Сетевой монитор SMS 1.2 включает несколько мастеров, которые помогут найти некоторые важные данные. Это отчеты (они не являются в действительности мастерами) верхнего пользователя и распределения протокола. Другие функции мастеров — поиск всех маршрутизаторов в файле перехвата и поиск всех имен в файле захвата, а также они могут разрешать адреса по именам. Недостаток этих отчетов в том, что не существует способа сохранить информацию помимо печати экрана (print screen) для перехвата отчета с экрана. Это существенный недостаток, так как часто полезно распечатать данные, в частности, отчет верхнего пользователя. Рассмотрим отчет верхнего пользователя.
Отчет верхнего пользователя активируется в режиме вывода (когда выводятся перехваченные данные в противоположность просмотру статистики сеанса). Отчет выбирается из меню Tools и имеет возможность показать, сколько выводить верхних пользователей, и основывается ли список на адресе канала данных или на адресе MAC. Можно также применить текущий фильтр вывода или выбрать игнорирование фильтра вывода и основывать отчет на всем файле перехвата. Как можно видеть на рис., отчет перечисляет имя, адрес, число кадров и процент числа кадров и размера кадра. Эта информация может помочь при планировании и расширении сети, а также при обнаружении нарушений эксплуатации сети.
Отчет о распределении протоколов доступен таким же образом, как и отчет верхних пользователей: из меню Tools в режиме вывода. Возможности этого отчета включают перечисление всех протоколов в кадре, сообщение о последнем протоколе в кадре и сообщение о первом действующем в кадре протоколе. Кроме того, можно выбрать дальнейшее ограничение на отчет, применяя текущий фильтр вывода к отчету. Этот отчет может стать ущественной помощью при попытке выявить аномалии в сети. Однако чтобы эта информация была наиболее полезна, необходимо знать, каким является нормальное распределение для сети. Если, например, сеть обычно имеет очень немного кадров ARP_RARP, но внезапно ими заполняется, есть хорошая исходная точка для поиска. Если же произошел внезапный всплеск пакетов UDP, это будет иметь другое значение. Знание того, что является нормальным для сети, трудно переоценить. Как можно видеть на рис. отчет перечисляет каждый протокол, число кадров и байтов и процент для перехваченных данных.
Поиск сетевых адресов по имени позволяет вводить имя компьютера, а поиск найдет соответствующий адрес МАО Это не очень сложно выполнить в сети TCP/IP, так как можно сделать ping имени хоста и затем получить информацию из кэша ARP с помощью команды ARP -а. Однако он может также использовать SAP, DNS и запрос базы данных SMS, поэтому это может быть более мощное решение. Если происходит обычная проверка адреса MAC, часто быстрее перейти в окно CMD и сделать ping и ARP -а. Как мы видим на рис, когда имя разрешено, будет выведена вся найденная о нем информация. Выбор только тех служб, которые присутствуют в сети, может оптимизировать этот процесс. Кроме того, можно ускорить процесс, делая локальную базу данных ADR первым источником, который будет запрашиваться с помощью кнопок "плюс" и "минус" рядом окном выбора службы.
Триггер проверяет кадры по мере их прохождения. Сетевой монитор собирает данные, чтобы найти кадры, удовлетворяющие некоторым критериям. Если они удовлетворяют заданному условию, то сетевой монитор выполнит некоторые заданные действия. Это весьма мощный инструмент, открывающий почти неограниченные возможности. Очень простой триггер, который не даст потерять данные во время сеанса мониторинга, создается с помощью выбора триггера на пространстве буфера, выбирая 100% для задания пространства буфера и задавая затем действие триггера как остановку перехвата.
Чтобы несколько усовершенствовать этот триггер, напишите простой пакетный файл, который будет выполнять команду net send, уведомляя, что перехват данных остановлен, а затем прикажите триггеру выполнить этот пакетный файл (с расширением .bat), когда перехват данных остановится.
Этот пакетный файл может состоять только из одной строки и выглядеть как файл, представленный ниже. Его можно написать в notepad и затем переименовать файл с расширением .txt в файл с расширением .bat и указать в командной строке его расположение.
