14 网络故障的诊断工具和命令.ppt

主要内容,使用硬件工具进行检测超级网管SuperLANAdmin网络分析仪Sniffer网络模拟器BosonNetsim使用其它方法进行检测,使用硬件工具进行检测,低端设备：电缆测试仪中端设备：网络万用表NetTool；高端设备：如Fluke公司生产的DSP-4300型高精度数字式电缆分析仪。,电缆测试仪,电缆测试仪通过使用电气原理来检查电缆的连通性。右图所示的英国BICTX6000电缆故障测试仪。,BICTX6000电缆故障测试仪特点：手持式、轻便设计、仅重350克11段量程，最长6000米测试范围25,50,75&100欧姆可选电缆阻抗具有存储功能，可存储50条轨迹USB2.0接口便于下载数据内置音频发生器可用于查线适用于通讯电缆、网线、同轴电缆等,电缆测试仪,电缆测试仪,网络万用表,网络万用表（NetTool）是Fluke公司生产的集电缆、网络及PC配置功能于一体的手持式网络测仪。,在线型：可同时连接两个网络设备，监听它们之间的流量，检测一般连通型问题；识别可用的网络资源：查看由运行着的服务器、路由器、打印机提供的MAC地址、IP地址、子网及服务；识别PC所在网络：检查PC所配置的服务列表；电缆验证：测试电缆长度、短路、串绕或开路，包括点到点的接线图。,网络万用表NetTool基本功能,数字式电缆分析仪,DSP-4300是Fluke公司DSP-4000系列高精度数字式电缆分析仪的最新产品，可提供超过5类、超5类及6类线测试所要求的TIA级精度。,测量精度高。使用新型永久链路适配器获得更准确、更真实的测试结果。能够自动诊断电缆故障并显示准确位置。可以存储全天的测试结果。将符合TIA-606A标准的电缆编号下载到DSP-4300。内含先进的电缆测试管理软件包，可以生成和打印完整的测试文档。,DSP-4300测试仪特点,（1）DSP-4300主机和智能远端；（2）CableManger软件；（3）16MB内部存储器；（4）16MB多媒体卡；（5）PC卡读取器；（6）Cat6/5e永久链路适配器；（7）Cat6/5e通道适配器；（8）Cat6/5e通道/流量监视适配器；（9）语音对讲耳机；（10）AC适配器/电池充电器；（11）便携软包；,DSP-4300测试仪的组件,（12）用户手册和快速参考卡；（13）仪器背带；（14）同轴电缆(BNC)；（15）校准模块；（16）RS-232串行电缆；（17）RJ45到BNC的转换电缆。,DSP-4300测试仪主机正面及侧面视图,DSP-4300测试仪远端部分视图,DSP-4300电缆测试仪的简要操作方法,（1）为主机和智能远端器插入相应的适配器；（2）将智能远端器的旋转开关置为ON；（3）把智能远端器连接到电缆连接的远端。对于通道测试，用网络设备接插线连接；（4）将主机上的旋转开关转至AUTOTEST档位；（5）将测试仪的主机与被测电缆的近端连接起来。对于通道测试，用网络设备接插线连接；（6）按主机上的TEST键，启动测试；（7）自动测试完成后，使用数字键给测试点进行编号，然后按SAVE键保存测试结果；（8）直至所有信息点测试完成后，使用串行电缆将测试仪和PC相连；（9）使用随机附带的电缆管理软件导入测试数据，生成并打印测试报告。,DSP-4300电缆测试仪的简要操作方法,超级网管SuperLANAdmin,网络管理软件可以掌控局域网的信息，如TCPNetView，局域网超级工具NetSuper2.1，局域网查看工具LanSee，超级网管SuperLANAdmin等。,SuperLANAdmin的中文名为超级网管，是一款极富个性的网络工具，简单易用而功能强大。SuperLANAdmin可以跨网段扫描。SuperLANAdmin具有强大的网络管理功能：上网权限（某时间段内可以上网，某时间段内限制上网）。通过分配机器上网权限，管理员就可以很轻松实时监控整个局域网,限制用户违规上网。