目  录

1 Packet Capture

1.1 Packet Capture简介

1.1.1 报文捕获类型

1.1.2 过滤规则的构成

1.2 构建捕获过滤规则

1.2.1 捕获过滤规则关键字

1.2.2 捕获过滤规则操作符

1.2.3 捕获过滤规则表达式

1.3 构建显示过滤规则

1.3.1 显示过滤规则关键字

1.3.2 显示过滤规则操作符

1.3.3 显示过滤规则表达式

1.4 报文捕获配置限制和指导

1.5 配置本地报文捕获

1.6 配置远程报文捕获

1.7 配置特性包报文捕获

1.7.1 配置限制和指导

1.7.2 配置准备

1.7.3 配置特性包报文捕获并将捕获的报文保存到本地

1.8 停止报文捕获

1.9 解析并显示报文文件

1.10 显示本地或远程报文捕获状态

1.11 Packet Capture典型配置举例

1.11.1 远程报文捕获配置举例

1.11.2 特性包报文捕获配置举例

1 Packet Capture

1.1  Packet Capture简介

Packet Capture是一种报文捕获及分析特性，使用该功能能够捕获设备接口收发的报文并对报文进行解析处理，便于用户分析接口收发的报文；还可以将报文数据存储为pcap格式的文件，方便用户后续查看。

1.1.1  报文捕获类型

目前支持三种报文捕获类型：本地报文捕获、远程报文捕获和特性包报文捕获。

1. 本地报文捕获

本地报文捕获功能可以将捕获的报文自动上传到FTP服务器或存储在设备存储介质中。

2. 远程报文捕获

远程报文捕获功能用于将设备上捕获的报文直接发送给远端客户端，客户端上需安装了报文捕获软件（例如Wireshark），由客户端来解析并展示捕获结果。

3. 特性包报文捕获

特性包报文捕获是指用户需要安装Packet Capture特性软件包后，才可以使用的报文捕获功能。使用该功能可以将捕获的报文保存在本地或直接在终端显示报文信息，还可以解析pcap或pcapng文件。

1.1.2  过滤规则的构成

Packet Capture可以使用过滤表达式指定过滤规则，对需要捕获、显示的报文进行过滤，仅捕获、显示用户关心的报文。

过滤规则由关键字和操作符组合而成：

·     关键字又分为：

¡     常量关键字：该类关键字为固定的字符串。使用时，用户需完整输入该关键字。

¡     变量关键字：该类关键字形式固定，但内容可变。用户可自定义该关键字的取值。

·     操作符分为逻辑操作符、运算操作符和比较操作符。

关于捕获过滤规则的详细介绍请参见网页：http://wiki.wireshark.org/CaptureFilters。

关于显示过滤规则的详细介绍请参见网页：http://wiki.wireshark.org/DisplayFilters。

1.2  构建捕获过滤规则

1.2.1  捕获过滤规则关键字

1. 常量关键字

表1-1 常量关键字

2. 变量关键字

捕获过滤规则的变量关键字不可以单独使用，其前需要使用常量关键字对其进行修饰。

协议类型常量关键字、broadcast和multicast关键字不能对变量关键字进行修饰。其它的常量关键字不可单独使用，其后需要使用变量关键字。

表1-2 变量关键字

1.2.2  捕获过滤规则操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右，其中非操作符优先级最高，与操作符和或操作符的优先级相同。

表1-3 逻辑操作符

2. 运算操作符

表1-4 运算操作符

3. 比较操作符

表1-5 比较操作符分类

1.2.3  捕获过滤规则表达式

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的捕获过滤表达式。例如：not port 23 and not port 22，表示捕获端口号既不是23，又不是22的报文；port 23 or icmp，表示捕获端口号是23或ICMP协议的报文。

由逻辑操作符连接的多个变量关键字，可以使用同一个常量关键字进行修饰（就近原则），例如：src 192.168.56.1 or 192.168.27，表示捕获的源IPv4地址为192.168.56.1或者源IPv4网段为192.168.27的报文。上述表达式与“src 192.168.56.1 or src 192.168.27”等价。

2. expr relop expr表达式

由关键字、运算操作符和比较操作符组合的捕获过滤表达式。其中，expr是算术表达式；relop为比较操作符。例如：len+100>=200，表示捕获长度大于等于100字节的报文。

