自己動手打造公司內網監管利器
原創【51CTO獨家特稿】這次經濟危機對大型企業傷害很大，國內除了一些內需型的基本不受影響之外，各個公司都開始了寒冬之際的裁人行為。這期間，為了順利推行裁人，降低企業賠償金，一些平時不使用的手段大家都用了上來，一切為了讓員工犯錯，為了一切犯錯的員工。本文雖然寫的是監控方案，但希望讀者朋友們通過下面這個故事，逆推出一些解決方案。
俗話說天有不測風云，前兩天我還和冷陽悠閑地打劍俠世界，這兩天一過，我們老板找我談話，說要和諧人口了，公司人太多?？紤]到公司要讓我卷鋪蓋回家了，所以能利用的資源還是趕緊利用下吧。
公司雖然對網絡方面不太重視，可是設備還是很舍得投資的：全三層華三交換機構建的網絡。為了最后做一次好人，我決定幫老板抓幾個上班亂看網站的家伙，讓他一口氣全開了，節約資金。
嗅探的干活
下個Sniffer Pro ，安裝過程簡單，切記要重啟，不重啟根本抓不到數據包注① 。
還有必須要下JAVA，不下不顯示儀表盤信息，打開http://www.java.com/zh_CN/ ，鮮紅的JAVA+等你到來。如圖1所示。
 |
| 圖1 |
裝好一切，就可以干活了，不過這玩意直接在局域網內嗅探，是抓不到什么好東西的，所以我們還得設置端口鏡像注② 。
這次我是拿我的最貴的那臺交換機開刀的。一般路由器有兩個接口，一個外，一個內，正常接法是外口光貓，內口接交換機。但是這種低級的方法我不用。為啥？因為公司有錢，帶寬是100M的，這樣用很浪費。唉，這么有錢的公司還是要開我。
最終接法是光貓接入交換機，然后路由器的兩個端口也同樣接入交換機。這樣接有兩個好處：1.可以對交換機上的其他主機設置外網IP；2，可以用交換機直接對各個端口進行限速和VLAN劃分，或者隔離網絡。
內網入口插入交換機，在23 端口；找一臺PC，接入交換機，在11端口。
開始配置H3C的交換機，鼠標全部搞定，根本不用命令行，如圖2所示。
 |
| 圖2 |
點擊端口>鏡像，設置監控口和鏡像口
 |
| 圖 |
其實如果沒有web界面，用語句寫也很簡單。telnet到交換機的IP下,開始如下操作： #p#
配置文件給個全的。這交換機基本沒有做別的用途，所以配置清單很清爽。
******************************************************************************** * Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved. * * Without the owner's prior written consent, * * no decompiling or reverse-engineering shall be allowed. * ******************************************************************************** Login authentication Username:tt （輸入用戶） Password: （輸入密碼，默顯） %Apr 12 08:38:16:685 2000 H3C SHELL/5/LOGIN:- 1 - jh(172.30.38.21) in unit1 logi ndis ^ % Incomplete command found at '^' position. System View: return to User View with Ctrl+Z. [H3C]dis cu （display current-configuration的縮寫，作用是打印配置文件，作為一個?？嵫b帥的IT工程師，簡寫是一定要學會的，要不就跟我一樣得失業。。） # sysname H3C # super password level 3 simple *******（配置沒改，明文。。。一個敬業的IT工程師一定要明文保存密碼，以保證離職之后能順利找回。） # radius scheme system # domain system # local-user h3c password simple h3c service-type telnet level 3 local-user tt password simple ******(z這里其實是明文密碼) service-type telnet level 3 # vlan 1 # interface Vlan-interface1 ip address 172.30.30.204 255.255.0.0 # interface Aux1/0/0 # interface Ethernet1/0/1 # interface Ethernet1/0/2 # interface Ethernet1/0/3 # interface Ethernet1/0/4 # interface Ethernet1/0/5 # interface Ethernet1/0/6 # interface Ethernet1/0/7 # interface Ethernet1/0/8 # interface Ethernet1/0/9 # interface Ethernet1/0/10 # interface Ethernet1/0/11 monitor-port （監視此端口） # interface Ethernet1/0/12 # interface Ethernet1/0/13 # interface Ethernet1/0/14 # interface Ethernet1/0/15 interface Ethernet1/0/16 # interface