WireShark网络分析的艺术(2/12 学习笔记)

一 、Linux在使用ssh连接的时候卡顿问题

1. 问题分析：在使用电脑通过SSH连接Linux服务器，输入用户名登录的时候回卡顿10s之后才会收到登录成功的反馈信息，首先考虑是不是SSH工具的问题，可以换一个SSH工具进行尝试，排除是SSH工具处理不当的情况。如果不是SSH工具的问题，那么就是在SSH数据传输过程当中会有其他的数据流量占用的时间，那么这个情况就需要通过使用WireShark工具抓包进行分析。在书中分析到，在整个的抓包过程中发现在21和25号两个数据包之间间隔了10s，那么可以确定问题就出在这10s之中。在对抓取到的数据包进行过滤，得到21号包和25号包之间的数据包信息。可以看到在这两个数据包之间，发生过DNS解析的数据请求包，这就说明Linux服务器在收到办公电脑的SSH请求后，对办公电脑的IP地址进行反向查询解析，因为没有成功解析这个IP地址，所以整个解析过程的时间为10s。那么现在问题找到了，应该就是liunx配置了IP地址反向解析切解析失败导致SSH连接Linux服务器是卡顿10s。

2. 解决办法：（1）修改Linux服务器的配置，使其不对办公电脑的IP地址进行反向解析，（2）配置正确的PTR记录，保证Linux服务器能正确解析办公电脑的IP地址。

3. 经验记录：（1）Linux服务器的DNS反向解析配置文件 /etc/sshd_config | grep -i usedns  其中配置的参数是#UseDNS yes/no。（2）在wireshark中根据数据包的编号过滤 frame.number>21 && frame.number<25。筛选出21号和25号之间的数据包。

二、抓包推测网络拓扑

1. 背景前提：对网络有基本的了解或者有基本的网络拓扑图，在这种情况的基础上再通过抓包进一步对网络拓扑的验证。在书中提到，本来是有一个基本的网络拓扑图，通过这个基本的网络拓扑图去验证该拓扑图的正确性和排查网络中的问题，

2. 推测方法：通过wireshark抓取通过设备的数据包，通过检查数据包中的参数来验证网络拓扑是否正确。关注的参数有数据包的MAC地址、TTL参数、Identification参数。通过这些参数确定数据包的流向是否符合基本的网络拓扑图，或者通过数据包的这些参数来推测网络拓扑。

三、