3. proto[expr:size]表达式

由协议类型关键字和运算操作符“[ ]”组合的捕获过滤表达式。其中，proto表示协议类型，expr为算术表达式，表示偏移量，size为整数，表示字节个数，缺省值为1。proto[expr:size]的返回值为从proto协议报文数据区域起始位置，偏移expr个字节开始，取size个字节的数据。例如：ip[0]&0xf!=5，表示捕获第一个字节与0x0f按位相与得到的值不是5的IP报文。

expr:size也可以使用表达式的名称表示。例如：icmptype表示ICMP报文的类型域，则表达式：icmp[icmptype]=0x08，表示捕获icmp的type字段的值为0x08的报文。

1.3  构建显示过滤规则

当进行显示过滤时，所有报文仍然保存在捕获报文文件中；显示过滤只是将符合显示过滤条件的报文显示出来，不会改变文件的内容。

1.3.1  显示过滤规则关键字

1. 常量关键字

表1-6 常量关键字

2. 变量关键字

报文字段的取值为变量关键字。报文的各个字段具有不同的类型，如表1-7所示。

表1-7 变量关键字的类型

1.3.2  显示过滤规则操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右。优先级从高到低依次为：括号操作符、非操作符、与操作符和或操作符，其中与操作符和或操作符的优先级相同。

表1-8 显示过滤逻辑操作符

2. 比较操作符

表1-9 显示过滤比较操作符

1.3.3  显示过滤规则表达式

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的显示过滤表达式。例如：ftp or icmp，表示显示所有ftp协议和icmp协议报文信息。

2. 比较操作符表达式

由关键字和比较运算符组合的显示过滤表达式。例如：ip.len<=28，表示显示所有IP报文的长度字段小于等于28字节的IP报文。

3. 报文字段表达式

只由报文字段组成的显示过滤表达式，作用是显示存在某一具体字段的报文信息。例如：tcp.flags.syn，表示显示所有存在tcp.flags.syn位的报文。

4. proto[…]表达式

由协议类型和运算操作符“[ ]”组合的显示过滤表达式，proto[…]的类型为十六进制整型，其中，proto表示协议类型、字段。括号操作符内容有以下两种表达方式：

·     [n:m]，n表示偏移位置，m表示指定的字节数；表示从偏移n个字节位置开始取后面m个字节数据。例如：eth.src[0:3]==00:00:83，表示源MAC地址的前三个字节分别为0x00、0x00、0x83。

·     [n-m]，n表示偏移起始位置，m表示偏移结束位置；表示从偏移n个字节位置取到第m个字节位置，共取m-n+1个字节数据。例如：eth.src[1-2]==00:83，表示MAC地址的第二个字节和第三个字节分别为0x00、0x83。

·     [n]，与[n:1]等价，表示取偏移n个字节位置的一个字节数据。例如：eth.src[2]==83，表示MAC地址的第三个字节为0x83。

1.4  报文捕获配置限制和指导

二层接口上的大部分流量为硬件转发报文，对于硬件转发的报文，不管是本地、远程还是特性包报文捕获，均需要使用QoS策略将硬件报文镜像到CPU才能捕获；对于软件转发的报文，不需要将报文镜像到CPU，直接开启报文捕获功能即可。

报文捕获功能可捕获帧长度小于等于9196字节的报文，当收到报文的帧长度大于9196时，设备不会捕获该报文。

1.5  配置本地报文捕获

请在用户视图执行以下命令，配置本地报文捕获并将捕获的报文保存到本地或FTP服务器。

packet-capture local interface interface-type interface-number [ capture-filter capt-expression | limit-frame-size bytes | autostop filesize kilobytes | autostop duration seconds ] * write { filepath | url url [ username username [ password { cipher | simple } string ] ] }

本命令在后台执行。配置本命令后，用户可以继续输入命令来配置设备。

1.6  配置远程报文捕获

1. 功能简介

远程报文捕获功能用于将设备上捕获的报文直接发送给客户端（例如Wireshark），由客户端来解析并展示捕获结果。

远程报文捕获功能的工作流程为：

(1)     在设备上开启远程报文捕获功能后，设备会捕获指定接口的报文，并侦听RPCAP服务端口号。

(2)     请将客户端连接到设备，并在客户端上指定服务器端的IP地址为设备的IP地址以及服务器端的侦听的端口号为本命令配置的port值。客户端会使用该地址和端口号，和设备建立RPCAP连接。

