1、嗅探器部署環(huán)境 面對(duì)路由網(wǎng)絡(luò)環(huán)境時(shí)，唯一需要重點(diǎn)考慮的問(wèn)題是：當(dāng)你調(diào)試一個(gè)涉及多個(gè)網(wǎng)絡(luò)分段的故障時(shí)，如何安置你的嗅探器？ 正如你所學(xué)到的，一個(gè)設(shè)備的廣播域一直延伸，直到到達(dá)一個(gè)路由器，在這個(gè)點(diǎn)上，網(wǎng)絡(luò)流量將會(huì)被轉(zhuǎn)發(fā)給上游路由器。 在網(wǎng)絡(luò)數(shù)據(jù)必須經(jīng)過(guò)多個(gè)路由器的情況下，在各個(gè)路由器上分析網(wǎng)絡(luò)流量是非常重要的。 考慮你很可能會(huì)遇到的一個(gè)場(chǎng)景，在網(wǎng)絡(luò)中由幾個(gè)路由器將幾個(gè)網(wǎng)絡(luò)分段連接在一起。在這個(gè)網(wǎng)絡(luò)中，每個(gè)網(wǎng)段與上游網(wǎng)段進(jìn)行通信，來(lái)獲取和存儲(chǔ)數(shù)據(jù)。 我們要解決的一個(gè)故障是：一個(gè)下游子網(wǎng)D，無(wú)法與網(wǎng)絡(luò)A中的任何設(shè)備進(jìn)行通信。 其中的精髓是，在處理涉及多個(gè)網(wǎng)段與路由器的問(wèn)題時(shí)，你可能需要將你的嗅探器移動(dòng)

2、到不同的位置上，才能獲得一個(gè)完整的網(wǎng)絡(luò)畫(huà)面。部署嗅探器1. 我們已經(jīng)介紹了在交換式網(wǎng)絡(luò)中捕獲網(wǎng)絡(luò)流量的4種不同方法。我們可以再增加一種方式，適用于我們僅僅在單個(gè)系統(tǒng)上安裝嗔探器軟件并監(jiān)聽(tīng)這臺(tái)系統(tǒng)進(jìn)出的流量。2. 在交換式網(wǎng)絡(luò)環(huán)境中進(jìn)行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則1. 端口鏡像：通常是首選的，因?yàn)樗粫?huì)留下網(wǎng)絡(luò)痕跡，也不會(huì)因此而產(chǎn)生額外的數(shù)據(jù)包，可以在不讓客戶(hù)端脫機(jī)下線的情況下進(jìn)行配置，非常便于鏡像路由。器或者服務(wù)器端口2. 集線器輸出：當(dāng)你不窬要考慮主機(jī)暫時(shí)下線帶來(lái)的后果時(shí)適用，當(dāng)你必須捕獲多臺(tái)主機(jī)的流量時(shí)是低效率的，因?yàn)榕鲎埠蛠G包會(huì)導(dǎo)致性能低下?？赡軙?huì)導(dǎo)致現(xiàn)代的100/1000Mbit/s主機(jī)丟失數(shù)

3、據(jù)包，因?yàn)榇蠖鄶?shù)真正的集線器都只是10Mbit/s的。3. 使用網(wǎng)絡(luò)分流器：當(dāng)你不需要考慮主機(jī)暫時(shí)下線帶來(lái)的后果時(shí)適用，當(dāng)你需要嗔探光纖通信時(shí)，這是唯一選項(xiàng)。由于網(wǎng)絡(luò)分流器就是為了網(wǎng)絡(luò)監(jiān)聽(tīng)嗅探而設(shè)計(jì)的，而且能夠跟上現(xiàn)代網(wǎng)絡(luò)速度，因此這種方法比起集線器輸出要更優(yōu)一些，在預(yù)算緊張時(shí)，這種方法的成本會(huì)過(guò)于高昂。部署嗅探器1. 在交換式網(wǎng)絡(luò)環(huán)境中進(jìn)行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則：3. ARP緩存：這會(huì)被認(rèn)為是非常草率的，因?yàn)樗婕霸诰W(wǎng)絡(luò)上注入數(shù)據(jù)包，以重路由流經(jīng)嗅探器的網(wǎng)絡(luò)流量。4. 中毒：在你需要一個(gè)暫時(shí)性快速實(shí)施的方法，能夠?qū)⒁粋€(gè)設(shè)備的網(wǎng)絡(luò)流量進(jìn)行捕獲，而又不用將其下線，同時(shí)端口鏡像又不被支持的時(shí)候，這種

