Ethereal 用户手册

William Shakespeare wrote: "A rose by any other name would smell as sweet." And so it is with Ethereal, as there appears to be two different ways that people pronounce the name.

有些人读作ether-real, 而有些人读作it e-the-real, [peter:因为它如此的可怕原文：as in ghostly, insubstantial, etc. ]

你可以任何称呼它，FAQ给出的发音是"e-the-real".

1.5. Ethereal的历史

1997年末, Gerald Combs需要一个工具来跟踪网络崩溃问题，并且想学习更多的网络知识，因此他开始写Ethereal软件。.

经过几次停滞，Ethereal在1998年7月首次发布了，当时的版本是0.2.0. 几天内，补丁、bug报告，还有一些对这个软件表示赞赏的言论都开始出现了，Ethereal走上了成功之路。

不久之后，Gilbert Ramirez 看到了它存在的潜能，于是贡献了一个底层的解码器给Ethereal。

1998年10月Network Appliance公司的Guy Harris要找一个比tcpview好一点的工具，于是他开始对Ethereal提供patch及一些解码器。

1998年末, Richard Sharpe要教TCP/IP课程, 看到了Ethereal对其课程的帮助力，于是开始关注这个软件是否支持他需要的协议。当有不支持的协议时，他就将这些新的解码器加进去，还包括一些补丁。

给Ethereal做出贡献的人的名单已经很长了，他们中几乎所有人都是因为他们需要一个协议而Ethereal当时无法持的情况下与Ethereal开始的，因此他们通常拷贝一个解码器，再把源码发回给Ethereal小组。

1.6. 开发&维护

Ethereal最初是由Gerald Combs开发的。现在Ethereal小组负继续的开发及维护工作。Ethereal小组是一个松散的小组，由于许多修复BUG及提供新功能的个人组成。

也有非常非常多的人提供协议解码器，希望这种情况能保持下去。通过点击“About Ethereal”对话框，你可以看到这些人的名单，或者在网站上的authors页面

Ethereal是一个开放源代码工程，它的发布是基于GNU General Public Licence (GPL). 在GPL下，所有源代码都是免费使用的。你可以修改Ethereal以适应自己的需求，同样欢迎你将自己的改进反馈给Ethereal 小组。

如果将你的改进反馈给小组，你能获得下面三点好处：

· 那些发现你的贡献对他们很有用的人会非常感激你，并且你会知你帮助了他们，就象Ethereal的开发者帮助大家一样。

· 因为开发者一直进行软件的改进工作，或许他们能更好更多的改进你的建议。或者他们能在你的代码的出础上再加一些好的东西，这对你自己也是有帮助的

· 维护及开发人员会很好的维护你的代码，当有API改变（或其它改变）时，他们会帮你修正，并保持最优化。因此，如果Ethereal更新了，你能在网站得到一个新版本，并且你的改进已经包含在新版本中了。

源代码及可执行套件在网站的下载页面： http://www.ethereal.com/download.html.

1.7. 报告问题及获得帮助

如果你有问题或需要帮助，下面这几个地方或许对你有用（当然也包括这本手册）

1.7.1. 网站

在网站会有很多有用的信息http://www.ethereal.com.

1.7.2. Wiki

The Ethereal Wiki at http://wiki.ethereal.com 提供了一个与Ethereal相关的更广泛的信息，包括包捕获内容。它提供了许多这本手册没有提供的内容，例如：怎样在一个交换的网络里进行捕获、正在进行的建立一个协议参考书的努力及其它等等

最好的是，如果你想分享你在某一方面的知识时（你最擅长的网络协议），你可以用浏览器很容易的去编辑wiki的页面

1.7.3. FAQ常见问题及回答

The "常见问题及回答 " 将列出常见的问题及对这些问题的正确回答

	读FAQ!
	在发送mail到下面的邮件列表之前，首先确认你已经看了FAQ，这将节省你和其它人的时间。(要知道很多人都订阅了邮件列表).

在Ethereal里，通过点击Help/contents，然后选择FAQ，就能看到常见问题及回答

在Ethereal的网站上，有一个在线版本: http://www.ethereal.com/faq.html. 这是一个HTML格式的，容易使用，而且是最新的。

1.7.4. 邮件列表

根据不同的题目，有下面几个邮件列表

ethereal-announce（译：ethereal发布）

这个列表列完成新版本的通知功能，通常 4-8周出现一次。

ethereal-users（译：用户）

这是针对Ethereal用户的邮件列表，人们可将在使用和编译Ethereal中遇到的问题发出来，其它人将会回答你的问题

ethereal-dev（译：开发）

这是开发者的一个邮件列表，如果你想开发一个协议解码器，你可以加入这个列表

可以通过网站订阅这些邮件列表http://www.ethereal.com，简单的选择页面左边的mailing lists 链接就可以。 The lists are archived at the Ethereal web site as well.

