Windows NetMon 2

Die Beschreibung zur aktuellen Version finden sie auf NetMon 3

Ein wichtiges und zu unrecht unterschätztes Tool eines Server Administrators ist der Microsoft Netzwerk Monitor, welcher bei jedem Windows Server zumindest in vereinfachter Version enthalten ist. Ähnlich wie Wireshark und Packetyzer ist auch der NetMon ein Programm, um Pakete auf dem Netzwerk mitzuschneiden. Es ist im Standard Lieferumfang von Windows NT4 , 2000 und 2003 Server enthalten, aber muss installiert werden.

Danach finden Sie im Startmenü unter Verwaltung das Icon für "Netzwerkanalyseprogramm". Sie können NetMon problemlos installieren und starten, den im Gegensatz zu Wireshark und Packetyzer benötigt NetMon keinen Pakettreiber und keinen Neustart. Sie können sofort mit NetMon anfangen, Pakete zu protokollieren. Ehe Sie nun aber zur Tat schreiten, sollten sie folgendes wissen:

NetMon für Einsteiger

So eine Aufzählung ist zwar alles ganz nett, aber wenn Sie bislang noch nie mit NetMon gearbeitet haben, dann sollten ihnen diese ersten Schritt weiter helfen.

Installation NetMon

Zuerst muss der Microsoft Netzwerk Monitor installiert werden. Dazu dient das ganz normale Windows Setup, welches sie unter "Start - Einstellungen - Systemsteuerung - Software" erreichen können. Unter den "Windows Komponenten hinzufügen/entfernen" müssen Sie dann den Netzwerkmonitor auswählen.

Der Eintrag findet sich unter Verwaltungs- und Überwachungsprogramme. Nach der Installation können Sie den NetMon einfach über das Startmenü in der Verwaltung aufrufen.

Auswahl der Karte

Nach dem Start werden Sie je nach Version darauf hingewiesen, dass es sich um die eingeschränkte Version handelt, die keine für andere Systeme bestimmte Pakete mitschneiden kann. Der nächste Schritt ist die Auswahl der Netzwerkkarte.

Wenn ein System mehrere Karten hat oder über ein so genanntes "Team" verfügt, bei der mehrere Karten zu einer virtuellen Karte zusammengefasst werden, dann sollten Sie immer das Team nehmen. Da der NetMon die MAC-Adresse anzeigt, können Sie die für ihren Mitschnitt korrekte Karte über "IPCONFIG /ALL" ermitteln. IPCONFIG /ALL muss auf einer Kommandozeile ausgeführt werden und zeigt ihnen alle Karten mit der IP-Adresse und der MAC-Adresse an.

Wichtig ist hier auch die Anzeige unter "unterstützt Promiscuous Mode". Dies ist wichtig, wenn Sie später einmal die Vollversion von SMS installieren wollen. Nur in dieser Betriebsart kann die Karte auch wirklich alle Pakete annehmen, auch wenn diese nicht für die Karte bestimmt sind.

Einstellen des Puffers

Der zweite Schritt führt zur Einstellungen der Ringpuffergröße. Die vorgegebenen 1 Megabyte sind in den seltensten Fällen ausreichend.

Mehr als 64 Megabyte brauchen Sie aber in der Regel nicht. Wenn Sie mehr Daten mitschneiden,  dann sollten Sie überlegen, ob Sie einen besseren Filter finden. Wirklich "lesen" können Sie 64 Megabyte wirklich nicht. Große Puffer brauchen Sie aber, wenn Sie den Filter nicht ausreichend eng einstellen können oder sie viele Daten für spätere Auswertungen mit anderen Programmen benötigen.

Der erste Testlauf

Ob wir nun alles richtig gemacht haben, können wir einfach mit einem Mitschnitt erkennen. Drücken Sie dazu oben auf die an einen Videorecorder angelehnten Schaltflächen. Das Symbol für "Play" steht hier aber für Aufzeichnen. NetMon sollte auf jeden Fall einige Pakete erhalten. Es sind allerdings nur Pakete, die er selbst sendet, direkt empfängt oder als Broadcast oder Multicast mit bekommt. Aber das reicht für den Anfang schon aus.

