深入分析Linux网络丢包

1、背景：

• • 在两台 VM 连接之间，可能会发生传输失败的错误，比如网络拥塞、线路错误等；
• • 在网卡收包后，环形缓冲区可能会因为溢出而丢包；
• • 在链路层，可能会因为网络帧校验失败、QoS 等而丢包；
• • 在 IP 层，可能会因为路由失败、组包大小超过 MTU 等而丢包；
• • 在传输层，可能会因为端口未监听、资源占用超过内核限制等而丢包；
• • 在套接字层，可能会因为套接字缓冲区溢出而丢包；
• • 在应用层，可能会因为应用程序异常而丢包；
• • 此外，如果配置了 iptables 规则，这些网络包也可能因为 iptables过滤规则而丢包

2、链路层

当链路层由于缓冲区溢出等原因导致网卡丢包时，Linux 会在网卡收发数据的统计信息中记录下收发错误的次数。可以通过 ethtool 或者 netstat ，来查看网卡的丢包记录。

netstat-iKernelInterfacetableIfaceMTURX-OKRX-ERRRX-DRPRX-OVRTX-OKTX-ERRTX-DRPTX-OVRFlgeth0100310008000BMRUlo65536000000

RX-OK、RX-ERR、RX-DRP、RX-OVR ，分别表示

• • 接收时的总包数
• • 总错误数
• • 进入 Ring Buffer 后因其他原因（如内存不足）导致的丢包数
• • Ring Buffer 溢出导致的丢包数。

TX-OK、TX-ERR、TX-DRP、TX-OVR 也代表类似的含义，只不过是指发送时对应的各个指标。

这里我们没有发现任何错误，说明虚拟网卡没有丢包。不过要注意，如果用 tc 等工具配置了 QoS，那么 tc 规则导致的丢包，就不会包含在网卡的统计信息中。所以接下来，我们还要检查一下 eth0 上是否配置了 tc 规则，并查看有没有丢包。添加 -s 选项，以输出统计信息：

tc用于Linux内核的流量控制tc-sqdiscshowdeveth0qdisc netem 800d:rootrefcnt2limit1000 loss30%Sent432bytes8pkt(dropped4,overlimits0requeues0)backlog0b0prequeues0

可以看到， eth0 上配置了一个网络模拟排队规则（qdisc netem），并且配置了丢包率为 30%（loss 30%）。再看后面的统计信息，发送了 8 个包，但是丢了 4个。看来应该就是这里导致 Nginx 回复的响应包被 netem 模块给丢了。

既然发现了问题，解决方法也很简单，直接删掉 netem 模块就可以了。执行下面的命令，删除 tc 中的 netem 模块：

tcqdiscdeldeveth0rootnetemloss30%

删除后，重新执行之前的 hping3 命令，看看现在还有没有问题：

hping3-c10-S-p80192.168.0.30HPING 192.168.0.30 (eth0 192.168.0.30):Sset,40headers+0databyteslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=0win=5120rtt=7.9mslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=2win=5120rtt=1003.8mslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=5win=5120rtt=7.6mslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=6win=5120rtt=7.4mslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=9win=5120rtt=3.0ms---192.168.0.30hpingstatistic---10packetstransmitted,5packetsreceived,50%packetlossround-tripmin/avg/max=3.0/205.9/1003.8ms

不幸的是，从 hping3 的输出中可以看到还是 50% 的丢包，RTT 的波动也仍旧很大，从 3ms 到 1s。显然，问题还是没解决，丢包还在继续发生。不过，既然链路层已经排查完了，我们就继续向上层分析，看看网络层和传输层有没有问题。

