網(wǎng)絡(luò )管理員六類(lèi)常見(jiàn)錯誤

協(xié)議分析器是網(wǎng)絡(luò )管理員庫中最強有力的工具之一。它能將難處理、耗時(shí)長(cháng)、讓CEO們感到惱火甚至不得不重啟所有機器的問(wèn)題轉變?yōu)槟芏虝r(shí)處理、易于在每周例行狀態(tài)報告中反映的問(wèn)題，為公司省下大量的時(shí)間與金錢(qián)。

然而，就像其它任何復雜工具一樣，它必須被適當運用才能獲得最大的效益。在使用協(xié)議分析器診斷網(wǎng)絡(luò )故障時(shí)，應當盡量避免……

錯誤1 分析器誤置

正確放置分析器對快速診斷故障具有決定性作用。設想分析器是置于網(wǎng)絡(luò )中的窗口，猶如建筑物窗口一般，視野的改變依賴(lài)于從哪個(gè)窗口看出去。從南面窗口望去是看不到建筑物北面高速公路上交通的擁擠狀況的。在分析置于網(wǎng)絡(luò )不當位置的分析器時(shí)，跟蹤往往要花很長(cháng)時(shí)間。那么，怎樣正確放置分析器呢？我們可以舉例說(shuō)明。

以下為幾個(gè)可能出現的問(wèn)題及原因分析：

　　設想A：一臺主機，服務(wù)器A，主機不能與其它任何主機通信�？赡艿脑�因：

　　1） 服務(wù)器A沒(méi)有正確配置；

　　2） 服務(wù)器A配置的網(wǎng)卡出錯；

　　3） 服務(wù)器A所在局域網(wǎng)出了問(wèn)題；

　　4） 服務(wù)器A所在局域網(wǎng)段出錯。

　　設想B：一臺主機，服務(wù)器B，主機不能與遠程網(wǎng)X中的任何一臺主機通信；且局域網(wǎng)或其它遠程網(wǎng)中的主機無(wú)任何故障（這就意味著(zhù)問(wèn)題不可能出現在服務(wù)器B或服務(wù)器B所在局域網(wǎng)段上）。

　　可能原因：

　　1） 服務(wù)器B有關(guān)網(wǎng)絡(luò )X的部分配置錯誤；

　　2） 服務(wù)器B用于連接到網(wǎng)絡(luò )X的路由器所在網(wǎng)段的連接出了問(wèn)題；

　　3） 服務(wù)器B所在局域網(wǎng)與網(wǎng)絡(luò )X的一處或多處鏈接出了問(wèn)題；

　　4） 網(wǎng)絡(luò )X用于連接到服務(wù)器B所在網(wǎng)絡(luò )的路由器所在網(wǎng)段出了問(wèn)題；

　　5） 網(wǎng)絡(luò )X出了問(wèn)題。

　　設想C：一臺主機，服務(wù)器C，主機不能與局域網(wǎng)中另一主機通信，但與網(wǎng)絡(luò )中其它主機通信正常（這意味著(zhù)問(wèn)題不可能出現在服務(wù)器C或服務(wù)器C所在局域網(wǎng)段）。

　　可能的原因：

　　1） 主機C錯誤配置；

　　2） 主機C網(wǎng)卡出現故障；

　　3） 主機C所在局域網(wǎng)段出了問(wèn)題。

　　設想D：一臺主機，服務(wù)器D，主機不能與一遠程主機通信，但與服務(wù)器D所在局域網(wǎng)段的其它主機通信正常，到遠程網(wǎng)或遠程網(wǎng)自身的連接亦無(wú)故障。

　　可能原因：

　　1） 主機D錯誤配置；

　　2） 主機D網(wǎng)卡出錯；

　　3） 主機D所在局域網(wǎng)段出了問(wèn)題。

　　這些問(wèn)題當中個(gè)別的不用分析器也可診斷或排除。例如：設想A中的第三種情況，就能通過(guò)檢查服務(wù)器A所在局域網(wǎng)的其它主機決定故障所在；設想D中的第二和第三種情況亦能通過(guò)這種方法確定（假設主機D能與局域網(wǎng)中其它主機通信）。

