FortiGate:Diagnose-Sniffer-Guide - Versionsgeschichte

4Tinu: /* Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen? */

2024-07-12T06:54:10Z

Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen?

← Nächstältere Version		Version vom 12. Juli 2024, 08:54 Uhr
Zeile 35:		Zeile 35:
	{\| class="wikitable"		{\| class="wikitable"
	\|- style="background:#89E871"		\|- style="background:#89E871"
	\| style="width:~~375px~~"\|		\| style="width:350px"\|
	\| style="width:~~300px~~"\| '''WebGUI''' <br><small>bis und mit 7.0</small>		\| style="width:275px"\| '''WebGUI''' <br><small>bis und mit 7.0</small>
	\| style="width:350px"\| '''WebGUI''' <br><small>ab 7.2</small>		\| style="width:350px"\| '''WebGUI''' <br><small>ab 7.2</small>
	\| style="width:~~200px~~"\| '''CLI'''		\| style="width:150px"\| '''CLI'''
	\|-		\|-
	\| Features ist unter folgendem Menu im Gui abrufbar:		\| Features ist unter folgendem Menu im Gui abrufbar:

4Tinu: /* Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen? */

2024-07-12T06:52:59Z

Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen?

← Nächstältere Version		Version vom 12. Juli 2024, 08:52 Uhr
Zeile 36:		Zeile 36:
	\|- style="background:#89E871"		\|- style="background:#89E871"
	\| style="width:375px"\|		\| style="width:375px"\|
	\| style="width:~~200px~~"\| '''WebGUI''' <br><small>bis und mit 7.0</small>		\| style="width:300px"\| '''WebGUI''' <br><small>bis und mit 7.0</small>
	\| style="width:~~300px~~"\| '''WebGUI''' <br><small>ab 7.2</small>		\| style="width:350px"\| '''WebGUI''' <br><small>ab 7.2</small>
	\| style="width:200px"\| '''CLI'''		\| style="width:200px"\| '''CLI'''
	\|-		\|-

4Tinu: /* Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen? */

2024-07-12T06:52:17Z

Welche Methoden stellt die FortiGate zu Verfuegung zum sniffen?

← Nächstältere Version		Version vom 12. Juli 2024, 08:52 Uhr
Zeile 41:		Zeile 41:
	\|-		\|-
	\| Features ist unter folgendem Menu im Gui abrufbar:		\| Features ist unter folgendem Menu im Gui abrufbar:
	\| Network → Packet Capture		\| <code>Network</code> → <code>Packet Capture</code>
	\| Network → Daignostics → Packet Capture		\| <code>Network</code> →<code> Daignostics</code> → <code>Packet Capture</code>
	\| N/A		\| N/A
	\|-		\|-
Zeile 78:		Zeile 78:
	<nowiki>*</nowiki> <small>''Hängt von der Konfiguration des Terminalemulators ab''</small>		<nowiki>*</nowiki> <small>''Hängt von der Konfiguration des Terminalemulators ab''</small>
	----		----
	<small>add 29.02.2024 - 4Tinu</small>		<small>add edit 12.07.2024 - 4Tinu</small>

	== Was muss beim Sniffen beachtet werden?==		== Was muss beim Sniffen beachtet werden?==
	Bevor versucht wird den Traffic auf der FortiGate zu Capturen ist folgendes sicherzustellen:		Bevor versucht wird den Traffic auf der FortiGate zu Capturen ist folgendes sicherzustellen:

4Tinu: /* Sniffe Packete basierend auf "TCP Flags" Informationen? */

2024-04-30T07:11:41Z

Sniffe Packete basierend auf "TCP Flags" Informationen?

