IP数据包流量统计

《IP数据报流量统计》第１页共21页IP数据报流量统计学生姓名：指导老师：摘要本课程设计主要是编制程序，监控网络，捕获一段时间内网络上的IP数据包，按IP数据包的源地址统计出该源地址在该时间段内发出的IP包的个数，将其写入日志文件中或用图形表示出来。程序中会用到Winpcap，它主要功能在于独立于主机协议发送和接收原始数据报。本次课程设计中用VC++实现基于Winpcap的网络数据包的捕获和统计，基于Winpcap的应用程序将根据获取网络设备列表；选择网卡并打开；设置过滤器；捕获数据包或者发送数据包；列出网卡列表，让用户选择可用的网卡的步骤进行编写，同时对于TCP/IP协议以及IP数据抱的格式有了进一步的了解和掌握。通过编写程序从而实现对网络中IP数据包流量的统计。关键词IP数据包；流量统计；Winpcap；VC++1引言随着Internet技术的发展，基于IP协议的应用成为网络技术研究与软件开发的一个重要基础，因此学习网络层以基本概念，了解IP协议的基本内容，对于掌握TCP/IP协议的主要内容和网络课程的学习是十分重要的，通过本次课程设计，有助于熟悉IP数据包格式并加深对IP协议的理解。1.1课程设计目的本次课程设计主要是通过用VC++编程实现对网络中IP数据包流量的统计，实际上是编制程序，监控网络，捕获一段时间内网络上的IP数据包，按IP数据包的源地址统计出该源地址在该时间段内发出的IP包的个数，同时应用Winpcap，Winpcap提供了很好的捕获网络数据包的方法，通过本次课程设计可以将VC++知识与Winpcap结合起来实现在一段时间内对IP数据包的流量进行统计。加深了对Winpcap的理解和运用能力，同时也增长了知识，开阔了视野，对于以后的学习有很大的帮助。《IP数据报流量统计》第２页共21页1.2课程设计的要求（1）理解运用VC++软件实现对网络中的IP数据抱流量的统计方法和步骤。（2）学会文献检索的基本方法和综合运用文献的能力。（3）通过课程设计培养严谨的科学态度，认真的工作作风。1.3设计平台MicrosoftVisualC++6.02设计原理IP是ICP/IP协议体系中的网络层协议，TCP、UDP、ICMP和IGMP等其他协议都是以IP协议为基础的[1]。程序中用到的Winpcap是Windowspacketcapture的缩写，这是UNIX下的lipbcap移植到Windows下的产物，是Win32环境下数据包捕获的开放代码函数库。Winpcap由内核级的数据包过滤器，底层动态链接库（packet.dll）和一个高层的独立于系统的库（wpcap.dll）组成。2.1IP协议IP是TCP/IP模型中的网络层协议，又称为互联网协议，是支持网间互连的数据报协议，它与TCP协议一起构成了TCP/IP协议族的核心。它提供网间连接的完善功能，包括IP数据报规定互联网范围内的IP地址格式[2]。在因特网中IP协议是能使连接到网上的所有计算机网络实现相互通信的一套规则，规定了计算机在因特网上进行通信时应当遵守的规则。任何厂家生产的计算机系统，只要遵守IP协议就可以与因特网互连互通。IP地址具有唯一性，根据用户性质的不同，可以分为不同的类别。IP协议的特点如下：（1）IP协议是一种不可靠、无连接的数据报传送协议。（2）IP协议是点对点的网络层通信协议。（3）IP协议向通信层隐藏了物理网络的差异。（4）IP协议以一种数据报的形式传输数据，每个数据报独立传输，可能通过不同路径传输，因此可能不按顺序到达目的地，或者出现重复。《IP数据报流量统计》第３页共21页2.2关于Winpcap库Winpcap（windowspacketcapture）是windows平台下一个买费的、公共的基于windows的网络接口API库。主要为win32应用程序提供访问网络底层的能力。Winpcap的主要功能在于独立于主机协议（如TCP/IP）发送和接收原始数据报。也就是说，Winpcap不能阻塞、过滤或控制其他应用程序数据报的收发，它只是监听共享网络上传送的数据报。因此，它不能用于QoS调度程序或个人防火墙。其功能有：（1）捕获原始数据包，包括在共享网络上各主机发送接收的以及相互之间交换的数据包；（2）在数据包发往应用程序之前，按照自定义的规则将某些特殊的数据包过滤掉；（3）在网络上发送原始数据包；（4）收集网络通信过程中的统计信息。Winpcap是针对win32平台上的抓包和网络分析的一个架构，它包括一个核心态的包过滤器，一个底层的动态链接库（packet.dll）和一个高层的不依赖于系统的库（wpcap.dll）。它由Packet、NPF（NetgroupPacketFilter）、packet.dll、wpcap.dll、Application组成，首先，抓包系统必须绕过操作系统的协议来访问在网络上传输的原始数据包，这就要求一部分运行在操作系统核心内部，直接与网络接口驱动交互。这个部分是系统依赖的，在Winpcap的解决方案里它被认为是一个设备驱动，称作NPF。其次，抓包系统必须有用户级的程序接口，通过这些接口，用户程序可以利用内核驱动提供的高级特性。Winpcap提供了两个不同的库：packet.dll和wpcap.dll。前者提供了一个底层API，伴随着一个独立于Microsoft操作系统的编程接口，这些API可以直接用来访问驱动的函数；后者导出了一组更强大的与libpcap一致的高层抓包函数库。这些函数使得数据包的捕获以一种与网络硬件和操作系统无关的方式进行。《IP数据报流量统计》第４页共21页3程序代码设计步骤根据以上设计原理可以得到流量统计程序的主要功能模块如下图1：图1流量统计程序的主要功能图中取得网络适配器列表主要是得到网卡的相关信息，即网卡的个数、连接情况等，选择要监听的网络适配器就是要用户选择网卡，编译并设置过滤器是为了只捕获网络数据流的某些数据，将网络适配器设置为统计模式就是接受所有经过网卡的数据包，包括不是发给本机的数据包，接下来的任务就是开始主循环调用回调函数来显示网络流量了。