CommView - Мониторинг и Анализ Сети

Ответы на вопросы (FAQ)

В этой главе вы можете найти ответы на некоторые из наиболее часто задаваемых вопросов. Свежий FAQ всегда доступен на http://www.tamos.ru/products/commview/faq.php

? : Может ли CommView быть использован для перехвата dial-up (RAS) трафика?

! : Да.

? : Что может "видеть" CommView, которая инсталлирована на компьютер с локальной сетью?

! : CommView переводит сетевой адаптер во "всеядный" (promiscuous) режим, что позволяет перехватывать весь трафик в локальном сегменте сети. Другими словами, он перехватывает и анализирует пакеты, адресованные любому компьютеру сегмента, а не только к компьютеру, на котором запущена программа. Есть ограничения при использовании с Wireless Ethernet-адаптером (CommView будет перехватывать только входящие и исходящие пакеты с вашего компьютера, т. е. транзитные пакеты отображаться не будут), и при работе через switch (см. вопрос о switch ниже в FAQ) .

? : Я подключен к LAN через switch и, когда я запускаю CommView, он ловит только пакеты, идущие к/от меня, я не вижу трафика других машин. Почему?

! : В отличие от hub-ов, switch препятствует подслушиванию. В такой ситуации CommView (как и любой другой анализатор) ограничен приёмом broadcast- и multicast-пакетов, а также трафика того компьютера, на котором он запущен. Однако современные switch имеют функцию "port mirroring", что позволяет сконфигурировать их так, чтобы они перенаправляли трафик на некоторых или всех портах на специальный мониторный порт. Это позволит наблюдать трафик всего сегмента сети. На сайте доступна статья, в которой этот вопрос раскрыт подробно.

? : Я подключен к сети через hub, но не вижу чужого трафика, как если бы это был switch. Почему?

! : Возможны две причины: или это действительно switch, маркированный как hub (некоторые изготовители, например, Linksys иногда так поступают), или у вас многоскоростной hub, в этом случае вы не увидите трафик других станций, работающих на скоростях, отличающихся от скорости вашего адаптера (то есть, если у вас 10 Mbit-адаптер, вы не сможете увидеть трафик машин со 100 Mbit-адаптерами).

?. Моя домашняя сеть подключена к интернету через широкополосный маршрутизатор, и я вижу только свой собственный трафик. Можно ли наблюдать трафик остальных машин моей сети?

!: Да. Существует несколько способов решить эту задачу. За более подробной информацией и примерами конфигурации сети обратитесь к нашей статье.

? : Может ли CommView собирать данные на адаптере, который не имеет своего IP-адреса?

! : Да. Фактически, сетевой адаптер может быть даже не привязан ни к TCP/IP, ни к какому либо другому протоколу. При отладке сети вам может понадобиться подключить компьютер с CommView в свободный порт хаба. В этом случае вам необязательно знать, какие IP-адреса свободны в данном сегменте, просто снимите привязку адаптера к протоколу TCP/IP и начните перехват пакетов. В Control Panel => Network Connections щёлкните правой кнопкой на иконке соединения, выберите Properties и снимите метки с соответствующих протоколов, которые вы не хотите "привязывать" к NIC.

?. Я работаю в локальной сети с большим объемом трафика, и поэтому мне сложно изучать отдельные пакеты, когда программа принимает сотни и тысячи пакетов в секунду, и старые пакеты быстро исчезают из циркулярного буфера. Можно с этим что-нибудь сделать?

!. Да, нажмите кнопку Открыть текущий буфер в новом окне в нижней панели инструментов в закладке Пакеты. Таким образом, вы сможете создавать копии окна в любой момент времени, с любым интервалом и изучать пакеты не торопясь.

? : Я запустил программу и нажал "Начать захват", но пакеты не отображаются. Почему?

! : Возможны две причины: вы выбрали неактивное сетевое устройство или ошиблись, устанавливая правила перехвата. Попробуйте выключить правила и посмотрите, что происходит. В любом случае, даже когда они включены, строка состояния программы будет отображать общее количество пакетов, так что посмотрите сначала туда.

