网络排障速查
分层排查流程 + ping / tracert / dig / netstat / ss / tcpdump 全套用法：现象 → 根因 → 命令映射，网络故障现场速查。
排查流程与方法
自下而上 / 分层的排查思路与决策路径
分层排查总纲：物理→链路→网络→传输→应用热门
把故障按 OSI/TCP-IP 层次切开逐层验证，是网络排障的第一原则：先确认物理链路、再确认二三层可达、再看端口连接、最后回到应用，任何跳步都可能把应用问题误判成网络问题。
现象→根因→命令：排障映射总表热门
把最常见的 10 类网络现象映射到首选命令与可能根因，故障发生时先按表打一枪，再决定深入哪个方向，避免无头苍蝇式排查。
「上不了网」十步排查清单热门
终端上不了网的标准动作：从本机地址到公网逐级验证，10 步内定位到「断在哪一跳」，避免直接跳到重启路由器的玄学操作。
间歇性故障排查方法论
「偶尔断一下」最耗人：拿不到现场就没有结论；方法论的核心是长期观测 + 触发条件记录 + 多源证据（ping/mtr/抓包/日志同时挂）。
「网络慢」排查清单：从 DNS 到有效吞吐
「慢」是全链路问题：先量化（哪一步慢、慢多少），再分层验证；本清单给出从名称解析、连接、握手、首包、传输到带宽的标准顺序。
「网站打不开」标准排查清单（运维视角）
网站不可用横跨 DNS、网络、负载均衡、Web 服务与后端：按「解析→连通→端口→应用响应→后端依赖」顺序打点，20 分钟内可定位到责任层。
先查变更：变更关联排查法
「故障前动过什么」是排障最高频的破案线索：先收集近 24 小时的配置、发布、割接、扩容记录，再做技术排查，能省掉大量无用功。
三要素定位：带宽、时延、丢包
网络质量再花哨，量到底只有三件事：能塞多少（带宽）、要跑多久（时延）、掉了多少（丢包）；先量化三要素，再谈根因，结论就不会玄学。
防火墙拦截排查：三层防护逐层过筛
确认「不是服务问题」后，按「云安全组/NACL → 网络防火墙 → 主机防火墙 → 应用白名单」从外到内逐层核对，并用计数器证明到底拦在哪一层。
自下而上排查法（物理层起步）
从网线/接口一路往上验证到应用，适合「完全不通」且对现场不熟悉的故障；每一层验证通过再上行，能给出明确的断点位置。
连通性验证矩阵：ICMP、TCP、UDP、应用各证什么
同一目标用不同协议测试，结论完全不同：ping 通只证明 ICMP 可达；端口通只证明 TCP 可达；真正可用要看应用响应，矩阵化验证避免误判。
自上而下排查法（应用层起步）
从业务现象出发反向定位：先看应用报什么错、HTTP 状态码与耗时分布，再倒推是 DNS、连接、TLS 还是传输问题，适合「能用但慢/报错」类故障。
Windows 与 Linux 排障命令对照表
双平台运维必备：同一个排障动作在两边的命令完全不同；本表覆盖连通、路由、DNS、端口、防火墙、抓包六类动作的对照。
故障范围界定：单点、局部还是全局
排障第二步是界定影响面：只有一台设备、一个网段还是全部用户；先从「谁受影响、谁不受影响」画出边界，故障域往往就在边界上。
VLAN 与 Trunk 故障排查思路
VLAN 问题表现为「同 VLAN 通、跨 VLAN 不通」或「某几个 VLAN 消失」：从端口 PVID、Trunk 放行列表、Native VLAN 一路核对，最后用带 VLAN tag 的抓包落锤。
云网络排障顺序：安全组、NACL、路由表、EIP
云上「不通」先怀疑云网络对象而不是物理链路：按「实例内 → 子网路由表 → NACL → 安全组 → EIP/NAT 网关」顺序核对，每一步都有明确证据要求。
命令行排障工具箱：工具与安装一览
把网络排障常用工具按用途归位：连通、路由、DNS、端口、抓包、带宽各有一把趁手武器；先确认工具在手，故障时才不会到处找。
NAT 环境排障要点（SNAT/DNAT/回环）
NAT 是排障黑洞最多的地方：SNAT 端口耗尽、DNAT 后端变更未同步、内网访问公网映射地址（hairpin）失败；先确认连接的「真实五元组」在两端的映射关系。
容器网络排障流程（Docker/K8s 通用）
容器里不通，先分清是「容器内 → 容器外」「宿主机 → 容器」还是「容器间」；按网络模型逐段验证：容器网卡 → 网桥/CNI → 宿主转发 → 外部网络。
OSI 七层与 TCP/IP 四层排障对照
排障中常说「二层通三层不通」「四层负载」，但报错信息可能用 OSI 术语；两张图对照好，沟通与定位都不再鸡同鸭讲。
VPN 故障排查要点（隧道通≠业务通）
VPN 建得起来不等于业务通：MTU/分片、路由未引入、加密套件协商、NAT-T 端口（4500）都是高频问题，按「阶段」逐段验证。
故障复现与最小化
能稳定复现的故障才有资格谈根因：把触发条件、路径、参数最小化到「一条命令触发」，再去掉无关变量，复现步骤本身就是排障地图。
路由不对称（往返路径不一致）排查
去程走 A 链路、回程走 B 链路时，防火墙会话不匹配、rp_filter 丢包、NAT 失效都会出现；用两端 traceroute 对比即可确认。
与正常基线对比（Diff 排障法）
手头没有思路时，找一台「同角色正常设备」逐项对比：地址、路由、DNS 配置、内核参数、抓包特征，差异点就是嫌疑点。
证据固定：会话录制、输出保存与抓包留存
排障的输出与抓包属于一次性证据：终端滚动、缓冲区写满都会丢；用 script/tee/tcpdump -w 固定下来，复盘与供应商交涉都用得上。
排障中的安全操作红线
排障时的手别太快：在未定位前重启核心设备、随意关闭安全机制、大批量改配置都属于高危动作；先保现场、再想最小化变更。
排障记录模板：时间线与证据条目
排障同时要产出记录：谁在什么时间做了什么、观察到什么现象、结论是什么；规范记录既方便交接，也是复盘与追责的依据。
无线接入故障初步排查
无线问题优先看三件事：信号强度、信道干扰、认证与漫游；先在终端侧取证（信号与速率），再决定是查 AP、查频段还是查认证服务器。
带内与带外：远程排障通道的选择
网络故障可能切断你自己的 SSH 通路：动手前先确认「失败后果可控」——配好带外（Console/管理网/云串口），或在带内做可回滚的变更。
时间对齐：日志与抓包的时间戳统一
多设备排障时最怕时间不准：客户端日志 10:00 的报错与服务端 10:05 的记录可能是同一事件，也可能不是；先把各设备时间对齐再比对。
分级上报与协作：什么时候找谁
排障不是独角戏：明确「先边界内自证、再带证据升级」的规则，避免把未定位的问题直接甩给网络组/云厂商/应用组，浪费对方时间。
