wireshark使用方法

Wireshark使用指南

(Ed4.0)

编制Prepare: 朱悫

审核 Review:

批准 Approve:

目录Contents

1. 目的 (4)

2. 范围 (4)

3. Wireshark安装 (4)

4. Wireshark使用 (4)

4.1 抓包 (4)

4.1.1 常用抓包过滤命令 (5)

4.2 分析 (6)

4.2.1 ADSL (6)

4.2.2 AG (7)

4.3 保存 (19)

附录 (21)

1. 目的

在ADSL、AG及其他产品的日常排障过程中经常需要现场进行抓包配合，本文档提供了Wireshark的常用操作指南。

2. 范围

AG、ADSL现场工程师。

3. Wireshark安装

作为Ethereal的替代产品，Wireshark（https://www.360docs.net/doc/3016744600.html,）是一款优秀且免费的抓包分析软件，可到Internet自行下载安装。

Wireshark的安装软件包由Wireshark-setup和WinPcap等2个安装文件组成。

4. Wireshark使用

4.1 抓包

点击菜单Capture -> Option s…，打开Capture Options窗口。

在Interface中选择网络接口；在Capture Filter中输入需要过滤的协议（如过滤megaco 协议，输入udp port 2944）；在Capture File(s)的File中输入要保存的抓包文件名，如要将抓包分文件保存，则在Use multiple files中选择保存文件的分割机制，如下图每5M就保存一个文件；如需要实时显示抓包结果并让抓包结果自动滚屏，则在Display Options中选中Update list of packets in real time和Automatic scrolling in live capture。

Interface：这项用于指定截包的网卡。

Link-layer header type：指定链路层包的类型，一般使用默认值。

Buffer size（n megabyte（s））：用于定义Ethereal用于截包的缓冲，当缓冲写满后，就将截的数据写道磁盘上。如果遇到ethereal丢包现象，将该缓冲尽量增大。

Capture packets in promiscuous mode：截包时，Ethereal将网口置于混杂模式。如果没有配置这项，Ethereal只能截取该PC发送和接收的包（而不是同一LAN上的所有包）。

Limit each packet to n bytes：定义Ethereal截取包的最大数据数，大于这个值的数据包将被丢掉。默认为65535。

点击Start启动抓包。

如果开启了自动保存文件机制，请确认自动存盘的前3个文件，确保机制生效。并定期检查磁盘空间，以防磁盘空间溢出。如果用Dell笔记本抓包时发现无法抓到带VLAN Tag的包，请修改注册表，修改方法参见附录。

4.1.1 常用抓包过滤命令

为防止抓包文件过大而影响分析效果，可在抓包阶段就设置抓包过滤（在Capture Filter 中输入需要过滤的协议或命令）。现将常用抓包过滤命令总结如下：

Ethereal 截包过滤条件，通过and 和or，将一系列的primitive 表达式连接在一起，有时可在primitive 表达式前用not。

[not ]primitive [and|or [not] primitive…]

例一：tcp port 23 and host 10.0.0.5。

这个例子表示只截取发给主机10.0.0.5的telnet数据包或主机10.0.0.5发出的telnet数据包。

例二：tcp port 23 and not host 10.0.0.5。

这个例子表示截取所有的telnet数据包，除了主机10.0.0.5收发的telnet数据包。

Primitive表达式如下：

●[src|dst] host 通过主机IP地址/名称过滤截取的数据包。也可以在前面加关键字[src|dst]来限制

是目的或源地址。

●ether [src|dst] host 同上，只是通过MAC地址来过滤。

●gateway host 截取将该主机作为网关的包，即MAC地址是主机的地址，而包的源和目的IP

都不是该主机的IP

●[src|dst] net [{mask}|{len}]

●[tcp|udp] [src|dst] port 通过TCP/UDP的端口过滤

●less|greater 截取数据保小于、等于指定的大小；或大于、等于指定的大小。

●ip|ether proto IP/Ethernet层的指定协议。

●ether|ip broadcast|multicast 截取ether/ip的广播包。

● relop 允许建立一个更复杂的表达式，可以通过它来选取数据包的字节或字节范围来

过滤。

4.2 分析

为便于分析，可在查看抓包文件时设置过滤。

4.2.1 ADSL

如检查PC（MAC地址为00:06:5b:e1:96:e9）的PPPoE拨号过程，可在Filter中输入

eth.addr == 00:06:5b:e1:96:e9 and (pppoed or ppp)。

一旦截取数据包后，或打开以前截取的数据包文件，显示如错误！未找到引用源。。显示有三个视图分区：“Packet List”、“Packet Details”、“Packet bytes”。

“Packet List”用于显示所数据包，如果这是有显示过滤条件，显示的是满足该条件的所有包。

“Packet Details”用于显示在“Packet List”视图中选定的数据包的详细信息。

“Packet Bytes”以十六进制方式显示“Packet List”视图中选定的数据包的信息。

4.2.2 AG

如检查AG中2个端口（如tdm/1与tdm/2）之间的通话消息，则可在Filter输入megaco先进行H.248信令过滤。重点查看AG对软交换choose one add消息的reply，以明确AG为这2个端口分配的context号和local rtp端口号。

如上图，tdm/1的context号为310，local rtp端口号为40034；tdm/2的context号为275，local rtp端口号为40036。

如需过滤这两个端口的H.248信令，则在Filter中输入megaco.termid == "tdm/1" or megaco.termid == "tdm/2" or megaco.context == 310 or megaco.context == 275。

除了过滤这2个端口的H.248信令，如还需要过滤RTP，则在Filter中输入megaco.termid == "tdm/1" or megaco.termid == "tdm/2" or megaco.context == 310 or megaco.context == 275 or udp.port == 40034 or udp.port == 40036。