← Nächstältere Version		Version vom 30. April 2024, 09:11 Uhr
Zeile 726:		Zeile 726:
	Es muss berücksichtigt werden wenn der Traffic aufgezeichnet wird das die benutzen IP Protokoll sowie UDP Ports abhängig sind ob NAT resp. NAT-T (NAT Traversal) benutzt wird. Ist kein NAT Device zwischen den involvierten Gateways so wird IKE UDP 500 sowie ESP IP Protokoll 50 benutzt. Wenn ein NAT Device zwischen den involvierten Gateway vorhanden ist (NAT-T) so benutzt IKE Initial UDP Port 500 und wechselt auf UDP Port 4500. Zusätzlich wird in so einer Situation in der ein NAT Device zwischen den Gateways existiert das IP Protokoll 50 in UDP 4500 eingepackt sprich "encapsulated" (NAT Traversal).		Es muss berücksichtigt werden wenn der Traffic aufgezeichnet wird das die benutzen IP Protokoll sowie UDP Ports abhängig sind ob NAT resp. NAT-T (NAT Traversal) benutzt wird. Ist kein NAT Device zwischen den involvierten Gateways so wird IKE UDP 500 sowie ESP IP Protokoll 50 benutzt. Wenn ein NAT Device zwischen den involvierten Gateway vorhanden ist (NAT-T) so benutzt IKE Initial UDP Port 500 und wechselt auf UDP Port 4500. Zusätzlich wird in so einer Situation in der ein NAT Device zwischen den Gateways existiert das IP Protokoll 50 in UDP 4500 eingepackt sprich "encapsulated" (NAT Traversal).

	== Sniffe ~~Packete~~ basierend auf "TCP Flags" Informationen? ==		== Sniffe Pakete basierend auf "TCP Flags" Informationen? ==

	Die nachfolgenden Informationen basieren auf dem folgenden File das durch den Fortinet Support zur Verfügung gestellt wird:		Die nachfolgenden Informationen basieren auf dem folgenden File das durch den Fortinet Support zur Verfügung gestellt wird:
Zeile 732:		Zeile 732:
	[[Datei:TCP_flags_v2.txt]]		[[Datei:TCP_flags_v2.txt]]

	Die im File "TCP_flags" basierenden technischen Informationen wurden dem Handbuch "tcpdump" entnommen (siehe auch http://de.wikipedia.org/wiki/Transmission_Control_Protocol)! Um ein "diagnose sniffer ~~packet~~" Kommando auszuführen und den Filter so zu setzen, dass nach bestimmten "TCP Flags" gefilter werden kann, muss als Grundlage der Aufbau der "TCP Flags" verstanden werden. Nachfolgend eine Ausführung um die Grundlagen zu verstehen:		Die im File "TCP_flags" basierenden technischen Informationen wurden dem Handbuch "tcpdump" entnommen (siehe auch http://de.wikipedia.org/wiki/Transmission_Control_Protocol)! Um ein "diagnose sniffer Paket" Kommando auszuführen und den Filter so zu setzen, dass nach bestimmten "TCP Flags" gefilter werden kann, muss als Grundlage der Aufbau der "TCP Flags" verstanden werden. Nachfolgend eine Ausführung um die Grundlagen zu verstehen:

	'''Die "TCP control bits section" des TCP Header besteht aus 8 bits:'''		'''Die "TCP control bits section" des TCP Header besteht aus 8 bits:'''

	Als Beispiel nehmen wir an, dass wir die ~~Packet~~ Filter möchten, die bei der Etablierung einer TCP Verbindung benötigt werden (SYN, ACK).		Als Beispiel nehmen wir an, dass wir die Paket Filter möchten, die bei der Etablierung einer TCP Verbindung benötigt werden (SYN, ACK).
	Dabei rufen wir uns in Erinnung, dass eine TCP Verbindung -wenn diese neu initiert wird- basiert auf einem "3-way handshake". Die Sequenzen		Dabei rufen wir uns in Erinnung, dass eine TCP Verbindung -wenn diese neu initiert wird- basiert auf einem "3-way handshake". Die Sequenzen
	in so einem Fall sprich "3-way handshake" werden über die "TCP control bits section" gesteuert und sind die Folgenden:		in so einem Fall sprich "3-way handshake" werden über die "TCP control bits section" gesteuert und sind die Folgenden:

