抓包工具在深圳聯通移動分組網維護中的應用

劉志新

摘 要 文章介紹了移動分組網維護工作中引入傳統數通抓包工具軟件的原因及必要性；并且在簡單介紹了抓包工具的常用功能后，結合深圳聯通移動分組網維護中的實際案例，講解了如何利用抓包工具的這些功能有效解決網管維護臺難以定位的移動分組業務應用問題。

關鍵詞 移動分組網 抓包工具 維護

1 引言

移動分組技術（GPRS/3G PS）是移動通信與傳統數據通信技術相結合的產物，因此業務使用中常見的故障無外乎由移動信令流程或由數據通信流程異常導致。目前移動分組設備廠家所提供的維護終端主要針對移動信令的接續流程，而對于信令接續完成后的數據傳輸及應用層出現的問題定位則無法進行直觀分析判斷。然而傳統固網數通抓包工具軟件在數傳及應用層故障分析方面具有現網移動信令跟蹤終端工具無法比擬的優勢。

本文結合深圳聯通移動分組網維護中的典型案例對抓包工具在分組維護中的應用做簡要的介紹及探討。旨在引導移動分組專業維護人員了解并掌握移動信令跟蹤與傳統抓包工具相結合的綜合排障方法，從而提高實際移動分組網維護的效率，及時發現并解決移動分組網設備、網絡以及網元局數據存在的故障及隱患，進而提高我們的網絡質量。

2 抓包工具在移動分組網維護中的引入

2.1 抓包工具引入背景

移動分組網維護中常見的客戶應用故障為分兩大類：移動信令故障、數傳及應用層故障。對于移動信令部分出現的問題，無論是會話管理（SM）還是移動性管理（MM）流程異常，利用核心網GSN或無線RNC設備的維護臺通過信令跟蹤可很容易得到定位。但對于那些移動信令交互正常，如終端可以正常完成附著、激活流程卻仍然無法訪問業務的故障，依靠移動分組設備的信令跟蹤工具進行排查則會變得相當麻煩。終端在完成PDP激活后的數據傳輸出現問題時，只有對數傳的IP報文、IP通信的交換過程甚至IP報文的L7層數據做深入解析后才能最終定位問題的根由。而這正是傳統固網數通故障排查中常用的抓包工具軟件所獨有的優勢。

移動分組業務在終端完成對網絡的附著、PDP激活流程后，后續的業務訪問流程與傳統的數據通信過程基本相同。只是在SGSN與GGSN間傳遞的報文需要進行GTP的封裝，在GTP隧道內完成傳輸。

2.2 抓包工具介紹及其常用功能

抓包工具常用數通分析功能有：（1）TCP /UDP/ICMP等報文交互過程分析。這是抓包工具最基本的功能，不詳述。（2）數據包傳輸時延分析。抓包工具支持記錄每一抓取報文的時間點，還支持用任一報文與前一報文的時間差來作為記錄報文抓取的時間點。據此我們可以實現對特定時間點報文的分析或者實現對節點轉發報文時延的計算。（3）L3-L7層IP數據報文分析。實現對IP報文的L3層IP地址頭、L4層TCP/UDP頭直到L7層的內部信息進行直觀分析。（4）數傳丟包分析。根據某節點進出兩側的抓包對比，通過比對IP報文中經節點轉發后保持不變的Identification字段；或則利用TCP通信的SEQ及ACK序列號分析節點或鏈路丟包情況。依據此功能我們可分析判斷轉發報文的設備（路由器、交換機、SGSN、GGSN）是否發生了故障或出現了報文轉發瓶頸。

2.3 移動分組網中抓包文件獲取方法

移動分組網中抓包文件的常用獲取方法有如下幾種：（1）轉換工具：利用廠家提供的轉換工具對移動分組設備（GSN）的維護臺跟蹤得到的信令文件實施轉換，得到抓包文件。目前移動分組網設備廠家基本都提供了類似的工具軟件用于實現對維護臺跟蹤文件的轉換。其中華為公司提供的轉包工具還支持對某臺設備上跟蹤到的信令文件區分IN方向（Gn接口→GGSN）以及OUT方向（GGSN->GI接口）的抓包數據分別提取轉換，此功能極大的方便了對于GSN設備丟包問題的分析。（2）端口鏡像：如分組設備廠家未提供此類工具，則必須自行在分組設備接入的數通設備上采用端口鏡像的方式進行抓包獲取。端口鏡像就是將被監控端口上的數據復制到指定的監控端口，對數據進行分析和監視。在使用抓包終端抓包時，需要將安裝有抓包軟件的主機的抓包網卡連接到監控端口，來捕獲流經被監控端口的數據包。交換機端口鏡像的配置方法會隨不同廠商、不同型號的交換機而有所區別，具體方法請查閱具體設備的指導手冊。

2.4 抓包工具應用條件

在實際故障排查中并非任何故障定位都需要開啟抓包工具進行分析。啟用抓包分析手段的前提是：利用信令跟蹤排除了移動分組信令接續異常（無法附著、無法激活等MM及SM流程異常）導致的故障后，即終端成功激活并獲取到了GGSN分配的IP地址但訪問業務失敗，需要進一步對數傳過程及IP報文做深入分析才能定位故障時啟用。當然在利用抓包工具分析過程中，仍然需要根據具體的通信過程是否與移動分組的信令接續有相關性，兩者相輔相成全面分析才能得出正確的結果。

