实时链路监控要监哪些指标才有效？丢包、RTT、路径变更与告警阈值怎么定？
最痛的不是“网络出问题”，而是问题发生时你只有一句话“好像变慢了”。业务超时飙升；监控面板却一片正常；用户分布在不同地区；有的全挂有的没事；链路抖动断断续续；过一会儿又恢复；事后复盘找不到证据。实时链路监控如果只盯带宽和平均延迟；基本等于没监。
结论先给到位：
有效的链路监控要覆盖四类信号：丢包与重传；RTT分位数与抖动；路径变更与绕行；以及错误结构与恢复时间。
告警阈值不能只靠固定数；要结合基线与分位数；用连续窗口与双条件降低误报。
最稳的落地方式是“分层探测 + 分段指标”：端到端探测给结果；分段指标给原因；最终能定位到具体链路段。
本文只解决一个问题：
给你一套实时链路监控的指标体系与告警阈值设计方法；讲清楚丢包、RTT、路径变更怎么量化；阈值怎么定才不误报也不漏报；并把排障闭环跑起来。
一、监控先分清你要解决的四类问题
1、可达性问题：能不能通
典型表现是连接失败、握手失败、DNS失败。可达性出问题通常需要秒级发现；否则上层重试会很快把系统拖进雪崩。
2、质量问题：通是通但体验差
典型表现是P95/P99升高、抖动变大、偶发超时。平均延迟常常看不出来；必须看分位数与尖峰密度。
3、路径问题：绕路或变更导致局部异常
典型表现是某些地区突然变差；同一目标在不同出口差异巨大；问题呈现“区域性”。路径变更很容易被误判为节点性能问题。
4、恢复问题：出了事多久能恢复
监控的价值不止报警；更要能衡量恢复时间。恢复越慢；说明你的切流、熔断、降级或上游协同越弱。
二、丢包与重传怎么监才抓得到真问题
1、丢包要分方向与分段
端到端丢包只能告诉你“有问题”；不能告诉你“哪段问题”。更有效的做法是同时监：
客户端到边缘或代理段的丢包与重传；
边缘到源站或目标段的丢包与重传。
否则你分不清是本地出口、运营商、机房出口还是目标入口。
2、丢包别只看百分比；要看持续性
0.5%的丢包如果持续存在；会比一次性2%的尖峰更致命。建议同时监：分钟级丢包率；连续丢包窗口数；重传率与重传次数分布。重传率上升常是拥塞或不稳定的早期信号。
3、把丢包与业务超时对齐
当超时上升时；丢包与重传是否同步上升；当切换线路后；丢包是否下降、成功率是否回升。网络指标与业务指标同屏对齐；才能区分网络类与目标端类问题。
4、丢包告警用双条件
用“丢包率超过阈值 + 连续窗口”触发；比如连续两个5分钟窗口丢包率超基线；同时重传率显著上升；才触发高优告警。
三、RTT怎么监才不会被平均值骗
1、RTT看分位数与抖动；别只看平均
建议监：RTT的P50/P95/P99；抖动指标例如P99-P50；尖峰密度每分钟超过阈值次数。尾部与尖峰能直接对应“偶发卡死”。
2、RTT按地区与运营商拆分
全局RTT正常；局部可能已劣化。把RTT按地域、ASN或出口机房拆开；才能抓到区域性事故。
3、RTT异常要联看拥塞信号
RTT升高不一定是距离变远；也可能是拥塞排队。同步看出口带宽利用率、连接建立耗时变化；能更快判断是拥塞还是绕行。
4、RTT阈值基于基线
不同目标基线差异很大。用相对基线：P95高于历史同时间段基线的X倍；或高于基线加Y毫秒；并且连续两个窗口成立才告警。
四、路径变更怎么监才看得到“绕路”
1、路径变更是一组信号
常见表现是RTT阶跃；丢包结构变化；某地区异常集中；某目标域名突然变差。要组合这些信号；别只靠一次traceroute截图。
2、监“路径指纹”
记录关键跳点ASN、出入口机房、路径长度变化的摘要。指纹变化再触发更细采样；避免重型探测全量跑造成噪声与成本。
3、把路径变更和策略变更对齐
很多“路径变更”其实是内部改动：出口策略、DNS、权重。没有变更留痕；就分不清外部故障与内部变更。
4、路径变更告警要分级
轻度变更只提示；重大变更才报警。重大变更可定义为：路径指纹变化；且RTT/丢包同时恶化；并影响关键业务成功率。
四、告警阈值怎么定才不误报也不漏报
1、阈值先分级；再分目标
建议三层：提示级观察趋势；预警级提醒值班；严重级触发联动。不同目标域名、不同地区基线不同；不宜全局一刀切。
2、连续窗口 + 双条件降噪
单点尖峰太常见；更该盯“持续异常”。常用组合：连续两个窗口超阈值；且失败结构或业务成功率同步恶化。
3、告警要能联动并回写效果
联动包括：异常出口降权或切到备用路径；异常目标降并发并加冷却；抓取诊断包记录路径指纹与分段耗时。联动后回写恢复效果；形成闭环。
4、落地示例把监控跑成可执行体系
新手可照抄这一段：
端到端每分钟采样成功率、RTT P95/P99与丢包率；分段记录DNS/TCP/TLS/HTTP耗时与失败结构；告警用基线相对阈值且连续两个窗口成立；严重告警需同时满足网络指标恶化与业务成功率下降；触发后自动降权异常路径并抓取诊断包；恢复后记录恢复时间并复盘阈值。
多人协作时；阈值与联动容易被“人为调乱”：临时改阈值消音；改路由策略不留痕；手工切流导致数据对不上。拉力猫指纹浏览器更适合把监控控制台、告警规则台、路由策略台按角色拆成独立工作区；固定会话与权限边界并留痕；让阈值调整与联动动作可追溯、可回滚、可复盘；避免监控系统被协作噪声拖垮。