	1) Der "caller" der die Verbindung initiert sendet dem "recipient" (Empfänger) ein "SYN" ~~Packet~~		1) Der "caller" der die Verbindung initiert sendet dem "recipient" (Empfänger) ein "SYN" Paket
	2) Der "recipient" sendet dem "caller" als Antwort "SYN, ACK" ~~Packete~~		2) Der "recipient" sendet dem "caller" als Antwort "SYN, ACK" Pakete
	3) Als Bestätigung sendet der "caller" ein "ACK" ~~Packet~~		3) Als Bestätigung sendet der "caller" ein "ACK" Paket

	In unserem Beispiel möchten wir nur "SYN" ~~Packete~~ Filter (1). ~~Packete~~ aus der Sequenz 2 dh. "SYN-ACK" sollen dabei nicht gefilter werden dh.		In unserem Beispiel möchten wir nur "SYN" Pakete Filter (1). Pakete aus der Sequenz 2 dh. "SYN-ACK" sollen dabei nicht gefilter werden dh.
	wir möchten ausschliesslich das Initiale "SYN" (1) Filtern. Um dies zu bewerkstelligen benötigen wir den korrekten "Filter". Als Grundlage		wir möchten ausschliesslich das Initiale "SYN" (1) Filtern. Um dies zu bewerkstelligen benötigen wir den korrekten "Filter". Als Grundlage
	dazu gilt der Aufbau eines TCP Header's. Zur Erinnerung:		dazu gilt der Aufbau eines TCP Header's. Zur Erinnerung:
Zeile 790:		Zeile 790:
	Diese Positionen stellen die "TCP control bits" dar und in diesen versteckt sich unser "SYN" Flag. Die "bits" in diesem Octet wurden Nummeriert		Diese Positionen stellen die "TCP control bits" dar und in diesen versteckt sich unser "SYN" Flag. Die "bits" in diesem Octet wurden Nummeriert
	dh. von Rechts nach Link resp. 0 bis 7. PSH (puffer) bit ist Nummer (von Rechts das vierte bit) und das URG (urgent) bit ist Nummer 6 (das		dh. von Rechts nach Link resp. 0 bis 7. PSH (puffer) bit ist Nummer (von Rechts das vierte bit) und das URG (urgent) bit ist Nummer 6 (das
	sechste von Rechts). Was wir nun wollen ist nur das "SYN" ~~Packet~~. Wenn nun ein initial ~~Datenpacket~~ übermittelt wird (nur SYN) sieht das TCP		sechste von Rechts). Was wir nun wollen ist nur das "SYN" Paket. Wenn nun ein initial DatenPaket übermittelt wird (nur SYN) sieht das TCP
	Datagram betreffend Header folgendermassen aus:		Datagram betreffend Header folgendermassen aus:

Zeile 827:		Zeile 827:
	http://www.mathsisfun.com/binary-decimal-hexadecimal-converter.html		http://www.mathsisfun.com/binary-decimal-hexadecimal-converter.html

	Somit ergiebt sich folender Filter für "diagnose sniffer ~~packet~~"		Somit ergiebt sich folender Filter für "diagnose sniffer Paket"

	'tcp[13]==2'		'tcp[13]==2'
Zeile 835:		Zeile 835:
	"Alle "TCP Datagrams" und deren "Octect 13" (SYN) und dessen value 2 (dh. Binary 1 = Aktiviert)"		"Alle "TCP Datagrams" und deren "Octect 13" (SYN) und dessen value 2 (dh. Binary 1 = Aktiviert)"

