綜合實(shí)驗(yàn)設(shè)計(jì)指導(dǎo)書(shū)

20014010-31韓文君網(wǎng)絡(luò)流量監(jiān)測(cè)及分析1、觀察網(wǎng)絡(luò)中出現(xiàn)的各種數(shù)據(jù)包的結(jié)構(gòu)，封裝格式，掌握數(shù)據(jù)包的分析方法。通過(guò)分析數(shù)據(jù)包格式，結(jié)合網(wǎng)絡(luò)課程所學(xué)知識(shí)，達(dá)到驗(yàn)證所學(xué)，學(xué)以致用的目的。2、了解流量監(jiān)測(cè)的基本方法和采樣統(tǒng)計(jì)分析過(guò)程；掌握流量監(jiān)測(cè)中的采樣方法，包括選擇監(jiān)測(cè)采樣技術(shù)，如何設(shè)置采樣點(diǎn)，選擇采樣時(shí)間以及采樣數(shù)據(jù)存儲(chǔ)區(qū)大小的設(shè)定等3、分析監(jiān)測(cè)到的網(wǎng)絡(luò)流量，并做出分析報(bào)告。通過(guò)從不同的角度對(duì)數(shù)據(jù)進(jìn)行分析，得到實(shí)驗(yàn)結(jié)論和利用網(wǎng)絡(luò)知識(shí)解釋分析流量變化原因。例如，可從以下角度：數(shù)據(jù)鏈路層：廣播、單播，分析廣播風(fēng)暴；報(bào)文長(zhǎng)度，分析各種長(zhǎng)度報(bào)文所占比例，計(jì)算報(bào)文平均長(zhǎng)度等。網(wǎng)絡(luò)層：源和目的；分析內(nèi)外網(wǎng)進(jìn)出流量，分析焦點(diǎn)節(jié)點(diǎn)流量比例及變換情況；分析ICMP報(bào)文，網(wǎng)絡(luò)開(kāi)銷(xiāo)比例等。傳輸層：分析面向連接協(xié)議與面向無(wú)連接協(xié)議的使用情況。應(yīng)用層：分析各種典型應(yīng)用的使用情況。主要的分析方法可以用到：流量隨時(shí)間變化曲線，及對(duì)高峰低谷數(shù)據(jù)的分析；分析各成分在流量中的比例，及隨時(shí)間變化曲線等；求平均值及比較各成分均值。1、實(shí)驗(yàn)者在了解實(shí)驗(yàn)?zāi)康暮?，自行設(shè)計(jì)監(jiān)測(cè)計(jì)劃，和按計(jì)劃取得數(shù)據(jù)。自己制定數(shù)據(jù)分析方法和分析角度，得出實(shí)驗(yàn)結(jié)論。2、完成至少4種類(lèi)型的數(shù)據(jù)包的分析，列出每個(gè)字段的含義。除了給出該字段的數(shù)值外，還要指出字段值表達(dá)了怎樣的信息。3、做出全天數(shù)據(jù)總流量變化圖。4、至少?gòu)?種不同角度對(duì)流量進(jìn)行分析。5、完成整個(gè)監(jiān)測(cè)計(jì)劃中每天流量變化的比較分析分析的重點(diǎn)不是各項(xiàng)統(tǒng)計(jì)數(shù)據(jù)本身，實(shí)驗(yàn)者需要完成對(duì)這些數(shù)據(jù)值的大小、關(guān)系、變化趨勢(shì)等方面的進(jìn)行分析和評(píng)價(jià)，進(jìn)一步得出網(wǎng)絡(luò)流量特點(diǎn)的結(jié)論，并嘗試揭露形成相應(yīng)特點(diǎn)的原因。1、設(shè)置監(jiān)測(cè)點(diǎn)在網(wǎng)絡(luò)中不同的位置設(shè)置監(jiān)測(cè)點(diǎn)，監(jiān)測(cè)結(jié)果和結(jié)論將有很大差別。如在網(wǎng)絡(luò)內(nèi)設(shè)置監(jiān)測(cè)點(diǎn)可以觀察網(wǎng)內(nèi)通信的情況，在網(wǎng)間設(shè)置檢測(cè)點(diǎn)則主要觀察數(shù)據(jù)進(jìn)出網(wǎng)絡(luò)的情況。