1.sniffer状态
2.服务器端编程心得（六）—— 关于网络编程的包头包一些实用技巧和细节
3.IPMAN文件
4.TC的详细使用方法

sniffer状态

       sniffer是窃听的意思

       应该就是窃听状态

       sniffers(嗅探器)几乎和internet有一样久的历史了.Sniffer是一种常用的收集有用数据方法，这些数据可以是系统用户的帐号和密码，可以是源码一些商用机密数据等等。随着Internet及电子商务的包头包日益普及,Internet的安全也越来越受到重视。在Internet安全隐患中扮演重要角色之一的系统Sniffer以受到越来越大的关注，所以今天我要向大家介绍一下介绍Sniffer以及如何阻止sniffer。源码收徒网站源码

       大多数的包头包黑客仅仅为了探测内部网上的主机并取得控制权，只有那些"雄心勃勃"的系统黑客，为了控制整个网络才会安装特洛伊木马和后门程序，源码并清除记录。包头包他们经常使用的系统手法是安装sniffer。

        在内部网上，源码黑客要想迅速获得大量的包头包账号（包括用户名和密码），最为有效的系统手段是使用 "sniffer" 程序。这种方法要求运行Sniffer 程序的源码主机和被监听的主机必须在同一个以太网段上，故而在外部主机上运行sniffer是没有效果的。再者，必须以root的身份使用sniffer 程序，才能够监听到以太网段上的数据流。谈到以太网sniffer，就必须谈到以太网sniffing。

       那么什么是以太网sniffer呢?

       以太网sniffing是指对以太网设备上传送的数据包进行侦听，发现感兴趣的包。如果发现符合条件的包，就把它存到一个log文件中

       去。通常设置的这些条件是包含字"username"或"password"的包。它的目的是将网络层放到promiscuous模式，从而能干些事情。

       Promiscuous模式是指网络上的所有设备都对总线上传送的数据进行侦听，并不仅仅是它们自己的数据。根据第二章中有关对以太网的工作原理的基本介绍，可以知道：一个设备要向某一目标发送数据时,它是对以太网进行广播的。一个连到以太网总线上的设备在任何时间里都在接受数据。不过只是将属于自己的数据传给该计算机上的应用程序。

        利用这一点，可以将一台计算机的网络连接设置为接受所有以太

       网总线上的数据，从而实现sniffer。

        sniffer通常运行在路由器，或有路由器功能的主机上。这样就能对大量的数据进行监控。sniffer属第二层次的攻击。通常是攻击者已经进入了目标系统，然后使用sniffer这种攻击手段，以便得到更多的信息。

        sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个其他重要的信息，在网上传送的金融信息等等。sniffer几乎能得到任何以太网上的传送的数据包。黑客会使用各种方法，获得系统的控制权并留下再次侵入的后门，以保证sniffer能够执行。在Solaris 2.x平台上，sniffer 程序通常被安装在/usr/bin 或/dev目录下。黑客还会巧妙的修改时间，使得sniffer程序看上去是和其它系统程序同时安装的。

       大多数以太网sniffer程序在后台运行，将结果输出到某个记录文件中。黑客常常会修改ps程序，使得系统管理员很难发现运行的sniffer程序。

        以太网sniffer程序将系统的网络接口设定为混合模式。这样，它就可以监听到所有流经同一以太网网段的数据包，不管它的接受者或发送者是不是运行sniffer的主机。 程序将用户名、密码和其它黑客感兴趣的数据存入log文件。黑客会等待一段时间 ----- 比如一周后，再回到这里下载记录文件。

       讲了这么多，那么到底我们可以用什么通俗的话来介绍sniffer呢？

       计算机网络与电话电路不同，计算机网络是仿必得我客源码共享通讯通道的。共享意味着计算机能够接收到发送给其它计算机的信息。捕获在网络中传输的数据信息就称为sniffing（窃听）。

        以太网是现在应用最广泛的计算机连网方式。以太网协议是在同一回路向所有主机发送数据包信息。数据包头包含有目标主机的正确地址。一般情况下只有具有该地址的主机会接受这个数据包。如果一台主机能够接收所有数据包，而不理会数据包头内容，这种方式通常称为"混杂" 模式。

        由于在一个普通的网络环境中，帐号和口令信息以明文方式在以太网中传输， 一旦入侵者获得其中一台主机的root权限，并将其置于混杂模式以窃听网络数据，从而有可能入侵网络中的所有计算机。

       一句话，sniffer就是一个用来窃听的黑客手段和工具。

       二、sniffer的工作原理

        通常在同一个网段的所有网络接口都有访问在物理媒体上传输的所有数据的能力，而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其他网络接口的硬件地址，同时，每个网络至少还要一个广播地址。（代表所有的接口地址），在正常情况下，一个合法的网络接口应该只响应这样的两种数据帧：

        1、帧的目标区域具有和本地网络接口相匹配的硬件地址。

        2、帧的目标区域具有"广播地址"。

        在接受到上面两种情况的数据包时，nc通过cpu产生一个硬件中断，该中断能引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理。

        而sniffer就是一种能将本地nc状态设成（promiscuous）状态的软件，当nc处于这种"混杂"方式时，该nc具备"广播地址"，它对所有遭遇到的每一个帧都产生一个硬件中断以便提醒操作系统处理流经该物理媒体上的每一个报文包。（绝大多数的nc具备置成 promiscuous方式的能力）

