Использование Packet Sniffer с streaming-server.

Эти инструкции отличные, но они не описывают настройку Wireshark. Как его запустить? Нужно ли указывать ему, на каком порту слушать? Как указать ему "принимать UDP"? Что это вообще значит? Я прошерстил документацию Wireshark, и там вскользь затрагивается вся концепция получения потока с удаленной записи. Документация Mikrotik тоже объясняет, как сказать RouterOS, чтобы он отправлял поток, но не упоминает, как сказать Wireshark, чтобы он его принимал.

Я давно не пробовал, но Wireshark показал бы все пакеты, но они были декодированы не как исходные, а как только TZSP пакеты… поэтому большая часть декодирования протоколов, просмотр TCP-потока и прочее работало не совсем корректно. Давно его не использовал, если честно. Я всегда записываю в PCAP (с помощью Trafr или напрямую на HDD RouterOS) и потом использую Wireshark.

Я тоже не могу его использовать, можешь нам помочь? Мне просто нужно проверить трафик сервера с виндовой машины. Что Mikrotik рекомендует для этого?

Извини, что поднимаю тему, но может, лучше, чем создавать новую. На днях с нами связалась одно из следственных агентств, и они хотят, чтобы мы помогли им поймать какую-то преступную активность, проходящую через нашу сеть. Конечно, мы хотим сотрудничать. Я пробовал разные вещи, но не уверен, что получаю ожидаемый результат. Я работаю с WireShark и знаю основы. Затем я думаю, что знаю хотя бы основы о MT, но… этот подход либо не работает вообще, либо я просто тупой (что вполне возможно). Я могу выбрать два адреса, и вот где у меня проблема с документацией MT. Извините, но утверждение «критерий выбора пакетов для обработки» – это, по сути, ничего полезного не говорит. Так в чем же взаимосвязь address1 и address2? Это вроде как src, dst? Так если я хочу стримить весь трафик, приходящий на/из одного конкретного IP-адреса, мне нужно указать этот IP-адрес в поле address1, а второе оставить 0.0.0.0/0, или? Я точно не хочу использовать 0.0.0.0/0 везде, что, на мой взгляд, перенаправит весь 50-мегабитный трафик. Я зашёл в WireShark, настроил логирование в файлы, отключил WCCP, как и предлагали, но я всё ещё не уверен, что получаю стримированный контент. Что мне указать в поле фильтра захвата (tcpdump) WireShark? "udp"? "host mt.ip.here"? "host intruder.ip.here"? или? Я хочу, чтобы в WireShark попадали необработанные пакеты связи злоумышленника туда/обратно. Думаю, если не получится, мне придётся найти старый хаб, подключить WireShark-PC к тому же кабелю, что и основной роутер, и использовать tcpdump для прямой фильтрации хостов… Спасибо за возможную помощь! -pekr-

Привет, прошло много времени, как я снова к этому вернулся, полагаю. Я просто искал способ удалённого tcpdump'а, и наткнулся на инструмент sniffer. Кто-нибудь пробовал это с сервером потокового вещания, работающим на netcat или чём-то подобном, кроме Wireshark? Я занимаюсь устранением неполадок VoIP, и мне нужно захватывать весь связанный трафик на удалённом конце с маршрутизатором ROS и сервером VoIP. Сервер VoIP проблем не представляет с tcpdump в файл. Как можно транслировать с sniffer на ROS на Linux-сервер, который сохраняет весь захваченный трафик в файл для последующего анализа с Wireshark? С уважением, Ян.

Вау!!! Это именно то, что мне нужно было! Спасибо тебе большое! С уважением, Ян.

Настрой сниффер на стриминг на устройство, где запущен Wireshark: /tool sniffer set streaming-enabled=yes streaming-server=ip.of.wireshark.box /tool sniffer start

Я знаю, что этот топик пару лет назад обсуждали, но я наткнулся на него недавно. Я выполнил эти две команды, и как только я нажал кнопку Start, мой MikroTik завис на час. Я даже не мог зайти по telnet и остановить сниффер. У вас есть какие-нибудь предположения, почему это произошло? Может, проблема в CPU (100% загрузка) или в RAM?