Come utilizzare Network Monitor per acquisire il traffico di rete

In questo articolo vengono illustrate diverse procedure consigliate da utilizzare quando si utilizza Microsoft Network Monitor (Netmon.exe) per acquisire il traffico di rete.

Una traccia di rete dispone di una qualsiasi delle seguenti caratteristiche potrebbe impedire l'analisi del traffico di rete acquisiti esito positivo:

• La traccia di rete non contiene tutto il traffico di rete necessarie.
• Contiene troppo traffico di rete non necessari.
• Esso non è accompagnato da nome computer e informazioni sull'indirizzo del computer interessati.

Definizioni

In questo articolo vengono utilizzate le seguenti definizioni:

• Acquisire (o Trace): il traffico di rete raccolti e salvati utilizzando Microsoft Network Monitor (Netmon.exe).
• Monitor computer: il computer che esegue Network Monitor.
• Computer di destinazione: computer traffico di cui rete Netmon.exe acquisisce.
• Indirizzo di destinazione: indirizzo di protocollo specifiche del computer di destinazione.

Disponibilità del traffico di computer di destinazione per il monitor del computer

Se non sono in esecuzione Network Monitor sul computer di destinazione, assicurarsi che tutto il traffico di rete dal computer di destinazione sia disponibile per la scheda di rete del computer monitor. Per effettuare questa operazione in Ethernet l'ambiente, connettersi al computer di monitor e computer di destinazione a un hub di rete. Se il computer monitor e di destinazione si trovano su una rete commutata (ad esempio, sono connessi a un commutatore Ethernet), tutto il traffico di rete a e dalla destinazione computer potrebbe non essere disponibile per il computer del monitor.

Nota In genere, un hub presenta tutti i pacchetti di rete per tutte le rete interfacce (o porte) e un commutatore presenta tutti i pacchetti alla porta desiderata. Gli switch più complessi potrebbero consentire le opzioni per il filtraggio dei pacchetti multicast e avanzate porta per porta bridging di rete acquisisce e monitoraggio.

Database indirizzi

Per trovare e salvare gli indirizzi di computer di destinazione:

Insieme di indirizzi post-Capture

1. Se l'acquisizione di rete non è visibile (ad esempio, se si fa clic su Interrompi dal menu anziché Interrompi e Visualizzaacquisizione o se un trigger di acquisizione è stata in vigore), fare clic su Visualizza dati acquisiti dal menu acquisizione o premere il tasto F12 per visualizzare i dati acquisiti.
2. Dal menu Visualizza scegliere Trova tutti i nomi.
3. Il messaggio che informa che un determinato numero di nomi sono stato trovato nei dati acquisiti, fare clic su OK.
4. Salvare il database di indirizzi come descritto nella sezione Saving an Address Database di questo articolo.

Salvataggio di un database indirizzi

I file di database indirizzi potrebbero diventare imprecisi se l'indirizzo del computer di destinazione viene modificato. Questo problema può verificarsi se Dynamic Host Configuration Protocol (DHCP) lease scade o sostituire la scheda di rete. Si consiglia pertanto di che si salva database indirizzi specifici di Network Monitor acquisisce.

Per salvare il database di indirizzi in memoria in Network Monitor in un file .adr:

1. In Network Monitor, fare clic su indirizzi dal menu acquisizione.
   
   Nota Se il ritaglio: n (riepilogo) nella finestra di dialogo è aperta, non viene visualizzato il menu ritaglio.
2. Fare clic su Salva, digitare un nome descrittivo nella casella nome file e quindi fare clic su Salva.

Insieme di indirizzi pre-Capture: Target computer è in rete

1. In Network Monitor, fare clic su Risolvi indirizzi dal nome dal menu Strumenti.
   
   Nota Questo comando disponibile solo nella versione di Network Monitor fornita con Microsoft Systems Management Server (SMS).
2. Immettere il nome del computer di destinazione nell'elenco nome e quindi fare clic su Risolvi.
   
   A seconda della rete e configurazione del computer di destinazione e le opzioni di risoluzione dei nomi disponibili, Network Monitor potrebbe elencare gli indirizzi tipici, ad esempio Ethernet, Token Ring, IP e IPX/XNS associati ai computer di destinazione.
   • Se il nome viene risolto, fare clic su Salva indirizzi per aggiungere gli indirizzi per il database di indirizzi in memoria in Network Monitor.
   • Se non viene risolto il nome e viene visualizzato un messaggio di "Indirizzo non trovato", provare a salvare computer di destinazione fuori rete come descritto nel Pre-Capture Address Collection: Target Computer is off the Network sezione di questo articolo.
3. Fare clic su Chiudi e quindi salvare il database indirizzi.