        可见，sniffer工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据，并且通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。值得注意的是：sniffer是极其安静的，它是一种消极的安全攻击。

        通常sniffer所要关心的内容可以分成这样几类：

        1、口令

        我想这是绝大多数非法使用sniffer的理由，sniffer可以记录到明文传送的userid和passwd.就算你在网络传送过程中使用了加密的数据，sniffer记录的数据一样有可能使入侵者在家里边吃肉串边想办法算出你的算法。

        2、金融帐号

        许多用户很放心在网上使用自己的信用卡或现金帐号，然而sniffer可以很轻松截获在网上传送的用户姓名、口令、信用卡号码、截止日期、帐号和pin.

        3、偷窥机密或敏感的信息数据

        通过拦截数据包，入侵者可以很方便记录别人之间敏感的信息传送，或者干脆拦截整个的email会话过程。

        4、窥探低级的协议信息。

        这是很可怕的事，我认为，通过对底层的信息协议记录，比如记录两台主机之间的网络接口地址、远程网络接口ip地址、ip路由信息和tcp连接的字节顺序号码等。这些信息由非法入侵的人掌握后将对网络安全构成极大的危害，通常有人用sniffer收集这些信息只有一个原因：他正在进行一次欺诈，（通常的ip地址欺诈就要求你准确插入tcp连接的字节顺序号,这将在以后整理的文章中指出）如果某人很关心这个问题，那么sniffer对他来说只是页游遮天2源码前奏，今后的问题要大得多。（对于高级的hacker而言，我想这是使用sniffer的唯一理由吧）

       二.sniffer的工作环境

       snifffer就是能够捕获网络报文的设备。嗅探器的正当用处在于分析网络的流量,以便找出所关心的网络中潜在的问题。例如,假设网络的某一段运行得不是很好,报文的发送比较慢,而我们又不知道问题出在什么地方,此时就可以用嗅探器来作出精确的问题判断。

       嗅探器在功能和设计方面有很多不同。有些只能分析一种协议，而另一些可能能够分析几百种协议。一般情况下，大多数的嗅探器至少能够分析下面的协议：

       1.标准以太网

       2.TCP/IP

       3.IPX

       4.DECNet

       嗅探器通常是软硬件的结合。专用的嗅探器价格非常昂贵。另一方面，免费的嗅探器虽然不需要花什么钱，但得不到什么支持。

       嗅探器与一般的键盘捕获程序不同。键盘捕获程序捕获在终端上输入的键值，而嗅探器则捕获真实的网络报文。嗅探器通过将其置身于网络接口来达到这个目的——例如将以太网卡设置成杂收模式。（为了理解杂收模式是怎么回事，先解释局域网是怎么工作的）。

       数据在网络上是以很小的称为帧(Ftame)的单位传输的帧由好几部分组成，不同的部分执行不同的功能。（例如，以太网的前个字节存放的是源和目的的地址，这些位告诉网络：数据的来源和去处。以太网帧的其他部分存放实际的用户数据、TCP/IP的报文头或IPX报文头等等）。

       帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上。通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧的到达，然后对其进行存储。就是在这个传输和接收的过程中，嗅探器会造成安全方面的问题。

       每一个在LAN上的工作站都有其硬件地址。这些地址唯一地表示着网络上的机器（这一点于Internet地址系统比较相似）。当用户发送一个报文时，这些报文就会发送到LAN上所有可用的机器。

       在一般情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的报文则不予响应（换句话说，工作站A不会捕获属于工作站B的数据，而是简单的忽略这些数据）。

       如果某在工作站的网络接口处于杂收模式，那么它就可以捕获网络上所有的报文和帧，如果一个工作站被配置成这样的方式，它（包括其软件）就是一个嗅探器。

       嗅探器可能造成的危害：

       1.嗅探器能够捕获口令

       2.能够捕获专用的或者机密的信息

       3.可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限

       事实上，如果你在网络上存在非授权的嗅探器就以为着你的系统已经暴露在别人面前了。（大家可以试试天行2的嗅探功能）

       一般我们只嗅探每个报文的前到个字节。用户名和口令都包含在这一部分中，这是我们关心的真正部分。工人，也可以嗅探给定接口上的所有报文，如果有足够的空间进行存储，有足够的那里进行处理的话，将会发现另一些非常有趣的东西……

       简单的放置一个嗅探器宾将其放到随便什么地方将不会起到什么作用。将嗅探器放置于被攻击机器或网络附近，这样将捕获到很多口令，还有一个比较好的方法就是放在网关上。如果这样的话就能捕获网络和其他网络进行身份鉴别的过程。这样的方式将成倍地增加我们能够攻击的范围。

       三.谁会使用sniffers

       可能谁都回知道谁会使用sniffer，但是并不是每个使用它的人都是网络高手，因为现在有很多的sniffer都成了傻瓜似的了，前段时间用的最多的不外乎oicq sniffer。我想那些喜欢查好友ip的宝塔源码怎么解析域名朋友都应该记得它吧。呵呵，我都使用过它，现在当然不用了啊！

