GeoIP下载信息在网络分析或数据包分析的世界里,在面对枯燥复杂的基于数据帧的枯燥分析环境里,想必不少人有这样一个期望,能否有更多的直观视图,可视化分析数据包。GeoIP就是这样一个插件,它允许分析者通过图形化的方式定位某个IP的位置。本文介绍什么是GeoIP、如何下载并安装、如何在Wireshark中配置GeoIP以及如何使用GeoIP来定位IP地址的位置。

什么是GeoIP

GeoIPMaxMind几个IP相关智能产品组成之一。GeoIP允许你发现有关特定IP地址的信息。提供Web服务,基于订阅的可下载数据库和免费下载数据库。

下载GeoIP库文件

打开GeoIP免费版下载地址https://dev.maxmind.com/geoip/geoip2/geolite2/,能看到下载信息。

GeoIP下载信息

分别下载以下几个相关文件

  • GeoLite2-City_[date].tar.gz
  • GeoLite2-Country_[date].tar.gz
  • GeoLite2-ASN_[date].tar.gz

关联库文件

在本地磁盘创建一个名为MaxMind的文件夹,该文件夹将用于放置前面下载的相关数据库文件。

解压缩已下载的3个文件到上述目录,如下图。

Geo数据库关联

Wireshark参数设置

打开Wireshark,打开编辑——首选项,点击Name Resolution,点击MaxMind database directories后的Edit,在弹出窗口点击+,添加刚才创建的MaxMind目录。如下图所示。

Wireshark参数关联

创建可视化地图

接下来,在Wireshark中打开想要分析的抓包文件,打开统计——端点,点击IPv4IPv6标签栏,即可看到互联网地址的相关信息。

如下图,可以看到部分地址属于中国,以及省份及ISP信息。

GeoIP端点分析

在配置了MaxMind后,打开端点后,发现在窗口底部多出了“映射”内容。

点击映射,选择“在浏览器中打开”,即可在浏览器中打开可视化视图,视图中包含地图中地理位置及IP地址信息。

如下图所示。

GeoIP可视化视图

过滤GeoIP信息

分析人员可能由于某种需求,想要做不同区域或运营商的地址统计,利用GeoIP过滤器就能够方便的过滤出想要的信息。

例如,我想要过滤出所有源或目的IP地址为中国的地址信息,则使用如下过滤器即可。当然,你可以在任意一个IP报头信息部分找到该地址的具体地理位置信息。如下图所示。

GeoIP信息过滤

这种过滤后的地址信息,再次使用地图打开,就可以详细查看。如下图所示。

GeoIP信息过滤

GeoIP添加显示列

Wireshark分析面板,添加一列显示地理位置的信息,这样在分析数据包时,就能实时看到IP地址的地理位置信息,不失为一种很酷的事情。

Wireshark分组详情分析面板,展开IP包头,在GeoIP信息中,有点点击想要添加为列的内容,然后选择“应用为列”,则对应的信息就被自动添加为列。这样,在分析数据包的时候,就能随时看到IP地址所在的地理位置信息。如下图所示。

GeoIP添加列信息

如何解决抓包难题

Wireshark能够深入分析抓包,也能够在需要的时候,临时抓取数据包。但是,在很多场景中,Wireshark这种轻量级、便携式的软件工具则无法胜任数据包抓取工作。例如:

  • 7*24小时长期数据包采集和存储;
  • 高速网络环境中流量采集;
  • 大文件中会话快速过滤;
  • 异地数据包采集和过滤。

企业级全流量分析系统能够很好的解决这类数据包采集和存储需求,如网深科技NetInside系统本身具有大容量数据包存储空间、高性能数据采集和存储能力,也具备快速过滤回溯抽取功能。

分析系统通过旁路方式部署在企业对应区域,7*24小时实时抓取并存储所有数据包,尤其在异地分布式环境下,分析人员只需通过远程方式,就可以方便的过滤并下载到想要分析的抓包文件,轻松的缓解了哪里有问题去哪里,或到了机房故障现象消失而采集不到数据包的尴尬局面。