# 三次握手流程

```text
…  [SYN]        ← 客户端发起
…  [SYN, ACK]   ← 服务器回应
…  [ACK]        ← 客户端确认（连接建立完成）
```


# 操作
## 安装wireshark

略
## 打开wireshark
- 开始捕获分组
- 设置过滤器`tcp.port == 80`
## 打开浏览器
访问`http://neverssl.com`，进去后点击`关闭捕获分组`
## 结果展示

![image.png](/static/img/3f819504193d2b1a60eb38cea643c997.image.webp)
可以看到，前三条就是非常标准的三次握手流程。


:::info{title="相关信息"}
Wireshark的是"相对序列号"你看到Seq=0不是真实值，真实TCP会用随机初始序列号（ISN）防伪造。Wireshark 默认把每个连接的第一个包归一成 0，方便你看。想看真实值：菜单 **编辑 → 首选项 → Protocols → TCP**，取消勾选「相对序列号」。
:::

# 核心重点
- client和server的首次seq都是随机的
- client和server的ack=对方上一次的seq+len+1（syn/fin）
    - 三次握手阶段len默认是0，传数据就不是0了
    - 有syn/fin才`+1`，没有就是0
- 如果拿书页来比喻，ack确认了收到多少书页，让对方下一次直接从seq指定页发

# 常用
## wireshark
### 举例
#### Wireshark 常用过滤表达式速查

> **显示过滤器**（顶部输入框，抓包中/抓完后都能用）：`字段 运算符 值`，过滤"已抓到的数据"。
> **捕获过滤器**（开始抓包前设置）：BPF 语法，只让符合的包进内存。日常排障优先用显示过滤器。

##### 一、最常用的基础过滤

| 过滤表达式 | 干什么用 |
| --- | --- |
| `ip.addr == 192.168.1.10` | 只看这个 IP 相关的所有包（源或目的） |
| `ip.src == 192.168.1.10` | 只看源是这个 IP 的包（它发出的） |
| `ip.dst == 192.168.1.10` | 只看目的是这个 IP 的包（发给它的） |
| `ip.addr == 192.168.1.0/24` | 只看整个网段 |
| `tcp.port == 443` | 只看 443 端口（HTTPS） |
| `tcp.srcport == 443` / `tcp.dstport == 443` | 只看源/目的端口为 443 |
| `udp.port == 53` | 只看 DNS 流量（53 端口） |
| `tcp` / `udp` / `http` / `tls` | 只看对应协议 |

##### 二、TCP 排障专用（定位连接问题）

| 过滤表达式 | 干什么用 |
| --- | --- |
| `tcp.flags.syn == 1` | 看所有连接建立包（SYN 和 SYN,ACK） |
| `tcp.flags.syn == 1 && tcp.flags.ack == 0` | 只看握手发起方（纯 SYN，三次握手第①个包） |
| `tcp.flags.fin == 1` | 只看四次挥手（FIN 包） |
| `tcp.flags.reset == 1` | 看 RST 中断（连接被异常掐断，排障神器） |
| `tcp.analysis.retransmission` | 看超时重传（网络丢包/延迟的标志） |
| `tcp.analysis.fast_retransmission` | 看快速重传（网络拥塞/丢包的标志） |
| `tcp.analysis.duplicate_ack` | 看重复 ACK（接收方催促重传） |
| `tcp.analysis.out-of-order` | 看乱序包（路由路径抖动） |
| `tcp.analysis.zero_window` | 看接收窗口为 0（对端忙不过来/被压垮） |
| `tcp.stream == 5` | 只看某一条 TCP 流（右键→Follow→TCP Stream 自动填） |

##### 三、HTTP 专用（调接口/前后端联调）

| 过滤表达式 | 干什么用 |
| --- | --- |
| `http.request` | 只看 HTTP 请求 |
| `http.response` | 只看 HTTP 响应 |
| `http.request.method == "POST"` | 只看 POST 请求 |
| `http.request.method == "GET"` | 只看 GET 请求 |
| `http.response.code == 404` | 只看某个状态码（如 404/500） |
| `http.request.uri contains "login"` | 只看 URL 路径里带 login 的请求 |
| `http.host == "www.baidu.com"` | 只看访问某个域名的流量 |
| `http.user_agent contains "curl"` | 只看某种客户端的请求 |

