'\" t .\" Title: tshark .\" Author: [see the "AUTHOR(S)" section] .\" Generator: Asciidoctor 2.0.26 .\" Date: 2026-09-03 .\" Manual: \ \& .\" Source: \ \& .\" Language: English .\" .TH "TSHARK" "1" "2026-09-03" "\ \&" "\ \&" .ie \n(.g .ds Aq \(aq .el .ds Aq ' .ss \n[.ss] 0 .nh .ad l .de URL \fI\\$2\fP <\\$1>\\$3 .. .als MTO URL .if \n[.g] \{\ . mso www.tmac . am URL . ad l . . . am MTO . ad l . . . LINKSTYLE blue R < > .\} .SH "نام (NAME)" tshark \- تخلیه و تحلیل ترافیک شبکه .SH "خلاصه دستور (SYNOPSIS)" .sp \fBtshark\fP [\~\fB\-i\fP\~|\-\~] [\~\fB\-f\fP\~\~] [\~\fB\-2\fP\~] [\~\fB\-r\fP\~\~] [\~\fB\-w\fP\~|\-\~] [\~\fBoptions\fP\~] [\~\~] .sp \fBtshark\fP \fB\-h|\-\-help\fP .sp \fBtshark\fP \fB\-v|\-\-version\fP .SH "توضیحات (DESCRIPTION)" .sp \fBTShark\fP یک تحلیل‌گر پروتکل شبکه است. این ابزار به شما امکان می‌دهد تا داده‌های بسته‌ها را از یک شبکهٔ زنده ضبط کنید، یا بسته‌ها را از یک فایل ضبط ذخیره‌شده از قبل بخوانید، و سپس شکل رمزگشایی‌شدهٔ آن بسته‌ها را در خروجی استاندارد چاپ کرده یا آن‌ها را در یک فایل ذخیره کنید. قالب بومی فایل‌های ضبط در \fBTShark\fP، قالب \fBpcapng\fP است که همان قالب مورد استفاده توسط \fBWireshark\fP و ابزارهای گوناگون دیگر نیز می‌باشد. .sp بدون تنظیم هیچ گزینه‌ای، \fBTShark\fP عملکردی بسیار شبیه به \fBtcpdump\fP خواهد داشت. این برنامه از کتابخانهٔ pcap برای ضبط ترافیک از اولین رابط شبکهٔ دردسترس استفاده کرده و برای هر بستهٔ دریافتی، یک خط خلاصه در خروجی استاندارد نمایش می‌دهد. .sp هنگام اجرا با گزینهٔ \fB\-r\fP، که یک فایل ضبط را برای خواندن مشخص می‌کند، \fBTShark\fP مجدداً بسیار شبیه به \fBtcpdump\fP عمل خواهد کرد، بسته‌ها را از فایل خوانده و برای هر بستهٔ خوانده‌شده یک خط خلاصه در خروجی استاندارد نمایش می‌دهد. \fBTShark\fP قادر است همان فایل‌های ضبطی را که توسط \fBWireshark\fP پشتیبانی می‌شوند شناسایی کرده، بخواند و بنویسد. فایل ورودی نیازی به پسوند نام فایل خاصی ندارد؛ قالب فایل و فشرده‌سازی اختیاری gzip، Zstandard یا LZ4 به‌طور خودکار شناسایی خواهند شد. نزدیک به ابتدای بخش توضیحات (DESCRIPTION) در wireshark(1) یا .URL "https://www.wireshark.org/docs/man\-pages/wireshark.html" "" "" شرح مفصلی از نحوهٔ مدیریت این موضوع توسط \fBWireshark\fP آورده شده است، که دقیقاً همان روشی است که \fBTShark\fP به کار می‌گیرد. .sp پشتیبانی از فایل‌های فشرده از کتابخانهٔ zlib استفاده می‌کند (و در نتیجه به آن نیاز دارد). اگر کتابخانهٔ zlib هنگام کامپایل \fBTShark\fP موجود نباشد، کامپایل برنامه ممکن خواهد بود، اما برنامهٔ حاصل قادر به خواندن فایل‌های فشرده نخواهد بود. به همین ترتیب، LZ4 و ZStandard نیز به کتابخانه‌های مربوط به خود نیاز دارند. .sp هنگام نمایش بسته‌ها در خروجی استاندارد، \fBTShark\fP به‌طور پیش‌فرض یک خط خلاصه شامل فیلدهای مشخص‌شده در فایل ترجیحات (preferences) را می‌نویسد (که همان فیلدهای نمایش‌یافته در قاب فهرست بسته‌ها در \fBWireshark\fP نیز هستند)، اگرچه اگر بسته‌ها را هم‌زمان با ضبط آن‌ها بنویسد، به جای نوشتن بسته‌ها از یک فایل ضبط ذخیره‌شده، فیلد "frame number" (شماره فریم) را نشان نخواهد داد. اگر گزینهٔ \fB\-V\fP مشخص شده باشد، در عوض نمایی از جزئیات بسته را می‌نویسد و تمام فیلدهای همهٔ پروتکل‌های موجود در بسته را نشان می‌دهد. اگر گزینهٔ \fB\-O\fP مشخص شده باشد، تنها جزئیات کامل پروتکل‌های مشخص‌شده را نشان می‌دهد و برای سایر پروتکل‌ها تنها خط جزئیات سطح بالا (top\-level) را نمایش خواهد داد. برای یافتن نام‌های اختصاری پروتکل‌هایی که می‌توانید مشخص کنید، از خروجی "\fBtshark \-G protocols\fP" استفاده کنید. اگر گزینهٔ \fB\-P\fP همراه با گزینه‌های \fB\-V\fP یا \fB\-O\fP مشخص شود، هم خط خلاصه برای کل بسته و هم جزئیات آن نمایش داده خواهند شد. .sp ضبط بسته‌ها با استفاده از کتابخانهٔ pcap انجام می‌شود. این کتابخانه از تعیین یک عبارت فیلتر پشتیبانی می‌کند؛ بسته‌هایی که با آن فیلتر مطابقت نداشته باشند دور ریخته می‌شوند. گزینهٔ \fB\-f\fP برای مشخص کردن یک فیلتر ضبط به کار می‌رود. نحو یک فیلتر ضبط توسط کتابخانهٔ pcap تعریف می‌شود؛ این نحو با نحو فیلتر نمایش که در ادامه توضیح داده شده متفاوت است، و سازوکار فیلترسازی آن در توانایی‌های خود محدودتر است. .sp فیلترهای نمایش در \fBTShark\fP، که به شما امکان می‌دهند مشخص کنید کدام بسته‌ها رمزگشایی شده یا در یک فایل نوشته شوند، بسیار قدرتمند هستند؛ فیلدهای قابل فیلتر شدن در \fBTShark\fP نسبت به سایر تحلیل‌گرهای پروتکل بیشتر است و نحوی که می‌توانید برای ساخت فیلترهای خود استفاده کنید غنی‌تر است. با پیشرفت \fBTShark\fP، انتظار می‌رود فیلدهای پروتکلی بیشتر و بیشتری در فیلترهای نمایش مجاز شوند. فیلترهای نمایش از همان نحو فیلترهای نمایش و رنگ‌بندی در \fBWireshark\fP استفاده می‌کنند؛ یک فیلتر نمایش با گزینهٔ \fB\-Y\fP مشخص می‌شود. .sp فیلترهای نمایش را می‌توان هنگام ضبط یا هنگام خواندن از یک فایل ضبط مشخص کرد. توجه داشته باشید که فیلترهای ضبط بسیار کارآمدتر از فیلترهای نمایش هستند، و در صورتی که یک فیلتر نمایش برای ضبط زنده مشخص شود، ممکن است همگام ماندن با یک شبکهٔ شلوغ برای \fBTShark\fP دشوارتر باشد، بنابراین اگر از فیلتر نمایش استفاده می‌کنید، احتمال از دست رفتن بسته‌ها بیشتر خواهد بود. .sp یک فیلتر ضبط یا نمایش را می‌توان به ترتیب با گزینهٔ \fB\-f\fP یا \fB\-Y\fP مشخص کرد؛ در این حالت کل عبارت فیلتر باید به عنوان یک آرگومان واحد مشخص شود (به این معنی که اگر شامل فاصله باشد، باید درون علامت نقل‌قول قرار گیرد)، یا می‌توان آن را با آرگومان‌های خط فرمان پس از آرگومان‌های گزینه‌ها مشخص کرد که در این صورت تمام آرگومان‌های پس از آرگومان‌های فیلتر به عنوان یک عبارت فیلتر در نظر گرفته می‌شوند. اگر فیلتر با آرگومان‌های خط فرمان پس از آرگومان‌های گزینه‌ها مشخص شود، در صورتی که ضبط زنده در حال انجام باشد (یعنی گزینهٔ \fB\-r\fP مشخص نشده باشد) به عنوان فیلتر ضبط، و در صورتی که یک فایل ضبط در حال خوانده شدن باشد (یعنی گزینهٔ \fB\-r\fP مشخص شده باشد) به عنوان فیلتر نمایش در نظر گرفته می‌شود. .sp اگر هنگام ضبط بسته‌ها یا خواندن از یک فایل ضبط، گزینهٔ \fB\-w\fP مشخص شده باشد، \fBTShark\fP بسته‌ها را در خروجی استاندارد نمایش نمی‌دهد. در عوض، بسته‌ها را در یک فایل ضبط با نام مشخص‌شده توسط گزینهٔ \fB\-w\fP می‌نویسد. توجه داشته باشید که فیلترهای نمایش در حال حاضر هنگام ضبط و ذخیرهٔ بسته‌های ضبط‌شده پشتیبانی نمی‌شوند. .sp اگر می‌خواهید شکل رمزگشایی‌شدهٔ بسته‌ها را در یک فایل بنویسید، \fBTShark\fP را بدون گزینهٔ \fB\-w\fP اجرا کرده و خروجی استاندارد آن را به فایل هدایت کنید (از گزینهٔ \fB\-w\fP استفاده \fIنکنید\fP). .sp اگر می‌خواهید بسته‌ها در خروجی استاندارد نمایش داده شوند و هم‌زمان در یک فایل نیز ذخیره گردند، علاوه بر گزینهٔ \fB\-w\fP گزینهٔ \fB\-P\fP را مشخص کنید تا خط خلاصه نمایش داده شود، علاوه بر گزینهٔ \fB\-w\fP گزینهٔ \fB\-V\fP را مشخص کنید تا جزئیات بسته نمایش یابد، و گزینهٔ \fB\-O\fP را همراه با فهرستی از پروتکل‌ها مشخص کنید تا جزئیات کامل پروتکل‌های مشخص‌شده و خط جزئیات سطح بالا برای تمام پروتکل‌های دیگر نمایش داده شود. اگر گزینهٔ \fB\-P\fP همراه با گزینهٔ \fB\-V\fP یا \fB\-O\fP استفاده شود، خط خلاصه به همراه خطوط جزئیات نمایش داده خواهد شد. .sp هنگام نوشتن بسته‌ها در یک فایل، \fBTShark\fP به‌طور پیش‌فرض فایل را در قالب \fBpcapng\fP می‌نویسد، و تمام بسته‌هایی را که مشاهده می‌کند در فایل خروجی ذخیره می‌نماید. از گزینهٔ \fB\-F\fP می‌توان برای مشخص کردن قالبی که فایل با آن نوشته می‌شود استفاده کرد. فهرست قالب‌های فایل موجود با اجرای گزینهٔ \fB\-F\fP بدون مقدار نمایش داده می‌شود. با این حال، برای ضبط زنده، تنها می‌توانید قالب فایلی را مشخص کنید که توسط dumpcap(1) پشتیبانی می‌شود، یعنی \fBpcapng\fP یا \fBpcap\fP. از گزینهٔ \fB\-\-compress\fP نیز می‌توان برای مشخص کردن روش فشرده‌سازی استفاده کرد؛ فهرست روش‌های فشرده‌سازی پشتیبانی‌شده برای نوشتن را می‌توان با اجرای گزینهٔ \fB\-\-compress\fP بدون آرگومان مشاهده کرد. اگر گزینهٔ \fB\-\-compress\fP داده نشود، روش فشرده‌سازی مورد نظر (در صورت وجود) از پسوند نام فایل ارائه‌شده به عنوان آرگومان به گزینهٔ \fB\-w\fP استنباط می‌شود. .sp هنگام ضبط بسته‌ها، \fBTShark\fP یک خط اولیه در خطای استاندارد می‌نویسد که رابط‌هایی را که بسته‌ها از آن‌ها در حال ضبط هستند فهرست می‌کند و در صورتی که اطلاعات بسته‌ها در ترمینال نمایش داده نشود، شمارش مداومی از بسته‌های ضبط‌شده را در خروجی استاندارد می‌نویسد. اگر گزینهٔ \fB\-q\fP مشخص شده باشد، نه شمارش مداوم و نه اطلاعات بسته‌ها نمایش داده نخواهند شد؛ در عوض، در پایان ضبط، تعداد بسته‌های ضبط‌شده نمایش داده خواهد شد. اگر گزینهٔ \fB\-Q\fP مشخص شده باشد، نه خط اولیه، نه اطلاعات بسته‌ها، و نه هیچ شمارشی از بسته‌ها نمایش داده نخواهد شد. در صورت استفاده از گزینهٔ \fB\-q\fP یا \fB\-Q\fP، می‌توان از گزینه‌های \fB\-P\fP، \fB\-V\fP یا \fB\-O\fP برای نمایش خروجی متناظر استفاده کرد، حتی اگر سایر خروجی‌ها سرکوب شده باشند. .sp هنگام خواندن بسته‌ها، گزینه‌های \fB\-q\fP و \fB\-Q\fP نمایش خلاصه یا جزئیات بسته را سرکوب می‌کنند؛ این کار زمانی استفاده می‌شود که گزینه‌های \fB\-z\fP به منظور نمایش آمار مشخص شده باشند، به طوری که تنها آمار و نه اطلاعات بسته نمایش داده شود. .sp گزینهٔ \fB\-G\fP یک حالت ویژه است که صرفاً باعث می‌شود \fBTShark\fP یکی از چندین نوع واژه‌نامهٔ داخلی را تخلیه کرده و سپس خارج شود..SH "گزینه‌ها (OPTIONS)" .sp \-2 .RS 4 .sp یک تحلیل دو\-گذره (two\-pass) انجام می‌دهد. این کار باعث می‌شود \fBTShark\fP خروجی را تا پایان گذر اول بافر کند، اما به آن اجازه می‌دهد فیلدهایی که نیازمند آگاهی از آینده هستند، مانند فیلدهای \*(Aqresponse in frame #\*(Aq را پر کند. همچنین امکان محاسبه صحیح وابستگی‌های فریم‌های بازسرهم‌بندی (reassembly) را فراهم می‌سازد. این کار نیازمند توانایی جستجو به عقب (seek backwards) روی ورودی است و بنابراین نمی‌توان از آن برای ضبط‌های زنده یا هنگام خواندن از یک pipe یا FIFO استفاده کرد. .RE .sp \-a|\-\-autostop .RS 4 .sp معیاری را مشخص می‌کند که تعیین می‌کند \fBTShark\fP چه زمانی نوشتن در فایل ضبط را متوقف کند. این معیار به شکل \fItest:value\fP است که در آن \fItest\fP یکی از موارد زیر است: .sp \fBduration\fP:\fIvalue\fP توقف نوشتن در فایل ضبط پس از سپری شدن \fIvalue\fP ثانیه. مقادیر ممیز شناور (مانند 0.5) مجاز هستند. .sp \fBfiles\fP:\fIvalue\fP توقف نوشتن در فایل‌های ضبط پس از نوشته شدن تعداد \fIvalue\fP فایل. .sp \fBfilesize\fP:\fIvalue\fP توقف نوشتن در فایل ضبط پس از رسیدن اندازه آن به \fIvalue\fP کیلوبایت. اگر این گزینه همراه با گزینه \fB\-b\fP استفاده شود، \fBTShark\fP در صورت رسیدن به این اندازه، نوشتن در فایل ضبط جاری را متوقف کرده و به فایل بعدی منتقل می‌شود. هنگام خواندن یک فایل ضبط، \fBTShark\fP پس از اینکه تعداد بایت‌های خوانده‌شده از این عدد فراتر رفت، خواندن فایل را متوقف می‌کند (بسته به‌طور کامل خوانده می‌شود، بنابراین ممکن است بایت‌های بیشتری نسبت به این عدد خوانده شود). توجه داشته باشید که اندازه فایل به حداکثر مقدار ۲ ترابایت محدود است، هرچند اگر تعداد بسته‌ها از 232 (۴۲۹۴۹۶۷۲۹۶) بیشتر شود ممکن است پیش از آن با مشکل مواجه شوید. .sp \fBpackets\fP:\fIvalue\fP جابه‌جایی به فایل بعدی پس از اینکه حاوی \fIvalue\fP بسته شد. این مورد شامل بسته‌هایی که از فیلتر نمایش عبور نمی‌کنند نمی‌شود، بنابراین ممکن است با \fB\-c\fP متفاوت باشد. .RE .sp \-A : .RS 4 .sp مشخص کردن یک کاربر و گذرواژه هنگامی که \fBTShark\fP از یک رابط rpcap:// که نیازمند احراز هویت است، بسته‌ها را ضبط می‌کند. .sp این گزینه همراه با libpcap با پشتیبانی راه‌دور فعال در دسترس است. .RE .sp \-b|\-\-ring\-buffer .RS 4 .sp باعث می‌شود \fBTShark\fP در حالت «چند فایلی» (multiple files) اجرا شود. در این حالت، \fBTShark\fP در چندین فایل ضبط خواهد نوشت. هنگامی که نخستین فایل ضبط پر شد، \fBTShark\fP نوشتن را به فایل بعدی تغییر می‌دهد و به همین ترتیب ادامه می‌یابد. .sp نام‌های فایل ایجاد شده بر اساس نام فایل ارائه‌شده با گزینه \fB\-w\fP، شماره فایل و تاریخ و زمان ایجاد هستند؛ مانند outfile_00001_20260714120117.pcap، outfile_00002_20260714120523.pcap، .\|.\|. .sp با گزینه \fIfiles\fP همچنین امکان ایجاد یک «بافر حلقه‌ای» (ring buffer) وجود دارد. این کار فایل‌های جدید را تا رسیدن به تعداد فایل‌های مشخص‌شده پر می‌کند، و در آن نقطه \fBTShark\fP داده‌های اولین فایل را دور ریخته و شروع به نوشتن در آن فایل می‌کند و به همین ترتیب ادامه می‌دهد. اگر گزینه \fIfiles\fP تنظیم نشده باشد، فایل‌های جدید تا زمانی پر می‌شوند که یکی از شرایط توقف ضبط برقرار شود (یا دیسک پر شود). .sp این معیار به شکل \fIkey:value\fP است، که در آن \fIkey\fP یکی از موارد زیر است: .sp \fBduration\fP:\fIvalue\fP جابه‌جایی به فایل بعدی پس از سپری شدن \fIvalue\fP ثانیه، حتی اگر فایل جاری کاملاً پر نشده باشد. مقادیر ممیز شناور (مانند 0.5) مجاز هستند. .sp \fBfiles\fP:\fIvalue\fP شروع مجدد از فایل اول پس از نوشته شدن تعداد \fIvalue\fP فایل (ایجاد یک بافر حلقه‌ای). این مقدار باید کمتر از ۱۰۰۰۰۰ باشد. هنگام استفاده از تعداد زیادی فایل باید احتیاط کرد: برخی سیستم‌های فایل با فایل‌های زیاد در یک دایرکتوری به‌خوبی کار نمی‌کنند. معیار \fBfiles\fP برای کنترل زمان رفتن به فایل بعدی، نیازمند مشخص شدن یکی از موارد \fBduration\fP، \fBinterval\fP یا \fBfilesize\fP است. باید توجه داشت که هر پارامتر \fB\-b\fP دقیقاً یک معیار می‌گیرد؛ برای تعیین دو معیار، هر یک باید با گزینه \fB\-b\fP مشخص شوند. .sp \fBfilesize\fP:\fIvalue\fP جابه‌جایی به فایل بعدی پس از رسیدن اندازه آن به \fIvalue\fP کیلوبایت. توجه داشته باشید که اندازه فایل به حداکثر مقدار ۲ ترابایت محدود است، هرچند اگر تعداد بسته‌ها از 232 (۴۲۹۴۹۶۷۲۹۶) بیشتر شود ممکن است پیش از آن با مشکل مواجه شوید. .sp \fBinterval\fP:\fIvalue\fP جابه‌جایی به فایل بعدی زمانی که زمان مضرب دقیقی از \fIvalue\fP ثانیه باشد. برای مثال، از 3600 برای جابه‌جایی به فایل جدید در هر ساعت رأس ساعت استفاده کنید. .sp \fBpackets\fP:\fIvalue\fP جابه‌جایی به فایل بعدی پس از اینکه حاوی \fIvalue\fP بسته شد. .sp \fBprintname\fP:\fIfilename\fP چاپ نام آخرین فایل نوشته‌شده در \fIfilename\fP پس از بسته شدن فایل. \fIfilename\fP می‌تواند \f(CRstdout\fP یا \f(CR\-\fP برای خروجی استاندارد، یا \f(CRstderr\fP برای خطای استاندارد باشد. .sp \fBnametimenum\fP:\fIvalue\fP انتخاب بین دو الگوی نام فایل ذخیره. اگر \fIvalue\fP برابر ۱ باشد، بخش شماره فایل قبل از بخش زمان شروع قرار می‌گیرد؛ این رفتار اصلی و پیش‌فرض است (مانند log_00001_20260714164426.pcap). اگر \fIvalue\fP بزرگتر از ۱ باشد، بخش زمان شروع قبل از شماره فایل قرار می‌گیرد (مانند log_20210828164426_00001.pcap). حالت دوم باعث می‌شود ترتیب الفبایی معادل با ترتیب زمان ایجاد باشد، و مجموعه‌های مرتبط چندفایلی را در یک دایرکتوری در کنار یکدیگر نگه می‌دارد. .sp مثال: \fBtshark \-b filesize:1000 \-b files:5\fP یک بافر حلقه‌ای با پنج فایل که اندازه هر یک یک مگابایت است ایجاد می‌کند. .RE .sp \-B|\-\-buffer\-size .RS 4 .sp تنظیم اندازه بافر ضبط (به MiB، مقدار پیش‌فرض 2 MiB است). این گزینه توسط درایور ضبط برای ذخیره موقت داده‌های بسته تا زمان نوشتن آن‌ها روی دیسک استفاده می‌شود. اگر هنگام ضبط با بسته‌های از دست رفته (drop) مواجه شدید، سعی کنید این اندازه را افزایش دهید. توجه داشته باشید که اگرچه \fBTShark\fP به‌طور پیش‌فرض تلاش می‌کند اندازه بافر را روی 2 MiB تنظیم کند و می‌توان آن را روی مقادیر بزرگتری تنظیم کرد، سیستم یا رابطی که روی آن ضبط می‌کنید ممکن است بدون اطلاع اندازه بافر ضبط را به مقدار کمتری محدود کند یا آن را به مقدار بالاتری افزایش دهد. .sp این گزینه در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX با libpcap نسخه 1.0.0 یا بالاتر، و در Windows در دسترس است. در سیستم‌های سازگار با UNIX با نسخه‌های قدیمی‌تر libpcap در دسترس نیست. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، اندازه بافر ضبط پیش‌فرض را تنظیم می‌کند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، اندازه بافر ضبط را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده تنظیم می‌کند. اگر اندازه بافر ضبط به‌طور اختصاصی تنظیم نشود، اندازه پیش‌فرض به جای آن استفاده می‌شود. .RE .sp \-c .RS 4 .sp تنظیم حداکثر تعداد بسته‌ها برای خواندن هنگام ضبط داده‌های زنده. در صورت خواندن از یک فایل ضبط، حداکثر تعداد بسته‌ها برای خواندن را تعیین می‌کند. این مقدار شامل بسته‌هایی که از فیلتر نمایش عبور نمی‌کنند نیز می‌شود، بنابراین ممکن است با \fB\-a packets:\fP متفاوت باشد. .RE .sp \-C .RS 4 .sp اجرا با پروفایل پیکربندی داده‌شده. .sp اگر همراه با \-\-global\-profile استفاده شود، پروفایل مشخص‌شده به جای دایرکتوری پیکربندی شخصی کاربر، از دایرکتوری پیکربندی سراسری بارگیری می‌شود. (معمولاً در UN*X برابر \*(Aq/usr/share/wireshark/profiles\*(Aq است؛ در Windows، این دایرکتوری یک زیردایرکتوری profiles از دایرکتوری محل نصب Wireshark است، مثلاً C:\(rsProgram Files\(rsWireshark\(rsprofiles. در macOS، هنگام اجرا از یک بسته نرم‌افزاری (app bundle)، زیردایرکتوری Contents/Resources/share/wireshark/profiles درون بسته برنامه است.) .sp این گزینه در محیط‌های اشتراکی یا تنظیمات آزمون‌های خودکار که به پیکربندی‌های یکپارچه نیاز است و باید از تنظیمات ویژه کاربر اجتناب شود، مفید است. .RE .sp \-D|\-\-list\-interfaces .RS 4 .sp چاپ فهرستی از رابط‌هایی که \fBTShark\fP می‌تواند روی آن‌ها بسته‌ها را ضبط کند، و سپس خروج. برای هر رابط شبکه، یک شماره و یک نام رابط، و در صورت وجود یک توضیح متنی از رابط چاپ می‌شود. نام یا شماره رابط را می‌توان به پرچم \fB\-i\fP برای مشخص کردن رابط ضبط داد. استفاده از شماره می‌تواند در سیستم‌های Windows که رابط‌ها نام‌های طولانی و معمولاً حاوی یک GUID دارند، بسیار مفید باشد. .RE .sp \-e .RS 4 .sp افزودن یک فیلد به فهرست فیلدهای نمایشی در صورتی که \fB\-T ek|fields|json|pdml\fP انتخاب شده باشد. این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. اگر گزینه \fB\-T fields\fP انتخاب شده باشد، باید حداقل یک فیلد تعیین شود. می‌توان از انواع ستون‌ها با پیشوند "_ws.col." استفاده کرد. قرار دادن نماد at (@) قبل از نام فیلد، داده‌ها را به صورت بایت‌های هگزادسیمال نمایش می‌دهد. .sp مثال: \fBtshark \-T fields \-e frame.number \-e ip.addr \-e udp \-e _ws.col.info\fP .sp فیلدها به‌طور پیش‌فرض با نویسه‌های تب (tab) جدا می‌شوند. \fB\-E\fP قالب فیلدهای چاپ‌شده را کنترل می‌کند. ارائه یک پروتکل به جای یک فیلد واحد، خلاصه پروتکل (برچسب زیردرخت) را از جزئیات بسته به صورت یک فیلد واحد چاپ خواهد کرد. اگر خلاصه پروتکل تنها حاوی نام پروتکل باشد (مانند "Hypertext Transfer Protocol")، آن‌گاه نام فیلتر پروتکل ("http") چاپ خواهد شد. .RE .sp \-E .RS 4 .sp تنظیم یک گزینه برای کنترل چاپ فیلدها هنگامی که \fB\-T fields\fP انتخاب شده است. .sp گزینه‌ها عبارتند از: .sp \fBbom=y|n\fP اگر \fBy\fP باشد، خروجی را با نشانگر ترتیب بایت UTF\-8 (هگزادسیمال ef, bb, bf) پیشوندگذاری می‌کند. پیش‌فرض \fBn\fP است. .sp \fBheader=y|n\fP اگر \fBy\fP باشد، فهرستی از نام فیلدهای تعیین‌شده با \fB\-e\fP را به عنوان خط اول خروجی چاپ می‌کند؛ نام فیلدها با همان نویسه مقادیر فیلد جدا می‌شوند. پیش‌فرض \fBn\fP است. .sp \fBseparator=/t|/s|\fP تنظیم نویسه جداکننده برای استفاده در فیلدها. اگر \fB/t\fP باشد از نویسه تب استفاده می‌شود (این حالت پیش‌فرض است)، و اگر \fB/s\fP باشد، از یک فاصله تک استفاده خواهد شد. در غیر این صورت، هر نویسه‌ای که بتواند توسط خط فرمان به عنوان بخشی از گزینه پذیرفته شود، می‌تواند استفاده شود. .sp \fBoccurrence=f|l|a\fP انتخاب اینکه برای فیلدهایی با چند رخداد از کدام رخداد استفاده شود. اگر \fBf\fP باشد اولین رخداد، اگر \fBl\fP باشد آخرین رخداد، و اگر \fBa\fP باشد همه رخدادها استفاده خواهند شد (این حالت پیش‌فرض است). .sp \fBaggregator=,|/s|\fP تنظیم نویسه تجمیع‌کننده برای استفاده در فیلدهایی که چند رخداد دارند. اگر \fB,\fP باشد از کاما استفاده می‌شود (این حالت پیش‌فرض است)، و اگر \fB/s\fP باشد، از یک فاصله تک استفاده خواهد شد. در غیر این صورت، هر نویسه‌ای که بتواند توسط خط فرمان به عنوان بخشی از گزینه پذیرفته شود، قابل استفاده است. .sp \fBquote=d|s|n\fP تنظیم نویسه نقل‌قول برای احاطه کردن فیلدها. \fBd\fP از نقل‌قول دوتایی (double\-quotes)، \fBs\fP از نقل‌قول تکی (single\-quotes)، و \fBn\fP از بدون نقل‌قول (پیش‌فرض) استفاده می‌کند. اگر نویسه نقل‌قول در مقدار یک فیلد ظاهر شود، با تکرار شدن گریز داده می‌شود (escaped). .sp \fBescape=y|n\fP اگر \fBy\fP باشد، نویسه‌های کنترلی فضای خالی (تب، سطر جدید، بازگشت به ابتدای سطر، پرش صفحه، و تب عمودی)، پس‌بر (backspace)، و بک‌اسلش در مقادیر فیلد با توالی‌های گریز سبک C جایگزین می‌شوند؛ مانند "\(rsn" برای سطر جدید. اگر \fBn\fP باشد، رشته‌های مقدار فیلد همان‌طور که هستند چاپ می‌شوند. پیش‌فرض \fBy\fP است. .sp \fBescape_formulas=y|n\fP اگر \fBy\fP باشد، به ابتدای هر مقدار فیلدی که ممکن است یک برنامه صفحه‌گسترده آن را به عنوان فرمول ارزیابی کند یک آپوستروف اضافه می‌کند تا داده‌های بسته نتوانند فرمولی را به یک فایل CSV که بعداً در یک صفحه‌گسترده باز می‌شود تزریق کنند. مقادیری که با \fB=\fP، \fB+\fP، \fB\-\fP یا \fB@\fP شروع شوند (احتمالاً با فاصله‌های خالی در ابتدا) تحت تأثیر قرار می‌گیرند. توجه داشته باشید که این کار مقادیر صادرشده را تغییر می‌دهد و به‌ویژه برای اعداد منفی معتبر نیز اعمال می‌شود، بنابراین به‌طور پیش‌فرض غیرفعال است؛ زمانی آن را فعال کنید که خروجی به جای پردازش ماشینی بیشتر، برای یک برنامه صفحه‌گسترده در نظر گرفته شده باشد. پیش‌فرض \fBn\fP است. .sp \fBsplit=\fP تقسیم خروجی به یک سطر به ازای هر نمونه پیام از پروتکل در یک بسته. این قابلیت زمانی مفید است که یک بسته منفرد حاوی چندین پیام پروتکل باشد (مانند چندین پیام Diameter که در یک بسته SCTP بسته‌بندی شده‌اند). فیلدهایی که متعلق به یک نمونه پیام خاص هستند تنها در سطر همان نمونه خروجی داده می‌شوند، در حالی که فیلدهایی که تحت هیچ نمونه‌ای نیستند (مانند فیلدهای سطح فریم) در هر سطر تکرار می‌شوند. این گزینه تنها بر خروجی CSV مربوط به \fB\-T fields\fP اعمال می‌شود. به‌طور پیش‌فرض، هیچ تقسیمی انجام نمی‌شود. .RE .sp \-f .RS 4 .sp تنظیم عبارت فیلتر ضبط. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، عبارت فیلتر ضبط پیش‌فرض را تنظیم می‌کند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، عبارت فیلتر ضبط را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده تنظیم می‌کند. اگر عبارت فیلتر ضبط به‌طور اختصاصی تنظیم نشود، عبارت فیلتر ضبط پیش‌فرض در صورت ارائه استفاده می‌شود. .sp نام‌های فیلتر ضبط از پیش تعریف‌شده، همان‌طور که در مورد منوی گرافیکی Capture\(->Capture Filters نشان داده شده است، می‌تواند با قرار دادن پیشوند "predef:" به عنوان آرگومان استفاده شود. مثال: \fBtshark \-f "predef:MyPredefinedHostOnlyFilter"\fP .RE .sp \-F .RS 4 تنظیم قالب فایل برای فایل ضبط خروجی که با گزینه \fB\-w\fP نوشته می‌شود. خروجی نوشته‌شده با گزینه \fB\-w\fP داده‌های خام بسته است نه متن، بنابراین هیچ گزینه \fB\-F\fP برای درخواست خروجی متنی وجود ندارد. گزینه \fB\-F\fP بدون مقدار، قالب‌های موجود را فهرست می‌کند. پیش‌فرض قالب \fBpcapng\fP است (مگر اینکه این پیش‌فرض در ترجیحات تغییر کرده باشد). \&. .RE .sp \-g .RS 4 این گزینه باعث می‌شود فایل(های) خروجی با مجوز خواندن گروهی (group\-read) ایجاد شوند (به این معنی که فایل(های) خروجی توسط سایر اعضای گروه کاربر فراخواننده قابل خواندن است). .RE .sp \-G .RS 4 .sp گزینه \fB\-G\fP باعث می‌شود \fBTShark\fP یکی از چندین نوع واژه‌نامه (glossary) را تخلیه (dump) کرده و سپس خارج شود. تعیین نوع واژه‌نامه اکنون اجباری است؛ نسخه‌های قبلی در صورت عدم ارائه نوع، گزارش \fBfields\fP را به‌طور پیش‌فرض تولید می‌کردند. به استثنای یک مورد، گزارش‌ها پیکربندی فعلی را منعکس می‌کنند، از جمله آنچه توسط گزینه \fB\-C\fP داده شده یا توسط گزینه‌های دیگر خط فرمان اصلاح شده است. استفاده از نوع گزارش \fBhelp\fP تمام انواع گزارش‌های موجود را فهرست می‌کند. .sp انواع گزارش‌های موجود عبارتند از: .sp \fBcolumn\-formats\fP قالب‌های ستونی قابل درک برای \fBTShark\fP را تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 رشته قالب (مانند "%rD") .RE .sp فیلد ۲ .RS 4 توضیحات متنی رشته قالب (مانند "Dest port (resolved)") .RE .sp فیلد ۳ .RS 4 نام اختصاری فیلد استفاده‌شده برای متن ستون (مانند "_ws.col.res_dst_port") .RE .sp این گزارش با یک مثال کاربردی دنبال می‌شود که نشان می‌دهد چگونه می‌توان ستون‌ها را با لغو کردن مقدار ترجیحی \f(CRgui.column.format\fP با \fB\-o\fP تغییر داد. .sp \fBcurrentprefs\fP نسخه‌ای از فایل ترجیحات جاری را در stdout تخلیه می‌کند. .sp \fBdecodes\fP ارتباطات «نوع لایه»/«رمزگشایی به عنوان» را در stdout تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نوع لایه، مانند "tcp.port" .RE .sp فیلد ۲ .RS 4 انتخاب‌گر در مبنا برای نمایش .RE .sp فیلد ۳ .RS 4 نام «رمزگشایی به عنوان»، مانند "http" .RE .sp \fBdefaultprefs\fP یک فایل ترجیحات پیش‌فرض را در stdout تخلیه می‌کند. این گزارش تحت تأثیر سایر آرگومان‌های خط فرمان قرار نمی‌گیرد. .sp \fBdissectors\fP فهرستی از تشریح‌کننده‌های ثبت‌شده را در stdout تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نام تشریح‌کننده .RE .sp فیلد ۲ .RS 4 توضیحات تشریح‌کننده .RE .sp \fBdissector\-tables\fP فهرستی از جدول‌های تشریح‌کننده را در stdout تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نام جدول تشریح‌کننده، مانند "tcp.port" .RE .sp فیلد ۲ .RS 4 نام مورد استفاده برای جدول تشریح‌کننده در واسط گرافیکی (GUI) .RE .sp فیلد ۳ .RS 4 نوع (نمایش متنی از نوع ftenum، یا "heuristic") .RE .sp فیلد ۴ .RS 4 مبنای نمایش (برای انواع عدد صحیح) .RE .sp فیلد ۵ .RS 4 نام پروتکل .RE .sp فیلد ۶ .RS 4 پشتیبانی از «رمزگشایی به عنوان» (برای جدول‌های غیر اکتشافی) .RE .sp \fBelastic\-mapping\fP[,\fIfilter\fP] فایل نگاشت ElasticSearch را در stdout تخلیه می‌کند. فیلدهایی که در حالت پیش‌فرض (رشته) قرار می‌گیرند نگاشت نخواهند شد. .sp \fIfilter\fP یک فهرست اختیاری از نام‌های فیلتر پروتکل جداشده با کاما است که فایل نگاشت تولیدشده را به پروتکل‌های مشخص‌شده محدود می‌کند، تا از ایجاد یک فایل نگاشت حجیم که ممکن است برخی نرم‌افزارها (مانند Kibana) را دچار اختلال کند جلوگیری شود؛ مانند: .sp .if n .RS 4 .nf .fam C tshark \-G elastic\-mapping,ip,udp,dns .fam .fi .if n .RE .sp \fBenterprises\fP جدول شماره شرکت‌های خصوصی (PEN) متعلق به IANA را تخلیه می‌کند. .sp \fBfieldcount\fP تعداد فیلدهای سرآیند را در stdout تخلیه می‌کند. .sp \fBfields\fP[,\fIprefix\fP] محتوای پایگاه داده ثبت را در stdout تخلیه می‌کند. یک برنامه مستقل می‌تواند این خروجی را گرفته و آن را به جدول‌های مناسب، HTML یا موارد دیگر قالب‌بندی کند. در هر سطر یک رکورد وجود دارد. هر رکورد یا یک پروتکل است یا یک فیلد سرآیند که با فیلد اول از یکدیگر متمایز می‌شوند. فیلدها با تب جدا شده‌اند. .sp .B پروتکل‌ها (Protocols) .br .sp فیلد ۱ .RS 4 \*(AqP\*(Aq .RE .sp فیلد ۲ .RS 4 نام توصیفی پروتکل .RE .sp فیلد ۳ .RS 4 نام اختصاری پروتکل .RE .sp .B فیلدهای سرآیند (Header Fields) .br .sp فیلد ۱ .RS 4 \*(AqF\*(Aq .RE .sp فیلد ۲ .RS 4 نام توصیفی فیلد .RE .sp فیلد ۳ .RS 4 نام اختصاری فیلد .RE .sp فیلد ۴ .RS 4 نوع (نمایش متنی از نوع ftenum) .RE .sp فیلد ۵ .RS 4 نام اختصاری پروتکل والد .RE .sp فیلد ۶ .RS 4 مبنا برای نمایش (برای انواع عدد صحیح)؛ "عرض میدان بیتی والد" برای FT_BOOLEAN .RE .sp فیلد ۷ .RS 4 ماسک بیتی: قالب: هگز: 0x.\|.\|.. .RE .sp فیلد ۸ .RS 4 متن توصیف‌کننده فیلد .RE .sp یک آرگومان پیشوند جستجوی اختیاری را می‌توان به \fBfields\fP داد، که در این صورت خروجی به پروتکل‌ها و فیلدهایی محدود می‌شود که نام اختصاری آن‌ها با پیشوند جستجو آغاز شود. .sp .B خروجی جستجو (Search Output) .br .sp فیلد ۱ .RS 4 نام اختصاری پروتکل یا فیلد .RE .sp فیلد ۲ .RS 4 نام توصیفی پروتکل یا فیلد .RE .sp \fBfolders\fP پوشه‌های مختلف مورد استفاده توسط \fBTShark\fP را تخلیه می‌کند. این اساساً همان داده‌هایی است که در برگه About | Folders وایرشارک گزارش می‌شود. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نوع پوشه (مانند "Personal configuration:") .RE .sp فیلد ۲ .RS 4 مکان پوشه (مانند "/home/vagrant/.config/wireshark/") .RE .sp \fBftypes\fP مقادیر "ftypes" (انواع پایه یا fundamental types) که برای \fBTShark\fP قابل درک هستند را تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 مقدار FTYPE (مانند "FT_IPv6") .RE .sp فیلد ۲ .RS 4 توضیحات متنی نوع (مانند "IPv6 address") .RE .sp \fBheuristic\-decodes\fP رمزگشایی‌های اکتشافی (heuristic decodes) نصب‌شده در حال حاضر را تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نام جدول تشریح‌کننده اکتشافی (مانند "tcp") .RE .sp فیلد ۲ .RS 4 نام رمزگشای اکتشافی (مانند "ucp") .RE .sp فیلد ۳ .RS 4 اکتشاف فعال است (مانند "T" یا "F") .RE .sp فیلد ۴ .RS 4 اکتشاف به‌طور پیش‌فرض فعال است (مانند "T" یا "F") .RE .sp فیلد ۵ .RS 4 نام کوتاه اکتشافی (مانند "ucp_tcp") .RE .sp فیلد ۶ .RS 4 نام نمایشی اکتشافی (مانند "UCP over TCP") .RE .sp \fBhelp\fP انواع گزارش‌های موجود را نمایش می‌دهد. .sp \fBmanuf\fP جدول جستجوی آدرس MAC را در قالب \f(CRmanuf\fP تخلیه می‌کند. .sp \fBplugins\fP افزونه‌های نصب‌شده کنونی را تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 کتابخانه افزونه/اسکریپت Lua/فایل اجرایی extcap (مانند "gryphon.so") .RE .sp فیلد ۲ .RS 4 نسخه افزونه (مانند 0.0.4) .RE .sp فیلد ۳ .RS 4 نوع افزونه ("dissector", "tap", "file type", و غیره) .RE .sp فیلد ۴ .RS 4 مسیر کامل فایل افزونه .RE .sp \fBprofiles\fP[,\fIfilter\fP] فهرستی از پروفایل‌ها را تخلیه می‌کند. انواع خاصی از پروفایل‌ها را می‌توان با فیلترهای "global"، "personal" یا "all" فهرست کرد. به‌طور پیش‌فرض، "all" نمایش داده می‌شود. .sp فیلد ۱ .RS 4 نام پروفایل .RE .sp فیلد ۲ .RS 4 نوع پروفایل (شخصی، سراسری، پیش‌فرض) .RE .sp \fBprotocols\fP پروتکل‌های موجود در پایگاه داده ثبت را در stdout تخلیه می‌کند. یک برنامه مستقل می‌تواند این خروجی را گرفته و آن را به جدول‌های مناسب یا HTML یا هر قالب دیگری تبدیل کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. .sp فیلد ۱ .RS 4 نام پروتکل .RE .sp فیلد ۲ .RS 4 نام کوتاه پروتکل .RE .sp فیلد ۳ .RS 4 نام فیلتر پروتکل .RE .sp فیلد ۴ .RS 4 پروتکل فعال است (مانند "T" یا "F") .RE .sp فیلد ۵ .RS 4 پروتکل به‌طور پیش‌فرض فعال است (مانند "T" یا "F") .RE .sp فیلد ۶ .RS 4 پروتکل قابل تغییر وضعیت است (مانند "T" یا "F") .RE .sp \fBservices\fP جدول سرویس‌های انتقال (پورت) TCP، UDP و SCTP را تخلیه می‌کند. .sp \fBvalues\fP مقادیر value_strings، range_strings یا رشته‌های درستی/نادرستی (true/false) را برای فیلدهایی که آن‌ها را دارند تخلیه می‌کند. در هر سطر یک رکورد وجود دارد. فیلدها با تب جدا شده‌اند. سه نوع رکورد وجود دارد: رشته مقدار (Value String)، رشته بازه (Range String) و رشته درستی/نادرستی (True/False String). فیلد اول، یعنی \*(AqV\*(Aq، \*(AqR\*(Aq یا \*(AqT\*(Aq، نوع رکورد را مشخص می‌کند. .sp .B رشته‌های مقدار (Value Strings) .br .sp فیلد ۱ .RS 4 \*(AqV\*(Aq .RE .sp فیلد ۲ .RS 4 نام اختصاری فیلدی که این رشته مقدار مربوط به آن است .RE .sp فیلد ۳ .RS 4 مقدار عدد صحیح .RE .sp فیلد ۴ .RS 4 رشته .RE .sp .B رشته‌های بازه (Range Strings) .br .sp فیلد ۱ .RS 4 \*(AqR\*(Aq .RE .sp فیلد ۲ .RS 4 نام اختصاری فیلدی که این رشته بازه مربوط به آن است .RE .sp فیلد ۳ .RS 4 مقدار عدد صحیح: کران پایین .RE .sp فیلد ۴ .RS 4 مقدار عدد صحیح: کران بالا .RE .sp فیلد ۵ .RS 4 رشته .RE .sp .B رشته‌های درستی/نادرستی (True/False Strings) .br .sp فیلد ۱ .RS 4 \*(AqT\*(Aq .RE .sp فیلد ۲ .RS 4 نام اختصاری فیلدی که این رشته درست/نادرست مربوط به آن است .RE .sp فیلد ۳ .RS 4 رشته درست (True String) .RE .sp فیلد ۴ .RS 4 رشته نادرست (False String) .RE .RE .sp \-h|\-\-help .RS 4 چاپ شماره نسخه و گزینه‌ها و سپس خروج. .RE .sp \-H .RS 4 .sp خواندن فهرستی از مدخل‌ها از یک فایل "hosts"، که سپس در یک فایل ضبط نوشته خواهند شد. مستلزم گزینه \fB\-W n\fP است. می‌تواند چندین بار فراخوانی شود. .sp قالب فایل "hosts" در .URL "https://en.wikipedia.org/wiki/Hosts_(file)" "" "." مستند شده است. .RE .sp \-i|\-\-interface | \- .RS 4 .sp تنظیم نام رابط شبکه یا لوله‌ای (pipe) که برای ضبط زنده بسته‌ها استفاده می‌شود. .sp نام‌های رابط‌های شبکه باید با یکی از نام‌های فهرست‌شده در "\fBtshark \-D\fP" (که در بالا توضیح داده شد) مطابقت داشته باشند؛ یک شماره که توسط "\fBtshark \-D\fP" گزارش می‌شود نیز می‌تواند استفاده شود. .sp اگر هیچ رابطی مشخص نشود، \fBTShark\fP فهرست رابط‌ها را جستجو کرده، و در صورت وجود رابط‌های غیر loopback اولین آن‌ها را انتخاب می‌کند، و در صورت عدم وجود رابط‌های غیر loopback اولین رابط loopback را برمی‌گزیند. اگر اصلاً هیچ رابطی وجود نداشته باشد، \fBTShark\fP خطایی گزارش می‌دهد و عملیات ضبط را آغاز نمی‌کند. .sp نام‌های لوله باید یا نام یک FIFO (لوله نام‌گذاری‌شده) باشند یا "\-" برای خواندن داده‌ها از ورودی استاندارد. در سیستم‌های Windows، نام لوله‌ها باید به صورت "\(rs\(rs.\(rspipe\(rs\fBpipename\fP" باشد. داده‌های خوانده‌شده از لوله‌ها باید در قالب استاندارد pcapng یا pcap باشند. داده‌های pcapng باید همان ترتیب بایت (endianness) میزبان ضبط‌کننده را داشته باشند. .sp این گزینه می‌تواند چندین بار تکرار شود. هنگام ضبط از چندین رابط، فایل ضبط در قالب pcapng ذخیره خواهد شد. .RE .sp \-I|\-\-monitor\-mode .RS 4 .sp قرار دادن رابط در «حالت پایشگر» (monitor mode)؛ این قابلیت تنها روی رابط‌های Wi\-Fi با استاندارد IEEE 802.11 و در برخی سیستم‌های عامل پشتیبانی می‌شود. .sp توجه داشته باشید که در حالت پایشگر ممکن است ارتباط آداپتور از شبکه‌ای که با آن مرتبط است قطع شود، به طوری که نتوانید از هیچ شبکه بی‌سیمی با آن آداپتور استفاده کنید. این امر در صورتی که در حالت پایشگر ضبط می‌کنید و با آداپتور دیگری به شبکه دیگری متصل نیستید، می‌تواند از دسترسی به فایل‌ها روی یک سرور شبکه، یا تحلیل نام‌های میزبان یا آدرس‌های شبکه جلوگیری کند. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، حالت پایشگر را برای تمام رابط‌ها فعال می‌کند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، حالت پایشگر را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده است فعال می‌سازد. .RE .sp \-j .RS 4 .sp فیلتر تطبیق پروتکل که برای انواع فایل‌های خروجی ek|json|jsonraw|pdml استفاده می‌شود. تنها گره والد پروتکل گنجانده می‌شود. گره‌های فرزند تنها در صورتی گنجانده می‌شوند که به‌طور صریح در فیلتر مشخص شده باشند. .sp مثال: \fBtshark \-T json \-j "ip ip.flags http"\fP .RE .sp \-J .RS 4 .sp فیلتر سطح بالای پروتکل که برای انواع فایل‌های خروجی ek|json|jsonraw|pdml استفاده می‌شود. گره والد پروتکل و تمام گره‌های فرزند گنجانده می‌شوند. پروتکل‌های سطح پایین‌تر باید به‌طور صریح در فیلتر مشخص شوند. .sp مثال: \fBtshark \-T pdml \-J "tcp http"\fP .RE .sp \-l .RS 4 .sp تخلیه آنی (flush) خروجی استاندارد پس از چاپ اطلاعات هر بسته. (اگر \fB\-V\fP مشخص شده باشد، این حالت دقیقاً بافر سطری نیست؛ با این حال، اگر \fB\-V\fP مشخص نشده باشد مانند بافر سطری عمل می‌کند، زیرا برای هر بسته تنها یک سطر چاپ می‌شود، و از آنجا که \fB\-l\fP معمولاً هنگام هدایت خروجی با لوله (pipe) از یک ضبط زنده به یک برنامه یا اسکریپت استفاده می‌شود تا خروجی یک بسته به محض مشاهده و تشریح آن نمایش یابد، باید به خوبی بافر سطری واقعی کار کند. ما این کار را به عنوان راه‌حلی برای یک نقص در کتابخانه C مایکروسافت ویژوال C++ انجام می‌دهیم.) این گزینه همچنین \fB\-\-update\-interval\fP را روی 0 میلی‌ثانیه تنظیم می‌کند. .sp این گزینه می‌تواند هنگام هدایت خروجی \fBTShark\fP با لوله به برنامه‌ای دیگر مفید باشد، زیرا به این معنی است که برنامه مقصد، داده‌های تشریح‌شده یک بسته را به محض اینکه \fBTShark\fP آن را ببیند و آن خروجی را تولید کند دریافت می‌کند، نه اینکه تنها زمانی که بافر خروجی استاندارد حاوی آن داده‌ها پر شود آن را ببیند. .RE .sp \-L|\-\-list\-data\-link\-types .RS 4 فهرست کردن انواع پیوند داده (data link types) پشتیبانی‌شده توسط رابط و سپس خروج. انواع پیوند گزارش‌شده را می‌توان برای گزینه \fB\-y\fP استفاده کرد. .RE .sp \-o : .RS 4 .sp تنظیم یک مقدار ترجیحی (preference)، با اولویت نسبت به مقدار پیش‌فرض و هر مقداری که از یک فایل ترجیحات خوانده شده باشد. آرگومان این گزینه رشته‌ای به شکل \fIprefname:value\fP است، که در آن \fIprefname\fP نام ترجیح (همان نامی که در فایل ترجیحات ظاهر می‌شود) و \fIvalue\fP مقداری است که باید روی آن تنظیم شود. .