論借助sniffer診斷l(xiāng)inux網(wǎng)絡(luò)故障(參考版)
2025-07-01 21:35本頁面
【正文】 用戶看到的是一個很直觀的用于表示網(wǎng)絡(luò)上各主機間流量大小的圖，而不是單個的數(shù)據(jù)包，因而更容易從整體上把握整個網(wǎng)絡(luò)的運行狀況，在定位網(wǎng)絡(luò)故障時相對來說也變得更加容易。圖6是當EhterApe處于IP模式下時的網(wǎng)絡(luò)流量圖。當處于Ethernet模式下時，EtherApe會截獲所有符合過濾規(guī)則的以太網(wǎng)數(shù)據(jù)包，但有時網(wǎng)絡(luò)管理員可能只對IP數(shù)據(jù)包感興趣，這時可以將EtherApe切換到IP模式。EhterApe圖形化地顯示網(wǎng)絡(luò)流量，圖5是當EtherApe處于Ethernet模式下時的網(wǎng)絡(luò)流量圖。由于采用的都是pcap庫，因此EtherApe過濾規(guī)則的設(shè)置與Tcpdump和Ethereal是相同的。 當用EtherApe截獲在網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包時，也需要先為其指定過濾規(guī)則，否則EthreApe將捕獲網(wǎng)絡(luò)中的所有數(shù)據(jù)包。在編譯EtherApe之前，應(yīng)先確定所需的這些庫已經(jīng)安裝好，因為這是編譯EtherApe時所必需的。 首先下載最新的源碼包并將其解壓縮，代碼如下： cp /usr/local/src/ cd /usr/local/src/ tar xzvf EtherApe使用的是GNOME這一圖形用戶接口庫。在。 EtherApe的安裝 EhterApe支持Ethernet、FDDI和Token Ring等多種網(wǎng)絡(luò)，能夠?qū)崟r地從網(wǎng)絡(luò)或文件中讀取網(wǎng)絡(luò)流量的變化情況。EtherApe使用不同顏色的連線來表示位于不同主機之間的連接，而連線的粗細則表明主機間數(shù)據(jù)流量的大小。 用EtherApe查看網(wǎng)絡(luò)流量 EtherApe也是一個圖形化的網(wǎng)絡(luò)嗅探器。 圖4最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時的最終形式，當在協(xié)議樹中選中某行時，與其對應(yīng)的十六進制代碼同樣會被選中，這樣就可以很方便地對各種協(xié)議的數(shù)據(jù)包進行分析。 圖4 用Ethereal分析數(shù)據(jù)包內(nèi)容圖4中間是協(xié)議樹，通過協(xié)議樹可以得到被截獲的數(shù)據(jù)包的更多信息，如主機的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口號(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。從圖中可以看出，該數(shù)據(jù)包所屬的協(xié)議是超文本傳輸協(xié)議(HTTP)。圖4是在Ethereal中對一個HTTP數(shù)據(jù)包進行分析時的情形。 用Ethereal分析數(shù)據(jù)包 Ethereal和其它的圖形化嗅探器使用基本類似的界面，整個窗口被分成三個部分：最上面為數(shù)據(jù)包列表，用來顯示截獲的每個數(shù)據(jù)包的總結(jié)性信息；中間為協(xié)議樹，用來顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；最下邊是以十六進制形式表示的數(shù)據(jù)包內(nèi)容，用來顯示數(shù)據(jù)包在物理層上傳輸時的最終形式。 在選擇了所需要的過濾器后，單擊“OK”按鈕，整個嗅探過程就開始了。 圖3 為Ethereal指定過濾器注意在“Capture Options”對話框中，“Update list of packets in real time”復(fù)選框被選中了。要將過濾器應(yīng)用于嗅探過程，需要在截獲數(shù)據(jù)包之前或之后指定過濾器。例如，一個過濾器可能用于截獲兩個主機間的數(shù)據(jù)包，而另一個則可能用于截獲ICMP包來診斷網(wǎng)絡(luò)故障。Ethereal能夠同時維護很多個過濾器。例如，可以在“Filter name”編輯框內(nèi)輸入過濾器名字“sohu”，在“Filter string”編輯框內(nèi)輸入過濾規(guī)則“host and ”，然后單擊“New”按鈕即可，如圖2所示。因為此時還沒有添加任何過濾規(guī)則，因而該對話框右側(cè)的列表框是空的。Ethereal使用與Tcpdump相似的過濾規(guī)則，并且可以很方便地存儲已經(jīng)設(shè)置好的過濾規(guī)則。如果該庫已經(jīng)安裝，就可以執(zhí)行下面的命令來編譯并安裝Ethereal： cd ./configure make make install設(shè)置Ethereal的過濾規(guī)則 當編譯并安裝好Ethereal后，就可以執(zhí)行“ethereal”命令來啟動Ethereal。下面以Ethereal ，講述如何安裝Ethereal，此處使用的操作系統(tǒng)是Red Hat 。Ethereal和其它圖形化的網(wǎng)絡(luò)嗅探器都使用相同的界面模式，如果能熟練地使用Ethereal，那么其它圖形用戶界面的嗅探器基本都可以操作。 用Ethereal分析協(xié)議數(shù)據(jù)包 Ethereal是一個圖形用戶接口（GUI）的網(wǎng)絡(luò)嗅探器，能夠完成與Tcpdump相同的功能，但操作界面要友好很多。Ethereal和EtherApe就是其中的佼佼者。但Tcpdump只是一個命令行方式下的網(wǎng)絡(luò)嗅探器，雖然功能強大，可分析起數(shù)據(jù)包來卻不是很方便。同Tcpdump相比，使用這兩個嗅探器的分析過程要簡單許多。Tcpdump是基于命令行方式的嗅探器，其輸出結(jié)果比較難于分析，因此很多網(wǎng)絡(luò)管理員都使用圖形化的嗅探器來檢測網(wǎng)絡(luò)故障，并處理可能存在的安全問題。利用Tcpdump提供的表達式過濾一些截獲的數(shù)據(jù)包，可以從截獲的大量數(shù)據(jù)包中提取出有用的信息，從而能夠有針對性地對網(wǎng)絡(luò)進行監(jiān)測。它可以根據(jù)需要顯示出經(jīng)過一個網(wǎng)絡(luò)接口的所有數(shù)據(jù)包，供網(wǎng)絡(luò)管理員對網(wǎng)絡(luò)進行檢測。上面的輸出結(jié)果表明從主機“src”的“port1”端口發(fā)出的一個UDP數(shù)據(jù)包被送到主機“dst”的“port2”端口，數(shù)據(jù)包的類型是UDP，其長度為“l(fā)enth”。 3. TCP包的輸出
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1