如何对 Sensor 延迟问题进行故障排除

技术文章 ID: KB70861
上次修改时间: 2021/01/26

环境

McAfee Network Security Sensor 装置

解决方案

开始之前：

阅读 NSP Sensor CLI 手册，了解软件版本。请参阅 KB76064，查看当前文件列表。
确定以下问题的答案：
1. 何时发现首次延迟以及您的网络是否出现异常事件？
  检查您的防火墙、路由器和交换机日志，确定延迟发生时是否出现了其他问题。解决这些问题，然后监控 Sensor，确认延迟问题是否已解决。
2. 延迟发生前或发生期间，您是否对网络做出了更改，是否对 Sensor 配置做出了任何更改？
  如果撤销上述更改，问题是否能得到解决？
3. 查看 Sensor 上运行的 Sensor 软件是什么。是最新版本吗？请参阅 KB55448，了解版本信息。
  如果 Sensor 软件不是最新版本，请升级，看看问题是否能得到解决。
4. Sensor 正在扫描的网络流量有多少，是否在 Sensor 的容量范围之内？
  
  注意：延迟问题通常可能与丢弃的数据包问题有关。通常，当 Sensor 上出现延迟时，也会出现丢弃数据包的情况。

如果已经撤销上述更改，确保没有发生例外网络事件的情况下，升级 Sensor 软件，然后执行以下步骤。

通过 Hyperterminal、PuTTY 或其他应用程序打开 Sensor 的命令行会话。

注意：在连接应用程序中启动会话日志记录。会话结束后，如果问题仍然存在，请保存日志。请参阅产品文档，了解保存日志的操作步骤。
隔离显示延迟的端口对，开始延迟调试。输入以下命令（在 Sensor 范围内或者在目标接口上），每输一条命令按一次 ENTER 键：

show intfport

例如，show intfport 1A/1B/etc.要详细了解 show inftport 命令，请参阅 KB54660.

show inlinepktdropstats

例如，show inlinepktdropstats 1A/1B/etc。要详细了解 show inlinepktdropstats 命令，请参阅 KB69806.
如果 Sensor 上运行的软件为版本 8.2 或更新版本，请收集 show feature status 命令的输出。有关更多信息，请参阅 Sensor CLI 手册，了解您的软件版本。
查看上一步中的命令的输出。如果出现了 CRC 或其他错误，请执行以下操作：
1. 确保 Sensor 及其对等设备上的速度/双工设置配置完全相同。
  
  重要说明：请不要手动配置一个设备，同时将另一个设备设为自动协商；两个设备的配置需完全相同。
2. 更换连接线缆，确保问题不在于线缆不可用。使用已知可用的线缆（如有可能）。
将 Sensor 设为 Layer2 模式。输入以下命令，然后按 ENTER 键：

layer2 mode assert

要了解 Sensor Layer2 模式 CLI 命令，请参阅 KB54281.
重现问题：
- 如果将 Sensor 设为 Layer2 模式仍无法解决的您的问题：
  Sensor 软件不是导致延迟的原因。将 Sensor 设为 Layer2 模式后，Sensor 就会充当集线器，对网络基本不可见。由于已经排除了 Sensor 软件原因，则说明问题出现在 Sensor 硬件（例如，接口、线缆、故障旁路套件）上，或者其他地方。
  尝试使用已知可用的接口、线缆或故障旁路套件或者直接通过物理方式绕过 Sensor。如果上述操作仍无法解决问题，McAfee 推荐您使用网络分析器检查网络流量并对问题进行故障排除。
- 如果问题得到解决：
  Sensor 退出 Layer2 模式（layer2 mode deassert），然后继续进行故障排除.
关闭 Sensor 的 Layer3 数据包处理。通过 Sensor 调试模式做到这一点：
1. 输入以下命令并按 Enter 键：
  
  debug
2. 输入以下命令并按 Enter 键：
  
  set l3 off
重现问题并检查输出：
如果关闭 Layer3 可以解决您的问题，则问题与 Sensor 上的 Layer3 数据包处理有关。
请将其记录下来，在打开服务请求时将其添加在内。
再次打开 Layer3 数据包处理，继续进行故障排除。输入以下命令并按 Enter 键：
set l3 on
关闭 Sensor 上的 Layer7 数据包处理和攻击检测：
1. 输入以下命令并按 Enter 键：
  
  set l7 off
2. 测试延迟及其他问题是否得到解决，或其影响是否有所缓解：
  - 如果有所缓解或得到解决，则说明流量中的某特定 Layer7 数据包导致了问题；如果怀疑导致问题的原因是某特定协议，请使用 ACL 隔离 Sensor 延迟。
    创建 ACL，将可疑协议从检查中移除。对特定协议定义 ACL 后，Sensor 会忽略该协议，且协议不会受到内部检查。
    