　　一臺服務(wù)器或主機的錯誤配置通過(guò)檢測很容易被發(fā)現。但另外一些問(wèn)題，像網(wǎng)絡(luò )或網(wǎng)段中的故障，就需要分析器來(lái)診斷。

　　在以上所有可能的設想中，一開(kāi)始或許會(huì )將分析器置于離最有可能出現問(wèn)題的主機或是懷疑有問(wèn)題的網(wǎng)絡(luò )、網(wǎng)段盡可能近的地方，但是如果未發(fā)現有意義的問(wèn)題，得準備好移動(dòng)分析器，要知道，在出現故障的位置被確定以前，所做的一切都是建立在猜想基礎上的。在以上設想B的第三種情況中，服務(wù)器B所在局域網(wǎng)和網(wǎng)絡(luò )X中都應該有分析器，至少分析器應該能夠從一端被移動(dòng)到另一端。

　　例如，一次故障中，一臺服務(wù)器突然停止了工作。人們起初懷疑是站點(diǎn)人員對服務(wù)器實(shí)施了誤操作所致，實(shí)際上跟蹤器表明，是因為眾多主機向服務(wù)器發(fā)送連接請求信息的同時(shí)服務(wù)器卻沒(méi)有響應，致使服務(wù)器死鎖。

　　在花了幾天時(shí)間來(lái)判斷到底服務(wù)器出了什么問(wèn)題后，被告知觀(guān)察跟蹤器，于是請求站點(diǎn)操作員將跟蹤器從主機所在局域網(wǎng)（這里指設想B中第三種情況的網(wǎng)絡(luò )X）移到服務(wù)器所在局域網(wǎng)。結果發(fā)現訪(fǎng)問(wèn)控制列表沒(méi)有被正確添加到服務(wù)器所在局域網(wǎng)的路由器上，這份錯誤的訪(fǎng)問(wèn)控制列表過(guò)濾了所有來(lái)源于客戶(hù)端主機所在網(wǎng)絡(luò )的信息。假若當初多一些懷疑的話(huà)，就會(huì )發(fā)現在服務(wù)器所在局域網(wǎng)中根本就沒(méi)見(jiàn)到過(guò)連接請求信息。因為沒(méi)有同時(shí)查看網(wǎng)絡(luò )兩端的情況，致使站點(diǎn)很多天不能工作。

　　怎么知道跟蹤器在網(wǎng)絡(luò )的哪一端起作用呢？在跟蹤器中，發(fā)自客戶(hù)端主機的幀信息都具有實(shí)客戶(hù)端所有的源MAC地址，與此同時(shí)，目標MAC地址則存放在路由器中。

　　不幸的是，問(wèn)題變得越來(lái)越復雜，僅僅知道分析器連接于哪個(gè)網(wǎng)絡(luò )還不夠。當將一個(gè)局域網(wǎng)分解成多個(gè)部分時(shí)，首要的是去找到空閑Hub端口或同軸電纜的分接頭，然而，在網(wǎng)絡(luò )交換環(huán)境下，并不是僅僅將分析器接入交換設備的空閑端口就萬(wàn)事大吉了。

　　大多數交換設備都具備將特定端口指定為分接頭或映像端口的能力，只是所用術(shù)語(yǔ)因交換設備制造廠(chǎng)商不同而有別。如果所有來(lái)自或發(fā)往特定端口的通信同樣能發(fā)送到映像端口，這時(shí)只要將分析器連接到映像端口，所有設置即告完成。

　　但問(wèn)題在于有些交換設備不能將兩端口之間的通信發(fā)送到映像端口。舉例說(shuō)，在雙工環(huán)境下，作為監控的連接之一部分的兩臺主機能同時(shí)發(fā)送信息，交換機也能接收每幀數據并將其傳輸到鏈接中的另外端口。但對于映像端口，必須對某一數據幀進(jìn)行緩沖，如果這樣處理了太多幀，緩沖區就會(huì )溢出，數據幀就會(huì )丟失，跟蹤因此變得不可靠。更糟的是，根本就不知道是在跟蹤不可靠的線(xiàn)索。

　　某些交換設備支持內部分析器功能，這類(lèi)交換機本身能夠俘獲傳向被跟蹤對象的數據幀。這種功能部件的可靠性依賴(lài)于交換機的緩沖容量。在某些情況下，我們不得不選擇映像端口或是內部分析器方式。但只要有可能，最好是將主機之一和分析器連接到Hub，并將Hub掛到交換機上。

