F5常见故障处理办法

1、-. z.F5 BIG-IP V10版本常见问题处理手册F5 Networks DATE yyyy-MM-dd * MERGEFORMAT 8/5/2022目录 TOC o 1-3 h z HYPERLINK l _Toc308810862第1章初始化设置相关问题处理说明 PAGEREF _Toc308810862 h 4HYPERLINK l _Toc3088108631.1.如何通过机器前面板LCD边上的按键设置BIG-IP的管理网口地址？ PAGEREF _Toc308810863 h 4HYPERLINK l _Toc3088108641.2.为什么通过LCD边上的按键设置BIG-IP

2、的管理网口地址失败？ PAGEREF _Toc308810864 h 4HYPERLINK l _Toc3088108651.3.申请License时出现以下错误提示如何处理？ PAGEREF _Toc308810865 h 5HYPERLINK l _Toc308810866系统如何进展配置备份和恢复？ PAGEREF _Toc308810866 h 5HYPERLINK l _Toc3088108671.5.如何将BIG-IP的配置恢复到出厂设置？ PAGEREF _Toc308810867 h 6HYPERLINK l _Toc308810868第2章日常维护 PAGEREF _Toc3

3、08810868 h 7HYPERLINK l _Toc3088108692.1.如何操作BIG-IP前面板上的LCD按键？ PAGEREF _Toc308810869 h 7HYPERLINK l _Toc3088108702.2.如何解读LED(设备关面板上的状态灯)显示的信息？ PAGEREF _Toc308810870 h 8HYPERLINK l _Toc3088108712.3.如何与BIG-IP进展文件传输？ PAGEREF _Toc308810871 h 9HYPERLINK l _Toc3088108722.4.如何实时监视BIG-IP的连接状态？ PAGEREF _Toc3

4、08810872 h 10HYPERLINK l _Toc3088108732.5.如何实时监视BIG-IP的流量情况？ PAGEREF _Toc308810873 h 10HYPERLINK l _Toc3088108742.6.如何监控BIG-IP的性能指标？ PAGEREF _Toc308810874 h 10HYPERLINK l _Toc308810875第3章异常处理 PAGEREF _Toc308810875 h 11HYPERLINK l _Toc3088108763.1.当处于主机的BIG-IP突然发生故障时，如何尽快恢复业务？ PAGEREF _Toc308810876 h

5、 11HYPERLINK l _Toc3088108773.2.如果修改配置以后，导致业务异常如何处理？ PAGEREF _Toc308810877 h 11HYPERLINK l _Toc3088108783.3.故障诊断时，有时需要用到命令行，如何用命令行登陆BIG-IP？ PAGEREF _Toc308810878 h 12HYPERLINK l _Toc308810879系统处于Inoperational状态如何处理？ PAGEREF _Toc308810879 h 13HYPERLINK l _Toc308810880第4章WEB与命令行管理 PAGEREF _Toc30881088

6、0 h 15HYPERLINK l _Toc3088108814.1.通过WEB界面修改配置时出现General Database Error错误，如何处理？ PAGEREF _Toc308810881 h 15HYPERLINK l _Toc308810882访问具有密码加密传输的优点，请问从哪里获取SSH客户端？ PAGEREF _Toc308810882 h 15HYPERLINK l _Toc3088108834.3.为什么无法用Telnet登陆到BIG-IP的命令行？ PAGEREF _Toc308810883 h 16HYPERLINK l _Toc308810884系统Web管理

7、员admin密码忘记了，如何恢复？ PAGEREF _Toc308810884 h 16HYPERLINK l _Toc308810885系统root密码忘记了，如何恢复？ PAGEREF _Toc308810885 h 16HYPERLINK l _Toc3088108864.6.默认的用户名和口令不平安，如何添加新用户或修改现有用户？ PAGEREF _Toc308810886 h 16HYPERLINK l _Toc3088108874.7如何将BIG-IP监控到的效劳器UP/DOWN信息发到外部Syslog效劳器上？ PAGEREF _Toc308810887 h 17HYPERLIN

