協(xié)議分析及Wireshark使用ppt課件

1、協(xié)議分析及Wireshark運用鼎利通訊為什么要抓包？ 查找網(wǎng)絡缺點，網(wǎng)絡管理員的幫手 做游戲外掛的分析數(shù)據(jù)需求運用 做底層協(xié)議開發(fā)需求運用 學習和了解協(xié)議運用 破解及非法用途抓包支持的協(xié)議常用 運用層：WAP、FTP、SMTP、POP3、Fetion、PING 傳輸層：UDP、TCP、RTP 網(wǎng)絡層：IP、ARP、IGMP 鏈路層：PPP，PPOE 物理層：以太網(wǎng)、令牌環(huán)、FDDI、X.25、幀中繼、RS-232、v.35 前臺對抓包的支持 采用WinPCAP庫，和Wireshark一樣 在撥號之后才干抓包 可以支持同時對多個撥號網(wǎng)絡進展抓包 對抓包數(shù)據(jù)的呈現(xiàn)：僅僅是顯示抓包數(shù)據(jù) 未對抓包進

2、展統(tǒng)計分析前臺缺乏 不能抓取PPP過程 處理方案：首先撥號，然后設定抓包的撥號網(wǎng)絡，然后停頓撥號，此時再啟動抓包進程，最后按正常流程測試 未對抓包的數(shù)據(jù)提供統(tǒng)計、分析、KPI輸出和圖表呈現(xiàn)等 未對抓包業(yè)務數(shù)據(jù)提供分析報表功能抓包分析KPITCP/IP重傳率 定義：TCP重傳的幀數(shù) / 一切TCP幀數(shù) * 100%，反響運用層傳輸質(zhì)量 影響TCP/IP重傳率的相關(guān)參數(shù)：MTU，ACK超時設定 受TCP/IP影響的KPI：運用層速率 引申目的：TCP ACK重傳率 定義：TCP ACK包重傳幀數(shù) / 一切TCP IP重傳幀數(shù) * 100% TCP/IP和無線關(guān)系：誤幀率/誤碼率高導致TCP/IP重

3、傳，RLP重傳加強ACK包的可靠性，防止由于RLP誤碼或ACK超時而導致TCP/IP不用要的重傳 可以給出RLP重傳率、TCP/IP重傳率、運用層速率等三者的關(guān)系圖，可以給出TCP/IP ACK包重傳次數(shù)和RLP重傳次數(shù)的比例曲線。 TCP ACK重傳率很高，那么闡明網(wǎng)絡需求優(yōu)化RLP對ACK的重傳，將大大提高運用層速率。抓包KPITCP丟包率 定義：TCP幀總數(shù) TCP收到ACK的幀數(shù)/TCP總幀數(shù) * 100% 丟包率是重要的目的，嚴重影響TCP/IP的傳輸性能，正常情況下丟包率和重傳相差不多抓包KPITCP誤幀率 定義：Checksum不正確的總包數(shù) / TCP總包數(shù) * 100% 誤幀

4、率越低越好，誤幀會影響速率 但誤幀不一定需求重傳，而且由于TCP checksum offload功能，不一定誤幀就表示一定不正確需求重傳抓包KPI復位率 定義：RST幀數(shù) / 一切幀數(shù) * 100% RST呈現(xiàn)了網(wǎng)絡的有效性可效力才干，比率越大，網(wǎng)絡質(zhì)量越差抓包KPITCP幀呼應時延(RTT) 定義：第N幀收到ACK的時間 第N幀PSH的時間，單位：毫秒 意義：幀時延可以反映TCP/IP網(wǎng)絡呼應速度，可以檢查網(wǎng)關(guān)設備、路由設備、效力器的呼應速度和才干 輸出：最大值、最小值、平均值抓包顯示參數(shù) MTU 最大傳輸單元，影響TCP/IP重傳率和運用層速率 最大，最小，平均值 MTU正常的值設定：1