运营商侧问题判断与报障材料
当出口链路疑似运营商责任时（拨号失败、光猫告警、丢包集中在出口上联），提前备好「可复现证据包」才能高效催单：时间、两端 IP、测试命令输出。
故障复盘与预防（Postmortem）
复盘的目标不是追责而是改进系统：通过「5 个为什么」追到流程与机制层，产出的行动项要具体到人、时间与验收标准。
多因叠加故障：警惕「两个问题同时发」
现场常有两个独立问题叠加（如丢包 + 证书过期），解决一个后故障仍在，容易让人怀疑结论；用清单核对的方式并列验证多个假设。
排障报告结构：结论先行的写法
面向管理者与技术团队的报告要求不同：管理者要「影响+结论+行动」，技术团队要「证据链+复现」；一份报告分两段写，各取所需。
请求支援前要准备好的信息清单
无论找同事、找云厂商还是找运营商，一份标准信息包能极大加速处理：它迫使你把「现象、范围、时间、已做测试」整理成可行动的问题描述。
连通性与链路检测
ping、tracert/traceroute、arp 等链路层与三层检测
ping 基本用法与输出判读热门
ICMP Echo 是最快的可达性探针：一次常规输出里包含解析结果、逐包 RTT、丢包统计与抖动；先学会把每个字段读对，再谈参数。
mtr 基本用法：结合 ping 与 traceroute 的连续监测热门
mtr 对每跳持续发包并统计丢包与延迟：交互模式下实时刷新，报告模式适合留档；定位『哪一跳开始变差』几乎是体感最快的工具。
ping 参数全表（Linux iputils）热门
把 iputils ping 的常用参数一次列全：包数、间隔、超时、大小、源地址、TTL、DF 位、记录路由都在这一条里，排障时不必再翻 man。
traceroute 基本用法与参数热门
利用逐渐加大的 TTL 找出到达目标的逐跳路径：Linux traceroute 默认 UDP 高端口、每跳 3 个探针；把参数掌握全，跨设备排查不再心虚。
ping -M do 探测路径 MTU（二分法）
带 DF（禁止分片）位逐级加大包，找到「能通过的最大载荷」，即可反推路径 MTU；是隧道、VXLAN、VPN 场景最实用的排障动作。
ethtool 查看链路状态：速率、双工与协商
一块网卡『看起来 Up』但速率/双工可能不对：ethtool 直接读出协商结果与 Link detected，是物理层第一眼。
Windows ping 全参数与长测技巧
Windows 排障常用 ping -t 长测、-l 调包大小、-f 设 DF 位；与 Linux 参数语义不同，照抄 Linux 习惯会踩坑。
逐级 ping 定位法：从回环到公网
经典五级跳：回环 → 本机地址 → 网关 → 公网 IP → 域名；每一级把「故障在边界哪侧」缩小一半，是终端类故障的第一套动作。
ethtool -S 错误计数器判读（CRC/丢包/碰撞）
链路质量问题的实锤在计数器里：CRC 错误指向物理层误码、rx_missed 指向主机处理不及、tx_carrier 指向对端/线缆；读懂名字就能定位方向。
长时统计 ping：-c 大数 + -i 间隔 + -D 时间戳
判断「偶尔断一下」要靠长时间统计：增加包数、放慢间隔、给每行打时间戳，才能看出丢包的模式（随机/周期性/突发）。
Windows tracert 参数与使用
Windows 自带的路径探测工具，默认每跳 3 个探针、最大 30 跳；-d 跳过解析、-w 控超时，配合 pathping 使用更完整。
MTU 概念与查看：本机、接口与路径
MTU 不匹配是『能连不能传』类故障的常客：先看本机接口 MTU，再看隧道/虚拟接口叠加后的实际值，最后用 ping -M do 验证路径。
ping 报错信息判读：超时、不可达与重复回复
ping 的不同报错指向不同层次：timeout 是没收到回包；unreachable 分「本机路由」「网关」「对端」；重复回复暗示双路径或 ARP 冲突。
arp / ip neigh 查看邻居表
ARP 表是二层到三层的桥：ping 不通先看邻居表状态——REACHABLE 说明二层通、INCOMPLETE/FAILED 说明 ARP 都解析不出来，问题在链路层。
PMTUD 黑洞：大包丢失的经典故障
路径上有设备丢弃『需要分片』的包却不回 ICMP 通告时，PMTUD 失效：表现为小包全通、大包（如 HTTPS 首选大包/文件上传）卡死。
ping 指定包大小：-s 与路径行为观察
改变载荷大小能暴露 MTU、分片、抖动相关的问题：小包正常大包丢，基本可以锁定 MTU 或中间设备对分片的处理。
traceroute 星号（* * *）的判读
星号 ≠ 故障：中间路由不回 TTL 超时 ICMP、限速、走不同路径都会导致星号；真正要看的是星号之后路径是否恢复、最后是否到达。
mtr 进阶：TCP/UDP 模式与字段口径
默认 mtr 用 ICMP，会被限速或策略干扰；-T -P 指定 TCP 端口即模拟真实业务流量，-u -P 则用 UDP：探针模式决定你测的是『哪条命』。
ping 超时控制：-W 与 -w 的正确用法
默认等待回复的时长在跨广域网或高负载场景偏长：脚本探测要用 -W 收紧单包超时、-w 控制总时长，避免一个探测卡住整个流程。
丢包率与 RTT 统计的正确判读
统计行里的 min/avg/max/mdev 与 loss% 只是开始：平均值掩盖突发，mdev 反映抖动；持续丢包与偶发丢包对应的根因完全不同。
ip route get：查看内核实际选路
配置里写着一堆路由，但内核到底选了哪条？ip route get 直接给出答案（出接口 + 源地址 + 下一跳），是验证『路由是否符合预期』的最快方式。
ip -s link：接口计数与错误快速巡检
不想记一堆 ethtool 参数时，ip -s link 一口气列出所有接口的收发字节、包量、错误、丢包；-s -s 还能看到具体错误类型。
链路抖动（Flapping）排查：dmesg 与 carrier 计数
接口 up/down 反复跳变会导致上层协议震荡、业务间歇中断；数一数内核日志里的 Link Down 事件与 carrier_changes 计数就能确认。
ping 指定源接口/源地址：-I
多网卡、多出口、策略路由环境必须指定源：用 -I 绑定源接口或源地址，才能复现「服务器选了错误的源 IP」类故障。
fping 批量连通性检测
