dumpcap(1)

ciscodump(1) – Linux manualsida

Namn

ciscodump – tillhandahåller gränssnitt för att fånga trafik från en fjärransluten Cisco-enhet via SSH.

Synopsis

ciscodump [ --help ] [ --version ] [ --extcap-interfaces ]
          [ --extcap-dlts ] [ --extcap-interface=<gränssnitt> ]
          [ --extcap-config ]
          [ --extcap-capture-filter=<fångstfilter> ]
          [ --capture ] [ --fifo=<sökväg till fil eller pipe> ]
          [ --remote-host=<IP-adress> ]
          [ --remote-port=<TCP-port> ]
          [ --remote-username=<användarnamn> ]
          [ --remote-password=<lösenord> ]
          [ --remote-filter=<filter> ]
          [ --sshkey=<sökväg till publik nyckel> ]
          [ --remote-interface=<gränssnitt> ]
          [ --remote-count=<antal> ]

ciscodump --extcap-interfaces

ciscodump --extcap-interface=ciscodump --extcap-dlts

ciscodump --extcap-interface=ciscodump --extcap-config

ciscodump --extcap-interface=ciscodump \
          --fifo=<sökväg till fil eller pipe> \
          --capture \
          --remote-host=fjärrenhet \
          --remote-port=22 \
          --remote-username=användare \
          --remote-interface=<enhetens gränssnitt> \
          --remote-count=<antal>

Beskrivning

ciscodump är ett extcap-verktyg som använder Cisco EPC för att låta en användare köra en fjärrfångst på en Cisco-enhet via en SSH-anslutning.

Det stöder enheter baserade på:

• IOS
• IOS-XE
• ASA

Verktyget konfigurerar fångst på enheten, läser data och tar bort konfigurationen från enheten. De angivna inloggningsuppgifterna måste ge verktyget rätt att konfigurera enheten.

När fångsten startas tillhandahålls paket allt eftersom de tas emot från enheten.

Fångsten stoppas när:

• begärt antal paket har nåtts; --remote-count är obligatoriskt
• fångsten avslutas på enheten, till exempel när fångstbufferten är full
• fångsten stoppas av användaren

Fångstprestanda beror på enhetstypen. Verktyget försöker läsa paket så snart de tas emot, men är vanligtvis långsammare än den takt med vilken fångstenheten fångar paket. Därför läses paket i omgångar.

IOS och IOS-XE ger endast åtkomst till alla fångade paket från början. Att läsa den andra omgången innebär därför att alla paket från den första omgången läses igen, ignoreras, och att nya paket därefter läses i den andra omgången.

ASA ger åtkomst till specifika paket, så verktyget läser varje paket endast en gång.

Cisco-programvara som stöds

Programmet stöder IOS version 12.4 och senare.

Den IOS-version som stöder fångstfunktionen är 12.4(20)T och senare.

Mer information finns här:

• https://www.cisco.com/c/en/us/products/collateral/ios-nx-os-software/ios-embedded-packet-capture/datasheet_c78-502727.html

Programmet stöder IOS-XE version 16.1 och senare.

Sök efter:

Embedded Packet Capture Configuration Guide, Cisco IOS XE

för mer information.

Programmet stöder ASA version 8.4 och senare.

Mer information finns här:

• https://community.cisco.com/t5/security-documents/asa-using-packet-capture-to-troubleshoot-asa-firewall/ta-p/3129889

Flaggor

--help

Skriv ut programmets argument.

--version

Skriv ut programmets version.

--extcap-interfaces

Lista tillgängliga gränssnitt.

--extcap-interface=<gränssnitt>

Använd angivna gränssnitt.

--extcap-dlts

Lista DLT:er för angivet gränssnitt.

--extcap-config

Lista konfigurationsalternativ för angivet gränssnitt.

--capture

Starta fångst från angivet gränssnitt och spara den på den plats som anges med --fifo.

--fifo=<sökväg till fil eller pipe>

Spara fångade paket till en fil eller skicka dem genom en pipe.

--remote-host=<fjärrvärd>

Adressen till fjärrvärden för fångsten.

--remote-port=<fjärrport>

SSH-porten på fjärrvärden.

--remote-username=<användarnamn>

Användarnamnet för SSH-autentisering.

--remote-password=<lösenord>

Lösenordet som ska användas, om inte ssh-agent och publik nyckel används.

VARNING: lösenord lagras i klartext och är synliga för alla användare på systemet. Det rekommenderas att använda nyckelfiler tillsammans med en SSH-agent.

--remote-filter=<filter>

Fjärrfiltret på enheten.

Detta är ett fångstfilter som följer Ciscos standarder.

För IOS och IOS-XE, se:

• https://www.cisco.com/c/en/us/support/docs/ip/access-lists/26448-ACLsamples.html

För ASA, se:

• https://www.cisco.com/c/en/us/td/docs/security/asa/asa96/configuration/firewall/asa-96-firewall-config/access-acls.html

Flera filter kan anges genom att separera dem med kommatecken.

Observera: när ett filter används är standardbeteendet att släppa alla paket utom de som matchar filtret.

Exempel för IOS och IOS-XE:

permit ip host MYHOST any, permit ip any host MYHOST

Fångar trafiken för MYHOST.

deny ip host MYHOST any, deny ip any host MYHOST, permit ip any any

Fångar all trafik utom trafiken för MYHOST.

Exempel för ASA:

permit any4 host MYHOST, permit host MYHOST any4

Fångar IPv4-trafik för MYHOST.

Notering: olika fångsttyper stöder eller stöder inte specifika ACL-nyckelord. Verktyget kan inte kontrollera detta, utan försöker bara konfigurera det. Om ett fel uppstår rapporterar verktyget felet och avslutar. I detta fall lämnas rester kvar i konfigurationen.

--sshkey=<sökväg till privat SSH-nyckel>

Sökvägen till en privat nyckel för autentisering.

--remote-interface=<fjärrgränssnitt>

Det fjärranslutna nätverksgränssnittet att fånga från.

Ett gränssnitt eller en lista med gränssnittsnamn kan användas. Gränssnitt separeras med kommatecken. Gränssnittsnamnen måste stödjas av enheten.

Det finns gränssnittsnamn som orsakar olika fångsttyper. De är specifika för den Cisco-programvara som används.

Särskilda IOS-namn

process-switched

Fånga processväxlade paket i båda riktningarna.

from-us

Fånga processväxlade paket som kommer från själva enheten.

Särskilda IOS-XE-namn

control-plane

Fångar inkommande och utgående paket som berör kontrollplanet.

Särskilda ASA-namn

asp-drop

Fånga paket som tappas av alla ASP-kategorier.

TYPE---ifname

Syntax för att referera till ASA-fångsttyper.

Se:

• https://www.cisco.com/c/en/us/td/docs/security/asa/asa-cli-reference/A-H/asa-command-ref-A-H/ca-cld-commands.html#wp2435483314

Följande typer finns:

isakmp---ifname

Fånga ISAKMP-paket.

lacp---ifname

Fånga LACP-paket. Endast fysiska gränssnitt stöds.

tls-proxy---ifname

Fånga TLS-proxy-paket.

inline-tag---ifname

Fånga alla SGT-taggade paket.

raw-data---ifname

Samma som ifname.

Syntax för att fånga dekrypterad trafik för vissa fångsttyper:

isakmp/decrypted---ifname

Fånga ISAKMP-paket inklusive dekrypterad nyttolast.

tls-proxy/decrypted---ifname

Fånga TLS-proxy-paket inklusive dekrypterad nyttolast.

inline-tag/decrypted---ifname

Fånga inline-tag-paket inklusive dekrypterad nyttolast.

raw-data/decrypted---ifname

Fånga rådatapaket inklusive dekrypterad nyttolast.

Använd till exempel:

isakmp/decrypted---outside

för att fånga krypterad och dekrypterad ISAKMP-trafik på gränssnittet outside.

--remote-count=<antal>

Antal paket att fånga.

Fångsten stoppas när detta antal har nåtts.

--extcap-capture-filter=<fångstfilter>

Oanvänd. Finns endast för kompatibilitet.

Exempel

Visa programmets argument:

ciscodump --help

Visa programmets version:

ciscodump --version

Visa gränssnitt:

ciscodump --extcap-interfaces

Endast ett gränssnitt stöds:

ciscodump

Exempelutdata:

interface {value=ciscodump}{display=SSH remote capture}

Visa gränssnittets DLT:er:

ciscodump --extcap-interface=ciscodump --extcap-dlts

Exempelutdata:

dlt {number=147}{name=ciscodump}{display=Remote capture dependent DLT}

Visa gränssnittets konfigurationsalternativ:

ciscodump --extcap-interface=ciscodump --extcap-config

Exempelutdata:

ciscodump --extcap-interface=ciscodump --extcap-config
arg {number=0}{call=--remote-host}{display=Remote SSH server address}
    {type=string}{tooltip=The remote SSH host. It can be both an IP address or a hostname}
    {required=true}{group=Server}
arg {number=1}{call=--remote-port}{display=Remote SSH server port}
    {type=unsigned}{default=22}{tooltip=The remote SSH host port (1-65535)}
    {range=1,65535}{group=Server}
arg {number=2}{call=--remote-username}{display=Remote SSH server username}
    {type=string}{default=<current user>}{tooltip=The remote SSH username. If not provided, the current user will be used}
    {group=Authentication}
arg {number=3}{call=--remote-password}{display=Remote SSH server password}
    {type=password}{tooltip=The SSH password, used when other methods (SSH agent or key files) are unavailable.}
    {group=Authentication}
arg {number=4}{call=--sshkey}{display=Path to SSH private key}
    {type=fileselect}{tooltip=The path on the local filesystem of the private ssh key}
    {group=Authentication}
arg {number=5}{call=--proxycommand}{display=ProxyCommand}
    {type=string}{tooltip=The command to use as proxy for the SSH connection}{group=Authentication}
arg {number=6}{call--sshkey-passphrase}{display=SSH key passphrase}
    {type=password}{tooltip=Passphrase to unlock the SSH private key}{group=Authentication
arg {number=7}{call=--remote-interface}{display=Remote interface}
    {type=string}{tooltip=The remote network interface used for capture}
    {required=true}{group=Capture}
arg {number=8}{call=--remote-filter}{display=Remote capture filter}
    {type=string}{tooltip=The remote capture filter}{default=<filter to exclude current host>}
    {group=Capture}
arg {number=9}{call=--remote-count}{display=Packets to capture}
    {type=unsigned}{tooltip=The number of remote packets to capture.}
    {required=true}{group=Capture}
arg {number=10}{call=--debug}{display=Run in debug mode}
    {type=boolflag}{default=false}{tooltip=Print debug messages}
    {required=false}{group=Debug}
arg {number=11}{call=--debug-file}{display=Use a file for debug}
    {type=string}{tooltip=Set a file where the debug messages are written}
    {required=false}{group=Debug}

Fånga på IOS eller IOS-XE:

ciscodump --extcap-interface ciscodump --fifo=/tmp/cisco.pcap --capture --remote-host 192.168.1.10
    --remote-username user --remote-interface gigabit0/0,gigabit0/1
    --remote-filter "permit ip host 192.168.1.1 any, permit ip any host 192.168.1.1"
    --remote-count=10

Fånga på IOS eller IOS-XE:

ciscodump --extcap-interface ciscodump --fifo=/tmp/cisco.pcap --capture --remote-host 192.168.1.10
    --remote-username user --remote-interface outside,dmz
    --remote-filter "permit host 192.168.1.1 any4, permit any4 host 192.168.1.1"
    --remote-count=10

Exempel med dekrypterad rådata på ASA:

ciscodump --extcap-interface ciscodump --fifo=/tmp/cisco.pcap --capture --remote-host 192.168.1.10
    --remote-username user --remote-interface raw-data/decrypted---outside
    --remote-filter "permit host 192.168.1.1 any4, permit any4 host 192.168.1.1"

Kända problem

När fångsten stoppas av användaren innan den är färdig på Windows-plattformen rensas inte konfigurationen på enheten.

Nästa körning kommer troligen att misslyckas eftersom delar av konfigurationen redan finns på enheten.

Läsprestandan på IOS och IOS-XE är dålig eftersom fångstbufferten läses om och om igen.

Konfigurationen av fångsten på enheten är en flerstegsprocess. Om SSH-anslutningen avbryts under processen kan konfigurationen hamna i ett inkonsekvent tillstånd.

Detta kan också hända om fångsten stoppas och ciscodump inte kan rensa upp konfigurationen.

I så fall är det nödvändigt att logga in på enheten och rensa konfigurationen manuellt genom att ta bort följande konfigurationselement:

IOS

• fångstpunkter WSC_P_<nummer>, beroende på antalet fångstgränssnitt
• fångstbufferten WSC_B
• fångst-ACL:en WSC_ACL, om filter användes

IOS-XE

• fångsten WSC
• fångst-ACL:en WSC_ACL, om filter användes

ASA

• fångsten WSC
• fångst-ACL:en WSC_ACL, om filter användes

På IOS-plattformar utfärdas endast IPv4-kommandon och endast IPv4-paket fångas.

Se även

• wireshark(1)
• tshark(1)
• dumpcap(1)
• extcap(4)
• sshdump(1)

Noteringar

ciscodump är en del av Wireshark-distributionen.

Den senaste versionen av Wireshark finns på:

• https://www.wireshark.org

HTML-versioner av Wireshark-projektets manualsidor finns på:

• https://www.wireshark.org/docs/man-pages

Författare

Ursprunglig författare:

• Dario Lombardo <lomato[AT]gmail.com>

Kolofon

Den här sidan är en del av projektet wireshark, för interaktiv dumpning och analys av nätverkstrafik.

Information om projektet finns på:

• https://www.wireshark.org/

Om du har en felrapport för denna manualsida, se:

• https://gitlab.com/wireshark/wireshark/-/issues

Denna sida hämtades från projektets uppströms Git-arkiv:

https://gitlab.com/wireshark/wireshark.git

Sidan hämtades den 16 januari 2026.

Vid den tidpunkten var datumet för den senaste commit som hittades i arkivet 16 januari 2026.

Om du upptäcker renderingsproblem i HTML-versionen av sidan, känner till en bättre eller mer uppdaterad källa, eller har rättelser eller förbättringar av informationen i denna kolofon, skicka e-post till:

• man-pages@man7.org

Sidslut

Orginalhemsidan på Engelska https://man7.org/linux/man-pages/man1/dumpcap.1.html Det här är en maskinöversättning av Linux man sidor till svenska. Om du hittar fel är vi tacksamma om du rapporterar dem via formuläret som finns på https://www.linux.se/kontaka-linux-se/

Tack till Datorhjälp som har sponsrat Linux.se med webbhotell.