1、第2章 协议分析和学习工具 学习TCP/IP协议工作原理，需要借助有效的学习工具，这样才能够更准确全面地掌握协议数据单元的构成和协议工作过程，达到事半功倍的效果。同时，通过学习掌握各种协议分析工具的用法，还能够为网络工程实践奠定基础。2第第2章章 协议分析和学习工具协议分析和学习工具 本章介绍的几款网络学习和分析工具，能够满足学习者在不同学习阶段学习掌握网络协议的需要。除Cisco Packet Tracer主要用于学习外，其他几款工具软件在网络工程、科研领域也为工程技术人员在实际应用中普遍使用。本章着重介绍Wireshark、Cisco Packet Tracer和GNS3的用法，对Snif
2、fer pro和科来网络分析系统只做简单介绍。32.1 协议分析 协议分析也叫网络分析，是指通过捕获在网络通信系统中传送的数据，搜集网络统计信息，将数据包解码为可以阅读的形式的过程。要完整准确地捕获网络通信信息，通常需要借助专门设计的软件工具协议分析器并安装到网络中特定的位置上以获取网络通信信息。本质上协议分析器是在窃听网络通信。42.1.1协议分析器的原理 协议分析器的本质是数据包嗅探，观察正在运行的协议实体间交换报文的基本工具被称为数据包嗅探器（packet sniffer），又称分组捕获器。数据包嗅探器捕获（嗅探）计算机发送和接收的报文。网络嗅探工具通常用来进行协议分析和网络监控，以便于
3、进行故障诊断、性能分析和安全分析等，黑客则用之进行安全敏感信息的监听和截取。56 嗅探器主要有两部分组成：分组捕获器和分组分析器。分组捕获器需要把网卡设置为“混杂模式”（Promiscuous Mode Operation），这样当数据包从嗅探器所连接的网卡上进入系统时，嗅探程序可以接收到整个以太网内的网络数据信息，包括所有的广播、组播和单播数据包，甚至错误的数据包，从而实现数据包捕获。72.1 协议分析 分组分析器的作用是分析协议报文并把报文中所有字段的内容直观地显示出来。其主要构成通常包括一个包过滤器、数据包缓冲区和解码部分。包过滤器用以设定协议分析器想要捕获的数据包的类型，通常都可以按照
4、协议类型、通信的IP地址、链路层地址和应用程序来设定过滤条件。解码部分主要是将缓冲区中已经捕获到的数据包解析为用户可读的协议数据单元格式以方便用户进行分析。绝大多数协议分析器都提供了一定的数据包统计功能，可以对各种类型的数据包进行整理统计，包括各种类型的差错数据包，这对于网络管理活动提供了极大的帮助。82.1.2 协议分析器的主要用途 协议分析器通常用于诊断网络出现故障。例如，一个UDP通信的客户端不能连接到指定的服务器上，协议分析器就可以用于捕获并查看它们之间通信的内容以揭示客户端解析IP地址的过程，定位本地路由器的硬件地址，提交给服务器的UDP数据包以及服务器的处理响应信息，从而判断出问题
5、所在。92.1 协议分析 协议分析器也可以用来测试网络。通常测试可以采用两种方式来进行：一种是主动向网络中发送数据包来测试，另一种是通过侦听不同寻常的通信这种被动方式来测试。例如，如果防火墙被配置为阻塞特定类型的流量进入本地网络，那么协议分析器既可以配置为向防火墙发送测试数据包来检测某些不可达流量是否会被防火墙转发，也可以从防火墙后侦听流量，确定不可达流量是否被转发。10 协议分析器还可以用于搜集网络性能的趋势数据。多数协议分析器都有能力跟踪网络流量的短期和长期趋势，这些趋势包括网络利用率、每秒钟数据包的速率、数据包长度分布以及在用的协议等等。网络管理员能够利用这些信息跟踪网络随时间发生的细微
6、变化。11 对学习网络原理的人来说，协议分析器是准确牢固掌握网络原理的有力工具。本书将使用协议分析器Wireshark作为主要的教学工具。另外，对于TCP/IP协议分析的初学者，Cisco公司的模拟软件Packet Tracer可以提供模拟环境下的协议分析，也是一个很好的学习辅助工具。高仿真环境下的协议分析可以借助GNS3和Wireshark来共同完成，这样的环境在进行科学研究时也是有参考意义的实验平台。122.1 2.1 协议分析协议分析2.2 Cisco Packet Tracer Packet Tracer是Cisco公司针对其CCNA（思科认证网络工程师，Cisco Certified