Im rechten Bereich sehen Sie die absoluten Zahlen. Hier wurden 21 Pakete und 6 Broadcasts empfangen. Das untere Fenster zeigt die beteiligten Systeme anhand ihrer MAC-Adresse. Links darüber die Kommunikationsbeziehungen. Links oben zeigt NetMon eine grafische Aufbereitung. Wenn NetMon ihnen nichts anzeigt, dann könnten wirklich nichts auf ihrem Netzwerk los sein. Wahrscheinlicher ist aber, dass Sie die falsche Netzwerkkarte ausgewählt haben.

Der passende Filter

Ehe Sie nun aber eine Fehler suchen, sollten Sie die Menge der mitgeschnittenen Pakete begrenzen. Dazu eignen sich natürlich am besten Filter auf IP-Adressen oder MAC-Addressen. Über das Menü "Sammeln - Filter" oder alternativ über die Funktionstaste F8 kommen Sie in den Filterdialog. Folgende Warnung können Sie bestätigen

Damit weist Sie der NetMon darauf hin, dass er nicht alles mitschneiden wird. Sie können mit NetMon also nur sinnvoll arbeiten, wenn der Fehler auch den Server betrifft, auf dem Sie NetMon starten.

Der Sammlungsfilter erlaubt ihnen die Angabe von Adresspaaren anhand der IP, IPX oder MAC-Addresse. Dazu müssen Sie einfach eine Adresse hinzufügen und im folgenden Fenster die gewünschten Partner auswählen. Meist müssen Sie noch nicht in der Liste aufgeführte Partner manuell erst hinzu fügen.

Zusätzlich können Sie auch Musterübereinstimmungen oder die Ethernet Frametypen selektieren. Dies zählt aber eher zu den fortgeschrittenen Tätigkeiten beim Umgang mit NetMon. Eine Filterung auf TCP/IP-Ports, Protokolle oder anderer höhere Protokollschichten ist hier leider noch nicht möglich. Allerdings können Sie mehrere Filter logisch über UND, ODER, NICHT verknüpfen. Wenn Sie auf einem Exchange Server mitschneiden und sie haben zwei Domain Controller, dann sollten Sie zwei Filterbedingungen verknüpfen.

Die hier aufgezeigte Verbindung protokolliert alle Verbindungen von SRV01 and den DC1 und an den DC2 mit. Das "UND" ist nicht als logisches UND zu verstehen, denn dann würde der NetMon ja nie was mitschneiden.

Der richtige Mitschnitt

Ob die Filter nun auch so wirken, wie sie es erwarten, sollten Sie z.B. einfach mit einem PING prüfen. Starten Sie dazu den NetMon zum Mitschneiden und senden Sie einen Ping von den und an die beteiligten Systeme. Sie sollten diese PINGS auch in Netmon später in der Ansicht sehen. Unerwünschte Pakete sollten jedoch nicht ihren Puffer füllen. Wenn der PING vier Pakete sendet, können Sie meist schon allein anhand der Anzahl der Pakete im Puffer die Funktion prüfen. Ansonsten können Sie natürlich den Mitschnitt nach dem Test anhalten und in den Buffer schauen.

Ein Ping mit vier antworten führt zu 8 Paketen im Puffer, weil der Sender und der Empfänger jeweils vier Pakete gesendet haben. So ausgerüstet können Sie nun den Mitschnitt wieder starten und auf die wirklich wichtigen Pakete warten. Da ein "PING" später recht einfach in dem Mitschnitt zu finden ist, ist ein PING natürlich auch ein geniales Markierungshilfsmittel um bestimmte Zeitpunkte leichter wieder zu finden. Wenn Sie z.B. auf einem anderen Server eine zu protokollierende Aktion durchführen, dann können Sie kurz vorher einen Ping senden und nach dem Abschluss einen weiteren Ping. So können Sie Start und Ende leichter wieder finden. Analogieren zu "Senden Sie nur einen Ping, bitte" aus dem Film "Jagd auf roter Oktober" sind rein zufällig.

Die Anzeige

Wenn Sie dann glauben, die fraglichen Pakete mitgeschnitten zu haben, dann ist es Zeit, den Mitschnitt anzuhalten und anzuzeigen. Dazu gibt es im NetMon den "STOP"-Button zum beenden bzw. den "Stop mit Brille"-Button zum direkten Anzeigen nach dem Ende. Das Fenster könnte dann so aussehen:

Ich versuche die einzelnen Pakete zu erläutern.

