Filtr pro Wireshark pro odchozí/příchozí paket

[wireshark amater]

Chci ve wiresharku v zachycených paketech filtrovat podle toho, zda jsou příchozí nebo odchozí. Představuji si něco jako frame.direction=="in" nebo[frame.direction_in/i] nebo frame.direction.in
1. Je to dost dobře možné nebo síťová karta  neví nebo se wireshark se nedozví, že daný paket je odchozí a jaký příchozí?
2. Pokud to opravdu nejde, existuje nějaká zkratka, abych furt jak otrok nemusel psát eth.src==22:22:22:22:22:22, ale stačilo třeba jen eth.src=$my_mac,případněeth.out a podobně pro ipip.out a tcp... Problematické je, ale že na 1 rozhraní může mít víc IP, proto tohle je až vyšší dívčí, bohatě by stačilo na urovni frame

[Reklama]

[qwe]

1. nikdy som to nerobil, tak neviem ci je to mozne
2. nemusis to manualne vypisovat, staci ked na MAC kliknes pravym tlacitkom a das apply as filter -> selected
sice to musis robit manualne ale vyhnes sa prepisovaniu

ak stale pouzivas tie iste filter, tak si ich vies nadefinovat a ulozit cez analyze -> display filters
potom uz len vyberas ulozene filtre cez zalozku celkom nalavo na riadku kde sa definuju filtre

[wireshark amater]

2. nemusis to manualne vypisovat, staci ked na MAC kliknes pravym tlacitkom a das apply as filter -> selected
sice to musis robit manualne ale vyhnes sa prepisovaniu

zase někdo našel skulinku v dotazu a zneužil toho, vzdávám se. Takhle to nechci. Jak vyberu příchozí pakety například? Protože eth.dst může být moje a nebo multicast nebo nějaký speciální cast( někde jsem viděl nearest). Navíc musím vybrat TEN SPRÁVNÝ paket a přemýšlet, kterou že mám mac a jestli je to Source nebo destination.

[JardaP .]

Nevim, zda-li jste postrehl, ze ve Wiresharku mate dva typy filtru. 1) Capture filter, 2) Display filter.

Pokud vam nenaskoci vyrazka z toho, ze nebudete mit zachyceny pakety, na ktere se nechcete divat, mohl byste pouzit 1) misto 2), jako dosud. Tedy asi capture filter:

Kód [Vybrat] Rozbalit

dir in/out.[/in]

[Jenda]

Nelze, PCAP informaci o směru prostě neobsahuje: https://wiki.wireshark.org/Development/LibpcapFileFormat

[Reklama]

[Jenda]

pcapng to zdá se umí, ale podle wiki (na které je napsáno, že je zastaralá), to wireshark nepodporuje.

[JardaP .]

Tak pokud to nejde, tak snad leda chytat pomoci tcpdump, ktery by to mel umet a pak zobrazit ve Wiresharku. https://www.wireshark.org/docs/wsug_html_chunked/AppToolstcpdump.html

[wireshark amater]

"v zachycených paketech filtrovat" myslím, že je výstižně řečeno.

Víte někdo, jak nastavit ve wiresharku, aby zachytávaná data nezapisoval na disk, ale aby, si to ukládal do ram? (myslím tím soubor "%TEMP%\wireshark_nahodna_cisla.pcapng"), pokud to nepůjde, tak aspoň změnit umístění toho capture do souboru, terý bude na ramdisku, holt workaround.