第4章：LTE S1接口抓包：S1-MME与S1-U接口、S1AP协议解析、GTP-U协议解析、S1抓包配置
各位好，欢迎来到实战篇的第一站。前面几章我们聊了LTE的整体架构和空口基础，但说实话，真正让网络“跑起来”的，是那些看不见的接口信令。今天咱们就聚焦S1接口——它是eNodeB通往核心网的唯一通道，也是我当年排查“用户附着失败”问题时，第一个学会抓包的地方。
S1接口分两条路：一条走控制面（S1-MME），一条走用户面（S1-U）。你想想看，一个手机要上网，先得通过S1-MME完成附着、鉴权、建立承载，然后数据才从S1-U流过去。这两条路，缺一不可。
核心要点：S1接口是LTE网络中eNodeB与EPC之间的逻辑接口。控制面走S1AP协议，用户面走GTP-U协议。抓包时，你必须清楚自己抓的是哪条路，否则分析起来会一头雾水。
4.1 S1-MME与S1-U接口：两条路，两种使命
先看一张我手绘的接口关系图，帮你快速建立整体认知。
这张图我画了很多遍。每次给团队新人讲S1接口，我都会先让他们盯着这张图看两分钟。为什么？因为搞懂了这两条路，你才知道抓到的包到底属于谁。
4.2 S1AP协议解析：控制面的“翻译官”
S1AP（S1 Application Protocol）是S1-MME接口上的核心协议。说白了，它就是eNodeB和MME之间沟通的“共同语言”。
我记得有一次，客户反馈某个基站下的用户频繁掉线。我抓了S1-MME的包，发现S1AP层反复出现UE CONTEXT RELEASE REQUEST，原因值写的是User Inactivity。嗯，这其实不是故障，是正常的空闲态释放。但客户不理解，以为是基站有问题。你看，不懂协议，就会被表象骗了。
4.2.1 S1AP消息结构
S1AP消息分为两类：
- 基本过程（Elementary Procedure, EP）：完成一个独立的功能，比如初始上下文建立、UE上下文释放。
- 消息类型：每个EP包含请求、响应、失败等消息。
一个典型的S1AP消息长这样：
S1AP-PDU
initiatingMessage
procedureCode: id-initialContextSetup (9)
criticality: reject
value
InitialContextSetupRequest
protocolIEs
- id: 0 (MME-UE-S1AP-ID)
value: 12345
- id: 10 (UERadioCapability)
value: ...
- id: 28 (E-RABToBeSetupList)
value: ...你抓包时，重点关注几个关键字段：
| 字段 | 含义 | 实战价值 |
|---|---|---|
| MME-UE-S1AP-ID | MME侧分配的UE标识 | 关联同一UE的不同消息 |
| eNB-UE-S1AP-ID | eNodeB侧分配的UE标识 | 与MME侧ID配对使用 |
| E-RAB ID | 承载标识 | 区分不同业务承载 |
| Cause | 原因值 | 排查失败根因的关键 |
我的小技巧：在Wireshark中，直接过滤s1ap就能看到所有S1AP消息。如果想看某个UE的完整信令流程，用s1ap.mme_ue_s1ap_id == 12345过滤，非常方便。
4.2.2 常见S1AP流程
实际项目中，你遇到最多的S1AP流程就这几个：
- 初始上下文建立：UE附着时，MME通知eNodeB建立初始上下文，包含安全参数和承载信息。
- UE上下文释放：UE进入空闲态或连接异常时触发。
- NAS消息传输：透传UE和MME之间的NAS消息，比如鉴权、身份请求。
- 寻呼：网络侧寻呼空闲态UE。
- 重置：eNodeB或MME异常时，重置S1接口。
我曾经遇到一个案例：某局点大量UE附着失败。抓包一看，S1AP层反复出现INITIAL CONTEXT SETUP FAILURE，原因值是Radio Network Layer: no_radio_resources_available。说白了，就是基站没资源了。后来发现是某个小区配置的PRB上限被调得太低。你看，一个S1AP原因值，直接定位到了根因。
4.3 GTP-U协议解析：用户数据的“搬运工”
如果说S1AP是控制面的“翻译官”，那GTP-U就是用户面的“搬运工”。它负责把用户的IP数据包，从eNodeB搬到S-GW，再搬到P-GW，最终送上互联网。
GTP-U协议本身不复杂，但有一个关键概念你必须搞懂——TEID（Tunnel Endpoint Identifier）。每个GTP-U隧道都由一对TEID标识，一个在eNodeB侧，一个在S-GW侧。
4.3.1 GTP-U报文结构
一个标准的GTP-U报文长这样：
GTP-U Header
Version: 1
Protocol Type: GTP-U (1)
Message Type: G-PDU (0xFF)
TEID: 0x12345678
Sequence Number: 100
N-PDU Number: 0
Next Extension Header Type: 0