7、 Network Associate）认证为思科网络技术学院开发的一个用来设计、配置网络和故障排除的模拟软件。本书采用的版本为Packet Tracer 6.0。Packet Tracer是一款非常适合初学网络者使用的工具，它不仅能够简便快速地构建出网络实验环境，而且其模拟工作方式还能够为学习者提供网络各层数据的构成和传输情况、各种帧或分组的处理过程。13 在Packet Tracer模拟方式下可以对每个结点中网络各层PDU（Protocol Data Unit，协议数据单元）处理过程的每一步操作提供模拟和协议分析，这对初学者理解协议工作过程来说是非常有帮助的。Packet Tracer的的一
8、个优点是可以快速地构建一个模拟网络环境，这为需要及时验证学习过程中的问题提供了一个简便的手段。Packet Tracer模拟捕获的数据包的信息与真实网络环境中捕获的数据包还是有差距的。Packet Tracer只提供了对Cisco公司部分设备的有限支持，这和工程实践中存在多个公司的产品并且运行着多种协议支持的多种应用也是有着明显的差距的。142.2.1 Packet Tracer的使用界面 Packet Tracer 6.0的安装按照安装向导帮助很容易就可完成。软件的启动界面如图2-2所示。152.2 Cisco Packet Tracer2.2 Cisco Packet Tracer16图图
9、2-2 Packet Tracer 6.0工作界面工作界面 图中标示了各个主要区域的功能。下面结合一个简单的例子来说明其基本使用方法。（1）添加设备。在网络设备库栏内先找到要添加设备的大类别，然后从该类别的各个具体型号的设备中寻找添加自己想要的设备。172.2 Cisco Packet Tracer2.2 Cisco Packet Tracer（2）正确连接各个结点。Packet Tracer 6.0有多种连接线，如图2-3所示。相应的有多种设备连接方式：控制台连接、双绞线交叉连接、双绞线直连连接、光纤、串行DCE及串行DTE等方式。如果不能确定应该使用哪种连接，可以使用自动连接，让软件自动选
10、择相应的连接方式。图2-3 Packet Tracer6.0连接线18192.2 Cisco Packet Tracer2.2 Cisco Packet Tracer如果是自己确定连线类型如果是自己确定连线类型，则连接时还要确定连接，则连接时还要确定连接接口。选择自动连线，在接口。选择自动连线，在连接连接2620XM2620XM和和PC1PC1时网络时网络如图如图2-42-4所示。所示。这是因为这是因为2620XM2620XM没有安装没有安装相应的模块，已经没有接相应的模块，已经没有接口可用。因此需要在口可用。因此需要在2620XM2620XM中添加模块。中添加模块。图图2-4 Packet
11、Tracer6.02-4 Packet Tracer6.0网络连线网络连线（3）查看设备和添加模块。单击工作区中的设备，打开设备配置窗口，可以查看设备的前面板、具有的模块及配置设备。设备互连前可以根据需要添加所需的模块。注意要先在Physical选项卡中设备面板上关闭设备电源，然后选择合适的模块，将模块添加到设备插槽空缺处即可。为Router0添加NM4E模块（以太网模块）连接好后的网络如图2-5所示。20212.2 Cisco Packet Tracer2.2 Cisco Packet Tracer图图2-5 Packet Tracer6.02-5 Packet Tracer6.0网络连接网
12、络连接线缆两端的圆点用不同的线缆两端的圆点用不同的颜色来表示连接状态：绿颜色来表示连接状态：绿色表示物理连接准备就绪色表示物理连接准备就绪；闪烁的绿色表示链路激；闪烁的绿色表示链路激活；红色表示物理连接不活；红色表示物理连接不通；黄色表示交换机端口通；黄色表示交换机端口阻塞。阻塞。线览两端圆点的不同颜色线览两端圆点的不同颜色可以有助于我们进行连通可以有助于我们进行连通性的故障排除。性的故障排除。（4）配置网络设备工作模式或工作参数 单击设备即可打开设备配置窗口。在Router0设备配置窗口中有3个选项卡。Physical 选项卡用于添加端口模块，Config 选项卡给用户提供了简单配置路由器的
13、图形化界面，在这里可以查看和配置全局信息，路由信息和端口信息。当进行某项配置时下面的命令提示窗口会显示相应的命令。如图2-6所示配置网络接口FastEthernet0/0的IP地址和子网掩码。注意Port Status设置为on。注意：这是Packer Tracer中的快速配置方式，实际设备中不一定有这样的配置方式。222.2 Cisco Packet Tracer2.2 Cisco Packet Tracer23图图2-6 2-6 网络设备配置窗口的网络设备配置窗口的ConfigConfig选项卡选项卡 设备配置窗口中的CLI选项卡则是在命令行模式下对Router0进行配置，这种模式和实际路
