## 一、MTR：网络路径追踪神器

### 1.1 为什么需要 MTR？

传统 `ping` 和 `traceroute` 的局限：

- `ping`：只能看端到端通断，不知道哪一跳出了问题
- `traceroute`：单次采样，无法反映网络抖动和丢包规律

**MTR（My Traceroute）** = `ping` + `traceroute` + 持续统计，实时显示每一跳的延迟和丢包率。

### 1.2 工作原理

```
┌─────────┐     ┌─────────┐     ┌─────────┐     ┌─────────┐
│  本地主机 │ ──→ │  路由器1  │ ──→ │  路由器2  │ ──→ │ 目标主机 │
│  MTR发送  │     │  TTL=1  │     │  TTL=2  │     │  TTL=到达 │
│  ICMP包  │     │  返回ICMP │     │  返回ICMP │     │  返回ICMP │
│         │     │  Time Exceeded    │  Time Exceeded    │  Echo Reply │
└─────────┘     └─────────┘     └─────────┘     └─────────┘
     ↑_________________________________________________|
                    持续发送，实时统计
```

### 1.3 安装与基础用法

```
# Debian/Ubuntu
sudo apt install mtr-tiny    # 精简版，无GTK依赖
sudo apt install mtr         # 完整版，带图形界面

# RHEL/CentOS
sudo yum install mtr

# macOS
brew install mtr
# 注意：macOS需要sudo运行
sudo mtr google.com
```

**基础命令**：

```
# 默认ICMP模式（需要root）
sudo mtr google.com

# TCP模式（绕过ICMP限制，更真实）
sudo mtr -T -P 80 google.com

# UDP模式（模拟DNS等UDP流量）
sudo mtr -U -P 53 8.8.8.8

# 指定发包数量和间隔
sudo mtr -c 100 -i 0.5 google.com    # 发100个包，间隔0.5秒

# 报告模式（非交互，适合脚本）
mtr -r -c 100 google.com > mtr_report.txt
```

### 1.4 输出解读

```
Keys:  Help   Display mode   Restart statistics   Order of fields   quit
                                       Packets               Pings
 Host                                Loss%   Snt   Last   Avg  Best  Wrst StDev
 1. 192.168.1.1                       0.0%    10    0.5   0.6   0.4   1.2   0.2
 2. 10.10.10.1                        0.0%    10    1.2   1.5   1.1   2.3   0.3
 3. 172.16.0.1                        0.0%    10    2.1   2.8   2.0   5.4   1.0
 4. ???                               
 5. 202.97.1.1                        0.0%    10   15.2  18.5  14.8  45.6   8.2
 6. 202.97.2.2                        0.0%    10   16.8  19.2  15.5  52.3  10.1
 7. 72.14.221.34                      0.0%    10  185.2 190.5 182.3 250.6  20.3
 8. 108.170.246.1                     0.0%    10  186.5 188.2 184.1 210.4  7.8
 9. 142.250.4.46                      0.0%    10  185.8 187.6 183.9 205.2  6.2
10. google.com                        0.0%    10  184.3 186.1 182.5 198.7  5.1
```

| 字段    | 含义           | 排查要点                |
| ------- | -------------- | ----------------------- |
| `Loss%` | 丢包率         | **关键指标**，>5%需关注 |
| `Snt`   | 已发送包数     | 样本量，建议>100        |
| `Last`  | 最后一个包延迟 | 实时参考                |
| `Avg`   | 平均延迟       | 基准性能                |
| `Best`  | 最小延迟       | 理论最优                |
| `Wrst`  | 最大延迟       | 抖动程度                |
| `StDev` | 标准差         | **>10说明抖动严重**     |

