我們用《網(wǎng)絡(luò)體檢技術(shù)大揭秘》上、和《網(wǎng)絡(luò)體檢技術(shù)大揭秘》中兩篇文章向大家介紹了網(wǎng)絡(luò)體檢的必要性及兩種常用的、主流的二層體檢手段EFM及CFD。如果大家跟著上、中兩篇一路走到這里，相信對(duì)二層體檢的利弊已經(jīng)有了深刻的認(rèn)識(shí)。不過為了和大家證明下我也有深刻的認(rèn)識(shí)，還是要多嘮叨幾句。二層體檢能做到逐跳(每一臺(tái)設(shè)備)的路徑跟蹤、時(shí)延抖動(dòng)等精度也非常高(如果設(shè)備都時(shí)鐘同步的話精度更高)，但我們享受這一切優(yōu)質(zhì)服務(wù)也是有代價(jià)的，我們需要支持OAM的交換機(jī)或路由器或其它網(wǎng)絡(luò)設(shè)備。這無形中就提高了準(zhǔn)入門檻，好多普通用戶就沒機(jī)會(huì)接觸這幾種體檢手段了。

好在我們還有三層體檢手段，它們雖不如二層手段那么徹底(只能感知到路由器，感知不到交換機(jī))，但也足夠親民(ping、tracert 工具windows系統(tǒng)就自帶了，可以說幾乎人人都能接觸到)。下面我們就把舞臺(tái)交給來自三層的體檢大佬們吧。

三、三層體檢常用手段

1. PING

(1) ping功能概述

ping是windows操作系統(tǒng)自帶的一個(gè)命令，當(dāng)我們的業(yè)務(wù)掉鏈子時(shí)，我們已經(jīng)養(yǎng)成了ping一下的習(xí)慣(沒養(yǎng)成的建議抓緊養(yǎng)~)。如果能ping通，我們可以看到從我們這里到目標(biāo)IP往返一趟的延時(shí)大概是多少，丟包率大概是多少。有了這些指標(biāo)，我們心里應(yīng)該會(huì)踏實(shí)很多，至少知道我們的業(yè)務(wù)在到達(dá)目標(biāo)IP的路上經(jīng)受了怎樣的波折和委屈，這樣我們也就能更好的理解我們的業(yè)務(wù)(在線視頻)為什么播放一會(huì)兒就轉(zhuǎn)圈圈了，而不是對(duì)著屏幕暗自"我艸"。

圖12 ping命令執(zhí)行后的結(jié)果示意圖

(2)  ping原理

a. 在同一網(wǎng)段內(nèi)

在主機(jī) A 上運(yùn)行"Ping 192.168.1.1"后，都發(fā)生了些什么呢? 首先，Ping 命令會(huì)構(gòu)建一個(gè) 固定格式的 ICMP 請(qǐng)求數(shù)據(jù)包， 然后由 ICMP 協(xié)議將這個(gè)數(shù)據(jù)包連同地址"192.168.1.1"一起 交給IP 層協(xié)議(和 ICMP 一樣，實(shí)際上是一組后臺(tái)運(yùn)行的進(jìn)程)，IP 層協(xié)議將以地址 "192.168.1.1"作為目的地址，本機(jī) IP 地址作為源地址，加上一些其他的控制信息，構(gòu)建一個(gè)IP數(shù)據(jù)包，并想辦法得到 192.168.1.1的MAC地址(物理地址，這是數(shù)據(jù)鏈路層協(xié)議構(gòu)建數(shù)據(jù)鏈路層的傳輸單元——幀所必需的)，以便交給數(shù)據(jù)鏈路層構(gòu)建一個(gè)數(shù)據(jù)幀。關(guān)鍵就在這里，IP層協(xié)議通過機(jī)器B的IP地址和自己的子網(wǎng)掩碼，發(fā)現(xiàn)它跟自己屬同一網(wǎng)絡(luò)，就直接在本網(wǎng)絡(luò)內(nèi)查找這臺(tái)機(jī)器的MAC,如果以前兩機(jī)有過通信，在A機(jī)的 ARP緩存表應(yīng)該有B機(jī)IP與其MAC的映射關(guān)系，如果沒有，就發(fā)一個(gè)ARP請(qǐng)求廣播，得到B機(jī)的MAC, 一并交給數(shù)據(jù)鏈路層。后者構(gòu)建一個(gè)數(shù)據(jù)幀，目的地址是 IP 層傳過來的物理地址，源地址則是本機(jī)的物理地址，還要附加上一些控制信息，依據(jù)以太網(wǎng)的介質(zhì)訪問規(guī)則，將它們傳送出去。主機(jī)B收到這個(gè)數(shù)據(jù)幀后，先檢查它的目的地址，并和本機(jī)的物理地址對(duì)比，如符合，則接收;否則丟棄。接收后檢查該數(shù)據(jù)幀，將 IP 數(shù)據(jù)包從幀中提取出來，交給本機(jī)的 IP 層 協(xié)議。同樣，IP 層檢查后，將有用的信息提取后交給 ICMP協(xié)議，后者處理后，馬上構(gòu)建 一個(gè) ICMP 應(yīng)答包，發(fā)送給主機(jī) A，其過程和主機(jī) A 發(fā)送 ICMP 請(qǐng)求包到主機(jī) B 一模一樣。

b. 不在同一網(wǎng)段內(nèi)

