以太网数据包捕获技术研究

《以太网数据包捕获技术研究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、以太网数据包捕获技术研究于文珠(同济大学软件学院)摘要：分析了数据包捕获概念和基本原理，以及在共享和交换网络下捕总线结构中。从本质上讲，以集线器为核心的以太网同原先的总线型获数据包的实现方法：重点介绍了常见的包捕获机制。以太网无根本区别，集线器并不处理或检查其上的通信量，仅通过将关键词：数据包捕获以太网一个端口接收的信号重复分发给其他端口来扩展物理介质。所有连1数据包捕获概述接到集线器的设备共享同～介质，其结果是它们也共享同一冲突域、计算机网络在传输数据时，为了保证所有共享网络资源的计算广播和带宽。因此集线器和它所

2、连接的设备组成了一个单一的冲突机都能公平、迅速地使用网络，通常把数据分割成若干小块作为传域。如果一个节点发出一个广播信息，集线器会将这个广播传播给所输单位进行发送，这样的传输单位我们通常称之为包，也叫“数据有同它相连的所有节点，因此它也是一个单一的广播域。包”。目前有两种方法可以从网络中捕获数据包，一种是采用专用硬当局域网内的主机通过HUB连接时，HUB的作用就是局域网件，另一种是利用普通计算机与网络连接的通用硬件——网络适配上面的一个共享的广播媒体，所有通过局域网发送的数据首先被送器，即网卡，由软件来完成数据包的

3、捕获。虽然由软件来捕获数据包到HUB，然后HUB将接收到的所有数据向它的每个端口转发。因此的方法在性能上比不上专用硬件，但其实现成本相对更低，且易于我们只要将某台主机的网卡设置为混杂模式，就可以接收到局域网修改和更新。基于以上原因，采用软件的捕获方法得到了广泛的使内所有主机问的数据流量。用和认同。3_2在交换以太网中捕包在交换式以太网中，交换机根据收到从网络捕获数据包是所有网络安全产品实现中非常重要的一数据帧中的源MAC地址建立该地址同交换机端口的映射，并将其环，它是安全产品其它功能的基础，而实现网络捕包的一个最重

4、要的写入MAC地址表中。当有数据包发送到交换机时，交换机会将数据条件就是要能够接收网络上所有的数据包。要满足此条件就必须了包中的目的MAC地址与自己维护的MAC地址端口映射表中的数解数据包在网络上的传输方式。计算机网络从传输方式的角度分为据进行对照，然后将数据包发送到对应的端口上。对交换机而言，仅两类：采用点到点连接的网络和采用广播方式的网络。广域网中一般有两种情况会发送广播，一是数据包的目的MAC地址不在交换机采用点到点连接方式，而几乎所有的局域网都以广播方式作为通信维护的数据库中，此时数据包向所有端口转发，这一

5、过程称之为泛洪的基础，网上的站点共享信道，一个站点发出的数据包，其他站点均(flood)；二是数据包本身就是广播包。能收到，也就是说，任一台计算机都可以接收到网络中同一个共享域不同于工作在物理层的集线器，交换机是工作在数据链路层的。的所有的数据通讯。由于端口间的传递的数据帧彼此屏蔽，因此节点就不担心自己发送2以太网捕获数据包的实现原理的帧在通过交换机时是否会与其他节点发送的帧产生冲突。交换机在以太网上通讯的每张网卡上都拥有一个全球唯一的物理地将中突隔绝在每一个端口{每个端口都是一个冲突域)，避免了；中突址，也叫MA

6、C地址。该地址是一个48比特的二进制数。在以太网卡的扩散。因此，基于交换机以太网建立的局域网并不是真正的广播媒中内建有一个数据包过滤器。该数据包过滤器的作用是保留以本身体，交换机限制了被动监听工具所能截获的数据。因此，要捕获数据网卡的MAC地址为通讯目的的数据包和广播数据包，丢弃所有其包就必须将捕包系统运行在网关或路由器上，如果想在网段的任意它无关的数据包，以免CPU对无关的数据报作无谓的处理。这是以一台主机上实现捕包功能，就需要采取其它的方法：太网卡在一般情况下的工作方式。因此在正常情况下，一个合法的网3．2．1

7、端口镜像。当路由器或交换机具备端口镜像功能时，我们络接口应该只响应这样的两种数据包{帧)：可以通过镜像端口完成抓包工作。路由器或交换机的端口镜像功能，①帧的目标地址具有和本地网络接口相匹配的硬件地址。是指可以将一个端口的流量自动复制到另～端口，供网络管理员在②帧的目标地址是“广播地址”(代表所有的接口地址)，格式为判断网络问题日寸对端口流量和内容进行实时分析。通过交换机的镜“FF—FF—FF—FF—FF—FF”。像端口，这些流量就可以被一个特殊的设备监控，对发现和排除故障在接收到上面两种情况的数据帧时，网卡通过CP

8、U产生中断，有很大的帮助。操作系统进行中断处理后将帧中包含的数据传送给上层系统进行进3_2．2MAC洪泛法。通过在局域网上发送大量随机的MAC地一步处理。在其他情况下数据帧将被丢弃而不作处理。址，以造成交换机的内存耗尽，当内存耗尽时，一些交换机便开始向要想捕获到流经网卡的不属于本主机的数据，必须绕过系统正所有连在它上面的链路发送数据。不过这种方法对网络会造成