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp \fBTShark\fP ترجیحات را ذخیره نمی‌کند، بنابراین از این گزینه برای تغییرات موقت در یک بار اجرا استفاده کنید. برای تنظیم دائمی یک ترجیح، آن را در واسط گرافیکی \fBWireshark\fP تغییر دهید یا مستقیماً فایل ترجیحات را ویرایش کنید، و در صورتی که برای شرایط مختلف به مجموعه‌های متفاوتی از ترجیحات نیاز دارید، چندین پروفایل پیکربندی بسازید. .sp .5v .RE .RE .sp \-O .RS 4 .sp مشابه گزینه \fB\-V\fP است، اما باعث می‌شود \fBTShark\fP تنها نمای تفصیلی از فهرست جداشده با کامای \fIprotocols\fP مشخص‌شده را نمایش دهد، و برای همه پروتکل‌های دیگر تنها سطر تفصیلی سطح بالا را نشان دهد، به جای اینکه نمای تفصیلی همه پروتکل‌ها را ارائه کند. برای یافتن نام‌های اختصاری پروتکل‌هایی که می‌توانید مشخص کنید، از خروجی "\fBtshark \-G protocols\fP" استفاده کنید. .RE .sp \-p|\-\-no\-promiscuous\-mode .RS 4 .sp رابط را در حالت بی‌قید (promiscuous mode) قرار \fIندهید\fP. توجه داشته باشید که رابط ممکن است به دلیل دیگری در حالت بی‌قید باشد؛ بنابراین، \fB\-p\fP نمی‌تواند تضمین کند که تنها ترافیک ضبط‌شده، ترافیک ارسال‌شده به یا از دستگاهی است که \fBTShark\fP روی آن در حال اجراست، یا ترافیک پخشی (broadcast) و ترافیک چندپخشی (multicast) دریافتی توسط آن دستگاه. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، هیچ رابطی در حالت بی‌قید قرار نخواهد گرفت. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده است در حالت بی‌قید قرار نمی‌گیرد. .RE .sp \-P|\-\-print .RS 4 .sp رمزگشایی و نمایش خلاصه یا جزئیات بسته، حتی هنگام نوشتن داده‌های خام بسته با استفاده از گزینه \fB\-w\fP، و حتی اگر خروجی بسته به روش دیگری با \fB\-Q\fP سرکوب شده باشد. .RE .sp \-q .RS 4 .sp هنگام ضبط بسته‌ها، شمارش مداوم بسته‌های ضبط‌شده که معمولاً هنگام ذخیره ضبط در یک فایل نشان داده می‌شود را نمایش ندهید؛ در عوض، تنها در پایان ضبط، تعداد بسته‌های ضبط‌شده را نمایش دهید. در سیستم‌هایی که از سیگنال SIGINFO پشتیبانی می‌کنند (مانند BSDهای مختلف)، می‌توانید با فشردن نویسه «وضعیت» خود (معمولاً control\-T، هرچند ممکن است دست‌کم در برخی BSDها به‌طور پیش‌فرض غیرفعال باشد، بنابراین باید صریحاً آن را برای استفاده تنظیم کنید) کاری کنید که تعداد فعلی نمایش داده شود. .sp هنگام خواندن یک فایل ضبط یا هنگام ضبط و عدم ذخیره در یک فایل، اطلاعات بسته را چاپ نکنید؛ این حالت زمانی مفید است که از گزینه \fB\-z\fP برای محاسبه آمار استفاده می‌کنید و نمی‌خواهید اطلاعات بسته چاپ شود، بلکه تنها آمار را می‌خواهید. .RE .sp \-Q .RS 4 .sp هنگام ضبط بسته‌ها، پیام اولیه در خطای استاندارد که نشان می‌دهد ضبط روی کدام رابط‌ها در حال انجام است، شمارش مداوم بسته‌های ضبط‌شده هنگام ذخیره ضبط در یک فایل، و پیام نهایی که تعداد بسته‌های ضبط‌شده را ارائه می‌دهد، نمایش ندهید. تنها خطاهای واقعی در خطای استاندارد نمایش داده می‌شوند. .sp این گزینه خروجی کمتری نسبت به گزینه \fB\-q\fP تولید می‌کند، بنابراین نام رابط و تعداد کل بسته‌ها در پایان ضبط به stderr ارسال نمی‌شوند. .sp هنگام خواندن یک فایل ضبط، یا هنگام ضبط و عدم ذخیره در یک فایل، اطلاعات بسته را چاپ نکنید؛ این حالت زمانی مفید است که از گزینه \fB\-z\fP برای محاسبه آمار استفاده می‌کنید و نمی‌خواهید اطلاعات بسته چاپ شود، بلکه تنها آمار را می‌خواهید. .RE .sp \-r|\-\-read\-file .RS 4 .sp خواندن داده‌های بسته از \fIinfile\fP؛ می‌تواند هر قالب فایل ضبط پشتیبانی‌شده‌ای باشد (از جمله فایل‌های فشرده). استفاده از لوله‌های نام‌گذاری‌شده یا stdin (\-) در اینجا امکان‌پذیر است اما تنها با قالب‌های فایل ضبط خاصی (به‌ویژه قالب‌هایی که بتوان بدون حرکت به عقب خواند). .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B راهنمایی .ps -1 .br .sp خواندن یک ضبط زنده از خروجی استاندارد یک فرآیند دیگر از طریق یک لوله (pipe) می‌تواند محدودیت‌هایی را که در حین ضبط زنده بر \fBTShark\fP اعمال می‌شود، مانند قالب‌های فایل یا فشرده‌سازی، دور بزند. .sp .5v .RE .RE .sp \-R|\-\-read\-filter .RS 4 .sp اعمال فیلتر مشخص‌شده (که از قواعد نحوی فیلترهای خواندن/نمایش استفاده می‌کند، نه فیلترهای ضبط) در طول اولین گذر تحلیل. بسته‌هایی که با فیلتر تطابق ندارند برای گذرهای بعدی در نظر گرفته نمی‌شوند. این گزینه تنها با چندین گذر تحلیل معنی دارد، به \fB\-2\fP مراجعه کنید. برای فیلترسازی معمولی در تشریح تک‌گذره به جای آن از \fB\-Y\fP استفاده کنید. .sp توجه داشته باشید که فیلدهای رو به جلو (forward\-looking) مانند \*(Aqresponse in frame #\*(Aq را نمی‌توان با این فیلتر استفاده کرد، زیرا در زمان اعمال این فیلتر هنوز محاسبه نشده‌اند. .RE .sp \-s|\-\-snapshot\-length .RS 4 .sp تنظیم طول پیش‌فرض برش بسته (snapshot length) برای استفاده هنگام ضبط داده‌های زنده. حداکثر \fIsnaplen\fP بایت از هر بسته شبکه در حافظه خوانده شده یا روی دیسک ذخیره می‌شود. مقدار 0 طول برش را روی 262144 تنظیم می‌کند تا بسته به‌طور کامل ضبط شود؛ این مقدار پیش‌فرض است. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، طول برش پیش‌فرض را تنظیم می‌کند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، طول برش را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده تنظیم می‌کند. اگر طول برش به‌طور اختصاصی تنظیم نشود، طول برش پیش‌فرض در صورت ارائه استفاده خواهد شد. .RE .sp \-S .RS 4 تنظیم جداکننده خطوطی که باید بین بسته‌ها چاپ شود. .RE .sp \-T ek|fields|json|jsonraw|pdml|ps|psml|tabs|text .RS 4 .sp تنظیم قالب خروجی هنگام مشاهده داده‌های رمزگشایی‌شده بسته. گزینه‌ها یکی از موارد زیر است: .sp \fBek\fP قالب JSON جداشده با خط جدید (NDJSON) برای وارد کردن انبوه به Elasticsearch. می‌توان از آن همراه با \fB\-j\fP یا \fB\-J\fP برای تعیین اینکه کدام پروتکل‌ها گنجانده شوند یا با \fB\-x\fP برای گنجاندن داده‌های خام بسته با کدگذاری هگز استفاده کرد. اگر \fB\-P\fP مشخص شود تنها خلاصه بسته را چاپ می‌کند، و با مشخص کردن هر دو گزینه \fB\-P\fP و \fB\-V\fP، خلاصه بسته و جزئیات بسته را چاپ می‌کند. اگر هیچ‌کدام از گزینه‌های \fB\-P\fP یا \fB\-V\fP استفاده نشوند، تنها جزئیات بسته را چاپ می‌کند. مثال کاربرد برای وارد کردن داده‌ها به Elasticsearch: .sp .if n .RS 4 .nf .fam C tshark \-T ek \-j "http tcp ip" \-P \-V \-x \-r file.pcap > file.json curl \-H "Content\-Type: application/x\-ndjson" \-XPOST http://elasticsearch:9200/_bulk \-\-data\-binary "@file.json" .fam .fi .if n .RE .sp ابزار Elastic نیازمند یک فایل نگاشت است که به عنوان الگو برای نمایه *\-packets بارگیری شود تا انواع داده‌های Wireshark را به انواع داده‌های elastic تبدیل کند. این فایل می‌تواند به‌طور خودکار با دستور "tshark \-G elastic\-mapping" تولید شود. از آنجا که فایل نگاشت می‌تواند بسیار حجیم باشد، پروتکل‌ها را می‌توان با استفاده از گزینه \-\-elastic\-mapping\-filter انتخاب کرد: .sp .if n .RS 4 .nf .fam C tshark \-G elastic\-mapping \-\-elastic\-mapping\-filter ip,udp,dns .fam .fi .if n .RE .sp یا افزودن مستقیم فیلتر به گزینه \fB\-G elastic\-mapping\fP: .sp .if n .RS 4 .nf .fam C tshark \-G elastic\-mapping,ip,udp,dns .fam .fi .if n .RE .sp \fBfields\fP مقادیر فیلدهای مشخص‌شده با گزینه \fB\-e\fP، در قالبی که توسط گزینه \fB\-E\fP مشخص شده است. به عنوان مثال، .sp .if n .RS 4 .nf .fam C tshark \-T fields \-E separator=, \-E quote=d .fam .fi .if n .RE .sp خروجی مقادیر جداشده با کاما (CSV) مناسب برای وارد کردن به برنامه صفحه‌گسترده دلخواه شما تولید خواهد کرد. .sp \fBjson\fP قالب فایل JSON. می‌توان از آن همراه با \fB\-j\fP یا \fB\-J\fP برای تعیین اینکه کدام پروتکل‌ها گنجانده شوند یا با گزینه \fB\-x\fP برای گنجاندن داده‌های خام بسته با کدگذاری هگز استفاده کرد. مثال کاربرد: .sp .if n .RS 4 .nf .fam C tshark \-T json \-r file.pcap tshark \-T json \-j "http tcp ip" \-x \-r file.pcap .fam .fi .if n .RE .sp \fBjsonraw\fP قالب فایل JSON که تنها شامل داده‌های خام بسته با کدگذاری هگز است. می‌توان از آن با \fB\-j\fP یا \fB\-J\fP برای مشخص کردن اینکه کدام پروتکل‌ها گنجانده شوند استفاده کرد. مثال کاربرد: .sp .if n .RS 4 .nf .fam C tshark \-T jsonraw \-r file.pcap tshark \-T jsonraw \-j "http tcp ip" \-x \-r file.pcap .fam .fi .if n .RE .sp \fBpdml\fP زبان نشانه‌گذاری جزئیات بسته (Packet Details Markup Language)، یک قالب مبتنی بر XML برای جزئیات یک بسته رمزگشایی‌شده. این اطلاعات معادل جزئیات بسته چاپ‌شده با گزینه \fB\-V\fP است. استفاده از گزینه \fB\-\-color\fP ویژگی‌های رنگی را به خروجی \fBpdml\fP اضافه می‌کند. این ویژگی‌ها غیراستاندارد هستند. .sp \fBps\fP فرمت PostScript برای خلاصه تک‌خطی قابل خواندن توسط انسان از هر بسته، یا نمای چندخطی از جزئیات هر یک از بسته‌ها، بسته به اینکه گزینه \fB\-V\fP مشخص شده باشد یا خیر. .sp \fBpsml\fP زبان نشانه‌گذاری خلاصه بسته (Packet Summary Markup Language)، یک قالب مبتنی بر XML برای اطلاعات خلاصه یک بسته رمزگشایی‌شده. این اطلاعات معادل اطلاعات نشان‌داده‌شده در خلاصه تک‌خطی چاپ‌شده به‌طور پیش‌فرض است. استفاده از گزینه \fB\-\-color\fP ویژگی‌های رنگی را به خروجی \fBpdml\fP اضافه می‌کند. این ویژگی‌ها غیراستاندارد هستند. .sp \fBtabs\fP مشابه گزارش پیش‌فرض \fBtext\fP، با این تفاوت که خلاصه تک‌خطی قابل خواندن توسط انسان از هر بسته، حاوی یک نویسه تب افقی ASCII (0x09) به عنوان جداکننده بین هر ستون خواهد بود. .sp \fBtext\fP متن خلاصه تک‌خطی قابل خواندن توسط انسان از هر بسته، یا یک نمای چندخطی از جزئیات هر یک از بسته‌ها، بسته به اینکه آیا گزینه \fB\-V\fP مشخص شده باشد یا خیر. این حالت پیش‌فرض است. .RE .sp \-\-temp\-dir .RS 4 .sp دایرکتوری‌ای را مشخص می‌کند که فایل‌های موقت (از جمله فایل‌های ضبط) باید در آن نوشته شوند. رفتار پیش‌فرض در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX، استفاده از متغیر محیطی \fI$TMPDIR\fP در صورت تنظیم بودن، و در غیر این صورت استفاده از پیش‌فرض سیستم (معمولاً \fI/tmp\fP) است. در Windows، از متغیر محیطی \fI%TEMP%\fP استفاده می‌شود، که معمولاً به‌طور پیش‌فرض \fI%USERPROFILE%\(rsAppData\(rsLocal\(rsTemp\fP است. .RE .sp \-U .RS 4 .sp صدور PDU؛ بسته‌های PDU را بر اساس نام شنودگر (tap name) داده‌شده از infile به outfile صادر می‌کند. برای فیلتر کردن از \fB\-Y\fP استفاده کنید. .sp برای دریافت فهرستی از نام‌های موجود، یک نام شنودگر خالی "" یا نام شنودگر ? را وارد کنید. .RE .sp \-v|\-\-version .RS 4 چاپ اطلاعات کامل نسخه و سپس خروج. .RE .sp \-V .RS 4 باعث می‌شود \fBTShark\fP نمایی از جزئیات بسته را چاپ کند. .RE .sp \-w | \- .RS 4 .sp نوشتن داده‌های خام بسته در \fIoutfile\fP، یا در خروجی استاندارد اگر \fIoutfile\fP برابر \*(Aq\-\*(Aq باشد. از گزینه‌های \fB\-F\fP و \fB\-\-compress\fP می‌توان برای کنترل قالب فایل و روش فشرده‌سازی استفاده کرد. اگر مورد دوم داده نشود، ممکن است از پسوند فایل برای استنتاج الگوریتم فشرده‌سازی مورد نظر (در صورت پشتیبانی) استفاده شود؛ مانند یک آرشیو gzip برای \*(Aq.gz\*(Aq. .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp گزینه \fB\-w\fP داده‌های خام بسته را ارائه می‌دهد نه متن. اگر خواهان خروجی متنی هستید، باید خروجی استاندارد را تغییر مسیر دهید (مثلاً با استفاده از \*(Aq>\*(Aq)؛ از گزینه \fB\-w\fP برای این منظور استفاده نکنید. .sp .5v .RE .RE .sp \-W .RS 4 .sp ذخیره اطلاعات اضافی در فایل در صورتی که قالب فایل از آن پشتیبانی کند. برای مثال، .sp .if n .RS 4 .nf .fam C tshark \-F pcapng \-W n .fam .fi .if n .RE .sp رکوردهای تحلیل نام میزبان را همراه با بسته‌های ضبط‌شده ذخیره خواهد کرد. .sp نسخه‌های آینده \fBTShark\fP ممکن است قالب ضبط را در صورت لزوم به‌طور خودکار به \fBpcapng\fP تغییر دهند. .sp آرگومان رشته‌ای است که می‌تواند حاوی حرف زیر باشد: .sp \fBn\fP نوشتن اطلاعات تحلیل آدرس شبکه (تنها در pcapng) .RE .sp \-x .RS 4 باعث می‌شود \fBTShark\fP پس از چاپ خلاصه و/یا جزئیات (در صورتی که هر یک در حال نمایش باشند)، یک تخلیه هگز و ASCII از داده‌های بسته را چاپ کند. .RE .sp \-\-hexdump .RS 4 .sp باعث می‌شود \fBTShark\fP یک تخلیه هگز و ASCII از داده‌های بسته را چاپ کند، با امکان انتخاب اینکه کدام منابع داده تخلیه شوند، متن تخلیه ASCII چگونه قالب‌بندی یا حذف شود، و اینکه آیا برچسب زمانی فریم به عنوان دیباچه چاپ شود یا خیر. .sp این گزینه (و \fB\-x\fP) می‌توانند چندین بار در خط فرمان استفاده شوند، و تخلیه هگز تنها یک بار چاپ خواهد شد. در صورت وجود گزینه‌های متناقض، آخرین گزینه‌های داده‌شده استفاده خواهند شد. مقادیر ممکن برای \fB\fP عبارتند از: .sp \fBall\fP .RS 4 فعال کردن hexdump، و تولید بلوک‌های hexdump برای تمام منابع داده مرتبط با هر فریم. برای خنثی کردن استفاده قبلی از \f(CR\-\-hexdump frames\fP استفاده می‌شود. گزینه \fB\-x\fP به‌طور پیش‌فرض تمام منابع داده را نمایش می‌دهد. .RE .sp \fBframes\fP .RS 4 فعال کردن hexdump، و تولید بلوک‌های hexdump تنها برای داده‌های فریم. از این گزینه برای حذف بلوک‌های hexdump مربوط به منابع داده ثانویه مانند \*(AqBitstring tvb\*(Aq، \*(AqReassembled TCP\*(Aq، \*(AqDe\-chunked entity body\*(Aq و غیره از خروجی hexdump استفاده کنید. .RE .sp \fBascii\fP .RS 4 فعال کردن hexdump، همراه با متن تخلیه ASCII بدون جداکننده. برای خنثی کردن استفاده قبلی از \f(CR\-\-hexdump delimit\fP یا \f(CR\-\-hexdump noascii\fP استفاده می‌شود. گزینه \fB\-x\fP به‌طور پیش‌فرض متن تخلیه ASCII بدون جداکننده را نمایش می‌دهد. .RE .sp \fBdelimit\fP .RS 4 فعال کردن hexdump با جدا کردن متن تخلیه ASCII با نویسه‌های \*(Aq|\*(Aq. این گزینه برای تشخیص دقیق و بدون ابهام پایان متن بایت‌های هگز و شروع متن تخلیه ASCII بسیار مفید است. .RE .sp \fBnoascii\fP .RS 4 فعال کردن hexdump بدون چاپ متن تخلیه ASCII. .RE .sp \fBtime\fP .RS 4 فعال کردن hexdump و چاپ برچسب زمانی هر فریم به عنوان دیباچه. گزینه \fB\-t\fP می‌تواند برای تغییر قالب برچسب زمانی استفاده شود. .RE .sp \fBnotime\fP .RS 4 فعال کردن hexdump بدون چاپ برچسب زمانی هر فریم به عنوان دیباچه. .RE .sp \fBhelp\fP .RS 4 نمایش راهنمای اختصاصی \fB\-\-hexdump\fP و سپس خروج. .RE .sp استفاده از \fB\-\-hexdump \fP به‌ویژه برای تولید خروجی مفیدی کاربرد دارد که می‌تواند برای ایجاد یک فایل pcap یا pcapng از نوع فایلی مانند Microsoft NetMon 2.x استفاده شود که \fBTShark\fP و \fBWireshark\fP می‌توانند آن را بخوانند اما نمی‌توانند مستقیماً آن را "Save as" کرده یا بسته‌ها را از آن صادر کنند. .sp مثال‌ها: .sp تولید خروجی hexdump، تنها با منبع داده فریم، با متن تخلیه ASCII جداشده، و با بلوک هگز هر فریم که با یک برچسب زمانی خوانا در منطقه زمانی محلی پیشوندگذاری شده است تا مستقیماً توسط ابزار کاربردی \fBtext2pcap\fP قابل استفاده باشد: .sp .if n .RS 4 .nf .fam C tshark ... \-\-hexdump frames \-\-hexdump delimit \-\-hexdump time \-t ad \(rs | text2pcap \-t \*(AqISO\*(Aq \- MYNEWPCAPNG .fam .fi .if n .RE .sp تولید خروجی hexdump، تنها با منبع داده فریم، با متن پیش‌فرض تخلیه ASCII بدون جداکننده، و با بلوک هگز هر فریم که با یک برچسب زمانی خوانا در UTC پیشوندگذاری شده است تا مستقیماً با گزینه \fB\-a\fP توسط ابزار کاربردی \fBtext2pcap\fP قابل استفاده باشد: .sp .if n .RS 4 .nf .fam C tshark ... \-\-hexdump frames \-\-hexdump time \-t ud \(rs | text2pcap \-a \-t \*(AqISO\*(Aq \- MYNEWPCAPNG .fam .fi .if n .RE .sp تولید خروجی hexdump، تنها با منبع داده فریم، بدون متن تخلیه ASCII، و با بلوک هگز هر فریم که با یک برچسب زمانی epoch پیشوندگذاری شده است تا مستقیماً توسط ابزار کاربردی \fBtext2pcap\fP قابل استفاده باشد: .sp .if n .RS 4 .nf .fam C tshark ... \-\-hexdump frames \-\-hexdump noascii \-\-hexdump time \-t e \(rs | text2pcap \-t %s.%f \- MYNEWPCAPNG .fam .fi .if n .RE .RE .sp \-X .RS 4 .sp مشخص کردن گزینه‌ای برای ارسال به یک ماژول \fBTShark\fP. گزینه افزونه (eXtension) به شکل \fIextension_key:value\fP است، که در آن \fIextension_key\fP می‌تواند یکی از موارد زیر باشد: .sp \fBlua_script\fP:\fIlua_script_filename\fP به \fBTShark\fP دستور می‌دهد اسکریپت داده‌شده را علاوه بر اسکریپت‌های پیش‌فرض Lua بارگیری کند. .sp \fBlua_script\fP\fInum\fP:\fIargument\fP به \fBTShark\fP دستور می‌دهد آرگومان داده‌شده را به اسکریپت lua شناسایی‌شده با \*(Aqnum\*(Aq ارسال کند، که ترتیب شاخص شماره‌گذاری دستور \*(Aqlua_script\*(Aq است. برای مثال، اگر تنها یک اسکریپت با \*(Aq\-X lua_script:my.lua\*(Aq بارگیری شده باشد، آن‌گاه \*(Aq\-X lua_script1:foo\*(Aq رشته \*(Aqfoo\*(Aq را به اسکریپت \*(Aqmy.lua\*(Aq ارسال خواهد کرد. اگر دو اسکریپت بارگیری شده باشند، مانند \*(Aq\-X lua_script:my.lua\*(Aq و \*(Aq\-X lua_script:other.lua\*(Aq با همین ترتیب، آن‌گاه \*(Aq\-X lua_script2:bar\*(Aq رشته \*(Aqbar\*(Aq را به دومین اسکریپت lua یعنی \*(Aqother.lua\*(Aq ارسال خواهد کرد. .sp \fBread_format\fP:\fIfile_format\fP به \fBTShark\fP دستور می‌دهد از قالب فایل داده‌شده برای خواندن فایل ورودی (فایل ارائه‌شده در گزینه دستور \fB\-r\fP) استفاده کند. عدم ارائه آرگومان \fIfile_format\fP یا ارائه یک آرگومان نامعتبر، فهرستی از قالب‌های فایل موجود را نمایش می‌دهد. برای مثال، .sp .if n .RS 4 .nf .fam C tshark \-r rtcp_broken.pcapng \-X read_format:"MIME Files Format" \-V .fam .fi .if n .RE .sp ساختار داخلی فایل را نمایش می‌دهد و امکان دسترسی به فیلدهای \f(CRfile\-pcapng\fP را فراهم می‌سازد. .RE .sp \-y|\-\-linktype .RS 4 .sp تنظیم نوع پیوند داده (data link type) برای استفاده هنگام ضبط بسته‌ها. مقادیر گزارش‌شده توسط \fB\-L\fP مقادیری هستند که می‌توانند استفاده شوند. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، نوع پیوند ضبط پیش‌فرض را تنظیم می‌کند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، نوع پیوند ضبط را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده است تنظیم می‌کند. اگر نوع پیوند ضبط به‌طور اختصاصی تنظیم نشود، نوع پیوند ضبط پیش‌فرض در صورت ارائه استفاده می‌شود. .RE .sp \-Y|\-\-display\-filter .RS 4 .sp اعمال فیلتر مشخص‌شده (که از قواعد نحوی فیلترهای خواندن/نمایش استفاده می‌کند، نه فیلترهای ضبط) پیش از چاپ شکل رمزگشایی‌شده بسته‌ها یا نوشتن بسته‌ها در یک فایل. بسته‌های منطبق با فیلتر چاپ شده یا در فایل نوشته می‌شوند؛ بسته‌هایی که بسته‌های منطبق به آن‌ها وابسته هستند (مانند قطعات)، چاپ نمی‌شوند اما در فایل نوشته می‌شوند؛ بسته‌هایی که با فیلتر تطابق ندارند و وابستگی به آن‌ها وجود ندارد، به جای چاپ یا نوشته شدن، دور ریخته می‌شوند. .sp از این گزینه به جای \fB\-R\fP برای فیلترسازی با استفاده از تحلیل تک‌گذره استفاده کنید. اگر در حال انجام تحلیل دوگذره هستید (به \fB\-2\fP مراجعه کنید)، تنها بسته‌های منطبق با فیلتر خواندن (در صورت وجود) در برابر این فیلتر بررسی خواهند شد. .RE .sp \-M .RS 4 .sp بازنشانی خودکار نشست داخلی پس از رسیدن به تعداد بسته‌های مشخص‌شده. برای مثال، .sp .if n .RS 4 .nf .fam C tshark \-M 100000 .fam .fi .if n .RE .sp نشست را در هر ۱۰۰۰۰۰ بسته بازنشانی می‌کند. .sp این قابلیت از تحلیل دوگذره \fB\-2\fP پشتیبانی نمی‌کند. .RE .sp \-z .RS 4 .sp واداشتن \fBTShark\fP به جمع‌آوری انواع مختلف آمار و نمایش نتیجه پس از پایان خواندن فایل ضبط. اگر در حال خواندن یک فایل ضبط هستید و تنها می‌خواهید آمار چاپ شود نه اطلاعات مربوط به هر بسته، از گزینه \fB\-q\fP استفاده کنید. .sp آمارها مستقل از خروجی عادی به ازای هر بسته و بدون تأثیرپذیری از فیلتر نمایش اصلی محاسبه می‌شوند. با این حال، بیشتر آن‌ها پارامتر اختیاری \fIfilter\fP مخصوص خود را دارند، و تنها بسته‌هایی که با آن فیلتر (و هر فیلتر ضبط یا فیلتر خواندن) تطابق داشته باشند در محاسبات استفاده خواهند شد. .sp توجه داشته باشید که گزینه \fB\-z proto\fP متفاوت است \- این گزینه باعث جمع‌آوری و چاپ آمار پس از تکمیل ضبط نمی‌شود، بلکه خروجی خلاصه بسته عادی را تغییر می‌دهد تا شامل مقادیر فیلدهای مشخص‌شده با این گزینه باشد. بنابراین نباید از گزینه \fB\-q\fP استفاده کنید، زیرا آن گزینه چاپ خروجی خلاصه عادی بسته را متوقف می‌کند؛ همچنین نباید از گزینه \fB\-V\fP استفاده کنید، زیرا باعث می‌شود اطلاعات تفصیلی بسته به جای اطلاعات خلاصه چاپ شود. .sp برخی از آمارهای پیاده‌سازی‌شده کنونی عبارتند از: .RE .sp \fB\-z help\fP .RS 4 نمایش تمام مقادیر ممکن برای \fB\-z\fP. .RE .sp \fB\-z\fP afp,srt[,\fIfilter\fP] .RS 4 نمایش آمار زمان پاسخ سرویس (SRT) برای Apple Filing Protocol. .RE .sp \fB\-z\fP ancp,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی انواع پیام‌های Access Node Control Protocol و کدهای بسته‌های همجواری (adjacency). .RE .sp \fB\-z\fP ansi_a,bsmap[,\fIfilter\fP] .RS 4 شمارش تعداد پیام‌های ANSI A\-I/F BSMAP از هر نوع. .RE .sp \fB\-z\fP ansi_a,dtap[,\fIfilter\fP] .RS 4 شمارش تعداد پیام‌های ANSI A\-I/F DTAP از هر نوع. .RE .sp \fB\-z\fP ansi_map[,\fIfilter\fP] .RS 4 شمارش تعداد پیام‌های ANSI MAP از هر نوع، و محاسبه تعداد کل بایت‌ها و میانگین بایت‌های هر نوع پیام. .RE .sp \fB\-z\fP asap,stat[,\fIfilter\fP] .RS 4 محاسبه آمار روی پروتکل Aggregate Service Access Protocol (ASAP). برای هر نوع پیام ASAP، تعداد، نرخ و سهم آن از کل بسته‌ها و بایت‌ها در میان تمام انواع پیام‌های ASAP، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP bacapp_instanceid,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های BACnet APDU، تطبیق داده‌شده بر اساس شناسه نمونه (instance ID). اطلاعات نمایش‌داده‌شده شامل آدرس مبدأ و مقصد و نوع سرویس است. .RE .sp \fB\-z\fP bacapp_ip,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های BACnet APDU، تطبیق داده‌شده بر اساس آدرس مبدأ و مقصد. اطلاعات نمایش‌داده‌شده شامل نوع سرویس، شناسه شیء (object ID) و شناسه نمونه است. .RE .sp \fB\-z\fP bacapp_objectid,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های BACnet APDU، تطبیق داده‌شده بر اساس شناسه شیء. اطلاعات نمایش‌داده‌شده شامل آدرس مبدأ و مقصد، نوع سرویس و شناسه نمونه است. .RE .sp \fB\-z\fP bacapp_service,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های BACnet APDU، تطبیق داده‌شده بر اساس نوع سرویس. اطلاعات نمایش‌داده‌شده شامل آدرس مبدأ و مقصد، شناسه شیء و شناسه نمونه است. .RE .sp \fB\-z\fP calcappprotocol,stat[,\fIfilter\fP] .RS 4 محاسبه آمار روی پروتکل Calculation Application Protocol مربوط به Reliable Server Pooling. برای هر نوع پیام، تعداد، نرخ و سهم آن از بسته‌ها و بایت‌ها در میان تمام انواع پیام‌ها، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP camel,counter[,\fIfilter\fP] .RS 4 شمارش تعداد پیام‌های CAMEL برای هر opcode. .RE .sp \fB\-z\fP camel,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) برای درخواست‌ها/پاسخ‌های CAMEL. داده‌های جمع‌آوری‌شده عبارتند از تعداد پیام‌های درخواست با پاسخ متناظر برای هر نوع پیام CAMEL، به همراه حداقل، حداکثر و میانگین زمان پاسخ. .RE .sp \fB\-z\fP collectd,tree[,\fIfilter\fP] .RS 4 محاسبه آمار برای collectd. آمارهای گردآوری‌شده عبارتند از تعداد بسته‌های collectd و تعداد کل بخش‌های مقدار (value segments)، به همراه میزبان، افزونه و نوع مقادیر. .RE .sp \fB\-z\fP componentstatusprotocol,stat[,\fIfilter\fP] .RS 4 محاسبه آمار روی پروتکل Calculation Status Protocol مربوط به Reliable Server Pooling. برای هر نوع پیام، تعداد، نرخ و سهم آن از بسته‌ها و بایت‌ها در میان تمام انواع پیام‌ها، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP conv,\fItype\fP[,\fIfilter\fP] .RS 4 .sp ایجاد یک جدول که تمام گفتگوهای (conversations) مشاهده‌شده در ضبط را فهرست می‌کند. \fItype\fP نوع نقطه پایانی گفتگو را مشخص می‌کند که می‌خواهیم برای آن آمار تولید کنیم؛ موارد پشتیبانی‌شده در حال حاضر عبارتند از: .sp .if n .RS 4 .nf .fam C "bluetooth"\& Bluetooth addresses "bpv7"\& Bundle Protocol Version 7 addresses "dccp"\& DCCP/IP socket pairs Both IPv4 and IPv6 are supported "dnp3"\& DNP3 addresses "eth"\& Ethernet addresses "fc"\& Fibre Channel addresses "fddi"\& FDDI addresses "ip"\& IPv4 addresses "ipv6"\& IPv6 addresses "ipx"\& IPX addresses "jxta"\& JXTA message addresses "ltp"\& LTP addresses "mptcp"\& Multipath TCP connections "ncp"\& NCP connections "openSAFETY" openSAFETY addresses "rsvp"\& RSVP connections "sctp"\& SCTP/IP socket pairs Both IPv4 and IPv6 are supported "sll"\& Linux "cooked mode" capture addresses "tcp"\& TCP/IP socket pairs\& Both IPv4 and IPv6 are supported "tr"\& Token Ring addresses "udp"\& UDP/IP socket pairs\& Both IPv4 and IPv6 are supported "usb"\& USB addresses "wlan"\& IEEE 802.11 addresses "wpan"\& IEEE 802.15.4 addresses "zbee_nwk"\& ZigBee Network Layer addresses .fam .fi .if n .RE .sp این جدول با یک سطر برای هر گفتگو ارائه می‌شود که تعداد فریم‌ها/بایت‌ها در هر جهت، تعداد کل فریم‌ها/بایت‌ها، زمان شروع نسبی و مدت‌زمان را نمایش می‌دهد. جدول بر اساس تعداد کل فریم‌ها مرتب شده است. .RE .sp \fB\-z\fP credentials .RS 4 جمع‌آوری اعتبارنامه‌ها (نام‌های کاربری/گذرواژه‌ها) از بسته‌ها. این گزارش شامل شماره بسته، پروتکلی که اعتبارنامه را داشته، نام کاربری و گذرواژه است. برای پروتکل‌هایی که تنها از یک فیلد برای احراز هویت استفاده می‌کنند، این مقدار به صورت گذرواژه و یک جایگزین به جای کاربر ارائه می‌شود. پروتکل‌های پیاده‌سازی‌شده در حال حاضر عبارتند از FTP، HTTP، IMAP، POP و SMTP. .RE .sp \fB\-z\fP dcerpc,srt,\fIuuid\fP,\fImajor\fP.\fIminor\fP[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) برای فراخوانی/پاسخ رابط DCERPC با \fIuuid\fP و نسخه \fImajor\fP.\fIminor\fP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر رویه، MinSRT، MaxSRT و AvgSRT. .sp مثال: \fB\-z dcerpc,srt,12345778\-1234\-abcd\-ef00\-0123456789ac,1.0\fP داده‌ها را برای رابط CIFS SAMR جمع‌آوری می‌کند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z dcerpc,srt,12345778\-1234\-abcd\-ef00\-0123456789ac,1.0,ip.addr==1.2.3.4\fP آمارهای SAMR SRT را برای یک میزبان خاص جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP dests,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های مقصد IPv4 و پروتکل‌ها و پورت‌های ظاهرشده در هر آدرس. .RE .sp \fB\-z\fP dhcp,stat[,\fIfilter\fP] .RS 4 نمایش آمارهای DHCP (BOOTP). .RE .sp \fB\-z\fP diameter,avp[,\fIcmd.code\fP,\fIfield\fP,\fIfield\fP,\fI.\|.\|.\fP] .RS 4 .sp این گزینه امکان استخراج مهم‌ترین فیلدهای diameter را از فایل‌های ضبط حجیم فراهم می‌کند. دقیقاً یک سطر متنی برای هر پیام diameter با \fBdiameter.cmd.code\fP منطبق چاپ خواهد شد. .sp کد دستور diameter خالی یا \*(Aq*\*(Aq را می‌توان برای تطابق با هر \fBdiameter.cmd.code\fP مشخص کرد. .sp مثال: \fB\-z diameter,avp\fP استخراج مجموعه فیلدهای پیش‌فرض از پیام‌های diameter. .sp مثال: \fB\-z diameter,avp,280\fP استخراج مجموعه فیلدهای پیش‌فرض از پیام‌های diameter DWR. .sp مثال: \fB\-z diameter,avp,272\fP استخراج مجموعه فیلدهای پیش‌فرض از پیام‌های diameter CC. .sp استخراج مهم‌ترین فیلدها از پیام‌های diameter CC: .sp \fBtshark \-r file.cap.gz \-q \-z diameter,avp,272,CC\-Request\-Type,CC\-Request\-Number,Session\-Id,Subscription\-Id\-Data,Rating\-Group,Result\-Code\fP .sp فیلدهای زیر برای هر پیام diameter چاپ خواهند شد: .sp .if n .RS 4 .nf .fam C "frame"\& Frame number. "time"\& Unix time of the frame arrival. "src"\& Source address. "srcport"\& Source port. "dst"\& Destination address. "dstport"\& Destination port. "proto"\& Constant string \*(Aqdiameter\*(Aq, which can be used for post processing of tshark output.\& E.g. grep/sed/awk. "msgnr"\& seq. number of diameter message within the frame.\& E.g. \*(Aq2\*(Aq for the third diameter message in the same frame. "is_request"\& \*(Aq0\*(Aq if message is a request, \*(Aq1\*(Aq if message is an answer. "cmd"\& diameter.cmd_code, E.g. \*(Aq272\*(Aq for credit control messages. "req_frame"\& Number of frame where matched request was found or \*(Aq0\*(Aq. "ans_frame"\& Number of frame where matched answer was found or \*(Aq0\*(Aq. "resp_time"\& response time in seconds, \*(Aq0\*(Aq in case if matched Request/Answer is not found in trace.\& E.g. in the begin or end of capture. .fam .fi .if n .RE .sp گزینه \fB\-z diameter,avp\fP بسیار سریع‌تر از گزینه‌های \fB\-V \-T text\fP یا \fB\-T pdml\fP است. .sp گزینه \fB\-z diameter,avp\fP بسیار قدرتمندتر از گزینه‌های \fB\-T field\fP و \fB\-z proto,colinfo\fP است. .sp وجود چندین پیام diameter در یک فریم پشتیبانی می‌شود. .sp وجود چند فیلد با نام یکسان درون یک پیام diameter پشتیبانی می‌شود، مانند \fIdiameter.Subscription\-Id\-Data\fP یا \fIdiameter.Rating\-Group\fP. .sp نکته: گزینه \fBtshark \-q\fP برای جلوگیری از خروجی پیش‌فرض \fBTShark\fP توصیه می‌شود. .RE .sp \fB\-z\fP diameter,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) درخواست‌ها/پاسخ‌ها برای Diameter. داده‌های جمع‌آوری‌شده عبارتند از تعداد جفت‌های درخواست و پاسخ برای هر کد دستور Diameter، حداقل SRT، حداکثر SRT، میانگین SRT و مجموع SRT. در حال حاضر هیچ آماری برای پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP dis,streams .RS 4 جمع‌آوری آمار برای تمام جریان‌های رادیویی DIS کشف‌شده توسط شنودگر \f(CRdis\fP. خروجی شامل زمان‌های شروع و پایان، نقاط پایانی، شناسه‌های رادیو و هویت (entity)، تعداد بسته‌های سیگنال و فرستنده، بسته‌های تخمینی از دست رفته و معیارهای جیتر است که از برچسب‌های زمانی فرستنده DIS مشتق شده‌اند. .RE .sp \fB\-z\fP dns,tree[,\fIfilter\fP] .RS 4 ایجاد خلاصه‌ای از بسته‌های ضبط‌شده DNS. اطلاعات عمومی مانند توزیع qtype و qclass جمع‌آوری می‌شوند. برای برخی داده‌ها (مانند طول qname یا بار بارگذاری‌شده DNS)، مقادیر حداکثر، حداقل و میانگین نیز نمایش داده می‌شوند. .RE .sp \fB\-z\fP endpoints,\fItype\fP[,\fIfilter\fP] .RS 4 .sp ایجاد یک جدول که تمام نقاط پایانی (endpoints) مشاهده‌شده در ضبط را فهرست می‌کند. \fItype\fP نوع نقطه پایانی را مشخص می‌کند که می‌خواهیم برای آن آمار تولید کنیم؛ موارد پشتیبانی‌شده در حال حاضر عبارتند از: .sp .if n .RS 4 .nf .fam C "bluetooth"\& Bluetooth addresses "bpv7"\& Bundle Protocol Version 7 addresses "dccp"\& DCCP/IP socket pairs Both IPv4 and IPv6 are supported "dnp3"\& DNP3 addresses "eth"\& Ethernet addresses "fc"\& Fibre Channel addresses "fddi"\& FDDI addresses "ip"\& IPv4 addresses "ipv6"\& IPv6 addresses "ipx"\& IPX addresses "jxta"\& JXTA message addresses "ltp"\& LTP addresses "mptcp"\& Multipath TCP connections "ncp"\& NCP connections "openSAFETY" openSAFETY addresses "rsvp"\& RSVP connections "sctp"\& SCTP/IP socket pairs Both IPv4 and IPv6 are supported "sll"\& Linux "cooked mode" capture addresses "tcp"\& TCP/IP socket pairs\& Both IPv4 and IPv6 are supported "tr"\& Token Ring addresses "udp"\& UDP/IP socket pairs\& Both IPv4 and IPv6 are supported "usb"\& USB addresses "wlan"\& IEEE 802.11 addresses "wpan"\& IEEE 802.15.4 addresses "zbee_nwk"\& ZigBee Network Layer addresses .fam .fi .if n .RE .sp جدول با یک سطر برای هر نقطه پایانی ارائه می‌شود که تعداد کل بسته‌ها/بایت‌ها و تعداد بسته‌ها/بایت‌ها در هر جهت را نمایش می‌دهد. این جدول بر اساس تعداد کل بسته‌ها مرتب شده است. .RE .sp \fB\-z\fP enrp,stat[,\fIfilter\fP] .RS 4 محاسبه آمار روی پروتکل Endpoint Handlespace Redundancy Protocol (ENRP). برای هر نوع پیام، تعداد، نرخ و سهم آن از بسته‌ها و بایت‌ها در میان تمام انواع پیام‌ها، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP expert[\fI,error|,warn|,note|,chat|,comment\fP][,\fIfilter\fP] .RS 4 .sp اطلاعات مربوط به همه گزارش‌های کارشناسی (expert info) را جمع‌آوری کرده و آن‌ها را به ترتیب، بر اساس سطح اهمیت (severity) گروه‌بندی و نمایش می‌دهد. .sp مثال: \fB\-z expert,sip\fP موارد کارشناسی را در تمام سطوح اهمیت برای فریم‌هایی که با پروتکل sip تطابق دارند نمایش می‌دهد. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "expert,note,tcp"\fP تنها موارد کارشناسی را برای فریم‌هایی جمع‌آوری می‌کند که شامل پروتکل tcp هستند و سطح اهمیت آن‌ها note یا بالاتر است. .RE .sp \fB\-z\fP f1ap,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع بسته‌های F1AP، گروه‌بندی‌شده بر اساس انواع بسته. .RE .sp \fB\-z\fP f5_tmm_dist,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع ریزهسته مدیریت ترافیک (TMM) تریلر اترنت F5. اطلاعات نمایش‌داده‌شده عبارتند از تعداد بسته‌ها و بایت‌ها، گروه‌بندی‌شده بر اساس شیار و شماره TMM، ورودی یا خروجی بودن بسته‌ها، و اینکه آیا شناسه جریان و نام سرور مجازی وجود دارد، شناسه جریان بدون نام سرور مجازی وجود دارد، یا اصلاً شناسه جریانی وجود ندارد؛ به همراه مجموع برای تمام بسته‌های دارای تریلر F5. .RE .sp \fB\-z\fP f5_virt_dist,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع سرور مجازی تریلر اترنت F5. اطلاعات نمایش‌داده‌شده عبارتند از تعداد بسته‌ها و بایت‌ها، گروه‌بندی‌شده بر اساس نام سرور مجازی (در صورت وجود)، یا بر اساس وجود یا عدم وجود شناسه جریان (در صورت نبود نام سرور مجازی)، و همچنین مجموع کل بسته‌های دارای تریلر F5. .RE .sp \fB\-z\fP fc,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) درخواست‌ها/پاسخ‌ها برای GTP. داده‌های جمع‌آوری‌شده عبارتند از تعداد جفت‌های درخواست/پاسخ، حداقل SRT، حداکثر SRT، میانگین SRT و مجموع SRT برای هر مقدار از فیلد Type (پروتکل بعدی). هیچ آماری روی پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP flow,\fIname\fP,\fImode\fP[,\fIfilter\fP] .RS 4 .sp جریان داده بین دو گره را نمایش می‌دهد. خروجی مشابه قالب ASCII ذخیره‌شده از طریق واسط گرافیکی است. .sp \fIname\fP نام جریان را مشخص می‌کند. می‌تواند یکی از موارد زیر باشد: .sp .if n .RS 4 .nf .fam C any\& All frames icmp\& ICMP icmpv6\& ICMPv6 lbm_uim\& UIM tcp\& TCP .fam .fi .if n .RE .sp \fImode\fP نوع آدرس را مشخص می‌کند. می‌تواند یکی از موارد زیر باشد: .sp .if n .RS 4 .nf .fam C standard\& Any address network\& Network address .fam .fi .if n .RE .sp مثال: \fB\-z flow,tcp,network\fP جریان داده را برای تمام فریم‌های TCP نشان می‌دهد .RE .sp \fB\-z\fP follow,\fIprot\fP,\fImode\fP,\fIfilter\fP[,\fIrange\fP] .RS 4 .sp محتوای یک جریان (stream) را بین دو گره نمایش می‌دهد. داده‌های ارسال‌شده توسط گره دوم با یک نویسه تب پیشوندگذاری می‌شوند تا از داده‌های ارسال‌شده توسط گره اول متمایز شوند. .sp \fIprot\fP پروتکل انتقال را مشخص می‌کند. می‌تواند یکی از موارد زیر باشد: .sp .if n .RS 4 .nf .fam C tcp\& TCP udp\& UDP dccp\& DCCP tls\& TLS or SSL dtls\& DTLS http\& HTTP streams http2 HTTP/2 streams quic\& QUIC streams mp2t\& MPEG\-2 TS PIDs mpeg\-pes MPEG\-2 Packetized Element Stream .fam .fi .if n .RE .