#

1、什么是網絡分析系統？

   網絡分析系統是一個專為數據包解碼和網絡診斷而設計的功能強大但使用十分簡單的網絡分析軟件和網絡維護工具。借助本系統的實時采集和數據分析功能，您可以捕捉、解碼、分析網絡中傳輸的數據。

2、我能用網絡分析系統做什么？

  【網絡管理人員】– 查找網絡故障，查找感染病毒的機器，統計網絡流量，分析網絡協議，查找發現網絡中潛在的安全漏洞…
  【公司主管】– 查看公司內部的網頁訪問，檢測郵件是否安全，檢測服務器的非法登錄…
  【安全管理人員】– 透視網絡傳輸的具體內容，分析網絡異常行為，查找網絡潛在安全隱患…
  【咨詢顧問】– 網絡分析，幫助客戶解決網絡故障，優化網絡性能…
  【網絡應用開發者】– 調試您的網絡應用程序，優化性能，測試發送和接收的內容，檢查協議…

3、網絡分析系統能找出局域網內感染蠕蟲病毒的機器嗎？

   可以。蠕蟲病毒分為基于郵件的蠕蟲病毒和基于操作系統漏洞的蠕蟲病毒兩種，基于郵件的蠕蟲病 毒工作特征主要表現在發送郵件頻率高、郵件標題內容相近、郵件附件相同；基于操作系統漏洞的蠕蟲病毒工作特征是嘗試與局域網內所有主機建立連接、連接的端 口都一致且連接之間相隔時間短，流量占用較大。網絡分析系統的郵件日志可以對網絡內的郵件收發進行捕獲分析并重組，用戶根據郵件日志信息，結合郵件蠕 蟲病毒的工作特征，即可找出局域網內感染郵件蠕蟲病毒的機器；通過數據包視圖和會話視圖，則可以輕松找出感染系統漏洞蠕蟲病毒的機器。

4、如何查看我們網絡的帶寬占用情況？

  帶寬占用分內部帶寬占用和外部帶寬占用兩種。
  要查看內部帶寬占用，請在節點瀏覽器中選擇IP端點->本地網段，然后在右邊的概要統計視圖中查看利用率。
  要查看外部帶寬占用，請在節點瀏覽器中選擇IP端點->Internet Addresses，然后在在右邊的概要統計視圖中查看利用率。
  注意：由于內部帶寬和外部帶寬大多時候不一致，而網絡分析系統計算利用率的時候，默認以當前網卡的速率為基準，所以在計算不同的帶寬時，用戶需要檢查甚至調整帶寬，若要調整，可在網絡適配器對話框完成。

5、我們的網絡使用DHCP自動分配IP，我不知道哪個IP對應的是哪個機器，當出現故障時，我如何定位是哪臺機器呢？

  盡管IP不斷變動，但每一臺機器的MAC卻是相對固定的。你可以首先使用網絡分析系統提 供的物理地址掃描器，找出網絡中每個主機對應的IP地址，MAC地址和主機名（用戶名稱），當出現故障時，使用網絡分析系統捕獲數據包，再查看MAC 地址和主機名，也就定位了故障機器以及相關人員。

6、使用網絡分析系統時，為什么有的顯示主機名，而有的卻顯示IP地址？

   網絡分析系統默認是啟用了解析主機名的功能，即系統會自動將捕獲到的IP地址解析為其對應的主機名。
   注意在以下的情況下，主機名將不會被成功解析，這時系統由于沒有成功解析出IP地址對應的主機名，就將顯示為IP地址。
   目標主機關閉NetBIOS協議，不允許解析
   防火墻禁止解析主機名

7、我們通過Web界面管理防火墻時，需要在URL后面加10081的端口，但這時我在HTTP日志里沒有看到訪問的信息，怎么回事？

   默認情況下網絡分析系統分析的HTTP訪問，都是基于80端口的。要分析基于其它端口（如這里的10081）的網頁訪問，你可以在常規對話框中，選中自定義端口，單擊右邊的按鈕，在彈出的對話框中，在HTTP右側的輸入框中加入10081即可。

8、我們的網絡最近經常出現IP沖突，網絡分析系統能幫我解決這個問題嗎？

   可以，當網絡中存在IP地址沖突時，網絡分析系統會自動給出診斷的詳細信息，信息中包括沖突的MAC地址，根據這個MAC地址，我們就知道了其對應的主機，從而找出引起IP沖突的源主機，從而解決IP沖突故障。

9、在網絡分析系統中，可以看到網絡中的BT下載情況嗎？

   是的，網絡分析系統支持BT協議，如果網絡中存在BT下載的情況，系統會自動顯示出BT使用的詳細情況，如源主機，目標主機，具體時間等等,同時你也可以通過矩陣視圖來查看，使用BT的主機會與大量的外網地址建立連接，矩陣圖呈發散狀。

10、我想將網絡的分析結果做一個報告給領導，系統可以自動生成嗎？

   可以。網絡分析系統報表視圖，可以自動將整個網絡，一個網段，一臺主機，一個協議的分析結果生成報表，需要時，你可以將報表導出為html文件。報表中包括二維數據包以及三維圖表信息，并允許用戶修改。

