NetTraceдокументация

Быстрый старт

Пять шагов от открытия файла до нужного пакета.

1. Откройте захват

  • Перетащите файл .pcap или .pcapng в окно, или
  • нажмите Ctrl+O, или
  • выберите интерфейс на стартовом экране и нажмите «Начать захват» (нужен Npcap).

Стартовый экран: открытие файла, список интерфейсов, недавние файлы Стартовый экран. Список интерфейсов появляется, если установлен Npcap.

Пакеты видны сразу, пока файл ещё индексируется. Прогресс показан в строке состояния внизу.

2. Посмотрите на пакет

Щёлкните строку в списке. Ниже откроются две панели:

  • Детали пакета — дерево протоколов от кадра до прикладного уровня;
  • Байты пакета — hex-дамп. Выбранное в дереве поле подсвечивается в байтах, и наоборот.

Стрелки ↑ и ↓ переходят между пакетами, ← и → сворачивают и разворачивают узлы дерева.

3. Отфильтруйте лишнее

Введите выражение в строку фильтра и нажмите Enter:

ip.addr == 10.10.1.15 && tcp.port == 443

Быстрее всего — правой кнопкой по ячейке или полю и «Применить как фильтр». Сбросить фильтр — кнопка «Сбросить».

Список после фильтра: в строке состояния видно, сколько пакетов отображается Фильтр tls && ip.addr == 10.10.1.15: отображается 37 пакетов из 137.

Синтаксис и все операторы — в разделе фильтры отображения, типовые выражения — в готовых фильтрах.

4. Найдите нужное

Ctrl+F открывает поиск по строке, hex-байтам, адресу, порту или домену. Найденное поле подсвечивается в дереве и в байтах. Подробнее — поиск.

5. Перейдите к потоку

Нажмите Enter на пакете или выберите в контекстном меню «Открыть поток». Справа откроется панель с потоком: участники, объём, RTT, ретрансмиссии.

Оттуда же:

Что дальше