《CSNA網(wǎng)絡(luò)分析認(rèn)證專家實戰(zhàn)案例》課件-第9章

第9章某運營商客戶系統(tǒng)訪問故障分析9.1故障描述9.2故障分析9.3分析結(jié)論與建議

9.1.1故障環(huán)境

如圖9-1所示，客戶端通過IP10.189.96.171訪問客服Web，F(xiàn)5-1的IP為10.189.96.169，F(xiàn)5-2的IP為10.189.96.170，F(xiàn)5-1和F5-2通過自身的IP與客服Web(IP：10.191.121.X)通信，F(xiàn)5轉(zhuǎn)發(fā)客戶端的請求，然后再將響應(yīng)轉(zhuǎn)發(fā)給客戶端。9.1故障描述

圖9-19.1.2故障現(xiàn)象

(1)客戶端通過10.189.96.171訪問Web服務(wù)器，會出現(xiàn)“Error404--NotFound”提示，如圖9-2所示。

(2)客戶端直接訪問客服Web的IP則不會出現(xiàn)問題，懷疑F5轉(zhuǎn)發(fā)存在問題，需要找到數(shù)據(jù)進(jìn)行驗證。

圖9-2

9.2.1分析思路

本故障中出現(xiàn)“404--NotFound”錯誤的原因有兩個：

(1)客戶發(fā)起的請求不存在。

(2)

F5轉(zhuǎn)發(fā)客戶端的請求存在問題。

原因一的分析確認(rèn)方法：提取“404--NotFound”會話中的客戶端請求，直接訪問可以確定客戶的請求是否有效。經(jīng)驗證，出現(xiàn)“404--NotFound”提示的請求直接可以訪問，從而排除了第一個原因。9.2故障分析原因二的分析確認(rèn)方法：將客戶端的請求與F5轉(zhuǎn)發(fā)的請求進(jìn)行對比分析，確定F5的轉(zhuǎn)發(fā)是否存在問題。這也是這次分析的重點。9.2.2前期分析準(zhǔn)備

(1)通過客戶反饋，找出錯誤提示的會話，提取關(guān)鍵字。

(2)經(jīng)過與用戶確認(rèn)，每個出錯頁面的CONTENT為“WebLogicServer”，如圖9-3所示。

(3)數(shù)據(jù)流信息包括客戶端IP、SessionID等關(guān)鍵字。

(4)提取正常訪問數(shù)據(jù)，為對比分析作準(zhǔn)備。

客戶端與F5正常的通信數(shù)據(jù)如圖9-4所示。圖9-3

圖9-4客戶端的請求里包括詳細(xì)的GET請求、客戶端IP、sna_cookie和login_cookie等信息。

F5與服務(wù)器的正常通信數(shù)據(jù)如圖9-5所示。

圖9-5

F5(IP:10.189.96.70)發(fā)起請求，包含的信息與客戶端發(fā)出的請求信息一致。9.2.3分析過程

由于需要完整抓取客戶端到F5和F5到客服Web的所有數(shù)據(jù)，而且該現(xiàn)象不定期出現(xiàn)，所以鏡像F5端口，并部署科來網(wǎng)絡(luò)回溯分析系統(tǒng)進(jìn)行數(shù)據(jù)采集(如圖9-6所示)，等問題重現(xiàn)后提取數(shù)據(jù)包分析。

圖9-6

1．客戶端與F5的通信數(shù)據(jù)分析

客戶端(IP：10.191.138.210)發(fā)起GET請求，請求數(shù)據(jù)大小為1.601KB，內(nèi)容包括客戶端IP、sna_cookie和login_cookie等信息，

服務(wù)器10.189.96.171響應(yīng)

“Error404--NotFound”，客戶端的端口為1359，見圖9-7。

圖9-7

再看客戶端與F5的數(shù)據(jù)流信息驗證，如圖9-8所示。

圖9-8

客戶端的請求里包括詳細(xì)的GET請求、客戶端IP、sna_cookie和login_cookie等信息，且服務(wù)器的錯誤響應(yīng)包含CONTENT=“WebLogicServer”。

圖9-9

2．F5與服務(wù)器的通信分析

提取F5與服務(wù)器的通信，設(shè)置高級過濾器(請求里的cookie有客戶端的IP信息，數(shù)據(jù)流包括WebLogicServer，還可以通過SessionID等)，如圖9-9和圖9-10所示。

F5(IP：10.189.96.70)發(fā)起請求，請求數(shù)據(jù)大小為826B，小于客戶端的請求數(shù)據(jù)(未見GET請求)，服務(wù)器10.191.121.32響應(yīng)“Error--404NotFound”，F(xiàn)5的端口為1359，與客戶端的端口一樣。與客戶端的請求綜合對比分析可知，F(xiàn)5與服務(wù)器端通信的請求不完整，未見sna_cookie信息，但通過login_cookie、客戶端IP、SessionID等信息可以確定這是與客戶端請求F5的同一會話，且服務(wù)器的錯誤響應(yīng)包含CONTENT=“WebLogicServer”，見圖9-11。

圖9-10

圖9-11

F5