Insieme di indirizzi pre-Capture: Target computer è fuori rete

Per utilizzare la procedura riportata di seguito, è necessario conoscere l'indirizzo di destinazione. Si consiglia di utilizzare l'indirizzo MAC (MAC) del computer di destinazione. I filtri di acquisizione impostati per i protocolli specifici, quali IP, potrebbero causare Network Monitor ignorare il traffico altro protocollo, ad esempio IPX/XNS.

1. Fare clic su indirizzi dal menu acquisizione e quindi fare clic su Aggiungi.
2. Nella casella nome digitare il nome del computer di destinazione.
3. Digitare l'indirizzo del computer di destinazione nella casella indirizzo, ad esempio, digitare l'indirizzo IP di 192.247.26.40.
4. Nell'elenco tipo selezionare il tipo di indirizzo utilizzato nella casella indirizzo. Ad esempio, fare clic su IP.
5. Fare clic su OK per aggiungere l'indirizzo a Network Monitor indirizzo in memoria in database.
6. Salvare il database indirizzi.

Filtri di acquisizione

Gli esempi seguenti illustrano come configurare diversi filtri comuni di acquisizione. Microsoft consiglia di impostare il filtro per il codice MAC indirizzo del computer di destinazione (ad esempio l'indirizzo ETHERNET), se possibile. I filtri di acquisizione impostati per i protocolli specifici, quali IP, causerà Network Monitor per ignorare l'altro traffico del protocollo, ad esempio IPX/XNS.

Acquisire il traffico su tutti gli in e da un computer di destinazione

1. Scegliere filtro dal menu acquisizione.
2. Fare doppio clic sul AND (coppie di indirizzi) nodo.
3. Nell'elenco nomeStazione 1, fare clic sul nome del computer di destinazione cui si desidera raccogliere i dati.
4. Nella casella orientamento, fare clic su <--> e quindi fare clic su OK.

Acquisire tutti Traffic Between Two Target Computers

1. Scegliere filtro dal menu acquisizione.
2. Fare doppio clic sul AND (coppie di indirizzi) nodo.
3. Nell'elenco nomeStazione 1, fare clic sul nome del computer di destinazione cui si desidera raccogliere i dati.
4. Nella casella orientamento, fare clic su <-->.
5. Nell'elenco nomeStazione 2, fare clic sul nome di altri computer di destinazione cui si desidera raccogliere i dati.
6. Fare clic su OK e quindi fare clic su OK.

Salvataggio di un filtro di acquisizione

Per salvare un filtro di acquisizione di Network Monitor in un file .cf:

1. Scegliere filtro dal menu acquisizione.
2. Fare clic su Salva, digitare un nome descrittivo nella casella nome file e quindi fare clic su Salva.

Buffer di acquisizione

Per impostazione predefinita, Network Monitor può salvare acquisizioni di fino a 1 gigabyte (GB). Per modificare l'impostazione predefinita di 1 MB, fare clic su buffer impostazioni dal menu di Network Monitor Capture.

• Verificare che la dimensione del buffer sia sufficiente per acquisire il traffico di rete sufficienti. Per determinare una previsione tipica, impostare un filtro di acquisizione appropriato a fronte di un client funzionante e quindi eseguire un'acquisizione di test. Se acquisizione salvato è la stessa dimensione l'impostazione del buffer, è necessario ingrandire il buffer. Una regola generale è quello di aumentare il buffer di un fattore due.
• Verificare che le impostazioni della memoria virtuale (file di paging) del computer monitor è in grado di gestire la dimensione massima che si desidera salvare.

Trigger di acquisizione

Trigger di acquisizione vengono in genere impostati per le situazioni in cui è difficile evitare di sovraccaricare il buffer di acquisizione. Questo problema si verifica spesso se è vera una delle seguenti condizioni:

• In modo affidabile non è possibile riprodurre il problema che si sta indagando utilizzando una procedura specifica.
• In modo efficace non è possibile coordinare le azioni in computer monitor e di destinazione.
• È necessario acquisire tutto il traffico da e verso un server con carico elevato. Ad esempio, è necessario eseguire questa operazione per la diagnosi delle violazioni di blocco del file.

Per progettare un trigger di acquisizione, è in genere necessario derivare un modello di byte per un determinato offset da un esempio di pacchetto. Ad esempio, l'offset per il SMB 'Errore di sistema del codice di stato' è diverso per NBT (trasporto NetBIOS over IP) e SMB Direct Hosting (porta TCP/UPD 445). Nell'esempio seguente viene illustrato come impostare un trigger di acquisizione viene interrotta l'acquisizione quando si tenta di connettersi a una condivisione non esistente in un server esistente. Nell'esempio non contiene alcun dettaglio del filtro di acquisizione.