14、由器的配置环境非常相似。终端设备的配置窗口不同于网络设备，有一个Desktop选项卡，其中各种功能选项如图2-7所示。242.2 Cisco Packet Tracer2.2 Cisco Packet Tracer25DesktopDesktop选项卡中的选项卡中的IP Configuration IP Configuration 也可以完成默认网也可以完成默认网关、关、IPIP地址和子网地址和子网掩码的设置。掩码的设置。TerminalTerminal选项模拟选项模拟一个超级终端对路一个超级终端对路由器或者交换机进由器或者交换机进行配置。行配置。Command Command PromptP
15、rompt等同于计算等同于计算机中的命令窗口。机中的命令窗口。图图2-7 2-7 终端设备的终端设备的DesktopDesktop选项卡选项卡2.2.2 利用Packet Tracer学习分析网络协议 能够利用Packer Tracer来学习网络协议的主要原因之一是它有两种工作模式：Realtime mode（实时模式）和Simulation mode（模拟模式）。模拟模式能够将网络工作过程按照数据包的传送过程用动画一步一步地展示出来，同时，可以随时对每一个处理步骤的协议数据包的PDU构成直观地进行观察。软件还为每个节点在每一层协议处理的具体操作配有文字说明。262.2 Cisco Packe
16、t Tracer2.2 Cisco Packet Tracer 配置好IP地址、子网掩码、默认网关等后，在Packer Tracer工作窗口中单击Simulate mode即按钮，会出现Event List对话框 事件列表对话框显示当前捕获到的数据包的详细信息，包括数据包出现的时间、上一个设备、当前设备、协议类型和协议详细信息，非常直观。如图2-8所示。272.2 Cisco Packet Tracer2.2 Cisco Packet Tracer28图图2-8 Simulate mode2-8 Simulate mode下的下的Event ListEvent List对话框对话框单击单击Ca
17、pture/Forward Capture/Forward 按钮会产生一个按钮会产生一个事件，连续单击事件，连续单击产生一系列的事产生一系列的事件会描述出数据件会描述出数据包的传输路径。包的传输路径。单击Auto Capture/Play按钮会自动模拟网络中包的传输。单击结点设备上的数据包或者单击Event List中协议类型信息Info位置的不同颜色的色块，可以打开PDU Information 对话框，如图2-9所示。在这里可以看到数据包在进入设备和出设备时很详细的基于OSI 模型各层协议的信息变化。单击Edit Filters按钮可以选择过滤器，其只在Event List中列出需要查看的
18、协议数据包，这对于观察特定协议的工作过程很有帮助。292.2 Cisco Packet Tracer2.2 Cisco Packet Tracer302.2 Cisco Packet Tracer2.2 Cisco Packet Tracer图图2-9 PDU Information 2-9 PDU Information 对话框的对话框的OSI ModelOSI Model在在OSI ModelOSI Model选项卡中，选项卡中，阅读阅读OSIOSI层次模型每层处层次模型每层处理数据包的说明信息。理数据包的说明信息。31在在Inbound PDU Details Inbound PDU D
19、etails 和和Outbound PDU DetailsOutbound PDU Details选项卡中可以分别看到进选项卡中可以分别看到进入节点和离开节点（节点入节点和离开节点（节点发出的）数据包或帧格式发出的）数据包或帧格式的内容，如图的内容，如图2-102-10所示。所示。通过对比学习有助于了解通过对比学习有助于了解协议协议PDUPDU的详细信息，可以的详细信息，可以对数据包做更细致的分析对数据包做更细致的分析。图图2-10 PDU Information 2-10 PDU Information 对话框的对话框的PDU DetailsPDU Details2.3.1 数据包嗅探器Wi
