引言

网络分析是系统管理员、安全工程师和 DevOps 工程师必备的核心技能。无论你是在排查慢查询、追踪安全事件，还是优化网络性能，掌握合适的工具都能让你事半功倍。

Linux 生态系统拥有大量强大的网络分析工具，从简单的基础诊断到深度的安全监控，从实时的数据包捕获到内核级的性能追踪。本文将精选 11 个最重要的工具，按照数据包分析、安全监控、性能分析和网络诊断四大领域进行深入讲解。

工具分类总览

类别	核心工具	主要用途
数据包捕获与分析	Wireshark, TShark, tcpdump, ngrep	深度包检查、流量分析、协议解析
安全监控与入侵检测	Zeek, Suricata, Snort	威胁检测、异常行为分析、规则匹配
性能分析与测试	bpftrace, iperf3	内核追踪、带宽测试、性能瓶颈定位
网络诊断与发现	mtr, Nmap	连通性测试、路由追踪、服务发现

第一部分：数据包捕获与分析

数据包捕获与分析是网络问题排查的基础。当你需要查看网络上实际传输的内容时，这些工具是首选。

1. Wireshark - 网络分析的瑞士军刀

Wireshark 是世界上最流行的网络协议分析器，支持数百种协议的深度解析。它提供图形化界面，让复杂的网络流量可视化。

核心功能

深度包解析：支持数千种协议，从 HTTP 到 TCP、DNS、TLS 等
实时捕获与离线分析：可以实时查看流量，也可以打开保存的 pcap 文件
强大的过滤系统：捕获过滤器和显示过滤器让你快速定位关键数据
统计与分析：协议层次、I/O 图表、对话流等丰富分析功能

实用技巧

显示过滤器示例：

# 只显示特定主机的流量
ip.addr == 192.168.1.100

# 只显示 HTTP 流量
http

# 显示 TCP 重传
tcp.analysis.retransmission

# 组合条件：特定 IP 的 HTTP 请求
ip.addr == 10.0.0.1 and http.request

# 按响应时间过滤 HTTP 请求
http.time > 1

捕获过滤器示例：

# 只捕获特定端口
port 443

# 只捕获特定主机的流量
host 192.168.1.100

# 排除 SSH 流量（避免干扰）
not port 22

# 捕获 TCP SYN 包（连接建立）
tcp[tcpflags] & tcp-syn != 0

使用场景

应用层问题排查：查看 HTTP 请求/响应、数据库查询、API 调用
性能问题分析：TCP 重传、延迟、窗口大小问题
安全事件调查：异常流量、恶意通信模式
协议学习：理解网络协议的工作原理

官方文档: Wireshark 用户指南

2. TShark - 命令行分析利器

TShark 是 Wireshark 的命令行版本，拥有几乎相同的功能，但更适合远程服务器和自动化脚本。

为什么选择 TShark？

远程服务器友好：没有 GUI 的服务器上也能使用
可脚本化：可以轻松集成到 shell 脚本和自动化流程
资源占用少：相比 GUI 版本更轻量
输出格式灵活：支持文本、JSON、多种格式

实用命令

实时捕获并显示摘要：

# 实时捕获 eth0 接口的前 10 个包
tshark -i eth0 -c 10

# 只显示 HTTP GET 请求
tshark -i eth0 -Y "http.request.method == GET"

# 以更详细的格式显示
tshark -i eth0 -V

离线分析 pcap 文件：

# 读取文件并显示协议层次统计
tshark -r capture.pcap -q -z io,phs

# 查看 HTTP 请求列表
tshark -r capture.pcp -Y "http.request" -T fields \
  -e frame.time -e ip.src -e http.host -e http.request.uri

# 输出 JSON 格式（便于脚本处理）
tshark -r capture.pcap -T json

统计分析：

# 显示会话列表
tshark -r capture.pcap -q -z conv,tcp

# 显示 HTTP 响应码分布
tshark -r capture.pcap -q -z http,tree

# 显示吞吐量统计
tshark -r capture.pcap -q -z io,stat,1

工作流建议

最佳实践是在服务器上用 tcpdump 捕获，然后用 Wireshark/TShark 分析：

# 服务器端：轻量级捕获
tcpdump -i eth0 -w /tmp/capture.pcap port 443

# 传输到本地
scp user@server:/tmp/capture.pcap ./

# 本地分析
tshark -r capture.pcap -Y "tls.handshake.type == 1"

相关资源:

TShark 手册页

Use Wireshark at the Linux command line with TShark

3. tcpdump - 轻量级捕获工具

tcpdump 是 Linux 世界的数据包捕获标准工具，几乎预装在所有发行版上。它小巧、快速、可靠，是生产环境捕获的首选。

核心优势

无处不在：几乎所有 Linux 服务器都已安装
轻量高效：资源占用极低，适合生产环境
BPF 过滤器：强大的 Berkeley Packet Filter 过滤语法
与 Wireshark 完美配合：捕获的文件可直接用 Wireshark 打开

实用命令

基础捕获：

# 捕获 eth0 接口的所有流量
tcpdump -i eth0

# 只显示前 20 个包（避免刷屏）
tcpdump -i eth0 -c 20

# 显示更详细的信息
tcpdump -i eth0 -v

# 以十六进制和 ASCII 显示
tcpdump -i eth0 -X

保存到文件：

# 捕获并保存到 pcap 文件
tcpdump -i eth0 -w capture.pcap

# 只捕获特定端口并保存
tcpdump -i eth0 -w http.pcap port 80

# 限制文件大小（轮转）
tcpdump -i eth0 -w capture.pcap -C 100 -W 10
# -C 100: 每个 100MB
# -W 10: 保留 10 个文件

BPF 过滤器：

# 捕获特定 IP 的所有流量
tcpdump host 192.168.1.100

# 捕获特定网段的流量
tcpdump net 192.168.1.0/24

# 只捕获 TCP 流量
tcpdump tcp

# 捕获特定端口范围
tcpdump portrange 80-443

# 组合条件：特定 IP 的 SSH 流量
tcpdump host 10.0.0.1 and port 22

# 排除特定流量
tcpdump not port 22 and not port 53

# 捕获 SYN 包（TCP 三次握手）
tcpdump 'tcp[tcpflags] & tcp-syn != 0'

# 捕获特定主机的 HTTP POST 请求
tcpdump -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354' \
  and host 192.168.1.100

经典工作流：tcpdump + Wireshark

这是网络问题排查的黄金组合：

# 1. 在服务器上用 tcpdump 轻量级捕获
sudo tcpdump -i eth0 -w /tmp/problem.pcap \
  'host app-server and port 443'

# 2. 安全传输到本地
scp user@server:/tmp/problem.pcap ./

# 3. 用 Wireshark 深度分析
wireshark problem.pcap

为什么不在服务器直接运行 Wireshark？

Wireshark GUI 需要大量资源
服务器通常没有图形界面
tcpdump 可以长时间运行而不影响服务

推荐阅读:

Wireshark 官方：用 tcpdump 捕获并用 Wireshark 分析

Julia Evans - How I use Wireshark

4. ngrep - 网络模式匹配工具

ngrep 是"网络层的 grep"，让你用正则表达式搜索网络流量中的内容。它是快速查找特定数据的利器。

核心特性

正则表达式支持：像 grep 一样搜索流量内容
协议感知：理解 TCP、UDP、ICMP 等协议
简单易用：语法直观，学习曲线平缓
实时匹配：捕获时即时显示匹配结果

实用命令

基础搜索：

# 搜索所有包含 "GET" 的流量
sudo ngrep -d eth0 'GET'

# 搜索特定域名的 HTTP 请求
sudo ngrep -d eth0 'api.example.com' port 80

# 不区分大小写搜索
sudo ngrep -i 'error'

HTTP 请求分析：

# 显示所有 HTTP GET 请求
sudo ngrep -q -W byline 'GET ' port 80
# -q: 安静模式
# -W byline: 逐行显示（更适合 HTTP）

# 搜索 HTTP 响应状态码
sudo ngrep -q -W byline 'HTTP/1.1 200' port 80

# 查找特定 User-Agent
sudo ngrep -q -W byline 'User-Agent: curl' port 80

调试 API 调用：

# 监控对特定 API 端点的调用
sudo ngrep -q -W byline 'POST /api/v1/users' port 8080

# 查找 JSON 格式的错误响应
sudo ngrep -q -W byline '"error":' port 8080

使用场景

快速定位问题：不用打开 Wireshark 就能找到关键数据
调试 API：查看实时的 HTTP 请求/响应
安全监控：搜索可疑的字符串或命令
日志补充：当应用日志不足时，直接查看网络流量