由于監(jiān)測(cè)目標(biāo)的子網(wǎng)內(nèi)采用了交換機(jī)，網(wǎng)內(nèi)監(jiān)測(cè)將很難觀察通信情況，本設(shè)計(jì)將主要觀察網(wǎng)間通信，將監(jiān)測(cè)點(diǎn)設(shè)置在通信學(xué)院二級(jí)子網(wǎng)與校園主干網(wǎng)相接的線路上。監(jiān)測(cè)點(diǎn)2、網(wǎng)絡(luò)監(jiān)測(cè)方法：（1）利用HUB進(jìn)行監(jiān)測(cè)：HUB）本質(zhì)上是一個(gè)多端口中繼器，即從任何一個(gè)工作站傳輸?shù)臄?shù)據(jù)都被HUB放置一個(gè)集線器，集線器上的兩個(gè)端口分別接被監(jiān)測(cè)線路的兩端，利用第三個(gè)接口，接入監(jiān)測(cè)機(jī)，觀察經(jīng)過(guò)被監(jiān)測(cè)線路上的數(shù)據(jù)。HUBBay350Router監(jiān)測(cè)機(jī)100Mbps在10Mbps，將使被監(jiān)測(cè)線路降速；此外，如果監(jiān)測(cè)機(jī)也在主動(dòng)發(fā)送發(fā)送數(shù)據(jù)，將對(duì)被監(jiān)測(cè)線路造成干擾。（2）防火墻方式可在監(jiān)測(cè)機(jī)上設(shè)置兩張網(wǎng)卡，分別接被監(jiān)測(cè)線路兩端，在被監(jiān)測(cè)線路上的數(shù)據(jù)就要經(jīng)過(guò)監(jiān)測(cè)機(jī)。該方式與防火墻的工作原理一樣。Bay350Router監(jiān)測(cè)機(jī)本方法的優(yōu)點(diǎn)是可以工作在100Mbps線路受監(jiān)測(cè)機(jī)性能影響很大，監(jiān)測(cè)機(jī)即要緩存所有的數(shù)據(jù)，又要不斷轉(zhuǎn)發(fā)，如果監(jiān)測(cè)機(jī)性能較低，將直接造成線路降速。（3）Monitor方式部分品牌的交換機(jī)具有Monitor功能，可以將某個(gè)端口的數(shù)據(jù)同時(shí)拷貝一份到映象端口。我們?cè)诒驹O(shè)計(jì)利用Bay350交換機(jī)的這項(xiàng)功能，將交換機(jī)上與通信學(xué)院連接的端口上進(jìn)出的數(shù)據(jù)復(fù)制到監(jiān)測(cè)端口，達(dá)到監(jiān)測(cè)目的。Router監(jiān)測(cè)機(jī)本方法的優(yōu)點(diǎn)是：不會(huì)改變網(wǎng)絡(luò)拓?fù)?，不?duì)被監(jiān)測(cè)線路造成影響。缺點(diǎn)是：僅有部分廠商的產(chǎn)品支持這一功能；在監(jiān)測(cè)全雙工端口時(shí)，如果雙向數(shù)據(jù)流量之和超過(guò)100Mbps，則監(jiān)測(cè)機(jī)將無(wú)法準(zhǔn)確監(jiān)測(cè)。3、監(jiān)測(cè)機(jī)在監(jiān)測(cè)機(jī)上將網(wǎng)卡的全接收功能打開(kāi)，它可以接收所有數(shù)據(jù)并存盤(pán)和分析。監(jiān)測(cè)機(jī)的內(nèi)存大小和CPU的性能都會(huì)影響從網(wǎng)卡讀取數(shù)據(jù)的速度，一旦監(jiān)測(cè)機(jī)無(wú)法及時(shí)從網(wǎng)卡讀取數(shù)據(jù)，將造成丟包，影響監(jiān)測(cè)的準(zhǔn)確性。