网络分析工具在网络知识学习中的应用.docx
《网络分析工具在网络知识学习中的应用.docx》由会员分享，可在线阅读，更多相关《网络分析工具在网络知识学习中的应用.docx（14页珍藏版）》请在冰点文库上搜索。
网络分析工具在网络知识学习中的应用
毕业综合作业
网络分析工具在网络知识学习中的应用
选题类型：
毕业论文
学生姓名：
何丽丽
学号：
20080301223
系部：
通信工程系
专业：
计算机通信
班级：
082
指导老师：
郑文光
浙江·绍兴
提交时间：
2011年4月
摘要
现今高速发展的社会已经进入了21世纪，而21世纪的重要特征就是数字化、网络化和信息化,这是一个以网络为核心的信息时代。
计算机网络的飞速发展给企业和用户带来了便利，同时网络技术的飞速发展，也对网络管理员提出了严峻的挑战。
局域网内部、局域网与互联网之间过多的数据通信，使得网络及网络设备在负载、工作效率与安全方面都承受着巨大的压力。
作为网络管理员，必须有效地了解网络中的数据传输是否正常、服务器以及网络设备是否过载运行、局域网内部以及局域网与互联网连接是否正常、局域网是否受到非法者的攻击、用户之间的数据传输是否正常等等。
同时，在遇到网络时断时续、网络内部用户不能正常上网等网络故障时，必须能够快速定位故障点，并将其排除。
但是网络之间的数据传输是不透明的，这就对网络技术人员提出了很高的要求，网络技术人员需要不断的学习网络知识。
而网络知识的学习特别是在原理上的学习很枯燥也很难理解。
通过网络分析工具抓取网络中的数据包加以分析可以帮助网络技术人员学习网络知识。
本文将通过一次ping操作抓包分析ping的工作过程，帮助学习理解ping和ARP的工作原理，说明网络分析工具在其中起的作用。
关键词：
网络分析工具；数据抓包；网络知识
目录
摘要i
第1章绪论2
1.1课题背景2
第2章计算机网络概述3
2.1计算机网络的定义3
2.2计算机网络的分类3
2.3计算机网络体系结构4
2.4TCP/IP概述5
第3章ARP协议7
3.1ARP协议的简介7
3.2ARP的报头结构7
3.3ARP协议的工作原理8
第4章网络分析工具10
4.1嗅探原理10
4.2常用网络分析工具介绍10
第5章科来网络分析系统在网络原理学习中的应用14
5.1学习网络原理中存在的问题14
5.2ping的工作原理14
5.3科来网络分析系统在辅助学习中的应用15
第6章总结19
参考文献20
致谢21
第1章绪论
1.1课题背景
随着网络的高速发展，网络应用日新月异。
但网络的基本原理基本未变，在学习网络基本原理中，主要侧重理论部分的学习，而理论部分是非常难以理解的。
学习枯燥乏味，很多人失去了学习的积极性。
网络分析工具是一个有助于网络管理者进行网络规划、网络优化、网络监控、流量趋势分析等工作的工具，通过对网络信息流的采集并分析可帮助学习者学习网络基本原理，加深对网络基础原理的理解。
本文在分析网络原理知识学习的现状及存在的情况的基础上,详细地介绍了网络分析工具在网络原理知识学习中的地位及应用,对网络原理的学习提出一个新的学习方法。
第2章计算机网络概述
2.1计算机网络的定义
计算机网络“是指将若干台地理位置不同，且具有独立功能的计算机，通过通信设备和传输线路相互连接起来，按照一定的通讯规则尽心通信以实现信息传输和网络资源共享的一种计算机系统。
2.2计算机网络的分类
1．按网络的地理位置分类
计算机网络按其地理位置和分布范围分类，可以分成局域网、广域网和城域网三大类。
（1）局域网LAN（LocalAreaNetwork）
局域网是指一个局部区域内的、近距离的计算机互联组成的网，通常采用有线方式连接，分布范围一般在几米到几公里之间（小于10公里）。
例如一座大楼内或者相邻的几座楼宇之间互联的网。
一个单位内部的联网多为局域网。
（2）广域网WAN（WideAreaNetwork）