### 1.5 典型排查场景

#### 场景1：定位丢包发生在哪一跳

```
现象：访问国外网站慢，MTR显示：

 3. 202.97.1.1    0.0%    50   15.2  16.5  14.8  45.6   8.2
 4. ???           100.0    50    0.0   0.0   0.0   0.0   0.0
 5. 72.14.221.34   5.0%    50  185.2 190.5 182.3 250.6  20.3

分析：
- 第4跳显示???，可能是路由器禁ICMP
- 但第5跳开始丢包5%，延迟跳到185ms
- 结论：第4-5跳之间（国际出口）是瓶颈
```

#### 场景2：识别网络抖动

```
 5. 202.97.1.1    0.0%   100   15.2  45.6  14.8  200.5  52.3

关键：StDev=52.3极大，Best=14.8但Wrst=200.5
结论：该路由器负载不均或存在拥塞
```

#### 场景3：双向MTR排查

```
# 客户端执行
sudo mtr -r -c 100 server_ip > client_mtr.txt

# 服务器端执行（同时）
sudo mtr -r -c 100 client_ip > server_mtr.txt

# 对比两份报告，确定是上行还是下行问题
```

### 1.6 高级技巧

```
# 显示AS号（运营商自治系统）
mtr -z google.com

# 显示IP地理位置
mtr -g google.com    # 需要GeoIP库

# JSON输出（自动化处理）
mtr -j -c 10 google.com | jq '.report.hubs[] | {host: .host, loss: .Loss%}'

# 持续监控并告警
while true; do
    mtr -r -c 10 target | awk '/target/{if($(NF-4)+0>5) print "ALERT: Loss > 5%"}'
    sleep 60
done
```

------

## 二、TShark：命令行抓包利器

### 2.1 TShark vs Wireshark

| 特性     | Wireshark      | TShark                     |
| -------- | -------------- | -------------------------- |
| 界面     | GTK/Qt图形界面 | 纯命令行                   |
| 适用场景 | 交互式分析     | 服务器远程排查、脚本自动化 |
| 资源占用 | 高（需X11）    | 极低                       |
| 输出格式 | 可视化         | 文本/JSON/PostScript       |
| 实时过滤 | 图形点选       | 命令行表达式               |

**TShark 是 Wireshark 的 CLI 版本，底层引擎相同，过滤语法完全一致。**

### 2.2 安装

```
# Debian/Ubuntu
sudo apt install tshark
# 安装时会提示是否允许非root用户抓包，生产环境建议选No

# RHEL/CentOS
sudo yum install wireshark-cli

# macOS
brew install wireshark  # 包含tshark
```

**权限配置**（非root使用）：

```
# 方法1：添加到wireshark组
sudo usermod -a -G wireshark $USER
sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

# 方法2：sudo运行（推荐生产环境）
sudo tshark ...
```

### 2.3 基础抓包

```
# 列出可用网卡
tshark -D
# 输出：
# 1. eth0
# 2. any (Pseudo-device that captures on all interfaces)
# 3. lo

# 基础抓包（默认eth0，持续输出）
sudo tshark -i eth0

# 指定抓包数量后停止
sudo tshark -i eth0 -c 100

# 保存到文件（pcap格式，Wireshark可打开）
sudo tshark -i eth0 -w capture.pcap

# 读取pcap文件分析
tshark -r capture.pcap
```

### 2.4 过滤表达式

#### 捕获过滤（-f，libpcap语法，性能高）

```
# 只抓特定主机
sudo tshark -f "host 192.168.1.100"

# 只抓特定端口
sudo tshark -f "port 80"
sudo tshark -f "tcp port 443"

# 特定网段
sudo tshark -f "net 10.0.0.0/24"

# 排除特定流量
sudo tshark -f "not port 22"    # 过滤掉SSH

# 复杂组合
sudo tshark -f "host 192.168.1.1 and (port 80 or port 443)"
```

