Wireshark使用指南(Ed40).doc

Wireshark使用指南 (Ed4.0) 编制Prepare: 审核 Review: 批准 Approve:   更改历史 Revision History 版本Ed 日期Date 更改次第Change Times 更改条号Change Item 编制Prepare 审核Review 批准Approve 1.0 2006/12/12 朱悫 1.1 2006/03/12 修改抓包文件大小。 朱悫 2.0 2007/03/20 罗毅 2.1 2007/08/01 增加附录。 罗毅 3.0 2008/09/14 用Wireshark替换Ethereal，增补常用操作步骤。 朱悫 3.1 2009/01/21 增加RFC2198包的查看方式。 朱悫 4.0 2010/01/25 增加常用抓包过滤命令。 朱悫  目录Contents 1. 目的 4 2. 范围 4 3. Wireshark安装 4 4. Wireshark使用 4 4.1 抓包 4 4.1.1 常用抓包过滤命令 5 4.2 分析 6 4.2.1 ADSL 6 4.2.2 AG 6 4.3 保存 11 附录 13  1. 目的 在ADSL、AG及其他产品的日常排障过程中经常需要现场进行抓包配合，本文档提供了Wireshark的常用操作指南。 2. 范围 AG、ADSL现场工程师。 3. Wireshark安装 作为Ethereal的替代产品，Wireshark（）是一款优秀且免费的抓包分析软件，可到Internet自行下载安装。 Wireshark的安装软件包由Wireshark-setup和WinPcap等2个安装文件组成。 4. Wireshark使用 4.1 抓包 点击菜单Capture - Options…，打开Capture Options窗口。 在nterface中选择网络接口在Capture Filter中输入需要过滤的协议megaco协议，输入udp port 2944）；在Capture File(s)的File中包如要将抓包分文件保存，在Use multiple files中选择保存文件的分割机制每5M就保存一个文件；实时显示抓包结果抓包结果自动滚屏，Display Options中选中Update list of packets in real time和Automatic scrolling in live capture。 点击Start启动抓包。 如果开启了自动保存文件机制，请确认自动存盘的前3个文件，确保机制生效。并定期检查磁盘空间，以防磁盘空间溢出。如果用Dell笔记本抓包时发现无法抓到带VLAN Tag的包，请修改注册表，修改方法参见附录。.1.1 常用抓包过滤命令 为防止抓包文件过大而影响分析效果，可在抓包阶段就设置抓包过滤（在Capture Filter中输入需要过滤的协议 MAC地址为00:18:8b:ba:86:d6的报文 ether host 00:18:8b:ba:86:d6 IP地址为0host 0 VLAN id为100的报文 vlan 100 ARP报文 arp PPPoE报文 pppoed DHCP报文 udp port 67 or udp port 68 IGMP报文 ip multicast and not udp megaco信令报文（通常端口为2944） udp port 2944 sip信令报文（通常端口为5060） udp port 5060 SCTP报文（通常端口为9900） udp port 9900 4.2 分析 为便于分析，可在查看抓包文件时设置过滤。 4.2.1 ADSL 如检查PC（MAC地址为00:06:5b:e1:96:e9）的PPPoE拨号过程，可在Filter中输入eth.addr == 00:06:5b:e1:96:e9 and (pppoed or ppp) 4.2.2 AG 如检查AG中2个端口（如tdm/1与tdm/2）之间的通话，可在Filter输入megaco进行H.248信令过滤查看AG对软交换choose one add消息的reply，以明确AG分配的context和local rtp端口图，tdm/1的context号为310，local rtp端口号为40034；tdm/2的context号为275，local rtp端口号为40036。 如需过滤这两个端口的H.248信令，则在Filter中输入megaco.termid == tdm/1 or megaco.termid == tdm/2 or megaco.con