wireshark使用方法...doc

Wireshark使用指南 (Ed4.0) 编制Prepare: 审核 Review: 批准 Approve:  更改历史 Revision History 版本Ed 日期Date 更改次第Change Times 更改条号Change Item 编制Prepare 审核Review 批准Approve1.0 2006/12/12 朱悫 1.1 2006/03/12 修改抓包文件大小。 朱悫 2.0 2007/03/20 罗毅 2.1 2007/08/01 增加附录。 罗毅 3.0 2008/09/14 用Wireshark替换Ethereal，增补常用操作步骤。 朱悫 3.1 2009/01/21 增加RFC2198包的查看方式。 朱悫 4.0 2010/01/25 增加常用抓包过滤命令。 朱悫  目录Contents 1. 4 2. 范围 4 3. Wireshark安装 4 4. Wireshark使用 4 4.1 抓包 4 4.1.1 常用抓包过滤命令 5 4.2 分析 6 4.2.1 ADSL 6 4.2.2 AG 6 4.3 保存 11 附录 13  1. 目的 在ADSL、AG及其他产品的日常排障过程中经常需要现场进行抓包配合，本文档提供了Wireshark的常用操作指南。 2. 范围 AG、ADSL现场工程师。 3. Wireshark安装 作为Ethereal的替代产品，Wireshark（）是一款优秀且免费的抓包分析软件可到Internet自行下载 Wireshark的安装软件包由ireshark-setup和WinPcap等2个安装文件组成。 4. Wireshark使用 4.1 抓包 点击菜单Capture - Options…，打开Capture Options窗口。 在nterface中选择网络接口在Capture Filter中输入需要过滤的协议megaco协议，输入udp port 2944）；在Capture File(s)的File中包如要将抓包分文件保存，在Use multiple files中选择保存文件的分割机制每5M就保存一个文件；实时显示抓包结果抓包结果自动滚屏，Display Options中选中Update list of packets in real time和Automatic scrolling in live capture。 Interface：这项用于指定截包的网卡。 Link-layer header type：指定链路层包的类型，一般使用默认值。 Buffer size（n megabyte（s））：用于定义Ethereal用于截包的缓冲，当缓冲写满后，就将截的数据写道磁盘上。如果遇到ethereal丢包现象，将该缓冲尽量增大。 Capture packets in promiscuous mode：截包时，Ethereal将网口置于混杂模式。如果没有配置这项，Ethereal只能截取该PC发送和接收的包（而不是同一LAN上的所有包）。 Limit each packet to n bytes：定义Ethereal截取包的最大数据数，大于这个值的数据包将被丢掉。默认为65535。 点击Start启动抓包。 如果开启了自动保存文件机制，请确认自动存盘的前3个文件，确保机制生效。并定期检查磁盘空间，以防磁盘空间溢出。如果用Dell笔记本抓包时发现无法抓到带VLAN Tag的包，请修改注册表，修改方法参见附录。.1.1 常用抓包过滤命令 为防止抓包文件过大而影响分析效果，可在抓包阶段就设置抓包过滤（在Capture Filter中输入需要过滤的协议MAC地址为00:18:8b:ba:86:d6的报文 ether host 00:18:8b:ba:86:d6 IP地址为0的报文 host 0 VLAN id为100的报文 vlan 100 ARP报文 arp PPPoE报文 pppoed DHCP报文 udp port 67 or udp port 68 IGMP报文 ip multicast and not udp megaco信令报文（通常端口为2944） udp port 2944 sip信令报文（通常端口为5060） udp port 5060 SCTP报文（通常端口为9900） udp port 9900 Ethereal 截包过滤条件，通过and 和or，将一系列的primitive 表达式连接在一起，有时可在primitive表达式前用