pktmon ログ ファイルを pcapng 形式に変換します。 既定では、破棄されたパケットは含まれません。 これらのログは、Wireshark (または任意の pcapng アナライザー) を使用して分析できます。
Syntax
pktmon etl2pcap <file> [--out <name>] [--drop-only] [--component-id <id>]
<file> は、変換する ETL ファイルです。
Parameters
| Parameter | Description |
|---|---|
| -o、--out <name> | 書式設定された pcapng ファイルの名前。 |
| -d, --drop-only | 破棄されたパケットのみを変換します。 |
| -c、--component-id <id> | 特定のコンポーネント ID でパケットをフィルター処理します。 |
Output filtering
pcapng 形式の出力では、パケット破棄のレポートおよびネットワーク スタックを介したパケット フローに関する情報はすべて失われます。 完全な変換を表示するには、ログの内容を慎重に事前にフィルター処理する必要があります。 For example:
- pcapng 形式では、フローしているパケットと破棄されたパケットは区別されません。 キャプチャ内のすべてのパケットをドロップされたパケットから分離するには、2 つの pcapng ファイルを生成します。1 つはすべてのパケット (
pktmon etl2pcap log.etl --out log-capture.etl) を含み、もう 1 つはドロップされたパケット(pktmon etl2pcap log.etl --drop-only --out log-drop.etl) のみを含みます。 このようにすることによって、別のログで破棄されたパケットを分析できます。 - pcapng 形式では、パケットがキャプチャされたさまざまなネットワーク コンポーネントは区別されません。 このような多層シナリオでは、pcapng 出力
pktmon etl2pcap log.etl --component-id 5で目的のコンポーネント ID を指定します。 関心のあるコンポーネント ID の各セットに対して、このコマンドを繰り返します。