全面对比OmniPeek与Sniffer　　

(一) 概述

从DOS版本的Sniffer/EtherPeek开始，这两个产品就一直是这个领域的一对欢喜冤家。
1997年Sniffer当时所拥有的公司NGC(Network General Coporation)收购了
Cinco Systems，后者拥有当时最为闻名遐迩的Windows下的分析软件NetXray。
从此Sniffer披上了Windows的外套，在Windows下也实现了Sniffer引以为傲的专
家系统。1997年底，NGC和McAfee合并组成Network Associates，从此踏上了
大规模商业化的道路。

AG Group早期发展EtherPeek的步伐有些缓慢，在推出了Macintosh版本的分析软件并且垄断了相应市场以后，其发展轨迹也变得更为技术化。
到2000年以后，WildPackets脱胎于AG Group的传统建构，并且收购了Net3、Optimal Engineering和PMG等一系列产品、培训、服务企业，顿时实力大增，WildPackets也进一步把专家系统技术引入到EtherPeek产品线中，出现了
EtherPeek NX等新的产品。从DOS/Mac跨越到windows 2000平台，EtherPeek
几乎被从头进行代码。
到了2003年以后，WildPackets逐渐羽翼丰满，终于推出了分布式分析产品
OmniPeek。这个产品足足晚了Sniffer Distributed 8年。

Wireless LAN进入市场以后，网络分析产品逐渐发现了一个新的战场，在Hub时代，网络分析产品不需要配置就可以使用，而且当时网络又确实漏洞百出。到了 Switch时代，网络分析产品逐渐变得更难部署，即使部署，成本也很高。到了无线网络环境，人们发现，又一个新的hub环境驾临了。

可惜的是从1998年完成合并之后，到2004年NAI分裂之前，NAI始终不能对
Sniffer投注于高昂的激情。相对于防病毒市场而言，网络分析工具无论是从市场
总量还是增长趋势都不能与之相提并论。而且更大的问题是网络分析通常会被认
为比防病毒要高几个技术level，Sniffer和McAfee在核心价值上遇到了巨大的抵
触。
Sniffer停滞了三四年之后，终于获得了重生的机会。但是在这个不短的时机中，WildPackets已经快速逼近，甚至已经超越。

Network Magazine是网络产业的风向标之一，在网络分析领域，Sniffer曾一直荣获1997, 1998, 1999, 2000, 2001的年度最佳网络分析类产品，然而之后，
2002, 2003年的年度最佳产品桂冠就转移到了WildPackets手中。工欲善其事，
必先利其器。我们在从事网络分析、优化之前，很重要的一环就是要准备好最佳
的工具，之后我们试图用比较客观的一下Sniffer和OmniPeek的各类功能以及实现效果。希望通过这些比较，能够帮助我们更加深入地了解这两个产品，熟悉各类功能的使用和应用，同时找到最最适合自己的称手的兵刃。

（二）软件设计

　　从Sniffer Pro和OmniPeek的设计而言，两者代表了不同时代的设计理念。

Sniffer Pro从netxray里获得了图形化界面以后，就开始试图建立新的网络分析软件标准。用过Netxray的同志们应该都知道，Matrix、Dashboard其实都是Netxray里就已经存在的设计。而NGC Sniffer 的最大长处就是Expert System和对各类链路的支持。 Expert System顾名思义就是专家系统，自动地根据网络捕获的数据进行分析并提供分析结果。

Netxray的界面设计应用了后Win31时代和早Win95时期的界面元素，一直保持到现在，颇有点清涩古风。在底层设计上，现在的Sniffer Pro其实大量地基于
COM/OLE编程，到了Sniffer Distributed，分布式产品，Sniffer 又把结构延续到
DCOM。当时并不知道后来会有病毒直接利用DCOM，因此整个产品设计非常理
想化。 DCOM调用的规范相对较为复杂，这也造成了后期的Sniffer Distributed陷
入了很多问题，诸如界面更新速度、数据显示延迟等等。这也造成了当时的
Sniffer人决定把整个产品推向到Web based，事实证明把这样复杂的分析软
件转换到Web环境是个彻头彻尾的错误，但是路一旦踏上，就很难有回头的余地。
我不知道有多少人真正使用过Web-based Sniffer UI，从我个人而言，我并不推荐再去尝试那个已经被停止前进的Java applet+Web based的东东。
我深深体会到，作为一个分析工具，必须保证自身的快捷、迅速、准确，否则，
哪怕功能强大、跨平台，分析人员也绝对无法依赖一个笨拙、不稳定的分析环
境。

Sniffer Pro的界面在最近6年没有发生大的变化，除了因为Wireless LAN的产品引入了一些新的元件之外，整个UI一直保持当初NetXray时代的样子。这既是缺点，也是优点，一旦熟悉也就可以不用更改任何习惯。

如果来看看OmniPeek，就会发现故事在这里是完全不一样。OmniPeek的设计元素里大量应用了 Flat Button、TreeView、IE View，使得整个产品很适应
Windows XP/2000的环境。这一点也是后起之秀的优势，可以充分运用最新的技
术。我特地关注了一下OmniPeek在分布应用时候的通讯协议，很值得一提的
是，OmniPeek避免了任何DCOM的应用，采用了自行开发的一个加密通讯协议。
很久以来的经验都告诉我DCOM协议既复杂又不安全，而且不适合Internet应
用，因为DCOM采用了动态端口范围进行通讯，很难从Firewall上简单过滤。大家
可以google一下DCOM + Firewall，会有一大堆文章讨论如何设置这种情况。

OmniPeek的开发环境迅速从VC++迁移到了VC.net，在OmniPeek的很多设计里都已经有了一些基本的.NET特性。而相对而言，Sniffer则拘泥于VC 6.0不能自拔。

