Linux网络流量的安全管理方法(1)(2)

4、安装Wireshark

Wireshark可以在http://www.wireshark.org/download.html上下载，该软件有极其方便和友好的图形用户界面，并且能够使得用户通过图形界面的配置和选择，针对多块网卡、多个协议进行显示，效果非常好。目前最新版本为：Wireshark 1.0.3。安装该软件请按照如下步骤进行：

//将下载的最新版本软件拷贝到临时文件夹   
# cp wireshark-1.0.3.tar.gz /usr/local/src/  
//切换到临时文件夹目录  
# cd /usr/local/src/  
//解压缩文件  
# tar -xvf wireshark-1.0.3.tar.gz  
   

另外，同Tcpdump一样，在编译Ethereal之前应先确定已经安装pcap库libpcap），这是编译Wireshark时所必需的。如果该库已经安装，就可以执行下面的命令来编译并安装Wireshark：

# cd wireshark-1.0.3   
# ./configure  
# make  
# make install  

当编译并安装好Wireshark后，就可以执行“wireshark”命令来启动Wireshark。

5、使用Wireshark

1）捕包选项

抓包是进行协议分析的第一步骤，在Wireshark中，有几个抓包的相关选项需要尤其注意如图1和2所示）：

◆Interface：指定在哪个接口网卡）上抓包。一般情况下都是单网卡，所以使用缺省的就可以了Limit each packet: 限制每个包的大小，缺省情况不限制。

◆Capture packets in promiscuous mode：确定是否打开混杂模式。如果打开，抓取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。

◆Filter：过滤器。只抓取满足过滤规则的包。

◆File：如果需要将抓到的包写到文件中，在这里输入文件名称。use ring buffer：是否使用循环缓冲。缺省情况下不使用，即一直抓包。值得注意的是：循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。其他的项选择缺省的就可以了。

图1  Wireshark的捕包界面

图2  Wireshark捕包选项设置示意图

2）协议过滤Filter）选项

由于网络中的协议五花八门，Http、Ftp、ARP、ICMP等协议等都在抓包的范围之列，因而给协议分析工作带来了一些麻烦。为了对特定的协议进行分析统计，则可以使用Ehereal提供的Filter选项来对数据报文进行过滤，对特定的协议进行提取，再进行分析。图3a）给出了使用Capture菜单下的Capture Filter选项进行过滤设置的示意，该软件已经提供了许多协议的Filter供用户选择使用，而用户也可以自行添加；图3b）则显示了通过在工具栏的Filter编辑框内输入协议名称对已捕捉的包进行过滤的结果，图中显示了过滤后所得Http协议的数据包情况。用户也可以通过输入Ftp、ARP或者TCP等字段来获取相应的协议内容。

图3  协议过滤选项示意图

注意：图3a）和3b）所示的设置方法的不同在于：前者设置后该工具只对选取的协议进行捕包；而后者则是在所有捕获的数据包中包括各种协议）选择用户设定的协议进行提取和显示。

3）统计选项statistics）

统计选项用于对过滤后的各协议类型进行统计，从而从宏观上对网络中的流量进行统计分析和全局把握。图4给出了操作的流程和显示结果。

 

图4  统计选项示意图

1. 关于linux 性能监控的详细介绍
2. linux 网络监控系统的开发及其应用
3. 分享Linux流量监控的几个方法
4. 系统监控：linux 系统监控命令详解
5. Linux内存监控过程详解