Sniffer抓包分析手册
sniffer抓包分析参考模型
实验时间
2012年X月X日
实验人
xxx
模块章节
xxxx第X章
实验名称
xxxxxxxxxxx
实验目的
通过本实验验证.....................
实验拓扑
实验环境
需要2台虚拟机
1)win7-1
IP：192.168.0.50/24，连接在vmnet2交换机
在虚拟机上安装抓包软件sniffer，重启后安装成功
3.在winxp-1上对sniffer设置，确定要抓包的主机和抓包的数据类型
1.打开sniffer，点击“capture”（捕获）－“Define Filter”(规定过滤)－“Address”（地址）－“Address”中选择“IP”－在“station1”中填写虚拟机winxp-1的IP地址－“station2”中填写win2003-1的IP地址，
2.单击“Advance”（高级）－“IP”－“TCP”－勾选“Telnet”－“确定”
4.在winxp-1上抓包，
1.注意先启动抓包程序，再使用telnet访问。点击
开始抓包，
2.在winxp-1上“开始”－“运行”－输入“cmd”进入仿真DOS界面
执行：telnetห้องสมุดไป่ตู้192.168.0.10，
输入用户名和密码，远程登入虚拟机，
2.关闭防火墙
右键单击屏幕右下角网络图标－“更改windows防火墙设置”－“关闭”－“确定”
3.特别提示：最好为administrator用户设置密码
右键单击“我的电脑”－“管理”－“本地用户和组”－右键单击“administrator”用户－选择“设置密码”，设置密码为123，点击“确定”
指导手册-SnifferPro 数据包捕获与协议分析
网络分析工具Sniffer Pro一、训练目标1、了解常用网络分析工具2、会使用网络分析工具Sniffer Pro二、实训环境要求利用VMware软件虚拟出一台计算机（称为“虚拟机”或“虚拟系统”），与物理机组成一个最小的网络实验环境，作为网络攻击的目标计算机，物理机作为实施网络攻击的主机。
建议安装方式：在XP系统中，安装虚拟的windows2003/2000 Server系统三、实训内容任务1：网络分析工具Sniffer Pro的使用Sniffer Pro是一种很好的网络分析程序，允许管理员逐个数据包查看通过网络的实际数据，从而了解网络的实际运行情况。
它具有以下特点：1. 可以解码至少450种协议。
除了IP、IPX和其它一些“标准”协议外，Sniffer Pro还可以解码分析很多由厂商自己开发或者使用的专门协议，比如思科VLAN中继协议(ISL)。
2. 支持主要的局域网(LAN)、城域网(WAN)等网络技术(包括高速与超高速以太网、令牌环、802.11b无线网、SONET传递的数据包、T-1、帧延迟和ATM)。
3. 提供在位和字节水平上过滤数据包的能力。
4. 提供对网络问题的高级分析和诊断，并推荐应该采取的正确措施。
5. Switch Expert可以提供从各种网络交换机查询统计结果的功能。
6. 网络流量生成器能够以千兆的速度运行。
7. 可以离线捕获数据，如捕获帧。
因为帧通常都是用8位的分界数组来校准，所以SnifferPro只能以字节为单位捕获数据。
但过滤器在位或者字节水平都可以定义。
需要注意的是，使用Sniffer捕获数据时，由于网络中传输的数据量特别大，如果安装Sniffer的计算机内存太小，会导致系统交换到磁盘，从而使性能下降。
如果系统没有足够的物理内存来执行捕获功能，就很容易造成Sniffer系统死机或者崩溃。
因此，网络中捕获的流量越多，Sniffer系统就应该运行得更快、功能更强。
实验四snifferpro数据包捕获与协议分析
实验四SnifferPro数据包捕获与协议分析一. 实验目的1.了解Sniffer的工作原理。
2.掌握SnifferPro工具软件的基本使用方法。
3.掌握在交换以太网环境下侦测、记录、分析数据包的方法。
二、实验原理数据在网络上是以很小的被称为“帧”或“包”的协议数据单元（PDU）方式传输的。
以数据链路层的“帧”为例，“帧”由多个部分组成，不同的部分对应不同的信息以实现相应的功能，例如，以太网帧的前12个字节存放的是源MAC地址和目的MAC地址，这些数据告诉网络该帧的来源和去处，其余部分存放实际用户数据、高层协议的报头如TCP／IP的报头或IPX报头等等。
