网络丢包与传输速度异常排查笔记#

1）CentOS#

# 直接使用yum安装
yum install mtr -y

# 测试命令
sudo mtr www.baidu.com

2）MacOS#

# 使用brew安装，如果没有brew命令，请先安装brew
brew install mtr

# 查看是否已经安装成功
which mtr

# 测试命令
sudo mtr www.baidu.com

3）Windows#

win系统是没有mtr的，只能通过其他软件来实现类似功能，也就是常见的win路由追踪命令，比如Tracert、BestTrace。

1）用法说明#

# mtr -h
usage: mtr [-hvrwctglspniu46] [--help] [--version] [--report]
                [--report-wide] [--report-cycles=COUNT] [--curses] [--gtk]
                [--raw] [--split] [--no-dns] [--address interface]
                [--psize=bytes/-s bytes]
                [--interval=SECONDS] HOSTNAME [PACKETSIZE]

2）常用参数#

• mtr -s : 用来指定ping数据包的大小
• mtr -n : no-dns不对IP地址做域名反解析
• mtr -a : 来设置发送数据包的IP地址，这个用于主机有多个IP时
• mtr -i : 使用这个参数来设置ICMP返回之间的要求默认是1秒
• mtr -c : 指定发送多少个数据包
• mtr -r : 以报告模式显示
• mtr -4 : IPv4
• mtr -6 : IPv6

1）基本语法#

nc [选项] [主机名] [端口号]

2）常用参数#

• nc -l : 监听模式，用于入站连接。
• nc -p : 指定本地主机使用的通信端口。
• nc -s : 设置本地主机发送数据包的IP地址。
• nc -u : 使用UDP传输协议。
• nc -v : 显示命令执行过程。
• nc -w : 设置超时秒数。
• nc -z : 扫描模式，不发送任何数据。

1）基本语法#

ifconfig [网络设备] [选项] [参数]

2）常用参数#

• add<地址> : 为网络设备添加IPv6地址。
• del<地址> : 删除网络设备的IPv6地址。
• up : 启动指定的网络设备。
• down : 关闭指定的网络设备。
• netmask<子网掩码> : 设置网络设备的子网掩码。
• mtu<字节> : 设置网络设备的最大传输单元（MTU）。

1）Linux#

yum update -y
yum install -y tcptraceroute bc
cd /usr/bin
wget -O tcping https://soft.mengclaw.com/Bash/TCP-PING
chmod +x tcping

apt-get update -y
apt-get install -y tcptraceroute bc
cd /usr/bin
wget -O tcping https://soft.mengclaw.com/Bash/TCP-PING
chmod +x tcping

2）Windows#

直接到Tcping官网下载安装包。软件很小，只有252K，最新版本发布时间为2017年12月30日。
将下载好的tcping.exe程序复制到C:\Windows\System32

1）Linux#

• -d：在每个响应时间前打印时间戳。
• -w sec：设置等待时间（默认 3 秒）。
• -x count：限定测试次数（默认无限）。
• -r sec：每隔 N 秒重试一次（默认 1 秒）。

2）Windows#

--------------------------------------------------------------
tcping.exe by Eli Fulkerson
Please see http://www.elifulkerson.com/projects/ for updates.
--------------------------------------------------------------

Usage: C:\Users\liuxizhen\AppData\Local\Microsoft\WindowsApps\tcping.exe [-flags] server-address [server-port]

Usage (full): C:\Users\liuxizhen\AppData\Local\Microsoft\WindowsApps\tcping.exe [-t] [-d] [-i interval] [-n times] [-w ms] [-b n] [-r times] [-s] [-v] [-j] [-js size] [-4] [-6] [-c] [-g count] [-S source_address] [--file] [--tee filename] [-h] [-u] [--post] [--head] [--proxy-port port] [--proxy-server server] [--proxy-credentials username:password] [-f] server-address [server-port]

 -t     : ping continuously until stopped via control-c
 -n 5   : for instance, send 5 pings
 -i 5   : for instance, ping every 5 seconds
 -w 0.5 : for instance, wait 0.5 seconds for a response
 -d     : include date and time on each line
 -b 1   : enable beeps (1 for on-down, 2 for on-up,
                        3 for on-change, 4 for always)
 -r 5   : for instance, relookup the hostname every 5 pings
 -s     : automatically exit on a successful ping
 -v     : print version and exit
 -j     : include jitter, using default rolling average
 -js 5  : include jitter, with a rolling average size of (for instance) 5.
 --tee  : mirror output to a filename specified after '--tee'
 --append : Append to the --tee filename rather than overwriting it
 -4     : prefer ipv4
 -6     : prefer ipv6
 -c     : only show an output line on changed state
 --file : treat the "server-address" as a filename instead, loop through file line by line
          Note: --file is incompatible with options such as -j and -c as it is looping through different targets
          Optionally accepts server-port.  For example, "example.org 443" is valid.
          Alternately, use -p to force a port at command line for everything in the file.
 -g 5   : for instance, give up if we fail 5 times in a row
 -S _X_ : Specify source address _X_.  Source must be a valid IP for the client computer.
 -p _X_ : Alternate method to specify port
 --fqdn : Print domain name on each line if available
 --ansi : Use ANSI color sequences (cygwin)
 --color: Use Windows color sequences