给一整段网段或主机清单做存活普查：fping 并发探测、输出干净，能直接喂给脚本，是「判断影响面」的效率神器。
IP 地址冲突检测与处置
两台设备配了同一 IP 时表现为随机断网、丢包、ARP 交替应答；用 arping -D 与 ARP 抓包可实锤，Windows 会弹窗并记录事件。
双工不匹配识别与修复
一端强制全双工、一端自动协商到半双工，会出现『小流量正常、大流量极慢+丢包』；半双工侧的碰撞计数与两端速率信息是实锤。
MSS 钳制：在中间设备上根治 MTU 问题
与其给每台主机降 MTU，不如在网关/防火墙上对经过的 TCP SYN 做 MSS 钳制，让双方以安全值协商——这是跨网段大包问题的标准解法。
IPv6 ping：ping6 与 -6 用法
IPv6 世界里 ICMPv6 是必需的（ND/PMTU 都依赖它）：ping6/ping -6 是最基础的可达性测试，注意链路本地地址必须带 %接口 域标识。
arping：二层连通性与 IP 冲突检测
ping 走三层可能被路由绕开；arping 直接在链路层问「谁的 IP 是这个地址」，用于验证同网段可达、检测 IP 冲突、更新邻居缓存。
traceroute 三种探测模式：-I、-T、-U 怎么选
不同模式发出的报文不同，穿越策略的效果也不同：ICMP 模式最通用、TCP 模式最能反映业务路径、UDP 模式是传统默认。
光模块诊断：ethtool -m 读 DOM 信息
光链路的『体检仪』：ethtool -m 读出收发光功率、温度、电压与告警阈值，光衰类故障不再靠换线试错。
环路与广播风暴识别
二层环路的现场特征：所有成员链路流量打满、交换机 CPU 飙高、ARP/组播速率暴涨、丢包严重但设备管理口可能还活着。
交换机端口错误计数（show interfaces counters）
服务器侧一切正常但链路仍有问题？读交换机端口计数器：CRC/对齐错误、runts、giants 与 output drops 分别指向物理层与拥塞问题。
Windows pathping：逐跳丢包统计
tracert 与 ping 的合体：先探测路径，再对每跳发送定量探针统计丢包——Windows 生态里定位『哪一跳开始丢』的首选。
MAC 地址漂移（MAC Flapping）排查
同一 MAC 在两个端口间来回学习＝存在二层环路或两台设备用了同一 MAC；交换机日志会刷 flapping 告警，是广播风暴的前奏。
光链路劣化：光衰、误码与清洁
光链路故障典型演进：先是误码（CRC 增长）与偶发丢包，随后间歇 down，最后彻底 down；处置顺序是先看两端光功率，再谈清洁与更换。
链路聚合（Bond/LACP）状态检查
聚合口『看起来 Up 但跑不满/不稳定』多为协商模式不一致或成员口异常：先读 /proc/net/bonding，再对照两端 LACP 状态。
回环与本机地址自检：127.0.0.1 能证明什么
ping 127.0.0.1 通过只说明内核协议栈可用；ping 本机网卡地址通过才说明网卡与链路层至少单机侧正常——两者经常被混用，结论差很多。
双向 traceroute：从两端同时画路径
单侧 traceroute 只画去程；排除「单向不通/不对称路由」必须两端同时探测，把两条路径画在一起比对。
网线故障定位：TDR 与替换法
铜缆问题占物理层故障的多数：用网卡 TDR 自检可估测断点距离，没有 TDR 时用『替换+两端计数器』交叉确认。
Windows 网卡诊断：状态、速率与统计
Windows 排物理层不需要猜：Get-NetAdapter 看链路状态与速率、Get-NetAdapterStatistics 看丢弃与错误，必要时复位网卡。
tracepath：顺带发现路径 MTU
轻量版 traceroute：不需要 root，路径探测的同时报告链路 MTU 变化（pmtu 字段），适合快速做『路径 + MTU』联合体检。
ip neigh 清理与删除：解决陈旧 ARP 缓存
换了设备/网卡后旧 MAC 还留在缓存里，表现为『一会儿通一会儿不通』；删除特定条目或清空邻居表是最快的一招，但要知道副作用。
抓包确认 VLAN 标签与链路层信息
『配置都说放行了就是不通』时，最硬的证据是链路层抓包：-e 显示 MAC 与 VLAN tag，能直接判明 tag 是否被丢、是否走错 VLAN。
LLDP/CDP 邻居信息：物理连接关系核对
排『线和图纸对不上』的问题：读交换机 LLDP/CDP 邻居表即可知道每个端口的对端设备与端口，验证物理接线是否符合设计。
网卡环形缓冲与突发丢包（rx dropped）排查
高转发场景下 rx dropped 增长往往是环形缓冲/中断处理问题，而非链路故障：调大 ring buffer、分散队列、检查软中断分布是标准处置。
STP 状态检查：根桥、阻塞端口与拓扑变化
二层环路靠 STP 阻断冗余路径；STP 收敛慢或震荡会引发短时不通与广播风暴，排查时先看根桥位置与端口角色是否符合预期。
hping3：定制 TCP/UDP/ICMP 报文探测
当 ICMP 被禁或需要「用 TCP 探测」时，hping3 可以构造带任意标志位与端口的报文：验证端口级路径、探测中间设备对特定流量放行规则。
静态 ARP 绑定与 MAC-IP 对应固化
对关键设备（网关、存储、集群心跳）做静态 ARP 可避免 ARP 欺骗与缓存过期抖动；代价是对方换网卡时你要记得更新，否则直接不通。
ARP 表异常排查：表满、抖动与怀疑欺骗
ARP 表异常增长的典型信号：条目飙涨、同一 IP 对应 MAC 频繁变化、网关 MAC 变了；先区分环路/扫描/欺骗，再谈处置。
巨帧（Jumbo Frame）启用与排查
存储与虚拟化场景常用 9000 字节 MTU 提吞吐，但要求路径上每一跳都支持：任一环节不支持都会退化为丢包或回落到 1500。
ping -R 记录路由与时间戳选项
IPv4 的 RR（Record Route）选项可让路径设备在包里写入自己的地址，一次拿到往返路径；但现代网络多数禁用该选项，仅作补充手段。
ping 洪泛与预加载：-f / -l / -A 的性能测试面
在受控环境里，-f（洪泛）与 -l（预加载）可用于快速压测丢包率；生产环境误用会造成链路拥塞甚至被判定攻击，必须限场景使用。
DNS 与解析排查
dig、nslookup、解析缓存与 DNS 故障定位
dig 基本用法与输出结构判读热门
dig 是 DNS 排查的事实标准：一次查询输出 HEADER 状态、OPT（EDNS）、ANSWER、AUTHORITY、ADDITIONAL 与耗时统计，覆盖排查所需的全部字段。
