• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

12-网络管理和监控配置指导

目录

13-Packet Capture配置

本章节下载 13-Packet Capture配置  (287.52 KB)

13-Packet Capture配置


1 Packet Capture

说明

如需使用本特性,请安装和软件版本对应的Feature包文件(格式为CR16000-CMW710-PACKET-CAPTURE-version.bin),例如:CR16000-CMW710-PACKET-CAPTURE-F7372.bin。有关安装步骤的详细介绍,请参见“基础配置指导”中的“软件升级”或“通过install命令升级”。

 

1.1  Packet Capture简介

Packet Capture是一种报文捕获及分析工具,该工具能够捕获设备物理接口的报文并对报文进行解析处理,便于用户分析接口接收到的报文;还可以将报文数据存储为pcap格式的文件,方便用户对报文进行后续解析。

1.2  Packet Capture捕获过滤规则

Packet Capture可以使用捕获过滤表达式指定捕获过滤规则,对进入指定物理接口的报文进行过滤,满足捕获过滤规则的报文则被捕获。捕获过滤规则由关键字、逻辑操作符、运算操作符和比较操作符等组合而成。有关Packet Capture更多规则的详细介绍,请参见网址:http://wiki.wireshark.org/CaptureFilters

1.2.1  关键字

捕获过滤规则使用的关键字分为常量关键字和变量关键字。

1. 常量关键字

常量关键字是固定的字符串,可以分为以下几类:协议类型、传输方向和传输方向的类型等。

表1-1 常量关键字

常量关键字类型

描述

关键字

协议

捕获指定的协议报文。如果没有指明协议类型,默认捕获所有Packet Capture支持的协议

支持的协议有:ip,ip6,arp,tcp,udp,icmp等

报文传输方向

捕获指定传输方向的报文。如果没有指定本关键字,默认报文传输方向为源或目的方向

·     src:表示源方向

·     dst:表示目的方向

·     src or dst:表示源或目的方向

报文传输方向类型

捕获指定的报文传输方向类型的报文。如果没有指定本类关键字,默认报文传输方向类型为主机

·     host:表示主机

·     net:表示网段

·     port:表示端口号

·     portrange:表示端口号范围

特殊关键字

-

·     broadcast:表示捕获广播报文

·     multicast:表示捕获组播报文、广播报文

·     less:表示小于等于

·     greater:表示大于等于

·     len:表示报文长度

·     vlan:表示捕获VLAN报文

 

2. 变量关键字

变量关键字形式固定,但内容可变。捕获过滤规则的变量关键字不可以单独使用,其前需要使用常量关键字对其进行修饰。

需要注意的是,所有的协议类型常量关键字、broadcast和multicast关键字不能对变量关键字进行修饰。其它的常量关键字不可单独使用,其后需要使用变量关键字。

表1-2 变量关键字

变量关键字类型

举例

整型

将整型用二进制、八进制、十进制或十六进制形式表示。例如:port 23,表示端口号为23

整型范围

将整型范围用二进制、八进制、十进制、十六进制形式和“-”表示。例如:portrange 100-200,表示端口号范围为100到200

IPv4地址

使用点分十进制格式表示。例如:src 1.1.1.1,表示源主机IPv4地址是1.1.1.1(在没有指定报文传输方向类型时,报文传输方向类型默认为host)

IPv6地址

使用冒号分十六进制格式表示。例如:dst host 1::1,表示报文的目的主机IPv6地址是1::1

IPv4网段

使用IPv4地址和掩码或者IPv4网络号表示。以下两种表达式等价:

·     src 1.1.1,表示源主机的IPv4网段为1.1.1

·     src net 1.1.1.0/24,表示源主机的IPv4网段为1.1.1.0/24

IPv6网段

使用IPv6地址和网络前缀表示。例如:dst net 1::/64,表示目的IPv6网段为1::/64

需要注意的是,指定IPv6网段变量关键字时,必须指定net常量关键字

 