20、reshark Wireshark是目前最流行的网络协议分析器，原来叫Ethereal，它是开源免费软件。在GNU GPL（GNU General Public License，GNU通用公共许可证）的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码进行修改的权利。因此Ethereal很快得到广泛使用和认可。2006年，Ethereal更名为Wireshark。Wireshark可以运行在Windows，UNIX，Linux等操作系统上，可以从http:/www.wireshark.org下载获得。不少Linux的安装光盘上有Wireshark安装文件，直接安装即可。
21、322.3 Wireshark Windows版本安装一般会提示要安装Winpcap，不需单独下载只要按照安装提示操作即可完成。本教程使用的是Wireshark 2013年版本 Version 1.10.0。Wireshark不同于Sniffer pro这样的收费软件可以更改数据包，它只会反映出目前网络上传输的数据包信息，自身也不会提交数据包至网络上。Wireshark很适合进行协议分析和网络数据监控等应用。332.3 Wireshark2.3 Wireshark2.3.2 Wireshark的工作界面 启动Wireshark程序时，初始工作界面如图2-11所示。在这里可以设置要捕获数据包的接
22、口即网卡（Interface List）、捕获选项（Capture Options）、打开数据包文件等。设置方式可以直接在窗口中点选，也可以同通过工具栏中的按钮或下拉菜单来设置。34352.3 Wireshark2.3 Wireshark图图2-11 Wireshark2-11 Wireshark初始界面初始界面36图图2-12 Wireshark2-12 Wireshark捕获分组界面捕获分组界面Wireshark的界面主要有五个组成部分：（1）菜单和工具栏 （2）过滤器（Filter）在该处填写符合Wireshark规定的过滤规则表达式，如某种协议的名称或IP地址等，据此对捕获到的数据包进
23、行过滤，只显示符合条件的分组。（3）包列表窗口 包列表窗口中的每一行对应抓包文件中的一个数据包。不同类型的报文有不同的颜色，用户可以自己定义颜色。如果选择了一行，则更详细的信息显示在包明细窗口和包原始数据窗口中。372.3 Wireshark2.3 Wireshark 在包列表窗格中的每一列代表抓获的一个包的有关属性的摘要信息。单击某一列的列名，可以使包列表按指定列排序。其中，协议类型是发送或接收分组的最高层协议的类型。在各个列名称位置单击鼠标右键可以展开一个可用的上下文菜单。（4）包明细窗口 也可称为包解析窗口，显示从包列表窗口中被选中数据包的详细信息。包括该分组的各个层次协议的首部信息及数
24、据信息。包的协议和字段用树型格式显示。38 在每个协议行中，会显示一些指定的协议字段：生成的字段：Wireshark自己会生成附加的协议字段（括号括起来者）。这些字段的信息是从抓包文件中已知的与其它字段的上下文推导出来的。例如，Wireshark分析每个TCP流的序列号/确认号时，就会在TCP 协议的SEQ/ACK 分析中显示出来。链接：如果Wireshark检测到抓包文件中存在着与其它包的关系，就会产生一个到其它包的链接。链接用蓝色显示，双击它，Wireshark就跳到相应的包。39（5）包原始数据窗口 在这个窗口里分别以十六进制（左）和ASCII码（右）两种格式显示出从包列表窗格中当前选定
25、的数据包的原始报文数据内容，同时在包明细窗口中选择的协议字段的对应原始数据会高亮度显示。观察包原始数据可以更直观地了解网络上实际传送的比特流，有助于理解网络工作原理和协议分析的机制。402.3 Wireshark2.3 Wireshark412.3.3 Wireshark2.3.3 Wireshark抓包的基本操作抓包的基本操作无论是通过初始工作界面还是工具栏按钮，或者是菜单选择来进行无论是通过初始工作界面还是工具栏按钮，或者是菜单选择来进行抓包，基本都是按照下述步骤来进行：抓包，基本都是按照下述步骤来进行：（1 1）选择抓包的接口）选择抓包的接口 即确定在本机的哪个网络接口上进行抓包，不论采