#### 显示过滤（-Y，Wireshark语法，功能强）

```
# 只显示HTTP GET请求
tshark -r capture.pcap -Y "http.request.method == GET"

# 特定HTTP状态码
tshark -r capture.pcap -Y "http.response.code == 500"

# DNS查询
tshark -r capture.pcap -Y "dns.flags.response == 0"

# TCP重传（网络质量指标）
tshark -r capture.pcap -Y "tcp.analysis.retransmission"

# 慢响应（>1秒）
tshark -r capture.pcap -Y "frame.time_delta > 1"
```

### 2.5 字段提取与统计

```
# 提取特定字段（HTTP host和URI）
tshark -r capture.pcap -T fields \
    -e http.host \
    -e http.request.uri \
    -Y "http.request"

# 输出示例：
# www.example.com /api/users
# api.example.com /v1/orders

# 统计TOP 10访问IP
tshark -r capture.pcap -T fields -e ip.src | sort | uniq -c | sort -rn | head -10

# 统计HTTP状态码分布
tshark -r capture.pcap -Y "http.response" -T fields -e http.response.code | sort | uniq -c

# 计算平均响应时间（需启用TCP时间戳）
tshark -r capture.pcap -q -z io,stat,0.1,"tcp.analysis.ack_rtt"
```

### 2.6 实时分析场景

#### 场景1：监控HTTP 5xx错误

```
sudo tshark -i eth0 -f "tcp port 80" -Y "http.response.code >= 500" \
    -T fields -e ip.src -e http.response.code -e http.response.phrase
```

#### 场景2：检测SYN Flood攻击

```
# 统计SYN包数量（无ACK）
sudo tshark -i eth0 -f "tcp" -Y "tcp.flags.syn == 1 and tcp.flags.ack == 0" -c 1000 | wc -l

# 正常应远小于总连接数，若接近则可能是攻击
```

#### 场景3：分析TLS握手失败

```
sudo tshark -i eth0 -f "tcp port 443" -Y "tls.handshake.type == 2" \
    -T fields -e ip.src -e tls.handshake.version
```

#### 场景4：MySQL慢查询抓包

```
sudo tshark -i eth0 -f "tcp port 3306" \
    -Y "mysql.query and frame.time_delta > 1" \
    -T fields -e ip.src -e mysql.query
```

### 2.7 高级输出格式

```
# JSON格式（便于程序处理）
tshark -r capture.pcap -T json -Y "http.request" > http_requests.json

# EK格式（Elasticsearch直接导入）
tshark -r capture.pcap -T ek -Y "http" > http_ek.json

# 生成统计报告
tshark -r capture.pcap -q -z conv,ip > ip_conversations.txt
tshark -r capture.pcap -q -z io,phs > protocol_hierarchy.txt
```

### 2.8 与MTR联合排查

**完整案例：用户反馈访问慢**

```
# 步骤1：MTR定位网络层
sudo mtr -T -P 80 -c 100 slow.example.com
# 发现第5跳丢包10%，延迟抖动大

# 步骤2：TShark抓包分析应用层
sudo tshark -i eth0 -f "host slow.example.com" -w slow_traffic.pcap -a duration:60

# 步骤3：分析抓包文件
# 查看TCP重传
tshark -r slow_traffic.pcap -Y "tcp.analysis.retransmission" | wc -l

# 查看HTTP响应时间分布
tshark -r slow_traffic.pcap -Y "http.response" \
    -T fields -e frame.time_delta -e http.response.code | sort -n

# 步骤4：结论
# - MTR显示网络层某跳丢包
# - TShark显示大量TCP重传和HTTP 504
# - 综合判断：该跳路由器拥塞导致应用层超时
```

------

## 三、工具对比与选型

| 场景            | 推荐工具        | 关键命令                    |
| --------------- | --------------- | --------------------------- |
| 网络不通/延迟高 | MTR             | `mtr -T target`             |
| 偶发性网络抖动  | MTR + TShark    | `mtr -i 0.1` + 持续抓包     |
| HTTP API故障    | TShark          | `tshark -Y "http"`          |
| DNS解析问题     | TShark          | `tshark -Y "dns"`           |
| TLS/SSL握手失败 | TShark          | `tshark -Y "tls.handshake"` |
| 带宽占用分析    | TShark          | `tshark -q -z conv,ip`      |
| DDoS攻击溯源    | TShark + MTR    | 统计来源IP + 路径追踪       |
| 自动化监控      | TShark JSON输出 | `tshark -T json`            |