HTTP Options:
 -h     : HTTP mode (use url without http:// for server-address)
 -u     : include target URL on each line
 --post : use POST rather than GET (may avoid caching)
 --head : use HEAD rather than GET
 --proxy-server : specify a proxy server
 --proxy-port   : specify a proxy port
 --proxy-credentials : specify 'Proxy-Authorization: Basic' header in format username:password

Debug Options:
 -f     : force tcping to send at least one byte
 --header : include a header with original args and date.  Implied if using --tee.
 --block  : use a 'blocking' socket to connect.  This prevents -w from working and uses the
            default timeout (as long as 20 seconds in my case).  However it can detect an actively
            refused connection vs a timeout.

        If you don't pass server-port, it defaults to 80.

TIP

这里推荐使用win系统版本，参数功能更完善。

1）Linux#

# tcping -d -x 4 61.160.216.115 80 
Sun Jul 13 18:49:03 CST 2025
traceroute to 61.160.216.115 (61.160.216.115), 255 hops max, 60 byte packets
seq 0: tcp response from 61.160.216.115 (61.160.216.115) <syn,ack>  6.704 ms
Sun Jul 13 18:49:04 CST 2025
traceroute to 61.160.216.115 (61.160.216.115), 255 hops max, 60 byte packets
seq 1: tcp response from 61.160.216.115 (61.160.216.115) <syn,ack>  8.703 ms
Sun Jul 13 18:49:05 CST 2025
traceroute to 61.160.216.115 (61.160.216.115), 255 hops max, 60 byte packets
seq 2: tcp response from 61.160.216.115 (61.160.216.115) <syn,ack>  6.921 ms
Sun Jul 13 18:49:06 CST 2025
traceroute to 61.160.216.115 (61.160.216.115), 255 hops max, 60 byte packets
seq 3: tcp response from 61.160.216.115 (61.160.216.115) <syn,ack>  7.204 ms

2）Windows#

# tcping -n 5 -i 1 -d 192.168.11.100 80

2025:07:13 18:57:00 Probing 192.168.11.100:80/tcp - Port is open - time=5.630ms
2025:07:13 18:57:02 Probing 192.168.11.100:80/tcp - Port is open - time=6.823ms
2025:07:13 18:57:03 Probing 192.168.11.100:80/tcp - Port is open - time=4.293ms
2025:07:13 18:57:05 Probing 192.168.11.100:80/tcp - Port is open - time=4.406ms
2025:07:13 18:57:07 Probing 192.168.11.100:80/tcp - Port is open - time=9.908ms

Ping statistics for 192.168.11.100:80
     5 probes sent.
     5 successful, 0 failed.  (0.00% fail)
Approximate trip times in milli-seconds:
     Minimum = 4.293ms, Maximum = 9.908ms, Average = 6.212ms

# tcping -n 5 -i 1 -d -h "www.baidu.com"

** Requesting  from www.baidu.com:
(for various reasons, kbit/s is an approximation)

2025:07:13 18:53:23 Probing 180.101.51.73:80/tcp - HTTP is open - time=13.404ms rcv_time=21.086 status=200 bytes=8102 kbit/s=~3073.917
2025:07:13 18:53:24 Probing 180.101.51.73:80/tcp - HTTP is open - time=9.161ms rcv_time=10.869 status=200 bytes=8102 kbit/s=~5963.602
2025:07:13 18:53:26 Probing 180.101.51.73:80/tcp - HTTP is open - time=8.761ms rcv_time=12.867 status=200 bytes=8102 kbit/s=~5037.226
2025:07:13 18:53:27 Probing 180.101.51.73:80/tcp - HTTP is open - time=9.328ms rcv_time=12.724 status=200 bytes=8102 kbit/s=~5093.835
2025:07:13 18:53:29 Probing 180.101.51.73:80/tcp - HTTP is open - time=7.904ms rcv_time=16.081 status=200 bytes=8102 kbit/s=~4030.545

Ping statistics for 180.101.51.73:80
     5 probes sent.
     5 successful, 0 failed.  (0.00% fail)
Approximate trip times in milli-seconds:
     Minimum = 7.904ms, Maximum = 13.404ms, Average = 9.712ms
Approximate download times in milli-seconds:
     Minimum = 10.869ms, Maximum = 21.086ms, Average = 14.725ms

