实验一 Ethereal协议分析软件的使用
实验_网络协议分析Ethereal
实验_网络协议分析Ethereal实验_网络协议分析Ethereal协议编号：XXXX甲方（委托方）：名称：XXX公司地址：XXX省XXX市XXX区XXX街道XXX号联系方式：XXX-XXXXXXXX法定代表人：XXX乙方（被委托方）：名称：XXX律所地址：XXX省XXX市XXX区XXX街道XXX号联系方式：XXX-XXXXXXXX法定代表人：XXX针对甲方委托乙方对实验_网络协议分析Ethereal进行法律服务，双方在平等自愿、遵守法律的基础上，达成以下协议：第一条索引与解释本协议的索引为“实验_网络协议分析Ethereal委托协议”，根据以下约定解释：1.1“甲方”：指根据本协议，向乙方提出网络协议分析Ethereal委托的一方。
1.2“乙方”：指根据本协议，作为网络协议分析Ethereal委托的承接方。
1.3“双方”：指本协议中的甲方和乙方。
第二条委托内容2.1甲方委托乙方对实验_网络协议分析Ethereal进行法律服务，具体包括但不限于分析网络协议相关资料、查阅法律法规、提供法律意见等。
2.2乙方在接到委托后，应当认真履行职责，对网络协议进行全面分析，包括但不限于协议条款解释、履行方式、期限等内容，并对分析结果提供专业、准确、及时的法律意见。
2.3甲方应协助乙方开展工作，如提供必要的相关资料、信息等。
第三条知情权和保密3.1本协议中涉及到的所有信息、资料等，均为双方之间的商业秘密，双方均应予以保密。
3.2双方在履行本协议过程中取得的用户信息和数据，均应本着合法、公正、公开的原则进行管理和使用，并严格保护用户信息和数据的隐私。
第四条权利及义务4.1甲方的权利：4.1.1拥有委托乙方对实验_网络协议分析Ethereal进行法律服务的权利，并要求乙方给予专业、及时、准确的法律意见。
4.2乙方的权利：4.2.1拥有对实验_网络协议分析Ethereal进行法律分析并提供专业、及时、准确的法律意见的权利。
Ethereal协议分析实验指导
Ethereal协议分析实验指导Ethereal是一个开放源码的网络分析系统，也是目前最好的开放源码的网络协议分析器，支持Linux和windows平台。
Ethereal 基本类似于tcpdump，但 Ethereal 还具有设计完美的 GUI 和众多分类信息及过滤选项。
用户通过 Ethereal，同时将网卡插入混杂模式，可以查看到网络中发送的所有通信流量。
Ethereal网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络安全的教学实验，网络的日常安全监测。
使用Ethereal能够非常有效地帮助学生来理解网络原理和协议、帮助学生理解实验现象和诊断实验故障。
一、Ethereal 协议分析软件下载及安装1.下载Ethereal 开源软件Ethereal是免费的，可以从官方网站下载最新版本。
以windows xp操作系统为例，如图2-1所示。
目前可下载最新版本为：Ethereal 0.99.0图2-1 下载Ethereal协议分析软件的界面2.安装Ethereal软件图2-2 Ethereal 安装界面双击Ethereal-setup-0.99.0.exe软件图标，开始安装。
图2-2为Ethereal安装界面。
选择欲安装的选件，一般选择默认即可，如图2-3图2-3选择欲安装的选件选择欲安装的目录，确定软件安装位置。
Ethereal软件的运行需要软件WinPcap的支持，WinPcap是libpcap library的Windows版本，Ethereal可通过WinPcap来劫取网络上的数据包。
在安装Ethereal时可以的过程中也会一并安装WinPcap，不需要再另外安装。
如图2-4所示图2-4选择安装WinPcap如果在安装Ethereal之前未安装Winpcap，可以勾选Install Winpcap 3.1 beta 4。
开始解压缩文件，接着开始安装，接着按Next就可以看到Ethereal的启动画面了。
实验1网络协议分析Ethereal
实验1 网络协议分析Ethereal1．实验目的(1)学会正确安装和配置网络协议分析软件Ethereal；(2)掌握使用Ethereal分析各种网络协议的技能，加深对协议格式、协议层次和协议交互过程的理解。
2．实验环境(1)运行Windows 2000／2003 Server／XP操作系统的PC一台；(2)每台PC具有一块以太网卡，通过双绞线与局域网相连；(3)Ethereal程序(可以从网上下载)。
3．实验步骤(1)安装网络协议分析仪1)安装winPcap。
注意，网络协议分析软件Ethereal的运行需要软件winPcap(wpcap.dll)的支持，应当在执行Ethereal前先霉装WinPcaP。
如果没有安装winPcap，则在执行“Ethereal／Capture ／Star时会出现错误。