但是不能為了節(jié)約內(nèi)存而將采樣時(shí)間減小，如果采樣時(shí)間過(guò)小，如小于10秒，則樣本值并不能反映正確的流量。4、監(jiān)測(cè)軟件：實(shí)驗(yàn)中使用sniffer軟件來(lái)監(jiān)測(cè)數(shù)據(jù)，該軟件還能對(duì)樣本進(jìn)行初步的統(tǒng)計(jì)分析。實(shí)驗(yàn)者可以充分利用軟件的統(tǒng)計(jì)功能獲得各項(xiàng)數(shù)據(jù)，實(shí)驗(yàn)者重點(diǎn)需要完成對(duì)這些數(shù)據(jù)值的大小、關(guān)系、變化趨勢(shì)等方面的分析，以得出網(wǎng)絡(luò)流量特點(diǎn)的結(jié)論，并嘗試揭露形成相應(yīng)特點(diǎn)的原因。在選定的監(jiān)測(cè)點(diǎn)；利用交換機(jī)的Monitor功能和監(jiān)測(cè)軟件獲取監(jiān)測(cè)數(shù)據(jù)；多次監(jiān)測(cè)，進(jìn)行采樣、統(tǒng)計(jì)、比較和分析?？倳r(shí)間為兩星期，共10天。第一天，了解設(shè)計(jì)任務(wù)要求、熟悉實(shí)驗(yàn)環(huán)境，分組及推選組長(zhǎng)，制定監(jiān)測(cè)計(jì)劃第二天，進(jìn)行預(yù)監(jiān)測(cè)，熟悉監(jiān)測(cè)軟件第三天～第七天，按計(jì)劃監(jiān)測(cè)第八天～第九天，完成實(shí)驗(yàn)報(bào)告第十天，組織答辯。本次實(shí)驗(yàn)采樣時(shí)間是2004-3-29上午830至1210下午230至630，總采樣時(shí)間為8小時(shí)左右，每隔5分鐘采樣一次，采樣得文件92個(gè)，每個(gè)文件大小為12M。上午10點(diǎn)之前每個(gè)文件采樣時(shí)間為1分30秒左10點(diǎn)以后采樣時(shí)間為40多；下午網(wǎng)絡(luò)流量增加，每個(gè)文件采樣時(shí)間縮短，30秒左右就可以采樣得到一個(gè)12M文件。1）流量分析流量隨時(shí)間變化圖如下所示：全天流量圖300000025000002000000150000010000005000000Bytespersecond020406080100這是一天來(lái)數(shù)據(jù)總的流量變化圖，從圖中我們可以看出，網(wǎng)絡(luò)在第10個(gè)采樣點(diǎn)開(kāi)始既9點(diǎn)15左右出現(xiàn)第一個(gè)小高峰，而后出現(xiàn)短暫回落，繼而繼續(xù)上升，分析原因可能是在辦公室和教研室上班的人逐漸增加，并都開(kāi)始利用網(wǎng)絡(luò)所致。在10點(diǎn)50左右出現(xiàn)第2個(gè)小高峰，到了11點(diǎn)15左右網(wǎng)絡(luò)出現(xiàn)最高峰，到了11點(diǎn)50時(shí)網(wǎng)絡(luò)出現(xiàn)底峰，可能由于下班午餐的原因?qū)е聰?shù)據(jù)流量偏低。下午網(wǎng)絡(luò)流量在14點(diǎn)30左右開(kāi)始迅速提升到一個(gè)最大值并保持在這一水平，起伏不是很大。17點(diǎn)5分左右網(wǎng)絡(luò)流量出現(xiàn)極大值，然后又迅速下降，分析原因可能是部分站點(diǎn)之間的通信已經(jīng)完成，因此網(wǎng)絡(luò)流量驟減。到17點(diǎn)55再次出現(xiàn)峰值。分析原因可能是部分老師或研究生上完下午第二節(jié)課回到了教研室，開(kāi)始使用網(wǎng)絡(luò)。而后網(wǎng)絡(luò)流量出現(xiàn)緩慢回落，可能因?yàn)榇蠹叶既コ燥埖木壒省?）