web-dev-qa-db-fra.com

Comment filtrer par adresse IP dans Wireshark?

J'ai essayé dst==192.168.1.101 mais je n'ai que:

Neither "dst" nor "192.168.1.101" are field or protocol names.

The following display filter isn't a valid display filter:
dst==192.168.1.101
wireshark
275
Alan

Correspondance de destination: ip.dst == x.x.x.x

Source de correspondance: ip.src == x.x.x.x

Match soit: ip.addr == x.x.x.x

508
The Archetypal Paul

Filtrage des adresses IP dans Wireshark:

(1) filtrage IP unique:

ip.addr == X.X.X.X

ip.src == X.X.X.X

ip.dst == X.X.X.X

(2) Filtrage IP multiple basé sur des conditions logiques:

OU condition:

(ip.src == 192.168.2.25) || (ip.dst == 192.168.2.25)

ET condition:

(ip.src == 192.168.2.25) && (ip.dst == 74.125.236.16)

35
Rajeev Das

Vous pouvez également limiter le filtre à une partie de l'adresse IP.

PAR EXEMPLE. Pour filtrer 123.*.*.*, vous pouvez utiliser ip.addr == 123.0.0.0/8. Des effets similaires peuvent être obtenus avec /16 et /24.

Reportez-vous à la section Pages de manuel WireShark (filtres) et recherchez la notation Classless InterDomain Routing (CIDR) .

... le nombre après la barre oblique représente le nombre de bits utilisés pour représenter le réseau.

31
OldCurmudgeon

Si vous ne vous souciez que du trafic de cette machine, utilisez plutôt un filtre de capture que vous pouvez définir sous Capture -> Options.

Host 192.168.1.101

Wireshark ne capturera que les paquets envoyés ou reçus par 192.168.1.101. Cela a l'avantage de nécessiter moins de traitement, ce qui réduit les risques de perte (d'omission) de paquets importants.

16
Dean

Essayer

ip.dst == 172.16.3.255
11
Kevin Tighe

En fait, pour une raison quelconque, Wirehark utilise deux types de syntaxe de filtre différents, l'un sur le filtre d'affichage et l'autre sur le filtre de capture. Le filtre d'affichage n'est utile que pour rechercher un certain trafic uniquement à des fins d'affichage. son comme si vous êtes intéressé par tout le trafic mais pour le moment vous voulez juste voir spécifique.

mais si vous êtes uniquement intéressé par le trafic certian et que vous ne vous souciez pas du tout des autres, utilisez le filtre de capture.

La syntaxe pour le filtre d'affichage est (comme mentionné précédemment)

ip.addr = x.x.x.x ou ip.src = x.x.x.x ou ip.dst = x.x.x.x

mais la syntaxe ci-dessus ne fonctionnera pas dans les filtres de capture, voici les filtres

Hôte x.x.x.x

voir plus d'exemples sur page wiki Wowshark

10
Mubashar

dans notre utilisation, nous devons capturer avec l'hôte x.x.x.x. ou (vlan et hôte x.x.x.x)

rien de moins ne sera pas capturé? Je ne sais pas pourquoi mais c'est comme ça que ça marche!

1
Jerry