| |
| |
| Verwendung von Filtern |
| |
Distinct Network Monitor erlaubt das Erstellen und Verwenden von mächtigen Filtern. Sie können selbst auf bereits beendete Aufzeichnungen noch einen Filter anwenden, wenn Sie z.B. nur bestimmte Pakete speichern möchten, oder Sie können Filter nachträglich auf eine bereits existierende Datei anwenden. Egal welche Filtermethode Sie verwenden, Sie müssen ihren Paket Filter zunächst erstellen. Distinct Network Monitor wird mit einigen Beispiel-Filtern, sowie einigen vordefinierten Filter-Templates ausgeliefert. Die Filterverwaltung wird über das Filters-Tab erledigt, welches Sie über das Menu Configure erreichen.
|
| |
Erstellen eines Filters mit Hilfe von Templates |
Die Filter-Templates ermöglichen ein schnelles Erstellen effizienter Filter, ohne dass Sie sich mit logischen Ausdrücken auseinandersetzen müssen. Filter-Templates sind sehr einfach zu benutzen und sollten einen Grossteil ihrer einfachen Filter-Bedürfnisse abdecken. Mit den Templates können Sie z.B. Filter anlegen, die nur den Traffic von oder zu einer bestimmten IP-Adresse aufzeichnen, die nur den Traffic der über einen bestimmten Port verschickt wird aufzeichnen, oder Filter die nur ein bestimmtes Protokoll wie z.B. HTTP beinhalten oder aus einer Kombination all dieser Punkte bestehen anlegen. Um einen Filter mit Hilfe der Templates zu erstellen, gehen Sie bitte wie folgt vor:
- Wählen Sie die built-in templates-Option, und klicken Sie auf den Create-Button.
- Sie erhalten eine Liste mit den Haupt-Filter-Möglichkeiten. Öffnen Sie den Teilbaum für den Sie sich interessieren. Im obigen Beispiel haben wir z.B. den Zweig “Filter by IP-Address” geöffnet, um einen Filter zu erstellen, der nur IP-Pakete filtert, die über oder an eine bestimmte IP-Adresse versendet werden.
- Wenn Sie das entsprechende Template ausgewählt haben, erscheint ein grünes Häkchen neben dem ausgewählten Template. Klicken Sie auf den Next-Button, um mit dem Erstellen des Filters fortzufahren.
- Geben Sie einen Namen, sowie eine kurze Beschreibung für den Filter an. Über den Namen können Sie den Filter später in der Liste der Filter wieder identifizieren. Klicken Sie auf Next.
- Geben Sie alle IP-Adressen an, die überwacht werden sollen.
- Wenn Sie alle Angaben gemacht haben, klicken Sie auf Finish. Der Filter ist nun erstellt und wird von nun an in der Liste bereits existierender Filter auftauchen. Sie können den Filter nun in ihrer nächsten Aufzeichnung anwenden, indem Sie ihn als zu verwendender Filter im Capture Configuration Tab auswählen, oder Sie können ihn auf eine bereits bestehende Aufzeichnungs-Datei anwenden, indem Sie die Datei öffnen und dann den zu verwendenden Filter aus der Pulldown-List in der Toolbar auswählen.
Achtung: Sie müssen den zu verwendenden Filter auswählen, bevor Sie mit der Aufzeichnung beginnen. Das Ändern des Filters während der Aufzeichnung ist nicht möglich. Der Filter kann über den Menupunkt Settings im Capture-Menu ausgewählt werden.
|
| |
Erstellen eines einfachen Filters mit Advanced Expressions |
Um einen neuen Filter zu erstellen, gehen Sie bitte wie folgt vor:
- Wählen Sie den Menupunkt Filters aus dem Configure Menu.
- Wählen Sie Advanced Expressions und klicken Sie dann auf Create. Geben Sie ihrem Filter einen beschreibenden Namen. Wenn Sie z.B. einen Filter für Email-Protokolle erstellen möchten, könnten Sie ihrem Filter den Namen "Email Protokolle" geben.
- Geben Sie im Feld Description eine Beschreibung für den Filter an, die Sie später daran erinnert, warum Sie diesen Filter erstellt haben.
