Kiểm tra mạng bằng Network Monitor 3.4 – Phần 1

Quản trị mạng – Trong bài này chúng tôi sẽ giới thiệu cho các bạn về công cụ kiểm tra mạng Network Monitor 3.4 và sự hữu dụng của nó trong việc khắc phục sự cố cũng như phân tích lưu lượng mạng.

Phân tích lưu lượng mạng ngày nay trở thành một vấn đề cực kỳ quan trọng vì các ngăn xếp giao thức mạng đã lần đến các giao thức web có khả năng định tuyến và NAT. Network Monitor là một bộ phân tích giao thức và một công cụ capture các khung dữ liệu giúp người dùng nhằm phát hiện và kiểm tra các kiểu giao thức phức tạp này, nó thực sự là một công cụ quan trọng trong toolbox của các quản trị viên và nhân viên bản mật mạng.

Nếu quan tâm đến việc truyền tải các dữ liệu nhạy cảm hoặc tải trọng được đóng gói, bạn sẽ biết được nhiều hơn về mạng của mình. Các công cụ giống như IPS, IDS và các tường lửa cũng rất hiệu quả nhưng chúng không mô tả chi tiết gói dữ liệu ở mức mà bạn cần biết. Có rất nhiều công cụ phát hiện gói dữ liệu thu phí hoặc miễn phí, tuy nhiên bài viết này chúng tôi sẽ tập trung vào một công cụ miễn phí, đó là Network Monitor 3.4.

Bộ phân tích giao thức là gì? (Protocol Analyser)

Đây là một ứng dụng hoặc một mẩu phần cứng có khả năng capture lưu lượng mạng và phân tích dữ liệu đi qua nó, cho đầu ra dưới định dạng dễ đọc đối với con người.

Về công cụ này

Các chi tiết kỹ thuật phần cứng: Network Monitor 3.4 yêu cầu tối thiểu bộ vi xử lý 1GHz, 1GB RAM, 60MB ổ cứng cho việc capture.

Chương trình có thể được cài đặt trên các nền tảng x86 và 64bit, gồm có các chipset Itainum đang chạy windows XP và phiên bản cao hơn.

Khi đã download và cài đặt ứng dụng từ website của Microsoft, bạn hoàn toàn có thể thực hiện việc capture.

Bạn có thể chọn các giao diện muốn lắng nghe lưu lượng trên nó. Kinh nghiệm cho thấy là chúng ta nên bắt đầu ở mức tối thiểu trước để bảo đảm không bị choáng ngập khi gặp quá nhiều lưu lượng qua máy. Sau đó bạn có thể thay đổi thiết lập này và bổ sung thêm các giao diện khác nếu cần.

Một trong những tính năng thú vị nhất của sản phẩm là khả năng kiểm tra lưu lượng và kết hợp nó với quá trình đang chạy, từ đó quản trị viên có thể phân biệt một cách nhanh chóng ứng dụng đang trao đổi với máy và kiểu lưu lượng được gửi qua mà không cần phải bò trườn qua hàng tấn lưu lượng khó hiểu.

Hình 1: Hình trên mô tả một cuộc trò chuyện của skype

Bạn có thể lọc lưu lượng của một cuộc trò chuyện nào đó tại một thời điểm. Điều này có thể thấy trong hình trên qua ID cuộc trò chuyện (ConvID) 468. Khi mở rộng các khung trong cuộc trò chuyện, bạn có thể kiểm nghiệm lại điều đó.

Người dùng cũng hoàn toàn có thể mã màu lưu lượng cho các bộ lọc, đặt lưu lượng nguồn một màu, lưu lượng đáp trả ở một màu khác để có thể phân biệt được ai đã nói những gì.

Ngoài ra người dùng còn có khả năng thiết lập để NM3.4 có thể capture lưu lượng trong một đường hầm VPN nào đó. Đây là một điều hết sức hữu dụng khi khắc phục sự cố các VPN.

