網絡環境

　　網吧大概有200臺電腦，采用雙WAN出口（電信和網通）訪問互聯網，網絡結構較為簡單，外網、路由器、主交換機、二層交換機、客戶端。

　　故障詳細描述

　　同時接上兩（電腦沒聲音）個外網出口時，整個網絡訪問通訊出現異常，網絡速度異常緩慢，很多用戶甚至不能上網，在客戶端進行ping包測試時發現，本地客戶端嚴重丟包，斷開網通的外網出口，網絡卻又恢復正常，ping包測試也無異常。

　　故障分析

　　由于在斷開網通的線路后，網絡訪問正常，初步懷疑是網通線路問題，于是用筆記本單獨接網通線路測試，一切正常，所以首先排除了網通線路的問題。在排除線路問題后，我們將問題重點放在了內網主機檢查上。由于網絡速度緩慢并且出現斷網的情況，所以懷疑網絡中有主機感染ARP或其他蠕蟲病毒攻擊導致網絡癱瘓，于是決定用科來網絡分析系統抓包分析，在中心交換機上做好端口鏡像，在筆記本上安裝科來網絡分析系統，將筆記本接到中心交換機的端口上，啟動科來網絡分析系統開始捕獲數據，約6分鐘后停止捕獲并分析捕獲到的數據包。

　　我們首先了解網絡的整體運行狀態，在概要統計視圖中可以看到：網絡的總共流量為1.828GB，而利用率則達到了近80％，這是網絡緩慢的一個重要指示參數。我們再看TCP的參數信息，此處，TCP的同步數據包與結束連接數據包分別是17796和9963個，由TCP的工作原理我們知道，TCP在工作時首先會通過三次握手建立連接，數據傳輸完成后，必須關閉連接，在建立握手的時候，會產生2個同步數據包，而關閉連接的時候，也會產生2個同步數據包，所以，理論情況下，1個TCP連接的同步數據包與結束連接數據包應該大致相等，如果二者的數據包相差較大，說明當前的網絡傳輸不正常。如圖1。

　　

　　圖1