3 抓包工具在深圳聯通移動分組網維護中的實踐

3.1 L3層數傳報文分析的應用

3.2 報文間轉發時延的應用

實例3：09年11月陸續接到大量分組用戶反映“晚上20：00以后，HSDPA上網速度不穩定，該時段上網最高速度也僅100KB/S，且經常會降至100Kbit/s。到晚上21點至23點這段時間速度則奇慢無比，連接速度只有幾KB/S，終端ping公網時延約500---4000ms并伴隨有丟包發生”。而正常情況下在信號覆蓋正常區域HSDPA的速度應為2Mbit/s。

分析：在業務異常時段用上網卡撥測并進行了信令跟蹤（圖5），信令顯示終端可以正常附著并激活，且GSN設備也有正常轉發的上下行數據報文。由于現網GSN設備廠家的維護臺所支持的信令跟蹤時間粒度僅能到秒級別，因此從維護臺跟蹤的信令除可判斷出移動分組接續信令正常外，無法分析數傳慢的問題所在。

我們知道最簡單用于定位導致訪問時延過大節點的方法是通過逐段ping包的方式去排查，但因SGSN、GGSN設備均無可用于終端ping測的近用戶側的用戶面IP，所以用戶端所能ping 測的最近IP是GGSN GI接口IP（如圖6）。實際測試終端ping至GI接口的時延已達500-4000ms，僅能證實故障點在GI接口以內包括無線側、SGSN、Gn承載網以及GGSN設備的范圍。由于故障復現時整網不同無線覆蓋區域均有客戶反映該問題，因而無線的因素可直接排除；通過自GSN的GTP用戶面間的icmp包測試也很容易排除了Gn承載網的問題。

于是我們將GGSN設備跟蹤的信令數據進行轉包，借助于抓包工具來深入分析GGSN設備上報文報文轉發時是否異常。為簡化報文分析的難度，我們利用抓包工具的過濾器將我們自用戶端ping Gi接口的ICMP報文過濾出（如圖7）。圖7中連續的包1“GTP Echo（ping） request”、包2“ICMP Echo（ping） request“的Identification字段相同可知這兩個報文是同一報文。包1是GGSN接收的用戶端發出經SGSN 做GTP封裝后轉發上來的GTP-U包，包2則是GGSN內部完成解包、內容計費處理后轉交至GI接口的報文。此處我們將抓包工具中time字段的顯示方式調整為與前一捕獲到報文的時差即可看到，包2與包1存在約4.194305秒的轉發時延，而這就是一個ICMP echo request報文在GGSN內的轉發時延。類似分析其余來自SGSN的GTP報文在GGSN內的轉發時延均約4秒左右。而自GI經GGSN轉發至GN 側的報文則幾乎都是無時延立即完成轉發（時延都約0秒）。至此，導致業務異常慢的故障點已找到，正是GGSN設備的上行報文轉發出現了故障所致。

該問題提交GGSN廠家研發分析后得出真正的問題根結： GGSN 設備上內容計費規則匹配過大。由于計費規則誤配了對所有報文實施內容計費的檢測，導致在業務忙時段系統對過多的上行報文都需要進行內容計費的深度檢測，使得系統業務處理卡負荷過高引起了故障的發生。而下行報文由于在GGSN內部僅是做表項匹配而不再進行深度檢測，因此可以得到實時轉發。在調整內容計費規則后，在業務忙時段再無異常出現。

3.3 L7層數據報文分析的應用

3.4 TCP 連接信息分析的應用

根據協議規定可知，后續服務器66.163.168.216應返回的確認報文 seq=1，ack=1+565=566。但實際后續抓包得到的服務器返回報文9—12的序列號是隨機的、確認號也不符合協議規定，而且返回報文都是異常中止TCP連接RST報文。直到報文13我們才看到符合協議規定的ACK報文，但由于此前的RST報文中止了TCP連接導致后續視頻信息無法得到正常傳輸而失敗。

服務器側為何在正常TCP握手完畢后突然發起RST報文中止會話呢？對比符合協議規定的報文13與此前TCP握手中服務器返回的SYN報文的TTL 我們會發現二者是一致的均是53（見圖10）。

而“非法”報文9-12的TTL則為112、118及57不等，我們知道TTL值反映的是報文自源去往目的地中間所經過的路由器個數。通常情況下數據報文正常路由轉發所經的路由器間隔是一致的，即使存在多路由的情況跳數也不會相差太多。但報文9-12的TTL與符合協議規定的報文TTL相差過于懸殊，因此可判斷這幾個報文并非來自真正視頻服務器，應該是網絡中間某種設備攔截所致。通過向客戶解釋該問題發生的原因，客戶最終認可了我們的分析。

3.5 利用抓包工具進行節點丟包問題的分析

4 結束語

隨著2009年中國3G業務牌照的發放，國內3家運營商正式逐鹿3G市場。作為3G市場最具特色產品移動分組業務必然是客戶關注的焦點之一，因此這也對移動分組網絡維護水平、維護效率提出更高的要求。

文章結合深圳聯通移動分組網維護中的實例，對抓包工具的幾種常用功能在移動分組網維護工作中的用途、用法以及問題分析的思路做了介紹。希望為移動分組網的建設及維護人員提供一定的借鑒，啟發大家對于這一工具在分組網維護中的應用思路。

參 考 文 獻

[1] Richard Sharpe 《WireShark User's Guide》 2010

[2] 張明和 《抓包軟件Wireshark安裝和應用指導書》 華為技術有限公司 2008

[3] W.Richard Stevens 《TCP/IP詳解 卷1： 協議》 Addison Wesley/Pearson 2010