广域网是指远距离的计算机互联组成的网，分布范围可达几千公里乃至上万公里，甚至跨越国界、洲界，遍及全球范围。
因特网就是一种典型的广域网。
（3）城域网MAN（MetropolitanAreaNetwork）
城域网的规模主要局限在一个城市范围内，是一种介于广域网和局域网之间的网络，分布范围一般在十几公里到上百公里之间。
2．按传输介质分类
计算机网络按其传输介质分类可以分成有限网和无线网两大类。
（1）有线网
有线网又有两种之分，一是采用同轴电缆和双绞线连接的网络；二是采用光导纤维作传输介质的网络。
后者又称为光纤网。
采用同轴电缆和双绞线连接的网络比较经济，安装方便，但传输距离相对较短，传输率和抗干扰能力一般；光纤网则传输距离长，传输率高（可达数千兆bps），且抗干扰能力强，安全性好，但是价格较高，且需高水平的安装技术，目前尚未普及。
（2）无线网
采用空气作传输介质、用电磁波作传输载体的网络。
联网方式灵活方便，但联网费用较高，目前正在发展，前景看好。
3．按网络的拓扑结构分类
网络的拓扑结构是指网络中通信线路和站点（计算机或者设备）的几何排列形式。
计算机网络按其拓扑结构分类可以分为星型网络结构、环型网络结构和总线型网络结构三类。
（1）星型网络结构
网上的站点通过点到点的链路与中心站点相连。
特点是增加新站点容易，数据的安全性和优先级易于控制，网络监控易实现，但若中心点出故障，则会引起整个网络瘫痪。
（2）环型网络结构
网上的站点通过通信介质连成一个封闭的环形。
特点是易于安装和监控，但容量有限，增加新站点困难。
（3）总线型网络结构
网上所有的站点共享一条数据通道。
特点是铺设电缆最短，成本低，安装简单方便；但是监控比较困难，安全性低，若介质发生故障会导致网络瘫痪，增加新站点也不如星型网络容易。
2.3计算机网络体系结构
所谓网络的体系结构，指的是计算机网络的各个层次及协议的集合，即计算机网络及其部件完成的功能的精确定义。
需要注意的是，计算机体系结构的概念是理论的、抽象的，其在现实中有着不同的具体实现，这个具体实现包括了构成网络的特定设备和线缆以及运行于其上的网络协议软件。
2.4TCP/IP概述
TCP/IP是一个四层的体系结构，这四层分别是：
应用层、传输层、网际层和网络接口层。
用户数据若要使用TCP/IP协议从源计算机传送到目的计算机，则必须经过上述四层网络协议栈的处理才能在实际的物理网络中传输。
但实际上，因为最下面的网络接口层没有什么具体的内容，所以TCP/IP协议体系结构只有应用层、传输层和网际层有详细的特性描述。
1．应用层
应用层（ApplicationLayer）的功能是为用户提供网络应用，并为应用程序提供访问其他层服务的能力，即将用户的数据发送到TCP/IP模型下面的层次并为应用程序提供网络接口。
由于TCP/IP模型将所有与应用相关的内容都划归给应用层处理，所以在该层中存在大量的应用程序和协议。
2．传输层
传输层负责提供可靠的、端到端的两个主机进程之间的数据传输，即一台主机上的应用程序进程到另外一台主机上的应用程序进程之间的通信。
在TCP/IP模型中定义了两个传输层协议，即传输控制协议（TCP）和用户数据报协议（UDP），提供了两种不同的数据传输服务。
（1）传输控制协议
传输控制协议TCP提供面向连接的服务，保证端到端可靠的数据传输。
（2）用户数据报协议
用户数据报协议UDP提供无连接的服务。
它可以保证独立数据包的高效传送，网络开销较小，信息传输的健壮性较强。
3．网际层
网际层可以说是TCP/IP模型的核心层次，主要负责各种支持TCP/IP协议网络的互联互通。
具体来说，网际层的核心功能是路由选择，即根据目的主机的IP地址进行寻址并选择合适的路径进行数据分组传送。
但是网际层的IP协议提供的是尽力而为的投递服务，即数据包经过网络时，有可能因为网络的拥塞或者其他故障而出错甚至丢失。
而且IP协议只具有有限的检错能力，数据包的差错控制功能必须由传输层协议来完成。
