CentOS Sniffer在实际应用中的案例

CentOS 环境下 Sniffer 的典型落地案例

一 生产故障定位与防火墙策略验证

• 场景：客户端访问业务异常（如 HTTP 超时/拒绝），需要快速判断是网络路径问题还是服务端问题。
• 做法：在服务器上抓包确认请求是否到达本机；在串联设备（如 防火墙）两侧同时抓包，若“入接口有包、出接口无包”，可判定被策略拦截。
• 命令示例：
  • 在服务器本机确认是否收到请求
    • sudo tcpdump -i eth0 -n host 203.0.113.10 and port 80 -w server.pcap
  • 在防火墙两侧分别抓包（eth0 为入、eth1 为出），对比是否丢包
    • sudo tcpdump -i eth0 -n host 203.0.113.10 and port 80 -w fw-in.pcap
    • sudo tcpdump -i eth1 -n host 203.0.113.10 and port 80 -w fw-out.pcap
• 价值：以“是否有包”为第一性原理，快速缩小故障域，避免逐条排查复杂规则。

二 数据库慢查询与异常语句的实时排查

• 场景：线上 MySQL 响应变慢，需要定位是慢 SQL、连接风暴还是异常调用。
• 做法：在数据库主机或与其同二层网段旁路抓包，直接还原 SQL 文本与交互时序。
• 命令示例：
  • 抓取本机 3306 端口 MySQL 流量
    • sudo tcpdump -i lo -s 0 -w mysql.pcap port 3306
  • 离线用 Wireshark 查看：过滤 mysql.query 或 tcp.port == 3306，按时间线定位耗时语句与重连行为。
• 进阶工具：使用 go-sniffer 零侵入输出可读 SQL（需更高权限与网络可达）：
  • 安装：go get -v -u github.com/40t/go-sniffer
  • 抓 MySQL：sudo go-sniffer eth0 mysql -p 3306
  • 抓 Redis：sudo go-sniffer eth0 redis
• 价值：无需改动应用与数据库配置，即可还原真实请求，快速定位“哪条语句/哪个客户端”导致问题。

三 带宽占用与异常流量溯源

• 场景：某接口带宽接近饱和，或疑似出现 DDoS/扫描/广播风暴。
• 做法：先用嗅探器按协议/端口/主机过滤，确认异常流量特征与来源；再联动边界设备封禁或限速。
• 命令示例：
  • 按主机与端口快速定位大流量对端
    • sudo tcpdump -i eth0 -n 'host 198.51.100.23 and (port 80 or 443)' -c 1000 -w top-talker.pcap
  • 发现异常 TCP 连接特征（如大量 SYN 且无响应）
    • sudo tcpdump -i eth0 'tcp[13:1] & 0xf0 != 0x10' -nn
  • 识别广播风暴：持续观察广播/多播占比，定位源头主机或二层环路。
• 价值：以“流量指纹”快速锁定异常来源与协议，为后续限流、ACL 或拓扑整改提供依据。

四 基于抓包数据的 QoS 策略设计与验证

• 场景：需要优先保障 VoIP 体验，同时限制 大文件传输 的带宽峰值。
• 做法：先用嗅探器建立基线（关键业务占比、抖动/时延），再实施 tc 队列整形，最后回放抓包或指标复核策略有效性。
• 抓包基线示例：
  • 过滤 SIP（VoIP 信令）：sudo tcpdump -i eth0 -n udp port 5060 -w sip.pcap
  • 实时观察带宽：iftop -i eth0 或 nload
• 策略示例（HTB 分级，优先保障 EF，限制 BE）：
  • 根队列：sudo tc qdisc add dev eth0 root handle 1: htb default 20
  • 总带宽：sudo tc class add dev eth0 parent 1: classid 1:1 htb rate 100mbit ceil 100mbit
  • VoIP 类（优先）：sudo tc class add dev eth0 parent 1:1 classid 1:10 htb rate 20mbit ceil 20mbit prio 1
  • 其他流量（尽力而为）：sudo tc class add dev eth0 parent 1:1 classid 1:20 htb rate 50mbit ceil 100mbit prio 2
• 价值：以真实流量为依据进行“按需分级”，并用抓包验证策略是否按预期生效。

五 合规与安全提示

• 嗅探器用于网络层监控与分析，不能直接替代 CPU/内存/磁盘 等主机性能监控；在生产环境长时间抓包需控制文件大小与抓包时长，避免资源耗尽。
• 抓包可能捕获明文敏感信息（如 HTTP 凭据、数据库语句），务必限制访问权限、加密存储与传输，并遵循当地法律法规与企业合规要求。
• 在 云环境/受管网络 中抓包前，确认与云厂商、网安团队的授权策略一致，避免触犯安全策略。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！