我們用《網絡體檢技術大揭秘》上、和《網絡體檢技術大揭秘》中兩篇文章向大家介紹了網絡體檢的必要性及兩種常用的、主流的二層體檢手段EFM及CFD。如果大家跟著上、中兩篇一路走到這里，相信對二層體檢的利弊已經有了深刻的認識。不過為了和大家證明下我也有深刻的認識，還是要多嘮叨幾句。二層體檢能做到逐跳(每一臺設備)的路徑跟蹤、時延抖動等精度也非常高(如果設備都時鐘同步的話精度更高)，但我們享受這一切優質服務也是有代價的，我們需要支持OAM的交換機或路由器或其它網絡設備。這無形中就提高了準入門檻，好多普通用戶就沒機會接觸這幾種體檢手段了。

好在我們還有三層體檢手段，它們雖不如二層手段那么徹底(只能感知到路由器，感知不到交換機)，但也足夠親民(ping、tracert 工具windows系統就自帶了，可以說幾乎人人都能接觸到)。下面我們就把舞臺交給來自三層的體檢大佬們吧。

三、三層體檢常用手段

1. PING

(1) ping功能概述

ping是windows操作系統自帶的一個命令，當我們的業務掉鏈子時，我們已經養成了ping一下的習慣(沒養成的建議抓緊養~)。如果能ping通，我們可以看到從我們這里到目標IP往返一趟的延時大概是多少，丟包率大概是多少。有了這些指標，我們心里應該會踏實很多，至少知道我們的業務在到達目標IP的路上經受了怎樣的波折和委屈，這樣我們也就能更好的理解我們的業務(在線視頻)為什么播放一會兒就轉圈圈了，而不是對著屏幕暗自"我艸"。

圖12 ping命令執行后的結果示意圖

(2)  ping原理

a. 在同一網段內

在主機 A 上運行"Ping 192.168.1.1"后，都發生了些什么呢? 首先，Ping 命令會構建一個 固定格式的 ICMP 請求數據包， 然后由 ICMP 協議將這個數據包連同地址"192.168.1.1"一起 交給IP 層協議(和 ICMP 一樣，實際上是一組后臺運行的進程)，IP 層協議將以地址 "192.168.1.1"作為目的地址，本機 IP 地址作為源地址，加上一些其他的控制信息，構建一個IP數據包，并想辦法得到 192.168.1.1的MAC地址(物理地址，這是數據鏈路層協議構建數據鏈路層的傳輸單元——幀所必需的)，以便交給數據鏈路層構建一個數據幀。關鍵就在這里，IP層協議通過機器B的IP地址和自己的子網掩碼，發現它跟自己屬同一網絡，就直接在本網絡內查找這臺機器的MAC,如果以前兩機有過通信，在A機的 ARP緩存表應該有B機IP與其MAC的映射關系，如果沒有，就發一個ARP請求廣播，得到B機的MAC, 一并交給數據鏈路層。后者構建一個數據幀，目的地址是 IP 層傳過來的物理地址，源地址則是本機的物理地址，還要附加上一些控制信息，依據以太網的介質訪問規則，將它們傳送出去。主機B收到這個數據幀后，先檢查它的目的地址，并和本機的物理地址對比，如符合，則接收;否則丟棄。接收后檢查該數據幀，將 IP 數據包從幀中提取出來，交給本機的 IP 層 協議。同樣，IP 層檢查后，將有用的信息提取后交給 ICMP協議，后者處理后，馬上構建 一個 ICMP 應答包，發送給主機 A，其過程和主機 A 發送 ICMP 請求包到主機 B 一模一樣。

b. 不在同一網段內

在主機 A 上運行"Ping 192.168.2.1"后，開始跟上面一樣，到了怎樣得到 MAC 地址時，IP 協議通過計算發現 D 機與自己不在同一網段內，就直接將交由路由處理，也就是將路由的 MAC 取過來，至于怎樣得到路由的 MAC，跟上面一樣，先在 ARP 緩存表找，找不到就廣 播吧。路由得到這個數據幀后，再跟主機 D 進行聯系，如果找不到，就向主機 A 返回一個超時的信息。

2. TRACERT

(1) TRACERT功能概述

隨著知識的積累，我們一定會有更高的"追求"。比如說我們通過ping知道了丟包率，那我們一定會好奇在哪個地方丟了，我們在去往目標IP的路上都翻了什么山越了什么嶺。是的，follow your heart,這絕對不是你在沒事兒找事兒，這個需求合理的很。那么，有沒有辦法滿足我們的好奇心呢。答案都在tracert這個命令里，tracert這個命令也是windows操作系統自帶的一個命令，我們tracert加上自己期望訪問的網址(域名)，一回車就能見證奇跡，不信看下圖~，途中經歷的每一跳路由信息都會一一羅列出來(列出的只是經過的路由器的信息，經過的交換機tracert大兄弟是支配不動的，需要用我們前文和大家一起認識的二層CFD技術里的鏈路跟蹤功能)。

