المحتويات

المقدمة

معلومات أساسية

خيارات المخرجات

خيارات التصفية

مرشح الالتقاط

مرشح العرض

خيارات الكتابة

كتابة

Capture-Ring-buffer

خيارات القراءة

فك ترميز داخلي مع خيار التفاصيل

أمثلة على قيم Capture-Filter

التقاط حركة مرور البيانات من أو إلى مضيف IP

التقاط حركة المرور من أو إلى نطاق من عناوين IP

التقاط حركة المرور من نطاق عناوين IP

التقاط حركة المرور إلى مجموعة من عناوين IP

التقاط حركة مرور البيانات فقط على بروتوكول معين - التقاط حركة مرور DNS فقط

التقط حركة مرور البيانات فقط على بروتوكول معين - على قبض حركة مرور DHCP فقط

التقاط حركة مرور البيانات غير الموجودة على بروتوكول معين - إستثناء حركة مرور HTTP أو SMTP

التقاط حركة المرور غير الموجودة على بروتوكول معين - إستثناء حركة مرور ARP و DNS

التقاط حركة مرور IP فقط - إستثناء بروتوكولات الطبقة السفلى مثل ARP و STP

التقاط حركة مرور البث الأحادي فقط - إستثناء إعلانات البث والبث المتعدد

التقاط حركة مرور البيانات ضمن نطاق منافذ الطبقة 4

التقاط حركة مرور البيانات استنادا إلى نوع الإيثرنت - التقاط حركة مرور EAPOL

حل التقاط IPv6

التقاط حركة المرور استنادا إلى نوع بروتوكول IP

رفض إطارات الإيثرنت استنادا إلى عنوان MAC - إستثناء حركة مرور البيانات التي تنتمي إلى مجموعة البث المتعدد LLDP

على قبض UDLD، VTP، أو CDP حركة مرور

التقاط حركة مرور البيانات من أو إلى عنوان MAC

بروتوكولات مستوى التحكم الشائعة

مشكلات معروفة

معلومات ذات صلة

المقدمة

يصف هذا المستند الإيثاناليزر، أداة التقاط الحزم المتكاملة Cisco NX-OS لحزم التحكم المستندة إلى Wireshark.

معلومات أساسية

وويرشارك هو محلل لبروتوكولات الشبكات مفتوحة المصدر يستخدم على نطاق واسع في العديد من الصناعات والمؤسسات التعليمية. إنها تفك شفرة الحزم الملتقطة بواسطة libpcap، مكتبة التقاط الحزمة. يعمل Cisco NX-OS فوق نواة Linux، والتي تستخدم مكتبة libpcap لدعم التقاط الحزمة.

مع الإيثاناليزر، يمكنك:

- التقاط الحزم التي يتم إرسالها أو استقبالها بواسطة المشرف.

- قم بتعيين عدد الحزم التي سيتم التقاطها.

- ثبتت الطول من الربط أن يكون قبض.

- عرض الحزم ذات معلومات البروتوكول التفصيلية أو الملخصة.

- فتح بيانات الحزمة الملتقطة وحفظها.

- تصفية الحزم الملتقطة على العديد من المعايير.

- تصفية الحزم التي سيتم عرضها على العديد من المعايير.

- قم بفك ترميز رأس 7000 الداخلي لحزمة التحكم.

لا يستطيع الإيثاناليزر:

- التحذير عندما تواجه الشبكة مشاكل. لكن الإيثاناليزر يمكن ان يساعدكم على تحديد سبب المشكلة.

- التقاط حركة مرور مستوى البيانات التي يتم إعادة توجيهها في الأجهزة.

- دعم التقاط خاص بواجهة.

خيارات المخرجات

هذا عرض ملخص للمخرجات من أمر النطاق الداخلي للواجهة المحلية ethanalyzer. يعرض الخيار '؟' التعليمات.

أستخدم الخيار 'detail' للحصول على معلومات البروتوكول التفصيلية. ^C يمكن إستخدامه للإجهاض وإعادة الحصول على مطالبة المحول في وسط عملية الالتقاط إذا لزم الأمر.

