07-网络管理和监控配置指导

03-报文捕获配置

本章节下载  (221.90 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_CG(V7)(R8524_R8522_R8504)-6W302/07/202012/1369283_30005_0.htm

03-报文捕获配置


1 报文捕获

1.1  报文捕获简介

报文捕获功能用于捕获设备的双向流量,并将捕获到的报文生存成Wireshark(一种网络封包分析软件)可识别的.cap后缀文件,保存到本地或外部服务器,供用户分析诊断出入设备的流量。

捕获报文的最小单位是一个报文,捕获报文的具体过程如下:

(1)     首先捕获一个报文中允许最大长度以内的部分,并生成一条捕获信息,对于超出的部分不再进行捕获;

(2)     然后将生成的捕获信息条目存储在内存中的捕获文件;

(3)     最后当捕获文件存储的捕获条目达到最大存储数后,系统会将内存中的捕获文件保存到指定的存储路径,并删除内存中的捕获文件。

1.2  报文捕获配置限制和指导

·     启动报文捕获功能会对设备的性能产生影响,因此建议只在需要捕获报文的情况下启动该功能。

·     捕获文件存储在本地的情况下,报文捕获启动后系统会删除捕获文件存储路径下所有.cap后缀的文件,因此报文捕获完成后请及时导出所需的捕获文件。

·     设备上同时只允许一个用户进行报文捕获。

·     报文捕获功能启动后,报文捕获的参数不能再被修改。

1.3  报文捕获配置任务简介

报文捕获配置任务如下:

(1)     配置报文捕获的参数

(2)     启动报文捕获功能

(3)     停止报文捕获功能

1.4  配置报文捕获的参数

(1)     进入系统视图。

system-view

(2)     配置捕获报文的最大长度。

packet-capture max-bytes bytes

缺省情况下,捕获报文的最大长度为1600字节。

为能够捕获到完整报文,建议配置捕获报文的最大长度不低于接口的MTU值。

(3)     配置捕获文件存储捕获条目的最大数。

packet-capture max-file-packets number

缺省情况下,捕获文件存储捕获条目的最大数为100。

(4)     配置捕获文件的存储路径。

packet-capture storage { local [ limit limit-space ] | remote serverpath [ vpn-instance vpn-instance-name ] [ user username [ password { cipher | simple } string ] ] }

缺省情况下,捕获文件存储在当前主用设备缺省文件系统的pcap文件夹下。

1.5  启动报文捕获功能

(1)     进入系统视图。

system-view

(2)     启动报文捕获功能。

packet-capture start [ acl { acl-number | ipv6 acl-number } | interface interface-type interface-number ] *

缺省情况下,报文捕获功能处于停止状态。

1.6  停止报文捕获功能

1. 功能简介

可以通过本命令停止报文捕获。由于当缓存中的报文比较多时,将这些缓存的报文全部保存到捕获文件会需要较长的时间,因此系统提供了两种保存方式:立刻停止报文捕获功能(即指定immediately参数);保存完缓存中的报文后才停止报文捕获功能。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     停止报文捕获功能。

packet-capture stop [ immediately ]

1.7  报文捕获显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后的报文捕获功能的状态信息。

表1-1 报文捕获显示和维护

操作

命令

显示报文捕获功能的配置和状态信息

display packet-capture status

 

1.8  报文捕获典型配置举例

1.8.1  报文捕获基本组网配置举例

1. 组网需求

在Device上启动报文捕获功能对设备上的流量进行捕获,具体报文捕获需求如下:

·     捕获接口GigabitEthernet1/0/1上的报文;

·     限制捕获报文的最大长度为3000字节;

·     将捕获文件上传到FTP服务器。

2. 组网图

图1-1 报文捕获基本组网配置组网图

3. 配置步骤

(1)     配置接口IP地址、路由、安全域及域间策略保证网络可达,具体配置步骤略。

(2)     配置报文捕获功能

# 配置捕获文件的存储路径为ftp.remote.com/pcap/,FTP用户名为zhangsan,密码为123。

<Device> system-view

[Device] packet-capture storage remote ftp://ftp.remote.com/pcap/ user zhangsan password simple 123456TESTplat&!

# 配置捕获报文的最大长度为3000字节。

[Device] packet-capture max-bytes 3000

# 启动报文捕获功能,且在接口GigabitEthernet1/0/1上捕获报文。

[Device] packet-capture start interface gigabitethernet 1/0/1

4. 验证配置

# 以上配置完成后,通过执行命令display packet-capture status可以查看到报文捕获的状态。

[Device] display packet-capture status

  Capture status: Started

  Filter: Interface GigabitEthernet1/0/1

# 用抓包软件打开FTP服务器上的捕获报文文件进行分析。(此处以Ethereal软件为例打开捕获报文)

图1-2 用Ethereal抓包软件打开捕获的报文

 

 

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

联系我们