       当然系统管理员使用sniffer来分析网络信息交通并且找出网络上何处发生问题。一个安全管理员可以同时用多种sniffer, 将它们放置在网络的各处,形成一个入侵警报系统。对于系统管理员来说sniffer是一个非常好的工具,但是它同样是一个经常被黑客使用的工具.骇客安装sniffer以获得用户名和账号,信用卡号码,个人信息,和其他的信息可以导致对你或是你的公司的极大危害如果向坏的方面发展。当它们得到这些信息后,骇客将使用密码来进攻其他的internet 站点甚至倒卖信用卡号码。

       三.sniffer是如何在网络上实施的

       谈这个问题之前还应该先说一下Ethernet的通讯。通常在同一个网段的所有网络接口都有访问在媒体上传输的所有数据的能力，而每个网络接口都还应该有一个硬件地址，该硬件地址不同于网络中存在的其它网络接口的硬件地址，同时，每个网络至少还要一个广播地址。在正常情况下，一个合法的网络接口应该只响应这样的两种数据帧：

        1�帧的目标区域具有和本地网络接口相匹配的硬件地址。

        2�帧的目标区域具有“广播地址”。

        在接受到上面两种情况的数据包时，网卡通过cpu产生一个硬件中断。该中断能引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理。而sniffer就是一种能将本地网卡状态设成杂乱模式（promiscuous Mode）的软件。当网卡处于杂乱模式时，该网卡具备“广播地址”，它对所有遇到的每一个帧都产生一个硬件中断以提醒操作系统处理每一个报文包。（绝大多数的网卡具备设置成杂乱模式的能力。

        可见，sniffer工作在网络环境中的底层，它会拦截所有的正在网络上传送的数据。通过相应的软件处理，可以实时分析这些数据的内容，进而分析所处的网络状态和整体布局。值得注意的是：sniffer是极其安静的，它是一种消极的安全攻击。

       四.哪里可以得到sniffer

       我们讲的sniffer，主要是在unix系统下运用的，至于那些oicq sniffer就不在我们讨论的范围。

       Sniffer是黑客们最常用的入侵手段之一。你可以在经过允许的网络中运行sniffer，了解它是如何有效地危及本地机器安全。

        Sniffer可以是硬件，也可以是软件。现在品种最多,应用最广的是软件Sniffer,绝大多数黑客们用的也是软件Sniffer。

        以下是一些也被广泛用于调试网络故障的sniffer工具：

        （一）.商用sniffer：

        1. Network General.

        Network General开发了多种产品。最重要的是Expert Sniffer，它不仅仅可以sniff，还能够通过高性能的专门系统发送/接收数据包，帮助诊断故障。还有一个增强产品"Distrbuted Sniffer System"可以将UNIX工作站作为sniffer控制台，而将sniffer agents（代理）分布到远程主机上。

        2. Microsoft's Net Monitor

        对于某些商业站点，可能同时需要运行多种协议--NetBEUI、IPX/SPX、TCP/IP、.3和SNA等。这时很难找到一种sniffer帮助解决网络问题，因为许多sniffer往往将某些正确的协议数据包当成了错误数据包。Microsoft的Net Monitor（以前叫Bloodhound）可以解决这个难题。它能够正确区分诸如Netware控制数据包、NT NetBios名字服务广播等独特的数据包。（etherfind只会将这些数据包标识为类型的广播数据包。）这个工具运行在MS Windows 平台上。它甚至能够按MAC地址（或主机名）进行网络统计和会话信息监视。只需简单地单击某个会话即可获得tcpdump标准的输出。过滤器设置也是最为简单的，只要在一个对话框中单击需要监视的主机即可。

        （二）.免费软件sniffer

        1. Sniffit由Lawrence Berkeley 实验室开发，运行于Solaris、SGI和Linux等平台。可以选择源、目标地址或地址集合，云小福商城源码还可以选择监听的端口、协议和网络接口等。这个SNIFFER默认状态下只接受最先的个字节的信息包，这对于一次登陆会话进程刚刚好。

        2. SNORT：这个SNIFFER有很多选项供你使用并可移植性强，可以记录一些连接信息，用来跟踪一些网络活动。

        3. TCPDUMP：这个SNIFFER很有名，linux,FREEBSD还搭带在系统上，是一个被很多UNIX高手认为是一个专业的网络管理工具，记得以前TsutomuShimomura（应该叫下村侵吧）就是使用他自己修改过的TCPDUMP版本来记录了KEVINMITNICK攻击他系统的记录，后来就配合FBI抓住了KEVINMITNICK，后来他写了一文：使用这些LOG记录描述了那次的攻击，HowMitnickhackedTsutomuShimomurawithanIPsequenceattack

       ( /~lspitz/snoop.html

       （四）.Linux下的sniffer工具

       Linux下的sniffer工具，我推荐Tcpdump。

       [1].tcpdump的安装

       在linux下tcpdump的安装十分简单，一般由两种安装方式。一种是以rpm包的形式来进行安装。另外一种是以源程序的形式安装。

        1． rpm包的形式安装

        这种形式的安装是最简单的安装方法，rpm包是将软件编译后打包成二进制的格式，通过rpm命令可以直接安装，不需要修改任何东西。以超级用户登录，使用命令如下：

        #rpm -ivh tcpdump-3_4a5.rpm

        这样tcpdump就顺利地安装到你的linux系统中。怎么样，很简单吧。

        2． 源程序的安装

        既然rpm包的安装很简单,为什么还要采用比较复杂的源程序安装呢?其实，linux一个最大的诱人之处就是在她上面有很多软件是提供源程序的，人们可以修改源程序来满足自己的特殊的需要。所以我特别建议朋友们都采取这种源程序的安装方法。