,超级网管SuperLANAdmin,(1)网络扫描功能(2)网络管理功能选择“网络扫描”-“上网权限”选项，SuperLANadmin程序可以对网络内的计算机上网权限及时性上网时段进行管理。(3)网络监控功能选择“网络监控”-“IP流量”选项，SuperLANadmin程序可以对网络内的IP流量(TCPLUDPLICMPLIGMP)进行统计。(4)域名解析功能如果要进行域名解析，选择“系统功能”-“域名解析”选项。SuperLANadmin程序可以对网络域名进行解析。例如对的网络域名解析，可以选择“系统功能”-“域名解析”选项，在“域名”文本框中输入，单击“解析”按钮,SuperLANAdmin简单使用,网络分析仪Sniffer,Sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。Sniffer分为软件和硬件两种，软件的Sniffer有SnifferPortable、NetXray、Packetboy、Netmonitor等；硬件的Sniffer通常称为协议分析仪，如fluke公司生产的OptiView集成式网络分析仪。,Sniffer工具的介绍和安装,Sniffer根据网络的类型分为两个类别:交换环境下的Sniffer交换环境下的Sniffer往往是通过对交换机进行ARP欺骗,变成一个中间人进行截获数据.共享环境下的Sniffer共享环境下的Sniffer仅仅只需要把本机的网卡设置为混杂模式就可以监听网络上所有的数据报,而不需要进行任何欺骗行为.,SnifferPro介绍,NAI公司出品的Sniffer,作为NAI公司的主打产品,价格也是不菲的.SnifferPro是一系列网络故障和性能管理解决方案,网络专业人士可以使用它对多拓朴结构和多协议网络进行维护、故障解决、优化调整和扩展.SnifferPro软件可以在桌面机、便携式计算机或者笔记本等硬件平台上运行,SnifferPro的安装,SnifferPro的面板介绍,仪表板,点击,点击按钮，出现三个表：表显示的是网络的使用率（Utilization）表显示的是网络的每秒钟通过的包（Packets）表显示的是网络的每秒错误率（Errors）通过这三个表可以直观的观察到网络的使用情况，红色部分显示的是根据网络要求设置的上限。,Dashboard（仪表板）续,点击上图、按钮则出现下图,Hosttable（主机列表）,显示所有在线的本网主机地址及连到外网的外网服务器地址,Detail（协议列表）,点击,显示的是整个网络中的协议分布情况，可清楚地看出哪台机器运行了那些协议。,Bar（流量列表）,点击,图中显示的是整个网络中的机器所用带宽前10名的情况。显示方式是柱状图,Pie（流量列表）,点击,图中显示的是整个网络中的机器所用带宽前10名的情况。显示方式是饼状图,Matrix（矩阵）,点击,点击箭头所指的图标，出现全网的连接示意图，图中绿线表示正在发生的网络连接，蓝线表示过去发生的连接。将鼠标放到线上可以看出连接情况。鼠标右键在弹出的菜单中可选择放大（zoom）此图。,Alarm(警报),显示警报信息,点击,PacketGenerator(数据包发生器),使用数据包发生器,可以自己定义数据包进行发送.,点击,使用Snifferpro分析网络流量,选择网卡抓取单台主机的所有流量抓取telnet流量抓取ftp流量,第一次启动SnifferPro时，如果系统安装了多个网卡，系统会要求选择使用的代理或者网卡。结果选择储存在SnifferPro中，下次运行时就会自动选择同样的代理。可以在启动SnifferPro后从“File”“selectsettings”菜单项后。这时会出现一个“设定”窗口。选择网络适配器后才能正常工作。,1.选择网卡,2.抓取单台主机的所有流量,本例要抓08这台机器的所有数据包，如图中选择这台机器。