网络嗅探教程：使用snifferpro监控网络流量

《网络嗅探教程：使用snifferpro监控网络流量》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、网络嗅探教程：使用SnifferPro监控网络流量～教育资源库　　随着互联网多层次性、多样性的发展，网吧已由过去即时通信、浏览网页、电子邮件等简单的应用，扩展成为运行大量在线游戏、在线视频音频、互动教学、P2P等技术应用。应用特点也呈现出多样性和复杂性，因此，这些应用对我们的网络服务质量要求更为严格和苛刻。　　目前，大多数网吧的网络设备不具备高端网络设备的智能性、交互性等扩展性能，当网吧出现掉线、网络卡、遭受内部病毒攻击、流量超限等情况时，很多网络管理员显的心有于而力不足。毕竟，靠网络管理员的经验和一些简单传统的排查方法：无论从时间上面还是准确性上面都存在很大的误差，同时也影响了工作

2、效率和正常业务的运行。　　SnifferPro著名网络协议分析软件。本文利用其强大的流量图文系统HostTable来实时监控网络流量。在监控软件上，我们选择了较为常用的NAI公司的snifferpro，事实上，很多网吧管理员都有过相关监控网络经验：在网络出现问题、或者探查网络情况时，使用P2P终结者、网络执法官等网络监控软件。这样的软件有一个很大优点：不要配置端口镜像就可以进行流量查询（其实snifferpro也可以变通的工作在这样的环境下）。这种看起来很快捷的方法，仍然存在很多弊端：由于其工作原理利用ARP地址表，对地址表进行欺骗，因此可能会衍生出很多节外生枝的问题，如掉线、网络变

3、慢、ARP广播巨增等。这对于要求正常的网络来说，是不可思议的。　　在这里，我们将通过软件解决方案来完成以往只有通过更换高级设备才能解决的网络解决方案，这对于很多管理员来说，将是个梦寐以求的时刻。　　硬件环境（网吧）：　　100M网络环境下，92台终端数量，主交换采用D-LINK（友讯）DES-3226S二层交换机(支持端口镜像功能)，级联普通傻瓜型交换机。光纤10M接入，华为2620做为接入网关。　　软件环境：　　　操作系统irroringConfigurations（高级配置镜像配置）　　图3　　5.将MirrorStatus选择为Enable（默认为关闭状态，开启），本例中将Po

4、rt-1端口设置为监听端口:TargetPort=Port-1，其余端口选择为Both，既：监听双向数据（Rx接收Tx发送），选择完毕后，点击Apply应用设置。　　此时所有的端口数据都将复制一份到Port-1。（如图4）　　图4　　接下来，我们就可以在Port-1端口，接入计算机并安装配置SnifferPro。　　步骤二：SnifferPro安装、启动、配置　　SnifferPro安装过程与其123下一页友情提醒：，特别！它应用软件没有什么太大的区别，在安装过程中需要注意的是：　　①SnifferPro安装大约占用70M左右的硬盘空间。　　②安装完毕SnifferPro后，会自动在

5、网卡上加载SnifferPro特殊的驱动程序（如图5）。　　③安装的最后将提示填入相关信息及序列号，正确填写完毕，安装程序需要重新启动计算机。　　④对于英文不好的管理员可以下载网上的汉化补丁。　　图5　　我们来启动SnifferPro。第一次启动SnifferPro时,需要选择程序从那一个网络适配器接收数据，我们指定位于端口镜像所在位置的网卡。　　具体位于：File->selectSettings->NeHost（原主机）、in/outpackets/bytes(接收、发送字节数、包数)等字段信息以二维表格的方式显示。　　第四步：基于IP层流量　　1.为了进一步分析219

6、.*.238.93的异常情况，我们切换至基于IP层的流量统计图中看看。　　点击菜单栏中的Monitor->HostTable，选择HostTable界面左下角的MAC-IP-IPX中的IP。　　2.找到IP：219.*.238.93地址（可以用鼠标点击IPAddr排序，以方便查找）->选择singlestation->bar（如图11所示）上一页123下一页友情提醒：，特别！　　图11　　3.我们切换至TrafficMap来看看它与所有IP的通信流量图。（图12）　　图12　　我们可以从219.*.238.93的通信图中看到，与它建立IP连接的情况。图中IP连接数目

7、非常大，这对于普通应用终端来讲，显然不是一种正常的业务连接。我们猜测，该终端可能正在进行有关P2P类的操作，比如正在使用P2P类软件进行BT下载、或者正在观看P2P类在线视频等。　　为了进一步的证明我们的猜测，我们去看看219.*.228.93的流量协议分布情况。　　4.如图（13）所示：Protocol类型绝大部分为Othen.我们知道在SnifferPro中Othen表示未能识别出来协议，如果提前定义了协议类型，这里将会直接显现出来。　　图13　　如图