监控公司和家庭网络上发生的事件已成为一项至关重要的任务。 网络速度慢、拥堵或不稳定几乎总是表明网络出现了问题。例如，如果没有流量可见性，就可能出现以下情况：设备感染、网络瓶颈、应用程序占用大量带宽，甚至潜在的入侵者潜入不应进入的区域。 了解您的网络上有多少台设备几乎不可能做出正确的决定或及时做出反应。
问题在于，许多商业解决方案价格昂贵、部署复杂，而且最重要的是，它们对于我们的日常需求来说过于庞大。好消息是，我们可以创建一个…… 无需使用付费商业工具即可进行高质量的网络流量分析结合了免费实用程序、免费软件以及一些集成到操作系统本身的功能。
网络流量分析究竟是什么？
当我们谈到网络流量分析时，我们指的是以下过程： 捕获、检查和理解网络中循环的数据包和数据流这种分析可以在非常低的级别（逐个数据包）进行，也可以在更聚合的级别（流、会话、带宽统计等）进行。
在实践中，交通分析用于 确定谁在与谁通信，使用了哪些协议和应用程序，它们产生了多少负载，以及网络随时间推移的运行情况。由此涌现出各种模式、趋势以及异常情况，这些都有助于我们提升性能和保障安全；例如，使用以下方法： 发现本地网络上的 IP 地址 并确定主要交通源。
为了实现这种可见性，采用了两种互补的方法： 直接数据包捕获（嗅探） 以及该系列 流数据（NetFlow、sFlow、IPFIX、J-Flow 等）前者显示每个数据包的最大细节，而后者提供源地址和目的地之间流量的非常有效的摘要。
这种分析方法不仅适用于大型企业网络。 任何想要了解网络延迟原因、流量峰值来源或哪些设备产生异常流量的管理员都可以参考本文。 即使只有几台设备，它也能从监控交通流量中获益。
交通分析有哪些用途：主要用途和优势
主要目标通常是性能，但流量分析提供的远不止这些。 这些是无需商业工具即可完成的优秀网络分析中最常见的任务。:
- 捕获网络中传输的信息检查数据包可以让你看到明文内容（未加密时）、标头、协议、端口和会话参数。
- 使用情况统计：了解每个主机、应用程序、端口或协议消耗多少带宽，以及峰值集中在哪些时间段。
- 性能问题检测：查找瓶颈、某些链路的饱和、TCP 重传、异常延迟或产生过多流量的设备。
- 数据记录和导出：保存捕获和流程，以便稍后进行分析、随时间进行比较，或将其用作审计和专家报告中的证据。
- 入侵检测和异常检测识别未经授权的设备、可疑的流量模式、端口扫描、暴力破解尝试或恶意软件的典型行为。
所有这些都能转化为非常切实的好处： 更快的事件解决速度、更少的服务中断、更好的用户体验以及更高的安全性尤其是在商业环境中，这种控制可以避免很多问题……和很多成本。
此外，借助历史交通数据，我们可以 制定带宽或基础设施扩容计划时，应谨慎判断。我们不再疲于奔命地救火，而是能够掌握哪些链路已达极限，哪些应用程序值得承担这样的负载，以及何时值得投入资源，例如在…… 适用于家庭网络的超以太网.
有一点至关重要，不容忽视：这些工具的某些功能在技术上允许， 拦截敏感信息，例如密码或未加密的会话内容因此，在使用这些工具时，尤其是在企业环境中，必须遵守法律和隐私政策。
网络监控：为什么它在日常生活中如此重要
除了具体的分析之外，真正起作用的是保持…… 持续的网络监控，以便随时了解网络运行状况。服务中断后再查看屏幕截图，与在问题影响用户之前收到警报提醒是截然不同的；因此，查阅相关指南很有必要。 在 Windows 系统中维护健康的网络基础架构 并根据自身环境调整这些做法。
现代企业网络将数十个关键应用程序、繁忙的服务器、云连接、VPN 和各种设备结合在一起。 如果没有监控，检测网络拥堵或流量高峰的根源几乎只能靠猜测。有了可靠的交通数据，通常只需几分钟就能定位问题所在。
在企业环境中，监控也具有明显的经济意义。 如果你选择合适的免费或开源工具 对于交通分析和监控而言，节省许可证费用可能非常可观，同时还能保持完全专业的控制水平。
即使从个人角度或小型办公室的角度来看，也是值得的。 知道哪个设备占用了所有的 Wi-Fi 资源通过仔细查看网络流量，可以准确地发现是否存在您不认识的设备，或者查看哪个应用程序占用了您的网络连接。
最受欢迎的免费数据包和流量分析器
网络世界的一大优势在于…… 这些免费工具已经存在多年，非常成熟，并且被专业人士使用。您无需购买商业套件即可获得高级分析功能。以下是一些功能强大的选项，它们非常适合无需付费许可证的环境。
Wireshark：数据包分析的经典必备工具
