报文解析工具_智能站系列之7手把手教你61850模型及报文分析（中）

智能站系列之7--

手把手教你61850模型及报文分析(中)

前期链接：

智能站系列之1--220kV智能变电站与常规变电站差异总结(上)

智能站系列之2--220kV智能变电站与常规变电站差异总结(下)

智能站系列之3--手把手教你智能站SCD配置(上)

智能站系列之4--手把手教你智能站SCD配置(下)

智能站系列之5--手把手教你智能变电站网络报文抓取方法

智能站系列之6--手把手教你61850模型及报文分析(上)

MMS报文分析基础

4、如何抓包

(1)抓包工具

常用的抓包工具有Windows下的mms-ethereal，WireShark和Solaris下的snoop命令。

mms-ethereal可以自动解释mms报文，适合进行应用层报文的分析。WireShark是ethereal的替代版本，界面更加友好，但标准版本中没有对mms报文分析的支持；snoop主要是用来抓包，没有图形化的分析界面，snoop抓取的文件可以用WireShark打开辅助分析；

(2)抓包方法

对于广播和组播报文如装置的UDP心跳报文，可以用笔记本连接到交换机上任意端口抓取。

对于后台与装置之间的TCP通讯，有以下几种方法。

1)后台机上可安装软件来抓包，非window系统的也可以在笔记本电脑上用相同配置模拟后台截取报文。

2)利用HUB连接后台与装置，将笔记本接到HUB上抓包。注意一定要使用HUB，不能使用交换机。

WireShark和mms-ethereal均是图形化的界面，使用起来比较简单，注意选择正确的网卡即可。

snoop的使用方法可以用man snoop取得，最基本的命令为snoop -d bge0 -o xx.snoop

3)如果是远动、和子站装置，可在交换机上设定镜像端口，把要截取报文的端口镜像到镜像端口，则笔记本电脑只要连接到镜像端口即可截取其它端口的报文。交换机一般都支持端口镜像功能，需要参照说明书进行设定。

前期链接：

5、MMS报文简析

(1)初始化Initiate

是client端与IED建立连接的初始报文。

Client初始化请求Request

1. 报文时间显示格式可在view->Time display format中设置为绝对时间和相对时间(从运行报文软件开始经过的时间)

2. Source为源端既报文