自己動手打造公司內(nèi)網(wǎng)監(jiān)管利器
原創(chuàng)【51CTO獨(dú)家特稿】這次經(jīng)濟(jì)危機(jī)對大型企業(yè)傷害很大，國內(nèi)除了一些內(nèi)需型的基本不受影響之外，各個公司都開始了寒冬之際的裁人行為。這期間，為了順利推行裁人，降低企業(yè)賠償金，一些平時不使用的手段大家都用了上來，一切為了讓員工犯錯，為了一切犯錯的員工。本文雖然寫的是監(jiān)控方案，但希望讀者朋友們通過下面這個故事，逆推出一些解決方案。
俗話說天有不測風(fēng)云，前兩天我還和冷陽悠閑地打劍俠世界，這兩天一過，我們老板找我談話，說要和諧人口了，公司人太多?？紤]到公司要讓我卷鋪蓋回家了，所以能利用的資源還是趕緊利用下吧。
公司雖然對網(wǎng)絡(luò)方面不太重視，可是設(shè)備還是很舍得投資的：全三層華三交換機(jī)構(gòu)建的網(wǎng)絡(luò)。為了最后做一次好人，我決定幫老板抓幾個上班亂看網(wǎng)站的家伙，讓他一口氣全開了，節(jié)約資金。
嗅探的干活
下個Sniffer Pro ，安裝過程簡單，切記要重啟，不重啟根本抓不到數(shù)據(jù)包注① 。
還有必須要下JAVA，不下不顯示儀表盤信息，打開http://www.java.com/zh_CN/ ，鮮紅的JAVA+等你到來。如圖1所示。
 |
| 圖1 |
裝好一切，就可以干活了，不過這玩意直接在局域網(wǎng)內(nèi)嗅探，是抓不到什么好東西的，所以我們還得設(shè)置端口鏡像注② 。
這次我是拿我的最貴的那臺交換機(jī)開刀的。一般路由器有兩個接口，一個外，一個內(nèi)，正常接法是外口光貓，內(nèi)口接交換機(jī)。但是這種低級的方法我不用。為啥？因為公司有錢，帶寬是100M的，這樣用很浪費(fèi)。唉，這么有錢的公司還是要開我。
最終接法是光貓接入交換機(jī)，然后路由器的兩個端口也同樣接入交換機(jī)。這樣接有兩個好處：1.可以對交換機(jī)上的其他主機(jī)設(shè)置外網(wǎng)IP；2，可以用交換機(jī)直接對各個端口進(jìn)行限速和VLAN劃分，或者隔離網(wǎng)絡(luò)。
內(nèi)網(wǎng)入口插入交換機(jī)，在23 端口；找一臺PC，接入交換機(jī)，在11端口。
開始配置H3C的交換機(jī)，鼠標(biāo)全部搞定，根本不用命令行，如圖2所示。
 |
| 圖2 |
點(diǎn)擊端口>鏡像，設(shè)置監(jiān)控口和鏡像口
 |
| 圖 |
其實如果沒有web界面，用語句寫也很簡單。telnet到交換機(jī)的IP下,開始如下操作： #p#
配置文件給個全的。這交換機(jī)基本沒有做別的用途，所以配置清單很清爽。
******************************************************************************** * Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved. * * Without the owner's prior written consent, * * no decompiling or reverse-engineering shall be allowed. * ******************************************************************************** Login authentication Username:tt （輸入用戶） Password: （輸入密碼，默顯） %Apr 12 08:38:16:685 2000 H3C SHELL/5/LOGIN:- 1 - jh(172.30.38.21) in unit1 logi ndis ^ % Incomplete command found at '^' position. System View: return to User View with Ctrl+Z. [H3C]dis cu （display current-configuration的縮寫，作用是打印配置文件，作為一個耍酷裝帥的IT工程師，簡寫是一定要學(xué)會的，要不就跟我一樣得失業(yè)。。） # sysname H3C # super password level 3 simple *******（配置沒改，明文。。。一個敬業(yè)的IT工程師一定要明文保存密碼，以保證離職之后能順利找回。） # radius scheme system # domain system # local-user h3c password simple h3c service-type telnet level 3 local-user tt password simple ******(z這里其實是明文密碼) service-type telnet level 3 # vlan 1 # interface Vlan-interface1 ip address 172.30.30.204 255.255.0.0 # interface Aux1/0/0 # interface Ethernet1/0/1 # interface Ethernet1/0/2 # interface Ethernet1/0/3 # interface Ethernet1/0/4 # interface Ethernet1/0/5 # interface Ethernet1/0/6 # interface Ethernet1/0/7 # interface Ethernet1/0/8 # interface Ethernet1/0/9 # interface Ethernet1/0/10 # interface Ethernet1/0/11 monitor-port （監(jiān)視此端口） # interface Ethernet1/0/12 # interface Ethernet1/0/13 # interface Ethernet1/0/14 # interface Ethernet1/0/15 interface Ethernet1/0/16 # interface Ethernet1/0/17 # interface