1.2.2  捕获过滤操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右,下表为逻辑操作符的分类举例。

表1-3 逻辑操作符

逻辑操作符

描述

!或者not

非操作符。表示对捕获过滤规则取反操作

&&或者and

与操作符。表示连接多个捕获过滤规则。当此操作符连接多个过滤规则时,报文若符合此操作符连接的全部过滤规则,才会过滤成功,否则,过滤失败。

||或者or

或操作符。表示对多个捕获过滤规则进行选择。当此操作符连接多个过滤规则时,报文若不符合此操作符连接的全部过滤规则,才会过滤失败,否则,过滤成功。

 

其中非操作符优先级最高,与操作符和或操作符的优先级相同。

2. 运算操作符

表1-4 运算操作符

运算操作符

描述

+

加法运算符,用来将其两侧的值加到一起

-

减法运算符,用来将它前面的数值中减去它后面的数值

*

乘法运算符,用来将其两侧的值相乘

/

除法运算符,用来将其左边的值被右边的值除

&

按位与,用来将其两侧的数值逐位进行比较产生一个新值。对于每一位,只有两个操作数的对应位都为1时结果才为1

|

按位或,用来将其两侧的操作数逐位进行比较产生一个新值。对于每一位,如果其中任意操作数中对应的位为1,那么结果位就为1

<< 

按位左移,用来将其左侧操作数的每位向左移动,移动的位数由其右侧操作数指定

>> 

按位右移,用来将其左侧操作数的每位向右移动,移动的位数由其右侧操作数指定

[ ]

取位运算符,与协议类型关键字结合使用。例如:ip[6],表示IP报文偏移6个字节后,取得的一个字节的值

 

3. 比较操作符

下表为比较操作符的分类举例。

表1-5 比较操作符分类

比较操作符

描述

=

相等,判断两侧操作数是否相等。例如:ip[6]=0x1c,表示捕获IPv4报文数据域偏移6字节,取得的一个字节值为0x1c的报文

!=

不等,判断两侧操作数是否不等。例如:len!=60,表示捕获报文长度不等于60字节的报文

> 

大于,判断左侧操作数大于右侧操作数。例如:len>100,表示捕获报文长度大于100字节的报文

< 

小于,判断左侧操作数小于右侧操作数。例如:len<100,表示捕获报文长度小于100字节的报文

>=

大于等于,判断左侧操作数大于等于右侧操作数;与常量关键字greater等价。例如:len>=100,表示捕获报文长度大于等于100字节的报文

<=

小于等于,判断左侧操作数小于等于右侧操作数;与常量关键字less等价。例如:len<=100,表示捕获报文长度小于等于100字节的报文

 

1.2.3  捕获过滤表达式

捕获过滤表达式由关键字、逻辑操作符、运算操作符和比较操作符之间的多种组合而成。以下为典型捕获过滤表达式:

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的捕获过滤表达式。例如:not port 23 and not port 22,表示捕获端口号既不是23,又不是22的报文;port 23 or icmp,表示捕获端口号是23或icmp协议的报文。

由逻辑操作符连接的多个变量关键字,可以使用同一个的常量关键字进行修饰(就近原则),例如:src 192.168.56.1 or 192.168.27,表示捕获的源IPv4地址为192.168.56.1或者源IPv4网段为192.168.27的报文。上述表达式与“src 192.168.56.1 or src 192.168.27”等价。

2. expr relop expr表达式

由关键字、运算操作符和比较操作符组合的捕获过滤表达式。其中,expr是算术表达式;relop为比较操作符。例如:len+100>=200,表示捕获长度大于等于100字节的报文。

