Add-NetEventWFPCaptureProvider

Add-NetEventWFPCaptureProvider

Creates a WFP capture provider.

Syntaxe

Parameter Set: cim:CreateInstance0
Add-NetEventWFPCaptureProvider [-SessionName] <String> [[-Level] <Byte> ] [[-MatchAnyKeyword] <UInt64> ] [[-MatchAllKeyword] <UInt64> ] [[-CaptureLayerSet] <WFPCaptureSet> {IPv4Inbound | IPv4Outbound | IPv6Inbound | IPv6Outbound} ] [[-IPAddresses] <String[]> ] [[-TCPPorts] <UInt16[]> ] [[-UDPPorts] <UInt16[]> ] [-CimSession <CimSession[]> ] [-InformationAction <ActionPreference> {SilentlyContinue | Stop | Continue | Inquire | Ignore | Suspend} ] [-InformationVariable <String> ] [-ThrottleLimit <Int32> ] [ <CommonParameters>] [ <WorkflowParameters>]

Description détaillée

The Add-NetEventWFPCaptureProvider cmdlet creates a Windows Firewall Platform (WFP) capture provider for network events. The WFP captures events directly from the network stack. You can capture traffic in network tunnels and from the loopback adapter. Unlike a NetEventPacketCapture provider, the NetEventWFPCaptureProvider captures network traffic above the IP layer.

A computer typically supports only one packet capture provider. If there is an existing provider on the current computer, remove it before you run this cmdlet.

Paramètres

-CaptureLayerSet<WFPCaptureSet>

Specifies a WFP capture set, which designates the layers and directions to filter. Les valeurs acceptables pour ce paramètre sont les suivantes : 

-- IPv4Inbound
-- IPv4Outbound
-- IPv6Inbound
-- IPv6Outbound

You can locially OR the direction and IP layer pairs together. For instance, you could capture incoming loopback traffic from IPv6 to avoid seeing duplicate traffic received by the loopback interface.

Alias	none
Requis ?	false
Position ?	5
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-CimSession<CimSession[]>

Exécute l'applet de commande dans une session distante ou sur un ordinateur distant. Entrez un nom d'ordinateur ou un objet de session, tels que le résultat d'une applet de commande New-CimSession ou Get-CimSession. La valeur par défaut est la session en cours sur l'ordinateur local.

Alias	Session
Requis ?	false
Position ?	named
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-InformationAction<ActionPreference>

Specifies how this cmdlet responds to an informational event. Les valeurs acceptables pour ce paramètre sont les suivantes : 

-- SilentlyContinue
-- Stop
-- Continue
-- Inquire
-- Ignore
-- Suspend

Alias	infa
Requis ?	false
Position ?	named
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-InformationVariable<String>

Specifies a variable in which to store an informational event.

Alias	iv
Requis ?	false
Position ?	named
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-IPAddresses<String[]>

Specifies an array of IP addresses. The provider filters for and logs network traffic that matches the IP addresses that this parameter specifies. The provider joins multiple addresses by using logical ORs.

Alias	none
Requis ?	false
Position ?	6
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-Level<Byte>

Specifies the Event Tracing for Windows (ETW) event error levels that NetEventWFPCaptureProvider returns. Use a level of detail specifier as a filter the type of error events that are logged. The default value for this parameter is 0x4, for informational events. Les valeurs acceptables pour ce paramètre sont les suivantes : 

-- 0x5. Verbose
-- 0x4. Informational
-- 0x3. Warning
-- 0x2. Error
-- 0x1. Critical
-- 0x0. LogAlways

The provider must log the event if the value of the event is less than or equal to the value of this parameter. Lower level events up to and including the specified level are logged.

Alias	none
Requis ?	false
Position ?	2
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-MatchAllKeyword<UInt64>

Specifies a keyword bitmask that restricts the events that the provider logs.

Alias	none
Requis ?	false
Position ?	4
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-MatchAnyKeyword<UInt64>

Specifies keywords as a set of hexadecimal values. Keywords are flags that you can combine to generate hexadecimal values that enable the provider to write one or more events for which it is instrumented, if a match is found. Use a set of hexadecimal values for keywords instead of the keyword names, and apply a filter to write ETW events for keyword matches. For more information, see EnableTraceEx2 function (https://msdn.microsoft.com/en-us/library/windows/desktop/dd392305(v=vs.85).aspx) in the Microsoft Developer Network library.

Alias	none
Requis ?	false
Position ?	3
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-SessionName<String>

Specifies the name of the session that is associated with the NetEventWFPCaptureProvider. This parameter has the same value as the Name parameter for the New-NetEventSession cmdlet.

Alias	none
Requis ?	true
Position ?	1
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-TCPPorts<UInt16[]>

Specifies an array of TCP ports. The provider filters for and logs network traffic that matches the ports that this parameter specifies. The provider joins multiple port numbers with logical ORs.

Alias	none
Requis ?	false
Position ?	7
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-ThrottleLimit<Int32>

Spécifie le nombre maximal d'opérations simultanées qui peuvent être établies pour exécuter l'applet de commande. Si ce paramètre est omis ou si la valeur 0 est entrée, Windows PowerShell® calcule un seuil de limitation optimal pour l'applet de commande en fonction du nombre d'applets de commande CIM exécutées sur l'ordinateur. Le seuil de limitation s'applique uniquement à l'applet de commande en cours, non pas à la session ou à l'ordinateur.

Alias	none
Requis ?	false
Position ?	named
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

-UDPPorts<UInt16[]>

Specifies an array of UDP ports. The provider filters for and logs network traffic that matches the ports that this parameter specifies. The provider joins multiple port numbers with logical ORs.

Alias	none
Requis ?	false
Position ?	8
Valeur par défaut	none
Accepter l'entrée de pipeline ?	false
Accepter les caractères génériques ?	false

<CommonParameters>

Cette applet de commande prend en charge les paramètres courants : -Verbose, -Debug, -ErrorAction, -ErrorVariable, -OutBuffer et -OutVariable. Pour plus d'informations, consultez  . about_CommonParameters (https://go.microsoft.com/fwlink/p/?LinkID=113216).

<WorkflowParameters>

Entrées

Le type d'entrée correspond au type des objets que vous pouvez adresser à l'applet de commande.

Sorties

Le type de sortie correspond au type des objets que l'applet de commande émet.

Exemples

Example 1: Create a WFP capture provider

The first command creates a network event session by using the New-NetEventSession cmdlet. The command also assigns the name WFPCapture to the session.

The second command uses the current cmdlet to create a WFP capture provider for the session named WFPCapture.

The final command starts the event tracing session named WFPCapture.

PS C:\> New-NetEventSession -Name "WFPCapture" -CaptureMode RealtimeLocal -LocalFilePath "C:\users\DavidChew\Documents\wfpdata.etl"
PS C:\> Add-NetEventWFPCaptureProvider -SessionName "WFPCapture" 
PS C:\> Start-NetEventSession -Name "WFPCapture"

Rubriques connexes

Get-NetEventWFPCaptureProvider

Remove-NetEventWFPCaptureProvider

Set-NetEventWFPCaptureProvider

New-NetEventSession