目  录

1 Packet Capture

1.1 Packet Capture简介

1.2 Packet Capture捕获过滤规则

1.2.1 关键字

1.2.2 捕获过滤操作符

1.2.3 捕获过滤表达式

1.3 Packet Capture显示过滤规则

1.3.1 关键字

1.3.2 显示过滤操作符

1.3.3 显示过滤表达式

1.4 Packet Capture配置任务简介

1.5 配置Packet Capture本地报文捕获

1.6 配置接口远程报文捕获

1.7 配置特性包报文捕获

1.7.1 配置特性包报文捕获并将捕获的报文保存到本地

1.7.2 配置特性包报文捕获并将捕获的报文显示到登录终端

1.7.3 解析并显示保存的报文文件

1.8 Packet Capture显示和维护

1.9 Packet Capture典型配置举例

1.9.1 远程报文捕获配置举例

1.9.2 特性包报文捕获配置举例

1 Packet Capture

1.1  Packet Capture简介

Packet Capture是一种报文捕获及分析特性，该特性能够捕获设备接口的入方向报文并对报文进行解析处理，便于用户分析接口接收到的报文；还可以将报文数据存储为pcap格式的文件，方便用户后续查看。

该特性不支持多用户同时配置，目前支持以下三种报文捕获的方式：

·     本地报文捕获

本地报文捕获功能可以将捕获的报文自动上传到FTP服务器、存储在设备存储介质中或者在登录设备的终端上显示报文信息，用户可以任意选择其中一种方式来进行报文捕获。

·     远程报文捕获

远程报文捕获是指设备开启远程报文捕获服务功能后，用户必须通过PC上的第三方报文捕获软件Wireshark客户端与捕获报文的设备建立连接，远端报文捕获设备将报文数据发送给Wireshark客户端，供Wireshark客户端显示。

·     特性包报文捕获

特性包报文捕获可以将捕获的报文保存在本地或直接在终端显示报文信息，还可以解析pcap或pcapng文件。

1.2  Packet Capture捕获过滤规则

Packet Capture可以使用捕获过滤表达式指定捕获过滤规则，对进入指定物理接口的报文进行过滤，满足捕获过滤规则的报文则被捕获。捕获过滤规则由关键字、逻辑操作符、运算操作符和比较操作符等组合而成。有关Packet Capture更多规则的详细介绍，请参见网址：http://wiki.wireshark.org/CaptureFilters。

1.2.1  关键字

捕获过滤规则使用的关键字分为常量关键字和变量关键字。

1. 常量关键字

常量关键字是固定的字符串，可以分为以下几类：协议类型、传输方向和传输方向的类型等。

表1-1 常量关键字

2. 变量关键字

变量关键字形式固定，但内容可变。捕获过滤规则的变量关键字不可以单独使用，其前需要使用常量关键字对其进行修饰。

需要注意的是，所有的协议类型常量关键字、broadcast和multicast关键字不能对变量关键字进行修饰。其它的常量关键字不可单独使用，其后需要使用变量关键字。

表1-2 变量关键字

1.2.2  捕获过滤操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右，下表为逻辑操作符的分类举例。

表1-3 逻辑操作符

其中非操作符优先级最高，与操作符和或操作符的优先级相同。

2. 运算操作符

表1-4 运算操作符

3. 比较操作符

下表为比较操作符的分类举例。

表1-5 比较操作符分类

1.2.3  捕获过滤表达式

捕获过滤表达式由关键字、逻辑操作符、运算操作符和比较操作符之间的多种组合而成。以下为典型捕获过滤表达式：

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的捕获过滤表达式。例如：not port 23 and not port 22，表示捕获端口号既不是23，又不是22的报文；port 23 or icmp，表示捕获端口号是23或icmp协议的报文。

由逻辑操作符连接的多个变量关键字，可以使用同一个常量关键字进行修饰（就近原则），例如：src 192.168.56.1 or 192.168.27，表示捕获的源IPv4地址为192.168.56.1或者源IPv4网段为192.168.27的报文。上述表达式与“src 192.168.56.1 or src 192.168.27”等价。

2. expr relop expr表达式

由关键字、运算操作符和比较操作符组合的捕获过滤表达式。其中，expr是算术表达式；relop为比较操作符。例如：len+100>=200，表示捕获长度大于等于100字节的报文。