##### 四、DNS / HTTPS 专用

| 过滤表达式 | 干什么用 |
| --- | --- |
| `dns` | 只看 DNS 查询与响应 |
| `dns.flags.response == 1` | 只看 DNS 响应（回包） |
| `dns.qry.name contains "baidu"` | 只看查某个域名的 DNS |
| `tls.handshake.type == 1` | 只看 TLS 握手的 ClientHello |
| `tls.handshake.extensions_server_name contains "baidu"` | 通过 SNI 看访问了哪些域名（未解密的 HTTPS 也能看到域名） |

##### 五、逻辑组合（进阶）

| 表达式 | 干什么用 |
| --- | --- |
| `http && ip.addr == 192.168.1.10` | 某台机器的 HTTP 流量 |
| `tcp.port == 80 && tcp.flags.reset == 1` | 80 端口的 RST 中断 |
| `!ip.addr == 192.168.1.1` | 排除某 IP（不看它） |
| `ip.addr == 1.2.3.4 && (tcp.port == 80 \|\| tcp.port == 443)` | 某 IP 的 80/443 端口 |
| `tcp.analysis.flags` | 一把看所有 TCP 专家异常（慢/丢/乱序都标记出来） |

##### 六、快速排障套路

感觉连接"很慢/失败"时，先输入：

```
tcp.analysis.flags
```

Wireshark 会把有问题的包自动标黑/标红，再结合 `tcp.analysis.retransmission` 看是否反复重传，基本就能定位是丢包、拥塞还是对方拒绝（RST）。


## tcpdump
### 举例

```bash
# 抓取网卡eth0 tcp 3389端口，不解析域名端口名，只抓20个包
sudo tcpdump -i eth0 tcp port 3389 -nn -c 20
# 保存到文件里，ctrl + C结束保存
tcpdump -i eth0 tcp port 3389 -w ./frp30.pcap
# 从文件中读取数据
tcpdump -r frp30.pcap -nn
```

# 术语
## tcp标志位表
| 标志 | 英文全称 | 中文 | 阶段 | 作用 |
| --- | --- | --- | --- | --- |
| SYN | Synchronize | 同步位 | 建立连接 | 发起连接，"咱们开始吧" |
| ACK | Acknowledge | 确认位 | 全程 | 确认收到对方数据，"我收到了" |
| PSH | Push | 推送位 | 传输数据 | 这段数据完整，立刻交给应用处理，别攒着 |
| FIN | Finish | 结束位 | 关闭连接 | 我不再发数据了，结束 |
| RST | Reset | 复位位 | 异常 | 出问题，强行中断连接 |
| URG | Urgent | 紧急位 | 传输数据 | 这段优先处理，插队（很少用） |

抓一个干净的三次握手

# 介绍
## 什么是番茄闹钟
番茄闹钟指的是番茄工作法（Pomodoro Technique）由 Francesco Cirillo 创立，是一种简单有效的时间管理方法：选择一个任务，专注工作 25 分钟（一个"番茄钟"），然后短暂休息 5 分钟。每完成四个番茄钟后，进行一次 15 分钟的长时间休息。这种方法可以帮助您保持专注，并防止精神疲劳。



## 为什么做这个番茄闹钟
我想找一个番茄闹钟来培养我的专注力，在读书或者工作的时候不开小差，屏蔽旁边嘈杂的噪音，提高的做事的效率。但是，通过bing得到了如下结果。

![image.png](/static/img/1ee3266c2f366a5f568799ef40506a1d.image.webp)