Payload: 原始IP数据包（用户的真实数据）抓包时，你重点关注这几个字段：
| 字段 | 长度 | 说明 |
|---|---|---|
| TEID | 4字节 | 隧道端点标识，用于区分不同用户的隧道 |
| Sequence Number | 2字节 | 可选，用于检测丢包和乱序 |
| Message Type | 1字节 | 0xFF表示G-PDU（用户数据），其他值表示信令消息 |
⚠️ 注意：GTP-U的TEID是动态分配的。同一个UE在不同承载上可能有不同的TEID。抓包分析时，别把TEID当成固定标识。我曾经见过有人用TEID去关联用户，结果对不上号，查了半天才发现是承载切换了。
4.3.2 GTP-U与GTP-C的区别
很多新手容易把GTP-U和GTP-C搞混。我简单列个表：
| 对比项 | GTP-U | GTP-C |
|---|---|---|
| 用途 | 传输用户数据 | 隧道管理（创建、修改、删除） |
| 接口 | S1-U, X2-U, S5-U | S11, S5, S8 |
| 消息类型 | G-PDU (0xFF) | Create Session Request/Response等 |
| 抓包过滤 | gtp |
gtp（Wireshark自动区分） |
4.4 S1抓包配置：三种方法，各有千秋
好了，协议讲完了，接下来是实战环节——怎么把S1接口的包抓下来？我总结了三种主流方法，你根据现场条件选一种就行。
4.4.1 方法一：端口镜像（最常用）
端口镜像，也叫SPAN（Switched Port Analyzer），是交换机自带的功能。你把eNodeB和核心网之间的流量，复制一份到抓包设备的端口上。
配置步骤：
- 确定镜像源端口（eNodeB连接交换机的端口）
- 确定镜像目的端口（抓包电脑连接的端口）
- 在交换机上配置端口镜像
以华为交换机为例：
system-view
interface GigabitEthernet0/0/1
port-mirroring to observe-port 1 inbound
port-mirroring to observe-port 1 outbound
quit
observe-port 1 interface GigabitEthernet0/0/24这段配置的意思：把GE0/0/1口的进出流量，都复制一份到GE0/0/24口。你的抓包电脑插在GE0/0/24上，就能抓到所有S1流量了。
我的建议：端口镜像不影响现网业务，是最安全的抓包方式。但要注意，镜像口的带宽不能超过源口的带宽，否则会丢包。我曾经在高峰期抓包，镜像口带宽被打满，丢了一半的包，白忙活一场。
4.4.2 方法二：分光器（物理层复制）
分光器是纯光器件，它把光信号一分为二，一路给现网设备，一路给抓包设备。这种方式完全不影响现网，但需要光纤链路。
分光器的典型配置：
| 分光比 | 说明 | 适用场景 |
|---|---|---|
| 50:50 | 光功率均分 | 短距离、低损耗链路 |
| 70:30 | 70%给现网，30%给抓包 | 长距离、高损耗链路 |
| 90:10 | 90%给现网，10%给抓包 | 现网链路余量不足时 |
⚠️ 注意：分光器会引入光功率损耗。如果现网链路余量不足，分光后可能导致业务中断。我建议你先用光功率计测一下，确认有余量再动手。
4.4.3 方法三：软件代理（灵活但影响性能）
软件代理是在eNodeB或核心网设备上安装抓包软件，比如tcpdump。这种方式最灵活，但会消耗设备CPU资源。
在Linux设备上抓包：
# 抓取S1-MME流量（假设S1-MME使用SCTP协议，端口36412）
tcpdump -i eth0 -s 0 -w s1mme.pcap "sctp port 36412"
# 抓取S1-U流量（假设S1-U使用UDP协议，端口2152）
tcpdump -i eth0 -s 0 -w s1u.pcap "udp port 2152"
# 同时抓取S1-MME和S1-U
tcpdump -i eth0 -s 0 -w s1_all.pcap "sctp port 36412 or udp port 2152"这段命令里，-s 0表示抓取完整数据包（不截断），-w指定输出文件。我个人习惯把S1-MME和S1-U分开抓，因为分析时过滤条件不同，混在一起反而麻烦。
三种方法对比：
- 端口镜像：最推荐，不影响现网，配置简单
- 分光器：物理隔离，最安全，但需要光纤和分光器设备
- 软件代理：最灵活，但会消耗设备资源，不适合高负载场景
4.5 实战避坑指南
最后，分享几个我踩过的坑，你遇到了能少走弯路：
- 抓包文件太大：S1接口流量大，抓几分钟就可能几个GB。我建议用
-C 100参数，让tcpdump每100MB自动切文件。 - 时间不同步：抓包设备和网元设备的时间要同步。否则你分析信令流程时，时间戳对不上，根本没法看。
- 过滤条件太宽：别一上来就抓所有流量。先明确你要分析S1-MME还是S1-U，用端口号过滤，减少无效数据。
- 忽略GTP-U隧道：抓S1-U时，你看到的是GTP-U封装后的报文。要看到用户的真实IP包，需要在Wireshark中解码GTP隧道。