dig 记录类型速查：A/AAAA/CNAME/MX/TXT/NS/SOA/SRV/CAA热门
不同记录回答不同问题：查 IP 用 A/AAAA，查别名用 CNAME，查邮件用 MX，查验证与反垃圾用 TXT，查权威边界用 NS/SOA；排查前先明确要什么记录。
DNS 响应码判读：NOERROR / NXDOMAIN / SERVFAIL / REFUSED热门
resolver 的 status 字段是 DNS 排障的『分诊台』：四个常见状态指向完全不同的责任方，先判码再查证。
dig +short：只取结果值（脚本友好）
+short 去掉所有装饰只留答案值，适合脚本与快速比对；CNAME 链会逐行展示，正好用来追踪别名指向。
dig +trace：从根开始逐层溯源解析
模拟解析器逐级询问根、TLD、权威服务器，完整展示委派链；排查『解析结果哪里变了/在哪一层断了』的最强工具。
SERVFAIL 排查路径
SERVFAIL 是『服务器自己处理不了』：按 DNSSEC 验证失败 → 上游/权威超时 → 转发链问题 的顺序排查，通常能在 10 分钟内定位。
TTL 与缓存：『改了记录不生效』排查
DNS 变更生效速度由 TTL 决定：先确认权威已出新值，再逐级查各缓存剩余 TTL，按『权威 → 递归 → 本地/应用』顺序收口。
dig @server：指定 DNS 服务器对比查询
绕过本机配置直接问指定服务器，是区分『本地解析器问题』与『服务端/权威问题』的关键动作：同一域名问三台服务器结果往往立刻见分晓。
resolv.conf 配置与解析超时行为
Linux 解析行为由 /etc/resolv.conf（或 NetworkManager/systemd-resolved 生成）控制：nameserver 上限 3 台、顺序尝试、options 控制超时与补全域。
DNS 慢导致全局变慢：识别与量化
『所有站点都变慢』的隐形元凶常是 DNS：解析卡住会拖慢每一个新连接（含 API、CDN、第三方依赖），而 curl 小请求可能看不出来。
nslookup 基础用法（跨平台可用）
Windows 与部分精简 Linux 环境自带 nslookup：虽然输出不如 dig 清晰，但作为跨平台最低配工具必须会用。
Windows DNS 缓存：查看、刷新与刷新后的验证
Windows 客户端缓存问题表现为『改了 DNS 记录本机仍是旧 IP』：ipconfig /displaydns 看缓存条目与 TTL，/flushdns 刷新后务必复测。
dig +time/+tries：控制超时与重试
默认每个服务器 5 秒超时、重试 2 次：排查『解析偶尔卡 5 秒』时先缩短参数复现，再判断是哪个服务器在拖后腿。
Resolve-DnsName：Windows 现代 DNS 查询
PowerShell 版 dig：支持指定服务器、类型、跟踪，输出为对象可管道处理，是 Windows 排 DNS 的首选（优于 nslookup）。
dig +tcp：强制 TCP 查询与截断（TC）判读
UDP 回复超过缓冲区时会置 TC 标志并改用 TCP 重查；+tcp 直接走 TCP 53，用于验证『TCP 53 是否被拦』与截断类问题。
公共 DNS 选择与对比测试
不同公共 DNS 的解析结果、速度与稳定性各异：国内推荐阿里/腾讯/114，国际用 8.8.8.8/1.1.1.1/9.9.9.9；选型前先做对比测试。
dig 查询耗时与统计（Query time）
『解析慢』要用数字说话：dig 输出 Query time（毫秒）能快速量化单次解析耗时，多服务器多域名批量采样即可画出解析延迟分布。
DNS 端口连通性测试（UDP/TCP 53）
『解析全部超时』先确认 53 端口能不能出去：UDP/TCP 都测一遍，区分『网络不通』与『DNS 服务故障』。
hosts 文件与 nsswitch 解析顺序
Linux/Windows 默认先查本地 hosts 再走 DNS：『解析结果不对』时先确认 hosts 没被写死，排查 DNS 却看不到问题就栽在这。
dig -x 反向解析（PTR）检查
反查由 IP 到域名，邮件反垃圾、日志归属与网络审计都依赖它；不生效经常不是 DNS 故障而是地址段所有者未配置 PTR。
dig +dnssec：验证 DNSSEC 与 RRSIG
DNSSEC 排查看两点：响应是否带 RRSIG、验证通过的响应是否有 ad 标志；SERVFAIL 且域名无问题的常见根因就是 DNSSEC 验证失败。
resolvectl：systemd-resolved 状态与查询
现代桌面发行版默认走 systemd-resolved 本地 stub（127.0.0.53）：解析链路与缓存问题要看 resolvectl status 与日志，而不是只看 /etc/resolv.conf。
CDN CNAME 链排查
接入 CDN 的域名通常 CNAME 到厂商域名再套多级调度：链上任何一跳异常都会表现为『解析到错误节点/超时』，逐跳验证是最稳的排查方式。
dig +noall +answer：干净的标准答案输出
保留格式又去掉噪音：+noall 关掉所有段、+answer 只留答案段，比 +short 更完整（带 TTL 与类型），适合给别人看的证据。
NODATA 与 NXDOMAIN 的区别与排查
NODATA＝域名存在但没有你要的类型（NOERROR+0 答案）；NXDOMAIN＝域名根本不存在。两者修复动作完全不同，判错会走弯路。
SOA 序列号核对：主从同步与『改了不生效』
SOA 的序列号是区域版本号：修改记录后序列号必须递增，从服务器才拉取新数据；对比主从服务器 SOA 即可判断同步是否滞后。
DNS 劫持/污染判断与取证
劫持的典型证据链：同一域名问权威与问本地得到不同 IP、可疑 IP 属于广告/拦截页、特定域名返回伪造 NXDOMAIN；用交叉查询固定证据。
负缓存：NXDOMAIN 也会被缓存
域名不存在的结果同样按 SOA 的 minimum（或 SOA TTL）缓存一段时间：新上线的域名/记录在部分客户端可能持续『不存在』，等缓存过期即可。
dig +norecurse：递归查询与缓存命中排查
普通查询 rd=1 让服务器代为递归；+norecurse 只查它的缓存/授权数据：返回答案=命中缓存，返回空/REFUSED=该服务器上确无数据。
