Hoe om te filteren vastgelegde verkeer in Wireshark?

FAQ #100535

Principe
Wireshark bieden in feite twee verschillende mogelijkheden voor Ethernet-verkeer te filteren:

• o pnamefilter:
  Filteren tijdens het vastleggen op basis van de bron/bestemming IP- of TCP/UDP-poorten gebruikt). Telegrammen die niet overeenkomen met het filter worden niet opgeslagen naar het opnamebestand! Raadpleeg FAQ 100224 voor meer informatie.
• Weergavefilter:
  Het filteren van de telegrammen van een vastgelegde bestand op basis van de inhoud van de telegram (opdrachtcode, aanwezigheid van waarden enz.). Het weergavefilter zal geen invloed op de gegevens die zijn vastgelegd, het zal alleen selecteren welke pakketten van de opgenomen gegevens worden weergegeven op het scherm.

Weergavefilters
De plugin voor ontleden (tolken) Ether-S-busverkeer biedt een breed scala aan telegram eigenschappen en filter voorwaarden. Hieronder een kleine selectie van de meest gebruikte velden:

• Opdrachtcode
• Bron-bestemmingsadres S-Bus
• Baseaddress van verzonden media
• Waarden van overdraagbare media
• enz...

Met behulp van filtertekenreeksen
De filtertekenreeksen, geschreven in een speciale display filter taal worden ingevoerd in het veld"filter" (groene streek in de afbeelding hieronder) voor Wireshark:
§ix100349§
Door het indrukken van de knop "Expressions", verschijnt het volgende venster. Vanuit dit venster kunnen de beschikbare filterexpressies en voorwaarden worden geselecteerd.
§ix100350§
Het is ook mogelijk meerdere filters combineren met behulp van de en - en/of operanden:

• En operand: & & (voorbeeld: sbus.cmd == 0x6 gemaakt & & sbus.destination == 1)
• Of operand: || (Voorbeeld: ip.addr 207.1.1.222 | == SBus.Destination == 1)

Everytime u veranderen de filterreeks en klik op de knop "Apply", alle pakketten worden herlezen van het opnamebestand (of uit het geheugen), en verwerkt door het weergavefilter "machine". Pakket door packet, deze "machine" is verzocht, indien dit specifieke pakket moet worden aangetoond of niet.