Cisco IOS路由器的嵌入式抓包工具(Embedded Packet Capture)

最新推荐文章于 2025-02-26 22:47:10 发布

jjw97_5

最新推荐文章于 2025-02-26 22:47:10 发布

阅读量5.9k

点赞数 1

本文介绍Cisco IOS 12.4T中嵌入式抓包工具的使用方法，包括定义Buffer、添加ACL过滤特定流量、设置捕获点、启动及停止抓包过程、导出数据至远程FTP服务器等步骤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

参考: http://www.routereflector.com/2013/05/embedded-packet-capture-tcpdump-on-cisco-ios-routers/

IOS12.4T提供了嵌入式抓包工具(Embedded Packet Capture), 抓的包是tcpdump格式的。此工具配置需要一个特殊的Buffer来存储抓获的数据包。Buffer中的数据可以导出，这样我们就可以使用tcpdump或Wireshark等工具来分析了。

1. 定义Buffer

monitor capture buffer BUFFER_NAME max-size 10000

monitor capture buffer BUFFER_NAME size 1024

2. 添加ACL只捕获特定的数据包

如果省略此步骤, 将抓获所有的数据包

ip access-list extended ACL_NAME permit ip 10.0.0.0 0.0.0.255 host 10.1.1.1

monitor capture buffer BUFFER_NAME filter access-list ACL_NAME 3.设置捕获点

下面的命令设置在接口Gi0/0捕获所有CEFswitched traffic.你可以设置数据方向 – in/out/both.

     monitor capture point ip cef CAPTUREPOINT_NAME Gi0/0 both

下面的命令将抓获所有不是CEF switched traffic

     monitor capture point ip process-switched CAPTUREPOINT_NAME both
   4.关联Buffer和捕获点，并开始抓包     monitor capture point associate CAPTUREPOINT_NAME BUFFER_NAME
     monitor capture point start CAPTUREPOINT_NAME
   5.停止抓包
     monitor capture point stop CAPTUREPOINT_NAME
   6.导出数据
     monitor capture buffer BUFFER_NAME export ftp://ftp.example.com/CAPTURER.pcap
   7.使用TCPDUMP分析
     # tcpdump -r CAPTURE.pcap -nn -v
   8.在路由器上分析
     #show monitor capture buffer BUFFER_NAME dump
   9.显示BUFFER和所有的捕获点
     #show monitor capture point all 
     #show monitor capture buffer all parameters
   10.删除捕获点和BUFFER
     # no monitor capture point ip cef CAPTUREPOINT_NAME FastEthernet0/0 both     # no monitor capture buffer BUFFER_NAME