帧的类型与格式根据通信双方的数据链路层所使用的协议来确定，由网络驱动程序按照一定规则生成，然后通过网络接口卡发送到网络中，通过网络传送到它们的目的主机。
目的主机按照同样的通信协议执行相应的接收过程。
接收端机器的网络接口卡一旦捕获到这些帧，会告诉操作系统有新的帧到达，然后对其进行校验及存储等处理。
在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的MAC地址和自己的物理地址一致或者是广播地址，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。
如果网络中某个网络接口卡被设置成“混杂”状态，网络中的数据帧无论是广播数据帧还是发向某一指定地址的数据帧，该网络接口卡将接收所有在网络中传输的帧，这就形成了监听。
如果某一台主机被设置成这种监听（Snfffing）模式，它就成了一个Sniffer。
一般来说，以太网和无线网被监听的可能性比较高，因为它们是一个广播型的网络，当然无线网弥散在空中的无线电信号能更轻易地截获。
三、实验内容及要求要求：本实验在虚拟机中安装SnifferPro4.7版本，要求虚拟机开启FTP、Web、Telnet等服务，即虚拟机充当服务器，物理机充当工作站。
物理机通过Ping命令、FTP访问及网页访问等操作实验网络数据帧的传递。
sniffer使用指南.
1
提纲
Sniffier 介绍及原理 网络监控的几种模式
抓包
分析 过滤 发包
2
Sniffer 介绍及原理
1.介绍： 捕获在网络中传输的数据信息就称为sniffing （窃听、嗅探），而sniffer就是其中的一个很 好用的工具。sniffer是用于高级分组检错的工 具。它可提供分组获取和译码的功能，它可以 提供图形以确切的指出在你的网络中哪里正出 现严重的业务拥塞。另外，我们也可以利用 sniffer去熟悉和掌握我们学习过的协议。
10
抓包
2 抓本地网卡上所有的数据包
11
分析
12
过滤
在默认情况下，sniffer将捕获其接入碰撞域中 流经的所有数据包，但在某些场景下，网络流 量很大，并不是所有的报文都是我们感兴趣的。 我们只想研究我们感兴趣的报文。这个时候我 们就要过滤报文。
13
过滤
过滤报文根据应用的目的不同分为三种情况： 在网络监视中，我们只想监视我们感兴趣的流量；
3
Sniffier 传送数据的，也就是说，可以让所有的物
理信号都经过我们的机器。但是正常情况下，我们的网卡只能接
受发给自己的单播、所属的组播及广播。但是网卡可以置于一种 模式叫混杂模式（promiscuous），在这种模式下工作的网卡能 够接收到一切通过它的数据，而不管实际上数据的目的地址是不 是他。这实际上就是我们SNIFF工作的基本原理：让网卡接收一 切他所能接收的数据。
我们只是想显示和研究其中的一部分。
14
过滤
定义过滤又有两种方式 定义过滤地址表或者协议表 定义过滤模板（功能强大，推荐使用）
15
过滤
定义过滤列表
实验八--网络性能监测分析工具Sniffer捕获高层协议数据包并分析
实验八-网络性能监测分析工具Sniffer捕获高层协议数据包并分析实验目的: 使用Sniffer抓取ftp的数据报分析FTP的三次“握手”的过程。
分析FTP客户端和服务器端通信过程实验环境: Windows环境下常用的协议分析工具: sniffer 搭建Serv-U FTP Server, 在计算机上建立FTP服务器VMware虚拟机, 用虚拟机进行登录FTP。
实验内容和步骤:1. 建立网络环境。
用Serv-U FTP Server在计算机上建立一台FTP服务器, 设置IP地址为: 192.168.0.10。
在Serv-U FTP Server中已设定用户xyz, 密码123123。
（也可以自行设定其他帐号）2. 在此计算机上安装了sniffer。
3．启动该机器上的虚拟机作为一台FTP客户端, 设置IP地址为: 192.168.0.12。
4. 使用ping命令看是否连通。
记录结果。
5. 使用虚拟机登录FTP服务器。
6. 运行sniffer嗅探器, 并在虚拟机的“运行”中输入ftp://192.168.0.10, 点确定后出现如下图的登录窗口:在登录窗口中输入：用户名（xyz）, 密码（123123）使用sniffer抓包, 再在sniffer软件界面点击“stop and display”, 选择“Decode”选项, 完成FTP命令操作过程数据包的捕获。