2)安装Ethereal。
(2)使用Ethereal分析协议1)启动系统。
点击“Ethereal”程序组中的“Ethereal"图标，将会出现如图1-1所示的系统操作界面。
图1-1 Ethereal 系统主界面2)分组俘获。
点击“Capture／Start’’菜单，出现图1-2所示的界面。
在“Interface”(接口)框的下拉列表中选择一个适当的接口项，其余项可暂时保持默认配置。
然后，点击“OK”按钮，系统开始俘获网络分组。
当按“stop”(停止)按钮时，系统停止俘获分组并将已经俘获明分组信息装载在分析系统中。
图1-2 俘获分组配置界面3)协议分析。
如图1-3所示，在上部的窗口中，有帧编号(No.)、时间(Time)、源地址(Source)、目的地址(Destination)、协议(Protocol)和信息(Info)等列，各列下方依次排列着俘获的分组。
中部的窗口给出选中的某帧的详细内容。
下部窗口中是与中部窗口对应的该协议帧某字段的十六进制数值内容。
图1-3 协议分析界面可以将俘获的帧与网络教材中的ARP、UDP、ICMP、SNMP等协议帧格式进行对照，并分析其中的信息。
网络协议分析工具Ethereal的使用
⽹络协议分析⼯具Ethereal的使⽤⼤学时计算机⽹络课的实验报告，当时提不起兴趣，今天看来还挺有⽤的。
可以学习下怎样抓数据包，然后分析程序的通信协议。
⼀：学习使⽤⽹络协议分析⼯具Ethereal的⽅法，并⽤它来分析⼀些协议。
实验步骤：1．⽤“ipconfig”命令获得本机的MAC地址和缺省路由器的IP地址；（注：缺省路由器即 ”Default Gateway”）命令⾏：Start->Run->CMD->ipconfig /all >C:\Mac.txt(在命令⾏中把ipconfig命令保存在⽂本⽂档⾥⾯备⽤)结果：本机Mac地址：00.09.73.4B.8A.D7 缺省路由器IP：192.168.8.254步骤截图：图1（本机⽹络信息：Mac.txt）2．⽤“arp”命令清空本机的缓存：命令⾏：Start->Run->CMD->arp –d图2（arp命令 –d参数的帮助说明）3．运⾏Ethereal，开始捕获所有属于ARP协议或ICMP协议的，并且源或⽬的MAC地址是本机的包：图3（Capture->Options中关于⽹卡设置和Capture Filter）图4（抓包截图）4．执⾏命令：“ping” 缺省路由器的IP地址：图5（捕获包）图6（ping 过程）⼆：⽤Ethereal观察tracert命令的⼯作过程：1．⽤Ethereal语法内容及参数说明：命令⾏操作步骤：Start->Run->CMD->tracert图1（Tracert命令全部参数的帮助说明）2．运⾏Ethereal, 设定源和⽬的MAC地址是本机的包，捕获tracert命令中⽤到的消息：Tracert使⽤ICMP，相应过滤规则为：ether host 00:09:73:4B:8A:D7 and icmp图3（Capture->Options中关于⽹卡设置和Capture Filter）3.执⾏“tracert -d ” ，捕获包：执⾏命令：tracert -d ：图3 （执⾏命令 tracert –d ）图4（抓包截图）图5（捕获包）4．Tracert⼯作原理：Tracert使⽤ICMP消息，具体地讲，tracert发出的是Echo Request消息，触发返回的是Time Exceeded消息和Echo Reply消息。
Ethereal使用手册
1、Ethereal(Vinancy)协议分析器Ethereal是目前最好的、开放源码的、获得广泛应用的网络协议分析器，支持Linux 和windows 平台，支持五百多种协议解析，是一款基于数据底层的简单实用的网络侦听和报文分析工具。
首先了解 Ethereal主菜单功能1．F文件菜单 :打开、合并抓包文件，存储、打印、输出，退出Ethereal。
2．E 编辑菜单：查询包，时间查询，标记或标识，剪切，拷贝。
3．V 视图菜单：包数据的显示，包括颜色，字型，压缩和展开。
4．G跳转菜单：以不同方式指向特定的包。
5．C 抓包菜单：开始和停止抓包过程以及编辑抓包过滤器。
6．A 分析菜单：显示过滤器，允许/不允许协议解析，配置用户指定的译码器,跟踪TCP。
7．S 统计菜单:各种统计已经抓到的包的摘要，显示协议的分层统计等等.打开抓包—网络接口，显示本机网络接口信息。
设置网络接口的抓包参数：混杂模式、缓冲区大小(默认1MB)开始抓包，动态地显示和统计以太网冲突域内各种通信协议停止抓包后，视窗界面分为上中下三个部分，上部为报文列表窗口，显示抓到的每个数据报文的顺序号、捕获时间、源地址、目标地址、协议、信息摘要，缺省按捕获时间数据排序，你也可以按其他数据排序，比如按协议类型排序。
在此窗口选择某个报文，则有关该报文更详细的信息将在中下窗口显示出来。
