络监控工作模式：旁路镜像、端口镜像和旁路监控

常见的 络监控模式可以分为两种：一种是旁路监控模式，另一种是串联监控模式。

“旁路监控模式”一般是指通过交换机等 络设备的“端口镜像”功能来实现监控，在此模式下，监控设备只需要连接到交换机的指定镜像端口，所以形象的称之为“旁路监控”。

而串联模式一般是通过 关、 桥或者代理服务器的模式来进行监控，由于监控设备做为 关或者 桥串联在 络中，所以称之为“串联监控模式”。

旁路模式的优缺点

优点：

• 旁路监控模式部署起来比较灵活方便，只需要在交换机上面配置镜像端口即可。不会影响现有的 络结构。而串联模式一般要作为 关、 桥或者代理服务器，所以需要对现有 络结构进行变动。
• 旁路模式分析的是镜像端口拷贝过来的数据，对原始传递的数据包不会造成延时，不会对 速造成任何影响。而串联模式是串联在 络中的，那么所有的数据必须先经过监控系统，通过监控系统的分析检查之后，才能够发送到各个客户端，所以会对 速有一定的延时。
• 旁路监控设备一旦故障或者停止运行，不会影响现有 络。而串联监控设备如果出现故障，会导致 络中断。

缺点：

• 需要交换机或者路由支持“端口镜像”功能才可以实现监控。
• 旁路模式采用发送RST包的方式来断开TCP连接，不能禁止UDP通讯。对于UDP应用，一般还需要在路由器上面禁止UDP端口进行配合。而串联模式不存在该问题。

串联模式的优缺点

优点：

• 利用windows自带的“ 关”、“ 桥”功能即可实现，不需要硬件设备的支持。
• 可以禁止UDP通讯数据包。

缺点：

• 需要更改现有的 络结构。
• 与“旁路监控”相比较，“ 关”、“ 桥”的配置更加复杂些。
• 由于是串联模式，当局域 电脑台数多时，对 速有少许的影响。这个主要取决于电脑的硬件配置。

络监控是针对局域 内的计算机进行监视和控制，针对内部的电脑上互联 活动，即上 监控以及非上 相关的内部行为与资产等过程管理，即内 监控互联 的飞速发展，互联 的使用越来越普遍， 络和互联 不仅成为企业内部的沟通桥梁，也是企业和外部进行各类业务往来的重要管道。接下来，就为大家简单介绍一下 络监控的几种工作方法。

工作模式

1. 　　 关模式

   　　原理是把本机作为其他电脑的 关，设置被监视电脑的默认 关指向本机，分别可以作为单 卡方式和双 卡甚至多 卡方式，原始的PROXY模式目前基本淘汰了一般不再有人采用，目前常用的是NAT存储转发的方式。简单说有点像个路由器工作的方式，因此控制力极强，但由于存储转发的方式，性能多少有点损失。不过效率已经比较好了;缺陷是假如 关死了，全 就瘫痪了。

2. 　　 桥模式

   　　原理是双 卡做成透明桥，而桥是工作在第2层的，所以可以简单理解为桥为一条 线，因此性能是最好的几乎没有损失，WINPCAP本身并不支持该模式，该模式可以说是最理想的了。

   　　 络监控拓扑，即使桥坏了，只要简单做个跳线就可以了，因为桥是透明的可以看成 线，即使桥坏了就可以理解为 线坏了换一条而已。支持多VLAN、无线、千M万M、以及VPN、多出口等等几乎所有的 络情况，原因很简单，因为透明桥嘛等于理解为那是 线而已。

3. 　　旁路模式

   　　原理是使用ARP技术建立虚拟 关，只能适合于小型的 络，并环境中不能有限制旁路模式;路由或火墙的限制或被监视电脑安装了ARP火墙都会导致无法旁路成功，因为你一边在禁止旁路一边却正在旁路，所以自相矛盾。同时，如 内同时多个旁路将会导致混乱而中断 络。但只要条件该方式是最简单的部署以及最方便的安装设置。采用ARP欺骗方式会导致局域 瘫痪，一般不建议使用。