- Sie können die Aufzeichnung auf bestimmte Systeme mit denen Sie Probleme haben beschränken. Wenn Sie z.B. ein Problem diagnostizieren möchten, dass zwischen Jim's Computer und dem Email-Server besteht, wählen Sie die Option Filter by IP address, und markieren Sie den Between IP address and IP address-Radio Button. Dann geben Sie die IP-Adresse von Jim's Computer, sowie die IP-Addresse des Email-Servers ein. Dies führt dazu, dass nicht benötigte Pakete herausgefiltert werden. Die Aufzeichnung wird leichter lesbar wird und das Problem kann schneller behoben werden.
- Als nächstes müssen Sie die Protokolle auswählen, die herausgefiltert werden sollen. In unserem Beispiel mit den Email-Protokollen könnten Sie z.B. POP3, IMAP und SMTP auswählen. Die einzelnen Protokolle müssen eins nach dem anderen, durch auswählen des Protokolls und anschliessendem Klicken des Add-Buttons hinzugefügt werden.
- Wenn Sie alle Protokolle die verwendet, sowie alle Restriktionen die beachtet werden sollen angegeben haben, klicken Sie auf den OK-Button, um den Filter zu erstellen.
|
| |
Erstellen von komplexen Filtern mit Advanced Expressions |
Die Advanced Expressions-Option ermöglicht das Erstellen von ausgeklügelten Filtern. Sie können nicht nur Filter erstellen die ein bestimmtes Protokoll herausfiltern, sondern auch Filter die ab einem Offset nach einem bestimmten Wert suchen bzw. Filter die nach einem Wert innerhalb eines vordefinierten Felds in einem Paket suchen, z.B. nach einer bestimmten "Source Hardware Address" in einem ARP Paket. Wenn es sich bei dem Wert um einen Hex-Zahl handelt, müssen Sie der Zahl die Zeichenfolge "0x" voranstellen. Für den Wert "000186A0" muss also z.B. "0x000186A0" eingeben werden. Es ist ebenfalls möglich mit Hilfe der logischen Operatoren AND und OR zusammengesetzte Filter zu erstellen.
Wenn Sie "nach Offset" filtern, denken Sie daran, dass sich der Offset auf das betreffende Protokoll bezieht, das zur Zeit ausgewählt ist. Wenn sich der Offset auf den absoluten Beginn eines Pakets beziehen soll, müssen Sie als Protokoll Ethernet oder Token Ring auswählen. Beachten Sie jedoch, dass dies zu unerwarteten Ergebnissen führen kann, da ein solches Paket auch optionale TCP/IP-Felder transportieren kann, von denen Sie nicht wissen, dass sie sich im Paket befinden.
Beim Erstellen der Filter können Protokolle nicht nur eingeschlossen, sondern auch explizit ausgeschlossen werden. Zum Beispiel können Sie einen Filter erstellen, der alle RPC-Pakete herausfiltert, UDP-Pakete aber ausschliesst, was bedeutet dass nur RPC-Pakete die über TCP verschickt werden herausgefiltert werden.
|
| |
Filteren nach Offset |
Sie können sehr nützliche Filter mit Offsets erstellen. Im Folgenden liefern wir ein Beispiel zum Erstellen eines Filters, der nur RPC Portmapper Pakete anzeigt.
- Wählen Sie den Menupunkt Filters aus dem Menu Configure.
- Wählen Sie Advanced Expressions und klicken Sie dann auf Create. Geben Sie ihrem Filter einen beschreibenden Namen, z.B. "Filter für Portmapper".
- Geben Sie eine kurze Beschreibung für den Filter im Description-Feld an, die Sie später daran erinnert, für was Sie diesen Filter erstellt haben.
- Als nächstes müssen Sie die Protokolle auswählen, die herausgefiltert werden sollen. Wählen Sie RPC - ONC.
- Markieren Sie den Filter by Offset-Radio Button. Fügen Sie den Offset 12 ein, als Offset-Angabe für die Programmnummer. Für "Type" wählen Sie "Double Word". Geben Sie als Wert "100.000" im hexadezimalen Format in das zugehörige Eingabefeld ein. Denken Sie daran, dass einer Hex-Zahl die Zeichenfolge "0x" vorangestellt werden muss. Klicken Sie auf den Add-Button. Als nächstes fügen Sie den Offset 16 hinzu, als Offset für die Versionsnummer des Portmappers. Setzen Sie das Feld "Type" auf "Double Word" und geben Sie als Wert 2 ein. Klicken Sie auf den Add-Button.