خيارات التصفية

مرشح الالتقاط

أستخدم الخيار "capture-filter" لتحديد الحزم التي سيتم عرضها أو حفظها على القرص أثناء الالتقاط. يحافظ مرشح الالتقاط على معدل عالي من الالتقاط أثناء قيامك بتصفية. لأن التشريح الكامل لم يتم على الحزم، فإن حقول المرشح تكون محددة ومحددة مسبقا.

مرشح العرض

أستخدم الخيار 'display-filter' لتغيير عرض ملف الالتقاط (ملف tmp). يستخدم عامل تصفية العرض الحزم المشفرة بالكامل، لذلك يمكنك إجراء تصفية معقدة ومتقدمة جدا عند تحليل مسار الشبكة. مهما، ال TMP مبرد يستطيع تعبئ بسرعة، بما أن هو أولا على قبض كل ربط وبعد ذلك يعرض فقط الربط المرغوب.

في هذا المثال، يتم تعيين "الإطارات المحدودة" على 5. باستخدام خيار "capture-filter"، يبدي لك إيثاناليزر خمس حزم تطابق المرشح "المضيف 10.10.10.2". باستخدام الخيار "display-filter"، على قبض Ethanalyzer أولا على خمس حزم ثم يعرض الحزم التي تطابق المرشح "ip.addr==10.10.10.2" فقط.

خيارات الكتابة

كتابة

يتيح لك الخيار "الكتابة" كتابة بيانات الالتقاط إلى ملف في أحد أجهزة التخزين (مثل boothflash أو logflash) على محول سلسلة Cisco Nexus 7000 للتحليل لاحقا. يقتصر حجم ملف الالتقاط على 10 ميغابايت.

مثال على ethanalyzer أمر مع خيار 'write' هو ethanalyzer قارن محلي داخل النطاق write bootflash:capture_file_name. مثال على خيار 'write' مع 'capture-filter' واسم ملف الإخراج 'first-capture' هو:

عندما يتم حفظ بيانات الالتقاط في ملف، فإن الحزم الملتقطة لا يتم عرضها، بشكل افتراضي، في نافذة المحطة الطرفية. يجبر الخيار 'عرض' Cisco NX-OS على عرض الحزم أثناء حفظ بيانات الالتقاط في ملف.

Capture-Ring-buffer

ينشئ الخيار 'capture-ring-buffer' ملفات متعددة بعد عدد معين من الثواني، عدد محدد من الملفات، أو حجم ملف محدد. تعريفات تلك الخيارات موجودة في لقطة الشاشة هذه:

خيارات القراءة

يتيح لك الخيار 'قراءة' قراءة الملف المحفوظ على الجهاز نفسه.

يمكنك أيضا نقل الملف إلى خادم أو كمبيوتر شخصي وقراءته باستخدام Wireshark أو أي تطبيق آخر يمكنه قراءة ملفات cap أو pcap.

فك ترميز داخلي مع خيار التفاصيل

يقوم خيار "فك الترميز الداخلي" بتقديم معلومات داخلية حول كيفية إعادة توجيه Nexus 7000 للحزمة. تساعدك هذه المعلومات على فهم تدفق الحزم عبر وحدة المعالجة المركزية (CPU) واستكشاف أخطائه وإصلاحها.

قم بتحويل فهرس NX-OS إلى قاعدة سداسية عشرية، ثم أستخدم الأمر show system internal pixm info ltl x لتعيين فهرس المنطق الهدف المحلي (LTL) إلى واجهة مادية أو منطقية.

أمثلة على قيم Capture-Filter

التقاط حركة مرور البيانات من أو إلى مضيف IP

host 10.1.1.1

التقاط حركة المرور من أو إلى نطاق من عناوين IP

net 172.16.7.0/24

net 172.16.7.0 mask 255.255.255.0

التقاط حركة المرور من نطاق عناوين IP

src net 172.16.7.0/24

src net 172.16.7.0 mask 255.255.255.0

التقاط حركة المرور إلى مجموعة من عناوين IP

dst net 172.16.7.0/24

dst net 172.16.7.0 mask 255.255.255.0

التقاط حركة مرور البيانات فقط على بروتوكول معين - التقاط حركة مرور DNS فقط

DNS هو بروتوكول نظام اسم المجال.

