PCAP-фильтры

Описание

В текстовом виде PCAP-фильтр выглядит как выражение, состоящее из одного или нескольких примитивов. Примитивы в выражении определяют возможность приема фильтром входящего пакета. Каждый примитив определяет конкретный элемент пакета протокола стандартной структуры и его значение, сравниваемое фильтром со значением соответствующего элемента входящего пакета. Если значение примитива совпадает со значением элемента пакета, фильтр отмечает его как "логическую истину" (true) и переходит к сравнению следующего примитива. При совпадении всех значений выражения со значениями проверенных элементов пакета фильтр принимает решение о приеме данного пакета, в противном случае входящий пакет игнорируется.

Каждый примитив обычно состоит из одного или нескольких квалификаторов и следующего за ними идентификатора (имя или число). Всего имеется три типа квалификаторов:

• "type" – определяет тип имени или номера идентификатора. Возможные значения: "host" (хост), "net" (сеть), "port" (порт) или "portrange" (диапазон портов). Если квалификатор отсутствует, по умолчанию принимается "host".
• "dir" – определяет возможное направление приема и передачи данных объектом, указанным в качестве идентификатора: к нему и/или от него. Допускается указание следующих значений: "src" (отправитель), "dst" (получатель), "src and dst" (отправитель и получатель), "src or dst" (отправитель или получатель). Если квалификатор не указан, по умолчанию принимается "src  or  dst".
• "proto" – определяет тип протокола, используемого объектом, указанным в качестве идентификатора. Возможные значения: "ether", "fddi", "ip", "arp", "rarp", "decnet", "lat", "sca", "moprc", "mopdl", "tcp" и "udp". При отсутствии квалификатора значение по умолчанию выбирается по максимальному соответствию указанному идентификатору.

Стоит отметить, что существуют некоторые специальные примитивы, которые не соответствуют шаблону: "broadcast", "less", "greater", а также арифметические выражения. Подробное описание приведено ниже.

Более сложные выражения фильтра создаются с использованием слов "and",  "or" и "not" для объединения примитивов. Примитивы можно группировать с помощью скобок и логических операций:

• отрицание ("!" или "not");
• сложение ("&&" или "and");
• дизъюнкция ("||" или "or").

Отрицание имеет самый высокий приоритет. Сложение и дизъюнкция имеют одинаковый приоритет в выражении и читаются слева направо. 

Аббревиатуры "ip", "arp", "rarp", "atalk", "aarp", "iso", "stp", "ipx", "netbeui" являются сокращениями для "ether proto p", где "p" один из указанных протоколов. "tcp", "udp", "icmp" являются сокращениями для "ip proto p", где "p" - один из указанных выше протоколов. "clnp", "esis", "isis" являются сокращениями для "iso proto  p", где "p" - один из указанных выше протоколов.

Примитивы

Примеры

ipfw add reject -f "port 80"               

net 192.168.0.0/24 and (tcp port 21 or tcp port 20 or tcp port 25 or tcp port 80 or tcp port 110)          

net 192.168.0.0/24 and (tcp port 21 or 20 or 25 or 80 or 110)         

not (host 1.1.1.1 and host 1.1.1.2)          

not (host 1.1.1.1 and 1.1.1.2)         

not host 1.1.1.1 and 1.1.1.2      

not (host 1.1.1.1 or 1.1.1.2)       

host 192.168.0.1                     

dst net 172.16.0.0/16         

net 192.168.0.0/24 and tcp port 21      

ether[0] & 1 != 0       

ip[0] & 0xf != 5                  

ip[6:2] & 0x1fff = 0

svlan 100 && vlan 200

vlan 300 && ip

svlan 100

mpls 100000 && mpls 1024

mpls && mpls 1024 && host 192.9.200.1

pppoes && ppp proto 0x21