故障現(xiàn)象

單位工作環(huán)境中有兩套網(wǎng)絡(luò)，互聯(lián)網(wǎng)和業(yè)務(wù)純內(nèi)網(wǎng)兩套網(wǎng)絡(luò)物理隔離。近期發(fā)現(xiàn)，業(yè)務(wù)網(wǎng)中的趨勢殺毒軟件客戶端無法連接到服務(wù)器更新升級病毒庫。代理商到現(xiàn)場查看情況后發(fā)現(xiàn)殺毒軟件客戶端配置無異常，而且在網(wǎng)絡(luò)上與服務(wù)器也能正常通訊。重新刪除安裝客戶端也不行，解決問題的思路到這里卡住了，我們決定抓包試一試。

故障排查

代理商指出，趨勢客戶端是通過TCP的8080、32307端口進行通信的（8080端口負責下發(fā)配置，32307端口負責病毒庫的更新）。

實際的網(wǎng)絡(luò)結(jié)構(gòu)如圖1所示，趨勢殺毒客戶端與趨勢服務(wù)器為兩個不同網(wǎng)段，中間通過三層核心交換機進行轉(zhuǎn)發(fā)?？蛻舳说刂窞?92.168.20.254，服務(wù)器端地址為192.168.111.2。

圖1 網(wǎng)絡(luò)拓撲結(jié)構(gòu)

我們在客戶機上做了如下步驟的操作，并進行抓包。

1.在 客戶 端 上Ping趨勢防毒服務(wù)器192.168.111.2，訪問正常。

2.在客戶端上telnet趨勢防毒服務(wù)器的192.168.111.2 的 8080、32307端口，訪問正常。

至此，驗證了之前的結(jié)論，可以排除是兩端網(wǎng)絡(luò)不通造成的故障。

接下來分析抓取的數(shù)據(jù)包。首先篩選出客戶端IP地址192.168.20.254與趨勢防毒服務(wù)器192.168.111.2的數(shù)據(jù)包。在分析數(shù)據(jù)包時，發(fā)現(xiàn)趨勢客戶端192.168.20.254與趨勢防毒服務(wù)器192.168.111.2 的 8080、32307端口的數(shù)據(jù)包，但是數(shù)據(jù)包的數(shù)量只有兩個。根據(jù)數(shù)據(jù)包時間判斷，是之前客戶端測試與服務(wù)器的連通性手工telnet端口產(chǎn)生的。

抓包看到的現(xiàn)象是不正常的，沒有看到客戶端與服務(wù)器之間的正常通訊包。那么趨勢殺毒軟件客戶端與趨勢殺毒服務(wù)器的通訊包去哪了呢？

在抓到的數(shù)據(jù)包中篩選出趨勢客戶端192.168.20.254端 口號為8080的數(shù)據(jù)包，發(fā)現(xiàn)客戶端的請求發(fā)給了192.168.120.2這個地址。后經(jīng)查實，這個地址是外網(wǎng)趨勢服務(wù)器的地址，由于內(nèi)外網(wǎng)隔離該地址無法訪問。

故障解決

分析到這里我們恍然大悟。兩套網(wǎng)絡(luò)分別部署了兩套趨勢殺毒軟件，而在客戶端使用的安裝文件是包含服務(wù)器IP配置的打包程序。如果裝錯了安裝文件，趨勢是無法連接服務(wù)器更新病毒庫的。桌面運維人員在客戶端安裝趨勢殺毒軟件是搞混了兩個網(wǎng)絡(luò)對應(yīng)的安裝文件，導(dǎo)致大量終端無法更新病毒庫。更換安裝對應(yīng)的殺毒軟件。客戶端問題解決了。

經(jīng)驗總結(jié)

通過解決這個問題，真心覺著當遇到稀奇古怪的問題時，可以抓包分析一下，本來半天才能解決的問題，抓包半小時就能解決了。

以上只是抓包解決問題的一個簡單應(yīng)用，當遇到網(wǎng)絡(luò)性能問題時，根據(jù)協(xié)議的特點進行數(shù)據(jù)包分析，會讓我們收獲更多。