但是这东西可能在外网的服务器上，卡的一批，用不了一点，点个刷新响应半天，不能接受。
# 借助AI写代码
## 用什么AI
我不懂html，让我从零开始写一个我可能需要好几周的时间，而且大部分也是Ctrl + C和Ctrl + V。现在的AI很多，这种简单的需求随便找一个就可以了，我用的是workbuddy，腾讯的这个助手好评还是很多的，默认每天免费领100积分可以使用。
## 提示词
正常情况开发这个番茄闹钟可以先告诉AI有哪些步骤，然后自己补充步骤让AI去开发，我这个需求直接让AI按着别人的网站做一个就行，所以提示词相对简单

```text
https://pomodoro.so/zh
模仿上面的网站写一个番茄闹钟
需求：
1，纯html
2，无需登录等复杂功能
3，默认界面和功能和上面的相似
```
几分钟后就好了，消耗20个积分，每天可以做5个这种很简单的需求（在有对照的情况下）
# 测试
看了软件测试相关的文章，有什么黑盒白盒，手动自动什么的，这种简单的软件不需要复杂的测试，直接黑盒手动，每个都点点没什么问题，成了！直接上线！当甲方就是这么爽！
# 发布
得益于van-blog的架构，这种网页应用可以直接通过内置到博客里来使用，简直太方便了，又是想念作者的一天！

我直接将【番茄闹钟】挂在博客的【工具箱】下面，点击就可以用了，试了下很丝滑，舒服了，开始锻炼专注力，冲！

番茄闹钟

最近看到两个很好的运维博客，记录了运维常见的技能和问题，对我很有帮助，情不自禁想要收藏起来慢慢观看




:::info{title="相关信息"}
网站如下，有兴趣大家去原站关注一波

https://yan-jian.com

https://wiki.sqlfans.cn
:::

经过一段网上搜索，可以通过wget直接抓取这种静态资源站



```bash
wget -c -r -np -k -L -p https://yan-jian.com
wget -c -r -np -k -L -p https://wiki.sqlfans.cn
```


参数作用：

-c, –continue 接着下载没下载完的文件

-r, –recursive 递归下载

-np, –no-parent 不要追溯到父目录

-k, –convert-links 转换非相对链接为相对链接

-L, –relative 仅仅跟踪相对链接

-p, –page-requisites 下载显示HTML文件的所有图片

---
下载到本地后通过nginx发布出来慢慢观看，但是`yan-jian`的那个侧边栏不兼容，目前搞不定，改天研究研究

保存喜欢的网站到本地

# 开始
接上节 [promtheus环境部署](https://ungameunlife.cn/post/7)，记录下邮箱告警配置

现在一般都是飞书、企业微信、钉钉什么的，依托于企业的工作流程，比较方便

邮箱告警比较传统，直接使用我自己的邮箱了




# 配置
alert的邮箱配置如下，我自己的邮箱是QQ邮箱，可以参考 [QQ邮箱官方授权码配置](https://wx.mail.qq.com/list/readtemplate?name=app_intro.html#/agreement/authorizationCode) 根据提示绑定手机号，申请授权码，填写信息就可以

```bash
  # -------- SMTP邮箱配置 --------
  smtp_smarthost: 'smtp.qq.com:465'   # 邮箱SMTP服务器+SSL端口
  smtp_from: 'galen.wang@foxmail.com' # 发件邮箱，就是你的邮箱
  smtp_auth_username: 'galen.wang@foxmail.com' # SMTP登录用户名
  smtp_auth_password: 'lxxxxxxxxcg' # 填授权码！不是邮箱密码
  smtp_require_tls: false # 465端口SSL模式，关闭TLS校验

receivers:
  - name: 'email-receiver'
    email_configs:
      - to: 'galen.wang@foxmail.com' # 收件邮箱，发给自己
        send_resolved: true 
 ```
 
 # 测试
 手动测试一下，因为告警配置是宿主机的cpu和硬盘，还有待优化，手动触发下告警试试
 
 先进入到 alert 容器中
 
```bash
docker exec -it alertmanager sh
```

使用自带的工具触发告警和邮件

```bash
amtool alert add \
   --alertmanager.url=http://127.0.0.1:9093 \
   alertname=TestEmailAlert severity=critical instance=test \
   summary="????????" \
   description="amtool???????"

