Mikrotik + Wireshark

В Mikrotik RouterOS отсутствует команда Tcpdump. Что же делать?...

Для начала запускаем командой
"tool sniffer start" - запускаем анализатор пакетов

 , а затем

" tool sniffer connection print interval=0.2 " - производим вывод

 " tool sniffer stop"  - и останавливаем.

Эти действия выводят различную информацию о активных TCP соединениях, которые обновляются каждые 0,2 секунды. Это конечно не лучший вариант для использования на центральном/главном маршрутизаторе, но если маршрутизатор загружен слабо, это простой и быстрый способ узнать о TCP подключениях.

Как использовать Wireshark: Mikrotik маршрутизаторы могут передавать копии пересылаемых пакетов в режиме реального времени, чтобы Wireshark на рабочей станции с использованием протокола TZSP, принимал поток TZSP с передаваемыми пакетами.

Запускаем Wireshark от root-а и выбираем интерфейс, обращенный к Mikrotik, который например имеет адрес 192.0.2.165. Заходим в опции (Options) – фильтр (Capture Filter:) и в новом окне создаём новое правило фильтрации, нажатием на кнопку New. В поле Filter name: рекомендую ввести MIKROTIK Sniffer, а в поле Filter string: udp port 37008 and (udp[8:2] = 0x0100) или udp port 37008 (менее строгое правило). Нажимаем OK и Start. Теперь мы готовы, начать получение потока пакетов от Mikrotik-а:

tool sniffer set streaming-server=192.0.2.165 streaming-enabled=yes

, а затем

tool sniffer start

Окно Wireshark будет немедленно заполняться данными, так как Wireshark показывает весь трафик, проходящий через Mikrotik. Также можно настроить фильтр на отправляемые данные со стороны Mikrotik.

Встроенный сниффер Mikrotik-а умеет  сохранять дамп проходящих данных в файл.

tool sniffer

 Я никогда использовал сниффер потому как у меня есть некоторые сомнения по поводу размера создаваемых файлов:

tool sniffer set file-name


Источники:

http://rant.gulbrandsen.priv.no/mikrotik/tcpdump
http://wiki.mikrotik.com/wiki/User:Mmv