标签: 网络故障排除

一、问题描述 在许多情况下，网络故障不会直接发生在有专业人员进行网络分析的地方。同时，前往偏远地区既费时又费钱。这意味着网络故障排除人员必须能够进行远程记录，最好还能进行远程分析。然而，这也给网络技术带来了挑战，因为传统的VPN技术需要输入防火墙规则，必要时还需要端口转发。此外，在发送敏感的记录数据时，还存在数据泄露的风险。 二、应用场景 艾体宝IOTA的远程流量采集和存储功能在以下应用场景中非常有用： 分布式网络监控/多站点网络管理 在大规模企业或跨国公司中，网络通常分布在多个地理位置。使用IOTA，可以在各个地点进行数据采集，使用IOTA CM集中分析，而技术人员无需亲自前往每个地点，从而节省时间和成本。 典型企业例如：有多个工厂的公司，有多个基础网络站点的电信公司，业务分布在多个地点的石油和天然气行业等。 列车流量数据采集 铁路应用中的持续可见性和故障排除可能很复杂。工程师必须收集和分析数据，但由于火车不断移动，他们不能总是亲自出现在火车上。如果没有远程捕获和分析功能，工程师可能会错过关键数据点并不得不重新启动测试，从而导致成本增加、延迟和效率低下。 安全事件响应 当出现网络安全事件时，迅速获取和分析流量数据至关重要。远程管理功能使得安全团队可以立即从现场获取数据进行分析和应对，无需花费时间前往现场。 IT外包或第三方管理 在一些公司中，网络管理和监控外包给第三方服务商。这些服务商可以使用IOTA远程管理客户现场的数据采集，提升服务效率。 受限或敏感的访问环境 有些环境（如数据中心、机房、或军事设施）对访问权限有严格限制，技术人员可能无法频繁进入现场。在这些情况下，远程管理功能尤其重要，可以在不打扰现场环境的前提下进行流量采集和监控。 跨时间区的全球支持 对于全球企业来说，技术支持团队可能分布在不同的时间区。远程管理使得技术人员可以在不同时间段对现场数据进行分析和管理，而无需协调复杂的差旅安排。 无法亲自到现场进行数据采集的情况通常包括： 地理位置遥远：客户现场距离技术支持团队非常遥远，出行成本和时间都很高。 紧急情况：网络问题需要立即处理，而前往现场需要时间，无法满足紧急需求。 人员限制：现场环境可能有严格的访问限制，只有特定人员能够进入，这使得外部技术人员难以现场采集数据。 安全和隐私要求：在一些高度安全或敏感的环境中，外部人员的访问受到限制，无法亲自到现场采集数据。 这种情况下，艾体宝IOTA的远程管理功能就显得非常关键和便利。下面我们将展示使用IOTA进行远程流量数据采集的流程。 三、远程分析工作流程 以下流程展示了如何在远程位置使用IOTA进行分析，首先准备IOTA，然后将其发送到远程位置。然后只需按一下按钮，就可以在远程位置开始记录。对于分析，有两种可能的方案：通过ZeroTier VPN进行远程分析，或在本地返回并分析记录的数据。 为远程记录准备IOTA 接口配置页面。 如果我们计划让IOTA从交换机的SPAN端口或TAP接收数据，则不勾选内联模式旁边的复选框。如果计划在两个网络设备之间在线操作IOTA，则勾选内联模式（Inline Mode）复选框。点击“保存”按钮保存设置。如果尚未更改默认管理员密码，我们可以使用屏幕左下角的用户菜单导航至更改密码页面进行更改。如果我们只想在远程位置进行录制，这样的准备工作就足够了。 接口配置页面上设置捕获模式 然后将IOTA发送到远程位置。IOTA到达远程位置后，将与SPAN端口或TAP在线连接。通过附带的电源供电，启动IOTA。 启动成功后，捕获LED灯亮起绿灯。按下开始/停止按钮即可开始记录过程。这不需要任何较高的专业技术知识。捕捉LED灯闪烁表示正在进行流量捕捉。要停止记录时，可按下开始/停止按钮。 