Forigate 防护墙有专门的记录设备，不过为了省钱，我们没去买。不过我们可以用ssh 把输出保存到本地慢慢分析，格式
ssh admin@[firewall ip] "diagnose sniffer packet [your wan port.eg:port2]  'tcp and port 1863'  3 "  >  [logfile]
例如：
ssh admin@10.10.79.1 "diagnose sniffer packet port4  'tcp and port 1863'  3 "  > today.log
10.10.79.1 是防火墙ip port4是外网端口， 1863是msn messenger 使用的tcp 端口 ，最后把结果抓到文件  today.log

抓下来的文件片段如下：

粗略看下 结果，绝大多数是协议控制包，和msn机器人发的消息报，我统计下来 平均 每10000个包里面，实际消息包不到100个，即不到1％，所以需要写脚本，刷选出来消息。

为了分析TCP报，可以使用dpkt这个python moudle。通过处理结果文件，将文本格式的包数据，转换成实际的二进制数组，传给dpkt，通过它生成结构化的以太网包对象。

例如一个以太网包 pkt，其pkt.src和pkt.dest分别为原和目的端mac地址，其pkt.data为所包涵的ip包.所以pkt.data.src和pkt.data.dest就是原和目的端ip地址。pkt.data.data为ip包所包涵的tcp包,pkt.data.data.dport和pkt.data.data.sport为原和目的端口。实际的协议层数据为pkt.data.data.data,通过对捕捉到的包简单分析，有消息的包都包涵  字符“Content-Type: text/plain”，所以可以写个简单的正则表达式来找出包涵消息的报文。

原本打算发出代码和示例的，因为代码是赶工的，写的很简陋 ，纯粹 it just work这种的，就不拿出来献丑了。打算重新整理一下，再做个界面，希望能抓紧时间尽快做好吧。