Фильтры отображения

Язык выражений, который оставляет в списке только нужные пакеты. Синтаксис близок к Wireshark.

Фильтр ничего не удаляет из захвата — он только скрывает строки. Сбросьте его, и все пакеты вернутся.

Строка фильтра

Подсказки при вводе: имя поля, описание и тип.

Выражение проверяется во время набора. Если в нём ошибка, строка подсвечивается красным, а под ней появляется объяснение:

После применения в строке состояния видно, сколько пакетов прошло фильтр и за сколько миллисекунд он отработал.

Из чего состоит выражение

Простейшее условие — поле, оператор и значение:

tcp.port == 443

Одно поле без оператора означает «это поле или этот протокол есть в пакете»:

dns
http.host
tcp.analysis.retransmission

Условия соединяются логическими операторами и скобками:

(ip.src == 10.10.1.15 || ip.src == 10.10.1.77) && !arp

Операторы сравнения

Одиночный = не работает — используйте ==.

Логические операторы

Приоритет как в большинстве языков: a || b && c читается как a || (b && c). Когда сомневаетесь — ставьте скобки.

Типы полей и значения

У каждого поля есть тип. От него зависит, какие операторы допустимы и как писать значение.

Тип каждого поля указан в справочнике полей и в подсказках при вводе.

Строки

• Одно слово можно писать без кавычек: http.host == api.example.com.
• Если в значении есть пробелы или спецсимволы — берите в двойные кавычки: http.user_agent contains "Mozilla/5.0 (Windows".
• Сравнение строк учитывает регистр: "Example" и "example" — разные значения.
• Внутри кавычек работают последовательности \", \\, \n, \r, \t и \xNN.

Байты

tcp.payload contains "GET"
tcp.payload contains 47:45:54
udp.payload contains 00:01:00:00

Строка в кавычках сравнивается как её байты. В hex-записи разделителями могут быть :, - или ., а можно писать слитно: 474554.

Подсети

ip.addr == 192.168.0.0/16
ip.src == 10.10.1.0/24
ipv6.addr == 2001:db8::/32

Перечисления

tcp.port in {80 443 8080}
dns.qry.type in {1, 28}

Значения разделяются пробелами или запятыми.

Поля-псевдонимы

Некоторые поля означают «источник или назначение»:

Важно. ip.addr != 10.0.0.1 означает «ни источник, ни назначение не равны 10.0.0.1», то есть пакеты, в которых этого адреса нет вообще. В Wireshark такое выражение ведёт себя иначе и считается ловушкой; в NetTrace оно работает так, как читается.

То же правило действует для любого поля, которое встречается в пакете несколько раз: != истинно, только если ни одно значение не равно указанному.

Поля анализа

NetTrace добавляет поля, которых нет в байтах пакета, — результаты анализа потока:

Что означает каждая пометка — в разделе потоки и TCP-анализ.

Конструктор фильтра

Если не хочется помнить имена полей, соберите выражение мышью: Анализ → Конструктор фильтра или кнопка «Конструктор».

Три условия, соединённые через И. Внизу — получившееся выражение.

1. Выберите поле, оператор и значение.
2. «Добавить условие» — ещё одна строка; слева выбирается И или ИЛИ.
3. «Применить» сразу фильтрует список, «Вставить в строку фильтра» — только подставляет выражение.

Конструктор выдаёт обычное выражение, которое можно дописать руками.

Быстрые и медленные поля

Чтобы ускорить медленный фильтр, добавьте быстрое условие через &&: в tcp.port == 443 && tls.handshake.extensions_server_name contains "example" разбираться будут только пакеты с портом 443.

Вид каждого поля указан в справочнике.

Сообщения об ошибках

Отличия от Wireshark

• Нет операторов matches (регулярные выражения), ~, срезов [n:m] и функций.
• != для полей-псевдонимов работает по смыслу — см. выше.
• Набор полей меньше: только поддерживаемые протоколы.
• Имена полей совпадают с Wireshark там, где поле есть в обеих программах.