port 53

التقط حركة مرور البيانات فقط على بروتوكول معين - على قبض حركة مرور DHCP فقط

DHCP هو بروتوكول تكوين المضيف الديناميكي.

port 67 or port 68

التقاط حركة مرور البيانات غير الموجودة على بروتوكول معين - إستثناء حركة مرور HTTP أو SMTP

SMTP هو بروتوكول نقل البريد البسيط.

host 172.16.7.3 and not port 80 and not port 25

التقاط حركة المرور غير الموجودة على بروتوكول معين - إستثناء حركة مرور ARP و DNS

ARP هو بروتوكول تحليل العنوان.

port not 53 and not arp

التقاط حركة مرور IP فقط - إستثناء بروتوكولات الطبقة السفلى مثل ARP و STP

STP هو بروتوكول الشجرة الممتدة.

ip

التقاط حركة مرور البث الأحادي فقط - إستثناء إعلانات البث والبث المتعدد

not broadcast and not multicast

التقاط حركة مرور البيانات ضمن نطاق منافذ الطبقة 4

tcp portrange 1501-1549

التقاط حركة مرور البيانات استنادا إلى نوع الإيثرنت - التقاط حركة مرور EAPOL

EAPOL هو بروتوكول المصادقة المتوسع عبر شبكة LAN.

ether proto 0x888e

حل التقاط IPv6

ether proto 0x86dd

التقاط حركة المرور استنادا إلى نوع بروتوكول IP

ip proto 89

رفض إطارات الإيثرنت استنادا إلى عنوان MAC - إستثناء حركة مرور البيانات التي تنتمي إلى مجموعة البث المتعدد LLDP

LLDP هو بروتوكول اكتشاف طبقة الارتباط.

not ether dst 01:80:c2:00:00:0e

على قبض UDLD، VTP، أو CDP حركة مرور

UDLD أحادي إتجاه كشف، VTP ال VLAN trunking بروتوكول، و CDP ال cisco إكتشاف بروتوكول.

ether host 01:00:0c:cc:cc:cc

التقاط حركة مرور البيانات من أو إلى عنوان MAC

ether host 00:01:02:03:04:05

ملاحظة:

و = &&

أو = ||

لا = !

تنسيق عنوان MAC: xx:xx:xx:xx:xx:xx:xx

بروتوكولات مستوى التحكم الشائعة

- UDLD: وحدة التحكم في الوصول إلى الوسائط الوجهة (DMAC) = 01-00-0C-CC-CC و EthType = 0x0111

- LACP: DMAC = 01:80:C2:00:00:02 و EthType = 0x8809. LACP يمثل بروتوكول التحكم في تجميع الارتباطات.

- بروتوكول الشجرة المتفرعة (STP): DMAC = 01:80:C2:00:00:00 و ETHtype = 0x4242 - أو - DMAC = 01:00:0C:cc:CC:CD و ETHtype = 0x010B

- CDP: DMAC = 01-00-0C-CC-CC و EthType = 0x2000

- بروتوكول LLDP: DMAC = 01:80:C2:00:00:0E أو 01:80:C2:00:03 أو 01:80:C2:00:00 و EthType = 0x88Cc

- dot1x: DMAC = 01:80:C2:00:00:03 و EthType = 0x888E. DOT1X ترمز إلى IEEE 802. 1x.

- IPv6: EthType = 0x86DD

- قائمة أرقام منافذ UDP و TCP

مشكلات معروفة

معرف تصحيح الأخطاء من Cisco CSCue48854: لا يلتقط EtherAlyzer capture-filter حركة مرور البيانات من وحدة المعالجة المركزية على SUP2.

معرف تصحيح الأخطاء من Cisco CSCtx79409: لا يمكن إستخدام عامل تصفية الالتقاط باستخدام ميزة فك التشفير الداخلي.

معرف تصحيح الأخطاء من Cisco CSCvi02546: يمكن أن تحتوي الحزمة التي تم إنشاؤها SUP3 على FCS، وهذا سلوك متوقع.

معلومات ذات صلة

- Wireshark: CaptureFilters

- Wireshark: DisplayFilters

- الدعم التقني والمستندات - Cisco Systems