SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

İleri

TR7 üzerinden paket yakalayıp pcap olarak indirebilir miyim (tcpdump)? ​

Kısa cevap

Evet, iki yolla. vService ekranındaki tcpdump sekmesinde Record as pcap açılarak başlatılan yakalama hem ekranda canlı akar hem de pcap dosyasına yazılır; yakalama bitince dosya ekranın üstünde indirme bağlantısı olarak çıkar. Yakalama vService'in frontend adreslerine ve Kurum Servislerine göre kendiliğinden süzülür; istemci IP'si, port, protokol ve ek filtre ifadesiyle daraltılır, süre (en fazla 30 dakika) ve paket sayısıyla sınırlanır. Cihaz genelinde serbest parametreli yakalama için WEB-CLI'da sys-cmd tcpdump komutu to-file ile kullanılır. İki yolun dosyaları da WEB-CLI'ın geçici dosya alanında tutulur ve silinene kadar kalır.

Sorun: Sorunun Ağ Düzeyinde Kanıtı Gerekiyor ​

Bağlantı kopmaları, TLS el sıkışması hataları ya da Kurum Servisine giden bağlantıların davranışı log kayıtlarıyla açıklanamıyor. Trafiğin paket olarak yakalanıp Wireshark ile incelenmesi ya da destek ekibine gönderilmesi gerekiyor.

Çözüm: İki Yöntem ​

İki yöntem birbirinin alternatifidir: bir vService'in trafiği için vService ekranındaki tcpdump, cihaz genelinde serbest filtreyle yakalama için WEB-CLI kullanılır.

DurumunuzUygun yöntem
Bir vService'in trafiğiYöntem 1: vService → tcpdump → Record as Pcap
Cihaz geneli, serbest parametrelerYöntem 2: WEB-CLI sys-cmd tcpdump
  • Nasıl çalışır Yakalama vService'in frontend adreslerinde ve Kurum Servislerinde yapılır; Record as Pcap açıkken aynı paketler hem ekrana hem pcap dosyasına yazılır.
  • Nerede açılır Left Monitor Panel → Load Balancer vServices → vService → sağ panel başlığındaki tcpdump ikonu
  • Gereksinim Çalışan vService; WEB-CLI geçici dosya alanında yer. pcap dosyası WEB-CLI dosya alanından sunulduğu için yalnızca User type'ı Admin olan kullanıcı tarafından indirilebilir.
  • vService tipi HTTP · L7 TCP · Network

Adım adım yapılandırma ​

1
Adım 1 vService ekranını aç

Left Monitor Panel'de kategori seçiciden Load Balancer vServices seçilir ve vService'e tıklanır (ekrana erişim).

2
Adım 2 tcpdump sekmesini aç

Sağ panelin başlığındaki tcpdump ikonuna ya da sekme çubuğunun sağındaki ⋮ menüsünden tcpdump'a tıklanır; kapatılabilir bir tcpdump sekmesi açılır. Sekme kapatılınca yakalama durur.

3
Adım 3 Başlatma formunu aç

Sekmedeki Start butonuna tıklanır.

4
Adım 4 Yakalamayı ayarla

Formda şu alanlar doldurulur; son kullanılan değerler kullanıcı bazında hatırlanır:

AlanDeğerlerVarsayılan
Duration15s · 30s · 1m · 2m · 5m · 10m · 30m30s
InspectionStandard · Deep Inspection (tshark)Standard
Record as PcapAçık · kapalıKapalı; dosya için açılır
Frontends · Backend ServersAll · Select · Off (ikisi birden Off olamaz)All
Client IP FilterVirgülle ayrılmış IP ya da CIDRKapalı
Port Filter443 ya da 8000-8100Kapalı
ProtocolAll protocols · TCP · UDP · ICMPAll protocols
Advanced Settings → Snap Length (bytes)64 – 65535256
Advanced Settings → Max Packets100 – 2000003000
Advanced Settings → Extra Filter ExpressionStandart paket filtresi ifadesi; oluşturulan filtreyle birlikte (AND) uygulanırKapalı

Deep Inspection (tshark) seçildiğinde Deep Filters alanıyla Host header, SNI, Request URI, Retransmissions gibi alanlara göre süzülür; yalnızca eşleşen paketler ekranda gösterilir, kayıt bütün trafiği tutar. Bu seçenek cihazda tshark yoksa pasiftir.

