建议的配置 › 使用硬件筛选管理数据 › 使用正则表达式进行精确筛选

使用正则表达式进行精确筛选

“硬件”筛选可以包括正则表达式，用于精确控制捕获或丢弃的数据。 在创建筛选时，可以应用正则表达式。

遵循这些步骤:

1. 创建硬件筛选。
2. 在“逻辑端口: 新硬件筛选”页面上单击“高级”。 将打开“逻辑端口: 新高级硬件筛选”页面。
3. 完成以下字段：
   • 已启用筛选。 在指定了名称的逻辑端口上应用筛选。 如果已选择，则会在重新启动 nqcapd 进程后应用筛选。
   • 筛选名称。 您正创建或编辑的筛选的名称。 筛选名称显示在应用筛选的逻辑端口的“硬件筛选”页面上。
   • 筛选优先级。 优先级确定了筛选条件重叠时优先执行哪个筛选。 如果两个或更多个重叠的筛选具有相同的优先级，则这种优先权是不确定的。 值的范围为 0（最高优先级）到 62（最低优先级）。 默认优先级为 10。

     可以结合数据包切片使用筛选优先级设置。 例如，您希望保留每个 HTTP 数据包的更多字节。 可以为 TCP 和端口 80 指定筛选，同时将切割设置为“TCP 标头 + 50 字节”，优先级设置为 1。 然后为 TCP 指定其他筛选，同时将切割设置为“TCP 标头 + 1 字节”，优先级设置为 10。 在此方案中，为 HTTP 通信量保留的负载字节数比其他 TCP 通信量要多。

   • 数据包切片模式。 使用这些选项，可以只捕获每个数据包的选定部分。 硬件筛选可让您捕获除 TCP/IP 以外的协议的数据包。 但是，Multi-Port Monitor 只收集 TCP 通信量的性能度量标准。 将收集所有通信类型的数据量度量标准。
     • 捕获完整数据包：捕获经过筛选的每个数据包的所有信息。
     • 捕获固定大小：从每个数据包捕获部分字节。 在“数据包切片大小”字段中，指定要捕获的字节数。
     • 捕获标头及指定大小：捕获所有第 2 层、第 3 层和第 4 层标头，再加上“数据包切片大小”字段中指定的固定负载字节数。 第 2 层标头包括 Ether II、LLC、SNAP 和原始标头以及 VLAN、ISL 和 MPLS 标记。 第 3 层标头包括 IPv4（包括 IPv4 选项）和 IPX 标头。 第 4 层标头包括 TCP、UDP 和 ICMP 标头。
4. 在字段列表和空白字段中构建您的表达式。 将捕获与筛选语法匹配的所有数据包。 不接受通配符。
   1. 从第一个列表中，选择您要筛选的数据包标头中的字段。 默认情况下，该筛选包括通信量。 请选择与应用该筛选的逻辑端口上的通信数据对应的项。 要创建一个筛选来排除通信量，请指定除您要排除的通信量以外的全部通信量。
      • VLAN ID：要包括其数据的虚拟 LAN (VLAN) 的标识符。 指定要在所提供空字段中以逗号分隔的列表形式包括的 VLAN ID。 例如，要包括来自 VLAN 165 和 140 的通信量，请输入 165,140。 如果您尚未向该逻辑端口添加筛选，则将捕获具有其中任何一个 VLAN 标识符的数据包。 您还可以指定一定范围的 VLAN，如 140-165。 此类筛选包含范围较广。
      • 封装：应用到某个数据包的封装。 为通过捕获文件包含的封装类型提供一个值。 有效值如下：

        VLAN：筛选类别，指定在筛选操作中包含带有 VLAN 标头的所有数据包。

        MPLS：多协议标签交换网络体系结构。 MPLS 将为包含标签的每个数据包附加一个标头，以控制数据包路由（包括服务质量和 TTL 信息）。

        ISL：适用于高性能链接的专有 Cisco VLAN 封装方法。

      • 第 3 层协议：要在筛选操作中包含的第 3 层协议。 如果选择该选项，那么请指定一个协议或用逗号分隔的协议列表。 有效值为 IP 和 IPv4。
      • 第 4 层协议：要在筛选操作中包含的第 4 层协议。 指定一个协议或用逗号分隔的协议列表。 有效值为 TCP、UDP 和 ICMP。
      • IPv4 源子网、IPv4 目标子网：要包含在筛选操作中的子网的 IP 地址。 选择“IPv4 源子网”或“IPv4 目标子网”，或者单击 AND 或 OR 按钮以将它们添加到正则表达式中。 该筛选将应用到数据包标头中的“源”或“目标”字段。 提供 IP 地址和子网掩码的位数。 使用以下语法：123.45.67.0/24。
      • IPv4 源 IP 地址、IPv4 目标 IP 地址：要在筛选操作中包含的主机的完整 IPv4 地址。 该筛选将应用到数据包标头中的“源”或“目标”字段。 您可以输入一个 IPv4 地址、逗号分隔列表或范围。 使用标准语法，如 123.45.67.89，或 123.45.67.8,123.45.67.15，或 123.45.67.8-123.45.67.15。
      • TCP 源端口、TCP 目标端口：单个端口号、逗号分隔的端口号列表或要在筛选操作中包含的连字符连接的端口号范围。 该筛选将应用到数据包标头中的“源”或“目标”端口字段。
   2. 从第二个列表中选择条件：“等于”(==) 或“不等于”(!=)。
   3. 在空白字段中，键入与您在步骤 a 中所做选择关联的值。
   4. （可选）要向筛选添加更多条件，请单击布尔运算符按钮之一（AND 或 OR），然后重复步骤 a 至 d。

      筛选语法将显示在“条件”字段中。

5. 单击“保存”。 该筛选将显示在“逻辑端口: 硬件筛选”页面上。
6. 在启用筛选后，重新启动 nqcapd 进程。