AVL Code
全部案例
#010 · 流量包分析

案例研究 · 流量包分析

复杂业务系统网络故障分析定位

一位要排查复杂业务系统网络故障的运维工程师，重新诊断某单位服务数千万用户的云平台网络沉疴——该单位 10G 网闸曾因内外网流量放大近 10 倍近乎死机，当年反复抓包也未找到环路直接证据。他把 3 个流量包的路径交给 AVL Code，约 15 分钟后手里多了一份 HTML + Markdown 双格式的根因定位报告。

对象：3 个 pcap 流量包（524MB / 629MB / 1,074MB，共约 2.2GB）· 平台：Windows 工作目录· 约束：无需安装配置任何额外工具· 模型：澜砥 N2.5· 交付：network_fault_report.html + .md（另含匿名化交付版）

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 在线查看成果

概览

  1. 01

    解析内网双包 — 定位突发流与 DNS 全量无响应

    你把 flow2 目录下两个流量包交给 AVL Code。它会穿越沙箱限制与子 Agent 超时，最终交出第一版五条故障分析报告。

  2. 02

    复盘卡点 — 固化大 pcap 四步分析法

    你追问"任务时间过长是否出错"，得到 4 个真实卡点清单，以及后续不再卡住的四步分析路径。

  3. 03

    外网包交叉验证 — 坐实根因链并产出双格式报告

    你补上外网端口镜像的第三包，内外网视角互相印证，生成 HTML 可视化与 Markdown 双格式最终报告。

  4. 04

    拓扑校正与匿名化 — 交付可归档报告

    你补充真实拓扑文档修正三处误判，再把报告改为横向布局并做 IP 匿名化，另存为可对外的交付版。

向 AVL Code 发布任务

工作目录下的flow2文件夹下是两个流量包文件，分析这两个文件，详细分析其网络中可能的故障原因

前提：需要 flow2 目录下的 3 个 pcap 与拓扑描述.md；环境为内置 sec.pcap_* 安全分析工具的 AVL Code（沙箱限制：sec.* 工具只读取 samples/ 下的相对路径）。文中 IP 均沿用会话导出中已匿名化的"首段.x.x.x"形式

复现材料见文末 亲自检测 ↓

解析内网双包

两个 500MB+ 的流量包，先过沙箱与工具限制这一关：

你输入 → AVL Code 
工作目录下的flow2文件夹下是两个流量包文件，分析这两个文件，详细分析其网络中可能的故障原因
AVL Code 执行 → 你会看到
copy/cmd/powershell/mklink 均被沙箱拦截 → 改用 Python 复制进 samples/
→ sec.pcap_info（top_n=50）· sec.pcap_extract 按协议层提取
→ 定位突发流与 DNS 全量无响应（Query Refused）
→ 子 Agent 超时自愈 → 第一版五条故障分析报告

复盘卡点

你追问"任务时间过长是否出错"，得到的是一份卡点清单和一条固化路径：

你输入 → AVL Code 
任务时间过长，是不是出错了？
AVL Code 执行 → 你会看到
4 个真实卡点逐条列出
→ 固化大 pcap 四步分析法：Python 复制进 samples/ → pcap_info → pcap_extract 限条数 → 跳过 stream_list 直接汇总

外网包交叉验证

外网端口镜像的第三包补上后，内外网视角互相印证：

你输入 → AVL Code 
补上外网端口镜像的第三包，做内外网交叉验证。
AVL Code 执行 → 你会看到
内外网视角互证 → 坐实根因链
→ 生成 network_fault_report.html 可视化 + .md 双格式最终报告

拓扑校正与匿名化

交付前最后一道工序：按真实拓扑纠偏，再脱敏：

你输入 → AVL Code 
按真实拓扑文档修正报告，改为横向布局并做 IP 匿名化，另存交付版。
AVL Code 执行 → 你会看到
修正三处误判
→ 报告改横向布局
→ IP 匿名化（沿用"首段.x.x.x"形式）→ 另存可对外交付版

亲自检测

在同样内置 sec.pcap_* 安全工具的 AVL Code 环境中，按会话固化的四步方案复现本案例的大 pcap 分析：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 在线查看成果 
python -c "shutil.copy('<工作目录>/flow2/<流量包>.pcap', 'samples/<流量包>.pcap')"
sec.pcap_info(path='<流量包>.pcap', top_n=50)
sec.pcap_extract(path='<流量包>.pcap', aspects=<HTTP/DNS/TLS 等>, limit_per_aspect=50)
  • 第 1 步：用 Python 把大 pcap 复制进 samples/（copy/cmd/powershell/mklink/fsutil 均被沙箱拦截，Python 已验证可行）。
  • 第 2 步：主会话直接取 pcap 基本信息（top_n=50 已验证稳定，1-2 秒出结果）。
  • 第 3 步：按 aspects 提取协议层信息，限制每类条数防止超时。
  • 第 4 步：跳过 sec.pcap_stream_list（大文件易超时），基于已有数据直接汇总，输出 flow2/network_fault_report.html 与 flow2/network_fault_report.md。
  • 局限说明："结论与 5 年前现场观察一致、10G 网闸放大近 10 倍"仅记录于案例既有档案（src/lib/cases/index.ts overview），会话与报告中未出现第二独立来源；"全流程约 15 分钟"同样仅来自案例档案，会话内无计时记录。子 Agent 环节的实际工具调用返回未在会话导出中展开，过程描述以导出中保留的叙述文本为准。

下一个问题： 拿到报告后，下一步自然是回到设备侧验证：检查内网 DNS 服务器的递归转发配置消除 Query Refused，并核查外网交换机上 iSCSI/Oracle 流量的路由与 VLAN 划分。