- Klicken Sie auf Ok, um den Filter zu erstellen.
|
| |
Filtern nach Feldern |
Einige der Protokoll-Filter besitzen vordefinierte Felder, die zum Filtern verwenden werden können. Als Beispiel werden wir einen Filter erstellen, der nur TCP und UDP Pakete durchlässt, die über den Port 443 versendet oder empfangen werden.
- Wählen Sie den Menupunkt Filters aus dem Menu Configure.
- Wählen Sie Advanced Expressions und klicken Sie dann auf Create. Geben Sie ihrem Filter einen beschreibenden Namen, z.B. "Filter für Port 443”.
- Geben Sie im Description-Feld eine kurze Beschreibung für den Filter an, die Sie später daran erinnert, für was Sie diesen Filter erstellt haben.
- Als nächstes müssen Sie das Protokoll angeben, das herausgefiltert werden soll. Wählen Sie TCP.
- Markieren Sie den by Field-Radio Button, und wählen Sie den Eintrag Source Port aus der Pull Down-List. Geben Sie hier den Wert 443 ein. Klicken Sie auf den Add-Button, um diese Regel ihrem Filter hinzuzufügen.
- Als nächstes müssen Sie den Destination Port aus der Pull Down-List auswählen. Geben Sie hier ebenfalls den Wert 443 ein. Klicken Sie auf den Add-Button, um diese Regel ihrem Filter hinzuzufügen.
- Wiederholen Sie Schritt 4 bis 6 nun für das UDP-Protokoll.
- Die Regeln sind nun generiert. Klicken Sie auf Ok, um diesen Filter zu erstellen.
|
| |
Verwendung der logischen Operatoren |
Seit Version 4 ist es möglich, einzelne Filter-Regeln mit Hilfe von logischen Operatoren zu verknüpfen. Sie können zum Beispiel unter Verwendung des logischen Operators AND einen Filter erstellen, der SMTP-Pakete für ein einzelnes System herausfiltert, sowie darüber hinaus jeglichen weiteren HTTP-Traffic. Gehen Sie bitte folgendermassen vor:
- 1. Wählen Sie den Menupunkt Filters aus dem Menu Configure.
- 2. Wählen Sie Advanced Expressions und klicken Sie dann auf Create. Geben Sie ihrem Filter einen beschreibenden Namen.
- 3. Geben Sie im Description-Feld eine kurze Beschreibung ein, die Sie später daran erinnert, für was Sie diesen Filter erstellt haben.
- 4. Markieren Sie den Radio Button from or to IP address, und geben Sie die IP-Adresse ihres Mail-Servers ein. Wählen Sie nun SMTP, POP3 und HTTP als zu filternde Protokolle aus und fügen Sie sie dem Filter, eins nach dem anderen, unter Verwendung des Add-Buttons hinzu.
- 5. Als nächstes müssen Sie den Filter-Ausdruck definieren. Schritt 1: Klicken Sie im Feld Filter rules mit der rechten Maustaste in die Spalte mit der Spaltenüberschrift “(“ (am Anfang des Filter-Ausdrucks), und wählen Sie im sich öffnenden Kontext-Menu die Option Add Open Parenthesis aus. Schritt 2: Klicken Sie mit der rechten Maustaste in das Feld in dem sich die Spalte “)” und die Zeile mit dem Eintrag “SMTP” kreuzen. Wählen Sie im sich öffnenden Kontext-Menu Add closing parenthesis aus, um dem Ausdruck eine schliessende Klammer hinzuzufügen. Schritt 3: Gehen Sie zur letzten Zeile, die das HTTP-Statement enthält, und klicken Sie mit der rechten Maustaste auf den AND Operator. Wählen Sie hier Use OR operation. Der Filter-Ausdruck ist nun vollständig definiert und der Filter kann erstellt werden.
|
| <<< Inhaltsverzeichnis >>> | |
|
|
