掌握TCPdump与Wireshark：SRE必备的网络故障排查终极指南
项目地址: https://gitcode.com/gh_mirrors/sc/school-of-sre 在软件可靠性工程（SRE）领域，网络故障排查是确保系统稳定运行的关键技能。school-of-sre课程提供了全面的网络故障排查知识，其中TCPdump与Wireshark作为两款强大的网络分析工具，是SRE工程师必须掌握的核心技能。本文将详细介绍这两款工具的实用技巧，帮助新手快速上手网络故障诊断。
为什么SRE需要掌握网络抓包工具？
网络问题往往具有隐蔽性和复杂性，仅凭系统日志难以定位根本原因。TCPdump作为命令行抓包工具，能够实时捕获网络流量；而Wireshark则提供了可视化分析界面，两者结合使用可以高效解决从简单连接问题到复杂协议异常的各类网络故障。
图1：TCP三次握手过程示意图，展示了客户端与服务器建立连接的完整过程
TCPdump：命令行下的网络流量捕获神器
TCPdump是Linux系统自带的命令行抓包工具，具有轻量高效的特点，特别适合在服务器环境中进行快速网络诊断。
基础抓包命令
最常用的基础抓包命令如下：
# 监听所有接口的80端口流量
tcpdump -S -i any port 80
这条命令会捕获所有接口上的HTTP流量，并显示详细的TCP序列信息，帮助分析连接建立过程。
高级过滤技巧
针对特定场景的过滤命令：
# 捕获特定IP的DNS流量
sudo tcpdump -s 0 -A -i any port 53 and host 192.168.1.1
其中-s 0表示捕获完整数据包，-A以ASCII格式显示内容，这在分析应用层协议时非常有用。
图2：TCPdump在docker0接口上捕获的网络数据包示例
Wireshark：可视化网络分析利器
虽然school-of-sre课程中未直接提供Wireshark的截图，但结合TCPdump捕获的数据包文件（.pcap），可以使用Wireshark进行更深入的可视化分析。
常用分析功能
- 协议解析：自动识别超过2000种网络协议，清晰展示 packet 结构
- 流量统计：生成网络流量趋势图表，快速定位流量异常
- 专家系统：自动标记可疑数据包，辅助发现网络问题
与TCPdump协同工作
通常的工作流程是：
- 在服务器上用TCPdump捕获数据包：
tcpdump -w capture.pcap -i eth0 port 80 - 将pcap文件下载到本地，用Wireshark打开进行详细分析
实战案例：诊断TCP连接异常
假设发现服务器上有大量连接处于SYN_RCVD状态，可通过以下步骤排查：
-
用TCPdump捕获相关流量：
tcpdump -i any 'tcp[tcpflags] & (tcp-syn) != 0' -
分析捕获结果，观察三次握手过程：
图3：TCP三次握手抓包结果，显示了SYN、SYN-ACK和ACK包的交互过程 -
根据抓包结果，结合系统参数调整：
# 查看当前半连接队列长度 sysctl net.ipv4.tcp_max_syn_backlog # 临时调整半连接队列长度 sysctl -w net.ipv4.tcp_max_syn_backlog=1024
总结：SRE网络故障排查最佳实践
- 分层排查：从物理层到应用层逐步排查，避免盲目猜测
- 工具组合：TCPdump负责捕获，Wireshark负责深度分析
- 基线建立：记录正常流量特征，便于异常对比
- 安全合规：抓包前确保符合公司数据安全政策
通过school-of-sre课程中的courses/level101/linux_networking/tcp.md和courses/level101/metrics_and_monitoring/command-line_tools.md等资料，可以进一步深入学习网络协议和工具使用技巧。掌握TCPdump与Wireshark，将显著提升SRE工程师解决复杂网络问题的能力，为系统可靠性保驾护航。
要开始学习这些技能，可以克隆课程仓库：
git clone https://gitcode.com/gh_mirrors/sc/school-of-sre
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
