Svenska

Hur man Fångar och Inspektera nätverkspaket i Windows Server

Apr 5, 2020

220

Även felsökning knepigt anslutning eller problem, det kan vara mycket bra för att se vad som överförs över nätverket. Microsoft ursprungligen erbjöd Microsoft Network Monitor som efterträddes av Microsoft Message Analyzer. Tyvärr, Microsoft har slutat Microsoft Message Analyzer och tog bort sina länkar. För närvarande, endast äldre Microsoft Network Monitor är tillgängliga.

Naturligtvis kan du använda en tredje part verktyg för att utföra nät fångar, såsom WireShark. Även om vissa verktyg från tredje part kan erbjuda en bättre upplevelse Microsoft Network Monitor fortfarande håller ställningarna. I denna artikel kommer vi att se hur man fångar och inspektera paket med hjälp av den senaste tillgängliga versionen av Microsoft Network Monitor, en av de mest populära verktyg som finns där ute.

Även om jag kunde ha använt WireShark, har jag funnit att gränssnitt och användbarhet av Microsoft Network Monitor out of the box, är mycket enklare att använda. Mycket av det samma kan ske i WireShark, men du kanske måste göra mycket mer för konfiguration i gränssnittet.

Fånga Paket Med Microsoft Network Monitor

Först måste vi installera Microsoft Network Monitor, kan du hitta det här kan du ladda ner och sedan vidare för att installera det. När du har Microsoft Network Monitor är installerad, gå vidare och starta programmet. En gång startade, du kommer att klicka på Capture.

Härnäst kommer du vill starta övervakningen genom att klicka på Start-knappen. Detta kommer omedelbart att börja fånga den och du kommer att se samtal börjar visa sig på den vänstra sidan.

Om du tycker att du får ett felmeddelande som säger ” inga adaptrar är bundna, så ska du köra Microsoft Network Monitor som Administratör. Dessutom, om du har bara installerat, du kan behöva starta om datorn.

En av de stora fördelarna med att använda Microsoft Network Monitor är att det grupper ditt nätverk konversationer väldigt lätt på vänster sida. Detta gör man tittar på specifika processer som är mycket lättare att hitta och sedan dyka in.

Utöka någon av plus kommer att visa dig den specifika uppsättning av “samtal” som network monitor kan ha fångat och grupperas under en process.

Filtrera Trafik

Du kommer snabbt att upptäcka att med all denna data som kommer in, kommer du behöver för att enkelt filtrera bort bruset. Ett exempel på användning av ett filter, är DnsAllNameQuery, enligt DNS Standard Filter. Genom att lägga till den här raden för att visa filter avsnitt och klicka på Verkställ, kommer du kunna för att bara visa de paket som är DNS-frågor, såsom nedan.

Byggnaden Filter

Skapa filter eller ändra de inbyggda filter, är mycket enkelt. Inom Display Filter området, finns det flera sätt att konstruera filter. Genom att ange programmets Namn och efter att av en . (period), och du kommer att se en auto-complete möjliga området värden att jämföra. Med hjälp av standarden jämförelse operatören == vi kan se om vissa värden är lika. Vi kan även skapa flera uttryck med hjälp av logiska operatorer som och och eller. Ett exempel på hur detta ser ut som nedan.

DNS.QuestionCount OCH
DNS.Uppteckningen.TimeToLive == 14

Det finns ett par metoder som finns tillgängliga som innehåller() och UINT8(). Du kan se med hjälp av den innehåller metoden nedan för att filtrera ut bara DNS-poster som innehåller [google.com](http://google.com) och en TimeToLive av 14.

DNS.QuestionCount OCH
DNS.Uppteckningen.TimeToLive == 14 OCH
DNS.QRecord.QuestionName.innehåller(“google.com”)

Som du kanske kunna säga, det finns ett antal sätt att kombinera filter för att göra dem användbara och bekväma att använda. Detta är ett bra sätt att endast returnerar de data som du är intresserad av, särskilt eftersom packet capture kan bli ganska stor. I nästa avsnitt tar vi en titt på några användbara exempel.

Exempel Filter

Några praktiska exempel, utöver vad som standard inbyggd i dem, gå en lång väg mot att hjälpa dig att förstå hur man får bara användbara data som du behöver.

Filtrering av portnummer

Även om det är möjligt att använda HTTP-protokollet för att filtrera genom att använda följande metod kan du konto för egna hamnar, såsom 8080 eller 8443, vilket är särskilt användbart vid felsökning.

// Filter av TCP-portnumret
tcp.port == 80 ELLER Payloadheader.LowerProtocol.port == 80
tcp.port == 443 ELLER Payloadheader.LowerProtocol.port == 443

TCP ramar som har varit splittrad ihop och infogas i en ny ram i spår som innehåller en särskild rubrik som heter, Payloadheader. Genom att titta på både och, kan vi se till att vi får alla uppgifter vi söker här.

Hitta SSL-Förhandlingen Ramar

Även felsökning, kan du behöva för att förstå vad som SSL-anslutningar är försök att förhandla om. Även om du kanske inte kunna dekryptera trafik, kommer detta att hjälpa till att hitta vad servrar anslutningen försöker att använda.

// Filter av SSL-Handskakning
TLS.TlsRecLayer.TlsRecordLayer.SSLHandshake.Handskakning.HandShakeType == 0x1

Hitta TCP Skickar och SYN Återsänder

För att felsöka fil att ladda upp och ladda ner problem, kan du söka för att se om många vidaresändning sker som kan påverka prestanda.

Fastigheten.TCPRetransmit == 1 || Fastighet.TCPSynRetransmit == 1

Se till att du har konversationer vände på filtret beror på att funktionalitet.

Att läsa Bilder och Hex Data

Som standard fönstret layouten har två nedre rutorna dedikerad till Ram för Information och Hex Detaljer. Inom Ramen Detaljer är varje paket delas upp i sina beståndsdelar. På den motsatta sidan är Hex Detaljer som är raw-byte och avkodning. När du väljer en annan sektion inom Ramen detaljer, samma avsnitt i Hex-kod kommer att markeras som bra.

Slutsats

Utför nätverk spår är mycket enkelt med den senaste versionen av Windows. Men Microsoft har valt att avbryta eller välja bort sitt skapats internt verktyg, vissa som fortfarande frodas. Det finns gott om andra, som WireShark, men Microsoft Network Monitor fortfarande gör det ganska lätt att tolka och förstå paketet information som samlas in.