4．网络接口层
在TCP/IP模型中，网络接口层位于整个模型的底部，负责接收从网际层传递下来的IP数据包并把IP数据包发送到网络传输介质上，以及从网络传输介质上接收数据流并抽取出IP数据包后提交给网际层。
TCP/IP标准并没有定义具体的网络接口协议，其目的是要包括所有能使TCP/IP协议栈与物理网络进行通信的协议，从而增强TCP/IP模型针对各种网络的灵活性和适应性。
第3章ARP协议
3.1ARP协议的简介
ARP，全称AddressResolutionProtocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。
IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。
因此，必须把IP目的地址转换成以太网目的地址。
在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。
但这个目标MAC地址是如何获得的呢？
它就是通过地址解析协议获得的。
ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。
3.2ARP的报头结构
ARP的报头结构，如图3-1所示：
硬件类型
协议类型
硬件地址长度
协议长度
操作类型
发送方的硬件地址（0-3字节）
原物理地址（4-5字节）
源IP地址（0-1字节）
源IP地址（）2-3字节
目标硬件地址（0-1字节）
目标硬件地址（2-5字节）
目标IP地址（0-3字节）
图3.1ARP报头结构示意图
硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1；
协议类型字段指明了发送方提供的高层协议类型，IP为0800（16进制）；
硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样ARP报文就可以在任意硬件和任意协议的网络中使用；
操作字段用来表示这个报文的类型，ARP请求为1，ARP响应为2，RARP请求为3，RARP响应为4；
发送方的硬件地址（0-3字节）：
源主机硬件地址的前3个字节；
发送方的硬件地址（4-5字节）：
源主机硬件地址的后3个字节；
发送方IP（0-1字节）：
源主机硬件地址的前2个字节；
发送方IP（2-3字节）：
源主机硬件地址的后2个字节；
目的硬件地址（0-1字节）：
目的主机硬件地址的前2个字节；
目的硬件地址（2-5字节）：
目的主机硬件地址的后4个字节；
目的IP（0-3字节）：
目的主机的IP地址。
3.3ARP协议的工作原理
在以太网中传输的数据包是以太包,而以太包的寻址是依据其首部的MAC地址。
仅仅知道某主机的IP地址并不能让内核发送一帧数据给此主机,内核必须知道目的主机的MAC地址才能发送数据。
ARP协议的作用就是在于把32位的IP地址变换成48位的以太地址。
在以太局域网内数据包传输依靠的是MAC地址,IP地址与MAC对应的关系依靠ARP缓存表,每台主机（包括网关）都有一个ARP缓存表。
在正常情况下这个缓存表能够有效保证数据传输的一对一性。
我们可以在命令行窗口中,输入命令ARP-A,进行查看,输入命令ARP-D进行刷新。
当数据源主机需要将一个数据包要发送到目的主机时,会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址,如果存在,就直接将数据包发送到这个MAC地址;如果不存在,就向本地网段发起一个ARP请求的广播包,询问目的主机的IP所对应的MAC地址。
网络中所有的主机收到这个ARP请求后,会检查数据包中的目的IP是否和自己的IP地址一致。
