'\" t .\" Title: wireshark .\" Author: [see the "AUTHOR(S)" section] .\" Generator: Asciidoctor 2.0.26 .\" Date: 2026-09-03 .\" Manual: \ \& .\" Source: \ \& .\" Language: English .\" .TH "WIRESHARK" "1" "2026-09-03" "\ \&" "\ \&" .ie \n(.g .ds Aq \(aq .el .ds Aq ' .ss \n[.ss] 0 .nh .ad l .de URL \fI\\$2\fP <\\$1>\\$3 .. .als MTO URL .if \n[.g] \{\ . mso www.tmac . am URL . ad l . . . am MTO . ad l . . . LINKSTYLE blue R < > .\} .SH "نام (NAME)" wireshark \- تخلیه و تحلیل تعاملی ترافیک شبکه .SH "خلاصه دستور (SYNOPSIS)" .sp \fBwireshark\fP [\~\fB\-i\fP\~<رابط\~ضبط>|\-\~] [\~\fB\-f\fP\~<فیلتر\~ضبط>\~] [\~\fB\-Y\fP\~<فیلتر\~نمایش>\~] [\~\fB\-w\fP\~<فایل\~خروجی>\~] [\~\fBگزینه‌ها\fP\~] [\~<فایل\~ورودی>\~] .sp \fBwireshark\fP \fB\-h|\-\-help\fP .sp \fBwireshark\fP \fB\-v|\-\-version\fP .SH "توضیحات (DESCRIPTION)" .sp \fBWireshark\fP یک تحلیل‌گر گرافیکی پروتکل‌های شبکه است. این ابزار به شما امکان می‌دهد داده‌های بسته‌ها را به صورت تعاملی از یک شبکهٔ زنده یا از یک فایل ضبط‌شدهٔ قبلی مرور و بررسی کنید. قالب‌های بومی فایل ضبط در \fBWireshark\fP قالب‌های \fBpcapng\fP و \fBpcap\fP هستند؛ این ابزار می‌تواند هر دو قالب را بخواند و بنویسد. قالب \fBpcap\fP همچنین قالبی است که توسط \fBtcpdump\fP و ابزارهای گوناگون دیگر استفاده می‌شود؛ \fBtcpdump\fP هنگام استفاده از نسخه‌های جدیدتر کتابخانهٔ \fBlibpcap\fP، می‌تواند برخی از فایل‌های pcapng را نیز بخواند، و در نسخه‌های جدیدتر macOS می‌تواند همهٔ فایل‌های pcapng را بخواند و همچنین در آن‌ها بنویسد. .sp \fBWireshark\fP همچنین می‌تواند قالب‌های فایل زیر را بخواند / وارد کند: .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBsnoop\fP و \fBatmsnoop\fP متعلق به Oracle (پیش‌تر Sun) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBSurveyor\fP متعلق به Finisar (پیش‌تر Shomiti) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBNetwork Monitor\fP متعلق به Microsoft .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBLANalyzer\fP متعلق به Novell .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBiptrace\fP متعلق به AIX .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBNetXRay\fP متعلق به Cinco Networks .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBSniffer\fP مبتنی بر Windows متعلق به NETSCOUT (پیش‌تر Network Associates/Network General) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBSniffer\fP مبتنی بر DOS متعلق به Network General/Network Associates (فشرده یا غیرفشرده) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fB*Peek\fP/\fBEtherHelp\fP/\fBPacketGrabber\fP متعلق به LiveAction (پیش‌تر WildPackets/Savvius) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط تحلیل‌گر WAN/LAN متعلق به \fBRADCOM\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ضبط \fBObserver\fP متعلق به Viavi (پیش‌تر Network Instruments) .RE.sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی اشکال‌زدایی مسیریاب \fBLucent/Ascend\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} بسته‌های ضبط‌شده از \fBnettl\fP در HP\-UX .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی دامپ مسیریاب‌های ISDN شرکت \fBToshiba\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی \fBi4btrace\fP از پروژه ISDN4BSD .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} ردگیری‌های حاصل از \fBEyeSDN\fP USB S0 .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی با قالب \fBIPLog\fP از Cisco Secure Intrusion Detection System .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} گزارش‌های \fBpppd logs\fP (قالب pppdump) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی ابزارهای \fBTCPIPtrace\fP/\fBTCPtrace\fP/\fBUCX$TRACE\fP در VMS .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی متنی از ابزار VMS به نام \fBDBS Etherwatch\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} بسته‌های ضبط‌شده ترافیک \fBVisual UpTime\fP از Visual Networks .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی اشکال‌زدایی L2 در \fBCoSine\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی عامل‌های شبکه محلی (LAN) با نام \fB5View\fP از InfoVista (پیش‌تر Accellent) .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} بسته‌های ضبط‌شده در قالب ERF از شرکت Endace Measurement Systems .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} ردگیری‌های \fBhcidump \-w\fP از پشته بلوتوث Linux Bluez .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ‎.out مربوط به Catapult DCT2000 .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} خروجی متنی تولیدشده توسط Gammu از گوشی‌های Nokia DCT3 در حالت Netmonitor .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} ردگیری‌های ارتباطی (Comm traces) در IBM Series (OS/400) (به‌صورت ASCII و UNICODE) .RE.sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های snoop مربوط به Juniper Netscreen .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های btsnoop سیستم‌عامل Symbian OS .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های TamoSoft CommView .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ۳۲ بیتی قالب rf5. مربوط به Tektronix K12xx .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ضبط‌شده در قالب فایل متنی Tektronix K12 .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های Apple PacketLogger .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ضبط‌شده از نرم‌افزار PC108 شرکت Aethra Telecommunications برای تجهیزات آزمایشی آن .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ردگیری (Trace) مربوط به Citrix NetScaler .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} لاگ‌های باینری و متنی Android Logcat .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ضبط‌شده با Colasoft Capsa و PacketBuilder .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های mplog مربوط به Micropross .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ردگیری پایشگر کانال AUX در Unigraf DPA\-400 DisplayPort .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ردگیری 802.15.4 از Sensor Network Analyzer متعلق به Daintree .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} جریان‌های انتقال MPEG\-2 بر اساس تعریف در ISO/IEC 13818\-1 .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های لاگ حاصل از ابزار \fIcandump\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} لاگ‌های مربوط به ابزار BUSMASTER .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} داده‌های ضبط‌شده خام Ixia IxVeriWave .RE.sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های Rabbit Labs CAM Inspector .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ژورنال \fIsystemd\fP .RE .sp .RS 4 .ie n \{\ \h'-04'\(bu\h'+03'\c .\} .el \{\ . sp -1 . IP \(bu 2.3 .\} فایل‌های ردگیری 3GPP TS 32.423 .RE .sp نیازی نیست به \fBWireshark\fP بگویید چه نوع فایلی را می‌خوانید؛ این برنامه نوع فایل را خودبه‌خود تشخیص خواهد داد. \fBWireshark\fP همچنین در صورتی که فایل‌ها با gzip، LZ4 یا Zstandard فشرده شده باشند، مشروط بر اینکه با پشتیبانی مناسب کامپایل شده باشد، قادر به خواندن هر یک از این قالب‌های فایلی است. \fBWireshark\fP این موضوع را مستقیماً از روی فایل تشخیص می‌دهد؛ برای این منظور نیازی به پسوند \*(Aq.gz\*(Aq یا پسوندهای دیگر نیست. .sp همانند سایر تحلیل‌گرهای پروتکل، پنجره اصلی \fBWireshark\fP ۳ نما از یک بسته را نشان می‌دهد. این پنجره یک خط خلاصه را نمایش می‌دهد که به اختصار توضیح می‌دهد بسته چیست. یک بخش جزئیات بسته نمایش داده می‌شود که به شما امکان می‌دهد تا پروتکل یا فیلد دقیق مورد نظرتان را به تفصیل بررسی کنید. در نهایت، یک تخلیه هگز (hex dump) دقیقاً به شما نشان می‌دهد که بسته هنگام عبور از سیم (ارسال در شبکه) چه شکلی دارد. .sp علاوه بر این، \fBWireshark\fP ویژگی‌هایی دارد که آن را منحصربه‌فرد می‌سازد. این برنامه می‌تواند تمام بسته‌های یک مکالمه TCP را سرهم کرده و داده‌های ASCII (یا EBCDIC یا هگز) آن مکالمه را به شما نشان دهد. فیلترهای نمایشی در \fBWireshark\fP بسیار قدرتمند هستند؛ فیلدهای بیشتری در \fBWireshark\fP نسبت به سایر تحلیل‌گرهای پروتکل قابل فیلتر شدن هستند و ساختار نحوی مورد استفاده برای ایجاد فیلترها غنی‌تر است. با پیشرفت \fBWireshark\fP، انتظار می‌رود فیلدهای پروتکلی بیشتر و بیشتری در فیلترهای نمایشی مجاز شوند. .sp گرفتن بسته‌ها با کتابخانه pcap انجام می‌شود. ساختار نحوی فیلتر دریافت، از قوانین کتابخانه pcap پیروی می‌کند. این ساختار نحوی با ساختار نحوی فیلتر نمایشی متفاوت است. .sp پشتیبانی از فایل‌های فشرده از کتابخانه zlib استفاده می‌کند (و در نتیجه به آن نیاز دارد). اگر کتابخانه zlib وجود نداشته باشد، \fBWireshark\fP کامپایل خواهد شد، اما قادر به خواندن فایل‌های فشرده نخواهد بود. .sp مسیر فایل ضبط‌شده‌ای که باید خوانده شود را می‌توان با گزینه \fB\-r\fP یا به عنوان یک آرگومان خط فرمان مشخص کرد. .SH "گزینه‌ها (OPTIONS)" .sp \fBWireshark\fP از گزینه‌های خط فرمان متنوعی پشتیبانی می‌کند. بیشتر کاربران مایلند آن را بدون هیچ گزینه‌ای اجرا کرده و در عوض آن را از طریق منوهای برنامه پیکربندی کنند. این دسته از کاربران ممکن است تمایل داشته باشند از این بخش صرف‌نظر کنند. .sp \-a|\-\-autostop .RS 4 .sp معیاری را مشخص می‌کند که زمان توقف نوشتن \fBWireshark\fP در فایل ضبط را تعیین می‌کند. این معیار به صورت \fItest:value\fP است، که در آن \fItest\fP