网络分析方法与实例

《网络分析方法与实例》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、“网络分析方法与实例”王超shujuhua@163.comnetworkanalyzer@qq.com9月9日@合肥——网络分析技术交流方法篇对比分析法对比分析法就是在中间设备两端（数据包的进口、数据包转发口）同时抓包，并对进出口处所抓取到的数据包做相应的对比，从而发现中间设备对相应数据包的处理情况，包括更改、丢弃、转发以及经过中间设备后的延时等。关联分析法关联分析法是指，一个数据包或数据流在经过一个中间设备时，被中间设备做了更改，我们利用数据包的IP标识、应用层字段、数据流的五元组等特性，将中间设备前后的数据包、数据流对应起来

2、的方法。TIPS:另外一种对比分析法除了我们这里描述的对比分析法外，还有另外一个较为常用的对比分析方式，那就是将异常时的数据交互过程跟正常时的数据交互过程进行对比分析，从而发现异常时数据交互的问题所在对比分析法-原理当一个目的地址不是中间设备的数据包进入一个中间设备时，它必然会被中间设备转发到其某一个出口对比分析法-应用范围1分析设备转发延时对比分析法-应用范围2分析设备是否丢包对比分析法-应用范围3分析中间设备对数据包的更改当一个数据包进入一个中间设备之后，中间设备可能对该数据包做相应的改动后，再将其向外转发出去，很多情况下，

3、这种改动对网络数据交互是没有什么影响的，如路由对数据包的NAT处理，但是有的时候，某些更改就有可能给网络数据交互带来某些难以预料的后果，如将数据包的TCP窗口改小、修改TCP的选项等。我们在分析的过程中，主要关注中间设备对数据包做了哪些更改以及这些更改可能给网络数据交互带来的后果，主要包括数据包源IP地址、目的IP地址、IP标识、源端口、目的端口、数据包窗口大小、TCP选项、数据包有效载荷大小等。对比分析法-应用范围4分析异常时与正常时的差异（基于基线）时间下班期间衡量参数值上班期间正常行为基线异常行为结合各种网络或业务系统的运

4、行基线，我们通过将异常时的网络交互情况与正常时的网络交互基线参数数值进行对比分析，可以帮助我们快速发现业务异常以及可能的原因。另外，还有基于网络行为基线的对比分析方式关联分析法-原理1IP标识关联很多中间设备在处理数据包的过程中，一般不会修改数据包的IP标识字段，那么，我们就可以通过分析进出中间设备数据包的IP标识字段是否一致来判断是否属于同一个数据包关联分析法-原理2五元组关联我们在一个交换或纯路由（无NAT）的环境下做对比分析时，可以利用五元组来快速的将不同位置处抓取的数据流关联起来，因为在交换或纯路由的环境下，数据报头的五

5、元组信息不会被更改关联分析法-原理3应用层关键字段关联由于应用层数据是端系统来处理的，因此绝大多数的中间设备在转发数据包时，仅仅会针对数据包的链路层、网络层和传输层的信息进行更改一般不会对应用层的数据进行修改。我们可以利用这个应用层数据的一些特征进行关联。关联分析法-应用范围对比分析前应用交互的关联多层架构的业务应用中的关联分析案例案例1-国税防火墙FTPbug案例2-地税网上申报业务系统故障案例1-故障环境说明：1、客户端的默认网关是主路由器2、主路由上设置了相应的策略，凡是FTP/HTTP的应用均交由备路由处理3、备路由上会

6、将访问国家局的网段指向国家局路由4、核心与路由间均部署防火墙，防火墙工作在透明模式下5、客户端访问服务器的数据流走向比较复杂，看演示思考：服务器回包的数据流走向是如何的？案例1-故障现象省局到国家局的FTP服务很慢，一般需要40多秒才可以登陆上去，有时根本登陆不上去Ping测试延时很小省局到国家局的HTTP应用正常案例1-前期简单分析Ping延时很小，说明网络层的延时很正常网络环境复杂，数据流走向复杂，数据包来回路径不一致，中间经过2台防火墙，可能存在状态检测的问题HTTP的数据流走向跟FTP的数据流走向应该是一样的，HTTP正

7、常，FTP不正常，说明这个跟TCP的状态检测无关，应该是FTP应用层的问题暂时没什么头绪，只能先从客户端下手，进行抓包分析，看看大体的情况案例1-登陆不上时的数据包分析TCP三次握手建立连接S响应：winsockreadyC输入用户名C用户名第一次重传2.9S的延时S的第一次重传S的第二次重传C用户名第二次重传C用户名第三次重传S的第三次重传C用户名第四次重传S：用户名ok，需密码C输入密码S：超时关闭S“需密码”重传C重传密码5.9S的延时12S的延时23.9S的延时23.9S的延时6S的延时15.8S的延时C对”S第一次重传

8、“的确认C对”S第二次重传“的确认C对”S第三次重传“的确认案例1-登陆成功，但是很慢的数据包分析TCP三次握手建立连接S响应：winsockreadyC输入用户名C用户名第一次重传C用户名第二次重传C对”S第一次重传“的确认C对”S第二次重传“的确认S的第一次