局限性

不支持深度协议解析（相比 Wireshark）
大流量下性能有限
不适合复杂的分析任务

最佳实践：ngrep 适合快速查找，复杂分析还是用 Wireshark。

第二部分：安全监控与入侵检测

现代网络安全不仅仅是阻止攻击，更重要的是持续监控和威胁检测。这些工具让你从被动防御转向主动安全。

5. Zeek (formerly Bro) - 网络安全监控框架

Zeek 是一个强大的网络安全监控框架，与传统 IDS 不同，它关注行为分析而非简单的签名匹配。

Zeek 的独特之处

传统 IDS（如 Snort）使用规则匹配，而 Zeek 采用脚本化事件分析：

应用层语义：理解协议的上下文和语义
丰富的日志：生成 http.log, dns.log, ssl.log 等结构化日志
行为检测：检测异常行为模式
可扩展：用 Zeek 脚本编写自定义检测逻辑

核心概念

日志文件示例：

Zeek 会自动生成多种日志文件：

# HTTP 日志
cat http.log
# timestamp  uid  source.ip  source.port  dest.ip  dest.port  method  host  uri  ...

# DNS 日志
cat dns.log
# timestamp  uid  id.origin_h  id.resp_h  id.resp_p  query  qclass  qtype  ...

# SSL/TLS 日志
cat ssl.log
# timestamp  uid  id.origin_h  id.resp_h  id.resp_p  version  cipher  server_name  ...

基础使用

安装 Zeek（Ubuntu/Debian）：

# 添加官方源
echo 'deb http://download.opensuse.org/repositories/security:/zeek/xUbuntu_22.04/ /' | \
  sudo tee /etc/apt/sources.list.d/zeek.list
curl -fsSL https://download.opensuse.org/repositories/security:zeek/xUbuntu_22.04/Release.key | \
  sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/zeek.gpg

# 安装
sudo apt update
sudo apt install zeek

运行 Zeek：

# 配置网络接口
sudo zeekctl install

# 启动监控
sudo zeekctl deploy

# 查看状态
sudo zeekctl status

# 查看实时日志
tail -f /opt/zeek/logs/current/http.log

分析日志：

# 查找可疑的 HTTP User-Agent
awk '$9 == "User-Agent:" && $10 ~ /curl/' /opt/zeek/logs/current/http.log

# 统计最常访问的域名
awk '{print $12}' /opt/zeek/logs/current/http.log | sort | uniq -c | sort -rn | head

# 查找 SSL/TLS 证书异常
grep 'validation_status' /opt/zeek/logs/current/ssl.log | grep -v ok

使用场景

威胁检测：APT 攻击、数据泄露、恶意软件通信
合规审计：记录网络活动，满足合规要求
安全研究：分析新型攻击手法
异常检测：建立基线，发现异常行为

官方资源:

Zeek 官网

Zeek 文档

6. Suricata - 高性能 IDS/IPS

Suricata 是一个高性能的入侵检测和防御系统，支持多线程处理，适合高流量环境。

核心优势

多线程架构：充分利用多核 CPU，性能远超 Snort
IPython 支持：既可用作 IDS，也可用作 IPS
协议识别：独立于端口的协议检测
规则兼容：支持 Snort 规则和 ET（Emerging Threats）规则集

基础配置

安装 Suricata：

# Ubuntu/Debian
sudo apt install suricata

# 更新规则集
sudo suricata-update

运行模式：

# IDS 模式（仅检测）
sudo suricata -i eth0 -c /etc/suricata/suricata.yaml

# 查看 EVE 日志（JSON 格式）
tail -f /var/log/suricata/eve.json | jq

实用命令：

# 实时监控告警
tail -f /var/log/suricata/fast.log

# 统计告警类型
awk '{print $3}' /var/log/suricata/fast.log | sort | uniq -c | sort -rn

# 使用 jq 分析 JSON 日志
cat /var/log/suricata/eve.json | jq '.alert | .signature,.severity'

Suricata vs Snort

特性	Suricata	Snort
多线程	原生支持	有限支持
性能	更高	较低
规则集	兼容 Snort 规则	庞大的规则生态
学习曲线	中等	较陡
社区支持	活跃	最成熟

相关资源:

Suricata 官网

Is Suricata an IPS or IDS?