5
Adım 5 Yakalamayı başlat

Accept butonuna tıklanır ve sorun yeniden üretilir. Durum alanında Capturing yazar; yakalama süre dolunca ya da Stop ile biter.

6
Adım 6 Dosyayı indir

Ekranın üstünde çıkan capture-….pcap bağlantısına tıklanarak dosya indirilir (indirme User type'ı Admin olan kullanıcıyla yapılır); vService birden çok route table'da çalışıyorsa dosyalar tek bir .zip içinde gelir. Hiç paket yakalanmadıysa dosya oluşmaz. Ekran çıktısı ayrıca Export .txt ile metin olarak alınabilir.

7
Adım 7 Dosyayı sil

Dosyalar kendiliğinden silinmez; iş bitince User type'ı Admin olan kullanıcı WEB-CLI'da sys-cmd file delete komutuyla dosyayı siler (file delete).

Doğrulama ​

1YakalamaTR7 tarafı

tcpdump sekmesindeki durum alanına bakılır.

BeklenenCapture finished · N ve capture-….pcap bağlantısı
2Dosyaİstemci tarafı

İndirilen dosya Wireshark ile açılır.

BeklenenYakalanan paketler listelenir

Yöntem 2: WEB-CLI sys-cmd tcpdump ​

  • Nasıl çalışırsys-cmd tcpdump WEB-CLI'da seçili route table'ın arayüzlerinden geçen paketleri yakalar; | to-file çıktıyı pcap dosyasına yazar.
  • Nerede açılır TR7 WEB-CLI
  • Gereksinim User type'ı Admin olan kullanıcı. Başka bir route table'ın trafiği için önce o route table seçilir (route-table set).
  • Kapsam Cihaz geneli; vService'e bağlı değildir.

Adım adım yapılandırma ​

1
Adım 1 Yakalamayı dosyaya al

WEB-CLI'da yakalama başlatılır; örnekte 192.0.2.10 adresli Kurum Servisinin 443 trafiğinden 1000 paket alınır:

text
sys-cmd tcpdump -nn -i any -c 1000 host 192.0.2.10 and port 443 | to-file yakalama.pcap

-w ve -r parametreleri kabul edilmez; dosyaya yazmanın tek yolu to-file'dır. -c verilmezse yakalama durdurulana kadar sürer ve dosyaya yazarken ekrana satır gelmez. | karakteri komutu böldüğünden filtre ifadesinde kullanılmaz.

2
Adım 2 Dosyayı indir

Dosyanın indirme bağlantısı listelenir ve Link sütunundaki adrese tıklanır:

text
sys-cmd file show yakalama.pcap
3
Adım 3 Dosyayı sil

İş bitince dosya silinir:

text
sys-cmd file delete yakalama.pcap

Doğrulama ​

1Dosyaİstemci tarafı

İndirilen dosya Wireshark ile açılır.

BeklenenYakalanan paketler listelenir

Sık Yapılan Hatalar ​

  • Record as pcap açmadan dosya beklemek. Kayıt kapalıyken yalnızca ekran çıktısı ve Export .txt vardır.
  • HTTPS içeriğini pcap'te okumayı beklemek. TLS trafiğinin içeriği şifrelidir; bağlantı ve el sıkışma görünür (bilinmesi gerekenler).
  • Dosyaları silmemek. Dosyalar geçici alanda kalır; tek bir kayıt en fazla 512 MB olabilir ve geçici alan dolarsa yeni kayıt durur.
  • Snap length 256 iken paket içeriği beklemek. Paket içeriğinin tamamı için Snap Length (bytes) artırılır.
  • Virtual Hosting ile paylaşılan frontend'de satırları tek vService'e ait sanmak. Paylaşılan adresteki trafik o adresi kullanan bütün vService'lere aittir; Backend servers kapsamı ya da Client IP Filter ile daraltılır.

Dokümantasyonda nasıl yapılır

İlgili sorular