Желілік трафик талдағышы немесе пакет сұрыптағышы

Кіріспе

Компьютерлік желілік жабдық немесе желілік трафикті талдайтын бағдарламалық қамтамасыз ету. Пакеттерді талдаушы, сондай-ақ пакеттерді ұстау құралы, протокол талдаушысы немесе желі талдаушысы деп аталатын компьютерлік бағдарлама немесе компьютерлік аппараттық құрал, мысалы, пакеттерді түсіру құрылғысы, компьютерлік желіден немесе желінің бөлігінен өтетін трафикті талдап, тіркей алады. Пакеттерді ұстау – трафикті тоқтатып, тіркеу процесі. Деректер ағыны желі арқылы өтетін кезде, талдаушы әрбір пакетті ұстап алады және қажет болған жағдайда, пакеттің бастапқы деректерін декодтап, пакеттегі әртүрлі өрістердің мәндерін көрсетеді және тиісті RFC немесе басқа да талаптарға сәйкес оның мазмұнын талдайды. Сымсыз желілердегі трафикті ұстау үшін қолданылатын пакеттерді талдаушы сымсыз талдаушы немесе WiFi талдаушысы деп аталады. Пакеттерді талдаушыны желі талдаушысы немесе протокол талдаушысы деп те атауға болады, бірақ бұл терминдердің басқа да мағыналары болуы мүмкін. Протокол талдаушысы техникалық тұрғыдан пакеттерді талдаушыларды/ұстау құралдарын қамтитын кеңірек, жалпылама класс болуы мүмкін. Дегенмен, бұл терминдер көбінесе бір-бірін алмастырып қолданылады.

Қуаттары

Сымдық ортақ ортадағы желілерде, мысалы Ethernet, Token Ring және FDDI, желі құрылымына (хаб немесе коммутатор) байланысты, бір машинадан желідегі барлық трафикті ұстау мүмкіншілігі болуы мүмкін. Қазіргі заманғы желілерде трафикті желілік коммутатор арқылы, портты айналдыру функциясын қолдану арқылы ұстауға болады. Егер коммутатор портты айналдыруды қолдайтын болса, ол белгіленген порттар арқылы өтетін барлық пакеттерді басқа портқа айналдырады. Желілік тап (tap) бақылау портын пайдалануға қарағанда сенімдірек шешім болып табылады, себебі жоғары трафик кезінде пакеттерді жоғалту ықтималдығы азырақ. Сымсыз LAN желілерінде трафикті бір уақытта бір арнада немесе бірнеше адаптерлерді пайдалану арқылы бірнеше арнада бір мезгілде ұстауға болады. Сымдық таратқыш және сымсыз LAN желілерінде басқа машиналар арасындағы біржолғы трафикті ұстау үшін, трафикті ұстап алатын желілік адаптер «промискуиті» (promiscuous) режимінде болуы керек. Сымсыз LAN желілерінде, тіпті адаптер «промискуиті» режимінде болса да, адаптер конфигурацияланған қызмет жиынтығына (service set) арналмаған пакеттер көбінесе назардан тыс қалады. Ондай пакеттерді көру үшін адаптер монитор режимінде болуы керек. Пакеттерді талдаушы қазірдің өзінде бақылап отырған көп тарату тобына (multicast group) арналған көп тарату трафигін немесе трансляциялық (broadcast) трафикті ұстау үшін қосымша шаралар қабылданбайды. Трафик ұсталғанда, пакеттердің толық мазмұны немесе тек қана қаптары (headers) жазылады. Тек қаптарды жазу сақтау көлемін азайтады, кейбір жеке құпиялылық мәселелерін болдырмайды, бірақ көбінесе проблемаларды диагностикалау үшін жеткілікті ақпаратты қамтамасыз етеді. Ұсталған ақпарат шифрланған түрден адам оқи алатын форматқа түрлендіріледі, бұл инженерлерге алмасылған ақпаратты қарап шығуға мүмкіндік береді. Протокол талдағыштары деректерді көрсету және талдау мүмкіндіктері бойынша әртүрлі болады. Кейбір протокол талдағыштары трафик құруға да қабілетті. Олар протокол тестері ретінде жұмыс істей алады. Мұндай тестерлер функционалдық тестілеу үшін протоколға сәйкес трафик құрады және сынақтан өтетін құрылғының қателерді өңдеу қабілетін тексеру үшін қасақана қателер енгізуге мүмкіндік береді. Протокол талдағыштары аппараттық негізде де болуы мүмкін, зонд түрінде немесе, көбінесе кездесетіндей, диск массивімен біріктірілген түрде. Бұл құрылғылар пакеттерді немесе пакеттердің қаптарын диск массивіне жазады.

On wired shared medium networks, such as Ethernet, Token Ring, and FDDI, depending on the network structure (hub or switch), it may be possible to capture all traffic on the network from a single machine. On modern networks, traffic can be captured using a network switch using port mirroring, which mirrors all packets that pass through designated ports of the switch to another port, if the switch supports port mirroring. A network tap is an even more reliable solution than to use a monitoring port since taps are less likely to drop packets during high traffic load. On wireless LANs, traffic can be captured on one channel at a time, or by using multiple adapters, on several channels simultaneously. On wired broadcast and wireless LANs, to capture unicast traffic between other machines, the network adapter capturing the traffic must be in promiscuous mode. On wireless LANs, even if the adapter is in promiscuous mode, packets not for the service set the adapter is configured for are usually ignored. To see those packets, the adapter must be in monitor mode. No special provisions are required to capture multicast traffic to a multicast group the packet analyzer is already monitoring, or broadcast traffic. When traffic is captured, either the entire contents of packets or just the headers are recorded. Recording just headers reduces storage requirements, and avoids some privacy legal issues, yet often provides sufficient information to diagnose problems. Captured information is decoded from raw digital form into a human readable format that lets engineers review exchanged information. Protocol analyzers vary in their abilities to display and analyze data. Some protocol analyzers can also generate traffic. These can act as protocol testers. Such testers generate protocol correct traffic for functional testing, and may also have the ability to deliberately introduce errors to test the device under test's ability to handle errors. Protocol analyzers can also be hardware based, either in probe format or, as is increasingly common, combined with a disk array. These devices record packets or packet headers to a disk array.