如何在 Socket 上捕获流量

概览

Cato Networks 提供了一个内置于 Socket WebUI 的 PCAP （数据包捕获）实用程序，使得任何拥有登录凭据的人都可以诊断网络问题。

有关 Socket WebUI 的更多信息，请参见访问 Socket WebUI。

使用 Socket WebUI 进行 PCAP

本节将逐步解释如何使用 Socket 的 PCAP 实用程序分析您的网络问题。

注意：如果您直接连接到 Socket 的局域网，Socket 的管理 IP 也可以用于内部访问 WebUI。

从 Cato 管理应用程序登录到 Socket WebUI。
开始 PCAP。
重现该问题。
下载 PCAP 文件。
分析文件中的结果。

从 Cato 管理应用程序登录到 Socket WebUI

具备编辑者权限的管理员可以从 Cato 管理应用程序自动登录到 Socket WebUI。

要从 Cato 管理应用程序登录到 Socket WebUI：

从导航菜单中，点击网络 > 站点，然后选择站点。
从导航菜单中，点击站点配置 > Socket。
从 Socket 的操作菜单中，选择Socket WebUI。

浏览器会打开一个新标签页，并登录到 Socket WebUI。

当窗口闲置超过 10 分钟时，Socket WebUI 会自动注销。

运行 PCAP （Socket v17.0 及更高版本）

从 Socket 版本 17.0 开始，您可以使用 Socket WebUI 中的流量捕获标签页。

流量捕获标签页允许在多个活跃接口/隧道/SDWAN 隧道上同时进行高级流量捕获。

只需为每个接口选择相关选项，然后点击开始按钮即可开始数据包捕获。数据包捕获的最长时间为 60 分钟，否则抓取超时，您将不能下载文件。

高级流量捕获包括以下选项：

侧 1 子网和端口 - 基于 IP 和端口进行过滤。
侧 2 子网和端口 - 基于 IP 和端口进行过滤。
- 注意： 侧 1 和侧 2 都可以是源或目的地。如有需要，可以使用数据包语法规则 通过使用srcip/dstip字段和正确的运算符来过滤源和目的地 IP 地址。有关语法的更多信息，请参见下文。
IP 协议 - 过滤特定协议的数据包：
- '*' - 无 IP 协议过滤
- ICMP
- TCP
- UDP
MAC 地址 - 基于 MAC 地址过滤。
数据包语法规则
- 允许基于可配置的智能语法规则过滤数据包。
- 显示可能的字段 此链接会打开一个 JSON 文件，其中包含所有可能的字段以及可应用于此规则的可用运算符。
  
  文件已附加到本文中，您可以下载以供参考。
- 显示示例 是一个有关如何使用语法规则的可点击示例。
注意：数据包语法不是基于 Wireshark 的捕获过滤器语法。
限制数据包大小（字节） - 通过过滤器设置记录的数据包大小上限。
文件后缀 - 允许在文件末尾添加一个后缀。
- 如果您选择添加后缀，文件名将按以下结构构成：{site_name}.{account_name}.{time}.{suffix}.pcapng

在您开始记录数据包后，您可以选择停止、下载或下载&停止来停止数据包记录。

PCAP 实用程序将文件保存到为您的浏览器配置的下载目录中，格式如下： <site_name>.<account_name>.<interface>.<timestamp>.pcapng

接口过滤

下载的 PCAP 文件包括在多个接口上记录的流量。为了搜索记录在特定接口上的流量：

打开 PCAP 文件，并在帧下搜索'接口 ID'：
右键点击接口 ID，选择应用为过滤器 ，然后点击已选择
- 注意，每个接口有两个 ID，一个用于传输（TX） 和一个用于接收（RX）。在以下示例中，可以看到过滤器应用于 WAN1 的 TX 侧。
也可以通过应用以下过滤器手动过滤，其中 X 表示接口的 ID。
```
frame.interface_id == X
```

注意： 如果Socket已配置LAN LAG，则聚合接口将出现在接口列表中。

Running a PCAP (Socket v16.x and earlier)

Configure the PCAP settings for the specific interface to start the PCAP.

Best Practice: For troubleshooting most network issues we recommend that you to take a packet capture on the LAN interface. 如果Socket无法连接到PoP，则WAN数据包捕获可能很有用，但一旦连接，所有通过WAN接口的流量都在DTLS中加密和封装。分析带有加密流量的PCAP是困难的。

开始PCAP：

In the Monitor page, click the PCAP column. 列展开显示PCAP选项。
输入PCAP的设置。您可以为来源、目的地和端口选择特定设置。

这些可选设置限制捕获的流量，如果没有它们，PCAP可能在短时间内累积大量数据。
To start the capture, select the checkbox in the PCAP column.

重现问题

当PCAP工具运行时，重现您正在排除故障的网络问题。

分析数据包

我们建议您使用Wireshark或类似程序打开捕获文件并分析数据包。 Wireshark is a free program for Windows, Mac, and Linux that can be downloaded from https://www.wireshark.org/.

catalog_socket_packet_fields.json7 KB