内外网解析不一致（Split Horizon）排查
同一域名在内网解析到私网地址、外网解析到公网地址是常见设计；排查时先确认『不一致是否是故意的』，再追配置。
应用侧验证：strace/getent 看真实解析路径
最后一步永远是在『应用所在环境』验证解析：getent 走 NSS 全链路、strace 看进程实际连了哪台 DNS、连了多久，比工具间的互相印证更接近真相。
EDNS 与 +bufsize：UDP 响应大小控制
传统 DNS UDP 上限 512 字节，EDNS(0) 允许更大响应（常用 1232~4096）；中间设备丢弃大 UDP 包是『有些域名查不到/间歇失败』的隐藏原因。
SRV 记录查询：服务定位（LDAP/SIP/AD 场景）
SRV 把『服务在哪台主机、哪个端口』写进 DNS（_service._proto.name 格式）：AD、LDAP、SIP、Minecraft 等大量服务依赖它。
权威服务器无响应：从解析器视角取证
当递归返回 SERVFAIL 且与 DNSSEC 无关时，常见原因是权威服务器不可达/未监听/被封：用 +norecurse 直查权威并用 +time 快速失败取证。
DNSSEC 验证失败定位流程
DNSSEC 断链有三种典型：DS 缺失/不匹配、签名过期、算法不支持；用 +dnssec 观察链、用在线工具的本地版思路逐段核对。
nslookup 交互模式：set 命令与调试输出
交互模式可连续切换服务器与记录类型，set debug 还能打印完整应答报文，是 nslookup 最有价值的用法。
DoT / DoH 排查：853 与加密解析
加密 DNS（DoT 853 / DoH 443）排查看三点：端口是否放行、证书是否可信、客户端是否真的在用它；用 openssl/kdig 直接验证服务端。
DNS 服务器日志排查（query log 思路）
『部分客户端解析失败』时打开查询日志能直接看到：谁问了什么、结果是什么；用查询日志定位比盲猜有效得多（注意隐私与性能开销）。
dig AXFR：区域传送检查（DNS 配置核对）
向权威服务器请求整区数据：既可用于主从同步核对，也是安全审计项（不应随便允许区域传送）；失败时区分『被拒』与『传送中断』。
zone 文件语法检查（named-checkzone）
自建 DNS 改完 zone 文件，先跑语法检查再 reload：能提前抓出序列号未变、记录拼写、CNAME 冲突低级错误，避免线上事故。
dig +subnet：EDNS Client Subnet（ECS）查询
ECS 让递归把客户端网段带给权威（CDN 常据此按地域调度）：排查『解析结果与地域不符/CDN 调错节点』时用它模拟来源网段。
host 命令：极简 DNS 查询
单命令快速查询：host 默认输出精炼，-t 指定类型，-a 等效 ANY（受限），-v 输出详细报文，适合终端里随手查。
开放解析器检查：递归 ACL 与滥用判断
对外可递归的 DNS 会被用于放大攻击：检查递归 ACL 配置、用外部视角测试是否可递归；这是安全与故障双视角的排查项。
dig CH TXT：查询 DNS 服务器自身版本信息
通过 CHAOS 类查询 version.bind 可读出递归服务器软件版本（若未禁用）：信息收集与加固核查的常用手法，也被视为信息泄露面。
僵尸委派（Lame Delegation）识别
父域把子域委派给了一台『并不为该子域提供权威服务』的服务器：表现为解析器不断超时/回退，部分解析器返回 SERVFAIL。
dig ANY 查询与 RFC 8482 限制
曾经『一个 ANY 拿全所有记录』的时代已结束：RFC 8482 后主流权威对 ANY 只返回最小集（或 HINFO），排查时不要依赖 ANY。
端口与连接检查
netstat、ss、telnet、nc 与防火墙连通性判断
ss 查看套接字：输出字段判读热门
ss 是 iproute2 提供的套接字查看工具，直接读内核 netlink，已全面取代 netstat；输出里的 Recv-Q/Send-Q、State、Local/Peer 与进程列是排障最先要读懂的信息。
ss -tuln：只列监听端口热门
判断服务是否起来、监听在哪个地址端口的第一命令：-t 看 TCP、-u 看 UDP、-l 仅监听、-n 不做名称解析；Local Address 里 0.0.0.0 与 127.0.0.1 的差别直接决定外部能否访问。
curl -v 看完整请求过程热门
curl -v 把 DNS 解析、TCP 连接、TLS 握手、请求行与响应头全部打印出来，是应用层连通性排查的第一手材料；-vv 可看更细。
ss -tanp：活动连接与归属进程
从两端看连接：谁连到我的服务、我的进程连出去了哪里。-a 显示全部状态、-n 不解析、-p 带进程，配合 dport/sport 过滤把输出收缩到一个端口。
nc 测端口：TCP 与 UDP
netcat（nc/ncat）是端口检测瑞士军刀：-z 扫描模式、-v 详细、-w 超时、-u 走 UDP；不同发行版的 nc 实现参数有差异，需注意。
curl -w 分阶段耗时分析
用 -w 模板把一次请求拆成 DNS、TCP、TLS、首字节、总耗时各阶段，量化慢在哪一层，比掐总时长有说服力。
ss 按 TCP 状态统计连接
连接数故障的第一步分解：按状态统计数量。ESTAB 高、TIME-WAIT 高、CLOSE-WAIT 高指向完全不同的根因，先把分布看清楚再谈处置。
TIME-WAIT 堆积：正常与异常判读
TIME-WAIT 是主动关闭方的正常回收态（默认 2MSL=60 秒）；堆积到数万条时要区分是高频短连接的自然结果，还是应用没有复用连接。
CLOSE-WAIT 泄漏定位
CLOSE-WAIT 表示对端已发 FIN、本端应用没有 close()：数量持续增长是典型的资源泄漏信号（连接池未归还、代码漏关、无超时），调内核参数无效。
0.0.0.0 与 127.0.0.1 绑定差异
本机访问正常、外部访问不通，最常见的根因是 bind 地址不对：0.0.0.0 监听所有地址、127.0.0.1 只收本机、指定 IP 只收该网卡；容器与网关场景还要考虑 netns。
telnet 测端口连通性
最古老的 TCP 探测手段：telnet ip port 能连上即端口开放；只支持 TCP，且默认没有超时参数（Windows 需先启用 telnet 客户端功能）。
