Dotaz: wireshark, parametr -f

[Matej Slegr]

Dobry den, potrebuji wireshark donutit filtrem (jiz pri spousteni) aby chytal veskerou komunikaci, krome te ktera zahrnuje IP adresu 10.0.0.37.

Podle dokumentace jsem to tedy udelal takto:

sudo wireshark -i wlan0 -k -w /media/sda5/sniff.pcap -f "not host 10.0.0.37"

Takto vsak wireshark chyta stale veskere pakety, tedy i ty, ktere obsahuji IP 10.0.0.37. Jen jako test jsem zkusil jeste toto:

sudo wireshark -i wlan0 -k -w /media/sda5/sniff.pcap -f "host 10.0.0.37"

A takto mi wireshark nechyta nic, prestoze host 10.0.0.37 komunikuje.

Kde prosim delam pri psani tech pravidel chybu?

Odpovědi

[chrono]

Nemá tam byť !(ip.addr == 10.0.0.37)?

[Matej Slegr]

Pres prikazovou radku se wiresharku parametry predavaji v libpcap syntaxi, ktera se od klasice "wiresharkovse" lisi.

[chrono]

Práve som skúšal tú pcap syntax a mne to funguje (mám Wireshark 1.2.6).

Skúšal si "capture filter" nastavovať priamo v rozharní Wireshark (aby si videl, či to bez filtra tie pakety zachytáva)?