在我們進行網絡協議分析的時候，可以借助網絡協議分析儀來進行觀察。那么這里我們就針對網絡分析儀進行一下講解。分析網絡中傳輸數據包的最佳方式很大程度上取決于你手頭擁有什么設備.在網絡技術發展的早期階段（使用HUB或集線器的共享網絡時代）,答案很簡單,只須將線路插在一臺集線器上,一切就搞定了——那就是使用協議分析儀.

協議分析儀就是能夠捕獲網絡報文的設備.協議分析儀的正當用處在于撲捉分析網絡的流量,以便找出所關心的網絡中潛在的問題.例如,假設網絡的某一段運行得不是很好,報文的發送比較慢,而我們又不知道問題出在什么地方,此時就可以用網絡協議分析儀來作出精確的問題判斷.

協議分析儀在功能和設計方面有很多不同.有些只能分析一種協議,而另一些能夠分析幾百種協議.一般情況下,大多數的嗅探器至少能夠分析下面的協議:

以太網

TCP/IP

IPX

DECNet

其它……

網絡協議分析儀通常是軟硬件的結合,通常使用專用硬件或設置為專用方式的網卡實施對網絡中的數據撲捉.捕獲在網絡中傳輸的數據信息方法稱為sniffing（嗅探）.

以太網協議是在同一回路向所有主機發送數據包信息.數據包頭包含有目標主機的正確地址.一般情況下只有具有該地址的主機會接受這個數據包.如果一臺主機能夠接收所有數據包,而不理會數據包頭內容,這種方式通常稱為"混雜"模式(P 模式).這是協議分析儀撲捉數據的基礎,它的產生是由共享網絡的方式而來的.

對于今天的以太網交換機,答案開始變成"視情況而定".根據設計,大多數交換機不允許用戶查看從服務器到工作站的流量狀況（用戶正在使用的那臺工作站除外）.事實上,這種情況通過端口映射技術可能解決.具體來講,就是將傳送到交換機上某個端口的傳輸流復制到另一個端口.但需要注意的是,目前的交換機又分為可管理的交換機和不可管理的交換機,不可管理的交換機價格比可管理的交換機要便宜,但通常缺少進行端口映射的能力.有些交換機雖然自稱是可管理的,但實際上可能不過是支持SNMP,也許仍不具有端口映射功能.在用戶為網絡購買新交換機時,這是一個需要搞清楚的重要問題.

如果用戶的交換機不支持端口映射,也有方法來解決.這些方法對于在交換環境下的協議分析工作來說更加常用:

廉價和方便的方法:可以在被測試的工作站與網絡之間安裝一臺集線器.將網絡協議分析儀連接到這臺集線器上,觀察兩個方向的傳輸流.

昂貴和專業的方法:使用專業的以太網測試接口盒（TAP）聯機安裝在被測網絡上,無需在使用的分析儀內執行額外的過濾就可查看一個方向的會話情況.這意味著用戶不能同時看到全部的會話,因此也許需要進行一些額外的數據包捕獲,來掌握全部情況.

協議分析儀原本是網絡工程師的常用工具,不過被人利用來做其他的目的也是非常常見的.現今的黑客們都熟練地使用著功能強大的協議分析儀,這本來就是一個工具的兩面性.

對于能使用協議分析儀的人員來說,本身他的權利就是很大的,如果他用這東西來干些什么,很難阻止的.這個工具用在安全角度,即有用又有害.就象刀子一樣,看它拿在誰的手中了。