然后就可以关闭IOTA并将其送回进行评估。由于数据存储在采用AES 256位加密技术的内部固态硬盘上，因此无需担心在传输过程中丢失或被盗会造成数据保护事故。潜在的攻击者需要有效的凭证才能访问数据。 为远程分析准备IOTA 要进行远程分析，我们需要准备好远程站点上IOTA的IP设置，并准备好ZeroTier VPN。ZeroTier是一种易于设置的VPN服务，只需要传出连接，并通过UDP打洞打开返回路径。因此，它不需要任何端口转发或传入防火墙规则。 网络配置页面中将其设置为DHCP或特定位置的固定IP地址，通过激活远程访问允许远程访问，并用“应用”确认设置。 图2：设置特定站点的IP设置并激活远程访问 要使用ZeroTier，我们需要访问zerotier.com，并创建一个账户。登录后，我们通过“创建网络”按钮创建一个新网络，为其命名，并写下网络ID。为控制加入ZeroTier网络，我们要确保设置了“私有”模式，这意味着管理员必须先授权节点，然后才能允许其访问。ZeroTier会自动生成16位网络ID。 图3：创建名为IOTA的新专用网络 然后，我们在管理电脑上安装ZeroTier客户端。该客户端适用于Windows、macOS、Linux和BSD等操作系统。安装完成后，我们输入16位网络ID，执行“加入网络”功能。 图4：Windows上的ZeroTier客户端 “网络配置”页面上输入ZeroTier网络ID，然后点击“激活”确认输入。 图5：输入16位网络ID并激活ZeroTier 一旦IOTA通过管理界面连接到互联网，它就会出现在网络的ZeroTier管理界面中，必须点击“Auth?”下的复选框进行授权。然后，如图5所示，我们会看到ZeroTier分配的“托管IP”。 图6：ZeroTier中的IOTA授权 我们可以使用该IP地址连接到IOTA网络图形用户界面，以分析流量。 图7：远程使用私有IP登录IOTA界面 总结流程，将IOTA发送到远程位置。IOTA到达远程位置后，将与SPAN端口或TAP在线连接。然后，设备通过管理端口连接到互联网。管理端口使用PoE或连接电源，启动IOTA。 启动成功后，捕获LED亮起绿灯。按下“开始/停止”按钮即可开始记录过程。这不需要任何较高的专业技术知识。捕捉LED灯闪烁表示正在进行流量捕捉。要停止记录时，可按下开始/停止按钮。 或者，也可以通过网络图形用户界面启动和停止记录过程。然后，我们就可以利用这种远程连接直接开始分析，而无需等待耗时的回传。原始数据包将被存储在硬盘里面。具体应用细节可咨询艾体宝工作人员! 四、IOTA的优势 IOTA提供多种记录和分析选项。即使没有深入的现场知识，也可以通过按下按钮来启动和停止记录。由于1或2 TB SSD采用了AES-256加密技术，IOTA还具有很高的安全性。 ZeroTier集成实现了简单的VPN解决方案，无需端口转发或传入防火墙规则，即可直接进行分析，而无需通过远程维护耗费时间。 五、如何远程管理多个IOTA IOTA CM是一款集中管理IOTA EDGE和CORE设备的应用程序。将所有IOTA捕获点的分析汇集到一个界面中，网络管理员可以集中维护一组IOTA设备并执行高级测量，例如捕获点之间的多段分析。IOTA CM 可以管理位于不同地点的多个 IOTA，只要这些 IOTA 可以通过其 IP 地址从 IOTA CM 访问。这是纯粹的 IP 连接。 IOTA CM 不附带（或不需要）vpn 配置等。但是IOTA CM 仍然可与 ZeroTier 协同工作，访问 IOTA，因为 IOTA 支持 ZeroTier。为此，应在 IOTA CM 主机本身或主机上的独立 docker 容器上安装 ZeroTier 客户端。具体应用细节可咨询艾体宝工作人员! IOTA CM的特征 一目了然地监控联网设备 便于设备群管理和维护 以单一视角查看所有IOTA设备收集的元数据 在单一仪表板中比较来自不同捕获点的元数据 多段分析：测量边缘IOTA不同捕获点之间的延迟 集中部署固件更新 基于容器的部署，可灵活集成到任何现代基础设施中 图8：IOTA CM

