[收集]如何查看Windows网络负载平衡的数据包

注：此贴从网上收集

SnifferPro，Ethereal、包括Windows自带的网络监视器等网络分析软件对于 Windows网络负载平衡（NLB）的帧均不能很好的 解码。其实这个可以通过使用Windows Resource Kit中的Wlbs_hb.dll和Wlbs_rs.dll来扩展Windows的网络监视器来解决。
1．安装Windows的网络监视器。在控制面板->添加删除程序->添加删除Windows组件->管理和监视工具->网络监视工具，进行安装。
2．下载Windows Resoure Kit，将其中的Wlbs_hb.dll和Wlbs_rs.dll拷贝到%windir%\system32\Netmon\Parsers目录中
3．修改Netmon\Parsers\mac.ini文件。打开mac.ini，在 [ETYPES]选项下面，增加行“0xBF01 = WLBS_HB”和“0x886F = WLBS_HB”。如下所示：
[ETYPES]
0x800 = IP
0x8137 = IPX
0x8138 = IPX
0x86DD = IP6
0xBF01 = WLBS_HB
0x886F = WLBS_HB
4．修改Netmon\Parsers\Tcpip.ini文件。打开Tcpip.ini，在[UDP_HandoffSet] 选项下面，增加行“1717 = WLBS_RC”和“2504 = WLBS_RC”。如下所示：
[UDP_HandoffSet]
53 = DNS
67 = DHCP
68 = DHCP
161 = SNMP
162 = SNMP
1717 = WLBS_RC
2504 = WLBS_RC
5．修改Netmon\ Parser.ini文件。打开Parser.ini文件，在[PARSERS]选项下面，增加行“WLBS_RC.DLL = 0: WLBS_RC”和“WLBS_RC.DLL = 0: WLBS_RC”。如下所示:：
[PARSERS]

LDAP.DLL = 0: LDAP
TCPIP6.DLL = 0: IP6, ICMP6
CLSC.DLL = 0: CLSC
L2TP.dll = 0: L2TP
WLBS_HB.DLL = 0: WLBS_HB
WLBS_RC.DLL = 0: WLBS_RC
6．在Parser.ini文件的最后添加如下的行：
[WLBS_HB]
Comment = "WLBS Heartbeat"
FollowSet =
HelpFile =

[WLBS_RC]
Comment = "WLBS Remote Control Protocol"
FollowSet =
HelpFile =

OK，大功告成。再看看NLB的帧，就一目了然了。

以下是一个NLB包的截图，原始帖子我已经找不到了，从该数据可以看出，虚拟IP和主机IP都是0，说明这个配置还是有问题的，有可能仅仅启用了NLB，未做配置。