npcappacketdriver有什么用

NPCAP Packet Driver是一种用于捕获和发送网络数据包的驱动程序。它可以用于编写网络监控，攻击检测，安全审计，网络分析和其他网络安全相关的应用程序。它还可以用于编写网络管理，网络测试，网络调试和其他网络应用程序。

摘 要 随着计算机和网络技术不断的发展，互联网已经广泛的应用在人们生活、学习和工作中，在一定程度上给人们的生活、学习和工作带来了方便。然而，随着网络不断的发展，计算机网络却容易受到黑客和病毒的攻击。为了保证网络安全，保证各项活动顺利进行，有必要加大网络维护力度。而在对网络进行维护的时候，必须采取相应手段对网络故障进行分析，网络协议分析软件的出现，在一定程度上满足了其要求。为了使网络维护工作有序进行，有必要对网络协议分析软件进行相应分析。如何将网络协议分析软件更好的应用在网络维护中，已经成为相关部门值得思索的事情。

关键词 协议分析软件；网络维护；运用

0 引言

随着互联网技术快速的发展，人们对网络安全也越来越重视。毕竟网络在发展过程中容易受不法分子或是病毒的攻击，使用户相应工作不能顺利进行。在这种情况下，有必要对互联网中的相关细节进行研究，而网络协议分析软件正好能满足这一需求。网络协议软件的运行状态属于旁路状态，不仅对网络影响小，同时通过网络分析软件对相应通信宝进行捕获、解码分析，方便对整个网络特征进行非，其也对攻击源、病毒源等运行状况进行分析，为网络安全服务提供更多依据。本文主要从网络协议软件概念、网络协议软件功能、网络协议软件作用、网络协议软件原理及种类、协议软件环境搭建方法和网络安全协议软件安装部署等方面出发，对网络协议分析软件在网络维护中的运用进行分析。

1 网络协议软件概念、功能及作用

11 网络协议软件概念

所谓的网络分析协议软件就是某公司经过自主研发并拥有全部只是产品网络分析的产品。这种网络协议软件不仅拥有行业领先的专家分析技术，同时也能通过捕获和分析网路数据中的底层数据包，而对网络故障、网络安全及网路性能等进行全面分析，以便更为网络中潜在的故障、安全及性能问题的排除提供有效依据。

12 网络协议软件功能

网络分析系统主要功能包括故障诊断、流量分析、网络连接和通讯监视、解码分析、统计分析、安全分析、性能分析、协议分析等。网络协议软件在实际应用过程中是通过对故障点进行自动定位和故障原因进行分析的，利用其分析结果能找出最佳网络故障方案；流量数据也比较多，其最大的优势是能对整个网络或是单个部门、单个IP和单个MAC进行统计分析。

具体来说，流量的采集一般是由驱动系统通过链路层捕获以太网数据包来完成采集任务的，毕竟大部分软件都可以用过滤规则和相应条件进行定义，并获得相应流量。再加上相应官方网站也会为这些规则的导入和导出提供相应过滤器下载，使流量采集变得更加容易；网络连接和通讯监视不仅能直接反应网络连接情况，同时也能对网络活动进行实时监视。实时监视是网络协议分析软件中比较常见的功能，其也是一种简单易行并能为监控提供丰富信息的手段。

实时检测在实际应用过程中，不仅能对网络流量、负载率、TCP连接状况进行监视并以图形的形式显示出来，同时也能以错误数据包、数据包大小分布状况以图形形式显示出来。特别是对那些尚未部署长期流量性能进行局域网检测；解码分析就是以数据包的形式调用协议中分析模块来对网络安全进行分析，并遵循OSI模型及TCP/IP协议中相应规程将数据包分层次的展现给用户，并对不同字段的详细解码、十六进制还原码等让用户更清晰的了解相应数据包细节；统计分析是由全局统计和特定对象统计组成的。

