wireshark数据包分析实战 第一章

1，数据包分析工具：tcpdump、wireshark。前者是命令行的，后者是图形界面的。

分析过程：收集数据、转换数据（二进制数据转换为可读形式）、分析数据。tcpdump不提供分析数据，只将最原始的数据展现给分析人员。大牛使用tcpdump较多。而wireshark可以根据数据包的内容进行分析，划分出不同类型的协议数据包等。

2，可以将网卡设置成混杂模式，网卡将抓取一个网段的所有网络通信流量，而不仅是发往它的数据包。

3，集中网络硬件：集线器、交换机、路由器。

集线器：物理层上的转发设备

A计算机通过集线器发往计算机B，计算机C、D都会收到数据包，只是通过MAC地址比较发现不是传给自己的而将其丢弃。B收到发现是传给自己的，而将其传递给上层。集线器目前不怎么流行。因为会产生不必要的网络流量。如C、D都会收到数据包并丢弃。

交换机：

交换机可以将数据包发送到指定的计算机。比如这里的A计算机发给B计算机的数据包，并不会发送到C、D计算机上。因为，交换机维护一张CAM（内容寻址寄存器），存放着每个设备的MAC地址。从而大大降低网络流量。

路由器：路由器工作在第三层，负责在网络间转发数据包。路由器在网络间引导数据包流向叫做路由。通过路由表实现。

4，广播：

广播数据包会被发送到一个网段的所有端口，而无论这个端口是连接在集线器还是交换机上。广播域，任意计算机可以不通过路由器即可进行直接传输的网段范围。

5，多播：

将单一来源数据包同时传输给多个目标的通信方式。D类IP地址都是多播地址。