中部为具体报文的协议层窗口，显示的是数据报文各层协议，逐层展开该报文各层协议将显示出详细的封装结构信息。
下部为16 进制报文内容窗口，显示该报文的协议数据和封装内容。
如下图所示的 DNS协议封装的数据内容(阴影部分)显示过滤：可以按协议类型或表达式，只显示出需要的数据包，以便分析查看。
如下图显示过滤：仅列出arp报文只列出arp和SNMP报文（用or运算符）更复杂的显示过滤，需要使用表达式多重条件(and运算符)显示过滤：只列出源IP是192.168.4.10且大小>=1000字节的I CMP报文打开统计，统计概要、协议分布、会话统计信息。
ethereal实验报告
竭诚为您提供优质文档/双击可除ethereal实验报告篇一：TcpIp实验一协议分析工具ethereal使用基础湖北文理学院《Tcp/Ip协议原理与应用》实验报告专业班级：姓名：学号：任课教师：20XX年11月20日实验一协议分析工具ethereal使用基础（2学时）一、实验目的和要求1、了解网络协议分析器ethereal的基本知识2、掌握ethereal安装过程3、掌握使用ethereal捕捉数据包的方法4、能对捕获到的包简单分析二、预习与准备1、安装ethereal并了解ethereal的用法。
2、对抓到的包进行分析，需要了解各协议。
三、实验内容1、安装ethereal并运行，对其进行设置，抓包。
2、对抓到的包进行分析。
四、实验过程1、安装ethereal，安装完成后启动，2、进行“captureoption”的选择3、开始抓包4、停止捕获5、分析协议内容选定一个Icmp报文，可以解读出其到达时间报长度等，可以看到其源物理地址为00:1e:90:88:05:0f目的物理地址为01:00:5e:00:00:16,源ip地址为172.15.100.36目的ip地址为224.0.0.22以及报文格式等有用信息。
五、思考题解答Q2、从你抓到的第一个包到最后一个包持续的时间是多久？（默认time列显示的是开始捕获后的以秒为单位的持续时间，如果要在time列以time-of-day格式显示，请选择ethereal的View下拉菜单，然后选择时间显示格式为Time-of-day）共持续了37秒Q3、导出这些数据，你可以在ethereal的File命令菜单中选择save菜单，作为实验报告的结果。
实验所捕获的包六、实验总结与体会01.cap本次实验主要考察ethereal的使用以及对抓到的包进行分析，由于是第一次接触这个软件，所以在刚开始的时候操作起来不是很流畅，按照实验步骤抓包后进行分析，与课堂上学到的知识进行印证，加深了对各协议的认识。
1、ethreal使用-入门
实验一：Ethereal使用入门一、背景知识Ethereal是目前广泛使用的网络协议分析工具(Network Protocol Analyzer)，它能够实时地捕获网络上的包，并且把包中每个域的细节显现出来。
Ethereal的广为流行主要有以下三个原因：(1)它的功能非常强大，随着大家对Ethereal的熟悉将会深切感受到这一点。
(2)它是开源、免费的软件。
(3)它具有非常详细的文档。
Ethereal的安装文件和文档可以从下载。
二、Ethereal图形界面，如下图所示：第一部分是菜单和工具栏，Ethereal提供的所有功能都可以在这一部分中找到。
第二部分是被捕获包的列表，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。
第三部分显示第二部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。
第四部分显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子。
三、Ethereal的基本用法Ethereal的最基本功能是捕获网络包，其使用方法很简单，按如下步骤即可：(1)选择“Capture”菜单项中的“Option”,这时会弹出一个对话框，如下所示。
这个对话框中的栏目虽然很多，但一般只需配置其中两项。
一项是“Capture Filter”栏。
在这个栏中，可以输入过滤规则，用于规定Ethereal捕获包的种类(注：过滤规则的写法将在下一节作专门介绍)；如果不输入过滤规则，则Ethereal将捕获所有从网卡发送或收到的包。
另外一项是“Update list of packets in real time”选项，请大家一定要选中这一项，这样可以使Ethereal在捕获包的同时，实时地把捕获的包显示出来。
(2)在完成如上配置后，点击“Start”按钮，Ethereal便开始捕获包。
四、Ethereal的过滤规则Ethereal的过滤规则可以有两种形式：(1)一个原语：一个原语即一条最基本的过滤规则(2)用“and”、“or”、“not”关系去处运算符，以及括号组合起来的原语。
计算机网络实验Ethereal的使用
实验报告课程名称计算机网络实验项目Ethereal的使用一：实验目的1、了解并会初步使用Ethereal，能对包进行分析。