在实际网络维护中是需要对网络各站点之间的流量、大小、百分比、排位及相应协议百分比一一显示出来的，以方便找网络故障的查找；通过查找方式也能对网络中存在的安全风险进行分析；通过性能分析，也能找出网路性能瓶颈；而协议分析则能对网络中所有应用进行深入分析。

13 网络协议软件作用

网络协议软件不仅具有跟踪网络实验作用，同时也具有识别和解决故障作用。其在实际应用过程中，可以通过捕捉流经主机和局域实验环境中所有数据包对其上层进行分析，以得出网络实验流量等相关信息，以便为实验管理员做正确决策提供有效依据。当主机和服务网络进行实验通信的时候，主机会对相应服务器进行 *** 作，得到相应信息后，管理人员就能通过得到的信息做出相应决策，以保证服务器安全。正常情况下，网络协议分析软件和TCP/IP协议栈是有一定关系的，大多数协议分析软件的实现都是以TCP/IP协议栈层次关系来实现的。而TCP/IP协议栈包含网路分析工具要解释的各种协议，目前比较常用的是Ethereal。

2 网络协议分析软件原理及软件种类

21 网络协议分析软件原理

网络协议分析软件要想更好的发挥其作用，就应该对其原理进行分析。在对其原理进行分析的时候，有必要对抓包和解码平台进行分析。毕竟网络分析协议是通过捕获通信报的形式将信息交给上层协议的，再经过上层协议处理模块进行相应处理才能实现网络分析的。因此，再对网络协议分析软件原理进行分析的时候，应该先对抓包和解码进行分析。

抓包一般是以以太网为依据进行网络传播的，以太网作为一种共享网络，其信道是由不同站点组成并共有的，且其在同一时间内只有一个站点能被使用，其网络传送的数帧也只有一个站点能接受。因网络协议分析软件是以广播通信形式进行传播的，不同站点会以MAC地址来决定接受或是丢弃相对应的数帧。正常情况下，每一个站点只接受与自己地址相符合的单帧或是广播帧，而相应数据接收工作则是通过网卡来完成的。

网卡一般是由广播模式、组播模式、直接模式和混杂模式组成的，且这些模式只能及售后广播、组播、地址及与自身相符合的帧、数据。当网卡使用混杂模式的时候，以太网就能以广播通信方式被利用并实现抓包；网络协议分析软件在运行过程中，对工作在底层的函数库是有一定依赖性的。

在实际工作中，协议软件会通过网卡来获得数据包或通过过滤规则取出数据包中的子集，并将其交给上层，通过捕包函数库是Linux系统下的Libpcap和Windows系统下的Winpcap获得相应数据，在此基础上通过机械模块对相应数据进行分析还原。毕竟IP网络中物理层到应用层使用的协议种类是比较多的，且协议种类处在不断更新和完善中。为了使网络协议分析软件更好的发挥其作用，在实际应用过程中，应该采用层次化协议方法和插件技术。层次化协议事实上就是协议树，这种协议树的优势是对数据流进行逐层处理。当对同层协议特征字来进行相应区别的时候，就可以将TCP端口的80看作>

实时捕捉数据包时Wireshar的特色之一

Wiershark捕捉引擎具备以下特点

支持多种网络接口的捕捉(以太网，令牌环网，ATM)

支持多种机制触发停止捕捉，例如：捕捉文件的大小，捕捉持续时间，捕捉到包的数量

捕捉时同时显示包解码详情

设置过滤，减少捕捉到包的容量。见第 48 节 “捕捉时过滤”

长时间捕捉时，可以设置生成多个文件。对于特别长时间的捕捉，可以设置捕捉文件大小罚值，设置仅保留最后的N个文件等手段。见第 46 节 “捕捉文件格式、模式设置”

Wireshark捕捉引擎在以下几个方面尚有不足

从多个网络接口同时实时捕捉，(但是您可以开始多个应用程序实体，捕捉后进行文件合并)

