TCPIP协议分析工具.doc

通过TCP/IP协议分析工具(Sniffer、IRIS、TCPView、Ethereal等),让学生掌握对数据报文进行分析的基本方法,并对报文监听有初步认识。本实验着重介绍Sniffer工具。步骤1.熟悉snifferpro的基本功能步骤2.掌握snifferpro的网络监控功能步骤3.掌握snifferpro的过滤设置,并进行报文监听,对监听到的报文进行分析。SnifferSniffer软件是NAI公司推出的功能强大的协议分析软件。本文针对用SnifferPro网络分析器进行故障解决。利用SnifferPro网络分析器的强大功能和特征,解决网络问题,将介绍一套合理的故障解决方法。与Netxray比较,Sniffer支持的协议更丰富,例如PPPOE协议等在Netxray并不支持,在Sniffer上能够进行快速解码分析。Netxray不能在Windows2000和WindowsXP上正常运行,SnifferPro4.6可以运行在各种Windows平台上。Sniffer软件比较大,运行时需要的计算机内存比较大,否则运行比较慢,这也是它与Netxray相比的一个缺点。下面列出了Sniffer软件的一些功能介绍,其功能的详细介绍可以参考Sniffer的在线帮助。捕获网络流量进行详细分析利用专家分析系统诊断问题实时监控网络活动收集网络利用率和错误等在进行流量捕获之前首先选择网络适配器,确定从计算机的哪个网络适配器上接收数据。位置:File->selectsettings选择网络适配器后才能正常工作。该软件安装在Windows98操作系统上,Sniffer可以选择拨号适配器对窄带拨号进行操作。如果安装了EnterNet500等PPPOE软件还可以选择虚拟出的PPPOE网卡。对于安装在Windows2000/XP上则无上述功能,这和操作系统有关。本文将对报文的捕获几网络性能监视等功能进行详细的介绍。下图为在软件中快捷键的位置。报文捕获解析?报文??获功能可以在报文捕获面板中进行完成,如下是捕获面板的功能图:图中显示的是处于开始状态的面板捕获开始捕获暂停捕获停止捕获停止并查看捕获查看捕获条件编辑选择捕获条件捕获开始捕获暂停捕获停止捕获停止并查看捕获查看捕获条件编辑选择捕获条件?在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。捕获报文数捕获报文的数据缓冲大小详细统计信息捕获报文数捕获报文的数据缓冲大小详细统计信息?Sniffer软件提供了强大的分析能力和解码功能。如下图所示,对于捕获的报文提供了一个Expert专家分析系统进行分析,还有解码选项及图形和表格的统计信息。专家分析系统专家分析系统捕获报文的图形分析捕获报文的其他统计信息专家分析系统专家分析系统捕获报文的图形分析???获报文的其他统计信息专家分分析系统提供了一个只能的分析平台,对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容,可以方便了解网络中高层协议出现故障的可能点。对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。双击此记录可以查看详细信息双击此记录可以查看详细信息下图是对捕获报文进行解码的显示,通常分为三部分,目前大部分此类软件结构都采用这种结构显示。对于解码主要要求分析人员对协议比较熟悉,这样才能看懂解析出来的报文。使用该软件是很简单的事情,要能够利用软件解码分析来解决问题关键是要对各种层次的协议了解的比较透彻。工具软件只是提供一个辅助的手段。因涉及的内容太多,这里不对协议进行过多讲解,请参阅其他相关资料。对于MAC地址,Snffier软件进行了头部的替换,如00e0fc开头的就替换成Huawei,这样有利于了解网络上各种相关设备的制造厂商信息。捕获的报文报文解码二进制内容捕获的报文报文解码二进制内容功能是按照过滤器设置的过滤规则进行数据的捕获或显示。在菜单上的位置分别为Capture->DefineFilter和Display->DefineFilter。过滤器可以根据物理地址或IP地址和协议选择进行组合筛选。对于Matrix,HostTable,PortocolDist.Statistics等提供了丰富的按照地址,协议等内容做了丰富的组合统计,比较简单,可以通过操作很快掌握这里就不再详细介绍了。?基本的捕获条件有两种:1、链路层捕获,按源MAC和目的MAC地址进行捕获,输入方式为十六进制连续???入,如:00E0FC123456。2、IP层捕获,按源IP和目的IP进行捕获。输入方式为点间隔方式,如:10.107.1.1。如果选择IP层捕获条件则ARP等报文将被过滤掉。任意捕获条件编辑协议捕获编辑缓冲区