Установка фильтров на захват пакетов (Capturefilter)
При решении конкретных задач анализа сетевого трафика обычно бывает необходимо захватывать не все пакеты, передаваемые по сети (их количество может быть очень большим!), а только определенные, то есть пакеты, удовлетворяющее определенным условиям. Для этого устанавливаются фильтры захвата (Capturefilter– не путать с фильтрами просмотра –Displayfilter!). Для того чтобы просмотреть или изменить фильтр захвата нужно выбрать менюCapture\Filter. Появится окно отображающее текущий фильтр:
Фильтрация захватываемых пакетов возможна на основе следующих критериев:
Тип протокола. Для определения этого критерия необходимо дважды кликнуть на строкеSAP/ETYPE= … Появится диалоговое окно, которое позволяет разрешить или запретить захват пакетов определенного протокола. По умолчанию все протоколы разрешены для захвата (Enabledprotocols):
Адрес компьютера. Для определения этого критерия необходимо дважды кликнуть на строкеAddressPairs. Появится диалоговое окно, которое позволяет определить пары адресов, при передаче между которыми пакеты будут захватываться. Кроме того, можно определить направление передачи захватываемых пакетов (Direction) – двустороннее или только в направлении от одного адреса другому. Имя *ANYсоответствует любому адресу любого типа. По умолчанию этот критерий настроен на захват всех пакетов во всех направлениях (ANY<->ANY).
Соответствие поля пакета шаблону (Pattern matches).Позволяет захватывать пакеты, содержимое которых соответствует шаблону. Шаблон представляет собой двоичные данные (Hex) или строку символов (ASCII) и смещение в байтах относительно начала пакета (Fromstartofframe). Пакет будет захвачен, если его содержимое по указанному смещению соответствует указанной последовательности двоичных или символьных данных. По умолчанию шаблон не задан, то есть все пакеты соответствуют шаблону.
Все три вышеописанных критерия объединены по логической схеме «И» (AND). Это означает, что пакет будет захвачен в том случае, если соответствует всем трем критериям. Для критерияPatternmatchesмогут быть заданы несколько условий, комбинированных в логическое выражение. Например, следующий фильтр предназначен для захвата пакетов, содержащих указанные данные по смещению 0x30 либо указанные данные по смещению 0x50 и не содержащих указанных данных по смещению0x4.
Порядок выполнения работы
В командной строке выполнить команду ipconfig/all. Просмотреть и записать имя, MAC-адрес (физический адрес) и IP- адрес вашего компьютера.
Выбрать в меню Capture/Networks интерфейс для захвата пакетов.
Создать фильтр, предназначенный для захвата пакетов, передаваемых между вашим компьютером и всеми остальными компьютерами сети в обоих направлениях. При выборе адреса вашего компьютера их таблицы адресов необходимо указать имя LOCAL соответствующее физическому адресу вашего компьютера. Сохранить фильтр в файле, имя которого совпадает с вашим именем пользователя с индексом 1 (например 281san1.cf).
Используя созданный фильтр, захватить небольшое количество пакетов (100-200). При этом после запуска захвата пакетов необходимо инициировать сетевую активность своего компьютера – например, запустить Интернет-браузер, браузер для просмотра сетевого окружения, обратиться к сетевому диску.
Перейти в режим просмотра захваченных пакетов.
Из общего количества пакетов (за исключением первого и последнего пакета) выбрать несколько пакетов, имеющих различную структуру (не менее 3-х). В среднем окне просмотра открыть секции FrameиEthernet, просмотреть содержимое полей.
Выписать и оформить в виде таблицы следующую информацию о пакетах:
MAC-адрес источника (Source address)
MAC-адрес назначения (Destination address)
Тип протокола верхнего уровня (EthernetType)
Общий размер пакета (Total Frame Lengths)
Размер поля данных Ethernet-пакета (Number of data bytes remaining)
Порядок вложенности протоколов. Например, для рассматриваемого выше пакета Ethernet,IP,TCP,NBT
Сохранить захваченные пакеты в файле, имя которого совпадает с вашим именем пользователя с индексом 1 например 281san1.cap
Создать фильтр для захвата пакетов, не содержащих IP-пакеты. Для этого в окнеCapturefilterвыбрать строкуSAP/ETYPEи нажать кнопкуEdit.
Запретить захват IP-пакетов и нажать ОК.
Произвести захват пакетов (захватить не менее 3-х пакетов), повторить п.7.
Сохранить захваченные пакеты в файле, имя которого совпадает с вашим именем пользователя с индексом 2, например 281san2.cap