設定及擷取軟體的內嵌封包
簡介
本文件說明 Cisco IOS® 軟體中的內嵌封包擷取 (EPC) 功能。
必要條件
需求
本文件沒有特定需求。
採用元件
本文中的資訊係根據以下軟體和硬體版本：
- Cisco IOS®版本12.4(20)T或更高版本
- Cisco IOS XE®版本15.2(4)S - 3.7.0或更高版本
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。
背景資訊
啟用時，路由器會捕獲已傳送和已接收的資料包。這些資料包儲存在DRAM中的緩衝區中，不會持續進行重新載入。一旦捕獲了資料，就可以在路由器的摘要或詳細檢視中檢視它。
此外，資料可以匯出為資料包捕獲(PCAP)檔案以供進一步檢查。該工具在exec模式下配置，被視為臨時輔助工具。因此，該工具配置不儲存在路由器配置中，並且在系統重新載入後不會保持不變。
Packet Capture Config Generator and Analyzer工具可供思科客戶用於幫助配置、捕獲和提取資料包捕獲。
Cisco IOS配置示例
基本EPC配置
1.定義捕獲緩衝區，它是儲存捕獲資料包的臨時緩衝區。
2.定義緩衝區時，可以選擇各種選項；例如大小、最大資料包大小和循環/線性：
monitor capture buffer BUF size 2048 max-size 1518 linear
3.過濾器適用於將捕獲限製為所需流量。在設定模式下定義存取控制清單(ACL)，並將過濾器套用到緩衝區：
ip access-list extended BUF-FILTER
permit ip host 192.168.1.1 host 172.16.1.1
permit ip host 172.16.1.1 host 192.168.1.1
monitor capture buffer BUF filter access-list BUF-FILTER
4.定義一個捕獲點，該捕獲點定義捕獲發生的位置。
5.捕獲點還定義捕獲是用於IPv4還是IPv6，以及交換路徑（進程與cef）在哪個：
monitor capture point ip cef POINT fastEthernet 0 both
6.將緩衝區附加到捕獲點：
monitor capture point associate POINT BUF
7.開始捕獲：
monitor capture point start POINT
8.捕獲現在處於活動狀態。允許收集必要資料。
9.停止捕獲：
monitor capture point stop POINT
10.檢查裝置上的緩衝區：
show monitor capture buffer BUF dump
11.從路由器匯出緩衝區以進行進一步分析：
monitor capture buffer BUF export tftp://10.1.1.1/BUF.pcap
12.上述方法並非總是切合實際的，因為它需要通過T/FTP訪問路由器。在這些情況下，製作十六進位制轉儲的副本，並使用任何線上十六進位制轉換器來檢視檔案。
13.收集必要資料後，刪除捕獲點和捕獲緩衝區：
no monitor capture point ip cef POINT fastEthernet 0 both
no monitor capture buffer BUF
其他Cisco IOS配置資訊
- 在低於Cisco IOS®版本15.0(1)M的版本中，緩衝區大小限製為512K。
- 在低於Cisco IOS®版本15.0(1)M的版本中，捕獲的資料包大小限製為1024位元組。
- 封包緩衝區儲存在DRAM中，不會透過重新載入而存留。
- 擷取組態不會儲存在NVRAM中，也不會在重新載入過程中存留。
- 可以定義捕獲點以在cef或進程交換路徑中捕獲。
- 捕獲點可以定義為僅在介面上或全域性進行捕獲。
- 當以PCAP格式匯出捕獲緩衝區時，不會保留第2層資訊（如乙太網封裝）。
- 有關本節中使用的命令的詳細資訊，請參閱搜尋命令的最佳實踐。
基本IP流量匯出配置
IP Traffic Export是一種不同的方法，用於匯出在多個同時的WAN或LAN介面上接收的IP資料包。
1.在配置模式下，定義IP流量匯出配置檔案。
Device(config)# ip traffic-export profile mypcap mode capture
2.在配置檔案中配置雙向流量。
Device(config-rite)# bidirectional
3.退出。
4.為匯出的流量指定介面。
Device(config-if)# interface GigabitEthernet 0/1
5.啟用介面上的IP流量匯出。
Device(config-if)# ip traffic-export apply mypcap size 10000000
6.退出。
7.開始捕獲。捕獲現在處於活動狀態。允許收集必要資料。
Device# traffic-export interface GigabitEthernet 0/1 start
8.停止捕獲。
Device# traffic-export interface GigabitEthernet 0/1 stop
9.將捕獲匯出到外部TFTP伺服器。
Device# traffic-export interface GigabitEthernet 0/1 copy tftp://<TFTP_Address>/mypcap.pcap
10.收集完必要的資料後，刪除配置檔案。
Device(config)# no ip traffic-export profile mypcap
IP流量匯出缺點
與EPC方法相比，IP流量匯出具有以下缺點：
- 匯出捕獲流量的介面必須是乙太網介面。
- 不支援IPv6。
- 沒有第2層資訊，只有第3層及更高層。
Cisco IOS XE配置示例
嵌入式封包擷取功能是在Cisco IOS XE® 3.7 - 15.2(4)S版中匯入。擷取組態與Cisco IOS®不同，因為它新增了其他功能。
基本EPC配置
1.定義發生捕獲的位置：
monitor capture CAP interface GigabitEthernet0/0/1 both
2.關聯篩選器。過濾器是指定的內聯，可以引用ACL或類對映：
monitor capture CAP match ipv4 protocol tcp any any limit pps 1000000
3.開始捕獲：
monitor capture CAP start
4.捕獲現在處於活動狀態。允許它收集必要資料。
5.停止捕獲：
monitor capture CAP stop
6.在摘要檢視中檢查捕獲：
show monitor capture CAP buffer brief
7.在詳細檢視中檢查捕獲：
show monitor capture CAP buffer detailed
8.此外，以PCAP格式匯出捕獲以供進一步分析：
monitor capture CAP export tftp://10.0.0.1/CAP.pcap
9.收集完必要的資料後，刪除捕獲：
no monitor capture CAP
其他資訊
- 捕獲在物理介面、子介面和隧道介面上執行。
- 當前不支援基於網路的應用識別(NBAR)的過濾器(在類對映下運行match protocol命令)。
- 有關本節中使用的命令的詳細資訊，請參閱搜尋命令的最佳實踐。
驗證
目前沒有適用於此組態的驗證程式。
疑難排解
對於在Cisco IOS XE®上運行的EPC，此debug命令用於確保EPC設定正確：
debug epc provision
debug epc capture-point
相關資訊
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
5.0 |
15-Oct-2026
|
更新拼寫、語法、間距和插入的水平線以分隔各個部分的可讀性。 |
4.0 |
02-Oct-2024
|
已更新品牌要求、拼寫和格式。 |
3.0 |
12-Sep-2023
|
重新認證 |
1.0 |
17-Mar-2013
|
初始版本 |
意見