RCCP0301-利用Sniffer讓網(wǎng)絡(luò)性能永駐巔峰

RCCP培訓(xùn)－

利用Sniffer讓網(wǎng)絡(luò)性能永駐巔峰議程Sniffer使用簡(jiǎn)介案例分析Sniffer〔嗅探器〕是利用計(jì)算機(jī)的網(wǎng)絡(luò)接口截獲目的地為其他計(jì)算機(jī)的數(shù)據(jù)報(bào)文的一種工具。正面因素：使用SNIFFER可以改變被動(dòng)的網(wǎng)絡(luò)管理為主動(dòng)，提高網(wǎng)絡(luò)的使用效率反面因素：利用SNIFFER可以發(fā)起網(wǎng)絡(luò)攻擊，竊取他人數(shù)據(jù)。這些數(shù)據(jù)可以是用戶的帳號(hào)和密碼，可以是一些商用機(jī)密數(shù)據(jù)等等

Sniffer使用簡(jiǎn)介GradeofServiceGoodDegradedSeverelyDegradedOutageProblemAnalysis-ManualUserCallsStartSNMPTrapGradeofService被動(dòng)的網(wǎng)絡(luò)管理Sniffer使用簡(jiǎn)介GradeofServiceGoodDegradedOutageAutomatedProblemAnalysis(7x24)ExceptionNotedResolution主動(dòng)的網(wǎng)絡(luò)管理方式Sniffer使用簡(jiǎn)介AdapterToolsPacketgenBERTPingTraceRouteDNSLookupFinger

MonitorApplicationsDashboardARTHostTableMatrixHistorySamplesProtocolDistributionGlobalStatisticsDisplays

DecodeMatrixHostTableProtocolDistExpertTriggerNameDiscoveryAlarmsMonitorFiltersCaptureFiltersDisplayFiltersProbeDir Profiles Configs AddrBk DatabaseTracesExportedDataSniffer工作原理議程Sniffer使用簡(jiǎn)介案例分析Sniffer案例分析案例目的：了解Sniffer強(qiáng)大的多層次的分析網(wǎng)絡(luò)故障功能傳達(dá)網(wǎng)絡(luò)故障排除的根本思想主要手段：利用Monitor加上網(wǎng)絡(luò)根本知識(shí)進(jìn)行故障分析案例分析效勞對(duì)象：一家大型建筑設(shè)計(jì)公司網(wǎng)絡(luò)建設(shè)時(shí)間：80年代網(wǎng)絡(luò)效勞器與工作站共800臺(tái)左右，其中UNIX效勞器數(shù)十臺(tái)，Macintosh效勞器和工作站150左右，其余為PC工作站協(xié)議類型：TCP/IP和APPLETALK網(wǎng)絡(luò)結(jié)構(gòu)800臺(tái)計(jì)算機(jī)分布在三十層大樓之中骨干網(wǎng)技術(shù)千兆網(wǎng)、ATM接入網(wǎng)絡(luò)設(shè)備交換機(jī)、HUB背景網(wǎng)絡(luò)速度變慢PC機(jī)網(wǎng)絡(luò)時(shí)常中斷MAC機(jī)無法接入網(wǎng)絡(luò)網(wǎng)絡(luò)連接設(shè)備沒有任何故障應(yīng)用程序沒有發(fā)現(xiàn)問題長(zhǎng)達(dá)半年之久客戶網(wǎng)絡(luò)發(fā)生問題Sniffer接在一個(gè)鏡像端口，經(jīng)過一段時(shí)間獲得了上面的數(shù)據(jù)：Summary:開始捕獲時(shí)間：1998年8月26日上午11：25〔重要〕捕獲時(shí)間長(zhǎng)度：近8分鐘平均網(wǎng)絡(luò)利用率：0捕獲數(shù)據(jù)文件概覽MAC計(jì)算機(jī)無法連網(wǎng)，那么我們定義一個(gè)過濾器，僅僅查看Appletalk協(xié)議定義APPLETALK過濾器Appletalk本身沒有問題所以我們必須回到全局的觀點(diǎn)通常進(jìn)行網(wǎng)絡(luò)分析人員的常犯錯(cuò)誤是僅僅將目光局限在出問題的點(diǎn)上。過濾后的數(shù)據(jù)使用PacketGenerator回放捕獲的數(shù)據(jù)，模擬當(dāng)時(shí)的網(wǎng)絡(luò)狀況回放網(wǎng)絡(luò)流量63Packets/S53Broadcast/S說明播送太多概況利用Hosttable工具可以很容易發(fā)現(xiàn)Broadcast和Intel775435的活動(dòng)量很大Hosttable進(jìn)一步利用Matrix發(fā)現(xiàn)流量的大局部是Intel775435發(fā)的播送包Matrix利用ProtocolDistribution工具發(fā)現(xiàn)網(wǎng)絡(luò)上的協(xié)議分布情況。在MAC層以上存在的協(xié)議有：IP、IP-ARP、IPX、NETBEUI、ATALK、DECNET、OSI…….IP-ARP竟然占用59.71％!如果在剛剛上班時(shí)間如早上8點(diǎn)左右，該協(xié)議會(huì)占有較大比率可以理解回憶數(shù)據(jù)包捕獲時(shí)間——上午11：25。所以，可以初步認(rèn)為該處有問題。Protocol分布情況前文可知一個(gè)Intel775435的流量比較大，對(duì)其進(jìn)行隔離分析，查看播送內(nèi)容。定義過濾器隔離問題使用定義好的過濾器進(jìn)行抓包，然后進(jìn)行解碼分析。發(fā)現(xiàn)Intel正在連續(xù)不斷地在一端連續(xù)的IP地址上進(jìn)行ARP播送。連續(xù)的ARP時(shí)間間隔極短。產(chǎn)生CPU中斷Intel讓網(wǎng)絡(luò)上的計(jì)算機(jī)中斷、連續(xù)中斷。