curl 退出码判读（6/7/28/35/52）
脚本化排障靠退出码分类：6=DNS 失败、7=连接失败、28=超时、35=TLS 握手失败、52=服务端空回复；先按码定性，再逐层深入。
本地端口耗尽（Cannot assign requested address）
客户端报 connect: Cannot assign requested address 多为本地临时端口用尽：短连接频率乘保持时间超出端口池容量；靠 tw_reuse、扩大端口范围与连接池三管齐下解决。
端口被谁占用：lsof 与 fuser 定位
端口冲突或安全审计时定位占用者：lsof -i 与 fuser -n tcp 给出 PID、用户与可执行文件，比 ss -p 更直观。
ss -s：套接字汇总统计
一条命令给出全局画像：套接字总数、TCP 各状态桶计数、各协议族数量；判断连接规模是否逼近内核上限时先看它。
Address already in use 定位与处置
应用报 bind: Address already in use 有三类成因：端口被别的进程占用、TIME-WAIT 残留、绑定地址不匹配；先定位持有者，再决定复用、重启还是改配置。
netstat -ano 定位 Windows 端口占用
Windows 端查端口与 PID 的主力命令：-a 全部、-n 数字、-o 显示 PID，再用 tasklist 或 Get-Process 把 PID 翻译成进程；Get-NetTCPConnection 更现代。
连接数暴涨的来源分布判定
连接数短时间暴涨，先分方向（入站/出站）、来源（单 IP 还是分散）、状态（SYN-RECV/ESTAB/TW），再判断是攻击、爬虫还是自身程序的重试风暴。
防火墙拦截的分层判断
端口不通时先区分「网络不通」与「防火墙拦截」：看对端回 RST 还是超时、本机抓包看 SYN 是否到达，再定位到云安全组、iptables/nftables、firewalld/ufw 哪一层。
netstat 与 ss 参数对照迁移
netstat 属于老牌 net-tools，新版发行版默认不装且在文档中标注 deprecated；存量系统与老脚本仍常见，需要掌握它与 ss 的等价写法。
Test-NetConnection 端口连通测试
PowerShell 内置探测命令（别名 tnc）：一条命令同时给出 ping 与 TCP 端口测试结果，替代 telnet，还能顺带看路由与解析。
tcp_tw_reuse 与本地端口耗尽处置
客户端短连接打满本地端口的处置组合：开启 tcp_tw_reuse 复用时序安全的 TW 连接、扩大 ip_local_port_range、并让应用改用连接池；tcp_tw_recycle 已从内核移除。
大量 ESTAB 无数据：空闲连接与假连接
连接建着但长期没有数据流动：可能是连接池空闲连接、中间设备已老化而两端不知的「假连接」，也可能是应用线程卡死；判据是队列为 0 且只剩 keepalive 定时器。
ss 过滤表达式完整语法
把大海捞针变成一句查询：ss 的 filter 支持 sport/dport/src/dst/state，配合 and/or/not 与比较运算符组合，整段表达式必须用引号包住。
半连接与 accept 队列溢出
新连接建不上而进程活着，常见根因是 backlog 太小：内核 SYN 队列或 accept 队列溢出、SYN 被丢；netstat -s / nstat 会记录 ListenOverflows 与 ListenDrops。
curl --resolve/--connect-to 绕过 DNS
区分问题在 DNS 还是在服务本身：--resolve 把域名强行指向指定 IP、--connect-to 换连接目标，两者都保持 Host/SNI 不变，可直连后端验证。
conntrack 表满导致随机丢包
使用 NAT 或状态防火墙的主机，连接跟踪表满会静默丢弃新连接：症状是随机超时、无应用日志；dmesg 里的 nf_conntrack: table full 是确诊依据。
ss -i：拥塞窗口与 RTT 诊断
ss -i 输出内核 tcp_info：拥塞算法、cwnd、rtt/rttvar、rto、ssthresh、重传计数，是判断单条 TCP 为什么慢、为什么断的直接证据。
nc 监听端口与文件传输
临时监听做连通验证或两端传文件：接收端 nc -l 先起，发送端重定向输入；注意 -l 与 -p 组合在不同 nc 实现里写法不同。
UDP 端口可用性怎么测
UDP 无握手，检测必须借助协议层特征：DNS 用 dig @、NTP 用 ntpdate -q、SNMP 用 snmpget；通用做法是边抓包边发载荷，看是否收到回包或 ICMP。
ss -o：查看 TCP 定时器与重传
连接卡住时用 -o 看内核在等什么：keepalive 探活倒计时、TIME-WAIT 剩余、重传定时器与已重传次数，直接读出内核状态。
iptables 计数器追踪拦截规则
用规则计数器定位是哪条规则吃掉了流量：-v 显示包数与字节数，多次采样看增量，比逐条猜规则快得多；nft 也用同思路看 counters。
ss -m：socket 内存与缓冲（skmem）
排查 socket 占内存与缓冲区耗尽：-m 展开 skmem 字段，r/t 是实际分配、rb/tb 是内核自动调优上限，配合状态过滤找出占用大户。
ss 为什么必须加 -n
排查现场务必加 -n：否则 ss 会对每个地址与端口做 DNS、/etc/services 解析，DNS 故障时命令自己会卡住，输出还可能显示误导性的名称。
nc 批量扫描端口范围
没有 nmap 时的轻量替代：shell 循环加 nc -z 扫一批端口；量大时注意超时设置与并发限速，避免触发对方安全告警。
netstat -s 协议栈统计判读
判断是不是在丢包的内核级证据：netstat -s 与 nstat -az 提供重传、SYN 丢弃、listen 队列溢出、TIME-WAIT 回收等累计计数。
ss -xl：查看 Unix 域套接字
本地 IPC 排障：Unix 域套接字是数据库、PHP-FPM、Docker、systemd 的常客；服务没有 TCP 端口时，先确认它是否监听在 socket 文件上。
抓包与流量分析
tcpdump、Wireshark 过滤与典型报文判读
tcpdump 基本用法与常用开关热门
