2023/2/4戴青虎00175797ping+流統進行故障定界Page2故障診斷利器pingPing可以做哪些事情？1、檢查IP轉發是否異常2、檢查mpls是否正常3、VPLS狀態檢查4、PWE3VC狀態檢查5、組播地址檢查即ping是常見的連通性檢查的手段。通過ping測試可以檢查本段和對端設備之間是否連通。是判斷業務部署是否正常最常用的手段。由于ping的命令簡單，回顯結果易懂，在網絡中是最基本的檢查手段。Page3普通ping的原理Ping的目的時為了測試另一個主機是否可達。該程序發送一份ICMP回顯請求報文給主機，并等待返回ICMP回顯應答。一般來說不能Ping到某臺主機，那么就說明到該主機為可達，否則為不可達。是定位網絡不通的一個重要的手段。Ping在發送和接收時都會記錄報文的時間戳。因此ping報文也是檢測鏈路延時的常用手段。右側為Ping的流程介紹。在發送端，在主控板的Ping程序構造報文送到ICMP模塊和IP模塊，查找路由獲得出接口所在單板，將報文發送到接口板的IP模塊。再送到接口板的Ethernet層模塊查找ARP信息封裝mac地址，通過軟件適配發送到轉發層面，將報文發送出去。在接收端，相同的流程，只不過所有的程序僅僅在接口板完成，不需要達到主控板，用于減少流程，減少時延和抖動。Page4普通Ping可以攜帶參數普通ping的結果如下通過Ping結果可以看到如下信息：1、普通ping一次發送5個報文。2、ping報文的大小為56字節，不包含Ethernet頭和CRC，即為以太鏈路最小報文大小。3、每個報文的序列號、TTL大小、鏈路雙向延時時間。4、ping結果的統計信息Page5普通Ping可以攜帶參數普通ping的發包情況：每500ms發一個報文，等待2s。超過等待時間則記錄不可達并發送下一個報文。默認大小為56字節，TTL為255，優先級為0。報文的源IP和源MAC為出接口IP和MAC地址。通過上述信息，可以看出普通ping完全不能滿足現網的要求。比如需要持續ping、帶優先級ping、ping大包等操作。因此我們需要攜帶各種參數。具體如下：-c發送報文個數用于持續發包時使用-m發送報文的間隔時間，單位ms用于改變發包間隔。但需要等到對端報文收到或者超時后才發下一個報文-t等待報文時間，單位ms用于改變超時時間，和-m配合實現快ping操作-s報文大小，單位byte調整報文大小，用于發送大包-f指定強制不分片和-s配合用于判斷鏈路MTU大小-p指定payload填充內容用于判斷是否存在改包情況-a指定攜帶的源IP地址用于判斷對端到本端非直連接口地址連通性檢查-i指定報文的出接口負載分擔場景指定具體出接口-tos指定報文IP層攜帶的優先級改變報文優先級，判斷是否鏈路擁塞-system-time打印收到報文的時間不定時丟包，確認丟包時間-h指定報文的TTL大小類似于tracert-vpn指定vpn的名稱用于L3VPN場景私網ping測試ip指定使用IP協議轉發使用IP協議轉發Page6普通Ping可以攜帶參數什么場景下需要使用這些參數？1、對于丟包率非常低場景,需要快速ping才能確認丟包。

ping-c10000-m100-t100

注意：-t不能設置的過小，避免等待時間太小，當出現時間抖動時，實際沒有丟包，但是結果顯示丟包而得出錯誤結論。一般情況下除了快速發包外，-t不設置。2、對于A(1.1.1.1)(1.1.1.2)B(1.1.2.1)(1.1.2.2)C場景下，A無法和C通信，從B設備ping時。即可以用于判斷對端回程路由是否存在異常。ping–a1.1.1.21.1.2.2

