12-网络管理和监控配置指导

17-Packet Capture配置

本章节下载： 17-Packet Capture配置 (189.07 KB)

17-Packet Capture配置

1 Packet Capture

1.1 Packet Capture简介

Packet Capture是一种报文捕获及分析工具，该工具能够捕获设备接口的报文并对报文进行解析处理，便于用户分析接口接收到的报文；还可以将报文数据存储为pcap格式的文件，方便用户对报文进行后续解析。

1.2 Packet Capture捕获过滤规则

Packet Capture可以使用捕获过滤表达式指定捕获过滤规则，对进入指定物理接口的报文进行过滤，满足捕获过滤规则的报文则被捕获。捕获过滤规则由关键字、逻辑操作符、运算操作符和比较操作符等组合而成。有关Packet Capture更多规则的详细介绍，请参见网址：http://wiki.wireshark.org/CaptureFilters。

1.2.1 关键字

捕获过滤规则使用的关键字分为常量关键字和变量关键字。

1. 常量关键字

常量关键字是固定的字符串，可以分为以下几类：协议类型、传输方向和传输方向的类型等。

表1-1 常量关键字

常量关键字类型	描述	关键字
协议	捕获指定的协议报文。如果没有指明协议类型，默认捕获所有Packet Capture支持的协议	支持的协议有：ip，ip6，arp，tcp，udp，icmp等
报文传输方向	捕获指定传输方向的报文。如果没有指定本关键字，默认报文传输方向为源或目的方向	· src：表示源方向 · dst：表示目的方向 · src or dst：表示源或目的方向
报文传输方向类型	捕获指定的报文传输方向类型的报文。如果没有指定本类关键字，默认报文传输方向类型为主机	· host：表示主机 · net：表示网段 · port：表示端口号 · portrange：表示端口号范围
特殊关键字	-	· broadcast：表示捕获广播报文 · multicast：表示捕获组播报文、广播报文 · less：表示小于等于 · greater：表示大于等于 · len：表示报文长度 · vlan：表示捕获VLAN报文

2. 变量关键字

变量关键字形式固定，但内容可变。捕获过滤规则的变量关键字不可以单独使用，其前需要使用常量关键字对其进行修饰。

需要注意的是，所有的协议类型常量关键字、broadcast和multicast关键字不能对变量关键字进行修饰。其它的常量关键字不可单独使用，其后需要使用变量关键字。

表1-2 变量关键字

变量关键字类型	举例
整型	将整型用二进制、八进制、十进制或十六进制形式表示。例如：port 23，表示端口号为23
整型范围	将整型范围用二进制、八进制、十进制、十六进制形式和“-”表示。例如：portrange 100-200，表示端口号范围为100到200
IPv4地址	使用点分十进制格式表示。例如：src 1.1.1.1，表示源主机IPv4地址是1.1.1.1（在没有指定报文传输方向类型时，报文传输方向类型默认为host）
IPv6地址	使用冒号分十六进制格式表示。例如：dst host 1::1，表示报文的目的主机IPv6地址是1::1
IPv4网段	使用IPv4地址和掩码或者IPv4网络号表示。以下两种表达式等价： · src 1.1.1，表示源主机的IPv4网段为1.1.1 · src net 1.1.1.0/24，表示源主机的IPv4网段为1.1.1.0/24
IPv6网段	使用IPv6地址和网络前缀表示。例如：dst net 1::/64，表示目的IPv6网段为1::/64 需要注意的是，指定IPv6网段变量关键字时，必须指定net常量关键字

1.2.2 捕获过滤操作符

逻辑操作符	描述
!或者not	非操作符。表示对捕获过滤规则取反操作
&&或者and	与操作符。表示连接多个捕获过滤规则。当此操作符连接多个过滤规则时，报文若符合此操作符连接的全部过滤规则，才会过滤成功，否则，过滤失败。
\|\|或者or	或操作符。表示对多个捕获过滤规则进行选择。当此操作符连接多个过滤规则时，报文若不符合此操作符连接的全部过滤规则，才会过滤失败，否则，过滤成功。