点击所指图标.,抓取单台主机的所有流量(续),等到图中箭头所指的望远镜图标变红时，表示已捕捉到数据，点击该图标,抓取单台主机的所有流量(续),选择箭头所指的Decode选项即可看到捕捉到的所有包,3.抓取telnet的流量,抓取telnet的流量续(显示密码),4.抓取ftp的流量,使用Sniffer防御蠕虫病毒的案例分析,环境简介这是一个对某网络系统中广域网部分的日常流量分析，我们在其广域网链路上采用Sniffer进行流量捕获，并把产生流量最多的协议HTTP协议的网络流量过滤出来加以分析，分析过程及结果如下,1.找出产生网络流量最大的主机,我们分析的第一步，找出产生网络流量最大的主机，产生网络流量越大，对网络造成的影响越重，我们一般进行流量分析时，首先关注的是产生网络流量最大的那些计算机。我们利用Sniffer的HostTable功能，将所有计算机按照发出数据包的包数多少进行排序，结果如下图。,通过HostTable，我们可以分析每台计算机的流量情况，有些异常的网络流量我们可以直接通过HostTable来发现，如排在发包数量前列的IP地址为的主机，其从网络收到的数据包数是0，但其向网络发出的数据包是445个，这对HTTP协议来说显然是不正常的，HTTP协议是基于TCP的协议，是有连接的，不可能是光发不收的，一般来说光发包不收包是种类似于广播的应用，UDP这种非连接的协议有可能。,同样，我们可以发现，如下IP地址存在同样的问题：,首先我们对IP地址为的主机产生的网络流量进行过滤，然后查看其网络流量的流向，下面是用Sniffer的Matrix看到的其发包目标。,部分主机的流量分析,我们可以看到，其发包的目标地址非常多，非常分散，且对每个目标地址只发两个数据包。,部分主机的流量分析(续),通过Sniffer的解码（Decode）功能，我们来了解这台主机向外发出的数据包的内容。,部分主机的流量分析(续),从Sniffer的解码中我们可以看出：该主机发出的所有的数据包都是HTTP的SYN包，SYN包是主机要发起TCP连接时发出的数据包，也就是IP地址为的主机试图同网络中非常多的主机建立HTTP连接，但没有得到任何回应。目标主机IP地址非常广泛（可以认为是随机产生的），且根本不是HTTP服务器，而且发出这些包的时间间隔非常短，为毫秒级，应该不是人为发出的。通过以上的分析，我们能够非常肯定的断定，IP地址为的主机产生的网络流量肯定是异常网络流量。该主机发出的网络流量是某种软件自动发出的，很可能是感染了某种采用HTTP协议传播的病毒，不断在网络中寻找HTTP服务器，从而进行传播。,部分主机的流量分析(续),我们在来分析一下IP地址为02的主机产生的网络流量，就能清楚的看到感染病毒的计算机的网络行为轨迹。,部分主机的流量分析(续),从图中我们可以清楚的看到，IP地址02的主机先向网络中不断发出HTTP请求，寻找HTTP服务器，在发现HTTP服务器并与之建立连接后，紧接着就试图利用IIS的漏洞将病毒传播到目标主机。正是由于大量感染病毒的计算机不断向网络中发送数据包，而且是小数据包，使网络的效率非常低，大大影响网络的性能，并导致业务应用的无法正常运行，给用户带来很大损失。采用协议分析的方法，能非常直观且快速的发现这些计算机，帮助网络管理人员快速确定并解决问题。,部分主机的流量分析(续),网络模拟器BosonNetSim,在进行网络检测与维护时，对大中型网络使用网络模拟器可以对网络运行情况进行仿真。网络模拟器有很多，BosonNetsim是学习思科认证考试用的一款模拟器。,BosonNetSim的菜单项,BosonNetSim的按纽,超级终端屏幕,路由器选择纽,交换机选择纽,工作站选择纽,实验导航纽,网络图,远程控制纽,网络拓扑图,BosonNetworkDesigner网络设计器,配置路由器的WAN插槽,连接设备的端口,选择设备的端口,选择缆线的DCE端,网络设计完成,使用其它方法进行检测,工作经验网络资源技术支持热线网络文档,工作经验,网络故障检测与维护的过程中最有效的工具就是个人的工作经验。