注意：-a可以攜帶非本機地址，即可以攜帶A設備地址1.1.1.1，此時ping的結果顯示為丟包，但是可以通過流統、端口計數、A設備計數等方式確認報文是否發回?？梢耘袛啾径宿D發是否異常、對端負載分擔時模擬現網流量等。3、兩端業務設備告知不定時丟包，懷疑中間網絡故障。當丟包時，查看ping結果中丟包時間是否一致，確認是否網絡故障。

ping-c10000000–system-time4、概率丟包，懷疑是中間網絡存在改包情況。判斷是否攜帶不同參數ping結果不同。判斷是否存在改包。

ping-pFF/00/5a/a5

原因如下：整個報文存在CRC，在子卡計算并添加，IP頭的CRC只校驗IP頭，ICMP頭CRC校驗整個報文。當在路由器改包時，子卡CRC計算時，報文已經被改，無法校驗出來，IP頭僅校驗IP頭部，無法確認。只能使用ICMPCRC在兩端設備校驗是否改包。Page7普通Ping可以攜帶參數5、低優先級擁塞丟包。計算方法后面介紹

ping-tos6、懷疑MTU有問題，需要判斷是否大包不通時

ping-s1472

計算方法：-s參數為ICMP后面凈荷。1472+8(icmp)+20(IP)=1500，該數值即IP層默認MTU值。算上MAC和CRC為1500+14+4=1518，傳輸設備默認MTU值。7、對于負載分擔場景，需要確認某一條鏈路是否故障。ECMP或者Eth-trunk

ping-iGigabitEthernetX/X/X

對于Trunk中某條鏈路異場景，使用該命令可以更容易排查出故障鏈路。需要注意的是該命令僅對本端生效，對對端不生效。8、對于mpls轉發，由于攜帶標簽，不容易使用流統、指定優先級等手段，可以強制走IP轉發。

pingipX.X.X.XPage8Ping還能干什么？確認鏈路上是否存在組播不通。用于判斷ISISOSPF、LDP等

注意：1、組播ping，一定要指定出接口，因為ping的地址為組播地址。不查找路由，所以需要手工指定。2、組播ping的IP地址為：SourceIP（接口IP或指定IP）destinationIP（指定IP）。因此僅僅在發送方向為組播IP。對端設備因為目的IP為保留組播而上送，回應報文通過查找源IP的路由回應，故回程方向為單播報文。如果要確認雙向組播，則需要雙向組播ping測試。

3、ping的組播地址需要為保留組播。常見為224.0.0.1、224.0.0.2、224.0.0.6等4、對于vlanif口而言，會向所有成員口發送廣播報文，收到的回應報文會全部打印出來。5、對于多成員的Trunk口，會根據hash原則選擇具體端口。因此無法通過ping組播，測試某個特定的trunk成員口鏈路情況。Page9Ping還能干什么？確認LSP是否可達。可以用于診斷LSP、TE的通斷情況Page10Ping還能干什么？確認LSP是否可達?？梢杂糜谠\斷LSP、TE的通斷情況注意：1、pingLSP的時候默認是走CS6隊列，對于發起端而言無法調整優先級。但是轉發平面可以調整exp數值。2、pingLSP并不是發送的ICMP報文，而是UDP報文，使用的是目的端口號為3503、3504。也是使用的LSPecho和LSPechoreply。3、如何查看mpls報文呢？一般是打開mplsdebug開關。最好使用packet-length，這樣可以避免其他mpls報文被打印。debuggingmplspacketpacket-length1300verbose4、通過debugmpls報文，可以看到這個報文內容，同時也可以確認報文是否送達對端設備，用于網元定界。5、LSP的回應報文也是UDP報文，但是不一定走mpls轉發。一般還是走IP轉發回來，因此pinglsp是一個單向的檢測手段。如果要確認雙向的LSP狀態，需要在兩端設備上均部署ping測試。Page11Ping還能干什么？Page12Ping還能干什么？用于確認VPLS的PW狀態是否正常。當VPLS業務不通，但是無法確認PW狀態時，可以使用pingVPLS進行確認。其原理和LSPping類似。不同的是，攜帶的標簽更多。會攜帶一個1標簽，也會攜帶私網標簽。同理，其和lspping的效果一樣，也是單向測試手段，如果要檢測雙向的VPLS的PW狀態，需要在雙向都部署ping測試。Page13Ping還能干什么？PingVPN-config。用于判斷VSI或PWE3的兩端的配置情況。便于快速檢查兩端的配置情況。方便工程師快速定位故障原因。Page14Ping還能干什么？智能ping測試。通過攜帶不同的payload、長度、超時時間、TOS值，判斷丟包情況來確認鏈路的質量情況。當出現普通ping不通時，可以使用智能ping測試，確認在什么場景下ping測試沒有問題，進而確認故障原因是什么。當設備出現故障時，用戶可以使用ping（PacketInternetGroper）命令檢查網絡連接及主機是否可達。然而，在進行檢測時，ping命令中有很多復雜參數需要設置。為了減少使用的復雜度，用戶可以使用ping