根据捕捉到的数据停止捕捉(或其他 *** 作)

42 准备工作

第一次设置Wireshark捕捉包可能会遇到一些小麻烦

这里有一些常见需要注意的地方

你必须拥有root/Administrator特权以开始捕捉[12]

必须选择正确的网络接口捕捉数据

如果您想捕捉某处的通信，你必须作出决定：在什么地方可以捕捉到

……以及许多

如果你碰到设置问题，建议看看前面的那个向导，或许会有所帮助

43 开始捕捉

可以使用下任一方式开始捕捉包

使用打开捕捉接口对话框，浏览可用的本地网络接口，见图 41 “"Capture Interfaces"捕捉接口对话框”,

选择您需要进行捕捉的接口启动捕捉

你也可以使用"捕捉选项"按钮启动对话框开始捕捉，见图 42 “"Capture Option/捕捉选项"对话框”

如果您前次捕捉时的设置和现在的要求一样，您可以点击"开始捕捉"按钮或者是菜单项立即开始本次捕捉。

如果你已经知道捕捉接口的名称，可以使用如下命令从命令行开始捕捉：

wireshark -i eth0 -k

上述命令会从eht0接口开始捕捉，有关命令行的介绍参见第 92 节 “从命令行启动Wireshark”

44 捕捉接口对话框

如果您从捕捉菜单选择"Interface"，将会d出如图 41 “"Capture Interfaces"捕捉接口对话框”所示的对话框

图 41 "Capture Interfaces"捕捉接口对话框

描述

从 *** 作系统获取的接口信息

IP

Wireshark能解析的第一个IP地址，如果接口未获得IP地址（如，不存在可用的DHCP服务器)，将会显示"Unkow",如果有超过一个IP的，只显示第一个(无法确定哪一个会显示)

Packets

打开该窗口后，从此接口捕捉到的包的数目。如果一直没有接收到包，则会显示为灰度

Packets/s

最近一秒捕捉到包的数目。如果最近一秒没有捕捉到包，将会是灰度显示

Stop

停止当前运行的捕捉

Capture

从选择的接口立即开始捕捉，使用最后一次捕捉的设置。

Options

打开该接口的捕捉选项对话框,见 第 45 节 “捕捉选项对话框”

Details(仅Win32系统)

打开对话框显示接口的详细信息

Close

关闭对话框

45 捕捉选项对话框

如果您从捕捉菜单选择"start"按钮(或者从主工具栏选择对应的项目),Wiresharkd出"Capture Option/捕捉选项"对话框。如图 42 “"Capture Option/捕捉选项"对话框”所示

图 42 "Capture Option/捕捉选项"对话框

你可以用对话框中的如下字段进行设置

451 捕捉桢

Interface

该字段指定你想用于进行捕捉的借口。一次只能使用一个接口。这是一个下拉列表，简单点击右侧的按钮，选择你想要使用的接口。默认第一是支持捕捉的non-loopback(非环回)接口，如果没有这样的接口，第一个将是环回接口。在某些系统中，回借口不支持捕捉包(windows平台下的环回接口就不支持。)

在命令行使用-i <interface>参数可以替代该选项

IP address

表示选择接口的IP地址。如果系统未指定IP地址，将会显示为"unknown"

Link-layer header type

除非你有些特殊应用，尽量保持此选项默认。想了解更多详情，见 第 47 节 “链路层包头类型”

Buffer size: n megabyte(s)

输入用于捕捉的缓层大小。该选项是设置写入数据到磁盘前保留在核心缓存中捕捉数据的大小，如果你发现丢包。尝试增大该值。

Capture packets in promiscuous mode

指定Wireshark捕捉包时，设置接口为杂收模式(有些人翻译为混杂模式)。如果你未指定该选项，Wireshark 将只能捕捉进出你电脑的数据包(不能捕捉整个局域网段的包)[13]