26、用什么方式即确定在本机的哪个网络接口上进行抓包，不论采用什么方式，选择，选择InterfacesInterfaces都会弹出抓包接口对话框，如图都会弹出抓包接口对话框，如图2-132-13所示。所示。图图2-13 2-13 抓包接口对话框抓包接口对话框（2）设置抓包选项 单击Options打开抓包选项可以设置抓包过滤器、保存文件、显示方式、名称解析等选项。如图2-14所示。Capture Files用于对捕获到的数据包的保存方式设置，当使用multiple files时，如果指定条件达到临界值，Wireshark会自动生成一个新文件，而不是使用单独一个文件。422.3 Wireshark2.3
27、 Wireshark432.3 Wireshark2.3 Wireshark图图2-14 2-14 抓包选项设置抓包选项设置 Display Options选项可以选择设置实时显示，自动更新面板，隐藏捕捉信息对话框等。Name Resolution设置用于是否让Wireshark翻译MAC地址为名称，是否允许Wireshark对网络地址进行解析。（3）设置过滤器 在Wireshark实际使用中，使用者往往只关心某种协议类型或者只是和某个节点地址有关的包，这时过滤器的设置就十分必要了。过滤器有两种，第一种是抓包过滤器，用来只抓取感兴趣的包，这时需要在启动抓包前先定义好过滤器。442.3 Wire
28、shark2.3 Wireshark 在图2-14中单击Capture Filter按钮就会弹出过滤器选项窗口，如图2-15所示。要新建过滤器则在Filter name 框中键入过滤器名字，在Filter string 框中键入过滤器字符串，单击New，就可以建立一个过滤器。45图图2-15 2-15 抓包过滤器设置抓包过滤器设置 捕获过滤器使用BPF（Berkeley Packet Filter，伯克利包过滤器）语法。BPF语法广泛用于各种嗅探器中，基本形式如下：src host 172.16.10.2&port 23这个BPF表达式的含义是“源地址是172.16.10.2且端口号是23”。
29、462.3 Wireshark2.3 Wireshark 第二种对过滤器的设置是在启动抓包以后在Wireshark工作界面上的过滤器栏直接输入，这就是显示过滤器。这时先把本机收到或者发出的包全部抓下来，再使用显示过滤器，只显示想要查看的那些类型的数据包。实际应用中这种方式更常用，因为不仅可以根据需要筛选查看通信过程中其他的数据包，而且还可以防止遗漏掉实际通信过程中的任何分组。472.3 Wireshark2.3 Wireshark 最简单的过滤器形式是只查看某种类型的协议，这时在Wireshark工作主界面中Filter后的输入位置直接输入协议的类型名称，例如：ICMP，再回车或单击过滤器栏上
30、的Apply，这时包列表窗口中将只显示抓包期间捕获到的所有ICMP报文。如果对数据包有更加精细的筛选要求，这时可以使用下面的操作符来构造显示过滤器：eq 或=等于 ne 或!=不等于 gt 或 大于 lt 或=大于等于 le 或 60 （筛选出帧长大于60字节的包）frame.cap_len=60（筛选出TCP段的数据长大于或等于60字 节的包）tcp.len=1（筛选出TCP段的数据长小于或等于1字 节的包）492.3 Wireshark2.3 Wireshark 注意：过滤表达式ip.addr!=172.16.10.2并不表示排除通信地址包含172.16.10.2的包。因为这个表达式被解读
31、为：“该包包含的IP字段值必须不为172.16.10.2”，因为一个IP数据报同时含有源地址和目标地址，只要两个地址有一个不为172.16.10.2就为真，通常是先判断第一个地址即源地址，从而无法过滤到目标地址。如果想实现过滤掉通信地址包含172.16.10.2的包的功能，应当写作：!(ip.addr=172.106.10.2）。50 也可以使用下面的逻辑操作符将表达式组合起来：and 或&逻辑与 or 或|逻辑或 xor 或 异或 !逻辑非 例如：ip.addr=172.16.10.2 and tcp.flag.fin(筛选出包含IP地址172.16.10.2且有TCP连接结束FIN标志的包