	提示!
	你可以通过搜索列表文档看是否有人问过相同的问题，或许已经有人回答，这样能节省时间

1.7.5. 报告问题

	注意!
	在报告任何问题时，请首先确认你已经安装了最新版的Ethereal

在报告问题时，请提供下面的信息：

1. Ethereal的版本号及与其关联的库，如GTK+等等。可以通过ethereal –v命令获得这些信息

2. Ethereal运行的平台的信息

3. 详细描述你遇到的问题

4. 如果出现了错误或告警信息，记下这些信息（包括前面和后面的部分信息，如果有的话），这样就能发现在什么地方出问题了。不要告诉说“当我做X时，得到一个告警信息”

	不要发送大文件！
	不要发送大文件到邮件列表(>100KB), 只需要说明你有可能需要的数据就行。大文件会让那些对你的问题不感兴趣的人烦的。如果可能，真能帮助你的人会向你要需要的数据的

	不要送需要保密的信息!
	在送捕获数据到邮件列时，请确认不要包含敏感或者保密的信息，比如密码。

1.7.6. 报告程序崩溃（ Crashe），UNIX/Linux平台

当报告一个Crash错误时，最好提供一些可回溯信息（traceback） (在“报告问题”之外的信息).

你可以通过下面的命令获得这些可回溯（traceback）信息：

$ gdb `whereis ethereal | cut -f2 -d: | cut -d' ' -f2` core >& bt.txt

backtrace

^D

	注意
	逐字的打入第一行! Those are back-tics there!

	注意
	backtrace 是一个gdb 命令。当第一行显示后，逐字的输入它，但是这个命令不回显任何信息，通过按^D (Control-D)可以退出gdb 。. 这样，会在当前目录下产生一个bt.txt文件。将这个文件包含在你的bug报告中。

	注意
	如果你没有gdb 可用，你不得不是检查你的系统调试器

Traceback可以mail到ethereal-dev[AT]ethereal.com 邮件列表。

1.7.7. 报告Windows平台下的Crash问题

Windows版不包含符号文件 (.pdb)，因为他们非常大。由于这个原因是不可能建立backtrace文件的。你只能象报告其它问题一样报告crash情了。

Chapter 2. 创建和安装Ethereal

2.1. 介绍

就象任何事情都有开始一样，开始使用Ethereal之前，需要完成：

· 获取与您使用的操作系统相匹配的二进制包，或者

· 获得源代码自己创建Ethereal

目前，只有两三个Linux 发布版包括了Ethereal，而且通常都是较老的版本，其它UNIX版本都不带Ethereal。微软的Windows的任何版本也没有附带Ethereal，因此，你需要知道从何处去得到最新版本及如何安装

这一章将讲述如何获是源代码和二制制包，怎样从源代码去创建Ethereal。［peter:怎么译？should you choose to do so. ］

下面是通常的几个步取骤：

1. 下载相应的包，比如源代码或发布的二进制包

2. 通过源文件创建二进制包

这步可能会调用创建或安装其它的一些必须的包

3. 安装二进制文件到最终目录。

2.2. 获取源代码和二进制发布包

源代码及二进制发布包可以从Ethereal网站获得http://www.ethereal.com.。选择download（下载）链接，然后选择源代码或二进制包，可以从离你最近的镜象站点下载。

	下载所有需要的文件!
	如果准备从源代码创建Ethereal，你很可能需要下载几个源代码包，下面会有详细的说明.

一旦下载完了相关的文件，就可以进入下一步了

注意!

While you will find a number of binary packages available on the Ethereal web site, you might not find one for your platform, and they often tend to be several versions behind the current released version, as they are contributed by people who have the platforms they are built for.

For this reason, you might want to pull down the source distribution and build it, as the process is relatively simple.

2.3. 在UNIX下创建Ethereal需要准备的工作

在创建、安装Ethereal之间，需要确认已经安装了下面的包：

· GTK+, GIMP工具包

也需要Glib。它们都可以从www.gtk.org 获得。

· libpcap, Ethereal使用的包捕获软件

可以从 www.tcpdump.org 获得

至于是通过RPM方式还是通过源代码创建这些包，这取决于你自己的系统。

如果已经下载了GTK+的源代码，例子 2.1, 通过源代码创建GTK+ 或许对你创建包有所帮助

例子 2.1. 通过源代码创建GTK+

gzip -dc gtk+-1.2.10.tar.gz | tar xvf -

<much output removed>

cd gtk+-1.2.10

./configure

<输出省略>

make

<输出省略>

make install

<输出省略>

	注意!
	例子 2.1, 通过源代码创建中gtk+的版本号需要和你下载的GTK+包一致。tar xvf – 将显示需要改变成的目录的名字

	注意!
	如果使用LINUX或GNU tar 包，可以使用tar zxvf gtk+-1.2.10.tar.gz命令，用gunzip -c or gzcat 代替gzip -dc 在许多UNIX系统是可行的

	注意!
	如果你在Windows下下载了gtk+ 或其它tar文件，可能会发现文件名为gtk+-1_2_8_tar.gz.