        · 第一步 取得源程序 在源程序的安装方式中，我们首先要取得tcpdump的源程序分发包，这种分发包有两种 形式，一种是tar压缩包(tcpdump-3_4a5.tar.Z),另一种是rpm的分发包(tcpdump-3_4a5.src.rpm)。这两种 形式的内容都是一样的，不同的仅仅是压缩的方式.tar的压缩包可以使用如下命令解开：

        #tar xvfz tcpdump-3_4a5.tar.Z

        rpm的包可以使用如下命令安装:

        #rpm -ivh tcpdump-3_4a5.src.rpm

        这样就把tcpdump的源代码解压到/usr/src/redhat/SOURCES目录下.

        · 第二步 做好编译源程序前的准备活动

        在编译源程序之前，最好已经确定库文件libpcap已经安装完毕，这个库文件是tcpdump软件所需的库文件。同样，你同时还要有一个标准的c语言编译器。在linux下标准的c 语言编译器一般是gcc。 在tcpdump的源程序目录中。有一个文件是Makefile.in，configure命令就是从Makefile.in文件中自动产生Makefile文件。在Makefile.in文件中，可以根据系统的配置来修改BINDEST 和 MANDEST 这两个宏定义，缺省值是

        BINDEST = @sbindir @

        MANDEST = @mandir @

        第一个宏值表明安装tcpdump的二进制文件的路径名，第二个表明tcpdump的man 帮助页的路径名,你可以修改它们来满足系统的需求。

        · 第三步 编译源程序

        使用源程序目录中的configure脚本，它从系统中读出各种所需的属性。并且根据Makefile.in文件自动生成Makefile文件，以便编译使用.make 命令则根据Makefile文件中的规则编译tcpdump的源程序。使用make install命令安装编译好的tcpdump的二进制文件。

        总结一下就是:

        # tar xvfz tcpdump-3_4a5.tar.Z

        # vi Makefile.in

        # . /configure

        # make

        # make install

       [2].Tcpdump的使用

        tcpdump采用命令行方式，它的命令格式为：

        tcpdump [ -adeflnNOpqStvx ] [ -c 数量 ] [ -F 文件名 ]

        [ -i 网络接口 ] [ -r 文件名] [ -s snaplen ]

        [ -T 类型 ] [ -w 文件名 ] [表达式 ]

        1. tcpdump的选项介绍

        -a 将网络地址和广播地址转变成名字；

        -d 将匹配信息包的代码以人们能够理解的汇编格式给出；

        -dd 将匹配信息包的代码以c语言程序段的格式给出；

        -ddd 将匹配信息包的代码以十进制的形式给出；

        -e 在输出行打印出数据链路层的头部信息；

        -f 将外部的Internet地址以数字的形式打印出来；

        -l 使标准输出变为缓冲行形式；

        -n 不把网络地址转换成名字；

        -t 在输出的每一行不打印时间戳；

        -v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；

        -vv 输出详细的报文信息；

        -c 在收到指定的包的数目后，tcpdump就会停止；

        -F 从指定的文件中读取表达式,忽略其它的表达式；

        -i 指定监听的网络接口；

        -r 从指定的文件中读取包(这些包一般通过-w选项产生)；

        -w 直接将包写入文件中，并不分析和打印出来；

        -T 将监听到的包直接解释为指定的类型的报文，常见的类型有rpc （远程过程 调用）和snmp（简单网络管理协议；）

        2. tcpdump的表达式介绍

        表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。如果没有给出任何条件，则网络上所有的信息包将会被截获。

        在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，net，port, 例如 host ...2，指明 ...2是一台主机，net .0.0.0 指明 .0.0.0是一个网络地址，port 指明端口号是。如果没有指定类型，缺省的类型是host.

        第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src ,这些关键字指明了传输的方向。举例说明，src ...2 ,指明ip包中源地址是...2 , dst net .0.0.0 指明目的网络地址是.0.0.0 。如果没有指明方向关键字，则缺省是src or dst关键字。

        第三种是协议的关键字，主要包括fddi,ip ,arp,rarp,tcp,udp等类型。Fddi指明是在FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。其他的几个关键字就是指明了监听的包的协议内容。如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。

        除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算 是'or' ,''；

        这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。

        (1)想要截获所有...1 的主机收到的和发出的所有的数据包：

        #tcpdump host ...1

        (2) 想要截获主机...1 和主机...2 或...3的通信，使用命令：（在命令行中适用括号时，一定要

        #tcpdump host ...1 and \ (...2 or ...3 \)

