1、实验 9 局域网网络性能测试与分析网络运行情况一、安装 Sniffer 软件双击 Sniffer 安装软件，按提示信息进行安装。因为实验计算机上已经安装了 Sniffer 软件，所以只需选择“开始”-“程序”-Sniffer Pro-Sniffer 即可打开软件。二、对默认状态下的报文进行捕获解析（1）在捕获过程中可以通过查看下面面板查看捕获报文的数量和缓冲区的利用率。（2）捕获报文查看如下图所示，是对于捕获的报文提供了一个 Expert 专家分析系统进行分析，还有解码选项及图形和表格的统计信息。专家分析系统提供了一个智能的分析平台，对网络上的流量进行了一些分析对于分析出的诊断结果可以查看在线
2、帮助获得。在下图中显示出在网络中 WINS 查询失败的次数及 TCP 重传的次数统计等内容，可以方便了解网络中高层协议出现故障的可能点。对于某项统计分析可以通过用鼠标双击此条记录可以查看详细统计信息且对于每一项都可以通过查看帮助来了解起产生的原因。对于 MAC 地址，Snffier 软件进行了头部的替换，这样有利于了解网络上各种相关设备的制造厂商信息。功能是按照过滤器设置的过滤规则进行数据的捕获或显示。在菜单上的位置分别为 Capture-Define Filter 和 Display-Define Filter。过滤器可以根据物理地址或 IP 地址和协议选择进行组合筛选。三、设置捕获条件并对
3、其数据进行分析 1、基本捕获条件基本的捕获条件有两种：（1）链路层捕获，按源 MAC 和目的 MAC 地址进行捕获，输入方式为十六进制连续输入。（2）IP 层捕获，按源 IP 和目的 IP 进行捕获。输入方式为点间隔方式，如：10.107.1.1。如果选择 IP 层捕获条件则 ARP 等报文将被过滤掉。2、高级捕获条件在“Advance”页面下，你可以编辑你的协议捕获条件，如图：高级捕获条件编辑图在协议选择树中你可以选择你需要捕获的协议条件，如果什么都不选，则表示忽略该条件，捕获所有协议。在捕获帧长度条件下，你可以捕获，等于、小于、大于某个值的报文。在错误帧是否捕获栏，你可以选择当网络上有如下
4、错误时是否捕获。在保存过滤规则条件按钮“Profiles” ，你可以将你当前设置的过滤规则，进行保存，在捕获主面板中，你可以选择你保存的捕获条件。3、任意捕获条件在 Data Pattern 下，你可以编辑任意捕获条件，如下图：用这种方法可以实现复杂的报文过滤，但很多时候是得不偿失，有时截获的报文本就不多，还不如自己看看来得快。四、使用 Sniffer pro 监控网络流量 网络监视功能能够时刻监视网络统计，网络上资源的利用率，并能够监视网络流量的异常状况，这里只介绍一下 Dashbord 和 ART，其他功能可以参看在线帮助，或直接使用即可，比较简单。1、Dashbord Dashbord
5、可以监控网络的利用率，流量及错误报文等内容。通过应用软件可以清楚看到此功能。2、Application Response Time (ART)Application Response Time (ART) 是可以监视 TCP/UDP 应用层程序在客户端和服务器响应时间，如 HTTP,FTP,DNS 等应用。五、使用 sniffer 监控“广播风暴” 1、设置广播过滤器打开 SnifferPRO 后，选择 Monitor 菜单下的 DefineFilter。我们首先来新键过滤器，并将其名定义为 Broadcast.定义好名称后，选择 Address 标签下的 KnownAddress(Draga
6、ble)选择框，从中展开 Broadcast/MulticastAddress.将其下的 Broadcast(FFFFFFFFFFFF)使用鼠标左键拖入 Station1 中。如图一：（图一）2、选择广播过滤器同样在 Monitor 菜单下，选择 SelectFitler,选中我们刚才定义好的broadcast，记得一定要将 Applymonitorfitler 打勾选中。如图二：（图二）3、网络正常时的广播数据。我们先通过 SnifferPRO 提供的“仪表盘”来查看，以下分别是广播包合计统计（图三） 、广播包平均数统计图（图四） 。需要说明的是：1、由于之前定义好了过滤器，现在所统计的数据
7、均为广播数据。2、在仪表盘详细统计界面，除了统计 Network 相关数据外，还对数据包大小分布、错误数据包进行详细的分类，以供查看。3、错误数据包捕获和查看，需要专用网卡的支持。4、 （图三）为截止当前时间，广播数据包合计为 7888。5、 （图四）中显示当前每秒平均广播数据包个数为 1 个。（图三）（图四）4、出现广播风暴时，仪表盘变化平均广播数据包/秒的统计，由刚才的 1 爆发式增长为 2532，广播数据包中的字节数也由 256Byte/s 增长为 225476Byte/S。我们知道在快速以太网中，数据的传输带宽为 100Mbp/S,通过换算约为12.5MBps*1024=12800By
8、te/S.每秒交换线路的每节点最高能承受 12800Byte/S的数据通过，而现在广播数据量已经远远高于这个数字，也就发生通常所说的“网络风暴” 、 “网络瘫痪” 。5、通过 SnifferPRO 提供的 Alarm 告警系统，查看“广播风暴”图六为 SnifferPRO 在“广播风暴”时的告警。我们可以通过 Monitor 下的Alarmlog 查看。软件默认 Broadcasts 每秒 2000，超过设定的阀值，软件则会报警。（图六）6、SnifferPROAlarm 告警系统修改Alarm 告警系统默认阀值都可以修改，选择 Tools 下 Options,然后点击MAC-Threshol
9、d 选项卡即可。软件提供了 20 个可以修改的项目，如果你觉得Utilization(利用率)在你现有网络上，50%上显的太小，可以将其更改为80%（快速以太网一般利用率不超过 80%） 。而 Broadcast/s2000 的数值又显的太大，都可以在这里做出更改。如图（七）（图七）除了可以修改默认阀值外，在系统出现警告时，可以选择通知方式甚至可以使用 VB 程序自定义动作来打开第三方程序。比如设置告警音，或者通过发送电子邮件等方式通知网络管理员。SnifferPRO 将 Alarm 告警划分为不同级别：有严重、重要、次要、警告、通知。我们可以在 Alarm 选项卡里做出调整。六、问题： 1.
10、 网络监控软件的主要目标有哪些？ 答：网络监控软件的主要目标有：网络流量、网络状态、设备、性能的监控，对指定端口进行封堵、对选定电脑使其只能浏览指定的网站。1. Sniffer 的工作原理是什么？答：通常在同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力，而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其他网络接口的硬件地址，同时，每个网络至少还要一个广播地址。（代表所有的接口地址） ，在正常情况下，一个合法的网络接口应该只响应这样的两种数据帧：帧的目标区域具有和本地网络接口相匹配的硬件地址。帧的目标区域具有“广播地址“。在接受到上面两种情况的数据包时，nc 通过 cpu 产生一个硬件中断，该中断能引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理。而sniffer 就是一种能将本地 nc 状态设成（promiscuous）状态的软件，当 nc 处于这种“混杂“方式时，该 nc 具备“广播地址“，它对所有遭遇到的每一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。 （绝大多数的 nc 具备置成 promiscuous 方式的能力）可见，sniffer 工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。