8.在sniffer嗅探器软件上点击Objects可看到下图, 再点击“DECODE(反解码)。
记录FTP三次握手信息, 写出判断这三个数据包的依据（如syn及ack）。
记录端口信息等内容。
9．找出数据包中包含FTPUSER命令的数据包, 记录显示的用户名。
10．捕获用户发送PASS命令的数据包, 记录显示的密码。
11. 找出FTP服务器端与客户端端口20进行三次握手打开数据传输。
记录数据信息。
用Sniffer命令抓包分析操作说明_Jimmy
FortiGate 用Sniffer 命令命令抓包分析说明文档抓包分析说明文档说明说明：：本文档针对FortiGate 产品的后台抓包命令使用进行说明，相关详细命令参照相关手册。
在使用后台抓包分析命令时，建议大家使用如SecureCRT 这样的远程管理工具，通过telnet 或者ssh 的方式登陆到网关，由于UTM 本身不支持将抓包的结果保存在设备自身的存储空间，因此需要借助SecureCRT 这样远程管理工具接收文件。
1．基本命令命令: diagnose sniffer packet.# diag sniffer packet <interface> <'filter'> <verbose> <count>2．参数说明2.1 interface<interface> 指定实际的接口名称，可以是真实的物理接口名称，也可以是VLAN 的逻辑接口名称，当使用“any ”关键字时，表示抓全部接口的数据包。
例：＃diag sniffer packet port1 //表示抓物理接口为port1的所有数据包＃diag sniffer packet any //表示抓所有接口的所有数据包＃diag sniffer packet port1-v10 //当在物理接口建立一个VLAN 子接口，其逻辑接口名为port1-v10，此时表示抓port1-v10接口的所有数据包，此处一定注意一个问题，由于抓包命令中的空格使用来区分参数字段的，但是在逻辑接口创建时，接口名称支持空格，考虑到今后抓包分析的方便，建议在创建逻辑接口时不要带有空格。
2.2 verbose<verbose> 指控制抓取数据包的内容1: print header of packets, //只抓取IP的原地址、源端口、目的地址、目的端口和数据包的Sequence numbers 为系统缺省设置2: print header and data from ip of packets, //抓取IP数据包的详细信息，包括IP数据的payload。
(完整word版)Sniffer 网络抓包
MySniffer抓包程序一、开发思路在windows操作系统下，要想捕获网络上的数据包,必须要对网卡进行控制,因为本机的数据报从网络上来到本机是通过网卡然后再保存到本地缓冲区上的，所以要抓获网包就必须调用网卡驱动中的对外函数.因此，通过调用网卡驱动函数,将网卡设置为杂乱模式状态,使得网卡不能阻塞、过滤或控制其他应用程序数据报的收发，以达到抓取数据包的目的.开发环境：系统:Windows XP;IDE:MyEclipse6.0。
1；工具包： winpcap；Jpcap;开发语言：java二、开发流程1、MySniffer功能本程序基本功能:包括对ipv6数据包的抓取,分析.扩展功能：提供友好的可视化界面和操作。
2、MySniffer层次结构MySniffer抓包程序分为三大部分：访问网络底层部分、数据包分析部分、可视化界面部分。
因此，层次结构大概为下图所示：图一、MySniffer抓包程序层次结构图从MySniffer抓包程序层次结构图可知,程序各部分的主要功能包括：●可视化界面部分:提供友好界面显示，抓包操作(网卡选择、开始抓包、停止抓包）及显示数据包分析结果。
●数据包分析部分：负责分析数据包及保存抓取到的数据包.●访问网络底层部分：提供底层服务，检测网卡设备及抓取网络中的原始数据包.3、MySniffer操作流程MySniffer操作流程具体为：初始化界面—〉检测网卡—〉调用网卡抓包—〉对抓到的数据包即时统计、分析->停止抓包—〉显示数据包内容。