    请参阅 IPS 配置手册，了解您的软件版本，进一步了解有关 ACL 创建的信息。
    注意：您需要重新启用 Layer7， ACL 才可以工作。输入 set l7 on，然后按 ENTER 键。
    - 如果发现导致延迟的是某特定协议：
      1. 请记下该协议及原始服务器/主机和目标。
      2. 如有可能，请收集该流量的捕获，在打开服务请求时将这些详细信息添加进去。
      3. 打开 Layer7 数据包处理和攻击检测，输入以下命令并按 ENTER 键：
        set l7 on
      4. 进行到下个步骤，继续执行故障排除。
    - 如果发现不是导致延迟的原因：
      1. 记录您配置的 ACL 和删除的协议。
      2. 打开 Layer7 数据包处理和攻击检测，输入以下命令并按 ENTER 键：
        set l7 on
      3. 进行到下个步骤，继续执行故障排除
  - 如果没有缓解：
    打开 Layer7 数据包处理和攻击检测，继续进行故障排除。输入以下命令并按 Enter 键：
    
    set l7 on
收集内存、Sensor 负载消耗、延迟监控和性能调试等级信息以及有关 TCP、UDP、ICMP 和碎片流量的详细信息
。
注意：进行以下步骤前，先在用于运行命令行会话（Hyperterminal 或者 PuTTY）的包中启用会话日志。
1. 输入以下命令，每输一条命令按一次 ENTER 键，收集相关信息：
  
  latency-monitor enable action alert-only 或者 latency-monitor enable action layer2-forward（注意：Layer2 模式处于打开状态时，layer2 前进操作才能生效。您需要运行命令 layer2 mode on，才能打开 Layer2 模式。）
  
  延迟监控状态
  
  sensor perf-debug（确保对其设置足够长的持续时间，以便完成以下步骤。例如，启用性能调试 15 分钟：sensor perf-debug 15）
  
  sensor perf-debug status
  
  set sensor-load on
2. 按顺序执行以下命令：
  
  重要说明：整个命令组需最少运行三次，才能在一定时间内收集足够的信息。
  
  show sensor-load
  
  sensor perf-debug show（注意：命令的运行时间不得超过您在执行 sensor perf-debug 时指定的时间范围。）
  
  sensor-datapath-stat-analysis show
  
  datapathstat core all parameter all
  
  datapathstat core all parameter show
  
  show tcpipstats
  
  show flows
  
  show mem-usage
  
  show intfport （例如， show intfport 1A/1B/etc）
  
  show inlinepktdropstats （例如，show inlinepktdropstats 1A/1B/etc）
  
  show statistics l4
  
  show statistics tcp
  
  show statistics udp
  
  show statistics icmp
  
  show statistics ipfrag
3. 将上述命令运行最少三次后，运行一次以下命令：
  
  sensor perf-debug upload-protoStats
  
  set sensor-load off
  
  sensor perf-debug off
退出调试模式。输入 disable，然后按 ENTER 键。
收集 SSH 会话日志和 跟踪日志. 要了解如何从 Sensor (Trace.log) 收集诊断跟踪，请参阅 KB55549.
提交支持请求时，请将两个信息及以下详细信息同时提供给技术支持：
- 禁用 layer 2、layer 3 或 layer 7 处理起到一定作用了吗？
- 延迟是不是某些协议导致的？
- 延迟影响到了哪些应用程序？
- 延迟开始前后，是否对受影响网络、应用程序或 Sensor 做出了一些更改？
- Sensor 之前安装的软件是什么版本？
- 安装当前版本后，没有延迟的情况持续了多久？

要联系技术支持，请登录 ServicePortal 并转至“创建服务请求”页面 (https://support.mcafee.com/ServicePortal/faces/serviceRequests/createSR)：

如果您是注册用户，请键入用户 Id 和密码，然后单击登录。
如果您不是注册用户，请单击注册，然后填写所有必填字段。系统会将您的密码和登录说明发送到您的电子邮箱。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Network Security Sensor Appliance 9.2.x (EOL)
Network Security Sensor Appliance 9.1.x
Network Security Sensor Appliance 10.x
Troubleshooting

语言:

此文章有以下语言版本：

German
English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

如何对 Sensor 延迟问题进行故障排除

环境

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何对 Sensor 延迟问题进行故障排除

环境

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title