2、通过对这个协议分析工具使用，进一步巩固学习计算机网络的相关知识。
二：实验设备和环境一台安装好Windows XP的PC机，连接好的100BaseT以太网三：实验内容启动ethereal 以后，选择菜单Capature->Start ，就OK 了。
当你不想抓的时候，按一下stop，抓的包就会显示在面板中，并且已经分析好了。
如下图：ethereal使用－capture选项如下：nterface: 指定在哪个接口（网卡）上抓包。
一般情况下都是单网卡，所以使用缺省的就可以了Limit each packet: 限制每个包的大小，缺省情况不限制Capture packets in promiscuous mode: 是否打开混杂模式。
如果打开，抓取所有的数据包。
一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。
Filter：过滤器。
只抓取满足过滤规则的包（可暂时略过） File：如果需要将抓到的包写到文件中，在这里输入文件名称。
use ring buffer：是否使用循环缓冲。
缺省情况下不使用，即一直抓包。
注意，循环缓冲只有在写文件的时候才有效。
ethereal的抓包过滤器抓包过滤器用来抓取感兴趣的包，用在抓包过程中。
抓包过滤器使用的是libcap 过滤器语言，基本结构是： [not] primitive [and|or [not] primitive ...] 如果你想抓取某些特定的数据包时，可以在抓包的时候，就先定义好抓包过滤器，这样结果就是只抓到你设定好的那些类型的数据包；也可以把本机收到或者发出的包一股脑的抓下来，然后使用显示过滤器，只让Ethereal 显示那些你想要的那些类型的数据包；etheral的显示过滤器在抓包完成以后，显示过滤器可以用来找到你感兴趣的包，可以根据1)协议2)是否存在某个域3)域值4)域值之间的比较来查找你感兴趣的包。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
实验一：使用包嗅探及协议分析软件Ethereal 分析 Ethernet帧及应用层FTP协议的分析【实验目的】1、掌握包嗅探及协议分析软件Ethereal的使用。
2、掌握Ethernet帧的构成3、掌握 FTP协议包的构成【实验环境】安装好Windows 2000 Server操作系统+Ethereal的计算机【实验时间】2节课【实验重点及难点】重点学习掌握如何利用Ethereal来分析Ethernet帧。
【实验内容】1、捕捉任何主机发出的Ethernet 802.3格式的帧和DIX Ethernet V2（即EthernetII）格式的帧并进行分析。
2、捕捉并分析局域网上的所有ethernet broadcast帧进行分析。
3、捕捉局域网上的所有ethernet multicast帧进行分析。
【实验步骤】一、Ethereal的安装Ethereal是一个图形用户接口（GUI）的网络嗅探器，由于Ethereal需要WinPcap库, 所以先安装WinPcap_2_3.exe, 再安装Ethereal.exe。
（已装好）二、仔细阅读附件中的Ethereal使用方法和TcpDump的表达式详解，学习Ethereal的使用。
三、捕捉任何主机发出的Ethernet 802.3格式的帧和DIX Ethernet V2（即EthernetII）格式的帧并进行分析。
捕捉任何主机发出的Ethernet 802.3格式的帧（帧的长度字段<=1500），Ethereal的capture filter 的filter string设置为：ether[12:2] <= 1500。
捕捉任何主机发出的DIX Ethernet V2（即Ethernet II）格式的帧（帧的长度字段>1500, 帧的长度字段实际上是类型字段），Ethereal的capture filter 的filter string设置为：ether[12:2] > 1500。
①观察并分析帧结构，802.3格式的帧的上一层主要是哪些PDU？是IP、LLC还是其它哪种？（学校里可能没有，如果没有，注明没有就可以了）②观察并分析帧结构，Ethernet II的帧的上一层主要是哪些PDU？是IP、LLC还是其它哪种？四、捕捉并分析局域网上的所有ethernet broadcast帧，Ethereal的capture filter 的filter string设置为：ether broadcast。
①观察并分析哪些主机在发广播帧，这些帧的高层协议是什么？②你的LAN的共享网段上连接了多少台计算机？1分钟内有几个广播帧？有否发生广播风暴？五、捕捉局域网上的所有ethernet multicast帧，Ethereal的capture filter 的filter string 设置为：ether multicast①观察并分析哪些节点在发multicast帧，这些帧的高层协议是什么？【实验指导材料】用Ethereal分析协议数据包Ethereal是一个图形用户接口（GUI）的网络嗅探器，能够完成与Tcpdump相同的功能，但操作界面要友好很多。