不断地工作和学习是获得经验的保证。往往不少网络管理员都没有充分利用这样的工具，或者不懂得如何使用它。充分利用经验创建电子日志,网络资源,互联网对于计算机网络管理人员来说，是一件非常好的工具。可以从以下两方面来利用互联网资源，包括：网络设备生产商的站点网络搜索引擎,网络设备生产商的站点,技术支持热线,可以通过设备生产商的技术支持热线来获得解决问题的方案。很多厂商还提供了免费热线电话。在拨打热线电话前要做好如下工作：收集相关信息为了让技术人员更有效地解决问题，应该尽可能提供详尽的信息。这些信息一方面包括软件的版本号、操作系统的版本、设备的型号以及设备的序列号等；另一方面要准确的描述故障的情况，以利于技术人员正确判断故障。对故障要初步判断对明显的故障原因，要首先排除，比如线的连接情况，是否设备需要重启一下等。经过尝试各种明显的解决方法，这样便于和技术人员进行更深次的交流，有利于技术人员给出相应有效的解决方案。,网络文档,一份完整的拓朴结构图甚至可以详尽显示楼层的平面布置和插座的位置，只要记录的越详细，网络维护就方便。,小结,网络故障检测与维护的工具包括网络维护的硬件工具、软件工具、用户的工作经验、互联网资源、设备制造商的技术热线以及网络文档等。,主要内容,Windows环境下的Ping命令Ipconfig命令显示网络连接信息的Netstat命令解决NetBIOS名称问题的Nbtstat跟踪网络路由的Tracert命令测试路由器的Pathping命令显示和修改地址解析协议Arp命令,Windows环境下的Ping命令,在网络中Ping是一个十分强大的TCP/IP工具。它主要的功能是用来检测网络的连通情况和分析网络速度。Ping命令的完整的语法格式Ping命令参数介绍Ping命令常见反馈信息,1.Ping命令语法格式,Ping-t-a-ncount-lsize-f-iTTL-vTOS-rcount-scount-jhost-list|-khost-list-wtimeout,2.Ping的参数介绍,-t：不间断地Ping指定计算机，直到管理员中断。可以通过Ping对方让对方返回给您的TTL值大小，粗略地判断目标系统类型是Windows系列还是UNIX/Linux系列。一般情况下Windows系列的系统返回的TTL值在100130之间，而UNIX/Linux系列的系统返回的TTL值在240255之间.当然TTL的值在对方的主机里是可以修改的，Windows系列的系统可以通过修改注册表以下键值实现：HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParametersDefaultTTL=dword:000000ff,-a：将地址解析为计算机名。pinga35和ping35的不同,2.Ping的参数介绍,-ncount：发送count指定的Echo（空）数据包数。在默认情况下，Ping将发送4个数据包,通过这个参数，我们可以定义发送的个数。,2.Ping的参数介绍,-lsize：指定发送到目标主机的数据包的大小。在默认的情况下Windows的Ping发送的数据包大小为32byte，可以自定义大小，最大发送65500byte。这个参数配合其它参数发动网络攻击，危害大，比如攻击者可以通过-t参数实施Dos攻击。例如：ping-l65500-t8,2.Ping的参数介绍,-f：在数据包中发送“不要分段”标志。一般您所发送的数据包都会通过路由分段再发送给对方，加上此参数以后，路由就不会再分段处理。-iTTL：指定TTL值在对方的系统里停留的时间。此参数同样是帮助您检查网络运转情况的。-vTos：将“服务类型”字段设置为TOS指定的值。-w:指定超时间隔,2.Ping的参数介绍,-rcount：在“记录路由”字段中记录传出和返回数据包的路由,2.Ping的参数介绍,-scount：count指定的跃点数的时间。此参数和-r差不多，只是这个参数几乎不记录数据包返回所经过的路由，最多也只记录4个。