| |
圖4是在WINDOWS客戶端使用Telnet命令訪問192.168.2.10主機時，科來網(wǎng)絡(luò)分析系統(tǒng)6.0捕獲到的數(shù)據(jù)包信息。(圖4)
圖 4
從圖4可知，使用Telnet命令訪問192.168.2.10主機時，兩主機間共有三個數(shù)據(jù)包通信，仔細查看數(shù)據(jù)包及其解碼，發(fā)現(xiàn)三個數(shù)據(jù)包都是從客戶端發(fā)往192.168.2.10主機的，三個數(shù)據(jù)包的確認號都是0，且都將TCP標(biāo)記中的同步位置1，表明三個數(shù)據(jù)包都是TCP三次握手的第一步，即TCP同步數(shù)據(jù)包。沒有從192.168.2.10發(fā)往客戶端的數(shù)據(jù)包，說明此時客戶端與192.168.2.10主機在物理鏈路上不通，可能是網(wǎng)絡(luò)中沒有IP地址為192.168.2.10這臺機器，或者這臺機器沒有開機。
圖5是在WINDOWS客戶端使用Telnet命令訪問192.168.2.100主機時，科來網(wǎng)絡(luò)分析系統(tǒng)6.0捕獲到的數(shù)據(jù)包信息。(圖5)
圖 5
從圖5可知，使用Telnet命令訪問192.168.2.100主機時，兩主機間共有6個數(shù)據(jù)包通信，仔細查看數(shù)據(jù)包及其解碼，發(fā)現(xiàn)1,3,5這三個數(shù)據(jù)包是從客戶端發(fā)往192.168.2.100主機的，這三個數(shù)據(jù)包的確認號是0，TCP標(biāo)記是同步位置1，表明三個數(shù)據(jù)包都是TCP三次握手的第一步，即TCP同步數(shù)據(jù)包。2,4,6這三個數(shù)據(jù)包是從192.168.2.100主機發(fā)往客戶端的，這三個數(shù)據(jù)包的確認號是確認號2643478089，TCP標(biāo)記是確認位和重置位同時置1，表示這三個數(shù)據(jù)包都是192.168.2.100對客戶端的確認數(shù)據(jù)包，同時它拒絕了客戶端的建立連接的TCP同步請求，告訴客戶端當(dāng)前主機(這里是192.168.2.100)沒有打開客戶端請求的服務(wù)，并中斷這個連接。
注意：我們發(fā)現(xiàn)在圖4和圖5中，客戶端都向服務(wù)器(這里是192.168.2.10和192.168.2.100)發(fā)送了三次相同的TCP SYN請求，這是為什么呢?其實這是TCP的協(xié)議規(guī)定造成的，當(dāng)客戶端使用TCP SYN向服務(wù)器發(fā)起三方握手的第一步后，如果沒有收到服務(wù)器的SYN/ACK響應(yīng)，就會在等待一段時間后再次嘗試對服務(wù)器進行連接，如果連接三次后仍然失敗，則不會再重復(fù)此操作，所以我們在圖中看到了三次完全一樣的TCP SYN數(shù)據(jù)包。
通過對上面兩種情況的抓包分析，我們可知道，192.168.2.10主機不能訪問的原因是兩臺主機之間的物理鏈路不通，可能是不存在192.168.2.10這臺機器，或者192.168.2.10處于關(guān)機狀態(tài)等。而192.168.2.100不能訪問的原因是192.168.2.100這臺機器沒有提供客戶端請求的Telnet服務(wù)，即沒有打開TCP 23端口。
總結(jié)
當(dāng)然，筆者列舉的兩個應(yīng)用案例只是個案。其實這種方法適用于中所有的TCP服務(wù)，用戶在遇到不能訪問某服務(wù)器(各種TCP應(yīng)用的服務(wù)器)時，便可使用這種方法對數(shù)據(jù)包進行跟蹤分析，幫助用戶對故障進行排查。這樣，管理員從網(wǎng)絡(luò)層把握網(wǎng)絡(luò)故障，就能夠不受故障表象的影響，從而盡快排除故障，利于提高工作效率。
本新聞共 3頁,當(dāng)前在第 3頁 1 2 3 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
