用于采集网络数据流并提供数据分析能力的工具称为网络监视器。监视网络的目的是对数据流进行分析，发现网络通信中的问题。网络监视器能提供利用率和数据流量方面的统计数据，还能从网络通信流中捕获数据帧，并筛选、解释、分析这些数据帧的内容，判断其来源和去向。目前大多数网络都是基于以太网构建的，广播通信方式决定了在一台计算机上可以采集到子网内的全部通信流，因此网络监视器的有效范围遍及路由器以内的全部通信主机。

    目前最常用的网络监视工具有Sniffer, NetXray和Ethereal等，其中Sniffer的功能最强

使用最为普遍。下面介绍Sniffer的功能和使用方法。

9.8.1网络监听原理

    由于以太网采用广播通信方式，所以在网络中传送的分组可以出现在同一冲突域中的所有端口上。在常规状态下，网卡控制程序只接收发送给自己的数据包和广播包，对目标地址不是自己的数据包则丢弃。如果把网卡配置成混杂模式(Promiscuous Mode)，它就能接收所有分组，无论是否是发送给自己的。

    采用混杂模式的程序可以把网络连接上传输的所有分组都显示在屏幕上。有些协议(例如FTP和Telnet)在传输数据和口令字时不进行加密，采用混杂模式的网络扫描器就可以解读和提取有用的信息，这给网络黑客造成了可乘之机。利用网络监听技术，既可以进行网络监控，解决网络管理中的问题，也可以进行网络窃听，实现网络入侵的目的。

    当一个主机采用混杂模式进行网络监听时，它是可以被检查出来的。这里主要有两种方法:一种是根据时延来判断。由于采用混杂模式的主机要处理大量的分组，所以它的负载必定很重，如果发现某个计算机的响应很慢，就可以怀疑它是工作于混杂模式。另外一种方法是使用错误的MAC地址和正确的IP地址向它发送ping数据包，如果它接收并应答了这个数据包，那一定是采用混杂模式进行通信的。

    混杂模式通信被广泛地使用在恶意软件中，最初是为了获取根用户权限(RootCompromise)，继而进行ARP欺骗(ARP Spoofing)。凡是进行ARP欺骗的计算机必定把网卡设置成了混杂模式，所以检测那些滥用混杂模式的计算机是很重要的。

9.8.2网络嗅探器

嗅探器(Sniffer)就是采用混杂模式工作的协议分析器，可以用纯软件实现，运行在普通

的计算机上;也可以做成硬件，用独立设备实现高效率的网络监控。Sniffer Network Analyzer是美国网络联盟公司(Network Associates INC, NAI)的注册商标，然而许多采用类似技术的网络协议分析产品也可以叫做嗅探器。NAI是电子商务和网络安全解决方案的主要供应商，它的产品除了Sniffer Pro之外，还有著名的防毒软件McAfee.

    常用的Sniffer Pro网络分析器可以运行在各种Windows平台上。Sniffer软件安装完成后在文件菜单中选择Select Settings，就会出现图9-56所示的界面，在这里可以选择用于监控的网卡，使其置于混杂模式。

9.8.3 Sniffer软件的功能和使用方法

    Sniffer Pro主要包含4种功能组件:

    (1)监视。实时解码并显示网络通信流中的数据。

    (2)捕获。抓取网络中传输的数据包并保存在缓冲区或指定的文件中，供以后使用.