2. 运算操作符

表1-4 运算操作符

运算操作符	描述
+	加法运算符，用来将其两侧的值加到一起
-	减法运算符，用来将它前面的数值中减去它后面的数值
*	乘法运算符，用来将其两侧的值相乘
/	除法运算符，用来将其左边的值被右边的值除
&	按位与，用来将其两侧的数值逐位进行比较产生一个新值。对于每一位，只有两个操作数的对应位都为1时结果才为1
\|	按位或，用来将其两侧的操作数逐位进行比较产生一个新值。对于每一位，如果其中任意操作数中对应的位为1，那么结果位就为1
<<	按位左移，用来将其左侧操作数的每位向左移动，移动的位数由其右侧操作数指定
>>	按位右移，用来将其左侧操作数的每位向右移动，移动的位数由其右侧操作数指定
[ ]	取位运算符，与协议类型关键字结合使用。例如：ip[6]，表示IP报文偏移6个字节后，取得的一个字节的值

3. 比较操作符

下表为比较操作符的分类举例。

表1-5 比较操作符分类

比较操作符	描述
=	相等，判断两侧操作数是否相等。例如：ip[6]=0x1c，表示捕获IPv4报文数据域偏移6字节，取得的一个字节值为0x1c的报文
!=	不等，判断两侧操作数是否不等。例如：len!=60，表示捕获报文长度不等于60字节的报文
>	大于，判断左侧操作数大于右侧操作数。例如：len>100，表示捕获报文长度大于100字节的报文
<	小于，判断左侧操作数小于右侧操作数。例如：len<100，表示捕获报文长度小于100字节的报文
>=	大于等于，判断左侧操作数大于等于右侧操作数；与常量关键字greater等价。例如：len>=100，表示捕获报文长度大于等于100字节的报文
<=	小于等于，判断左侧操作数小于等于右侧操作数；与常量关键字less等价。例如：len<=100，表示捕获报文长度小于等于100字节的报文

1.2.3 捕获过滤表达式

捕获过滤表达式由关键字、逻辑操作符、运算操作符和比较操作符之间的多种组合而成。以下为典型捕获过滤表达式：

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的捕获过滤表达式。例如：not port 23 and not port 22，表示捕获端口号既不是23，又不是22的报文；port 23 or icmp，表示捕获端口号是23或icmp协议的报文。

由逻辑操作符连接的多个变量关键字，可以使用同一个常量关键字进行修饰（就近原则），例如：src 192.168.56.1 or 192.168.27，表示捕获的源IPv4地址为192.168.56.1或者源IPv4网段为192.168.27的报文。上述表达式与“src 192.168.56.1 or src 192.168.27”等价。

2. expr relop expr表达式

由关键字、运算操作符和比较操作符组合的捕获过滤表达式。其中，expr是算术表达式；relop为比较操作符。例如：len+100>=200，表示捕获长度大于等于100字节的报文。

由协议类型关键字和运算操作符“[ ]”组合的捕获过滤表达式。其中，proto表示协议类型，expr为算术表达式，表示偏移量，size为整数，表示字节个数，缺省值为1。proto [ expr:size ]的返回值为从proto协议报文数据区域起始位置，偏移expr个字节开始，取size个字节的数据。例如： ip[0]&0xf != 5，表示捕获第一个字节与0x0f按位相与得到的值不是5的IP报文。

expr:size也可以使用表达式的名称表示。例如：icmptype表示ICMP报文的类型域，则表达式：icmp[icmptype]=0x08，表示捕获icmp的type字段的值为0x08的报文。

4. vlan vlan_id表达式

由关键字vlan，逻辑操作符等组合的捕获过滤表达式。其中，vlan_id为整型，表示VLAN编号。例如，vlan 1 and ip6，表示捕获VLAN编号为1的IPv6报文。

需要注意的是：

· 如果用户需要对带VLAN的报文进行捕获过滤，必须使用此类捕获过滤表达式且关键字vlan要在其它捕获过滤条件之前指定，否则不能正常过滤。例如：icmp，表示捕获不带vlan的icmp报文。