	Wenn wir diesen Filter setzen erreichen wir nicht das was wir als Beispiel angenommen haben das ALLE ~~Datenpacket~~ mit SYN gefilter werden dh. wenn		Wenn wir diesen Filter setzen erreichen wir nicht das was wir als Beispiel angenommen haben das ALLE DatenPaket mit SYN gefilter werden dh. wenn
	ein ~~Datenpacket~~ ebenfalls ein ACK gesetzt hätte wuerde diesese ebenfalls gefiltert werden da nur "Octet 13" gefilter wird egal welche anderen Flag's		ein DatenPaket ebenfalls ein ACK gesetzt hätte wuerde diesese ebenfalls gefiltert werden da nur "Octet 13" gefilter wird egal welche anderen Flag's
	noch gesetzt sind. Der einzige Weg dies zu erreichen dh "ausschliesslich" nur "SYN" ist das "Octet 13" dh. "SYN" mit allen anderen Flag's zu		noch gesetzt sind. Der einzige Weg dies zu erreichen dh "ausschliesslich" nur "SYN" ist das "Octet 13" dh. "SYN" mit allen anderen Flag's zu
	vergleichen. Dies wird mit "AND" erreicht. Dies bedeutet wiederum:		vergleichen. Dies wird mit "AND" erreicht. Dies bedeutet wiederum:
Zeile 850:		Zeile 850:
	( ( value of octet 13 ) AND ( 2 ) ) == ( 2 )		( ( value of octet 13 ) AND ( 2 ) ) == ( 2 )

	Dies kann wiederum folgendermassen im "diagnose sniffer ~~packet~~" Filter abgebildet werden:		Dies kann wiederum folgendermassen im "diagnose sniffer Paket" Filter abgebildet werden:

	'tcp[13]&2==2'		'tcp[13]&2==2'
Zeile 856:		Zeile 856:
	Daraus ergeben sich zB folgende Filter Möglichkeiten:		Daraus ergeben sich zB folgende Filter Möglichkeiten:

	'tcp[13]==1' Nur ~~Packete~~ mit FIN bit auf Wert 1		'tcp[13]==1' Nur Pakete mit FIN bit auf Wert 1
	'tcp[13]&4==4' Alle ~~Packet~~ mit RST bit Wert 1		'tcp[13]&4==4' Alle Paket mit RST bit Wert 1
	'tcp[13]&8==8' Alle ~~Packet~~ mit PSH bit Wert 1		'tcp[13]&8==8' Alle Paket mit PSH bit Wert 1
	'tcp[13]==16' Nur ~~Packete~~ mit ACK bit auf Wert 1		'tcp[13]==16' Nur Pakete mit ACK bit auf Wert 1
	'tcp[13]&32==32' Alle ~~Packet~~ mit URG bit Wert 1		'tcp[13]&32==32' Alle Paket mit URG bit Wert 1
	'tcp[13]&64==64' Alle ~~Packet~~ mit ECE bit Wert 1		'tcp[13]&64==64' Alle Paket mit ECE bit Wert 1
	'tcp[13]&128==128' Alle ~~Packet~~ mit CWR bit Wert 1		'tcp[13]&128==128' Alle Paket mit CWR bit Wert 1
	'tcp[13]==24' Nur ~~Packete~~ mit PSH und ACK bit auf Wert 1		'tcp[13]==24' Nur Pakete mit PSH und ACK bit auf Wert
			----
			<small>edit 30.4.2024 - 4Tinu</small>

4Tinu: /* Wie kann ich das Sniffen abbrechen? */

2024-03-14T09:33:45Z

Wie kann ich das Sniffen abbrechen?

← Nächstältere Version		Version vom 14. März 2024, 11:33 Uhr
Zeile 395:		Zeile 395:
	<small>add 14.03.2024 - 4Tinu</small>		<small>add 14.03.2024 - 4Tinu</small>

	===Wie kann ich das Sniffen abbrechen?===		==Wie kann ich das Sniffen abbrechen?==

	Mit der Tastenkombination <code> CTRL und C </code> wird das Sniffen unterbrochen.		Mit der Tastenkombination <code> CTRL und C </code> wird das Sniffen unterbrochen.