Ehtereal和Tcpdump都依赖于pcap库（libpcap），因此两者在许多方面非常相似（如都使用相同的过滤规则和关键字）。
Ethereal 和其它图形化的网络嗅探器都使用相同的界面模式，如果能熟练地使用Ethereal，那么其它图形用户界面的嗅探器基本都可以操作。
1. Ethereal的安装由于Ethereal需要WinPcap库, 所以先安装WinPcap_2_3.exe, 再安装Ethereal.exe。
2. 设置Ethereal的过滤规则当编译并安装好Ethereal后，就可以执行“ethereal”命令来启动Ethereal。
在用Ethereal截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。
Ethereal使用与Tcpdump相似的过滤规则(详见下面的“5.过滤规则实例”)，并且可以很方便地存储已经设置好的过滤规则。
要为Ethereal配置过滤规则，首先单击“Edit”选单，然后选择“Capture Filters...”菜单项，打开“Edit Capture Filter List”对话框（如下图所示）。
因为此时还没有添加任何过滤规则，因而该对话框右侧的列表框是空的。
在Ethereal中添加过滤器时，需要为该过滤器指定名字及规则。
例如，要在主机10.1.197.162和间创建过滤器，可以在“Filter name”编辑框内输入过滤器名字“sohu”，在“Filter string”编辑框内输入过滤规则“host 10.1.197.162 and ”，然后单击“New”按钮即可，如下图所示。
在Ethereal中使用的过滤规则和Tcpdump几乎完全一致，这是因为两者都基于pcap库的缘故。
Ethereal能够同时维护很多个过滤器。
网络管理员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。
例如，一个过滤器可能用于截获两个主机间的数据包，而另一个则可能用于截获ICMP包来诊断网络故障。
当所有需要的过滤器都创建好后，单击“Save”按钮保存创建的过滤器，然后单击“Close”按钮来关闭“Edit Capture Filter List”对话框。
要将过滤器应用于嗅探过程，需要在截获数据包之前或之后指定过滤器。
要为嗅探过程指定过滤器，并开始截获数据包，可以单击“Capture”选单，选择“Start...”选单项，打开“Capture Options”对话框，单击该对话框中的“Filter:”按钮，然后选择要使用的过滤器，如下图所示。
注意在“Capture Options”对话框中，“Update list of packets in real time”复选框被选中了。
这样可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。
在选择了所需要的过滤器后，单击“OK”按钮，整个嗅探过程就开始了。
Ethereal可以实时显示截获的数据包，因此能够帮助网络管理员及时了解网络的运行状况，从而使其对网络性能和流量能有一个比较准确的把握。
3. 用Ethereal分析数据包Ethereal和其它的图形化嗅探器使用基本类似的界面，整个窗口被分成三个部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。
使用Ethereal可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。
图4是在Ethereal中对一个HTTP数据包进行分析时的情形。
在图4最上边的数据包列表中，显示了被截获的数据包的基本信息。
从图中可以看出，当前选中数据包的源地址是10.1.197.162，目的地址为61.135.150.65，该数据包所属的协议是超文本传输协议(HTTP)。
更详细的信息表明该数据包中含有一个HTTP的GET命令，要求下载starrtlog.js文件到客户端的Web浏览器。
图4 用Ethereal分析数据包内容图4中间是协议树，通过协议树可以得到被截获的数据包的更多信息，如主机的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口号(Transmission Control Protocol)，以及HTTP协议的具体内容(Hypertext Trnasfer Protocol)。
通过扩展协议树中的相应节点，可以得到该数据包中携带的更详尽的信息。
图4最下边是以十六制显示的数据包的具体内容，这是被截获的数据包在物理媒体上传输时的最终形式，当在协议树中选中xz某行时，与其对应的十六进制代码同样会被选中，这样就可以很方便地对各种协议的数据包进行分析。
