“Нюхаем” сеть без сниффера… Часть 2

Как я рассказывал в предыдущем эпизоде, я говорил, что сбор трафика с помощью netsh это не только ценный мех так же предоставляет нам море информации о системе, на которой мы его запускали. При запуске трассировки создается .cab файл, который содержит другие файлы: 33, чтобы быть точным (по крайней мере у меня получилось 33). Этифайлы предоставляют чертову уйму информации о сетевой конфигурации компьютера, а так же кое-какие логи. Давайте посмотрим на эти файлы:

1) adapterinfo.txt: информация о драйверах Ваших сетевых интерфейсов:

Может ли это быть полезным? Да легко. Например, если Вы видите драйвер, который старше Вас, то, может быть, самое время его обновить? Всяко разно, это хоть какая-то информация для начала поиска проблем.

2) dns.txt: в этом файле лежит вывод команды ipconfig /displaydns, в котором содержится кеш DNS-клиента

3) envinfo.txt: все, что Вы желали знать о Вашей беспроводной сети и даже больше. Драйверы, поддерживаемые методы аутентификации и протоколы шифрования, интерфейсы и их состояние, настройки WLAN, профли и прочее…

4) filesharing.txt: nbtstat –n, nbtstat –c, net config rdr, net config srv, net share

5) gpresult.txt: без комментариев

6) neighbors.txt: arp –a, netsh interface ipv6 show neighbors (вызывать netsh из netsh… матрешка, ага… ;) )

7) netiostate.txt: в моем случае тут настройки Teredo

8) osinfo.txt: на первый взгляд похоже на вывод команды systeminfo, но на самом деле немного другая информация, что не умаляет ее полезности

9) Report.etl: Какой-то трейс. Я туда еще не смотрел, но наверняка что-то полезное ;)

10) wcninfo.txt: информация обо всем беспроводном. Состояние служб, инфомация о файлах, ipconfig и всякое такое. 

11) wfpfilters.xml: Тут, похоже, лежит описание правил локального сетевого экрана в XML-формате

12) windowsfirewallconfig.txt: конфигурация того же файрвола. Включен ли он, его глобальные настройки и прочая и прочая

13) еще несколько файлов, которые содержат различные журналы событий, относящиеся к сети, а так же копии ветвей реестра и проччую информацию

14) Report.html: тут лежат линки ко всем описанным выше файлам – для удобства

Ну вроде бы и все. На самом деле, во время поиска корней той или иной проблемы я частенько был вынужден запрашивать то один, то другой кусочек данных, не имея возможности заранее предугадать в чем проблема и не рискуя требовать все сразу. Теперь я могу дать им всего две команды и получить все скопом, да еще и сетевой трафик записать. Я в восторге =)

“Нюхаем” сеть без сниффера…

Частенько при решении разнообразных проблем приходится анализировать сетевой трафик. Обычно это требует установки какой-нибудь программы типа NetMon, WireShark или чего-нибудь еще в том же стиле. И все бы ничего, когда бы это было всегда возможно и эффективно. А что если “на том конце” какой-нибудь “продажный менеджер”, который в упор не желает этим заниматься? Или политика безопасности запрещает ставить дополнительное ПО на сервер? Да и вообще для одного раза ставить какую-то софтину – не очень многим нравится такая идея.

В общем, как все уже догадались, решение есть. Я тут недавно прочитал в одном из блогов среди других не менее замечательных вещей (этот блог входит в топ-5 моих любимых, если вообще не самый интересный для меня, кстати) совершенно чумовую статью, в которой есть решение для такой проблемы.

В кратце, Вам более не нужно ставить, скажем, NetMon на W7/2008 R2, чтобы захватить трафик. Это можно сделать с помощью встроенной утилиты, а именно netsh. Правда, Вам все еще понадобятся

1) права локального администратора на исследуемом компьютере

2) NetMon, чтобы проанализировать полученные данные, после того, как их сбор будет завершен. Но его Вы можете использовать на любом другом компьютере. 

Как это работает? Просто превосходно ;)

1) Начинаем сбор:

netsh trace start capture=yes tracefile=<PathToFile>

2) Потом воспроизводим проблему. Я запустил свой chrome (слишком много вкладок открыто в IE ;) ) и сходил на сайт www.microsoft.com.
3) Останавливаем:
netsh trace stop

Обратите внимание, что трассировка создала два файла: .etl and .cab. ETL это как раз тот, в котором записаны наши пакетики. Второй… Это то, что даже добавляет “чудесности” этому методу, но мы обсудим его в следующей статье. 
4) Открываем наш файл на любом компьютере с помощью Network Monitor:

Ой… Что это с нашими парсерами? Если взглянуть поближе, то мы увидим следующее: 
Process: Windows stub parser: Requires full Common parsers. See the "How Do I Change Parser Set Options(Version 3.3 or before) or Configure Parser Profile (Version 3.4)" help topic for tips on loading these parser sets.
Что ж, очевидно, некоторые парсеры не подключены. Давайте это сделаем, благо, это легко (да, я использую NetMon 3.4). Идем в tools->options

Смотрим на вкладку Parser Profiles:

И включаем профиль Windows нажав на нем правой кнопкой и кликнув опцию Set As Active:

И вот теперь все кристально ясно:

5) Ну итеперь делаем все, что нам нужно с помощью NetMon, например, посмотрим на DNS-запрос от имени Chrome:

Ну не здорово ли? Точно здорово, потому что мы еще не смотрели на .cab-файл, который содержит тонны полезной информации… Но для этого я отвел следующую статью.