如果不一致就不作回应;如果一致,该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中,如果ARP表中已经存在该IP的信息,则将其覆盖,后给数据源主机发送一个ARP响应数据包,告诉对方自己是它需要查找的MAC地址;源主机收到这个ARP响应数据包后,将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中,并利用此信息开始数据的传输。
若数据源主机一直没有收到ARP响应数据包,则表示ARP查询失败。
第4章网络分析工具
4.1嗅探原理
嗅探的原理其实很简单。
它是一种数据链路层的技术，利用的是共享式的网络传输介质。
共享即意味着网络中的一台机器可以嗅探到传递给本网段（冲突域）中的所有机器的报文。
例如最常见的以太网就是一种共享式的网络技术，以太网卡收到报文后，通过对目的地址进行检查，来判断是否是传递给自己的，如果是，则把报文传递给操作系统；否则，将报文丢弃，不进行处理；网卡存在一种特殊的工作模式，在这种工作模式下，网卡不对目的地址进行判断，而直接将他收到的所有报文都传递给操作系统进行处理。
这种特殊的工作模式，就称之为混杂模式；网络嗅探器通过将网卡设置为混杂模式，并利用数据链路访问技术来实现对网络的嗅探。
实现了数据链路层的访问。
4.2常用网络分析工具介绍
在网络安全领域网络，嗅探技术也是一把双刃剑，一方面它是黑客手中的入侵手段之一，另一方面它是网络安全管理人员手中的利器。
因此存在大量的基于网络嗅探技术的工具，既有免费的，也有商用软件，有直接可以运用的工具，也有开发工具包。
这些工具有的可以直接作为用于调试网络故障的网络监控工具，有的是网络安全监控技术的基础。
下面就其中具有代表性的几种进行介绍。
1.snifferpro
Sniffer软件是NAI公司推出的功能强大的协议分析软件。
与Netxray比较，Sniffer支持的协议更丰富，例如PPPOE协议等在Netxray并不支持，在Sniffer上能够进行快速解码分析。
Netxray不能在Windows2000和WindowsXP上正常运行，SnifferPro4.6可以运行在各种Windows平台上。
下面列出了Sniffer软件的一些功能介绍：
（1）捕获网络流量进行详细分析
（2）利用专家分析系统诊断问题
（3）实时监控网络活动
（4）收集网络利用率和错误等
2.Ethereal/Wireshark
Ethereal是免费的网络协议检测程序，支持Unix，Windows。
让您经由程序抓取运行的网站的相关资讯，包括每一封包流向及其内容、资讯可依操作系统语系看出,方便查看、监控TCPsession动态等等.
Ethereal是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。
Ethereal起初由GeraldCombs开发，随后由一个松散的etheral团队组织进行维护开发。
它目前所提供的强大的协议分析功能完全可以媲美商业的网络分析系统，自从1998年发布最早的0.2版本至今，大量的志愿者为ethereal添加新的协议解析器，如今ethereal已经支持五百多种协议解析。
很难想象如此多的人开发的代码可以很好的融入系统中；并且在系统中加入一个新的协议解析器很简单，一个不了解系统的结构的新手也可以根据留出的接口进行自己的协议开发。
这都归功于ehereal良好的设计结构。
事实上由于网络上各种协议种类繁多，各种新的协议层出不穷。
一个好的协议分析器必需有很好的可扩展性和结构。
这样才能适应网络发展的需要不断加入新的协议解析器。
3.OmniPeek
OmniPeek提供统一分析除错网络之管理介面，OmniPeek让网络之管理者能透过统一之介面同时分析多个网段之网络状况，更进而分析底层之网络状况，以快速辨识问题的功能。
基于WildPackets屡获殊荣的EtherPeekNX技术，Omni3包含了OmniPeek控制台、分布式PeekDNX引擎。
这些组件无缝的结合工作可以透视复杂的分布式网络。
