Windows 2008 R2 网络流量日志记录

Question

您能推荐一款适用于 Windows 2008 R2 的网络流量记录器吗？它应该作为服务执行，并收集简单数据“源 IP/端口、目标 IP/端口、数据包大小”。我曾尝试使用 ETW 跟踪和 Winsock AFD 提供程序，但它会产生大量数据，丢弃大量数据包，并且很难分析生成的 ETL 日志文件。

Answer 1

Wireshark 可以从命令行启动。然后，您只需创建一个在启动时启动它的计划任务。

wireshark 的命令行参数：http://www.wireshark.org/docs/wsug_html_chunked/ChCustCommandLine.html

否则，您也可以从交换机的另一个端口进行端口镜像来收集数据。

根据网络流量的处理方式，您可以使用进程监视器来自 Sysinternals。它可以直接记录自启动以来的活动（工具中的选项）。如果使用 Windows API，则会记录网络流量。请确保“删除过滤条目”并仅记录网络。

当您再次启动该工具时，它会检测到它并要求检索已记录的条目。

Answer 2

我知道的最好的产品是 Microsoft Network Monitor。它可以免费下载，并且高度可扩展且由 Microsoft 维护。我使用过大多数其他产品，但当我需要完成某件事时，我总是会回到这个。

Codeplex 上还有其他解析器，但内置的内容非常强大。

网络监控博客网站

下载链接

Answer 3

您看过 netmon 吗？ETW 将提供大量数据，但不应丢弃数据包。