使用嵌入式Wireshark配置Catalyst 3850系列交換機

下載選項

PDF (420.0 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (132.8 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (125.0 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2023 年 7 月 12 日

文件 ID:117639

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹Cisco Catalyst 3850系列交換機的嵌入式Wireshark功能以捕獲資料包。

必要條件

需求

思科建議您瞭解Wireshark。

採用元件

本檔案中的資訊是根據執行版本3.3.0或更新版本的Cisco Catalyst 3850系列交換器。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

限制

許可證：需要IPBASE或IPSERVICES。
不支援擷取篩選。
不支援第2層和第3層EtherChannel。
MAC訪問控制清單(ACL)僅用於非IP資料包，例如ARP。第3層連線埠或交換器虛擬介面(SVI)不支援此功能。
在Wireshark資料包捕獲期間，硬體轉發同時進行。
可以捕獲交換機CPU生成的資料包，並且必須使用控制平面作為源介面。
無法擷取重新寫入資訊。輸出擷取不會顯示Cisco Catalyst 3850系列交換器執行的資料包並對其進行變更。

設定

請使用此表進行配置。

定義	組態
定義來源	monitor capture [name] interface [interface name] [direction]
設定匹配語句	monitor capture [name] match ipv4 [source ip/xx] [dest ip/xx] monitor capture [name] match ipv4 any any
設定您的目的地	監控捕獲[名稱]檔案位置[位置]

組態範例

以下是組態範例。

GigabitEthernet4/0/1會注入位於Cisco Catalyst 3850系列交換器上的10.10.10.1位址解析通訊協定(ARP)要求。

主機配置為10.10.10.10。此組態會擷取GigabitEthernet4/0/1上的輸入和輸出，比對任何IPv4封包，並將其儲存到快閃記憶體中的mycap.pcap。

一旦檔案大小達到10MB或100個封包（以先到者為準），擷取就會自動停止。

如果選擇usbflash0：並將USB插入Cisco Catalyst 3850系列交換機的前部，則也可以將檔案儲存到USB快閃記憶體驅動器中。

monitor capture mycap interface GigabitEthernet4/0/1 both
   monitor capture mycap match ipv4  any any
   monitor capture mycap file location flash:mycap.pcap buffer-size 10
   monitor capture mycap limit packets 100

配置好此選項後，必須開始捕獲。如果快閃記憶體中已存在具有此名稱的檔案，則會提示您是否要覆蓋此名稱。

Switch#monitor capture mycap start
A file by the same capture file name already exists, overwrite?[confirm]

確認「狀態」為「使用中」

Switch#show monitor capture mycap

Status Information for Capture mycap
  Target Type:
   Interface: GigabitEthernet4/0/1, Direction: both
   Status : Active
  Filter Details:
   IPv4
    Source IP:  any
    Destination IP:  any
   Protocol: any
  Buffer Details:
   Buffer Type: LINEAR (default)
  File Details:
   Associated file name: flash:mycap.pcap
   Size of buffer(in MB): 10
  Limit Details:
   Number of Packets to capture: 100
   Packet Capture duration: 0 (no limit)
   Packet Size to capture: 0 (no limit)
   Packets per second: 0 (no limit)
   Packet sampling rate: 0 (no sampling)

檢視捕獲

檢視擷取的方式有多種。

您可以直接在交換器上檢視擷取（簡介）：

Switch#show monitor capture file flash:mycap.pcap
  1   0.000000  10.10.10.10 -> 10.10.10.1   IP Unknown (0xff)
  2   0.000992  10.10.10.10 -> 10.10.10.1   IP Unknown (0xff)
  3   0.000992  10.10.10.10 -> 10.10.10.1   IP Unknown (0xff)
  4   0.000992  10.10.10.10 -> 10.10.10.1   IP Unknown (0xff)
  5   0.000992  10.10.10.10 -> 10.10.10.1   IP Unknown (0xff)

您可以直接在交換器上檢視擷取（詳細）：

F340.09.11-3800-1#show monitor capture file flash:mycap.pcap detailed
Frame 1: 1396 bytes on wire (11168 bits), 1396 bytes captured (11168 bits)
    Arrival Time: Oct  9, 2013 12:15:29.371974000 UTC
    Epoch Time: 1381320929.371974000 seconds
    [Time delta from previous captured frame: 0.000000000 seconds]
    [Time delta from previous displayed frame: 0.000000000 seconds]
    [Time since reference or first frame: 0.000000000 seconds]
    Frame Number: 1
    Frame Length: 1396 bytes (11168 bits)
    Capture Length: 1396 bytes (11168 bits)
    [Frame is marked: False]
    [Frame is ignored: False]
    [Protocols in frame: eth:ip:data]
Ethernet II, Src: aa:aa:aa:aa:aa:aa (aa:aa:aa:aa:aa:aa), Dst: 0c:68:03:45:e5:47
    (0c:68:03:45:e5:47)
    Destination: 0c:68:03:45:e5:47 (0c:68:03:45:e5:47)
        Address: 0c:68:03:45:e5:47 (0c:68:03:45:e5:47)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
        .... ..0. .... .... .... .... = LG bit: Globally unique address
       (factory default)
    Source: aa:aa:aa:aa:aa:aa (aa:aa:aa:aa:aa:aa)
        Address: aa:aa:aa:aa:aa:aa (aa:aa:aa:aa:aa:aa)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
        .... ..1. .... .... .... .... = LG bit: Locally administered address
       (this is NOT the factory default)
    Type: IP (0x0800)
Internet Protocol, Src: 10.10.10.10 (10.10.10.10), Dst: 10.10.10.1 (10.10.10.1)
    Version: 4
    Header length: 20 bytes
    Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00)
        0000 00.. = Differentiated Services Codepoint: Default (0x00)
        .... ..0. = ECN-Capable Transport (ECT): 0
        .... ...0 = ECN-CE: 0
    Total Length: 1382
    Identification: 0x0000 (0)
    Flags: 0x00
        0... .... = Reserved bit: Not set
        .0.. .... = Don't fragment: Not set
        ..0. .... = More fragments: Not set
    Fragment offset: 0
    Time to live: 64
    Protocol: Unknown (255)
    Header checksum: 0x4c7b [correct]
        [Good: True]
        [Bad: False]
    Source: 10.10.10.10 (10.10.10.10)
    Destination: 10.10.10.1 (10.10.10.1)
Data (1362 bytes)

0000  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0010  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0020  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0030  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0040  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0050  50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f   PQRSTUVWXYZ[\]^_
0060  60 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f   `abcdefghijklmno
0070  70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f   pqrstuvwxyz{|}~.
0080  80 81 82 83 84 85 86 87 88 89 8a 8b 8c 8d 8e 8f   ................
0090  90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f   ................
00a0  a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af   ................
00b0  b0 b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf   ................
00c0  c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf   ................
00d0  d0 d1 d2 d3 d4 d5 d6 d7 d8 d9 da db dc dd de df   ................
00e0  e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef   ................
00f0  f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff   ................
0100  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0110  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0120  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0130  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0140  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0150  50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f   PQRSTUVWXYZ[\]^_
0160  60 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f   `abcdefghijklmno
0170  70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f   pqrstuvwxyz{|}~.
0180  80 81 82 83 84 85 86 87 88 89 8a 8b 8c 8d 8e 8f   ................
0190  90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f   ................
01a0  a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af   ................
01b0  b0 b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf   ................
01c0  c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf   ................
01d0  d0 d1 d2 d3 d4 d5 d6 d7 d8 d9 da db dc dd de df   ................
01e0  e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef   ................
01f0  f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff   ................
0200  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0210  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0220  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0230  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0240  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0250  50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f   PQRSTUVWXYZ[\]^_
0260  60 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f   `abcdefghijklmno
0270  70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f   pqrstuvwxyz{|}~.
0280  80 81 82 83 84 85 86 87 88 89 8a 8b 8c 8d 8e 8f   ................
0290  90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f   ................
02a0  a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af   ................
02b0  b0 b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf   ................
02c0  c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf   ................
02d0  d0 d1 d2 d3 d4 d5 d6 d7 d8 d9 da db dc dd de df   ................
02e0  e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef   ................
02f0  f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff   ................
0300  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0310  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0320  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0330  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0340  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0350  50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f   PQRSTUVWXYZ[\]^_
0360  60 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f   `abcdefghijklmno
0370  70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f   pqrstuvwxyz{|}~.
0380  80 81 82 83 84 85 86 87 88 89 8a 8b 8c 8d 8e 8f   ................
0390  90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f   ................
03a0  a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af   ................
03b0  b0 b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf   ................
03c0  c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf   ................
03d0  d0 d1 d2 d3 d4 d5 d6 d7 d8 d9 da db dc dd de df   ................
03e0  e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef   ................
03f0  f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff   ................
0400  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0410  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0420  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0430  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0440  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0450  50 51 52 53 54 55 56 57 58 59 5a 5b 5c 5d 5e 5f   PQRSTUVWXYZ[\]^_
0460  60 61 62 63 64 65 66 67 68 69 6a 6b 6c 6d 6e 6f   `abcdefghijklmno
0470  70 71 72 73 74 75 76 77 78 79 7a 7b 7c 7d 7e 7f   pqrstuvwxyz{|}~.
0480  80 81 82 83 84 85 86 87 88 89 8a 8b 8c 8d 8e 8f   ................
0490  90 91 92 93 94 95 96 97 98 99 9a 9b 9c 9d 9e 9f   ................
04a0  a0 a1 a2 a3 a4 a5 a6 a7 a8 a9 aa ab ac ad ae af   ................
04b0  b0 b1 b2 b3 b4 b5 b6 b7 b8 b9 ba bb bc bd be bf   ................
04c0  c0 c1 c2 c3 c4 c5 c6 c7 c8 c9 ca cb cc cd ce cf   ................
04d0  d0 d1 d2 d3 d4 d5 d6 d7 d8 d9 da db dc dd de df   ................
04e0  e0 e1 e2 e3 e4 e5 e6 e7 e8 e9 ea eb ec ed ee ef   ................
04f0  f0 f1 f2 f3 f4 f5 f6 f7 f8 f9 fa fb fc fd fe ff   ................
0500  00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f   ................
0510  10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f   ................
0520  20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f    !"#$%&'()*+,-./
0530  30 31 32 33 34 35 36 37 38 39 3a 3b 3c 3d 3e 3f   0123456789:;<=>?
0540  40 41 42 43 44 45 46 47 48 49 4a 4b 4c 4d 4e 4f   @ABCDEFGHIJKLMNO
0550  50 51                                             PQ
    Data&colon; 000102030405060708090a0b0c0d0e0f1011121314151617...
    [Length: 1362]

您可以透過TFTP/FTP關閉交換機的pcap檔案，並在Wireshark中檢視捕獲檔案：

驗證

使用本節內容，確認您的組態是否正常運作。

Switch#show monitor capture mycap parameter
   monitor capture mycap interface GigabitEthernet4/0/1 in
   monitor capture mycap match ipv4  any any
   monitor capture mycap buffer size 10

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

捕獲控制平面流量

以下組態範例顯示來源為Cisco Catalyst 3850系列交換器本身的輸入和輸出流量。

這是檢視傳送到Cisco Catalyst 3850系列交換機CPU的資料流的好方法。

可結合使用以上各項來診斷高CPU使用率的情況

組態

Switch#show monitor capture mycap parameter
   monitor capture mycap control-plane both
   monitor capture mycap match any
   monitor capture mycap file location flash:mycap.pcap buffer-size 10
   monitor capture mycap limit packets 100

結果

1   0.143990 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
2   0.148003 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
3   0.153999 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
4   0.159004 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
5   0.163993 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
6   0.168998 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
7   0.174003 aa:aa:aa:aa:aa:aa -> 0c:68:03:45:e5:47 ARP Who has 10.10.10.1? 
    Tell 10.10.10.10
8   0.178992 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
    0c:68:03:45:e5:47
9   0.184988 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
    0c:68:03:45:e5:47
10   0.189993 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
11   0.194998 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
12   0.200994 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
13   0.205999 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
14   0.210988 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
15   0.215993 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47
16   0.221989 0c:68:03:45:e5:47 -> aa:aa:aa:aa:aa:aa ARP 10.10.10.1 is at
     0c:68:03:45:e5:47

修訂記錄

修訂	發佈日期	意見
2.0	12-Jul-2023	重新認證
1.0	22-Apr-2014	初始版本

由思科工程師貢獻

Gayathri Jeyaraman