```

检查告警是否触发

```bash
amtool alert --alertmanager.url=http://127.0.0.1:9093
Alertname       Starts At                Summary  State
TestEmailAlert  2026-09-17 07:59:07 UTC           active
```

等待几分钟后到邮件，大概5分钟后收到告警恢复的邮件。


![clipboard-2026-09-17.png](/static/img/98ef8c2d8d9c8113070885d09b169af4.clipboard-2026-09-17.webp "clipboard-2026-09-17.png")

![clipboard-2026-09-17.png](/static/img/429170aba43828672da760b4a9c356b6.clipboard-2026-09-17.webp "clipboard-2026-09-17.png")

alertmanager邮箱告警配置

# 开始
云服务器上运行的容器越来越多了，想要做个监控，可以随时查看容器的状态，最好可以配置一些告警，出现问题可以发到我的邮箱和微信上。

之前用过的监控主要是zabbix，但是容器环境下推荐的监控是promtheus，今天来部署下这个。




# 安装
可以通过docker来安装，[官方手册](https://prometheus.io/docs/prometheus/latest/installation/) 里指引了去哪里下载，怎么配置。

docker拉去镜像如果很慢的话可以看 [这个](https://ungameunlife.cn/post/5#%E5%BC%80%E5%A4%B4) ，出门在外，有个代理还是很方便的，如果你想购买我同款的可以考虑 [这个](https://inets.io/#/register?code=k4ZSDWPz) 注册后购买我也会收到一点佣金，价格还可以

## 架构了解
简单了解下prometheus架构，主要分三部分（当然不仅仅分三部分）
- prometheus：处理和存储数据，监控主体
- exporter：采集数据，相当于手和眼睛，把数据拿给prom，如node-exporter和cadvisor
- alertmanager：告警等
![](https://ungameunlife.cn/static/img/2797c81ae05ae8cf486547c4c0bc52a8.clipboard-2026-09-17.webp)

## docker-compose.yml
promtheus各个组件之间独立性很强，每个镜像有各自的作用，写个`docker-compose.yml`放一起方便

先创建个目录，所有配置文件都放里面
```bash
mkdir -pv ~/docker/promtheus
```

:::warning{title="注意"}
！！！建议先看下文件再运行，我是提前配置了docker网络的
:::

```bash
services:
  prometheus:
    image: prom/prometheus:v3.13.3 #
    container_name: prometheus
    restart: unless-stopped
    volumes:
      - ./prometheus.yml:/etc/prometheus/prometheus.yml      # prom主配置文件
      - ./alert.rules.yml:/etc/prometheus/alert.rules.yml    # 告警规则文件
      - prom_data:/prometheus                                # 数据持久化
    command:
      - '--config.file=/etc/prometheus/prometheus.yml'
      - '--storage.tsdb.path=/prometheus'
        #- '--web.enable-lifecycle' # 支持热重载配置 curl -X POST /-/reload
      - '--storage.tsdb.retention.time=3d'
      - '--storage.tsdb.retention.size=5GB'
      - '--storage.tsdb.wal-compression'
    networks:
      - npm_net

  node-exporter:
    image: prom/node-exporter:v1.10.2
    container_name: node-exporter
    restart: unless-stopped
    volumes:
      - /proc:/host/proc:ro    # 宿主机进程信息，只读挂载
      - /sys:/host/sys:ro      # 宿主机硬件信息，只读挂载
      - /:/rootfs:ro           # 宿主机根目录，读取磁盘信息
    command:
      - '--path.procfs=/host/proc'
      - '--path.sysfs=/host/sys'
      - '--path.rootfs=/rootfs'
      - '--collector.systemd'  # 采集systemd服务状态
      - '--collector.tcpstat'  # 采集tcp连接指标
    networks:
      - npm_net

  cadvisor:
    image: ghcr.nju.edu.cn/google/cadvisor:v0.60.5
    container_name: cadvisor
    restart: unless-stopped
    volumes:
      - /:/rootfs:ro
      - /var/run:/var/run:ro
      - /sys:/sys:ro
      - /var/lib/docker:/var/lib/docker:ro
      - /dev/disk/:/dev/disk:ro
    networks:
      - npm_net

  alertmanager:
    image: prom/alertmanager:v0.34.0
    container_name: alertmanager
    restart: unless-stopped
    volumes:
      - ./alertmanager.yml:/etc/alertmanager/alertmanager.yml # alertmanager配置
      - alert_data:/alertmanager
    command:
      - '--config.file=/etc/alertmanager/alertmanager.yml'
    networks:
      - npm_net

networks:
  npm_net:
    external: true
# 持久化卷
volumes:
  prom_data:        # prometheus时序数据库存储
  alert_data:       # alertmanager告警状态存储
```
## 其他配置文件
prometheus.yml

```bash
global:
  scrape_interval: 30s     # 采集间隔：每15秒拉取一次指标
  evaluation_interval: 30s # 告警规则评估周期，每15秒检查一次告警

# 加载告警规则文件
rule_files:
  - "alert.rules.yml"

# 告警配置：prometheus把告警推送给alertmanager
alerting:
  alertmanagers:
    - static_configs:
        - targets:
            - alertmanager:9093 # 容器名:端口，同网络直接解析

# 采集任务配置
scrape_configs:
  # 采集宿主机指标，node-exporter
  - job_name: 'node-exporter'
    static_configs:
      - targets: ['node-exporter:9100']

  # 采集docker容器指标，cadvisor
  - job_name: 'cadvisor'
    static_configs:
      - targets: ['cadvisor:8080']
```