　　為什么這么做呢？這是因為即使確信交換機有足夠容量緩存所有數據幀，以至于映像端口或內部分析器不可能丟數據，跟蹤仍然是不可靠的。例如，標準以太網(wǎng)中，一個(gè)處于交換機有故障端口的RJ45連接器每當交換機向服務(wù)器傳輸數據幀時(shí)都會(huì )創(chuàng )建交互式會(huì )話(huà)，交換機將此解釋成為一次沖突并停止工作，當嘗試16次之后數據幀就會(huì )撤消，但數據幀仍被發(fā)送到映像端口，因此跟蹤器發(fā)現了數據幀并顯示服務(wù)器響應失敗。另一種情況是：不合規格的配線(xiàn)導致1%的數據幀破壞。如果將分析器與第一種情況（任何位置的數據幀都能傳送）中提到的的主機一起掛到Hub，或者與第二種情況（網(wǎng)絡(luò )中有被破壞的數據幀）中主機一起掛到Hub，接收交換機的端口會(huì )在未將數據幀發(fā)往映像端口之前就將它們撤消，跟蹤器沒(méi)有任何錯誤指示。當然，每當改變一種方式，都得冒一定風(fēng)險來(lái)糾正可能出現的意外問(wèn)題。如果RJ45連接器出現故障僅僅是因為沒(méi)有在交換機端口將其固定好，那么只要將連接器重新插入Hub，故障或許也就不存在了，至少問(wèn)題是得到了解決。

　　另外需要記住的是，對于交換設備，在其網(wǎng)段內每個(gè)端口都是有效的，因此當連接到服務(wù)器的交換端口未發(fā)現問(wèn)題時(shí)，應將Hub（或分析器）移動(dòng)到主機或路由器交換端口。

　　還有，注意不能將Hub掛到雙工環(huán)境。有些分析器能以雙工方式工作，這類(lèi)分析器有兩個(gè)以太網(wǎng)口和一個(gè)功能模塊，功能模塊將通信對分為兩部分，并分別發(fā)送到每一以太網(wǎng)口，之后軟件把從每個(gè)以太網(wǎng)口接收來(lái)的數據結合成單一的跟蹤鏈。如果網(wǎng)絡(luò )是雙工環(huán)境，就需要這種分析器。

　　錯誤2 過(guò)多的過(guò)濾

　　過(guò)濾功能允許協(xié)議分析器忽略某些數據幀，從而為感興趣的幀騰出更多的俘獲緩沖空間。如果能過(guò)濾來(lái)源于較高協(xié)議層的數據，如IP地址和端口號以至更高層數據，則分析器幾乎很少需要基于源或目標MAC地址的過(guò)濾。然而，實(shí)際跟蹤中通常出現的問(wèn)題是過(guò)濾太多。

　　有一個(gè)站點(diǎn)出現過(guò)這樣的故障：服務(wù)器與一特定客戶(hù)端之間的連接出了問(wèn)題，莫名其妙地斷開(kāi)了，其它客戶(hù)端都沒(méi)有任何問(wèn)題。由于客戶(hù)端與服務(wù)器處在同一子網(wǎng)，一旦發(fā)生斷開(kāi)現象，使客戶(hù)端與服務(wù)器恢復連接的唯一辦法是重新啟動(dòng)服務(wù)器。

　　這個(gè)站點(diǎn)安裝了分析器，同時(shí)因為數據量大，配置了過(guò)濾器，只允許俘獲兩主機（基于MAC地址）之間的數據幀。前兩天中沒(méi)有發(fā)現問(wèn)題，但在第三天問(wèn)題出現了：跟蹤表明服務(wù)器突然停止了發(fā)送多路會(huì )話(huà)和最后一次會(huì )話(huà)。當從服務(wù)器端ping客戶(hù)端時(shí)，跟蹤器顯示服務(wù)器沒(méi)有發(fā)送任何數據幀。站點(diǎn)操作員得出的結論是：TCP�；虿僮飨到y出了問(wèn)題。

