論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障-wenkub
2023-07-13 21:35:33 本頁面
【正文】 畢。如果一臺主機(jī)的網(wǎng)卡被配置為混雜模式，那么該主機(jī)及其相關(guān)的軟件就構(gòu)成了一個嗅探器。 正常情況下，局域網(wǎng)內(nèi)同一網(wǎng)段的所有網(wǎng)卡雖然都具有訪問在物理媒體上傳輸?shù)乃袛?shù)據(jù)的能力，但通常一個網(wǎng)卡只響應(yīng)以下兩種數(shù)據(jù)幀： ◆ 數(shù)據(jù)幀的目標(biāo)MAC地址與網(wǎng)卡自身的MAC地址一致； ◆ 數(shù)據(jù)幀的目標(biāo)MAC地址為廣播地址。這種共享式的連接有一個很明顯的特點：發(fā)送數(shù)據(jù)時物理上采用的是廣播方式。 sniffer工作原理 在基于TCP/IP協(xié)議的局域網(wǎng)中，當(dāng)數(shù)據(jù)由應(yīng)用層自上而下傳遞時，首先在網(wǎng)絡(luò)層形成IP數(shù)據(jù)包，然后再向下到達(dá)數(shù)據(jù)鏈路層，由數(shù)據(jù)鏈路層將IP數(shù)據(jù)包分割為數(shù)據(jù)幀，加上以太網(wǎng)包頭后向下發(fā)送到物理媒體上。它誕生的時間較早，是許多圖形化嗅探器的雛形。一般的嗅探器都提供以下一些功能： 1. 自動從網(wǎng)絡(luò)中過濾及轉(zhuǎn)換有用的信息； 2. 將截獲的數(shù)據(jù)包轉(zhuǎn)換成易于識別的格式； 3. 對網(wǎng)絡(luò)環(huán)境中的通訊失敗進(jìn)行分析； 4. 探測網(wǎng)絡(luò)環(huán)境下的通訊瓶頸； 5. 檢測是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng)，以阻止其入侵； 6. 記錄網(wǎng)絡(luò)通信過程。 作為一種發(fā)展比較成熟的技術(shù)，嗅探器在協(xié)助監(jiān)測網(wǎng)絡(luò)數(shù)據(jù)傳輸、排除網(wǎng)絡(luò)故障等方面有著不可替代的作用，倍受網(wǎng)絡(luò)管理員的青睞。通過嗅探器，管理員可以診斷出網(wǎng)絡(luò)中大量的不可見模糊問題。嗅探器常常作為一種收集網(wǎng)絡(luò)中特定數(shù)據(jù)的有效方法，是利用計算機(jī)的網(wǎng)絡(luò)接口截獲目的地為其它計算機(jī)數(shù)據(jù)報文的一種工具。嗅探器是企業(yè)必不可少的網(wǎng)絡(luò)管理工具。本文以Linux平臺下三個常用的網(wǎng)絡(luò)嗅探器Tcpdump、Ethereal和EtherApe為例，介紹如何借助sniffer來診斷網(wǎng)絡(luò)故障，從而保障網(wǎng)絡(luò)高效安全地運(yùn)行。 嗅探器工作在網(wǎng)絡(luò)環(huán)境中的底層，可以攔截所有正在網(wǎng)絡(luò)上傳送的數(shù)據(jù)，從而成為網(wǎng)絡(luò)安全的一個巨大威脅。這些問題通常會涉及到多臺計算機(jī)之間的異常通信，而且可能會牽涉到多種通信協(xié)議?？梢酝ㄟ^分析網(wǎng)絡(luò)流量來確定網(wǎng)絡(luò)上存在的各種問題，如瓶頸效應(yīng)或性能下降；也可以用來判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng)。 本文介紹如何在Linux平臺下利用嗅探器來截獲在網(wǎng)絡(luò)中傳遞的數(shù)據(jù)信息，從而檢測出是否存在網(wǎng)絡(luò)瓶頸，以及可能存在的網(wǎng)絡(luò)故障。 ◆ Ethereal Ethereal是一個圖形化的網(wǎng)絡(luò)流量監(jiān)測工具，比命令行方式的Tcpdump友好很多，可以實時地觀看捕獲過程。