3.5.1 捕获筛选器的设置

作者: 王淑江 出处:机械工业出版社华章公司 　2007-09-07 11:12　   砖    好    评论  条 　进入论坛

阅读提示：《超级网管员——网络管理》第三章主要讲了系统性能管理，其包括三个工具：系统监视器、性能日志和警报及任务管理器。本节内容是捕获筛选器的设置。

3.5  网络监视器
尽管系统监视器提供了相当多的网络属性计数器，但它们都偏重于网络物理性能的情况而非网络数据的内容。Windows Server 2003提供了专门用于采集网络数据流并提供分析能力的工具——网络监视器。
网络监视器能提供网络利用率和数据流量方面的一般性数据，还能够从网络中捕获数据帧，并能够筛选、解释及分析这些数据的来源、内容等信息。当监视工作的主要着眼点是网络时，应使用网络监视器进行数据采集和处理。鉴于大多数网络在网络结构上是基于广播工作的以太网，广播的工作方式决定了在一台计算机上可以采集到子网内的全部通信量，因此网络监视器的有效范围遍及路由器以内的全部计算机通信。
【提示】  网络监视器并不是Windows Server 2003的默认组件，使用之前必须先通过“添加或删除Windows组件”向导进行安装，并且需要用到Windows Server 2003安装光盘。
3.5.1  捕获筛选器的设置
依次单击“开始”→“管理工具”→“网络监视器”即可启动安装好的网络监视器，Windows Server 2003的网络监视器提供了捕获筛选器功能，在“网络监视器”主窗口中单击“捕获”菜单并选择“筛选器”选项，打开图3-43所示的“捕获筛选器”对话框。捕获筛选器的功能就像数据库查询一样，可以使用它指定要监视的网络信息类型。例如，要只查看计算机或协议的特定子集，可以创建地址数据库，使用该数据库将地址添加到筛选器中，然后将筛选器保存为一个文件。通过对帧进行筛选，既可节省缓冲区资源，又可节省时间。必要的话，以后还可以再次加载捕获筛选器文件并使用筛选器。

图3-43  捕获筛选器

使用筛选器之前必须为筛选器设定相应的筛选条件，即在“捕获筛选器”对话框中指定判断语句。该对话框将显示筛选器的判断树，它是筛选器逻辑的图形表示。当在捕获规则中包含或排除信息时，判断树将反映这些规则。
1. 按协议进行筛选
要捕获使用特定协议发送的帧，可以在捕获筛选器中双击“SAP/ETYPE=”指定协议，如图3-44所示。例如，如果希望仅捕获IP帧，请禁用所有协议，然后启用IP ETYPE 0x800和IP SAP 0x6。默认情况下，将启用网络监视器所支持的所有协议。也可以仅指定使用ETYPE或SAP的协议。

2. 按地址进行筛选
要捕获所使用的计算机和网络中的指定计算机之间传送的帧，请在捕获筛选器中指定一个或多个地址对，双击“地址对”打开图3-45所示的“地址表达式”对话框，最多能同时监视4个地址对。

图3-44  按协议进行筛选

图3-45  地址表达式

地址对由以下部分组成：
 希望监视其通信的两台计算机的地址；
 指定希望监视的通信方向的箭头；
 INCLUDE或EXCLUDE关键字，指示网络监视器如何响应符合筛选器规则的帧。
不管在“捕获筛选器”对话框中语句的显示顺序如何，都会首先评估EXCLUDE语句。因此，如果帧符合由筛选器（既包含EXCLUDE语句，又包含INCLUDE语句）中的EXCLUDE语句所指定的条件，那么此帧将被丢弃。网络监视器不会根据INCLUDE语句测试此帧是否也符合标准。
3. 按数据模式进行筛选
在“捕获筛选器”对话框中双击“模式匹配”，即可显示图3-46所示的对话框。

图3-46  模式匹配

 只捕获那些包含特定模式的ASCII或十六进制数据的帧。
 指定在搜索开始前必须忽略的帧的字节数（偏移量）。
当按照模式匹配进行筛选时，必须指定在帧中的哪个位置开始搜索特定模式。该设置指定从帧的起始处或从拓扑标头信息末尾到搜索模式开始点的距离（字节）。如果网络介质在介质访问控制协议中具有可变的大小，例如以太网或令牌环网，请指定从拓扑标头信息末尾开始计数。

回书目   上一节   下一节