3. proto [ expr:size ]表达式

由协议类型关键字和运算操作符“[ ]”组合的捕获过滤表达式。其中,proto表示协议类型,expr为算术表达式,表示偏移量,size为整数,表示字节个数,缺省值为1。proto [ expr:size ]的返回值为从proto协议报文数据区域起始位置,偏移expr个字节开始,取size个字节的数据。例如: ip[0]&0xf != 5,表示捕获第一个字节与0x0f按位相与得到的值不是5的IP报文。

expr:size也可以使用名字表示。例如:icmptype表示ICMP报文的类型域,则表达式:icmp[icmptype]=0x08,表示捕获icmp的type字段的值为0x08的报文。

4. vlan vlan_id表达式

由关键字vlan,逻辑操作符等组合的捕获过滤表达式。其中,vlan_id为整型,表示VLAN编号。例如,vlan 1 and ip6,表示捕获VLAN编号为1的IPv6报文。

需要注意的是:

·     如果用户需要对带VLAN的报文进行捕获过滤,必须使用此类捕获过滤表达式且关键字vlan要在其它捕获过滤条件之前指定,否则不能正常过滤。例如:icmp,表示捕获不带vlan的icmp报文。

·     如果捕获过滤规则之前没有指定vlan,则认为这些捕获过滤规则只对不带vlan的报文进行捕获过滤,即对带vlan的报文不捕获。例如:

¡     !tcp and vlan 1:表示捕获不带vlan标记的tcp报文以外的且属于vlan 1的报文。

¡     icmp and vlan 1:icmp表示捕获不带vlan标记的icmp协议报文,而vlan 1表示捕获vlan标记为1的报文,所以该捕获过滤表达式前后矛盾,因此不会收到任何报文,对于此类捕获过滤规则,只要没有语法错误,命令行均会下发成功,用户需要自己保证逻辑的正确性。

1.3  Packet Capture显示过滤规则

Packet Capture可以显示过滤表达式指定的显示过滤规则,对捕获到的报文进行显示过滤。当进行显示过滤时,所有报文仍然保存在捕获报文文件中;显示过滤只是将符合显示过滤条件的报文显示出来,不会改变文件的内容。显示过滤规则由关键字,显示过滤操作符等组合而成,有关Packet Capture更多规则的详细介绍,请参见网址:http://wiki.wireshark.org/DisplayFilters

1.3.1  关键字

显示过滤关键字主要分为两类:

·     协议类型

支持的协议包括:eth,ip,ipv6,tcp,udp,icmp,http,ftp,telnet等。例如:ftp,表示显示所有ftp协议的报文信息。

·     报文字段

指定报文的特定字段。使用点“.”表示包含关系。例如:tcp.flags.syn,表示tcp协议报文flags字段中的syn位。例如:tcp.port,表示tcp协议的port字段。

报文的各个字段具有不同的类型。字段类型如表1-6所示:

表1-6 显示过滤字段类型

字段类型

举例

整型

将整型字段值用二进制、八进制、十进制、十六进制形式表示。以下几种表达方式等价:

·     ip.len le 1500

·     ip.len le 02734

·     ip.len le 0x436

表示显示IP报文长度小于等于1500字节的报文信息

布尔变量

不使用其它操作符,单独使用报文字段,则默认指定字段的类型为布尔类型。例如: tcp.flags.syn,表示如果捕获到的报文存在tcp.flags.syn字段,则表达式的值为真,显示过滤成功;否则为假,显示过滤失败

MAC地址(6字节)

MAC地址使用以下三种分隔符表示:分号“:”、点“.”或者破折号“-”;分隔符可以在两个或者四个字节间使用。以下几种方式等价:

·     eth.dst==ff:ff:ff:ff:ff:ff

·     eth.dst==ff-ff-ff-ff-ff-ff

·     eth.dst ==ffff.ffff.ffff

以上的显示过滤表达式表示显示目的MAC地址为ffff.ffff.ffff的报文信息

IPv4地址

IPv4地址使用点分十进制格式表示。例如:

·     ip.addr==192.168.0.1,表示显示源或者目的IP地址为192.168.0.1的报文信息

·     ip.addr==129.111.0.0/16,表示显示源或者目的IP地址属于129.111网段的报文信息

IPv6地址

IPv6地址使用冒号分十六进制格式表示。例如:

·     ipv6.addr==1::1表示显示源或者目的IPv6地址为1::1的报文信息

·     ipv6.addr==1::/64表示显示源或者目的IPv6地址属于1::/64网段的报文信息

字符串

一些报文字段类型为字符串。例如,http.request.version=="HTTP/1.1"表示显示http报文的request字段中的version字段为字符串HTTP/1.1的报文信息,双引号表示报文字段内容为字符串

 

1.3.2  显示过滤操作符

1. 逻辑操作符

逻辑操作符的逻辑运算顺序为从左到右,下表为逻辑操作符的分类举例:

表1-7 显示过滤逻辑操作符

英文

描述和举例

!或not

非操作符。表示对显示过滤规则取反操作

&&或and

与操作符。表示连接多个显示过滤规则

||或or

或操作符。表示对多个显示过滤规则进行选择

[ ]

括号操作符。与协议名称组合使用,详细介绍请参见“1.3.3  4. proto[…]表达式

 

优先级从高到低依次为:括号操作符、非操作符、与操作符和或操作符,其中与操作符和或操作符的优先级相同。

2. 比较操作符

下表对比较操作符进行分类举例:

表1-8 显示过滤比较操作符

分类

描述和举例

eq或==

相等,判断两侧操作数是否相等。例如:ip.src==10.0.0.5,表示显示源IP地址为10.0.0.5的报文信息

ne或!=

不等,判断两侧操作数是否不等。例如:ip.src!=10.0.0.5,表示显示源IP地址不是10.0.0.5的报文信息

gt或>

大于,判断左侧操作数大于右侧操作数。例如: frame.len>100,表示显示捕获的帧长度大于100字节的帧信息

lt或<

小于,判断左侧操作数小于右侧操作数。例如:frame.len<100,表示显示捕获的帧长度小于100字节的帧信息

ge 或>=

大于等于,判断左侧操作数大于等于右侧操作数。例如:frame.len ge 0x100,表示显示捕获的帧长度大于等于256字节的帧信息

le或<=

小于等于,判断左侧操作数小于等于右侧操作数。例如:frame.len le 0x100表示显示捕获的帧长度小于等于256字节的帧信息

1.3.3  显示过滤表达式

显示过滤表达式由协议和报文字段、显示过滤操作符之间的多种组合而成。以下为典型的显示过滤表达式:

1. 逻辑操作符表达式

由关键字和逻辑运算符组合的显示过滤表达式。例如:ftp or icmp,表示显示所有ftp协议和icmp协议报文信息。

2. 比较操作符表达式

由关键字和比较运算符组合的显示过滤表达式。例如:ip.len<=28,表示显示所有IP报文的长度字段小于等于28字节的IP报文。

3. 报文字段表达式

只由报文字段组成的显示过滤表达式,作用是显示存在某一具体字段的报文信息。例如:tcp.flags.syn,表示显示所有存在tcp.flags.syn位的报文。

4. proto[…]表达式

由协议类型和运算操作符“[ ]“组合的显示过滤表达式,proto[…]的类型为十六进制整型,其中,proto表示协议类型、字段。括号操作符内容有以下两种表达方式:

·     [n:m],n表示偏移位置,m表示指定的字节数;表示从偏移n个字节位置开始取后面m个字节数据。例如:eth.src[0:3]==00:00:83,表示源MAC地址的前三个字节分别为0x00、0x00、0x83。

·     [n-m],n表示偏移起始位置,m表示偏移结束位置;表示从偏移n个字节位置取到第m个字节位置,共取m-n+1个字节数据。例如:eth.src[1-2]==00:83,表示MAC地址的第二个字节和第三个字节分别为0x00、0x83。