        (3) 如果想要获取主机...1除了和主机...2之外所有主机通信的ip包，使用命令：

        #tcpdump ip host ...1 and ! ...2

        (4)如果想要获取主机...1接收或发出的telnet包，使用如下命令：

        #tcpdump tcp port host ...1

        3. tcpdump 的输出结果介绍

        下面我们介绍几种典型的tcpdump命令的输出信息

        (1) 数据链路层头信息

        使用命令#tcpdump --e host ice

        ice 是一台装有linux的主机，她的MAC地址是0：：：：AF：1A

        H是一台装有SOLARIC的SUN工作站，它的MAC地址是8：0：：：5B：；上一条命令的输出结果如下所示：

       ::. eth0 < 8:0:::5b: 0::::af:1a ip : h. > ice.telne

       t 0:0(0) ack win (DF)

        分析：：：是显示的时间， 是ID号，eth0 <表示从网络接口eth0 接受该数据包，eth0 >表示从网络接口设备发送数据包, 8:0:::5b:是主机H的MAC地址,它表明是从源地址H发来的数据包. 0::::af:1a是主机ICE的MAC地址,表示该数据包的目的地址是ICE . ip 是表明该数据包是IP数据包, 是数据包的长度, h. > ice.telnet 表明该数据包是从主机H的端口发往主机ICE的TELNET()端口. ack 表明对序列号是的包进行响应. win 表明发送窗口的大小是.

        (2) ARP包的TCPDUMP输出信息

        使用命令#tcpdump arp

        得到的输出结果是：

        ::. eth0 > arp who-has route tell ice (0::::af:1a)

        ::. eth0 < arp reply route is-at 0::::: (0::::af:1a)

        分析: ::是时间戳, 是ID号, eth0 >表明从主机发出该数据包, arp表明是ARP请求包, who-has route tell ice表明是主机ICE请求主机ROUTE的MAC地址。 0::::af:1a是主机ICE的MAC地址。

        (3) TCP包的输出信息

        用TCPDUMP捕获的TCP包的一般输出信息是：

        src > dst: flags data-seqno ack window urgent options

        src > dst:表明从源地址到目的地址, flags是TCP包中的标志信息,S 是SYN标志, F (FIN), P (PUSH) , R (RST) "." (没有标记); data-seqno是数据包中的数据的顺序号, ack是下次期望的顺序号, window是接收缓存的窗口大小, urgent表明数据包中是否有紧急指针. Options是选项.

        (4) UDP包的输出信息

        用TCPDUMP捕获的UDP包的一般输出信息是：

        route.port1 > ice.port2: udp lenth

        UDP十分简单，上面的输出行表明从主机ROUTE的port1端口发出的一个UDP数据包到主机ICE的port2端口，类型是UDP， 包的长度是lenth上面，我就详细介绍了TCPDUMP的安装和使用，希望会对大家有所帮助。如果想要熟练运用TCPDUMP这个LINUX环境下的SNIFFER利器，还需要大家在实践中总结经验，充分发挥它的威力。

       （五）.windows平台上的sniffer

       我推荐netxray和sniffer pro软件，想必大家都用过他们，不过我在这儿还要再简单介绍一下他们。

       netxray的使用说明

       1.1.1.1----2.2.2.2----3.3.3.3----4.4.4.4 这是一个ShareHub连接下的局域网

       5.5.5.5 这是一个端口上的

       启动Capture，

服务器端编程心得（六）—— 关于网络编程的一些实用技巧和细节

       接触了多种项目，编写了大量网络编程代码，涉及 Windows 和 Linux 平台，积累了不少经验与心得。本文将分享网络编程的实用技巧与细节，希望对读者有所助益。

       非阻塞的 connect() 函数编写：在创建 socket 时将其设置为非阻塞模式，使用 connect() 进行连接。若能立即连接成功返回 0，否则返回 -1 或 EINPROGRESS。通过 select() 检测 socket 是否可写来判断连接状态。在 Windows 平台上，除了 select()，也可使用 WSAAsyncSelect 或 WSAEventSelect 来检测。

       非阻塞 socket 下的收发数据：在 Linux 和 Windows 平台，先用 select()、WSAAsyncSelect() 或 epoll_wait 检测 socket 有无数据可读或可写。对于收发数据的代码，Linux epoll 的 ET 模式要求一次性收完所有数据；水平模式或 Windows 平台则可根据业务需求一次性收取固定大小数据或直至数据收完。设置超时时间，检测整个收发过程是否超时。

       上层业务解析数据包：处理数据包前先收取固定大小的包头信息，根据包头中指定的包体大小收取包体。确保包完整后解析并传递给上层业务逻辑。注意连续接收到的数据包可能有不同组合方式，需循环处理直至完整数据包出现。

       nagle 算法：开启此算法时，小数据包可能不会立即发送，合并后一次性发送。若需实时性，可禁用此算法，以立即发送小数据包。Linux 默认开启，禁用方法为设置 noDelay 为 1。

       select 函数参数问题：在 Linux 下，参数必须设置为所有 socket 描述符句柄中的最大值加 1；Windows 下兼容性考虑，参数可填任意值。

       bind 函数绑定地址：使用 0.0.0.0 绑定任意网卡地址，使用 .0.0.1 绑定本地回环地址。前者允许从任意本地网卡连接，后者仅允许连接本地回环地址。

       SO_REUSEADDR 和 SO_REUSEPORT：设置这两个选项，解决 socket 被系统回收后，短时间内无法重新绑定同一地址和端口的问题。Linux 实现更为严格，所有进程都受限，Windows 则允许本进程重复使用。