8、K l _Toc3088108884.8BIG-IPSyslog的事件类型有哪些？ PAGEREF _Toc308810888 h 18HYPERLINK l _Toc3088108894.9如何设定BIG-IPSyslog的事件级别？ PAGEREF _Toc308810889 h 20HYPERLINK l _Toc3088108904.10BIG-IPSyslog事件记录的格式是怎么样的？ PAGEREF _Toc308810890 h 20HYPERLINK l _Toc3088108914.11网络设备通常有收集系统信息的宏命令，F5有没有相应命令？ PAGEREF _Toc3088

9、10891 h 21HYPERLINK l _Toc3088108924.12如何查询设备的序列号？ PAGEREF _Toc308810892 h 23HYPERLINK l _Toc3088108934.13如何使用TCPDUMP进展Troubleshooting？ PAGEREF _Toc308810893 h 23HYPERLINK l _Toc3088108944.14对*一Virtual Server用TCPDUMP命令无法抓到包如何处理？ PAGEREF _Toc308810894 h 25HYPERLINK l _Toc3088108954.15TCPDUMP出现truncat

10、ed-ip - 1215 bytes missing!信息是不是说明网络上有丢包？ PAGEREF _Toc308810895 h 26HYPERLINK l _Toc3088108964.16TCPDUMP 命令中的-i interface中的interface用VLAN名称如e*ternal或internal与接口编号1.1或2.1有什么区别？ PAGEREF _Toc308810896 h 26HYPERLINK l _Toc3088108974.17TCPDUMP 命令中出现pcap_loop: Error: Interface packet capture busy错误信息？ PAG

11、EREF _Toc308810897 h 28HYPERLINK l _Toc308810898第5章配置管理 PAGEREF _Toc308810898 h 30HYPERLINK l _Toc3088108995.1.如何备份BIG-IP LTM的配置 PAGEREF _Toc308810899 h 30HYPERLINK l _Toc3088109005.2.备份的配置文件中包含哪些内容 PAGEREF _Toc308810900 h 31HYPERLINK l _Toc3088109015.3.恢复BIG-IP LTM的配置Restoring configuration data PA

12、GEREF _Toc308810901 h 31HYPERLINK l _Toc308810902第6章技术支持相关问题 PAGEREF _Toc308810902 h 35HYPERLINK l _Toc3088109036.1.寻求F5技术支持时，要提供哪些信息与资料？ PAGEREF _Toc308810903 h 35HYPERLINK l _Toc3088109046.2.如何获得更多关于F5产品的技术支持资料、如何查找故障处理方法？ PAGEREF _Toc308810904 h 35HYPERLINK l _Toc3088109056.3.如果BIG-IP系统损坏(非硬件故障)，

13、如何重装系统？ PAGEREF _Toc308810905 h 36HYPERLINK l _Toc308810906发生硬件故障以后的更换流程？ PAGEREF _Toc308810906 h 36HYPERLINK l _Toc3088109076.5.如何进入单用户模式Solution ID: SOL4178 Booting BIG-IP in single user mode PAGEREF _Toc308810907 h 37HYPERLINK l _Toc3088109086.6.如何重置root与web admin密码Solution ID: SOL3350 Changing a

14、ccount passwords for the mand line and Configuration utility PAGEREF _Toc308810908 h 38初始化设置相关问题处理说明如何通过机器前面板LCD边上的按键设置BIG-IP的管理网口地址？通过LCD按键修改管理网口IP地址的方法如下：按红色*按键进入Options选项；在液晶面板上通过按键按以下顺序设置管理网口的网络地址：Options-System-IP Address/Netmask-mit为什么通过LCD边上的按键设置BIG-IP的管理网口地址失败？如果通过LCD按键修改完IP地址以后，选择mit，地址无法成功

