随着網際網路多層次性、多樣性的發展，網吧已由過去即時通信、浏覽網頁、電子郵件等簡單的應用，擴充成為運作大量線上遊戲、線上視訊音頻、互動教學、P2P等技術應用。應用特點也呈現出多樣性和複雜性，是以，這些應用對我們的網絡服務品質要求更為嚴格和苛刻。 目前，大多數網吧的網絡裝置不具備高端網絡裝置的智能性、互動性等擴充性能，當網吧出現掉線、網絡卡、遭受内部病毒***、流量超限等情況時，很多網 絡管理者顯的心有于而力不足。畢竟，靠網絡管理者的經驗和一些簡單傳統的排查方法：無論從時間上面還是準确性上面都存在很大的誤差，同時也影響了工作效率 和正常業務的運作。 Sniffer Pro 著名網絡協定分析軟體。本文利用其強大的流量圖文系統Host Table來實時監控網絡流量。在監控軟體上，我們選擇了較為常用的NAI公司的sniffer pro，事實上，很多網吧管理者都有過相關監控網絡經驗：在網絡出現問題、或者探查網絡情況時，使用P2P終結者、網絡執法官等網絡監控軟體。這樣的軟體 有一個很大優點：不要配置端口鏡像就可以進行流量查詢（其實sniffer pro也可以變通的工作在這樣的環境下）。這種看起來很快捷的方法，仍然存在很多弊端：由于其工作原理利用ARP位址表，對位址表進行欺騙，是以可能會衍 生出很多節外生枝的問題，如掉線、網絡變慢、ARP廣播巨增等。這對于要求正常的網絡來說，是不可思議的。 在這裡，我們将通過軟體解決方案來完成以往隻有通過更換進階裝置才能解決的網絡解決方案，這對于很多管理者來說，将是個夢寐以求的時刻。
硬體環境（網吧）：
100M網絡環境下，92台終端數量，主交換采用D-LINK（友訊）DES-3226S二層交換機(支援端口鏡像功能)，級聯普通傻瓜型交換機。光纖10M接入，華為2620做為接入網關。
軟體環境：
操 作系統Windows2003 Server企業标準版（Sniffer Pro4.6及以上版本均支援Windows2000 Windows-xp Windows2003）、NAI協定分析軟體-Sniffer Portable 4.75（本文選用網絡上較容易下載下傳到的版本做為測試）
環境要求：
1、如果需要監控全網流量，安裝有Sniffer Portable 4.7.5(以下簡稱Sniffer Pro)的終端計算機，網卡接入端需要位于主交換鏡像端口位置。（監控所有流經此網卡的資料）
2、Snffier pro 475僅支援10M、100M、10/100M網卡，對于千M網卡，請安裝SP5更新檔，或4.8及更高的版本
網絡拓撲：
 |
| 圖 |
監控目的：通過Sniffer Pro實時監控，及時發現網絡環境中的故障（例如病毒、***、流量超限等非正常行為）。對于很多企業、網吧網絡環境中，網關（路由、代理等）自身不具備流 量監控、查詢功能，本文将是一個很好的解決方案。Sniffer Pro強大的實用功能還包括：網内任意終端流量實時查詢、網内終端與終端之間流量實時查詢、終端流量TOP排行、異常告警等。同時，我們将資料包捕獲後， 通過Sniffer Pro的專家分析系統幫助我們更進一步分析資料包，以助更好的分析、解決網絡異常問題。 步驟一：配置交換機端口鏡像（Mirroring Configurations）
以DES-3226S二層交換機為例，我們來通過WEB方式配置端口鏡像（也可用CLI指令行模式配置）。如果您的裝置不支援WEB方式配置，請參考相關使用者手冊。
1.DES-3226S預設登陸IP為：10.90.90.90 是以，需要您配置本機IP為相同網段才可通過浏覽器通路WEB界面。
如圖（1）所示：
 |
| 圖1 |
2.使用滑鼠點選上方紅色字型：“Login”,如果您是第一次配置，輸入預設使用者名稱、密碼:admin 自動登陸管理主界面。
3.如圖（2）所示，主界面上方以圖形方式模拟交換機界面，其中綠色燈亮起表示此端口正在使用。下方文字列出交換機的一些基本資訊。