7. Snort - 经典 IDS/IPS

Snort 是最古老且最成熟的 IDS/IPS，拥有庞大的社区和规则库。

核心特点

规则生态成熟：ET 规则集、Snort 社区规则
广泛应用：企业和 SOHO 环境都有大量部署
学习资源丰富：文档、教程、社区支持
三种模式：嗅探器、包记录器、NIDS

基础配置

安装 Snort：

# Ubuntu/Debian
sudo apt install snort

# 运行 Snort
sudo snort -A console -q -c /etc/snort/snort.conf -i eth0

规则示例：

# 检测 SQL 注入尝试
alert tcp $EXTERNAL_NET any -> $HOME_SERVER $HTTP_PORTS (
  msg:"SQL Injection Attempt";
  flow:to_server,established;
  content:"UNION SELECT";
  nocase;
  http_uri;
  sid:1000001;
  rev:1;
)

选择建议

Snort：规则生态成熟，适合需要丰富规则库的场景
Suricata：性能要求高、需要多线程处理的场景
Zeek：需要行为分析和深度协议理解

官方资源:

Snort 官网

Snort 文档

第三部分：性能分析与测试

网络性能问题往往难以定位。这些工具让你从内核级追踪到主动测试，全面掌握网络性能。

8. bpftrace - eBPF 追踪魔法

bpftrace 是基于 eBPF（扩展 Berkeley 数据包过滤器）的追踪工具，让你安全地在内核中运行自定义脚本。

什么是 eBPF？

eBPF 是 Linux 内核的革命性技术，允许用户在不加载内核模块的情况下运行沙箱代码：

安全性：验证器确保代码安全
高性能：JIT 编译，接近原生性能
无侵入：不需要修改内核或重启系统
强大：可追踪内核和应用的任何事件

核心优势

内核级可见性：从协议栈底层追踪网络事件
低开销：即使在高负载下也能运行
动态追踪：不需要重新编译
丰富探针：kprobe、tracepoint、uprobe 等

实用脚本

追踪 TCP 连接延迟：

# 追踪 TCP 连接建立时间
sudo bpftrace -e '
kprobe:tcp_v4_connect {
  @start[tid] = nsecs;
}

kretprobe:tcp_v4_connect /@start[tid]/ {
  @tcp_connect_ms = hist((nsecs - @start[tid]) / 1000000);
  delete(@start[tid]);
}
'

追踪丢包：

# 追踪内核丢包事件
sudo bpftrace -e '
tracepoint:skb:kfree_skb {
  @drop[args->location] = count();
}
'

# 查看结果（按 Ctrl+C 退出）
@drop[skb_drop_reason]: 1423

统计 TCP 重传：

# 追踪 TCP 重传
sudo bpftrace -e '
tracepoint:tcp:tcp_retransmit_skb {
  @retrans[comm] = count();
}
'

分析网络延迟分布：

# 按进程分析网络延迟
sudo bpftrace -e '
tracepoint:net:netif_receive_skb {
  @rx[args->name] = count();
}

interval:s:1 {
  print(@rx);
  clear(@rx);
}
'

使用场景

性能瓶颈定位：找到延迟、丢包的根源
协议栈分析：理解内核网络栈行为
实时监控：生产环境低开销监控
问题复现：捕捉难以重现的问题

学习资源:

