wiretap/README

   1 $Id: README,v 1.9 1999/01/30 09:44:21 guy Exp $
   2
   3 Wiretap is a library that is being developed as a future replacement for
   4 libpcap, the current standard Unix library for packet capturing. Libpcap is
   5 great in that it is very platform independent and has a wonderful BPF
   6 optimizing engine. But it has some shortcomings as well. These shortcomings
   7 came to a head during the development of Ethereal (http://ethereal.zing.org),
   8 a packet analyzer. As such, I began developing wiretap so that:
   9
  10 1. The library can easily be amended with new packet filtering objects.
  11 Libpcap is very TCP/IP-oriented. I want to filter on IPX objects, SNA objects,
  12 etc. I also want any decent programmer to be able to add new filters to the
  13 library.
  14
  15 2. The library can read file formats from many packet-capturing utilities.
  16 Libpcap only reads Libpcap files.
  17
  18 3. The library can capture on more than one network interface at a time, and
  19 save this trace in one file.
  20
  21 4. Network names can be resolved immediately after a trace and saved in the
  22 trace file. That way, I can ship a trace of my firewall-protected network to a
  23 colleague, and he'll see the proper hostnames for the IP addresses in the
  24 packet capture, even though he doesn't have access to the DNS server behind my
  25 LAN's firewall.
  26
  27 5. I want to look into the possibility of compressing packet data when saved
  28 to a file, like Sniffer.
  29
  30 6. The packet-filter can be optimized for the host OS. Not all OSes have BPF;
  31 SunOS has NIT and Solaris has DLPI, which both use the CMU/Stanford
  32 packet-filter psuedomachine. RMON has another type of packet-filter syntax
  33 which we could support.
  34
  35 Currently, only #2 is available. Wiretap doesn't even do any filtering yet. It
  36 can only be used to read packet capture files.
  37
  38 File Formats
  39 ============
  40
  41 Libpcap
  42 -------
  43 The "libpcap" file format was determined by reading the "libpcap" code;
  44 wiretap reads the "libpcap" file format with its own code, rather than
  45 using the "libpcap" library's code to read it.
  46
  47 Sniffer (uncompressed)
  48 -------
  49 The Sniffer format is documented in the Sniffer manual.  Unfortunately,
  50 Sniffer manuals tend to document only the format for the Sniffer model
  51 they document. Token-Ring and ethernet seems to work well, though.
  52 If you have an ATM Sniffer file, both Guy and I would be *very*
  53 interested in receiving a sample. (see 'AUTHORS' file for our e-mail
  54 addresses).
  55
  56 ATM sniffers are claimed by the manual to record a mixture of cells and
  57 frames; there's currently no "raw ATM" encapsulation in wiretap to allow
  58 us to return that directly, so we assume that the traffic of interest is
  59 all LANE or all RFC 1483 traffic, search in the file for the first AAL5
  60 frame that's either LANE or RFC 1483, set the encapsulation based on
  61 which of those we saw, and discard all non-AAL5 cells as well as AAL5
  62 frames not of the specified type.  We also discard the 2-byte LANE
  63 header at the front of the frame, leaving only the emulated Ethernet or
  64 Token Ring frame.
  65
  66 Given that wiretap now returns packet encapsulation types on a
  67 per-packet basis, we could, instead, discard all non-AAL5 cells and AAL5
  68 frames that are neither LANE nor RFC 1483, and return the appropriate
  69 encapsulation for the packet as we read it.
  70
  71 LANalyzer
  72 ---------
  73 The LANalyzer format is available from http://www.novell.com. Search their
  74 knowledge base for "Trace File Format".
  75
  76 Network Monitor
  77 ---------------
  78 MicroSoft's Network Monitor file format is supported, at least under ethernet
  79 and token-ring. If you have capture files of other datalink types, please send
  80 them to Guy Harris <guy@netapp.com>.
  81
  82 "snoop"
  83 -------
  84 The Solaris 2.x "snoop" program's format is documented in RFC 1761.
  85
  86 "iptrace"
  87 ---------
  88 This is the capture program that comes with AIX 3.x and 4.x. Right now wiretap
  89 only supports iptrace 2.0 (AIX4) because I don't have access to an AIX3
  90 machine.  iptrace has an undocumented, yet very simple, file format.
  91 The interesting thing about iptrace is that it will record packets coming in from
  92 all network interfaces; a single iptrace file can contain multiple datalink types.
  93 I have tested iptrace on ethernet and token-ring; if you can provide an iptrace file with
  94 any other datalink type, I would appreciate a copy. (with the output from
  95 'ipreport' too, if possible).
  96
  97 Gilbert Ramirez
  98 <gram@verdict.uthscsa.edu>