1、誰(shuí)占用了大量帶寬?
需求：
速度是企業(yè)局域網(wǎng)的一個(gè)重要指標(biāo)，企業(yè)網(wǎng)管經(jīng)常遭遇局域網(wǎng)速度問(wèn)題，比如文件共享太慢，不能打開(kāi)網(wǎng)頁(yè)，無(wú)法接收郵件等。當(dāng)網(wǎng)絡(luò)變得很慢時(shí)，我們經(jīng)常都需要查看一下，是哪些IP在占用帶寬。通過(guò)下面的演示，可以讓大家了解如何查找內(nèi)網(wǎng)中帶寬占用最大的主機(jī)IP。
操作：
首先我們要對(duì)存在網(wǎng)速故障的網(wǎng)段進(jìn)行抓包捕獲。即把安裝有監(jiān)控軟件的主機(jī)(筆記本)，接入該網(wǎng)段交換機(jī)的中心節(jié)點(diǎn)上，打開(kāi)監(jiān)控軟件，設(shè)置好抓包。抓包的時(shí)間不宜過(guò)短也不宜過(guò)長(zhǎng)，根據(jù)情況，一般20分鐘就可以了。
抓包完畢后，我們停止數(shù)據(jù)捕獲，對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行分析。進(jìn)入科來(lái)軟件的“端點(diǎn)視圖”，在這里可以看到本網(wǎng)段所有的MAC或IP地址所對(duì)于的主機(jī)的的流量統(tǒng)計(jì)。通過(guò)圖例既可以看到本地MAC地址，也可以看到非常多的外網(wǎng)IP地址。如果只想看IP地址，可以在左側(cè)的窗格中點(diǎn)擊“IP端點(diǎn)”樹(shù)，依次展開(kāi)“本地子網(wǎng)”，在下面我們從括號(hào)中看到：本地子網(wǎng)只包含(10.8.0.0/16)這一個(gè)B網(wǎng)段，而這個(gè)網(wǎng)段下，有284個(gè)節(jié)點(diǎn)，也就是說(shuō)，這個(gè)網(wǎng)段中有284個(gè)IP地址。在右側(cè)的視圖中我們可以看到：這個(gè)網(wǎng)段總流量是1.529GB。“端點(diǎn)視圖”是默認(rèn)以總流量倒序顯示，我們很容易看到流量最大的主機(jī)IP。從上至下選擇10行，這樣，我們就找出了內(nèi)網(wǎng)中，帶寬占用最多的10個(gè)主機(jī)IP。(圖1)
2、誰(shuí)在BT下載?
需求：
BT下載是造成企業(yè)局域網(wǎng)網(wǎng)速緩慢的大敵，如果局域網(wǎng)中有人用BT下載會(huì)造成網(wǎng)速緩慢。我們常說(shuō)的BT，實(shí)質(zhì)是一種點(diǎn)對(duì)點(diǎn)的通訊，使用的是BitTorrent協(xié)議。在進(jìn)行BT下載時(shí)，必須經(jīng)過(guò)BT對(duì)等協(xié)議的兩次“握手”。如果內(nèi)網(wǎng)中有人使用BT下載文件，則會(huì)大量占用網(wǎng)絡(luò)資源，導(dǎo)致其它機(jī)器上網(wǎng)困難。如何找到到底是何人在用BT下載呢?利用網(wǎng)絡(luò)分析軟件從網(wǎng)絡(luò)內(nèi)的協(xié)議入手，則很容易找出誰(shuí)在使用BT下載。
操作：
首先，我們進(jìn)行數(shù)據(jù)包的捕獲，方法和上面的類(lèi)似。數(shù)據(jù)包捕獲完成后，在軟件的左窗格中選擇“節(jié)點(diǎn)瀏覽器”，找到BitTorrent協(xié)議，它就是BT的協(xié)議。然后在右邊的窗格中點(diǎn)擊“協(xié)議”選項(xiàng)卡，在應(yīng)用層中，我們很容易找到BitTorrent協(xié)議。我們也可定位到BitTorrent協(xié)議節(jié)點(diǎn)，找出這個(gè)節(jié)點(diǎn)下的主機(jī)。我們?cè)倏匆幌翨itTorrent協(xié)議下有哪些端點(diǎn)。選擇BitTorrent協(xié)議選項(xiàng)，只需點(diǎn)擊“端點(diǎn)”選項(xiàng)卡，就可以看到其端點(diǎn)。從這里我們可以看到，內(nèi)網(wǎng)中有一個(gè)主機(jī)：192.168.1.128非常可疑，但還是不能確定是否是BT下載的主機(jī)，我們要進(jìn)行進(jìn)一步的分析。(圖2)