15、改变(例如出现IP地址为全零的情况)，很有可能是管理口IP地址与系统内已经配置发生冲突。出现这种情况，关机重启以后，另选一个IP网段来设置管理网口地址。警告：在设置好网络管理口地址以后，通过网络登陆到BIG-IP上进展其它配置更改时，都要保证网络管理口的网络连接完好。否则有时会出现修改的配置无法被成功加载应用的情况，因为网络管理口为Down的情况会阻碍配置文件的加载。申请License时出现以下错误提示如何处理？错误提示为This license has already been activated on a different unit. Please contact technical s

16、upport for assistance.原因是是因为本机的RegistrationKey与另外一台已经被激活的设备的Registration Key有冲突。碰到这种情况，请联系F5的技术支持工程师协助处理。BIG-IP系统如何进展配置备份和恢复？可以通过以下WEB界面进展配置的备份与修改：进入SystemArchives，点击Create：配置备份好后，点击设配置文件并下载到外部电脑上：也可以在CLI使用b config save .ucs保存配置，使用config install .ucs恢复配置。如果不指定路径，默认保存在目录/var/local/ucs中。如何将BIG-IP的配置恢复

17、到出厂设置？如果是需要一个完全干净的系统，建议通过重装系统来恢复到出厂设置。如果没方法重装系统，但需要将配置清空以重新进展配置，方法如下：从管理网口用命令行登陆BIG-IP，然后执行以下命令：b db all resetb resetb saveb base resetb self allow default tcp ssh tcp s udp efs tcp snmp proto ospf udp domain udp snmp tcp 4353 tcp domain udp 4353 b base save最后运行config设置管理口IP，然后用reboot重启。日常维护如何操作BIG-

18、IP前面板上的LCD按键？通过操作LCD按键可以实现以下功能： 在*个屏幕停留 使用LCD菜单 开机 停机 关电 重启在*个屏幕停留Normally, the screens cycle on the LCD at a constant rate. However, pushthe Check button to toggle the LCD between Hold and Rotate modes. InHold mode, a single screen is displayed. The Rotate mode changes thescreen displayed on the LC

19、D every 4 seconds.使用LCD菜单Pressing the * button puts the LCD panel in Menu mode. The buttons LeftArrow, Right Arrow, Up Arrow, and Down Arrow are only functional whenthe LCD is in Menu mode.开机When you want to power on a unit that is shut down, press the Check buttonto turn the power on.停机We remend yo

20、u halt the unit before you power it down or reboot itusing the LCD menu options.To halt the unit1. Press the * button, then use the arrow keys to navigate to theSystem menu.2. Press Check. Navigate to the Halt menu.3. Press the Check button. Press the Check button again at theconfirmation screen.4.

21、Wait 50 seconds before powering the machine off or rebooting it.关电Hold the * button for 4 seconds to power down the unit. We remendthat you halt the system before you power down the system in this manner.Rebooting the unitHold the Check button for 4 seconds to reboot the unit. You should only usethi

22、s option after you halt the unit.去除告警事件Press the Check button to clear any alerts on the LCD screen. You mustclear any alerts on the screen before you can use the LCD.如何解读LED(设备关面板上的状态灯)显示的信息？LED功能说明如下：正常状态下，LED的显示情况：出现告警时的LED状态：如何与BIG-IP进展文件传输？出于平安考虑，BIG-IP不允许用ftp登陆到BIG-IP上进展文件的上传与下载。为了与BIG-IP进展文件传

23、输，可以用SSH Secure Shell Client工具带的平安文件传输工具进展文件传输。Secure FileTransfer Client如何实时监视BIG-IP的连接状态？请使用b conn命令，显示例如如下：54:46704 any:any :8 icmp3:41622 any:any :8 icmp.10:1354 3:ssh 3:ssh tcp:33880 :nbp any6:any udp3:36599 any:any :8 icmp54:35139 any:any :domain udp54:35140 any:any :domain udp54:35141 any:any