4. 4

   　　旁听模式

   　　原理是旁路监听，是通过交换机的镜像功能来实现监控，该模式需要采用共享式HUB或交换机镜像。可是如采用老式的共享式HUB将影响 络出口性能，如采用镜像模式，一方面需要投资支持双向的镜像交换机设备，另一方面需要专业的人设置镜像交换机。该模式的优点是部署方便灵活，只要在交换机上面配置镜像端口即可，不需要改变现有的 络结构。而且旁路监控设备一旦停止工作，也不会影响 络的正常运行。缺点在于，旁听模式通过发送RST包只能断开TCP连接，不能控制UDP通讯，如果要禁止UDP方式通讯的软件，需要在路由器上面做相关设置进行配合。

   络监控软件旁路模式有3大优点：
   1. 安装操作简单方便。旁路监控模式部署起来比较灵活方便，只需要在交换机上面配置镜像端口即可。不会影响现有的 络结构。而串联模式一般要作为 关或者 桥，所以需要对现有 络结构进行变动。

   2. 响应速度快。旁路模式分析的是镜像端口拷贝过来的数据，对原始传递的数据包不会造成延时，不会对 速造成任何影响。而串联模式是串联在 络中的，那么所有的数据必须先经过监控系统，通过监控系统的分析检查之后，才能够发送到各个客户端，所以会对 速有一定的延时。

   3. 不影响正常上 。旁路监控软件一旦故障或者停止运行，不会影响现有 络的正常原因。而串联监控设备如果出现故障，会导致 络中断，导致 络单点故障。

   常见的 络监控模式可以分为两种：一种是串联监控模式，另一种是旁路监控模式。

   旁路模式一般是指通过交换机等 络设备的“端口镜像”功能来实现监控，在此模式下，监控设备只需要连接到交换机的指定镜像端口，所以形象的称之为“旁路监控”；而串联模式一般是通过 关或者 桥的模式来进行监控，由于监控设备做为 关或者 桥串联在 络中，所以称之为“串联监控模式”。

   旁路模式和串联模式各有其优缺点，比较如下：

   旁路模式的优点：

   1. 旁路监控模式部署起来比较灵活方便，只需要在交换机上面配置镜像端口即可。不会影响现有的 络结构。而串联模式一般要作为 关或者 桥，所以需要对现有 络结构进行变动。

   2. 旁路模式分析的是镜像端口拷贝过来的数据，对原始传递的数据包不会造成延时，不会对 速造成任何影响。而串联模式是串联在 络中的，那么所有的数据必须先经过监控系统，通过监控系统的分析检查之后，才能够发送到各个客户端，所以会对 速有一定的延时。

   3. 旁路监控设备一旦故障或者停止运行，不会影响现有 络的正常原因。而串联监控设备如果出现故障，会导致 络中断，导致 络单点故障。

   旁路模式的缺点：

   1. 需要交换机支持端口镜像才可以实现监控。

   2. 旁路模式采用发送RST包的方式来断开TCP连接，不能禁止UDP通讯。对于UDP应用，一般还需要在路由器上面禁止UDP端口进行配合。而串联模式不存在该问题。

   3.旁路模式不处理原始数据包，所以无法分配实时带宽。关于如何在旁路模式下实现流量监控和局域 限速，请参见：www.imfirewall.com/blog/post/48.html

   在多 段环境下，由于路由器屏蔽了原始的MAC地址，导致WFilter不能直接监控到客户机的MAC地址信息。此问题可以通过安装“MAC地址收集器”来解决。“MAC地址收集器”可以把 段内的MAC地址信息发送给WFilter监控服务器，从而实现MAC地址的监控。

   “MAC地址收集器”有两种工作模式：

   1. SNMP模式（推荐） : 通过 管交换机或者路由器的SNMP功能来获取MAC地址信息。需要设备支持SNMP管理。
   2. ARP模式 ：通过ARP协议获取本 段的MAC地址信息，不需要设备支持。

   图 2

   2. 检查WFilter监控效果

   未安装MAC收集器时，WFilter不能监控到实际的MAC地址，下图为WFilter监控到的MAC地址和实际的MAC地址

   图 4（实际的MAC地址）

   安装MAC收集器后，WFilter就可以监控到实际的MAC地址，如图所示：

   

   图 5