我們看一下，Sniffer究竟有什么用？
第一，Sniffer可以幫助我們?cè)u(píng)估業(yè)務(wù)運(yùn)行狀態(tài)，如果你能告訴老板說(shuō)，我們的業(yè)務(wù)運(yùn)行正常，性能良好，比起你跟老板報(bào)告說(shuō)網(wǎng)絡(luò)沒(méi)有問(wèn)題，我想老板會(huì)更愿意聽(tīng)前面的報(bào)告，但我們要做這樣的報(bào)告，光說(shuō)是不行的，必須有根據(jù)，我們能提供什么樣的根據(jù)呢。比如各個(gè)應(yīng)用的響應(yīng)時(shí)間，一個(gè)操作需要的時(shí)間，應(yīng)用帶寬的消耗，應(yīng)用的行為特征，應(yīng)用性能的瓶頸等等，到第二門課，我會(huì)告訴大家怎么做到有根有據(jù)。
第二，Sniffer能夠幫助我們?cè)u(píng)估網(wǎng)絡(luò)的性能，比如，各連路的使用率，網(wǎng)絡(luò)的性能的趨勢(shì)，網(wǎng)絡(luò)中哪一些應(yīng)用消耗最多帶寬，網(wǎng)絡(luò)上哪一些用戶消耗最多帶寬，各分支機(jī)構(gòu)流量狀況，影響我們網(wǎng)絡(luò)性能的主要因素，我們可否做一些相應(yīng)的控制，等等
第三，Sniffer幫助我們快速定位故障，這個(gè)大家比較有經(jīng)驗(yàn)，我們記住Sniffer的三大功能：monitor,expert,decode這三大功能都可以幫助我們快速定位故障，我后面通過(guò)案例演示給大家看，大家再做做實(shí)驗(yàn)，很快就上手了（同學(xué)問(wèn)：范老師，是否要學(xué)Sniffer必須對(duì)協(xié)議很熟，）不一定，我們可以通過(guò)Sniffer來(lái)學(xué)習(xí)各種協(xié)議，比如ospf,以前學(xué)網(wǎng)絡(luò)的時(shí)候，講OSPF的LSA好像很復(fù)雜，你用Sniffer看看，其實(shí)他的協(xié)議結(jié)構(gòu)還是不復(fù)雜的，一般情況下，我會(huì)要求學(xué)Sniffer的學(xué)員有CCNP的基礎(chǔ)，或者有幾年的網(wǎng)絡(luò)管理經(jīng)驗(yàn)，我自己也是這樣，剛開始只是用Sniffer抓抓包，抓下來(lái)也不知道怎么分析，當(dāng)我學(xué)完CCNP后，學(xué)了CIT，以為自己不錯(cuò)了，會(huì)排除很多網(wǎng)絡(luò)故障，但實(shí)際上很多問(wèn)題我還是解決不了，比如網(wǎng)絡(luò)慢，他又不斷，斷了我很快能解決，網(wǎng)絡(luò)慢，或者丟包，一般的排錯(cuò)知識(shí)還是很難的，那時(shí)候開始學(xué)Sniffer，才發(fā)現(xiàn)很好用
第四，Sniffer可以幫助我們排除潛在的威脅，我們網(wǎng)絡(luò)中有各種各樣的應(yīng)用，有一些是關(guān)鍵應(yīng)用，有一些是OA，有一些是非業(yè)務(wù)應(yīng)用，還有一些就是威脅，他不但對(duì)我們的業(yè)務(wù)沒(méi)有幫助，還可能帶來(lái)危害，比如病毒、木馬、掃描等，Sniffer可以快速地發(fā)現(xiàn)他們，并且發(fā)現(xiàn)攻擊的來(lái)源，這就為我們做控制提供根據(jù)，比如我們要做QOS，不是說(shuō)隨便根據(jù)應(yīng)用去分配帶寬就解決了，我們要知道哪一些應(yīng)用要多少帶寬，帶寬如何分配，要有根有據(jù)。我們?cè)倩剡^(guò)頭看一下Sniffer什么時(shí)候開始流行的，再2003年沖擊波發(fā)作的時(shí)候，很多Sniffer的用戶通過(guò)Sniffer快速定位受感染的機(jī)器，后來(lái)很多人都知道Sniffer可以用來(lái)發(fā)現(xiàn)病毒，Sniffer的知名度暴漲，盜版用戶也暴漲（同學(xué)們大笑），后來(lái)震蕩波發(fā)作的時(shí)候，很多人用Sniffer來(lái)協(xié)助解決問(wèn)題。我想強(qiáng)調(diào)的是Sniffer不是防病毒工具，這也只是他的一個(gè)用途，而且只對(duì)蠕蟲類型對(duì)網(wǎng)絡(luò)影響大的病毒有效，對(duì)于文件型的病毒，他很難發(fā)現(xiàn)。