3. proto [ expr:size ]表达式

由协议类型关键字和运算操作符“[ ]”组合的捕获过滤表达式。其中，proto表示协议类型，expr为算术表达式，表示偏移量，size为整数，表示字节个数，缺省值为1。proto [ expr:size ]的返回值为从proto协议报文数据区域起始位置，偏移expr个字节开始，取size个字节的数据。例如： ip[0]&0xf != 5，表示捕获第一个字节与0x0f按位相与得到的值不是5的IP报文。

expr:size也可以使用表达式的名称表示。例如：icmptype表示ICMP报文的类型域，则表达式：icmp[icmptype]=0x08，表示捕获icmp的type字段的值为0x08的报文。

4. vlan vlan_id表达式

由关键字vlan，逻辑操作符等组合的捕获过滤表达式。其中，vlan_id为整型，表示VLAN编号。例如，vlan 1 and ip6，表示捕获VLAN编号为1的IPv6报文。

需要注意的是：

·     如果用户需要对带VLAN的报文进行捕获过滤，必须使用此类捕获过滤表达式且关键字vlan要在其它捕获过滤条件之前指定，否则不能正常过滤。例如：icmp，表示捕获不带vlan的icmp报文。

·     如果捕获过滤规则之前没有指定vlan，则认为这些捕获过滤规则只对不带vlan的报文进行捕获过滤，即对带vlan的报文不捕获。例如：

¡     !tcp and vlan 1：表示捕获不带vlan标记的tcp报文以外的且属于vlan 1的报文。

¡     icmp and vlan 1：icmp表示捕获不带vlan标记的icmp协议报文，而vlan 1表示捕获vlan标记为1的报文，所以该捕获过滤表达式前后矛盾，因此不会收到任何报文，对于此类捕获过滤规则，只要没有语法错误，命令行均会下发成功，用户需要自己保证逻辑的正确性。

1.3  Packet Capture显示过滤规则

Packet Capture可以使用显示过滤表达式指定显示过滤规则，对捕获到的报文进行显示过滤。当进行显示过滤时，所有报文仍然保存在捕获报文文件中；显示过滤只是将符合显示过滤条件的报文显示出来，不会改变文件的内容。显示过滤规则由关键字，显示过滤操作符等组合而成，有关Packet Capture更多规则的详细介绍，请参见网址：http://wiki.wireshark.org/DisplayFilters。

1.3.1  关键字

显示过滤关键字主要分为两类：

·     协议类型

支持的协议包括：eth，ip，ipv6，tcp，udp，icmp，http，ftp，telnet等。例如：ftp，表示显示所有ftp协议的报文信息。

·     报文字段

指定报文的特定字段。使用点“.”表示包含关系。例如：tcp.flags.syn，表示tcp协议报文flags字段中的syn位。例如：tcp.port，表示tcp协议的port字段。

报文的各个字段具有不同的类型。字段类型如表1-6所示：

表1-6 显示过滤字段类型

1.3.2  显示过滤操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右，下表为逻辑操作符的分类举例：

表1-7 显示过滤逻辑操作符

优先级从高到低依次为：括号操作符、非操作符、与操作符和或操作符，其中与操作符和或操作符的优先级相同。

2. 比较操作符

下表对比较操作符进行分类举例：

表1-8 显示过滤比较操作符

1.3.3  显示过滤表达式

显示过滤表达式由协议和报文字段、显示过滤操作符之间的多种组合而成。以下为典型的显示过滤表达式：

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的显示过滤表达式。例如：ftp or icmp，表示显示所有ftp协议和icmp协议报文信息。

2. 比较操作符表达式

由关键字和比较运算符组合的显示过滤表达式。例如：ip.len<=28，表示显示所有IP报文的长度字段小于等于28字节的IP报文。

3. 报文字段表达式

只由报文字段组成的显示过滤表达式，作用是显示存在某一具体字段的报文信息。例如：tcp.flags.syn，表示显示所有存在tcp.flags.syn位的报文。

4. proto[…]表达式

由协议类型和运算操作符“[ ]“组合的显示过滤表达式，proto[…]的类型为十六进制整型，其中，proto表示协议类型、字段。括号操作符内容有以下两种表达方式：

·     [n:m]，n表示偏移位置，m表示指定的字节数；表示从偏移n个字节位置开始取后面m个字节数据。例如：eth.src[0:3]==00:00:83，表示源MAC地址的前三个字节分别为0x00、0x00、0x83。

·     [n-m]，n表示偏移起始位置，m表示偏移结束位置；表示从偏移n个字节位置取到第m个字节位置，共取m-n+1个字节数据。例如：eth.src[1-2]==00:83，表示MAC地址的第二个字节和第三个字节分别为0x00、0x83。

