故障分析

故障分析： 排查计划：

一、使用Sniffer软件抓取广播包 测试方法：

把分析故障主机连在镜像口上，运行sniffer pro 4.7。打开dashboard 面版，观测broadcasts/s，抓取其中一个网段，例如如下图。

正常的情况broadcasts/s 维持在比较低的水平，如果发现某个时间段以来broadcasts/s居高不下，然后着重分析广播包的源MAC地址，然后追踪到单台PC主机。

切换到Hosttable 面版，发现其中一台主机的广播量远远大于其他主机（正常情况下维持比较低的广播量，具体要看监控时间长短但分布比较均匀，不会出现某一台主机的广播量远远大于其他正常主机的现象），如下图：

切换到Protocol distribudion ,发现Arp 协议使用率占很大比例（一般在正常网络运行，IP占99％以上），如下图

对广播量最大的主机xxx进行抓包解码分析,如下图：

如果不是单台主机问题，则继续分析广播流量来源，最后确认原始发包交换设备，将其从网络中断开物理连接，然后继续对整个网络进行观测。 二、通过Display Interface 命令来观测数据包状态： 数据接口将显示如下内容：

[1] GigabitEthernet x/x/x current state : DOWN

[2] IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 00e0-fc00-0010 [3] The Maximum Transmit Unit is 1500 [4] Media type is not sure, loopback not set [5] Port hardware type is No Connector

[6] Unknown-speed mode, unknown-duplex mode

[7] Link speed type is autonegotiation, link duplex type is autonegotiation [8] Flow-control is not supported [9] The Maximum Frame Length is 1536 [10] Broadcast MAX-ratio: 100% [11] Allow jumbo frame to pass

[12] PVID: 1

[13] Port link-type: access [14] Tagged VLAN ID : none [15] Untagged VLAN ID : 504

[16] Last 5 minutes input rate 229 bytes/sec, 2 packets/sec Last 5 minutes output rate 25 bytes/sec, 0 packets/sec

[17] Input(total): 34764 packets, 14212713 bytes 1021 broadcasts, 0 multicasts, 0 pauses

[18] Input(normal): 34764 packets, 14212713 bytes 1021 broadcasts, 0 multicasts, 0 pauses

[19] Input(error): 0 input errors, 0 runts, 0 giants, 0 throttles, 0 CRC, 0 frame, 0 overruns, 0 aborts, 0 ignored, 0 parity errors

[20] Output(total): 1630514 packets, 525467915 bytes 774493 broadcasts, 822714 multicasts, 0 pauses

[21] Output(normal): 1630514 packets, 525467915 bytes 774493 broadcasts, 822714 multicasts, 0 pauses

[22] Output(error): 0 output errors, 0 underruns, 0 buffer failures, 0 aborts,0 deferred, 0 collisions, 0 late collisions, 0 lost carrier, 0 no carrier

数据项分析

1、INPUT中各类错报的含义：

runts：超短帧，即端口收到帧长小于64字节，且没有CRC校验错误的帧； giants：超长帧，即端口收到帧长大于允许通过的最大长度，且没有CRC校验错误的帧；

throttles：不完整的帧，即端口收到的帧不是整数字节，而是多1～7bit，因此不对齐，或乱序或空帧，而且CRC校验错误，但是不计入CRC错误； CRC：校验和错误，即端口收到的帧CRC校验和错误； frame：错误帧，即端口收到未知错误的帧；

overruns：overrun帧，由于端口输入速率超过接受方处理能力，导致丢包，在网

络出现拥塞时会导致overrun的出现；

aborts：输入描述符错误，S9500交换机不存在该错误帧；

ignored：帧丢失，由于端口输入速率超过接受方处理能力，导致丢包，在网络出现拥塞时会导致ignore的出现； parity errors：奇偶校验错； 2、OUTPUT中各类错报的含义： underruns：帧下溢错误；

buffer failures：缓冲失败，S9500交换机不存在该错误帧；

aborts：帧丢失，当网络存在拥塞时，导致报文不能从MAC层转发，会出现aborts错误；

deferred：帧延时，半双工模式下，在以太网帧数据部分的前64字节进入线路后，由于检测到冲突，当时没有发出的包； collisions：帧冲突；

late collisions：滞后冲突帧，帧在MAC层中缓存，被滞后发送 lost carrier：滞后发送帧； no carrier：载波丢失帧；

output error的情况很少会碰到。大部分问题都是input error，用户需要给出解释，如果收到runts，giants，throttles，CRC，frame等错帧，需要检查对端设备或者中间的传输链路是否存在问题；如果收到overruns，ignored等错帧，需要确定本端的链路带宽是否足够。 Display interface的显示信息

本次工作希望统一Ethernet接口的信息，建议如下： [1] GigabitEthernet x/x/x current state : DOWN [1] 接口状态 显示硬件链路的状态

[2] IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 00e0-fc00-0010

[2] 接口的输出帧封装类型和MAC地址 显示接口的删除帧封装类型和MAC地址 [3] The Maximum Transmit Unit is 1500

[3] 接口的最大传输单元 显示接口的最大传输单元 [4] Media type is not sure, loopback not set