? : Я заметил, что контрольные суммы исходящих пакетов IP/TCP/UDP неверные. Почему?

! : Gigabit-овые сетевые адаптеры имеют способность, называемую TCP/UDP/IP "checksum offload", она позволяет адаптеру вычислять контрольную сумму аппаратно, освобождая от этой работы процессор. CommView перехватывает пакеты до того, как они попадают в адаптер, поэтому он выдает неверную контрольную сумму. Это нормальное явление и может повлиять только на процесс реконструкции TCP-сессии, причем только в том случае, если выключена опция "Игнорировать некорректные контрольные суммы" (подробнее смотрите здесь)

? : Работает ли CommView на многопроцессорных системах?

! : Да.

? : Похоже, невозможно сохранить более 5000 пакетов из пакетного буфера. Есть ли способ решить эту проблему?

! : На самом деле такого ограничения нет. Для сохранения перехваченных пакетов в программе используется кольцевой (циркулярный) буфер. По умолчанию в буфере может содержаться до 5000 пакетов, но это значение можно поменять в окне Установки. Максимальный размер буфера составляет 20000 пакетов (буфер не может быть бесконечным по очевидным причинам – объем оперативной памяти на вашем компьютере тоже не бесконечен). Вы можете записать содержимое буфера в файл из закладки Log-файлы. Тем не менее, данное ограничение на размер буфера ни коим образом не ограничивает ваши возможности по сохранению любого количества пакетов. Вам всего лишь следует включить опцию автосохранения на данной закладке. Таким образом, программа будет непрерывно записывать в файл(ы) все перехваченные пакеты, и вы сможете установить любое ограничение на объем перехваченных данных.

? : Я подключен к сети через cable/xDSL-модем. Будет ли CommView осуществлять мониторинг трафика в этом случае?

! : Если модем поддерживает оба интерфейса USB и Ethernet, и вы можете подключить его к сетевому адаптеру Ethernet, CommView сможет наблюдать сетевой трафик. Если на модеме есть только USB-интерфейс, то можно, по крайней мере, попробовать.

? : Во время использования CommView мой файрволл сообщает, что CommView "пытается получить доступ в  Internet". Я знаю, что некоторые сайты способны отслеживать пользователей, собирая информацию, посылаемую их программами через интернет. Зачем CommView пытается получить доступ в  интернет?

! : Ваш файрволл могут заставить сработать 3 события. Во-первых, может иметь место попытка преобразования IP-адресов в имена хостов. Поскольку CommView обращается к вашим DNS-серверам для выполнения DNS-запроса, неизбежно возникнет предупреждение со стороны файрволла. Вы можете это отключить (Настройка=>Установки=>Отключить распознавание DNS), но в этом случае в окне последних соединений не будут показаны имена хостов. Во-вторых, вы могли настроить программу таким образом, что она автоматически проверяет наличие обновлений или новых версий. Для этого CommView соединяется с сайтом www.tamos.com. Вы можете это отключить(Настройка=>Установки=>Разное=>Включить автоматическую проверку обновлений).  В-третьих, после покупки программы требуется ее активация. Если вы выберете онлайн-активацию, то программа сама подключится к www.tamos.com. Этого можно избежать, выбрав активацию вручную. Это единственные виды соединений, которые может устанавливать CommView. Программа не ведет никакого скрытого обмена данными – мы не продаем spyware.

? : Зачастую я вхожу как пользователь без административных прав. Следует ли мне каждый раз выходить и заходить вновь уже как администратор?

! : Нет. Откройте папку с CommView и, удерживая нажатой клавишу Shift, щелкните правой кнопкой мышки на CV.exe и выберите в меню пункт "Запустить как". Введите административные логин/пароль и нажмите OK для запуска программы. Под Windows Vista CommView автоматически запускается с повышенными правами.