如何使用 Allegro Network 万用表的 TCP 分析确定握手时间 握手需要多少时间？ 在图 1 中，您可以在虹科Allegro 网络万用表的 TCP 统计数据中看到过去 10 分钟的客户端握手次数。在这里，您可以清楚地看到在指定时间段内有延长的响应时间。但为什么会延长呢？是不是互联网上的服务器太远？或者可能是无线局域网太弱？但是这些很快就不再是问题了，因为有了虹科Allegro网络万用表，您可以轻松快速地找出响应时间过长的位置以及原因。 图 1：TCP 统计信息一览 握手时间较长的原因 在图 2 的表中，所有数据都以表格形式显示。在这里，您可以根据各种参数选择是按升序还是降序排序，从而可以快速查看哪个服务器或客户端的平均握手时间最长。 虹科Allegro 网络万用表可以永久记录和分析握手时间。这样做的好处是什么呢？您可以一目了然地看到虚拟机是否存在延迟问题，甚至可能存在的质量问题。虚拟机通常会有这种情况，因为它们都是按照“Best Effort”来运行的。 Best Effort意味着它所分布的计算能力与当前可用的计算能力一样多。 对于一个服务和另一个服务（如备份），这种情况可能很好，因为这里的时间片大小并不重要。另一方面，对于ERP系统等服务，情况看起来却有所不同。因为ERP系统会发送许多小请求，它需要的是立即计算能力。 这个对于快速浏览握手时间也很好。我们曾经遇到过这样的情况，即握手时间在某些时候会经常上升，我们可以很快地判断出是虚拟机出了问题。我们意识到了这是由于主机没有为虚拟机分配足够的处理时间，因此出现重大停顿而造成的原因，其中，机器几乎静止不动，没有回答任何请求。 图 2：重要参数排序表 如果握手时间远远超过40毫秒怎么办？ 这是你应该注意的地方。在这种情况下，通常意味着数据包已到达服务器，但服务器要么负载非常高，要么连接速度太慢。在客户端方向也是如此。如果客户端确认其在接收的数据方面运行缓慢，则可能是客户端或链路过载造成的。 TCP 重新传输 虹科Allegro网络万用表使您能够随时查看 TCP 统计信息。这使您可以缩小问题所在。对于 TCP 重新传输，这同样是可能的。如图 3 所示，您可以在菜单项 TCP 重传下看到连接的所有数据包和重新传输的数据。这使您可以立即查看重复的数据百分比以及总共传输的数据量。 图 3：TCP 重新传输 数据何时出现两次？ 如果数据在同一个位置出现两次，则表示远程站未收到数据。在这种情况下，是设备和接收系统之间存在过载导致的虹科Allegro网络万用表中数据丢失。 实践中的典型用例： 有人抱怨网络太慢。但是如果使用虹科Allegro 网络万用表，您可以直接在服务器上进行测量，以查看其当前响应时间。如果此处未显示任何重新传输，您还可以查看数据在什么时间发送出去。则可以知道是否有网络带宽问题。除此之外，您还可以查看响应时间。如果这些值较低，则可以完全排除网络是导致问题的原因。如果问题出在服务器中或直接在客户端中，这需要很长时间来处理数据。 如何找到无效连接？ 在图 4 中，您可以在”连接无效的 TCP 服务器”选项卡上的 TCP 统计信息下清楚地识别此类无效连接。通过这种方式，您始终可以立即知道哪个IP地址正在发送无效请求，并在必要时采取措施。 无效连接是指发送了 TCP 请求但不显示任何数据。其中一个原因可能是来自外部的攻击。