Sniffer Pro帮网管准确的定位网络故障_第1页
Sniffer Pro帮网管准确的定位网络故障_第2页
Sniffer Pro帮网管准确的定位网络故障_第3页
Sniffer Pro帮网管准确的定位网络故障_第4页
Sniffer Pro帮网管准确的定位网络故障_第5页
已阅读5页,还剩1页未读 继续免费阅读

下载本文档

版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领

文档简介

1、SnifferPro帮网管准确的定位网络故障发布时间:2007.06.1204:56来源:赛迪网-中国计算机报作者:李利军当一个网络出现故障时,需要由网络管理员查找故障原因并及时修复。但局域网一般都由几十台到几百台计算机,以及多台服务器、交换机、路由器等设备组成,一旦出现故障,管理员需要全面检查这些设备是否正常运行、各个端口的连接是否正常,检查故障是否是黑客或木马所为,工作量十分巨大,同时排除故障也非常麻烦。但是有了SnifferPro之后,就可以很容易地定位出网络的故障所在。下面是几个SnifferPro分析应用实例,整理出来和大家一起分享。外部主机恶意扫描内网故障现象使用SnifferPr

2、o在代理服务器VLAN监控网络传输状况时,发现有一个IP地址的并发连接数量非常多,如图1所示。由于局域网的IP地址范围为211.82.216.0211.82.223.0,所以显然该IP地址是来自外网的IP地址。图1外部主机恶意扫描故障分析由于网络采用MicrosoftISA群集作为代理服务器,实现Internet连接共享,因此,没有更多的对抗恶意扫描的措施,这时最好采用防火墙来保证整个网络的安全。故障解决如果不采用布置防火墙的方式,而是修改核心交换机上创建的、应用于代理服务器VLAN的IP访问列表的方式,则需要在该IP访问列表中的“permitipanyany”之前添加相应的规则,从而禁止任何

3、计算机访问该主机,并禁止该主机访问任何计算机。PPLive软件导致网速变慢故障现象最近一段时间,局域网内用户反应Internet连接速度变慢。据观察,Internet接入速度在下午4:00左右开始下降,在晚上8:00的上网高峰时,甚至只能使用QQ聊天,而无法打开Web网页。故障分析开始使用SnifferPro监控代理服务器VLAN的Internet连接情况。当Internet连接正常时,传输地图应大致如图2所示。图2网络连接正常然而,在Internet的接入速度忽然变慢后,再查看传输地图时,发现某些计算机的并发连接数量非常多,如图3所示。图3个别计算机有大量连接将并发连接数量过多的计算机突出显

4、示时,发现这些计算机竟然同时有几百个连接,如图4所示。图4突出显示故障计算机通常情况下,正常的用户连接地图应当如图5所示,只有几个至几十个连接,而且这些连接并不会同时并发访问。图5正常用户连接状态通过查询相关文档中的IP地址分配列表,可知这些计算机只是一些的普通计算机,并没有提供任何网络服务。因此,如此众多的并发连接,显然是安装并使用了某个P2P软件,或者是遭遇了网络攻击。根据故障计算机的IP地址找到这些计算机后,在检查这些计算机时,果然发现安装有PPLive软件正在在线使用,且修改了应用程序的默认端口。然而,应用于交换机的IP访问列表没有能够阻止这些连接。故障解决鉴于PPLive软件可以由用

5、户任意指定端口号的情况,IP访问列表中只限制默认端口的方式已不再有效。因此,必须改变IP访问列表的设计策略。于是,我们将只拒绝特定端口的方式,改变为只允许特定端口的方式,从而基本杜绝了PPLive软件的大量使用。P2P软件谋杀网络连接共享故障现象某局域网内有1200个计算机用户,采用两台ISAServer群集实现Internet连接共享。服务器硬件配置均为IntelXeon3.0CPU、GB内存、CSI72GB硬盘。然而,最近几天Internet接入速度变得非常缓慢,浏览普通网页都要等待很长一段时间,甚至还经常提示超时连接。故障分析查看ISA报告后发现,许多用户的上下行流量都很大。仅流量排名前

6、15位的用户,每天的总流量就高达38.22GB,其中,输入流量32.41GB,输出流量5.81GB。而前3位用户的总输入流量为3.05GB,总输出流量为2.85GB。由于代理服务器只为普通网络客户端提供Internet接入服务,因此,网络流量不应该如此之大,这说明在局域网中极可能有大量用户在使用P2P软件。使用SnifferPro监控代理服务器VLAN时,也发现大量用户的并发连接数量很大,如图6所示。故障解决在核心交换机上设置IP访问列表,将其应用于代理服务器群集所在的VLAN,并禁用一些蠕虫病毒的端口和常见P2P软件的端口,IP访问列表内容如表1所示。表1开始的一段时间,Internet的访

7、问速度明显地得到了提升。然而,过了一周左右时间后,Internet连接速率又慢慢降了下来。使用SnifferPro监测时,又发现了大量的并发连接。原来许多P2P用户修改了默认的TCP端口,因此,原来的IP访问列表已经不起什么作用了,需要重新修改IP访问列表。于是,这次只开放一些常见的和必需的Internet端口,而禁用其他所有端口,修改后的IP访问列表内容如表2所示。表2此后,Internet连接就一直保持正常了。交换机CPU占用率高达99%故障现象网络访问和Internet连接速率明显变慢,计算机的反应也较为迟缓。故障分析登录到核心交换机CiscoCatalyst4006,使用“1showp

8、rocessescpu”命令查看CPU资源,从系统输出的信息可以看到(如图7所示),CPU在5秒、1分钟、5分钟内的占用率高达99%、99%和98%。其中,Cat4kMgmtLoPri进程的CPU占用率分别为82.63%、82.25%和80.68%。这里,我们先简要说明一下Cat4kMgmtHiPri和Cat4kMgmtLoPri两个进程的原理。当某个进程占用CPU时间没有超过规定的CPU分配时间时,Cat4kMgmtHiPri进程便会接管这个进程;而当Cat4k平台上某项进程占用CPU超出了应分配的CPU时间时,Cat4kMgmtLoPri进程会接管这项进程,使其他进程能够得到CPU时间。图7CPU占用率高达99%从故障的现状可以看出,Cat4kMgmtLoPri进程的CPU占用率超过了80%。因此基本可以断定是某个进程的CPU占用时间大大超过了应该分配的时间,Cat4kMgmtLoPri进程试图接管这一进程,从而导致了Cat4kMgmtLoPri进程的CPU占用率非常高。依据这一思路,只要找到该进程将其关闭,就能够找出CPU占用率过高的原因并解决这个问题。故障解决使用SnifferPro查看网络通信情况,我们发现许多计算机同时与网络内部的多台计算机通信(如图8所

温馨提示

  • 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

评论

0/150

提交评论