Capturas en IOS (Embedded Packet Capture)

Configuración de Buffer El primer paso es reservar espacio en memoria para almacenar la información. Cabe señalar que la configuración se hace desde el modo privilegiado (enable): ROUTER# monitor capture buffer CAPBUFF size 512 max-size 1024 ? circular Circular Buffer linear Linear Buffer(Default) <cr> ROUTER# monitor capture buffer CAPBUFF size 512 max-size 1024 linear “CAPBUFF” es el nombre asignado al espacio en memoria (buffer). “size” es la cantidad de memoria reservada para la captura (el default es 256 kB) “max-size” es el número de bytes que se van a capturar por cada paquete (el default es 68 bytes con un máximo de 1024 bytes) “linear” es el tipo de buffer, cuando la memoria asignada se haya utilizado por completo la captura se detiene. “circular” es otro tipo de buffer, cuando la memoria asignada se haya utilizado por completo el IOS empieza a sobreescribir la información hasta que la captura sea detenida manualmente.

Filtrado Como la cantidad de memoria que se puede asignar es limitada, se tiene la opción de filtrar exactamente la información que se requiere por medio de una lista de acceso. ROUTER# config t Enter configuration commands, one per line. End with CNTL/Z. ROUTER(config)# access-list 199 permit icmp any any ROUTER(config)# exit ROUTER# monitor capture buffer CAPBUFF filter access-list 199 Filter Association succeeded

Configuración del punto de captura El elemento que realiza la captura del tráfico es el punto de captura (“capture point”). Existen dos modos de configuración de este elemento: Process-switched: Es todo el tráfico generado por el ruteador o dirigido al mismo(pings, telnet, GRE, VPN, NETFLOW, etc.) ROUTER# monitor capture point ip process-switched CAPPOINT ? both Inbound and outbound and packets from-us Packets originating locally in Inbound packets out Outbound packets “CAPPOINT” es el nombre del punto de captura “both” captura los paquetes de entrada y salida “from-us” captura solo los paquetes originados localmente “in” captura únicamente los paquetes dirigidos al ruteador “out” captura los paquetes de salida desde el ruteador

Punto de Captura(cont…) CEF: Se refiere al tráfico que pasa a través del ruteador. Con esta opción se puede capturar el tráfico transmitido, recibido o ambos en una sola interfaz (Ethernet, Serial, ATM, etc.) Finalmente, se asocia el buffer con el punto de captura: ROUTER# monitor capture point ip cef CAPPOINT FastEthernet 0/1 ? both capture ingress and egress in capture on ingress out capture on egress ROUTER# monitor capture point ip cef CAPPOINT FastEthernet 0/1 both ROUTER# monitor capture point associate ? WORD Name of the Capture Point ROUTER# monitor capture point associate CAPPOINT ? WORD Name of the Capture Buffer ROUTER# monitor capture point associate CAPPOINT CAPBUFF

Verificación Se puede verificar la configuración de EPC con los siguientes comandos: ROUTER# show monitor capture buffer all parameter Capture buffer CAPBUFF (linear buffer) Buffer Size : 524288 bytes, Max Element Size : 1024 bytes, Packets : 0 Allow-nth-pak : 0, Duration : 0 (seconds), Max packets : 0, pps : 0 Associated Capture Points: Name : CAPPOINT, Status : Inactive Configuration: monitor capture buffer CAPBUFF size 512 max-size 1024 linear monitor capture point associate CAPPOINT CAPBUFF monitor capture buffer CAPBUFF filter access-list 199 ROUTER# show monitor capture point all Status Information for Capture Point CAPPOINT IPv4 CEF Switch Path: IPv4 CEF , Capture Buffer: CAPBUFF Status : Inactive monitor capture point ip cef CAPPOINT FastEthernet0/1 both

Inicio de captura Los siguientes comandos inician o detienen la captura. Para confirmar que el tráfico ha sido capturado se pueden usar los siguientes comandos: ROUTER# monitor capture point start CAPPOINT ROUTER# monitor capture point stop CAPPOINT ROUTER# show monitor capture buffer CAPBUFF 13:19:28.587 MEXICO Aug 20 2008 : IPv4 LES CEF : Fa0/1 None ROUTER# show monitor capture buffer CAPBUFF dump 660DDED0: 00137F16 .... 660DDEE0: F1B5001C 232204D4 08004500 003C42AB q5..#".T..E..<B+ 660DDEF0: 00007F01 0556A16C D81EA16C D8C80800 .....V!lX.!lXH.. 660DDF00: 34590200 17036162 63646566 6768696A 4Y....abcdefghij

Exportando la captura Se puede exportar la información a un archivo *.cap a través de los siguientes métodos: ROUTER# monitor capture buffer CAPBUFF export ? ftp: Location to dump buffer http: Location to dump buffer https: Location to dump buffer pram: Location to dump buffer rcp: Location to dump buffer scp: Location to dump buffer tftp: Location to dump buffer ROUTER# monitor capture buffer CAPBUFF export tftp://161.108.216.30/capture.cap ! ROUTER#

Archivo de captura

Otros Comandos Para borrar el contenido de la captura: Remover la configuración (primero se elimina el punto de captura y después el buffer). ROUTER# monitor capture buffer CAPBUFF clear ROUTER# no monitor capture point ip cef CAPPOINT FastEthernet 0/1 both ROUTER# no monitor capture buffer CAPBUFF Capture Buffer deleted

Referencias http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6555/ps9913/datasheet_c78-502727.html http://www.cisco.com/en/US/docs/ios/netmgmt/configuration/guide/nm_packet_capture_ps6441_TSD_Products_Configuration_Guide_Chapter.html