如果按照例子 2.1, 通过源代码创建GTK+ 的步骤做时出现问题，请参考GTK＋网站。

如果你下载了libpcap源代码，例子 2.2, 创建和安装libpcap” 的步骤将协助你创建它。另外，如果你的操作系统不支持tcpdump，你或许也想下载并安装它（从tcpdump 网站）[peter:搞不明白什么意思]

例子 2.2. 创建、安装 libpcap

gzip -dc libpcap-0.8.3.tar.Z | tar xvf -

<输出省略>

cd libpcap_0_8_3

./configure

<输出省略>

make

<输出省略>

make install

<输出省略>

make install-incl

<输出省略>

	注意!
	你要改变的目录取决于你的版本，所有情况下 tar xvf – 将会显示被解包的目录

当安装include文件时，可能会得到一些错误提示，例子 2.3, 安装bpcap include文件时遇到的一些错误

例子 2.3. 安装libpcap include文件时遇到的错误

/usr/local/include/pcap.h

/usr/bin/install -c -m 444 -o bin -g bin ./pcap-namedb.h \

/usr/local/include/pcap-namedb.h

/usr/bin/install -c -m 444 -o bin -g bin ./net/bpf.h \

/usr/local/include/net/bpf.h

/usr/bin/install: cannot create regular file \

`/usr/local/include/net/bpf.h': No such file or directory

make: *** [install-incl] Error 1

如果你遇到了上面的错误，只要简单的用下面的命令创建丢失的目录就可以了

mkdir /usr/local/include/net

然后返回到命令行重新make install-incl.

在RedHat 6.x 或更新的版本下 (或者基于它发布的，比如Mandrake) ，可以容易的安装每一个你需要的rpm包。大多数Linux系统将安装GTK+和Glib。但是你或许需要安装，however, you will probably need to install the devel versions of each of these packages. 在例子 2.4, 在RedHat Linux 6.2及更新版本下安装所需的RPMs 给出全部需要的命令

例子 2.4. 在RedHat Linux 6.2及更新版本下安装所需的RPMs

cd /mnt/cdrom/RedHat/RPMS

rpm -ivh glib-1.2.6-3.i386.rpm

rpm -ivh glib-devel-1.2.6-3.i386.rpm

rpm -ivh gtk+-1.2.6-7.i386.rpm

rpm -ivh gtk+-devel-1.2.6-7.i386.rpm

rpm -ivh libpcap-0.4-19.i386.rpm

	注意
	如果RedHat版本低于6.2， RPMs包的名字可能与上面的不一致，需要使用你的发布包里的正确的RPM

Debian下安装时可以使用apt-get。 apt-get能够帮助用户处理包之间的相关性问题。例子 2.5, 在Debian下安装debs 给出了安装方法

例子 2.5. 在Debian下安装debs

apt-get install ethereal

2.4. 在UNIX下通过源代码创建Ethereal

在UNIX操作系统下，通过源代码创建Ethereal，可以按以下步骤：Use the following general steps if you are building Ethereal from source under a UNIX operating system:

1. 解包。如果使用Linux或者GNU tar，可以使用下面的命令

tar zxvf ethereal-0.10.14-tar.gz

对于其它版本的UNIX，可以使用下面的命令

gzip -d ethereal-0.10.14-tar.gz

tar xvf ethereal-0.10.14-tar

	注意!
	通常 gzip -dc ethereal-0.10.14-tar.gz \| tar xvf – 这个命令组合可能更好用一些.

	注意!
	如果在Windows下下载了Ethereal的tar包，文件名中的点可能会变成下划线.

2. 改变到Ethereal源文件目录

3. 配置源码，以便为你的UNIX版本正确创建。使用下面的命令完成配置源码的工作

./configure

如果这一步失败，需要查出问题，然后再重新configure。解决问题的一些提示列在Section 2.6, 解决在UNIX下安装时的问题

4. 创建二进制文件，使用make 命令

make

5. 使用下面的命令进行软件的最终安装

make install

使用上面的make install 安装完成后，通过在命令行输入ethereal，就可以试着运行了。

2.5. 在UNIX下安装二进制文件包

通常，在UNIX下安装二进制包，每一个版本的UNIX是各不相同的。例如：在AIX下，使用smit 来安装Ethereal二进制包，而在Tru64 UNIX (formerly Digital UNIX)通常使用setld.

