网络嗅探教程：使用Sniffer Pro监控网络流量(4)

作者: banker 出处:51CTO.com　2007-09-27 15:34　   砖    好    评论  条 　进入论坛

阅读提示：Sniffer Pro 著名网络协议分析软件。本文利用其强大的流量图文系统Host Table来实时监控网络流量。在监控软件上，我们选择了较为常用的NAI公司的sniffer pro，事实上，很多网吧管理员都有过相关监控网络经验：在网络出现问题、或者探查网络情况时，使用P2P终结者、网络执法官等网络监控软件。这样的软件有一个很大优点：不要配置端口镜像就可以进行流量查询（其实sniffer pro也可以变通的工作在这样的环境下）。

步骤三：新手上路，查询网关流量
下面以图文的方式介绍，如何查询网关（路由、代理：219.*.238.65）流量，这也是最为常用、重要的查询之一。
1． 扫描IP-MAC对应关系。这样做是为了在查询流量时，方便判断具体流量终端的位置，MAC地址不如IP地址方便。
选择菜单栏中Tools->Address Book 点击左边的放大镜（autodiscovery 扫描）在弹出的窗口中输入您所要扫描的IP地址段，本例输入：219.*.238.64-219.*.238.159点击OK，系统会自动扫描IP-MAC对应关系。扫描完毕后，点击DataBase->Save Address Book 系统会自动保存对应关系，以备以后使用。(如图7)

图7

2.查看网关流量。点击Monitor->Host Table，选择Host table界面左下角的MAC-IP-IPX中的MAC。（为什么选择MAC？在网络中，所有终端的对外数据，例如使用QQ、浏览网站、上传、下载等行为，都是各终端与网关在数据链路层中进行的）(如图8)

图8

3.找到网关的IP地址->选择single station->bar (本例中网关IP为219.*.238.65)

图9

如图(9)所示：
219.*.238.65（网关）流量TOP-10 此图为实时流量图。在此之前如果我们没有做扫描IP（Address Book）的工作，右边将会以网卡物理地址-MAC地址的方式显示，现在转换为IP地址形式（或计算机名），现在很容易定位终端所在位置。流量以3D柱形图的方式动态显示，其中最左边绿色柱形图与网关流量最大，其它依次减小。本图中219.*.238.93与网关流量最大，且与其它终端流量差距悬殊，如果这个时候网络出现问题，可以重点检查此IP是否有大流量相关的操作。

如果要查看219.*.238.65（网关）与内部所有流量通信图，我们可以点击左边菜单中，排列第一位的->MAP按钮
如图(10)所示,网关与内网间的所有流量都在这里动态的显示。

图10

需要注意的是：
绿色线条状态为：正在通讯中
暗蓝色线条状态为：通信中断
线条的粗细与流量的大小成正比
如果将鼠标移动至线条处,程序显示出流量双方位置、通讯流量的大小（包括接收、发送）、并自动计算流量占当前网络的百分比。

其它主要功能：
PIE：饼图的方式显示TOP 10的流量占用百分比。
Detail：将Protocol(协议类型)、From Host（原主机）、in/out packets/bytes(接收、发送字节数、包数)等字段信息以二维表格的方式显示。

【相关文章】

• 专题：Sniffer安全技术专题

共5页: 上一页 [1] [2] [3] 4 [5] 下一页

【内容导航】  第 1 页：环境介绍  第 2 页：步骤一：配置交换机端口镜像  第 3 页：步骤二：Sniffer安装、启动、配置  第 4 页：步骤三：新手上路，查询网关流量  第 5 页：步骤四：基于IP层流量