Một thứ thú vị khác ở công cụ này là dữ liệu hoàn toàn sống, như những gì mà bạn thấy nó trong giao diện. Dữ liệu này có thể được lưu lại trong một file nào đó và có thể được gửi đến ai đó nếu bạn cần chia sẻ đầu ra của quá trình phân tích. Bạn cũng có thể chọn một dải các khung. Dải các khung được chọn này có thể được lưu lại và được gửi đến một hãng thứ ba khác nhờ phân tích thay vì gửi toàn bộ dữ liệu được capture.

Dữ liệu cũng có thể được copy trực tiếp vào excel nhằm mục đích phân tích và lập biểu đồ, ngoài ra cũng có thể áp dụng tương tự cho word và các bảng có thể được tạo nhanh chóng cho các trường hợp chi tiết. Điều này cho phép dễ dàng quản lý dữ liệu và dễ dàng trong trình bày.

Tạo một bộ lọc màu sắc

Việc tạo các bộ lọc hoàn toàn đơn giản. Một bộ lọc màu sắc là một sự kết hợp giữa một quá trình nào đó và một màu. Cho ví dụ bạn muốn thấy tất cả các lưu lượng của IE trong khung nhìn thời gian thực có màu xanh và lưu lượng của Firefox là màu đỏ. Tất cả những gì bạn cần ở đây là mở rộng quá trình trong cửa sổ các cuộc trò chuyện ở bên trái và chọn lưu lượng trong khung tóm tắt bên phải, kích phải vào khung (trên cột quá trình), kích Add “process name” as colour rule, thiết lập màu và tất cả lưu lượng sẽ xuất hiện màu xanh cho quá trình IE.

Hình 2: Nhớ kích cột tên quá trình (Process Name)

Hình 3: Chọn màu để kết hợp với quá trình IE, sau đó kích OK và OK

Hình 4: Trong khung nhìn lưu lượng thời gian thực, bạn sẽ thấy luồng lưu lượng có màu xanh

Điều này cho phép người dùng dễ dàng phân biệt lưu lượng khi các gói dữ liệu vào ra với tốc độ cao.

Tiện ích dòng lệnh

Đường dẫn C:\Program Files\Microsoft Network Monitor 3>

Công cụ này có thể được sử dụng trong tiện ích dòng lệnh và được gọi là NMcap.exe, nó được cài đặt trong đường dẫn hệ điều hành. Chế độ này có thể capture với hiệu suất cao và rất hữu dụng khi lập kịch bản cho công cụ và các lệnh.

Các lệnh đơn giản như nmcap * /capture /file test_capture.cap có thể capture tất cả lưu lượng từ tất cả các giao diện và lưu dữ liệu đã được capture vào một file mang tên test_capture.cap. Các bộ lọc cũng có thể được áp dụng cho lệnh này để chỉ chúng ta chỉ capture các lưu lượng có liên quan.

Tiện ích dòng lệnh được sử dụng trong nhiều trường hợp, cho ví dụ, bạn có thể áp dụng điều này tại một site khách hàng và nhận được đầu ra cho mục đích phân tích từ xa. Bất kỳ bộ lọc nào được sử dụng trong giao diện người dùng đều có thể được sử dụng với tiện ích dòng lệnh, bạn chỉ cần nhớ thêm các dấu trích dẫn.

Khi sử dụng công cụ này, tốt nhất bạn nên thiết lập kích thước capture, đầu tiên nên giữ ở mức có thể quản lý để bảo đảm dữ liệu capture không làm đầy ổ đĩa cứng.

Một trong những tham số hữu dụng nhất là terminationwhencommand, điều này cho phép quản trị viên có thể lập kịch bản để ngắt quá trình capture sau một quãng thời gian nào đó hoặc khi có một sự kiện nhấn phím xảy ra.

Để nhập danh sách các tham số, bạn chỉ cần đánh Nmcap.exe /help

Phân tích cú pháp

Phân tích cú pháp được cung cấp cho tất cả các giao thức Windows và cho các giao thức chung nhất. Có nhiều cú pháp có sẵn và bạn có thể nhanh chóng tạo riêng cho mình một cú pháp nào đó. Các file này có đuôi .npl và có thể được biên dịch nguyên bản bằng công cụ.