OmniPeekOmniPeek将WildPackets的EtherPeekNX产品的本地分析能力扩展到远程网段。
OmniPeek拥有EtherPeekNX所有受欢迎的特点功能，包括：
基于信息包流的专家分析系统和应用分析；交互式节点图；完整的七层协议解码；应用响应时间（ART）分析；安全功能；监控与报表；RMON分布式分析。
4．科来网络分析系统简介
科来网络分析系统是一款由科来软件全自主研发，并拥有全部知识产权的网络分析产品。
该系统具有行业领先的专家分析技术，通过捕获并分析网络中传输的底层数据包，对网络故障、网络安全以及网络性能进行全面分析，从而快速排查网络中出现或潜在的故障、安全及性能问题。
科来网络分析系统的主要功能包括：
一.检测功能
1.实时捕获本机和局域网内的数据包，并实时解码分析，支持数据包过滤。
2.支持两级过滤设置，支持三种过滤状态，包含四种过滤类型；支持过滤器复制，过滤器采样生成，过滤器即时生效。
3.检测内网以及对外的邮件，支持POP3和SMTP协议，支持专用的电子邮件过滤器。
4.检测内网以及对外的Web访问，记录所有的Web访问日志，支持专用的Web访问过滤器。
5.检测内网以及对外的网络事务，记录所有网络事务日志，支持SMTP、POP3、HTTP、TELNET、FTP协议，支持专用的网络事务过滤器。
6.实时检测所有主机的流量。
二.分析功能
1.支持数据包解码与协议分析，集中于应用层协议（如POP3、SMTP、HTTP、TELNET、FTP等），以HEX视图和ASCII视图同时对照显示分析结果，结果数据实时更新。
2.重组TCP数据流，显示TCP数据连接情况
3.对电子邮件全面分析，支持POP3和SMTP协议，对电子邮件进行数据还原，显示邮件内容及其附件信息。
4.分析并显示局域网内Web访问详细信息，可打开查看所访问的URL。
5.分析并显示局域网的网络事务详细信息，包括登录状态，服务器响应，登录帐号等，支持SMTP、POP3、HTTP、TELNET、FTP协议。
三.统计功能
1.实时统计局域网内每台主机之间的流量及网络速度。
2.实时统计外网主机与内网主机之间的流量及网络速度。
3.实时统计本地，内部网，因特网使用的流量及网络速度。
四.审计功能
将捕捉到的电子邮件副本存档；记录Web访问的情况，生成日志文件；记录网络事务处理的情况，生成日志文件。
科来网络分析系统网络管理工作提供了全面可靠的数据依据，它可以帮助用户排查网络故障、规避网络风险、提升网络性能、提高故障处理能力、减少故障损失并降低管理成本，所以，科来网络分析系统是网络管理中的必备产品。
第5章科来网络分析系统在网络原理学习中的应用
5.1学习网络原理中存在的问题
网络是一个抽象的概念，它不是一个实体，也是一个实体，一个网络的组成，有硬件，软件，有其它各个方面的因素，学习网络，重点在于理解，学会持之以恒，绝对不可以仅仅满足于眼前，很多人以为，会几个ping命令，会连接几个路由器，组成一个小型的局域网，这样，就以为，自己已经对网络有了相当深厚的理解了，其实，这个想法，是绝对错误的，学习网络中，难点在于理解网络中的各个协议，只有深刻理解网络中的协议的作用，才能真正的掌握网络，因此，学会利用网络分析工具，利用网络分析工具抓取肉眼看不到的数据包，通过分析学习理解网络协议，工作原理就非常的有效和重要了。
下面通过运用科来网络分析工具抓包来分析一次ping的过程。
5.2ping的工作原理
PING（PacketInternetGrope），因特网包探索器，用于测试网络连接量的程序。
Ping发送一个ICMP回声请求消息给目的地并报告是否收到所希望的ICMP回声应答。
我们以下面一个网络为例：
有A、B、C、D四台机子，一台路由RA，子网掩码均为255.255.255.0，默认路由为192.168.0.1。
1．在同一网段内
在主机A上运行“Ping192.168.0.5”后，都发生了些什么呢?
