客户端通过NAT连接上网，有的客户端可以访问server端，有的不可以，通过访问固定请求的URL抓包排查和解决问题。
1、http contains "/frontend" 过滤出来客户端请求的这个URL。
2、跟踪一下流（follow stream），看请求是否正常。
3、打开客户端的包，发现请求失败的是重传包，过滤一下 tcp.analysis.retransmission 
可以看到有四次请求重传
思考：
A、不是云盾问题，因为云盾是基于ip的；
B、检查系统内没有云锁之类的软件，iptables也没开；
C、检查系统参数 sysctl –p （-a打印所有）看到有timestamp；
4、对比timestamp
失败的截图
成功的截图
成功的timestamp都很大，修改/etc/sysctl.conf文件里面得net.ipv4.tcp_timestamps=0即可
timestamp扩展：
同时开启timestamp（时间戳）和tw_recycle（快速回收）,会导致在一个MSL时间内只响应timestamp递增的请求，对于时间戳较小的请求都抛弃了（不响应ack）。
MSL扩展： RFC793中规定MSL为2分钟，也就是说2分钟内同一个ip的请求的时间戳要求递增，不是递增的话服务器不予响应。
快速甄别：使用netstat收集被拒的报文统计
SYNs to LISTEN sockets dropped 所有在syn阶段就拒绝的包
passive connections rejected because of time stamp 因为timestamp校验被拒绝的包
# netstat -st | egrep -i "drop|reject|overflowed|listen|filter"
671 ICMP packets dropped because they were out-of-window
921102 passive connections rejected because of time stamp 注意这里
14878 packets rejects in established connections because of timestamp
89113 times the listen queue of a socket overflowed
3470836 SYNs to LISTEN sockets dropped
TCPBacklogDrop: 14
TCPDeferAcceptDrop: 4533
IPReversePathFilter: 10387
# netstat -st | egrep -i "drop|reject|overflowed|listen|filter"
671 ICMP packets dropped because they were out-of-window
921103 passive connections rejected because of time stamp 注意这里，
14878 packets rejects in established connections because of timestamp
89113 times the listen queue of a socket overflowed
3470837 SYNs to LISTEN sockets dropped
TCPBacklogDrop: 14
TCPDeferAcceptDrop: 4533
IPReversePathFilter: 10387
