《CSNA网络分析认证专家实战案例》课件-第9章

第9章某运营商客户系统访问故障分析9.1故障描述9.2故障分析9.3分析结论与建议

9.1.1故障环境

如图9-1所示，客户端通过IP10.189.96.171访问客服Web，F5-1的IP为10.189.96.169，F5-2的IP为10.189.96.170，F5-1和F5-2通过自身的IP与客服Web(IP：10.191.121.X)通信，F5转发客户端的请求，然后再将响应转发给客户端。9.1故障描述

图9-19.1.2故障现象

(1)客户端通过10.189.96.171访问Web服务器，会出现“Error404--NotFound”提示，如图9-2所示。

(2)客户端直接访问客服Web的IP则不会出现问题，怀疑F5转发存在问题，需要找到数据进行验证。

图9-2

9.2.1分析思路

本故障中出现“404--NotFound”错误的原因有两个：

(1)客户发起的请求不存在。

(2)

F5转发客户端的请求存在问题。

原因一的分析确认方法：提取“404--NotFound”会话中的客户端请求，直接访问可以确定客户的请求是否有效。经验证，出现“404--NotFound”提示的请求直接可以访问，从而排除了第一个原因。9.2故障分析原因二的分析确认方法：将客户端的请求与F5转发的请求进行对比分析，确定F5的转发是否存在问题。这也是这次分析的重点。9.2.2前期分析准备

(1)通过客户反馈，找出错误提示的会话，提取关键字。

(2)经过与用户确认，每个出错页面的CONTENT为“WebLogicServer”，如图9-3所示。

(3)数据流信息包括客户端IP、SessionID等关键字。

(4)提取正常访问数据，为对比分析作准备。

客户端与F5正常的通信数据如图9-4所示。图9-3

图9-4客户端的请求里包括详细的GET请求、客户端IP、sna_cookie和login_cookie等信息。

F5与服务器的正常通信数据如图9-5所示。

图9-5

F5(IP:10.189.96.70)发起请求，包含的信息与客户端发出的请求信息一致。9.2.3分析过程

由于需要完整抓取客户端到F5和F5到客服Web的所有数据，而且该现象不定期出现，所以镜像F5端口，并部署科来网络回溯分析系统进行数据采集(如图9-6所示)，等问题重现后提取数据包分析。

图9-6

1．客户端与F5的通信数据分析

客户端(IP：10.191.138.210)发起GET请求，请求数据大小为1.601KB，内容包括客户端IP、sna_cookie和login_cookie等信息，

服务器10.189.96.171响应

“Error404--NotFound”，客户端的端口为1359，见图9-7。

图9-7

再看客户端与F5的数据流信息验证，如图9-8所示。

图9-8

客户端的请求里包括详细的GET请求、客户端IP、sna_cookie和login_cookie等信息，且服务器的错误响应包含CONTENT=“WebLogicServer”。

图9-9

2．F5与服务器的通信分析

提取F5与服务器的通信，设置高级过滤器(请求里的cookie有客户端的IP信息，数据流包括WebLogicServer，还可以通过SessionID等)，如图9-9和图9-10所示。

F5(IP：10.189.96.70)发起请求，请求数据大小为826B，小于客户端的请求数据(未见GET请求)，服务器10.191.121.32响应“Error--404NotFound”，F5的端口为1359，与客户端的端口一样。与客户端的请求综合对比分析可知，F5与服务器端通信的请求不完整，未见sna_cookie信息，但通过login_cookie、客户端IP、SessionID等信息可以确定这是与客户端请求F5的同一会话，且服务器的错误响应包含CONTENT=“WebLogicServer”，见图9-11。

图9-10

图9-11

F5