? : У меня Windows 2000. При деинсталляции программы появляется сообщение: "Сейчас CommView деинсталлирует драйвер. Нажмите "OK" для продолжения. Это может занять от 10 до 60 секунд."  Но ничего не происходит!

! : Это может произойти в том случае, если есть активное сетевое подключение на момент удаления программы. Следует временно выключить сетевое подключение, как показано ниже:

Как только сеть отключится, CommView продолжит процесс удаления. После его завершения можно снова активизировать сетевое соединение.

?. У меня Windows 2000 Server. CommView не позволяет мне выбрать никакой адаптер кроме "loopback".

! : Это может случиться когда CommView установлен через терминальное соединение. Проблема решается просто: перезагрузите сервер и все адаптеры будут доступны через список CommView.

? : У меня Windows 2000/2003 Terminal Server. Я не могу запустить CommView с удалённого терминала.

! : Единственным ограничением является тот факт, что отдельно взятый адаптер может быть доступен только одному пользователю в данный момент времени. Другими словами, два пользователя (локальный и удаленный) не смогут наблюдать трафик на одном и том же адаптере на одном сервере.

?. Может ли CommView работать с сетевым адаптером, если CommView запущен под Microsoft Virtual PC?

! : Да. Единственным ограничением является то, что для виртуальных адаптеров недоступен "всеядный" режим, так что вы будете ограничены возможностью перехвата только собственных пакетов и пакетов, которые адресованы всем.

?. Во время dial-up-соединения я не вижу PPP-пакетов. Это нормально?

!. К сожалению, пакеты согласования PPP не могут быть перехвачены. Заметим, что те PPP-пакеты, которые следуют непосредственно после пакетов согласования, перехватываются успешно.

?. Могу ли я заменять какие-либо PC-карты на моем ноутбуке во время работы CommView?

! : Нет. Для безопасности следует закрыть CommView. Затем замените либо отключите вашу карту, и перезапустите программу. Список адаптеров обновится автоматически.

? : Известны ли конфликты с другими программами?

! : В данный момент мы знаем о конфликтах со следующими программами:

Если вы думаете, что обнаружили конфликт с приложением, которого нет в списке, мы будем вам благодарны за сообщение.

? : Я работаю с WireShark и заметил, что после установки CommView больше не могу перехватывать пакеты.

! : Это известный конфликт между WinPcap (драйвером, который используется в WireShark и многих других сходных продуктах) и драйвером, используемым в CommView. Есть простое решение проблемы: начинайте перехват пакетов с помощью WireShank до того, как начнете перехват с помощью CommView. В этом случае обе программы будут осуществлять захват данных одновременно. Если же вы начнете перехват из CommView раньше, то по неизвестной нам причине WinPcap не сможет перехватывать пакеты.

? : Должен ли я быть профессионалом, чтобы использовать эту программу?

! : Нет. Мы надеемся, что даже начинающие пользователи найдут эту программу полезной. Вам необязательно использовать все её возможности. Например, может представлять интерес полная картина сетевых соединений. Или, скажем, что установленная вчера программа на самом деле - троян, который отправляет пароли на чужой Е-mail адрес.

? : Мне непонятны типы лицензий для CommView. Не могли бы Вы объяснить разницу между ними?

!  : В настоящее время для CommView есть три вида лицензий:

Более подробная информация о лицензировании доступна в лицензионном соглашении, сопровождающем продукт.

? : Поддерживает или анализатор VoIP экспорт аудиоинформации в WAV или MP3?

! : Напрямую – нет, но на рынке представлено достаточное количество программ, которые могут решить эту задачу. Фактически, вам нужен "виртуальный аудиокабель", т.е. возможность сохранения в файл всего, что проигрывается через вашу аудиокарту. К примеру, вы можете использовать программу Xilisoft Sound Recorder (используйте режим "What you hear").

? : Где найти подробную информацию о захвате пакетов и анализе протоколов?

! : Зайдите на эти сайты:

Sniffing (network wiretap, sniffer) FAQ

Protocols.com

CommView Tutorial