在高速增长的业务场景里一点点的延迟都可能酿成用户流失。很多时候我们以为是应用层的“慢”，却不知根本原因潜伏在链路的某个角落。今天 我把多年排障经验浓缩成一套实战流程——借助 Linux Sniffer 把“看不见”的拥塞变得触手可及，让你的网络焕发新活力。

一、 先弄清楚你想找的到底是什么

别急着打开抓包工具，先把目标写下来：

• 连通性问题：Ping 不通还是有时候掉线？
• 时延/抖动：用户抱怨页面卡顿，是突发还是持续？
• 丢包率：TCP 重传频繁吗？
• 端口/服务可达：防火墙或 SELinux 是否阻断了关键流量？

明确目标后你就能有的放矢地挑选抓包过滤条件、采样时间和后续分析手段。

二、 准备工作：工具链全装齐

常用嗅探器一览表

如果你喜欢 GUI，那就装上 Wireshark；若服务器只能靠终端，那 tcpdump + tshark 完全足够。下面我们一步步把这些工具串起来让它们相互配合发挥最大威力。

三、 从宏观到微观：层层剥离拥塞根源

观感极佳。 dstat -cdn --net-packets --net-err 5

ss -s

划水。 netstat -s | grep -E "errors|dropped"

如果看到“Retransmits”一路飙升，这往往是链路出现丢包或 RTT 超标的前兆，拜托大家...。

这事儿我得说道说道。 MTR 会实时刷新每个路由节点的平均 RTT 与丢包率。当某跳出现突兀的延迟峰值或 30%+ 丢包，就意味着“瓶颈就在这里”。此时记下该跳的 IP，为下一步抓包锁定范围。

# 捕获来自可疑 IP 的所有 TCP 包， 仅保留 SYN/ACK/SYN‑ACK 三类标记，以便观察握手耗时
sudo tcpdump -i eth0 host 192.168.10.45 and tcp &  != 0 \
      -w /tmp/suspect.pcap -c 5000
# 捕获指定端口的完整会话，用于后期 Wireshark 深度分析
sudo tcpdump -i eth0 port 443 -w /tmp/https_traffic.pcap &

注意：生产环境务必加上时间戳参数，防止单文件过大导致磁盘告警，我们都经历过...。
这条管道直接把每秒内发生的重传次数列出来 如果在某段时间窗口里激增，就说明链路瞬间被压垮了，容我插一句...。
四、 从数据到行动：常见拥塞根因与对应方案🛠️🛠️🛠️
根因类别
诊断要点
推荐对策
Poor Link Utilization
- iftop 中单个 IP 持续占满带宽
- MTR 某跳 RTT 稳定在高位
- tcpdump 捕获大量 ACK 延迟增长信号
- 调整 QoS / TC 队列规则
- 检查物理链路是否已升级至更高速率
- 使用 BBR 或 Cubic 替代老旧 TCP 拥塞控制算法 
Burst Traffic / Broadcast Storm
- iftop 显示同一 MAC 地址短时间内发送上千帧
- pcap 中出现大量 ARP 请求/回复
- netstat 错误计数 “packet‑type‑error” 上升 
- 在交换机开启 storm‑control 或 IGMP Snooping
- 限制容器/VM 的出站速率 
- 排查是否有病毒/蠕虫制造 DDoS 
TCP Retransmission Spike
- tshark/tcpdump 中 “tcp.analysis.retransmission” 数目猛增
- ss 显示 “retrans” 字段异常大 
- 检查 MTU 配置是否一致； 挖野菜。 避免分片导致重传
- 调整 RTO 最小值 
- 若为链路瓶颈，则考虑增加带宽或开启 FEC 功能 
Application‑Layer Bottleneck
- 捕获到大量 FIN/RST 包后马上关闭连接，无明显重传痕迹
- 延迟主要集中在 SYN‑ACK 阶段而非数据阶段 
- 优化服务端线程池 / I/O 多路复用机制
- 在 Linux 上启用 BPF 加速 socket 接收  
Kernel Queue Overflow
- netstat –s 中 “packet‑receive‑errors” 高企
- tcptrack/tcpdump 报错 “socket buffer full” 
- 增大 rmem/wmem 缓冲区 
- 使用 XDP/eBPF 将部分过滤提前到驱动层    ​    ​      ​   ​   ​   ​
​   ​   ​ 
​ 
​ 
​
​
​​​​​
​​ 
​​ 
​​ 
​​
​​​​ ​​​​​​​​​​​​​  
​​​
​​ 
​





*本文所有命令均需 root 权限或使用 sudo 施行； 极度舒适。 生产环境请务必做好日志备份和平安审计！*
© 2026 技术博客·All Rights Reserved.

\
\