《企业管理诊断论借助sniffer诊断Linux网络故障》由会员分享，可在线阅读，更多相关《企业管理诊断论借助sniffer诊断Linux网络故障（15页珍藏版）》请在金锄头文库上搜索。
1、借助sniffer诊断Linux网络故障嗅探器(sniffer)在网络安全领域是一把双刃剑，一方面常被黑客作为网络攻击工具，从而造成密码被盗、敏感数据被窃等安全事件；另一方面又在协助网络管理员监测网络状况、诊断网络故障、排除网络隐患等方面有着不可替代的作用。嗅探器是企业必不可少的网络管理工具。本文以Linux平台下三个常用的网络嗅探器Tcpdump、Ethereal和EtherApe为例，介绍如何借助sniffer来诊断网络故障，从而保障网络高效安全地运行。 简介 嗅探器(sniffer)又称为包嗅探器，是用来截获计算机网络通信数据的软件或硬件。与电话电路不同，计算机网络是共享通信通道的，从而
2、意味着每台计算机都可能接收到发送给其它计算机的信息，捕获在网络中传输的数据信息通常被称为监听(sniffing)。嗅探器常常作为一种收集网络中特定数据的有效方法，是利用计算机的网络接口截获目的地为其它计算机数据报文的一种工具。 嗅探器工作在网络环境中的底层，可以拦截所有正在网络上传送的数据，从而成为网络安全的一个巨大威胁。通过对网络进行嗅探，一些恶意用户能够很容易地窃取到绝密文档和敏感数据，因此嗅探器经常被黑客当作网络攻击的一种基本手段。 任何工具都有弊有利，嗅探器既可以作为黑客获得非法数据的手段，但同时对网络管理员来讲又是致关重要的。通过嗅探器，管理员可以诊断出网络中大量的不可见模糊问题。这
3、些问题通常会涉及到多台计算机之间的异常通信，而且可能会牵涉到多种通信协议。借助嗅探器，管理员还可以很方便地确定出哪些通信量属于某个特定的网络协议、占主要通信量的主机是哪台、各次通讯的目标是哪台主机、报文发送占用多少时间、各主机间报文传递的间隔时间等。这些信息为管理员判断网络问题及优化网络性能，提供了十分宝贵的信息。 作为一种发展比较成熟的技术，嗅探器在协助监测网络数据传输、排除网络故障等方面有着不可替代的作用，倍受网络管理员的青睐。可以通过分析网络流量来确定网络上存在的各种问题，如瓶颈效应或性能下降；也可以用来判断是否有黑客正在攻击网络系统。如果怀疑网络正在遭受攻击，通过嗅探器截获的数据包可以
4、确定正在攻击系统的是什么类型的数据包，以及它们的源头，从而可以及时地做出响应，或者对网络进行相应的调整，以保证网络运行的效率和安全。 网络管理员在检测网络故障及维护网络正常通信的过程中，经常需要借助嗅探器提供的某些功能。一般的嗅探器都提供以下一些功能： 1. 自动从网络中过滤及转换有用的信息； 2. 将截获的数据包转换成易于识别的格式； 3. 对网络环境中的通讯失败进行分析； 4. 探测网络环境下的通讯瓶颈； 5. 检测是否有黑客正在攻击网络系统，以阻止其入侵； 6. 记录网络通信过程。 本文介绍如何在Linux平台下利用嗅探器来截获在网络中传递的数据信息，从而检测出是否存在网络瓶颈，以及可能
5、存在的网络故障。在Linux平台下可用的嗅探器非常多，各自的功能和长处也不尽相同，本文主要以Tcpdump、Ethereal和EtherApe三种嗅探器为例，讲述如何利用各自的优点来对Linux网络的性能和故障进行系统的分析和检测。 Tcpdump Tcpdump是一个命令行方式的网络流量监测工具。它诞生的时间较早，是许多图形化嗅探器的雏形。 Ethereal Ethereal是一个图形化的网络流量监测工具，比命令行方式的Tcpdump友好很多，可以实时地观看捕获过程。 EtherApe EtherApe也是一个图形化的网络流量监测工具。与Ethereal不同，EtherApe可以通过对主机间