smart命令來替代ping命令。執行ping

smart命令后，用戶只需輸入源IP地址，目的IP地址及VPN場景下的VPN名稱，ping模塊即可對-t、-m、-p和-s四個參數的取值自動進行全排列，發起64種組合的ping報文，進而實現對鏈路進行檢測。選取以上四個參數，一方面能夠避免ping過程選擇復雜參數耗時過長，另一方面能夠定位常見的網絡故障。同時將ToS值（0～7）隨機穿插在這64種組合中。對每種組合的報文進行時延，丟包的統計，并顯示結果。Page15Ping還能干什么？智能ping測試。通過攜帶不同的payload、長度、超時時間、TOS值，判斷丟包情況來確認鏈路的質量情況。當出現普通ping不通時，可以使用智能ping測試，確認在什么場景下ping測試沒有問題，進而確認故障原因是什么。當設備出現故障時，用戶可以使用ping（PacketInternetGroper）命令檢查網絡連接及主機是否可達。然而，在進行檢測時，ping命令中有很多復雜參數需要設置。為了減少使用的復雜度，用戶可以使用ping

smart命令來替代ping命令。執行ping

smart命令后，用戶只需輸入源IP地址，目的IP地址及VPN場景下的VPN名稱，ping模塊即可對-t、-m、-p和-s四個參數的取值自動進行全排列，發起64種組合的ping報文，進而實現對鏈路進行檢測。選取以上四個參數，一方面能夠避免ping過程選擇復雜參數耗時過長，另一方面能夠定位常見的網絡故障。同時將ToS值（0～7）隨機穿插在這64種組合中。對每種組合的報文進行時延，丟包的統計，并顯示結果。Page16Ping還能干什么？<R5>pingmac00e0-fc56-b01dvlan100Pinging00e0-fc56-b01dwith95bytesofdata:Replyfrom00e0-fc56-b01d:bytes=117,time<1msReplyfrom00e0-fc56-b01d:bytes=117,time<1msReplyfrom00e0-fc56-b01d:bytes=117,time<1msReplyfrom00e0-fc56-b01d:bytes=117,time<1msReplyfrom00e0-fc56-b01d:bytes=117,time<1msPackets:Sent=5,Received=5,Lost=0(0%loss)Minimum=0ms,Maximum=0ms,Average=0msPingmac可以用于檢測L2轉發時，能夠學習到mac地址，但是流量異常場景的故障判斷。使用該命令時，通用MAC

Ping功能必須處于使能狀態，否則需首先使用ping

mac

enable命令使能通用MAC

Ping功能。若PE間的設備通過L2VPN網絡互連：PE設備收到的報文帶有兩層Tag，則需要使用QinQ終結子接口綁定L2VC/VSI接入L2VPN網絡。當需要判斷PE之間的連通性時，需要指定參數pe-vid和ce-vid。PE設備收到的報文帶有一層Tag，則需要使用Dot1q終結子接口綁定L2VC/VSI接入L2VPN網絡。當需要判斷PE之間的連通性時，需要指定參數dot1q-vlanvlan-id。注意：兩臺設備上必須配置802.1ag協議的相同版本。如果本端設備上配置Draft7草案版本，對端設備上配置standard2007標準版本，此時用戶使用ping