| |
| 圖2 |
4.如圖（3）：滑鼠點選左下方菜單中的advanced setup->Mirroring Configurations （進階配置—鏡像配置）
| |
| 圖3 |
5.将Mirror Status 選擇為Enable（預設為關閉狀态，開啟），本例中将Port-1端口設定為監聽端口:Target Port=Port-1，其餘端口選擇為Both，既：監聽雙向資料（Rx接收 Tx發送），選擇完畢後，點選Apply應用設定。
此時所有的端口資料都将複制一份到Port-1。（如圖4）
| |
| 圖4 |
接下來，我們就可以在Port-1端口，接入計算機并安裝配置Sniffer Pro。 步驟二：Sniffer Pro 安裝、啟動、配置
Sniffer Pro 安裝過程與其它應用軟體沒有什麼太大的差別，在安裝過程中需要注意的是：
①Sniffer Pro 安裝大約占用70M左右的硬碟空間。
②安裝完畢Sniffer Pro後，會自動在網卡上加載Sniffer Pro 特殊的驅動程式（如圖5）。
③安裝的最後将提示填入相關資訊及序列号，正确填寫完畢，安裝程式需要重新啟動計算機。
④對于英文不好的管理者可以下載下傳網上的漢化更新檔。
| |
| 圖5 |
我們來啟動Sniffer Pro。第一次啟動Sniffer Pro時,需要選擇程式從那一個網絡擴充卡接收資料，我們指定位于端口鏡像所在位置的網卡。
具體位于：File->Select Settings->New
名稱自定義、選擇所在網卡下拉菜單，點選确定即可。(如圖6)
| |
| 圖6 |
這樣我們就進入了Sniffer Pro的主界面。 步驟三：新手上路，查詢網關流量
下面以圖文的方式介紹，如何查詢網關（路由、代理：219.*.238.65）流量，這也是最為常用、重要的查詢之一。
1． 掃描IP-MAC對應關系。這樣做是為了在查詢流量時，友善判斷具體流量終端的位置，MAC位址不如IP位址友善。
選 擇菜單欄中Tools->Address Book 點選左邊的放大鏡（autodiscovery 掃描）在彈出的視窗中輸入您所要掃描的IP位址段，本例輸入：219.*.238.64-219.*.238.159點選OK，系統會自動掃描IP- MAC對應關系。掃描完畢後，點選DataBase->Save Address Book 系統會自動儲存對應關系，以備以後使用。(如圖7)
| |
| 圖7 |
2.檢視網關流量。點選Monitor->Host Table，選擇Host table界面左下角的MAC-IP-IPX中的MAC。（為什麼選擇MAC？在網絡中，所有終端的對外資料，例如使用QQ、浏覽網站、上傳、下載下傳等行 為，都是各終端與網關在資料鍊路層中進行的）(如圖8)
| |
| 圖8 |
3.找到網關的IP位址->選擇single station->bar (本例中網關IP為219.*.238.65)
| |
| 圖9 |
如圖(9)所示：
219.*.238.65（網關）流量TOP-10 此圖為實時流量圖。在此之前如果我們沒有做掃描IP（Address Book）的工作，右邊将會以網卡實體位址-MAC位址的方式顯示，現在轉換為IP位址形式（或計算機名），現在很容易定位終端所在位置。流量以3D柱形 圖的方式動态顯示，其中最左邊綠色柱形圖與網關流量最大，其它依次減小。本圖中219.*.238.93與網關流量最大，且與其它終端流量差距懸殊，如果 這個時候網絡出現問題，可以重點檢查此IP是否有大流量相關的操作。 如果要檢視219.*.238.65（網關）與内部所有流量通信圖，我們可以點選左邊菜單中，排列第一位的->MAP按鈕
如圖(10)所示,網關與内網間的所有流量都在這裡動态的顯示。
| |
| 圖10 |
需要注意的是：
綠色線條狀态為：正在通訊中
暗藍色線條狀态為：通信中斷