Brendan Gregg 的 eBPF 工具页

bpftrace GitHub

bpftrace 参考指南

9. iperf3 - 网络带宽测试

iperf3 是主动网络性能测试工具，测量 TCP、UDP 和 SCTP 的带宽、延迟和丢包。

核心功能

带宽测量：测试网络最大吞吐量
多协议支持：TCP、UDP、SCTP
双向测试：同时测试上行和下行
并发流：模拟多连接场景
可定制：控制窗口大小、缓冲区等参数

实用命令

基础 TCP 测试：

# 服务器端（监听）
iperf3 -s

# 客户端（连接服务器并测试）
iperf3 -c server.example.com

# 指定测试时间
iperf3 -c server.example.com -t 60

# 并发 4 个流
iperf3 -c server.example.com -P 4

UDP 测试：

# UDP 测试（指定带宽）
iperf3 -c server.example.com -u -b 100M

# 设置包大小
iperf3 -c server.example.com -u -b 100M -l 1400

# 测试抖动和丢包
iperf3 -c server.example.com -u -b 1G -J

双向测试：

# 同时测试上行和下行
iperf3 -c server.example.com -R

详细输出：

# 输出 JSON 格式（便于脚本处理）
iperf3 -c server.example.com -J

# 设置详细输出
iperf3 -c server.example.com -V

# 保存结果到文件
iperf3 -c server.example.com --logfile result.txt

使用场景

网络容量规划：测试链路最大带宽
性能验证：验证网络升级效果
SLA 验证：确保符合服务等级协议
故障排查：对比实际与预期性能

结果解读

[ ID] Interval           Transfer     Bitrate
[  5]   0.00-10.00  sec  1.10 GBytes   945 Mbits/sec
[  5]  10.00-20.00  sec  1.12 GBytes   963 Mbits/sec
[  5]  20.00-30.00  sec  1.09 GBytes   935 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[  5]   0.00-30.00  sec  3.31 GBytes   948 Mbits/sec                  sender
[  5]   0.00-30.00  sec  3.31 GBytes   946 Mbits/sec                  receiver

关键指标：

Transfer：传输数据量
Bitrate：吞吐量
Retr：重传次数（越低越好）
cwnd：拥塞窗口大小

相关资源:

iperf 官网

iperf3 GitHub

第四部分：网络诊断与发现

当网络出现问题时，快速定位故障点至关重要。这些工具帮你快速排查问题。

10. mtr - 网络诊断多面手

mtr（My Traceroute）结合了 ping 和 traceroute 的功能，实时显示网络路径上每一跳的状态。

核心优势

实时更新：持续探测，显示动态变化
双重信息：同时显示延迟和丢包率
可视化界面：ncurses 界面，直观易读
多种模式：TCP、UDP、ICMP

实用命令

基础诊断：

# 基础 mtr 运行（自动退出）
mtr google.com -c 10

# 使用 ncurses 界面（实时显示）
mtr google.com

# 不解析主机名（更快）
mtr google.com -n

报告模式：

# 生成报告（适合脚本）
mtr -r -c 10 google.com

# 输出 JSON 格式
mtr -j -c 10 google.com

# 输出 CSV 格式
mtr -C -c 10 google.com

TCP 模式：

# 使用 TCP 端口（绕过防火墙）
sudo mtr -T -p 443 google.com

# UDP 模式
sudo mtr -u google.com

指定大小和间隔：

# 指定包大小
mtr google.com -s 1500

# 指定探测间隔
mtr google.com -i 0.5

结果解读

HOST: localhost                Loss%   Snd   Rec   Best   Avg   Worst  Last
 1. 192.168.1.1                0%    10    10      1      2       5       2
 2. 10.0.0.1                   0%    10    10     10     12      20      11
 3. router.isp.com             0%    10    10     15     18      25      17
 4. core.isp.net              10%    10     9     20     25      40      22
 5. google.com                 0%    10    10     25     28      35      26

关键指标：

Loss%：丢包率（高丢包可能表明网络拥塞）
Last：最后一次探测的延迟
Avg：平均延迟
Worst：最差延迟

故障排查技巧

# 使用大包检测 MTU 问题
mtr google.com -s 9000 -M 1400

# 检测 IPv6 路径
mtr -6 google.com

# 限制最大跳数
mtr google.com -m 15

相关资源:

mtr GitHub

mtr 使用教程

11. Nmap - 网络扫描大师

Nmap（Network Mapper）是最强大的网络发现和安全审计工具，用于端口扫描、服务发现和漏洞检测。

核心功能

端口扫描：发现开放端口和服务
版本检测：识别服务和版本号
操作系统检测：猜测目标操作系统
NSE 脚本：可扩展的脚本引擎
输出格式：XML、grepable、normal