       心跳包机制：通过定时发送心跳包维持连接正常。心跳包间隔时间可根据项目需求调整，确保连接状态检查与数据流量优化。客户端发送心跳包给服务器端，检测连接状态。

       重连机制：在连接尝试失败后，设置递增的重试间隔时间。网络故障恢复时应立即尝试重连。Windows 下使用 IsNetworkAlive 检测网络状态变化。

       EINTR 错误码处理：在 Linux 环境下，对于 network 函数检测 EINTR 错误码，表明函数因信号中断而未完成，应重新尝试或利用其他方式检查状态。

       减少系统调用：优化高性能服务器程序时，尽量减少系统调用。例如，在主循环中缓存时间获取结果，避免重复调用系统函数。

       忽略 SIGPIPE 信号：在 Linux 平台上，当侦听 socket 关闭后，对端发送数据会导致 SIGPIPE 信号。应忽略此信号，避免进程因异常终止。

       CppGuide 学习资料：为 C/C++ 开发者准备的全面学习资源，涵盖语言基础、网络编程、操作系统原理、项目源码分析等，同时提供学习方法、推荐书籍、简历指导和求职技巧等内容。

IPMAN文件

       IPMan系统是一个用于网络数据包处理的软件包，主要由三个部分组成：IPMan.c源代码、IP.h头文件和IPMan.exe执行文件。IPMan.c源代码为整个系统的实现提供了核心逻辑，IP.h包含了各种包头的定义，为源代码提供结构和接口。

       IPMan.exe是用户可以运行的主程序，只要当前目录下存在vpacket.vxd文件，该程序即可正常启动。vpacket.vxd是一个编程环境的自解压文件，包含了一系列用于编写和运行与IPMan系统相关的程序的工具。

       当使用vpacket.vxd进行编程时，用户需要将生成的文件与IPMan.exe进行配合运行。具体操作步骤可在展开后的vpacket.doc文件中找到，这是一份Word格式的文档，详细介绍了如何利用vpacket.vxd进行编程以及与IPMan系统的集成。

       系统运行时需要配置文件IPMan.ini，此文件包含了IPMan运行所需的初始参数，确保系统能够按照预设的配置进行工作。参数设置内容包括但不限于网络接口、路由表、数据包处理规则等。

       此外，README文件是整个系统使用指南的一部分，它提供了系统的安装步骤、基本操作说明以及一些常见问题的解答。通过阅读README，用户可以快速了解如何安装和使用IPMan系统，确保系统能够稳定、高效地运行。

扩展资料

       IPMan运行于Win环境下的DOS命令行程序。主要功能是对以太网卡的直接读写。它是通过vpacket.vxd来完成上述工作的。vpacket.vxd可以在如下的地址下载： sov编写，从Linux 2.2版开始并入Linux内核。

       SEE ALSO

       tc-cbq(8)、tc-htb(8)、tc-sfq(8)、tc-red(8)、tc-tbf(8)、tc-pfifo(8)、tc-bfifo(8)、tc-pfifo_fast(8)、tc-filters(8)

       Linux从kernel 2.1.开始支持QOS，不过，需要重新编译内核。运行make config时将EXPERIMENTAL _OPTIONS设置成y，并且将Class Based Queueing (CBQ), Token Bucket Flow, Traffic Shapers 设置为 y ，运行 make dep; make clean; make bzilo，生成新的内核。

        在Linux操作系统中流量控制器(TC)主要是在输出端口处建立一个队列进行流量控制，控制的方式是基于路由，亦即基于目的IP地址或目的子网的网络号的流量控制。流量控制器TC，其基本的功能模块为队列、分类和过滤器。Linux内核中支持的队列有，Class Based Queue ，Token Bucket Flow ，CSZ ，First In First Out ，Priority ，TEQL ，SFQ ，ATM ，RED。这里我们讨论的队列与分类都是基于CBQ(Class Based Queue)的，而过滤器是基于路由(Route)的。

        配置和使用流量控制器TC，主要分以下几个方面：分别为建立队列、建立分类、建立过滤器和建立路由，另外还需要对现有的队列、分类、过滤器和路由进行监视。

        其基本使用步骤为：

        1) 针对网络物理设备(如以太网卡eth0)绑定一个CBQ队列；

        2) 在该队列上建立分类；

        3) 为每一分类建立一个基于路由的过滤器；

        4) 最后与过滤器相配合，建立特定的路由表。

        先假设一个简单的环境

        流量控制器上的以太网卡(eth0) 的IP地址为..1.，在其上建立一个CBQ队列。假设包的平均大小为字节，包间隔发送单元的大小为8字节，可接收冲突的发送最长包数目为字节。

        假如有三种类型的流量需要控制:

        1) 是发往主机1的，其IP地址为..1.。其流量带宽控制在8Mbit，优先级为2；

        2) 是发往主机2的，其IP地址为..1.。其流量带宽控制在1Mbit，优先级为1；

        3) 是发往子网1的，其子网号为..1.0，子网掩码为...0。流量带宽控制在1Mbit，优先级为6。

        1. 建立队列

        一般情况下，针对一个网卡只需建立一个队列。

        将一个cbq队列绑定到网络物理设备eth0上，其编号为1:0；网络物理设备eth0的实际带宽为 Mbit，包的平均大小为字节；包间隔发送单元的大小为8字节，最小传输包大小为字节。