Il messaggio di errore di esempio è il codice di errore Win32 0xC00000CC. Il codice di errore viene visualizzato in un'acquisizione nel SMB ' codice di stato di errore di sistema 'campo come' STATUS_BAD_NETWORK_NAME '. Questo errore è definito in 'ntstatus.h'. Microsoft Software Development Kit (SDK) include questa definizione. Per ulteriori informazioni, visitare il seguente sito Web Microsoft:Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

1. Sul computer di monitor:
   1. Avviare Network Monitor.
   2. Dal menu acquisizione fare clic su trigger.
   3. In trigger nel, fare clic su corrispondenza motivo.
   4. Nella casella motivo, fare clic su da inizio del frame e quindi fare clic su esadecimale.
   5. Nella casella offset (esad.) digitare 3f.
   6. Nella casella motivo digitare cc0000c0
      
      Nota: il pattern di byte little-endian è equivalente all'errore DWORD 0xC00000CC.
   7. Nella casella Azione di trigger, fare clic su Interrompi acquisizione e quindi fare clic su OK.
   8. Scegliere Avvia dal menu acquisizione.
2. Nel computer di destinazione:
   1. Fare clic sul pulsante Start e quindi fare clic su Esegui.
   2. Nella casella Apri digitare \\ servername \ invalid-sharename, dove servername è un nome di server valido e dove invalid-sharename è il nome di una condivisione non esiste.
   3. Fare clic su OK. Il messaggio che informa che è Impossibile trovare il nome di rete, fare clic su OK
3. Sul computer di monitor:
   1. L'acquisizione viene interrotta automaticamente. Scegliere Salva con nome dal menu file.
   2. Digitare un nome descrittivo per l'acquisizione nella casella nome file e quindi fare clic su Salva.

Risoluzione dei problemi

• Utilizzare nomi descrittivi quando si salva il traffico di rete acquisiti..
  
  Quando si salva un'acquisizione di monitor di rete, è utile utilizzare un nome file descrittivo. Ad esempio:
  Computer1_connect_failure_05_dec_2002.adr
  Anche se un file di acquisizione contiene l'ora del giorno, la data potrebbe non essere verificabile, in particolare se il file viene modificato o ovvio. Potrebbe essere necessario modificare i file di acquisizione durante l'analisi. Ad esempio, la coppia di server pacchetti client o server Message Block (SMB) dipende dall'indirizzo MAC. Un router tra un client e un computer server potrebbe nascondere l'indirizzo MAC. Network Monitor potrebbe non analizzare completamente alcune risposte in questa situazione, ad esempio le risposte di riferimento del sistema (distribuito DFS) di Distributed file. Alcune versioni di Network Monitor consentono di modificare l'acquisizione. Di conseguenza, è possibile sostituire l'indirizzo MAC router con quello del server di destinazione. In questo modo il SMB parser per suddividere il pacchetto indicato in un modulo più leggibile.
• Assicurarsi che gli orologi vengono sincronizzati tra i computer..
  
  Per molte procedure di diagnostiche, è necessario disporre di un evento o il debug del componente e le tracce di Network Monitor del problema. Per fare riferimento correttamente cross altri file di log con le tracce di Network Monitor, è necessario disporre gli orologi sincronizzati tra computer.
• Informazioni di indirizzo IP the salvare..
  
  Poiché la scadenza del lease DHCP può causare modifiche all'indirizzo IP sul client di computer, è necessario registrare o salvare l'indirizzo IP rilevante acquisisce informazioni durante Network Monitor.
• Tenta di avviare l'acquisizione prima che il problema si verifica..
  
  Acquisire il traffico è necessaria e sufficienti per documentare un problema. A tale scopo, è necessario avviare un'acquisizione prima di effettuare la connessione tra due computer di destinazione prima e interrompere dopo che si verifica il comportamento del problema. Con il protocollo SMB, ad esempio, le operazioni sui file operare contro gli handle. Conoscere il nome di file, è necessario aprire il file di acquisizione (o creare) operazione.
• Tenta di acquisire le tracce "success" e "failure"..
  
  Se è possibile acquisire le tracce in cui si è verificato il problema e in cui non viene eseguita. È consigliabile acquisire queste tracce contro lo stesso computer di destinazione. Se non è possibile farlo, tentare di acquisire dalla configurazione più vicino possibile e ambiente di rete che è possibile creare. Ad esempio, entrambi i computer di destinazione devono comunicare con lo stesso server o lo stesso computer client deve comunicare con i server configurati in modo analogo.
• Azioni documento che generano traffico di rete significativi..
  
  Documentare le azioni che consentono di eseguire sul computer di destinazione i computer per generare il traffico di rete significativi. Ad esempio in un indirizzo IP ambiente è possibile semplificare il riferimento incrociato dell'acquisizione di attività degli utenti, attività di programmi o attività dei file batch. A tale scopo, eseguire i comandi occasionale ping a un indirizzo IP univoco immediatamente prima delle attività e dopo le attività.

Per ulteriori informazioni, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportato di seguito: Per ulteriori informazioni sull'utilità CAPTURE di Network Monitor incluso in Windows XP, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato: