簡介
本文檔介紹如何在思科內容安全裝置上執行資料包捕獲。
必要條件
需求
思科建議您瞭解以下主題：
- 思科電子郵件安全裝置(ESA)
- 思科網路安全裝置(WSA)
- 思科安全管理裝置(SMA)
- AsyncOS
採用元件
本文檔中的資訊基於所有AsyncOS版本。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。
如何在思科內容安全裝置上執行資料包捕獲？
完成以下步驟，以便使用GUI執行資料包捕獲(tcpdump 命令)：
- 在GUI上導航到幫助和支援>資料包捕獲。
- 根據需要編輯資料包捕獲設定，例如運行資料包捕獲的網路介面。可以使用其中一個預定義過濾器，也可以使用Unix tcpdump命令支援的任何語法建立自定義過濾器。
- 按一下Start Capture以開始捕獲。
- 按一下Stop Capture以結束捕獲。
- 下載資料包捕獲。
完成以下步驟，以便使用CLI執行資料包捕獲(tcpdump 命令)：
- 在CLI中輸入以下命令：
wsa.run> packetcapture
Status: No capture running
Current Settings:
Max file size: 200 MB
Capture Limit: None (Run Indefinitely)
Capture Interfaces: Management
Capture Filter: (tcp port 80 or tcp port 3128)
- 選擇要執行的作業：
- START - Start packet capture.
- SETUP - Change packet capture settings.
[]> setup
- 輸入捕獲檔案允許的最大大小（以MB為單位）：
[200]> 200
Do you want to stop the capture when the file size is reached? (If not, a new
file will be started and the older capture data will be discarded.)
[N]> n
The following interfaces are configured:
1. Management
2. T1
3. T2
- 輸入要從中捕獲資料包的一個或多個介面的名稱或編號，用逗號分隔：
[1]> 1
- 輸入要用於捕獲的過濾器。輸入單詞CLEAR以清除過濾器並捕獲所選介面上的所有資料包。
[(tcp port 80 or tcp port 3128)]> host 10.10.10.10 && port 80
Status: No capture running
Current Settings:
Max file size: 200 MB
Capture Limit: None (Run Indefinitely)
Capture Interfaces: Management
Capture Filter: host 10.10.10.10 && port 80
- 選擇start操作以開始捕獲：
- START - Start packet capture.
- SETUP - Change packet capture settings.
[]> start
Status: Capture in progress (Duration: 0s)
File Name: S650-00137262569A-8RVFDB1-20080919-174302.cap (Size: 0K)
Current Settings:
Max file size: 200 MB
Capture Limit: None (Run Indefinitely)
Capture Interfaces: Management
Capture Filter: host 10.10.10.10 && port 80
- 選擇停止操作以結束捕獲：
- STOP - Stop packet capture.
- STATUS - Display current capture status.
- SETUP - Change packet capture settings.
[]> stop
Status: No capture running (Capture stopped by user)
Current Settings:
Max file size: 200 MB
Capture Limit: None (Run Indefinitely)
Capture Interfaces: Management
Capture Filter: host 10.10.10.10 && port 80
意見