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp اگرچه راهنمای کاربرد sip را به عنوان یک گزینه معرفی می‌کند، فیلترهای مناسب جریان پیاده‌سازی نشده‌اند، بنابراین تماس‌های SIP را نمی‌توان در \fBTShark\fP دنبال کرد و تنها در \fBWireshark\fP قابل دنبال کردن هستند. .sp .5v .RE .sp \fImode\fP حالت خروجی را مشخص می‌کند. می‌تواند یکی از موارد زیر باشد: .sp .if n .RS 4 .nf .fam C ascii\& ASCII output with dots for non\-printable characters carray C arrays of chars ebcdic EBCDIC output with dots for non\-printable characters hex\& Hexadecimal and ASCII data with offsets raw\& Hexadecimal data utf\-8\& UTF\-8 output with REPLACEMENT CHARACTERs for invalid sequences yaml\& YAML format .fam .fi .if n .RE .sp از آنجا که خروجی در حالت‌های \fBascii\fP، \fBebcdic\fP یا \fButf\-8\fP ممکن است حاوی سطر جدید باشد، هر بخش از خروجی با طول آن به بایت به علاوه یک سطر جدید پیشوندگذاری می‌شود. (توجه داشته باشید که برای \fButf\-8\fP این تعداد نویسه‌های UTF\-8 نیست، و ممکن است به دلیل جایگزینی نویسه‌های نامعتبر با نویسه‌های جانشین، با طول ارسال‌شده متفاوت باشد). .sp \fIfilter\fP جریانی را که باید نمایش داده شود مشخص می‌کند. سه قالب وجود دارد: .sp .if n .RS 4 .nf .fam C ip\-addr0:port0,ip\-addr1:port1 stream\-index stream\-index,substream\-index .fam .fi .if n .RE .sp قالب اول آدرس‌های IP و جفت پورت‌های TCP، UDP یا DCCP را مشخص می‌کند. (پورت‌های TCP برای TLS، HTTP و HTTP2 استفاده می‌شوند؛ پورت‌های UDP برای DTLS، QUIC، MP2T و MPEG\-PS استفاده می‌شوند). توجه داشته باشید که این قالب شامل تمام جریان‌های چندگانه‌شده روی یک ۵\-تایی (5\-tuple) آدرس و پورت مشابه برای پروتکل‌های انتقال دارای زیرجریان مانند HTTP/2، QUIC و MP2T خواهد بود. علاوه بر این، در پروتکل QUIC این قالب شامل تمام اتصالاتی است که در یک ۵\-تایی یکسان مشترک هستند و مهاجرت اتصال (connection migration) را دنبال نمی‌کند. .sp قالب دوم شاخص‌های جریان (stream indices) را مشخص می‌کند و برای TCP، UDP، DCCP، TLS، DTLS و HTTP استفاده می‌شود (پروتکل HTTP از شاخص‌های جریان TCP استفاده می‌کند). .sp قالب سوم که جریان‌ها و زیرجریان‌ها را مشخص می‌کند، برای HTTP/2، QUIC، MP2T و MPEG\-PES به دلیل استفاده از تکنیک چندگانه‌سازی استفاده می‌شود (شاخص‌های جریان TCP و جریان HTTP/2 برای HTTP/2؛ شماره اتصال QUIC و شناسه جریان برای QUIC؛ جریان MP2T و PID برای MP2T و MPEG\-PS). .sp \fIrange\fP به‌طور اختیاری مشخص می‌کند که کدام "تکه‌ها" (chunks) از جریان باید نمایش داده شوند. .sp مثال: \fB\-z "follow,tcp,hex,1"\fP محتوای دومین جریان TCP (اولین جریان، جریان ۰ است) را در قالب "hex" نمایش می‌دهد. .sp .if n .RS 4 .nf .fam C =================================================================== Follow: tcp,hex Filter: tcp.stream eq 1 Node 0: 200.57.7.197:32891 Node 1: 200.57.7.198:2906 00000000\& 00 00 00 22 00 00 00 07\& 00 0a 85 02 07 e9 00 02\& ...".... ........ 00000010\& 07 e9 06 0f 00 0d 00 04\& 00 00 00 01 00 03 00 06\& ........ ........ 00000020\& 1f 00 06 04 00 00\& ...... 00000000\& 00 01 00 00\& .... 00000026\& 00 02 00 00 .fam .fi .if n .RE .sp مثال: \fB\-z "follow,tcp,ascii,200.57.7.197:32891,200.57.7.198:2906"\fP محتوای یک جریان TCP بین 200.57.7.197 پورت 32891 و 200.57.7.98 پورت 2906 را نمایش می‌دهد. .sp .if n .RS 4 .nf .fam C =================================================================== Follow: tcp,ascii Filter: (omitted for readability) Node 0: 200.57.7.197:32891 Node 1: 200.57.7.198:2906 38 \&..."..... \&................ 4 \&.... .fam .fi .if n .RE .sp مثال: \fB\-z "follow,http2,hex,0,1"\fP محتوای یک جریان HTTP/2 را در اولین نشست TCP (شاخص ۰) با شناسه جریان HTTP/2 برابر ۱ نمایش می‌دهد. .sp .if n .RS 4 .nf .fam C =================================================================== Follow: http2,hex Filter: tcp.stream eq 0 and http2.streamid eq 1 Node 0: 172.16.5.1:49178 Node 1: 172.16.5.10:8443 00000000\& 00 00 2c 01 05 00 00 00\& 01 82 04 8b 63 c1 ac 2a\& ..,..... ....c..* 00000010\& 27 1d 9d 57 ae a9 bf 87\& 41 8c 0b a2 5c 2e 2e da\& \*(Aq..W.... A...\(rs... 00000020\& e1 05 c7 9a 69 9f 7a 88\& 25 b6 50 c3 ab b6 25 c3\& ....i.z. %.P...%. 00000030\& 53 03 2a 2f 2a\& S.*/* 00000000\& 00 00 22 01 04 00 00 00\& 01 88 5f 87 35 23 98 ac\& .."..... .._.5#.. 00000010\& 57 54 df 61 96 c3 61 be\& 94 03 8a 61 2c 6a 08 2f\& WT.a..a. ...a,j./ 00000020\& 34 a0 5b b8 21 5c 0b ea\& 62 d1 bf\& 4.[.!\(rs.. b.. 0000002B\& 00 40 00 00 00 00 00 00\& 01 89 50 4e 47 0d 0a 1a\& .@...... ..PNG... .fam .fi .if n .RE .RE .sp \fB\-z\fP fractalgeneratorprotocol,stat[,\fIfilter\fP] .RS 4 .sp محاسبه آمار روی پروتکل Fractal Generator Protocol مربوط به Reliable Server Pooling. برای هر نوع پیام، تعداد، نرخ و سهم آن از بسته‌ها و بایت‌ها در میان تمام انواع پیام‌ها، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP gsm_a .RS 4 .sp شمارش تعداد پیام‌های GSM A\-I/F از هر نوع در دسته‌های زیر: BSSMAP، DTAP Mobility Management، DTAP Radio Resource Management، DTAP Call Control، DTAP GPRS Mobility Management، DTAP SMS messages، DTAP GPRS Session Management، DTAP Supplementary Services، DTAP Special Conformance Testing Functions و SACCH Radio Resource Management. .sp برخلاف آمارهای تفکیکی برای هر رده که در ادامه می‌آید، این دستور تنها برای هر نوع پیامی که ظاهر شده یک سطر چاپ می‌کند، به جای اینکه سطرهایی با تعداد صفر را نیز شامل شود. .RE .sp \fB\-z\fP gsm_a,\fIcategory\fP[,\fIfilter\fP] .RS 4 .sp شمارش تعداد پیام‌ها از هر نوع در رده \fIcategory\fP از GSM A\-I/F، که می‌تواند یکی از موارد زیر باشد: .sp .if n .RS 4 .nf .fam C bssmap\& BSSMAP dtap_cc\& DTAP Call Control dtap_gmm\& DTAP GPRS Mobility Management dtap_mm\& DTAP Mobility Management dtap_rr\& DTAP Radio Resource Management dtap_sacch SACCH Radio Resource Management dtap_sm\& DTAP GPRS Session Management dtap_sms\& DTAP Short Message Service dtap_ss\& DTAP Supplementary Services dtap_tp\& DTAP Special Conformance Testing Functions .fam .fi .if n .RE .RE .sp \fB\-z\fP gsm_map,operation[,\fIfilter\fP] .RS 4 محاسبه آمار روی GSM MAP. برای هر op code، تعداد کل فراخوانی‌ها (invokes) و نتایج، به همراه میانگین و کل بایت‌ها برای فراخوانی‌ها و نتایج به صورت جداگانه و ترکیبی نمایش داده می‌شود. .RE .sp \fB\-z\fP gtp,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) درخواست‌ها/پاسخ‌ها برای GTP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها، حداقل SRT، حداکثر SRT، میانگین SRT و مجموع SRT برای برخی دستورات خاص. در حال حاضر هیچ آماری روی پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP gtpv2,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) درخواست‌ها/پاسخ‌ها برای GTP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها، حداقل SRT، حداکثر SRT، میانگین SRT و مجموع SRT برای دستوراتی خاص. در حال حاضر هیچ آماری روی پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP h225,counter[,\fIfilter\fP] .RS 4 .sp شمارش پیام‌های ITU\-T H.225 و دلایل آن‌ها. در ستون اول، فهرستی از پیام‌های H.225 و دلایل پیام‌های H.225 که در فایل ضبط جاری رخ داده‌اند نمایش می‌یابد. تعداد رخدادهای هر پیام یا دلیل در ستون دوم نمایش داده می‌شود. .sp مثال: \fB\-z h225,counter\fP. .sp مثال: استفاده از \fB\-z "h225,counter,ip.addr==1.2.3.4"\fP تنها برای جمع‌آوری آمار بسته‌های H.225 مبادله‌شده توسط میزبان با آدرس IP 1.2.3.4 . .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .RE .sp \fB\-z\fP h225_ras,rtd[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های تاخیر زمان پاسخ (RTD) برای ITU\-T H.225 RAS. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌های هر نوع پیام ITU\-T H.225 RAS، حداقل RTD، حداکثر RTD، میانگین RTD، حداقل در فریم، و حداکثر در فریم. همچنین تعداد درخواست‌های باز (بدون پاسخ)، پاسخ‌های دور ریخته‌شده (پاسخ‌های بدون درخواست منطبق) و پیام‌های تکراری را دریافت خواهید کرد. .sp مثال: \fBtshark \-z h225_ras,rtd\fP .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "h225_ras,rtd,ip.addr==1.2.3.4"\fP تنها برای جمع‌آوری آمار بسته‌های ITU\-T H.225 RAS مبادله‌شده توسط میزبان در آدرس IP 1.2.3.4 . .RE .sp \fB\-z\fP hart_ip,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های HART\-IP، با گروه‌بندی بر اساس انواع پیام و شناسه‌های پیام درون هر نوع. .RE .sp \fB\-z\fP hosts[,ip][,ipv4][,ipv6] .RS 4 .sp تخلیه هرگونه آدرس تحلیل‌شده IPv4 و/یا IPv6 در قالب "hosts". به‌طور پیش‌فرض هم آدرس‌های IPv4 و هم IPv6 تخلیه می‌شوند. آرگومان "ip" تنها آدرس‌های IPv4 را تخلیه می‌کند. .sp آدرس‌ها از چندین منبع جمع‌آوری می‌شوند، از جمله فایل‌های استاندارد "hosts" و ترافیک ضبط‌شده. تحلیل نام‌ها باید فعال باشد، برای مثال از طریق گزینه \fB\-n\fP. .RE .sp \fB\-z\fP hpfeeds,tree[,\fIfilter\fP] .RS 4 محاسبه آمار برای ترافیک HPFEEDS مانند انتشارات به ازای هر کانال، و توزیع opcodeها. .RE .sp \fB\-z\fP http,stat[,\fIfilter\fP] .RS 4 شمارش کدهای وضعیت پاسخ HTTP و متدهای درخواست HTTP. .RE .sp \fB\-z\fP http,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع بسته‌های HTTP. مقادیر نمایش‌داده‌شده شامل کدهای وضعیت پاسخ و متدهای درخواست هستند. .RE .sp \fB\-z\fP http_req,tree[,\fIfilter\fP] .RS 4 محاسبه درخواست‌های HTTP بر اساس سرور. مقادیر نمایش‌داده‌شده نام سرور و مسیر URI هستند. .RE .sp \fB\-z\fP http_seq,tree[,\fIfilter\fP] .RS 4 محاسبه آمار توالی درخواست‌های HTTP، که URIهای ارجاع‌دهنده را با URIهای درخواست مطابقت می‌دهد. .RE .sp \fB\-z\fP http_srv,tree[,\fIfilter\fP] .RS 4 محاسبه درخواست‌ها و پاسخ‌های HTTP بر اساس سرور. برای درخواست‌های HTTP، مقادیر نمایش‌داده‌شده شامل آدرس IP سرور و نام میزبان سرور هستند. برای پاسخ‌های HTTP، مقادیر نمایش‌داده‌شده آدرس IP سرور و وضعیت آن هستند. .RE .sp \fB\-z\fP http2,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع بسته‌های HTTP/2. مقادیر نمایش‌داده‌شده انواع فریم هستند. .RE .sp \fB\-z\fP icmp,srt[,\fIfilter\fP] .RS 4 .sp محاسبه کل درخواست‌های echo، پاسخ‌ها، اتلاف و درصد اتلاف ICMP، و همچنین حداقل، حداکثر، میانگین، میانه و انحراف استاندارد آماری SRT که معمولاً توسط دستور ping ارائه می‌شود. .sp مثال: \fB\-z icmp,srt,ip.src==1.2.3.4\fP آمارهای ICMP SRT را برای بسته‌های درخواست echo با مبدأ یک میزبان خاص جمع‌آوری می‌کند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .RE .sp \fB\-z\fP icmpv6,srt[,\fIfilter\fP] .RS 4 .sp محاسبه کل درخواست‌های echo، پاسخ‌ها، اتلاف و درصد اتلاف ICMPv6، و همچنین حداقل، حداکثر، میانگین، میانه و انحراف استاندارد آماری SRT که معمولاً توسط دستور ping ارائه می‌شود. .sp مثال: \fB\-z icmpv6,srt,ipv6.src==fe80::1\fP آمارهای ICMPv6 SRT را برای بسته‌های درخواست echo با مبدأ یک میزبان خاص جمع‌آوری می‌کند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .RE .sp \fB\-z\fP io,phs[,\fIfilter\fP] .RS 4 .sp ایجاد آمار سلسله‌مراتب پروتکل (Protocol Hierarchy Statistics) با نمایش تعداد بسته‌ها و بایت‌ها. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .RE .sp \fB\-z\fP io,stat,\fIinterval\fP[,\fIfilter\fP][,\fIfilter\fP][,\fIfilter\fP].\|.\|. .RS 4 .sp جمع‌آوری آمار بسته‌ها/بایت‌ها برای ضبط در بازه‌های زمانی \fIinterval\fP ثانیه‌ای. \fIInterval\fP می‌تواند به صورت یک عدد کامل یا کسری از ثانیه مشخص شود و با دقت میکروثانیه (us) قابل تعیین است. اگر \fIinterval\fP برابر ۰ باشد، آمار روی تمام بسته‌ها محاسبه خواهد شد. .sp اگر یک یا چند \fIfilter\fP مشخص شوند، آمارها برای تمام فیلترها محاسبه شده و با یک ستون آماری برای هر فیلتر نمایش داده می‌شوند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z io,stat,1,ip.addr==1.2.3.4\fP آمارهای ۱ ثانیه‌ای را برای تمام ترافیک ورودی/خروجی میزبان 1.2.3.4 تولید می‌کند. .sp مثال: \fB\-z "io,stat,0.001,smb&&ip.addr==1.2.3.4"\fP آمارهای ۱ میلی‌ثانیه‌ای را برای تمام بسته‌های SMB به/از میزبان 1.2.3.4 تولید می‌کند. .sp مثال‌های بالا همگی از ساختار دستوری استاندارد برای تولید آمار استفاده می‌کنند که تنها تعداد بسته‌ها و بایت‌ها را در هر بازه زمانی محاسبه می‌کند. .sp دستور \fBio,stat\fP همچنین می‌تواند با استفاده از یک ساختار دستوری کمی متفاوت برای فیلتر، آمارهای بسیار بیشتری را تولید کرده و توابع COUNT()، SUM()، MIN()، MAX()، AVG() و LOAD() را محاسبه کند: .RE .sp \-z io,stat,\fIinterval\fP,"COUNT|SUM|MIN|MAX|AVG|LOAD(\fIfield\fP)\fIfilter\fP" .RS 4 .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp یک نکته مهم در اینجا این است که فیلتر اختیاری نیست و فیلدی که محاسبه بر اساس آن انجام می‌شود حتماً باید بخشی از رشته فیلتر باشد، در غیر این صورت محاسبه ناموفق خواهد بود. .sp .5v .RE .sp بنابراین: \fB\-z io,stat,0.010,AVG(smb.time)\fP کار نمی‌کند. به جای آن از \fB\-z io,stat,0.010,AVG(smb.time)smb.time\fP استفاده کنید. همچنین توجه داشته باشید که یک فیلد می‌تواند چندین بار درون یک بسته وجود داشته باشد و در این صورت چندین بار در آن بسته‌ها شمرده خواهد شد. .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp دومین نکته مهم این است که تنظیم سیستم برای جداکننده اعشار باید روی "." تنظیم شده باشد! اگر روی "," تنظیم شده باشد، آمارها به تفکیک فیلتر نمایش داده نخواهند شد. .sp .5v .RE .sp \fBCOUNT\fP \- تعداد دفعاتی را محاسبه می‌کند که فیلد \fIname\fP (نه مقدار آن) در هر بازه در فهرست بسته‌های فیلترشده ظاهر می‌شود. \*(Aq\*(Aq\fIfield\fP\*(Aq\*(Aq می‌تواند هر نام فیلتر نمایشی باشد. .sp مثال: \fB\-z io,stat,0.010,"COUNT(smb.sid)smb.sid"\fP .sp این دستور تعداد کل SIDهای مشاهده‌شده را در هر بازه ۱۰ میلی‌ثانیه‌ای شمارش می‌کند. .sp \fBSUM\fP \- برخلاف COUNT، \fIمقادیر\fP فیلد مشخص‌شده در هر بازه زمانی جمع می‌شوند. \*(Aq\*(Aq\fIfield\fP\*(Aq\*(Aq تنها می‌تواند یک فیلد نام‌گذاری‌شده از نوع عدد صحیح، ممیز شناور، دوبل یا زمان نسبی باشد. .sp مثال: \fBtshark \-z io,stat,0.010,"SUM(frame.len)frame.len"\fP .sp تعداد کل بایت‌هایی را که به‌طور دوطرفه در تمام بسته‌ها درون یک بازه ۱۰ میلی‌ثانیه‌ای منتقل شده‌اند گزارش می‌کند. .sp \fBMIN/MAX/AVG\fP \- حداقل، حداکثر یا میانگین مقدار فیلد در هر بازه زمانی محاسبه می‌شود. فیلد مشخص‌شده باید یک فیلد نام‌گذاری‌شده از نوع عدد صحیح، ممیز شناور، دوبل یا زمان نسبی باشد. برای فیلدهای زمان نسبی، خروجی بر حسب ثانیه با دقت شش رقم اعشار و گردشده به نزدیک‌ترین میکروثانیه نمایش داده می‌شود. .sp در مثال زیر، زمان اولین فراخوانی Read_AndX، مقادیر آخرین پاسخ Read_AndX نمایش داده می‌شوند و حداقل، حداکثر و میانگین زمان‌های پاسخ خواندن (SRT) محاسبه می‌شوند. نکته: اگر از نویسه ادامه‌دهنده سطر در پوسته DOS یعنی \*(Aq\*(Aq^\*(Aq\*(Aq استفاده شود، انتهای هر سطر نمی‌تواند به کاما ختم شود بنابراین باید در ابتدای هر سطر ادامه قرار گیرد: .sp .if n .RS 4 .nf .fam C tshark \-o tcp.desegment_tcp_streams:FALSE \-n \-q \-r smb_reads.cap \-z io,stat,0, "MIN(frame.time_relative)frame.time_relative and smb.cmd==0x2e and smb.flags.response==0", "MAX(frame.time_relative)frame.time_relative and smb.cmd==0x2e and smb.flags.response==1", "MIN(smb.time)smb.time and smb.cmd==0x2e", "MAX(smb.time)smb.time and smb.cmd==0x2e", "AVG(smb.time)smb.time and smb.cmd==0x2e" .fam .fi .if n .RE .sp .if n .RS 4 .nf .fam C ====================================================================================================== IO Statistics Column #0: MIN(frame.time_relative)frame.time_relative and smb.cmd==0x2e and smb.flags.response==0 Column #1: MAX(frame.time_relative)frame.time_relative and smb.cmd==0x2e and smb.flags.response==1 Column #2: MIN(smb.time)smb.time and smb.cmd==0x2e Column #3: MAX(smb.time)smb.time and smb.cmd==0x2e Column #4: AVG(smb.time)smb.time and smb.cmd==0x2e |\& Column #0\& |\& Column #1\& |\& Column #2\& |\& Column #3\& |\& Column #4\& | Time\& |\& MIN\& |\& MAX\& |\& MIN\& |\& MAX\& |\& AVG\& | 000.000\-\& 0.000000\& 7.704054\& 0.000072\& 0.005539\& 0.000295 ====================================================================================================== .fam .fi .if n .RE .sp دستور زیر میانگین اندازه PDU پاسخ خواندن SMB، تعداد کل بایت‌های PDU خواندن، میانگین اندازه PDU درخواست نوشتن SMB، و تعداد کل بایت‌های منتقل‌شده در PDUهای نوشتن SMB را نمایش می‌دهد: .sp .if n .RS 4 .nf .fam C tshark \-n \-q \-r smb_reads_writes.cap \-z io,stat,0, "AVG(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2e and smb.response_to", "SUM(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2e and smb.response_to", "AVG(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2f and not smb.response_to", "SUM(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2f and not smb.response_to" .fam .fi .if n .RE .sp .if n .RS 4 .nf .fam C ===================================================================================== IO Statistics Column #0: AVG(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2e and smb.response_to Column #1: SUM(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2e and smb.response_to Column #2: AVG(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2f and not smb.response_to Column #3: SUM(smb.file.rw.length)smb.file.rw.length and smb.cmd==0x2f and not smb.response_to |\& Column #0\& |\& Column #1\& |\& Column #2\& |\& Column #3\& | Time\& |\& AVG\& |\& SUM\& |\& AVG\& |\& SUM\& | 000.000\-\& 30018\& 28067522\& 72\& 3240 ===================================================================================== .fam .fi .if n .RE .sp \fBLOAD\fP \- بار یا عمق صف (LOAD/Queue\-Depth) در هر بازه زمانی محاسبه می‌شود. فیلد مشخص‌شده باید یک فیلد زمان نسبی باشد که بیانگر زمان پاسخ است؛ مانند smb.time. برای هر بازه زمانی، عمق صف برای پروتکل مشخص‌شده محاسبه می‌شود. .sp دستور زیر میانگین بار (LOAD) پروتکل SMB را نمایش می‌دهد. مقدار 1.0 نشان‌دهنده یک عملیات ورودی/خروجی فعال در حال اجراست. .sp .if n .RS 4 .nf .fam C tshark \-n \-q \-r smb_reads_writes.cap \-z "io,stat,0.001,LOAD(smb.time)smb.time" .fam .fi .if n .RE .sp .if n .RS 4 .nf .fam C ============================================================================ IO Statistics Interval:\& 0.001000 secs Column #0: LOAD(smb.time)smb.time |\& Column #0\& | Time\& |\& LOAD\& | 0000.000000\-0000.001000\& 1.000000 0000.001000\-0000.002000\& 0.741000 0000.002000\-0000.003000\& 0.000000 0000.003000\-0000.004000\& 1.000000 .fam .fi .if n .RE .sp \fBFRAMES | BYTES\fP[()\fIfilter\fP] \- تعداد کل فریم‌ها یا بایت‌ها را نمایش می‌دهد. فیلد فیلتر اختیاری است اما در صورت گنجانده شدن باید با \*(Aq\*(Aq()\*(Aq\*(Aq پیشوندگذاری شود. .sp دستور زیر پنج ستون را نمایش می‌دهد: تعداد کل فریم‌ها و بایت‌ها (منتقل‌شده به‌طور دوطرفه) با استفاده از یک کامای تکی، همان دو آمار با استفاده از زیردستورهای FRAMES و BYTES، تعداد کل فریم‌های حاوی حداقل یک پاسخ خواندن SMB، و تعداد کل بایت‌های ارسال‌شده به کارخواه (به‌طور