　　于是請求另一次跟蹤，這次沒(méi)有使用過(guò)濾器。一天半以后俘獲了另一事件：跟蹤清楚表明服務(wù)器持續發(fā)送數據，而與此同時(shí)卻再也沒(méi)有得到應答。經(jīng)過(guò)更深層挖掘，發(fā)現服務(wù)器數據幀的目標MAC地址突然改變了。

　　既然目標MAC地址不再與客戶(hù)端的相匹配，那么第一次未使用過(guò)濾器的跟蹤就不再俘獲到MAC地址，同時(shí)表明服務(wù)器已停止了工作。另外發(fā)現就在地址改變之前，服務(wù)器無(wú)故收到帶有為客戶(hù)端IP地址配置的新MAC地址的ARP信息包，這導致服務(wù)器升級ARP緩存并向錯誤主機發(fā)送數據。

　　通過(guò)ARP數據幀的源MAC地址由無(wú)故發(fā)送ARP的主機向下跟蹤，不知何故，主機居然同時(shí)配置了復用于客戶(hù)端的靜態(tài)IP地址和DHCP地址。當主機啟動(dòng)時(shí)，分配的是靜態(tài)地址，這與服務(wù)器相沖突，于是調用DHCP，正確地址才配置上。

　　基于這一點(diǎn)可得出這樣一個(gè)結論：用過(guò)濾器看似很有道理，但很多時(shí)候問(wèn)題的根源往往以假象出現在過(guò)濾器之外，如果跟蹤器沒(méi)有表明問(wèn)題的起因，過(guò)濾器應當關(guān)閉，或至少應當擴展一下，直至跟蹤器確實(shí)查出原因。僅當所有過(guò)濾器都關(guān)閉后跟蹤器仍無(wú)法查出問(wèn)題起因，才可以得出結論??對網(wǎng)絡(luò )已無(wú)計可施了。

　　錯誤3

　　俘獲時(shí)幀太短

　　前面例子中表明，站點(diǎn)操作員使用過(guò)濾器是因為網(wǎng)絡(luò )中數據量過(guò)大。分析器僅能俘獲大約3分鐘時(shí)間的數據，這使得站點(diǎn)操作員幾乎不可能發(fā)現問(wèn)題的發(fā)生并使分析器及時(shí)加以阻止以真正找到問(wèn)題的起因。分析器能夠俘獲數據幀而沒(méi)有將它們填入俘獲緩沖區的時(shí)間長(cháng)短取決于網(wǎng)絡(luò )的速度、網(wǎng)絡(luò )中幀的數量、幀的大小以及俘獲緩沖區的大小。

　　幾乎所有分析器都能控制俘獲數據幀的大小，這在處理連接問(wèn)題和不太高協(xié)議層問(wèn)題時(shí)顯得很有用。在通常情況下，只要俘獲數據的第一個(gè)64字節也就足夠了。因此，如果網(wǎng)絡(luò )中所有幀都是1024字節而僅有3分鐘俘獲時(shí)間，那么僅俘獲64字節將允許有超過(guò)30分鐘的俘獲時(shí)間。

　　錯誤4

　　觸發(fā)器安裝不正確

　　觸發(fā)器告訴分析器執行某項操作，比如終止俘獲。當等待問(wèn)題發(fā)生而又不知道將何時(shí)發(fā)生時(shí)，觸發(fā)器顯得很有用。

　　安裝觸發(fā)器意味著(zhù)沒(méi)有必要隨時(shí)以手動(dòng)方式來(lái)控制分析器。觸發(fā)器安裝的最大問(wèn)題往往是沒(méi)有正確定義，這會(huì )大大延長(cháng)解決問(wèn)題的時(shí)間。

　　當然，應該詳細知道怎樣安裝觸發(fā)器，并且，若有可能，在使用之前進(jìn)行測試。有時(shí)可以安裝另一臺分析器來(lái)發(fā)送觸發(fā)數據幀，以確認俘獲分析觸發(fā)器已正確安裝。

　　使用觸發(fā)器帶來(lái)的另一問(wèn)題是，許多分析器允許設置將被預觸發(fā)的俘獲緩沖區的百分比。舉例來(lái)說(shuō)，可以指定50%的緩沖區在觸發(fā)之前俘獲，而另外50%的緩沖區在觸發(fā)之后俘獲。預觸發(fā)的百分比通常是0、25、50、75或100。

