局域网网络流量捕获方法分析

许文民

摘要：网络流量捕获对网络分析有着十分重要的作用，特别是随着网络技术的发展与网络需求的增加，都对网络流量捕获提出了更高的要求。本文对网络流量捕获的意义进行了分析，并分析了网络流量捕获方法。

关键词：网络流量；数据包；数据包捕获

随着网络技术的快速发展与网络需求的空前增加，网络用户数量与网络应用的快速增长导致了网络的性能下降。因此，对网络性能进行优化、合理利用网络资源已经成为了人们普遍关注的焦点问题。网络流量捕获技术是对网络性能进行综合评估的重要基础，因此对网络流量捕获技术进行研究焊丝优化网络性能、提高网络利用率的重要措施。

一、网络流量捕获的意义

对网络流量进行捕获、分析，能发现网络的瓶颈，对网络的优化打下良好基础。网络流量捕获是网络流量分析的重要基础，能够明确网络流量的变化，反映出在网络运行过程中所存在的故障、性能以及其他多个方面的信息。要准确的明确网络运行的可靠性等信息，制定出科学合理的网络性能优化方案，就必须要对网络运行的历史进行定量化的记录。网络流量捕获是对网络运行历史进行定量化记录的重要手段，同时网络流量捕获也是对网络进行测量的重要手段。

随着网络规模的扩大，各种网络应用在不断地增加，与此同时网络的异构性以及复杂性都在不断的提高，而人们对网络性能的满意程度却并没有相应的增高。当前人们期望的是网络能够同时满足高可靠性和高性能这两方面的要求。因此，就需要设计出高速IP网络流量捕获监测技术，通过这种检测技术来对高效网络协议进行分析，并开发出具有更高性能的网络设备，并通过流量工程来改善网络负载，使其变得更加的合理，并保证关键业务的性能。这些都需要对各层协议的详细情况进行定量的了解，其中包括了网络流量与业务流的使用分布、增长趋势等等。通过对这些信息的了解，进而能够建立起精确的网络流量模型和业务流量、性能模型，这样能够更好的发现影响或者限制网络性能的关键问题[1]。

二、网络数据包捕获技术分析

（一）数据包捕获基本原理

物理基础：以太网本身具有共享介质的特征，信息是以明文的凡是在网络上进行传输，当网络适配器设置为监听模式时，因为是采用的以太网广播信道征用的方式，这就能够让监听系统与正常的通信网络系统进行并联连接，并且还能够捕获任何一个在同一个冲突领域中所传输的数据。

数据包捕获的前提：每一台网络上的主机都拥有一个唯一的物理地址，通过物理地址就能够找到网络上的任何一台主机。在共享式的网络中，每一个主机所发送的数据报，处于同一个网络中的其余主机都能够接收到。主机上网卡的首要任务就是对当前总线的状态进行不断的探测，如果当前网络中有数据传输，那么就对所流经的数据包进行判断分析，如果数据包中的目的地址与本机的不符就将该数据帧丢弃，否则就接收。而工作在混杂模式下的网卡则能够接受所有流经该网卡的数据帧，因此，要捕获数据包，其前提就是将网卡设置在混杂模式下。

（二）BPF机制与Libpeap函数库

BPF是S.Mceanne和V.Jaeobson等人所推出的包过滤器。BPF由网络分接头与数据过滤器所组成，其中，网络分接头是一个函数，其主要用于网络数据流。数据过滤器则是BPF的核心部分，用户能够通过对数据过滤器设置过滤规则，来捕获自己所感兴趣的所有数据包子集，其工作机制如图1所示[2]：

Libpep是由Berkeiey大学的Van Jacobson、Steven McCanne和Craig Leres所开发的，是应用在Linux平台下的，用来对网络数据包进行捕获的跨平台编程接口，是一个独立于系统的、用户层数据包捕获函数库。因为是工作在用户层，所以对操作系统细节进行了隐藏，使用更加的方便，其主要包括了三个部分：最底层是针对硬件设备接口的数据包捕获机制，中间是针对内核级的包过滤机制，最后一层是针对用户程序的接口。

（三）数据包捕获工作流程

数据包捕获流程主要有以下几个方面：（1）对主机网络机构列表进行查找，并选择可用网络接口；（2）进行初始化，必须要对实行数据包捕获的设备进行设置；（3）对过滤器进行设置，用户需要根据自己的需要提前对过滤规则进行设置；（4）对数据包进行捕获；（5）对数据包进行解析，在捕获到符合要求的数据包之后，并不能够直接获取所感兴趣的信息，而是需要进行相应的处理；（6）结束工作，在完成数据包捕获工作之后，需要结束响应的程序，关闭会话以释放资源。

三、结语

基于不同技术的数据包捕获技术其实现的具体方式也不相同，但是数据包捕获的基本原理与工作流程都是基本相同的。通过对数据包捕获技术的分析能够更好的实现网络流量捕获，进而为网络分析提供更加可靠的依据。

参考文献

[1] 王月辉.基于WinPcap的网络数据捕获和分析系统的研究与实现[D].沈阳：沈阳工业大学，2007.

[2] 张伟，等.基于WinPcap的数据包捕获及应用[J].计算机工程与设计，2008，29（7）：1649-1651.