本章将讨论如何使用Wireshark作为网络故障排除工具。首先，如何配置用户界面，然后如何配置全局和协议参数。接下来，我们将讨论Wireshark文件夹，配置文件，文件夹和插件[3]。 。
本章还介绍了Wireshark的颜色匹配规则和配置方法。它还引入了添加到Wireshark版本2的新智能滚动条功能。此功能非常有助于识别流量模式以及协议的工作方式。
最后，本章最后介绍了Wireshark模板以及如何使用它。所谓模板是指用户界面，协议参数，显示/捕获过滤器等定义并保存在Wireshark中的不同网络环境，网络故障或网络协议，以加快故障排除时间，降低故障排除难度。颜色匹配规则。本章将详细介绍Wireshark模板，本书还将提供一些有助于读者的模板。
2配置用户界面和全局协议参数
通过Edit菜单中的Preferences菜单项和Preferences窗口中的Protocol配置选项，您不仅可以控制Wireshark软件的显示界面，还可以更改软件抓取和呈现常规协议包的方式。本节介绍如何在“首选项”窗口的“协议”配置界面中配置最常用的协议。
2.1准备
单击Edit菜单中的Preferences菜单项，将立即弹出Preferences窗口，如图2.1所示。
熟练使用Wireshark来解决网络问题
图2.1
从图2.1中可以看出，在Preferences窗口中，只要选择了窗口左侧的配置选项，相应的配置参数就会出现在窗口的右侧。
2.2配置方法
本节介绍如何在“首选项”窗口中配置“外观”配置选项，以及如何在“首选项”窗口中为最常用的协议配置“协议”选项。有关如何在“首选项”窗口中配置其余配置选项的信息，请参阅本书后面的相关章节。注意
由于本书旨在向读者介绍如何使用Wireshark以及如何将其用作故障排除工具，因此无法详细介绍Wireshark的所有功能。 Wireshark的简单功能可以在其官方网站的用户手册中找到。作者将重点关注可以提高用户熟悉度的重要和特殊功能。
首先查看“首选项”窗口中包含的配置选项的设置，以查看这些配置选项是否可以帮助用户。
1.定期外观设置
图2.2显示了Wireshark Preferences窗口的Appearance配置选项，可以对其进行配置以改善体验。
熟练使用Wireshark来解决网络问题
图2.2
“首选项”窗口的“外观”配置选项可用于配置：
显示过滤器和最新捕获文件的缓冲区大小；
用户界面的语言（未来版本将支持更多的国家语言）；
主工具栏显示样式——图标，文本或图标加文本。
2.捕获包的主窗口的布局
在Preferences窗口的Appearance配置选项中，有一个Layout子配置选项，用于在Wireshark中设置Packet List，Packet Details和Packet Bytes区域。主窗口中的渲染如图2.3所示。
熟练使用Wireshark来解决网络问题
图2.3
在图2.3所示的Preferences窗口中，您可以通过选择Pane排列样式来设置如何在Wireshark主捕获窗口中呈现上述三个区域。
3.调整并添加数据包属性列
在“首选项”窗口的“外观配置”选项中，有一个“列”子配置选项，用于在主捕获窗口的数据包列表区域中添加或删除数据包属性列（列）。默认情况下，主捕获窗口的数据包列表区域中显示的数据包属性列包含编号，时间，源，目标，协议（协议）。协议类型），长度和信息，如图2.4所示。
有两种方法可以将新列添加到数据包列表区域。
单击图2.4中的“+”按钮，首先在Type列中选择预定义参数（如IP DSCP值，src端口和dest端口）作为新属性列，然后在Title列中给出它。给出一个名称，最后单击“确定”按钮。单击图2.4中的“+”按钮，首先在“类型”列中选择“自定义”，然后在“字段名称”列中输入可显示在显示过滤器中的任何参数，然后在“标题”列中输入该参数。它需要一个名称，最后单击“确定”按钮。以下是以自定义方式在捕获包的主窗口中添加的包属性列的一些示例。
要将新列添加到捕获包的主窗口以查看TCP数据包的TCP窗口大小，请在“字段名称”字段中输入显示过滤器参数tcp.window_size。
要将新列添加到主数据包捕获窗口以查看每个IP数据包标头中的TTL字段值，请在“字段名称”字段中输入显示过滤器参数ip.ttl。
要将新列添加到主捕获窗口以查看每个RTP数据包中标记位置1的实例，请在“字段名称”字段中输入显示过滤器参数rtp.marker。
熟练使用Wireshark来解决网络问题
图2.4
注意
还有一种方法可以添加新的数据包属性列，即在捕获包主窗口的数据包结构区域中选择数据包的字段，单击鼠标右键，然后单击“应用为列”弹出菜单中的菜单项。 。此时，该字段将成为数据包列表区域中的新数据包属性列。
分析网络故障时，请根据需要以自定义方式添加数据包属性列，以加快故障原因。与此相关的内容将在本书后面介绍。
4.设置字体和颜色方案
在“首选项”窗口的“外观配置”选项中，有一个“字体和颜色”子配置选项可用于更改字体大小，形状和颜色。可以修改捕获包主窗口的字体，如图2.5所示。
熟练使用Wireshark来解决网络问题
图2.5
注意
如果您不知道如何将捕获主窗口的字体恢复为默认设置，请选择Font as Consolas，如图2.5所示，选择Size为11.0，Font style为Normal。
5.捕获包设置
可以通过“首选项”窗口中的“捕获”设置选项将主机或笔记本电脑的公共网卡设置为Wireshark默认捕获网卡。
在图2.6中，作者将笔记本电脑上名为Wireless Network Connection 2的无线网卡设置为Wireshark默认捕获网卡。 Capture设置选项的其余配置参数保持不变。熟练使用Wireshark来解决网络问题
图2.6
6.配置显示过滤器表达式首选项