,2.Ping的参数介绍,3.Ping命令常见反馈信息,1.Unknownhost（未知主机）该远程主机的名字不能被命名服务器转换成IP地址。故障原因是域名服务器有故障，或者其名字不正确。2.Destinationhostunreachable（目的主机不可达）本地系统没有可达目的网络的路由3.Noanswer（无响应）本地系统有一条可用路由，但却接收不到目的主机的任何反馈报文。故障原因可能是下列之一：中心主机没有工作；本地或中心主机网络配置不正确；本地或中心的路由器没有工作；通信线路有故障；中心主机存在路由选择问题。Timeout（数据包超时）故障原因可能是到路由器的连接问题或路由器不能通过，也可能是目的主机已经关机或死机。SourceQuenchReceived对方或中途服务器繁忙而无法回应,Ipconfig/Winipcfg命令,利用Ipconfig和Winipcfg命令可以查看和修改网络中与TCP/IP协议有关的配置。这两个工具在Windows9x中都能使用，功能基本相同，只是Ipconfig是以DOS的字符形式显示，在Windows9x/2000/Xp中都可以使用；而Winipcfg则用图形界面显示，只能在Windows9x中使用。这里只具体介绍Ipconfig命令。Ipconfig命令的语法格式Ipconfig命令参数概述Ipconfig命令参数使用,1.Ipconfig命令的语法格式,ipconfig/?|/all|/renewadapter|/releaseadapter|/flushdns|/displaydns|/registerdns|/showclassidadapter|/setclassidadapterclassid,/?：显示Ipconfig的格式和参数的英文说明。/all：显示所有的IP地址的配置信息。/release：释放指定的网络适配卡的IP地址。/renew：刷新配置。/flushdns：刷新和重置客户机解析程序缓存。/displaydns：显示和查看客户机解析程序缓存。/registerdns：续订DNS客户注册。/showclassid：在客户机上显示DHCP类别ID信息。/setclassid：客户机上设置DHCP类别ID信息。,2.Ipconfig命令的参数概述,显示网络连接信息的Netstat命令,Netstat命令是运行于Windows的DOS提示符下面的工具。当网络中没有安装特殊的网管软件，但要对整个网络的使用状况做个详细的了解时，就是Netstat大显身手的时候了。该命令用于显示活动的TCP连接计算机侦听的端口以太网统计信息IP路由表IPv4（对于IP、ICMP、TCP和UDP协议）统计信息以及IPv6（对于IPv6、ICMPv6、通过IPv6的TCP以及通过IPv6的UDP协议）统计信息。,显示网络连接信息的Netstat命令,使用时如果不带参数，Netstat显示活动的TCP连接。,Netstat提供下列统计信息：（1）Proto：协议的名称(TCP或UDP)。（2）LocalAddress：本地计算机的IP地址和正在使用的端口号。如果不指定-n参数，就显示与IP地址和端口的名称对应的本地计算机名称。如果端口尚未建立，端口以星号（*）显示。（3）ForeignAddress：连接该插槽的远程计算机的IP地址和端口号码。如果不指定-n参数，就显示与IP地址和端口对应的名称。如果端口尚未建立，端口以星号（*）显示。（4）（state）表明TCP连接的状态。下面给出可能的状态：,1.Netstat语法格式,Netstat-a-e-n-s-pproto-rinterval,2.Netstat参数概述,Netstat-a-e-n-s-pproto-rinterval-a：显示所有活动的TCP连接以及计算机侦听的TCP和UDP端口。-e：显示以太网统计信息，如发送和接收的字节数、数据包数。