·     [n],与[n:1]等价,表示取偏移n个字节位置的一个字节数据。例如:eth.src[2] == 83,表示MAC地址的第三个字节为0x83。

1.4  Packet Capture配置任务简介

表1-9 Packet Capture配置任务简介

配置任务

说明

详细配置

配置报文捕获功能

必选

1.5.1 

配置报文文件解析

可选

1.5.2 

 

1.5  配置Packet Capture

1.5.1  配置Packet Capture报文捕获功能

配置Packet Capture报文捕获功能,需要注意:

·     Packet Capture只能捕获通过CPU进行软件转发的报文,如需捕获通过硬件转发的报文,则需要通过配置流镜像功能,将符合条件的硬件转发报文镜像到CPU,以便进行捕获。有关流镜像的详细介绍,请参见“网络管理和控制配置指导”中的“镜像”。

·     Packet Capture对通过CPU进行软件转发的报文的进行捕获时,不会影响CPU对该报文的正常处理及转发流程。

·     Packet Capture只支持对二层以太网接口/三层以太网接口/网管口三种物理端口上的报文进行捕获,对于其它任何类型的接口(例如VLAN虚拟接口、二/三层聚合接口、三层以太网子接口/三层聚合子接口等)均不支持。

·     Packet Capture支持对协议报文的捕获,但不支持对sFlow、BFD等协议报文及RRPP协议中的Fast-Hello报文的捕获。有关sFlow的详细介绍,请参见“网络管理和控制配置指导”中的“sFlow”。有关BFD和RRPP的详细介绍,请参见“可靠性配置指导”中的“BFD”和“RRPP”。

·     配置下发后不能输入其它命令对设备进行操作,当达到命令指定的配置退出条件或者命令行输入Ctrl+C时,退出报文捕获,但在大流量背景下退出捕获报文,可能会有延时。

·     设备某一时段仅支持一个登录用户进行报文捕获操作,即当某一登录用户在对某端口进行报文捕获期间,不允许其他登录用户再对该端口或其它端口进行报文捕获操作,否则可能造成设备上报文捕获异常。

表1-10 配置报文捕获功能

操作

命令

说明

开启Packet Capture报文捕获功能

packet-capture interface interface-type interface-number [ capture-filter capt-expression | limit-captured-frames limit | limit-frame-size bytes | autostop filesize kilobytes | autostop duration seconds | autostop files numbers | capture-ring-buffer filesize kilobytes | capture-ring-buffer duration seconds | capture-ring-buffer files numbers ] * write filepath [ raw | { brief | verbose } ] *

二者选其一

packet-capture interface interface-type interface-number [ capture-filter capt-expression | display-filter disp-expression | limit-captured-frames limit | limit-frame-size bytes | autostop duration seconds ] * [ raw | { brief | verbose } ] *

 

1.5.2  配置Packet Capture报文文件解析

配置Packet Capture报文文件解析,能够解析pcap和pcapng格式报文文件,并将报文信息进行显示。

表1-11 配置报文文件解析

操作

命令

说明

开启Packet Capture解析报文文件功能

packet-capture read filepath [ verbose ] [ display-filter disp-expression ] [ raw | { brief | verbose } ] *

-

 

1.6  Packet Capture典型配置举例

1.6.1  配置报文捕获举例

1. 组网需求

在Router A的Gigabitethernet3/0/1接口上开启报文捕获功能。配置捕获接口Gigabitethernet3/0/1入方向上的硬件转发与软件转发报文。

2. 组网图

图1-1 Packet Capture捕获报文组网图

 