5、500以太網(wǎng)，1492PPPoE撥號網(wǎng)絡 TCP Window Size 最大，最小，平均值 TCP Window Size影響TCP/IP速率 TTL 暫無用途，需求結(jié)合PING/ICMP才干運用抓包分析KPI包重組率 定義：TCP/IP重組(Reassemble)幀數(shù) / 總TCP/IP幀數(shù) * 100% 包重組率越低越好，正常應該為0。 TCP/IP重組幀數(shù)過大闡明中間有路由器不支持當前設定的MTU握手勝利率 定義：SYN懇求收到對應ACK的次數(shù) / SYN懇求的次數(shù) * 100% 握手勝利率闡明TCP/IP的可效力才干 握手勝利率依賴網(wǎng)關(guān)、效力器的處置才干等抓包KPI擁塞率 定義：標識

6、為CWR的幀數(shù) / 總TCP幀數(shù) * 100% 擁塞率越低越好，擁塞率抓包結(jié)合數(shù)據(jù)分析 抓包結(jié)合運用層業(yè)務可以給出運用層失敗的緣由及比例，分類等 支持的業(yè)務包括：WAP、FTP、SMTPWAP 2.0/HTTP抓包分析WAP重定向比率定義：WAP 300307呼應數(shù) / 一切WAP呼應數(shù) * 100%重定向越多，對無線網(wǎng)絡壓力越大，重定向數(shù)據(jù)是無效數(shù)據(jù)，浪費帶寬WAP 2.0主要失敗緣由比例502 WAP網(wǎng)關(guān)失敗504 WAP網(wǎng)關(guān)超時其他50 x 效力器端錯誤400 懇求錯誤404 地址錯誤403 權(quán)限受限其他4xx，客戶端錯誤可以列出每一次WAP失敗的錯誤Code信息及其文字描畫，WAP失敗

7、概略包括：時間、網(wǎng)關(guān)地址:端口、本地IP地址:端口、失敗代碼、失敗緣由、懇求地址FTP 抓包分析 FTP命令失敗概略： 時間，效力器地址:端口，下載文件地址，命令，命令錯誤代碼什么是Wireshark？ Wireshark前身是Ethereal， /download.html 協(xié)議分析利器，主要是用來抓包及分析網(wǎng)絡數(shù)據(jù)包格式和協(xié)議 免費，且是目前最好用的工具 Wireshark幾乎是萬能的協(xié)議抓包和分析工具，只需是以太網(wǎng)上的都能抓 其他類似工具：Sniffer ProWireshark優(yōu)點 方便運用，與其他抓包工具相比易用的多，界面也友好的多 支持的協(xié)議多 支持過濾：

8、抓包過濾和顯示過濾，強大的表達式功能 一邊抓包一邊分析 跨平臺 如何開場？ 如何抓包？ 指定接口Interface 指定抓包范圍，數(shù)據(jù)過濾capture filter 如何查看包？ 幀構(gòu)造 幀內(nèi)容 如何過濾包？ Filter express常用功能 協(xié)議查看和分析 協(xié)議過濾 語法：=，!=，,=, 大于大于lt=大于等于大于等于le=小于等于小于等于英文英文C語言語言含義含義and&邏輯與邏輯與or|邏輯或邏輯或xor邏輯異或邏輯異或not!邏輯非邏輯非snmp | dns | icmp顯示SNMP或DNS或ICMP封包。ip.addr = 顯示來源或目的IP地址為的封包。ip.src != or ip.dst != 顯示來源不為或者目的不為的封包。Ip.addr=|ip.addr=8Ip.port=9000&ip.addr=0，ftp表達式構(gòu)建工具表達式構(gòu)建工具如何在WiFi下抓包？ WLAN，WiFi方式在默許的情況下無法抓包，需求封鎖網(wǎng)卡的混雜方式例子 電信FTP問題 P