1、嗅探器部署環(huán)境 面對路由網(wǎng)絡(luò)環(huán)境時，唯一需要重點考慮的問題是：當(dāng)你調(diào)試一個涉及多個網(wǎng)絡(luò)分段的故障時，如何安置你的嗅探器？ 正如你所學(xué)到的，一個設(shè)備的廣播域一直延伸，直到到達一個路由器，在這個點上，網(wǎng)絡(luò)流量將會被轉(zhuǎn)發(fā)給上游路由器。 在網(wǎng)絡(luò)數(shù)據(jù)必須經(jīng)過多個路由器的情況下，在各個路由器上分析網(wǎng)絡(luò)流量是非常重要的。 考慮你很可能會遇到的一個場景，在網(wǎng)絡(luò)中由幾個路由器將幾個網(wǎng)絡(luò)分段連接在一起。在這個網(wǎng)絡(luò)中，每個網(wǎng)段與上游網(wǎng)段進行通信，來獲取和存儲數(shù)據(jù)。 我們要解決的一個故障是：一個下游子網(wǎng)D，無法與網(wǎng)絡(luò)A中的任何設(shè)備進行通信。 其中的精髓是，在處理涉及多個網(wǎng)段與路由器的問題時，你可能需要將你的嗅探器移動

2、到不同的位置上，才能獲得一個完整的網(wǎng)絡(luò)畫面。部署嗅探器1. 我們已經(jīng)介紹了在交換式網(wǎng)絡(luò)中捕獲網(wǎng)絡(luò)流量的4種不同方法。我們可以再增加一種方式，適用于我們僅僅在單個系統(tǒng)上安裝嗔探器軟件并監(jiān)聽這臺系統(tǒng)進出的流量。2. 在交換式網(wǎng)絡(luò)環(huán)境中進行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則1. 端口鏡像：通常是首選的，因為它不會留下網(wǎng)絡(luò)痕跡，也不會因此而產(chǎn)生額外的數(shù)據(jù)包，可以在不讓客戶端脫機下線的情況下進行配置，非常便于鏡像路由。器或者服務(wù)器端口2. 集線器輸出：當(dāng)你不窬要考慮主機暫時下線帶來的后果時適用，當(dāng)你必須捕獲多臺主機的流量時是低效率的，因為碰撞和丟包會導(dǎo)致性能低下。可能會導(dǎo)致現(xiàn)代的100/1000Mbit/s主機丟失數(shù)

3、據(jù)包，因為大多數(shù)真正的集線器都只是10Mbit/s的。3. 使用網(wǎng)絡(luò)分流器：當(dāng)你不需要考慮主機暫時下線帶來的后果時適用，當(dāng)你需要嗔探光纖通信時，這是唯一選項。由于網(wǎng)絡(luò)分流器就是為了網(wǎng)絡(luò)監(jiān)聽嗅探而設(shè)計的，而且能夠跟上現(xiàn)代網(wǎng)絡(luò)速度，因此這種方法比起集線器輸出要更優(yōu)一些，在預(yù)算緊張時，這種方法的成本會過于高昂。部署嗅探器1. 在交換式網(wǎng)絡(luò)環(huán)境中進行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則：3. ARP緩存：這會被認(rèn)為是非常草率的，因為它涉及在網(wǎng)絡(luò)上注入數(shù)據(jù)包，以重路由流經(jīng)嗅探器的網(wǎng)絡(luò)流量。4. 中毒：在你需要一個暫時性快速實施的方法，能夠?qū)⒁粋€設(shè)備的網(wǎng)絡(luò)流量進行捕獲，而又不用將其下線，同時端口鏡像又不被支持的時候，這種