یک‌طرفه) در آدرس IP 10.1.0.64. .sp .if n .RS 4 .nf .fam C tshark \-o tcp.desegment_tcp_streams:FALSE \-n \-q \-r smb_reads.cap \-z io,stat,0,,FRAMES,BYTES, "FRAMES()smb.cmd==0x2e and smb.response_to","BYTES()ip.dst==10.1.0.64" .fam .fi .if n .RE .sp .if n .RS 4 .nf .fam C ======================================================================================================================= IO Statistics Column #0: Column #1: FRAMES Column #2: BYTES Column #3: FRAMES()smb.cmd==0x2e and smb.response_to Column #4: BYTES()ip.dst==10.1.0.64 |\& Column #0\& |\& Column #1\& |\& Column #2\& |\& Column #3\& |\& Column #4\& | Time\& |\& Frames\& |\& Bytes\& |\& FRAMES\& |\& BYTES\& |\& FRAMES\& |\& BYTES\& | 000.000\-\& 33576\& 29721685\& 33576\& 29721685\& 870\& 29004801 ======================================================================================================================= .fam .fi .if n .RE .RE .sp \fB\-z\fP ip_hosts,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های IPv4، در حالی که آدرس‌های مبدأ و مقصد همگی با هم گروه‌بندی شده‌اند. .RE .sp \fB\-z\fP ip_srcdst,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های IPv4، در حالی که آدرس‌های مبدأ و مقصد در دسته‌های جداگانه تفکیک شده‌اند. .RE .sp \fB\-z\fP ip_ttl,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی مقادیر طول عمر (TTL) که برای هر آدرس مبدأ IPv4 رخ می‌دهد. .RE .sp \fB\-z\fP ip6_dests,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های مقصد IPv6 و پروتکل‌ها و پورت‌های ظاهرشده در هر آدرس. .RE .sp \fB\-z\fP ip6_hosts,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های IPv6، در حالی که آدرس‌های مبدأ و مقصد همگی با هم گروه‌بندی شده‌اند. .RE .sp \fB\-z\fP ip6_ptype,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی انواع پورت‌هایی که در بسته‌های IPv6 رخ می‌دهند. .RE .sp \fB\-z\fP ip6_srcdst,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی آدرس‌های IPv6، در حالی که آدرس‌های مبدأ و مقصد در دسته‌های جداگانه تفکیک شده‌اند. .RE .sp \fB\-z\fP ip6_hop,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی محدودیت‌های جهش (hop limits) که برای هر آدرس مبدأ IPv6 رخ می‌دهد. .RE .sp \fB\-z\fP isup_msg,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی پیام‌های ISUP. اطلاعات نمایش‌داده‌شده شامل انواع پیام و جهت (کد نقطه مبدأ و کد نقطه مقصد) است. .RE .sp \fB\-z\fP lbmr_queue_ads_queue,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM (LBM Topic Resolution Packets). اعلانات صف را که بر اساس نام صف و سپس آدرس‌های مبدأ و پورت دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_queue_ads_source,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. اعلانات صف را که بر اساس آدرس مبدأ و سپس صف و پورت دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_queue_queries_queue,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای صف را که بر اساس نام صف و سپس آدرس‌های گیرنده دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_queue_queries_receiver,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای صف را که بر اساس آدرس گیرنده و سپس صف دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_ads_source,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. اعلانات موضوع را که بر اساس آدرس مبدأ و سپس نام موضوع و رشته مبدأ دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_ads_topic,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. اعلانات موضوع را که بر اساس نام موضوع و سپس آدرس مبدأ و رشته مبدأ دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_ads_transport,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. اعلانات موضوع را که بر اساس رشته مبدأ و سپس نام موضوع دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_queries_pattern,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای موضوع را که بر اساس الگو و سپس آدرس گیرنده دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_queries_pattern_receiver,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای موضوع را که بر اساس آدرس گیرنده و سپس الگو دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_queries_receiver,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای موضوع را که بر اساس آدرس گیرنده و سپس نام موضوع دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP lbmr_topic_queries_topic,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های تفکیک موضوع LBM. پرس‌وجوهای موضوع را که بر اساس نام موضوع و سپس آدرس گیرنده دسته‌بندی شده‌اند نمایش می‌دهد. .RE .sp \fB\-z\fP mac\-3gpp,stat[,\fIfilter\fP] .RS 4 .sp این گزینه شمارنده‌ای را برای پیام‌های MAC مربوط به LTE یا NR فعال می‌کند. اطلاعاتی درباره حداکثر تعداد UEها/TTI، پیام‌های عمومی و شمارنده‌های مختلف برای هر UE که در گزارش ظاهر می‌شود دریافت خواهید کرد. .sp مثال: \fBtshark \-z mac\-3gpp,stat\fP. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "mac\-3gpp,stat,mac\-lte.rnti>3000"\fP تنها آمار مربوط به UEهای LTE دارای یک RNTI تخصیص‌یافته با مقدار بیشتر از ۳۰۰۰ را جمع‌آوری می‌کند. .RE .sp \fB\-z\fP megaco,rtd[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های تاخیر زمان پاسخ (RTD) برای درخواست‌ها/پاسخ‌های MEGACO. (مشابه گزینه \fB\-z smb,srt\fP است). داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر نوع شناخته‌شده MEGACO، حداقل RTD، حداکثر RTD و میانگین RTD. علاوه بر این، تعداد درخواست‌ها/پاسخ‌های تکراری، درخواست‌های بدون پاسخ، و پاسخ‌هایی که با هیچ درخواستی مطابقت ندارند را دریافت می‌کنید. مثال: \fB\-z megaco,rtd\fP. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "megaco,rtd,ip.addr==1.2.3.4"\fP تنها آمار بسته‌های MEGACO مبادله‌شده توسط میزبان در آدرس IP 1.2.3.4 را جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP mgcp,rtd[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های تاخیر زمان پاسخ (RTD) برای درخواست‌ها/پاسخ‌های MGCP. (مشابه گزینه \fB\-z smb,srt\fP است). داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر نوع شناخته‌شده MGCP، حداقل RTD، حداکثر RTD و میانگین RTD. علاوه بر این، تعداد درخواست‌ها/پاسخ‌های تکراری، درخواست‌های بدون پاسخ، و پاسخ‌هایی که با هیچ درخواستی تطابق ندارند را دریافت خواهید کرد. مثال: \fB\-z mgcp,rtd\fP. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "mgcp,rtd,ip.addr==1.2.3.4"\fP تنها آمار بسته‌های MGCP مبادله‌شده توسط میزبان در آدرس IP 1.2.3.4 را جمع‌آوری می‌کند. .RE .sp \fB\-z\fP mtp3,msus[,\fIfilter\fP] .RS 4 محاسبه آمار روی بسته‌های MTP3 MSU. برای هر ترکیب از کد نقطه مبدأ، کد نقطه مقصد و نشانگر سرویس، تعداد کل MSUها، کل بایت‌ها و میانگین بایت‌ها به ازای هر MSU را محاسبه می‌کند. .RE .sp \fB\-z\fP ncp,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) برای درخواست‌ها/پاسخ‌های Netware Core Protocol. حداقل SRT، حداکثر SRT، میانگین SRT و مجموع SRT برای جفت‌های درخواست/پاسخ نمایش داده می‌شود که بر اساس گروه، تابع، زیرتابع و فعل (verb) سازماندهی شده‌اند. هیچ آماری روی پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP oran\-fh\-cus,stat[,\fIfilter\fP] .RS 4 جمع‌آوری خلاصه‌های جریان برای ترافیک ORAN FH CUS. .RE .sp \fB\-z\fP osmux,tree[,\fIfilter\fP] .RS 4 محاسبه آمار برای پروتکل تسهیم صوت/سیگنال‌دهی OSmux. تعداد کل بسته‌های OSmux را نمایش می‌دهد، و برای هر جریان تعداد بسته‌ها، تعداد بسته‌های دارای بیت بازار RTP تنظیم‌شده، تعداد فریم‌های AMR، تحلیل جیتر و تحلیل شماره توالی را نمایش می‌دهد. .RE .sp \fB\-z\fP pfcp,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) درخواست‌ها/پاسخ‌ها برای PFCP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها، حداقل SRT، حداکثر SRT، میانگین SRT، و مجموع SRT برای برخی دستورات خاص. در حال حاضر هیچ آماری روی پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP pingpongprotocol,stat[,\fIfilter\fP] .RS 4 محاسبه آمار روی پروتکل Ping Pong Protocol مربوط به Reliable Server Pooling. برای هر نوع پیام، تعداد، نرخ و سهم آن از بسته‌ها و بایت‌ها در میان تمام انواع پیام‌ها، و نخستین و آخرین زمان دیده شدن آن را نمایش می‌دهد. .RE .sp \fB\-z\fP plen,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی طول بسته‌ها. بسته‌ها در دسته‌هایی (buckets) گروه‌بندی می‌شوند که با توان‌های دو به‌طور نمایی رشد می‌کنند. .RE .sp \fB\-z\fP proto,colinfo,\fIfilter\fP,\fIfield\fP .RS 4 .sp افزودن تمام مقادیر \fIfield\fP مربوط به بسته به ستون Info در خروجی خلاصه تک‌خطی. از این ویژگی می‌توان برای افزودن فیلدهای دلخواه به ستون Info علاوه بر محتوای عادی آن ستون استفاده کرد. \fIfield\fP نام فیلتر نمایشی یک فیلد است که مقدار آن باید در ستون Info قرار گیرد. \fIfilter\fP یک رشته فیلتر است که کنترل می‌کند مقدار فیلد برای کدام بسته‌ها در ستون Info نشان داده شود. \fIfield\fP تنها برای بسته‌هایی در ستون Info نمایش می‌یابد که با \fIfilter\fP تطابق داشته باشند. .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp برای اینکه \fBTShark\fP بتواند مقدار \fIfield\fP را از بسته استخراج کند، \fIfield\fP حتماً باید بخشی از رشته \fIfilter\fP باشد. در غیر این صورت، \fBTShark\fP قادر به استخراج مقدار آن نخواهد بود. .sp .5v .RE .sp برای یک مثال ساده جهت افزودن فیلد "nfs.fh.hash" به ستون Info برای تمام بسته‌های حاوی فیلد "nfs.fh.hash"، از این دستور استفاده کنید: .sp \fB\-z proto,colinfo,nfs.fh.hash,nfs.fh.hash\fP .sp برای قرار دادن "nfs.fh.hash" در ستون Info اما تنها برای بسته‌هایی که از مبدأ میزبان 1.2.3.4 می‌آیند، از این دستور استفاده کنید: .sp \fB\-z "proto,colinfo,nfs.fh.hash && ip.src==1.2.3.4,nfs.fh.hash"\fP .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .RE .sp \fB\-z\fP ptype,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی انواع پورت‌هایی که روی بسته‌های IPv4 رخ می‌دهند. .RE .sp \fB\-z\fP radius,rtd[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های تاخیر زمان پاسخ (RTD) درخواست‌ها/پاسخ‌ها برای RADIUS. داده‌های جمع‌آوری‌شده برای هر کد RADIUS عبارتند از تعداد فراخوانی‌ها، حداقل RTD، حداکثر RTD، میانگین RTD، حداقل در فریم، و حداکثر در فریم؛ به همراه تعداد درخواست‌های باز (بدون پاسخ)، پاسخ‌های دور ریخته‌شده (پاسخ‌های بدون درخواست منطبق) و پیام‌های تکراری. .RE .sp \fB\-z\fP rlc\-3gpp,stat[,\fIfilter\fP] .RS 4 .sp این گزینه شمارنده‌ای را برای پیام‌های RLC مربوط به LTE یا NR فعال می‌کند. اطلاعاتی درباره پیام‌های عمومی و شمارنده‌های مختلف برای هر UE که در گزارش ظاهر می‌شود دریافت خواهید کرد. .sp مثال: \fBtshark \-z rlc\-3gpp,stat\fP. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "rlc\-3gpp,stat,rlc\-nr.ueid>3000"\fP تنها آمار را برای UEهای NR با مقدار UEId بیشتر از ۳۰۰۰ جمع‌آوری می‌کند. .RE .sp \fB\-z\fP rpc,programs .RS 4 .sp جمع‌آوری داده‌های SRT فراخوانی/پاسخ برای تمام برنامه‌ها/نسخه‌های شناخته‌شده ONC\-RPC. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر پروتکل/نسخه، MinSRT، MaxSRT و AvgSRT. این گزینه تنها یک بار می‌تواند در خط فرمان استفاده شود. .RE .sp \fB\-z\fP rpc,srt,\fIprogram\fP,\fIversion\fP[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) فراخوانی/پاسخ برای \fIprogram\fP/\fIversion\fP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر رویه، MinSRT، MaxSRT، AvgSRT، و کل زمان صرف‌شده برای هر رویه. .sp مثال: \fBtshark \-z rpc,srt,100003,3\fP داده‌ها را برای NFS v3 جمع‌آوری می‌کند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z rpc,srt,100003,3,nfs.fh.hash==0x12345678\fP آمارهای SRT برای NFS v3 را برای یک فایل خاص جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP rtp,streams .RS 4 جمع‌آوری آمار برای تمام جریان‌های RTP و محاسبه حداکثر دلتا، حداکثر و میانگین جیتر و درصدهای اتلاف بسته. .RE .sp \fB\-z\fP rtsp,stat[,\fIfilter\fP] .RS 4 شمارش کدهای وضعیت پاسخ RTSP و متدهای درخواست RTSP. .RE .sp \fB\-z\fP rtsp,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع بسته‌های RTSP. مقادیر نمایش‌داده‌شده کدهای وضعیت پاسخ و متدهای درخواست هستند. .RE .sp \fB\-z\fP sametime,tree[,\fIfilter\fP] .RS 4 محاسبه آمار روی پیام‌های SAMETIME. مقادیر نمایش‌داده‌شده شامل نوع پیام، نوع ارسال و وضعیت کاربر است. .RE .sp \fB\-z\fP scsi,srt,\fIcmdset\fP[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) فراخوانی/پاسخ برای مجموعه دستورات SCSI با شناسه \fIcmdset\fP. .sp مجموعه دستورات عبارتند از 0:SBC و 1:SSC و 5:MMC. .sp داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر رویه، MinSRT، MaxSRT و AvgSRT. .sp مثال: \fB\-z scsi,srt,0\fP داده‌ها را برای دستورات بلوکی SCSI یا (SBC) جمع‌آوری می‌کند. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z scsi,srt,0,ip.addr==1.2.3.4\fP آمارهای SCSI SBC SRT را برای یک میزبان خاص iscsi/ifcp/fcip جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP sctp,stat .RS 4 فعال کردن یک شمارنده برای تکه‌های (chunks) پروتکل SCTP. علاوه بر تعداد کل بسته‌های SCTP، برای هر ترکیب از آدرس و پورت مبدأ و مقصد، تعداد تکه‌های رایج‌ترین انواع (DATA, SACK, HEARTBEAT, HEARTBEAT ACK, INIT, INIT ACK, COOKIE ECHO, COOKIE ACK, ABORT, and ERROR) نمایش داده می‌شود. .RE .sp \fB\-z\fP sip,stat[,\fIfilter\fP] .RS 4 .sp این گزینه شمارنده‌ای را برای پیام‌های SIP فعال می‌کند. تعداد رخدادهای هر متد SIP و هر کد وضعیت SIP را دریافت خواهید کرد. علاوه بر این، تعداد پیام‌های ارسال مجدد شده SIP (تنها برای SIP روی UDP) را نیز دریافت می‌کنید. .sp مثال: \fB\-z sip,stat\fP. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "sip,stat,ip.addr==1.2.3.4"\fP تنها آمار بسته‌های SIP مبادله‌شده توسط میزبان در آدرس IP 1.2.3.4 را جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP smb,sids .RS 4 .sp هنگام استفاده از این ویژگی، \fBTShark\fP گزارشی از تمام نگاشت‌های کشف‌شده بین SID و نام حساب چاپ خواهد کرد. تنها آن دسته از SIDهایی که نام حساب آن‌ها شناخته شده است در جدول ارائه می‌شوند. .sp برای کارکرد این ویژگی باید گزینه "Edit/Preferences/Protocols/SMB/Snoop SID to name mappings" را در ترجیحات فعال کنید یا می‌توانید با مشخص کردن \fB\-o "smb.sid_name_snooping:TRUE"\fP در خط فرمان \fBTShark\fP، ترجیحات را لغو کنید. .sp روش فعلی استفاده‌شده توسط \fBTShark\fP برای یافتن نگاشت SID\(->name نسبتاً محدود است و امید می‌رود در آینده گسترش یابد. .RE .sp \fB\-z\fP smb,srt[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) فراخوانی/پاسخ برای SMB. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر دستور SMB، و مقادیر MinSRT، MaxSRT و AvgSRT. .sp مثال: \fB\-z smb,srt\fP .sp داده‌ها در قالب جدول‌های جداگانه برای تمام دستورات عادی SMB، تمام دستورات Transaction2 و تمام دستورات NT Transaction ارائه خواهند شد. تنها دستوراتی که در ضبط مشاهده شوند آمارشان نمایش داده خواهد شد. تنها اولین دستور در یک زنجیره دستورات xAndX در محاسبات استفاده خواهد شد؛ بنابراین برای زنجیره‌های متداول SessionSetupAndX + TreeConnectAndX، تنها فراخوانی SessionSetupAndX در آمار استفاده می‌شود. این یک نقص است که ممکن است در آینده برطرف شود. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp مثال: \fB\-z "smb,srt,ip.addr==1.2.3.4"\fP تنها آمار بسته‌های SMB مبادله‌شده توسط میزبان در آدرس IP 1.2.3.4 را جمع‌آوری می‌کند. .RE .sp \fB\-z\fP smb2,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) فراخوانی/پاسخ برای نسخه‌های ۲ و ۳ SMB. داده‌های جمع‌آوری‌شده برای هر نوع دستور عادی عبارتند از تعداد فراخوانی‌ها، MinSRT، MaxSRT، AvgSRT و SumSRT. هیچ داده‌ای برای درخواست‌های لغو یا شکستن قفل‌های اپلاک (oplock break)، یا دستورات بدون جفت جمع‌آوری نمی‌شود. تنها اولین پاسخ به یک درخواست مشخص استفاده می‌شود؛ ارسال‌های مجدد در محاسبات لحاظ نمی‌شوند. .RE .sp \fB\-z\fP smpp_commands,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع دستورات SMPP. مقادیر نمایش‌داده‌شده شامل شناسه‌های دستور برای درخواست‌ها و پاسخ‌ها، و وضعیت پاسخ‌ها است. .RE .sp \fB\-z\fP snmp,srt[,\fIfilter\fP] .RS 4 جمع‌آوری داده‌های زمان پاسخ سرویس (SRT) فراخوانی/پاسخ برای SNMP. داده‌های جمع‌آوری‌شده برای هر نوع PDU عبارتند از تعداد جفت‌های درخواست/پاسخ، MinSRT، MaxSRT، AvgSRT و SumSRT. هیچ داده‌ای برای پیام‌های بدون جفت جمع‌آوری نمی‌شود. .RE .sp \fB\-z\fP someip_messages,tree[,\fIfilter\fP] .RS 4 ایجاد آمار پیام‌های SOME/IP. پیام‌ها شمارش شده و به صورت پیام‌های گروه‌بندی‌شده بر اساس فرستنده/گیرنده نمایش می‌یابند. .RE .sp \fB\-z\fP someipsd_entries,tree[,\fIfilter\fP] .RS 4 ایجاد آمار مدخل‌های SOME/IP\-SD. مدخل‌ها شمارش شده و به صورت مدخل‌های گروه‌بندی‌شده بر اساس فرستنده/گیرنده نمایش می‌یابند. .RE .sp \fB\-z\fP sv .RS 4 چاپ زمان سپری‌شده از ابتدای ضبط و تعداد نمونه‌ها برای هر بسته IEC 61850 Sampled Values. .RE .sp \fB\-z\fP ucp_messages,tree[,\fIfilter\fP] .RS 4 محاسبه توزیع پیام‌های بسته‌های UCP. مقادیر نمایش‌داده‌شده انواع عملیات برای عملیات‌ها و نتایج، و مثبت یا منفی بودن نتایج است، که کدهای خطا برای نتایج منفی نمایش داده می‌شوند. .RE .sp \fB\-z\fP wsp,stat[,\fIfilter\fP] .RS 4 شمارش انواع PDU و کدهای وضعیت بسته‌های پاسخ برای بسته‌های WSP. .RE .sp \-\-capture\-comment .RS 4 .sp افزودن یک توضیح ضبط به فایل خروجی، در صورتی که توسط قالب فایل خروجی پشتیبانی شود. .sp این گزینه می‌تواند چندین بار مشخص شود. توجه داشته باشید که در حال حاضر Wireshark تنها اولین توضیح موجود در یک فایل ضبط را نمایش می‌دهد. .RE .sp \-\-list\-time\-stamp\-types .RS 4 فهرست کردن انواع برچسب زمانی پشتیبانی‌شده برای رابط. اگر هیچ نوع برچسب زمانی قابل تنظیمی وجود نداشته باشد، هیچ نوعی فهرست نخواهد شد. .RE .sp \-\-no\-optimize .RS 4 عدم اجرای بهینه‌ساز libpcap هنگام تولید کد برای یک فیلتر ضبط. این گزینه در صورتی که به وجود نقص در بهینه‌ساز مشکوک باشید مفید است. .RE .