6、的连接进行检测，图形化地显示网络活动，因而能更加直观地显示出整个网络所处的状态。 sniffer工作原理 在基于TCP/IP协议的局域网中，当数据由应用层自上而下传递时，首先在网络层形成IP数据包，然后再向下到达数据链路层，由数据链路层将IP数据包分割为数据帧，加上以太网包头后向下发送到物理媒体上。以太网包头中包含着本地主机和目标主机的MAC地址，位于链路层的数据帧是依靠48位的MAC地址而非IP地址来寻址的，网络接口卡的驱动程序不会关心IP数据包的目的IP地址。它所需要的仅仅是数据包中的MAC地址。 当局域网内的主机都通过集线器(HUB)等方式连接时，一般采用的是共享式的连接。这种共享式的连
7、接有一个很明显的特点：发送数据时物理上采用的是广播方式。当一台主机向另一台主机发送数据时，共享式的HUB会将接收到的所有数据向HUB上的每个端口转发。也就是说，当主机根据MAC地址发送数据包时，尽管发送端主机告知目标主机的地址，但并不意味着一个网络内的其它主机不能监听到发送端和接收端之间传递的数据。因此从理论上说，当采用共享式连接时，位于同一网段的每台主机都可以截获在网络中传输的所有数据。 正常情况下，局域网内同一网段的所有网卡虽然都具有访问在物理媒体上传输的所有数据的能力，但通常一个网卡只响应以下两种数据帧： 数据帧的目标MAC地址与网卡自身的MAC地址一致； 数据帧的目标MAC地址为广播地
8、址。 只有当接收到上面两种类型的数据帧时，网卡才会通过CPU产生一个硬件中断，然后再由操作系统负责处理该中断，对帧中所包含的数据做进一步处理。也就是说，虽然网络上所有主机都可以“监听”到所有的数据，但对不属于自己的报文不予响应，只是简单地忽略掉这些数据。 但是，如果网络中的某台主机不愿意忽略掉不属于自己的数据帧，只需将网卡设置为混杂(Promiscuous)模式，对接收到的每一个帧都产生一个硬件中断，以提醒操作系统处理经过该网卡的每一个数据包，这样网卡就可以捕获网络上所有的数据了。如果一台主机的网卡被配置为混杂模式，那么该主机及其相关的软件就构成了一个嗅探器。 嗅探器工作在网络环境中的底层，它
9、会拦截所有正在网络上传送的数据，通过借助相应的软件进行处理。嗅探器可以实时分析这些数据的内容，进而可以帮助网络管理员分析整个网络的状态、性能或故障。正因如此，在检测网络故障时，嗅探器对管理员来说是一种不可或缺的强力工具。# cp tcpdump-3.7.1.tar.gz /usr/local/src/# cd /usr/local/src/# tar xzvf tcpdump-3.7.1.tar.gz在编译Tcpdump之前，应先确定pcap库(libpcap)已经安装完毕。这个库是编译Tcpdump时所必需的。如果该库已经安装，就可以执行下面的命令来编译并安装Tcpdump： # cd tc
10、pdump-3.7.1# ./configure# make# make installTcpdump的命令行选项 Tcpdump是一个命令行方式的网络嗅探器。它通过使用命令选项来过滤网卡截获的数据包，如果不进行过滤，过多数量的包会使网络管理员很难理清头绪。Tcpdump的命令格式如下： tcpdump -adeflnNOpqRStuvxX -c 数量 -C 文件尺寸 -F 文件名 -i 网络接口 -m 文件名 -r 文件名 -s 长度 -T 类型 -w 文件名 -E algo:secret 表达式 表1 Tcpdump常用命令行选项 -a将网络地址和广播地址转变成容易识别的名字-d将已截获的