在主機(jī) A 上運(yùn)行"Ping 192.168.2.1"后，開始跟上面一樣，到了怎樣得到 MAC 地址時(shí)，IP 協(xié)議通過計(jì)算發(fā)現(xiàn) D 機(jī)與自己不在同一網(wǎng)段內(nèi)，就直接將交由路由處理，也就是將路由的 MAC 取過來，至于怎樣得到路由的 MAC，跟上面一樣，先在 ARP 緩存表找，找不到就廣 播吧。路由得到這個(gè)數(shù)據(jù)幀后，再跟主機(jī) D 進(jìn)行聯(lián)系，如果找不到，就向主機(jī) A 返回一個(gè)超時(shí)的信息。

2. TRACERT

(1) TRACERT功能概述

隨著知識(shí)的積累，我們一定會(huì)有更高的"追求"。比如說我們通過ping知道了丟包率，那我們一定會(huì)好奇在哪個(gè)地方丟了，我們?cè)谌ネ繕?biāo)IP的路上都翻了什么山越了什么嶺。是的，follow your heart,這絕對(duì)不是你在沒事兒找事兒，這個(gè)需求合理的很。那么，有沒有辦法滿足我們的好奇心呢。答案都在tracert這個(gè)命令里，tracert這個(gè)命令也是windows操作系統(tǒng)自帶的一個(gè)命令，我們tracert加上自己期望訪問的網(wǎng)址(域名)，一回車就能見證奇跡，不信看下圖~，途中經(jīng)歷的每一跳路由信息都會(huì)一一羅列出來(列出的只是經(jīng)過的路由器的信息，經(jīng)過的交換機(jī)tracert大兄弟是支配不動(dòng)的，需要用我們前文和大家一起認(rèn)識(shí)的二層CFD技術(shù)里的鏈路跟蹤功能)。

圖13 tracert命令執(zhí)行后的結(jié)果示意圖

(2) TRACERT原理

Tracert 命令用IP生存時(shí)間 (TTL) 字段和 ICMP 錯(cuò)誤消息來確定從一個(gè)主機(jī)到網(wǎng)絡(luò)上其他主機(jī)的路由。

首先，tracert送出一個(gè)TTL是1的IP 數(shù)據(jù)包到目的地，當(dāng)路徑上的第一個(gè)路由器收到這個(gè)數(shù)據(jù)包時(shí)，它將TTL減1。此時(shí)，TTL變?yōu)?，所以該路由器會(huì)將此數(shù)據(jù)包丟掉，并送回一個(gè)「ICMP time exceeded」消息(包括發(fā)IP包的源地址，IP包的所有內(nèi)容及路由器的IP地址)，tracert 收到這個(gè)消息后，便知道這個(gè)路由器存在于這個(gè)路徑上，接著tracert 再送出另一個(gè)TTL是2 的數(shù)據(jù)包，發(fā)現(xiàn)第2 個(gè)路由器...... tracert 每次將送出的數(shù)據(jù)包的TTL 加1來發(fā)現(xiàn)另一個(gè)路由器，這個(gè)重復(fù)的動(dòng)作一直持續(xù)到某個(gè)數(shù)據(jù)包抵達(dá)目的地。當(dāng)數(shù)據(jù)包到達(dá)目的地后，該主機(jī)則不會(huì)送回ICMP time exceeded消息，一旦到達(dá)目的地，由于tracert通過UDP數(shù)據(jù)包向不常見端口(30000以上)發(fā)送數(shù)據(jù)包，因此會(huì)收到「ICMP port unreachable」消息，故可判斷到達(dá)目的地。

tracert 有一個(gè)固定的時(shí)間等待響應(yīng)(ICMP TTL到期消息)。如果這個(gè)時(shí)間過了，它將打印出一系列的*號(hào)表明：在這個(gè)路徑上，這個(gè)設(shè)備不能在給定的時(shí)間內(nèi)發(fā)出ICMP TTL到期消息的響應(yīng)。然后，Tracert給TTL記數(shù)器加1，繼續(xù)進(jìn)行。