alert.rules.yml

```bash
groups:
  - name: host-metrics-alert # 告警组名称
    rules:
      # 告警名称：主机CPU使用率过高
      - alert: HostHighCpuLoad
        expr: 100 - (avg by(instance) (irate(node_cpu_seconds_total{mode="idle"}[1m])) * 100) > 80
        for: 1m          # 持续超过1分钟才触发告警，防止瞬时抖动
        labels:
          severity: warning # 告警级别 warning警告 / critical严重
        annotations:
          summary: "宿主机CPU使用率过高"
          description: "实例 {{ $labels.instance }} CPU使用率已超过80%，当前值 = {{ $value }}"

      # 告警：磁盘剩余空间不足
      - alert: HostDiskSpaceLow
        expr: 100 - (100 * (node_filesystem_avail_bytes / node_filesystem_size_bytes)) > 85
        for: 2m
        labels:
          severity: warning
        annotations:
          summary: "磁盘剩余空间不足"
          description: "分区 {{ $labels.mountpoint }} 使用率超过85%，请及时清理"
```

alertmanager.yml ，配置的告警是邮箱，别的还得研究研究

```bash
global:
  resolve_timeout: 5m # 故障恢复后，等待5分钟发送恢复通知
  # -------- SMTP邮箱配置 --------
  smtp_smarthost: 'smtp.qq.com:465'   # QQ邮箱SMTP服务器+SSL端口
  smtp_from: 'galen.wang@foxmail.com' # 发件邮箱，就是你的邮箱
  smtp_auth_username: 'galen.wang@foxmail.com' # SMTP登录用户名
  smtp_auth_password: 'lxxxxxxxxcg' # 填授权码！不是邮箱密码
  smtp_require_tls: false # 465端口SSL模式，关闭TLS校验

# 路由规则：告警分组、合并、分发
route:
  group_by: ['alertname']        # 根据告警名称分组，相同告警合并消息
  group_wait: 10s                # 收到第一条告警后，等待10s，收集同组告警一起发送
  group_interval: 10s            # 同一组告警，连续两次推送最小间隔
  repeat_interval: 1h            # 同一个告警，重复发送间隔1小时，防止轰炸
  receiver: 'email-receiver'     # 默认接收者，下面定义的邮件接收器

receivers:
  - name: 'email-receiver'
    email_configs:
      - to: 'galen.wang@foxmail.com' # 收件邮箱，发给自己
        send_resolved: true # 告警恢复时，同样发送恢复邮件

# 抑制规则：严重告警触发时，抑制同实例的警告告警，避免短时间大量邮件
inhibit_rules:
  - source_match:
      severity: 'critical'
    target_match:
      severity: 'warning'
    equal: ['alertname', 'instance']
```

## 运行
检查文件没有问题就执行
```bash
docker compuse up -d
```