Файлы захвата
Какие файлы открывает NetTrace, как он их читает и как сохранить нужные пакеты.
Открытие
| Способ | Как |
|---|---|
| Диалог | Ctrl+O или Файл → Открыть… |
| Перетаскивание | Перетащите файл в окно программы |
| Недавние | Файл → Недавние файлы или список на стартовом экране (до 10 файлов) |
| Из Проводника | Двойной щелчок по .pcap, .pcapng, .cap или «Открыть с помощью» |
Одновременно открыт один захват. Открытие нового файла закрывает текущий.
Поддерживаемые форматы
| Формат | Что поддерживается |
|---|---|
| PCAP | Метки времени в микросекундах и наносекундах, оба порядка байт, вариант «modified» |
| PCAPNG | Блоки SHB, IDB, EPB, SPB, PB; несколько интерфейсов в одном файле; до 4096 интерфейсов |
Типы канального уровня:
- Ethernet, включая 802.1Q (VLAN);
- Linux cooked capture — SLL и SLL2;
- Raw IP;
- BSD и OpenBSD loopback.
Сжатые файлы (.gz, .zst) нужно сначала распаковать.
Как читается файл
NetTrace не загружает файл в память целиком:
- Файл индексируется в фоне: на каждый пакет запоминается около 64 байт — где он лежит, время, адреса, поток.
- Байты пакета читаются с диска в момент, когда вы на него смотрите.
- Список доступен сразу, не дожидаясь конца индексирования.
Прогресс виден в строке состояния: Индексирование… 42%, затем Индексирование завершено за 1,8 с.
Примечание. Пока файл открыт, не удаляйте и не перезаписывайте его: байты пакетов читаются из него по требованию.
Повреждённые и обрезанные файлы
| Что случилось | Что делает NetTrace |
|---|---|
| Файл обрывается посреди пакета | Открывает всё, что прочиталось, и пишет «Файл обрезан: последний пакет неполный» |
| Пакет больше 256 КБ или блок PCAPNG больше 16 МБ | Считает файл повреждённым с этого места |
| Пакет не разбирается до конца | Показывает его с пометкой «Повреждённый пакет» и подсвечивает красным |
| Неизвестный формат | Сообщает «Неизвестный формат файла» |
Повреждённые пакеты можно выбрать фильтром _ws.malformed.
Сохранение пакетов
Файл → Сохранить отображаемые пакеты… (Ctrl+S) записывает в новый файл:
- при активном фильтре — только пакеты, прошедшие фильтр;
- без фильтра — весь захват.
Формат выбирается так:
| Условие | Формат |
|---|---|
Имя заканчивается на .pcapng |
PCAPNG |
| В пакетах разные типы канального уровня | PCAPNG |
| Иначе | PCAP |
Ограничения:
- нельзя перезаписать файл, который сейчас открыт;
- сохранение ждёт конца индексирования;
- идущий захват перед сохранением останавливается.
Если чтение захвата было прервано, в файл попадут только прочитанные пакеты — программа скажет об этом в строке состояния.
Данные одного потока без заголовков пакетов сохраняются из панели содержимое потока.
Закрытие
Ctrl+W или Файл → Закрыть. Если закрывается несохранённый живой захват, NetTrace спросит, сохранить ли пакеты.