如何在 Socket 上捕获流量

概概览

Cato Networks 提供了一个内置于 Socket WebUI 的 PCAP （数据包捕获）实用程序，使得任何拥有登录凭据的人都可以诊断网络问题。

有关 Socket WebUI 的更多信息，请参见访问 Socket WebUI。

本节将逐步解释如何使用 Socket 的 PCAP 实用程序分析您的网络问题。

注意：如果您直接连接到 Socket 的局域网，Socket 的管理 IP 也可以用于内部访问 WebUI。

具备编辑者权限的管理员可以从 Cato 管理应用程序自动登录到 Socket WebUI。

从 Cato 管理应用程序登录到 Socket WebUI：

浏览器会打开一个新标签页并登录插座WebUI。

当窗口闲置超过 10 分钟时，Socket WebUI 会自动注销。

从 Socket 版本 17.0 开始，您可以使用 Socket WebUI 中的流量捕获标签页。

流量捕获标签页允许在多个活跃接口/隧道/SDWAN 隧道上同时进行高级流量捕获。

只需为每个接口选择相关选项，然后点击开始按钮即可开始数据包捕获。数据包捕获的最长时间为 60 分钟，否则抓取超时，您将不能下载文件。

高级流量捕获包括以下选项：

侧 1 子网和端口 - 基于 IP 和端口进行过滤。
侧 2 子网和端口 - 基于 IP 和端口进行过滤。
- 注意: 侧 1 和侧 2 都可以是来源或目的地。如有需要，请使用 数据包语法规则 通过使用 srcip/dstip 字段和正确的运算符来过滤来源和目的地 IP 地址。有关语法的更多信息，请参见下文。
IP 协议 - 过滤特定协议的数据包：
- '*' - 无 IP 协议过滤
- ICMP
- TCP
- UDP
MAC 地址 - 基于 MAC 地址过滤。
数据包语法规则
- 允许基于可配置的智能语法规则过滤数据包。
- 显示可能的字段 此链接会打开一个 JSON 文件，其中包含所有可能的字段及其可用运算符，这些可用运算符可以应用于此规则。
  文件已附加到本文中，您可以下载以供参考。
- 显示示例 是一个有关如何使用语法规则的可点击示例。
注意：数据包语法不是基于 Wireshark 的捕获过滤器语法。
限制数据包大小（字节） - 通过过滤器设置记录的数据包大小上限。
文件后缀 - 允许在文件末尾添加一个后缀。
- 如果您选择添加后缀，文件名将按以下结构构成：{site_name}.{account_name}.{time}.{suffix}.pcapng

在您开始记录数据包后，您可以选择停止、下载或下载&停止来停止数据包记录。

PCAP 实用程序将文件保存到为您的浏览器配置的下载目录中，格式如下：<site_name>.<account_name>..<interface>.<timestame>.pcapng

下载的 PCAP 文件包括在多个接口上记录的流量。为了搜索记录在特定接口上的流量：

打开 PCAP 文件，并在帧下搜索'接口 ID'：
右键点击接口 ID，选择 应用为过滤器 然后点击 已选择。
- 注意，每个接口有两个 ID，一个用于 TX（传输）和一个用于 RX（接收）。在以下示例中，可以看到过滤器应用于 WAN1 的 TX 侧。期间Always-On和防篡改被禁用多久。
也可以通过应用以下过滤器手动过滤，其中 X 表示接口的 ID。
```
frame.interface_id == X
```