· 如果捕获过滤规则之前没有指定vlan，则认为这些捕获过滤规则只对不带vlan的报文进行捕获过滤，即对带vlan的报文不捕获。例如：

¡ !tcp and vlan 1：表示捕获不带vlan标记的tcp报文以外的且属于vlan 1的报文。

¡ icmp and vlan 1：icmp表示捕获不带vlan标记的icmp协议报文，而vlan 1表示捕获vlan标记为1的报文，所以该捕获过滤表达式前后矛盾，因此不会收到任何报文，对于此类捕获过滤规则，只要没有语法错误，命令行均会下发成功，用户需要自己保证逻辑的正确性。

1.3 Packet Capture显示过滤规则

Packet Capture可以使用显示过滤表达式指定显示过滤规则，对捕获到的报文进行显示过滤。当进行显示过滤时，所有报文仍然保存在捕获报文文件中；显示过滤只是将符合显示过滤条件的报文显示出来，不会改变文件的内容。显示过滤规则由关键字，显示过滤操作符等组合而成，有关Packet Capture更多规则的详细介绍，请参见网址：http://wiki.wireshark.org/DisplayFilters。

1.3.1 关键字

显示过滤关键字主要分为两类：

· 协议类型

支持的协议包括：eth，ip，ipv6，tcp，udp，icmp，http，ftp，telnet等。例如：ftp，表示显示所有ftp协议的报文信息。

· 报文字段

指定报文的特定字段。使用点“.”表示包含关系。例如：tcp.flags.syn，表示tcp协议报文flags字段中的syn位。例如：tcp.port，表示tcp协议的port字段。

报文的各个字段具有不同的类型。字段类型如表1-6所示：

表1-6 显示过滤字段类型

字段类型	举例
整型	将整型字段值用二进制、八进制、十进制、十六进制形式表示。以下几种表达方式等价： · ip.len le 1500 · ip.len le 02734 · ip.len le 0x436 表示显示IP报文长度小于等于1500字节的报文信息
布尔变量	不使用其它操作符，单独使用报文字段，则默认指定字段的类型为布尔类型。例如： tcp.flags.syn，表示如果捕获到的报文存在tcp.flags.syn字段，则表达式的值为真，显示过滤成功；否则为假，显示过滤失败
MAC地址（6字节）	MAC地址使用以下三种分隔符表示：分号“:”、点“.”或者破折号“-”；分隔符可以在两个或者四个字节间使用。以下几种方式等价： · eth.dst==ff:ff:ff:ff:ff:ff · eth.dst==ff-ff-ff-ff-ff-ff · eth.dst ==ffff.ffff.ffff 以上的显示过滤表达式表示显示目的MAC地址为ffff.ffff.ffff的报文信息
IPv4地址	IPv4地址使用点分十进制格式表示。例如： · ip.addr==192.168.0.1，表示显示源或者目的IP地址为192.168.0.1的报文信息 · ip.addr==129.111.0.0/16，表示显示源或者目的IP地址属于129.111网段的报文信息
IPv6地址	IPv6地址使用冒号分十六进制格式表示。例如： · ipv6.addr==1::1表示显示源或者目的IPv6地址为1::1的报文信息 · ipv6.addr==1::/64表示显示源或者目的IPv6地址属于1::/64网段的报文信息
字符串	一些报文字段类型为字符串。例如，http.request version=="HTTP/1.1"表示显示http报文的request version字段为字符串HTTP/1.1的报文信息，双引号表示报文字段内容为字符串

1.3.2 显示过滤操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右，下表为逻辑操作符的分类举例：

表1-7 显示过滤逻辑操作符

英文	描述和举例
!或not	非操作符。表示对显示过滤规则取反操作
&&或and	与操作符。表示连接多个显示过滤规则
\|\|或or	或操作符。表示对多个显示过滤规则进行选择
[ ]	括号操作符。与协议名称组合使用，详细介绍请参见“1.3.3 4. proto[…]表达式”