Limit each packet to n bytes

指定捕捉过程中，每个包的最大字节数。在某些地方被称为。"snaplen"[14]如果禁止该选项，默认值为65535，这适用于大多数协议，下面是一些大多数情况下都适用的规则(这里又出现了拇指规则，第一章，系统需求时提到过。这里权且翻译作普适而非绝对的规则))

· 如果你不确定，尽量保持默认值

· 如果你不需要包中的所有数据。例如：如果您仅需要链路层、IP和TCP包头，您可能想要选择一个较小的快照长度。这样只需要较少的cpu占用时间用于复制包，包需要的缓存也较少。如此在繁忙网络中捕捉时丢失的包也可能会相应少一点。

· 如果你没有捕捉包中的所有数据(适用snpaplen截断了包)，你可能会发现有时候你想要的包中的数据部分被截断丢弃了。或者因为缺少重要的部分，想对某些包进行重组而发现失败。

Capture Filter

指定捕捉过滤。捕捉过滤器将会在有第 48 节 “捕捉时过滤”详细介绍，默认情况下是空的。

同样你也可以点击捕捉按钮，通过d出的捕捉过滤对话框创建或选择一个过滤器，详见第 66 节 “定义，保存过滤器”

452 捉数据帧为文件。

捕捉文件设置的使用方法的详细介绍见第 46 节 “捕捉文件格式、模式设置”

File

指定将用于捕捉的文件名。该字段默认是空白。如果保持空白，捕捉数据将会存储在临时文件夹。详见第 46 节 “捕捉文件格式、模式设置”

你可以点击右侧的按钮打开浏览窗口设置文件存储位置

Use multiple files

如果指定条件达到临界值，Wireshark将会自动生成一个新文件，而不是适用单独文件。

Next file every n megabyte(s)

仅适用选中Use multiple files,如果捕捉文件容量达到指定值，将会生成切换到新文件

Next file every n minutes(s)

仅适用选中Use multiple files,如果捕捉文件持续时间达到指定值，将会切换到新文件。

Ring buffer with n files

仅适用选中Use multiple files,仅生成制定数目的文件。

Stop caputure after n file(s)

仅适用选中Use multiple files,当生成指定数目文件时，在生成下一个文件时停止捕捉(生成n个还是n+1个文件)

453 停止捕捉桢

after n packet(s)

在捕捉到指定数目数据包后停止捕捉

after n megabytes(s)

在捕捉到指定容量的数据(byte(s)/kilobyte(s)/megabyte(s)/gigabyte(s) )后停止捕捉。如果没有适用"user multiple files",该选项将是灰色

after n minute(s)

在达到指定时间后停止捕捉

454 显示桢选项

Update list of packets in real time

在包列表面板实时更新捕捉数据。如果未选定该选项，在Wireshark捕捉结束之前将不能显示数据。如果选中该选项，Wireshark将生成两个独立的进程，通过捕捉进程传输数据给显示进程。

Automatic scrolling in live capture

指定Wireshark在有数据进入时实时滚动包列表面板，这样您将一直能看到最近的包。反之，则最新数据包会被放置在行末，但不会自动滚动面板。如果未设置"update list of packets in real time",该选项将是灰色不可选的。

Hide capture info dialog

选中该选项，将会隐藏捕捉信息对话框

455 名称解析设置

Enable MAC name resolution

设置是否让Wireshark翻译MAC地址为名称，见第 76 节 “名称解析”

Enable network name resolution

是否允许Wireshark对网络地址进行解析，见第 76 节 “名称解析”

456 按钮

进行完上述设置以后，你可以点击start按钮进行捕捉,也可以点击Cancel退出捕捉

开始捕捉以后，在你收集到足够的数据时你可以停止捕捉。见第 49 节 “在捕捉过程中”

46 捕捉文件格式、模式设置

在 捕捉时，libpcap 捕捉引擎(linux环境下)会抓取来自网卡的包存放在(相对来说)较小的核心缓存内。这些数据由Wireshark读取并保存到用户指定的捕捉文件中。