4、方法會是一個高效的選擇。5. 直接安裝：般不建議，因為如果一臺主機存在故障和問題，這個問題可能會導(dǎo)致數(shù)據(jù)包被丟棄，或是被配置成它們無法被準(zhǔn)確地展示的樣子。主機的網(wǎng)卡不需要設(shè)置在混雜模式。在進行環(huán)境測試、評估和審查性能，或是檢查在其他地方捕獲的數(shù)據(jù)包文件時，這是最佳方案。2. 作為分析師，我們需要盡可能地隱蔽。最理想的境界是，我們采集我們所需要的數(shù)據(jù)，而不留下任何的痕跡。知識點習(xí)題1. 部署嗅探器的環(huán)境是什么？2. 有哪些方法可以部署嗅探器？知識點習(xí)題1.部署嗅探器的環(huán)境是什么？1.面對路由網(wǎng)絡(luò)環(huán)境時，唯一需要重點考慮的問題是：當(dāng)你調(diào)試一個涉及多個網(wǎng)絡(luò)分段的故障時，如何安置你的嗅探器？2.正如你

5、所學(xué)到的，一個設(shè)備的廣播域一直延伸，直到到達一個路由器，在這個點上，網(wǎng)絡(luò)流量將會被轉(zhuǎn)發(fā)給上游路由器。3.在網(wǎng)絡(luò)數(shù)據(jù)必須經(jīng)過多個路由器的情況下，在各個路由器上分析網(wǎng)絡(luò)流量是非常重要的。4.考慮你很可能會遇到的一個場景，在網(wǎng)絡(luò)中由幾個路由器將幾個網(wǎng)絡(luò)分段連接在一起。在這個網(wǎng)絡(luò)中，每個網(wǎng)段與上游網(wǎng)段進行通信，來獲取和存儲數(shù)據(jù)。5.我們要解決的一個故障是：一個下游子網(wǎng)D，無法與網(wǎng)絡(luò)A中的任何設(shè)備進行通信。6.其中的精髓是，在處理涉及多個網(wǎng)段與路由器的問題時，你可能需要將你的嗅探器移動到不同的位置上，才能獲得一個完整的網(wǎng)絡(luò)畫面。知識點習(xí)題2. 有哪些方法可以部署嗅探器？1. 在交換式網(wǎng)絡(luò)環(huán)境中進行數(shù)據(jù)包

6、嗅探的指導(dǎo)準(zhǔn)則1. 端口鏡像：通常是首選的，因為它不會留下網(wǎng)絡(luò)痕跡，也不會因此而產(chǎn)生額外的數(shù)據(jù)包，可以在不讓客戶端脫機下線的情況下進行配置，非常便于鏡像路由。器或者服務(wù)器端口2. 集線器輸出：當(dāng)你不窬要考慮主機暫時下線帶來的后果時適用，當(dāng)你必須捕獲多臺主機的流量時是低效率的，因為碰撞和丟包會導(dǎo)致性能低下。可能會導(dǎo)致現(xiàn)代的100/1000Mbit/s主機丟失數(shù)據(jù)包，因為大多數(shù)真正的集線器都只是10Mbit/s的。3. 使用網(wǎng)絡(luò)分流器：當(dāng)你不需要考慮主機暫時下線帶來的后果時適用，當(dāng)你需要嗔探光纖通信時，這是唯一選項。由于網(wǎng)絡(luò)分流器就是為了網(wǎng)絡(luò)監(jiān)聽嗅探而設(shè)計的，而且能夠跟上現(xiàn)代網(wǎng)絡(luò)速度，因此這種方法比起集線器輸出要更優(yōu)一些，在預(yù)算緊張時，這種方法的成本會過于高昂。知識點習(xí)題2. 有哪些方法可以部署嗅探器？1. 在交換式網(wǎng)絡(luò)環(huán)境中進行數(shù)據(jù)包嗅探的指導(dǎo)準(zhǔn)則：3. ARP緩存：這會被認(rèn)為是非常草率的，因為它涉及在網(wǎng)絡(luò)上注入數(shù)據(jù)包，以重路由流經(jīng)嗅探器的網(wǎng)絡(luò)流量。4. 中毒：在你需要一個暫時性快速實施的方法，能夠?qū)⒁粋€設(shè)備的網(wǎng)絡(luò)流量進行捕獲，而又不用將其下線，同時端口鏡像又不被支持的時候，這種方法會是一個高效的選擇。5. 直接安裝：般不建議，因為如果一臺主機存在故障和問題，這個問題可能會導(dǎo)致數(shù)據(jù)包被丟棄，或是被配置成它們無法被準(zhǔn)確地展示的樣子。主機的網(wǎng)卡不需要設(shè)