------

## 四、一键排查脚本

```
#!/bin/bash
# network_diagnose.sh - 综合网络诊断

TARGET=${1:-google.com}
PORT=${2:-80}
INTERFACE=${3:-eth0}
OUTPUT_DIR="./diag_$(date +%Y%m%d_%H%M%S)"
mkdir -p $OUTPUT_DIR

echo "========== 网络诊断报告 =========="
echo "目标: $TARGET:$PORT"
echo "时间: $(date)"
echo "=================================="

# 1. 基础连通性
echo "[1/5] 基础连通性测试..."
ping -c 10 $TARGET > $OUTPUT_DIR/ping.txt 2>&1

# 2. MTR路径分析
echo "[2/5] MTR路径追踪..."
sudo mtr -r -c 100 -T -P $PORT $TARGET > $OUTPUT_DIR/mtr.txt 2>&1

# 3. TShark抓包（30秒）
echo "[3/5] TShark抓包30秒..."
sudo timeout 30 tshark -i $INTERFACE -f "host $(dig +short $TARGET | head -1)" \
    -w $OUTPUT_DIR/capture.pcap 2>/dev/null || true

# 4. 分析抓包
echo "[4/5] 分析抓包文件..."
if [ -f $OUTPUT_DIR/capture.pcap ]; then
    tshark -r $OUTPUT_DIR/capture.pcap -q -z io,stat,1 > $OUTPUT_DIR/io_stats.txt
    tshark -r $OUTPUT_DIR/capture.pcap -Y "tcp.analysis.retransmission" 2>/dev/null | wc -l > $OUTPUT_DIR/retrans_count.txt
fi

# 5. 生成摘要
echo "[5/5] 生成摘要..."
cat > $OUTPUT_DIR/summary.txt << EOF
诊断摘要
========
目标: $TARGET:$PORT

MTR关键指标:
$(grep -A1 "Host" $OUTPUT_DIR/mtr.txt | tail -1)

丢包最严重的一跳:
$(awk 'NR>2 && $3!="???" {print $3, $4}' $OUTPUT_DIR/mtr.txt | sort -k2 -rn | head -1)

TCP重传次数: $(cat $OUTPUT_DIR/retrans_count.txt 2>/dev/null || echo "N/A")

建议:
$(if [ $(cat $OUTPUT_DIR/retrans_count.txt 2>/dev/null || echo 0) -gt 10 ]; then
    echo "- 检测到大量TCP重传，建议检查网络质量或增加应用层超时"
else
    echo "- 网络层无明显异常，建议检查应用层日志"
fi)
EOF

echo "诊断完成，结果保存在: $OUTPUT_DIR"
cat $OUTPUT_DIR/summary.txt
```



网络排查工具mtr和在线抓包工具tshark

prometheus基础详解

部署基于DCGM的Prometheus+Grafana的监控系统

server+database+proxy部署zabbix7.0

## 说明：

修改方法很简单 ，不需要修改svg文件，可以直接上用png图片简单多了，

在新版本zabbix5.0以后的版本，提供了 Rebranding（直译为品牌重塑）的模块，该模块为一个 php 文件。参数详解如下：

BRAND_LOGO：登录页 logo

BRAND_LOGO_SIDEBAR：首页侧栏 logo

BRAND_LOGO_SIDEBAR_COMPACT：首页侧栏隐藏 logo

BRAND_FOOTER：页脚

BRAND_HELP_URL：帮助链接 可以设置为官方文档6.2中文版

先看效果：

 