4Tinu: /* Beispiele fuer diagnose sniffer packet */

2024-03-14T09:33:06Z

Beispiele fuer diagnose sniffer packet

4Tinu: /* Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? */

2024-03-14T09:16:55Z

Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"?

← Nächstältere Version		Version vom 14. März 2024, 11:16 Uhr
Zeile 432:		Zeile 432:
	== Beispiele fuer diagnose sniffer packet ==		== Beispiele fuer diagnose sniffer packet ==

			<!--
	=== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ===		=== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ===
	~~<!--~~
	Das Sniffer Kommando ist folgendermassen aufgebaut:		Das Sniffer Kommando ist folgendermassen aufgebaut:

4Tinu: /* Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? */

2024-03-14T09:16:36Z

Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"?

← Nächstältere Version		Version vom 14. März 2024, 11:16 Uhr
Zeile 433:		Zeile 433:

	=== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ===		=== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ===
			<!--
	Das Sniffer Kommando ist folgendermassen aufgebaut:		Das Sniffer Kommando ist folgendermassen aufgebaut:

Zeile 496:		Zeile 496:

	[[FortiGate-5.0-5.2:FAQ#Packet_Capture]]		[[FortiGate-5.0-5.2:FAQ#Packet_Capture]]
			-->

	===Wie Sniffe den Traffic auf einem PPPoE Interface? ===		===Wie Sniffe den Traffic auf einem PPPoE Interface? ===

4Tinu: /* Details zu der Option FILTER */

2024-03-14T09:13:51Z

Details zu der Option FILTER

← Nächstältere Version		Version vom 14. März 2024, 11:13 Uhr
Zeile 222:		Zeile 222:
	\|'''Medium'''		\|'''Medium'''
	\|AND		\|AND
	\|$$		\|&
	\|-		\|-
	\|'''Low'''		\|'''Low'''
	\|OR		\|OR
	\|<nowiki>\|\|</nowiki>		\|<nowiki>\|</nowiki>
	\|-		\|-
	\|}		\|}

4Tinu: /* Details zu der Option FILTER */

2024-03-14T09:11:34Z

Details zu der Option FILTER

← Nächstältere Version		Version vom 14. März 2024, 11:11 Uhr
Zeile 191:		Zeile 191:
	'''Syntax:'''<br>		'''Syntax:'''<br>
	Definition nach "was" gefiltert werden soll. Das Keyword "none" bedeutet kein Filtering und somit werden alle Packete angezeigt. Ein Filter muss innerhalb von "quotes" definiert werden! Als "quotes" kann folgendes benutzt werden:		Definition nach "was" gefiltert werden soll. Das Keyword "none" bedeutet kein Filtering und somit werden alle Packete angezeigt. Ein Filter muss innerhalb von "quotes" definiert werden! Als "quotes" kann folgendes benutzt werden:
	'[ [src\|dst] host<host_name_or_IP1> ] [ [src\|dst] host<host_name_or_IP2> ] [ [arp\|ip\|gre\|esp\|udp\|tcp] [port_no] ] [ [arp\|ip\|gre\|esp\|udp\|tcp] [port_no] ]'		"[ [src\|dst] host<host_name_or_IP1> ] [ [src\|dst] host<host_name_or_IP2> ] [ [arp\|ip\|gre\|esp\|udp\|tcp] [port_no] ] [ [arp\|ip\|gre\|esp\|udp\|tcp] [port_no] ]"

	'''Basis Filter Beispiele:'''		'''Basis Filter Beispiele:'''

← Nächstältere Version		Version vom 14. März 2024, 11:33 Uhr
Zeile 430:		Zeile 430:
	<!--Referenz KB: https://community.fortinet.com/t5/FortiAnalyzer/Troubleshooting-Tip-Packet-capture-CLI-sniffer-tips-and-best/ta-p/196143?externalID=11655 -->		<!--Referenz KB: https://community.fortinet.com/t5/FortiAnalyzer/Troubleshooting-Tip-Packet-capture-CLI-sniffer-tips-and-best/ta-p/196143?externalID=11655 -->

	== Beispiele fuer diagnose sniffer packet ==		= Beispiele fuer diagnose sniffer packet =

	<!--		<!--
	=== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ===		== Wie benutze ich das Sniffer Kommando "diagnose sniffer packet"? ==

	Das Sniffer Kommando ist folgendermassen aufgebaut:		Das Sniffer Kommando ist folgendermassen aufgebaut:
Zeile 499:		Zeile 499:
	-->		-->

	===Wie Sniffe den Traffic auf einem PPPoE Interface? ===		==Wie Sniffe den Traffic auf einem PPPoE Interface? ==

	Wenn man auf einem PPPoE Interface den Traffic sniffen möchte ist das "so" nicht einfach möglich.		Wenn man auf einem PPPoE Interface den Traffic sniffen möchte ist das "so" nicht einfach möglich.
Zeile 519:		Zeile 519:
	\|}		\|}

	===Wie Sniffe den Traffic und zeige für das Packet Datum und Zeit an? ===		== Wie Sniffe den Traffic und zeige für das Packet Datum und Zeit an? ==

	Wenn man innerhalb der Sniffer-Ausgabe für jedes Packet das Datum und die Zeit anzeigen möchte muss dies nach dem Counter mit "a" angegeben werden:		Wenn man innerhalb der Sniffer-Ausgabe für jedes Packet das Datum und die Zeit anzeigen möchte muss dies nach dem Counter mit "a" angegeben werden:
Zeile 537:		Zeile 537:
	\|}		\|}

	=== Wie sniffe ich den gesamten Traffic ausser den Port 22? ===		== Wie sniffe ich den gesamten Traffic ausser den Port 22? ==
	Um einen bestimmten Wert zu negieren wird dass Ausrufezeichen '''!''' vor den Term gesetzt. In unserem Beispiel soll der Port 22 nicht berücksichtigt werden. Darum wird vor port das Ausrufezeichen gesetzt:		Um einen bestimmten Wert zu negieren wird dass Ausrufezeichen '''!''' vor den Term gesetzt. In unserem Beispiel soll der Port 22 nicht berücksichtigt werden. Darum wird vor port das Ausrufezeichen gesetzt:
	{\| class="wikitable" style="width:850px"		{\| class="wikitable" style="width:850px"
Zeile 549:		Zeile 549:
	\|}		\|}

	===Wie sniffe ich den Traffic für einen bestimmten Port auf allen Interfaces? ===		==Wie sniffe ich den Traffic für einen bestimmten Port auf allen Interfaces? ==
	Wenn der "level" 4 benutzt wird so werden die benutzen Interfaces zusätzlich angezeigt dh. auf welchem Interface das Packet angeliefert wird und auf welchem Packet es ausgeliefert wird:		Wenn der "level" 4 benutzt wird so werden die benutzen Interfaces zusätzlich angezeigt dh. auf welchem Interface das Packet angeliefert wird und auf welchem Packet es ausgeliefert wird:
	{\| class="wikitable" style="width:80%"		{\| class="wikitable" style="width:80%"
Zeile 598:		Zeile 598:
	\|}		\|}

	=== Sniffe den Traffic "für einen bestimmten Host/IP" auf "allen Interfaces"? ===		== Sniffe den Traffic "für einen bestimmten Host/IP" auf "allen Interfaces"? ==

	# diagnose sniffer packet any "host [IP Adresse für Dst]" 4		# diagnose sniffer packet any "host [IP Adresse für Dst]" 4
Zeile 606:		Zeile 606:
	# diagnose sniffer packet any "host [IP Adresse für Dst]" 3		# diagnose sniffer packet any "host [IP Adresse für Dst]" 3

	=== Sniffe den gesamten Traffic "von und zu einem bestimmten Host auf port 80"? ===		== Sniffe den gesamten Traffic "von und zu einem bestimmten Host auf port 80"? ==