Секреты %systemroot%\System32: defrag

Эта команда тоже, кажется, используется чем дальше, тем меньше. Частично, возможно, из-за того, что производительность современных компьютеров позволяет не беспокоиться о незначительной фрагментации, пока еще не слишком поздно она еще незначительная. Частично из-за того, что часть мифов о ней успешно прекратили свое существование. Но в основном потому, что нвчиная с VIsta дефрагментатор запускается автоматически раз в неделю. Ранее (во времена 9х) у нас был расчудесная GUI-программа, теперь у нас есть только утилита командной строки и весьма урезанный (без той самой чудесной визуализации статуса фрагментации: она была абсолютно бесполезная, но просто очень радовала глаз. Я даже думаю иногда, что именно из-за отсутствия этой визуальной магии теперь все меньше и меньше людей пользуется дефрагментацией, а не по описанным выше причинам ;) GUI для управления процессом.

В любом случае, запуск этой программы на регулярной основе означает, что у нас не так уж высок обычно процент фрагментации: 

И все-таки нам не хватает той самой магии =(

Как бы то ни было, если Вам не нравится, что этот “чертов компьютер управляет моими данными”, или Вы просто недостаточно удовлетворены  расписанием, то Вы можете отключить его с помощью программы dfrgui:

Тут же можно изменить время, когда она запускается, или еще сожно создать какое-нибудь сложное расписание в менеджере задач:

Вы даже можете создать скрипт, который управляет фрагментацией, повинуясь какой-то своей, одному ему ведомой логике. Скажем, зачем даже думать о запуске дефрагментатора, если Вы видите картину, навроде вот этой:

Для этого можно создать скрипт, который будет проверять, а есть ли фрагментация и насколько она существенна, дефрагментирует фрагментированное, если нужно, консолидирует свободное место время от времени, пляшет и танцует.

Я же, по правде говоря, вполне комфортно себя чувствую с настройками по-усолчанию, что не мешает мне, впрочем, помнить о существовании других вариантов.

LCDS: Создавайте свои собственные онлайн курсы

Частенько приходится давать внутренние презентации или объяснять по “стопицотому” разу одни и теже вещи просто в процессе передачи знаний о инфраструктуре и процессах на работе.  Не то, чтобы я сильно против, но все это отнимает чертовски много времени и иногда хочется чуть-чуть срезать углы. Предоставлять “студентам” голую презентацию не слишком гуманно и эффективно, каждый раз ее делать – тоже. Одним из решений, показавшихся мне интересными является создание каких-нибудь курсов, которые можно было бы выложить на сайт/портал и отсылать неофитов туда. А тут как раз подвернулась информация об инструменте, как раз для этого предназначенном, да еще и бесплатном. Это MS Learning Content Development System. Довольно-таки мощная и при этом простая система, с богатыми возможностями. Вам достаточно просто скачать ее, установить ее и приступить к созданию курсов. Встроенное аудио/видео, создание тестов или игр для оценки знаний и все такое. А потом просто экспортируете ее в один из доступных форматов и разместите на каком-нибудь сайте. Правда, достаточно интересный инструмент, позволяющий создать требуемый материал весьма быстро, если Вам есть что сказать, конечно же.

Например, я потратил всего 15-20 минут для создания моего собственного демонстрационного курса (разумеется, видео было готово заранее).

Обзор блога за май 2011

В этом апреле я был жутко занят, так что блогпостов было мало, да и те так себе… Я обязательно постараюсь исправиться к концу лета, а пока обзор хоть того, что было:

Секреты %SystemRoot%\system32: cipher

Зашифровать или удалить, вот в чем вопрос…

Секреты %SystemRoot%\System32: compact + convert

Старые бесполезные друзья

Халява: книжки и прочие учебники

Бесплатные книжки и прочее для самообразования

TextAnalysisTool.NET

Замечательная утилита для работы с логами и прочими текстовыми файлами

А как насчет сделать контроллер домена на базе W7?

Я все еще не понимаю, зачем там эта команда?

Платформа: goodbye

Прощай Платформа, здравствуй TechEd Russian Edition. Кажется, я таки стану докладчиком на TechEd. А может и нет.

VMM и не то чтобы disjointed namespace VMM в многодоменном окружении может преподнести сюрпризы.