但也可能是有人正在发送连接，但根本不想传输它们，并且还在客户端 – 服务器通信中受到干扰。 在表中，您可能还会看到某些连接包含状态”无效”。如果只传输了几个字节并且已经在那里握手，但连接已经打开了20个小时并且从未彻底地关闭，则可能会出现这种情况。请保持警惕，因为这可能是一次攻击。但请注意，这不是一个安全功能，而是一种早期预警系统。 图 4：查找无效连接 TCP 标志评估的功能 通过这种方式，您可以轻松快速地查看在什么时间使用了多少标志。 这可能表明网络中存在问题，例如，如果突然重置速率增加很多。在这种情况下，您可以按发送或接收最多重置的IP对表进行排序，以找到罪魁祸首。 何时出现零窗口？ 由于应用程序提取数据的速度不够快，所以当数据到达服务器时，始终会出现零窗口。这与操作系统核心中的缓冲区有关。每当数据到达操作系统的速度过快时，缓冲区就会变小。一旦缓冲区用完，TCP 就会发送消息”缓冲区为 0″，即零窗口。这样做的好处是，可以排除网络的问题。这是因为两个设备之间的网络足够快，服务器跟不上的原因。 但同时会有两个可能的原因： 窗口太小，可能会在其中发送数据。 或者应用程序速度太慢，无法接受数据 图 5：TCP 零窗口 在图 5 中所示的菜单项”TCP 零窗口”下，您可以随时查看存在哪些零窗口，还可以跟踪已发送和接收的窗口数。同时，您可以看到操作系统可以缓存的数据量有多大，即所谓的窗口大小。这是在 TCP 连接开始时通过 Windows 缩放因子协商的。Windows 比例因子确定最大大小，并且在连接运行时无法更改。 一般来说，出现这些标志，都是物理布线，交换机，路由器，防火墙没有问题的表现。在这里，问题显然出在终端设备及其性能上。因此，如您所见，TCP分析可帮助您快速排除可能的问题并更接近真正的问题。TCP的最大优点是它还可以与大量协议一起使用，特别是对于SSL等完全加密的流量，因为TCP在ssl中也有使用。 应用示例： 使用虹科Allegro网络万用表，您可以轻松地按发送最多 TCP 零窗口的应用程序进行排序。在我们的例子中，有很多来自备份系统。我们可以通过更仔细地观察看到每秒发送500个零窗口数据包的时间。同时，响应时间也非常慢。这是什么原因呢？ 在”对等”项目下，我们看到从我们的磁盘站传输了66 GB的大容量。在这种情况下，每晚我们都会把中央 NAS 备份到旧 NAS。现在新 NAS 比旧 NAS 更快，也可以更快地发送数据。 使用过滤器排除流量 通常，在安装时，您要么获得大型镜像端口，要么从数据包代理处获得大量数据。为了分析这一点，我们内置了一个网络过滤器。这样，您可以轻松忽略某些不想记录或分析的流量。 此类连接还可以定义为黑名单或白名单。也许您有与您的测量相关的某些IP或MAC滤波器。或者，反之亦然，您希望排除在任何情况下都不应分析的某些计算机。请注意，即使单个数据包已被排除，仍然可以在接口统计信息中看到它们，但这不是Allegro网络万用表的问题，这是因为数据包存在并已注册。但在处理它们之前，它们被过滤掉并在内部丢弃。为了帮助您跟踪这一点，我们已将”过滤流量”部分安装到仪表板中。 如图 6 所示，您将在此处找到以下区域的筛选器函数：IP 地址、子网、IP 对、MAC 地址、VLAN、端口、网络接口筛选器。 筛选时的链接是基于 OR 的，这意味着每个筛选器都是单独应用的。例如，如果同时应用 MAC 筛选器和 IP 筛选器，那么一旦地址遇到该流量，就会将其过滤掉。在相反的情况下，如果您添加了许多IP地址，则它们将被Or链接，并且一旦命中IP地址，就会应用过滤器。 图 6：筛选特定流量 结论 虹科 Allegro网络万用表中的 TCP 分析和握手次数测量功能可以快速分析错误并检测可能的攻击。