Raccogli acquisizioni pacchetti nel sistema operativo client e server Windows

Introduzione

In questo documento viene descritto come raccogliere i pacchetti acquisiti sulla piattaforma Windows utilizzando l'utilità pktmon di Windows in un ambiente altamente protetto. Ad esempio, le banche, la difesa, la marina e altro ancora.

Problema

Ambienti governativi altamente protetti, come banche, difesa, marina e altro ancora, limitano l'installazione di strumenti di terze parti. In particolare, lo strumento di acquisizione dei pacchetti Wireshark per la risoluzione dei problemi relativi a pacchetti voce, video e dati. Le approvazioni di gestione delle modifiche sono soggette a un consumo di tempo e a inutili ritardi nella risoluzione di un problema. Per impostazione predefinita, l'utilità disponibile in Windows consente di evitare il ritardo.

Soluzione

Per impostazione predefinita, il nome dello strumento PKTMON è un'utilità di frammento di pacchetto predefinita fornita con i sistemi operativi client e server di Microsoft Windows. PKTMON è disponibile in Windows Server 2022, Windows Server 2019, Windows 10, Azure Stack HCI, Azure Stack Hub e Azure. La configurazione è molto semplice e richiede meno tempo. L'utilità viene eseguita dal prompt dei comandi di Windows (cmd) con privilegi di amministratore.

Directory eseguibile: C:\Windows\System32\PktMon.exe

Qui si presume che venga tracciata l'acquisizione del pacchetto tra System-1 (PG-A) e System-2 (Logger-A).

È necessario innanzitutto identificare l'ID interfaccia o l'ID NIC (Network Interface Controller) nel sistema o nella macchina virtuale.

pktmon list  - Questo comando elenca le interfacce nel sistema/macchina virtuale.

Uscita:

Network Adapters: 
Id MAC Address Name 
-- ----------- ---- 
9 00-50-56-BD-C1-83 vmxnet3 Ethernet Adapter #2 
10 00-50-56-BD-82-7B vmxnet3 Ethernet Adapter

Tabella 1.  Tabelle di interfaccia.

Dopo aver identificato l'ID interfaccia, l'acquisizione del pacchetto viene avviata. Il comando abilita le acquisizioni e i contatori dei pacchetti.

Metodo 1. pktmon start --capture

Questo comando avvia l'acquisizione dei pacchetti nel percorso utente predefinito per l'accesso a Windows.

Uscita:

Logger Parameters: 
Logger name: PktMon 
Logging mode: Circular 
Log file: C:\Users\Administrator\PktMon.etl 
Max file size: 512 MB 
Memory used: 64 MB

Collected Data: 
Packet counters, packet capture

Capture Type: 
      All packets

Monitored Components: 
      All

Packet Filters: 
      None

Tabella 2. Indicazione di avvio acquisizione pacchetti.

Metodo 2. pktmon start --capture --file-name C:\Cisco\Campaigninactive\pga.etl

Con questo comando viene avviata l'acquisizione dei pacchetti nel percorso personalizzato.

Uscita:

Logger Parameters: 
Logger name: PktMon 
Logging mode: Circular 
Log file: C:\Cisco\Campaigninactive\pga.etl 
Max file size: 512 MB 
Memory used: 64 MB

Collected Data: 
Packet counters, packet capture

Capture Type: 
All packets

Monitored Components: 
All

Packet Filters: 
None

Tabella 3.  Acquisizione del pacchetto con indirizzo del percorso per archiviare il file di acquisizione.

Durante l'acquisizione, è possibile verificare anche lo stato di acquisizione del pacchetto.

pktmon status- Questo comando visualizza l'acquisizione del pacchetto pktmon attivo in corso.

Uscita:

Collected Data:
Packet counters, packet capture

Capture Type:
All packets

Monitored Components:
All

Packet Filters:
None

Logger Parameters:
Logger name: PktMon
Logging mode: Circular
Log file: C:\Cisco\Campaigninactive\pga_1.etl
Max file size: 512 MB
Memory used: 64 MB
Events lost: 0

Event Providers:

ID                                              Level   Keywords
--                                               --------  ---------------
Microsoft-Windows-PktMon     4          0x12

C:\Users\Administrator>

Tabella 4.  Convalida lo stato dell'acquisizione dei pacchetti.

Una volta riprodotto il problema, arrestare l'acquisizione del pacchetto con il pktmon stop comando.

Uscita:

Flushing logs... 
Merging metadata...

Log file: C:\Cisco\Campaigninactive\pga.etl (No events lost)

Tabella 5.  Arrestare l'acquisizione dei pacchetti.

Per impostazione predefinita, il comando pktmon viene memorizzato nel formato predefinito.etl ed è disponibile un metodo per convertirlo in pcapng per la revisione tramite Wireshark.

Metodo 1. pktmon etl2pcap PktMon.etl --out C:\Cisco\Campaigninactive\pga.pcapng 

Questo comando converte nel formato pcapng l'impostazione predefinita salvata nelPktMon.etl file nella directory predefinita.

Uscita:

C:\Users\Administrator>pktmon etl2pcap PktMon.etl --out C:\Cisco\Campaigninactive\pga_2.pcapng 
Processing...

Packets total: 606 
Packet drop count: 0 
Packets formatted: 606 
Formatted file: C:\Cisco\Campaigninactive\pga_2.pcapng

C:\Users\Administrator>

Tabella 6. 

Metodo 1. Per convertire l'acquisizione dei pacchetti dall'estensione nativa .etl al formato leggibile Wireshark .pcapng.

Metodo 2. pktmonetl2pcapC:\Cisco\Campaigninactive\pga_1.etl --out C:\Cisco\Campaigninactive\pga.pcapng

Uscita:

C:\Users\Administrator>pktmon etl2pcap C:\Cisco\Campaigninactive\pga_1.etl --out C:\Cisco\Campaigninactive\pga_1.pcapng
Processing...

Packets total: 8964
Packet drop count: 0
Packets formatted: 8964
Formatted file: C:\Cisco\Campaigninactive\pga_1.pcapng

C:\Users\Administrator>

Immagine 1.

Metodo 2. per convertire l'acquisizione dei pacchetti dall'estensione nativa .etl al formato leggibile Wireshark .pcapng.

Questi comandi di base aiutano a raccogliere i file e sono utili per la risoluzione dei problemi di TAC.

Informazioni correlate

• https://learn.microsoft.com/en-us/windows-server/networking/technologies/pktmon/pktmon
• Supporto tecnico Cisco e download