mac命令檢測這兩臺設備之間的連通性時，則本端設備無法ping通對端設備。Page17Ping不通或丟包如何定位主控板CPU板間通信NP上行上行TMNP下行網板下行TM子卡子卡NP上行上行TM網板下行TMNP下行接口板CPUNP上行上行TM網板下行TMNP下行子卡IP、ICMP的Debug信息、計數統計等上行TM的丟棄計數等下行TM的丟棄計數等NP的丟棄計數或上送計數等子卡計數是否異常。子卡計數是否異常。流量統計。上行TM的丟棄計數等IP、ICMP的Debug信息、計數統計等子卡計數是否異常。NP的丟棄計數或上送計數等Page18上圖表示了一個典型PING的應用場景：左側端系統(PINGClient)PING遠端另一端系統(PINGServer),中間經過中間設備（一臺或多臺）進行IP轉發。圖中箭頭標示了EchoRequest報文的流向，而EchoReply報文的流向正好相反。Ping不通或丟包如何定位Page19PING不通基本定位思路是進行下列四步定位：第一步，排除假象。排除因為傳輸時延較長，雖接受到EchoReply但已經超過等待時限而造成的PING不同“假象”，所謂“假象”就是說若是該原因造成不通，并不是實際意義上的不通，可以認為不是問題；第二步，確定方向。PING的數據流是Client發出EchoRequest，Server回送EchoReply。因此先要確定報文是在Client—〉Server發出時出問題還是在Server—〉Client回送時出問題；第三步，確定位置。PING應用場景包含三個角色：端系統PINGClient，中間設備，端系統PINGServer。PING不通的原因可能處在其中任何一個角色身上，所以在確定方向以后要進一步確定問題發生的位置，哪臺路由器出了問題，進一步縮小定位范圍；第四步，確定層次。在當找到問題是發生在哪臺路由器上時，我們就可以順著數據上送/下發的方向找到問題出現的具體層次。Ping不通或丟包如何定位Page201、排除延時假象。通過-t，增加ping的等待延時時間。2、檢查設備的fib、arp信息，確認報文發送的基本條件形成。3、通過查看ICMP的計數方式查看ICMP發送情況。3.1、對于ICMP發起端，需要查看主控板的ICMP統計情況，查看出方向echo和入方向echoreply。也可以根據統計結果判斷，可能原因是什么。

主控板統計清空命令是：<Router>resetipstatisticsPing不通或丟包如何定位Page213.2、對于ping的接收端，需要查看接口板ICMP計數。命令為：disicmpstatisticsslotX。清除計數的時候注意：對于V6R2以后版本默認開啟了ping快回，在接收端不再上送到VRP平臺處理，而是在產品適配層面回應。此時ICMP不會存在計數，也不會又debug信息?？梢酝ㄟ^如下命令查看。關注其中的V4ping和V4echo。也可以關閉ping快回功能，命令如下Ping不通或丟包如何定位Page224、配置acl+debug開關，打印ICMP報文信息。

打開ICMP模塊的debug開關，可以看到ICMP的信息。<Router>debuggingipicmp<Router>ping45.4.4.5PING45.4.4.5:56databytes,pressCTRL_CtobreakFeb28200023:56:18.260.1R4IP/7/debug_icmp:ICMPSend:echo(Type=8,Code=0),Src=OURSENDPKT,Dst=45.4.4.5,ICMPId=0xabe8,ICMPSeq=1Replyfrom45.4.4.5:bytes=56Sequence=1ttl=255time=1msFeb28200023:56:18.270.1R4IP/7/debug_icmp:ICMPReceive:echo-reply(Type=0,Code=0),Src=45.4.4.5,Dst=45.4.4.4,ICMPId=0xabe8,ICMPSeq=1,InboundInterfaceIndex=106,InboundInterfaceName=Pos4/0/0,ActualInterfaceIndex=-,ActualInterfaceName=-Ping不通或丟包如何定位Page23

配合ACL打開IP模塊的debug開關，可以看到IP的信息。<R4>ping-c145.4.4.5PING45.4.4.5:56databytes,pressCTRL_CtobreakFeb29200000:33:33.900.1R4IP/7/debug_case:Slot=4;Sending,interface=Pos4/0/0,version=4,headlen=20,tos=0,pktlen=84,pktid=20158,offset=0,ttl=255,protocol=1,checksum=2778,s=45.4.4.4,d=45.4.4.5prompt:SendingthepacketfromlocalatPos4/0/0450000544ebe0000ff010ada2d0404042d04040508002217abea000103af1d1f00000055504e4704<R4>Feb29200000:33:33.900.3R4IP/7/debug_case:Slot=4;Receiving,interface=Pos4/0/0,version=4,headlen=20,tos=0,pktlen=84,pktid=20158,offset=0,ttl=255,protocol=1,checksum=2778,s=45.4.4.5,d=45.4.4.4prompt:ReceivingIPpacketfromPos4/0/0