Ethereal提供的图形化用户界面非常友好，管理员可以很方便地查看到每个数据包的详细信息，协议树及其对应的十六进制表示对分析每个数据包的目的很有帮助，综合使用Ethereal和Tcpdump能够基本满足网络管理员在Linux和windows系统上的所有嗅探要求。
4. tcpdump的表达式介绍tcpdump的表达式就是前面提到的Ethereal过滤规则。
表达式是一个正则表达式，tcpdump利用它作为过滤报文的条件，如果一个报文满足表达式的条件，则这个报文将会被捕获。
如果没有给出任何条件，则网络上所有的信息包将会被截获。
在表达式中一般如下几种类型的关键字，一种是关于类型的关键字，主要包括host，net，port, 例如 host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明202.0.0.0是一个网络地址，port 23 指明端口号是23。
如果没有指定类型，缺省的类型是host.第二种是确定传输方向的关键字，主要包括src , dst ,dst or src, dst and src , 这些关键字指明了传输的方向。
举例说明，src 210.27.48.2 ,指明ip包中源地址是210.27.48.2 , dst net 202.0.0.0 指明目的网络地址是202.0.0.0 。
如果没有指明方向关键字，则缺省是src or dst关键字。
第三种是协议的关键字，主要包括：ether, fddi, tr, ip, ip6, arp, rarp, decnet, tcp,udp.。
Fddi指明是在 FDDI(分布式光纤数据接口网络)上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。
其他的几个关键字就是指明了监听的包的协议内容。
如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。
除了这三种类型的关键字之外，其他重要的关键字如下：gateway, broadcast,less,greater,还有三种逻辑运算，取非运算是 'not ' '! ', 与运算是'and','&&';或运算是'or' ,'||'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来1、想要截获所有210.27.48.1 的主机收到的和发出的所有的数据包：#tcpdump host 210.27.48.12、想要截获主机210.27.48.1 和主机210.27.48.2 或210.27.48.3的通信，使用命令：（在命令行中适用括号时，一定要#tcpdump host 210.27.48.1 and \ (210.27.48.2 or 210.27.48.3 \) 3、如果想要获取主机210.27.48.1除了和主机210.27.48.2之外所有主机通信的ip包，使用命令：ip host 210.27.48.1 and ! 210.27.48.24、如果想要获取主机210.27.48.1接收或发出的telnet包，使用如下命令：tcp port 23 host 210.27.48.15.过滤规则实例●捕捉主机10.14.26.53和www服务器之间的通信（这里主机10.14.26.53可以是自身，也可以是通过普通HUB（而不是交换机）与本机相连的LAN上的其它主机或路由器,下同），Ethereal的capture filter 的filter string设置为：host 10.14.26.53 and ●捕捉局域网上的所有ARP包，Ethereal的capture filter 的filter string设置为：arp●捕捉局域网上主机10.14.26.53发出或接受的所有ARP包，Ethereal的capture filter 的filter string设置为：arp host 10.14.26.53或者等价地设置为：arp and host 10.12.105.27●捕捉局域网上主机10.14.26.53发出或接受的所有POP包（即src or dst port＝110），Ethereal的capture filter 的filter string设置为：tcp port 110 and host 10.14.26.53或者等价地设置为：tcp and port 110 and host 10.14.26.53●捕捉局域网上主机10.14.26.53发出或接受的所有FTP包（即src or dst port＝21），Ethereal的capture filter 的filter string设置为：tcp port 21 and host 10.14.26.53(1). 在主机10.14.26.53上用FTP客户端软件访问FTP server。