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین وقوع گزینه \fB\-i\fP استفاده شود، فیلترهای ضبط برای هیچ‌یک از رابط‌ها بهینه‌سازی نمی‌شوند. اگر بعد از یک گزینه \fB\-i\fP استفاده شود، فیلتر ضبط برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده است بهینه‌سازی نمی‌شود. .sp \-\-time\-stamp\-type .RS 4 تغییر روش برچسب‌گذاری زمانی رابط. .RE .sp \-\-update\-interval .RS 4 تنظیم مدت‌زمان بر حسب میلی‌ثانیه بین گزارش‌های بسته‌های جدید در حین ضبط. همچنین دقت شرایط مربوط به مدت‌زمان فایل را تنظیم می‌کند. مقدار پیش‌فرض 100ms است. .RE .sp \-\-color .RS 4 فعال‌سازی رنگ‌آمیزی بسته‌ها بر اساس فیلترهای رنگی استاندارد Wireshark. در Windows، رنگ‌ها به رنگ‌های استاندارد ویژگی نویسه کنسول محدود هستند. سایر پلتفرم‌ها نیازمند ترمینالی هستند که توالی‌های گریز ترمینال رنگ ۲۴ بیتی ("true color") را پردازش کند. برای اطلاعات بیشتر در رابطه با پیکربندی فیلترهای رنگی به .URL "https://wiki.wireshark.org/ColoringRules" "" "" مراجعه کنید. .RE .sp \-\-no\-duplicate\-keys .RS 4 اگر یک کلید چندین بار در یک شیء ظاهر شود، آن را تنها یک بار با مقداری به صورت یک آرایه json شامل تمام مقادیر مجزا بنویسید (تنها همراه با \fB\-T json\fP کار می‌کند). .RE .sp \-\-json\-compact .RS 4 تولید خروجی JSON فشرده بدون فاصله‌گذاری، تورفتگی یا خطوط اضافه. این کار اندازه خروجی را به میزان قابل توجهی کاهش داده و عملکرد را بهبود می‌بخشد (تنها همراه با \fB\-T json\fP و \fB\-T jsonraw\fP کار می‌کند). .RE .sp \-\-elastic\-mapping\-filter ,,.\|.\|. .RS 4 .sp هنگام تولید فایل نگاشت ElasticSearch، تنها پروتکل‌های مشخص‌شده در آن قرار داده شوند، تا از ایجاد یک فایل نگاشت حجیم که ممکن است باعث اختلال در برخی نرم‌افزارها (مانند Kibana) شود جلوگیری به عمل آید. این گزینه فهرستی از نام‌های اختصاری پروتکل‌های مورد نظر را که با کاما جدا شده‌اند دریافت می‌کند. .sp مثال: ip,udp,dns تنها این سه پروتکل را در فایل نگاشت قرار می‌دهد. .RE .sp \-\-export\-objects , .RS 4 .sp صادر کردن تمام اشیاء درون یک پروتکل به دایرکتوری \fBdestdir\fP. مقادیر موجود برای \fBprotocol\fP را می‌توان با \fB\-\-export\-objects help\fP فهرست کرد. .sp اشیاء مستقیماً در دایرکتوری داده‌شده ذخیره می‌شوند. نام فایل‌ها به تشریح‌کننده بستگی دارد، اما معمولاً از روی نام پایه (basename) یک فایل نام‌گذاری می‌شود. فایل‌های تکراری بازنویسی نمی‌شوند، بلکه یک عدد افزایشی قبل از پسوند فایل اضافه می‌شود. .sp این واسط ممکن است در آینده دستخوش تغییر شود، و امکان فیلتر کردن روی فایل‌ها به آن اضافه گردد. .RE .sp \-\-print\-timers .RS 4 تولید خروجی JSON شامل زمان‌های سپری‌شده برای هر گذر تشریح فایل ضبط توسط tshark و مجموع زمان‌های سپری‌شده برای تمام گذرها. خروجی هر گذر شامل کل زمان سپری‌شده و شمارنده‌های تجمیعی برای عملیات مربوط به هر بسته (تشریح و فیلترسازی) است. .RE .sp \-\-compress .RS 4 .sp فشرده‌سازی فایل خروجی با استفاده از قالب فشرده‌سازی type. گزینه \fB\-\-compress\fP بدون هیچ آرگومانی فهرستی از قالب‌های فشرده‌سازی پشتیبانی‌شده برای نوشتن را ارائه می‌دهد. نوع ارائه‌شده بر پسوند فایل \fIoutfile\fP اولویت خواهد داشت. .RE.SH "گزینه‌های کالبدشکافی (DISSECTION OPTIONS)" .sp \-d ==, .RS 4 .sp همانند قابلیت \fBDecode As.\|.\|.\fP در Wireshark، این گزینه به شما امکان می‌دهد نحوهٔ کالبدشکافی یک نوع لایه را مشخص کنید. اگر نوع لایهٔ مورد نظر (برای مثال، \fBtcp.port\fP یا \fBudp.port\fP برای شماره درگاه TCP یا UDP) دارای مقدار انتخاب‌گر مشخص‌شده باشد، بسته‌ها باید به عنوان پروتکل مشخص‌شده کالبدشکافی شوند. .sp .B مثال ۱. Decode As بر اساس درگاه .br .RS 4 .sp دستور \fB\-d tcp.port==8888,http\fP هر ترافیکی را که روی درگاه TCP شمارهٔ 8888 در جریان است به عنوان HTTP رمزگشایی می‌کند. .RE .sp .B مثال ۲. Decode As بر اساس بازه‌ای از درگاه‌ها .br .RS 4 .sp دستور \fB\-d tcp.port==8888\-8890,http\fP هر ترافیکی را که روی درگاه‌های TCP شمارهٔ 8888، 8889 یا 8890 در جریان است به عنوان HTTP رمزگشایی می‌کند. .RE .sp .B مثال ۳. Decode As بر اساس بازه‌ای از درگاه‌ها از طریق طول بازه .br .RS 4 .sp دستور \fB\-d tcp.port==8888:3,http\fP هر ترافیکی را که روی سه درگاه TCP شمارهٔ 8888، 8889 یا 8890 در جریان است به عنوان HTTP رمزگشایی می‌کند. .RE .sp استفاده از یک انتخاب‌گر یا پروتکل نامعتبر، به‌ترتیب فهرستی از انتخاب‌گرها و نام‌های پروتکل معتبر را چاپ خواهد کرد. .sp .B مثال ۴. Decode As برای دریافت فهرست انتخاب‌گرها .br .RS 4 .sp دستور \fB\-d .\fP روشی سریع برای دریافت فهرستی از انتخاب‌گرهای معتبر است. .RE .sp .B مثال ۵. Decode As برای دریافت فهرست مقادیر یک انتخاب‌گر .br .RS 4 .sp دستور \fB\-d ethertype==0x0800,.\fP روشی سریع برای دریافت فهرستی از پروتکل‌هایی است که می‌توان با یک ethertype انتخاب کرد. .RE .RE .sp \-\-disable\-all\-protocols .RS 4 غیرفعال‌سازی کالبدشکافی تمام پروتکل‌ها. .RE .sp \-\-disable\-protocol [,,.\|.\|.] .RS 4 غیرفعال‌سازی کالبدشکافی proto_name. برای لغو فهرست پروتکل‌های فعال پیش‌فرض در نمایهٔ (profile) انتخابی خود و غیرفعال‌سازی موقت تمام پروتکل‌ها، از مقدار \fBALL\fP به عنوان proto_name استفاده کنید. .RE .sp \-\-disable\-heuristic .RS 4 غیرفعال‌سازی کالبدشکافی پروتکل اکتشافی (heuristic). .RE .sp \-\-enable\-protocol [,,.\|.\|.] .RS 4 .sp فعال‌سازی کالبدشکافی proto_name. برای لغو فهرست پروتکل‌های غیرفعال پیش‌فرض در نمایهٔ انتخابی خود و فعال‌سازی موقت تمام پروتکل‌هایی که به‌طور پیش‌فرض فعال هستند، از مقدار \fBALL\fP به عنوان proto_name استفاده کنید. .sp اگر یک پروتکل هم در \fB\-\-disable\-protocol\fP و هم در \fB\-\-enable\-protocol\fP آورده شود، آن پروتکل فعال خواهد شد. این قابلیت به شما امکان می‌دهد تا تمام پروتکل‌ها را موقتاً غیرفعال کرده و تنها فهرستی از استثناها را فعال بگذارید. مثال: \fB\-\-disable\-protocol ALL \-\-enable\-protocol eth,ip\fP .RE .sp \-\-enable\-heuristic .RS 4 فعال‌سازی کالبدشکافی پروتکل اکتشافی (heuristic). .RE .sp \-K .RS 4 .sp بارگذاری کلیدهای رمزنگاری kerberos از فایل keytab مشخص‌شده. از این گزینه می‌توان چندین بار برای بارگذاری کلیدها از چند فایل استفاده کرد. .sp مثال: \fB\-K krb5.keytab\fP .RE .sp \-n .RS 4 غیرفعال‌سازی تفکیک نام اشیاء شبکه (مانند نام میزبان، نام درگاه‌های TCP و UDP)؛ گزینهٔ \fB\-N\fP ممکن است این گزینه را لغو (override) کند. .RE .sp \-N .RS 4 .sp فعال کردن تفکیک نام تنها برای انواع خاصی از آدرس‌ها و شماره درگاه‌ها، و خاموش گذاشتن تفکیک نام برای سایر انواع آدرس‌ها و شماره درگاه‌ها. این گزینه (همراه با \fB\-n\fP) می‌تواند چندین بار مشخص شود؛ آخرین مقدار داده‌شده مقادیر پیشین را لغو می‌کند. این گزینه و \fB\-n\fP تنظیمات ترجیحات (preferences)، از جمله ترجیحات تعیین‌شده از طریق گزینهٔ \fB\-o\fP را لغو می‌کنند. اگر هیچ‌یک از گزینه‌های \fB\-N\fP و \fB\-n\fP مشخص نشده باشند، مقادیر موجود در ترجیحات اعمال می‌شوند که مقدار پیش‌فرض آن \fB\-N dmN\fP است. .sp آرگومان یک رشته است که می‌تواند شامل حروف زیر باشد: .sp \fBd\fP برای فعال‌سازی تفکیک نام از بسته‌های DNS ضبط‌شده .sp \fBg\fP برای فعال‌سازی جستجوی اطلاعات موقعیت مکانی (geolocation) آدرس IP از پایگاه‌های دادهٔ MaxMind پیکربندی‌شده .sp \fBm\fP برای فعال‌سازی تفکیک آدرس MAC .sp \fBn\fP برای فعال‌سازی تفکیک آدرس شبکه .sp \fBN\fP برای فعال‌سازی استفاده از تفکیک‌کننده‌های خارجی (مانند DNS) جهت تفکیک آدرس شبکه؛ بدون فعال بودن \fBn\fP هیچ اثری ندارد. .sp \fBs\fP برای فعال‌سازی تفکیک آدرس با استفاده از اطلاعات SNI موجود در بسته‌های دست‌تکانی (handshake) ضبط‌شده .sp \fBt\fP برای فعال‌سازی تفکیک شماره درگاه لایهٔ انتقال .sp \fBv\fP برای فعال‌سازی تفکیک شناسهٔ VLAN به نام .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B هشدار .ps -1 .br .sp در حالت تک‌گذره (single\-pass mode) در tshark، تفکیک نام خارجی و جستجوی موقعیت مکانی به‌صورت همگام (synchronous) انجام می‌شود. برای ضبط‌های زنده که همواره در حالت تک‌گذره هستند، این مسئله همگام ماندن کالبدشکافی با ترافیک یک شبکهٔ شلوغ را دشوارتر کرده و احتمالاً به دور انداخته شدن بسته‌ها (dropped packets) می‌انجامد. .sp .5v .RE .RE .sp \-\-only\-protocols .RS 4 تنها کالبدشکافی این پروتکل‌ها را (جداشده با کاما) فعال می‌کند. تمام موارد دیگر غیرفعال می‌شوند. .RE .sp \-t (a|ad|adoy|d|dd|e|r|rc|u|ud|udoy)[.[N]]|.[N] .RS 4 .sp قالب برچسب زمانی بسته را که در ستون پیش‌فرض زمان نشان داده می‌شود، تنظیم می‌کند. این قالب می‌تواند یکی از موارد زیر باشد: .sp \fBa\fP مطلق (absolute): زمان مطلق، به‌صورت زمان محلی در منطقهٔ زمانی شما، زمان واقعی ضبط بسته بدون نمایش تاریخ است .sp \fBad\fP مطلق همراه با تاریخ: تاریخ مطلق به‌صورت YYYY\-MM\-DD و زمان، به‌صورت زمان محلی در منطقهٔ زمانی شما، تاریخ و زمان واقعی ضبط بسته است .sp \fBadoy\fP مطلق همراه با تاریخ بر اساس روز در سال: تاریخ مطلق به‌صورت YYYY/DOY و زمان، به‌صورت زمان محلی در منطقهٔ زمانی شما، تاریخ و زمان واقعی ضبط بسته است .sp \fBd\fP تفاضلی (delta): زمان دلتا عبارت است از مدت‌زمان سپری‌شده از زمان ضبط بستهٔ قبلی .sp \fBdd\fP تفاضلیِ نمایش‌داده‌شده (delta_displayed): زمان delta_displayed عبارت است از مدت‌زمان سپری‌شده از زمان ضبط بستهٔ نمایش‌داده‌شدهٔ قبلی .sp \fBe\fP مبدأ زمانی (epoch): زمان بر حسب ثانیه از مبدأ زمانی یونیکس (۱ ژانویه ۱۹۷۰، ساعت 00:00:00) .sp \fBr\fP نسبی (relative): زمان نسبی عبارت است از زمان سپری‌شده میان اولین بسته و بستهٔ فعلی .sp \fBrc\fP نسبی نسبت به شروع ضبط: عبارت است از زمان سپری‌شده میان آغاز عملیات ضبط و بستهٔ فعلی .sp \fBu\fP زمان UTC: زمان مطلق به‌صورت UTC با پسوند "Z"، زمان واقعی ضبط بسته بدون نمایش تاریخ است .sp \fBud\fP زمان UTC همراه با تاریخ: تاریخ مطلق به‌صورت YYYY\-MM\-DD و زمان به‌صورت UTC با پسوند "Z"، تاریخ و زمان واقعی ضبط بسته است .sp \fBudoy\fP زمان UTC همراه با تاریخ بر اساس روز در سال: تاریخ مطلق به‌صورت YYYY/DOY و زمان به‌صورت UTC با پسوند "Z"، تاریخ و زمان واقعی ضبط بسته است .sp \fB.[N]\fP تعیین دقت: N تعداد ارقام اعشار است (۰ تا ۹). در صورت استفاده از "." بدون N، دقت به‌طور خودکار از پروندهٔ ضبط تعیین می‌شود. .sp قالب پیش‌فرض به‌صورت نسبی (relative) و با دقتی بر پایهٔ قالب پروندهٔ ضبط است. .RE .sp \-u .RS 4 .sp نحوهٔ نمایش قالب‌های برچسب زمانی بسته در \fB\-t\fP را که از نوع زمان‌های نسبی هستند (یعنی relative، delta و delta_displayed) تعیین می‌کند. گزینه‌های معتبر عبارتند از: .sp \fBs\fP برای ثانیه .sp \fBhms\fP برای ساعت، دقیقه و ثانیه .sp قالب پیش‌فرض ثانیه است. .RE.SH "گزینه‌های عیب‌یابی (DIAGNOSTIC OPTIONS)" .sp \-\-log\-level .RS 4 سطح فعال گزارش‌گیری (log level) را تعیین می‌کند. سطوح پشتیبانی‌شده به ترتیب از کمترین به بیشترین عبارت‌اند از "noisy"، "debug"، "info"، "message"، "warning"، "critical" و "error". پیام‌های هر سطح و سطوح بالاتر چاپ خواهند شد؛ برای نمونه "warning" پیام‌های "warning"، "critical" و "error" را چاپ می‌کند و "noisy" همهٔ پیام‌ها را چاپ می‌کند. سطوح نسبت به بزرگی و کوچکی حروف حساس نیستند. .RE .sp \-\-log\-fatal .RS 4 در صورتی که هر پیامی در سطح مشخص‌شده یا بالاتر ثبت شود، برنامه را متوقف (abort) می‌کند. برای نمونه، "warning" با ثبت هر پیام "warning"، "critical" یا "error" برنامه را متوقف می‌سازد. .RE .sp \-\-log\-fatal\-count .RS 4 تعداد پیام‌های گزارش مرگبار (fatal) که ممکن است پیش از متوقف شدن برنامه ثبت شوند. .RE .sp \-\-log\-domains .RS 4 پیام‌ها را تنها برای دامنه‌های گزارش‌گیری (log domains) مشخص‌شده چاپ می‌کند، مانند "GUI,Epan,sshdump". فهرست دامنه‌ها باید با کاما جدا شود. می‌تواند با قرار دادن "!" به عنوان نویسهٔ نخست نقیض شود (تطابق را وارونه می‌کند). .RE .sp \-\-log\-debug .RS 4 دامنه‌های مشخص‌شده را وادار می‌کند تا در سطح "debug" گزارش‌گیری کنند. فهرست دامنه‌ها باید با کاما جدا شود. می‌تواند با قرار دادن "!" به عنوان نویسهٔ نخست نقیض شود (تطابق را وارونه می‌کند). .RE .sp \-\-log\-noisy .RS 4 دامنه‌های مشخص‌شده را وادار می‌کند تا در سطح "noisy" گزارش‌گیری کنند. فهرست دامنه‌ها باید با کاما جدا شود. می‌تواند با قرار دادن "!" به عنوان نویسهٔ نخست نقیض شود (تطابق را وارونه می‌کند). .RE .sp \-\-log\-fatal\-domains .RS 4 در صورتی که هر پیامی برای دامنه‌های گزارش‌گیری مشخص‌شده ثبت شود، برنامه را متوقف می‌کند. فهرست دامنه‌ها باید با کاما جدا شود. .RE .sp \-\-log\-file .RS 4 پیام‌های گزارش و خروجی stderr را در فایل مشخص‌شده می‌نویسد. .RE .SH "نحو فیلتر ضبط (CAPTURE FILTER SYNTAX)" .sp مراجعه کنید به صفحهٔ راهنمای pcap\-filter(7) یا در صورت عدم وجود آن، tcpdump(8)، یا در صورت وجود نداشتن آن، به \c .URL "https://wiki.wireshark.org/CaptureFilters" "" "." .SH "نحو فیلتر خواندن (READ FILTER SYNTAX)" .sp برای مشاهدهٔ جدول کاملی از پروتکل‌ها و فیلدهای پروتکلی که در \fBTShark\fP قابل فیلتر شدن هستند، صفحهٔ راهنمای wireshark\-filter(4) را ببینید. .SH "فایل‌ها (FILES)" .sp این فایل‌ها حاوی تنظیمات پیکربندی گوناگون \fBWireshark\fP هستند. .sp ترجیحات (Preferences) .RS 4 .sp فایل‌های \fIpreferences\fP شامل تنظیمات ترجیحی سراسری (در سطح سیستم) و شخصی هستند. اگر فایل ترجیحات سراسری سیستم وجود داشته باشد، ابتدا خوانده شده و تنظیمات پیش‌فرض را بازنویسی می‌کند. اگر فایل ترجیحات شخصی وجود داشته باشد، در مرحلهٔ بعد خوانده شده و هرگونه مقدار پیشین را بازنویسی خواهد کرد. نکته: اگر پرچم خط فرمان \fB\-o\fP استفاده شود (احتمالاً بیش از یک بار)، به نوبهٔ خود مقادیر فایل‌های ترجیحات را بازنویسی خواهد کرد. .sp تنظیمات ترجیحات به شکل \fIprefname:value\fP در هر خط نوشته می‌شوند، که در آن \fIprefname\fP نام ترجیح و \fIvalue\fP مقداری است که باید روی آن تنظیم شود؛ فاصلهٔ خالی (whitespace) بین \fB:\fP و \fIvalue\fP مجاز است. یک تنظیم ترجیح را می‌توان با دندانه‌دار کردن خطوط بعدی با فاصلهٔ خالی، در خطوط بعد ادامه داد. نویسهٔ \fB#\fP آغازگر توضیحی است که تا انتهای خط ادامه می‌یابد: .sp .if n .RS 4 .nf .fam C # Vertical scrollbars should be on right side? # TRUE or FALSE (case\-insensitive). gui.scrollbar_on_right: TRUE .fam .fi .if n .RE .sp فایل سراسری ترجیحات، در دایرکتوری \fIwireshark\fP زیر شاخهٔ \fIshare\fP از دایرکتوری اصلی نصب جستجو می‌شود. در macOS، این مسیر معمولاً \fI/Application/Wireshark.app/Contents/Resources/share\fP است؛ در سایر سیستم‌های سازگار با UNIX مانند Linux، \(rs*BSD، Solaris و AIX، معمولاً برای بسته‌های نصب‌شده توسط سیستم \fI/usr/share/wireshark/preferences\fP و برای بسته‌های نصب‌شده به صورت محلی \fI/usr/local/share/wireshark/preferences\fP است؛ در ویندوز، این مسیر معمولاً \fIC:\(rsProgram Files\(rsWireshark\(rspreferences\fP خواهد بود. .sp در سیستم‌های سازگار با UNIX، فایل ترجیحات شخصی در \fI$XDG_CONFIG_HOME/wireshark/preferences\fP (یا اگر \fI$XDG_CONFIG_HOME/wireshark\fP وجود نداشته باشد در حالی که \fI$HOME/.wireshark\fP وجود دارد، در \fI$HOME/.wireshark/preferences\fP) جستجو می‌شود؛ این مسیر معمولاً \fI$HOME/.config/wireshark/preferences\fP است. در ویندوز، فایل ترجیحات شخصی در \fI%APPDATA%\(rsWireshark\(rspreferences\fP (یا اگر %APPDATA% تعریف نشده باشد، در \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\(rspreferences\fP) جستجو می‌شود. .RE .sp پروتکل‌های غیرفعال (فعال) (Disabled (Enabled) Protocols) .RS 4 .sp فایل‌های \fIdisabled_protos\fP شامل فهرست‌های سراسری سیستم و شخصی از پروتکل‌هایی هستند که غیرفعال شده‌اند، تا تحلیل‌کننده‌های (dissectors) آن‌ها هرگز فراخوانی نشوند. این فایل‌ها شامل نام‌های پروتکل در هر خط هستند، به طوری که نام پروتکل همان نامی است که در فیلتر نمایش برای آن پروتکل استفاده می‌شود: .sp .if n .RS 4 .nf .fam C http tcp\& # a comment .fam .fi .if n .RE .sp اگر پروتکلی در فایل سراسری \fIdisabled_protos\fP فهرست شده باشد، توسط کاربر قابل فعال‌سازی نخواهد بود. .sp فایل سراسری \fIdisabled_protos\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIdisabled_protos\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. .sp فایل‌های \fIdisabled_protos\fP تنها پروتکل‌هایی را فهرست می‌کنند که به طور پیش‌فرض فعال بوده اما غیرفعال شده‌اند؛ پروتکل‌هایی که به طور پیش‌فرض غیرفعال هستند (مانند برخی postdissectorها) در آن فهرست نمی‌شوند. فایل‌های مشابه \fIenabled_protos\fP برای پروتکل‌هایی وجود دارند که به طور پیش‌فرض غیرفعال بوده اما فعال شده‌اند. .RE .sp تحلیل‌کننده‌های اکتشافی (Heuristic Dissectors) .RS 4 .sp فایل‌های \fIheuristic_protos\fP شامل فهرست‌های سراسری و شخصی از تحلیل‌کننده‌های اکتشافی هستند و فعال یا غیرفعال بودن آن‌ها را مشخص می‌کنند. این فایل‌ها حاوی نام‌های کوتاه یکتای تحلیل‌کننده‌های اکتشافی در هر خط هستند که به دنبال آن یک کاما و سپس 0 برای غیرفعال و 1 برای فعال قرار می‌گیرد: .sp .if n .RS 4 .nf .fam C quic,1 rtcp_stun,1 rtcp_udp,1 rtp_stun,0 rtp_udp,0 tls_tcp,1 .fam .fi .if n .RE .sp فایل سراسری \fIheuristic_protos\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIheuristic_protos\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. .RE .sp تفکیک نام (hosts) .RS 4 .sp مدخل‌های موجود در فایل‌های \fIhosts\fP در دایرکتوری ترجیحات سراسری و شخصی، پیش از هر اقدام دیگری برای تفکیک نشانی‌های IPv4 و IPv6، برای تفکیک آن‌ها استفاده می‌شوند. این فایل از نحو استاندارد فایل \fIhosts\fP پیروی می‌کند؛ هر خط شامل یک نشانی IP و نام است که با فاصلهٔ خالی (whitespace) از یکدیگر جدا شده‌اند. در صورت وجود، فایل شخصی \fIhosts\fP فایل موجود در دایرکتوری سراسری را بازنویسی می‌کند. .sp تفکیک نام در فیلتر ضبط، در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX توسط libpcap، و در ویندوز توسط Npcap انجام می‌شود. از این رو، برای تفکیک نام در فیلتر ضبط، به فایل شخصی \fIhosts\fP در Wireshark مراجعه نخواهد شد. .RE .sp تفکیک نام (subnets) .RS 4 .sp اگر یک نشانی IPv4 نتواند از طریق تفکیک نام ترجمه شود (هیچ تطابق دقیقی یافت نشود)، یک تطابق جزئی از طریق فایل \fIsubnets\fP امتحان می‌شود. در صورت وجود، هر دو فایل سراسری \fIsubnets\fP و فایل شخصی \fIsubnets\fP استفاده می‌شوند. .sp هر خط