圖13 tracert命令執行后的結果示意圖

(2) TRACERT原理

Tracert 命令用IP生存時間 (TTL) 字段和 ICMP 錯誤消息來確定從一個主機到網絡上其他主機的路由。

首先，tracert送出一個TTL是1的IP 數據包到目的地，當路徑上的第一個路由器收到這個數據包時，它將TTL減1。此時，TTL變為0，所以該路由器會將此數據包丟掉，并送回一個「ICMP time exceeded」消息(包括發IP包的源地址，IP包的所有內容及路由器的IP地址)，tracert 收到這個消息后，便知道這個路由器存在于這個路徑上，接著tracert 再送出另一個TTL是2 的數據包，發現第2 個路由器...... tracert 每次將送出的數據包的TTL 加1來發現另一個路由器，這個重復的動作一直持續到某個數據包抵達目的地。當數據包到達目的地后，該主機則不會送回ICMP time exceeded消息，一旦到達目的地，由于tracert通過UDP數據包向不常見端口(30000以上)發送數據包，因此會收到「ICMP port unreachable」消息，故可判斷到達目的地。

tracert 有一個固定的時間等待響應(ICMP TTL到期消息)。如果這個時間過了，它將打印出一系列的*號表明：在這個路徑上，這個設備不能在給定的時間內發出ICMP TTL到期消息的響應。然后，Tracert給TTL記數器加1，繼續進行。

3. TWAMP

前面ping和tracert這哥倆雖然能對網絡進行體檢，但都是社區級別的體檢——不夠全面、專業、權威。下面要給大家引薦的這位由IETF的IP性能指標工作小組親手培育，英文名TWAMP,名如其人，是一種雙向主動測量協議。它定義了一種測量網絡中任意兩臺支持這項標準的設備之間往返IP性能的靈活方法。利用TWAMP，你可以通過已經部署的網絡設備之間的合作，有效地測量傳輸的完整IP性能。

(1) TWAMP工作原理

TWAMP一般由Control-Client、Server、Session-Sender及Session-Reflector四大組件組成。

圖14 TWAMP內部組件及關系圖

這四個組件可以獨立部署在四臺設備上，更常用的做法是Control-Client、Session-Sender組個隊一起部署在一臺設備上，Server、Session-Reflector結個伴一起部署在另一臺設備上。Control-Client和Server采用TCP進行控制面的連接建立，用于初始化、開始、結束測量會話以及取得它們的結果，同時TWAMP控制協議還支持對測量和控制會話進行身份認證和加密等安全性操作，如下圖的TWAMP-Control交互。Session-Sender和Session-Reflector采用UDP進行測試數據的收發，如下圖的TWAMP-Test交互?？刂泼娼⑦B接以后創建測試session(可以創建多個session),測試session之間按照控制面的要求收發測試流(udp流)進行測試，測試結果反饋給Control-Client進行匯總分析計算并出結果。Seesion-Reflector收到Seesion-Sender的報文后會盡快返回給Seesion-Sender，當然在返回前會加一些時戳之類的信息作為素材供Control-Client進行計算。

圖15 TWAMP組件常見部署方式

為了避免文字表述抽象、空洞、難懂，我們又及時安排了一個高清無碼大圖供大家理解消化TWAMP的工作原理。

圖16 TWAMP工作原理示意圖

做了這么多鋪墊和渲染，那你一定會問TWAMP到底能測哪些指標?是的，泛泛而談、言之無物的行為無異于耍流氓。TWAMP其實能干不少事兒的，下面我們就來介紹下它能測試的性能指標。

(2) TWAMP測試性能指標

網絡性能又分為整體性能和節點性能之分，兩者之間的關系是統一的。通過對端到端測量指標的分析就可以得到網絡的整體性能。性能指標主要包括以下參數：

• 連通性(Connectivity)。網絡連通性是指網絡連通的程度。這一指標主要與丟包率相關，一般網絡可用性會會有一個閾值，當丟包率高于這一數值時網絡判定為不可用，相反則為網絡可用。
• 數據包傳輸時延(Data Packet Transmission Delay)。時延是指又分為單向時延和往返時延。單向時延是指某一節點接收到數據源所發出的數據包時所經歷的時間。往返時延是指由數據源發送數據包到達指定節點后，指定節點立即發送反饋數據包，此數據包到達源點是所經歷的時長。因為時延是隨時間變化的，若進行網絡測量，應按照某段時間內的平均值計算時延。
• 丟包率。丟包率是指數據源發出的數據包數量與反饋數據包之間的差值占源數據包總量的百分比。