sniffer学习要点总结

1、网络规划的问题：

通常情况下网络的划分

多少台计算机可以处于同一个子网？

该客户：800台计算机在一个子网中

广播对网络的影响

如何改进？60%以上的网络问题由于规划而产生


解决方法：
一般情况下，在交换环境下每个子网理想的计算机数量在200左右；HUB共享环境下数量在150左右。

改进方法：利用交换机和三层交换或路由将网络分段。2、如何通过sniffer定义一个过滤器仅仅查看某一个协议。exporting a filter set and importing a filter set.3、利用Matrix发现流量的分布情况。4、protocol分布情况：IP-ARP占用了大部分的数据量，约60%左右。正常吗？
仅仅从数字上看是有些过大。但是不能确定这个数据真的不合适。因为，我们的客户没有对网络建立基准线。BASELINE！很重要的问题。没有基准线我们就失去了重要的参考标准。

分析： IP-ARP主要用于通过广播方式根据IP地址查询MAC地址。一般在计算机启动网络时候会产生。如果在刚刚上班时间如早上8点左右，该协议会占有较大比率。
回忆数据包捕获时间——上午11：25。所以，可以初步认为该处有问题。

计算机是如何处理广播的？产生CPU中断Intel让网络上的计算机中断、连续中断


5、我们可以模拟一下该网络没有ARP（当然是近似情况）时的情况。 利用DATA PATTERN定义一个过滤器，排除ARP协议。抓包，产生结果，保存并回放。


6、sniffer能够洞察交换机的情况，vlan情况。

总结：最重要的： 重新规划网络 整理网络文档 建立网络基准线


Baseline the network first!