1、i目 录第 1 章 Sniffer 软件功能介绍 1-11.1 概述 1-11.2 功能简介 .1-1第 2 章 报文捕获解析 .2-12.1 捕获面板 .2-12.2 捕获过程报文统计 2-12.3 捕获报文查看 .2-22.4 设置捕获条件 .2-4第 3 章 报文回放 3-13.1 编辑报文发送 .3-13.2 发送编辑的报文 .3-23.3 发送当前缓存中的报文 3-23.4 停止发送报文 .3-7第 4 章 网络监视功能 .4-14.1 Dashbord .4-14.2 Application Response Time (ART).4-1第 5 章 Sniffer 安装 5-2i关
2、键词：Sniffer 协议分析摘 要：本文对Sniffer 软件的功能和使用作了简要的介绍，讲述了利用工具软件解决问题的思路和一些分析方法。缩略语清单：参考资料清单：Sniffer 软件功能介绍1-1第 1 章 Sniffer 软件功能介绍1.1 概述Sniffer 软件是 NAI 公司推出的功能强大的协议分析软件。本文针对用 Sniffer Pro 网络分析器进行故障解决。利用 Sniffer Pro 网络分析器的强大功能和特征，解决网络问题，将介绍一套合理的故障解决方法。Sniffer4.75sp5 可以运行在各种 Windows 平台上。Sniffer 软件比较大，运行时需要的计算机内存
3、比较大，否则运行比较慢。1.2 功能简介下面列出了 Sniffer 软件的一些功能介绍，其功能的详细介绍可以参考Sniffer 的在线帮助。 捕获网络流量进行详细分析利用专家分析系统诊断问题实时监控网络活动收集网络利用率和错误等在进行流量捕获之前首先选择网络适配器，确定从计算机的哪个网络适配器上接收数据。位置：File-select settingsSniffer 软件功能介绍1-2选择网络适配器后才能正常工作。该软件安装在 Windows 98 操作系统上，Sniffer 可以选择拨号适配器对窄带拨号进行操作。如果安装了 EnterNet500等 PPPOE 软件还可以选择虚拟出的 PPPO
4、E 网卡。对于安装在 Windows 2000/XP 上则无上述功能，这和操作系统有关。 本文将对报文的捕获几网络性能监视等功能进行详细的介绍。下图为在软件中快捷键的位置。报文捕获解析2-1第 2 章 报文捕获解析2.1 捕获面板报文捕获功能可以在报文捕获面板中进行完成，如下是捕获面板的功能图：图中显示的是处于开始状态的面板捕 获 开 始捕 获 暂 停 捕 获 停 止 捕 获 停 止并 查 看 捕 获 查 看捕 获 条 件编 辑 选 择 捕 获条 件捕 获 开 始捕 获 暂 停 捕 获 停 止 捕 获 停 止并 查 看 捕 获 查 看捕 获 条 件编 辑 选 择 捕 获条 件2.2 捕获过程报
5、文统计在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。捕 获 报 文 数 捕 获 报 文 的 数据 缓 冲 大 小详 细 统 计 信息捕 获 报 文 数 捕 获 报 文 的 数据 缓 冲 大 小详 细 统 计 信息报文捕获解析2-22.3 捕获报文查看Sniffer 软件提供了强大的分析能力和解码功能。如下图所示，对于捕获的报文提供了一个 Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。专 家 分 析系 统专 家 分 析系 统 捕 获 报 文 的图 形 分 析 捕 获 报 文 的 其 他统 计 信 息专 家 分 析系 统专 家 分 析系 统 捕 获
6、报 文 的图 形 分 析 捕 获 报 文 的 其 他统 计 信 息专家分析专家分分析系统提供了一个只能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线帮助获得。在下图中显示出在网络中 WINS 查询失败的次数及 TCP 重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。报文捕获解析2-3双 击 此 记 录 可 以查 看 详 细 信 息双 击 此 记 录 可 以查 看 详 细 信 息解码分析下图是对捕获报文进行解码的显示，通常分为三部分，目前大部
7、分此类软件结构都采用这种结构显示。对于解码主要要求分析人员对协议比较熟悉，这样才能看懂解析出来的报文。使用该软件是很简单的事情，要能够利用软件解码分析来解决问题关键是要对各种层次的协议了解的比较透彻。工具软件只是提供一个辅助的手段。因涉及的内容太多，这里不对协议进行过多讲解，请参阅其他相关资料。对于 MAC 地址，Snffier 软件进行了头部的替换，如 00e0fc 开头的就替换成Huawei，这样有利于了解网络上各种相关设备的制造厂商信息。捕 获 的报 文报 文 解码二 进 制内 容捕 获 的报 文报 文 解码二 进 制内 容报文捕获解析2-4功能是按照过滤器设置的过滤规则进行数据的捕获或