線條的粗細與流量的大小成正比
如果将滑鼠移動至線條處,程式顯示出流量雙方位置、通訊流量的大小（包括接收、發送）、并自動計算流量占目前網絡的百分比。 其它主要功能：
PIE：餅圖的方式顯示TOP 10的流量占用百分比。
Detail：将Protocol(協定類型)、From Host（原主機）、in/out packets/bytes(接收、發送位元組數、包數)等字段資訊以二維表格的方式顯示。 第四步：基于IP層流量
1.為了進一步分析219.*.238.93的異常情況，我們切換至基于IP層的流量統計圖中看看。
點選菜單欄中的Monitor->Host Table，選擇Host Table界面左下角的MAC-IP-IPX中的IP。 2.找到IP：219.*.238.93位址（可以用滑鼠點選IP Addr排序，以友善查找）->選擇single station->bar （如圖11所示）
| |
| 圖11 |
3.我們切換至Traffic Map來看看它與所有IP的通信流量圖。（圖12）
| |
| 圖12 |
我們可以從219.*.238.93的通信圖中看到，與它建立IP連接配接的情況。圖中IP連接配接數目非常大，這對于普通應用終端來講，顯然不是一種正常 的業務連接配接。我們猜測，該終端可能正在進行有關P2P類的操作，比如正在使用P2P類軟體進行BT下載下傳、或者正在觀看P2P類線上視訊等。 為了進一步的證明我們的猜測，我們去看看219.*.228.93的流量協定分布情況。 4.如圖（13）所示：Protocol類型絕大部分為Othen.我們知道在Sniffer Pro中Othen表示未能識别出來協定，如果提前定義了協定類型，這裡将會直接顯現出來。
| |
| 圖13 |
如圖（14）通過菜單欄下的Tools->Options->Protocols,在第19欄中定義14405（bitcomet的預設監聽端口），取名為bitcom。
| |
| 圖14 |
現在我們再次檢視219.*.238.93協定分布情況.（如圖15）
| |
| 圖15 |
現在，協定類型大部分都轉換為bitcom，這樣我們就可以斷定，此終端正在用bitcomet做大量上傳、下載下傳行為。 注意：很多P2P類軟體并沒有固定的使用端口，且端口也可以自定義，是以使用本方法雖然不失為一種檢測P2P流量的好方法，但并不能完全保證其準确性。 好了，使用Sniffer Pro監控網關流量，就到這裡結束了。實際上我們可以用同樣的方法監控網絡内的任何一台終端。後續，我們将繼續連載使用Sniffer Pro監控網絡的其它新手教程，例如：利用Sniffer pro做網絡的預警機制、利用Sniffer pro分析病毒、通過包分析結合專家系統發現網絡記憶體在的“未知問題”，以後我們将陸續做更深一步的探讨和分析。 概念解釋：
1.什麼是端口鏡像?
把交換機一個或多個端口（VLAN）的資料鏡像到一個或多個端口的方法。 2.為什麼需要端口鏡像 ?
交換機的工作原理與HUB有很大的不同，HUB組建的網絡資料交換都是通過廣播方式進行的，而交換機組建的網 絡是根據交換機内部CAM表（通常也稱IP-MAC表）進行資料轉發，是以需要通過配置交換機來把一個或多個端口（VLAN）的資料轉發到某一個端口來實 現對網絡的監聽。 3.端口鏡像通常有以下幾種别名：
①Port Mirroring 通常指允許把一個端口的流量複制到另外一個端口，同時這個端口不能再傳輸資料。
②Monitoring Port 監控端口
③panning Port 通常指允許把所有端口的流量複制到另外一個端口，同時這個端口不能再傳輸資料。
④PAN Port 在 Cisco 産品中，SPAN 通常指 Switch Port ANalyzer。某些交換機的 SPAN 端口不支援傳輸資料。
轉載于:https://blog.51cto.com/feiying/45818