網(wǎng)絡(luò)利用率分析總體來(lái)看，全天的網(wǎng)絡(luò)流量呈上升趨勢(shì)，到18點(diǎn)以后才略有減退。與網(wǎng)絡(luò)流量相關(guān)的一個(gè)參數(shù)便是網(wǎng)絡(luò)的平均利用率（如下圖所示），網(wǎng)絡(luò)的平均利用率計(jì)算公式為平均利用率＝網(wǎng)絡(luò)流量/網(wǎng)絡(luò)帶寬。所以網(wǎng)絡(luò)的平均利用率應(yīng)該和流量成正比，這也在上圖中基本反映出來(lái)。但是我們發(fā)現(xiàn)整個(gè)平均使用率的曲線和流量的曲線的變化程100M了這樣大的一個(gè)數(shù)據(jù)后，流量變化比較小的時(shí)間段的平均利用率的曲線將變的很平緩，而在流量變化很劇烈的時(shí)間段，平均利用率的曲線將變的非常陡峭。這就是兩張圖表出現(xiàn)一個(gè)差異的根本原因。03）通信主機(jī)源分析8：30可以清楚看到早晨8點(diǎn)30左右，主要的網(wǎng)絡(luò)流量都是因?yàn)橹鳈C(jī)84與0之間在通信。9：15此時(shí)正是網(wǎng)絡(luò)流量在上午的高峰期，通信還是主要集中在84與0之間。而相比較而言，其在網(wǎng)絡(luò)流量中所占的百分比下降了，這是由整個(gè)網(wǎng)絡(luò)流量上升引起的。10：00此時(shí)的網(wǎng)絡(luò)流量不再是主要集中在2臺(tái)主機(jī)之間，而是由多臺(tái)主機(jī)之間的通信構(gòu)成，這是的網(wǎng)絡(luò)流量也不如9：15分左右。我通過(guò)比較推測(cè)，可能主要是因?yàn)?4與0之間的通信結(jié)束了，因此減少了網(wǎng)絡(luò)流量。4）對(duì)幾種重要報(bào)文類(lèi)型的分析對(duì)從92IP數(shù)據(jù)包，TCPUDP數(shù)據(jù)包和ICMP數(shù)據(jù)包，下面對(duì)這四種數(shù)據(jù)包作一些分析：12000010000080000IPpackets60000TCPpacketsUDPpacketsICMPpackets40000200000020406080100-20000在整個(gè)實(shí)驗(yàn)過(guò)程中，我們可以觀察到IP和TCP報(bào)文占據(jù)了整個(gè)報(bào)文數(shù)量的決大多數(shù)。原因在于我們使用的是TCP/IP協(xié)議族。但是現(xiàn)在的網(wǎng)絡(luò)不太使用UDP協(xié)議，因?yàn)閁DPUDP報(bào)文只是占據(jù)了整個(gè)報(bào)文的一下部分。而面向連接、可靠的運(yùn)輸協(xié)議TCP在這里就使用的非常多。而這里面很特別的現(xiàn)象是ICMP報(bào)文的異常波動(dòng)。ICMP是為了補(bǔ)償IP協(xié)議缺少差錯(cuò)控制和輔助機(jī)制而設(shè)計(jì)的一個(gè)協(xié)議，為IP層提供差錯(cuò)報(bào)告和查詢(xún)，使得IP層上的傳輸能夠盡量的可靠。在一個(gè)穩(wěn)定的，正常使用的網(wǎng)絡(luò)中，我們應(yīng)該觀察到ICMP報(bào)文的數(shù)量應(yīng)該為一個(gè)比較穩(wěn)定的值。但是，我們可以在上圖中看到ICMP的數(shù)量出現(xiàn)了異常波動(dòng)，在8：35分出現(xiàn)了一個(gè)高峰。這是什么原因呢？我將在下面對(duì)這個(gè)問(wèn)題進(jìn)行詳細(xì)的分析。在835這個(gè)采樣點(diǎn)上，我們可以觀察到ICMP是一個(gè)非常奇怪的現(xiàn)象，因?yàn)樵谡５木W(wǎng)絡(luò)中ICMP的報(bào)文數(shù)量應(yīng)該處于一個(gè)相對(duì)比較平穩(wěn)的狀況。