	# diagnose sniffer packet [Interface Name] "host 10.0.1.10 and port 80"		# diagnose sniffer packet [Interface Name] "host 10.0.1.10 and port 80"
Zeile 614:		Zeile 614:
	# diagnose sniffer packet [Interface Name] "host 10.0.1.10 and port 80" 4		# diagnose sniffer packet [Interface Name] "host 10.0.1.10 and port 80" 4

	=== Sniffe den gesamten UDP/DNS Traffic für ein bestimmtes Interface? ===		== Sniffe den gesamten UDP/DNS Traffic für ein bestimmtes Interface? ==

	# diagnose sniffer packet [Interface Name] "udp and port 53"		# diagnose sniffer packet [Interface Name] "udp and port 53"

	=== Sniffe alle TCP Packete "mit einem SYN Flag"? ===		== Sniffe alle TCP Packete "mit einem SYN Flag"? ==

	# diagnose sniffer packet any 'tcp[13] == 2'		# diagnose sniffer packet any 'tcp[13] == 2'

	=== Sniffe alle TCP Packete "mit einem SYN Flag und nur HTTP"? ===		== Sniffe alle TCP Packete "mit einem SYN Flag und nur HTTP"? ==

	# diagnose sniffer packet any "port 80 and tcp[13]&2==2" 4		# diagnose sniffer packet any "port 80 and tcp[13]&2==2" 4

	=== Sniffe alle TCP Packete "mit einem RST Flag"? ===		== Sniffe alle TCP Packete "mit einem RST Flag"? ==

	# diagnose sniffer packet any "tcp[13] & 4 != 0"		# diagnose sniffer packet any "tcp[13] & 4 != 0"

	=== Sniffe alle ICMP Packete "ausser die für Ping"? ===		== Sniffe alle ICMP Packete "ausser die für Ping"? ==

	# diagnose sniffer packet any 'icmp[0] != 8 and icmp[0] != 0' 4		# diagnose sniffer packet any 'icmp[0] != 8 and icmp[0] != 0' 4

	=== Sniffe alle 802.1q Tagging Packete? ===		== Sniffe alle 802.1q Tagging Packete? ==

	# diagnose sniffer packet any "none" 6 0 a		# diagnose sniffer packet any "none" 6 0 a

	=== Sniffe Packete im Format das in Wireshark benutzt werden kann? ===		== Sniffe Packete im Format das in Wireshark benutzt werden kann? ==

	Wenn über das "sniffer" Kommando ein Format ausgegeben werden soll das später im WireShark eingelesen werden kann muss der "level" 3 oder 6 benutzt werden. Der "level" 3 und 6 stehen für:		Wenn über das "sniffer" Kommando ein Format ausgegeben werden soll das später im WireShark eingelesen werden kann muss der "level" 3 oder 6 benutzt werden. Der "level" 3 und 6 stehen für:
Zeile 651:		Zeile 651:
	Danach kann der Output resp. nur der Output der Ausgabe des sniffer Kommandos vom Log von "putty" in ein File kopiert werden mit der Endung .pcap um es später in Wireshark einlesen zu können.		Danach kann der Output resp. nur der Output der Ausgabe des sniffer Kommandos vom Log von "putty" in ein File kopiert werden mit der Endung .pcap um es später in Wireshark einlesen zu können.

	=== Sniffe Packete um "fragmentation" Informationen zu erhalten? ===		== Sniffe Packete um "fragmentation" Informationen zu erhalten? ==

	Das Kommando um eine "fragmentation" zu eruieren zB anhand "udp" auf Interface "wan1" sieht folgendermassen aus		Das Kommando um eine "fragmentation" zu eruieren zB anhand "udp" auf Interface "wan1" sieht folgendermassen aus
Zeile 669:		Zeile 669:
	gezwungen zwei Packete zu senden!		gezwungen zwei Packete zu senden!