450000544ebe0000ff010ada2d0404052d04040400001e10abea000103af1d1f0000005550494704Ping不通或丟包如何定位Page245、配置流量統計，確認報文是否到達設備。[NE40E-2]trafficclassifiericmp[NE40E-2-classifier-icmp]if-matchacl3333[NE40E-2]trafficbehavioricmp[NE40E-2]trafficpolicyicmp[NE40E-2-trafficpolicy-icmp]classifiericmpbehavioricmp[NE40E-2-trafficpolicy-icmp]statisticsenablePing不通或丟包如何定位Page25流統流統的原理：

流統的原理非常簡單，就是使用復雜流分類的統計功能，將流量分離并計數。

其本質是在trafficclassifier中使用acl模板去匹配流量，當匹配到流量后，在trafficbehavior中不做任何動作。同時在trafficpolicy中統計使能。這樣就可以將具體的流量統計出來。流統在哪里生效？

流量統計的本質是acl，acl列表是在設備的PCT、VCT、QVCT表中存在的，也即報文進入轉發引擎后查詢的第一張表。因此流量統計就在報文剛剛進入設備的轉發引擎時統計的。如果流統能夠統計到報文，那么證明符合條件的報文一定進入了設備，并且進入了轉發引擎。反之，流量統計沒有統計到報文，不一定代表報文沒有進入設備，可能在子卡上被丟棄了。此時需要判斷該子卡上是否其它端口業務也不正常，或者查看物理口計數確認報文是否進入子卡，最后可以通過重啟子卡確認是否恢復。

下行的流統是在報文出轉發引擎時查詢的。因此下行如果流統可以統計到，基本上可以確認報文在NP轉發前沒有問題，如果子卡沒有問題，基本可以確認報文能夠正常發出去。Page26流統的技巧：1、設備上配置了traffic-policy，且在acl中配置了其它rule策略，且這些rule策略中包含了我們的IP。例如：#aclnumber3333rule5permitipdestination192.168.0.00.0.0.255rule10permitipdestination192.168.255.10rule15permitipsource1.1.1.10destination2.2.2.20我們需要匹配目的IP為192.168.0.10，此時會命中原有的rule5，且該rule中可以命中多條流量。此時我們可以新添加一條rule并指定順序，例如：aclnumber3333rule1permitipdestination192.168.0.100rule5permitipdestination192.168.0.00.0.0.2552、設備上配置了traffic-policy，且behavior中配置了重定向，此時如果在原有的acl中添加，報文會被重定向。此時我們可以新增一條CB對，并添加在traffic-policy中。流統的問題1、目前我們的流統無法支持主機下發的報文。例如在A設備ping遠端設備，則無法在A設備的outbound方向做流統。但是轉發報文可以。如果遇到這種情況，可以從我們下掛設備進行ping測試，然后再設備的雙向做流統。2、VLL場景的AC口無法做流統3、mpls場景對于10G單板可以做流統，但是需要偏移。偏移字節為mpls的字節數。例如：L3VPNP節點入方向做流統，報文帶兩層mpls標簽，此時需要偏移8個字節。具體命令如下：[hidecmd]acl-offset-setinterfaceGigabitEthernet1/0/0offset8inbound但是對于出方向，需要偏移，但是只偏移0字節。4、對于20G、40G（LPUF-40）單板，無法做P節點流統。對于入PE的流統，V6R1SPC039補丁前可以正常做，但是加載該補丁后，無法做流統。流統Page27流統流統的使用：1、對于匹配三層流量，在端口上配置traffic-policy時，一律不加link-layer后綴。而匹配二層報文，一律加link-layer屬性。interfaceGigabitEthernet1/0/0undoshutdownportswitchporttrunkallow-passvlan100traffic-policyicmptestinboundvlan100link-layer2、對于二層口，但是需要匹配三層信息，需要在traffic-policy中增加vlan。例如：interfaceGigabitEthernet1/0/0undoshutdownportswitchporttrunkallow-passvlan100traffic-policyicmptestinboundvlan100查看流統時也需要增加vlan信息：displaytrafficpolicystatisticsinterfaceGigabitEthernet1/0/0vlan100outbound3、當ping不通是，不確認是流統配置錯誤，還是報文沒有進入設備，可以在classifier中增加if-machany，然后查看流統是否能夠統計到信息，確認流統沒有做錯，然后確認acl沒有問題。#trafficclassifiertestoperatororif-matchacl3333if-matchany#4、對于L3VPN入PE的場景，不需要在ACL中使用VPN特性。只有使用debug場景才需要。rulepermitipvpn-instancenetPage286、上述信息無法完成時可以使用-tos、-exp提高報文優先級，查看端口的port-queue確認報文是否進入該設備。