یکی از موارد زیر است: .sp \fBduration\fP:\fIvalue\fP نوشتن در فایل ضبط را پس از گذشت \fIvalue\fP ثانیه متوقف می‌کند. مقادیر ممیز شناور (مانند 0.5) مجاز هستند. .sp \fBfiles\fP:\fIvalue\fP نوشتن در فایل‌های ضبط را پس از نوشته شدن \fIvalue\fP فایل متوقف می‌کند. .sp \fBfilesize\fP:\fIvalue\fP نوشتن در فایل ضبط را پس از رسیدن حجم آن به \fIvalue\fP کیلوبایت متوقف می‌کند. اگر این گزینه همراه با گزینه \-b استفاده شود، با رسیدن به این اندازه، Wireshark نوشتن در فایل ضبط فعلی را متوقف کرده و به فایل بعدی منتقل می‌شود. توجه داشته باشید که حداکثر اندازه فایل به 2 ترابایت محدود است، اگرچه ممکن است قبل از رسیدن به این اندازه، در صورت فراتر رفتن تعداد بسته‌ها از 231 (2147483648)، در مشاهده فایل در رابط گرافیکی با مشکل مواجه شوید. .sp \fBpackets\fP:\fIvalue\fP نوشتن در فایل ضبط را پس از اینکه شامل \fIvalue\fP بسته شد متوقف می‌کند. عملکردی مشابه \fB\-c\fP دارد. .RE .sp \-b|\-\-ring\-buffer .RS 4 .sp باعث می‌شود \fBWireshark\fP در حالت «چند فایلی» اجرا شود. در حالت «چند فایلی»، \fBWireshark\fP در چندین فایل ضبط می‌نویسد. هنگامی که نخستین فایل ضبط پر شود، \fBWireshark\fP نوشتن را به فایل بعدی منتقل می‌کند و به همین ترتیب ادامه می‌دهد. .sp نام فایل‌های ایجادشده بر اساس نام فایل ارائه‌شده با پرچم \fB\-w\fP، شماره فایل و تاریخ و زمان ایجاد است؛ مانند outfile_00001_20260714120117.pcap، outfile_00002_20260714120523.pcap، .\|.\|. .sp با گزینه \fIfiles\fP همچنین امکان تشکیل یک «بافر حلقه‌ای» وجود دارد. این کار فایل‌های جدید را تا رسیدن به تعداد فایل مشخص‌شده پر می‌کند، که در آن نقطه \fBWireshark\fP داده‌های فایل اول را دور ریخته و شروع به نوشتن در آن فایل می‌کند و به همین ترتیب ادامه می‌دهد. اگر گزینه \fIfiles\fP تنظیم نشده باشد، فایل‌های جدید تا زمانی که یکی از شرایط توقف ضبط برقرار شود (یا دیسک پر شود) پر خواهند شد. .sp این معیار به صورت \fIkey:value\fP است، که در آن \fIkey\fP یکی از موارد زیر است: .sp \fBduration\fP:\fIvalue\fP پس از سپری شدن \fIvalue\fP ثانیه، به فایل بعدی منتقل می‌شود، حتی اگر فایل فعلی کاملاً پر نشده باشد. مقادیر ممیز شناور (مانند 0.5) مجاز هستند. .sp \fBfiles\fP:\fIvalue\fP پس از اینکه تعداد \fIvalue\fP فایل نوشته شد، دوباره از فایل اول شروع می‌کند (یک بافر حلقه‌ای تشکیل می‌دهد). این مقدار باید کمتر از ۱۰۰۰۰۰ باشد. در صورت استفاده از تعداد زیادی فایل باید احتیاط کرد: برخی از سیستم‌های فایل، تعداد زیادی فایل را در یک پوشه واحد به خوبی مدیریت نمی‌کنند. معیار \fBfiles\fP نیازمند این است که یکی از معیارهای دیگر نیز برای کنترل زمان انتقال به فایل بعدی تعیین شود. لازم به ذکر است که هر پارامتر \fB\-b\fP دقیقاً یک معیار می‌گیرد؛ برای تعیین دو معیار، هر کدام باید با یک گزینه \fB\-b\fP همراه باشند. .sp \fBfilesize\fP:\fIvalue\fP پس از رسیدن اندازه فایل به \fIvalue\fP کیلوبایت، به فایل بعدی منتقل می‌شود. توجه داشته باشید که اندازه فایل به حداکثر مقدار 2 ترابایت محدود است، اگرچه ممکن است قبل از آن، در صورتی که تعداد بسته‌ها از 231 (2147483648) فراتر رود، در مشاهده فایل در رابط گرافیکی با مشکل روبه‌رو شوید. .sp \fBinterval\fP:\fIvalue\fP هنگامی که زمان مضرب دقیقی از \fIvalue\fP ثانیه باشد، به فایل بعدی منتقل می‌شود. .sp \fBpackets\fP:\fIvalue\fP پس از اینکه فایل شامل \fIvalue\fP بسته شد، به فایل بعدی منتقل می‌شود. .sp مثال: \fB\-b filesize:1000 \-b files:5\fP منجر به ایجاد یک بافر حلقه‌ای متشکل از پنج فایل با حجم هر یک یک مگابایت می‌شود. .RE .sp \-B|\-\-buffer\-size .RS 4 .sp اندازه بافر ضبط را تعیین می‌کند (به مبی‌بایت، پیش‌فرض ۲ مبی‌بایت است). این گزینه توسط درایور ضبط برای بافر کردن داده‌های بسته استفاده می‌شود تا زمانی که بتوان داده‌ها را روی دیسک نوشت. اگر در حین ضبط با افت بسته (packet drop) مواجه شدید، این اندازه را افزایش دهید. توجه داشته باشید در حالی که \fBWireshark\fP به طور پیش‌فرض تلاش می‌کند اندازه بافر را روی ۲ مبی‌بایت تنظیم کند و می‌توان آن را روی مقداری بزرگ‌تر تنظیم کرد، سیستم یا رابطی که روی آن در حال ضبط هستید ممکن است بدون اعلان، اندازه بافر ضبط را به مقدار کمتری محدود کرده یا به مقدار بالاتری افزایش دهد. .sp این قابلیت در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \(rs*BSD، Solaris و AIX با libpcap نسخه 1.0.0 یا بالاتر، و همچنین در Windows در دسترس است. در سیستم‌های سازگار با UNIX با نسخه‌های قدیمی‌تر libpcap در دسترس نیست. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر قبل از اولین استفاده از گزینه \fB\-i\fP به کار رود، اندازه پیش‌فرض بافر ضبط را تعیین می‌کند. اگر پس از یک گزینه \fB\-i\fP استفاده شود، اندازه بافر ضبط را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه مشخص شده است تعیین می‌کند. اگر اندازه بافر ضبط به صورت صریح تعیین نشده باشد، اندازه پیش‌فرض بافر ضبط به جای آن استفاده می‌شود. .RE .sp \-c .RS 4 .sp حداکثر تعداد بسته‌ها برای خواندن در هنگام ضبط زنده داده‌ها را تعیین می‌کند. عملکردی مشابه \fB\-a packets:\fP دارد. .RE .sp \-C .RS 4 .sp برنامه را با پروفایل پیکربندی داده‌شده اجرا می‌کند. .RE.sp \-\-capture\-comment .RS 4 .sp هنگام انجام ضبط در یک فایل از طریق خط فرمان، همراه با پرچم \fB\-k\fP، در صورت پشتیبانی قالب ضبط، یک یادداشت ضبط به فایل خروجی اضافه می‌کند. .sp این گزینه می‌تواند چندین بار مشخص شود. توجه داشته باشید که \fBWireshark\fP در حال حاضر تنها اولین یادداشت یک فایل ضبط را نمایش می‌دهد. .RE .sp \-D|\-\-list\-interfaces .RS 4 .sp فهرستی از رابط‌هایی که \fBWireshark\fP می‌تواند روی آن‌ها به ضبط بپردازد را چاپ کرده و خارج می‌شود. برای هر رابط شبکه، یک شماره و یک نام رابط، که احتمالاً با یک شرح متنی از رابط همراه است، چاپ می‌شود. نام رابط یا شماره را می‌توان به پرچم \fB\-i\fP داد تا رابطی که باید روی آن ضبط انجام شود مشخص گردد. استفاده از شماره در سیستم‌های Windows می‌تواند مفید باشد، جایی که رابط‌ها نام‌های طولانی دارند که معمولاً حاوی یک GUID است. .RE .sp \-\-display .RS 4 .sp نمایشگر X مورد استفاده را مشخص می‌کند. یک نام میزبان و صفحه نمایش (otherhost:0.0) یا تنها یک صفحه نمایش (:0.0) می‌تواند مشخص شود. این گزینه در macOS یا Windows در دسترس نیست. .RE .sp \-f .RS 4 .sp عبارت فیلتر ضبط را تنظیم می‌کند. .sp این گزینه می‌تواند چندین بار به کار رود. اگر پیش از اولین استفاده از گزینه \fB\-i\fP استفاده شود، عبارت فیلتر ضبط پیش‌فرض را تعیین می‌کند. اگر پس از یک گزینه \fB\-i\fP به کار رود، عبارت فیلتر ضبط را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه تعیین شده تنظیم می‌کند. اگر عبارت فیلتر ضبط به طور مشخص تعیین نشده باشد، در صورت وجود از عبارت فیلتر ضبط پیش‌فرض استفاده می‌شود. .sp نام‌های از پیش تعریف‌شده فیلتر ضبط، همان‌طور که در مورد منوی گرافیکی Capture\(->Capture Filters نشان داده شده‌اند، می‌توانند با افزودن پیشوند "predef:" به آرگومان مورد استفاده قرار گیرند. مثال: \fB\-f "predef:MyPredefinedHostOnlyFilter"\fP .RE .sp \-F .RS 4 هنگام انجام ضبط در یک فایل از طریق خط فرمان با گزینه \fB\-k\fP، قالب فایل ضبط خروجی را که با استفاده از گزینه \fB\-w\fP نوشته می‌شود تعیین می‌کند. در موقعیت‌هایی که به قالب \fBpcapng\fP نیاز دارند، مانند ضبط از چندین رابط، این گزینه نادیده گرفته خواهد شد. گزینه \fB\-F\fP بدون مقدار، قالب‌های موجود را فهرست می‌کند. قالب پیش‌فرض \fBpcapng\fP است (مگر اینکه پیش‌فرض در تنظیمات تغییر کرده باشد.) .RE .sp این گزینه از تمام قالب‌هایی که \fBWireshark\fP می‌تواند یک فایل را به آن‌ها تبدیل کند پشتیبانی نمی‌کند؛ این امر به دلایل امنیتی عامدانه است. در قالبی پشتیبانی‌شده ضبط کنید و سپس در صورت تمایل فایل را با قالبی دیگر ذخیره نمایید. .sp \-\-fullscreen .RS 4 .sp اجرای \fBWireshark\fP در حالت تمام‌صفحه (حالت کیوسک). برای خروج از حالت تمام‌صفحه، منوی View را باز کرده و گزینه Full Screen را انتخاب کنید. به عنوان راه دیگر، کلید F11 (یا Ctrl + Cmd + F برای macOS) را فشار دهید. .RE .sp \-g .RS 4 پس از خواندن یک فایل ضبط با استفاده از پرچم \fB\-r\fP، به \fIpacket number\fP داده‌شده می‌رود. .RE .sp \-h|\-\-help .RS 4 شماره نسخه و گزینه‌ها را چاپ کرده و خارج می‌شود. .RE .sp \-H .RS 4 پنهان کردن دیالوگ اطلاعات ضبط در طول ضبط زنده بسته‌ها. .RE .sp \-i|\-\-interface |\- .RS 4 .sp نام رابط شبکه یا پایپی را که برای ضبط زنده بسته‌ها استفاده می‌شود تعیین می‌کند. .sp نام‌های رابط شبکه باید با یکی از نام‌های فهرست‌شده در «\fBwireshark \-D\fP» (توضیح داده شده در بالا) مطابقت داشته باشند؛ همچنین یک شماره، همان‌طور که توسط «\fBtshark \-D\fP» گزارش می‌شود، می‌تواند مورد استفاده قرار گیرد. .sp اگر هیچ رابطی مشخص نشود، \fBWireshark\fP فهرست رابط‌ها را جستجو می‌کند؛ در صورتی که هر رابط غیر loopback وجود داشته باشد اولین مورد را انتخاب می‌کند، و اگر هیچ رابط غیر loopback وجود نداشته باشد اولین رابط loopback را برمی‌گزیند. اگر اصلاً هیچ رابطی وجود نداشته باشد، \fBWireshark\fP خطایی گزارش کرده و ضبط را آغاز نمی‌کند. .sp نام‌های پایپ باید یا نام یک FIFO (پایپ نام‌گذاری‌شده) باشد یا «\-» برای خواندن داده‌ها از ورودی استاندارد. در سیستم‌های Windows، نام‌های پایپ باید به صورت «\(rs\(rs.\(rspipe\(rs\fBpipename\fP» باشند. داده‌های خوانده‌شده از پایپ‌ها باید در قالب استاندارد pcapng یا pcap باشند. داده‌های pcapng باید ترتیبی از بایت‌ها (endianness) یکسان با میزبان ضبط‌کننده داشته باشند. .sp این گزینه می‌تواند چندین بار تکرار شود. هنگام ضبط از چندین رابط، فایل ضبط با قالب pcapng ذخیره خواهد شد. .RE .sp \-I|\-\-monitor\-mode .RS 4 .sp رابط را در «حالت پایش» (monitor mode) قرار می‌دهد؛ این قابلیت تنها روی رابط‌های Wi\-Fi با استاندارد IEEE 802.11 و تنها در برخی سیستم‌های عامل پشتیبانی می‌شود. .sp توجه داشته باشید که در حالت پایش، آداپتور ممکن است اتصال خود را با شبکه‌ای که به آن متصل است قطع کند، به طوری که قادر نخواهید بود با آن آداپتور از هیچ شبکه بی‌سیمی استفاده کنید. این امر در صورتی که در حالت پایش مشغول ضبط باشید و با آداپتور دیگری به شبکه متصل نباشید، می‌تواند از دسترسی به فایل‌های روی یک سرور شبکه یا تحلیل نام‌های میزبان یا نشانی‌های شبکه جلوگیری کند. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از اولین استفاده از گزینه \fB\-i\fP به کار رود، حالت پایش را برای تمام رابط‌ها فعال می‌کند. اگر پس از یک گزینه \fB\-i\fP به کار رود، حالت پایش را برای رابطی که توسط آخرین گزینه \fB\-i\fP پیش از این گزینه تعیین شده فعال می‌سازد. .RE .sp \-j .RS 4 پس از \fB\-J\fP برای تغییر رفتار هنگامی که هیچ تطابق دقیقی برای فیلتر یافت نمی‌شود استفاده می‌شود. با این گزینه، اولین بسته قبل از آن انتخاب می‌شود. .RE .sp \-J .RS 4 .sp پس از خواندن یک فایل ضبط با استفاده از پرچم \fB\-r\fP، به بسته‌ای که با فیلتر مطابقت دارد پرش می‌کند (نحوه نگارش فیلتر نمایش). اگر هیچ تطابق دقیقی یافت نشود، اولین بسته پس از آن انتخاب می‌شود. .RE .sp \-k .RS 4 .sp نشست ضبط را بلافاصله آغاز می‌کند. اگر پرچم \fB\-i\fP مشخص شده باشد، ضبط از رابط مشخص‌شده استفاده می‌کند. در غیر این صورت، \fBWireshark\fP فهرست رابط‌ها را جستجو کرده و در صورت وجود هر رابط غیر loopback، اولین مورد را انتخاب می‌کند و در صورت نبود رابط‌های غیر loopback، اولین رابط loopback را برمی‌گزیند؛ اگر هیچ رابطی نباشد، \fBWireshark\fP خطایی گزارش داده و ضبط را آغاز نمی‌کند. .RE .sp \-l .RS 4 اگر نمایش بسته با رسیدن بسته‌ها حین ضبط به طور خودکار به‌روزرسانی می‌شود (همان‌طور که با پرچم \fB\-S\fP مشخص شده است)، پیمایش خودکار را فعال می‌کند. .RE .sp \-L|\-\-list\-data\-link\-types .RS 4 انواع پیوند داده پشتیبانی‌شده توسط رابط را فهرست کرده و خارج می‌شود. .RE .sp \-\-list\-time\-stamp\-types .RS 4 انواع برچسب زمانی پشتیبانی‌شده برای رابط را فهرست می‌کند. اگر هیچ نوع برچسب زمانی قابل تنظیمی وجود نداشته باشد، هیچ موردی فهرست نمی‌شود. .RE .sp \-\-no\-optimize .RS 4 هنگام تولید کد برای فیلتر ضبط، بهینه‌ساز libpcap را اجرا نمی‌کند. این گزینه در صورتی که به وجود باگ در بهینه‌ساز مشکوک باشید یا برای اهداف آموزشی مفید است. .RE.sp این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ \fB\-i\fP استفاده شود، فیلترهای ضبط برای تمامی رابط‌ها بهینه‌سازی نمی‌شوند. اگر پس از یک گزینهٔ \fB\-i\fP استفاده شود، فیلتر ضبط برای رابطی که با آخرین گزینهٔ \fB\-i\fP پیش از این گزینه مشخص شده است، بهینه‌سازی نمی‌شود. .sp \-o .RS 4 .sp یک مقدار ترجیحات (preference) یا تنظیمات اخیر (recent) را تنظیم می‌کند، که مقدار پیش‌فرض و هر مقداری که از فایل preference/recent خوانده شده است را بازنویسی می‌نماید. آرگومان این پرچم رشته‌ای به صورت \fIprefname:value\fP است، که در آن \fIprefname\fP نام مقدار preference/recent (همان نامی که در فایل preference/recent ظاهر می‌شود) و \fIvalue\fP مقداری است که باید روی آن تنظیم شود. از نسخهٔ \fBEthereal\fP 0.10.12 به بعد، تنظیمات recent جایگزین پرچم‌های پیشین \-B، \-P و \-T برای تغییر ابعاد رابط کاربری گرافیکی (GUI) شده است. .sp اگر \fIprefname\fP برابر با "uat" باشد، می‌توانید با استفاده از قالب "uat:\fIuat filename\fP:\fIuat record\fP" تنظیمات موجود در جدول‌های مختلف دسترسی کاربر (UAT) را بازنویسی کنید. \fIuat filename\fP باید نام یک فایل UAT باشد، برای نمونه \fIuser_dlts\fP. مقدار \fIuat_record\fP باید در قالب یک رکورد معتبر برای آن فایل باشد، از جمله علامت‌های نقل‌قول. برای نمونه، جهت تعیین یک DLT کاربری از خط فرمان، می‌توانید از دستور زیر استفاده کنید: .sp .if n .RS 4 .nf .fam C \-o "uat:user_dlts:\(rs"User 0 (DLT=147)\(rs",\(rs"cops\(rs",\(rs"0\(rs",\(rs"\(rs",\(rs"0\(rs",\(rs"\(rs"" .fam .fi .if n .RE .RE .sp \-p|\-\-no\-promiscuous\-mode .RS 4 .sp رابط را در حالت بی‌قید (promiscuous mode) قرار \fIندهد\fP. توجه داشته باشید که ممکن است رابط به دلیل دیگری در حالت promiscuous باشد؛ بنابراین، نمی‌توان از \fB\-p\fP برای اطمینان از اینکه تنها ترافیک ضبط‌شده ترافیک ارسالی به یا از ماشینی است که \fBWireshark\fP روی آن اجرا می‌شود، ترافیک پخشی (broadcast) و ترافیک چندپخشی (multicast) به آدرس‌های دریافت شده توسط آن ماشین است، استفاده کرد. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ \fB\-i\fP استفاده شود، هیچ رابطی در حالت promiscuous قرار نخواهد گرفت. اگر پس از یک گزینهٔ \fB\-i\fP استفاده شود، رابط مشخص‌شده توسط آخرین گزینهٔ \fB\-i\fP پیش از این گزینه، در حالت promiscuous قرار نمی‌گیرد. .RE .sp \-P .RS 4 .sp تنظیمات ویژهٔ مسیر که معمولاً به صورت خودکار شناسایی می‌شوند. این گزینه برای حالت‌های خاص به کار می‌رود، مانند اجرای Wireshark از مکانی مشخص روی یک فلش مموری USB. .sp معیار به صورت \fIkey:path\fP است، که در آن \fIkey\fP یکی از موارد زیر است: .sp \fBpersconf\fP:\fIpath\fP مسیر فایل‌های پیکربندی شخصی، مانند فایل‌های ترجیحات (preferences). .sp \fBpersdata\fP:\fIpath\fP مسیر فایل‌های داده‌های شخصی؛ پوشه‌ای است که در ابتدا باز می‌شود. پس از نخستین مقداردهی اولیه، فایل recent آخرین پوشهٔ استفاده‌شده را نگه‌داری خواهد کرد. .RE .sp \-r|\-\-read\-file .RS 4 .sp داده‌های بسته‌ها را از \fIinfile\fP می‌خواند، که می‌تواند هر قالب فایل ضبط پشتیبانی‌شده‌ای باشد (شامل فایل‌های فشرده‌شده). برخلاف \fBTShark\fP، در اینجا استفاده از لوله‌های نام‌گذاری‌شده (named pipes) یا stdin امکان‌پذیر نیست! برای ضبط از یک pipe یا از stdin، از \fB\-i \-\fP استفاده کنید. .RE .sp \-R|\-\-read\-filter .RS 4 .sp هنگام خواندن یک فایل ضبط مشخص‌شده با پرچم \fB\-r\fP، باعث می‌شود که فیلتر مشخص‌شده (که به جای نحو فیلترهای ضبط، از نحو فیلترهای نمایش استفاده می‌کند) روی تمام بسته‌های خوانده‌شده از فایل ضبط اعمال شود؛ بسته‌هایی که با فیلتر مطابقت ندارند دور ریخته می‌شوند. .RE .sp \-s|\-\-snapshot\-length .RS 4 .sp طول اسنپ‌شات (snapshot length) پیش‌فرض را هنگام ضبط داده‌های زنده تنظیم می‌کند. بیش از \fIsnaplen\fP بایت از هر بستهٔ شبکه در حافظه خوانده نخواهد شد، یا روی دیسک ذخیره نمی‌گردد. مقدار 0 طول اسنپ‌شات را برابر با 262144 مشخص می‌کند، تا بسته به طور کامل ضبط شود؛ این مقدار پیش‌فرض است. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ \fB\-i\fP استفاده شود، طول اسنپ‌شات پیش‌فرض را تنظیم می‌کند. اگر پس از یک گزینهٔ \fB\-i\fP استفاده شود، طول اسنپ‌شات را برای رابط مشخص‌شده توسط آخرین گزینهٔ \fB\-i\fP پیش از این گزینه تنظیم می‌کند. اگر طول اسنپ‌شات به طور مشخص تعیین نشده باشد، در صورت وجود طول اسنپ‌شات پیش‌فرض، از آن استفاده می‌شود. .RE .sp \-S .RS 4 نمایش بسته‌ها را هم‌زمان با دریافت آن‌ها به صورت خودکار به‌روزرسانی می‌کند. .RE .sp \-\-temp\-dir .RS 4 .sp دایرکتوری‌ای را مشخص می‌کند که فایل‌های موقت (شامل فایل‌های ضبط) باید در آن نوشته شوند. رفتار پیش‌فرض در سیستم‌های سازگار با یونیکس، مانند Linux، macOS، \(rs*BSD، Solaris و AIX، استفاده از متغیر محیطی \fI$TMPDIR\fP در صورت تنظیم بودن، و پیش‌فرض سیستم، معمولاً \fI/tmp\fP، در صورت عدم تنظیم است. در Windows، از متغیر محیطی \fI%TEMP%\fP استفاده می‌شود که معمولاً پیش‌فرض آن \fI%USERPROFILE%\(rsAppData\(rsLocal\(rsTemp\fP است. .RE .sp \-\-time\-stamp\-type .RS 4 روش برچسب زمانی (timestamp) رابط را تغییر می‌دهد. به \-\-list\-time\-stamp\-types مراجعه کنید. .RE .sp \-\-update\-interval .RS 4 مدت زمان بین گزارش‌های بستهٔ جدید را در طول فرایند ضبط بر حسب میلی‌ثانیه تنظیم می‌کند. همچنین دقت و تفکیک‌پذیری شرایط مدت زمان فایل را تعیین می‌کند. مقدار پیش‌فرض 100 میلی‌ثانیه (100ms) است. .RE .sp \-v|\-\-version .RS 4 اطلاعات کامل نسخه را چاپ می‌کند و خارج می‌شود. .RE .sp \-w .RS 4 نام پیش‌فرض فایل ضبط، یا \*(Aq\-\*(Aq را برای خروجی استاندارد تعیین می‌کند. .RE .sp \-X .RS 4 .sp گزینه‌ای را برای ارسال به یک ماژول \fBWireshark\fP مشخص می‌کند. گزینهٔ افزونه (eXtension) به صورت \fIextension_key:value\fP است، که در آن \fIextension_key\fP می‌تواند یکی از موارد زیر باشد: .sp \fBlua_script\fP:\fIlua_script_filename\fP به \fBWireshark\fP اعلام می‌کند که اسکریپت داده‌شده را علاوه‌بر اسکریپت‌های پیش‌فرض Lua بارگیری کند. .sp \fBlua_script\fP\fInum\fP:\fIargument\fP به \fBWireshark\fP اعلام می‌کند که آرگومان داده‌شده را به اسکریپت lua مشخص‌شده با \*(Aqnum\*(Aq ارسال کند، که شمارهٔ ترتیب نمایه‌ای دستور \*(Aqlua_script\*(Aq است. برای مثال، اگر فقط یک اسکریپت با \*(Aq\-X lua_script:my.lua\*(Aq بارگیری شده باشد، آنگاه \*(Aq\-X lua_script1:foo\*(Aq رشتهٔ \*(Aqfoo\*(Aq را به اسکریپت \*(Aqmy.lua\*(Aq ارسال می‌کند. اگر دو اسکریپت بارگیری شده باشند، مانند \*(Aq\-X lua_script:my.lua\*(Aq و \*(Aq\-X lua_script:other.lua\*(Aq به همان ترتیب، آنگاه \*(Aq\-X lua_script2:bar\*(Aq رشتهٔ \*(Aqbar\*(Aq را به اسکریپت دوم lua، یعنی \*(Aqother.lua\*(Aq، ارسال خواهد کرد. .sp \fBread_format\fP:\fIfile_format\fP به \fBWireshark\fP اعلام می‌کند که از قالب فایل داده‌شده برای خواندن فایل (فایل ارائه‌شده در گزینهٔ دستور \fB\-r\fP) استفاده کند. .sp \fBstdin_descr\fP:\fIdescription\fP به \fBWireshark\fP اعلام می‌کند که هنگام ضبط از ورودی استاندارد (\fB\-i \-\fP) از شرح داده‌شده استفاده کند. .RE .sp \-y|\-\-linktype .RS 4 .sp اگر یک ضبط از خط فرمان با \fB\-k\fP آغاز شود، نوع پیوند داده (data link type) مورد استفاده در هنگام ضبط بسته‌ها را تنظیم می‌کند. مقادیر گزارش‌شده توسط \fB\-L\fP مقادیری هستند که می‌توان از آن‌ها استفاده کرد. .sp