از این فایل متشکل از یک نشانی IPv4، طول ماسک زیرشبکه که تنها با یک / جدا شده، و یک نام که با فاصلهٔ خالی جدا شده است، می‌باشد. در حالی که نشانی باید یک نشانی کامل IPv4 باشد، هر مقداری فراتر از طول ماسک در ادامه نادیده گرفته خواهد شد. .sp یک نمونه: .sp # Comments must be prepended by the # sign! 192.168.0.0/24 ws_test_network .sp نامی که به طور جزئی تطابق یافته باشد، به شکل "subnet\-name.remaining\-address" چاپ خواهد شد. برای نمونه، "192.168.0.1" ذیل زیرشبکهٔ بالا به صورت "ws_test_network.1" چاپ می‌شود؛ اگر طول ماسک بالا به جای 24 برابر با 16 بود، نشانی چاپ‌شده "ws_test_network.0.1" می‌بود. .RE .sp تفکیک نام (ethers) .RS 4 .sp برای مطابقت دادن نشانی‌های سخت‌افزاری ۶ بایتی EUI\-48 و ۸ بایتی EUI\-64 با نام‌ها، به فایل‌های \fIethers\fP مراجعه می‌شود. ابتدا فایل شخصی \fIethers\fP بررسی می‌شود و در صورت نیافتن نشانی در آنجا، فایل سراسری \fIethers\fP بررسی خواهد شد. .sp این فایل قالبی شبیه به فایل تعریف‌شده توسط ethers(5) در برخی سیستم‌های شبه‌یونیکس دارد. هر خط شامل یک نشانی سخت‌افزاری و نام است که با فاصلهٔ خالی (تب‌ها یا فاصله‌ها) جدا شده‌اند. ارقام هگزادسیمال نشانی سخت‌افزاری با دونقطه (:)، خط تیره (\-) یا نقطه (.) از هم جدا می‌شوند. باید در سراسر یک نشانی از نویسهٔ جداکنندهٔ یکسانی استفاده شود. نویسهٔ \f(CR#\fP نشان‌دهندهٔ توضیحی است که تا پایان خط ادامه دارد. هر دو نشانی‌های ۶ بایتی MAC و ۸ بایتی EUI\-64 پشتیبانی می‌شوند. چهار خط زیر خطوط معتبری از یک فایل \fIethers\fP هستند: .sp .if n .RS 4 .nf .fam C ff:ff:ff:ff:ff:ff\& Broadcast c0\-00\-ff\-ff\-ff\-ff\& TR_broadcast 00.00.00.00.00.00\& Zero_broadcast 00:00:00:00:00:00:00:00\& EUI64_zero_broadcast .fam .fi .if n .RE .sp توجه داشته باشید که این قالب، تنوع بیشتری نسبت به فایل تعریف‌شده در ethers(5) در بیشتر سیستم‌های UN*X می‌پذیرد. .sp فایل سراسری \fIethers\fP در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX در دایرکتوری \fI/etc\fP، و در سیستم‌های ویندوز در دایرکتوری اصلی نصب (برای نمونه، \fIC:\(rsProgram Files\(rsWireshark\fP) جستجو می‌شود. .sp فایل شخصی \fIethers\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .sp تفکیک نام در فیلتر ضبط در سیستم‌های سازگار با UNIX توسط libpcap و در ویندوز توسط Npcap انجام می‌شود. از این رو، برای تفکیک نام در فیلتر ضبط، به فایل شخصی \fIethers\fP در Wireshark مراجعه نخواهد شد. .RE .sp تفکیک نام (manuf) .RS 4 .sp فایل \fImanuf\fP برای تطبیق بخش ۳ بایتی سازنده در یک نشانی سخت‌افزاری ۶ بایتی با نام سازنده به کار می‌رود؛ همچنین می‌تواند شامل نشانی‌های شناخته‌شدهٔ MAC و محدوده‌های نشانی مشخص‌شده با ماسک شبکه (netmask) باشد. قالب این فایل شبیه به فایل‌های \fIethers\fP است، با این تفاوت که مدخل‌هایی مانند: .sp .if n .RS 4 .nf .fam C 00:00:0C\& Cisco\& Cisco Systems, Inc .fam .fi .if n .RE .sp می‌تواند با OUI ۳ بایتی و هر دو نام کوتاه و بلند سازنده ارائه شود، و مدخل‌هایی نظیر: .sp .if n .RS 4 .nf .fam C 00\-00\-0C\-07\-AC/40\& All\-HSRP\-routers .fam .fi .if n .RE .sp را می‌توان با یک نشانی MAC و ماسکی که مشخص می‌کند چند بیت از نشانی باید تطابق داشته باشد، مشخص کرد. برای نمونه، مدخل بالا دارای ۴۰ بیت بااهمیت یا ۵ بایت است و با نشانی‌های 00\-00\-0C\-07\-AC\-00 تا 00\-00\-0C\-07\-AC\-FF مطابقت دارد. نیازی نیست که ماسک مضربی از ۸ باشد. .sp فایل سراسری \fImanuf\fP در همان دایرکتوری فایل ترجیحات سراسری، و فایل شخصی \fImanuf\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .sp در نسخه‌های پیشین Wireshark، اطلاعات رسمی از مرجع ثبت IEEE در این قالب به عنوان فایل سراسری \fImanuf\fP توزیع می‌شد. این اطلاعات اکنون برای افزایش سرعت راه‌اندازی برنامه به صورت کامپایل‌شده در برنامه گنجانده شده است، اما اطلاعات داخلی را می‌توان با دستور \fBtshark \-G manuf\fP در این قالب استخراج کرد. .sp علاوه بر فایل \fImanuf\fP، فایل دیگری با همین قالب به نام \fIwka\fP نیز در دایرکتوری سراسری جستجو می‌شود. این فایل همراه با Wireshark توزیع می‌شود و شامل اطلاعاتی دربارهٔ نشانی‌های شناخته‌شدهٔ MAC و محدوده‌های نشانی گردآوری‌شده از منابع معتبر غیر از IEEE است. .RE .sp تفکیک نام (services) .RS 4 .sp فایل \fIservices\fP برای ترجمهٔ شماره درگاه‌ها به نام‌ها استفاده می‌شود. در صورت وجود، هم فایل سراسری \fIservices\fP و هم فایل شخصی \fIservices\fP استفاده می‌شوند. .sp این فایل دارای نحو استاندارد فایل \fIservices\fP است؛ هر خط شامل یک نام (سرویس) و یک شناسهٔ انتقال است که با فاصلهٔ خالی جدا شده‌اند. شناسهٔ انتقال شامل یک شماره درگاه و یک نام پروتکل انتقال (معمولاً tcp، udp یا sctp) است که با یک / جدا شده‌اند. .sp یک نمونه: .sp mydns 5045/udp # My own Domain Name Server mydns 5045/tcp # My own Domain Name Server .sp در نسخه‌های پیشین Wireshark، اطلاعات رسمی از رجیستری IANA در این قالب به عنوان فایل سراسری \fIservices\fP توزیع می‌شد. اکنون این اطلاعات برای بالا بردن سرعت راه‌اندازی برنامه به صورت داخلی کامپایل شده است، اما اطلاعات داخلی را می‌توان با دستور \fBtshark \-G services\fP در این قالب استخراج کرد. .RE .sp تفکیک نام (ipxnets) .RS 4 .sp فایل‌های \fIipxnets\fP برای مرتبط ساختن شماره‌های شبکهٔ ۴ بایتی IPX با نام‌ها استفاده می‌شوند. ابتدا فایل سراسری \fIipxnets\fP بررسی می‌شود و اگر آن نشانی در آنجا پیدا نشد، فایل شخصی بررسی خواهد شد. .sp قالب آن همانند فایل \fIethers\fP است، جز این که هر نشانی به جای شش بایت، چهار بایت است. علاوه بر این، نشانی می‌تواند به جای چهار هشت‌تایی (اکتت) هگزادسیمال، به صورت یک عدد هگزادسیمال واحد نمایش یابد، همان‌طور که در دنیای IPX متداول‌تر است. برای نمونه، این چهار خط، خطوط معتبری از یک فایل \fIipxnets\fP هستند: .sp .if n .RS 4 .nf .fam C C0.A8.2C.00\& HR c0\-a8\-1c\-00\& CEO 00:00:BE:EF\& IT_Server1 110f\& FileServer3 .fam .fi .if n .RE .sp فایل سراسری \fIipxnets\fP در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX در دایرکتوری \fI/etc\fP، و در سیستم‌های ویندوز در دایرکتوری اصلی نصب (برای نمونه، \fIC:\(rsProgram Files\(rsWireshark\fP) جستجو می‌شود. .sp فایل شخصی \fIipxnets\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .RE .sp تفکیک نام (ss7pcs) .RS 4 .sp فایل \fIss7pcs\fP برای ترجمهٔ کدهای نقطهٔ SS7 (point codes) به نام‌ها به کار می‌رود. این فایل از دایرکتوری پیکربندی شخصی خوانده می‌شود. .sp هر خط در این فایل از یک شناسهٔ شبکه و به دنبال آن یک خط تیره، یک کد نقطه به صورت ده‌دهی (دسیمال) و یک نام گره تشکیل شده است که با فاصلهٔ خالی جدا می‌شوند. یک نمونه: .sp .if n .RS 4 .nf .fam C 2\-1234 MyPointCode1 .fam .fi .if n .RE .RE .sp تفکیک نام (vlans) .RS 4 .sp فایل \fIvlans\fP برای ترجمهٔ شناسه‌های برچسب VLAN به نام‌ها استفاده می‌شود. این فایل از دایرکتوری پیکربندی شخصی خوانده می‌شود. .sp هر خط در این فایل شامل یک شناسهٔ برچسب VLAN است که با فاصلهٔ خالی از یک نام جدا شده است. یک نمونه: .sp .if n .RS 4 .nf .fam C 123\& Server\-Lan 2049\& HR\-Client\-LAN .fam .fi .if n .RE .RE .sp فیلترهای رنگی (قوانین رنگ‌آمیزی) (Color Filters (Coloring Rules)) .RS 4 .sp فایل‌های \fIcolorfilters\fP شامل فیلترهای رنگی سراسری و شخصی هستند. هر خط شامل یک فیلتر است که با رشتهٔ نمایش‌یافته در کادر محاوره آغاز می‌شود و به دنبال آن فیلتر نمایش مربوطه می‌آید. سپس رنگ‌های پس‌زمینه و پیش‌زمینه پیوست می‌شوند: .sp .if n .RS 4 .nf .fam C # a comment @tcp@tcp@[59345,58980,65534][0,0,0] @udp@udp@[28834,57427,65533][0,0,0] .fam .fi .if n .RE .sp فایل سراسری \fIcolorfilters\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIcolorfilters\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. این فایل از طریق کادر محاوره‌ای View:Coloring Rules نوشته می‌شود. .sp در صورت وجود فایل سراسری \fIcolorfilters\fP، تنها زمانی از آن استفاده می‌شود که فایل شخصی \fIcolorfilters\fP وجود نداشته باشد؛ فیلترهای رنگی سراسری و شخصی با یکدیگر ادغام نمی‌شوند. .RE .sp افزایه‌ها (Plugins) .RS 4 .sp برنامهٔ Wireshark افزایه‌ها را در هر دو پوشهٔ افزایه‌های شخصی و پوشهٔ افزایه‌های سراسری جستجو می‌کند. .sp در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX، دایرکتوری سراسری افزایه‌ها \fIlib/wireshark/plugins/\fP (در برخی سیستم‌ها به جای \fIlib\fP از \fIlib64\fP استفاده می‌شود) در دایرکتوری اصلی نصب است (برای نمونه، \fI/usr/local/lib/wireshark/plugins/\fP). دایرکتوری شخصی افزایه‌ها \fI$HOME/.local/lib/wireshark/plugins\fP است. .sp در macOS، اگر Wireshark به عنوان یک بستهٔ برنامک (application bundle) نصب شده باشد، پوشهٔ سراسری افزایه‌ها در عوض \fI%APPDIR%/Contents/PlugIns/wireshark\fP خواهد بود. .sp در ویندوز، پوشهٔ سراسری افزایه‌ها \fIplugins/\fP زیر دایرکتوری اصلی نصب (برای نمونه، \fIC:\(rsProgram Files\(rsWireshark\(rsplugins\(rs\fP) است. پوشهٔ شخصی افزایه‌ها \fI%APPDATA%\(rsWireshark\(rsplugins\fP (یا در صورت عدم تعریف %APPDATA%، \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\(rsplugins\fP) است. .sp افزایه‌های Lua در پوشه‌های افزایه‌ها ذخیره می‌شوند؛ افزایه‌های کامپایل‌شده در زیرپوشه‌های پوشه‌های افزایه نگهداری می‌شوند، به طوری که نام زیرپوشه، شمارهٔ نگارش فرعی Wireshark (یعنی X.Y) است. سطح سلسله‌مراتبی دیگری برای هر نوع از افزایه‌های Wireshark وجود دارد (شامل libwireshark، libwiretap و codecs). برای نمونه، محل قرارگیری یک افزایهٔ libwireshark به نام \fIfoo.so\fP (\fIfoo.dll\fP در ویندوز) به صورت \fIPLUGINDIR/X.Y/epan\fP خواهد بود (کتابخانهٔ libwireshark پیش‌تر libepan نامیده می‌شد؛ نام‌های دیگر پوشه‌ها \fIcodecs\fP و \fIwiretap\fP هستند). .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp در سیستم‌های سازگار با UNIX، افزایه‌های Lua (اما نه افزایه‌های باینری) را می‌توان در \fI$XDG_CONFIG_HOME/wireshark/plugins\fP نیز قرار داد، (یا اگر \fI$XDG_CONFIG_HOME/wireshark\fP وجود نداشته باشد در حالی که \fI$HOME/.wireshark\fP وجود دارد، در \fI$HOME/.wireshark/plugins\fP). .sp .5v .RE .sp توجه داشته باشید که یک پیمانهٔ افزایهٔ تحلیل‌کننده ممکن است از بیش از یک پروتکل پشتیبانی کند؛ لزوماً تناظر یک‌به‌یک میان پیمانه‌های افزایهٔ تحلیل‌کننده و پروتکل‌ها وجود ندارد. پروتکل‌های پشتیبانی‌شده توسط یک پیمانهٔ افزایهٔ تحلیل‌کننده به همان شیوه‌ای که پروتکل‌های داخلی Wireshark فعال یا غیرفعال می‌شوند، قابل فعال‌سازی و غیرفعال‌سازی هستند. .RE.SH "خروجی (OUTPUT)" .sp دستور \fBTShark\fP به صورت داخلی از UTF\-8 برای نمایش رشته‌ها استفاده می‌کند. در برخی موارد ممکن است خروجی معتبر نباشد. برای نمونه، ممکن است یک dissector توالی‌های نویسه‌ای نامعتبر UTF\-8 تولید کند. برنامه‌هایی که خروجی \fBTShark\fP را می‌خوانند باید انتظار UTF\-8 را داشته باشند و برای خروجی نامعتبر آماده باشند. .sp اگر \fBTShark\fP تشخیص دهد که در حال نوشتن روی یک TTY در یک سیستم سازگار با UNIX (مانند Linux، macOS، \(rs*BSD، Solaris و AIX) است و locale جاری از UTF\-8 پشتیبانی نمی‌کند، خروجی برای مطابقت با locale فعلی بازکدگذاری خواهد شد. .sp اگر \fBTShark\fP تشخیص دهد که در حال نوشتن روی کنسول در Windows است، خروجی تحلیل و کالبدشکافی (dissection) با کدگذاری UTF\-16LE خواهد بود. سایر خروجی‌ها UTF\-8 خواهند بود. اگر نویسه‌های گسترش‌یافته به درستی در ترمینال شما نمایش داده نمی‌شوند، می‌توانید صفحه کد کنسول خود را روی UTF\-8 تنظیم کرده (\fBchcp 65001\fP) و در صورت امکان از یک برنامه ترمینال مدرن استفاده کنید. .SH "متغیرهای محیطی (ENVIRONMENT VARIABLES)" .sp WIRESHARK_CONFIG_DIR .RS 4 این متغیر محیطی مسیر فایل‌های پیکربندی شخصی را بازنویسی می‌کند. در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX، مقدار پیش‌فرض آن \fI$XDG_CONFIG_HOME/wireshark\fP است (یا اگر این دایرکتوری وجود نداشته باشد ولی \fI$HOME/.wireshark\fP وجود داشته باشد، \fI$HOME/.wireshark\fP)؛ این مسیر معمولاً \fI$HOME/.config/wireshark\fP است. در Windows، مقدار پیش‌فرض آن \fI%APPDATA%\(rsWireshark\fP است (یا اگر %APPDATA% تعریف نشده باشد، \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\fP). از نسخه Wireshark 3.0 در دسترس است. .RE .sp WIRESHARK_DEBUG_WMEM_OVERRIDE .RS 4 تنظیم این متغیر محیطی چهارچوب wmem را وادار می‌کند تا صرف‌نظر از backend تخصیص‌دهنده‌ای که معمولاً توسط کد مشخص می‌شود، از backend تخصیص‌دهنده مشخص‌شده برای \fBتمام\fP تخصیص‌ها استفاده کند. این قابلیت عمدتاً برای توسعه‌دهندگان هنگام آزمایش یا اشکال‌زدایی مفید است. برای جزئیات به \fIREADME.wmem\fP در توزیع کد مبدأ مراجعه کنید. .RE .sp WIRESHARK_RUN_FROM_BUILD_DIRECTORY .RS 4 این متغیر محیطی باعث می‌شود افزونه‌ها و سایر فایل‌های داده به‌جای مکان‌های استاندارد، از دایرکتوری ساخت (جایی که برنامه در آن کامپایل شده است) بارگیری شوند. این متغیر زمانی که برنامه مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \(rs*BSD، Solaris و AIX اجرا می‌شود، هیچ اثری ندارد. .RE .sp WIRESHARK_DATA_DIR .RS 4 این متغیر محیطی باعث می‌شود فایل‌های داده گوناگون از دایرکتوری‌ای غیر از مکان‌های استاندارد بارگیری شوند. این متغیر زمانی که برنامه مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ اثری ندارد. .RE .sp WIRESHARK_EXTCAP_DIR .RS 4 این متغیر محیطی باعث می‌شود برنامه‌ها و اسکریپت‌های گوناگون extcap از دایرکتوری‌ای غیر از مکان‌های استاندارد اجرا شوند. این متغیر زمانی که برنامه مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ اثری ندارد. .RE .sp WIRESHARK_PLUGIN_DIR .RS 4 این متغیر محیطی باعث می‌شود افزونه‌های گوناگون از دایرکتوری‌ای غیر از مکان‌های استاندارد بارگیری شوند. این متغیر زمانی که برنامه مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ اثری ندارد. .RE .sp ERF_RECORDS_TO_CHECK .RS 4 این متغیر محیطی تعداد رکوردهای ERF بررسی‌شده را هنگام تصمیم‌گیری در مورد اینکه آیا یک فایل واقعاً در قالب ERF است یا خیر، کنترل می‌کند. تنظیم این متغیر محیطی روی عددی بالاتر از مقدار پیش‌فرض (20)، احتمال موارد مثبت کاذب را کاهش می‌دهد. .RE .sp IPFIX_RECORDS_TO_CHECK .RS 4 این متغیر محیطی تعداد رکوردهای IPFIX بررسی‌شده را هنگام تصمیم‌گیری در مورد اینکه آیا یک فایل واقعاً در قالب IPFIX است یا خیر، کنترل می‌کند. تنظیم این متغیر محیطی روی عددی بالاتر از مقدار پیش‌فرض (20)، احتمال موارد مثبت کاذب را کاهش می‌دهد. .RE .sp WIRESHARK_ABORT_ON_DISSECTOR_BUG .RS 4 اگر این متغیر محیطی تنظیم شده باشد، \fBTShark\fP در صورت مواجهه با باگ در dissector، تابع abort(3) را فراخوانی خواهد کرد. تابع abort(3) باعث خروج غیرعادی برنامه می‌شود؛ اگر در حال اجرای \fBTShark\fP در یک دیباگر باشید، باید در دیباگر متوقف شود و اجازه بررسی فرایند را بدهد، و اگر آن را در دیباگر اجرا نمی‌کنید، در برخی از سیستم‌عامل‌ها (به فرض اینکه محیط شما به درستی پیکربندی شده باشد)، یک فایل core dump تولید خواهد کرد. این متغیر می‌تواند برای توسعه‌دهندگانی که تلاش می‌کنند مشکلی را در یک dissector پروتکل عیب‌یابی کنند مفید باشد. .RE .sp WIRESHARK_ABORT_ON_TOO_MANY_ITEMS .RS 4 اگر این متغیر محیطی تنظیم شده باشد، اگر یک dissector تلاش کند آیتم‌های بسیار زیادی را به درخت اضافه کند (معمولاً این نشان‌دهنده آن است که dissector به اندازه کافی زود از یک حلقه خارج نشده است)، \fBTShark\fP تابع abort(3) را فراخوانی خواهد کرد. تابع abort(3) باعث خروج غیرعادی برنامه می‌شود؛ اگر در حال اجرای \fBTShark\fP در یک دیباگر باشید، باید در دیباگر متوقف شود و اجازه بررسی فرایند را بدهد، و اگر آن را در دیباگر اجرا نمی‌کنید، در برخی از سیستم‌عامل‌ها (به فرض اینکه محیط شما به درستی پیکربندی شده باشد)، یک فایل core dump تولید خواهد کرد. این متغیر می‌تواند برای توسعه‌دهندگانی که تلاش می‌کنند مشکلی را در یک dissector پروتکل عیب‌یابی کنند مفید باشد. .RE .sp WIRESHARK_LOG_LEVEL .RS 4 این متغیر محیطی میزان پرگویی (verbosity) پیام‌های تشخیصی در کنسول را کنترل می‌کند. از کمترین به بیشترین پرگویی، سطوح می‌توانند شامل \f(CRcritical\fP، \f(CRwarning\fP، \f(CRmessage\fP، \f(CRinfo\fP، \f(CRdebug\fP یا \f(CRnoisy\fP باشند. سطوح بالاتر از سطح فعلی نیز فعال هستند. سطوح \f(CRcritical\fP و \f(CRerror\fP همیشه فعال‌اند. .RE .sp WIRESHARK_LOG_FATAL .RS 4 سطح گزارش‌های مهلک (fatal) را تنظیم می‌کند. سطوح مهلک گزارش باعث خروج اضطراری (abort) برنامه می‌شوند. این سطح می‌تواند روی \f(CRError\fP، \f(CRcritical\fP یا \f(CRwarning\fP تنظیم شود. \f(CRError\fP همیشه مهلک است و حالت پیش‌فرض می‌باشد. .RE .sp WIRESHARK_LOG_DOMAINS .RS 4 این متغیر محیطی تعیین می‌کند کدام دامنه‌های ثبت گزارش فعال باشند. این فیلتر به صورت فهرستی از مقادیر جدا شده با ویرگول و بدون حساسیت به حروف بزرگ و کوچک ارائه می‌شود. در صورت تنظیم، فقط دامنه‌های گنجانده شده فعال خواهند شد. دامنه پیش‌فرض همیشه فعال در نظر گرفته می‌شود. فهرست فیلتر دامنه‌ها می‌تواند با \*(Aq!\*(Aq آغاز شود تا مفهوم تطابق وارونه گردد. .RE .sp WIRESHARK_LOG_DEBUG .RS 4 فهرستی از دامنه‌ها با سطح ثبت گزارش \f(CRdebug\fP. این مقدار سطح دامنه‌های گزارش ارائه‌شده را تعیین کرده و بر فیلتر دامنه‌های فعال اولویت دارد. در صورتی که پیش از آن \*(Aq!\*(Aq بیاید، در عوض سطح \f(CRdebug\fP را غیرفعال می‌کند. .RE .sp WIRESHARK_LOG_NOISY .RS 4 مشابه مورد بالا، اما در عوض برای سطح گزارش \f(CRnoisy\fP. .RE.SH "همچنین ببینید (SEE ALSO)" .sp wireshark\-filter(4), wireshark(1), editcap(1), pcap(3), dumpcap(1), text2pcap(1), mergecap(1), pcap\-filter(7) یا tcpdump(8) .SH "نکات (NOTES)" .sp این صفحهٔ راهنما برای \fBTShark\fP نسخهٔ 4.7.3 است. \fBTShark\fP بخشی از توزیع \fBWireshark\fP است. آخرین نسخهٔ \fBWireshark\fP در این نشانی در دسترس است: \c .URL "https://www.wireshark.org" "" "." .sp نسخه‌های HTML صفحات راهنمای پروژهٔ Wireshark در این نشانی در دسترس هستند: .URL "https://www.wireshark.org/docs/man\-pages" "" "." .SH "نویسندگان (AUTHORS)" .sp \fBTShark\fP از همان کد کالبدشکافی بسته‌ها که در \fBWireshark\fP به کار رفته استفاده می‌کند و همچنین از بسیاری از ماژول‌های دیگر \fBWireshark\fP بهره می‌برد؛ برای مشاهدهٔ فهرست نویسندگان آن کدها، به فهرست نویسندگان در صفحهٔ راهنمای \fBWireshark\fP مراجعه کنید.