另外要說(shuō)明的事，Sniffer還可以用來(lái)排除來(lái)自內(nèi)部的威脅，現(xiàn)在我們網(wǎng)絡(luò)中有各種各樣的網(wǎng)絡(luò)安全產(chǎn)品，防火墻、IDS、防病毒軟件，他們都有相應(yīng)的功能，但真的有效嗎，能解決全部威脅嗎，我們要進(jìn)行評(píng)估，用Sniffer就能評(píng)估內(nèi)網(wǎng)的安全狀況，有沒(méi)有病毒，有沒(méi)有攻擊，有沒(méi)有掃描，像防火墻、IDS、防病毒軟件他們都是后知后覺(jué)的，它必須有特征才能阻絕，而Sniffer是即時(shí)監(jiān)控的工具，通過(guò)發(fā)現(xiàn)網(wǎng)絡(luò)中的行為特征，判斷網(wǎng)絡(luò)是否有異常流量，所以Sniffer可能比防病毒軟件更快地發(fā)現(xiàn)病毒。我在神州數(shù)碼的時(shí)候，沖擊波震蕩波都是我縣發(fā)現(xiàn)的，有趣的是當(dāng)時(shí)我都在上Sniffer的課，中午休息，我把sniffer駕到公司網(wǎng)絡(luò)，再Hosttable看到廣州一臺(tái)機(jī)器很多廣播，接著廣州另外一臺(tái)機(jī)器也開始發(fā)廣播，接著深圳也感染了，我馬上通知IT管理人員，他們把這幾臺(tái)機(jī)器斷網(wǎng)，后來(lái)才知道有沖擊波病毒，防病毒軟件還不能殺。
剛才講到異常流量，這是一個(gè)很重要的概念，什么是異常流量？我們?cè)趺磁袛嗍欠癞惓＃@又涉及另外一個(gè)概念，叫基準(zhǔn)線分析，什么是基準(zhǔn)線，基準(zhǔn)線是指我們網(wǎng)絡(luò)正常情況下的行為特征，包括利用率、應(yīng)用響應(yīng)時(shí)間、協(xié)議分布，各用戶貸款消耗等，不同工程師會(huì)有不同基準(zhǔn)線，因?yàn)樗P(guān)心的內(nèi)容不同，只有知道我們網(wǎng)絡(luò)正常情況下的行為特征，我們才能判斷什么是異常流量。
第五，做流量的趨勢(shì)分析，通過(guò)長(zhǎng)期監(jiān)控，可以發(fā)現(xiàn)網(wǎng)絡(luò)流量的發(fā)展趨勢(shì)，為我們將來(lái)網(wǎng)絡(luò)改造提供建議和依據(jù)
第六點(diǎn)就是應(yīng)用性能預(yù)測(cè)，這點(diǎn)很有用，會(huì)用的人不多，我們第二門課會(huì)講，Sniffer能夠根據(jù)捕獲的流量分析一個(gè)應(yīng)用的行為特征，比如，你現(xiàn)在有一個(gè)新的應(yīng)用，還沒(méi)有上線，我能評(píng)估他上線后的性能，比如在用戶在網(wǎng)絡(luò)中心有多快，用戶在省中心有多快，用戶在市中心有多快，都可以提供量化的預(yù)測(cè)，準(zhǔn)確率挺高的，誤差不超過(guò)10%。我們還可以用她來(lái)評(píng)估應(yīng)用的瓶頸在哪，不同應(yīng)用瓶頸不同，比如有些應(yīng)用慢了，增加網(wǎng)絡(luò)帶寬效果很明顯，比如FTP這種應(yīng)用，有些應(yīng)用慢了增加帶寬沒(méi)什么效果，比如TELNET應(yīng)用，我們還可以預(yù)測(cè)網(wǎng)絡(luò)帶寬增加的效果，比如我將2兆提高到8兆應(yīng)用性能有多大的提升，Sniffer能比較準(zhǔn)確地預(yù)測(cè)