您所在的位置:网络安全 > 安全观察 > 网络嗅探教程:使用Sniffer PRO监控“广播风暴”

网络嗅探教程:使用Sniffer PRO监控“广播风暴”

2007-11-21 09:37 banker 51CTO.com 字号:T | T
一键收藏,随时查看,分享好友!

很多人提到“广播风暴”,都有些谈虎色变。实际上,在今天以交换设备为中心的交换式网络中,只要网络设计合理,能遇见“广播风暴”的情况并不多见。今天的实验我们也在交换网络中,通过“网络环路”来“制造广播风暴”,然后使用SnifferPRO来做检测。

AD:

【51CTO.com 独家特稿】与其它行业的技术发展相比,以太网发展历程并不算长。但做为全球应用最为广泛的网络之一,它的发展速度却是惊人的。1973年以太网被施乐公司两位研究人员开发,当时的速率只有2.94Mbps,而现在有千M以太网、万M以太网。以太网的速率也在这些年来以几何倍数增长,2007年4月17日,以太网联盟主席BradBooth在北京表示10万兆以太网将成为以太网国际标准。

通常,我们会认为以太网与快速以太网为一个“分水岭”,以太网也有了质的飞跃。我们简单回顾一下早期以太网的技术特性--这将方便我们回归今天的主题“广播风暴”。

早期的以太网特性:使用IEEE802.3标准;加入数据传输竞争机制CSMA/CD,也就是我们常说载波监听多路访问/冲突检测的方法;以共享式设备HUB作为中心,是共享式网络,所有主机共享网内带宽;广播式网络,网络上传输的数据包任何主机都可以接收;速率一般为10Mbps,同时带宽利用率较低。

由于早期以太网的缺陷,当广播数据充斥网络无法处理,并占用大量网络带宽,导致正常业务不能运行,甚至彻底瘫痪,这就发生了“广播风暴”。

下列几种情况将会产生网络风暴:
1、网络不正确的设计和规划。
2、网络设备或者设备的损坏;HUB做为广播设备本身容易导致;网卡或者交换设备的损坏也可能产生广播风暴。
3、网络环路;路由配置错误,或者在没有启用STP的交换设备上出现“两端”同时接入错误。
4、其它:网络病毒本身具有感染后向网内大量扩散传播的特性,也可导致广播风暴。

SnifferPRO做为协议类分析软件,同样可以检测到广播数据,并以更为人性化的图表形式展现出来。很多人提到“广播风暴”,都有些谈虎色变。实际上,在今天以交换设备为中心的交换式网络中,只要网络设计合理,能遇见“广播风暴”的情况并不多见。今天的实验我们也在交换网络中,通过“网络环路”来“制造广播风暴”,然后使用SnifferPRO来做检测。

在这之前,我们先来通过SnifferPRO来了解网络正常情况下的广播数据。
步骤一:设置广播过滤器。
打开SnifferPRO后,选择Monitor菜单下的DefineFilter。我们首先来新键过滤器,并将其名定义为Broadcast.定义好名称后,选择Address标签下的KnownAddress(Dragable)选择框,从中展开Broadcast/MulticastAddress.将其下的Broadcast(FFFFFFFFFFFF)使用鼠标左键拖入Station1中。如图一:

(图一)

步骤二:选择广播过滤器。
同样在Monitor菜单下,选择SelectFitler,选中我们刚才定义好的broadcast,记得一定要将Applymonitorfitler打勾选中。如图二:

(图二)

步骤三:网络正常时的广播数据。
我们先通过SnifferPRO提供的“仪表盘”来查看,以下分别是广播包合计统计(图三)、广播包平均数统计图(图四)。
需要说明的是:
1、由于之前定义好了过滤器,现在所统计的数据均为广播数据。
2、在仪表盘详细统计界面,除了统计Network相关数据外,还对数据包大小分布、错误数据包进行详细的分类,以供查看。
3、错误数据包捕获和查看,需要专用网卡的支持。
4、(图三)为截止当前时间,广播数据包合计为2144。
5、(图四)中显示当前每秒平均广播数据包个数为4个。

(图三)

(图四)


步骤四:出现广播风暴时,仪表盘变化
下面来我们看看,当“环路”出现时形成的“广播风暴”
注意:
1、(图五)为showaveragerate.平均广播数据包/秒的统计,由刚才的4爆发式增长为2532,广播数据包中的字节数也由256Byte/s增长为225476Byte/S
2、我们知道在快速以太网中,数据的传输带宽为100Mbp/S,通过换算约为12.5MBps*1024=12800Byte/S.每秒交换线路的每节点最高能承受12800Byte/S的数据通过,而现在广播数据量已经远远高于这个数字,也就发生通常所说的“网络风暴”,网络瘫痪。

(图五)


步骤五:通过SnifferPRO提供的Alarm告警系统,查看“广播风暴”
(图六)为SnifferPRO在“广播风暴”时的告警。我们可以通过Monitor下的Alarmlog查看。软件默认Broadcasts每秒2000,超过设定的阀值,软件则会报警。

(图六)


步骤六:SnifferPROAlarm告警系统修改
Alarm告警系统默认阀值都可以修改,选择Tools下Options,然后点击MAC-Threshold选项卡即可。软件提供了20个可以修改的项目,如果你觉得Utilization(利用率)在你现有网络上,50%上显的太小,可以将其更改为80%(快速以太网一般利用率不超过80%)。而Broadcast/s2000的数值又显的太大,都可以在这里做出更改。如图(七)

(图七)

除了可以修改默认阀值外,在系统出现警告时,可以选择通知方式甚至可以使用VB程序自定义动作来打开第三方程序。比如设置告警音,或者通过发送电子邮件等方式通知网络管理员。SnifferPRO将Alarm告警划分为不同级别:有严重、重要、次要、警告、通知。我们可以在Alarm选项卡里做出调整。
Alarm的具体应用及高级用法我们会在以后章节详细讲解。如图(八)

(图八)

在进行了几次讲解后,得到了很多朋友的支持,谢谢大家!现在,很多以前没有使用SnifferPRO的朋友也开始跃跃欲试,如果大家对SnifferPRO部署有什么疑问,可以参看下篇文章:《为什么要使用sniffer以及其软件部署》

【51CTO.COM 独家特稿,转载请注明出处及作者!】

【相关文章】

【责任编辑:赵毅 TEL:(010)68476606】



分享到:

  1. 蠕虫病毒疯狂肆虐 数据中心当如何防范?
  2. 远离还是监视?企业应该怎样对待暗网

热点职位

更多>>

热点专题

更多>>

读书

Wicked Cool Java中文版
本书主要介绍由Sun微系统公司创建的Java编程语言。 除了核心内容外,Java还有许多免费的财富,即开放源代码的库。本书就是为了

51CTO旗下网站

领先的IT技术网站 51CTO 领先的中文存储媒体 WatchStor 中国首个CIO网站 CIOage 中国首家数字医疗网站 HC3i 51CTO学院