该参数可以与-s结合使用。-n：以数字表格形式显示地址和端口。-s：显示每个协议的使用状态（包括TCP协议、UDP协议、IP协议）。-pproto：显示通过proto参数指定的协议的连接。proto参数可以是TCP、UDP或IP协议。-r：显示本机路由表的内容。interval：每隔interval秒重新显示一次选定的信息。按Ctrl+C停止重新显示统计信息。如果省略该参数，Netstat将只打印一次选定的信息。,3.Netstat参数使用,-a：显示所有活动的TCP连接以及计算机侦听的TCP和UDP端口,3.Netstat参数使用,-e：显示所有以太网统计信息,3.Netstat参数使用,-r：显示本机路由表,解决NetBIOS名称问题的Nbtstat,该命令用于显示本地计算机和远程计算机的基于TCP/IP（NetBT）协议的NetBIOS统计资料、NetBIOS名称表和NetBIOS名称缓存。Nbtstat可以刷新NetBIOS名称缓存和注册的WindowsInternet名称服务(WINS)名称。使用不带参数的Nbtstat显示帮助。Nbtstat命令的语法格式Nbtstat命令参数概述Nbtstat命令参数使用,1.Nbtstat命令的语法格式,nbtstat-aremotename-AIPaddress-c-n-r-R-RR-s-SInterval,-aremotename：显示远程计算机的NetBIOS名称表，其中，remotename是远程计算机的NetBIOS计算机名称。NetBIOS名称表是运行在该计算机上的应用程序使用的NetBIOS名称列表。-aIPaddress：显示远程计算机的NetBIOS名称表，其名称由远程计算机的IP地址指定(以小数点分隔)。-c：显示NetBIOS名称缓存内容、NetBIOS名称表及其解析的各个地址。-n：显示本地计算机的NetBIOS名称表。Registered中的状态表明该名称是通过广播或WINS服务器注册的。-r：显示NetBIOS名称解析统计资料。在配置为使用WINS的Windows计算机上，该参数将返回已通过广播和WINS解析和注册的名称号码。-R：清除NetBIOS名称缓存的内容并从Lmhosts文件中重新加载带有#PRE标记的项目。-RR：重新释放并刷新通过WINS注册的本地计算机的NetBIOS名称。-s：显示NetBIOS客户和服务器会话，并试图将目标IP地址转化为名称。-S：显示NetBIOS客户和服务器会话，只通过IP地址列出远程计算机。Interval：重新显示选择的统计资料，可以中断每个显示之间的Interval中指定的秒数。按Ctrl+C停止重新显示统计信息。如果省略该参数，Nbtstat将只显示一次当前的配置信息。,2.Nbtstat命令参数概述,2.Nbtstat命令参数使用,例子1：要显示NetBIOS计算机名为ntser8的远程计算机的NetBIOS名称表，执行以下命令：nbtstat-antser8例子2：要显示所分配IP地址为6的远程计算机的NetBIOS名称表，执行以下命令：nbtstat-A6例子3：要显示本地计算机NetBIOS名称缓存的内容，执行以下命令：nbtstat-c例子4：要每隔5秒以IP地址显示NetBIOS会话统计资料，执行以下命令：nbtstat-S5,跟踪网络连接的Tracert命令,Tracert命令是路由跟踪实用程序，用于确定IP数据包访问目标所采取的路径。Tracert通过向目的地发送具有不同生存时间(TTL)的Internet控制信息协议(ICMP)回应报文，以确定至目的地的路由。路径上的每个路由器都要在转发该ICMP回应报文之前将其TTL值至少减1，因此TTL是有效的跳转计数。当报文的TTL值减少到0时，路由器向源系统发回ICMP超时信息。通过发送TTL为1的第一个探测报文并且在随后的发送中每次将TTL值加1，直到目标响应或达到最大TTL值，Tracert可以确定路由