当网页访问速度缓慢或断断续续无法访问的情况出现时：网络故障？网络性能问题？网络安全问题？如果排查问题的方向出现偏差，往往耗时费力。
我们通过一个案例来看看如何通过网络分析技术，帮助用户透过现象看本质，迅速找到网络中的“内鬼”，达到事半功倍的效果。
1.问题描述
某企业网内访问互联网时打开页面速度非常缓慢，甚至经常出现不能打开网页的情况。此现象已经持续一周时间，导致企业整体工作效率明显下降。
网络运维人员多方查找原因无果，且屡遭企业各部门投诉，“命悬一线”。于是邀请具备网络分析能力的专家帮助排查问题。
该用户网络出口带宽为20Mb，两台交换机下连30多个用户主机与服务器。在交换机1和交换机2分别配置镜像端口，部署了某知名网络流量分析厂商的网络分析系统，抓取上连接口的流量进行分析。
2.分析过程
交换机1：在交换机1抓取了二十分钟，并未发现异常情况与流量突发。交换机2：抓取短短十秒钟的数据包，就发现了网络中存在的问题。
不难看出，短短十秒钟的总流量达到了272MB，基本全部是512-1023字节的数据包，并且TCP同步包达到了50余万个，没有收到任何的TCP同步确认包，存在明显的异常情况。
查看TCP会话，发现所有的TCP会话行为一致，全部是AA.AA.81.2向BB.BB.227.102的80端口发送TCP数据包。
数据包的同步位（SYN）置1，SYN数据包是TCP/IP建立连接时使用的握手请求数据包，不应存在任何应用层数据。但是在上图中看到该数据包中还有512字节的HTTP数据，并且数据内容全部为0，该数据包为明显的伪造数据包。
因为伪造数据包为互联网地址，所以会通过互联网出口向外发送。由于本网络互联网出口为20Mbps，而伪造数据包却达到了261Mbps，明显超过了最大处理能力，此时内网主机在访问互联网时就会出现连接十分缓慢，甚至不能访问互联网的情况。
3.问题定位
如上图，通过查看MAC地址我们得知发送大量数据包的MAC地址为xx:xx:xx:3F:11:57，掌握了发起攻击的MAC地址后，通过查看交换机MAC地址表，找到相应端口
该MAC地址对应的交换机2端口为G1/0/18口，通过断掉该接口的方式来排查，断掉该端口后网络恢复正常，能够正常流畅的浏览网页。
4.分析结论
通过排查发现交换机2的G1/0/18接口发送大量互联网地址伪造数据包，通过大量发送此类数据包拥塞网络的互联网出口，达到DOS攻击的作用。通过排查发现G1/0/18口为邮件网关连接端口，建议用户联系邮件网关设备厂商，对设备进行问题排查。
5.价值
通过本案例，可以了解到网络分析技术不仅能快速发现网络中的异常流量，还能透析异常流量，找到产生问题的根源，从而快速、准确的进行故障定位，减小异常数据对网络的危害。