این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ \fB\-i\fP استفاده شود، نوع پیوند ضبط پیش‌فرض را تنظیم می‌کند. اگر پس از یک گزینهٔ \fB\-i\fP استفاده شود، نوع پیوند ضبط را برای رابط مشخص‌شده توسط آخرین گزینهٔ \fB\-i\fP پیش از این گزینه تنظیم می‌کند. اگر نوع پیوند ضبط به طور مشخص تعیین نشده باشد، در صورت ارائه، نوع پیوند ضبط پیش‌فرض به کار می‌رود. .RE .sp \-Y|\-\-display\-filter .RS 4 برنامه را با فیلتر نمایش داده‌شده آغاز می‌کند. .RE .sp \-z .RS 4.sp به \fBWireshark\fP دستور می‌دهد تا انواع مختلفی از آمارها را جمع‌آوری کرده و نتیجه را در پنجره‌ای که به‌صورت نیمه‌بلادرنگ به‌روزرسانی می‌شود نمایش دهد. .sp برخی از آمارهای پیاده‌سازی‌شدهٔ کنونی عبارتند از: .RE .sp \fB\-z help\fP .RS 4 نمایش تمام مقادیر ممکن برای \fB\-z\fP. .RE .sp \fB\-z\fP afp,srt[,\fIfilter\fP] .RS 4 .sp نمایش آمارهای زمان پاسخگویی سرویس (SRT) پروتکل Apple Filing Protocol. .RE .sp \fB\-z\fP conv,\fItype\fP[,\fIfilter\fP] .RS 4 .sp جدولی ایجاد می‌کند که تمام گفتگوهای مشاهده‌شده در ترافیک ضبط‌شده را فهرست می‌کند. \fItype\fP نوع نقاط پایانی گفتگویی را که می‌خواهیم آمار برای آن‌ها تولید شود مشخص می‌کند؛ مواردی که در حال حاضر پشتیبانی می‌شوند عبارتند از: .sp .if n .RS 4 .nf .fam C "eth"\& نشانی‌های Ethernet "fc"\& نشانی‌های Fibre Channel "fddi"\& نشانی‌های FDDI "ip"\& نشانی‌های IPv4 "ipv6"\& نشانی‌های IPv6 "ipx"\& نشانی‌های IPX "tcp"\& جفت‌سوکت‌های TCP/IP\& از هر دو IPv4 و IPv6 پشتیبانی می‌شود "tr"\& نشانی‌های Token Ring "udp"\& جفت‌سوکت‌های UDP/IP\& از هر دو IPv4 و IPv6 پشتیبانی می‌شود .fam .fi .if n .RE .sp اگر \fIfilter\fP اختیاری مشخص شده باشد، تنها بسته‌هایی که با فیلتر مطابقت دارند در محاسبات استفاده خواهند شد. .sp این جدول با یک سطر برای هر گفتگو ارائه می‌شود و تعداد بسته‌ها/بایت‌ها را در هر جهت و همچنین تعداد کل بسته‌ها/بایت‌ها را نمایش می‌دهد. به‌طور پیش‌فرض، جدول بر اساس تعداد کل بسته‌ها مرتب می‌شود. .sp این جدول‌ها را همچنین می‌توان در زمان اجرا با انتخاب نوع گفتگوی مناسب از منوی «Tools/Statistics/Conversation List/» ایجاد کرد. .RE .sp \fB\-z\fP dcerpc,srt,\fIname\-or\-uuid\fP,\fImajor\fP.\fIminor\fP[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ سرویس) فراخوانی/پاسخ برای رابط DCERPC با نام \fIname\fP یا شناسهٔ \fIuuid\fP، نسخهٔ \fImajor\fP.\fIminor\fP. داده‌های جمع‌آوری‌شده شامل تعداد فراخوانی‌ها برای هر رویه، MinSRT، MaxSRT و AvgSRT است. نام رابط (\fIname\fP) و \fIuuid\fP به بزرگی و کوچکی حروف حساس نیستند. .sp مثال: دستور \fB\-z dcerpc,srt,12345778\-1234\-abcd\-ef00\-0123456789ac,1.0\fP داده‌ها را برای رابط CIFS SAMR جمع‌آوری خواهد کرد. .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp اگر \fIfilter\fP اختیاری مشخص شود، آمارها تنها برای فراخوانی‌هایی محاسبه می‌شوند که با آن فیلتر مطابقت داشته باشند. .sp مثال: دستور \fB\-z dcerpc,srt,12345778\-1234\-abcd\-ef00\-0123456789ac,1.0,ip.addr==1.2.3.4\fP آمارهای SRT پروتکل SAMR را برای یک میزبان مشخص جمع‌آوری می‌کند. .RE .sp \fB\-z\fP dhcp,stat[,\fIfilter\fP] .RS 4 نمایش آمارهای DHCP (BOOTP). .RE .sp \fB\-z\fP expert .RS 4 نمایش اطلاعات کارشناسی (expert information). .RE .sp \fB\-z\fP fc,srt[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ سرویس) فراخوانی/پاسخ برای FC. داده‌های جمع‌آوری‌شده شامل تعداد فراخوانی‌ها برای هر دستور Fibre Channel، و همچنین MinSRT، MaxSRT و AvgSRT است. .sp مثال: \fB\-z fc,srt\fP زمان پاسخ سرویس را به‌عنوان اختلاف زمانی بین نخستین بستهٔ تبادل و آخرین بستهٔ تبادل محاسبه خواهد کرد. .sp داده‌ها به‌صورت جدول‌های جداگانه برای تمام دستورهای عادی FC ارائه خواهند شد؛ تنها دستورهایی که در داده‌های ضبط‌شده دیده شوند آمارشان نمایش داده می‌شود. .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp اگر \fIfilter\fP اختیاری مشخص شود، آمارها تنها برای فراخوانی‌هایی محاسبه می‌شوند که با آن فیلتر مطابقت داشته باشند. .sp مثال: دستور \fB\-z "fc,srt,fc.id==01.02.03"\fP آمار را تنها برای بسته‌های FC مبادله‌شده توسط میزبان با نشانی FC به شمارهٔ 01.02.03 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP h225,counter[\fI,filter\fP] .RS 4 .sp شمارش پیام‌های ITU\-T H.225 و دلایل آن‌ها. در ستون اول، فهرستی از پیام‌های H.225 و دلایل پیام H.225 که در فایل ضبط کنونی رخ داده‌اند نمایش می‌یابد. تعداد رخدادهای هر پیام یا دلیل در ستون دوم نشان داده می‌شود. .sp مثال: \fB\-z h225,counter\fP .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp اگر \fIfilter\fP اختیاری مشخص شود، آمارها تنها برای فراخوانی‌هایی محاسبه می‌شوند که با آن فیلتر مطابقت داشته باشند. .sp مثال: دستور \fB\-z "h225,counter,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های H.225 مبادله‌شده توسط میزبان با نشانی IP به شمارهٔ 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP h225,srt[\fI,filter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ سرویس) درخواست/پاسخ برای ITU\-T H.225 RAS. داده‌های جمع‌آوری‌شده شامل تعداد فراخوانی‌های هر نوع پیام ITU\-T H.225 RAS، کمترین زمان پاسخ (Minimum SRT)، بیشترین زمان پاسخ (Maximum SRT)، میانگین زمان پاسخ (Average SRT)، حداقل در بسته (Minimum in Packet) و حداکثر در بسته (Maximum in Packet) است. همچنین تعداد درخواست‌های باز (درخواست‌های بدون پاسخ)، پاسخ‌های دور انداخته‌شده (پاسخ‌های بدون درخواست منطبق) و پیام‌های تکراری را نمایش می‌دهد. .sp مثال: \fB\-z h225,srt\fP .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp اگر \fIfilter\fP اختیاری مشخص شود، آمارها تنها برای فراخوانی‌هایی محاسبه می‌شوند که با آن فیلتر مطابقت داشته باشند. .sp مثال: دستور \fB\-z "h225,srt,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های ITU\-T H.225 RAS مبادله‌شده توسط میزبان با نشانی IP به شمارهٔ 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP io,stat .RS 4 .sp جمع‌آوری آمارهای بسته/بایت برای ترافیک ضبط‌شده در بازه‌های زمانی ۱ ثانیه‌ای. این گزینه پنجره‌ای با حداکثر ۵ نمودار رنگی باز می‌کند که در آن آمارهای تعداد بسته‌ها در ثانیه یا تعداد بایت‌ها در ثانیه قابل محاسبه و نمایش هستند. .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp این پنجرهٔ نمودار را همچنین می‌توان از طریق آیتم منوی Analyze:Statistics:Traffic:IO\-Stat باز کرد. .RE .sp \fB\-z\fP ldap,srt[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ سرویس) فراخوانی/پاسخ برای LDAP. داده‌های جمع‌آوری‌شده شامل تعداد فراخوانی‌ها برای هر دستور پیاده‌سازی‌شدهٔ LDAP، و همچنین MinSRT، MaxSRT و AvgSRT است. .sp مثال: \fB\-z ldap,srt\fP زمان پاسخ سرویس را به‌عنوان اختلاف زمانی بین درخواست و پاسخ محاسبه خواهد کرد. .sp داده‌ها به‌صورت جدول‌های جداگانه برای تمام دستورهای پیاده‌سازی‌شدهٔ LDAP ارائه خواهند شد؛ تنها دستورهایی که در ترافیک ضبط‌شده دیده شوند آمارشان نمایش داده می‌شود. .sp این گزینه را می‌توان چندین بار در خط فرمان استفاده کرد. .sp اگر \fIfilter\fP اختیاری مشخص شود، آمارها تنها برای فراخوانی‌هایی محاسبه می‌شوند که با آن فیلتر مطابقت داشته باشند. .sp مثال: استفاده از \fB\-z "ldap,srt,ip.addr==10.1.1.1"\fP آمار را تنها برای بسته‌های LDAP مبادله‌شده توسط میزبان با نشانی IP به شمارهٔ 10.1.1.1 جمع‌آوری می‌کند..sp تنها دستورات LDAP که در حال حاضر پیاده‌سازی شده‌اند و آمار آن‌ها در دسترس خواهد بود عبارتند از: BIND SEARCH MODIFY ADD DELETE MODRDN COMPARE EXTENDED .RE .sp \fB\-z\fP megaco,srt[\fI,filter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ‌دهی به سرویس یا Service Response Time) درخواست/پاسخ برای MEGACO. (این مورد مشابه \fB\-z smb,srt\fP است). داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر دستور شناخته‌شدهٔ MEGACO، حداقل SRT، حداکثر SRT و میانگین SRT. .sp مثال: \fB\-z megaco,srt\fP .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z "megaco,srt,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های MEGACO مبادله‌شده توسط میزبان با نشانی IP برابر 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP mgcp,srt[\fI,filter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ‌دهی به سرویس یا Service Response Time) درخواست/پاسخ برای MGCP. (این مورد مشابه \fB\-z smb,srt\fP است). داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر نوع شناخته‌شدهٔ MGCP، حداقل SRT، حداکثر SRT و میانگین SRT. .sp مثال: \fB\-z mgcp,srt\fP .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z "mgcp,srt,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های MGCP مبادله‌شده توسط میزبان با نشانی IP برابر 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP mtp3,msus[,] .RS 4 نمایش آمار MSUهای MTP3. .RE .sp \fB\-z\fP multicast,stat[,] .RS 4 نمایش آمار جریان چندپخشی (multicast) پروتکل UDP. .RE .sp \fB\-z\fP rpc,programs .RS 4 .sp جمع‌آوری داده‌های SRT فراخوانی/پاسخ برای تمامی برنامه‌ها/نسخه‌های شناخته‌شدهٔ ONC\-RPC. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر پروتکل/نسخه، MinSRT،‏ MaxSRT و AvgSRT. .RE .sp \fB\-z\fP rpc,srt,\fIname\-or\-number\fP,\fIversion\fP[,] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ‌دهی به سرویس یا Service Response Time) فراخوانی/پاسخ برای برنامهٔ \fIname\fP/\fIversion\fP یا \fInumber\fP/\fIversion\fP. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر رویه، MinSRT،‏ MaxSRT و AvgSRT. نام برنامه (\fIname\fP) به بزرگی یا کوچکی حروف حساس نیست. .sp مثال: \fB\-z rpc,srt,100003,3\fP داده‌ها را برای NFS v3 جمع‌آوری خواهد کرد. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z rpc,srt,nfs,3,nfs.fh.hash==0x12345678\fP آمار SRT پروتکل NFS v3 را برای فایلی مشخص جمع‌آوری می‌کند. .RE .sp \fB\-z\fP scsi,srt,\fIcmdset\fP[,] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ‌دهی به سرویس یا Service Response Time) فراخوانی/پاسخ برای مجموعه دستورات SCSI با شناسهٔ . .sp مجموعه دستورات عبارتند از 0:SBC و 1:SSC و 5:MMC .sp داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر رویه، MinSRT،‏ MaxSRT و AvgSRT. .sp مثال: \fB\-z scsi,srt,0\fP داده‌ها را برای دستورات بلوکی اسکازی (SCSI BLOCK COMMANDS یا SBC) جمع‌آوری خواهد کرد. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z scsi,srt,0,ip.addr==1.2.3.4\fP آمار SRT دستورات SCSI SBC را برای میزبان مشخص iscsi/ifcp/fcip جمع‌آوری خواهد کرد. .RE .sp \fB\-z\fP sip,stat[\fI,filter\fP] .RS 4 .sp این گزینه شمارنده‌ای را برای پیام‌های SIP فعال می‌کند. شما تعداد رخدادهای هر متد SIP و هر کد وضعیت SIP را دریافت خواهید کرد. علاوه بر این، تعداد پیام‌های SIP بازفرستاده‌شده (تنها برای SIP بر روی UDP) را نیز دریافت خواهید کرد. .sp مثال: \fB\-z sip,stat\fP .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z "sip,stat,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های SIP مبادله‌شده توسط میزبان با نشانی IP برابر 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP smb,srt[,\fIfilter\fP] .RS 4 .sp جمع‌آوری داده‌های SRT (زمان پاسخ‌دهی به سرویس یا Service Response Time) فراخوانی/پاسخ برای SMB. داده‌های جمع‌آوری‌شده عبارتند از تعداد فراخوانی‌ها برای هر دستور SMB،‏ MinSRT،‏ MaxSRT و AvgSRT. .sp مثال: \fB\-z smb,srt\fP .sp داده‌ها در قالب جدول‌های جداگانه برای تمامی دستورات عادی SMB، تمامی دستورات Transaction2 و تمامی دستورات NT Transaction ارائه خواهند شد. تنها دستوراتی که در جریان ضبط بسته دیده شوند، آمارشان نمایش داده خواهد شد. تنها دستور نخست در یک زنجیرهٔ دستورات xAndX در محاسبه لحاظ خواهد شد. بنابراین برای زنجیره‌های متداول SessionSetupAndX + TreeConnectAndX، تنها فراخوانی SessionSetupAndX در آمار لحاظ می‌شود. این یک نقص است که ممکن است در آینده برطرف گردد. .sp این گزینه می‌تواند چندین بار در خط فرمان استفاده شود. .sp اگر فیلتر اختیاری \fIfilter\fP مشخص شود، آمار تنها برای فراخوانی‌هایی محاسبه خواهد شد که با آن فیلتر مطابقت دارند. .sp مثال: \fB\-z "smb,srt,ip.addr==1.2.3.4"\fP آمار را تنها برای بسته‌های SMB مبادله‌شده توسط میزبان با نشانی IP برابر 1.2.3.4 جمع‌آوری می‌کند. .RE .sp \fB\-z\fP voip,calls .RS 4 .sp این گزینه پنجره‌ای را برای نمایش تماس‌های VoIP یافت‌شده در فایل ضبط بسته باز می‌کند. این پنجره همان پنجره‌ای است که با رفتن به منوی Statistics و انتخاب VoIP Calls نمایش داده می‌شود. .sp مثال: \fB\-z voip,calls\fP .RE .sp \fB\-z\fP wlan,stat[,] .RS 4 نمایش آمار شبکه و ایستگاه‌های IEEE 802.11. .RE .sp \fB\-z\fP wsp,stat[,] .RS 4 نمایش شمارنده‌های بسته‌های WSP. .RE.SH "گزینه‌های تجزیه (DISSECTION OPTIONS)" .sp \-d ==, .RS 4 .sp مشابه قابلیت \fBDecode As.\|.\|.\fP در Wireshark، این گزینه به شما امکان می‌دهد نحوهٔ تجزیهٔ یک نوع لایه را مشخص کنید. اگر نوع لایهٔ مورد نظر (برای مثال \fBtcp.port\fP یا \fBudp.port\fP برای شماره پورت TCP یا UDP) مقدار انتخاب‌گر مشخص‌شده را داشته باشد، بسته‌ها باید به عنوان پروتکل مشخص‌شده تجزیه شوند. .sp .B مثال ۱. Decode As Port .br .RS 4 .sp دستور \fB\-d tcp.port==8888,http\fP هر ترافیکی را که روی پورت TCP شمارهٔ 8888 در جریان است به عنوان HTTP رمزگشایی و تجزیه می‌کند. .RE .sp برای مثال‌های بیشتر صفحهٔ راهنمای tshark(1) را ببینید. .RE .sp \-\-disable\-all\-protocols .RS 4 غیرفعال‌سازی تجزیهٔ تمامی پروتکل‌ها. .RE .sp \-\-disable\-protocol [,,.\|.\|.] .RS 4 غیرفعال‌سازی تجزیهٔ proto_name. از مقدار \fBALL\fP برای proto_name استفاده کنید تا فهرست پروتکل‌های فعالِ پیش‌فرض نمایهٔ انتخابی نادیده گرفته شده و موقتاً تمامی پروتکل‌ها غیرفعال شوند. .RE .sp \-\-disable\-heuristic .RS 4 غیرفعال‌سازی تجزیهٔ پروتکل اکتشافی (heuristic). .RE .sp \-\-enable\-protocol [,,.\|.\|.] .RS 4 .sp فعال‌سازی تجزیهٔ proto_name. از مقدار \fBALL\fP برای proto_name استفاده کنید تا فهرست پروتکل‌های غیرفعالِ پیش‌فرض نمایهٔ انتخابی لغو شده و موقتاً تمامی پروتکل‌هایی که به‌طور پیش‌فرض فعال هستند، فعال شوند. .sp اگر پروتکلی هم در \fB\-\-disable\-protocol\fP و هم در \fB\-\-enable\-protocol\fP قید شده باشد، آن پروتکل فعال خواهد شد. این ویژگی به شما امکان می‌دهد موقتاً تمامی پروتکل‌ها را به جز فهرستی از استثناها غیرفعال کنید. مثال: \fB\-\-disable\-protocol ALL \-\-enable\-protocol eth,ip\fP .RE .sp \-\-enable\-heuristic .RS 4 فعال‌سازی تجزیهٔ پروتکل اکتشافی (heuristic). .RE .sp \-K .RS 4 .sp بارگذاری کلیدهای رمزنگاری Kerberos از فایل keytab مشخص‌شده. از این گزینه می‌توان چندین بار برای بارگذاری کلیدها از چندین فایل مختلف استفاده کرد. .sp مثال: \fB\-K krb5.keytab\fP .RE .sp \-n .RS 4 غیرفعال‌سازی تفکیک نام اشیای شبکه (مانند نام میزبان و نام پورت‌های TCP و UDP)؛ گزینهٔ \fB\-N\fP ممکن است این گزینه را لغو کند. .RE .sp \-N .RS 4 .sp فعال‌سازی تفکیک نام تنها برای انواع خاصی از آدرس‌ها و شماره پورت‌ها، در حالی که تفکیک نام برای سایر انواع آدرس‌ها و شماره پورت‌ها خاموش است. این گزینه (به همراه \fB\-n\fP) می‌تواند چندین بار مشخص شود؛ آخرین مقدار داده‌شده مقادیر قبلی را نادیده می‌گیرد. این گزینه و \fB\-n\fP گزینه‌های تنظیم‌شده در ترجیحات (preferences) را، از جمله مواردی که با \fB\-o\fP تعیین شده‌اند، لغو می‌کنند. اگر هیچ‌یک از گزینه‌های \fB\-N\fP و \fB\-n\fP وجود نداشته باشند، مقادیر پیش‌فرض ترجیحات استفاده می‌شوند که به‌طور پیش‌فرض \fB\-N dmN\fP است. .sp آرگومان رشته‌ای است که می‌تواند شامل این حروف باشد: .sp \fBd\fP برای فعال‌سازی تفکیک نام از بسته‌های ضبط‌شدهٔ DNS .sp \fBg\fP برای فعال‌سازی جستجوی اطلاعات موقعیت جغرافیایی آدرس IP از پایگاه‌های دادهٔ پیکربندی‌شدهٔ MaxMind .sp \fBm\fP برای فعال‌سازی تفکیک آدرس MAC .sp \fBn\fP برای فعال‌سازی تفکیک آدرس شبکه .sp \fBN\fP برای فعال‌سازی استفاده از تفکیک‌کننده‌های خارجی (مانند DNS) جهت تفکیک آدرس شبکه؛ بدون فعال بودن \fBn\fP اثری ندارد. .sp \fBs\fP برای فعال‌سازی تفکیک آدرس با استفاده از اطلاعات SNI موجود در بسته‌های دست‌تکانی (handshake) ضبط‌شده .sp \fBt\fP برای فعال‌سازی تفکیک شماره پورت لایهٔ انتقال .sp \fBv\fP برای فعال‌سازی تفکیک شناسه‌های VLAN به نام‌ها .RE .sp \-\-only\-protocols .RS 4 تنها فعال‌سازی تجزیهٔ این پروتکل‌ها که با کاما جدا شده‌اند. همهٔ پروتکل‌های دیگر غیرفعال می‌شوند. .RE .sp \-t (a|ad|adoy|d|dd|e|r|rc|u|ud|udoy)[.[N]]|.[N] .RS 4 .sp تنظیم قالب برچسب زمانی بسته (timestamp) که در ستون زمان پیش‌فرض نمایش داده می‌شود. قالب می‌تواند یکی از موارد زیر باشد: .sp \fBa\fP زمان مطلق: زمان مطلق، به عنوان زمان محلی در منطقهٔ زمانی شما؛ زمان واقعی ضبط بسته بدون نمایش تاریخ است .sp \fBad\fP زمان مطلق با تاریخ: تاریخ مطلق به‌صورت YYYY\-MM\-DD و زمان به‌صورت زمان محلی در منطقهٔ زمانی شما؛ زمان و تاریخ واقعی ضبط بسته است .sp \fBadoy\fP زمان مطلق با تاریخ بر اساس روز سال: تاریخ مطلق به‌صورت YYYY/DOY و زمان به‌صورت زمان محلی در منطقهٔ زمانی شما؛ زمان و تاریخ واقعی ضبط بسته است .sp \fBd\fP دلتا: زمان دلتا، زمان سپری‌شده از هنگام ضبط بستهٔ قبلی است .sp \fBdd\fP دلتای نمایشی (delta_displayed): زمان سپری‌شده از هنگام ضبط بستهٔ نمایش‌داده‌شدهٔ قبلی است .sp \fBe\fP مبدأ زمانی (epoch): زمان بر حسب ثانیه از مبدأ زمانی یونیکس (Jan 1, 1970 00:00:00) .sp \fBr\fP نسبی: زمان نسبی، زمان سپری‌شده بین بستهٔ اول و بستهٔ فعلی است .sp \fBrc\fP نسبی نسبت به شروع ضبط: زمان سپری‌شده بین آغاز ضبط و بستهٔ فعلی است .sp \fBu\fP زمان UTC: زمان مطلق به‌صورت UTC با پسوند "Z"؛ زمان واقعی ضبط بسته بدون نمایش تاریخ است .sp \fBud\fP زمان UTC با تاریخ: تاریخ مطلق به‌صورت YYYY\-MM\-DD و زمان به‌صورت UTC با پسوند "Z"؛ زمان و تاریخ واقعی ضبط بسته است .sp \fBudoy\fP زمان UTC با تاریخ بر اساس روز سال: تاریخ مطلق به‌صورت YYYY/DOY و زمان به‌صورت UTC با پسوند "Z"؛ زمان و تاریخ واقعی ضبط بسته است .sp \fB.[N]\fP تنظیم دقت: N تعداد ارقام اعشار است (۰ تا ۹). در صورت استفاده از "." بدون N، دقت به‌طور خودکار از ردگیری (trace) تعیین می‌شود. .sp قالب پیش‌فرض، نسبی با دقت مبتنی بر قالب ضبط است. .RE .sp \-u .RS 4 .sp مشخص می‌کند که قالب‌های برچسب زمانی بسته در \fB\-t\fP که زمان‌های نسبی هستند (یعنی relative،‏ delta و delta_displayed) چگونه نمایش داده شوند. گزینه‌های معتبر عبارتند از: .sp \fBs\fP برای ثانیه .sp \fBhms\fP برای ساعت، دقیقه و ثانیه .sp قالب پیش‌فرض ثانیه است. .RE.SH "گزینه‌های عیب‌یابی (DIAGNOSTIC OPTIONS)" .sp \-\-log\-level .RS 4 تنظیم سطح فعال گزارش‌گیری (log level). سطوح پشتیبانی‌شده از کمترین به بیشترین عبارت‌اند از «noisy»، «debug»، «info»، «message»، «warning»، «critical» و «error». پیام‌ها در هر سطح و سطوح بالاتر چاپ خواهند شد؛ برای نمونه «warning» پیام‌های «warning»، «critical» و «error» را چاپ می‌کند و «noisy» تمام پیام‌ها را چاپ می‌نماید. سطوح به بزرگی یا کوچکی حروف حساس نیستند. .RE .sp \-\-log\-fatal .RS 4 متوقف کردن برنامه در صورتی که هر پیامی در سطح مشخص‌شده یا بالاتر ثبت شود. برای نمونه، «warning» با ثبت هر یک از پیام‌های «warning»، «critical» یا «error» برنامه را لغو (abort) می‌کند. .RE .sp \-\-log\-fatal\-count .RS 4 تعداد پیام‌های گزارش مرگبار (fatal) که می‌توانند پیش از متوقف شدن برنامه ثبت شوند. .RE .sp \-\-log\-domains .RS 4 تنها چاپ پیام‌ها برای دامنه‌های گزارش‌گیری (log domains) مشخص‌شده؛ مانند "GUI,Epan,sshdump". فهرست دامنه‌ها باید با کاما از هم جدا شوند. می‌تواند با «!» به‌عنوان نویسه اول نفی شود (تطابق را معکوس می‌کند). .RE .sp \-\-log\-debug .RS 4 وادار کردن دامنه‌های مشخص‌شده به گزارش‌گیری در سطح «debug». فهرست دامنه‌ها باید با کاما از هم جدا شوند. می‌تواند با «!» به‌عنوان نویسه اول نفی شود (تطابق را معکوس می‌کند). .RE .sp \-\-log\-noisy .RS 4 وادار کردن دامنه‌های مشخص‌شده به گزارش‌گیری در سطح «noisy». فهرست دامنه‌ها باید با کاما از هم جدا شوند. می‌تواند با «!» به‌عنوان نویسه اول نفی شود (تطابق را معکوس می‌کند). .RE .sp \-\-log\-fatal\-domains .RS 4 متوقف کردن برنامه در صورتی که هر پیامی برای دامنه‌های گزارش مشخص‌شده ثبت شود. فهرست دامنه‌ها باید با کاما از هم جدا شوند. .RE .sp \-\-log\-file .RS 4 نوشتن پیام‌های گزارش و خروجی stderr در فایل مشخص‌شده. .RE .SH "رابط کاربری (INTERFACE)" .sp سند \c .URL "https://www.wireshark.org/docs/wsug_html_chunked" "راهنمای کاربری Wireshark (Wireshark User\(cqs Guide)" "" شامل توضیحاتی دربارهٔ رابط کاربری است. این راهنما همچنین ممکن است به‌صورت محلی همراه با Wireshark نصب شده باشد. فشردن کلید F1 تلاش می‌کند در صورت موجود بودن، راهنما را به‌صورت محلی باز کند، و در غیر این صورت به راهنمای برخط رجوع خواهد کرد. .SH "ساختار فیلتر ضبط (CAPTURE FILTER SYNTAX)" .sp صفحهٔ راهنمای pcap\-filter(7) یا در صورت عدم وجود آن، tcpdump(8)، یا در صورت عدم وجود آن، \c .URL "https://wiki.wireshark.org/CaptureFilters" "" "" را ببینید. .SH "ساختار فیلتر نمایش (DISPLAY FILTER SYNTAX)" .sp برای جدول کاملی از پروتکل‌ها و فیلدهای پروتکلی که در \fBWireshark\fP قابل فیلتر شدن هستند، صفحهٔ راهنمای wireshark\-filter(4) را ببینید. .SH "فایل‌ها (FILES)" .sp این فایل‌ها شامل تنظیمات پیکربندی گوناگون \fBWireshark\fP هستند. .sp ترجیحات (Preferences) .RS 4 .sp فایل‌های \fIpreferences\fP شامل تنظیمات ترجیحات سراسری (در سطح سیستم) و شخصی هستند. اگر فایل ترجیحات سراسری سیستم وجود داشته باشد، ابتدا خوانده می‌شود و تنظیمات پیش‌فرض را بازنویسی می‌کند. اگر فایل ترجیحات شخصی وجود داشته باشد، در مرحله بعد خوانده می‌شود و هر مقدار قبلی را بازنویسی می‌کند. نکته: اگر از پرچم خط فرمان \fB\-o\fP (احتمالاً بیش از یک بار) استفاده شود، به نوبه خود مقادیر فایل‌های ترجیحات را بازنویسی خواهد کرد. .sp تنظیمات ترجیحات به صورت \fIprefname:value\fP هستند، یک مورد در هر خط، که در آن \fIprefname\fP نام ترجیح و \fIvalue\fP مقداری است که باید به آن اختصاص داده شود؛ فاصله (white space) میان \fB:\fP و \fIvalue\fP مجاز است. یک تنظیم ترجیح می‌تواند با دندانه‌دار کردن خطوط ادامه با نویسه‌های فاصله، در خطوط بعدی امتداد یابد. نویسه \fB#\fP آغازگر یادداشتی است که تا انتهای خط ادامه می‌یابد: .sp .if n .RS 4 .nf .fam C # Vertical scrollbars should be on right side? # TRUE or FALSE (case\-insensitive). gui.scrollbar_on_right: TRUE .fam .fi .if n .RE .sp فایل ترجیحات سراسری در دایرکتوری \fIwireshark\fP زیر دایرکتوری فرعی \fIshare\fP در دایرکتوری اصلی نصب جستجو می‌شود. در macOS، این مسیر معمولاً \fI/Application/Wireshark.app/Contents/Resources/share\fP خواهد بود؛ در سایر سیستم‌های سازگار با UNIX، مانند Linux، \(rs*BSD، Solaris و AIX، این مسیر برای بسته‌های نصب‌شده سیستمی معمولاً \fI/usr/share/wireshark/preferences\fP و برای بسته‌های نصب‌شده محلی \fI/usr/local/share/wireshark/preferences\fP خواهد بود؛ در Windows، معمولاً \fIC:\(rsProgram Files\(rsWireshark\(rspreferences\fP است. .sp در سیستم‌های سازگار با UNIX، فایل ترجیحات شخصی در \fI$XDG_CONFIG_HOME/wireshark/preferences\fP جستجو می‌شود (یا اگر \fI$XDG_CONFIG_HOME/wireshark\fP وجود نداشته باشد در حالی که \fI$HOME/.wireshark\fP موجود است، در \fI$HOME/.wireshark/preferences\fP)؛ این مسیر معمولاً \fI$HOME/.config/wireshark/preferences\fP است. در Windows، فایل ترجیحات شخصی در \fI%APPDATA%\(rsWireshark\(rspreferences\fP (یا اگر %APPDATA% تعریف نشده باشد، در \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\(rspreferences\fP) جستجو می‌شود. .sp نکته: هر زمان که ترجیحات با استفاده از دکمه \fISave\fP در کادر محاوره‌ای \fIEdit:Preferences\fP ذخیره شوند، فایل ترجیحات شخصی شما با تنظیمات جدید بازنویسی خواهد شد و هرگونه یادداشت و تنظیمات ناشناخته/منسوخی که در فایل وجود داشته‌اند، از بین می‌روند. .RE .sp موارد اخیر (Recent) .RS 4 .sp فایل \fIrecent\fP شامل تنظیمات شخصی (عمدتاً مربوط به واسط گرافیکی - GUI) مانند اندازه فعلی پنجره \fBWireshark\fP است. این فایل هنگام خروج از برنامه ذخیره شده و در زمان شروع برنامه به‌طور خودکار خوانده می‌شود. نکته: پرچم خط فرمان \fB\-o\fP ممکن است برای بازنویسی تنظیمات این فایل استفاده شود. .sp تنظیمات در این فایل قالبی مشابه با فایل‌های \fIpreferences\fP دارند، و از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌شود. .sp نکته: هر زمان که Wireshark بسته شود، فایل recent شما با تنظیمات جدید بازنویسی خواهد شد و هرگونه یادداشت و تنظیمات ناشناخته/منسوخی که در فایل وجود داشته‌اند، از بین خواهند رفت. .RE .sp پروتکل‌های غیرفعال (فعال) (Disabled (Enabled) Protocols) .RS 4 .sp فایل‌های \fIdisabled_protos\fP شامل فهرست‌های سراسری و شخصی از پروتکل‌هایی هستند که غیرفعال شده‌اند، به‌طوری که تشریح‌کننده‌های (dissectors) آن‌ها هرگز فراخوانی نمی‌شوند. این فایل‌ها شامل نام پروتکل‌ها در هر خط هستند؛ به‌گونه‌ای که نام پروتکل همان نامی است که در فیلتر نمایش برای آن پروتکل به کار می‌رود: .sp .if n .RS 4 .nf .fam C http tcp\& # a comment .fam .fi .if n .RE .sp اگر پروتکلی در فایل سراسری \fIdisabled_protos\fP فهرست شده باشد، توسط کاربر قابل فعال‌سازی نیست. بنابراین در کادر محاوره‌ای \fIAnalyze::Enabled Protocols\fP نمایش داده نمی‌شود. .sp فایل سراسری \fIdisabled_protos\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIdisabled_protos\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. .sp فایل‌های \fIdisabled_protos\fP تنها پروتکل‌هایی را فهرست می‌کنند که به‌طور پیش‌فرض فعال بوده‌اند اما غیرفعال شده‌اند؛ پروتکل‌هایی که به‌طور پیش‌فرض غیرفعال هستند (مانند برخی postdissectorها) فهرست نمی‌شوند. فایل‌های مشابه \fIenabled_protos\fP برای پروتکل‌هایی که به‌طور پیش‌فرض غیرفعال هستند اما فعال شده‌اند وجود دارد. .sp نکته: هر زمان که فهرست پروتکل‌های غیرفعال با استفاده از دکمه \fISave\fP در کادر محاوره‌ای \fIAnalyze:Enabled Protocols\fP ذخیره شود، فایل شخصی پروتکل‌های غیرفعال شما با تنظیمات جدید بازنویسی خواهد شد و هرگونه یادداشتی که در فایل وجود داشته از بین می‌رود. .RE .sp تشریح‌کننده‌های اکتشافی (Heuristic Dissectors) .RS 4 .sp فایل‌های \fIheuristic_protos\fP شامل فهرست‌های سراسری و شخصی از تشریح‌کننده‌های اکتشافی (heuristic dissectors) هستند و وضعیت فعال یا غیرفعال بودن آن‌ها را مشخص می‌کنند. این فایل‌ها شامل نام‌های کوتاه یکتای تشریح‌کننده‌های اکتشافی، در هر خط یک مورد هستند که پس از آن یک ویرگول، و 0 برای غیرفعال یا 1 برای فعال قرار می‌گیرد:.sp .if n .RS 4 .nf .fam C quic,1 rtcp_stun,1 rtcp_udp,1 rtp_stun,0 rtp_udp,0 tls_tcp,1 .fam .fi .if n .RE .sp فایل سراسری \fIheuristic_protos\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIheuristic_protos\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. .RE .sp تفکیک نام (hosts) .RS 4 .sp مدخل‌های موجود در فایل‌های \fIhosts\fP در دایرکتوری ترجیحات سراسری و شخصی، پیش از هرگونه تلاش دیگری برای تفکیک نشانی‌های IPv4 و IPv6، برای تفکیک آنها به کار می‌روند. این فایل از نحو استاندارد فایل \fIhosts\fP پیروی می‌کند؛ هر خط شامل یک نشانی IP و نام است که با نویسهٔ خالی (whitespace) از یکدیگر جدا شده‌اند. در صورت وجود، فایل شخصی \fIhosts\fP بر فایل موجود در دایرکتوری سراسری اولویت دارد. .sp تفکیک نام فیلتر ضبط (capture filter) توسط libpcap در سیستم‌های سازگار با UNIX مانند Linux،‏ macOS،‏ \(rs*BSD،‏ Solaris و AIX، و توسط Npcap در Windows مدیریت می‌شود. بدین ترتیب، برای تفکیک نام فیلتر ضبط، به فایل شخصی \fIhosts\fP در Wireshark رجوع نخواهد شد. .RE .sp تفکیک نام (subnets) .RS 4 .sp اگر یک نشانی IPv4 از طریق تفکیک نام قابل ترجمه نباشد (هیچ تطابق دقیقی یافت نشود)، آن‌گاه یک تطابق جزئی از طریق فایل \fIsubnets\fP امتحان می‌شود. در صورت وجود، هر دو فایل سراسری \fIsubnets\fP و فایل‌های شخصی \fIsubnets\fP مورد استفاده قرار می‌گیرند. .sp هر خط از این فایل شامل یک نشانی IPv4، طول ماسک زیرشبکه که تنها با یک / جدا شده است، و یک نام جدا شده با نویسهٔ خالی است. در حالی که نشانی باید یک نشانی کامل IPv4 باشد، هر مقداری فراتر از طول ماسک در ادامه نادیده گرفته می‌شود. .sp یک نمونه: .sp # Comments must be prepended by the # sign! 192.168.0.0/24 ws_test_network .sp یک نام تا حدی تطبیق‌یافته به‌صورت "subnet\-name.remaining\-address" چاپ خواهد شد. برای مثال، "192.168.0.1" تحت زیرشبکهٔ بالا به‌صورت "ws_test_network.1" چاپ می‌شود؛ اگر طول ماسک بالا به‌جای 24 برابر با 16 بود، نشانی چاپ‌شده "ws_test_network.0.1" می‌بود. .RE .sp تفکیک نام (ethers) .RS 4 .sp فایل‌های \fIethers\fP برای مرتبط ساختن نشانی‌های سخت‌افزاری ۶ بایتی EUI\-48 و ۸ بایتی EUI\-64 با نام‌ها بررسی می‌شوند. ابتدا فایل شخصی \fIethers\fP بررسی می‌شود و اگر نشانی در آنجا پیدا نشود، فایل سراسری \fIethers\fP بررسی خواهد شد. .sp این فایل ساختاری مشابه با ساختار تعریف‌شده توسط ethers(5) در برخی سیستم‌های شبه‌یونیکس دارد. هر خط شامل یک نشانی سخت‌افزاری و نام است که با نویسهٔ خالی (فاصله‌ها یا تب‌ها) از یکدیگر جدا شده‌اند. ارقام هگزادسیمال نشانی سخت‌افزاری با دونقطه (:)، خط تیره (\-) یا نقطه (.) از هم جدا می‌شوند. در یک نشانی باید از نویسهٔ جداکنندهٔ یکسانی استفاده شود. نویسهٔ \f(CR#\fP نشان‌دهندهٔ توضیحی است که تا انتهای خط ادامه دارد. هر دو نشانی ۶ بایتی MAC و ۸ بایتی EUI\-64 پشتیبانی می‌شوند. چهار خط زیر خطوط معتبری از یک فایل \fIethers\fP هستند: .sp .if n .RS 4 .nf .fam C ff:ff:ff:ff:ff:ff\& Broadcast c0\-00\-ff\-ff\-ff\-ff\& TR_broadcast 00.00.00.00.00.00\& Zero_broadcast 00:00:00:00:00:00:00:00\& EUI64_zero_broadcast .fam .fi .if n .RE .sp توجه داشته باشید که این فایل تنوع قالب بیشتری را نسبت به فایل تعریف‌شده توسط ethers(5) در بیشتر سیستم‌های UN*X می‌پذیرد. .sp فایل سراسری \fIethers\fP در سیستم‌های سازگار با UNIX مانند Linux،‏ macOS،‏ \(rs*BSD،‏ Solaris و AIX در دایرکتوری \fI/etc\fP، و در سیستم‌های Windows در دایرکتوری اصلی نصب (برای مثال، \fIC:\(rsProgram Files\(rsWireshark\fP) جستجو می‌شود. .sp فایل شخصی \fIethers\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .sp تفکیک نام در فیلتر ضبط توسط libpcap در سیستم‌های سازگار با UNIX و Npcap در Windows مدیریت می‌شود. بدین ترتیب، برای تفکیک نام فیلتر ضبط، به فایل شخصی \fIethers\fP در Wireshark رجوع نخواهد شد. .RE .sp تفکیک نام (manuf) .RS 4 .sp فایل \fImanuf\fP برای تطبیق بخش ۳ بایتی سازنده (vendor) از یک نشانی سخت‌افزاری ۶ بایتی با نام سازنده به کار می‌رود؛ این فایل همچنین می‌تواند حاوی نشانی‌های شناخته‌شدهٔ MAC و محدوده‌های نشانی مشخص‌شده با یک ماسک شبکه (netmask) باشد. قالب این فایل شبیه فایل‌های \fIethers\fP است، با این تفاوت که ورودی‌هایی مانند: .sp .if n .RS 4 .nf .fam C 00:00:0C\& Cisco\& Cisco Systems, Inc .fam .fi .if n .RE .sp می‌تواند ارائه شود، همراه با OUI سه‌بایتی و هر دو نام اختصاری و کامل یک سازنده، و مدخل‌هایی مانند: .sp .if n .RS 4 .nf .fam C 00\-00\-0C\-07\-AC/40\& All\-HSRP\-routers .fam .fi .if n .RE .sp می‌تواند مشخص شود، همراه با یک نشانی MAC و ماسکی که مشخص می‌کند چه تعداد بیت از نشانی باید مطابقت داشته باشد. برای مثال مدخل بالا دارای ۴۰ بیت پرارزش یا ۵ بایت است و با نشانی‌های بین 00\-00\-0C\-07\-AC\-00 تا 00\-00\-0C\-07\-AC\-FF مطابقت دارد. نیازی نیست که ماسک حتماً مضربی از ۸ باشد. .sp یک فایل سراسری \fImanuf\fP در همان دایرکتوری فایل ترجیحات سراسری، و یک فایل شخصی \fImanuf\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .sp در نسخه‌های پیشین Wireshark، اطلاعات رسمی از IEEE Registration Authority در این قالب به عنوان فایل سراسری \fImanuf\fP توزیع می‌شد. اکنون این اطلاعات برای افزایش سرعت راه‌اندازی برنامه درون آن کامپایل شده است، اما اطلاعات داخلی را می‌توان با دستور \fBtshark \-G manuf\fP در این قالب استخراج کرد. .sp علاوه بر فایل \fImanuf\fP، فایل دیگری با همین قالب به نام \fIwka\fP در دایرکتوری سراسری جستجو می‌شود. این فایل همراه با Wireshark توزیع شده و شامل داده‌هایی دربارهٔ نشانی‌های شناخته‌شدهٔ MAC و محدوده‌های نشانی است که از منابع گوناگون غیر از IEEE اما معتبر جمع‌آوری شده‌اند. .RE .sp تفکیک نام (services) .RS 4 .sp فایل \fIservices\fP برای ترجمهٔ شماره درگاه‌ها به نام‌ها به کار می‌رود. در صورت وجود، هر دو فایل سراسری \fIservices\fP و فایل‌های شخصی \fIservices\fP مورد استفاده قرار می‌گیرند. .sp این فایل از نحو استاندارد فایل \fIservices\fP پیروی می‌کند؛ هر خط شامل یک نام (سرویس) و یک شناسهٔ انتقال است که با نویسهٔ خالی جدا شده‌اند. شناسهٔ انتقال شامل یک شماره درگاه و یک نام پروتکل انتقال (معمولاً tcp،‏ udp یا sctp) است که با یک / جدا می‌شوند. .sp یک نمونه: .sp mydns 5045/udp # My own Domain Name Server mydns 5045/tcp # My own Domain Name Server .sp در نسخه‌های پیشین Wireshark، اطلاعات رسمی از پایگاه IANA Registry در این قالب به عنوان فایل سراسری \fIservices\fP توزیع می‌شد. اکنون این اطلاعات برای تسریع در راه‌اندازی برنامه درون آن کامپایل شده است، اما اطلاعات داخلی را می‌توان با دستور \fBtshark \-G services\fP در این قالب استخراج کرد. .RE .sp تفکیک نام (ipxnets) .RS 4 .sp فایل‌های \fIipxnets\fP برای مرتبط ساختن شماره‌های شبکهٔ ۴ بایتی IPX با نام‌ها استفاده می‌شوند. ابتدا فایل سراسری \fIipxnets\fP بررسی می‌شود و اگر نشانی در آنجا پیدا نشود، فایل شخصی بررسی خواهد شد..sp قالب این فایل مشابه فایل \fIethers\fP است، با این تفاوت که هر نشانی به‌جای شش بایت، چهار بایت است. علاوه بر این، نشانی می‌تواند به‌جای چهار اکتت هگزادسیمال، به صورت یک عدد هگزادسیمال منفرد که در دنیای IPX معمول‌تر است نیز نمایش داده شود. برای نمونه، این چهار خط، خطوطی معتبر از یک فایل \fIipxnets\fP هستند: .sp .if n .RS 4 .nf .fam C C0.A8.2C.00\& HR c0\-a8\-1c\-00\& CEO 00:00:BE:EF\& IT_Server1 110f\& FileServer3 .fam .fi .if n .RE .sp فایل سراسری \fIipxnets\fP در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \(rs*BSD، Solaris و AIX در دایرکتوری \fI/etc\fP، و در سیستم‌های Windows در دایرکتوری اصلی نصب (برای نمونه، \fIC:\(rsProgram Files\(rsWireshark\fP) جستجو می‌شود. .sp فایل شخصی \fIipxnets\fP در همان دایرکتوری فایل ترجیحات شخصی جستجو می‌شود. .RE .sp تفکیک نام (ss7pcs) .RS 4 .sp فایل \fIss7pcs\fP برای ترجمه point codeهای SS7 به نام‌ها به کار می‌رود. این فایل از دایرکتوری پیکربندی شخصی خوانده می‌شود. .sp هر خط در این فایل از یک نشانگر شبکه تشکیل شده که پس از آن یک خط تیره، سپس یک point code در مبنای ده و یک نام گره که با فاصله خالی جدا شده‌اند قرار می‌گیرد. یک نمونه عبارت است از: .sp .if n .RS 4 .nf .fam C 2\-1234 MyPointCode1 .fam .fi .if n .RE .RE .sp تفکیک نام (vlans) .RS 4 .sp فایل \fIvlans\fP برای ترجمه شناسه برچسب‌های VLAN به نام‌ها به کار می‌رود. این فایل از دایرکتوری پیکربندی شخصی خوانده می‌شود. .sp هر خط در این فایل شامل یک شناسه برچسب VLAN است که با فاصله خالی از یک نام جدا شده است. برای نمونه: .sp .if n .RS 4 .nf .fam C 123\& Server\-Lan 2049\& HR\-Client\-LAN .fam .fi .if n .RE .RE .sp فیلترهای ضبط (Capture Filters) .RS 4 .sp فایل‌های \fIcfilters\fP شامل فیلترهای ضبط سراسری سیستم و شخصی هستند. هر خط شامل یک فیلتر است که با رشته نمایش‌یافته در کادر محاوره‌ای درون علامت نقل‌قول آغاز شده و به دنبال آن رشته خود فیلتر می‌آید: .sp .if n .RS 4 .nf .fam C "HTTP" port 80 "DCERPC" port 135 .fam .fi .if n .RE .sp فایل سراسری \fIcfilters\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIcfilters\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. این فایل از طریق کادر محاوره‌ای Capture:Capture Filters نوشته می‌شود. .sp اگر فایل سراسری \fIcfilters\fP وجود داشته باشد، تنها در صورتی استفاده می‌شود که فایل شخصی \fIcfilters\fP وجود نداشته باشد؛ فیلترهای ضبط سراسری و شخصی با یکدیگر ادغام نمی‌شوند. .RE .sp فیلترهای نمایش (Display Filters) .RS 4 .sp فایل‌های \fIdfilters\fP شامل فیلترهای نمایش سراسری سیستم و شخصی هستند. هر خط شامل یک فیلتر است که با رشته نمایش‌یافته در کادر محاوره‌ای درون علامت نقل‌قول آغاز شده و به دنبال آن رشته خود فیلتر می‌آید: .sp .if n .RS 4 .nf .fam C "HTTP" http "DCERPC" dcerpc .fam .fi .if n .RE .sp فایل سراسری \fIdfilters\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIdfilters\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. این فایل از طریق کادر محاوره‌ای Analyze:Display Filters نوشته می‌شود. .sp اگر فایل سراسری \fIdfilters\fP وجود داشته باشد، تنها در صورتی استفاده می‌شود که فایل شخصی \fIdfilters\fP وجود نداشته باشد؛ فیلترهای نمایش سراسری و شخصی با یکدیگر ادغام نمی‌شوند. .RE .sp ماکروهای فیلتر نمایش (Display Filter Macros) .RS 4 .sp فایل‌های \fIdmacros\fP شامل ماکروهای فیلتر نمایش سراسری سیستم و شخصی هستند. هر خط شامل یک فیلتر است که با رشته نمایش‌یافته در کادر محاوره‌ای درون علامت نقل‌قول آغاز شده و به دنبال آن عبارت خود ماکرو می‌آید: .sp .if n .RS 4 .nf .fam C "private_ipv6" ipv6 && $1 == fc00::/7 "private_ethernet" $1[0] & 0x0F == 2 "private_ipv4" $1 == 192.168.0.0/16 or $1 == 172.16.0.0/12 or $1 == 10.0.0.0/8 .fam .fi .if n .RE .sp فایل سراسری \fIdmacros\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIdmacros\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. این فایل از طریق کادر محاوره‌ای Analyze:Display Filter Macros نوشته می‌شود. .sp اگر فایل سراسری \fIdmacros\fP وجود داشته باشد، تنها در صورتی استفاده می‌شود که فایل شخصی \fIdmacros\fP وجود نداشته باشد؛ فیلترهای نمایش سراسری و شخصی با یکدیگر ادغام نمی‌شوند. .sp پیش از Wireshark 4.4، فایل \fIdfilter_macros\fP با ساختار نحوی تا حدی متفاوت به کار می‌رفت. در صورت پیدا نشدن فایل \fIdmacros\fP هنگام راه‌اندازی، به دنبال آن فایل گشته شده و برای مهاجرت به قالب جدید استفاده می‌شود. .RE .sp فیلترهای رنگی (Color Filters (Coloring Rules)) .RS 4 .sp فایل‌های \fIcolorfilters\fP شامل فیلترهای رنگی سراسری سیستم و شخصی هستند. هر خط شامل یک فیلتر است که با رشته نمایش‌یافته در کادر محاوره‌ای آغاز شده، سپس فیلتر نمایش مربوطه می‌آید. در ادامه، رنگ‌های پس‌زمینه و پیش‌زمینه افزوده می‌شوند: .sp .if n .RS 4 .nf .fam C # a comment @tcp@tcp@[59345,58980,65534][0,0,0] @udp@udp@[28834,57427,65533][0,0,0] .fam .fi .if n .RE .sp فایل سراسری \fIcolorfilters\fP از همان دایرکتوری فایل ترجیحات سراسری استفاده می‌کند. .sp فایل شخصی \fIcolorfilters\fP از همان دایرکتوری فایل ترجیحات شخصی استفاده می‌کند. این فایل از طریق کادر محاوره‌ای View:Coloring Rules نوشته می‌شود. .sp اگر فایل سراسری \fIcolorfilters\fP وجود داشته باشد، تنها در صورتی استفاده می‌شود که فایل شخصی \fIcolorfilters\fP وجود نداشته باشد؛ فیلترهای رنگی سراسری و شخصی با یکدیگر