## 操作方法 ：

#### 1、准备图标文件

本教程需要你自己准备三个logo图标文件和一个网页标题的favicon.ico 文件 ，一共要准备四个文件。logo图标可以用PS制作 png格式的，favicon.ico文件可以先用PS做一个34*34的png文件，再上百度搜索ico转换，把格式转成ico格式。

 

#### 2、logo图标尺寸

官方默认登录页logo为114x30 、侧栏logo为91x24 、侧栏隐藏logo为24x24，  有PS基础的可以图标，我这里图标以尺寸比官方的稍大一点：登录页280*100 、 侧栏132*40 、侧栏隐藏28*38。

 

文件名命名如下图：

登录页logo: custom_logo.png

首页侧栏logo: custom_logo_sidebar.png

首页侧栏隐藏logo: custom_logo_sidebar_compact.png

网页图标文件: favicon.ico

 

将四个文件准备好以后进行下一步。

 

#### 3.确定你的zabbix安装目录

​        a、用find / -name zabbix.conf  查找配置文件路径naing或者apache的配置文件

![img](/static/img/zabbix更换LOGO/1770710064047.png)

​        b、知道位置以后，通过编辑这个配置文件，可以在这个配置文位里找到zabbix的web目录。

​        vim/etc/nginx/conf.d/zabbix.conf

![img](/static/img/zabbix更换LOGO/1770710083675.png)

​        现在我们已经知道web页面的路径为：/usr/share/zabbix/

 

#### 4、 创建 logo 文件夹

（根据个人喜好，也可以不用创建。创建以后要在php文件里指定到刚创建的目录里来，不明白就按我步骤走。）

```
mkdir /usr/share/zabbix/logo
```

#### 5、上传图标文件

通过ssh或者WinSCP 工具，将你准备好的三张图片png图片传到这个目录，

![img](/static/img/zabbix更换LOGO/1770710101114.png)

#### 6、创建 brand.conf.php文件

```
vim/usr/share/zabbix/local/conf/brand.conf.php
```

```
<?php return [
 'BRAND_LOGO' => './logo/custom_logo.png',
 'BRAND_LOGO_SIDEBAR' => './logo/custom_logo_sidebar.png',
 'BRAND_LOGO_SIDEBAR_COMPACT' =>'./logo/custom_logo_sidebar_compact.png',
 'BRAND_FOOTER' => '美美博哎 技术支持wx:byy9533 @Zabbix',
 'BRAND_HELP_URL' => 'https://www.zabbix.com/documentation/6.0/zh/'
];
```

![img](/static/img/zabbix更换LOGO/1770710119801.png)

编辑完了要给赋权限

```
chmod -R 777 /usr/share/zabbix/local/conf
```

 

#### 7、更换网页标题图标

找到 favicon 的具体位置 ，替换浏览器图标文件（这步可以不做不影响，这个替换后会在浏览器的标题上显示）

```
find / -name favicon.ico
```

备份原来的图标文件：

```
mv /usr/share/zabbix/favicon.ico/usr/share/zabbix/favicon.ico.bak
```

将你准备好的 favicon.ico 图标文件上传到 /usr/share/zabbix/

 

#### 8、修改zabbix系统名字

修改登录页面右上角显示的文字 和登录以后左上角的文字内容

```
vim /etc/zabbix/web/zabbix.conf.php
```

如图：$ZBX_SERVER_NAME       = "自动化运维监控平台"

![img](/static/img/zabbix更换LOGO/1770710135709.png)

 完成，现在刷新网页看效果

 

\-----------------------------------


# 参考文章
ZABBIX更改主机名称 zabbix更换logo

https://blog.51cto.com/u_16099329/10128626

一、MTR：网络路径追踪神器

1.1 为什么需要 MTR？

一、为什么需要 Prometheus？

1.1 传统监控的困境

部署基于DCGM的Prometheus+Grafana的监控系统

部署方案

部署方案

说明：