    (3)分析。利用专家系统分析网络通信中潜在的问题，给出故障症状和诊断报告。

    (4)显示。对捕获的数据包进行解码并以统计表或各种图形方式显示在桌面上。

    网络监控是Sniffer的主要功能，其他功能都是为监控功能服务的。网络监控可以提供下列信息。

    (1)负载统计数据，包括一段时间内传输的帧数、字节数、网络利用率、广播和组播分组计数等。

    (2)出错统计数据，包括CRC错误、冲突碎片、超长帧、对准出错和冲突计数等。

    (3)按照不同的底层协议进行统计的数据。

    (4)应用程序的响应时间和有关统计数据。

    (5)单个工作站或会话组通信量的统计数据。

    (6)不同大小数据包的统计数据。

图9-57所示是Sniffer的系统界面，并且给出了监视菜单(Monitor)及其工具栏的解释。当Sniffer工作时，单击“主控板”按钮，可以显示网络利用率、数据包如秒和错误数/秒三个计量表。这个窗口下面有如下三个选项(如图9-58所示)。

        Network:显示网络利用率等统计信息。

        Detail Errors:显示出错统计信息。

        Size Distribution:显示各种不同大小分组数的统计信息。

    单击“主机表”按钮，可以显示通信最多的前10个主机的统计数据，如图9-59所示。单击“矩阵”按钮，可以显示主机之间进行会话的情况，如图9-60所示。其他按钮的使用是类似的，由于GUI界面直观易用，读者可以利用帮助信息熟悉Sniffer的使用方法。

9.8.4  HP OpenView

    HP OpenView由多个功能套件组成，形成了一个集网络管理和系统管理为一体的完整系统。HP OpenView包括以下套件.

    HP OpenView Operations:一体化的网络和系统管理平台，能支持数百个受控节点和数千个事件。

    HP OpenView Reporter:报告管理软件。为分布式IT环境提供灵活易用的报告管理解决方案，通过Web浏览器可以发布和访问各种管理报告。

    HP OpenView Performance:端到端的资源和性能管理软件。能收集、统计和记录来自应用、数据库、网络和操作系统的资源及性能测量数据。

    HP OpenView GlancePlus:实时诊断和监控软件。可以显示系统级、应用级和进程级的性能视图，诊断和识别系统运行中的问题和性能瓶颈。

    HP OpenView GlancePlus Pak 2000:全面管理系统可用性的综合性产品。在GlancePlus

Pak的基础上增加了单一系统事件与可用性管理，可监控系统中的关键事件，使系统

处于最佳性能状态。

    HP OpenView Database Pak 2000:服务器与数据库的性能管理软件。它提供强大的系

统性能诊断功能，可以检测关键事件并采取修复措施，可提供200多种测量数据和300

多种日志文件。

    以上模块既相对独立，又可集成在一起，为企业提供高可用性的系统管理解决方案。

    网络节点管理器

    HP OpenView最初是为网络管理设计的，其基础产品是网络节点管理器(Network Node

Manager, NNM) o NNM作为网络和系统管理的基础平台，可以与第三方管理应用集成在一起，

形成强大的综合的网络管理环境。HP OpenView NNM的主要功能特点分述如下。

    (1)自动发现网络的拓扑结构，全面管理网络中的各种设备。 NNM能够自动发现网络节

点，监测网络连接，生成和记录TCP/IP网络视图，通过不同彩色表示网络设备的运行状态。

发现和监控功能还可以探测广域网上的设备。通过SNMP Data Presenter，用户可以查询网络的

SNMP信息。

    (2)具有管理大型、多节点网络的能力，可以适应多厂商设备、多操作系统的异构型环境。

NNM可以管理多达1000个以上的节点，能够适应地理上分布的网络环境。HP OpenView是一

种支持多厂商应用软件的管理平台，可以支持21种操作系统中的智能代理，包括Windows.

NetWare和不同厂商的各种UNIX等。

    (3)网络管理采用易于操作的图形界面。HP OpenView采用图形用户界面，管理人员可以通过熟悉的点击、拖动、菜单选项等技术实现网络管理操作。使用OpenView Windows的窗格和缩放功能，在保持全网总图像的同时，可以将视点聚焦于重点子图的关键区域。

    (4)与系统管理有机地集成在一起。I.TqpenView的网络管理产品可以紧密地结合到企业整体的资源与系统管理平台中，例如HP OpenView Operation中就内嵌了NNM模块。其他的网络管理模块都可以在HP OpenView Operation的操作平台上执行操作和显示数据。