·     [n]，与[n:1]等价，表示取偏移n个字节位置的一个字节数据。例如：eth.src[2] == 83，表示MAC地址的第三个字节为0x83。

1.4  Packet Capture配置任务简介

表1-9 Packet Capture配置任务简介

1.5  配置Packet Capture本地报文捕获

用户可以通过本配置将接口捕获的报文保存到本地或FTP服务器上，若将捕获的报文保存到本地，则用户可以使用packet-capture read命令对保存的报文文件进行解析；若用户将捕获的报文保存到FTP服务器上，则用户可以使用第三方软件Wireshark连接到FTP服务器对文件进行解析。

表1-10 配置接口本地报文捕获并将捕获的报文保存到本地或FTP服务器

1.6  配置接口远程报文捕获

远程报文捕获需要在设备上配置远程报文捕获，然后将第三方软件与设备建立连接，将捕获的报文上送到第三方软件显示。

表1-11 配置接口远程报文捕获

在设备上配置远程报文捕获后，需要使用Wireshark客户端连接到开启捕获的设备上，获取捕获的报文进行分析。

第三方软件Wireshark客户端上的操作步骤如下：

(1)     打开Wireshark软件，选择“Capture > Options”。

(2)     选择“Interface > Remote”。

(3)     输入开启报文捕获的设备接口的IP地址（和Wireshark软件路由可达的接口IP地址）和绑定的RPCAP服务端口号（不输入值时表示使用缺省端口号2002）。

(4)     点击<OK>按钮，再点击<Start>按钮启动捕获。

图1-1 Wireshark操作步骤图

1.7  配置特性包报文捕获

1.7.1  配置特性包报文捕获并将捕获的报文保存到本地

用户可以通过本配置将接口捕获的报文保存到本地，使用packet-capture read命令对保存的报文文件进行解析。需要注意的是，使用本命令保存捕获的报文，可以通过参数配置保存多个报文文件。

表1-12 配置特性包报文捕获并将捕获的报文保存到本地

1.7.2  配置特性包报文捕获并将捕获的报文显示到登录终端

表1-13 配置特性包捕获并将捕获的报文显示到登录终端

1.7.3  解析并显示保存的报文文件

若用户将报文文件保存在设备本地，则可以在设备本地解析并显示保存的报文文件，并通过指定过滤显示信息规则，灵活显示报文信息。

表1-14 解析并显示保存的报文文件

1.8  Packet Capture显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后的报文捕获状态信息。

表1-15 Packet Capture显示和维护

1.9  Packet Capture典型配置举例

1.9.1  远程报文捕获配置举例

1. 组网需求

在Device的Ten-GigabitEthernet1/0/1接口上开启远程报文捕获功能，将捕获的报文上送到Wireshark软件上解析。

2. 组网图

图1-2 远程报文捕获组网图

‌

3. 配置步骤

(1)     在Ten-GigabitEthernet1/0/1接口上开启远程报文捕获功能

# 在Ten-GigabitEthernet1/0/1上开启远程报文捕获功能，指定RPCAP服务端口号为2014。

<Device> packet-capture remote interface ten-gigabitethernet 1/0/1 port 2014

(2)     在PC上打开Wireshark软件，菜单栏选择Capture，在弹出的下拉菜单中选择Options选项。弹出Capture Options对话框后，选择Remote捕获方式，输入捕获地址10.1.1.1和端口号2014，点击“OK”按钮，再点击“Start”按钮，此时在弹出的报文捕获窗口会看到捕获到的报文。如图1-3所示。

图1-3 Wireshark软件报文捕获窗口

1.9.2  特性包报文捕获配置举例

1. 组网需求

在设备的二层接口Ten-GigabitEthernet1/0/1上开启特性包报文捕获功能。配置捕获接口Ten-GigabitEthernet1/0/1入方向上的硬件转发与软件转发报文。

2. 配置步骤

# 查看设备的版本信息，准备和设备当前运行的Boot包、System包兼容的Packet Capture特性软件包。

<Device> display version

H3C Comware Software, Version 7.1.070, Demo 01

Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.