8、显示。在菜单上的位置分别为 Capture-Define Filter 和 Display-Define Filter。过滤器可以根据物理地址或 IP 地址和协议选择进行组合筛选。统计分析对于 Matrix，Host Table，Portocol Dist. Statistics 等提供了丰富的按照地址，协议等内容做了丰富的组合统计，比较简单，可以通过操作很快掌握这里就不再详细介绍了。2.4 设置捕获条件基本捕获条件基本的捕获条件有两种：1、链路层捕获，按源 MAC 和目的 MAC 地址进行捕获，输入方式为十六进制连续输入，如：00E0FC123456。2、IP 层捕获，按源 IP 和目的 I
9、P 进行捕获。输入方式为点间隔方式，如：10.107.1.1。如果选择 IP 层捕获条件则 ARP 等报文将被过滤掉。任 意 捕获 条 件编 辑协 议 捕获 编 辑 缓 冲 区编 辑基 本 捕 获 条 件链 路 层 捕 获IP层 捕 获数 据 流方 向链 路 层 捕 获地 址 条 件任 意 捕获 条 件编 辑协 议 捕获 编 辑 缓 冲 区编 辑基 本 捕 获 条 件链 路 层 捕 获层 捕 获数 据 流方 向链 路 层 捕 获地 址 条 件高级捕获条件在“Advance”页面下，你可以编辑你的协议捕获条件，如图：报文捕获解析2-5选 择 要 捕获 的 协 议捕 获 帧 长度 条 件错 误 帧
10、 是否 捕 获保 存 过 滤规 则 条 件选 择 要 捕获 的 协 议捕 获 帧 长度 条 件错 误 帧 是否 捕 获保 存 过 滤规 则 条 件高级捕获条件编辑图在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。在错误帧是否捕获栏，你可以选择当网络上有如下错误时是否捕获。在保存过滤规则条件按钮“Profiles”，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。任意捕获条件在 Data Pattern 下，你可以编辑任意捕获条件，如下图：报文捕获解析2
11、-6添 加 关 系节 点 模 板 间 关系 控 制模 板 编 辑增 加 模 板添 加 排 除添 加 关 系节 点 模 板 间 关系 控 制模 板 编 辑增 加 模 板添 加 排 除用这种方法可以实现复杂的报文过滤，但很多时候是得不偿失，有时截获的报文本就不多，还不如自己看看来得快。设置 Buffer 来自动捕捉报文。Buffer size 大小根 PC 物理内存大小有关，通常如果 PC 物理内存是 256 MB,那么 Buffer size 设置为Packet Generator点击 stop 按钮，停止向设备发送报文。报文回放3-8网络监视功能4-1第 4 章 网络监视功能网络监视功能能够时
12、刻监视网络统计，网络上资源的利用率，并能够监视网络流量的异常状况，这里只介绍一下 Dashbord 和 ART，其他功能可以参看在线帮助，或直接使用即可，比较简单。4.1 Dashbord Dashbord 可以监控网络的利用率，流量及错误报文等内容。通过应用软件可以清楚看到此功能。统 计 平 均 数 据或 总 和连 续 的 统 计 图为 统 计 图 选 择统 计 指 标统 计 平 均 数 据或 总 和连 续 的 统 计 图为 统 计 图 选 择统 计 指 标4.2 Application Response Time (ART)Application Response Time (ART) 是
13、可以监视 TCP/UDP 应用层程序在客户端和服务器响应时间，如 HTTP,FTP,DNS 等应用。对与 TCP/UDP 响应时间的计算方法如下TCP For each socket, ART stores the sequence numbers for packets sent by the client and waits for the corresponding ACK packets from the server. Sniffer 安装5-2It then measures the time difference between the packet with the store
14、d sequence number and the packet with the ACK to arrive at the response time.UDP For each socket, ART measures the time between packets going from a client to a server and the next packet going from the server to the client.此 三 个 按 钮 可 以选 择 按 图 形 或 表格 方 式 显 示监 控 的应 用属 性 按 钮 主 要 设置 监 控 参 数 如 要监 控 哪 种 应 用 等监 控 参 数此 三 个 按 钮 可 以选 择 按 图 形 或 表格 方 式 显 示监 控 的应 用属 性 按 钮 主 要 设置 监 控 参 数 如 要监 控 哪 种 应 用 等监 控 参 数第 5 章 Sniffer 安装目前 sniffer 常用版本是 Sniffer4.75sp5，安装 Sniffer4.75sp5 比较简单，这里就不做介绍，Sniffer4.75sp5 安装文件路径： 10.1.25.125tftppubsoftwaretestlabSnifferSniffer4.75sp5Sniffer 安装5-1