点击菜单Statistics -> RTP -> Show all streams，打开RTP Streams窗口。其中列出抓包文件中所有的RTP Stream。选中要查看的stream，再点击Analyze，打开RTP Stream Analysis窗口，进一步检查该stream的丢包率，jitter等。点击Save payload…则可将该RTP Stream保存为声音文件。（Wireshark Version 1.0.3版本将RTP包导成声音文件时有bug，建议尝试用Ethereal完成此操作。）

显示过滤表达式

Ethereal提供了简单但是很强大的过滤语言，通过它我们可以建立复杂的显示过滤表达式。我们可以比较数

据包的数据值，也可以将多个表达式合成一个更复杂的表达式。接下来将详细介绍。

显示过滤域（Display filter fields）

在“Packet details”视图中的每一个域能够用作一个过滤字符串（filter string），这样，就只显示存在该域的数据包。例如：过滤字符串：tcp，这就只显示所有tcp协议的包。

比较表达式

我们理所当然的认为ip.addr!=1.2.3.4的过滤条件将不会显示ip地址为1.2.3.4的所有包。其实不然。它说表达的意思为：“数据包有一个ip.addr的域值不等于1.2.3.4”（the packet contains a field named ip.addr with a value different from 1.2.3.4)

如果我们想过滤所有包含ip地址为1.2.3.4的数据包，我们必须将表达式写为：!(ip.addr==1.2.3.4)。

组合表达式

“Filter Expression”对话框

当我们很熟练的使用ethereal的过滤系统，很容易就写出一个过滤表达式。但如果是一ethereal初学者或者对协议不是很熟悉，这就比较困难。我们这时可以通过“Filter Expression”对话框来写过滤条件。如错误！未找到引用源。

“Filter Expression”对话框：树形域名（Field name）列表（协议排序）；关系运算符（relation）选择列表。

●Filed Name：从协议域名树中选择一个协议域名。每一个协议位于最上部，并带有可设为过滤条件的

域。通过点击协议名称后的“+”，我们可以看到一系列的可设为过滤条件的域。

●Relation：选择一个关系运算符。“is present”是一元（unary）关系运算符。如果被选的域名存在数

据包中，就是true；其它的关系运算符是二元的（binary），还需要一个数据来结束这个表达式（如，需要一个值（Value）来配合）。

●Value：我们可以在“Value”文本框中输入合适的值。注意数据类型应该与域名（field name）匹配。

●Range：相当于SubString运算符[ ]。

时间显示格式

当我们截包时，ethereal给每一个数据包一个时间戳（timestamped）。当我们显示数据包时，我们可以设定时间戳的显示形式。如错误！未找到引用源。。

●Time of Day

●Date and Time of Day

●Seconds Since Beginning of Capture

●Seconds Since Previous Packet

过滤成248协议保存文件

如果只需要抓取H248信令，点击Capture选择Option出现如下示图：

点击Capture Filter出现下面示图：

图 0-1

Captur

e

Option

选择“New ” 在下面Filter

name 里输入megaco ，在Filter string 里输入：udp port 2944 and （megaco 的过滤条件）

port

2944

点击OK 就创建好了过滤megaco 的规则，这样直接就可以抓包，只会抓到H248的信

令消息。

信令过滤与保存

由于同一MG 下仍然可能有多个用户在同时使用，为了显示我们关注的用户，可以在察看时进行条件过

滤，例如:

由于在抓包软件中察看信令不大方便，还可以把信令导出为文本格式，如下图；

需要注意的是，抓包软件不可能完全智能，过滤时有可能滤掉一些东西，例如某些报错的响应之类，所以应针对具体故障现象结合原始报文来看。

丢包与网络抖动

利用抓包软件的分析功能，可以比较容易的看出媒体流是否有丢包，如下图，在RTP菜单中，点击“Show All Streams”即可看到丢包。对于较小的丢包，可以在两端配置冗余来规避。但根本上应排查网络问题。

图 0-4 查看丢包

类似的，RTP菜单 “Stream Analysis”即可看到网络时延是否稳定；

图 0-5 查看网络时延

这里所说的网络抖动在WireShark中可以通过Delta的值来衡量，Delta是相邻两个媒体包之间的间隔值。因为网关发送媒体包时的打包间隔是固定的，在没有网络抖动的情况下，接收侧网关收到的媒体流的Delta也应该是一个定值。当有网络抖动时，Delta的值会随着网络抖动而变化。

媒体流还原

对捕获的报文除了分析协议运作外，还可以还原成音频流进行问题判断。如果打开报文看到的媒体流类型是UDP，可以右击任意UDP报文，选“Decode As”—端口选“Both”，类型选RTP，即可解码为RTP流。

然后在RTP菜单(Statistics或Telephony菜单下)中，选择”show All Streams”，在弹出的窗口中选中其中某次媒体流交互（根据交互的IP地址来选），点”Analyze”分析，对分析的结果可以”Save Payload”保存为.au等音频格式进行播放。也可以保存为raw(.pcm)格式用Adobe Audition软件进行dtmf/传真/modem信号分析。

图 0-6 媒体流还原

对于T.38传真，点击菜单Statistics -> VoIP Calls检查T.38的消息流程。

对于2833，点击菜单Edit -> Preferences…，根据AG中2833配置的payload type修改Wireshark中的RTP Event设置，然后再检查抓包中对应的2833包。

对于RFC2198 RTP冗余，点击菜单Edit -> Preferences…，根据AG中RTP冗余配置的payload type修改Wireshark中的RTP设置，然后再检查抓包中对应的RTP包。（Ethereal不支持该Feature。）

4.3 保存

点击菜单File -> Save as…，保存抓包文件。可点击Displayed对只在Wireshark窗口中被过滤显示的包进行保存。