抓包第一命令：-i 选网卡、-nn 关闭名称解析、-c 限包数、-w 落盘；先用最小过滤抓到样本，再逐步加条件，是抓包不迷路的基本功。
重传判读：[TCP Retransmission]热门
重传是丢包或超时的直接证据：Wireshark 标记 tcp.analysis.retransmission，并用 [TCP Fast Retransmission] 区分快速重传；判读要结合方向和间隔。
抓包落盘与离线分析（-w / -r）热门
现场只抓一次的原则：用 -w 落盘 pcap 再慢慢分析，避免终端刷屏漏掉关键帧；-U 让写入实时刷盘，便于边抓边看。
Wireshark 显示过滤器语法基础热门
显示过滤器作用在已抓到的数据上：字段用点号分层（ip.addr、tcp.port），运算符 ==/!=/contains/matches，逻辑用 && || !；与 tcpdump 语法完全不同。
port / portrange 端口过滤
端口级过滤是排障最常用的精度：port 同时匹配源与目的、方向用 src/dst 限定、范围用 portrange；多端口用 or 连接必须加引号。
Follow TCP Stream 追完整会话
把一条 TCP 连接的双向载荷按顺序拼接展示：定位应用层内容最快的方法；先用右键 Follow → TCP Stream 生成过滤条件 tcp.stream eq N。
host / net / ether 主机级过滤
把抓包范围限定到一台主机或一个网段：host、src/dst、net、ether host 是最常用的四类限定词，先用它们把噪声砍掉 90%。
Wireshark 常用显示过滤速查
把最常用的筛选语句集中成一张表：按主机、连接、异常标志、应用层与传输层异常检索，排障时直接抄用。
按 TCP 标志位过滤（SYN/RST/FIN）
抓握手、拆连接与复位：用 tcp[tcpflags] 位运算表达式筛 SYN、RST、FIN、PSH；tcpdump 内置 tcp-syn/tcp-ack 等名称，可读性更好。
RST 判读：谁复位了连接、为什么
RST 是连接被强杀的信号：先看是谁发的（ip.src）、在哪个阶段发的（握手/传输中）、以及是否来自中间设备，再对应到端口未开、应用 abort、设备清理会话等根因。
抓包点位选择：-i any / lo / 具体网卡
同一现场抓在哪里结论不同：lo 看本机进程间流量、eth0 看进出网卡的流量、any 一把抓全部（SLL 封装）；多网卡设备要逐卡确认。
捕获过滤器与显示过滤器区别
两套过滤器别混用：捕获过滤器（BPF，与 tcpdump 同语法）在抓取时生效、决定抓什么；显示过滤器在已抓数据上生效、随时可改，但救不回没抓到的包。
逻辑组合与括号优先级
复杂条件的写法规范：and/or/not 与括号，优先级 not > and > or；表达式含括号或分组时整段加单引号，必要时用转义避免 shell 干扰。
零窗口与窗口更新：应用慢的直接证据
接收窗口为 0 表示应用来不及读数据，TCP 层被迫停发：这是「网络没问题但业务慢」最有力的抓包证据，常见于数据库/后端处理慢。
Expert Information 与对话统计
Wireshark 自动给出的 Expert Info 是快速体检报告：Errors/Warnings/Notes 分级列出重传、乱序、零窗口、重复 ACK；对话统计则按流量排序找出大户。
协议级过滤：tcp/udp/icmp/arp/vlan
按协议收窄抓包范围，并对 VLAN、MPLS、隧道封装叠加限定；协议限定词写在整个表达式最前面可读性最好。
重复 ACK 与快速重传判读
重复 ACK 表示接收方缺了一段数据在催发端重发：连续 3 个 dup ACK 触发快速重传，是判断「丢在哪里」的经典依据。
DNS 报文判读与响应时间
DNS 排障在 Wireshark 里很直观：看查询/响应配对、rcode 错误码、截断标志与重试，再用内置的响应时间统计量化慢在哪台服务器。
抓包缓冲区与内核丢包（-B / dropped by kernel）
高流量下抓包自身会丢包：tcpdump 退出时打印 packets dropped by kernel，说明缓冲或处理能力不足；调大 -B、精简过滤、只抓必需字段是标准解法。
ICMP 差错报文判读
ICMP 差错是网络层「报错信」：type 3 的 code 直接告诉你不可达的原因（端口、分片、策略），type 11 则是 TTL 超时；ICMP 里内嵌原始包可定位到底哪条流受影响。
TLS 握手判读：SNI、套件与 Alert
TLS 层排障看三样：Client Hello 的 SNI（是否发对域名）、协商出的版本与套件、以及失败时的 Alert 描述；再结合证书链检查。
两端对照抓包定位丢包位置
定位丢包位置的标准方法：在链路两端同时抓包（同一五元组、同一时间窗），用「A 发出 / B 是否收到」的对照把问题夹逼到某一段。
时间戳精度与跨设备时间对齐
排查时延问题必须先统一时间口径：-tttt 打印年月日时分秒，配合 --time-stamp-precision=nano 与各设备 NTP 对齐，否则跨设备比对会得出错误结论。
乱序与假乱序判读
乱序在抓包点附近与在网络中部含义不同：先确认抓包位置，再判断是链路重排、多路径转发，还是本地网卡卸载造成的假象。
tshark 命令行抓包与字段提取
服务器上没有图形界面时用 tshark：-f 捕获过滤、-Y 显示过滤、-T fields -e 提取字段，可把报文直接转成便于统计的文本。
输出详略与格式（-v / -e / -A / -X）
同一份流量按需切换细节：-v 看 TTL/长度/选项，-e 显示链路层 MAC，-A 看 ASCII 正文，-X 同时看十六进制与 ASCII，层层递进定位。
滚动抓包与长时间留存（-C / -G / -W）
间歇故障需要持续抓取：用 -C 按大小、-G 按时间滚动生成文件并限制总量（-W），配合定时清理，避免磁盘被写满。
TCP Stream Graph：时延与吞吐可视化
把一条 TCP 流画成时间序列/吞吐/RTT/窗口曲线，直观看出重传导致的锯齿、窗口受限的平台期与 RTT 抖动，是给出「慢在哪」结论的利器。
按载荷字节匹配（HTTP 方法/关键字）
需要「只抓带某段内容的包」时按字节偏移匹配：经典用法是匹配 HTTP 请求行（GET/POST）与响应状态行，用于抓特定 API 或特定错误码。
远程抓包与流式回传
