我們看一下，Sniffer究竟有什么用？
第一，Sniffer可以幫助我們評估業(yè)務(wù)運行狀態(tài)，如果你能告訴老板說，我們的業(yè)務(wù)運行正常，性能良好，比起你跟老板報告說網(wǎng)絡(luò)沒有問題，我想老板會更愿意聽前面的報告，但我們要做這樣的報告，光說是不行的，必須有根據(jù)，我們能提供什么樣的根據(jù)呢。比如各個應(yīng)用的響應(yīng)時間，一個操作需要的時間，應(yīng)用帶寬的消耗，應(yīng)用的行為特征，應(yīng)用性能的瓶頸等等，到第二門課，我會告訴大家怎么做到有根有據(jù)。
第二，Sniffer能夠幫助我們評估網(wǎng)絡(luò)的性能，比如，各連路的使用率，網(wǎng)絡(luò)的性能的趨勢，網(wǎng)絡(luò)中哪一些應(yīng)用消耗最多帶寬，網(wǎng)絡(luò)上哪一些用戶消耗最多帶寬，各分支機構(gòu)流量狀況，影響我們網(wǎng)絡(luò)性能的主要因素，我們可否做一些相應(yīng)的控制，等等
第三，Sniffer幫助我們快速定位故障，這個大家比較有經(jīng)驗，我們記住Sniffer的三大功能：monitor,expert,decode這三大功能都可以幫助我們快速定位故障，我后面通過案例演示給大家看，大家再做做實驗，很快就上手了（同學(xué)問：范老師，是否要學(xué)Sniffer必須對協(xié)議很熟，）不一定，我們可以通過Sniffer來學(xué)習(xí)各種協(xié)議，比如ospf,以前學(xué)網(wǎng)絡(luò)的時候，講OSPF的LSA好像很復(fù)雜，你用Sniffer看看，其實他的協(xié)議結(jié)構(gòu)還是不復(fù)雜的，一般情況下，我會要求學(xué)Sniffer的學(xué)員有CCNP的基礎(chǔ)，或者有幾年的網(wǎng)絡(luò)管理經(jīng)驗，我自己也是這樣，剛開始只是用Sniffer抓抓包，抓下來也不知道怎么分析，當(dāng)我學(xué)完CCNP后，學(xué)了CIT，以為自己不錯了，會排除很多網(wǎng)絡(luò)故障，但實際上很多問題我還是解決不了，比如網(wǎng)絡(luò)慢，他又不斷，斷了我很快能解決，網(wǎng)絡(luò)慢，或者丟包，一般的排錯知識還是很難的，那時候開始學(xué)Sniffer，才發(fā)現(xiàn)很好用
第四，Sniffer可以幫助我們排除潛在的威脅，我們網(wǎng)絡(luò)中有各種各樣的應(yīng)用，有一些是關(guān)鍵應(yīng)用，有一些是OA，有一些是非業(yè)務(wù)應(yīng)用，還有一些就是威脅，他不但對我們的業(yè)務(wù)沒有幫助，還可能帶來危害，比如病毒、木馬、掃描等，Sniffer可以快速地發(fā)現(xiàn)他們，并且發(fā)現(xiàn)攻擊的來源，這就為我們做控制提供根據(jù)，比如我們要做QOS，不是說隨便根據(jù)應(yīng)用去分配帶寬就解決了，我們要知道哪一些應(yīng)用要多少帶寬，帶寬如何分配，要有根有據(jù)。我們再回過頭看一下Sniffer什么時候開始流行的，再2003年沖擊波發(fā)作的時候，很多Sniffer的用戶通過Sniffer快速定位受感染的機器，后來很多人都知道Sniffer可以用來發(fā)現(xiàn)病毒，Sniffer的知名度暴漲，盜版用戶也暴漲（同學(xué)們大笑），后來震蕩波發(fā)作的時候，很多人用Sniffer來協(xié)助解決問題。我想強調(diào)的是Sniffer不是防病毒工具，這也只是他的一個用途，而且只對蠕蟲類型對網(wǎng)絡(luò)影響大的病毒有效，對于文件型的病毒，他很難發(fā)現(xiàn)。
另外要說明的事，Sniffer還可以用來排除來自內(nèi)部的威脅，現(xiàn)在我們網(wǎng)絡(luò)中有各種各樣的網(wǎng)絡(luò)安全產(chǎn)品，防火墻、IDS、防病毒軟件，他們都有相應(yīng)的功能，但真的有效嗎，能解決全部威脅嗎，我們要進行評估，用Sniffer就能評估內(nèi)網(wǎng)的安全狀況，有沒有病毒，有沒有攻擊，有沒有掃描，像防火墻、IDS、防病毒軟件他們都是后知后覺的，它必須有特征才能阻絕，而Sniffer是即時監(jiān)控的工具，通過發(fā)現(xiàn)網(wǎng)絡(luò)中的行為特征，判斷網(wǎng)絡(luò)是否有異常流量，所以Sniffer可能比防病毒軟件更快地發(fā)現(xiàn)病毒。我在神州數(shù)碼的時候，沖擊波震蕩波都是我縣發(fā)現(xiàn)的，有趣的是當(dāng)時我都在上Sniffer的課，中午休息，我把sniffer駕到公司網(wǎng)絡(luò)，再Hosttable看到廣州一臺機器很多廣播，接著廣州另外一臺機器也開始發(fā)廣播，接著深圳也感染了，我馬上通知IT管理人員，他們把這幾臺機器斷網(wǎng)，后來才知道有沖擊波病毒，防病毒軟件還不能殺。
剛才講到異常流量，這是一個很重要的概念，什么是異常流量？我們怎么判斷是否異常，這又涉及另外一個概念，叫基準(zhǔn)線分析，什么是基準(zhǔn)線，基準(zhǔn)線是指我們網(wǎng)絡(luò)正常情況下的行為特征，包括利用率、應(yīng)用響應(yīng)時間、協(xié)議分布，各用戶貸款消耗等，不同工程師會有不同基準(zhǔn)線，因為他關(guān)心的內(nèi)容不同，只有知道我們網(wǎng)絡(luò)正常情況下的行為特征，我們才能判斷什么是異常流量。
第五，做流量的趨勢分析，通過長期監(jiān)控，可以發(fā)現(xiàn)網(wǎng)絡(luò)流量的發(fā)展趨勢，為我們將來網(wǎng)絡(luò)改造提供建議和依據(jù)
第六點就是應(yīng)用性能預(yù)測，這點很有用，會用的人不多，我們第二門課會講，Sniffer能夠根據(jù)捕獲的流量分析一個應(yīng)用的行為特征，比如，你現(xiàn)在有一個新的應(yīng)用，還沒有上線，我能評估他上線后的性能，比如在用戶在網(wǎng)絡(luò)中心有多快，用戶在省中心有多快，用戶在市中心有多快，都可以提供量化的預(yù)測，準(zhǔn)確率挺高的，誤差不超過10%。我們還可以用她來評估應(yīng)用的瓶頸在哪，不同應(yīng)用瓶頸不同，比如有些應(yīng)用慢了，增加網(wǎng)絡(luò)帶寬效果很明顯，比如FTP這種應(yīng)用，有些應(yīng)用慢了增加帶寬沒什么效果，比如TELNET應(yīng)用，我們還可以預(yù)測網(wǎng)絡(luò)帶寬增加的效果，比如我將2兆提高到8兆應(yīng)用性能有多大的提升，Sniffer能比較準(zhǔn)確地預(yù)測