如下图所示：图二、MySniffer抓包程序操作流程图4、MySniffer具体实现MySniffer抓包程序包括4个类,分别是IPV6Main(主函数）、IPV6Frame（界面)、IPV6Packet(数据包信息）、IPV6Captor（抓包）。
IPV6Frame提供界面显示，有以下方法：startButton（）//开始按钮触发方法，调用doCapture（）。
Sniffer实验指导书
使用Sniffer 工具进行TCP/IP分析实验过程与步骤任务一安装Sniffer Pro1. Sniffer技术简介Sniffer(嗅探器)就是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种技术。
该技术被广泛应用于网络维护和管理方面，它接收着来自网络的各种信息，通过对这些数据的分析，网络管理员可以深入了解网络当前的运行状况，以便找出所关心的网络中潜在的问题。
在正常情况下，网络接口卡读入一帧并进行检查，如果帧中携带的目的地址(这里的目的地址是指物理地址而非IP地址，该地址是网络设备的唯一性标志)和自己的物理地址一致或者是广播地址(就是被设定为一次性发送到网络所有主机的特殊地址，当目标地址为该地址时，所有的网络接口卡都会接收该帧)，网络接口卡通过产生一个硬件中断引起操作系统注意，然后将帧中所包含的数据传送给系统进一步处理，否则就将这个帧丢弃。
如果网络中某个网络接口卡设置成“混杂”状态，网络接口卡会如何处理收到的帧呢？实际的情况是该网络接口卡将接收所有在网络中传输的帧，无论该帧是广播的还是发向某一指定地址的，这就形成了监听。
如果某一台主机被设置成这种监听模式，它就成了一个Sniffer。
鉴于Sniffer的工作原理，如果一个数据帧没有发送到你的网络接口卡上，那么你将无法监听到该帧。
所以Sniffer所能监听到的信息仅限于在同一物理网络内传送的数据，在使用了交换(路由)设备的网络中，由于其数据是根据目的地址进行分发的，单个的网络接口卡将无法监听到所有正在传输的信息。
2. 双击安装的可执行程序，开始运行安装程序。
3. 安装过程中，要填写一些注册信息，可以简要的填写，注意软件的序列号要填写正确。
图1-1 填写注册信息图1-2 填写注册信息4. 安装块结束时，会让你选择接入Internet的方式，可以根据实际情况选取。
图1-3 选择接入Internet的方式图1-4 完成安装5. 安装成功后，重新启动机器。
sniffer pro数据包分析
、实验目的：1、理解协议分析仪的工作原理；2、学会使用Sniffer Pro捕获数据包；3、学会分析协议数据包。
二、实验设备硬件：PC机二台和交换机一台。
软件：作服务器的PC需安装Windows 2000 Server，另一台PC作客户机，可为Windows 2000/XP，并安装Sniffer Pro 4.7.5。
拓朴结构图：三、任务描述作为公司网络管理员需要熟悉网络协议，熟练使用协议分析仪。
使用协议分析仪，宏观上，可以进行统计以确定网络性能。
微观上，可以从数据包分析中了解协议的实现情况，是否存在网络攻击行为等，为制定安全策略及进行安全审计提供直接的依据。
四、实验内容和要求1、使用Sniffer Pro捕获数据包；2、定义过滤条件；3、分析数据包协议；4、截获HTTP网页内容（如手机号码）5、截获FTP客户名和密码。
五、实验步骤：1、设置IP地址：为了避免各组的IP地址发生冲突，各组将本组机的IP地址设为192.168.X.N，X为组号，N由组长指定，组内机要不相同。
服务器的IP地址： Sniffer Pro机的IP：2、新建文件夹和文件新建文件夹“D：\MyFTP”和文本文件：“test.txt”。
test.txt中的内容为：Hello, everybody! Miss you!3、新建本地用户：右击“我的电脑”—>“管理”—>“计算机管理” —>“用户”，新建用户FTPuser，密码为ftpXXXX，XXXX为班号+组号，如一班三组为：0103。
4、创建一个FTP站点：a）单击“开始”—》“程序”—》“管理工具”—》“Internet信息服务”，打开“Internet信息服务”管理工具。
b）右键单击“默认FTP站点”，选择“属性”，进入“默认FTP站点属性”设置界面。
c）修改主目录：在“本地路径”输入自己站点所在的文件夹“D:\MyFtp”。
