借助sniffer诊断linux网络故障

《借助sniffer诊断linux网络故障》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、借助sniffer诊断Linux网络故障嗅探器(sniffer)在网络安全领域是一把双刃剑，一方而常被黑客作为网络攻击工具，从而造成密码被盗、敏感数据被窃等安全事件；另一方面又在协助网络管理员监测网络状况、诊断网络故障、排除网络隐患等方面有着不可替代的作川。嗅探器是企业必不可少的网络管理工具。本文以Linux平台卜•三个常用的网络嗅探器Tcpdump>Ethereal和EtherApe为例，介绍如何借助sniffei•来诊断网络故障，从而保障网络高效安全地运行。简介嗅探器(sniffer)乂称为包嗅探器，是用來截获计算机网络通信数据的软件或硕件。与电话电路不同，计算机网络是共享通信通

2、道的，从而意味着每台计算机都可能接收到发送给其它计算机的信息，捕获在网络中传输的数据信息通常被称为监听(sniffing)o嗅探器常常作为一•种收集网络屮特定数据的有效方法，是利用计算机的网络接口截获冃的地为其它计算机数据报文的一种工具。嗅探器工作在网络环境中的底层，可以拦截所有正在网络上传送的数据，从而成为网络安全的一个口大威胁。通过对网络进行嗅探，一些恶意用户能够很容易地窃取到绝密文档和敏感数据，因此嗅探器经常被黑客当作网络攻击的一种基本手段。任何工具都有弊有利，嗅探器既可以作为黑客获得非法数据的手段，但同时对网络管理员来讲又是致关重要的。通过嗅探养，管理员可以诊断出网络中大量的

3、不可见模糊问题。这些问题通常会涉及到多台计算机Z间的界常通信，而且可能会牵涉到多种通信协议。借助嗅探器，管理员还町以很方便地确定出哪些通信量属丁•某个特定的网络协议、占主要通信量的主机是哪台、各次通讯的目标是哪台主机、报文发送占用多少时间、各主机间报文传递的间隔时间等。这些信息为管理员判断网络问题及优化网络性能，提供了十分宝贵的信息。作为一种发展比较成熟的技术，嗅探器在协助监测网络数据传输、排除网络故障等方面有着不可替代的作用，倍受网络管理员的青睐。可以通过分析网络流量来确定网络上存在的齐种问题，如瓶颈效应或性能下降厂也可以用来判断是否有黑客止在攻击网络系统。如果怀疑网络正在遭受攻击

4、，通过嗅探器截获的数据包可以确定正在攻击系统的是什么类型的数据包，以及它们的源头，从而可以及时地做出响应，或者对网络进行相应的调整，以保证网络运行的效率和安全。网络管理员在检测网络故障及维护网络正常通信的过程屮，经常需耍借助嗅探器提供的某些功能。一般的嗅探器都提供以下一些功能：1.自动从网络中过滤及转换有用的信息；2.将截获的数据包转换成易于识别的格式；3.对网络环境中的通讯失败进行分析;4.探测网络坏境下的通讯瓶颈；1.检测是否有黑客正在攻击网络系统，以阻止其入侵；2.记录网络通信过程。本文介绍如何在Linux平台下利用嗅探器来截获在网络屮传递的数据信息，从而检测出是否存在网络瓶颈

5、，以及可能存在的网络故障。在Linux平台下可用的嗅探器非常多，各口的功能和长处也不尽相同，本文丄耍以Tcpdump、Ethereal和EtherApe三种嗅探器为例，讲述如何利川各自的优点来对Linux网络的性能和故障进行系统的分析和检测。♦TcpdumpTcpdump是一个命令行方式的网络流量监测工具。它诞生的时间较早，是许多图形化嗅探器的雏形。♦EtherealEthereal是一个图形化的网络流量监测工具，比命令行方式的Tcpdump友好很多，可以实时地观看捕获过程。♦EtherApeEtherApe也是一个图形化的网络流量监测工具。与Ethereal不同，EtherApe可

6、以通过对主机间的连接进行检测，图形化地显示网络活动，因而能更加直观地显示出整个网络所处的状态。sniffer工作原理在基于TCP/IP协议的局域网中，当数据由应川层自上而下传递时，首先在网络层形成IP数据包，然后再向卜•到达数据链路层，由数据链路层将IP数据包分割为数据帧，加上以太网包头后向下发送到物理媒体上。以太网包头中包含着本地主机和目标主机的MAC地址，位于链路层的数据帧是依靠48位的MAC地址而非IP地址来寻址的，网络接口卡的驱动程序不会关心IP数据包的目的IP地址。它所需耍的仅仅是数据包屮的MAC地址。当局域网内的主机都通过集线器(HUB)等方式连接时，一般采用的是共享式的

7、连接。这种共享式的连接有一个很明显的特点：发送数据时物理上采用的是广播方式。当一台主机向另一台主机发送数据时，共享式的HUB会将接收到的所有数据向HUB上的每个端口转发。也就是说，当主机根据MAC地址发送数据包时，尽管发送端主机告知口标主机的地址，但并不意味着一个网络内的其它主机不能监听到发送端和接收端之间传递的数据。因此从理论上说，当采用共享式连接时，位于同一网段的每台主机都可以截获在网络中传输的所有数据。正常情况卜•，局域网内同一网段的所有网卡虽然都具