Protocolo da camada 3 somente em wireshark

Question

Eu tenho uma pergunta simples:

Existe alguma maneira no wireshark de evitar a resolução do protocolo além do protocolo da camada 3?

Por exemplo, no protocolo da coluna, em vez de mostrar http, quero mostrar TCP ou seu valor (6).

Eu posso ver no menu analisar / ativar protocolos que podemos desativar um por um, mas para rastros muito grandes com muitos protocolos diferentes como "eDonkey" "QUAKE" etc, custa muito tempo ...

    

Answer 1

No mais recente wireshark (1.8 ou mais) pelo menos, após abrir o diálogo "Enabled Protocols ...", você pode simplesmente clicar em "Disable All" e então habilitar apenas os poucos protocolos que você precisa. Principalmente isso será:

• SLL - Captura de modo cozido do Linux - para que você possa ler o arquivo
• IPv4 (ou IPv6) - seus protocolos de camada 2
• TCP, UDP, ARP - seus protocolos da camada 3

Clicar em cerca de seis caixas de seleção não é tão ruim, é?

    

Answer 2

Em Preferences → Protocols → TCP , você pode desativar Allow subdissector to reassemble TCP streams , o que deve alcançar o que você deseja.

Ou, em Enabled Protocols , você pode desabilitar o próprio TCP, e você será presenteado com pacotes IP brutos:)

    

Answer 3

Eu descobri que existe um arquivo de configuração chamado disabled_protos, onde você pode simplesmente colocar os protocolos que você não quer que o wireshark resolva ou vice-versa.

Obrigado pela sua ajuda pessoal.