Protokollanalysatoren, auch als Netzwerk -Sniffer oder Paketschnüffler bekannt, erfassen alle Frames (oder Pakete) in einem Netzwerksegment mithilfe einer Technik namens Promiscuous -Modus .

So funktioniert es:

1. Konfiguration Netzwerkschnittstellenkarte (NIC): Eine normale NIC empfängt nur Frames, die an eine eigene MAC -Adresse gerichtet sind. Die NIC eines Protokollanalysators wird in den promiskuitiven Modus gebracht. Dies verändert das Verhalten der NIC.

2. Operation Promiscuous -Modus: Im promiscuous -Modus empfängt die NIC, alle im Netzwerksegment, unabhängig von ihrer Ziel -MAC -Adresse übertragen. Im Wesentlichen kopiert es jeden Rahmen, den es auf dem Draht sieht.

3. Erfassungs- und Filterung: Die Protokollanalysator -Software erhält dann diese erfassten Frames von der NIC. Während es anfänglich alles erfasst, ermöglicht es oft Filterung. Mit dieser Filterung können Sie Kriterien (z. B. spezifische Protokolle, IP -Adressen, Portnummern) angeben, um sich auf den relevanten Verkehr zu konzentrieren und den Analysator mit unnötigen Daten zu überwältigen. Die ungefilterte Erfassung wird häufig für eine spätere Analyse in einer Datei gespeichert.

4. Zugriff auf physische Schicht: Die Methode zum Zugriff auf die physische Ebene des Netzwerks unterscheidet sich basierend auf dem Verbindungstyp. Für Kabelnetzwerke (Ethernet) erfolgt dies in der Regel über eine direkte Verbindung zum Netzwerkschalter oder Hub. WLAN -Netzwerke verwenden einen drahtlosen Adapter im Monitor -Modus.

Wichtige Überlegungen:

* ethische und rechtliche Auswirkungen: Die Verwendung eines Protokollanalysators erfordert sorgfältige Berücksichtigung ethischer und rechtlicher Auswirkungen. Die Erfassung von Netzwerkverkehr ohne Erlaubnis ist in vielen Gerichtsbarkeiten illegal.

* Leistungsauswirkungen: Die Erfassung aller Netzwerkverkehr kann die Netzwerkleistung erheblich beeinflussen, insbesondere in langsameren Netzwerken oder solchen mit hohem Verkehrsvolumina.

* Netzwerktopologie: Die Wirksamkeit der Erfassung aller Rahmen hängt von der Netzwerktopologie ab. Wenn Sie beispielsweise den gesamten Datenverkehr in einem geschalteten Netzwerk erfassen, müssen der Analysator an einem Ort platziert, an dem er den Verkehr "sehen" kann. Im Gegensatz dazu würde der Analysator in einem Hub-basierten Netzwerk den gesamten Verkehr erhalten, da ein Hub alle Frames an alle verbundenen Geräte überträgt.

Zusammenfassend lässt sich sagen, dass der Schlüssel für die Fähigkeit eines Protokollanalysators, alle Frames zu erfassen, in der Kombination des Promiscuous -Modus der NIC und der Fähigkeit seiner Software, die erfassten Daten zu empfangen und zu verarbeiten, zu erfassen.