4、方法會(huì)是一個(gè)高效的選擇。5. 直接安裝：般不建議，因?yàn)槿绻慌_(tái)主機(jī)存在故障和問(wèn)題，這個(gè)問(wèn)題可能會(huì)導(dǎo)致數(shù)據(jù)包被丟棄，或是被配置成它們無(wú)法被準(zhǔn)確地展示的樣子。主機(jī)的網(wǎng)卡不需要設(shè)置在混雜模式。在進(jìn)行環(huán)境測(cè)試、評(píng)估和審查性能，或是檢查在其他地方捕獲的數(shù)據(jù)包文件時(shí)，這是最佳方案。2. 作為分析師，我們需要盡可能地隱蔽。最理想的境界是，我們采集我們所需要的數(shù)據(jù)，而不留下任何的痕跡。知識(shí)點(diǎn)習(xí)題1. 部署嗅探器的環(huán)境是什么？2. 有哪些方法可以部署嗅探器？知識(shí)點(diǎn)習(xí)題1.部署嗅探器的環(huán)境是什么？1.面對(duì)路由網(wǎng)絡(luò)環(huán)境時(shí)，唯一需要重點(diǎn)考慮的問(wèn)題是：當(dāng)你調(diào)試一個(gè)涉及多個(gè)網(wǎng)絡(luò)分段的故障時(shí)，如何安置你的嗅探器？2.正如你

5、所學(xué)到的，一個(gè)設(shè)備的廣播域一直延伸，直到到達(dá)一個(gè)路由器，在這個(gè)點(diǎn)上，網(wǎng)絡(luò)流量將會(huì)被轉(zhuǎn)發(fā)給上游路由器。3.在網(wǎng)絡(luò)數(shù)據(jù)必須經(jīng)過(guò)多個(gè)路由器的情況下，在各個(gè)路由器上分析網(wǎng)絡(luò)流量是非常重要的。4.考慮你很可能會(huì)遇到的一個(gè)場(chǎng)景，在網(wǎng)絡(luò)中由幾個(gè)路由器將幾個(gè)網(wǎng)絡(luò)分段連接在一起。在這個(gè)網(wǎng)絡(luò)中，每個(gè)網(wǎng)段與上游網(wǎng)段進(jìn)行通信，來(lái)獲取和存儲(chǔ)數(shù)據(jù)。5.我們要解決的一個(gè)故障是：一個(gè)下游子網(wǎng)D，無(wú)法與網(wǎng)絡(luò)A中的任何設(shè)備進(jìn)行通信。6.其中的精髓是，在處理涉及多個(gè)網(wǎng)段與路由器的問(wèn)題時(shí)，你可能需要將你的嗅探器移動(dòng)到不同的位置上，才能獲得一個(gè)完整的網(wǎng)絡(luò)畫(huà)面。知識(shí)點(diǎn)習(xí)題2. 有哪些方法可以部署嗅探器？1. 在交換式網(wǎng)絡(luò)環(huán)境中進(jìn)行數(shù)據(jù)包

6、嗅探的指導(dǎo)準(zhǔn)則1. 端口鏡像：通常是首選的，因?yàn)樗粫?huì)留下網(wǎng)絡(luò)痕跡，也不會(huì)因此而產(chǎn)生額外的數(shù)據(jù)包，可以在不讓客戶(hù)端脫機(jī)下線的情況下進(jìn)行配置，非常便于鏡像路由。器或者服務(wù)器端口2. 集線器輸出：當(dāng)你不窬要考慮主機(jī)暫時(shí)下線帶來(lái)的后果時(shí)適用，當(dāng)你必須捕獲多臺(tái)主機(jī)的流量時(shí)是低效率的，因?yàn)榕鲎埠蛠G包會(huì)導(dǎo)致性能低下?？赡軙?huì)導(dǎo)致現(xiàn)代的100/1000Mbit/s主機(jī)丟失數(shù)據(jù)包，因?yàn)榇蠖鄶?shù)真正的集線器都只是10Mbit/s的。3. 使用網(wǎng)絡(luò)分流器：當(dāng)你不需要考慮主機(jī)暫時(shí)下線帶來(lái)的后果時(shí)適用，當(dāng)你需要嗔探光纖通信時(shí)，這是唯一選項(xiàng)。由于網(wǎng)絡(luò)分流器就是為了網(wǎng)絡(luò)監(jiān)聽(tīng)嗅探而設(shè)計(jì)的，而且能夠跟上現(xiàn)代網(wǎng)絡(luò)速度，因此這種方法比起集線器輸出要更優(yōu)一些，在預(yù)算緊張時(shí)，這種方法的成本會(huì)過(guò)于高昂。知識(shí)點(diǎn)習(xí)題2. 有哪些方法可以部署嗅探器？1. 在交換式網(wǎng)絡(luò)環(huán)境中進(jìn)行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則：3. ARP緩存：這會(huì)被認(rèn)為是非常草率的，因?yàn)樗婕霸诰W(wǎng)絡(luò)上注入數(shù)據(jù)包，以重路由流經(jīng)嗅探器的網(wǎng)絡(luò)流量。4. 中毒：在你需要一個(gè)暫時(shí)性快速實(shí)施的方法，能夠?qū)⒁粋€(gè)設(shè)備的網(wǎng)絡(luò)流量進(jìn)行捕獲，而又不用將其下線，同時(shí)端口鏡像又不被支持的時(shí)候，這種方法會(huì)是一個(gè)高效的選擇。5. 直接安裝：般不建議，因?yàn)槿绻慌_(tái)主機(jī)存在故障和問(wèn)題，這個(gè)問(wèn)題可能會(huì)導(dǎo)致數(shù)據(jù)包被丟棄，或是被配置成它們無(wú)法被準(zhǔn)確地展示的樣子。主機(jī)的網(wǎng)卡不需要設(shè)