Forigate 防護墻有專門的記錄設備，不過為了省錢，我們沒去買。不過我們可以用ssh 把輸出保存到本地慢慢分析，格式
ssh admin@[firewall ip] "diagnose sniffer packet [your wan port.eg:port2]  'tcp and port 1863'  3 "  >  [logfile]
例如：
ssh admin@10.10.79.1 "diagnose sniffer packet port4  'tcp and port 1863'  3 "  > today.log
10.10.79.1 是防火墻ip port4是外網端口， 1863是msn messenger 使用的tcp 端口 ，最后把結果抓到文件  today.log

抓下來的文件片段如下：

粗略看下 結果，絕大多數是協議控制包，和msn機器人發的消息報，我統計下來 平均 每10000個包里面，實際消息包不到100個，即不到1％，所以需要寫腳本，刷選出來消息。

為了分析TCP報，可以使用dpkt這個python moudle。通過處理結果文件，將文本格式的包數據，轉換成實際的二進制數組，傳給dpkt，通過它生成結構化的以太網包對象。

例如一個以太網包 pkt，其pkt.src和pkt.dest分別為原和目的端mac地址，其pkt.data為所包涵的ip包.所以pkt.data.src和pkt.data.dest就是原和目的端ip地址。pkt.data.data為ip包所包涵的tcp包,pkt.data.data.dport和pkt.data.data.sport為原和目的端口。實際的協議層數據為pkt.data.data.data,通過對捕捉到的包簡單分析，有消息的包都包涵  字符“Content-Type: text/plain”，所以可以寫個簡單的正則表達式來找出包涵消息的報文。

原本打算發出代碼和示例的，因為代碼是趕工的，寫的很簡陋 ，純粹 it just work這種的，就不拿出來獻丑了。打算重新整理一下，再做個界面，希望能抓緊時間盡快做好吧。