3、网络层和传输层

在网络层和传输层中，引发丢包的因素非常多。不过，其实想确认是否丢包，是非常简单的事，因为 Linux 已经为我们提供了各个协议的收发汇总情况。执行 netstat -s 命令，可以看到协议的收发汇总，以及错误信息：

netstat-s#输出Ip:Forwarding:1//开启转发31totalpacketsreceived//总收包数0forwarded//转发包数0incomingpacketsdiscarded//接收丢包数25incomingpacketsdelivered//接收的数据包数15requestssentout//发出的数据包数Icmp:0ICMPmessagesreceived//收到的ICMP包数0inputICMPmessagefailed//收到ICMP失败数ICMP input histogram:0ICMPmessagessent//ICMP发送数0ICMPmessagesfailed//ICMP失败数ICMP output histogram:Tcp:0activeconnectionopenings//主动连接数0passiveconnectionopenings//被动连接数11failedconnectionattempts//失败连接尝试数0connectionresetsreceived//接收的连接重置数0connectionsestablished//建立连接数25segmentsreceived//已接收报文数21segmentssentout//已发送报文数4segmentsretransmitted//重传报文数0badsegmentsreceived//错误报文数0resetssent//发出的连接重置数Udp:0packetsreceived...TcpExt:11resetsreceivedforembryonicSYN_RECVsockets//半连接重置数0packetheaderspredictedTCPTimeouts:7//超时数TCPSynRetrans:4//SYN重传数...

etstat 汇总了 IP、ICMP、TCP、UDP 等各种协议的收发统计信息。不过，我们的目的是排查丢包问题，所以这里主要观察的是错误数、丢包数以及重传数。可以看到，只有 TCP 协议发生了丢包和重传，分别是：

• • 11 次连接失败重试（11 failed connection attempts）
• • 4 次重传（4 segments retransmitted）
• • 11 次半连接重置（11 resets received for embryonic SYN_RECV sockets）
• • 4 次 SYN 重传（TCPSynRetrans）
• • 7 次超时（TCPTimeouts）

这个结果告诉我们，TCP 协议有多次超时和失败重试，并且主要错误是半连接重置。换句话说，主要的失败，都是三次握手失败。不过，虽然在这儿看到了这么多失败，但具体失败的根源还是无法确定。所以，我们还需要继续顺着协议栈来分析。接下来的几层又该如何分析呢？

4、iptables

首先，除了网络层和传输层的各种协议，iptables 和内核的连接跟踪机制也可能会导致丢包。所以，这也是发生丢包问题时我们必须要排查的一个因素。

先来看看连接跟踪，要确认是不是连接跟踪导致的问题，只需要对比当前的连接跟踪数和最大连接跟踪数即可。

# 主机终端中查询内核配置$sysctlnet.netfilter.nf_conntrack_maxnet.netfilter.nf_conntrack_max=262144$sysctlnet.netfilter.nf_conntrack_countnet.netfilter.nf_conntrack_count=182

可以看到，连接跟踪数只有 182，而最大连接跟踪数则是 262144。显然，这里的丢包，不可能是连接跟踪导致的。

接着，再来看 iptables。回顾一下 iptables 的原理，它基于 Netfilter 框架，通过一系列的规则，对网络数据包进行过滤（如防火墙）和修改（如 NAT）。这些 iptables 规则，统一管理在一系列的表中，包括 filter、nat、mangle（用于修改分组数据） 和 raw（用于原始数据包）等。而每张表又可以包括一系列的链，用于对 iptables 规则进行分组管理。

对于丢包问题来说，最大的可能就是被 filter 表中的规则给丢弃了。要弄清楚这一点，就需要我们确认，那些目标为 DROP 和 REJECT 等会弃包的规则，有没有被执行到。可以直接查询 DROP 和 REJECT 等规则的统计信息，看看是否为0。如果不是 0 ，再把相关的规则拎出来进行分析。

iptables-tfilter-nvL#输出ChainINPUT(policyACCEPT25packets,1000 bytes)pktsbytestargetprotoptinoutsourcedestination6240DROPall--**0.0.0.0/00.0.0.0/0statisticmoderandomprobability0.29999999981ChainFORWARD(policyACCEPT0packets,0bytes)pktsbytestargetprotoptinoutsourcedestinationChainOUTPUT(policyACCEPT15packets,660bytes)pktsbytestargetprotoptinoutsourcedestination6264DROPall--**0.0.0.0/0

