{"id":1734,"date":"2009-05-02T17:11:29","date_gmt":"2009-05-02T16:11:29","guid":{"rendered":"http:\/\/security-planet.de\/?p=1734"},"modified":"2009-05-02T17:11:29","modified_gmt":"2009-05-02T16:11:29","slug":"cisco-ios-embedded-packet-capture","status":"publish","type":"post","link":"https:\/\/cyber-fi.net\/index.php\/2009\/05\/02\/cisco-ios-embedded-packet-capture\/","title":{"rendered":"Cisco IOS: Embedded Packet Capture"},"content":{"rendered":"

\"router\"Viele Cisco-Ger\u00e4te erlauben es, direkt auf der Netzwerk-Schnittstelle Pakete mitzuschneiden. Wie das mit der PIX\/ASA geht habe ich schon vor l\u00e4ngerer Zeit beschrieben<\/a>.<\/p>\n

Seit IOS 12.4(20)T geht das auch auf dem Router. Steffen Lehmann<\/a><\/em> von Systema<\/a> hat dazu eine kleine Einf\u00fchrung gerschrieben und sie mir zur Verf\u00fcgung gestellt:<\/p>\n

\n

Ab 12.4(20)T kann ohne gro\u00dfen Aufwand ein Router Interface gespiegelt werden und per ftp\/tftp der Output im Wireshark kompatiblen Format exportiert werden.<\/p>\n

Dies funktioniert auch f\u00fcr SUB Interfaces auf einem 802.1q Trunk .<\/p>\n

Die Konfguration<\/strong><\/p>\n

    \n
  1. Erstellen des Buffers<\/li>\n

    Hier wird der das Puffer File definiert, welches f\u00fcr die \u201egedumpten\u201c Pakete verwendet wird.<\/p>\n

    \nRouter#monitor capture buffer >Buffer Filename<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_4d612e2\"<\/p>\n
  2. Erstellen des Capture Point<\/li>\n
    Damit wird definiert, welche Source f\u00fcr eine bestimmte Session (Capture Point) genutzt wird.<\/p>\n
    \nRouter#monitor capture point ip cef >CapturePointNameIF NameRichtung<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_m43ffb00a\"<\/p>\n
  3. Zuordnung Buffer \u2013 Capture Point<\/li>\n
    \nRouter#monitor capture point associate >CapturePointNameBuffer Filename<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_efca750\"<\/p>\n
  4. Start des Capture<\/li>\n
    \nRouter#monitor capture point start >CapturePointName<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_m69e287f3\"<\/p>\n
  5. Monitoring<\/li>\n
    Um festzustellen, wie viele Pakete schon gemonitort wurden, kann mit folgendem Kommando nachgesehen werden…<\/p>\n
    \nRouter#show monitor capture buffer > Buffer Filename<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_m1a74612e\"<\/p>\n
  6. Beenden des Capture<\/li>\n
    \nRouter#monitor capture point stop >CapturePointName<\n<\/code><\/pre>\n
  7. Kopieren des Capture File auf externen Server<\/li>\n
    \nRouter#monitor capture buffer >Buffer FilenameIPADRESSE>\/>Dateiname<\n<\/code><\/pre>\n
    \"embedded-packet-capture_htm_43109f51\"<\/p>\n
    Jetzt kann die Datei auf dem remote Rechner mit Wireshark ge\u00f6ffnet und analysiert werden.\n<\/ol>\n","protected":false},"excerpt":{"rendered":"
    Viele Cisco-Ger\u00e4te erlauben es, direkt auf der Netzwerk-Schnittstelle Pakete mitzuschneiden. Wie das mit der PIX\/ASA geht habe ich schon vor l\u00e4ngerer Zeit beschrieben. Seit IOS 12.4(20)T geht das auch auf dem Router. Steffen Lehmann von Systema hat dazu eine kleine Einf\u00fchrung gerschrieben und sie mir zur Verf\u00fcgung gestellt: Ab 12.4(20)T kann ohne gro\u00dfen Aufwand ein <\/p>\n
    continue reading<\/a><\/div>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"twitterCardType":"","cardImageID":0,"cardImage":"","cardTitle":"","cardDesc":"","cardImageAlt":"","cardPlayer":"","cardPlayerWidth":0,"cardPlayerHeight":0,"cardPlayerStream":"","cardPlayerCodec":"","footnotes":""},"categories":[5],"tags":[112,307,358],"class_list":["post-1734","post","type-post","status-publish","format-standard","hentry","category-cisco","tag-capture","tag-ios","tag-konfiguration"],"_links":{"self":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts\/1734","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/comments?post=1734"}],"version-history":[{"count":0,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts\/1734\/revisions"}],"wp:attachment":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/media?parent=1734"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/categories?post=1734"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/tags?post=1734"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}