生产主机不能装 Wireshark 时的标准动作：ssh 执行 tcpdump 把 pcap 流回本地分析；用 -U -w - 保证流式可用，大数据量再考虑限速与分段。
snaplen 与截断控制（-s）
每个包只抓前 N 字节可大幅降低开销；默认 snaplen 足够看头部，需要看完整载荷时用 -s 0 抓全包，截断的包在输出里显示 [|tcp]。
抓包权限与 capabilities（免 sudo）
抓包需要 CAP_NET_RAW；生产上更安全的做法是给 tcpdump 单独授权 capabilities 或用受限用户，而不是长期放开 root 登录与 sudo。
应用层慢与丢包定位
从丢包、时延到应用超时的排查链路
请求延迟分解：DNS/TCP/TLS/TTFB/传输
把一次访问的总耗时拆成五段：解析、连接、握手、首字节、传输；每段都有预期量级，超出的一段就是下一步深挖方向。
间歇丢包排查方法论
间歇性丢包不能靠一次 ping 定论：先固定现象边界（谁、在哪里、什么时段），再用长周期无损探测拿数据，最后按段夹逼定位。
iperf3 基础：TCP 吞吐与重传计数
点到点带宽的标准工具：服务端 iperf3 -s，客户端 iperf3 -c；结果里的 Retr 列直接给出重传次数，是判断路径质量的硬指标。
mtr 长跑报告与逐跳丢包判读
mtr 把 ping 与 traceroute 合成逐跳统计：用 -c 大样本与 -r 生成报告，重点区分「中间跳只丢 ICMP」与「端到端真丢包」。
超时预算：各层超时值的合理设置
超时值要分层预算、由内到外递增：数据库 5s、应用调下游 10s、网关（LB/nginx）30s、客户端 60s；错配会引发重试风暴与资源堆积。
反向代理层排查：区分代理慢与后端慢
代理夹在客户端与后端之间：先用日志里的 upstream 耗时把责任切开，再往客户端侧或后端侧走，避免在两层之间来回猜。
iperf3 UDP 测试：丢包率与抖动
UDP 模式直接量化丢包与抖动：指定 -b 目标带宽，结果给出 jitter 与 lost/total 百分比，是评估实时业务承载能力的关键测试。
负载均衡健康检查与真实源 IP 排查
后端『时而有时而无』的故障常出在健康检查：检查路径/端口不对、阈值太敏感、或真实源 IP 被 NAT 掉导致后端日志看不到客户端。
502/504 与上游超时配置判读
502 多为连不上上游或上游断开，504 为读上游超时；先按状态码分支，再把 proxy 超时与后端真实处理耗时对齐，而不是无脑调大。
重试风暴识别与处置
超时与重试会放大故障：一次失败被放大成数倍流量，下游雪上加霜；识别特征是错误率与流量同步陡增、连接数暴涨，处置核心是退避+抖动+熔断。
带宽时延积与单连接吞吐上限
长肥管道（高带宽高时延）上单条 TCP 打不满带宽：窗口必须 ≥ 带宽×RTT；学会算 BDP 能立刻判断『慢』是窗口受限还是路径丢包。
应用启动慢的网络因素
启动慢常被归因 CPU/磁盘，实际高频是网络阻塞：首次域名解析超时、证书校验拉取被阻塞、无超时的外部依赖调用，都会把启动拖慢数秒到分钟。
长连接保活与中间设备超时匹配
长连接被静默回收是『闲置后第一个请求失败』的经典根因：应用心跳间隔必须小于 NAT/LB 的空闲超时，必要时同时调小内核 keepalive。
序号缺口定位丢包段
抓包后把 TCP 序号与长度抽出来按序排列，缺口就是丢包点；两端对照即可判断丢在方向上哪一段。
日志与抓包对齐：把应用现象落到报文
最终定位要靠『日志事件 ↔ 报文』对齐：统一时间基准、按五元组与请求 ID 过滤抓包，把错误日志对应的具体报文找出来。
四层与七层负载均衡的差异排查
四层只转发 TCP/UDP 不改包，七层解析 HTTP 可改写头部：这决定了源 IP 可见性、超时语义与日志能力的差异，排查方式随之不同。
应用连数据库慢的分段排查
连库慢要分段：DNS 解析、TCP 握手、认证/TLS、连接池获取；把『数据库慢』拆开后，多数案例根因不在数据库本身。
跨服务慢调用：追踪、日志与抓包三件套
分布式系统的慢调用靠三件套收敛：Trace 找慢 span、日志串上下文、抓包验证网络行为；三者互相印证，避免『各自都有理』。
抖动与丢包对应用的影响判读
同样 1% 丢包，对 TCP 与实时业务的影响天差地别：RTP 语音/视频对抖动与丢包最敏感，交互式业务对时延敏感，批量传输则看重总吞吐。
出口 SNAT 端口耗尽排查
大量外连卡在 SYN_SENT、部分连接失败，可能是出口 NAT 源端口耗尽：客户端侧看状态分布，网关侧看会话表与端口池。
TLS 握手慢定位与优化
握手慢的头号原因是证书链不完整（客户端被迫补拉中间证书）与 OCSP 校验阻塞；其次是会话复用未生效与高丢包下的握手重传。
变更窗口的网络回归检查清单
发布/变更后按清单做网络回归：解析、连通、端口、TLS、超时与关键计数逐项核对，比较变更前后增量，把网络问题挡在窗口内。
分段带宽测试：定位瓶颈在哪一段
把长路径切成多段分别测：本机→网关、本机→同机房、同机房→目标机房、目标机房→目标机；瓶颈段会以吞吐骤降暴露出来。
合成拨测与网络 SLI 指标
把『用户觉得慢』变成可跟踪指标：按地域/运营商分布式拨测，采集可用性、时延分位与丢包，用 P95/P99 与趋势判断体验劣化。
iperf3 进阶参数与双向测试
把 iperf3 参数一次记全：-P 并行、-w 窗口、-R 反向、--bidir 双向、-O 预热、-J 出 JSON、-M MSS 约束，覆盖绝大多数测量场景。
接收窗口与缓冲排查（不做玄学调参）
吞吐上不去先看窗口：ss -i 的 rwnd/wscale 与内核 rmem/wmem 决定了在途数据上限；定位清楚再改参数，避免无脑调优。
云网络诊断能力与排查路径
云上排障要借助平台能力：VPC 流日志、安全组命中计数、NAT/网关指标、云端抓包与内网拨测；同时牢记安全组有状态、网络 ACL 无状态。
限速与链路丢包的区分
同样是丢包，限速（令牌桶/整形）与链路丢包的特征完全不同：前者与速率/包长相关且可复现，后者随机分散；用包长对照与中间件日志快速分流。
无 iperf3 时的带宽测量替代
受限环境（生产机不允许装工具）下的替代方案：nc 做 TCP 灌流、curl 下载大文件、dd + nc 计时，或用系统自带 scp 观察速率。
QoS 与 DSCP 标记排查
QoS 是否生效要看标记与队列两件事：抓包验证 DSCP 值、设备侧验证分类与队列策略；中途被重置标记是『策略不生效』的高频根因。