NetAnalyzer电脑版

NetAnalyzer电脑版是一款把网络数据采集、报文协议解析、统计与流量监控整合在一起的工具，适合网络管理员和网络软件开发人员日常使用。它能对抓到的原始数据做进一步还原，辅助定位异常流量和排查网络故障。软件目前支持60多种协议，覆盖TCP/IP模型各层，兼容EthernetII、PPP、Cisco HDLC、Linux SLL等底层网络。除了本机抓包，它还提供远程抓包能力，方便对远端机器进行监控。

协议支持与数据查看

1、 已支持60多种协议，范围覆盖TCP/IP协议模型的各个层次

2、 底层网络类型包括EthernetII、PPP、Cisco HDLC、Linux SLL等多种形式

3、 可以查看TCP、UDP的载荷数据，便于核对原始报文内容

4、 针对国内用户提供了多种中文编码方式，中文数据显示更直观

远程抓包与故障侦测

- 软件带有远程抓包功能，可对远端机器实施监控

- 远程抓包，能够侦测并排除网络问题，减少现场排查的麻烦

- 采集到的数据可结合分析工具做深入还原，帮助定位异常

抓取环回地址数据包的方法

- 先用route add添加本地IP地址跳转，让数据经过指定网关再回到本机

- 抓包完成后用route delete移除跳转，避免不必要的跳转拖慢系统网络效率

- 示例中192.168.1.110为本机IP地址，子网掩码视情况而定

- 若不清楚具体IP地址，可在DOS中通过ipconfig查看

- 添加命令示例：route add 192.168.1.110 mask 255.255.255.255 192.168.1.1 metric 1

- 删除命令示例：route delete 172.21.1.110 mask 255.255.255.255 172.21.1.254 metric 1

拨号上网环境下的过滤写法

1、 部分地方仍在使用拨号上网（ASDL），这类环境抓包时按TCP或UDP端口设置的过滤表达式常常不起作用

2、 原因是拨号上网在IP层上封装了PPP协议，再通过PPPoE封装PPP协议

3、 这种环境下Winpcap使用的过滤表达式与一般方式不同，需要采用pppoes and (XXX)的写法

4、 示例：pppoes and (ip host 192.168.0.1 and tcp port 80)

Winpcap文件分离与自动安装

1、 为配合NetAnalyzer2016发布，将Winpcap原始安装包中的主要文件分离出来，用于实现软件自动安装

2、 分离出的文件分x86和x64两套，分别对应不同系统

3、 npf.sys需复制到C:\Windows\System32\drivers文件夹下

4、 其余三个文件Packet.dll、pthreadVC.dll、wpacp.dll，x86复制到C:\Windows\System32，x64复制到C:\Windows\SysWOW64

5、 注册驱动命令：sc create npf binPath= System32\drivers\npf.sys type= kernel start= auto error= normal tag= no DisplayName= "NetGroup Packet Filter Driver"

6、 自动安装脚本会判断%processor_architecture%是x86还是x64，再分别执行对应复制操作

• 7. 脚本中同时包含删除操作
• 用于清理System32和SysWOW64下的npf.sys
• Packet.dll
• pthreadVC.dll
• wpcap.dll等文件