24、 :domain udp54:35142 any:any :domain udp54:35143 any:any :domain udp如何实时监视BIG-IP的流量情况？请使用命令bigtop n delay 1”， 显示例如如下： | bits since | bits in prior | current | Mar 2 21:17:57 | 1 seconds | timeBIG-IP ACTIVE |InOutConn-|InOutConn-| 23:48:08bigip4.f5training. 32.30G50.35G3.888M 432 432 0VIRTUAL ip:port

25、 |InOutConn-|InOutConn-|-Nodes Up-.100:80 218984 1.499M 51 0 0 0 3NODE ip:port |InOutConn-|InOutConn-|-State:53 30.57G40.71G3.257M 0 0 0 UP:80 99624 1.395M 6 0 0 0 UP:80 131528 1.006M 29 0 0 0 UP:80 12008 137184 1 0 0 0 UP:53 0 0 0 0 0 0 NODE DOWN其中bits in prior 1 second列出的In Out是各Virtual Server及Nod

26、e上的流量情况。如何监控BIG-IP的性能指标？通过WEB界面的OverviewPerfrormance进展监控。异常处理当处于主机的BIG-IP突然发生故障时，如何尽快恢复业务？在确保双机配置一致的前提下(通过日常巡检来保证)，进展主备切换，看是否能恢复业务。主备切换的方法有：通过Web管理界面进展切换：SystemHigh AvailabilityRedundancyForce Standby。当主备发生切换完后，看备机能否顺利接收业务。如果修改配置以后，导致业务异常如何处理？在修改配置之前，先作一次配置备份。如果配置修改以后，业务出现异常，恢复配置进展回滚。恢复配置的方法如下：在Syst

27、emArchive中选中之前备份的配置文件，点击进去后点选Restore即可。故障诊断时，有时需要用到命令行，如何用命令行登陆BIG-IP？假设有console线，通过19200-8-N-1方式登录，输入用户名/密码，默认为：root/default。注：Console线是Null Modem线，如在电脑城购置，注意连接头是是否标注有Null Modem字样线序如下：DB9F to DB9F1, 4 6 2 3 3 2 5 5 6 1,4 7 8 8 7 9 open open 9如果没有Console线，则用SSH命令登陆到BIG-IP管理网口的地址。(BIG-IP管理网口的地址可以在BIG

28、-IP前面的液晶显示板上看到。) 可以使用PUTTY或Secure Shell Client等SSH客户端连接BIG-IP的管理网口地址，进入命令行模式。观察液晶面板上的管理口ip地址，如45。假设有液晶板上有相应的ip地址，则请准备一个便携，配上相应网段的ip，通过SSH登录。假设液晶板上无相应的ip地址，即为.0，则在液晶板上，按*键，进入system，依次设置IP Address - Netmask -Gateway-mit，输入管理口地址，掩码，网关，最后mit，观察液晶面板上的管理地址是否生效。然后通过便携登录管理口。注：Secure Shell Client 可以用以下下载：。pu

29、tty的下载如下：.f5./f5gz/tools/putty.zipBIG-IP系统处于Inoperational状态如何处理？BIG-IP刚开机时会处于Inoperational状态，等进程启动完毕，配置文件加载完以后，BIG-IP会改换为Active状态，或Standby状态(双机中的另外一台处于主机的情况下)。如果系统长时间处于Inoperational状态，一般有两种可能，一种可能是License没有被激活，另外一台可能是配置文件有问题无法被正常加载。确认IG-IP系统Liese是否处于有效激活状态有两种方法：一种是在WEB界面点击SystemLicense，查看License信息是否

30、有效。一种方法是在命令行执行b version命令。如果系统License有效的话，b version命令会给出下面类似的输出：在Enabled Features下面会列出License所许可的所有功能模块。如果License没有激活或已经到期，则Enable Features下而为空。如果为空，则需要先激活License。如果License正常，而系统还处理inoperational状态，可参看3.5的方法检查是否/config/bigip_base.conf有问题。WEB与命令行管理通过WEB界面修改配置时出现General Database Error错误，如何处理？如果条件允许，先将系

31、统重启后再次修改配置，看问题是否依然存在。如果问题依然存在，或者不允许重启系统，则需要用SSH客户端以命令行方式登陆BIG-IP。注：建议从管理网口用命令行登陆。用SSH登陆命令行以后，看命令行提示符现示系统是否处于Inoperational状态。如果是处于Inoperational状态，则可能是License没有激活或已经到期。License到期的现象只发生在采用了临时License的测试设备上。如果License已经处于有效激活状态，而系统处于Inoperaitonal状态，则有可能是配置文件有错误，导致配置文件无法被顺利加载。如果命令行提示符提示系统处于Active状态或Standby状

32、态，而通过WEB界面修改配置出现General Database Error，则有可能是负责WEB管理的进程出现异常，可能采用bigstart tomcat restart的方式看能否解决问题。SSH访问具有密码加密传输的优点，请问从哪里获取SSH客户端？常用的SSH客户端有：Secure Shell Client 下载.ssh./support/downloads/secureshellwks/non-mercial.html或.f5./f5gz/tools/SSHSecureShellClient-.e*e。 Putty下载.f5./f5gz/tools/putty.zipTTSSH .z

33、ip.au/roca/ttssh.html TTSSH是公司标准软件Tera Term的SSH扩展免费软件。SecureCRT .vandyke./ 本软件功能强大，评估版为免费软件。为什么无法用Telnet登陆到BIG-IP的命令行？出于平安考虑，BIG-IP不允许采用Telnet的方法登陆到BIG-IP。Please refer to the following SOL for detail.tech.f5./home/bigip-ne*t/solutions/toolsscript/sol3848.htmlBIG-IP系统Web管理员admin密码忘记了，如何恢复？可以通过在命令行执行

34、passwd admin重新设置admin密码。方法请参考tech.f5./home/solutions/sol3350.html -Changing account passwords for the mand line and Configuration utility。BIG-IP系统root密码忘记了，如何恢复？如果Root密码丧失，但还可以进入Web管理界面，则可以在System-Platform界面重新设置Root密码。如果Root密码丧失，且无法进入Web管理界面，则需要进入到单用户模式，重新设置Root密码。方法请参考 HYPERLINK l _Solution_ID:_SOL

35、4178_Booting BIG-IP Solution ID: SOL4178 Booting BIG-IP in single user mode和 HYPERLINK l _Solution_ID:_SOL3350_Changing accou Solution ID: SOL3350 Changing account passwords for the mand line and Configuration utility。默认的用户名和口令不平安，如何添加新用户或修改现有用户？Web管理员的密码与命令行登陆root*的密码可以通过Web界面进展修改：登录bigip的WEB管理界面时需

36、使用Admin的用户名，登录bigip的命令行界面需要使用root的用户名，更改这个两个用户名的方法如下：点击左侧导航条的SystemPlatform，进入其属性页面：在右侧的页面中，可以在User Administration中对这两个用户名的密码进展更改。更改完毕后点击Update即可生效。root用户也可以通过CLIpasswd命令进展修改。如何将BIG-IP监控到的效劳器UP/DOWN信息发到外部Syslog效劳器上？要将所监控的效劳器的状态信息通过syslog发送到外部的syslog效劳器的方法如下：在命令行编辑/etc/syslog-ng/syslog-ng.conf文件，vi /

37、etc/syslog-ng/syslog-ng.conf在文件末尾增加以下内容：filter notdebug level(warning.emerg) and match(member);destination loghost udp(68 port (514); ;log source(local);filter(notdebug);destination(loghost);其中68是syslog效劳器， 514为syslog效劳器监听端口。level(warning.emerg) and match(member);定义的要发送到syslog效劳器的信息，match(member)表示匹

38、配Pool member (.*):(.*) monitor status down 中的member那一行，这样可以将其它与效劳器监控无关的信息过滤掉。编辑保存文件以后，运行/etc/init.d/syslog-ng restart，输出以下信息：Stopping syslog-ng: OK Starting syslog-ng: OK确认syslog运行正常即可。(注意：一定要确保syslog-ng.conf配置正确，使syslog能正常启动，否则会影响系统中其它依赖于syslog的进程)。BIG-IPSyslog的事件类型有哪些？BIG-IPSyslog的事件类型有以下几种：系统事件Sy

39、stem eventsSystem event messages are based on Linu* events, and are not specific tothe BIG-IP system。这一类的事件一般记录在/var/log/messages中。 包过滤事件Packet filter eventsPacket filter messages are those that result from the implementation ofpacket filters and packet-filter rules. 这一类的事件一般记录在/var/log/pktfilter. 本

40、地流量管理事件Local traffic eventsLocal-traffic event messages pertain specifically to the local trafficmanagement system. 这一类的事件一般记录在/var/log/ltm.Some of the specific types of events that the BIG-IP system displays on theLocal Traffic logging screen are: Address Resolution Protocol (ARP) packet and ARP ca

41、che events bigdbTM database events (such as populating and persisting bigdbvariables) protocol events pression events IP packet discard events due to e*ceptional circumstances or invalidparameters (such as a bad checksum) Layer 4 events (events related to TCP, UDP, and Fast L4 processing) MCP/TMM co

42、nfiguration events Monitor configuration events Network events (layers 1 and 2) Packet Velocity ASIC (PVA) configuration events iRuleTM events related to run-time iRule processing SSL traffic processing events General TMM events such as TMM startup and shutdown这些事件对应的级别如下： 审计事件Audit eventsAudit even

43、t messagesare those that the BIG-IP system logs as a result ofchanges to the BIG-IP system configuration. Logging audit events isoptional.Audit logging is an optional feature that logs messages whenever a BIG-IPsystem object, such as a virtual server or a load balancing pool, isconfigured; that is,

44、created, modified, or deleted. There are three ways thatobjects can be configured: By user action By system action By loading configuration dataThe BIG-IP system logs the messages for these events in the file/var/log/ltm.如何设定BIG-IPSyslog的事件级别？对于本地流量管理事件，你可以设置最小的记录级别。通过为不同的事件设定不同的日志级别，来控制哪些事件会被记录下来。你

45、可以设定要SYSLOG记录别一级别的事件，目前的事件分为以下级别： Emergency Alert Critical Error Warning Notice Informational Debug举例来说，如果你将bigdb事件的最小日志级别设定为Error，那BIG-IP只记录Error以上级别的事件。如果将最小日志级别设成缺省的级别，则BIG-IP将会记录除Debug信息以外的所有事件。BIG-IPSyslog事件记录的格式是怎么样的？BIG-IPSyslog的事件记录的格式的解释请参见下表：例如：网络设备通常有收集系统信息的宏命令，F5有没有相应命令？与华为路由器display bas

46、e-information、华为交换机display diagnostic-information、思科show tech-support和NetScreen防火墙get tech-support命令类似，BIG-IP系统也有对应信息收集工具叫F5 Qkview Diagnostic Tool。在CLI界面中执行qkview，Qkview工具执行完成后将输出信息保存在文件/var/tmp/-tech.out中。在进展故障诊断和寻求高级技术支持，别忘了执行本命令。可以通过Web界面执行qkview命令全面采集系统日志信息并下载下来。通过Qkview工具可以采集BIG-IP上的配置信息及日志信息，