保存包数据到捕捉文件时，可采用差异模式 *** 作。

表 41 捕捉文件模式选项

"File"选项

"Use multiple files"选项

"Ring buffer with n files"选项

Mode

最终文件命名方式

-

-

-

Single temporary file

etherXXXXXX (where XXXXXX 是一个独立值)

foocap

-

-

Single named file

foocap

foocap

x

-

Multiple files,continuous

foo_00001_20040205110102cap, foo_00002_20040205110102cap,

foocap

x

x

Multiple files,ring buffer

foo_00001_20040205110102cap, foo_00002_20040205110102cap,

Single temporary file

将会创建并使用一个临时文件(默认选项)捕捉文件结束后，该文件可以由用户指定文件名。

Single named file

使用单独文件，如果你想放到指定目录，选择此模式

Multiple files,continuous

与single name file模式类似，不同点在于，当捕捉达到多文件切换临界条件时之一时，会创建一个新文件用于捕捉

Multiple files,ring buffer

与"multiple files continuous"模式类似，不同之处在于，创建的文件数目固定。当达到ring buffer with n值时，会替换掉第一个文件开始捕捉，如此循环往复。

该模式可以限制最大磁盘空间使用量，即使未限制捕捉数据输入，也只能保留最后几个捕捉数据。

47 链路层包头类型

在通常情况下，你不需要选择链路层包头类型。下面的段落描述了例外的情况，此时选择包头类型是有必要的，所以你需要知道怎么做：

如果你在某种版本BSD *** 作系统下从某种80211 设备(无线局域网设备)捕捉数据，可能需要在"80211"和"Ethernet"中做出选择。"Ethernet"将会导致捕捉到的包带有伪以太网帧头(不知道是不是应该叫伪首部更准确些);"80211"将会导致他们带有80211帧头。如果捕捉时的应用程序不支持"80211帧头"，你需要选择"80211"

如果你使用Endace DAG card(某种网络监视卡)连接到同步串口线(译者注：E文为synchronous serial line，权且翻译作前文吧，未接触过此卡、未熟稔此线名称)，可能会出现"PPP over serial" 或 "Cisco HDLC"(自己google去)供选择。根据你自己的情况选择二者中的一个。

如果你使用Endace DAG card(同上)连接到ATM网络，将会提供"RFC 1483 IP-over-ATM"、"Sun raw ATM"供选择。如果捕捉的通信是RFC 1483封装IP(RFC 1483 LLC-encapsulated IP,不翻译为妙)，或者需要在不支持SunATM帧头的应用程序下捕捉，选择前者。反之选择后者。

如果你在以太网捕捉，将会提供"Ethernet"、"DOCSIS"供选择，如果您是在Cisco Cable Modem Termination System(CMTS是思科同轴电缆终端调制解调系统？)下捕捉数据。它会将DOCSIS(同轴电缆数据服务接口)通信放置到以太网中，供捕捉。此时需要选择"DOCSIS",反之则反之。

48 捕捉时过滤

Wireshark使用libpcap过滤语句进行捕捉过滤(what about winpcap)。在tcpdump主页有介绍，但这些只是过于晦涩难懂，所以这里做小幅度讲解。

在Wireshark捕捉选项对话(见图 42 “"Capture Option/捕捉选项"对话框”)框输入捕捉过滤字段。下面的语句有点类似于tcpdump捕捉过滤语言。在tcpdump主页>

用libpcap这个工具，很强大。

抓包部分在中文手册中有源代码。我就给你讲讲获取域名吧。

首先>

以上就是关于npcappacketdriver有什么用全部的内容，包括:npcappacketdriver有什么用、试析网络协议分析软件在网络维护中的运用 网络协议是什么、[高分悬赏]wireshark捕捉阿里旺旺数据包等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！