d）设置客户对文件的操作类型（见上图），允许的操作有“读取”、“写入“和“日志”。
SnifferPro数据包捕获与协议分析
四、实验总结
1）体会Sniffer的危险性； 2）学习使用Cain & Abel 4.9软件，并与 SnifferPro4.7进行比较
Sniffer Pro数据包捕获与协议分析
一、实验目的
(1)了解Sniffer的工作原理。 (2)掌握SnifferPro工具软件的基本使用 方法。 (3)掌握在非交换以太网环境下侦测、记 录、分析数据包的方法。
二、实验设备与器具
本实验在虚拟机中安装SnifferPro4.7版本， 要求虚拟机开启FTP、HTTP等服务。 物理机通过Ping命令、FTP访问及网页访 问等操作实验网络数据帧的传递。
三、实训内容和要求
（5）监测分析网络中传输的HTTP数据 1）在服务器的Web目录下放置一网页文件。 2）定义过滤规则：点击菜单“Capture”“Define Filter”，在对话框中点“Advanced”选项卡，在该项下 选择“IP”→“TCP”→“HTTP”。设置完成后点击菜单中 “Capture”→“Start'’开始记录监测数据。 3）从工作站用浏览器访问服务器上的网页文件。 4）观察监测到的结果：点击菜单中“Capture”→“Stop and display”，将进入记录结果的窗口，点击下方各选 项卡可观察各项记录。点击“File”→Save”保存记录。 5）记录监测到的HTTP传输记录：点击记录窗口下方的 解码“Decode”选项，进入解码窗口，分析记录，找到 工作站向服务器发出的网页请求命令并记录有关信息。
三、实训内容和要求
（6）监测分析网络中传输的FTP数据 1）启用服务器的Serv-U软件，在FTP服务目录下放置一个文本文件。 2）定义过滤规则：点击菜单“Capture”→“Define Filter”，在 “Summary”选项卡下点击“Reset"按钮将过滤规则恢复到初始状 态，然后在“Advanced”选项卡下选择“IP”→“TCP”→“FTP”。设 置完成后点击菜单“Capture”→“Start”开始记录监测数据。 3）从工作站用FTP下载服务器上的文本文件。 4）观察监测到的结果：点击菜单“Capture”→“Stop and display”，进入记录结果的窗口，点击下方各选项卡观察各项记录并 保存记录。 5）记录监测到的FTP传输记录：点击记录窗口下方的解码 “Decode”选项，进入解码窗口，分析记录，找到工作站向服务器 发出的FTP命令并记录。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Sniffer抓包分数据包分析手册前言现在大家在一线解决故障过程中，经常会利用sniffer软件来分析网络中的数据包，从而为故障的解决及相关的部门（如研发）提供更有说服力的数据。
应该来说，sniffer的包文对于解决问题确实起到了很大的作用，但很多时候有些人所提供的sniffer数据包什么数据都抓，很混，要花很大的力气才能对看明白该数据包，另外，很多时候没有给出相应的抓包的网络拓扑图，数据包中的源端口、目的端口、IP地址等方面的说明，这样不利于相关人员的分析和定位。
为此，我做个这方面的case，供大家参考，望大家能够提供更有价值的数据给相关的人员。
认证客户端与NAS 设备（交换机）报文交互一、捕获数据包拓扑图：1、 捕获认证客户端电脑（192.168.0.241/24）与S2126G 交换机交互的报文；2、 捕获S2126G 交换机与SAMII 服务器（192.168.0.232）交互的报文；三、所捕获得到的sniffer 报文的文件命名：请尽可能采用一目了然的文件名，即从文件名即 可以大概知道该sniffer 的报文的内容；同时，对于每个sniffer 文件，请用一个readme.txt 简短地说明，这样便于相关的人员能够更好地知道sniffer 报文的内容； 四、交换机的配置： show runBuilding configuration... Current configuration : 633 bytes version 1.0 hostname Switchradius-server host 192.168.0.232 aaa authentication dot1xaaa accounting server 