OmniPeek产品带来了很多新的气象，让我在长期浸淫在Sniffer Pro之后，重新发现了一个更具魅力的世界。

三、安装文件结构

1、 Sniffer Pro 4.75 SP4 (最新是4.8) 安装好以后，占地面积为60M左右。
目录结构如下
C:\PROGRAM FILES\NAI
└─SnifferNT
├─Driver
├─NetMibs
└─Program
├─AI
├─gbic
├─HTML
│ └─JavaChart
│ └─chart
├─Local
├─Local_2
├─Switch
├─voiceBU
├─Win2K
└─WinXP
Driver目录下放置了Sniffer Pro支持的几乎所有网卡适配器的驱动程序。
NetMibs里放置了部分SNMP mib文件，主要是用来描述Sniffer的Alarm Trap的格式，以及Expert-Event trap的格式。这几个mib用来和SNMP 平台例如HP OV等系统集成时有点用。令人感到有兴趣的是，NetMibs里还有一个文件叫做art.mib，打开以后可以看到作者是NetScout公司。暂时无法准确揣度放在这里的目的，但是至少可以看到网络分析行业里的几个大腕还是互相承认的。

Program 目录里是主要的Sniffer Pro核心文件。每次创建一个Profile会多一个Local打头的目录。
比较有用的文件是Sniffer.bet ，可以用来编辑网卡生产厂商的vendor ID，进而影响在Sniffer Pro里的显示结果。

我比大家多一个 voiceBU子目录，大家也可以猜猜是为什么。

2、OmniPeek 2.0 安装完毕以后，大致占用70M左右空间。

├─1033
│ ├─Alarms
│ ├─Documents
│ │ └─Peek SDK
│ │ ├─Docs
│ │ └─Wizards
│ ├─Expert
│ ├─Filters
│ │ └─AppleTalk
│ ├─Graphs
│ ├─Html
│ │ └─QuickTour
│ │ └─p_w_picpaths
│ ├─Names
│ ├─PluginRes
│ ├─Reports
│ │ ├─Auxiliary
│ │ ├─Control
│ │ └─Templates
│ └─Security Audit Template
├─2052
├─Bin
├─Decodes
├─Driver
├─MIBs
├─Plugins
│ └─Mibs
├─RMONGrabber
└─Samples

OmniPeek 目录下有个名为1033的大目录，各类模版、文件、HTML的文件都放在该目录下。
为什么叫做1033呢？因为1033代码代表美国英语。而2052则代表中文..
从文件树可以看到，OmniPeek的设计直接面向了国际化，多语言支持可以比较好的实现在OmniPeek中。这也是困扰Sniffer Pro的多年未有中文版本的原因之一。

OmniPeek的安装中已经包含了所有的SDK开发包，而Sniffer 的二次开发需要安装另外一个额外的被称为PDK的附加。

四、设计理念

　　从两个软件的初始界面可以看出非常不同的设计理念。
Sniffer启动完毕以后，出现的是经典的DashBoard界面

五、按键习惯

嗯？按键习惯也能独立成章吗？这恰恰是网络分析软件的历史问题的集中表现。大家谁能够记得Sniffer Pro按什么快捷键启动捕获吗？
F10
那么OmniPeek呢？
Ctrl-Y
有点摸不清头脑了吧？事实上，这只是一个开始。
如果大家打开Sniffer Pro，打开一个以前保存的捕获文件，或立即捕获几个包，然后Stop Display。选择Decode Tab，展示著名的三栏解码界面。按键盘F4按键，嗯？！，当前的栏位被扩展成全屏；再按F4，恢复原有状态。如果按F6，则当前活动状态在三个栏位之间*换，*作键盘上下键可以非常快速地在解码域、包列表里上下浏览。
如果当前切换到解码栏中，按F4，当前包的解完码的信息被扩展到全屏。这时候如果我们想切换到下一个包怎么办？是不是要F4切换回来然后再用鼠标？不必的，直接在解码全屏情况下按F8就往下浏览一个包，而按F7则往前浏览一个包。
Sniffer Pro思路里的网络分析人员和编程人员一样，要达到如臻化境的状态，必须能以极快的速度进行快速解析分析，如果分析的时候还需要依赖到鼠标移来移去，或者在菜单里选来选去，那么很难及时在有限的时间里比别人更快地处理复杂的问题。
如果更进一步挖掘键盘功能，就会发现，如果要在解码内容里搜索一些关键字，可以用Alt+F3来打开一个搜索框…(我经常不小心按成Alt+F4….)，为什么快捷键会设置成这样？似乎和平是的习惯相差很远。熟悉Sniffer Pro的同志们就会明白，这些按键都是从DOS时代继承下来的。从前的Network General的DOS
Sniffer就用这些按键进行快速使用，当时也没有鼠标，所以这些按键成为了分析
的必须。DOS Sniffer还有很多更多的快速按键，很多当初的Sniffer专家直到现在
还在坚持使用DOS Sniffer，用异乎寻常的快速速度沉浸在包与包的切换之中。当
人们向他们展示Windows Sniffer，他们目瞪口呆，居然Sniffer已经成为现在的样
子。
OmniPeek的快速按键同样也是为了大力提高分析人员的速度，但是更加具备现代气息，和很多Windows程序一样，是Ctrl+一系列其他的按键。如果能够熟悉使用，同样可以很大地提高效率。

尽管微软曾经提出过Windows程序界面设计指南，要求所有鼠标可以完成的工作必须用键盘也能操作。可能至今仍然如此矜持的，除了MS Office之外，网络分析软件们也算是个异数。不过大多数网络分析人员可能并不领这个情，这些按键逐渐成为历史，成为尘封的记忆…