1）基本用法#

• 截获所有数据包： tcpdump 该命令会截获并显示所有流经第一个网络接口的数据包。
• 指定抓包数量： tcpdump -c 2 该命令会截获2个数据包后停止。
• 将抓包信息写入文件： tcpdump -c 10 -w tcpdump_test.log 该命令会将截获的10个数据包保存到文件 tcpdump_test.log 中。
• 读取记录文件： tcpdump -r tcpdump_test.log 该命令会读取并显示 tcpdump_test.log 文件中的数据包。

2）常用参数#

• -n 显示IP地址和端口号
• -v 显示更多信息，ttl，长度，其他选项等，tcpdump的详细信息有3个级别，因此-vvv显示最多信息
• -D 列出可以抓包的网络接口
• -i + 网络接口抓包
• -c + 数字 一次抓取多少数据包后停止抓取
• -w + 文件名 抓包结果保存到文件
• -r + 文件名 读取抓包文件
• -s + 数字 抓包的大小

3）过滤选项#

• 协议名，如icmp，过滤出icmp的制定报文
• host + ip 特定主机，抓取目标地址和源地址为特定ip的数据包
• port + 数字 特定端口抓包
• src + [host] ip 源地址
• dst + [host] ip 目标地址
• -X 以十六进制打印出数据报文
• -A 打印数据报文的ASCII值

NOTE

• 多条件选择使用and，or和小括号，在shell中需要用引号包含多个条件的过滤规则如， tcpdump -nvvv -i any -c 20 ‘port 80 or port 443’
• 过滤指定协议的数据包： tcpdump tcp tcpdump udp tcpdump icmp
• 过滤指定端口的数据包： tcpdump tcp port 80 tcpdump tcp portrange 1-1024
• 过滤指定主机的数据包： tcpdump host 192.168.1.113
• 过滤指定数据包大小： tcpdump greater 1000 tcpdump less 10

4）逻辑表达式#

• 逻辑与： tcpdump tcp and host 192.168.1.112
• 逻辑或： tcpdump host 192.168.1.112 or 192.168.1.113
• 逻辑非： tcpdump not tcp port 22

5）显示详细信息#

• 显示详细的数据包信息： tcpdump -v tcpdump -vv
• 不使用域名反解： tcpdump -n
• 增加抓包时间戳： tcpdump -tttt

6）使用实例#

• 抓取HTTP包： tcpdump -XvvennSs 0 -i eth0 tcp[20:2]=0x4745 or tcp[20:2]=0x4854
• 抓取指定主机的HTTP GET请求： tcpdump -s 0 -A -vv 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'

1）安装Wireshark#

Kali Linux 系统自带 Wireshark 工具，而 Windows 系统中默认没有安装该工具。因此，win需要自行安装。
安装方法：
打开Wireshark官网网址，进入 Wireshark 官网，下载安装即可。

2）Wireshark过滤规则#

ip.src == 192.168.1.1  #过滤源IP为192.168.1.1的数据包
ip.dst == 192.168.1.1  #过滤目标IP为192.168.1.1的数据包
ip.addr == 192.168.1.1 #同时显示源和目标IP为192.168.1.1的数据包

tcp  #显示TCP协议数据包
udp  #显示UDP协议数据包
http #显示HTTP协议数据包

tcp.port == 80      #显示TCP端口为80的数据包
udp.port >= 1000    #显示UDP端口大于等于1000的数据包
tcp.srcport == 443  #显示源端口为443的TCP数据包
tcp.dstport == 8080 #显示目标端口为8080的TCP数据包

http.request.method == "GET" #筛选HTTP GET请求
http contains "User-Agent"   #包含“User-Agent”的HTTP数据包
tcp contains "password"      #TCP数据中包含“password”的数据包

eth.src == A0:00:00:04:C5:84 #源MAC地址为A0:00:00:04:C5:84的数据包
eth.dst == A0:00:00:04:C5:84 #目标MAC地址为A0:00:00:04:C5:84的数据包

3）Wireshark过滤TCP错误包#

在Wireshark中同时过滤TCP重复ACK（Dup ACK）和重传包（Retransmission），使用以下显示过滤器语法：

tcp.analysis.duplicate_ack or tcp.analysis.retransmission

(tcp.analysis.duplicate_ack or tcp.analysis.retransmission) and tcp.stream eq <流编号>

(tcp.analysis.duplicate_ack or tcp.analysis.retransmission) and (ip.src == 192.168.1.100 or ip.dst == 192.168.1.100)

tcp.analysis.duplicate_ack or tcp.analysis.fast_retransmission

tcp.analysis.flags && !tcp.analysis.window_update