ادغام نمی‌شوند. .RE.sp پلاگین‌ها .RS 4 .sp برنامهٔ Wireshark پلاگین‌ها را هم در یک پوشهٔ پلاگین شخصی و هم در یک پوشهٔ پلاگین سراسری جستجو می‌کند. .sp در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \(rs*BSD، Solaris و AIX، دایرکتوری سراسری پلاگین‌ها مسیر \fIlib/wireshark/plugins/\fP (در برخی سیستم‌ها \fIlib64\fP به جای \fIlib\fP قرار می‌گیرد) زیر دایرکتوری اصلی محل نصب است (برای مثال، \fI/usr/local/lib/wireshark/plugins/\fP). دایرکتوری شخصی پلاگین‌ها \fI$HOME/.local/lib/wireshark/plugins\fP است. .sp در macOS، چنانچه Wireshark به صورت یک بستهٔ برنامه‌ای (application bundle) نصب شده باشد، پوشهٔ سراسری پلاگین در عوض \fI%APPDIR%/Contents/PlugIns/wireshark\fP خواهد بود. .sp در Windows، پوشهٔ سراسری پلاگین مسیر \fIplugins/\fP در زیر دایرکتوری اصلی نصب است (برای مثال، \fIC:\(rsProgram Files\(rsWireshark\(rsplugins\(rs\fP). پوشهٔ شخصی پلاگین \fI%APPDATA%\(rsWireshark\(rsplugins\fP است (یا در صورتی که %APPDATA% تعریف نشده باشد، \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\(rsplugins\fP). .sp پلاگین‌های Lua در پوشه‌های پلاگین ذخیره می‌شوند؛ پلاگین‌های کامپایل‌شده در زیرپوشه‌هایی از پوشه‌های پلاگین ذخیره می‌گردند که نام زیرپوشه، شمارهٔ نسخهٔ فرعی (minor version) نرم‌افزار Wireshark به صورت (X.Y) است. یک سطح سلسله‌مراتبی دیگر برای هر نوع از پلاگین‌های Wireshark وجود دارد (libwireshark، libwiretap و codecs). برای نمونه، مکان یک پلاگین libwireshark به نام \fIfoo.so\fP (در ویندوز \fIfoo.dll\fP) مسیر \fIPLUGINDIR/X.Y/epan\fP خواهد بود (libwireshark پیش‌تر libepan نامیده می‌شد؛ نام دیگر پوشه‌ها \fIcodecs\fP و \fIwiretap\fP است). .if n .sp .RS 4 .it 1 an-trap .nr an-no-space-flag 1 .nr an-break-flag 1 .br .ps +1 .B نکته .ps -1 .br .sp در سیستم‌های سازگار با UNIX، پلاگین‌های Lua (اما نه پلاگین‌های باینری) می‌توانند در مسیر \fI$XDG_CONFIG_HOME/wireshark/plugins\fP نیز قرار گیرند (یا چنانچه \fI$XDG_CONFIG_HOME/wireshark\fP وجود نداشته باشد در حالی که \fI$HOME/.wireshark\fP وجود دارد، در \fI$HOME/.wireshark/plugins\fP). .sp .5v .RE .sp توجه داشته باشید که یک ماژول پلاگین شکافنده (dissector) ممکن است از بیش از یک پروتکل پشتیبانی کند؛ لزوماً یک تناظر یک‌به‌یک میان ماژول‌های پلاگین dissector و پروتکل‌ها وجود ندارد. پروتکل‌های پشتیبانی‌شده توسط یک ماژول پلاگین dissector به همان روش پروتکل‌های توکار Wireshark فعال و غیرفعال می‌شوند. .RE .SH "متغیرهای محیطی (ENVIRONMENT VARIABLES)" .sp WIRESHARK_CONFIG_DIR .RS 4 .sp این متغیر محیطی مسیر فایل‌های پیکربندی شخصی را بازنویسی می‌کند. در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \(rs*BSD، Solaris و AIX، مقدار پیش‌فرض آن \fI$XDG_CONFIG_HOME/wireshark\fP است (یا اگر آن دایرکتوری وجود نداشته باشد اما \fI$HOME/.wireshark\fP وجود داشته باشد، \fI$HOME/.wireshark\fP)؛ که معمولاً \fI$HOME/.config/wireshark\fP است. در Windows، مقدار پیش‌فرض آن \fI%APPDATA%\(rsWireshark\fP است (یا در صورتی که %APPDATA% تعریف نشده باشد، \fI%USERPROFILE%\(rsApplication Data\(rsWireshark\fP). از نسخهٔ Wireshark 3.0 در دسترس است. .RE .sp WIRESHARK_DEBUG_WMEM_OVERRIDE .RS 4 تنظیم این متغیر محیطی، چارچوب wmem را وادار می‌کند تا بدون در نظر گرفتن اینکه کدام backend به‌طور معمول توسط کد تعیین شده است، از backend تخصیص‌دهندهٔ مشخص‌شده برای \fBall\fP تخصیص‌ها استفاده کند. این قابلیت عمدتاً برای توسعه‌دهندگان هنگام آزمایش یا اشکال‌زدایی مفید است. برای جزئیات بیشتر به \fIREADME.wmem\fP در توزیع کد منبع مراجعه کنید. .RE .sp WIRESHARK_RUN_FROM_BUILD_DIRECTORY .RS 4 این متغیر محیطی باعث می‌شود پلاگین‌ها و سایر فایل‌های داده به جای مکان‌های استاندارد، از دایرکتوری ساخت (جایی که برنامه کامپایل شده است) بارگذاری شوند. هنگامی که برنامهٔ مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX مانند Linux، macOS، \(rs*BSD، Solaris و AIX اجرا می‌شود، هیچ تاثیری ندارد. .RE .sp WIRESHARK_DATA_DIR .RS 4 این متغیر محیطی باعث می‌شود فایل‌های دادهٔ مختلف از دایرکتوری دیگری غیر از مکان‌های استاندارد بارگذاری شوند. هنگامی که برنامهٔ مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ تاثیری ندارد. .RE .sp WIRESHARK_EXTCAP_DIR .RS 4 این متغیر محیطی باعث می‌شود برنامه‌ها و اسکریپت‌های مختلف extcap از دایرکتوری دیگری غیر از مکان‌های استاندارد اجرا شوند. هنگامی که برنامهٔ مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ تاثیری ندارد. .RE .sp WIRESHARK_PLUGIN_DIR .RS 4 این متغیر محیطی باعث می‌شود پلاگین‌های مختلف از دایرکتوری دیگری غیر از مکان‌های استاندارد بارگذاری شوند. هنگامی که برنامهٔ مورد نظر با مجوزهای root (یا setuid) در سیستم‌های سازگار با UNIX اجرا می‌شود، هیچ تاثیری ندارد. .RE .sp ERF_RECORDS_TO_CHECK .RS 4 این متغیر محیطی تعداد رکوردهای ERF بررسی‌شده را هنگام تصمیم‌گیری دربارهٔ اینکه آیا یک فایل واقعاً در قالب ERF است یا خیر، کنترل می‌کند. تنظیم این متغیر محیطی روی عددی بالاتر از پیش‌فرض (20)، احتمال موارد مثبت کاذب را کاهش می‌دهد. .RE .sp IPFIX_RECORDS_TO_CHECK .RS 4 این متغیر محیطی تعداد رکوردهای IPFIX بررسی‌شده را هنگام تصمیم‌گیری دربارهٔ اینکه آیا یک فایل واقعاً در قالب IPFIX است یا خیر، کنترل می‌کند. تنظیم این متغیر محیطی روی عددی بالاتر از پیش‌فرض (20)، احتمال موارد مثبت کاذب را کاهش می‌دهد. .RE .sp WIRESHARK_ABORT_ON_DISSECTOR_BUG .RS 4 اگر این متغیر محیطی تنظیم شده باشد، \fBWireshark\fP در صورت مواجهه با باگ در dissector تابع abort(3) را فراخوانی می‌کند. فراخوانی abort(3) باعث خروج غیرعادی برنامه می‌شود؛ اگر \fBWireshark\fP را در یک اشکال‌زدا (debugger) اجرا می‌کنید، برنامه باید در اشکال‌زدا متوقف شده و اجازهٔ بررسی فرایند را بدهد، و چنانچه آن را در اشکال‌زدا اجرا نمی‌کنید، در برخی سیستم‌عامل‌ها (به شرط پیکربندی صحیح محیط شما) یک فایل core dump تولید خواهد کرد. این ویژگی می‌تواند برای توسعه‌دهندگانی که سعی در رفع اشکال یک پروتکل dissector دارند مفید باشد. .RE .sp WIRESHARK_ABORT_ON_TOO_MANY_ITEMS .RS 4 اگر این متغیر محیطی تنظیم شده باشد، در صورتی که یک dissector تلاش کند آیتم‌های بسیار زیادی را به یک درخت بیفزاید (به‌طور کلی این نشانه‌ای از خارج نشدن به موقع dissector از یک حلقه است)، \fBWireshark\fP تابع abort(3) را فراخوانی می‌کند. فراخوانی abort(3) باعث خروج غیرعادی برنامه می‌شود؛ اگر \fBWireshark\fP را در یک اشکال‌زدا اجرا می‌کنید، برنامه باید در اشکال‌زدا متوقف شده و امکان بررسی فرایند را بدهد، و چنانچه آن را در اشکال‌زدا اجرا نمی‌کنید، در برخی سیستم‌عامل‌ها (به شرط پیکربندی صحیح محیط شما) یک فایل core dump تولید خواهد کرد. این ویژگی می‌تواند برای توسعه‌دهندگانی که سعی در رفع اشکال یک پروتکل dissector دارند مفید باشد. .RE .sp WIRESHARK_QUIT_AFTER_CAPTURE .RS 4 باعث خروج \fBWireshark\fP پس از پایان نشست ضبط (capture) می‌شود. این متغیر ضبط را به‌طور خودکار آغاز نمی‌کند؛ برای انجام این کار همچنان باید از \fB\-k\fP استفاده کنید. همچنین باید یک شرط توقف خودکار، برای مثال \fB\-c\fP یا \fB\-a duration:.\|.\|.\fP مشخص نمایید. این بدان معناست که پس از توقف ضبط قادر به مشاهدهٔ نتایج آن نخواهید بود؛ این قابلیت در درجهٔ اول برای آزمایش کاربرد دارد. .RE .sp WIRESHARK_LOG_LEVEL .RS 4 این متغیر محیطی میزان جزئیات پیام‌های تشخیصی ارسال‌شده به کنسول را کنترل می‌کند. سطوح مختلف از کمترین میزان جزئیات تا بیشترین عبارتند از: \f(CRcritical\fP، \f(CRwarning\fP، \f(CRmessage\fP، \f(CRinfo\fP، \f(CRdebug\fP یا \f(CRnoisy\fP. سطوح بالاتر از سطح جاری نیز فعال هستند. سطوح \f(CRcritical\fP و \f(CRerror\fP همواره فعال می‌باشند. .RE .sp WIRESHARK_LOG_FATAL .RS 4 سطح گزارش مهلک (fatal) را تنظیم می‌کند. سطوح گزارش مهلک باعث لغو و توقف (abort) برنامه می‌شوند. این سطح می‌تواند روی \f(CRError\fP، \f(CRcritical\fP یا \f(CRwarning\fP تنظیم شود. سطح \f(CRError\fP همیشه مهلک بوده و مقدار پیش‌فرض است. .RE .sp WIRESHARK_LOG_DOMAINS .RS 4 این متغیر محیطی مشخص می‌کند کدام دامنه‌های گزارش فعال باشند. فیلتر به صورت فهرستی از مواردِ جداشده با کاما و بدون حساسیت به حروف بزرگ و کوچک ارائه می‌شود. در صورت تنظیم، تنها دامنه‌های گنجانده‌شده فعال خواهند بود. دامنهٔ پیش‌فرض همواره فعال تلقی می‌شود. فهرست‌های فیلتر دامنه می‌توانند با \*(Aq!\*(Aq شروع شوند تا مفهوم تطابق وارونه گردد. .RE.sp WIRESHARK_LOG_DEBUG .RS 4 فهرستی از دامنه‌ها با سطح لاگ \f(CRdebug\fP. این متغیر سطح دامنه‌های لاگ مشخص‌شده را تنظیم می‌کند و بر فیلتر دامنه‌های فعال اولویت دارد. اگر پیش از آن \*(Aq!\*(Aq قرار گیرد، در عوض سطح \f(CRdebug\fP را غیرفعال می‌کند. .RE .sp WIRESHARK_LOG_NOISY .RS 4 مشابه بالا، اما در عوض برای سطح لاگ \f(CRnoisy\fP. .RE .SH "نویسندگان (AUTHORS)" .sp Wireshark بدون مشارکت‌های سخاوتمندانهٔ صدها توسعه‌دهنده، به نرم‌افزار قدرتمند و پرامکاناتی که اکنون هست تبدیل نمی‌شد. .sp فهرست کاملی از نویسندگان را می‌توان در فایل AUTHORS در مخزن کد منبع Wireshark یافت. .SH "همچنین ببینید (SEE ALSO)" .sp wireshark\-filter(4), tshark(1), editcap(1), pcap(3), dumpcap(1), mergecap(1), text2pcap(1), pcap\-filter(7) یا tcpdump(8) .SH "نکات (NOTES)" .sp این صفحهٔ راهنما مربوط به \fBWireshark\fP 4.7.3 است. جدیدترین نسخهٔ \fBWireshark\fP در نشانی زیر قابل دریافت است: .URL "https://www.wireshark.org" "" "." .sp نسخه‌های HTML صفحات راهنمای پروژهٔ Wireshark در نشانی زیر موجود هستند: .URL "https://www.wireshark.org/docs/man\-pages" "" "." .sp راهنمای کاربری Wireshark در نشانی زیر در دسترس است: .URL "https://www.wireshark.org/docs/wsug_html_chunked" "" "."