192.168.0.232aaa accountingenable secret level 1 5 %2,1u_;C34-8U0<D4'.tj9=GQ+/7R:>Henable secret level 15 5 %2-aeh`@34'dfimL4t{bcknAQ7zyglowinterface fastEthernet 0/16dot1x port-control autointerface vlan 1no shutdownip address 192.168.0.249 255.255.255.0radius-server key startip default-gateway 192.168.0.254五、开始捕获认证客户端电脑与S2126G交换机交互报文时，sniffer程序的设置准备：由于我们只关心认证客户端电脑与S2126G交换机之间的报文，因此我们需要将其他电脑或交换机所发的广播等报文过过滤掉，而交换机与认证客户端之间报文的交互，都是通过二层的MAC地址来进行的，因此我们要设置sniffer程序的捕获条件，即定义“定义捕获数据过滤板”，设置过程如下：在主菜单，选择Capture（捕获），选中Define filter（定义过滤器）。
在Define Filter （定义过滤器） 中的Address（地址）的Address（地址类型）选择Hardware；Mode（模式）选择Include（包含）；在Station1（位置1） 输入认证客户端电脑的网卡MAC地址：0040-050c-0ac4，Station 2（位置2） 输入交换机的MAC地址00d0-f8ef-99dc,选择捕获双向数据流；然后有在Station1 （位置1）输入认证客户端电脑的网卡MAC地址：0040-050c-0ac4，在Station 2（位置2）输入组播地址：0180-C200-0003（注：此组播地址为我们客户端私有组播地址），选择捕捉双向数据流。
然后选择Capture（选择过滤器）中的Select Filter 中的Default，具体的操作如图所示：六、单击sniffer软件左上角的“开始”按键，开始捕获数据：七、运行客户端软件，开始认证；八、停止捕获，则选择“捕获-Æ停止并显示”：九、保存捕获所得到的数据包文件，SNIFFER主菜单FILE选项的选择SAVE AS，选择一个保存位置，输入保存的文件名称，保存文件，此处，所采用的文件名为：pc_nas（注：在取文件名时，请尽可能采用一目了然的文件名，这样便于分析）1、首先分析客户端软件发起认证时的802.1X EAPOL-START数据包报文说明：A、 一般来说，由客户端发起一个带有组播地址为0180-C200-0003的EAPOL-START 数据帧。
B、 在数据包中，整个EAPOL数据包封装在普通802.3以太网帧中。
首先是一个普通以太网相关的源MAC地址和目的MAC地址，其中目的MAC地址是802.1X协议申请了一个组播地址0180-C200-0003。
后面是802.1X协议包头内容：（1）802.1X协议版本：0000 0001；（2）802.1X 报文类型：0000 0001 表示是一个EAPOL-START 报文；（3）802.1X报文长度为0，表示是PACKET BODY FIELD 没有实际内容，全部采用零来填充。
（4）在802.1X报文中，版本字段长度是一个字节，指明现今EAPOL的版本号，一般来说填充的是：0000 00001。
（4）包类型字段（Packet Type）：其中长度为一个字节，表示的正在传输包的类型，主要有以下几种数据类型：1、EAP-PACKET：0000 0000 表示的是一个EAP数据包。
2、EAPOL-START：0000 0001表示的是一个EAPOL-START帧。
3、EAPOL-LOGOFF：0000 0010表示的是一个EAPOL-LOGFF 帧。
4、EAPOL-KEY：0000 0010 表示的一个EAPOL-KEY 帧。
2、NAS设备发送一个对EAPOL-START响应EAP请求数据帧（请求相关信息）说明：1）802.1X Version =1 表示当前的802.1X协议版本是1。
2）802.1X Packet Type = 0 表示的是802.1X， PACKET DATA的内容是：一个EAP 数据包。