Wireshark 可能是 世界上最知名、应用最广泛的流量分析器它诞生于 90 年代末，是开源的，完全免费，适用于 Linux、Windows、macOS 和几个 Unix 系统（Solaris、FreeBSD 等）。
它的主要功能是 数据包捕获和深入分析它可以让你看到通过界面的每一帧，以及诸如以下细节：
- 每个数据包的ID编号或序列号。
- 准确的处理时间和时间戳。
- 源IP地址和目标IP（或MAC）地址。
- 使用的协议（TCP、UDP、HTTP、HTTPS、DNS 等）。
- 包装尺寸。
- 会议内容或阶段的概要信息。
在捕获过程中选择一行后， 您将获得完整的包裹明细。：层头（以太网、IP、TCP/UDP、应用层）、各个字段、标志、端口等。它非常适合调试精细的协议问题、分析 VoIP 流量、查看 TCP 重传或详细研究会话是如何建立的。
Wireshark 因其 支持数百种协议具有非常强大的捕获和查看过滤器，以及保存和共享捕获内容以供后续分析或将其发送给其他技术人员的功能。
WinDump：Windows 版的 tcpdump
如果您更喜欢命令行，WinDump 是 这是历史悠久的 tcpdump 工具的 Windows 版本。它轻巧、快速，非常适合从控制台编写脚本或进行诊断。
使用 WinDump，您可以 通过应用 BPF 过滤器捕获来自特定接口的流量 （按 IP、端口、协议等）将数据包转储到文件中，然后使用 Wireshark 分析它们，并检查是否存在格式错误的数据包或某些会话失败等错误。
它没有图形界面，但这恰恰是它的理想之处。 服务器设备、远程会话，或者当您想要自动定期捕获数据时 无需安装大型应用程序。
BruteShark：高级会话分析和安全
BruteShark 是一款更新、功能更强大的工具。 网络捕获的安全分析它包含图形界面版本和命令行版本，主要针对以下任务：
- 重建 TCP 会话以查看完整的通信流程。
- 根据观测到的交通流量生成网络拓扑图。
- 从允许的协议中提取哈希值和凭证，这在审计中很有用。
它是一款功能非常强大的工具，专为……而设计。 网络取证、渗透测试以及协议和服务的安全审查它利用捕获文件（例如，Wireshark 或 tcpdump/WinDump 生成的 pcap 文件）进行工作。
其他一些免费或有开源版本的专用工具
除了纯粹的分析仪之外，还有一些应用 它们结合了监测、统计和诊断。:
- OmniPeek它面向大型专业环境，拥有非常先进的性能分析功能，但其最强大的版本是商业版本。
- CAPSA提供免费版、标准版和企业版三种Windows版本。即使是免费版也支持300多种协议和多种分析视图。
这些替代方案可能对那些正在寻找以下信息的人有用： 一种更具指导性和可视化的方法 比经典的 Wireshark 更胜一筹，同时还提供了非常完整的免费或试用选项。
免费网络监控工具：Nagios、Zabbix 和 Pandora FMS
如果目标不仅仅是查看特定的捕获结果，而是 持续监控服务器、服务和网络节点的状态这就引入了一些非常强大的监控平台，这些平台即使没有商业许可也可以使用。
Nagios的 它是一款老牌产品。它可以通过代理和远程检查，监控网络上几乎任何设备的可用性、延迟、端口状态、资源消耗和服务。 其监控环境显示了主机和服务状态的综合视图以及当某些值低于或超过设定阈值时发出警报。
ZABBIX 这是另一个广泛使用的开源解决方案。您可以从其网页界面看到以下内容。 网络流量、CPU 使用率、内存、磁盘空间以及许多其他指标的图表其官方文档清晰地展示了它如何表示每个接口的流量，使其成为跟踪带宽随时间变化的理想工具。
潘多拉FMS （灵活监控系统）是一个高度灵活的西班牙监控平台。其文档对此进行了详细说明…… 显示网络指标、可用性和性能的面板结合网络探测器和安装在设备上的代理，对于任何想要建立集中式监控环境但又不想支付基本商业许可证费用的人来说，这都是一个非常完整的选择。
这三种解决方案中的任何一种都能达到以下目标： 全球基础设施状况概览……与数据包和流分析器完美互补。Wireshark 或 WinDump 用于精细调优，而 Nagios、Zabbix 或 Pandora FMS 则提供全景视图。
通过流量实现可视化：大型分析仪的非商业替代方案
主流厂商销售基于流的流量分析套件（例如 NetFlow、sFlow、IPFIX、J-Flow 等）。虽然其中许多是商业软件，但使用免费或开源工具也能轻松实现类似的功能。 其理念是让路由器和交换机导出通信摘要。应用程序收集并呈现这些数据。