根据流量设计程序的主要功能，相应的算法如下：（1）取得当前网络设备列表；（2）将用户选择的网卡以混杂模式打开，以接收到所有的数据包；（3）设置过滤器；（4）捕获IP数据包的源地址进行统计（用链表结构进行实现）。取得网络适配器列表选择要监控的网络适配器编译并设置过滤器将网络适配器设置为统计模式开始主循环调用回调函数显示网络流量统计《IP数据报流量统计》第５页共21页根据以上算法得到的程序流程图如图2：图2程序流程图图中获取网卡列表是为了得到网卡的相关信息，以便于用户进行选择，选取Ethermet网卡是用户所选择的网卡类型，编译设置过滤器是为了编译并设置过滤器是为了只捕获网络数据流的某些数据，打开网卡既将网卡设置为混杂（统计）模式是为了接选取Ethermet网卡获取网卡列表打开网卡（混杂模式）编译设置过滤器捕获IP包将IP包源地址加入链表NY输出链表内容超时否？结束开始《IP数据报流量统计》第６页共21页受所有经过网卡的数据包，包括不是发给本机的数据包，开始主循环以是否超时为判断条件，循环体内主要有捕获IP数据包、将IP包的源地址加入链表、条件判断，循环结束后输出链表内容，程序至此结束。现将其每一步的具体步骤简述如下：3.1取得网络适配器列表//取得网络适配器列表步骤中，alldevs是pcap_if_it指针，指向链表头，errbuf是char类型数组，存储错误信息[3]。pcap_findalldevs(&alldevs,errbuf);cout”网络适配器列表:”’\n’;for(d=alldevs;d;d=d-next){cout++i:d-name;if(d-description)coutd-description;elsecoutNodescriptionavailable!'\n';}3.2指定要监听的网络适配器并打开cout”输入要监听的网络适配器号:”I;cininum;for(d=alldevs,i=0;iinum-1;d=d-next,i++);fp=pcap_open_live(d-name,65536,1,1000,errbuf);3.3编译并设置过滤器//编译过滤器，fp指向打开的网络适配器，fcode为编译完成后的过滤器存储地址，“tcp“给出了过滤条件，下一个参数表示是否被优化（0为false,1为true），最后一个参数给出了子网掩码。pcap_compile(fp,&fcode,”tcp”,1,netmask)《IP数据报流量统计》第７页共21页pcap_setfilter(fp,&fcode)3.4设置网络适配器为统计模式if(pcap_setmode(fp,MODE_STAT)0){cout”\n设置网络适配器模式错误!\n”;pcap_close(fp);}3.5开始主循环，调用回调函数显示网络流量统计信息//pcap_loop由Winpcap库定义，对每个采集来的数据包都用ProcessPacket函数进行处理，fp指向打开的网络适配器[4]pcap_loop(fp,0,dispatcher_handler,(PUCHAR)&st_ts);pcap_close(fp);3.6回调函数的实现//对于捕获到的每一个数据包应用此回调函数voiddispatcher_handler(u_char*state,conststructpcap_pkthdr*header,constu_char*pkt_data){structtimeval*old_ts=(structtimeval*)state;u_intdelay;LARGE_INTEGERBps,Pps;structtm*ltime;chartimestr[16];time_tlocal_tv_sec;//计算距上一个数据包的时间延迟，以ms为单位//这个值是从与一个数据包相关的时间戳中截获的delay=(header-ts.tv_sec-old_ts-tv_sec)*1000000-old_ts-tv_usec+header-ts.tv_usec;//获得每秒的比特数《IP数据报流量统计》第８页共21页Bps.QuadPart=(((*(LONGLONG*)(pkt_data+8))*8*1000000)/(delay));//获得每秒的数据包数Pps.QuadPart=(((*(LONGLONG*)(pkt_data))*1000000)/(delay));//将时间戳转变位可读的标准格式ltime=localtime(&header-ts.tv_sec);strftime(timestr,sizeoftimestr,%H:%M:%S,ltime);//Printtimestampprintf(%s,timestr);//Printthesamplesprintf(BPS=%I64u,Bps.QuadPart);printf(PPS=%I64u\n,Pps.QuadPart);//storecurrenttimestampold_ts-tv_sec=header-ts.tv_sec;old_ts-tv_usec=header-ts.tv_usec;};4结果及分析安装好WinPcap软件，在VC++界面上点击工具-选项-目录。添加Include文件夹下的所有文件和Lib下的所有内容，调试完程序无误后，点击开始—运行“cmd”进入目标文件夹Debug下运行IPI.EXE文件并加入参数2bl.txt。此时程序会检测电脑系统中的网卡数，然后选择程序运行时的网络接口,耐心等待两分钟后就会得到程序的运行结果.《IP数据报流量统计》第９页共21页图3系统中网络接口数图3为程序运行之后系统中的网络接口数。图4选择第三个网络接口图4为选择第三个网络接口的命令行。图