优先级从高到低依次为：括号操作符、非操作符、与操作符和或操作符，其中与操作符和或操作符的优先级相同。

2. 比较操作符

下表对比较操作符进行分类举例：

表1-8 显示过滤比较操作符

分类	描述和举例
eq或==	相等，判断两侧操作数是否相等。例如：ip.src==10.0.0.5，表示显示源IP地址为10.0.0.5的报文信息
ne或!=	不等，判断两侧操作数是否不等。例如：ip.src!=10.0.0.5，表示显示源IP地址不是10.0.0.5的报文信息
gt或>	大于，判断左侧操作数大于右侧操作数。例如： frame.len>100，表示显示捕获的帧长度大于100字节的帧信息
lt或<	小于，判断左侧操作数小于右侧操作数。例如：frame.len<100，表示显示捕获的帧长度小于100字节的帧信息
ge 或>=	大于等于，判断左侧操作数大于等于右侧操作数。例如：frame.len ge 0x100，表示显示捕获的帧长度大于等于256字节的帧信息
le或<=	小于等于，判断左侧操作数小于等于右侧操作数。例如：frame.len le 0x100表示显示捕获的帧长度小于等于256字节的帧信息

4. proto[…]表达式

由协议类型和运算操作符“[ ]“组合的显示过滤表达式，proto[…]的类型为十六进制整型，其中，proto表示协议类型、字段。括号操作符内容有以下两种表达方式：

· [n:m]，n表示偏移位置，m表示指定的字节数；表示从偏移n个字节位置开始取后面m个字节数据。例如：eth.src[0:3]==00:00:83，表示源MAC地址的前三个字节分别为0x00、0x00、0x83。

· [n-m]，n表示偏移起始位置，m表示偏移结束位置；表示从偏移n个字节位置取到第m个字节位置，共取m-n+1个字节数据。例如：eth.src[1-2]==00:83，表示MAC地址的第二个字节和第三个字节分别为0x00、0x83。

· [n]，与[n:1]等价，表示取偏移n个字节位置的一个字节数据。例如：eth.src[2] == 83，表示MAC地址的第三个字节为0x83。

1.4 Packet Capture配置限制和指导

如需使用本特性，请安装和软件版本对应的Packet Capture特性包文件。有关安装步骤的详细介绍，请参见“基础配置指导”中的“软件升级”或“ISSU”。

1.5 Packet Capture配置任务简介

表1-9 Packet Capture配置任务简介

配置任务	说明	详细配置
配置报文捕获功能	必选	1.6.1
配置报文文件解析	可选	1.6.2

1.6 配置Packet Capture

1.6.1 配置Packet Capture报文捕获功能

由于Packet Capture只能捕获通过CPU进行软件转发的报文，如需捕获通过硬件转发的报文，则需要配置流镜像功能，将符合条件的硬件转发报文镜像到CPU，以便进行捕获。有关流镜像的详细介绍，请参见“网络管理和控制配置指导”中的“镜像”。

配置下发后不能输入其它命令对设备进行操作，当达到命令指定的配置退出条件或者命令行输入Ctrl+C时，退出报文捕获。需要注意的是，在大流量背景下退出捕获报文，可能会有延时。

表1-10 配置报文捕获功能

操作	命令	说明
开启Packet Capture报文捕获功能	packet-capture interface interface-type interface-number [ capture-filter capt-expression \| limit-captured-frames limit \| limit-frame-size bytes \| autostop filesize kilobytes \| autostop duration seconds \| autostop files numbers \| capture-ring-buffer filesize kilobytes \| capture-ring-buffer duration seconds \| capture-ring-buffer files numbers ] * write filepath [ raw \| { brief \| verbose } ] *	二者选其一
开启Packet Capture报文捕获功能	packet-capture interface interface-type interface-number [ capture-filter capt-expression \| display-filter disp-expression \| limit-captured-frames limit \| limit-frame-size bytes \| autostop duration seconds ] * [ raw \| { brief \| verbose } ] *	二者选其一

