析网络流量，快速定位问题根源。本文通过一个实际案例，结合 tcpdump 和 Wireshark 的使用，详细分析一次网络故障的排查过程，并总结相关经验与技巧。

一、案例背景

某公司内部部署了一款基于 Web 的业务系统，用户反馈在访问该系统时频繁出现超时和页面加载失败的问题。初步排查发现，服务器端服务运行正常，但客户端请求在发送后无响应。运维团队决定使用 tcpdump 捕获网络流量，结合 Wireshark 进行深度分析，以定位问题。

二、抓包准备与工具使用

1. 安装与配置

安装 tcpdump

在 Linux 系统中，使用以下命令安装 tcpdump：

bash 复制代码

sudo apt-get install tcpdump   # Debian/Ubuntu
sudo yum install tcpdump       # CentOS/RHEL

基础命令
- 捕获所有流量 ：sudo tcpdump -i eth0
- 过滤特定端口 ：sudo tcpdump port 8080
- 保存到文件 ：sudo tcpdump -i eth0 -w capture.pcap
- 读取文件 ：sudo tcpdump -r capture.pcap
Wireshark 配置

将 tcpdump 保存的 .pcap 文件导入 Wireshark，利用其图形化界面进行流量分析。

三、案例分析：Web 应用访问失败

1. 问题描述

用户访问 Web 应用时，浏览器显示"无法连接到服务器"，但服务器日志未记录请求。初步怀疑是网络通信异常。

2. 抓包过程

服务器端抓包

在 Web 服务器的网络接口 eth0 上捕获流量，重点关注 8080 端口：
bash 复制代码
```
sudo tcpdump -i eth0 port 8080 -w web_app_capture.pcap
```
同时，用户在客户端尝试访问 Web 应用（如 http://192.168.1.100:8080）。
客户端抓包

在客户端机器上捕获流量，验证请求是否发出：
bash 复制代码
```
sudo tcpdump -i eth0 host 192.168.1.100 and port 8080 -w client_capture.pcap
```

3. 分析结果

服务器端流量分析

使用 Wireshark 打开 web_app_capture.pcap，设置过滤器：
bash 复制代码
```
http && ip.addr == 192.168.1.100
```
发现客户端发送的 HTTP 请求（SYN 包）未收到服务器的 SYN-ACK 响应，且存在大量 TCP 重传（Retransmission）。
客户端流量分析

在 client_capture.pcap 中观察到：
- 客户端发送的 HTTP 请求包（SYN）正常。
- 服务器未返回 SYN-ACK，客户端触发 TCP 重传机制（指数退避：1s → 2s → 4s）。
- 最终请求超时，用户收到错误提示。

4. 问题定位

网络层问题

通过对比客户端和服务器的抓包数据，确认请求包已到达服务器，但服务器未响应。进一步检查服务器防火墙规则（iptables），发现以下配置：
bash 复制代码
```
iptables -A INPUT -p tcp --dport 8080 -j DROP
```
防火墙误将 Web 服务端口 8080 的流量丢弃，导致连接失败。
验证修复

临时删除防火墙规则后，重复测试：
bash 复制代码
```
iptables -D INPUT -p tcp --dport 8080 -j DROP
```
抓包结果显示，SYN-ACK 响应正常返回，TCP 三次握手完成，请求成功处理。

四、其他常见故障场景分析

1. DNS 解析失败

问题现象

用户无法通过域名访问服务，但 IP 地址访问正常。
抓包分析

捕获 DNS 流量（端口 53）：
bash 复制代码
```
sudo tcpdump port 53 -w dns_capture.pcap
```
Wireshark 分析显示：
- 客户端发送 DNS 查询请求（example.com）。
- DNS 服务器未返回响应，或返回错误码（如 NXDOMAIN）。
解决方案
- 检查 DNS 服务器配置（如 /etc/resolv.conf）。
- 验证 DNS 服务器是否运行正常（nslookup 或 dig 测试）。

2. 安全检测

问题现象

服务器负载突然升高，部分用户无法访问服务。
抓包分析

捕获短时间内的 SYN 包：
bash 复制代码
```
sudo tcpdump 'tcp[tcpflags] & (tcp-syn) != 0' -w syn_flood.pcap
```
Wireshark 统计显示：
- 某 IP 地址在短时间内发送大量 SYN 包（>1000/秒）。
- 无对应的 ACK 响应，符合 SYN Flood 特征。
解决方案
- 使用 iptables 限制连接速率：
  bash 复制代码
```
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
```
- 部署 WAF（Web 应用防火墙）过滤恶意流量。

3. TCP 重传与丢包

问题现象

用户访问缓慢，页面加载卡顿。
抓包分析

捕获流量并分析 TCP 重传：
bash 复制代码
```
sudo tcpdump -w tcp_retransmission.pcap
```
Wireshark 过滤器：
bash 复制代码
```
tcp.analysis.retransmission
```
发现以下问题：
- 数据包丢失（tcp.analysis.lost_segment）。
- 乱序包（tcp.analysis.out_of_order）。
解决方案
- 检查网络设备（如交换机、路由器）的丢包情况。
- 优化 TCP 参数（如 net.ipv4.tcp_retries2、net.ipv4.tcp_sack）。

五、故障排查技巧与最佳实践

明确假设与验证
- 根据故障现象提出假设（如防火墙规则、DNS 问题），通过抓包验证。
合理使用过滤器
- 按协议过滤 ：tcp、http、dns。
- 按 IP/端口过滤 ：host 192.168.1.100、port 8080。
- 按标志位过滤 ：tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn。
结合 Wireshark 深度分析
- 使用 Follow TCP Stream 功能追踪完整通信过程。
- 利用 Statistics → Conversations 查看流量统计（如重传率、丢包率）。
避免丢包
- 增加 tcpdump 缓冲区大小（-s 参数）。
- 使用 -n 禁止域名解析，减少性能开销。

六、总结

通过 tcpdump 和 Wireshark 的组合使用，可以高效定位网络故障的根本原因。无论是防火墙配置错误、DNS 解析失败，还是 TCP 重传，抓包分析都能提供直观的证据。在实际工作中，掌握 tcpdump 的命令与过滤器技巧，结合对 TCP/IP 协议的理解，是解决复杂网络问题的关键。

未来，随着云原生和微服务架构的普及，网络故障的复杂性将进一步增加。因此，持续学习和实践抓包分析技能，将成为运维和开发人员的核心能力之一。