网络协议分析仪.docVIP

计算机网络技术快速发展给我们带来诸多惊喜的同时，其存在的各种问题也困扰着大家，特别是网络*蔓延和网络黑客的攻击，使Intranet网络性能下降，故障频繁。对此，网络工程技术人员与网络管理人员需要借助各种网络管理和维护的工具来加强对网络的监控、故障诊断和处理。在所有的工具中，网络协议分析仪PA(protocolanalyzer)在网络故障诊断方面具有不可替代的作用，随着网络精细化管理程度的提高，协议分析仪必将为越来越多的网络工程技术员及人网络管理员所广泛运用。

1IP网络维护与协议分析仪的特点

基于TCP/IP的Intranet成为当今局域网组网技术的潮流，该协议在设计之初更多考虑的是网络的开放性，其存在着不可靠性、不安全性、流量突发性等特点，使得对其进行管理维护也非常困难。当前，国内对IP网络的管理维护手段尽管多种多样，但还没有非常成熟的可以被普遍采用的方案。采用协议分析仪则为网络故障诊断提供了一种“透视”方案[3]。协议分析仪对网络进行实时监测，对网络中IP数据包进行捕获、解析，从而了解网络当前的状况，准确定位故障源节点的IP或MAC，可以快速诊断网络故障。协议分析仪工作在被动模式和透明状态下，不会影响网络的正常运行；同时协议分析仪又可以灵活部署在各种网络环境中，在IP网络故障诊断中可以方便地应用。

2协议分析仪的工作原理

协议分析仪就是能够Capture（捕获）分析网络中传输数据的设备，其硬件部分主要是处于混杂模式（Promiscuous）的网卡，其软件部分包含数据包捕获模块和数据解码分析模块两大部分。

2.1数据包捕获模块的基本原理

数据包捕获模块由处于混杂模式的网卡、网卡驱动程序、中间程序、网络协议程序、应用程序以及网络驱动接口规范组成，其结构如图1所示。

图1数据包捕获模块的结构图

其中网络驱动接口规范NDIS(NetworkDriverInterfaceSpecification)是数据包捕获模块的核心，它集成了多种数据包捕获规则的操作函数，为还原IP数据包提供服务，能将各种以太网网卡设置为混杂模式。NDIS支持多种工作模式，并提供一套NDIS库(Library)来完成各种规则下的数据包的捕获。协议分析仪捕获数据包的过程共分为网卡模式设置、接收网络数据、数据分类、数据过滤、数据提交及关闭网卡等六大步骤。

2.2数据解码分析模块原理

协议分析仪对捕获的海量数据进行解码分析，主要是基于各种网络协议的不同特征并用协议定义数据结构规则解析模块来完成的。协议分析仪一般使用层次化的协议分析方法和插件技术来实现对捕获数据的解码分析。层次化分析方法是基于OSI分层模型的思想，按照数据在发/收端的封装与解包的过程对捕获的数据流进行逐层处理还原重组解析。利用插件技术来扩展协议分析仪适应网络新的协议及应用的解析。

3协议分析仪的主要功能

协议分析仪的主要功能有网络数据的采集、数据的解码分析、网络状况的统计、故障的诊断等，综合这些信息来完成对网络运行情况的分析与故障诊断。

5.2网络攻击/*查找

通常，网络中受到攻击或者感染*的主机与外界的其他站点的通信流量、特定的端口连接、网络响应速度等会有异常，协议分析仪可以快速而且很准确的找出这样的主机。

表2所示为arp异常请求分析。

6结束语

协议分析仪的灵活运用可以完成很多网络故障诊断的工作，大大提高网络管理与维护的智能程度和工作效率，随着协议分析软件开发的不断深入，功能的不断完善，以及成熟产品价格的逐步下降，其在今后网络管理与维护中必将广泛运用。