32、)ip.addr=172.16.10.2 or ip.addr=172.16.10.1 (筛选出包含IP地址172.16.10.2或172.16.10.1的包)!llc （筛选没有使用LLC协议的包）512.3 Wireshark2.3 Wireshark 如果需要对捕获到的数据包的按字节位置或比特位置的内容进行过滤，则需要采用下面的格式，例如：icmp0:2=0800 n:m指定一个范围，n是起始位置偏移，m是从指定位置的区域长度。例子里表示在捕获的ICMP报文的中以ICMP的PDU中偏移为0开始取两个字节，将匹配0800（十六进制）的报文筛选出来。如果是按比特筛选，则要用符号“&”来指定，
33、例如：tcp13&2表示筛选出TCP段中SYN标志置位的数据包。这里13便是标志位在TCP的头部的字节偏移位置（第14个字节），用“&2”符号指出要取这个字节中第2位即SYN位置位的数据包。52 在启动抓包前、抓包过程中或者停止抓包后，都可以在Wireshark的工作界面过滤器栏输入过滤表达式。要想查看抓包过程中的其他类型的数据包，只需删除过滤表达式或输入新的表达式再回车即可。更简单的做法是单击过滤器栏的clear按钮可以随时清除过滤条件。532.3 Wireshark2.3 Wireshark Expressions按钮则提供了一个帮助编写过滤器的辅助手段。Wireshark的易用性很好，当
34、在Filter 栏输入的表达式是正确的时候将显示绿色背景，如果显示红色背景则说明表达式是错误的。协议字段的表述提供了智能提示功能，当输入部分字符时，输入栏的下拉框里会有字段的合法表述供选择。542.4 GNS3 GNS3是一种可以仿真复杂网络的图形化网络模拟器，它能够提供一种类似虚拟机软件一样的高仿真网络环境，为进行网络实验和科学研究提供一个有效的辅助手段。对协议学习来说，可以用于模拟较复杂的网络环境。但GNS3对运行系统资源占用较大，需要较高的机器配置才能流畅运行。GNS3主要是在计算机中运行Cisco的IOS（Internet Operating Systems），通过Dynamips仿真
35、IOS的核心程序，进一步在Dynamips之上运行Dynagen。GNS3其实是Dynagen的图形化前端环境工具软件。55 GNS3允许在Windows、Linux系统上仿真IOS，其支持的路由器平台、防火墙平台（PIX）的类型非常丰富。通过在路由器插槽中配置上EtherSwitch卡，也可以仿真该卡所支持的交换机平台。在GNS3中，所运行的是实际的IOS，能够使用IOS所支持的所有命令和参数，观察到的路由器行为和输出界面都和真实设备几乎完全一样。56 GNS3是一种开源软件，不用付费就可使用。其官方网站为http:/，在这里可以下载到GNS3的安装所需要的各个程序。在Windows环境下更
36、简便的是直接下载一个捆绑好的安装包，如GNS3-0.8.3.1-all-in-one.exe。Cisco的IOS的使用需要符合Cisco的版权规定，因此，GNS3安装程序中不包含IOS映像文件，需要单独获取。网络上能够获得部分可供GNS3使用的IOS，也可以将已有的Cisco路由器的IOS映像通过TFTP导出供GNS3使用。572.4.1 GNS3安装和配置 下面以Windows系统下安装GNS3为例简要说明安装的方法。双击所下载的GNS3-0.8.3.1-all-in-one.exe开始安装GNS3。GNS3需要其他软件的支持以正常运行，包括WinPCAP，Wireshark，Dynamip
37、s和Pemu等。默认情况下，这些软件将被选中。安装界面如图2-16所示。GNS有汉化包供下载安装。582.4 GNS359图图2-16 GNS32-16 GNS3安装界面安装界面当安装程序提示当安装程序提示安装完成第一次安装完成第一次启动启动GNS3GNS3后，还后，还需要完成配置需要完成配置IOSIOS映像后才能映像后才能够真正使用够真正使用GNS3GNS3。第一次启动GNS3，会有一个配置提示窗口，其中有标示着1-3数字的三个按钮，逐一单击完成配置。其中涉及到工程目录、查找OS路径、Dynamips有关路径、Wireshark有关路径等，单击相应的选项卡确认或修改即可。要特别注意的是IOS