#p#副標(biāo)題#e#
為了進(jìn)一步證實(shí)這臺(tái)主機(jī)的數(shù)據(jù)，是否真的在使用BT大量下載，我們可以再次定位到這臺(tái)主機(jī)的IP端點(diǎn)。點(diǎn)擊“矩陣”選項(xiàng)卡，從圖中我們可以看到，和我們判斷的一樣，192.168.1.128在與超過(guò)1000個(gè)的主機(jī)相連，大量占用資源。(圖3)
當(dāng)鼠標(biāo)移動(dòng)到該IP上時(shí)，會(huì)顯示詳細(xì)的通訊信息。(同時(shí)，與該IP相連的全部高亮紅顯示)從數(shù)據(jù)包的收發(fā)情況看來(lái)，數(shù)據(jù)幾乎差不多，這里我們就可以確定它就是進(jìn)行BT下載的主機(jī)。因?yàn)椋绻菕呙杌蚬簦瑪?shù)據(jù)包收發(fā)數(shù)量會(huì)相差甚遠(yuǎn)。(圖4)
#p#副標(biāo)題#e#
通過(guò)顏色就可以斷定，因?yàn)樵谲浖哪J(rèn)設(shè)置中BT的顏色是藍(lán)色(雙向流量)，而攻擊、掃描等，則會(huì)是綠色(單向流量)，我們可以通點(diǎn)擊“矩陣選項(xiàng)”按鈕在打開(kāi)的窗口中看到。這就證實(shí)了我們的判斷，至此我們就找到了BT下載者的主機(jī)。(圖5)
3、誰(shuí)在非法瀏覽?
需求：
由于對(duì)信息管理的加強(qiáng)，許多用戶(hù)單位都需要自動(dòng)記錄員工最近N天的上網(wǎng)的記錄。對(duì)網(wǎng)絡(luò)應(yīng)用層的數(shù)據(jù)進(jìn)行重組后，則可以記錄每個(gè)員工的網(wǎng)絡(luò)行為，包括上網(wǎng)日志。這樣的方式記錄部署簡(jiǎn)單，不需要在每臺(tái)機(jī)器上安裝客戶(hù)端，數(shù)據(jù)集中、完整、效率高，適合各規(guī)模用戶(hù)的上網(wǎng)日志審計(jì)工作。
操作：
使用科來(lái)網(wǎng)絡(luò)分析系統(tǒng)，新建或者打開(kāi)一個(gè)工程文件，只要運(yùn)行，則會(huì)在“日志視圖”中自動(dòng)顯示上網(wǎng)日志，如圖所示。(圖6)
#p#副標(biāo)題#e#
如果需要記錄到硬盤(pán)中，我們需要進(jìn)入“日志設(shè)置”選項(xiàng)進(jìn)行日志設(shè)置。如果要記錄員工的上網(wǎng)記錄，點(diǎn)擊工具欄上的“日志設(shè)置”圖標(biāo)，就可打開(kāi)“工程設(shè)置”窗口，點(diǎn)擊“日志設(shè)置”選項(xiàng)卡，在左窗格中勾選“HTTP日志”，在右邊的“擴(kuò)展日志”中進(jìn)行設(shè)置。設(shè)置日志文件的文件名和保存位置。(圖7)文件分割間隔時(shí)間，和保留的天數(shù)。如圖設(shè)置就可以記錄90天的員工上網(wǎng)記錄了。
4、如何收集數(shù)據(jù)包?
需求：
數(shù)據(jù)包是網(wǎng)絡(luò)中傳輸?shù)脑紨?shù)據(jù)，記錄數(shù)據(jù)包，就象網(wǎng)絡(luò)錄像一樣，當(dāng)我們要追朔過(guò)去的一個(gè)網(wǎng)絡(luò)事件，可以將記錄的數(shù)據(jù)包文件重新播放一次，這樣便能重現(xiàn)網(wǎng)絡(luò)事件，通過(guò)網(wǎng)絡(luò)分析，進(jìn)而找到問(wèn)題的根本原因，所以數(shù)據(jù)包的自動(dòng)保存非常重要，在科來(lái)軟件中保存數(shù)據(jù)報(bào)的操作非常簡(jiǎn)單。
操作：
我們新建或者打開(kāi)現(xiàn)有的一個(gè)工程，點(diǎn)擊工具欄的“設(shè)置”按鈕，進(jìn)入數(shù)據(jù)包保存設(shè)置。勾選“自動(dòng)保存數(shù)據(jù)包文件”選項(xiàng)，設(shè)置文件保存的文件夾、文件名、文件分割間隔、選擇保留最近的文件數(shù)即可。(圖8)
總結(jié)：網(wǎng)絡(luò)分析軟件非常多，靈活使用這些軟件可以幫助管理員解決一些比較棘手的網(wǎng)絡(luò)問(wèn)題。
