Restringere il campo dei di pacchetti monitorati utilizzando l'utilità pktcap-uw per applicare le opzioni di filtro per l'indirizzo di origine e di destinazione, la VLAN, la VXLAN e il protocollo di livello successivo che consuma il payload del pacchetto.

Opzioni filtro

Le opzioni di filtro per pktcap-uw sono valide durante la cattura e il tracciamento dei pacchetti. Per informazioni sulla sintassi del comando dell'utility pktcap-uw, vedere Sintassi del comando pktcap-uw per l'acquisizione di pacchetti e Sintassi del comando pktcap-uw per il tracciamento dei pacchetti.

Tabella 1. Opzioni di filtro dell'utility pktcap-uw
Opzione Descrizione
--srcmac mac_address Acquisire o tracciare i pacchetti che hanno un indirizzo MAC di origine specifico. Utilizzare i due punti per separare gli ottetti all'interno.
--dstmac mac_address Acquisire o tracciare i pacchetti che hanno un indirizzo MAC di destinazione specifico. Utilizzare i due punti per separare gli ottetti all'interno.
--mac mac_address Acquisire o tracciare i pacchetti che hanno un indirizzo MAC di origine o di destinazione specifico. Utilizzare i due punti per separare gli ottetti all'interno.
--ethtype 0xEthertype

Acquisire o tracciare i pacchetti al livello 2 in base al protocollo di livello successivo che consuma il payload del pacchetto.

EtherType corrisponde al campo EtherType nei frame Ethernet. Rappresenta il tipo di protocollo di livello successivo che consuma il payload del frame.

Ad esempio, per monitorare il traffico per il protocollo LLDP (Link Layer Discovery Protocol), digitare --ethtype 0x88CC.

--vlan ID_VLAN Acquisire o tracciare i pacchetti che appartengono a una VLAN.
--srcip indirizzo_IP|indirizzo_IP/intervallo_subnet Acquisire o tracciare i pacchetti che hanno una subnet o un indirizzo IPv4 di origine specifico.
--dstip indirizzo_IP|indirizzo_IP/intervallo_subnet Acquisire o tracciare i pacchetti che hanno una subnet o un indirizzo IPv4 di destinazione specifico.
--ip indirizzo_IP Acquisire o tracciare i pacchetti che hanno un indirizzo IPv4 di origine o di destinazione specifico.
--proto 0xnumero_protocollo_IP

Acquisire o tracciare i pacchetti al livello 3 in base al protocollo di livello successivo che utilizza il payload.

Ad esempio, per monitorare il traffico per il protocollo UDP, digitare --proto 0x11.

--srcport porta_origine Acquisire o tracciare i pacchetti in base alla porta TCP di origine.
--dstport porta_destinazione Acquisire o tracciare i pacchetti in base alla porta TCP di destinazione.
--tcpport porta_TCP Acquisire o tracciare i pacchetti in base alla porta TCP di origine o di destinazione.
--vxlan ID_VXLAN Acquisire o tracciare i pacchetti che appartengono a una VXLAN.
--rcf espressione_filtro_pcap

Acquisire o tracciare i pacchetti utilizzando l'espressione rich common filter.

Ad esempio, per acquisire tutti i pacchetti in entrata e in uscita in cui lunghezza del contenuto IP è superiore a 1000 byte, utilizzare l'espressione di filtro --rcf "ip[2:2]>1000".

Per selezionare un indirizzo host di origine e un numero di porta specifici, utilizzare l'espressione di filtro --rcf "src host 12.0.0.1 and port 5000". In questo esempio viene filtrato il traffico per l'indirizzo host 12.0.0.1 che utilizza la porta 5000.

Per ulteriori informazioni sul filtraggio del traffico di rete con l'opzione --rcf, fare riferimento alla documentazione per le espressioni di filtro pcap utilizzando gli analizzatori di pacchetti a riga di comando come tcpdump. Vedere filtro pcap - sintassi del filtro pacchetti.

Nota: Quando si utilizza l'opzione --rcf, rispettare le seguenti limitazioni.
  • Non filtrare i pacchetti VLAN utilizzando l'opzione --rcf. Per tracciare la VLAN o la VXLAN, utilizzare le opzioni pktcap-uw, --vlan o --vxlan.
  • Non filtrare un indirizzo di broadcast IP.
  • Non utilizzare --rcf sulle porte ENS.
--rcf-tcp-data filtro_dati_pacchetto_tcp

Acquisire o tracciare i pacchetti di dati TCP utilizzando l'espressione rich common filter.

Ad esempio, per acquisire tutti i pacchetti di risposta HTTP/1.0 con 200 OK, utilizzare l'espressione di filtro --rcf-tcp-data "HTTP/1.0 200 OK".

Per filtrare le richieste HTTP GET che restituiscono un file index.html, utilizzare l'espressione di filtro --rcf-tcp-data "GET /index.html".

Le barre verticali | rappresentano valori alternativi.