    (5)搜集到的信息可以进行有针对性地选择。NNM对于所搜集到的信息具有简化功能，

可提供发现过滤和拓扑过滤、图像过滤三种过滤方式，使管理人员可以根据需要选择要监控的

对象，定制视图显示的内容和管理节点之间传输的信息。

    (6)网络管理信息传输不会过多地占用网络资源。NNM一方面可以对网络中的信息进行

过滤，另一方面可以在本地进行网络故障的处理，只把故障事件和处理结果上报给上层控制台，

从而减少了网络管理信息传输的通信流量。

    (7)分布式的体系结构和远程管理操作。HP OpenView的分布式解决方案便于协调管理人员的管辖范围，实现分层次的网络管理模式。NNM能够通过Web界面访问网络拓扑和网管数据，在万维网的任何地点都可以进行远程管理操作。采用HP OpenView Web Launcher还可以在任何地点启动基于Java的HP OpenView应用，带有密码校验的登录过程确保了管理的安全性。

    (8)故障的发现、显示与排除。NNM能自动对网络进行监测，搜集网络中的故障和报誉信息。NNM采用事件关联技术，使得网管人员能够快速定位和排除故障。通过高级事件关联引擎把事件与高层次报警关联起来，可以立即发现网络故障的根本原因。

    (9)与其他网管工具的集成。HP OpenView提供了SNMP管理信息库的标准管理功能，用户还可以对loll:']数据库进行扩展。HP OpenView提供了标准的开发工具，用于开发可集成到管理平台上的应用软件。HP OpenView已经被众多厂商作为其网络设备管理的平台软件。

    (10)功能强大、简单易用的二次开发能力。HP OpenView提供的各种应用开发包采用图

形用户界面，无须具备特殊开发技巧就可以开发网管应用程序。HP OpenView提供了基于C语言的”I，具有功能强大的可供调用的管理函数和公共服务，支持第三方合作伙伴开发多平台的、可扩展的分布式网络管理应用软件。

9.8.5旧M Tivoli NetView

    Tivoli NetView是IBM公司的网络管理工具，能够提供整个网络环境的完整视图，实现对网络产品的管理。它采用SNMP协议对网络上的设备进行实时的监控，对网络中发生的故障进行报警，从而减少了系统管理的难度和管理工作量。

    IBM Tivoli NetView网络管理解决方案可以实现的功能主要包括:

    (1)网络拓扑管理。NetView能够自动发现联网的IP节点，包括路由器、交换机、服务器和PC等，并自动生成拓扑连接。Net View还可以按照地理位置对网络拓扑图形进行定制，使之与实际的网络结构更加吻合。图9-61是Tivoli网络管理拓扑显示界面。

    Net View提供的SmartSet功能可以将具有相同属性的管理对象组成一个集合，例如用户可以把重要的路由器放在一起作为一个集合，进行统一的管理设置。SmartSet甚至不需要手工加入对象，管理员只需设置加入集合的条件，SmartSet就能够动态发现符合条件的设备并自动加入集合视图，从而为管理员提供了很大的便利。

    (2)网络故障管理。网络故障管理是网络管理的核心。NetView的图形化网络拓扑结构可以迅速发现出现故障的资源，并帮助管理员分析故障原因。当网络中的设备出现故障、死机或链路中断时，NetView会及时在屏幕上显示报替信号，便于网络管理人员进行诊断，并排除故障。

    (3)网络性能管理。NetView的SnmpCollect功能可以自动采集重要的网络性能数据，例如IP流量、带宽利用率、出错包数量、丢弃包数量和SNMP流量等。通过设置各种参数的闽值，NetView能够自动发出报答信号，或自动运行已定义的管理操作。NetView可以用图形的方式显示网络性能数据的变化情况，或者将管理数据存放在关系数据库中，以便于以后进行检索和分析.图9-62所示为网络性能分析视图。