11、我們公司服務器被攻擊了，我想通過網絡分析系統找到攻擊源，可以嗎？

   可以。網絡分析系統會全程記錄下你的服務器的訪問數據包，其中攻擊數據包也包括在里面，通過查找攻擊數據包的源地址，我們也就找到了攻擊源。

12、我們公司有多個部門，每個部門都劃分到了不同的VLAN，我可以分析所有部門的通訊嗎？如果只想看某個部門的通訊，應該怎么看？

   是的，網絡分析系統可以跨VLAN進行數據捕獲分析，即可以捕獲分析貴公司所有部門的數據通訊。
   如果你只需要查看某個部門的通訊，你可以設定一個地址過濾器，只捕獲相應部門地址段的數據，這樣網絡分析系統就只會捕獲符合你設定條件，即你設定部門的數據通訊。

13、矩陣中出現了太多信息，簡直看不清楚，我可以只查看部份節點嗎？

   可以。矩陣視圖中提供了顯示過濾的功能， 默認情況下，可以顯示全部數據，也可以只顯示流量最大的100個節點或100個會話，同時，系統還提供了自定義顯示條件的功能，你可以根據自己的需要定義相應的顯示過濾條件，以顯示對應的數據。
   另外，矩陣視圖還提供物理矩陣和IP矩陣兩種矩陣類型，以及單播，多播，廣播三種流量類型的矩陣信息。

14、診斷視圖中,出現很多TCP校驗和錯誤或IP校驗和錯誤的診斷信息，請問這是什么原因？

   如果所有本地數據包的TCP校驗和或者IP校驗和均顯示為錯誤，原因很可能是你的網卡啟用了不計算校驗的功能。
   當啟用該功能時,網卡去執行計算CRC的過程，Windows的TCP/IP協議棧不會計算TCP校驗和，并以0x0000標識，而網絡分析系統在驅 動層捕捉數據包，在每一個數據包到達網絡適配器之前收集它們的副本，所以會出現大量TCP校驗和錯誤或者IP校驗和錯誤的診斷信息。
   解決辦法：在網絡適配器的高級設置對話框中禁用“卸掉TCP校驗和”項和“卸掉IP校驗和”選項。

15、過濾器的工作原理是什么，如何有效使用過濾器？

   過濾器（數據包過濾器）是網絡分析系統進行數據采集時的重要工具之一，其工作原理是根據設定的過濾條件，讓系統只捕獲符合條件的數據包。
   過濾器的使用非常簡單，你既可以在過濾器對話框中，選擇系統的默認過濾器，也可以按照自己的需要新建一個新過濾器。

16、網絡分析系統可以檢測出網絡中的流量占用嗎？

   網絡分析系統可以非常詳細地統計整個網絡、一個網段、一個MAC地址、一個IP地址以及一個協議的流量信息，包括總流量，每秒流量，平均流量等，并將這些信息輸出端點視圖和協議視圖中。

17、網絡分析系統可以找到內部局域網訪問慢的原因嗎？

   可以。通過對局域中數據通訊的原始數據包進行捕獲分析，可以分析出是造成局域網慢的具體原因，比如網絡環路，廣播組播風暴，病毒攻擊，服務器響應慢，客戶端響應慢，應用程序響應慢，以及其它一些配置錯誤。從而我們也就找到了局域網訪問慢的真正原因。

18、為什么我在網頁中發送的郵件沒有在郵件日志中顯示出來？

   網絡分析系統的郵件分析功能，支持的協議是SMTP和POP3，而基于網頁的郵件發送，使用的是HTTP協議，并使用表單方式進行的提交，所以它不會自動在郵件日志中顯示。

19、郵件日志中列出了捕獲到的郵件信息，但我雙擊日志條目想查看郵件的原始信息時，卻沒辦法實現，為什么？

   網絡分析系統默認情況下并沒有保存郵件的復本信息，在這種情況下，你將不能直接查看到郵件的原始信息。要啟用該功能，你需要在日志對話框中，選中郵件信息，同時勾選中保存郵件選框，并在右側選擇保存的路徑。

20、網絡分析系統可以找到網頁訪問慢的原因嗎？

   可以。訪問網頁慢的原因有以下幾點：客戶端到Web服務器的路由慢，Web服務器自身速度慢，Web服務器系統腳本（網頁腳本）處理慢。網絡分析系統可以對上述每個階段所用的時間進行詳細地記錄，從而讓我們輕松地找出上網慢的具體原因。

21、我們公司的網站使用https訪問，可以分析出服務器的訪問信息嗎？

   不可以。 https是加密傳輸的，網絡分析系統甚至所有的協議分析軟件都只能捕獲到https的通訊數據包，但不能分析并重組出它具體的訪問信息。

22、為什么我只能看到我自己機器上的網頁訪問信息，而網絡中其它人的我都看不見？

   可能是你的安裝部署位置不當造成的。網絡分析系統以旁路接入方式工作，如果你的網絡是交 換式網絡，那么你需要在交換機上配置鏡像操作，并將安裝網絡分析系統的機器連接到交換機的鏡像端口上。如果沒有接到鏡像端口，那么你只能看到本機的數 據通訊以及網絡中的廣播組播數據包，而網頁訪問，是TCP通訊，所以你只看到了你本機的網頁訪問信息。