(3)     设备通过RPCAP连接将捕获的报文发送给客户端。

(4)     客户端收到设备发送的报文后，对报文进行解析和展示。

2. 配置步骤

(1)     请在用户视图执行以下命令，配置远程报文捕获。

packet-capture remote interface interface-type interface-number [ port port ]

(2)     将客户端（例如Wireshark）连接到设备，客户端的配置请参见客户端的相关资料。

1.7  配置特性包报文捕获

1.7.1  配置限制和指导

在使用本功能的过程中，会阻断当前配置终端的输入，用户不能输入其它命令对设备进行操作，只有当报文捕获/显示结束时，配置终端才能输入其它命令。在大流量背景下退出捕获报文，可能会有延时。

1.7.2  配置准备

(1)     执行display boot-loader命令，如果显示信息的“Current software images”列表中存在Packet Capture特性软件包，请忽略该配置准备；如果未存在Packet Capture特性软件包，请继续执行下面的步骤。

(2)     使用boot-loader命令安装Packet Capture特性软件包。

(3)     重新登录设备。

关于display boot-loader和boot-loader命令的详细介绍请参见“基础配置命令参考”中的“软件升级”。

1.7.3  配置特性包报文捕获并将捕获的报文保存到本地

请在用户视图执行以下命令，配置特性包报文捕获并将捕获的报文保存到本地。

packet-capture interface interface-type interface-number [ capture-filter capt-expression | limit-captured-frames limit | limit-frame-size bytes | autostop filesize kilobytes | autostop duration seconds | autostop files numbers | capture-ring-buffer filesize kilobytes | capture-ring-buffer duration seconds | capture-ring-buffer files numbers ] * write filepath [ raw | { brief | verbose } ] *

1.8  停止报文捕获

1. 功能简介

在配置报文捕获时，用户可通过参数来实现自动停止报文捕获。在报文捕获过程中，使用本功能可手工停止报文捕获。

2. 配置步骤

请选择其中一项进行配置：

·     请在用户视图执行以下命令，停止本地或远程报文捕获。

packet-capture stop

·     执行快捷键<Ctrl+C>，可结束特性包报文捕获。

1.9  解析并显示报文文件

1. 功能简介

用户将捕获的报文保存到报文文件后，可以：

·     将文件上传到FTP/TFTP服务器，再通过第三方软件Wireshark解析并显示报文文件的内容。

·     使用packet-capture read命令，在设备本地解析并显示报文文件的内容。

2. 配置准备

(1)     执行display boot-loader命令，如果显示信息的“Current software images”列表中存在Packet Capture特性软件包，请忽略该配置准备；如果未存在Packet Capture特性软件包，请继续执行下面的步骤。

(2)     使用boot-loader命令安装Packet Capture特性软件包。

(3)     重新登录设备。

关于display boot-loader和boot-loader命令的详细介绍请参见“基础配置命令参考”中的“软件升级”。

3. 配置限制和指导

使用快捷键<Ctrl+C>可停止解析/显示本地报文文件。

4. 配置步骤

请在用户视图执行以下命令，解析并显示本地报文文件。

packet-capture read filepath [ display-filter disp-expression ] [ raw | { brief | verbose } ] *

1.10  显示本地或远程报文捕获状态

可在任意视图下执行以下命令，显示本地或远程报文捕获状态。

display packet-capture status

1.11  Packet Capture典型配置举例

1.11.1  远程报文捕获配置举例

1. 组网需求

在Device的三层接口GigabitEthernet0/0/1上开启远程入方向报文捕获功能，将捕获的报文上送到Wireshark软件上解析。

2. 组网图

图1-1 远程报文捕获组网图

‌

3. 配置步骤

(1)     配置Device

# 在GigabitEthernet0/0/1上开启远程入方向报文捕获功能，指定RPCAP服务端口号为2014。

<Device> packet-capture remote interface gigabitethernet 0/0/1 port 2014

(2)     配置Wireshark

a.     在PC上打开Wireshark软件，选择“Capture > Options”。

b.     选择“Interface > Remote”。

c.     输入Device的IP地址（该地址必须和Wireshark路由可达）和绑定的RPCAP服务端口号2014。

d.     点击<OK>按钮，再点击<Start>按钮启动捕获。此时在报文捕获窗口可看到捕获到的报文。

1.11.2  特性包报文捕获配置举例

1. 组网需求

在设备的三层接口GigabitEthernet0/0/1上开启特性包报文捕获功能。配置捕获接口GigabitEthernet0/0/1入方向上的、192.168.1.10到192.168.2.1以及192.168.1.11到192.168.2.1的所有报文。

2. 组网图

图1-2 特性包报文捕获组网图

‌

3. 配置步骤

(1)     安装Packet Capture特性软件包，以便用户可以配置特性包报文捕获功能

# 查看设备的版本信息，准备和设备当前运行的Boot包、System包兼容的Packet Capture特性软件包。

<Device> display version

H3C Comware Software, Version 7.1.070, Demo 01

Copyright (c) 2004-2017 New H3C Technologies Co., Ltd. All rights reserved.