于是我們利用SNIFFER軟件打開(kāi)我們采樣得到的數(shù)據(jù)包，對(duì)里面的數(shù)據(jù)進(jìn)行分析。在利用SNIFFER軟件中的DECODE功能，我們可以看到我們截取的每一個(gè)數(shù)據(jù)包的含義和內(nèi)容。在一番查找之后，最終找到了原因。首先，我們發(fā)現(xiàn)絕大部分的ICMP報(bào)文都是ECHO報(bào)文（ICMP:TYPE=8(ECHO)因?yàn)樵谡５木W(wǎng)絡(luò)中，ICMPECHO報(bào)文作為突破點(diǎn)，來(lái)查找原因。我們?cè)诶碚撋现繣CHO報(bào)文是用來(lái)測(cè)試一個(gè)主機(jī)的可到達(dá)性的，于是，我們從這點(diǎn)入手，最終找到了原因：源地址為63的主機(jī)對(duì)我們整個(gè)網(wǎng)絡(luò)發(fā)送了大量的TCP的數(shù)據(jù)包（這些數(shù)據(jù)包的目的地址是24從而造成主機(jī)發(fā)送ICMP報(bào)文，對(duì)網(wǎng)絡(luò)進(jìn)行查詢(xún)，造成網(wǎng)絡(luò)中的ICMP報(bào)文數(shù)量出現(xiàn)異常。所以，ICMP報(bào)文的數(shù)量出現(xiàn)巨大的增長(zhǎng)，而且絕大部分的ICMP報(bào)文是ECHO報(bào)文。4）對(duì)幾種數(shù)據(jù)包進(jìn)行分析a）對(duì)HTTP（超文本傳輸協(xié)議）數(shù)據(jù)包進(jìn)行分析：HTTP是主要用在萬(wàn)維網(wǎng)上存取數(shù)據(jù)的協(xié)議。此協(xié)議傳送數(shù)據(jù)的形式可以是普通正文、超文本、音頻、視頻，等等。它被稱(chēng)作超文本傳送協(xié)議是因?yàn)樗男士梢詮囊粋€(gè)文檔迅速跳到另一個(gè)文檔的超文本環(huán)境。HTTP的思想非常簡(jiǎn)單?？蛻?hù)給服務(wù)器發(fā)送請(qǐng)求，它與郵件看起來(lái)相似，服務(wù)器向客戶(hù)機(jī)發(fā)送相應(yīng)，看起來(lái)象郵件回答，請(qǐng)求和報(bào)文攜帶的數(shù)據(jù)形式類(lèi)似于MIME格式的信件。這是一個(gè)HTTP的請(qǐng)求報(bào)文，源地址64向目的地址0使用GET的方法在端口3915來(lái)讀取路徑為/image/duba6/qi_x01.gif的圖片。請(qǐng)求行給出了方法（GETURL以及HTTP的版本（1.1何格式的文檔（*/*URL（http://www.dubb）對(duì)ARP（地址解析協(xié)議）報(bào)文進(jìn)行分析：ARP主機(jī)或路由器需要找出另一個(gè)主機(jī)或路由器在此網(wǎng)羅上的物理地址時(shí)，它久發(fā)送一個(gè)ARPIP地址，以及接收站的IP為發(fā)送站不知道接收站的物理地址，查詢(xún)就在網(wǎng)根據(jù)軟件對(duì)該ARP幀進(jìn)行的分析，我們可以看到，該ARP目的地址使用的是廣播地址，它要查找的是IP地址為92的主機(jī)的物理地址（我們可以看到，此請(qǐng)求報(bào)文中的目標(biāo)主機(jī)的物理地址在此時(shí)為全0IP地址為91的主機(jī)，它的物理地址是50784C6B28D3。在該幀中，還有18字節(jié)的填充字段。同時(shí)該ARP報(bào)文中還顯示了硬件類(lèi)型是10Mb的以太網(wǎng)，協(xié)議類(lèi)型為IP件地址的長(zhǎng)度為6個(gè)字節(jié)，協(xié)議地址的長(zhǎng)度為4個(gè)字節(jié)。