        ?tc qdisc add dev eth0 root handle 1: cbq bandwidth Mbit avpkt cell 8 mpu

        2. 建立分类

        分类建立在队列之上。一般情况下，针对一个队列需建立一个根分类，然后再在其上建立子分类。对于分类，按其分类的编号顺序起作用，编号小的优先；一旦符合某个分类匹配规则，通过该分类发送数据包，则其后的分类不再起作用。

        1） 创建根分类1:1；分配带宽为Mbit，优先级别为8。

        ?tc class add dev eth0 parent 1:0 classid 1:1 cbq bandwidth Mbit rate Mbit maxburst allot prio 8 avpkt cell 8 weight 1Mbit

        该队列的最大可用带宽为Mbit，实际分配的带宽为Mbit，可接收冲突的发送最长包数目为字节；最大传输单元加MAC头的大小为字节，优先级别为8，包的平均大小为字节，包间隔发送单元的大小为8字节，相应于实际带宽的加权速率为1Mbit。

        2）创建分类1:2，其父分类为1:1，分配带宽为8Mbit，优先级别为2。

        ?tc class add dev eth0 parent 1:1 classid 1:2 cbq bandwidth Mbit rate 8Mbit maxburst allot prio 2 avpkt cell 8 weight Kbit split 1:0 bounded

        该队列的最大可用带宽为Mbit，实际分配的带宽为 8Mbit，可接收冲突的发送最长包数目为字节；最大传输单元加MAC头的大小为字节，优先级别为1，包的平均大小为字节，包间隔发送单元的大小为8字节，相应于实际带宽的加权速率为Kbit，分类的分离点为1:0，且不可借用未使用带宽。

        3）创建分类1:3，其父分类为1:1，分配带宽为1Mbit，优先级别为1。

        ?tc class add dev eth0 parent 1:1 classid 1:3 cbq bandwidth Mbit rate 1Mbit maxburst allot prio 1 avpkt cell 8 weight Kbit split 1:0

        该队列的最大可用带宽为Mbit，实际分配的带宽为 1Mbit，可接收冲突的发送最长包数目为字节；最大传输单元加MAC头的大小为字节，优先级别为2，包的平均大小为字节，包间隔发送单元的大小为8字节，相应于实际带宽的加权速率为Kbit，分类的分离点为1:0。

        4）创建分类1:4，其父分类为1:1，分配带宽为1Mbit，优先级别为6。

        ?tc class add dev eth0 parent 1:1 classid 1:4 cbq bandwidth Mbit rate 1Mbit maxburst allot prio 6 avpkt cell 8 weight Kbit split 1:0

        该队列的最大可用带宽为Mbit，实际分配的带宽为 Kbit，可接收冲突的发送最长包数目为字节；最大传输单元加MAC头的大小为字节，优先级别为1，包的平均大小为字节，包间隔发送单元的大小为8字节，相应于实际带宽的加权速率为Kbit，分类的分离点为1:0。

        3. 建立过滤器

        过滤器主要服务于分类。一般只需针对根分类提供一个过滤器，然后为每个子分类提供路由映射。

        1） 应用路由分类器到cbq队列的根，父分类编号为1:0；过滤协议为ip，优先级别为，过滤器为基于路由表。

        ?tc filter add dev eth0 parent 1:0 protocol ip prio route

        2） 建立路由映射分类1:2, 1:3, 1:4

        ?tc filter add dev eth0 parent 1:0 protocol ip prio route to 2 flowid 1:2

        ?tc filter add dev eth0 parent 1:0 protocol ip prio route to 3 flowid 1:3

        ?tc filter add dev eth0 parent 1:0 protocol ip prio route to 4 flowid 1:4

        4.建立路由

        该路由是与前面所建立的路由映射一一对应。

        1） 发往主机..1.的数据包通过分类2转发(分类2的速率8Mbit)

        ?ip route add ..1. dev eth0 via ..1. realm 2

        2） 发往主机..1.的数据包通过分类3转发(分类3的速率1Mbit)

        ?ip route add ..1. dev eth0 via ..1. realm 3

        3）发往子网..1.0/的数据包通过分类4转发(分类4的速率1Mbit)

        ?ip route add ..1.0/ dev eth0 via ..1. realm 4

        注：一般对于流量控制器所直接连接的网段建议使用IP主机地址流量控制限制，不要使用子网流量控制限制。如一定需要对直连子网使用子网流量控制限制，则在建立该子网的路由映射前，需将原先由系统建立的路由删除，才可完成相应步骤。

