Wireshark使用技巧
在分析网络时,包应该尽量的小,只要能定位问题即可。
1. 只抓包头,在wireshark中可以设置抓包大小。
如果使用tcpdump命令:
[root@server_1 /]# tcpdump -i eth0 -s -w /tmp/tcpdump.cap
2. 只抓必要的包;
Capture Filter功能:filter 表达式请参考http://wiki.wireshark.org/CaptureFilters。抓包时的过滤
使用tcpdump命令抓包时,过滤指定ip的包,并把结果保存到文件:
[root@server_1 /]# tcpdump-i eth0 host 10.32.200.131-w /tmp/tcpdump.cap
使用ip过滤要注意NAT地址转换将ip地址改掉的问题。
3. 可以写一个脚本循环抓包,等侦查到某事件时自动停止。
4. 抓包后的过滤;Filter
ip.addr eq 10.32.106.50 && tcp.port eq
协议名称过滤:portmap || mount ;可排查NFS共享挂载失败的问题。
显示过滤参考:https://www.wireshark.org/docs/dfref/
注意:如果将过滤后的文件保存,将不再是一个完整的 TCP Stream。
5. wireshark的自动分析功能;
Wireshark 的Analyze-->Expert Info Composite,
Statistics-->Service Response Time
Statistics-->TCP Stream Graph,可以生成几类统计图
Statistics-->Summary,可以看到一些统计信息
6. wireshark可用来辅助性能调优;
参考资料:
wireshark网络分析就是这么简单:NFS全过程;网络层通信解析