　　如果預觸發(fā)值設置不當，就有可能俘獲不到足夠的相關(guān)數據幀來(lái)診斷問(wèn)題所在。預觸發(fā)值有可能被錯誤設置是因為其默認設置對現行問(wèn)題往往不適用：也許是因為未將針對前一問(wèn)題的設置升級，也許是因為粗心的鼠標操作或錯誤按鍵。無(wú)論何種原因，一定要確認觸發(fā)器已正確安裝。

　　那么怎樣來(lái)設置呢？通常是將預觸發(fā)百分比設為100%，以知道是什么原因導致觸發(fā)器關(guān)閉。

　　當然，只有當觸發(fā)器在觸發(fā)某事件時(shí)，它才處于關(guān)閉狀態(tài)。過(guò)去使用過(guò)特殊的觸發(fā)程序，它能測試狀態(tài)，然后發(fā)送信息包，分析器可將此信息包用作觸發(fā)器。測試狀態(tài)可以是日志文件中的錯誤信息，或是上例中無(wú)法創(chuàng )建連接的情況。一般整個(gè)程序也就一百多行或稍長(cháng)一些。

　　錯誤5

　　日期/時(shí)間設置不正確

　　沒(méi)有正確設置分析器上的日期/時(shí)間看似一件小事，很多時(shí)候可能也確實(shí)是這樣。然而，當處理廣域網(wǎng)絡(luò )中的問(wèn)題時(shí)，有時(shí)同時(shí)運行兩臺分析器，網(wǎng)絡(luò )每端一臺，則正確設置日期/時(shí)間是相當有用的。

　　如果將兩臺分析器時(shí)鐘設置相同，調整跟蹤會(huì )變得更為容易。假定在一個(gè)例子中，通過(guò)發(fā)現通用幀并比較時(shí)間，會(huì )發(fā)現其中一臺用了4小時(shí)37分，比另一臺提前了15.7891秒，如果時(shí)鐘設置同步誤差在1到2秒，時(shí)間差距計算也就容易多了。

　　另外，如果需要費勁地隨主機中的事件調整跟蹤，由于基于時(shí)間包的同步是不可選的，則設置相同的日期/時(shí)間絕對具有實(shí)質(zhì)意義。

　　錯誤6 不理解協(xié)議

　　很多分析器具有“專(zhuān)家分析”功能，指的是它們能保持對信息的追蹤，像序列號、時(shí)間信息、顯示重傳信息、凍結窗口、無(wú)應答狀態(tài)等等。這類(lèi)分析相當有用，但也有可能造成誤導，尤其在分析器沒(méi)有正確報錯時(shí)。

　　舉個(gè)例子，有一種情況：從一遠程位置發(fā)來(lái)的遠程登錄會(huì )話(huà)無(wú)法建立，而發(fā)自局域工作站的遠程登錄會(huì )話(huà)卻沒(méi)有問(wèn)題。于是站點(diǎn)操作人員在遠程登錄服務(wù)器所在的局域網(wǎng)掛一分析器，跟蹤器表明從遠程主機到遠程登錄服務(wù)器的數據幀沒(méi)有報錯；于是他們得出結論是操作系統故障。

　　另一位操作人員查看跟蹤器發(fā)現，局域端遠程登錄會(huì )話(huà)連接到端口2323，而遠程會(huì )話(huà)連接到端口23。另外，遠程登錄服務(wù)器響應遠程連接請求的信息包包含了RST標志設置。

　　在這里，站點(diǎn)操作人員沒(méi)有仔細查看TCP細節，因此沒(méi)有意識到不同端口號和RST包的重要性，他們依賴(lài)來(lái)源于分析器的診斷信息，既然遠程登錄服務(wù)器的端口23沒(méi)有安裝，憑感覺(jué)猜想也認為是操作系統出了問(wèn)題。然而，若站點(diǎn)工作人員了解TCP和遠程登錄，他們就會(huì )立即發(fā)現問(wèn)題所在并能在5分鐘內找到一個(gè)好的解決辦法。

　　事實(shí)上是，他們等半天時(shí)間來(lái)安裝跟蹤器，結果失去了遠程網(wǎng)上數目相當可觀(guān)的客戶(hù)。</P>

關(guān)注中``````