        5. 监视

        主要包括对现有队列、分类、过滤器和路由的状况进行监视。

        1）显示队列的状况

        简单显示指定设备(这里为eth0)的队列状况

tc qdisc ls dev eth0

       qdisc cbq 1: rate Mbit (bounded,isolated) prio no-transmit

       详细显示指定设备(这里为eth0)的队列状况

tc -s qdisc ls dev eth0

       qdisc cbq 1: rate Mbit (bounded,isolated) prio no-transmit

       Sent bytes pkts (dropped 0, overlimits 0)

       borrowed 0 overactions 0 avgidle undertime 0

       这里主要显示了通过该队列发送了个数据包，数据流量为个字节，丢弃的包数目为0，超过速率限制的包数目为0。

        2）显示分类的状况

        简单显示指定设备(这里为eth0)的分类状况

tc class ls dev eth0

       class cbq 1: root rate Mbit (bounded,isolated) prio no-transmit

       class cbq 1:1 parent 1: rate Mbit prio no-transmit #no-transmit表示优先级为8

       class cbq 1:2 parent 1:1 rate 8Mbit prio 2

       class cbq 1:3 parent 1:1 rate 1Mbit prio 1

       class cbq 1:4 parent 1:1 rate 1Mbit prio 6

       详细显示指定设备(这里为eth0)的分类状况

tc -s class ls dev eth0

       class cbq 1: root rate Mbit (bounded,isolated) prio no-transmit

       Sent bytes pkts (dropped 0, overlimits 0)

       borrowed 0 overactions 0 avgidle undertime 0

       class cbq 1:1 parent 1: rate Mbit prio no-transmit

       Sent bytes pkts (dropped 0, overlimits 0)

       borrowed overactions 0 avgidle undertime 0

       class cbq 1:2 parent 1:1 rate 8Mbit prio 2

       Sent bytes pkts (dropped 0, overlimits 0)

       borrowed 0 overactions 0 avgidle undertime 0

       class cbq 1:3 parent 1:1 rate 1Mbit prio 1

       Sent 0 bytes 0 pkts (dropped 0, overlimits 0)

       borrowed 0 overactions 0 avgidle undertime 0

       class cbq 1:4 parent 1:1 rate 1Mbit prio 6

       Sent bytes pkts (dropped 0, overlimits 0)

       borrowed overactions 0 avgidle undertime 0

       这里主要显示了通过不同分类发送的数据包，数据流量，丢弃的包数目，超过速率限制的包数目等等。其中根分类(class cbq 1:0)的状况应与队列的状况类似。

        例如，分类class cbq 1:4发送了个数据包，数据流量为个字节，丢弃的包数目为0，超过速率限制的包数目为0。

        显示过滤器的状况

tc -s filter ls dev eth0

       filter parent 1: protocol ip pref route

       filter parent 1: protocol ip pref route fh 0xffff flowid 1:2 to 2

       filter parent 1: protocol ip pref route fh 0xffff flowid 1:3 to 3

       filter parent 1: protocol ip pref route fh 0xffff flowid 1:4 to 4

       这里flowid 1:2代表分类class cbq 1:2，to 2代表通过路由2发送。

        显示现有路由的状况

ip route

       ..1. dev eth0 scope link

       ..1. via ..1. dev eth0 realm 2

       ... dev ppp0 proto kernel scope link src ...5

       ..1. via ..1. dev eth0 realm 3

       ..1.0/ via ..1. dev eth0 realm 4

       ..1.0/ dev eth0 proto kernel scope link src ..1.

       ..1.0/ via ..1. dev eth0 scope link

       .0.0.0/8 dev lo scope link

       default via ... dev ppp0

       default via ..1. dev eth0

       如上所示，结尾包含有realm的显示行是起作用的路由过滤器。

        6. 维护

        主要包括对队列、分类、过滤器和路由的增添、修改和删除。

        增添动作一般依照"队列->分类->过滤器->路由"的顺序进行；修改动作则没有什么要求；删除则依照"路由->过滤器->分类->队列"的顺序进行。

        1）队列的维护

        一般对于一台流量控制器来说，出厂时针对每个以太网卡均已配置好一个队列了，通常情况下对队列无需进行增添、修改和删除动作了。

        2）分类的维护

        增添

        增添动作通过tc class add命令实现，如前面所示。

        修改

        修改动作通过tc class change命令实现，如下所示：

tc class change dev eth0 parent 1:1 classid 1:2 cbq bandwidth Mbit

       rate 7Mbit maxburst allot prio 2 avpkt cell

       8 weight Kbit split 1:0 bounded

       对于bounded命令应慎用，一旦添加后就进行修改，只可通过删除后再添加来实现。

        删除

        删除动作只在该分类没有工作前才可进行，一旦通过该分类发送过数据，则无法删除它了。因此，需要通过shell文件方式来修改，通过重新启动来完成删除动作。

        3）过滤器的维护

        增添

        增添动作通过tc filter add命令实现，如前面所示。

        修改

        修改动作通过tc filter change命令实现，如下所示：

tc filter change dev eth0 parent 1:0 protocol ip prio route to

        flowid 1:8

       删除

        删除动作通过tc filter del命令实现，如下所示：

tc filter del dev eth0 parent 1:0 protocol ip prio route to

       4）与过滤器一一映射路由的维护

        增添

        增添动作通过ip route add命令实现，如前面所示。

        修改

        修改动作通过ip route change命令实现，如下所示：

ip route change ..1. dev eth0 via ..1. realm 8

       删除

        删除动作通过ip route del命令实现，如下所示：

ip route del ..1. dev eth0 via ..1. realm 8

ip route del ..1.0/ dev eth0 via ..1. realm 4