在AireOS WLC上配置数据包捕获

下载选项

PDF (419.1 KB)
在各种设备上使用 Adobe Reader 查看
ePub (275.5 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (233.3 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2019 年 4 月 8 日

文档 ID:211342

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何在AireOS无线LAN控制器(WLC)上运行数据包转储。此方法以十六进制格式显示WLC的CPU级别发送和接收的数据包，然后使用Wireshark将其转换为.pcap文件。

在WLC和远程身份验证拨入用户服务(RADIUS)服务器、接入点(AP)或其他控制器之间的通信需要通过WLC级别的数据包捕获快速进行验证，但很难执行端口跨度时，此功能非常有用。

要求

Cisco 建议您了解以下主题：

命令行界面(CLI)访问WLC，最好是SSH，因为输出比控制台快。
安装了Wireshark的PC

使用的组件

本文档中的信息基于以下软件和硬件版本：

WLC v8.3
Wireshark v2或更高版本

注意：自AireOS第4版起，此功能可用。

限制

数据包日志记录将仅捕获WLC中的双向控制平面(CP)到数据平面(DP)数据包。未从WLC数据平面向控制平面发送/从控制平面发送的数据包（例如，外部到锚点隧道流量、DP-CP丢弃等）将不会被捕获。

在CP处理的WLC的流量类型示例包括：

Telnet
SSH
HTTP
HTTPS
SNMP
NTP
RADIUS
TACACS+
移动消息
CAPWAP控制
NMSP
TFTP/FTP/SFTP
系统日志
IAPP

进出客户端的流量在数据平面(DP)中处理，但：802.11管理、802.1X/EAPOL、ARP、DHCP和Web身份验证。

配置

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

在WLC中启用数据包日志记录

步骤1.登录WLC的CLI。

由于此功能显示的日志数量和速度，建议通过SSH而不是控制台登录WLC。

步骤2.应用访问控制列表(ACL)以限制捕获的流量。

在给定示例中，捕获显示进出WLC管理接口（IP地址172.16.0.34）和RADIUS服务器(172.16.56.153)的流量。

> debug packet logging acl ip 1 permit 172.16.0.34 172.16.56.153
> debug packet logging acl ip 2 permit 172.16.56.153 172.16.0.34

提示：要捕获发往/来自WLC的所有流量，建议应用ACL，该ACL将SSH流量丢弃至/来自发起SSH会话的主机。以下是可用于构建ACL的命令：

> debug packet logging acl ip 1 deny <WLC-IP> <host-IP> tcp 22 any
> debug packet logging acl ip 2 deny <host-IP> <WLC-IP> tcp any 22
debug packet logging acl ip 3 permit any any

步骤3.配置Wireshark可读的格式。

> debug packet logging format text2pcap

步骤4.启用数据包日志记录功能。

本示例展示如何捕获100个接收/传输的数据包(它支持1 - 65535个数据包):

> debug packet logging enable all 100

步骤5.将输出记录到文本文件。

注意：默认情况下，它仅使用debug packet logging enable命令记录25个收到的数据包。

注意：而不是使用rx 或tx 仅捕获已接收或已传输的流量。

有关配置数据包日志记录功能的更多详细信息，请参阅以下链接：

思科无线控制器配置指南，版本8.3，使用调试工具

验证

使用本部分可确认配置能否正常运行。

使用给定命令检验数据包日志记录的当前配置。

> show debug packet

Status........................................... rx/tx            !!! This means the capture is active
Number of packets to display..................... 100
Bytes/packet to display.......................... 0
Packet display format............................ text2pcap

   Driver ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   Ethernet ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   IP ACL:
      [1]: permit s=172.16.0.34 d=172.16.56.153 any
      [2]: permit s=172.16.56.153 d=172.16.0.34 any
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   EoIP-Ethernet ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   EoIP-IP ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   LWAPP-Dot11 ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled
   LWAPP-IP ACL:
      [1]: disabled
      [2]: disabled
      [3]: disabled
      [4]: disabled
      [5]: disabled
      [6]: disabled

重现生成流量所需的行为。

屏幕上将显示如下输出：

rx len=108, encap=unknown, port=2
0000 E0 89 9D 43 EF 40 C8 5B 76 1D AB 51 81 00 09 61 `..Co@H[v.+Q...a
0010 08 00 45 00 00 5A 69 81 00 00 80 01 78 A7 AC 10 ..E..Zi.....x',.
0020 00 38 AC 10 00 22 03 03 55 B3 00 00 00 00 45 00 .8,.."..U3....E.
0030 00 3E 0B 71 00 00 FE 11 58 C3 AC 10 00 22 AC 10 .>.q..~.XC,..",.
0040 00 38 15 B3 13 88 00 2A 8E DF A8 a1 00 0E 00 0E .8.3...*._(!....
0050 01 00 00 00 00 22 F1 FC 8B E0 18 24 07 00 C4 00 ....."q|.`.$..D.
0060 F4 00 50 1C BF B5 F9 DF EF 59 F7 15 t.P.?5y_oYw.
rx len=58, encap=ip, port=2
0000 E0 89 9D 43 EF 40 C8 5B 76 1D AB 51 81 00 09 61 `..Co@H[v.+Q...a
0010 08 00 45 00 00 28 69 82 40 00 80 06 38 D3 AC 10 ..E..(i.@...8S,.
0020 00 38 AC 10 00 22 F6 3A 00 16 AF 52 FE F5 1F 0C .8,.."v:../R~u..
0030 40 29 50 10 01 01 52 8A 00 00 @)P...R...
rx len=58, encap=ip, port=2
0000 E0 89 9D 43 EF 40 C8 5B 76 1D AB 51 81 00 09 61 `..Co@H[v.+Q...a
0010 08 00 45 00 00 28 69 83 40 00 80 06 38 D2 AC 10 ..E..(i.@...8R,.
0020 00 38 AC 10 00 22 F6 3A 00 16 AF 52 FE F5 1F 0C .8,.."v:../R~u..
0030 41 59 50 10 01 00 51 5B 00 00 AYP...Q[..
rx len=58, encap=ip, port=2
0000 E0 89 9D 43 EF 40 C8 5B 76 1D AB 51 81 00 09 61 `..Co@H[v.+Q...a
0010 08 00 45 00 00 28 69 84 40 00 80 06 38 D1 AC 10 ..E..(i.@...8Q,.
0020 00 38 AC 10 00 22 F6 3A 00 16 AF 52 FE F5 1F 0C .8,.."v:../R~u..
0030 43 19 50 10 01 05 4F 96 00 00 C.P...O...

从数据包日志记录中删除ACL

要禁用ACL应用的过滤器，请使用以下命令：

> debug packet logging acl ip 1 disable
> debug packet logging acl ip 2 disable

禁用数据包日志记录

要在不删除ACL的情况下禁用数据包日志记录，只需使用以下命令：

> debug packet logging disable

将数据包日志记录输出转换为.pcap文件

步骤1.输出完成后，收集并保存到文本文件。

确保收集干净的日志，否则Wireshark可能显示损坏的数据包。

步骤2.打开Wireshark并导航至File > Import from Hex Dump...

步骤3.单击“浏览”。

步骤4.选择保存数据包日志记录输出的文本文件。

步骤5.单击“导入”。

Wireshark将文件显示为.pcap。

注意：请注意，时间戳不准确，帧之间的增量时间也不准确。

故障排除

目前没有针对此配置的故障排除信息。

相关信息

由思科工程师提供

Karla Cisneros Galvan
Cisco TAC Engineer
Alejandro Ramirez Gomez
Cisco TAC Engineer