	=== Sniffe Packet für LDAP Port 389 um entsprechende "error" Nachrichten zu erhalten? ===		== Sniffe Packet für LDAP Port 389 um entsprechende "error" Nachrichten zu erhalten? ==

	Wenn für LDAP Verbindungen resp. Authentifizierungs Probleme ein Troubleshooting durchgeführt werden soll, kann dies ebenfalls über das Sniffer Kommando durchgeführt werden:		Wenn für LDAP Verbindungen resp. Authentifizierungs Probleme ein Troubleshooting durchgeführt werden soll, kann dies ebenfalls über das Sniffer Kommando durchgeführt werden:
Zeile 690:		Zeile 690:
	0x775 - account locked out		0x775 - account locked out

	=== Sniffe Packete für IPSec betreffend IKE sowie ESP Traffic (NAT/NAT-T)? ===		== Sniffe Packete für IPSec betreffend IKE sowie ESP Traffic (NAT/NAT-T)? ==

	Wenn man für ein IPSec ein Troubleshooting durchführen will muss unterschieden werden ob Phase-1/2 untersucht werden soll oder der IKE sowie ESP Traffic. Für das Debug für Phase-1/2 ist "diagnose debug application ike -1" zu benutzen. Weitere Informationen dazu siehe nachfolgenden Artikel:		Wenn man für ein IPSec ein Troubleshooting durchführen will muss unterschieden werden ob Phase-1/2 untersucht werden soll oder der IKE sowie ESP Traffic. Für das Debug für Phase-1/2 ist "diagnose debug application ike -1" zu benutzen. Weitere Informationen dazu siehe nachfolgenden Artikel:
Zeile 726:		Zeile 726:
	Es muss berücksichtigt werden wenn der Traffic aufgezeichnet wird das die benutzen IP Protokoll sowie UDP Ports abhängig sind ob NAT resp. NAT-T (NAT Traversal) benutzt wird. Ist kein NAT Device zwischen den involvierten Gateways so wird IKE UDP 500 sowie ESP IP Protokoll 50 benutzt. Wenn ein NAT Device zwischen den involvierten Gateway vorhanden ist (NAT-T) so benutzt IKE Initial UDP Port 500 und wechselt auf UDP Port 4500. Zusätzlich wird in so einer Situation in der ein NAT Device zwischen den Gateways existiert das IP Protokoll 50 in UDP 4500 eingepackt sprich "encapsulated" (NAT Traversal).		Es muss berücksichtigt werden wenn der Traffic aufgezeichnet wird das die benutzen IP Protokoll sowie UDP Ports abhängig sind ob NAT resp. NAT-T (NAT Traversal) benutzt wird. Ist kein NAT Device zwischen den involvierten Gateways so wird IKE UDP 500 sowie ESP IP Protokoll 50 benutzt. Wenn ein NAT Device zwischen den involvierten Gateway vorhanden ist (NAT-T) so benutzt IKE Initial UDP Port 500 und wechselt auf UDP Port 4500. Zusätzlich wird in so einer Situation in der ein NAT Device zwischen den Gateways existiert das IP Protokoll 50 in UDP 4500 eingepackt sprich "encapsulated" (NAT Traversal).

	=== Sniffe Packete basierend auf "TCP Flags" Informationen? ===		== Sniffe Packete basierend auf "TCP Flags" Informationen? ==

	Die nachfolgenden Informationen basieren auf dem folgenden File das durch den Fortinet Support zur Verfügung gestellt wird:		Die nachfolgenden Informationen basieren auf dem folgenden File das durch den Fortinet Support zur Verfügung gestellt wird:
Zeile 820:		Zeile 820:
	____\|______\|________\|_______\|_______\|_____		____\|______\|________\|_______\|_______\|_____
	sum: 2		sum: 2
	~~==============~~============================		== == == == == == == == == == == == == ==
	('2 ^ 7 = 128' means '2 to the power of 7 equals 128')		('2 ^ 7 = 128' means '2 to the power of 7 equals 128')