11、数据包的代码以人容易理解的格式输出；-dd将已截获的数据包的代码以C程序的格式输出；-ddd将已截获的数据包的代码以十进制格式输出；-e输出数据链路层的头部信息；-f将internet地址以数字形式输出；-l将标准输出变为行缓冲方式；-n不将网络地址转换成易识别的主机名，只以数字形式列出主机地址(如IP地址)，这样可以避免DNS查询；-t不输出时间戳；-v输出较详细的信息，例如IP包中的TTL和服务类型信息；-vv输出详尽的报文信息；-c在捕获指定个数的数据包后退出；-F从指定的文件中读取过滤规则，忽略命令行中指定的其它过滤规则；-i指定监听的网络接口；-r从指定的文件中读取数据包(该文件一般
12、通过-w选项产生)；-w将截获的数据包直接写入指定的文件中，不对其进行分析和输出；-T将截获的数据包直接解释为指定类型的报文，目前支持的类型有cnfp、rpc、rtp、snmp、vat和wb。表1给出了一些常用的Tcpdump命令行选项，使用这些选项可以过滤出真正感兴趣的数据包。 使用Tcpdump的命令行选项可以很方便地过滤出需要的数据包。例如，要过滤掉所有除ARP请求和应答的通信数据，可以输入“tcpdump arp”命令。该命令只对ARP的请求和应答信息进行截获，在Tcpdump的输出信息中，请求是“arp who-has”这样的条目，而应答则是“arp reply”这样的条目，如图1所
13、示。 图1 ARP过滤如果要做更多的处理，比如从指定的网络接口截获5个ARP数据包，并且不将网络地址转换成主机名，则可以用命令“tcpdump arp -i eth0 -c 5 -n”。 Tcpdump的过滤表达式 Tcpdump的过滤表达式是一个正则表达式，Tcpdump利用其作为过滤数据包的条件。如果一个数据包满足表达式的条件，则这个数据据包将会被捕获；如果不指定表达式，则在网络上任何两台主机间的所有数据包都将被截获。过滤表达式的作用就是使Tcpdump只输出网络管理员所需要的数据，如一个指定的网络接口和特定主机间的IP数据包。 Tcpdump的过滤表达式中一般有如下几种类型的关键字： 类
14、型关键字 这类关键字用于指定主机、网络或端口，包括host、net和port三个关键字。例如，可以用“host 9.185.10.57”来标明监听的主机；用“net 9.185.0.0”来标明监听的网络；用“port 23”来标明监听的端口。如果没有在表达式中指明类型，则缺省的类型为host。 方向关键字 这类关键字用于指定截获的方向，包括dst、src、dst or src、dst and src四个关键字。例如，可以用src 9.185.10.57来指明截获的数据包中的源主机地址；用“dst net 9.185.0.0”来指明截获的数据包中的目标网络地址。如果没有在表达式中指明方向，则缺省
15、的方向为“dst or src”，即两个方向的数据包都将被捕获。对于数据链路层协议(如SLIP和PPP)，使用inbound和outbound来定义方向。 协议关键字 这类关键字用于指定要截获的数据包所属的协议，包括ether、fddi、tr、ip、ip6、arp、rarp、decnet、tcp和udp等关键字。关键字fddi指明在FDDI(分布式光纤数据接口网络)上的特定网络协议。实际上它是ether的别名。fddi和ether具有类似的源地址和目标地址，所以可以将fddi协议包当作ether的包进行分析和处理。其它几个关键字只是指定了所要截获的协议数据包。如果没有在表达式中指明协议，则Tcpdump会截获所有协议的数据包。 除了上述三种类型的关键字外，Tcpdump的过滤表达式中还可以指定的一些重要关键字包括gateway、broadcast、multicast、less、greater。这些关键字对于监听网络中的广播和多播很有帮助。关于这些关键字的更多信