Ethernet1/0/17 # interface Ethernet1/0/18 # interface Ethernet1/0/19 # interface Ethernet1/0/20 # interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both （限速還有鏡像此端口） # interface Ethernet1/0/22 # interface Ethernet1/0/23 line-rate inbound 32000 line-rate outbound 40000 # interface Ethernet1/0/24 # interface GigabitEthernet1/1/1 # interface GigabitEthernet1/1/2 # interface GigabitEthernet1/1/3 # interface GigabitEthernet1/1/4 # undo irf-fabric authentication-mode # # voice vlan mac-address 0001-e300-0000 mask ffff-ff00-0000 # snmp-agent snmp-agent local-engineid 800063A2000FE25E69A26877 snmp-agent sys-info version v3 # user-interface aux 0 7 ser-interface vty 0 4 authentication-mode scheme # return |
華為的機器其實很簡單，比如手工設置21端口，給他限速和端口鏡像。
interface Ethernet1/0/21 line-rate inbound 32000 line-rate outbound 40000 mirroring-port both |
配置部分是這樣的，我們可以逆推出命令行，telnet到交換機：
[H3C]int（輸入3個字母之后點tab可以自動連寫后面可能存在的單詞） [H3C]interface [H3C]interface ?（命令后面帶？可以列出可能可以使用的參數） Aux Aux interface Ethernet Ethernet interface GigabitEthernet GigabitEthernet interface LoopBack LoopBack interface NULL NULL interface Vlan-interface VLAN interface [H3C]interface Ethernet ? <1-1> Unit number（提示你給哪個單元接口設置） [H3C]interface Ethernet 1/0/21 [H3C-Ethernet1/0/21] [H3C-Ethernet1/0/21]mirroring-port both [H3C-Ethernet1/0/21]sa（保存配置文件） |
同志們仔細看，所謂的配置文件完全是積木一樣堆積命令行而成的，配置交換機的綜合難度非常低。當然，以上操作的目的就是為了完成最開始用鼠標兩下就解決的問題。 #p#
完成任務繼續下面走，看Sniffer pro是工作的。
因為配置好了鏡像，所以嗅探器工作正常，打開后有個儀表盤，數據很直觀。如圖3所示
 |
| 圖3 |
點第2排按鈕中的電腦圖標，看個排行榜，然后左下角選擇成IP模式，因為模式是顯示MAC地址的，很不直觀。
看到了吧，排行榜前頭的就是用流量最大的，如果機器卡，毫無疑問，這些娃娃要罰錢了。因為今天我的目的就是罰錢，所以前10名里頭我準備一個都不放過，如圖4所示。
 |
| 圖4 |
繼續后面操作，點矩陣那個按鈕，可以看到下面的寶貝，如圖5所示
| 圖5 |
最右邊如果集中到一個點，說明大部分人訪問這個站。反之同理。左邊的集中到一個點，那這個人很可能在迅雷，所以鏈接很多IP。順便看看排行榜。過了10分鐘最后，右邊開始有大量線條集中到左邊一個IP，我很容易又抓到一個人開始罰款。
再旁邊可以看到這個按鈕，不過這玩意用處不大。他顯示的是一個服務器到客戶端響應時間的排行榜，如圖6所示。
 |
| 圖6 |
接下來，讓我們知道協議分布，不過Sniffer只可以監不能控。知道了也沒大作為。 當然我的目的就是只監不控，一切為了罰款和裁員！如圖7所示。
 |
| 圖7 |
我們點一下工具欄按鈕的捕獲，好玩的東西來了。如圖8所示
 |
| 圖8 |
點一下左邊的objects ，如圖9所示
 |
| 圖9 |
協議，雙方地址，后面還有訪問的毫秒數，一些其他信息，訪問時間等等。非常適合抓捕現行犯，從上圖我們可以看到有個可憐的孩子正在上youku，毫無疑問，這是要罰款的。
點一下左邊的connection，顯示一下當前連接，如圖10所示。
 |
| 圖10 |
下圖就相當詳細了。很有用。還能看到這個鏈接已經交流了多少數據量……，如圖11所示。
 |
| 圖11 |
這小子下了778M。
注：
①嗅探的意義：sniffer是一種常用的收集有用數據方法，這些數據可以是用戶的帳號與密碼，可以是一些商用機密數據等等。隨著internet及電子商務的日益普及,internet的安全也越來越受到重視。在internet安全隱患中扮演重要角色之一的sniffer以受到越來越大的關注，這里我們主要用的是他采集數據的功能。
②端口鏡像：由于部署產品需要監聽網絡流量（網絡分析儀同樣也需要），但是在目前廣泛采用的交換網絡中監聽所有流量有相當大的困難，因此需要通過配置交換機來把一個或多個端口（VLAN）的數據轉發到某一個端口來實現對網絡的監聽。
【編輯推薦】
