附錄:tcpdump的表達元
(nt: True 在以下的描述中含義為: 相應條件表達式中只含有以下所列的一個特定表達元, 此時表達式為真, 即條件得到滿足)

dst host host
如果IPv4/v6 數據包的目的域是host, 則與此對應的條件表達式為真.host 可以是一個ip地址, 也可以是一個主機名.
src host host
如果IPv4/v6 數據包的源域是host, 則與此對應的條件表達式為真.
host 可以是一個ip地址, 也可以是一個主機名.
host host

如果IPv4/v6數據包的源或目的地址是 host, 則與此對應的條件表達式為真.以上的幾個host 表達式之前可以添加以下關鍵字:ip, arp, rarp, 以及 ip6.比如:
ip host host
也可以表達為:
ether proto \ip and host host(nt: 這種表達方式在下面有說明, 其中ip之前需要有\(zhòng)來轉義,因為ip 對tcpdump 來說已經是一個關鍵字了.)

如果host 是一個擁有多個IP 的主機, 那么任何一個地址都會用于包的匹配(nt: 即發(fā)向host 的數據包的目的地址可以是這幾個IP中的任何一個, 從host 接收的數據包的源地址也可以是這幾個IP中的任何一個).

ether dst ehost
如果數據包(nt: 指tcpdump 可抓取的數據包, 包括ip 數據包, tcp數據包)的以太網目標地址是ehost,則與此對應的條件表達式為真. Ehost 可以是/etc/ethers 文件中的名字或一個數字地址(nt: 可通過 man ethers 看到對/etc/ethers 文件的描述, 樣例中用的是數字地址)

ether src ehost
如果數據包的以太網源地址是ehost, 則與此對應的條件表達式為真.

ether host ehost
如果數據包的以太網源地址或目標地址是ehost, 則與此對應的條件表達式為真.

gateway host
如果數據包的網關地址是host, 則與此對應的條件表達式為真. 需要注意的是, 這里的網關地址是指以太網地址, 而不是IP 地址(nt | rt: I.e., 例如, 可理解為'注意'.the Ethernet source or destination address, 以太網源和目標地址, 可理解為, 指代上句中的'網關地址' ).host 必須是名字而不是數字, 并且必須在機器的'主機名-ip地址'以及'主機名-以太地址'兩大映射關系中 有其條目(前一映射關系可通過/etc/hosts文件, DNS 或 NIS得到, 而后一映射關系可通過/etc/ethers 文件得到. nt: /etc/ethers并不一定存在 , 可通過man ethers 看到其數據格式, 如何創(chuàng)建該文件, 未知,需補充).也就是說host 的含義是 ether host ehost 而不是 host host, 并且ehost必須是名字而不是數字.
目前, 該選項在支持IPv6地址格式的配置環(huán)境中不起作用(nt: configuration, 配置環(huán)境, 可理解為,通信雙方的網絡配置).

dst net net
如果數據包的目標地址(IPv4或IPv6格式)的網絡號字段為 net, 則與此對應的條件表達式為真.
net 可以是從網絡數據庫文件/etc/networks 中的名字, 也可以是一個數字形式的網絡編號.

一個數字IPv4 網絡編號將以點分四元組(比如, 192.168.1.0), 或點分三元組(比如, 192.168.1 ), 或點分二元組(比如, 172.16), 或單一單元組(比如, 10)來表達;

對應于這四種情況的網絡掩碼分別是:四元組:255.255.255.255(這也意味著對net 的匹配如同對主機地址(host)的匹配:地址的四個部分都用到了),三元組:255.255.255.0, 二元組: 255.255.0.0, 一元組:255.0.0.0.

對于IPv6 的地址格式, 網絡編號必須全部寫出來(8個部分必須全部寫出來); 相應網絡掩碼為:
ff:ff:ff:ff:ff:ff:ff:ff, 所以IPv6 的網絡匹配是真正的'host'方式的匹配(nt | rt | rc:地址的8個部分都會用到,是否不屬于網絡的字節(jié)填寫0, 需接下來補充), 但同時需要一個網絡掩碼長度參數來具體指定前面多少字節(jié)為網絡掩碼(nt: 可通過下面的net net/len 來指定)

src net net
如果數據包的源地址(IPv4或IPv6格式)的網絡號字段為 net, 則與此對應的條件表達式為真.

net net
如果數據包的源或目的地址(IPv4或IPv6格式)的網絡號字段為 net, 則與此對應的條件表達式為真.

net net mask netmask
如果數據包的源或目的地址(IPv4或IPv6格式)的網絡掩碼與netmask 匹配, 則與此對應的條件表達式為真.此選項之前還可以配合src和dst來匹配源網絡地址或目標網絡地址(nt: 比如 src net net mask 255.255.255.0).該選項對于ipv6 網絡地址無效.

net net/len
如果數據包的源或目的地址(IPv4或IPv6格式)的網絡編號字段的比特數與len相同, 則與此對應的條件表達式為真.此選項之前還可以配合src和dst來匹配源網絡地址或目標網絡地址(nt | rt | tt: src net net/24, 表示需要匹配源地址的網絡編號有24位的數據包).

dst port port
如果數據包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口為port, 則與此對應的條件表達式為真.port 可以是一個數字也可以是一個名字(相應名字可以在/etc/services 中找到該名字, 也可以通過man tcp 和man udp來得到相關描述信息 ). 如果使用名字, 則該名字對應的端口號和相應使用的協(xié)議都會被檢查. 如果只是使用一個數字端口號,則只有相應端口號被檢查(比如, dst port 513 將會使tcpdump抓取tcp協(xié)議的login 服務和udp協(xié)議的who 服務數據包, 而port domain 將會使tcpdump 抓取tcp協(xié)議的domain 服務數據包, 以及udp 協(xié)議的domain 數據包)(nt | rt: ambiguous name is used 不可理解, 需補充).

src port port
如果數據包的源端口為port, 則與此對應的條件表達式為真.

port port
如果數據包的源或目的端口為port, 則與此對應的條件表達式為真.

dst portrange port1-port2
如果數據包(包括ip/tcp, ip/udp, ip6/tcp or ip6/udp協(xié)議)的目的端口屬于port1到port2這個端口范圍(包括port1, port2), 則與此對應的條件表達式為真. tcpdump 對port1 和port2 解析與對port 的解析一致(nt:在dst port port 選項的描述中有說明).

src portrange port1-port2
如果數據包的源端口屬于port1到port2這個端口范圍(包括 port1, port2), 則與此對應的條件表達式為真.

portrange port1-port2
如果數據包的源端口或目的端口屬于port1到port2這個端口范圍(包括 port1, port2), 則與此對應的條件表達式為真.

以上關于port 的選項都可以在其前面添加關鍵字:tcp 或者udp, 比如:
tcp src port port
這將使tcpdump 只抓取源端口是port 的tcp數據包.

less length
如果數據包的長度比length 小或等于length, 則與此對應的條件表達式為真. 這與'len <= length' 的含義一致.

greater length
如果數據包的長度比length 大或等于length, 則與此對應的條件表達式為真. 這與'len >= length' 的含義一致.

ip proto protocol
如果數據包為ipv4數據包并且其協(xié)議類型為protocol, 則與此對應的條件表達式為真.
Protocol 可以是一個數字也可以是名字, 比如:icmp6, igmp, igrp(nt: Interior Gateway Routing Protocol,內部網關路由協(xié)議), pim(Protocol Independent Multicast, 獨立組播協(xié)議, 應用于組播路由器),ah, esp(nt: ah, 認證頭, esp 安全負載封裝, 這兩者會用在IP包的安全傳輸機制中 ), vrrp(Virtual Router Redundancy Protocol, 虛擬路由器冗余協(xié)議), udp, or tcp. 由于tcp , udp 以及icmp是tcpdump 的關鍵字,所以在這些協(xié)議名字之前必須要用\來進行轉義(如果在C-shell 中需要用\\來進行轉義). 注意此表達元不會把數據包中協(xié)議頭鏈中所有協(xié)議頭內容全部打印出來(nt: 實際上只會打印指定協(xié)議的一些頭部信息, 比如可以用tcpdump -i eth0 'ip proto \tcp and host 192.168.3.144', 則只打印主機192.168.3.144 發(fā)出或接收的數據包中tcp 協(xié)議頭所包含的信息)

ip6 proto protocol
如果數據包為ipv6數據包并且其協(xié)議類型為protocol, 則與此對應的條件表達式為真.
注意此表達元不會把數據包中協(xié)議頭鏈中所有協(xié)議頭內容全部打印出來

ip6 protochain protocol
如果數據包為ipv6數據包并且其協(xié)議鏈中包含類型為protocol協(xié)議頭, 則與此對應的條件表達式為真. 比如,
ip6 protochain 6

將匹配其協(xié)議頭鏈中擁有TCP 協(xié)議頭的IPv6數據包.此數據包的IPv6頭和TCP頭之間可能還會包含驗證頭, 路由頭, 或者逐跳尋徑選項頭.
由此所觸發(fā)的相應BPF(Berkeley Packets Filter, 可理解為, 在數據鏈路層提供數據包過濾的一種機制)代碼比較繁瑣,
并且BPF優(yōu)化代碼也未能照顧到此部分, 從而此選項所觸發(fā)的包匹配可能會比較慢.

ip protochain protocol
與ip6 protochain protocol 含義相同, 但這用在IPv4數據包.

ether broadcast
如果數據包是以太網廣播數據包, 則與此對應的條件表達式為真. ether 關鍵字是可選的.

ip broadcast
如果數據包是IPv4廣播數據包, 則與此對應的條件表達式為真. 這將使tcpdump 檢查廣播地址是否符合全0和全1的一些約定,并查找網絡接口的網絡掩碼(網絡接口為當時在其上抓包的網絡接口).

如果抓包所在網絡接口的網絡掩碼不合法, 或者此接口根本就沒有設置相應網絡地址和網絡， 亦或是在linux下的'any'網絡接口上抓包(此'any'接口可以收到系統(tǒng)中不止一個接口的數據包(nt: 實際上, 可理解為系統(tǒng)中所有可用的接口)),網絡掩碼的檢查不能正常進行.

ether multicast
如果數據包是一個以太網多點廣播數據包(nt: 多點廣播, 可理解為把消息同時傳遞給一組目的地址, 而不是網絡中所有地址,后者為可稱為廣播(broadcast)), 則與此對應的條件表達式為真. 關鍵字ether 可以省略. 此選項的含義與以下條件表達式含義一致:`ether[0] & 1 != 0'(nt: 可理解為, 以太網數據包中第0個字節(jié)的最低位是1, 這意味這是一個多點廣播數據包).

ip multicast
如果數據包是ipv4多點廣播數據包, 則與此對應的條件表達式為真.

ip6 multicast
如果數據包是ipv6多點廣播數據包, 則與此對應的條件表達式為真.

ether proto protocol
如果數據包屬于以下以太協(xié)議類型, 則與此對應的條件表達式為真.
協(xié)議(protocol)字段, 可以是數字或以下所列出了名字: ip, ip6, arp, rarp, atalk(AppleTalk網絡協(xié)議),
aarp(nt: AppleTalk Address Resolution Protocol, AppleTalk網絡的地址解析協(xié)議),
decnet(nt: 一個由DEC公司所提供的網絡協(xié)議棧), sca(nt: 未知, 需補充),
lat(Local Area Transport, 區(qū)域傳輸協(xié)議, 由DEC公司開發(fā)的以太網主機互聯(lián)協(xié)議),
mopdl, moprc, iso(nt: 未知, 需補充), stp(Spanning tree protocol, 生成樹協(xié)議, 可用于防止網絡中產生鏈接循環(huán)),
ipx（nt: Internetwork Packet Exchange, Novell 網絡中使用的網絡層協(xié)議）, 或者
netbeui(nt: NetBIOS Extended User Interface，可理解為, 網絡基本輸入輸出系統(tǒng)接口擴展).

protocol字段可以是一個數字或以下協(xié)議名之一:ip, ip6, arp, rarp, atalk, aarp, decnet, sca, lat,
mopdl, moprc, iso, stp, ipx, 或者netbeui.
必須要注意的是標識符也是關鍵字, 從而必須通過'\'來進行轉義.

(SNAP：子網接入協(xié)議 （SubNetwork Access Protocol）)

在光纖分布式數據網絡接口(其表達元形式可以是'fddi protocol arp'), 令牌環(huán)網(其表達元形式可以是'tr protocol arp'),
以及IEEE 802.11 無線局域網(其表達元形式可以是'wlan protocol arp')中, protocol
標識符來自802.2 邏輯鏈路控制層頭,
在FDDI, Token Ring 或 802.1頭中會包含此邏輯鏈路控制層頭.

當以這些網絡上的相應的協(xié)議標識為過濾條件時, tcpdump只是檢查LLC頭部中以0x000000為組成單元標識符(OUI, 0x000000
標識一個內部以太網)的一段'SNAP格式結構'中的protocol ID 域, 而不會管包中是否有一段OUI為0x000000的'SNAP格式
結構'(nt: SNAP, SubNetwork Access Protocol,子網接入協(xié)議 ). 以下例外:

iso tcpdump 會檢查LLC頭部中的DSAP域(Destination service Access Point, 目標服務接入點)和
SSAP域(源服務接入點).(nt: iso 協(xié)議未知, 需補充)

stp 以及 netbeui
tcpdump 將會檢查LLC 頭部中的目標服務接入點(Destination service Access Point);

atalk
tcpdump 將會檢查LLC 頭部中以0x080007 為OUI標識的'SNAP格式結構', 并會檢查AppleTalk etype域.
(nt: AppleTalk etype 是否位于SNAP格式結構中, 未知, 需補充).

此外, 在以太網中, 對于ether proto protocol 選項, tcpdump 會為 protocol 所指定的協(xié)議檢查
以太網類型域(the Ethernet type field), 但以下這些協(xié)議除外:

iso, stp, and netbeui
tcpdump 將會檢查802.3 物理幀以及LLC 頭(這兩種檢查與FDDI, TR, 802.11網絡中的相應檢查一致);
(nt: 802.3, 理解為IEEE 802.3, 其為一系列IEEE 標準的集合. 此集合定義了有線以太網絡中的物理層以及數據
鏈路層的媒體接入控制子層. stp 在上文已有描述)

atalk
tcpdump 將會檢查以太網物理幀中的AppleTalk etype 域 ,　同時也會檢查數據包中LLC頭部中的'SNAP格式結構'
(這兩種檢查與FDDI, TR, 802.11網絡中的相應檢查一致)

aarp tcpdump 將會檢查AppleTalk ARP etype 域, 此域或存在于以太網物理幀中, 或存在于LLC(由802.2 所定義)的
'SNAP格式結構'中, 當為后者時, 該'SNAP格式結構'的OUI標識為0x000000;
(nt: 802.2, 可理解為, IEEE802.2, 其中定義了邏輯鏈路控制層(LLC), 該層對應于OSI 網絡模型中數據鏈路層的上層部分.
LLC 層為使用數據鏈路層的用戶提供了一個統(tǒng)一的接口(通常用戶是網絡層). LLC層以下是媒體接入控制層(nt: MAC層,
對應于數據鏈路層的下層部分).該層的實現(xiàn)以及工作方式會根據不同物理傳輸媒介的不同而有所區(qū)別(比如, 以太網, 令牌環(huán)網,
光纖分布數據接口(nt: 實際可理解為一種光纖網絡), 無線局域網(802.11), 等等.)

ipx tcpdump 將會檢查物理以太幀中的IPX etype域, LLC頭中的IPX DSAP域，無LLC頭并對IPX進行了封裝的802.3幀,
以及LLC 頭部'SNAP格式結構'中的IPX etype 域(nt | rt: SNAP frame, 可理解為, LLC 頭中的'SNAP格式結構'.
該含義屬初步理解階段, 需補充).

decnet src host
如果數據包中DECNET源地址為host, 則與此對應的條件表達式為真.
(nt:decnet, 由Digital Equipment Corporation 開發(fā), 最早用于PDP-11 機器互聯(lián)的網絡協(xié)議)

decnet dst host
如果數據包中DECNET目的地址為host, 則與此對應的條件表達式為真.
(nt: decnet 在上文已有說明)

decnet host host
如果數據包中DECNET目的地址或DECNET源地址為host, 則與此對應的條件表達式為真.
(nt: decnet 在上文已有說明)

ifname interface
如果數據包已被標記為從指定的網絡接口中接收的, 則與此對應的條件表達式為真.
(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))

on interface
與 ifname interface 含義一致.

rnr num
如果數據包已被標記為匹配PF的規(guī)則, 則與此對應的條件表達式為真.
(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))

rulenum num
與 rulenum num 含義一致.

reason code
如果數據包已被標記為包含PF的匹配結果代碼, 則與此對應的條件表達式為真.有效的結果代碼有: match, bad-offset,
fragment, short, normalize, 以及memory.
(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))

rset name
如果數據包已被標記為匹配指定的規(guī)則集, 則與此對應的條件表達式為真.
(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))

ruleset name
與 rset name 含義一致.

srnr num
如果數據包已被標記為匹配指定的規(guī)則集中的特定規(guī)則(nt: specified PF rule number, 特定規(guī)則編號, 即特定規(guī)則),
則與此對應的條件表達式為真.(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為
OpenBSD中的防火墻程序))

subrulenum num
與 srnr 含義一致.

action act
如果包被記錄時PF會執(zhí)行act指定的動作, 則與此對應的條件表達式為真. 有效的動作有: pass, block.
(此選項只適用于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序))

ip, ip6, arp, rarp, atalk, aarp, decnet, iso, stp, ipx, netbeui
與以下表達元含義一致:
ether proto p
p是以上協(xié)議中的一個.

lat, moprc, mopdl
與以下表達元含義一致:
ether proto p
p是以上協(xié)議中的一個. 必須要注意的是tcpdump目前還不能分析這些協(xié)議.

vlan [vlan_id]
如果數據包為IEEE802.1Q VLAN 數據包, 則與此對應的條件表達式為真.
(nt: IEEE802.1Q VLAN, 即IEEE802.1Q 虛擬網絡協(xié)議, 此協(xié)議用于不同網絡的之間的互聯(lián)).
如果[vlan_id] 被指定, 則只有數據包含有指定的虛擬網絡id(vlan_id), 則與此對應的條件表達式為真.
要注意的是, 對于VLAN數據包, 在表達式中遇到的第一個vlan關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移). 在VLAN網絡體系中過濾數據包時, vlan [vlan_id]表達式可以被多次使用. 關鍵字vlan每出現(xiàn)一次都會增加
4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移).

例如:
vlan 100 && vlan 200
表示: 過濾封裝在VLAN100中的VLAN200網絡上的數據包
再例如:
vlan && vlan 300 && ip
表示: 過濾封裝在VLAN300 網絡中的IPv4數據包, 而VLAN300網絡又被更外層的VLAN封裝

mpls [label_num]
如果數據包為MPLS數據包, 則與此對應的條件表達式為真.
(nt: MPLS, Multi-Protocol Label Switch, 多協(xié)議標簽交換, 一種在開放的通信網上利用標簽引導數據傳輸的技術).

如果[label_num] 被指定, 則只有數據包含有指定的標簽id(label_num), 則與此對應的條件表達式為真.
要注意的是, 對于內含MPLS信息的IP數據包(即MPLS數據包), 在表達式中遇到的第一個MPLS關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移). 在MPLS網絡體系中過濾數據包時, mpls [label_num]表達式可以被多次使用. 關鍵字mpls每出現(xiàn)一次都會增加
4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移).

例如:
mpls 100000 && mpls 1024
表示: 過濾外層標簽為100000 而層標簽為1024的數據包

再如:
mpls && mpls 1024 && host 192.9.200.1
表示: 過濾發(fā)往或來自192.9.200.1的數據包, 該數據包的內層標簽為1024, 且擁有一個外層標簽.

pppoed
如果數據包為PPP-over-Ethernet的服務器探尋數據包(nt: Discovery packet,
其ethernet type 為0x8863),則與此對應的條件表達式為真.
(nt: PPP-over-Ethernet, 點對點以太網承載協(xié)議, 其點對點的連接建立分為Discovery階段(地址發(fā)現(xiàn)) 和
PPPoE 會話建立階段 , discovery 數據包就是第一階段發(fā)出來的包. ethernet type
是以太幀里的一個字段，用來指明應用于幀數據字段的協(xié)議)

pppoes
如果數據包為PPP-over-Ethernet會話數據包(nt: ethernet type 為0x8864, PPP-over-Ethernet在上文已有說明, 可搜索
關鍵字'PPP-over-Ethernet'找到其描述), 則與此對應的條件表達式為真.

要注意的是, 對于PPP-over-Ethernet會話數據包, 在表達式中遇到的第一個pppoes關鍵字會改變表達式中接下來關鍵字所對應數據包中數據的
開始位置(即解碼偏移).

例如:
pppoes && ip
表示: 過濾嵌入在PPPoE數據包中的ipv4數據包

tcp, udp, icmp
與以下表達元含義一致:
ip proto p or ip6 proto p
其中p 是以上協(xié)議之一(含義分別為: 如果數據包為ipv4或ipv6數據包并且其協(xié)議類型為 tcp,udp, 或icmp則與此對
應的條件表達式為真)

iso proto protocol
如果數據包的協(xié)議類型為iso-osi協(xié)議棧中protocol協(xié)議, 則與此對應的條件表達式為真.(nt: [初解]iso-osi 網絡模型中每
層的具體協(xié)議與tcp/ip相應層采用的協(xié)議不同. iso-osi各層中的具體協(xié)議另需補充 )

protocol 可以是一個數字編號, 或以下名字中之一:
clnp, esis, or isis.
(nt: clnp, Connectionless Network Protocol, 這是OSI網絡模型中網絡層協(xié)議 , esis, isis 未知, 需補充)

clnp, esis, isis
是以下表達的縮寫
iso proto p
其中p 是以上協(xié)議之一

l1, l2, iih, lsp, snp, csnp, psnp
為IS-IS PDU 類型 的縮寫.
(nt: IS-IS PDU, Intermediate system to intermediate system Protocol Data Unit, 中間系統(tǒng)到
中間系統(tǒng)的協(xié)議數據單元. OSI(Open Systems Interconnection)網絡由終端系統(tǒng), 中間系統(tǒng)構成.
終端系統(tǒng)指路由器, 而終端系統(tǒng)指用戶設備. 路由器形成的本地組稱之為'區(qū)域'（Area）和多個區(qū)域組成一個'域'（Domain）.
IS-IS 提供域內或區(qū)域內的路由. l1, l2, iih, lsp, snp, csnp, psnp 表示PDU的類型, 具體含義另需補充)

vpi n
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 ,
如果數據包為ATM數據包, 并且其虛擬路徑標識為n, 則與此對應的條件表達式為真.
(nt: ATM, Asychronous Transfer Mode, 實際上可理解為由ITU-T(國際電信聯(lián)盟電信標準化部門)提出的一個與
TCP/IP中IP層功能等同的一系列協(xié)議, 具體協(xié)議層次另需補充)

vci n
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 ,
如果數據包為ATM數據包, 并且其虛擬通道標識為n, 則與此對應的條件表達式為真.
(nt: ATM, 在上文已有描述)

lane
如果數據包為ATM LANE 數據包, 則與此對應的條件表達式為真. 要注意的是, 如果是模擬以太網的LANE數據包或者
LANE邏輯單元控制包, 表達式中第一個lane關鍵字會改變表達式中隨后條件的測試. 如果沒有
指定lane關鍵字, 條件測試將按照數據包中內含LLC(邏輯鏈路層)的ATM包來進行.

llc
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 ,
如果數據包為ATM數據包,　并且內含LLC則與此對應的條件表達式為真

oamf4s
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是Segment OAM F4 信元(VPI=0 并且 VCI=3), 則與此對應的條件表達式為真.

(nt: OAM, Operation Administration and Maintenance, 操作管理和維護,可理解為:ATM網絡中用于網絡
管理所產生的ATM信元的分類方式.

ATM網絡中傳輸單位為信元, 要傳輸的數據終究會被分割成固定長度(53字節(jié))的信元,
(初理解: 一條物理線路可被復用, 形成虛擬路徑(virtual path). 而一條虛擬路徑再次被復用, 形成虛擬信道(virtual channel)).
通信雙方的編址方式為:虛擬路徑編號(VPI)/虛擬信道編號(VCI)).

OAM F4 flow 信元又可分為segment 類和end-to-end 類, 其區(qū)別未知, 需補充.)

oamf4e
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是 end-to-end OAM F4 信元(VPI=0 并且 VCI=4), 則與此對應的條件表達式為真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)

oamf4
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是 end-to-end 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應的條件表達式為真.
(nt: OAM 與 end-to-end OAM F4 在上文已有描述, 可搜索'oamf4s'來定位)

oam
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是 end-to-end 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應的條件表達式為真.
(nt: 此選項與oamf4重復, 需確認)

metac
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'元信令線路'(nt: VPI=0 并且 VCI=1, '元信令線路', meta signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式為真.

bcc
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'廣播信令線路'(nt: VPI=0 并且 VCI=2, '廣播信令線路', broadcast signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式為真.

sc
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'信令線路'(nt: VPI=0 并且 VCI=5, '信令線路', signaling circuit, 具體含義未知, 需補充),
則與此對應的條件表達式為真.

ilmic
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'ILMI線路'(nt: VPI=0 并且 VCI=16, 'ILMI', Interim Local Management Interface , 可理解為
基于SNMP(簡易網絡管理協(xié)議)的用于網絡管理的接口)
則與此對應的條件表達式為真.

connectmsg

如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'信令線路'并且是Q.2931協(xié)議中規(guī)定的以下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應的條件表達式為真.
(nt: Q.2931 為ITU(國際電信聯(lián)盟)制定的信令協(xié)議. 其中規(guī)定了在寬帶綜合業(yè)務數字網絡的用戶接口層建立, 維護, 取消
網絡連接的相關步驟.)

metaconnect
如果數據包為ATM數據包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設備 , 如果數據包為ATM數據包
并且是來自'元信令線路'并且是Q.2931協(xié)議中規(guī)定的以下幾種消息: Setup, Calling Proceeding, Connect,
Connect Ack, Release, 或者Release Done. 則與此對應的條件表達式為真.

expr relop expr
如果relop 兩側的操作數(expr)滿足relop 指定的關系, 則與此對應的條件表達式為真.
relop 可以是以下關系操作符之一: >, <, <=, =, !=.
expr 是一個算術表達式. 此表達式中可使用整型常量(表示方式與標準C中一致), 二進制操作符(+, -, *, /, &, |,
<<, >>), 長度操作符, 以及對特定數據包中數據的引用操作符. 要注意的是, 所有的比較操作都默認操作數是無符號的,
例如, 0x80000000 和 0xffffffff 都是大于0的(nt: 對于有符號的比較, 按照補碼規(guī)則, 0xffffffff
會小于0). 如果要引用數據包中的數據, 可采用以下表達方式:
proto [expr : size]

proto 的取值可以是以下取值之一:ether, fddi, tr, wlan, ppp, slip, link, ip, arp, rarp,
tcp, udp, icmp, ip6 或者 radio. 這指明了該引用操作所對應的協(xié)議層.(ether, fddi, wlan,
tr, ppp, slip and link 對應于數據鏈路層, radio 對應于802.11(wlan,無線局域網)某些數據包中的附帶的
"radio"頭(nt: 其中描述了波特率, 數據加密等信息)).
要注意的是, tcp, udp 等上層協(xié)議目前只能應用于網絡層采用為IPv4或IPv6協(xié)議的網絡(此限制會在tcpdump未來版本中
進行修改). 對于指定協(xié)議的所需數據, 其在包數據中的偏移字節(jié)由expr 來指定.

以上表達中size 是可選的, 用來指明我們關注那部分數據段的長度(nt:通常這段數據
是數據包的一個域)， 其長度可以是1, 2, 或4個字節(jié). 如果不給定size, 默認是1個字節(jié). 長度操作符的關鍵字為len,
這代碼整個數據包的長度.

例如, 'ether[0] & 1 != 0' 將會使tcpdump 抓取所有多點廣播數據包.(nt: ether[0]字節(jié)的最低位為1表示
數據包目的地址是多點廣播地址). 'ip[0] & 0xf != 5' 對應抓取所有帶有選項的
IPv4數據包. 'ip[6:2] & 0x1fff = 0'對應抓取沒被破碎的IPv4數據包或者
其片段編號為0的已破碎的IPv4數據包. 這種數據檢查方式也適用于tcp和udp數據的引用,
即, tcp[0]對應于TCP 頭中第一個字節(jié), 而不是對應任何一個中間的字節(jié).

一些偏移以及域的取值除了可以用數字也可用名字來表達. 以下為可用的一些域(協(xié)議頭中的域)的名字: icmptype (指ICMP 協(xié)議頭
中type域), icmpcode (指ICMP 協(xié)議頭code 域), 以及tcpflags(指TCP協(xié)議頭的flags 域)

以下為ICMP 協(xié)議頭中type 域的可用取值:

icmp-echoreply, icmp-unreach, icmp-sourcequench, icmp-redirect, icmp-echo, icmp-routeradvert,
icmp-routersolicit, icmp-timx-ceed, icmp-paramprob, icmp-tstamp, icmp-tstampreply,
icmp-ireq, icmp-ireqreply, icmp-maskreq, icmp-maskreply.

以下為TCP 協(xié)議頭中flags 域的可用取值:tcp-fin, tcp-syn, tcp-rst, tcp-push,
tcp-ack, tcp-urg.

最新評論