典型的流量分析仪可以让你以高达一分钟的粒度查看： 按接口、IP、应用程序、端口和协议统计传入和传出的流量由此生成图表，显示交通高峰和统计数据，例如：
- 速度（bps）。
- 总传输量。
- 包裹数量。
- 可用带宽利用率百分比。
有趣的是，这些报告可以被审查。 最后一小时、最后一天、一个完整的季度或自定义时间段并可导出为 CSV 或 PDF 等格式，用于管理报告或内部文档。
除了总体带宽使用情况外，流量分析还提供 对网络上主要“发言者”的可见性它会显示哪些主机、应用程序、端口和协议消耗的资源最多。它还允许您深入了解源 IP 和目标 IP 之间的具体通信，以解决性能或安全问题。
许多免费的跨平台解决方案可以扮演流收集器和可视化器的角色，并提供 可自定义的仪表盘、阈值警报和历史趋势视图 无需支付封闭式商业套房的费用。
利用交通分析提高安全性
流量分析不仅仅用于性能分析。在安全领域，它是最有价值的信息来源之一。 在攻击变得明显之前，流量模式通常会发生变化。连接数异常增多、数据包格式错误、大量身份验证尝试失败或出现奇怪的出站流量。
分析工具允许您生成 安全报告重点关注异常行为：服务类型无效（TOS）的流量、不寻常的源-目标组合、网络应该安静时流量激增等。
例如，许多勒索软件和快速传播的蠕虫都会生成 网络扫描和到命令与控制服务器的流量的特征模式通过监控这种后台流量，可以在感染影响整个组织之前很久就阻止事件发生。
另一个优点是可以 阻止来自不属于该组织的 IP 地址或 IP 地址范围的流量 当检测到可疑活动时，有助于加强安全态势；了解以下方法也很有用： 使用命令阻止可疑连接 在Windows环境下快速响应。
然而，完全依赖某种神奇工具是不可取的。 关键在于将优质的交通数据源与完善的规则和清晰的响应程序相结合。这样，警告就不会被遗忘，而是会转化为具体的行动。
如何选择合适的流量分析工具
没有一种解决方案可以适用于所有情况。 网络规模、预算、团队专业水平以及具体目标都是影响因素。 它们对选择影响很大。即便如此，在寻找商业工具的替代方案时，仍应考虑一些基本标准：
- 可配置报告允许自定义显示哪些指标（按 IP、应用程序、协议、接口等）、显示时间间隔和显示格式，以使视图适应实际需求。
- 多厂商兼容性工具越开放，支持的设备越多（来自不同厂商的路由器、交换机、防火墙），你对厂商专有解决方案的依赖就越少。
- 网络优化选项它不仅应该显示数据，还应该帮助制定管理决策，例如识别关键应用程序、限制非必要流量或重新组织带宽使用。
- 易于部署和集成需要数周时间搭建的方案可能并不实用。最好选择能够快速启动并运行的方案，然后逐步集成其他模块或插件。
在许多情况下，获胜组合由以下部分组成： 使用数据包分析器（Wireshark/WinDump）、监控系统（Nagios/Zabbix/Pandora）和流量分析工具。 涵盖所有方面：细节、全局视野和统计分析。
Windows 目前提供的功能以及它的不足之处
Windows 系统包含一些实用程序，虽然它们并非真正的流量分析器， 它们能帮助你快速了解发生了什么。 借助特定团队的网络。它们不会取代之前的工具，但可以作为初步了解的途径。
El 任务经理 “性能”选项卡显示按接口划分的网络使用情况图表。此外，进程列表还会显示每个任务使用的网络带宽百分比。这是一种简单直接的方法。 检测哪个程序正在使用连接.
El 监控递归 （可通过在“开始”菜单中搜索“资源监视器”访问）更进一步：它提供 每个进程的流量详情、活动 TCP 连接数、监听端口数以及发送/接收统计信息对于快速诊断而言，它比任务管理器要全面得多。
即便如此，这些工具 它们不允许捕获数据包、深入分析协议或查看网络上其他设备的流量。它们对于单台计算机上的日常任务很有用，但对于严肃的分析，您需要依赖前面提到的特定应用程序。
如果您只是想了解您的电脑在流量方面的活动，这可能就足够了。随时欢迎您 对整个网络进行审计、研究全球模式或调查安全事件你还得走得更远。
简而言之，尽管存在非常强大的商业解决方案， 完全可以使用免费开源工具来实现对网络流量的全面可视性。Wireshark 或 WinDump 等数据包分析器、Nagios、Zabbix 或 Pandora FMS 等监控平台，以及能够利用 NetFlow、sFlow 或 IPFIX 数据的流量分析系统都是非常有用的工具。只要稍加练习并采用一套完善的方法，您就能拥有一个监控完善、性能卓越且安全性更高的网络，而无需花费一分钱购买商业许可证。
