如何快速定位异常流量原因

　　在保证中间物理线路畅通的前提下，一般面对设备时通时断，首先应该登陆设备查看设备的板卡是否正常，查看设备的各项性能参数是否正常，如内存利用率，cpu利用率，各个端口实时速率是否在正常范围内。

　　我们在联系当地网管中心确保线路无故障后，登陆设备查看Flex5010 cpu利用率，高达60%

以下是引用片段：
　　shcpuu
　　YC_YZSFH5010_01(config)#shcpuusage
　　cpuusage:60%

　　并实时监控交换机带宽，如下图。发现端口(流入流出)流量并不大，25口为上行端口，最大流量还没有500kbps。下联端口最大流量的端口11，流量还没有100kbps。

　　故障定位二：是交换机，还是下挂用户有问题?

　　于是联系当地信息中心询问情况，反映上网速度很慢，几乎上不了。拔掉流量较大的几个端口port11、port9的双绞线，过段时间观测，正常。但是一旦插上port9、port11的双绞线，过一段时间观测，设备又有上述问题。当地信息中心工程师得出结论是，Flex5010只能下接8个交换机，如果在任意端口下加挂一台交换机的话，就会出现问题：设备down，不能远程登陆，用户不能上网。

　　出现上述情况只有两种可行性：一是Flex5010交换机设备本身有问题，二是交换机下挂交换机用户有病毒。后联系港湾工程师，反映设备出现问题的概率很小，建议抓包看看是否有病毒。

　　在Flex5010上，做端口镜像，用sniffer pro进行抓包分析：