該場景主要用于確認中間節點是否收到報文。<X1-R1>disport-queuestatisticsinterGigabitEthernet1/2/4outboundGigabitEthernet1/2/4outboundtrafficstatistics:[be]Currentusagepercentageofqueue:0Totalpass:0packets,0bytes<NE40E-2>disdiffservdomaindefaultip-dscp-inbound40phbefgreenip-dscp-inbound48phbcs6greenip-dscp-inbound56phbcs7green<X1-R1>ping-tos160172.16.4.1<X1-R1>disport-queuestatisticsinterGigabitEthernet1/2/4outbound[ef]Currentusagepercentageofqueue:0Totalpass:5packets,550bytes7、查看端口的JumboOctets幀報文超過1518字節（含CRC）會被記到JumboOctets中，該計數是子卡進行統計的，此時可以將計數從流統前推到子卡上。如何構造JumboOctets呢？

首先對于普通的IP轉發主接口，MTU默認是1500，如果直接ping，則出接口的IP地址為1518剛好不被記到JumboOctets中。

第二，對于MPLS、子接口轉發，均會攜帶4字節倍數的標簽或TAG信息，此時將超過1518，報文計數會記錄到JumboOctets中去。Ping不通或丟包如何定位Page29對于普通IP主接口而言，可以使用pingignore-mtu。該命令指平臺在構造ICMP報文時，不在關注接口上配置的MTU，那么對于超過1500報文的不會再分片，此時可以在本端出方向和對端入方向形成JumboOctets計數。JumboOctets最常用的是兩臺設備之間跨設備ping不通，或者丟包場景。因為子卡計數如果收到報文，則證明報文一定進入設備，如果沒有收到報文，基本可以證明沒有收到報文。

對于子接口或者mpls轉發而言，如果正常流量沒有JumboOctets計數，則可以ping1469-1472之間的大小的報文，此時可以形成JumboOctets，便于觀察。如果流量形成了JumboOctets計數，則可以同時清除兩邊的端口計數，過一段時間，查看兩邊的JumboOctets計數差值，確認是否中間鏈路存在丟包。Ping不通或丟包如何定位Page30問題一：L3VPNPE設備公網側到底能不能做流通？答：總有人認為L3VPN沒辦法做流統，其實PE設備公網側大部分情況是可以做流統統計到私網側的報文的。對于588類型單板：V6R1版本+SPC037補丁以前，K\N板均可以正常做流統配置，匹配源、目的IP地址。和裸IP轉發做流統方法一致。此時可以統計VPN的流量，也可以統計普通公網流量。在SPC037后，由于公私網分離特性生效，僅支持匹配公網的流量，不支持VPN的流量。V6R2以及以后版本均可以匹配私網報文?？梢栽趩伟逡晥D配置如下命令，將關閉私網流量匹配。traffic-policymatch-ip-packet-only對于2800單板類型單板，可以匹配，但是需要偏移，偏移的命令如下：[hidecmd]acl-offset-setinterfaceGigabitEthernet1/0/0offsetX其中X表示為偏移字節數。對于入方向，N層標簽就偏移N*4字節。對于出方向，偏移字節為0即可。(原因是流統在報文打標簽前，但是由于報文走mpls轉發，需要偏移0字節，才能在mpls流程將報文匹配上)對于588X類型單板，默認不支持私網流量流統Ping常遇到的幾個問題Page31問題二：如何快速定界