2.5.1. 在RedHat（或相似版本）安装：通过rpm包安装

从Ethereal站点下载相应的rpm包，然后使用下面的命令进行安装：

rpm -ivh ethereal-0.10.5-0.2.2.i386.rpm

如果因为丢失相关包而造成安装失败，那么需要首先安装Ethereal依赖的包，然后再重新试一下上面的步骤。例子 2.4, 在ReaHat 6.2及更新版本下安装所需的RPMs 中列出了需要安装的rpm包。

2.5.2. 在Debian下安装deb包

在Debian下使用下面的命令安装Ethereal：

apt-get install ethereal

apt-get 会自行解决包的依存关系问题

2.6. 解决在UNIX下安装时遇到的问题

在安装过程中会有一些错误出现，这里提供一此解决这些问题办法

如果configure 命令失败，需要找出原因，可以检查config.log 文件来查找为什么的败（该文件在源文件目录下），这个文件的后面几行可以帮助你定位问题。

一个常见的问题是没有GTK+或者GTK+的版本太老。如果没有libpcap也会造成configure 失败

另外一个常见问题发生在最后编译和链接（link）语句，通常会给出一个Output too long（输出太长）的提示信息。这种情况很可是由于sed的版本太旧造成的（比如Solaris自带的一个)。因为libtool 脚本使用 sed h去组织最后的链接命令，这就产生了这个怪问题。解决办法是去下载一个新版的 sed （从 http://directory.fsf.org/GNU/sed.html）.

如果无法确定问题到底出在哪儿，就将遇到的问题发到ethereal-dev 邮件列表，并附上config.log的输出及你认为任何有关的内容

2.7. 在Windows下通过源代码创建Ethereal

除非想在Windows平台进行开发工作，否则建议安装二进制型的安装包。

在Windows平台下怎么通过源代码创建Ethereal的补充资料，请参见http://wiki.ethereal.com/Development ，里面包含着最新的开发文档。

2.8. 在Windows下安装Ethereal

在这一部分对Windows下安装可执行包做出说明。

2.8.1. 安装 Ethereal

下载的Ethereal的文件名通常是这样的格式：ethereal-setup-x.y.z.exe.

可以从这个站点下载然后执行安装： http://www.ethereal.com/download.html#releases

	注意!
	从0.10.12以后，Ethereal都内置了WinPcap，因此不需要再单独去下载安装WinPcap了!

2.8.1.1. 命令行选项

安装时，可以不加任何选项直接点击进行安装，这种情况下将以交互方式进行安装。

下面是一些可用的命令行参数：

· /NCRC 放弃CRC 检查

· /S 以安静方式安装或卸载，采用默认值。注意：这种方式将不安装WinPCap!

· /desktopicon 桌面图标, =yes – 强制安装一个桌面图标， =no – 不安装桌面图标，其它情况下采用默认的用户设置[peter:默认是什么呀？] 这个选项从0.10.13以后可以在安静（silent）方式下使用

· /quicklaunchicon 快速启动栏图标安装， =yes – 强制安装 =no – 不安装， otherwise use defaults / user settings. 该选项从0.10.13 版开始可以在安静（silent）安装模式下使用

· /D 设置默认的安装目录 ($INSTDIR), 覆盖InstallDir和InstallDirRegKey。该参数必须放到命令的最后，且不能包含引号，即使是路径中有空格

例：

ethereal-setup-0.10.13.exe /NCRC /S /desktopicon=yes /quicklaunchicon=no /D=C:\Program Files\Foo

2.8.1.2. 安装内容

Beside the usual installer options like where to install the program, 有几个可选的安装内容：

	提示!
	如果不能确定选择哪些设置，就保留默认值

安装内容（Ethereal GTK1和2 不能被同时安装）

· Etheral GTK1 - Ethereal 是一个GUI的网络协议分析仪

· Etheral GTK2 - Ethereal 是一个GUI的网络协议分析仪（使用流行的GTK2 GUI 工具包，建议选该项）

· GTK-Wimp - GTKWimp 是GTK2 的windows下的模拟器(native Win32 look and feel, recommended).

· Tethereal - Tethereal 是一个基于命令行的网络协议分析仪

Ethereal和Tethereal用的扩展解码器

· Dissector Plugins – 带有扩展解码器的插件

· Tree Statistics Plugins – 带有扩展的统计能力的插件

· Mate - Meta 分析和跟踪引擎- 用户可配置的显示过滤引擎，详细内容见http://wiki.ethereal.com/Mate

· SNMP MIBs