Использование триггеров может стать очень сложным, когда вводятся элементы смещения шаблона. Используя смещения шаблона, сетевой монитор может идентифицировать широкое множество событий и выполнить все, что можно выполнить из командной строки — включая другой экземпляр сетевого монитора на другой машине. Использование шестнадцатерич-ной панели для идентификации смещения и шаблона для определения события, которое будет за этим инициироваться, может определить эти смещения шаблона. Это делается таким же способом, который рассматривался ранее в этой главе в разделе о разработке фильтров перехвата.
Если требуется автоматически запускать сетевой монитор либо с помощью пакетного файла с триггером, либо с помощью службы планировщика Windows NT (команда AT), можно использовать следующие ключи командной строки. Каждый из этих ключей изменяет команду netmon. Пример пакетного файла включен в каталог batch на сайте издательства "ЛОРИ". Чтобы облегчить использование Netmon из командной строки, добавьте каталог с исполняемым файлом в путь доступа компьютера, изменяя переменную path системного окружения.
• /autostart — заставляет сетевой монитор запустить перехват данных немедленно после запуска. Пример: netmon /autostart.
• /remote computer - computer является именем удаленного агента, с которым
• желательно соединиться. Пример: Netmon /remote exchange.
• /net number - number определяет соединение с указанным сетевым интерфейсом. Эту информацию получают при помощи команды networks из меню capture. Пример: Netmon /net 2 (запустит Netmon, используя интерфейс сети #2, указанный в диалоговом окне сетей, но не начнется перехват данных, так как не определен ключ /autostart).
• /capturefilter path — определяет фильтр перехвата, который будет использоваться при работе сетевого монитора. Path задает расположение определенного фильтра перехвата.
• /displayfilter path — определяет фильтр вывода, который будет загружаться при запуске сетевого монитора.
• /buffersize number — задает размер буфера в байтах (одномегабайтный буфер перехвата будет определяться как /buffersize 1024000).
• /quickfilter type, address — указывает, что сетевой монитор начнет перехват данных сразу после запуска, и будет фильтровать на указанном адресе.
• /autostop — заставляет сетевой монитор остановить перехват данных, когда буфер заполнится. Пример: Netmon /autostart /buffersize 1024000 /autostop (запускает Netmon и немедленно начинает перехват данных с буфером перехвата в один мегабайт. Когда буфер перехвата заполнится, он остановится).
При запуске Systems Management Server Network Monitor версии 2.0 (V5.00646) можно подумать, что встретился со старым другом. Это полная версия Windows 2000 Network Monitor. Интерфейс практически такой же, и большинство утилит работает так же. Однако некоторые вещи изменились и появились новые свойства.
Новые свойства
Программы-эксперты — шесть экспертов, поставляемых вместе с Network Monitor 2.0, перечислены ниже.
• Эксперт среднего времени ответа сервера вычисляет среднее время, которое требуется серверу для ответа на запрос пользователя данных. Он может использовать SMB, специальные порты TCP или специальные сокеты IPX для получения этих чисел, выраженных в секундах.
• Распределение свойств вычисляет статистики кадров для определенного свойства, найденного в кадрах перехваченных данных. Эти свойства могут быть весьма специальными, такими как прием HTTP.
• Утилита объединения протоколов рекомбинирует данные транзакции которые были посланы по сети в множестве кадров. Этот эксперт может собрать все фрагменты вместе на основе информации, которая содержится в кадрах.
• Эксперт распределения протоколов проверяет перехваченные данные и предоставляет статистики о пакетах почти таким же образом, как мастер распределения протоколов в продукте 1.2.
• Эксперт пересылки TCP находит кадры TCP, которые были переслан на один и тот же компьютер. Это полезно при выявлении проблемнь компьютеров.
• Эксперт верхних пользователей находит верхних отправителей и получателей данных в файле перехвата, проверяя адреса источника и места назначения, содержащиеся в кадрах.
