在Windows中用Netmon分析网络连接状况

来源：TT 作者：Rahul Shah 出处：巧巧读书 2007-03-28 进入讨论组

Netmon既能被认为是一种网络故障修复工具，又是一种信息包分析工具。然而，Windows Server 2003中带的Netmon版本只允许从本地服务器中进行帧捕捉发送。全版本的Netmon提供企业级网络监控，允许网络传输被监控或者分析网络中任意一台计算机。这个版本能够在微软系统管理服务器(SMS)中找到。

安装Netmon：

打开控制面板。

点击添加/删除程序。

点击添加/删除Windows组件来打开Windows组件向导。

选择管理和监控工具，点击详细资料。

点击网络监控工具，然后点击OK。

点击下一步，如果提示添加文件，请插入系统安装光盘。

在安装结束时，点击完成。

现在转到管理工具，并选择打开网络监控。一旦Netmon被装载，你就能够捕捉到在安装了此套件的计算机上的网络适配器上发送或保留的所有的帧。然后在更进一步的分析中，这些捕捉到的信息帧能够被保存或查看。

Netmon提供几种类型的信息。这些捕获信息在窗口显示分成系统表、网络和被捕获信息表、位置表。

Netmon控制台

在打开的Netmon控制台上，你将能在Netmon显示当前网络状态的水平条状图左上边看到。

当一个捕获开始后，所有的网络活动都会被侦测到，并显示在位于右上方的显示总表中。

在左下方的消息块中显示两个节点之间建立的消息。

在窗口底部中的位置表显示的是在基于每一个节点上有关帧发送与接受的状态。这个窗口显示的内容能够帮你确定网络中最大的传送者。实现功能你需要做如下设置：右键点击“广播发送”项，然后点击“类别”按钮，选择“捕获帧”。

在你开始进行捕获帧之前，从捕获菜单中选择一个网络适配器(一般情况下，系统的主适配器已经被监控了)。然后从捕获菜单中选择缓冲设置，下一步，点击开始捕获按钮。

另一个操作是使用F10键。捕获进程将会一直执行到帧数填满内存，这样的话，需要只捕获那些需要的帧。这将会影响实施监控的服务器的性能，并降低Netmon的效率。

F10键能够方便的从捕获菜单中去选择停止，暂停或者显示捕获的数据，你也可以通过点击停止和查看来停止或者查看捕获。通过选择文件->保存为，并为要保存的捕获帧制定一个路径和文件名，这一系列的操作为接下来的分析提供了所需的捕获帧文件。

设置一个捕获触发器的步骤是：选择捕获，打开触发器属性页面。在捕获触发器属性页面，当在一个帧中出现了一个特殊的十六进制或者ASCII字符串时，选择匹配模式，来发起一个触发器。在模式文本框中，输入一个字符串和指定的ASCII或者十六进制。只要有一个触发器，将可能会变成活动的。这样的话，需要选择服务器嘟嘟声的音频信号，选择停止捕获来停止捕获操作，或者检查执行命令行，并且是指定命令行或者一个触发器触发时的运行程序。

捕获触发器属性页面

为了发起一个基于缓冲大小的触发器，选择“缓冲空间”，并选择百分比。只要有一个触发器，都有可能变成活动的。当要在帧中的制定模式被探测到时，触发触发器，需要选择缓冲空间，然后设置匹配模式并且指定模式需要的百分比。

使用捕获过滤器

过滤器能够帮助减少需要被分析的数据量。一个过滤器能够基于地址，协议和帧数据模式来被指定。安装一个过滤器需要选择文件->捕获，然后找到过滤器。

为了捕获基于指定帧数据模式的数据，双击位于捕获过滤器结果树中的“AND(匹配模式)”行，然后指定与被捕获帧匹配的十六进制或者ASCII数据模式。

为指定基于address pairs的捕获过滤器，双击结果树中的address pairs行，或者双击address pairs进行编辑。在地址表达式对话框中，指定address pair属性，然后点击OK。

被捕获的数据能够通过选择的文件à捕获à显示捕获的数据，被显示出来。你将会看到一个摘要页。被捕获的数据能够显示帧，持续时间，发送方MAC地址，接受方MAC地址，协议，等数据内容。

除了Netmon，Windows Server 2003安装工具包中的EventCombMT和Checkrepl.vbs这样的组件也具有帮助用户分析诊断与网络相关的功能。

URL查看 http://www.qqread.com/network/server/e305052.html