H3C XXX uptime is 0 weeks, 0 days, 5 hours, 33 minutes

Last reboot reason : Cold reboot

Boot image: flash:/boot-01.bin

Boot image version: 7.1.070, Demo 01

  Compiled Oct 20 2016 16:00:00

System image: flash:/system-01.bin

System image version: 7.1.070, Demo 01

  Compiled Oct 20 2016 16:00:00

其它显示信息略……。

# 从IP地址为192.168.2.1的TFTP服务器上下载Packet Capture特性软件包packet-capture-01.bin。

<Device> tftp 192.168.2.1 get packet-capture-01.bin

Press CTRL+C to abort.

  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current

                                 Dload  Upload   Total   Spent    Left  Speed

100 11.3M    0 11.3M    0     0   155k      0 --:--:--  0:01:14 --:--:--  194k

Writing file...Done.

# 给设备安装Packet Capture特性软件包，并让该软件包在设备重启后能够继续生效。

<Device> boot-loader file boot flash:/boot-01.bin system flash:/system-01.bin feature flash:/packet-capture-01.bin all main                                                                

This command will set the main startup software images. Continue? [Y/N]:y      

Verifying the file flash:/packet-capture-01.bin on slot 0...Don

e.                                                                             

Verifying the file flash:/boot-01.bin on slot 0.........Done. 

Verifying the file flash:/system-01.bin on slot 0........Done.

The images that have passed all examinations will be used as the main startup so

ftware images at the next reboot on slot 0.

# 重新登录设备，以便用户能够执行packet-capture interface和packet-capture read命令行。

(2)     开启报文捕获功能

# 开启GigabitEthernet0/0/1接口入方向报文捕获功能，指定捕获报文个数上限为10，指定捕获的报文存入文件a.pcap。在192.168.1.10上使用Telnet方式登录192.168.2.1，创造报文捕获条件。

<Device> packet-capture interface gigabitethernet 0/0/1 capture-filte " src 192.168.1.10 or 192.168.1.11 and dst 192.168.2.1" limit-captured-frames 10 write flash:/a.pcap

Capturing on 'GigabitEthernet0/0/1'

10

4. 验证配置

# 在设备上解析报文文件flash:/a.pcap。

<Device> packet-capture read flash:/a.pcap

  1   0.000000 192.168.1.10 -> 192.168.2.1 TCP 62 6325 > telnet [SYN] Seq=0 Win=65535 Len=0 MSS=1460 SACK_PERM=1

  2   0.000061 192.168.1.10 -> 192.168.2.1 TCP 60 6325 > telnet [ACK] Seq=1 Ack=1 Win=65535 Len=0

  3   0.024370 192.168.1.10 -> 192.168.2.1 TELNET 60 Telnet Data ...

  4   0.024449 192.168.1.10 -> 192.168.2.1 TELNET 78 Telnet Data ...

  5   0.025766 192.168.1.10 -> 192.168.2.1 TELNET 65 Telnet Data ...

  6   0.035096 192.168.1.10 -> 192.168.2.1 TELNET 60 Telnet Data ...

  7   0.047317 192.168.1.10 -> 192.168.2.1 TCP 60 6325 > telnet [ACK] Seq=42 Ack=434 Win=65102 Len=0

  8   0.050994 192.168.1.10 -> 192.168.2.1 TCP 60 6325 > telnet [ACK] Seq=42 Ack=436 Win=65100 Len=0

  9   0.052401 192.168.1.10 -> 192.168.2.1 TCP 60 6325 > telnet [ACK] Seq=42 Ack=438 Win=65098 Len=0

 10   0.057736 192.168.1.10 -> 192.168.2.1 TCP 60 6325 > telnet [ACK] Seq=42 Ack=440 Win=65096 Len=0