網路故障排查常需進入路由器配置模式查看運行狀態、啟用端口鏡像 (SPAN/RSPAN/ERSPAN) 將流量導向分析主機。WinDump (Windows 版 tcpdump) 是輕量級抓包利器。本文實戰演示：雙機協作、端口鏡像配置、WinDump 抓包啟動、流量解讀關鍵點。

一、實驗拓撲與準備

• 路由器： 支援 SPAN 的任意廠牌 (Cisco, Huawei, H3C, Juniper 等)。
• 電腦 A (被監測端)： 連接路由器普通存取埠 (如 Gi0/1)，正常業務流量來源。
• 電腦 B (分析端)： 安裝 WinDump，連接路由器另一埠 (如 Gi0/2) 作為鏡像目的地埠。配置 IP 與網關同網段 (例：222.222.222.2/24, GW 222.222.222.1)。
• 軟體： WinDump + WinPcap/Npcap 安裝完成。

二、路由器配置模式進入與 SPAN 設定 (以 Cisco IOS 為例)

Router> enable
Router# configure terminal
Router(config)# monitor session 1 source interface GigabitEthernet0/1 both   ! 鏡像 Gi0/1 雙向流量
Router(config)# monitor session 1 destination interface GigabitEthernet0/2   ! 目的地為 Gi0/2 (連電腦 B)
Router(config)# end
Router# show monitor session 1   ! 驗證配置

其他廠牌對應指令：Huawei mirroring-group 1 mirroring-port GigabitEthernet0/1 both / mirroring-group 1 monitor-port GigabitEthernet0/2；H3C/Juniper 語法類似。

三、電腦 B 啟動 WinDump 抓包

1. 開啟 CMD (建議以管理員權限)。
2. 查看網卡介面編號：WinDump -D，記下對應分析埠的介面 ID (如 \Device\NPF_{...})。
3. 開始抓包 (常用參數組合)：

WinDump -i 1 -n -s 0 -v -w capture.pcap

• -i 1：指定介面編號 (從 -D 列表得知)。
• -n：不解析主機名/埠號 (加快顯示)。
• -s 0：抓取完整封包 (預設 65535 bytes)。
• -v：詳細輸出 (TTL, ID, 選項等)。
• -w capture.pcap：同時寫入檔案供 Wireshark 深度分析。

四、抓包輸出解讀範例

15:57:17.516203 IP 222.222.222.17.80 > 221.215.142.50.1264: Flags [.], seq 46721:48181, ack 1, win 16336, length 1460
15:57:17.518558 IP 209.24.79.200 > 218.79.246.212: ICMP host 222.222.222.191 unreachable, length 36

關鍵欄位解讀：

• IP src.port > dst.port：來源/目的 IP 及埠號。
• Flags [.]：TCP 標誌位 (S=SYN, .=ACK, F=FIN, R=RST, P=PUSH)。
• seq/ack：序號/確認號，追蹤連線狀態。
• win：視窗大小，反映接收緩衝區。
• ICMP host unreachable：目標主機不可達，提示路由/防火牆/主機下線問題。

五、進階分析技巧

1. 過濾表達式： WinDump -i 1 -n "tcp port 80 and host 192.168.1.100" 僅抓 HTTP 流量。
2. 統計連線分佈： WinDump -r capture.pcap -n | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr (需 Unix 工具或 Wireshark Statistics→Conversations)。
3. 異常模式識別： 大量 SYN 無回應 (SYN Flood)、ICMP Unreachable 風暴、TCP 重傳率高、異常埠掃描特徵。
4. 導入 Wireshark： 以 -w 存檔後，用 Wireshark 圖形化分析 TCP 流圖、專家資訊、协议層級統計。

六、注意事項與最佳實踐

• 鏡像埠帶寬 ≥ 來源埠帶寬總和， 否則會丟包導致分析失真。
• 生產環境謹慎鏡像核心交換機上行鏈路， 流量洪峰可能癱瘓分析主機；建議配合 ACL 只鏡像關鍵流量 (如特定 VLAN、IP 段、協議)。
• WinDump 僅支援 Windows， Linux 直接用 tcpdump，功能更強、效能更高。
• 法律合規： 抓包涉及用戶隱私/商業機密，必須獲得授權並遵守當地法規 (如 GDPR、個資法)。

掌握「進入配置模式 → 啟用 SPAN → WinDump 抓包 → 封包解讀」完整鏈路，能讓你從海量流量中快速定位故障根因，從「盲人摸象」進化為「洞察微瀾」的網路偵探。