ARP一般沒有管理員將MAC地址登記，而是根據(jù)IP地址。通過解碼得到NTEL775435的IP為。通過登記表找到該計(jì)算機(jī)。

尋找目標(biāo)網(wǎng)絡(luò)參謀將該計(jì)算機(jī)的網(wǎng)線拔掉MAC機(jī)能夠上網(wǎng)了！結(jié)論是：城門失火，殃及池魚現(xiàn)在模擬沒有INTEL775435的情況。定義過濾器，排除該工作站。抓包，并將新的結(jié)果存成一個(gè)新文件，重放。

如果沒有Intel775435……看起來目前網(wǎng)絡(luò)正常多了，IP-ARP減少到了20%左右新的網(wǎng)絡(luò)狀況Hosttable和Matrix顯示正常。我們注意到Broadcast仍然占有相當(dāng)比率。新的網(wǎng)絡(luò)狀況我們發(fā)現(xiàn)很多臺(tái)工作站在發(fā)送ARP播送，為什么？通過分析數(shù)據(jù)包解碼和該公司人員的配合，我們發(fā)現(xiàn)該公司使用了一種業(yè)務(wù)程序，該程序在每一臺(tái)計(jì)算機(jī)都安裝了一個(gè)客戶端，該客戶端利用ARP完成完成該程序任務(wù)的局部功能。該程序是設(shè)計(jì)為10臺(tái)以內(nèi)的工作組共同運(yùn)行的，不適合該公司這樣的大規(guī)模使用。還是ARP我們可以模擬一下該網(wǎng)絡(luò)沒有ARP〔當(dāng)然是近似情況〕時(shí)的情況。利用DATAPATTERN定義一個(gè)過濾器，排除ARP協(xié)議。抓包，產(chǎn)生結(jié)果，保存并回放。排除ARPBaselinethenetworkfirst!