1.6.2 配置Packet Capture报文文件解析

配置Packet Capture报文文件解析，能够解析pcap和pcapng格式报文文件，并将报文信息进行显示。

表1-11 配置报文文件解析

操作	命令	说明
开启Packet Capture解析报文文件功能	packet-capture read filepath [ verbose ] [ display-filter disp-expression ] [ raw \| { brief \| verbose } ] *	-

1.7 Packet Capture典型配置举例

[SwitchA] acl advanced 3000

[SwitchA-acl-ipv4-adv-3000] rule permit ip source 192.168.56.1 0

[SwitchA-acl-ipv4-adv-3000] quit

# 定义流行为behavior1，配置流量镜向到CPU。

[SwitchA] traffic behavior behavior1

[SwitchA-behavior-behavior1] mirror-to cpu

[SwitchA-behavior-behavior1] quit

# 定义类classifier1，匹配ACL3000。

[SwitchA] traffic classifier classifier1

[SwitchA-classifier-classifier1] if-match acl 3000

[SwitchA-classifier-classifier1] quit

# 定义一个名为user1的策略，并在策略user1中为类classifier1指定采用流行为behavior1。

[SwitchA] qos policy user1

[SwitchA-qospolicy-user1] classifier classifier1 behavior behavior1

[SwitchA-qospolicy-user1] quit

#将策略user1应用到接口GigabitEthernet1/0/1的入方向上。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] qos apply policy user1 inbound

[SwitchA-GigabitEthernet1/0/1] quit

[SwitchA] quit

# 开启Gigabitethernet1/0/1接口上的报文捕获功能，捕获软硬件转发报文。

<SwitchA> packet-capture interface gigabitethernet 1/0/1

Capturing on 'Gigabitethernet1/0/1'

1 0.000000 192.168.56.1 -> 192.168.56.2 TCP 62 6325 > telnet [SYN] Seq=0 Win

=65535 Len=0 MSS=1460 SACK_PERM=1

2 0.000061 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=1 Ack

=1 Win=65535 Len=0

3 0.024370 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

4 0.024449 192.168.56.1 -> 192.168.56.2 TELNET 78 Telnet Data ...

5 0.025766 192.168.56.1 -> 192.168.56.2 TELNET 65 Telnet Data ...

6 0.035096 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

7 0.047317 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=434 Win=65102 Len=0

8 0.050994 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=436 Win=65100 Len=0

9 0.052401 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=438 Win=65098 Len=0

10 0.057736 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=440 Win=65096 Len=0

10 packets captured

Capturing on 'Gigabitethernet1/0/1'

# 开启报文解析功能，指定解析的完整文件名为flash:/a.pcap。

<SwitchA> packet-capture read flash:/a.pcap

1 0.000000 192.168.56.1 -> 192.168.56.2 TCP 62 6325 > telnet [SYN] Seq=0 Win

=65535 Len=0 MSS=1460 SACK_PERM=1

2 0.000061 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=1 Ack

=1 Win=65535 Len=0

3 0.024370 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

4 0.024449 192.168.56.1 -> 192.168.56.2 TELNET 78 Telnet Data ...

5 0.025766 192.168.56.1 -> 192.168.56.2 TELNET 65 Telnet Data ...

6 0.035096 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

7 0.047317 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=434 Win=65102 Len=0

8 0.050994 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=436 Win=65100 Len=0

9 0.052401 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=438 Win=65098 Len=0

10 0.057736 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=440 Win=65096 Len=0

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

百业灵犀

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

12-网络管理和监控配置指导

目录

17-Packet Capture配置

1.1 Packet Capture简介

1.2 Packet Capture捕获过滤规则

2. expr relop expr表达式

3. proto [ expr:size ]表达式

4. vlan vlan_id表达式

1.3 Packet Capture显示过滤规则

1.3.2 显示过滤操作符

4. proto[…]表达式

1.4 Packet Capture配置限制和指导

1.5 Packet Capture配置任务简介

1.6.1 配置Packet Capture报文捕获功能

1.6.2 配置Packet Capture报文文件解析

1.7 Packet Capture典型配置举例

1.7.1 配置报文捕获举例

联系我们