显示过滤器表达式显示在主捕获窗口的显示过滤器工具栏的右侧，可以通过“首选项”窗口中的“过滤器表达式”设置选项进行定义。
要定义此类显示过滤器表达式，请按照以下步骤操作。
1.单击Preferences窗口中的Filter Expressions设置选项，如图2.7所示。
熟练使用Wireshark来解决网络问题
图2.7
2.单击“+”按钮，首先在Filter Expression列中输入显示过滤器表达式，然后在Button Label列中为其命名，最后单击OK按钮。
3.单击“确定”按钮后，先前显示的显示过滤器表达式将显示为显示过滤器工具栏右侧的按钮。
4.从图2.8中可以看出，图2.7中定义的两个名为TCP-Z-WIN和TCP-RETR的过滤器表达式以主捕获窗口的显示过滤器工具栏右侧的按钮形式出现。侧。
熟练使用Wireshark来解决网络问题
图2.8
注意
如本章最后一节所述，在Wireshark中，您可以为每个模板配置不同的显示过滤器首选项。通过这种方式，可以配置各种模板以消除各种故障，例如TCP和IP电话（IPT），或诊断各种网络协议故障。
如第4章所述，在Filter Expressions设置选项中，应以Wireshark显示过滤器的格式配置显示过滤器表达式。
7.调整名称解析
Wireshark支持以下三个级别的名称解析。
二楼（L2）
：Wireshark解析并显示数据包MAC地址的前半部分，作为NIC芯片制造商的名称或ID。例如，MAC地址的前三个字节14: da: e9可以被解析并显示为AsusTeckC（ASUSTeK Computer Inc，ASUS Computer Corporation）。
三楼（L3）
：Wireshark解析数据包的IP地址并将其显示为DNS名称。例如，可以解析IP地址157.166.226.46并将其显示为CNN网站的版本页面。
四楼（L4）
：Wireshark解析并显示TCP/UDP端口号作为应用程序（服务）名称。例如，TCP端口80可以被解析并显示为HTTP，并且UDP端口53被解析并显示为DNS。图2.9显示了在Preferences窗口左侧单击Name Resolution configuration选项后窗口右侧显示的配置。
熟练使用Wireshark来解决网络问题
图2.9
在图2.9所示的Preferences窗口中，可以从上到下配置以下内容。
第2层，第3层和第4层名称解析。
执行名称解析的方法（通过DNS和/或主机文件）和并发DNS请求数量的上限（以确保Wireshark软件的速度不受影响）。
简单网络管理协议（SNMP）对象标识符，ID以及它们是否要转换为对象名称。
GeoIP以及是否启用。有关详细信息，请参阅本书的第10章[4]。
注意
对于TCP/UDP数据包的源/目标端口号，仅将目标端口号转换为应用程序名称才有意义。源端口号通常是随机生成的（高于1024），将其转换为应用程序名称没有意义。
Wireshark默认解析第2层MAC地址和第4层TCP/UDP端口号，并按名称显示。解决IP地址会降低Wireshark的速度，因为它允许Wireshark软件本身执行大量额外的DNS查询，因此在启用此功能之前应该小心。
8.在协议配置选项中调整IPv4配置参数。
使用“首选项”窗口中的“协议”配置选项，您可以调整Wireshark捕获和呈现相关协议流量的方式。单击配置选项Protocols左侧的箭头，将出现各种协议配置子选项。图2.10显示了在选择IPv4或IPv6协议配置子选项时，“首选项”窗口右侧显示的配置参数。
熟练使用Wireshark来解决网络问题
图2.10
以下是IPv4配置子选项名称下的一些配置参数的说明。
将IPv4 TOS字段解码为DiffServ字段
在IPv4协议标准的开始，为了保证IPv4网络中的服务质量，在IPv4报头中建立了称为服务类型（ToS）的字段。后来，IETF为IPv4服务质量（差异化服务，DiffServ）开发了一个新标准，这也是IPv4标头中原始ToS字段的概念，但是对每个位的设置有了新的定义。如果未选中此复选框，Wireshark将根据旧的IPv4服务质量标准解析捕获的IPv4数据包的标头中的ToS字段。启用GeoIP查找
：GeoIP是一个数据库，Wireshark可以根据数据库的内容（捕获数据包的IP头的源和目标）显示IP地址所属的地理位置。如果选中此框，Wireshark将显示其所属的地理位置，以获取捕获的IPv4和IPv6数据包的IP地址。此子选项功能涉及名称解析，一旦打开，会降低Wireshark的实时数据包捕获率。第10章介绍如何配置GeoIP。
9.在协议配置选项中调整TCP和UDP配置参数。
UDP是一种非常简单的协议。与Wireshark版本1相比，Wireshark版本2的Protocols配置选项中的UDP协议配置子选项几乎没有变化。配置参数不多，通常不需要调整。 TCP协议这很复杂。可以在Protocols配置选项的TCP协议配置子选项中配置许多参数，如图2.11所示。
熟练使用Wireshark来解决网络问题
图2.11
调整TCP协议配置子选项名称下的参数实际上是调整Netshark解析TCP段的方式。以下是一些参数的说明。
如果可能，验证TCP校验和
：Wireshark有时会捕获具有大量校验和错误的数据包，这归因于捕获主机的网卡上启用的TCP Checksum卸载功能。打开此功能时，将导致Wireshark将机器生成的数据包显示为校验和错误（具体原因稍后）。因此，如果Wireshark捕获了大量坏的和坏的数据包，则必须取消选中该复选框以验证是否存在校验和问题。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 云计算支持IT安全的10种方式

• 分享到：