本帖最后由 taosun2 于 2015-11-6 12:35 编辑 [原创翻译]PIX/ASA的数据包捕获
使用指南
启用数据包捕获, 要在一个接口上附带接口选项关键字来捕获。捕获多个接口需要多个捕获语句。数据包必须通过以太网和访问列表过滤之后数据包才能存储在捕获缓冲区。
有用的捕获命令:
no capture 命令并附带 access-list 或 interface 可选关键字将清除相应的捕获。
no capture 而不带可选关键字将删除捕获。
如果指定 access-list 可选关键字，将从捕获中删除访问列表并保留捕获。如果指定 interface 关键字，将从指定的接口分离捕获并保留捕获。
clearcapture capture_name 命令将清除捕获缓冲区。注意：捕获命令不保存在配置中，在failover时也不会重复出现在备用设置上。
更多详细的捕捉命令参考捕获命令的客户文档
配置示例
捕获穿越内部和外部接口的数据包
步骤#1 - 捕获穿过内部接口的数据包
access-list capture_in permit
host A host B access-list capture_in permit
host B host A capture inside access-list capture_in interface inside
步骤#2 - 捕获穿过外部接口的数据包
access-list capture_out permit
host A hostB access-list capture_out permit
host B hostA capture outside access-list capture_out interface outside
从设备上获取数据包
选项#1 － 从PIX/ASA通过WEB浏览获取pcap格式的文件。
步骤#1 －如果http服务不可用那么使用“http”命令来启用http(s)
步骤#2 – 然后开浏览器后输入
在连接ASA后将提示您保存文件。例如，
选项#2 －从ASA发送pcap格式的文件到tftp服务器
步骤#1 － 启动tftp应用程序和设置接收文件的tftp文件根目录
步骤#2 － 然后在ASA上输入如下命令copy /pcap capture:
tftp:///temp。例如：在PIX上查看捕获缓冲区
如果指定了数据包捕获的名称,那么在捕获缓冲区里能查看到它的内容。show capture 查看捕获。
重置和删除捕获命令来清除捕获缓冲区输入以下清除捕获命令
删除捕获命令:
clear capture inside
clear capture outside
在您完成捕获后别忘了删除捕获列表
no capture inside
no capture outside
no access-list capture_in no access-list capture_out
