Wie funktionieren Capture-Filter in Wireshark intern?

Wireshark verfügt über zwei Arten von Filtern: Anzeigefilter und Erfassungsfilter.

Anzeigefilter sind flexibler als Erfassungsfilter (einige Erfassungsfilter können dies nicht tun), da Anzeigefilter die Daten prüfen, nachdem sie bereits in das Paketprotokoll von wireshark kopiert wurden.

Aufnahmefilter können für die Leistung von großem Nutzen sein, wenn viele separate Datenströme über Ihre Netzwerkschnittstelle laufen, Sie jedoch nur eine kleine Menge davon erfassen möchten. Die Daten werden niemals in Wireshark kopiert, wenn sie nicht mit den Erfassungsfiltern übereinstimmen.

Sie können dies tatsächlich ausprobieren und den Leistungsunterschied in der Benutzeroberfläche spüren (und den Leistungsunterschied bei der CPU-Nutzung beobachten), indem Sie Folgendes tun:

1. Starten Sie einen schnellen Webserver auf Localhost.
2. Starten Sie einen enormen HTTP-Dateidownload (Gigabyte an Daten).
3. Erfassen Sie auf der Localhost-Netzwerkschnittstelle mit einem Erfassungsfilter, der den Port ignoriert, an dem der riesige Download stattfindet.
4. Löschen Sie den Erfassungsfilter vollständig, und vergleichen Sie in Schritt 3 die Leistung und die CPU-Auslastung, um dieselbe Art von Filter auf der Anzeigefilterseite festzulegen.

Bei IIRC speichert Wireshark die Paketkappen auf die Festplatte (damit es nicht in OOM geht). Der Engpass, der bei "zu breiten" Capture-Filtern auftritt, besteht wahrscheinlich darin, dass Ihr Festplattensubsystem alle Vorgänge auf Ihrer Netzwerkschnittstelle protokollieren muss.

Aus diesem Grunde, wenn Sie einen sehr ausgelasteten Server sind wiresharking nur einen bestimmten Fluss oder Prozess zu beobachten, ist es wesentlich sinnvoll Capture Filter einzustellen. Andernfalls führt wireshark zu erheblicher CPU-Last und E / A-Durchsatz.

Unter Windows wird die Paketerfassung meistens auf der Kernel-Seite implementiert. Wireshark verwendet ein Tool namens WinPcap, ein Kernel-Modul, das Ihre Capture-Filter zur Laufzeit in nativen Code kompiliert, um einen extrem optimierten Test zu erstellen, ob der Capture-Filter übereinstimmt oder nicht. Wenn der Filter nicht übereinstimmt, wird das Paket niemals in den Prozessraum von wireshark kopiert.

Die Implementierung des pcap-Kernelseiten-Backends kann von Plattform zu Plattform und somit auch in Bezug auf Leistung und Effizienz variieren.

Bei den meisten Betriebssystemen ist es so

1. Bitten Sie das Betriebssystem nur, alle Pakete auf der Schnittstelle von Host 224.0.26.1 und Port 12345 in den lokalen Puffer zu kopieren. . .

2. Zeichnen Sie die Daten auf

obwohl das, was Wireshark und TShark tun, ist dumpcap (Teil von Wireshark) mit der Schnittstelle (en) ausführen, auf die und den Filter zu erfassen als Befehlszeilenargumente zu verwenden, und dumpcap fragt libpcap das Betriebssystem zu fragen (oder auf Windows, die WinPcap-Treiber), um alle Pakete, die mit dem Filter übereinstimmen, in den lokalen Puffer zu kopieren.

Bei einigen Betriebssystemen (z. B. Solaris vor Solaris 11, HP-UX und IRIX) kann das Betriebssystem die Filterung im Kernel nicht durchführen. Daher fordert libpcap das Betriebssystem dazu auf, ihm alle Pakete zur Verfügung zu stellen (libpcap) ) führt den Filter selbst aus und liefert nur Pakete, die dem Filter entsprechen, an seine caller - dumpcap, im Falle von Wireshark und TShark.