38、的配置。如前所述，必须准备好自己的Cisco IOS映像。先将IOS映像文件拷贝到GNS3工作目录中事先建好的目录下（注意要与上面提到的查找OS路径设置一致），然后再配置。也可以单击GNS3的Edit菜单，选择IOS images and hypervisors打开IOS配置对话框，如图2-17所示。602.4 GNS361图图2-17 GNS32-17 GNS3的的IOSIOS映像文件配置映像文件配置 在标签页“IOS Images”中的“Image file”位置处，单击输入栏后的按钮后查找自己所准备的IOS映像文件，这时“Platform”和“Model”为选择IOS映像文件所对应的路由
39、器型号。对话框上部为已配置好的GNS可使用的IOS映像。默认内存值不必修改。IDLE PC的参数非常重要，稍后设置。最后单击Save按钮保存配置。622.4 GNS32.4 GNS32.4.2 GNS3的使用 GNS3的基本操作较简便直观。一般来说要新建网络拓扑都是先新建工程，系统会将网络拓扑和网络设备的有关设置都放在工程文件夹中，这样便于今后文件的管理。63642.4 GNS32.4 GNS3图图2-18 2-18 新建工程选择保存配置新建工程选择保存配置新建工程时要注意勾选新建工程时要注意勾选对话框保存时的选项：对话框保存时的选项：Save nvrams including Save nv
40、rams including EtherSwitch VLANs and EtherSwitch VLANs and crypto keyscrypto keys，在设备配，在设备配置好后执行保存操作，置好后执行保存操作，下次启动时工程内做好下次启动时工程内做好的配置才不会丢失，如的配置才不会丢失，如图图2-182-18所示。所示。65图图2-19 GNS32-19 GNS3的工作界面的工作界面 GNS3的拓扑操作十分简便，将选择的结点从左侧列表中拖入工作区，然后在左侧列表中单击连线按钮，选择合适的连线接口即可将各个结点连接起来。右键单击网络设备结点会弹出设备操作菜单，可以对设备进行配置。如在
41、路由器中添加模块。启动控制台操作模式可以完全模拟真实的路由器控制台操作界面。连接配置好网络设备后，就可以启动网络设备了。可以右键单击每个设备在弹出的菜单中选择启动设备，也可以在窗口上工具条按钮里单击按钮启动所有设备。启动正常的情况下设备连线两端的圆点会成为绿色。662.4 GNS32.4 GNS367接下来一个非常重要的操作就是确定并设置接下来一个非常重要的操作就是确定并设置IDLE PCIDLE PC，这直接影响，这直接影响着软件的运行效果，没有设置着软件的运行效果，没有设置IDLE PCIDLE PC有可能有可能GNS3GNS3就没有办法运行就没有办法运行！右键单击工作区中的路由器图标，选
42、择右键单击工作区中的路由器图标，选择“IDLE PC”“IDLE PC”。GNS3GNS3将花费将花费一段时间来计算一个一段时间来计算一个IDLE PCIDLE PC值，然后会出现相应的提示信息，可值，然后会出现相应的提示信息，可看到多个可能的看到多个可能的IDLE PCIDLE PC值，较好的可用值，较好的可用IDLE PCIDLE PC值前打上了星号。值前打上了星号。如图如图2-202-20所示。所示。图图2-20 GNS32-20 GNS3的的IDLE PCIDLE PC设置设置 选择一个带星号的IDLE PC值并单击OK按钮。如果没有带星号的值，可以反复计算几次，若还是没有标记星号的项
43、，可以选择数值最大的作为IDLE PC值。GNS3中可以有多种方法添加主机（PC计算机）。最方便的做法是使用路由器模拟PC机，即将路由器配置为非路由工作状态，这适合比较简单的场合。也可以使用虚拟机或真实的PC。6869图图2-21 GNS32-21 GNS3的抓包设置的抓包设置GNS3GNS3下的抓包整合了下的抓包整合了WiresharkWireshark，可以在每个结，可以在每个结点上对任一连接链路抓包点上对任一连接链路抓包。图。图2-212-21显示对路由器显示对路由器R3R3连接连接R4R4和和SW1SW1的两个连接链的两个连接链路进行抓包选择。也可以路进行抓包选择。也可以直接在连接线上
44、单击右键直接在连接线上单击右键启动对链路的抓包。启动对链路的抓包。2.5 Sniffer pro Sniffer Portable Professional 是一款卓越的便携式网络和应用故障诊断分析软件，属于Sniffer系列产品中的一款。Sniffer商标现在由NetScout公司持有。可以访问http:/ 或其国内代理商处获得产品信息。Sniffer Pro功能强大，特别适合网络管理人员采用来进行实时的网络监视、数据包捕获以及故障诊断分析，近年来更是强化了在无线网络领域的应用。Sniffer Pro也可以用来进行网络协议的学习，但因为这是一款商业软件，更适合专业网络管理或协议分析者使用。7
