自己動(dòng)手打造公司內(nèi)網(wǎng)監(jiān)管利器
原創(chuàng)【51CTO獨(dú)家特稿】這次經(jīng)濟(jì)危機(jī)對(duì)大型企業(yè)傷害很大，國內(nèi)除了一些內(nèi)需型的基本不受影響之外，各個(gè)公司都開始了寒冬之際的裁人行為。這期間，為了順利推行裁人，降低企業(yè)賠償金，一些平時(shí)不使用的手段大家都用了上來，一切為了讓員工犯錯(cuò)，為了一切犯錯(cuò)的員工。本文雖然寫的是監(jiān)控方案，但希望讀者朋友們通過下面這個(gè)故事，逆推出一些解決方案。
俗話說天有不測風(fēng)云，前兩天我還和冷陽悠閑地打劍俠世界，這兩天一過，我們老板找我談話，說要和諧人口了，公司人太多?？紤]到公司要讓我卷鋪蓋回家了，所以能利用的資源還是趕緊利用下吧。
公司雖然對(duì)網(wǎng)絡(luò)方面不太重視，可是設(shè)備還是很舍得投資的：全三層華三交換機(jī)構(gòu)建的網(wǎng)絡(luò)。為了最后做一次好人，我決定幫老板抓幾個(gè)上班亂看網(wǎng)站的家伙，讓他一口氣全開了，節(jié)約資金。
嗅探的干活
下個(gè)Sniffer Pro ，安裝過程簡單，切記要重啟，不重啟根本抓不到數(shù)據(jù)包注① 。
還有必須要下JAVA，不下不顯示儀表盤信息，打開http://www.java.com/zh_CN/ ，鮮紅的JAVA+等你到來。如圖1所示。
 |
| 圖1 |
裝好一切，就可以干活了，不過這玩意直接在局域網(wǎng)內(nèi)嗅探，是抓不到什么好東西的，所以我們還得設(shè)置端口鏡像注② 。
這次我是拿我的最貴的那臺(tái)交換機(jī)開刀的。一般路由器有兩個(gè)接口，一個(gè)外，一個(gè)內(nèi)，正常接法是外口光貓，內(nèi)口接交換機(jī)。但是這種低級(jí)的方法我不用。為啥？因?yàn)楣居绣X，帶寬是100M的，這樣用很浪費(fèi)。唉，這么有錢的公司還是要開我。
最終接法是光貓接入交換機(jī)，然后路由器的兩個(gè)端口也同樣接入交換機(jī)。這樣接有兩個(gè)好處：1.可以對(duì)交換機(jī)上的其他主機(jī)設(shè)置外網(wǎng)IP；2，可以用交換機(jī)直接對(duì)各個(gè)端口進(jìn)行限速和VLAN劃分，或者隔離網(wǎng)絡(luò)。
內(nèi)網(wǎng)入口插入交換機(jī)，在23 端口；找一臺(tái)PC，接入交換機(jī)，在11端口。
開始配置H3C的交換機(jī)，鼠標(biāo)全部搞定，根本不用命令行，如圖2所示。
 |
| 圖2 |
點(diǎn)擊端口>鏡像，設(shè)置監(jiān)控口和鏡像口
 |
| 圖 |
其實(shí)如果沒有web界面，用語句寫也很簡單。telnet到交換機(jī)的IP下,開始如下操作： #p#
配置文件給個(gè)全的。這交換機(jī)基本沒有做別的用途，所以配置清單很清爽。
******************************************************************************** * Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved. * * Without the owner's prior written consent, * * no decompiling or reverse-engineering shall be allowed. * ******************************************************************************** Login authentication Username:tt （輸入用戶） Password: （輸入密碼，默顯） %Apr 12 08:38:16:685 2000 H3C SHELL/5/LOGIN:- 1 - jh(172.30.38.21) in unit1 logi ndis ^ % Incomplete command found at '^' position. System View: return to User View with Ctrl+Z. [H3C]dis cu （display current-configuration的縮寫，作用是打印配置文件，作為一個(gè)耍酷裝帥的IT工程師，簡寫是一定要學(xué)會(huì)的，要不就跟我一樣得失業(yè)。。） # sysname H3C # super password level 3 simple *******（配置沒改，明文。。。一個(gè)敬業(yè)的IT工程師一定要明文保存密碼，以保證離職之后能順利找回。） # radius scheme system # domain system # local-user h3c password simple h3c service-type telnet level 3 local-user tt password simple ******(z這里其實(shí)是明文密碼) service-type telnet level 3 # vlan 1 # interface Vlan-interface1 ip address 172.30.30.204 255.255.0.0 # interface Aux1/0/0 # interface Ethernet1/0/1 # interface Ethernet1/0/2 # interface Ethernet1/0/3 # interface Ethernet1/0/4 # interface Ethernet1/0/5 # interface Ethernet1/0/6 # interface Ethernet1/0/7 # interface Ethernet1/0/8 # interface Ethernet1/0/9 # interface Ethernet1/0/10 # interface Ethernet1/0/11 monitor-port （監(jiān)視此端口） # interface Ethernet1/0/12 # interface Ethernet1/0/13 # interface Ethernet1/0/14 # interface Ethernet1/0/15 interface Ethernet1/0/16 # interface Ethernet1/0/17 # interface Ethernet1/0/18 # interface Ethernet1/0/19 # interface Ethernet1/0/20 # interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both （限速還有鏡像此端口） # interface Ethernet1/0/22 # interface Ethernet1/0/23 line-rate inbound 32000 line-rate outbound 40000 # interface Ethernet1/0/24 # interface GigabitEthernet1/1/1 # interface GigabitEthernet1/1/2 # interface GigabitEthernet1/1/3 # interface GigabitEthernet1/1/4 # undo irf-fabric authentication-mode # # voice vlan mac-address 0001-e300-0000 mask ffff-ff00-0000 # snmp-agent snmp-agent local-engineid 800063A2000FE25E69A26877 snmp-agent sys-info version v3 # user-interface aux 0 7 ser-interface vty 0 4 authentication-mode scheme # return |
華為的機(jī)器其實(shí)很簡單，比如手工設(shè)置21端口，給他限速和端口鏡像。
interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both |
配置部分是這樣的，我們可以逆推出命令行，telnet到交換機(jī)：
[H3C]int（輸入3個(gè)字母之后點(diǎn)tab可以自動(dòng)連寫后面可能存在的單詞） [H3C]interface [H3C]interface ?（命令后面帶？可以列出可能可以使用的參數(shù)） Aux Aux interface Ethernet Ethernet interface GigabitEthernet GigabitEthernet interface LoopBack LoopBack interface NULL NULL interface Vlan-interface VLAN interface [H3C]interface Ethernet ? <1-1> Unit number（提示你給哪個(gè)單元接口設(shè)置） [H3C]interface Ethernet 1/0/21 [H3C-Ethernet1/0/21] [H3C-Ethernet1/0/21]mirroring-port both [H3C-Ethernet1/0/21]sa（保存配置文件） |
同志們仔細(xì)看，所謂的配置文件完全是積木一樣堆積命令行而成的，配置交換機(jī)的綜合難度非常低。當(dāng)然，以上操作的目的就是為了完成最開始用鼠標(biāo)兩下就解決的問題。 #p#
完成任務(wù)繼續(xù)下面走，看Sniffer pro是工作的。
因?yàn)榕渲煤昧绥R像，所以嗅探器工作正常，打開后有個(gè)儀表盤，數(shù)據(jù)很直觀。如圖3所示
 |
| 圖3 |
點(diǎn)第2排按鈕中的電腦圖標(biāo)，看個(gè)排行榜，然后左下角選擇成IP模式，因?yàn)槟Ｊ绞秋@示MAC地址的，很不直觀。
看到了吧，排行榜前頭的就是用流量最大的，如果機(jī)器卡，毫無疑問，這些娃娃要罰錢了。因?yàn)榻裉煳业哪康木褪橇P錢，所以前10名里頭我準(zhǔn)備一個(gè)都不放過，如圖4所示。
 |
| 圖4 |
繼續(xù)后面操作，點(diǎn)矩陣那個(gè)按鈕，可以看到下面的寶貝，如圖5所示
| 圖5 |
最右邊如果集中到一個(gè)點(diǎn)，說明大部分人訪問這個(gè)站。反之同理。左邊的集中到一個(gè)點(diǎn)，那這個(gè)人很可能在迅雷，所以鏈接很多IP。順便看看排行榜。過了10分鐘最后，右邊開始有大量線條集中到左邊一個(gè)IP，我很容易又抓到一個(gè)人開始罰款。
再旁邊可以看到這個(gè)按鈕，不過這玩意用處不大。他顯示的是一個(gè)服務(wù)器到客戶端響應(yīng)時(shí)間的排行榜，如圖6所示。
 |
| 圖6 |
接下來，讓我們知道協(xié)議分布，不過Sniffer只可以監(jiān)不能控。知道了也沒大作為。 當(dāng)然我的目的就是只監(jiān)不控，一切為了罰款和裁員！如圖7所示。
 |
| 圖7 |
我們點(diǎn)一下工具欄按鈕的捕獲，好玩的東西來了。如圖8所示
 |
| 圖8 |
點(diǎn)一下左邊的objects ，如圖9所示
 |
| 圖9 |
協(xié)議，雙方地址，后面還有訪問的毫秒數(shù)，一些其他信息，訪問時(shí)間等等。非常適合抓捕現(xiàn)行犯，從上圖我們可以看到有個(gè)可憐的孩子正在上youku，毫無疑問，這是要罰款的。
點(diǎn)一下左邊的connection，顯示一下當(dāng)前連接，如圖10所示。
 |
| 圖10 |
下圖就相當(dāng)詳細(xì)了。很有用。還能看到這個(gè)鏈接已經(jīng)交流了多少數(shù)據(jù)量……，如圖11所示。
 |
| 圖11 |
這小子下了778M。
注：
①嗅探的意義：sniffer是一種常用的收集有用數(shù)據(jù)方法，這些數(shù)據(jù)可以是用戶的帳號(hào)與密碼，可以是一些商用機(jī)密數(shù)據(jù)等等。隨著internet及電子商務(wù)的日益普及,internet的安全也越來越受到重視。在internet安全隱患中扮演重要角色之一的sniffer以受到越來越大的關(guān)注，這里我們主要用的是他采集數(shù)據(jù)的功能。
②端口鏡像：由于部署產(chǎn)品需要監(jiān)聽網(wǎng)絡(luò)流量（網(wǎng)絡(luò)分析儀同樣也需要），但是在目前廣泛采用的交換網(wǎng)絡(luò)中監(jiān)聽所有流量有相當(dāng)大的困難，因此需要通過配置交換機(jī)來把一個(gè)或多個(gè)端口（VLAN）的數(shù)據(jù)轉(zhuǎn)發(fā)到某一個(gè)端口來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的監(jiān)聽。
【編輯推薦】