实用命令

基础扫描：

# 扫描单个主机
nmap 192.168.1.100

# 扫描整个子网
nmap 192.168.1.0/24

# 扫描特定端口
nmap -p 22,80,443 192.168.1.100

# 扫描所有端口（1-65535）
nmap -p- 192.168.1.100

服务版本检测：

# 检测服务版本
nmap -sV 192.168.1.100

# 激进扫描（更快，但易被检测）
nmap -T4 -A 192.168.1.100

操作系统检测：

# 检测操作系统
nmap -O 192.168.1.100

# 综合扫描
nmap -A 192.168.1.100

UDP 扫描：

# UDP 扫描（较慢）
sudo nmap -sU 192.168.1.100

# TCP + UDP 综合扫描
sudo nmap -sS -sU 192.168.1.100

使用 NSE 脚本：

# 列出可用脚本
nmap --script-help all

# 使用特定脚本
nmap --script vuln 192.168.1.100

# 使用脚本类别
nmap --script auth,brute 192.168.1.100

# 自定义脚本
nmap --script /path/to/script.nse 192.168.1.100

输出格式：

# 输出到文件
nmap -oN scan.txt 192.168.1.100

# XML 格式（便于工具处理）
nmap -oX scan.xml 192.168.1.100

# Grepable 格式
nmap -oG scan.gnmap 192.168.1.100

# 所有格式
nmap -oA scan 192.168.1.100

扫描技巧

隐蔽扫描：

# SYN 扫描（隐蔽）
sudo nmap -sS 192.168.1.100

# 分散扫描（降低速率）
nmap -T2 192.168.1.100

# 伪装源地址（需要特定网络配置）
sudo nmap -S spoofed_ip 192.168.1.100

防火墙/IDS 规避：

# 分片数据包
sudo nmap -f 192.168.1.100

# 修改源端口
nmap --source-port 53 192.168.1.100

# 使用 decoy
nmap -D RND:10 192.168.1.100

使用场景

网络资产清点：发现网络上的所有设备
安全评估：识别开放的服务和潜在漏洞
故障排查：确认服务是否在监听
合规检查：验证端口策略

官方资源:

Nmap 官网

Nmap 参考指南

第五部分：实战工具组合

掌握单个工具很重要，但知道如何组合使用才是关键。以下是常见场景的工具组合方案。

11.1 网络故障排查方法论

OSI 模型分层诊断

网络问题通常可以按照 OSI 七层模型从底层到上层排查：

OSI 层级	检测工具	典型问题
物理层	ethtool, mii-tool, ip link	线缆故障、接口关闭
数据链路层	arp, tcpdump	MAC 地址冲突、二层环路
网络层	ping, mtr, traceroute	路由问题、ICMP 过滤
传输层	tcpdump, netstat	端口关闭、防火墙
会话层	netstat, ss	连接状态异常
表示层	openssl, Wireshark	SSL/TLS 问题
应用层	curl, wget, tcpdump	应用逻辑错误

标准故障排查流程

1. 定义问题
   ↓
2. 收集信息（ping, mtr, ifconfig）
   ↓
3. 建立假设
   ↓
4. 验证假设（tcpdump, Wireshark）
   ↓
5. 实施解决方案
   ↓
6. 验证修复

参考资源:

Red Hat - Linux 网络故障排查初学者指南

freeCodeCamp - 基于 OSI 模型的网络故障排查

11.2 常见场景工具选择

场景 1：网络慢/连接超时

工具组合：ping → mtr → tcpdump → Wireshark

# 1. 基础连通性
ping -c 10 server.example.com

# 2. 追踪路由并定位问题节点
mtr server.example.com -c 50 -r

# 3. 捕获数据包
tcpdump -i eth0 -w slow.pcap host server.example.com

# 4. 深度分析
wireshark slow.pcap
# 检查：TCP 重传、窗口大小、延迟 ACK

可能原因：

网络拥塞（mtr 显示高延迟或丢包）
TCP 窗口问题（Wireshark 显示零窗口）
应用层超时（Wireshark 显示正常延迟但应用超时）

场景 2：安全事件调查

工具组合：Zeek + Suricata

# 1. 启动 Zeek 监控
zeekctl deploy

# 2. 运行 Suricata IDS
suricata -i eth0 -c /etc/suricata/suricata.yaml

# 3. 分析 Zeek 日志
# 查找可疑的 DNS 查询
awk '$5 == "DNS" && $7 ~ /suspicious-domain/' /opt/zeek/logs/current/dns.log

# 查找异常的 HTTP 连接
awk '$12 == "POST" && length($15) > 10000' /opt/zeek/logs/current/http.log

# 4. 查看 Suricata 告警
grep "ET MALWARE" /var/log/suricata/fast.log

场景 3：性能优化

工具组合：bpftrace + iperf3

# 1. 使用 bpftrace 定位瓶颈
# 追踪网络延迟
sudo bpftrace -e '
tracepoint:net:netif_receive_skb {
  @rx[args->name] = count();
}

interval:s:5 {
  print(@rx);
  clear(@rx);
}
'

# 2. 测试带宽
iperf3 -c server.example.com -t 60 -P 8

# 3. 追踪 TCP 重传
sudo bpftrace -e '
tracepoint:tcp:tcp_retransmit_skb {
  printf("%s (%d)\n", comm, pid);
}
'

场景 4：安全审计

工具组合：Nmap + Masscan

# 1. 快速扫描整个网络段（发现主机）
sudo masscan 192.168.1.0/24 -p80,443,22 --rate 1000

# 2. 详细扫描发现的主机
nmap -sV -O -A 192.168.1.100

# 3. 漏洞扫描
nmap --script vuln 192.168.1.100

# 4. 生成报告
nmap -oA audit_report 192.168.1.100

11.3 工具对比速查表

工具	类型	界面	学习曲线	资源占用	主要用途
Wireshark	数据包分析	GUI	中	高	深度包分析
TShark	数据包分析	CLI	中	低	脚本化分析
tcpdump	数据包捕获	CLI	高	极低	生产环境捕获
ngrep	模式匹配	CLI	低	低	快速内容搜索
Zeek	安全监控	CLI	高	中	行为分析
Suricata	IDS/IPS	CLI	中	中	高性能检测
Snort	IDS/IPS	CLI	中	中	规则检测
bpftrace	性能追踪	CLI	高	低	内核追踪
iperf3	性能测试	CLI	低	低	带宽测试
mtr	网络诊断	CLI/Curses	低	低	路由诊断
Nmap	网络扫描	CLI	中	低	端口扫描

总结

学习路径建议

初级（基础诊断）：

从基础工具开始：ping, mtr, tcpdump
学习 Wireshark 基础操作
掌握基本的过滤器语法

中级（深入分析）：

学习 TShark 和 tcpdump 高级过滤
掌握 Zeek 日志分析
使用 iperf3 进行性能测试

高级（专家级）：

学习 bpftrace 和 eBPF
编写自定义 Zeek 脚本
掌握 Nmap NSE 脚本开发

持续学习资源

官方文档：

社区与博客：

Brendan Gregg 的博客 - eBPF 和性能分析
Julia Evans 的博客 - 网络调试技巧
Suricata 官网 - IDS/IPS 最佳实践

书籍推荐：

Wireshark for Security Professionals
Network Security Monitoring with Zeek
eBPF: Introduction and Practical Applications

结语

网络分析是一项实践性极强的技能。最好的学习方式是：

动手实验：搭建测试环境，实际使用工具
真实案例：遇到问题时深入分析
持续学习：网络技术在不断演进，保持好奇心

掌握这些工具，你将能够：

快速定位网络问题根源
主动发现安全威胁
优化网络性能
成为团队中的网络专家

祝你探索网络世界的旅程愉快！

参考资料

数据包分析：

安全监控：

性能分析：

网络诊断：

工作流程与最佳实践：

Wireshark

Linux 网络分析工具完全指南：从 Wireshark 到高级诊断工具

Wireshark

Linux 网络分析工具完全指南：从 Wireshark 到高级诊断工具