SMS 2.0 Platform Software Development Kit (SDK) позволяет разработать своих собственных экспертов, их можно также купить у независимых поставщиков. Эксперты запускаются из меню tools expert при работе в режиме показа. Как можно видеть на рис., эксперт среднего времени ответа сервера может быстро выделить проблему со временем ответа сети. На рисунке сервер 11.0.0.206 имеет среднее время ответа 2.378751 секунд, в то время как все остальные места назначения имеют времена ответа в долях секунды. Чтобы еще больше ухудшить ситуацию, этот медленный сервер используют десять пользователей. Раньше этот процесс превращался в десяток телефонных вызовов (что затрудняло выявление и исправление проблемы). Но теперь, когда благодаря мониторингу и анализу наши действия носят профилактический характер, можно решить проблему без всяких телефонных звонков. Пользователь только после решения проблемы заметит, что сервер стал видимо работать быстрее.
Эксперт пересылки TCP на рис. сообщает, что на самом деле существует несколько пересылок, но ни одна из них не идет на машину или из машины с длинным временем ответа. Так как это происходит не на коммутируемой магистрали, то пересылки могут быть вызваны сетевой перегрузкой, указывающей на возможную причину некоторых задержек.
Утилита объединения протоколов сообщает нам, что в перехваченных данных не существует фрагментированных пакетов, поэтому эта возможная причина может быть отброшена.
Рассматривая эксперт верхних пользователей, мы видим, что пять из десяти верхних пользователей соединены с сервером 11.0.0.206, и наш эксперт протоколов также говорит, что существует большое число соединений RPC с одной и той же машиной. Мы исследуем этот вопрос и находим, что 11.0.0.206 является более старой машиной, находится на 10-мегабитном сегменте Ethernet и даже не имеет в себе платы PCI Ethernet. Очевидно, что мы обнаружили причину слабой производительности. Пользователи не жаловались на нее раньше, потому что "она всегда медленная" и они "научились с этим жить". Замена старой платы на 100-мегабитную плату PCI решает эту проблему достаточно просто.
Как можно видеть на рис, эксперты записывают свою работу в окне статуса экспертов. Мониторинг этого окна удержит вас от попытки выполнить две программы-эксперта в одно время (что породит сообщение об ошибке). Это важно помнить, так как выполнение эксперта на большом файле перехвата может потребовать много времени на медленной машине, а окно статуса эксперта является единственным местом, которое позволит узнать, что компьютер не заблокирован. В это время можно заметить, что использование центрального процессора доходит до 100%, поэтому не надо выполнять экспертов на производственных серверах, так как это вызовет жалобы сообщества пользователей.
Невозможно соединиться с машиной Windows 95 или 98 и выполнить на ней удаленный сеанс сетевого монитора с помощью Network Monitor 2.0, так как для этого требуется драйвер Network Monitor версии 2, который требует Windows NT 4 с сервисным пакетом 4. Это также препятствует выполнению приложения сетевого монитора на машине Windows 9.x. Раньше можно было установить полную версию сетевого монитора на портативном компьютере Windows 95 или 98 и наслаждаться улучшенными свойствами портативности 9.x, такими как улучшенное управление энергопотреблением и plug-and-play, а также иметь портативный сетевой анализатор. Невозможно установить Network Monitor 2.0 на этой платформе. Однако Windows 2000 Professional прекрасно работает на переносных компьютерах, и можно выполнять Network Monitor 2.0 на этой платформе.
Тем не менее можно без проблем установить обе версии сетевого мони тора на одной машине. При необходимости можно выполнять обе версии на одной машине одновременно.
Невозможно открыть файл .cap, созданный Network Monitor 2.0 на машине Network Monitor 1.2. Если попробовать это сделать, будет получено сообщение об ошибке: "Файл перехваченной информации является недействительным". Так как не существует способа сообщить, в каком формате записан файл .cap, лучше создать отдельные каталоги, чтобы избежать путаницы при выполнении в сети обеих версий.
Несколько передач перехвата недопустимы в Network Monitor 2.0. Это несколько неудобно с точки зрения тестирования, однако в реальной жизни требуется редко. При переходе к утилитам перехвата передачи единственными вариантами являются передача всех кадров, передача выбранных кадров или применение текущего фильтра изображения. Это еще одна причина для сохранения утилит версии 1.2 — по крайней мере в лабораторной среде.