23、網絡分析系統捕獲到了很多數據包，但我只想看其中某個協議的數據通訊，應該怎么辦？

   在節點瀏覽器中，選擇 某個協議，這時右邊主視圖區的所有信息都只是當前選中協議對應的信息。

24、診斷中出現HTTP響應太慢、FTP響應太慢、SMTP響應太慢、POP3響應太慢的診斷事件，這些是什么問題，嚴重嗎？

   表示你的網絡中的應用程序響應太慢，只是速度相對較慢，問題應該不會太嚴重。
   網絡分析系統的診斷設置中，有一個默認的閾值，你在分析你網絡的實際情況后，如果有必要，可以對這些默認的值進行修改，以找到最適合你網絡的閾值。更改的方法是：打開診斷設置，選擇相應的診斷條目，在右邊閾值更改中修改即可，注意閾值的單位是ms。

25、捕獲數據包時，發現有些網卡下面有多個IP地址，為什么會這樣，是否正常？

   一般情況下，一個網卡下面有多個IP的情況以下幾種：
   正常情況下，一個網卡配置多個IP。
   網關，在數據通訊時，每一個三層設備都會將數據包的源地址改成自己的，并發給下一個設備，所以一個網關對應多個IP是正常的。
   ARP攻擊，在做ARP攻擊的時候，一般會有一個中間人的主機，這臺主機的由于需要同時欺騙客戶端和網關，所以它會對應多個IP主機。
   所以出現一個網卡對應多個IP時，我們需要對其進行分析，如果它屬于第1和第2種，則是正常的;但如果是屬于第3種，則表示網絡中存在攻擊，且當前的這個網卡所對應的主機就是攻擊源，應立即對其進行徹底排查。

26、協議視圖中看到某個協議，但雙擊該協議，在打開的窗口中卻沒有找到該協議對應的數據包，怎么回事？

   可能是你的捕獲的數據包的流量遠遠大于你設置的緩存，而網絡分析系統默認情況下使用循環緩存的方式存儲數據包，對于你選定的協議，它的數據包已經被沖掉，所以在你打開時，沒有顯示出該協議對應的數據包。

27、在網絡分析系統中，我查看MAC地址時，卻看到了網卡的廠商，但我想直接看到原始的MAC地址，怎么辦？

   網絡分析系統默認顯示的是網卡的廠商，如果你需要查看真實的MAC地址，請單擊”查看->顯示網卡廠商”，這時你就可以看到原始的MAC地址了。

28、什么是網絡協議分析？

   網絡協議是基于某一種網絡應用的通信規范，網絡之間要成功的建立通信，大家都要遵守一種通訊語言，這就是網絡協議。打個比方就是，普通話就是一種通信規范，如果大家都不學習普通話，說自己的地方語言，那我們人與人之間的交流就會聽不懂對方說什么。網絡協議就是雙方能建立正常通信的前提。當然真實的情況并沒有這么簡單，網絡協議是網絡上所有設備（網絡服務器、計算機及交換機、路由器、防火墻等）之間通信規則的集合，它規定了通信時信息必須采用的格式和這些格式的意義。大多數網絡都采用分層的體系結構，每一層都建立在它的下層之上，向它的上一層提供一定的服務，而把如何實現這一服務的細節對上一層加以屏蔽。一臺設備上的第 n層與另一臺設備上的第n層進行通信的規則就是第n層協議。在網絡的各層中存在著許多協議，接收方和發送方同層的協議必須一致，否則一方將無法識別另一方發出的信息。

29、為什么要分析網絡協議？

   從早起的撥號上網，社交軟件，企業管理軟件，到現在的網絡大數據，硬件虛擬化, 云服務，網絡的高速發展是早些年無法想象的。隨著網絡應用越來越多，網絡故障排查和網絡業務性能管理成為網絡管理者花費時間最多的部分，怎么才能快速的定位網絡故障，究竟是網絡硬件設備的問題，還是網絡應用程序的問題呢？

   這就需要網路協議分析技術，光是知道網絡里存在那些協議只能看到表面現象，并不能知道真實的通訊內容是什么，無法判斷是在哪個環節出現了問題。網絡協議分析能夠清楚的網絡通訊的語言，通過網絡分析系統對數據包進行解碼，可以直觀的了解到網絡通訊的內容，判斷內部網絡慢，上網經常卡等等情況的根本原因。因為網絡通訊中出現的這些現象可能是網絡設備硬件的問題，也可能是網絡業務部門新增了某一個應用造成的，甚至是內網主機遭到了攻擊等等問題。要判斷和快速定位網絡故障已經不能憑借個人經驗了，必須要具備網絡協議分析這個基礎能力，才能幫助我們的工作變得高效。