QQ掉线分析案例

CSNA 网络专家 案例 某公司挂 QQ 掉线分析案例 报告提交时间 2013-4-9 报告提交人 曲晓松 2013 年 4 月 目录 1.故障描述 3 1.1 故障现象 ................................................................................................................. 3 1.2 网络拓扑 ................................................................................................................. 3 2.分析过程 4 某公司挂 QQ 掉线分析案例 1.故障描述 1.1 故障现象 某公司原本使用电信的互联网业务，使用各种应用都没有问题。更换成联通 的互联网业务后，就发现挂 QQ 经常多人同时掉线，各个楼层、办公室均出现过 这种情况，但是浏览网页及其他应用没有问题。用户曾经直接把 PC 接到出口防 火墙上测试，仍出现此情况，因此怀疑是联通的互联网业务有故障。 1.2 网络拓扑 用户的网络环境示意图如下： 用户内网 Internet 50Mbps NAT Pool 用户网络如上图所示，租用了 50Mbps 的裸光纤专线连接互联网，在防火墙 上实现 NAT 转换功能。本案例中在笔记本部署科来网络分析系统，接到用户的 办公网挂 QQ 时抓包，分析掉线的原因。 2.分析过程  在用户的防火墙观察出口流量，双向流量均不到 20Mbps，看来不是流量过 大而导致 QQ 掉线的。  ping 运营商的互联接口不丢包，ping QQ 的服务器（183.60.48.247），有少 量丢包，却不掉线。说明少量丢包并不会造成 QQ 掉线。  在笔记本发现 QQ 掉线后，大约 1 秒就自动连上了。而平时因网络丢包或时 延大而导致的掉线，会等若干秒才能连上。用科来网络分析系统进行分析， 发现掉线是由 QQ 服务器 Reset TCP 连接导致的。这也就能解释为何掉线 后能立即连上。抓包截图如下：  为防止这个 Reset 是网络中间的安全设备假冒 QQ 服务器发出的，特查看该 Reset 包的 TTL 是否与之前的包一致，如图所示： 收到的 Reset 包 TTL 值为 50。之前 QQ 服务器发来的包截图如下： TTL 值也是 50。看来不像是有安全设备假冒 QQ 服务器发出来的 Reset。  针对 QQ 服务器发出 Reset 的问题，与腾讯取得联系，腾讯经过检查 Log 记录，确认是由于用户端的 IP 由 114.247.136.33 变为了 114.247.136.35。 看来是用户的防火墙 NAT 功能出现了问题，否则怎么会在通信过程中变换 地址呢。