3）EAP：Code=1 表示是一个请求数据包。
4）EAP Identifier=1 EAP标识是1。
5）EAP Data 后面跟随的是数据内容。
3、客户端Suppliant发送对前一个EAP请求数据帧进行响应，采用EAP数据帧的方式发送客户端的请求信息（用户名）。
说明：1、802.1X Packet Type =0 表示一个EAP数据包2、EAP：Code= 2 表示一个EAP响应数据包3、EAP：Message = “hhh ” 表示请求的用户名是hhh。
4、NAS发起一个对客户端的EAP-MD5挑战信息数据包。
解释：其中在EAP DATA 里面：1）EAP Type = 4 表示的是MD5_challenge type ，表示请求相关的MD5挑战认证的相关信息。
5、客户端对MD5_challenge挑战信息进行响应，发送一个响应数据包。
6、NAS发送一个成功的消息给认证客户端，并且把相关NAS数据逻辑端口给打开。
说明：EAP Code = 3 表示成功认证的数据包。
7、断开客户端的连接时，客户端发送一个EAPOL-LOGOFF报文给NAS8、NAS发送一个失败响应数据包对客户端发送一个EAPOL-LOGOFF报文响应。
说明：EAP Code=4 表示失败认证的消息。
NAS到SAMII报文交互步骤一：定义Sniffer捕获过滤表在Sniffer的菜单中选择捕获项（Capture）中的定义过滤表（define fliter）,如图：在地址卡（Address）中进行定义，具体规则如下：在地址类型（address）项中选择：IP如图所示：在模式（Mode）中选择：包含（Include） 如图所示在工作站（Station）选择：Station1设置为NAS的IP地址，Statio2设置为Radius服务器IP地址如图所示：如图所示：步骤二：捕获端口的选择：对NAS的上联端口进行双向的数据流进行捕获（如图所示），上连端口为连接上层交换机的端口，此口为非受控口，一般选择交换机的第一个端口或最后一个端口。
将此口镜像到交换机的其他端口上，然后利用装有Sniffer软件的PC进行数据捕获。
步骤三：典型的交换机与SAM服务器认证交互的数据包分析:交换机与SAM服务器进行认证交互分为以下四个阶段：如图所示，将有四种类型的数据包：数据包如图:该数据包由以下特征：1．在IP的内容中，源地址（source address）为交换机（NAS） 的IP地址，目的地址（destination address）为SAM服务器的IP地址。
在UDP的内容中，源端口(source port)为1812，目的端口（destination port）为1812。
在Radius的内容中，code的值标识为1,含义为接入请求。
在Radius的内容中，Identifier的值为1，含义为第一次接入请求。
具备以上特征的数据包认定为交换机（NAS）向SAM服务器发起的接入请求包（RADIUS Access-request）。
二．SAM服务器向交换机（NAS）发送的接入询问数据包（RADIUS access-challenge）数据包如图：该数据包由以下特征：1．在IP的内容中，源地址（source address）为SAM服务器的的IP地址，目的地址（destination address）为的交换机(NAS)IP地址。
UDP的内容中，源端口(source port)为1812，目的端口（destination port）为1812。
Radius的内容中，code的值标识为11,含义为由SAM服务器向交换机发出的接入询问。
Radius的内容中，Identifier的值为1,表示这个包是SAM服务器向交换机的第一个接入请求包作出的响应。
具备以上特征的数据包认定为SAM服务器向交换机（NAS）发送的接入询问数据包（RADIUS access-challenge）。
三．交换机(NAS)向SAM服务器发起的第二次接入请求（RADIUS Access-request）数据包如图：该数据包有以下特征：1. 在IP的内容中，源地址（source address）为交换机（NAS） 的IP地址，目的地址（destination address）为SAM服务器的IP地址。
UDP的内容中，源端口(source port)为1812，目的端口（destination port）为1812。