《CSNA網(wǎng)絡分析認證專家實戰(zhàn)案例》課件-第33章

第33章某基金公司郵件服務器訪問緩慢分析案例33.1故障描述33.2分析過程33.3分析結(jié)論 33.4調(diào)整建議

33.1.1故障現(xiàn)象

某基金公司部分用戶反映，通過郵件客戶端訪問公司郵件服務器有時會非常慢，最慢的時候需等待幾分鐘才能完成。用戶通過網(wǎng)管軟件對網(wǎng)絡設備和服務器的性能進行長期監(jiān)控，但一直沒有找到問題的根本原因。33.1故障描述我們在部署科來回溯分析系統(tǒng)后，對辦公網(wǎng)核心交換機(全端口RX鏡像)的流量進行了7

×

24小時監(jiān)控，通過回溯分析系統(tǒng)提取出問題時段的郵件服務器通信數(shù)據(jù)，找到了導致用戶訪問速度慢的主要原因。33.1.2網(wǎng)絡拓撲

用戶的網(wǎng)絡環(huán)境示意圖如圖33-1所示。

圖33-1本案例中部署科來回溯分析系統(tǒng)的目的是對辦公網(wǎng)進行全面的監(jiān)控和分析，并不是單純?yōu)榱私鉀Q郵件服務器的問題，因此采用的是核心交換全端口鏡像的方式。如果單純?yōu)榻鉀Q郵件服務器的問題，只要對鏡像服務器區(qū)接口的雙向流量進行分析就可以了。

33.2.1整體流量狀況評估

首先，我們要對辦公網(wǎng)的整體流量狀況進行評估，如果能夠發(fā)現(xiàn)間歇性的流量突發(fā)，并且突發(fā)時間點與郵件系統(tǒng)緩慢的時間點吻合，就能夠推斷是網(wǎng)絡擁塞導致郵件服務器訪問緩慢。通過流量趨勢分析(如圖33-2所示)，我們發(fā)現(xiàn)該用戶的核心交換流量并不大，雖然每天會有不規(guī)律的流量突發(fā)，但峰值流量(核心交換全端口)都在200Mbps以下，對于千兆網(wǎng)絡來說，這種規(guī)模的流量不足以造成擁塞現(xiàn)象。33.2分析過程

圖33-233.2.2網(wǎng)絡延時狀況評估

由于我們只監(jiān)控了核心交換的流量，因此不能說其他鏈路(如服務器區(qū)、用戶接入?yún)^(qū))沒有擁塞的可能。因此我們下載了用戶反映郵件系統(tǒng)緩慢的時段郵件服務器的數(shù)據(jù)包，利用科來專家分析模塊對會話進行深入分析，目的是通過郵件服務器TCP會話的交互過程掌握客戶端訪問郵件服務器的網(wǎng)絡延時、丟包狀況、系統(tǒng)響應延時等信息，由此找到“緩慢”的關鍵原因。下載數(shù)據(jù)包后我們發(fā)現(xiàn)，郵件服務器在用戶感覺緩慢的時段流量并不是很大，4分鐘的時間只傳輸了3.5MB的數(shù)據(jù)，流量以HTTP和POP3為主，沒有發(fā)現(xiàn)明顯的非正常應用，如圖33-3所示。

圖33-3在“TCP會話”視圖中，我們利用“持續(xù)時間”字段排序，能明顯看出一些POP3會話持續(xù)時間較長，但通信量并不大，如圖33-4所示。

圖33-4對這些持續(xù)時間較長的會話逐一進行TCP流量精細分析，我們發(fā)現(xiàn)這些會話的TCP三次握手延時以及初始幾次應用層交互的延時都很小(不超過10毫秒)，而且這些會話基本沒有出現(xiàn)丟包重傳的現(xiàn)象，如圖33-5和圖33-6所示。

這些數(shù)據(jù)說明客戶機到郵件服務器之間的網(wǎng)絡鏈路狀況良好，不存在鏈路擁塞的現(xiàn)象，并且郵件服務器的登錄處理過程響應也很快。

圖33-5

圖33-633.2.3應用層交互延時分析

從圖33-5中可以看出，當用戶提交密碼后，服務器回應登錄成功的消息延時稍大。在對比多個會話后我們發(fā)現(xiàn)了一個規(guī)律：如果用戶在服務器上的郵件數(shù)量超過1000封，則登錄成功后延時會略大一些(百毫秒量級)，而郵件數(shù)量少的用戶基本正常。這說明用戶登錄成功后，服務器應答的速度與用戶在服務器上保存的郵件數(shù)量有直接關系，這是由于登錄成功后服務器要檢索并統(tǒng)計用戶的郵件數(shù)量。但是，幾百毫秒的延時并不會讓用戶產(chǎn)生明顯緩慢的感覺，所以還需要對會話后續(xù)交互過程作進一步分析。在會話后續(xù)交互過程中我們發(fā)現(xiàn)，客戶端發(fā)送“LIST”指令時服務器的應答會非常緩慢，響應時間竟達到十幾秒甚至幾十秒的時間，如圖33-7所示。

圖33-7根據(jù)POP3協(xié)議規(guī)范，服務器收到客戶機的“LIST”指令后，需要給客戶機返回該賬戶每一封郵件的編號及大小信息，如圖33-8所示。

圖33-8如果用戶在服務器上存儲的郵件過多，且同時有多個這樣的用戶訪問郵件服務器，這一過程就會導致服務器硬盤頻繁地執(zhí)行小文件讀取操作，造成處理性能瓶頸。通過對比多個會話，我們發(fā)現(xiàn)在服務器上存儲的郵件數(shù)量較少的或者沒有郵件的用戶，“LIST”指令的應答速度都很快，而存儲郵件數(shù)量超過100封的用戶，“LIST”應答速度明顯緩慢，如圖33-9和圖33-10所示。

圖33-9

圖33-10

通過以上信息，我們可以作出如下判斷：

(1)部分用戶訪問郵件服務器間歇性緩慢的現(xiàn)象與網(wǎng)絡設備和通信鏈路性能無關。

(2)造成這一現(xiàn)象的主要原因是部分用戶在服務器上保留過多的郵件副本造成的。

(3)郵件服務器的磁盤訪問性能存在瓶頸，不足以支持很多用戶在服務器上保留郵件副本。33.3分析結(jié)論