47、以供离线的故障诊断。如果可以通过Web界面进展管理，则可由SystemSupport中运行Qkview工具，运行过程如下：Qkview运行过程大概会持续3至5分钟，执行结果如下：点击Download下载Qkview的输出文件 。注意修改下载文件的文件名以免双机的文件重名冲突。如何查询设备的序列号？负载均衡器的序列号可能从设备前面板右边的机架安装处获得，是在一个条形码标签下面以bip开头的一串字串。如果设备已经上架，不方便查看设备的序列号的话，也可以通过License文件，获取设备的序列号。License文件保存在/config/bigip.license文件中。在文件中搜寻以下信息例如：Reg

48、istration Key : J3606-22210-05459-58Licensed version : Platform ID :Z100如何使用TCPDUMP进展Troubleshooting？当业务无法正常工作时，经常需要在BIG-IP上抓包进展分析定位是什么原因导致数据包没有被常转发。BIG-IP上提供了TCPDUMP抓包分析工具。TCPDUMP是Uni*系统常用的报文分析工具，TCPDUMP经常用于故障定位，如会话保持失效、SNAT通信问题等。本文讲述TCPDUMP命令的根本用法，更详细的使用说明请参见man tcpdump。命令语法： tcpdump -adeflnNOpqRS

49、tv* -c count -F file -i interface -m module -r file -s snaplen -T type -w file -E algo:secret e*pression 其中：-i报文捕获监听的接口，如果不指定，默认为系统最小编号的接口不包括loop-back接口，一般对指定Vlan名称进展监控，如-i e*ternal 是对e*ternal vlan进展监控；也可以对指定端口进展监控如 i 1.1。注意：当vlan 名称过长时，-i后面直接用vlan名称，tcpdump会出现错误提示，这时需要将vlan名改由vlan加vlan ID代替。如有一vlan

50、名称为bip_e*ternal，vlan ID为2022，如要对bip_e*ternal vlan进展监听，需采用-i vlan2022的方式。-nn不将IP地址或端口号转化为域名或协议名称注：与老版本的TCPDUMP命令不一样，在BIG-IP V10里面必须用两个nn才能使IP地址与端口不会被转化为域名或协议名称显示。-r从文件中读取该文件由-w选项创立-s确定捕获报文大小-w直接将捕获报文写入文件，而不是对其进展解析并通过屏幕显示与-r选项对应注：如果要将TCPDUMP所抓的包保存到文件，建议采用-s1600 w /var/tmp/filename的方式，-s1600可以保证抓取完整的数据

51、包，而/var/tmp使抓包文件保存在/var/tmp目录。-*每个报文以十六进制方式显示-*每个报文同时以文本和十六进制显示e*pression匹配表达式的分组将进展解析。如果不指定表达式，系统对所有分组进展捕获分析。复杂表达式可以使用and与、or或以及not非操作进展组合。表达式有三种：type三种种类：host、net和port。比方：host .1。如果不指定类型，默认为host。dir有src、dst、src or dst和src and dst四种方向。默认为src or dst，即双向。proto常见协议有：ip、arp、tcp、udp、icmp等。如果不指定协议类型，默认为所

52、有协议。举例1：对e*ternal接口主机并且端口为1433的流量进展监控。端口不指定tcp和udp，默认为同时对tcp和udp进展报文捕获。本命令不解析IP地址/端口号为主机名/效劳名称，同时显示报文十二进制和文本信息，报文最大为1500字节。f5-1:# tcpdump -i e*ternal -nn -* -s 16tcpdump: listening on e*ternal 21:48:41.295546 .1201 4.1433: . 302192826:302192827(1) ack 558871968 win 64360 (DF) 0*0000 012c 0800 4500 0

53、029 38cf 4000 7f06 c3b2 .,.E.)8 0*0010 8bd4 6002 0a4b 092c 04b1 0599 1203 18ba .K., 0*0020 214f b5a0 5010 fb68 a926 0000 00 !O.P.h.&. 21:48:41.296015 4.1433 .1201: . ack 1 win 64636 (DF) 0*0000 012c 0800 4500 0028 cb2d 4000 7f06 3155 .,.E.(.-.1U 0*0010 0a4b 092c 8bd4 6002 0599 04b1 214f b5a0 .K.,.!O

