第9章网络分析与监测工具

1、网络管理技术,第9章 网络分析与监测工具,9.1 端口镜像 9.2 Sniffer的主要功能 9.3 Sniffer应用举例 9.4 MRTG的安装和使用方法,9.1 端口镜像,9.1.1 基本概念 9.1.2 应用举例,应用场合 灵活性镜像源可以位于本地设备，也可以位于远程设备,9.1.1 基本概念,9.1.2 应用举例,案例场景,1镜像源为本地物理端口,将端口G8/11镜像至G8/25 C6509(config)#no monitor session 1 C6509(config)#monitor session 1 source interface Gi8/11 C6509(config

2、)#monitor session 1 destination interface Gi8/25,9.1.2 应用举例,2镜像源为本地Trunk端口,将G7/1（Trunk端口）接收的属于VLAN 230的流量镜像至G8/25。 C6509(config)#no monitor session 1 C6509(config)#monitor session 1 source interface g7/1 rx C6509(config)#monitor session 1 filter vlan 230 C6509(config)#monitor session 1 destination i

3、nterface g8/25,9.1.2 应用举例,在C6509上，将属于VLAN 230、231的端口所接收的流量、属于VLAN 600的端口发送和接收流量，镜像至G8/25。 C6509(config)#no monitor session 1 C6509(config)#monitor session 1 source vlan 230 - 231 rx C6509(config)#monitor session 1 source vlan 600 C6509(config)#monitor session 1 destination interface g8/25,3镜像源为本地VLA

4、N,9.1.2 应用举例,C6509为VTP Server，C2950SX-24为VTP Client。将C2950SX-24上F0/1端口的流量，镜像至C6509上的G8/25端口 C6509(config)#vlan 900 C6509(config-vlan)#remote-span 定义用于传输镜像数据的VLAN C6509(config)#no monitor session 1 C6509(config)#monitor session 1 source remote vlan 900 C6509(config)#monitor session 1 destination inte

5、rface g8/25,4镜像源为远程物理端口,9.1.2 应用举例,9.2 Sniffer的主要功能,9.2.1 捕获面板 9.2.2 捕获报文的统计信息 9.2.3 查看报文 9.2.4 设置捕获条件,9.2.1 捕获面板,捕获面板,9.2.2 捕获报文的统计信息,捕获报文的统计信息,9.2.3 查看报文,查看报文,9.2.4 设置捕获条件,设置捕获条件 - 基于协议的捕获条件,9.2.4 设置捕获条件,设置捕获条件 -基于协议的捕获条件,9.3 Sniffer应用举例,9.3.1 获取TELNET密码 9.3.2 获取FTP密码,9.3.1 获取TELNET密码,1场景 某公司内部通过交

6、换机实现各部门之间的互连。F1/0/1、F1/0/2已镜像至端口F1/0/3。希望通过捕获、分析研发部IP地址为01的主机与市场部IP地址为1的主机之间的TELNET报文，获取TELNET密码。,9.3.1 获取TELNET密码,2操作步骤 （1）选择“Capture”菜单中的“Define Filter”命令，打开“Define Filter Capture”对话框，选择“Address”选项卡。 （2）在“Address”下拉列表中选择“IP”，在“Station1”和“Station2”中分别填写两台主机的IP地址。 （3）选择“Advanc

7、ed”选项卡，依次选择“IP”“TCP”“TELNET”，将“Packet Size”设为“55”，“Pack Type”设为“Normal” （4）按F10键或单击“Strat”按钮，启动捕获。,数据捕获分析 将帧大小（Packet Size）设为55的原因是：当客户TELNET到服务器后，在进行与用户名、密码有关的交互时，一次只传送一个字节的数据，所以帧大小=1B（Data）+20B（TCP）+20B（IP）+14B（DLC）=55B，将“Packet Size”设为55恰好能抓够到包含用户名和密码的包，否则将抓到许多没有分析价值的包。,9.3.2 获取FTP密码,1场景 某公司内部通过交

8、换机实现各部门之间的互连，如图9-3-1所示。F1/0/1、F1/0/2已镜像至端口F1/0/3。希望通过捕获、分析研发部IP地址为01的主机与市场部IP地址为的FTP服务器之间的FTP报文，获取FTP密码。,9.3.2 获取FTP密码,2操作步骤 （1）选择“Capture”菜单中的“Define Filter”命令，打开“Define Filter Capture”对话框，选择“Address”选项卡。 （2）在“Address”下拉列表中选择“IP”，在“Station1”和“Station2”中分别填写两台主机的IP地址。 （3）选择“Ad

9、vanced”选项卡，依次选择“IP”“TCP”“FTP”，将“Packet Size”限制在“61”和“71”之间，“Pack Type”设为“Normal”， （4）选择“Date pattern”选项卡，单击“Add Pattern”按钮，打开“Edit Pattern”对话框。 （5）将“Offset”设置为“2F”，编码栏的数据设置为18，命名为“TCP:flags=18”,9.3.2 获取FTP密码,捕获结果分析 将帧大小限制在6171之间的原因是：封装FTP报文的需要的开销为20B（TCP）+20B（IP）+14B（DLC）=54B。在进行与密码有关的交互时，在TCP有效载荷中，

10、关键字PASS占4B，空格占1B，回车和换行控制占2B，合计占用7B。可见，包含密码的报文，其最小长度为61B，假定用户密码长度不超过10个字符，则包含密码的报文最长不超过71B。,9.4 MRTG的安装和使用方法,9.4.1 MRTG的安装 9.4.2 SNMP、MRTG配置 9.4.3 建立网络监测中心 9.4.4 自动启动MRTG,9.4.1 安装MRTG,安装MRTG （1）在管理工作站的IIS中配置一个Web站点，用于发布MRTG监测信息。为了安全起见，该站点的主目录最好不要采用IIS的默认目录。本例中，假定站点主目录为C:wwwmrtg。 （2）安装Perl，在Windows系统中

11、一般使用Active Perl for Windows。进行安装时，提示“是否使用PPM3发送个人信息至ASPN”，跳过即可。重新启动系统，使Perl生效。 （3）安装MRTG程序。MRTG是一个Perl编写的程序，所以不需要安装，下载后直接释放（如果下载的文件系压缩文件的话）或复制到一个目录（本例中为C:mrtg）即可。,9.4.2 SNMP、MRTG配置,1交换机配置 2MRTG管理工作站的设置,9.4.3 建立网络监测中心,根据多台设备如Cisco asa5540、S3550-12g配置信息asa5540.cfg、S3550-12g.cfg，将接口流量图整合到同一Web页面中。该需求可通过输入下列命令实现： C:mrtgbinperl indexmaker asa5540.cfg c:wwwmrtgindex.htm C:mrtgbinperl indexmaker 3550-12g.cfg c:wwwmrtgindex.htm,9.4.4 自动启动MRTG,在Windows Server