Come filtrare il traffico catturato in Wireshark?

FAQ #100535

Principio
Wireshark fondamentalmente offrono due diverse possibilità per filtrare il traffico Ethernet:

• Filtro di acquisizione:
  Filtro durante l'acquisizione basata su IP di origine/destinazione o le porte TCP/UDP utilizzate). Telegrammi che non corrispondono al filtro non vengono memorizzati nel file di cattura! Per ulteriori informazioni, fare riferimento al 100224 FAQ.
• Filtro di visualizzazione:
  Filtro i telegrammi di un file catturato sulla base del contenuto del telegramma (codice di comando, la presenza di valori ecc.). Il filtro di visualizzazione non interesserà i dati acquisiti, verranno solo selezionate quali pacchetti dei dati acquisiti vengono visualizzati sullo schermo.

Filtri di visualizzazione
Il plugin per la dissezione (interpretariato) traffico di Ether-S-Bus offre una vasta gamma di telegramma condizioni di filtro e di proprietà. Qui di seguito una piccola selezione dei campi più utilizzati:

• Codice di comando
• Indirizzo S-Bus di origine-destinazione
• BaseAddress dei media trasmessa
• Valori di trasmissione media
• ecc...

Utilizzo di stringhe di filtro
Le stringhe di filtro, scritte in una lingua di visualizzazione speciale filtro vengono immessi nel campo"filtro" (regione verde nella foto qui sotto) di Wireshark:
§ix100349§
Premendo il pulsante "Espressioni", si presenta la seguente finestra. Da questa finestra, le espressioni di filtro disponibili e condizioni possono essere selezionate.
§ix100350§
È inoltre possibile combinare più filtri utilizzando il e - e o operandi:

• E operando: & & (esempio: sbus.cmd = = 0x6 & & sbus.destination = = 1)
• Operando o : | | (Esempio: ip.addr = = 207.1.1.222 | SBus.Destination = = 1)

Ogni volta che si modifica la stringa di filtro e fare clic sul pulsante "Applica", tutti i pacchetti saranno riletto dal file di cattura (o dalla memoria) ed elaborati dal filtro di visualizzazione "macchina". Pacchetto di pacchetti, questa "macchina" è chiesto, se questo particolare pacchetto deve essere visualizzato o no.