Comment faire pour filtrer le trafic capturé dans Wireshark ?

FAQ #100535

Principe
Wireshark offre essentiellement deux possibilités différentes pour le filtrage du trafic Ethernet :

• Filtre de capture :
  Lors de la capture de filtrage basé sur l’adresse IP source/destination ou les ports TCP/UDP utilisés). Les télégrammes qui ne correspondent pas le filtre ne sont pas stockées dans le fichier de capture ! Veuillez vous référer à la FAQ 100224 pour plus d’informations.
• Filtre d’affichage :
  Filtrage des télégrammes d’un fichier capturé basé sur le contenu du télégramme (code de commande, la présence de valeurs etc..). Le filtre d’affichage n’affectera pas les données saisies, il sélectionnera uniquement les paquets de données saisies sont affichent sur l’écran.

Filtres d’affichage
Le plugin pour disséquer le trafic Ether-S-Bus (interprétation) propose une large gamme de télégramme conditions de propriétés et de filtre. Ci-dessous une petite sélection des champs plus utilisés :

• Code de commande
• Adresse de source et de destination S-Bus
• BaseAddress des médias transmises
• Valeurs des médias transmises
• etc....

À l’aide de chaînes de filtrage
Les chaînes de filtre, écrits dans une langue de filtre d’affichage spéciaux sont entrés dans le champ « filtre » (région verte dans l’image ci-dessous) de Wireshark :
§ix100349§
En appuyant sur le bouton « Expressions », la fenêtre suivante apparaît. Sur cette fenêtre, on peuvent sélectionner les expressions de filtre disponibles et les conditions.
§ix100350§
Il est également possible de combiner plusieurs filtres en utilisant l’et - et ou les opérandes :

• Et opérande : & & (exemple : sbus.cmd == 0 x 6 & & sbus.destination == 1)
• Opérande ou : || (Exemple : ip.addr == 207.1.1.222 | SBus.destination == 1)

Chaque fois que vous modifiez la chaîne de filtrage et cliquez sur le bouton « Appliquer », tous les paquets seront relus à partir du fichier de capture (ou de la mémoire) et traitées par le filtre d’affichage « machine ». Paquet par paquet, cette « machine » est demandée, si ce paquet particulier doit figurer ou non.