Wenn Sie daher bei Exchange solch ein Fehlerbild haben, sollten Sie prüfen, ob sie den richtigen Smarthost im SMTP-Connector eingetragen haben (vielleicht nur vertippt) oder die Namensauflösung eine falsche IP-Adresse für einen Namen liefert. Es kann natürlich auch sein dass die Gegenseite den SMTP-Server gerade zu Wartungsarbeiten gestoppt hat. Der Server selbst ist aber erreichbar, da der TCP/IP-Stack aktiv die Verbindung ablehnt. Dies könnte natürlich auch eine Firewall sein.

NetMon für Profis

NetMon kann viel mehr, als auf den ersten Blick zu erkennen ist. Viele erweiterte Funktionen sind nur in der Version enthalten, die mit SMS verteilt wird. Auch liefert Microsoft leider nicht allzu viele Protokollfilter mit, die Protokolle decodieren können. Hier sind die Entwickler von Wireshark sehr viel weiter. Aber das ist ja an sich kein Gegensatz.

Ich selbst z.B.: schneide auf Kundenservern bevorzugt mit NetMon die Pakete auf dem Server mit. Schließlich möchte nicht jeder Kunde, dass eine fremde Software und vielleicht noch zusätzliche Treiber das System instabil machen. Der NetMon hingegen ist problemlos zu installieren, da er ja zu Windows "dazu" gehört. Die von NetMon erstellten CAP-Dateien kann ich allerdings viel besser in Wireshark oder mit Packetyzer analysieren.

Oft ist es aber so, dass ich gar nicht weiß, wann der Fehler auftritt. Hier kann NetMon dann auf dem Server mit einem passenden Filter gestartet werden und schneidet immer mit. Da der Speicher ein Ringpuffer ist und ich den ausreichend groß dimensionieren kann, muss ich nur noch erreichen, dass NetMon rechtzeitig beendet wird. Nun kann natürlich ein Anwender beim Auftreten des Fehlers anrufen und der Administrator hechtet zum Server um den STOP-Knopf zu drücken. Es geht aber auch einfacher:

NetMon kann bestimmte Aktionen ausführen, wenn ein bestimmtes Paket eintrifft. Ich muss also nur ein ganz besonderes Paket generieren, welches so nie auftritt und von NetMon erkannt werden kann. Meist behelfe ich mich einfach mit einem PING von einer bestimmten Station, einem NET SEND oder einen TELNET auf einen Port. In NetMon kann dann eingestellt werden, dass beim Eintreffen eines solchen Pakets das Mitschneiden beendet wird

So kann ich beim Auftreten des Fehlers mit einem einfachen PING an den Server aus der Ferne die Sammelfunktion von NetMon beenden und in aller Ruhe zum Server laufen und den Mitschnitt zur weiteren Auswertung abspeichern.

NetMon Ergebnisse interpretieren

Wenn Sie nun glauben das richtige mitgeschnitten zu haben, dann kommt die eigentliche Detektivarbeit. Um die Daten zu lesen, müssen Sie sich nun mit den tiefen der Kommunikationsprotokolle beschäftigen. Ich würde nun gerne ihnen all das erzählen und schreiben, was ich in den Jahren meiner Tätigkeit beim Umgang mit NetMon und anderen Produkten wie Novells Lanalyzer, Sniffer aber auch Speicheroszilloskopen in den Zeiten von 10 MBit BNC-Ethernet gelernt habe. Nur würde dafür eine ganze Webseite vermutlich nicht ausreichen. Aber oft muss man gar nicht so tief einsteigen, wenn auch ohne allzu tiefes Wissen können Sie oft häufige Fehler erkennen z.B.

Auch wenn das nur einige Beispiele für den Einsatz von NetMon sind, habe ich sie hoffentlich neugierig gemacht, sich mit NetMon zu beschäftigen. Es ist ein sehr wirkungsvolles Mittel, wenn Sie damit umgehen können. Die Vollversion ist übrigens in SMS enthalten und kann auch Pakete senden. Dies sollte aber nur in Ausnahmefällen von qualifizierten Personen eingesetzt werden, da die Störungen sehr umfangreich sein können.

Weitere Links

Keywords:Archiv Tools NetMon Wireshark Paketyzer Sniffer