以太網(wǎng)包頭中包含著本地主機(jī)和目標(biāo)主機(jī)的MAC地址，位于鏈路層的數(shù)據(jù)幀是依靠48位的MAC地址而非IP地址來尋址的，網(wǎng)絡(luò)接口卡的驅(qū)動程序不會關(guān)心IP數(shù)據(jù)包的目的IP地址。當(dāng)一臺主機(jī)向另一臺主機(jī)發(fā)送數(shù)據(jù)時，共享式的HUB會將接收到的所有數(shù)據(jù)向HUB上的每個端口轉(zhuǎn)發(fā)。 只有當(dāng)接收到上面兩種類型的數(shù)據(jù)幀時，網(wǎng)卡才會通過CPU產(chǎn)生一個硬件中斷，然后再由操作系統(tǒng)負(fù)責(zé)處理該中斷，對幀中所包含的數(shù)據(jù)做進(jìn)一步處理。 嗅探器工作在網(wǎng)絡(luò)環(huán)境中的底層，它會攔截所有正在網(wǎng)絡(luò)上傳送的數(shù)據(jù)，通過借助相應(yīng)的軟件進(jìn)行處理。這個庫是編譯Tcpdump時所必需的。表1給出了一些常用的Tcpdump命令行選項，使用這些選項可以過濾出真正感興趣的數(shù)據(jù)包。 圖1 ARP過濾如果要做更多的處理，比如從指定的網(wǎng)絡(luò)接口截獲5個ARP數(shù)據(jù)包，并且不將網(wǎng)絡(luò)地址轉(zhuǎn)換成主機(jī)名，則可以用命令“tcpdump arp i eth0 c 5 n”。 Tcpdump的過濾表達(dá)式中一般有如下幾種類型的關(guān)鍵字： ◆ 類型關(guān)鍵字 這類關(guān)鍵字用于指定主機(jī)、網(wǎng)絡(luò)或端口，包括host、net和port三個關(guān)鍵字。例如，可以用src ；用“dst net ”來指明截獲的數(shù)據(jù)包中的目標(biāo)網(wǎng)絡(luò)地址。關(guān)鍵字fddi指明在FDDI(分布式光纖數(shù)據(jù)接口網(wǎng)絡(luò))上的特定網(wǎng)絡(luò)協(xié)議。如果沒有在表達(dá)式中指明協(xié)議，則Tcpdump會截獲所有協(xié)議的數(shù)據(jù)包。 在Tcpdump的過濾表達(dá)式中，各類關(guān)鍵字之間還可以通過布爾運(yùn)算符來構(gòu)成組合表達(dá)式，以滿足實際運(yùn)用時的需要。 下面給出幾個使用Tcpdump過濾數(shù)據(jù)包的例子，嗅探器提供的過濾表達(dá)式對于管理員監(jiān)測網(wǎng)絡(luò)運(yùn)行狀況非常重要： 1. 如果想要截獲主機(jī)“”所有收到和發(fā)出的數(shù)據(jù)包，可以使用如下命令： tcpdump host 2. 如果想要截獲在主機(jī)“”和主機(jī)“”或“”之間傳遞的數(shù)據(jù)包，可以使用如下命令： tcpdump host and \ \( or \)需要注意的是，在使用布爾運(yùn)算符構(gòu)成組合表達(dá)式時，有時需要使用括號來表達(dá)復(fù)雜的邏輯關(guān)系。 1. 數(shù)據(jù)鏈路層頭信息 使用“tcpdump e host tiger”命令截獲主機(jī)“tiger”所有發(fā)出和收到的數(shù)據(jù)包，并在輸出結(jié)果中包含數(shù)據(jù)鏈路層的頭部信息。“ack 25565”表示對序列號為25565的包進(jìn)行確認(rèn)，“win 8970”則指明發(fā)送窗口的大小為8760。 3. TCP包的輸出信息 用Tcpdump截獲的TCP包的一般輸出格式如下： src dst: flags datasequno ack window urgent options“src dst:”標(biāo)明從源地址到目的地址；flags是TCP包中的標(biāo)志信息，包括S(SYN)標(biāo)志、F(FIN)標(biāo)志、P(PUSH)標(biāo)志、R(RST)標(biāo)志和“.”(沒有標(biāo)志)；datasequno是數(shù)據(jù)包中的數(shù)據(jù)序列號；ack是下次期望的數(shù)據(jù)序列號；window是接收緩存的窗口大??；u
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1