3. TWAMP

前面ping和tracert這哥倆雖然能對(duì)網(wǎng)絡(luò)進(jìn)行體檢，但都是社區(qū)級(jí)別的體檢——不夠全面、專業(yè)、權(quán)威。下面要給大家引薦的這位由IETF的IP性能指標(biāo)工作小組親手培育，英文名TWAMP,名如其人，是一種雙向主動(dòng)測量協(xié)議。它定義了一種測量網(wǎng)絡(luò)中任意兩臺(tái)支持這項(xiàng)標(biāo)準(zhǔn)的設(shè)備之間往返IP性能的靈活方法。利用TWAMP，你可以通過已經(jīng)部署的網(wǎng)絡(luò)設(shè)備之間的合作，有效地測量傳輸?shù)耐暾鸌P性能。

(1) TWAMP工作原理

TWAMP一般由Control-Client、Server、Session-Sender及Session-Reflector四大組件組成。

圖14 TWAMP內(nèi)部組件及關(guān)系圖

這四個(gè)組件可以獨(dú)立部署在四臺(tái)設(shè)備上，更常用的做法是Control-Client、Session-Sender組個(gè)隊(duì)一起部署在一臺(tái)設(shè)備上，Server、Session-Reflector結(jié)個(gè)伴一起部署在另一臺(tái)設(shè)備上。Control-Client和Server采用TCP進(jìn)行控制面的連接建立，用于初始化、開始、結(jié)束測量會(huì)話以及取得它們的結(jié)果，同時(shí)TWAMP控制協(xié)議還支持對(duì)測量和控制會(huì)話進(jìn)行身份認(rèn)證和加密等安全性操作，如下圖的TWAMP-Control交互。Session-Sender和Session-Reflector采用UDP進(jìn)行測試數(shù)據(jù)的收發(fā)，如下圖的TWAMP-Test交互?？刂泼娼⑦B接以后創(chuàng)建測試session(可以創(chuàng)建多個(gè)session),測試session之間按照控制面的要求收發(fā)測試流(udp流)進(jìn)行測試，測試結(jié)果反饋給Control-Client進(jìn)行匯總分析計(jì)算并出結(jié)果。Seesion-Reflector收到Seesion-Sender的報(bào)文后會(huì)盡快返回給Seesion-Sender，當(dāng)然在返回前會(huì)加一些時(shí)戳之類的信息作為素材供Control-Client進(jìn)行計(jì)算。

圖15 TWAMP組件常見部署方式

為了避免文字表述抽象、空洞、難懂，我們又及時(shí)安排了一個(gè)高清無碼大圖供大家理解消化TWAMP的工作原理。

圖16 TWAMP工作原理示意圖

做了這么多鋪墊和渲染，那你一定會(huì)問TWAMP到底能測哪些指標(biāo)?是的，泛泛而談、言之無物的行為無異于耍流氓。TWAMP其實(shí)能干不少事兒的，下面我們就來介紹下它能測試的性能指標(biāo)。

(2) TWAMP測試性能指標(biāo)

網(wǎng)絡(luò)性能又分為整體性能和節(jié)點(diǎn)性能之分，兩者之間的關(guān)系是統(tǒng)一的。通過對(duì)端到端測量指標(biāo)的分析就可以得到網(wǎng)絡(luò)的整體性能。性能指標(biāo)主要包括以下參數(shù)：

• 連通性(Connectivity)。網(wǎng)絡(luò)連通性是指網(wǎng)絡(luò)連通的程度。這一指標(biāo)主要與丟包率相關(guān)，一般網(wǎng)絡(luò)可用性會(huì)會(huì)有一個(gè)閾值，當(dāng)丟包率高于這一數(shù)值時(shí)網(wǎng)絡(luò)判定為不可用，相反則為網(wǎng)絡(luò)可用。
• 數(shù)據(jù)包傳輸時(shí)延(Data Packet Transmission Delay)。時(shí)延是指又分為單向時(shí)延和往返時(shí)延。單向時(shí)延是指某一節(jié)點(diǎn)接收到數(shù)據(jù)源所發(fā)出的數(shù)據(jù)包時(shí)所經(jīng)歷的時(shí)間。往返時(shí)延是指由數(shù)據(jù)源發(fā)送數(shù)據(jù)包到達(dá)指定節(jié)點(diǎn)后，指定節(jié)點(diǎn)立即發(fā)送反饋數(shù)據(jù)包，此數(shù)據(jù)包到達(dá)源點(diǎn)是所經(jīng)歷的時(shí)長。因?yàn)闀r(shí)延是隨時(shí)間變化的，若進(jìn)行網(wǎng)絡(luò)測量，應(yīng)按照某段時(shí)間內(nèi)的平均值計(jì)算時(shí)延。
• 丟包率。丟包率是指數(shù)據(jù)源發(fā)出的數(shù)據(jù)包數(shù)量與反饋數(shù)據(jù)包之間的差值占源數(shù)據(jù)包總量的百分比。