3. 配置步骤

# 创建IPv4高级ACL 3000,并定制如下规则:只捕获源IP为192.168.56.1的报文。

<RouterA> system-view

[RouterA] acl number 3000

[RouterA-acl-adv-3000] rule permit ip source 192.168.56.1 0

[RouterA-acl-adv-3000] quit

# 定义流行为behavior1,配置流量镜向到CPU。

[RouterA] traffic behavior behavior1

[RouterA-behavior-behavior1] mirror-to cpu

[RouterA-behavior-behavior1] quit

# 定义类classifier1,匹配ACL3000。

[RouterA] traffic classifier classifier1

[RouterA-classifier-classifier1] if-match acl 3000

[RouterA-classifier-classifier1] quit

# 定义一个名为user1的策略,并在策略user1中为类classifier1指定采用流行为behavior1。

[RouterA] qos policy user1

[RouterA-qospolicy-user1] classifier classifier1 behavior behavior1

[RouterA-qospolicy-user1] quit

#将策略user1应用到接口GigabitEthernet3/0/1的入方向上。

[RouterA] interface gigabitethernet 3/0/1

[RouterA-GigabitEthernet3/0/1] qos apply policy user1 inbound

[RouterA-GigabitEthernet3/0/1] quit

[RouterA] quit

# 开启Gigabitethernet3/0/1接口上的报文捕获功能,捕获软硬件转发报文。

<RouterA> packet-capture interface gigabitethernet3/0/1

Capturing on 'Gigabitethernet3/0/1'

  1   0.000000 192.168.56.1 -> 192.168.56.2 TCP 62 6325 > telnet [SYN] Seq=0 Win

=65535 Len=0 MSS=1460 SACK_PERM=1

  2   0.000061 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=1 Ack

=1 Win=65535 Len=0

  3   0.024370 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  4   0.024449 192.168.56.1 -> 192.168.56.2 TELNET 78 Telnet Data ...

  5   0.025766 192.168.56.1 -> 192.168.56.2 TELNET 65 Telnet Data ...

  6   0.035096 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  7   0.047317 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=434 Win=65102 Len=0

  8   0.050994 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=436 Win=65100 Len=0

  9   0.052401 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=438 Win=65098 Len=0

 10   0.057736 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=440 Win=65096 Len=0

10 packets captured

1.6.2  配置报文捕获并解析文件举例

1. 组网需求

·     在RouterA的Gigabitethernet 3/0/1接口上开启报文捕获功能,配置捕获报文的个数为10个,配置将捕获的报文存入文件a.pcap。

·     配置捕获报文完成后,开启解析a.pcap报文文件。

2. 组网图

图1-2 Packet Capture捕获报文并解析报文文件组网图

 

3. 配置步骤

# 开启Gigabitethernet3/0/1接口上的报文捕获功能,指定捕获报文个数上限为10,指定捕获的报文存入文件a.pcap。

<RouterA> packet-capture interface gigabitethernet3/0/1 limit-captured-frames 10 write flash:/a.pcap

Capturing on 'Gigabitethernet3/0/1'

# 开启报文解析功能,指定解析的完整文件名为flash:/a.pcap。

<RouterA> packet-capture read flash:/a.pcap

  1   0.000000 192.168.56.1 -> 192.168.56.2 TCP 62 6325 > telnet [SYN] Seq=0 Win

=65535 Len=0 MSS=1460 SACK_PERM=1

  2   0.000061 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=1 Ack

=1 Win=65535 Len=0

  3   0.024370 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  4   0.024449 192.168.56.1 -> 192.168.56.2 TELNET 78 Telnet Data ...

  5   0.025766 192.168.56.1 -> 192.168.56.2 TELNET 65 Telnet Data ...

  6   0.035096 192.168.56.1 -> 192.168.56.2 TELNET 60 Telnet Data ...

  7   0.047317 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=434 Win=65102 Len=0

  8   0.050994 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=436 Win=65100 Len=0

  9   0.052401 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=438 Win=65098 Len=0

 10   0.057736 192.168.56.1 -> 192.168.56.2 TCP 60 6325 > telnet [ACK] Seq=42 Ac

k=440 Win=65096 Len=0

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们