c）對(duì)UDP（用戶(hù)數(shù)據(jù)報(bào)協(xié)議）報(bào)文進(jìn)行分析：TCP/IP協(xié)議族為運(yùn)輸層指定了兩個(gè)協(xié)議：UDP和TCP。我先討論UDP。UDP是無(wú)連接的，不可靠的運(yùn)輸協(xié)議。它提供進(jìn)程到進(jìn)程的通信，沒(méi)有給IP服務(wù)添加任何負(fù)擔(dān)。同時(shí)，它還完成非常有限的差錯(cuò)檢驗(yàn)。該協(xié)議非常簡(jiǎn)單，開(kāi)銷(xiāo)非常小。由圖可以看出UDP用戶(hù)數(shù)據(jù)報(bào)共有如下的字段：1．源端口號(hào)：這是在源主機(jī)上運(yùn)行的進(jìn)程使用的端口號(hào)，它有16位長(zhǎng)。圖中的源端口號(hào)是306012．目的端口號(hào)：這是在目的主機(jī)上運(yùn)行的進(jìn)程使用的端口號(hào)，它也是16位長(zhǎng)。圖中的目的端口號(hào)為974。3．長(zhǎng)度：這是一個(gè)16位字段，它定義了用戶(hù)數(shù)據(jù)報(bào)的總長(zhǎng)度，首部加上數(shù)據(jù)，圖中長(zhǎng)度為111。根據(jù)軟件的分析我們看出，在數(shù)據(jù)報(bào)中指定的數(shù)據(jù)報(bào)長(zhǎng)度比實(shí)際收到的數(shù)據(jù)報(bào)長(zhǎng)度要大。因此我們懷疑該數(shù)據(jù)報(bào)在傳輸過(guò)程中出錯(cuò)了。4AB56驗(yàn)無(wú)法進(jìn)行證實(shí)，因此確信該數(shù)據(jù)報(bào)傳輸過(guò)程中有一部分?jǐn)?shù)據(jù)丟失了。5．最后一行給出了該UDP報(bào)文的大小為86字節(jié)，而實(shí)際應(yīng)該收到的數(shù)據(jù)應(yīng)該為103個(gè)字節(jié)。d）對(duì)TCP（傳輸控制協(xié)議）報(bào)文進(jìn)行分析：TCP是面向連接的，可靠的傳輸協(xié)議。它工作于傳輸層。傳輸層具有幾種責(zé)任。一種責(zé)任就是創(chuàng)建進(jìn)程到進(jìn)程（程序到程序）的通信，TCP使用端口號(hào)來(lái)完成這種通信。另一種責(zé)任就是在運(yùn)輸層提供流控制和差錯(cuò)控制機(jī)制，TCP使用滑動(dòng)窗口協(xié)議來(lái)完成流控制，它使用確認(rèn)分組、超時(shí)和重傳來(lái)完成差錯(cuò)控制。由圖可以看到TCP報(bào)文的源端口和目的端口分別為1187和21（因此這實(shí)際上是主機(jī)在請(qǐng)求一個(gè)FTP小為65535，檢驗(yàn)和為408B，下面是選項(xiàng)及補(bǔ)充字段。1．源端口地址：這是一個(gè)16位的字段，它定義了在主機(jī)中發(fā)送該報(bào)文段的應(yīng)用程序的端口號(hào)（11872．目的端口地址：這是一個(gè)16位的字段，它定義了在主機(jī)中接收該報(bào)文段的應(yīng)用程序的端口號(hào)（213．序號(hào)：這個(gè)32位的字段定義了一個(gè)數(shù)，它指派給本報(bào)文段數(shù)據(jù)的第一個(gè)字節(jié)（20EB31864．確認(rèn)號(hào)：這個(gè)32位的字段定義了源進(jìn)程期望從對(duì)方接收的報(bào)文段的序號(hào)，如果報(bào)文段的接收端成功的接收了對(duì)方發(fā)來(lái)的序號(hào)XX+1（Ox00000000,5．首部