45、0 Sniffer Pro的主要特性是：便携式软件，接入灵活，操作方便；提高网络和应用的故障诊断速度；仪表板式图形化分析界面，并关联至深入的数据包分析；在同一平台上支持有线和无线网络分析；具备一流的网络和应用分析功能。具有智能化的专家分析系统协助用户在进行数据包捕获、实时解码的同时快速识别各种异常事件；数据包解码模块支持广泛的网络和应用协议，不仅限于Oracle、还包括VoIP类协议，以及金融行业专用协议和移动网络类协议等等。Sniffer Portable Pro提供直观易用的仪表板和各种统计数据、逻辑拓扑视图，并且提供能够深入到数据包的点击关联分析能力。在同一平台上支持10/100/100
46、0M以太网络以及802.11 a/b/g/n网络分析。71 Sniffer Pro主要应用环境包括：网络流量分析、网络故障诊断；应用系统流量分析及故障诊断；网络病毒流量、异常流量检测；无线网络分析、非法接入设备检查；网络安全检查、网络行为审计等。从使用的角度看，Sniffer Pro相较于Wireshark除了捕获数据包、解析数据包等基本功能外，主要是增加了编辑发送数据包、更强大的网络数据统计和监视功能，并设计有直观的图表以方便网络管理和分析的需要。722.5 Sniffer pro2.6 科来网络分析系统 科来软件是2003年创立的位于成都高新区的中国公司，是以网络分析为核心的产品提供商和服
47、务提供商。科来网络分析系统是一个集数据包采集、解码、协议分析、统计、日志图表等多种功能为一体的综合网络分析系统。它可以帮助网络管理员进行网络监测、定位网络故障、排查网络内部的安全隐患。科来网络分析系统曾获美国PC Magazine评选的2012年度最佳产品。科来网络分析系统能够进行全实时的采集-分析-统计处理，不需要再进行其他后期处理就能够即时的反应网络通讯状况。科来网络分析系统有数据包解码功能；针对常用网络协议设计的高级分析模块；网络通讯协议和网络端点的数据统计；独创的协议、端点浏览视图结构；丰富的图表功能。73 科来网络分析系统作为一款网络管理工具，可以帮助企业网络管理者完成以下几类工作：
48、网络流量分析 网络错误和故障诊断 网络安全分析 网络性能检测 网络协议分析 网络通讯监视 网络分析工具的配备可以从本质上检测到网络中的问题，协调和支持各种网络管理工具的使用，并最大化的完善网络管理。74 科来网络分析系统对运行系统环境有一定要求，支持Windows 系列操作系统及64位更高版本，最低配置为CPU P4 2.8GHz，内存2GB RAM，推荐配置为CPU：Intel Core Duo 2.4GHz，内存4 GB RAM或更高。从科来软件网站http:/ 科来网络分析系统 科来分析系统的功能和特性上主要表现为：采用分析引导，可自定义选择分析模式，系统提供实时分析和回放分析两种分析模
49、式，方便用户进行实时数据采集及回溯分析；提供有6个网络分析方案，包括全面分析、高性能分析、HTTP应用分析、FTP应用分析、DNS应用分析以及邮件分析；可根据用户实际网络环境及分析需求，可以新建、编辑或复制网络档案，以达到快速、准确的分析目的；支持自定义协议；支持在线实时报警，用户可自定义各种类型的报警条件，并以醒目的方式提醒管理员当前的网络事件；76 科来分析系统的功能和特性还有：增加TCP会话时序图，有效的展现TCP连接通讯双方的SYN和ACK响应状态；提供用户自定义图表功能，为用户提供丰富的图形化实时实时监控；提高增强的矩阵视图直观显示通讯会话信息；提供全局日志汇总显示；可按协议的实际封
50、装顺序层次化的显示通讯协议，不同的协议赋予不同的色彩，并增加了物理端点与IP端点子视图。772.6 科来网络分析系统78图图2-22 2-22 科来网络分析系统运行界面科来网络分析系统运行界面792.6 2.6 科来网络分析系统科来网络分析系统图图2-23 2-23 科来网络分析系统数据包解码界面科来网络分析系统数据包解码界面在图在图2-222-22的数的数据包列表窗口据包列表窗口里双击数据包里双击数据包就会弹出数据就会弹出数据包解码窗口，包解码窗口，如图如图2-232-23所示所示。2.7 小结 1各种协议分析工具是学习网络协议工作原理的有力帮助。2协议分析工具的基本原理是数据包嗅探，即通过