从 iptables 的输出中，你可以看到，两条 DROP 规则的统计数值不是 0，它们分别在INPUT 和 OUTPUT 链中。这两条规则实际上是一样的，指的是使用 statistic 模块，进行随机 30% 的丢包。0.0.0.0/0 表示匹配所有的源 IP 和目的 IP，也就是会对所有包都进行随机 30% 的丢包。看起来，这应该就是导致部分丢包的“罪魁祸首”了。

执行下面的两条 iptables 命令，删除这两条 DROP 规则。

root@nginx:/#iptables-tfilter-DINPUT-mstatistic--moderandom--probability0.30-jDROProot@nginx:/#iptables-tfilter-DOUTPUT-mstatistic--moderandom--probability0.30-jDROP

再次执行刚才的 hping3 命令，看看现在是否正常

#输出HPING 192.168.0.30 (eth0 192.168.0.30):Sset,40headers+0databyteslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=0win=5120rtt=11.9mslen=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=1win=5120rtt=7.8ms...len=44ip=192.168.0.30ttl=63DFid=0sport=80flags=SAseq=9win=5120rtt=15.0ms---192.168.0.30hpingstatistic---10packetstransmitted,10packetsreceived,0%packetlossround-tripmin/avg/max=3.3/7.9/15.0ms

不过，到目前为止，我们一直使用的 hping3 工具，只能验证案例 Nginx 的 80 端口处于正常监听状态，却还没有访问 Nginx 的 HTTP 服务。所以，不要匆忙下结论结束这次优化，我们还需要进一步确认，Nginx 能不能正常响应 HTTP 请求。我们继续在终端二中，执行如下的 curl 命令，检查 Nginx 对 HTTP 请求的响应：

$curl--max-time3http://192.168.0.30curl:(28)Operationtimedoutafter3000 millisecondswith0bytesreceived

奇怪，hping3 的结果显示Nginx 的 80 端口是正常状态，为什么还是不能正常响应 HTTP 请求呢？别忘了，我们还有个大杀器——抓包操作。看来有必要抓包看看了。

5、tcpdump

执行下面的 tcpdump 命令，抓取 80 端口的包

tcpdump-ieth0-nnport80#输出tcpdump:verboseoutputsuppressed,use-vor-vvforfullprotocoldecodelisteningoneth0,link-typeEN10MB(Ethernet),capturesize262

可以重新执行 netstat -i 命令，确认一下网卡有没有丢包问题：

netstat-iKernelInterfacetableIfaceMTURX-OKRX-ERRRX-DRPRX-OVRTX-OKTX-ERRTX-DRPTX-OVRFlgeth01001570344094000BMRUlo65536000000

从 netstat 的输出中，你可以看到，接收丢包数（RX-DRP）是 344，果然是在网卡接收时丢包了。不过问题也来了，为什么刚才用 hping3 时不丢包，现在换成 GET 就收不到了呢？还是那句话，遇到搞不懂的现象，不妨先去查查工具和方法的原理。我们可以对比一下这两个工具：

• • hping3 实际上只发送了 SYN 包；
• • curl 在发送 SYN 包后，还会发送 HTTP GET 请求。HTTP GET本质上也是一个 TCP 包，但跟 SYN 包相比，它还携带了 HTTP GET 的数据。

通过这个对比，你应该想到了，这可能是 MTU 配置错误导致的。为什么呢？

其实，仔细观察上面 netstat 的输出界面，第二列正是每个网卡的 MTU 值。eth0 的 MTU只有 100，而以太网的 MTU 默认值是 1500，这个 100 就显得太小了。当然，MTU 问题是很好解决的，把它改成 1500 就可以了。

修改完成后，再切换到终端二中，再次执行curl命令，确认问题是否真的解决了：curl--max-time3http://192.168.0.30/#输出<!DOCTYPEhtml><html>...<p><em>Thankyouforusingnginx.</em></p></body></html>非常不容易呀，这次终于看到了熟悉的Nginx响应，说明丢包的问题终于彻底解决了。