首先，Ping命令会构建一个固定格式的ICMP请求数据包，然后由ICMP协议将这个数据包连同地址“192.168.0.5”一起交给IP层协议（和ICMP一样，实际上是一组后台运行的进程），IP层协议将以地址“192.168.0.5”作为目的地址，本机IP地址作为源地址，加上一些其他的控制信息，构建一个IP数据包，并想办法得到192.168.0.5的MAC地址（物理地址，这是数据链路层协议构建数据链路层的传输单元——帧所必需的），以便交给数据链路层构建一个数据帧。
关键就在这里，IP层协议通过机器B的IP地址和自己的子网掩码，发现它跟自己属同一网络，就直接在本网络内查找这台机器的MAC,如果以前两机有过通信，在A机的ARP缓存表应该有B机IP与其MAC的映射关系，如果没有，就发一个ARP请求广播，得到B机的MAC,一并交给数据链路层。
后者构建一个数据帧，目的地址是IP层传过来的物理地址，源地址则是本机的物理地址，还要附加上一些控制信息，依据以太网的介质访问规则，将它们传送出去。
主机B收到这个数据帧后，先检查它的目的地址，并和本机的物理地址对比，如符合，则接收；否则丢弃。
接收后检查该数据帧，将IP数据包从帧中提取出来，交给本机的IP层协议。
同样，IP层检查后，将有用的信息提取后交给ICMP协议，后者处理后，马上构建一个ICMP应答包，发送给主机A，其过程和主机A发送ICMP请求包到主机B一模一样。
2．不在同一网段内
在主机A上运行“Ping192.168.1.4”后，开始跟上面一样，到了怎样得到MAC地址时，IP协议通过计算发现D机与自己不在同一网段内，就直接交路由器处理，也就是将路由的MAC取过来，至于怎样得到路由的MAC，跟上面一样，先在ARP缓存表找，找不到就广播吧。
路由得到这个数据帧后，再跟主机D进行联系，如果找不到，就向主机A返回一个超时的信息。
5.3科来网络分析系统在辅助学习中的应用
下面我们用科来网络分析系统来帮助学习ping，在本机10.21.78.140去ping对方10.21.98.227。
通过抓包得到如下图所示的数据包。
图5.1捕获的PING数据包
从上图可以看出，10.21.98.140首先通过ARP协议查询10.21.98.227的MAC地址，10.21.98.227返回了本机的MAC地址，在得知对方的MAC地址后，发送端发一个回送请求包，对方返回一个应答包，总共发送四个回送四个。
从捕获的数据包验证了ping的工作原理，在局域网内部计算机之间的通信采用的是MAC地址，在通信前必须知道对方的MAC地址，不然需要通过ARP协议广播查询对方的MAC地址，对方收到这个ARP查询后通过单播返回一个ARP应答。
发送端在收到应答包后就了解了对方的MAC地址，就可以正常进行通信。
接下来我们再看ping的发包，如下图所示：
图5.2PING的发送包
从图5.2可以看出，ping采用的是ICMP协议，经过ICMP协议封装后再经IP封装，最后用Ethernet2封装。
ICMP在封装时，类型值为8，代码值为0。
这两个组合表明当前ICMP数据包功能为请求回显。
在网络层封装时封装了源和目标的IP地址，在数据链路层封装了源和目标的MAC地址。
我们再来看ping的应答包，如下图所示：
图5.3PING的应答包
可以看到ICMP的类型为0，代码为0，这两种组合表明这个数据包为ping的应答包。
通过抓包分析，可以分析出在ping之前需要通过ARP了解对方的MAC地址，这个地址是局域网内部通信所采用的地址。
有了这个地址，局域网内部的两台计算机就可以正常通信，同时可以掌握ping发包和收包的数据变化，更好的理解ping的工作过程。
第6章总结
网络分析工具在网络中，发挥着相当重要的作用，学会正确利用网络分析工具，对于任何人，在处理日常网络故障过程中，起着事半功倍的效果，在网络的
升级会员 