H3C S6800-54QT uptime is 0 weeks, 0 days, 5 hours, 33 minutes

Last reboot reason : Cold reboot

Boot image: flash:/boot-01.bin

Boot image version: 7.1.070, Demo 01

  Compiled Oct 20 2016 16:00:00

System image: flash:/system-01.bin

System image version: 7.1.070, Demo 01

  Compiled Oct 20 2016 16:00:00

其它显示信息略……。

# 从IP地址为192.168.1.26的TFTP服务器上下载Packet Capture特性软件包flash:/packet-capture-01.bin。

<Device> tftp 192.168.1.26 get packet-capture-01.bin

Press CTRL+C to abort.

  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current

                                 Dload  Upload   Total   Spent    Left  Speed

100 11.3M    0 11.3M    0     0   155k      0 --:--:--  0:01:14 --:--:--  194k

Writing file...Done.

# 给IRF中的所有成员设备（此处以slot 1和slot 2为例）都安装Packet Capture特性软件包，并让该软件包在设备重启后能够继续生效。

<Device> install activate feature flash:/packet-capture-01.bin slot 1

Verifying the file flash:/packet-capture-01.bin on slot 1....Done.            

Identifying the upgrade methods....Done.                                       

Upgrade summary according to following table:                                  

flash:/packet-capture-01.bin                              

  Running Version             New Version                                      

  None                        Demo 01                                  

  Slot                        Upgrade Way                                       

  1                           Service Upgrade                                  

Upgrading software images to compatible versions. Continue? [Y/N]:y            

This operation might take several minutes, please wait....................Done.<Device> install activate feature flash:/packet-capture-01.bin slot 2

Verifying the file flash:/packet-capture-01.bin on slot 2....Done.            

Identifying the upgrade methods....Done.                                       

Upgrade summary according to following table:                                  

flash:/packet-capture-01.bin                              

  Running Version             New Version                                       

  None                        Demo 01                                  

  Slot                        Upgrade Way                                       

  2                           Service Upgrade                                  

Upgrading software images to compatible versions. Continue? [Y/N]:y            

This operation might take several minutes, please wait....................Done.

<Device> install commit

This operation will take several minutes, please wait.......................Done.

<Device> install commit

This operation will take several minutes, please wait.......................Done.

# 创建IPv4高级ACL 3000，并定制如下规则：只捕获源IP为192.168.56.1的报文。

<Device> system-view

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.56.1 0

[Device-acl-ipv4-adv-3000] quit

# 定义流行为behavior1，配置流量镜向到CPU。

[Device] traffic behavior behavior1

[Device-behavior-behavior1] mirror-to cpu

[Device-behavior-behavior1] quit

# 定义类classifier1，匹配ACL3000。

[Device] traffic classifier classifier1

[Device-classifier-class1] if-match acl 3000

[Device-classifier-class1] quit

# 定义一个名为user1的策略，并在策略user1中为类classifier1指定采用流行为behavior1。

[Device] qos policy user1

[Device-qospolicy-user1] classifier classifier1 behavior behavior1

[Device-qospolicy-user1] quit

#将策略user1应用到接口Ten-GigabitEthernet1/0/1的入方向上。

[Device] interface ten-gigabitethernet 1/0/1

[Device-Ten-GigabitEthernet1/0/1] qos apply policy user1 inbound

[Device-Ten-GigabitEthernet1/0/1] quit

[Device] quit

# 重新登录设备，以便能够执行packet-capture命令行。

# 开启Ten-GigabitEthernet1/0/1接口上的报文捕获功能，指定捕获报文个数上限为10，指定捕获的报文存入文件a.pcap。

<Device> packet-capture interface ten-gigabitethernet 1/0/1 limit-captured-frames 10 write flash:/a.pcap

Capturing on 'Ten-GigabitEthernet1/0/1'

10

3. 验证配置

# 在设备上解析报文文件flash:/a.pcap。

<Device> packet-capture read flash:/a.pcap

  1   0.000000 192.168.56.1 -> 192.168.56.2 TCP 62 6325 > telnet [SYN] Seq=0 Win=65535 Len=0 MSS=1460 SACK_PERM=1

  2   0.000061 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=1 Ack=1 Win=65535 Len=0

  3   0.024370 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  4   0.024449 192.168.56.1 -> 192.168.56.2 TELNET 78 Telnet Data ...

  5   0.025766 192.168.56.1 -> 192.168.56.2 TELNET 65 Telnet Data ...

  6   0.035096 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  7   0.047317 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ack=434 Win=65102 Len=0

  8   0.050994 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ack=436 Win=65100 Len=0

  9   0.052401 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ack=438 Win=65098 Len=0

 10   0.057736 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ack=440 Win=65096 Len=0