SnifferPro测试.doc

实验9 局域网网络性能测试与分析网络运行情况一、 安装Sniffer软件双击Sniffer安装软件，按提示信息进行安装。因为实验计算机上已经安装了Sniffer软件，所以只需选择“开始”-“程序”-Sniffer Pro-Sniffer即可打开软件。二、 对默认状态下的报文进行捕获解析（1）在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。（2）捕获报文查看如下图所示，是对于捕获的报文提供了一个Expert专家分析系统进行分析，还有解码选项及图形和表格的统计信息。专家分析系统提供了一个智能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。在下图中显示出在网络中WINS查询失败的次数及TCP重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。对于MAC地址，Snffier软件进行了头部的替换，这样有利于了解网络上各种相关设备的制造厂商信息。功能是按照过滤器设置的过滤规则进行数据的捕获或显示。在菜单上的位置分别为 Capture-Define Filter和Display-Define Filter。过滤器可以根据物理地址或IP地址和协议选择进行组合筛选。三、设置捕获条件并对其数据进行分析 1、基本捕获条件基本的捕获条件有两种：（1）链路层捕获，按源MAC和目的MAC地址进行捕获，输入方式为十六进制连续输入。（2）IP层捕获，按源IP和目的IP进行捕获。输入方式为点间隔方式，如：。如果选择IP层捕获条件则ARP等报文将被过滤掉。2、高级捕获条件在“Advance”页面下，你可以编辑你的协议捕获条件，如图：高级捕获条件编辑图在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。在保存过滤规则条件按钮“Profiles”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。3、任意捕获条件在Data Pattern下，你可以编辑任意捕获条件，如下图：用这种方法可以实现复杂的报文过滤，但很多时候是得不偿失，有时截获的报文本就不多，还不如自己看看来得快。 四、使用Sniffer pro监控网络流量 网络监视功能能够时刻监视网络统计，网络上资源的利用率，并能够监视网络流量的异常状况，这里只介绍一下Dashbord和ART，其他功能可以参看在线帮助，或直接使用即可，比较简单。1、Dashbord Dashbord可以监控网络的利用率，流量及错误报文等内容。通过应用软件可以清楚看到此功能。2、Application Response Time (ART)Application Response Time (ART) 是可以监视TCP/UDP应用层程序在客户端和服务器响应时间，如HTTP,FTP,DNS等应用。五、使用sniffer监控“广播风暴” 1、设置广播过滤器打开SnifferPRO后，选择Monitor菜单下的DefineFilter。我们首先来新键过滤器，并将其名定义为Broadcast.定义好名称后，选择Address标签下的KnownAddress(Dragable)选择框，从中展开Broadcast/MulticastAddress.将其下的Broadcast(FFFFFFFFFFFF)使用鼠标左键拖入Station1中。如图一：（图一）2、选择广播过滤器同样在Monitor菜单下，选择SelectFitler,选中我们刚才定义好的broadcast，记得一定要将Applymonitorfitler打勾选中。如图二：（图二）3、网络正常时的广播数据。我们先通过SnifferPRO提供的“仪表盘”来查看，以下分别是广播包合计统计（图三）、广播包平均数统计图（图四）。需要说明的是：1、由于之前定义好了过滤器，现在所统计的数据均为广播数据。2、在仪表盘详细统计界面，除了统计Network相关数据外，还对数据包大小分布、错误数据包进行详细的分类，以供查看。3、错误数据包捕获和查看，需要专用网卡的支持。4、（图三）为截止当前时间，广播数据包合计为7888。5、（图四）中显示当前每秒平均广播数据包个数为1个。（图三）（图四）4、出现广播风暴时，仪表盘变化平均广播数据包/秒的统计，由刚才的1爆发式增长为2532，广播数据包中的字节数也由256Byte/s增长为225476Byte/S。我们知道在快速以太网中，数据的传输带宽为100Mbp/S,通过换算约为12.5MBps*1024=12800Byte/S.每秒交换线路的每节点最高能承受12800Byte/S的数据通过，而现在广播数据量已经远远高于这个数字，也就发生通常所说的“网络风暴”、“网络瘫痪”。5、通过SnifferPRO提供的Alarm告警系统，查看“广播风暴”图六为SnifferPRO在“广播风暴”时的告警。我们可以通过Monitor下的Alarmlog查看。软件默认Broadcasts每秒2000，超过设定的阀值，软件则会报警。（图六）6、SnifferPROAlarm告警系统修改Alarm告警系统默认阀值都可以修改，选择Tools下Options,然后点击MAC-Threshold选项卡即可。软件提供了20个可以修改的项目，如果你觉得Utilization(利用率)在你现有网络上，50%上显的太小，可以将其更改为80%（快速以太网一般利用率不超过80%）。而Broadcast/s2000的数值又显的太大，都可以在这里做出更改。如图（七）（图七）除了可以修改默认阀值外，在系统出现警告时，可以选择通知方式甚至可以使用VB程序自定义动作来打开第三方程序。比如设置告警音，或者通过发送电子邮件等方式通知网络管理员。SnifferPRO将Alarm告警划分为不同级别：有严重、重要、次要、警告、通知。我们可以在Alarm选项卡里做出调整。六、问题： 1. 网络监控软件的主要目标有哪些？ 答：网络监控软件的主要目标有：网络流量、网络状态、设备、性能的监控，对指定端口进行封堵、对选定电脑使其只能浏览指定的网站。1. Sniffer的工作原理是什么？答：通常在同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力，而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其他网络接口的硬件地址，同时，每个网络至少还要一个广播地址。（代表所有的接口地址），在正常情况下，一个合法的网络接口应该只响应这样的两种数据帧：帧的目标区域具有和本地网络接口相匹配的硬件地址。帧的目标区域具有广播地址。在接受到上面两种情况的数据包时，nc通过cpu产生一个硬件中断，该中断能引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理。而sniffer就是一种能将本地nc状态设成（promiscuous）状态的软件，当nc处于这种混杂方式时，该nc具备广播地址，它对