Ethernet1/0/18 # interface Ethernet1/0/19 # interface Ethernet1/0/20 # interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both （限速還有鏡像此端口） # interface Ethernet1/0/22 # interface Ethernet1/0/23 line-rate inbound 32000 line-rate outbound 40000 # interface Ethernet1/0/24 # interface GigabitEthernet1/1/1 # interface GigabitEthernet1/1/2 # interface GigabitEthernet1/1/3 # interface GigabitEthernet1/1/4 # undo irf-fabric authentication-mode # # voice vlan mac-address 0001-e300-0000 mask ffff-ff00-0000 # snmp-agent snmp-agent local-engineid 800063A2000FE25E69A26877 snmp-agent sys-info version v3 # user-interface aux 0 7 ser-interface vty 0 4 authentication-mode scheme # return |
華為的機(jī)器其實很簡單，比如手工設(shè)置21端口，給他限速和端口鏡像。
interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both |
配置部分是這樣的，我們可以逆推出命令行，telnet到交換機(jī)：
[H3C]int（輸入3個字母之后點(diǎn)tab可以自動連寫后面可能存在的單詞） [H3C]interface [H3C]interface ?（命令后面帶？可以列出可能可以使用的參數(shù)） Aux Aux interface Ethernet Ethernet interface GigabitEthernet GigabitEthernet interface LoopBack LoopBack interface NULL NULL interface Vlan-interface VLAN interface [H3C]interface Ethernet ? <1-1> Unit number（提示你給哪個單元接口設(shè)置） [H3C]interface Ethernet 1/0/21 [H3C-Ethernet1/0/21] [H3C-Ethernet1/0/21]mirroring-port both [H3C-Ethernet1/0/21]sa（保存配置文件） |
同志們仔細(xì)看，所謂的配置文件完全是積木一樣堆積命令行而成的，配置交換機(jī)的綜合難度非常低。當(dāng)然，以上操作的目的就是為了完成最開始用鼠標(biāo)兩下就解決的問題。 #p#
完成任務(wù)繼續(xù)下面走，看Sniffer pro是工作的。
因為配置好了鏡像，所以嗅探器工作正常，打開后有個儀表盤，數(shù)據(jù)很直觀。如圖3所示
 |
| 圖3 |
點(diǎn)第2排按鈕中的電腦圖標(biāo)，看個排行榜，然后左下角選擇成IP模式，因為模式是顯示MAC地址的，很不直觀。
看到了吧，排行榜前頭的就是用流量最大的，如果機(jī)器卡，毫無疑問，這些娃娃要罰錢了。因為今天我的目的就是罰錢，所以前10名里頭我準(zhǔn)備一個都不放過，如圖4所示。
 |
| 圖4 |
繼續(xù)后面操作，點(diǎn)矩陣那個按鈕，可以看到下面的寶貝，如圖5所示
| 圖5 |
最右邊如果集中到一個點(diǎn)，說明大部分人訪問這個站。反之同理。左邊的集中到一個點(diǎn)，那這個人很可能在迅雷，所以鏈接很多IP。順便看看排行榜。過了10分鐘最后，右邊開始有大量線條集中到左邊一個IP，我很容易又抓到一個人開始罰款。
再旁邊可以看到這個按鈕，不過這玩意用處不大。他顯示的是一個服務(wù)器到客戶端響應(yīng)時間的排行榜，如圖6所示。
 |
| 圖6 |
接下來，讓我們知道協(xié)議分布，不過Sniffer只可以監(jiān)不能控。知道了也沒大作為。 當(dāng)然我的目的就是只監(jiān)不控，一切為了罰款和裁員！如圖7所示。
 |
| 圖7 |
我們點(diǎn)一下工具欄按鈕的捕獲，好玩的東西來了。如圖8所示
 |
| 圖8 |
點(diǎn)一下左邊的objects ，如圖9所示
 |
| 圖9 |
協(xié)議，雙方地址，后面還有訪問的毫秒數(shù)，一些其他信息，訪問時間等等。非常適合抓捕現(xiàn)行犯，從上圖我們可以看到有個可憐的孩子正在上youku，毫無疑問，這是要罰款的。
點(diǎn)一下左邊的connection，顯示一下當(dāng)前連接，如圖10所示。
 |
| 圖10 |
下圖就相當(dāng)詳細(xì)了。很有用。還能看到這個鏈接已經(jīng)交流了多少數(shù)據(jù)量……，如圖11所示。
 |
| 圖11 |
這小子下了778M。
注：
①嗅探的意義：sniffer是一種常用的收集有用數(shù)據(jù)方法，這些數(shù)據(jù)可以是用戶的帳號與密碼，可以是一些商用機(jī)密數(shù)據(jù)等等。隨著internet及電子商務(wù)的日益普及,internet的安全也越來越受到重視。在internet安全隱患中扮演重要角色之一的sniffer以受到越來越大的關(guān)注，這里我們主要用的是他采集數(shù)據(jù)的功能。
②端口鏡像：由于部署產(chǎn)品需要監(jiān)聽網(wǎng)絡(luò)流量（網(wǎng)絡(luò)分析儀同樣也需要），但是在目前廣泛采用的交換網(wǎng)絡(luò)中監(jiān)聽所有流量有相當(dāng)大的困難，因此需要通過配置交換機(jī)來把一個或多個端口（VLAN）的數(shù)據(jù)轉(zhuǎn)發(fā)到某一個端口來實現(xiàn)對網(wǎng)絡(luò)的監(jiān)聽。
【編輯推薦】