    Tivoli数据仓库为网络性能管理提供集中的历史统计和报表分析，能够帮助管理人员从大量数据中及时发掘出可用于判断网络运行状态的数据，能够生成各种报表和图形化的分析报告。

    (4)网络设备管理。Tivoli NetView是使用最广泛的网络管理平台之一，支持业界标准API,能够与主要网络设备厂商的设备管理软件(如Cisco Works. Nortel Optivity和3com Transcend等)方便地进行集成。

    (5)管理权限分配。NetView可以为管理员定义不同的管理角色，不同的管理角色可以被授权管理不同地域范围的设备，没有权限管理的设备不会出现在网络拓扑视图中。

    (6) Web管理功能。NetView通过Web控制台实现了分布式的网络管理。NetView Web

控制台为用户提供了一个灵活、可配置的环境，便于用户远程访问网络设备、浏览交换机的端口、检查路由器的工作状态、查看MAC地址等。

    (7)支持MPLS管理功能。NetView 7.1支持对多协议标记交换设备的识别，并能对有关MPLS的数据进行查询，可以管理LSR设备。

    (8)交换机的故障定位。IBM Tivoli Switch Analyzer提供了第二层交换设备的发现功能，能够识别包括第二层和第三层交换设备在内的各种设备之间的关系。正确地关联分析可以区分不同的设备，无论是IP寻址的端口，还是第二层交换机上非IP寻址的端口、板卡或插件。

9.8.6 CiscoWorks for Windows

    CiscoWorks for Windows是基于Web的网络管理解决方案，主要应用于中小型企业网络，提供了一套功能强大、价格低廉且易于使用的监控和配置工具，用于管理Cisco的交换机、路由器、集线器、防火墙和访问服务器等设备。使用Ipswitch公司的WhatsUp Gold工具，还可管理网络打印机、工作站、服务器和其他网络设备。CiscoWorks for Windows中包含下列组件。

(1) CiscoViewo CiscoView可以提供设备前后面板的视图，能够以不同颜色动态地显示设备状态，并提供对特定设备组件的诊断和配置功能。CiscoView启动后可以从设备列表中选择要监视的设备。如果要监视的设备不在设备列表中，则直接输入设备IP地址。选择了一个设备之后，将出现有关该设备信息的界面，如图9-63所示。

    (2) WhatsUp Gold. WhatsUp Gold是一种基于SNMP的图形化网络管理工具，可以通过自动或手工创建网络拓扑结构图管理整个企业网络，支持监视多个设备，具有网络搜索、拓扑发现、性能监测和警报追踪等功能。WhatsUp Gold的界面如图9-64所示。

    (3)门限管理。门限管理器(Threshold Manager)能够在支持RMON的Cisco设备上设置

门限值并提取事件信息，以增强排除网络故障的能力。使用Threshold Manager之前，必须建立门限模板。Cisc。公司提供了一些预定义的模板，用户也可以定义自己的模板。Threshold Manager管理界面如图9-“所示。

在图9-65中，Event Log窗口以表格的方式显示越界事件信息，并把RMON日志记录保存在被管理设备上;Device Thresholds窗口用来设置和显示阂值;Templates窗口用来显示所有默认的或用户定制的模板，也可以建立新的模板;Trap Receivers窗口可以添加或删除接收陷入事件的管理站点:Preferences窗口则用来设置Threshold Manager的属性。

(4) Show Commands. Show Commands使得用户不必记住各个设备的命令行语法，使用Web浏览器进行简单操作就可以获取设备的系统信息和协议信息。’Show Commands在Web页面的左边以树型结构显示了设备所支持的命令列表，如图9-66所示。当用户选择了一个命令后，Show Commands将执行所选择的命令，并显示命令行的输出信息。

Tags：驻马店市确山县北大青鸟所有校区,驻马店市汝南县北大青鸟招生简章,南阳市宛城区北大青鸟,南阳市卧龙区北大青鸟学校,南阳市邓州市北大青鸟校区,南阳市南召县北大青鸟培训