54、. 0*0020 1203 18bb 5010 fc7c a812 0000 0000 0000 P.| 0*0030 0000 . 21:48:50.701130 .1206 4.1433: . 304974934:304974935(1) ack 565108263 win 64882 (DF) 0*0000 012c 0800 4500 0029 38f7 4000 7f06 c38a .,.E.)8 0*0010 8bd4 6002 0a4b 092c 04b6 0599 122d 8c56 .K.,-.V 0*0020 21ae de27 5010 fd72 0a6b 0000 00

55、 !.P.r.k. 21:48:50.702567 4.1433 .1206: . ack 1 win 65267 (DF) 0*0000 012c 0800 4500 0028 d3a6 4000 7f06 28dc .,.E.(. 0*0010 0a4b 092c 8bd4 6002 0599 04b6 21ae de27 .K.,.!. 0*0020 122d 8c57 5010 fef3 08ea 0000 0000 0000 .-.WP 0*0030 0000 . 举例2：对internal接口主机3和1之间端口8080的流量进展分组捕获。本命令不解析IP地址/端口号为主机名/效劳名

56、称，报文最大为1600字节，捕获信息以/var/tmp/intdump文件保存： tcpdump -s 1600 -i internal -w /var/tmp/intdump host 3 and host 1 and port 8080如果查看该捕获文件，请用tcpdump r /var/tmp/intdump命令。也可以将捕获的文件下载下来用Ethereal工具解包分析。对*一Virtual Server用TCPDUMP命令无法抓到包如何处理？可能是该Virtual Server的属性中选用了Performance Layer4类型，导致数据包由四层加层ASIC芯片处理而没有流经CPU引

57、起，碰到这种情况，选取该Virtual Server将type由Performance Layer4临时改为Standard再来用TCPDUMP命令抓包，抓包以后，改回到Performance Layer4。TCPDUMP出现truncated-ip - 1215 bytes missing!信息是不是说明网络上有丢包？在BIG-IP里面出现Truncated-IP * bytes missing信息，一般来说并不是网络上有丢包引起的，而是在执行TCPDUMP命令时没有加上 s0或-s1600参数时，而数据包大小超过TCPDUMP缺省的抓包大小如果不加-s0或-s1600参数，则缺省的每个数据

58、包只抓前面400byes，就会出现truncated-ip的情况。出现这种情况，只需要重新输入tcpdump命令，加上-s0或-s1600即可。TCPDUMP 命令中的-i interface中的interface用VLAN名称如e*ternal或internal与接口编号1.1或2.1有什么区别？如果采用VLAN名称作为-i的参数，TCPDUMP收集的数据包是经由内部接口到达TMM进程经由中央CPU处理的数据包。采用VLAN名称作为-i参数的局限性在于，由于PVA四层加速芯片时位于BIG-IP的交换板(Swithboard)上，并不需要经由主机板与交换机板的内部接口到达中央CPU，因此TCP

59、DUMP无法抓取这些四层加速的数据包。因此采用VLAN名称作为-i的参数一般是用于对采用Standard作为Virtual Server类型的应用抓包时采用。注：如果Virtual Server是用PVA四层加速芯片作加速处理，则在Virtual Server的属性中PVA Acceleration显示为Full。The PVA handles accelerated traffic in the following order:The PVA receives accelerated traffic from the switch subsystemThe PVA transforms th

60、e packet in order to redirect the packet to the appropriate pool memberThe PVA sends the packet back to the switch subsystemFully accelerated traffic never reaches the internal trunk and is not processed by TMM. 如果采用接口编号作为-i的参数，则进出该接口的数据包将先被镜像给SCCP(SCCP是BIG-IP的管理子系统)，然后送到主机板上通过TCPDUMP抓包。由于是直接镜像了端口，因