README

   1 General Information
   2 ------- -----------
   3
   4 Ethereal is a network traffic analyzer, or "sniffer", for Unix and
   5 Unix-like operating systems.  It uses GTK+, a graphical user interface
   6 library, and libpcap, a packet capture and filtering library.
   7
   8 The Ethereal distribution also comes with Tethereal, which is a
   9 line-oriented sniffer (similar to Sun's snoop, or tcpdump) that uses the
  10 same dissection, capture-file reading and writing, and packet filtering
  11 code as Ethereal, and with editcap, which is a program to read capture
  12 files and write the packets from that capture file, possibly in a
  13 different capture file format, and with some packets possibly removed
  14 from the capture.
  15
  16 The official home of Ethereal is
  17
  18     http://ethereal.zing.org
  19
  20 The latest distribution can be found in the subdirectory
  21
  22     http://ethereal.zing.org/distribution
  23
  24
  25 Installation
  26 ------------
  27
  28 Ethereal is known to compile and run on the following systems:
  29
  30   - Linux (2.0.x, 2.1.x, 2.2.x)
  31   - Solaris (2.5.1, 2.6, 7)
  32   - FreeBSD (2.2.5, 2.2.6, 3.1, 3.2, 3.3)
  33   - Sequent PTX v4.4.5  (Nick Williams <njw@sequent.com>)
  34   - Tru64 UNIX (formerly Digital UNIX) (3.2, 4.0)
  35   - Irix (6.5)
  36   - AIX (4.3.2, with a bit of work)
  37
  38 It should run on other systems without too much trouble.
  39
  40 NOTE: the Makefile appears to depend on GNU "make"; it doesn't appear to
  41 work with the "make" that comes with Solaris 7 nor the BSD "make".
  42 Perl is also needed to create the man page.
  43
  44 If you decide to modify the yacc grammar or lex scanner, then
  45 you need "flex" - it cannot be built with vanilla "lex" -
  46 and either "bison" or the Berkeley "yacc". Your flex
  47 version must be 2.5.1 or greater. Check this with 'flex -V'.
  48
  49 You must therefore install Perl, GNU "make", "flex", and either "bison" or
  50 Berkeley "yacc" on systems that lack them.
  51
  52 Full installation instructions can be found in the INSTALL file.
  53
  54 See also the appropriate README.<OS> files for OS-specific installation
  55 instructions.
  56
  57 Usage
  58 -----
  59
  60 In order to capture packets from the network, you need to be running as
  61 root, or have access to the appropriate entry under /dev if your system
  62 is so inclined (BSD-derived systems, and systems such as Solaris and
  63 HP-UX that support DLPI, typically fall into this category).  Although
  64 it might be tempting to make the Ethereal executable setuid root, please
  65 don't - alpha code is by nature not very robust, and liable to contain
  66 security holes.
  67
  68 Please consult the man page for a description of each command-line
  69 option and interface feature.
  70
  71
  72 Multiple File Types
  73 -------------------
  74
  75 The wiretap library is a packet-capture library currently under
  76 development parallel to ethereal.  In the future it is hoped that
  77 wiretap will have more features than libpcap, but wiretap is still in
  78 its infancy. However, wiretap is used in ethereal for its ability
  79 to read multiple file types. You can read the following file
  80 formats, and create display filters for them as well:
  81
  82 libpcap (tcpdump -w), Sniffer (uncompressed), NetXray, Sniffer Pro,
  83 snoop, Shomiti, LANalyzer, Microsoft Network Monitor, AIX's iptrace,
  84 RADCOM's WAN/LAN Analyzer, Lucent/Ascend access products, HP-UX's nettl,
  85 Toshiba's ISDN routers, and the ISDN4BSD "i4btrace" utility.
  86
  87 In addition, it can read gzipped versions of any of these files,
  88 automatically, if you have the zlib library available when compiling
  89 Ethereal. Ethereal needs a modern version of zlib to be able to use
  90 zlib to read gzipped files; version 1.1.3 is known to work.  Versions
  91 prior to 1.0.9 are missing some functions that Ethereal needs and won't
  92 work.  "./configure" should detect if you have the proper zlib version
  93 available and, if you don't, should disable zlib support. You can always
  94 use "./configure --disable-zlib" to explicitly disable zlib support.
  95
  96 Although Ethereal can read AIX iptrace files, the documentation on
  97 AIX's iptrace packet-trace command is sparse.  The 'iptrace' command
  98 starts a daemon which you must kill in order to stop the trace. Through
  99 experimentation it appears that sending a HUP signal to that iptrace
 100 daemon causes a graceful shutdown and a complete packet is written
 101 to the trace file. If a partial packet is saved at the end, Ethereal
 102 will complain when reading that file, but you will be able to read all
 103 other packets.  If this occurs, please let the Ethereal developers know
 104 at ethereal-dev@zing.org, and be sure to send us a copy of that trace
 105 file if it's small and contains non-sensitive data.
 106
 107 Support for Lucent/Ascend products is limited to the debug trace output
 108 generated by the MAX and Pipline series of products.  Ethereal can read
 109 the output of the "wandsession" "wandisplay", "wannext", and "wdd"
 110 commands.  For detailed information on use of these commands, please refer
 111 the following pages:
 112
 113 "wandsession", "wandisplay", and "wannext" on the Pipeline series:
 114   http://aos.ascend.com/aos:/gennavviewer.html?doc_id=0900253d80006c79
 115
 116 "wandsession", "wandisplay", and "wannext" on the MAX series:
 117   http://aos.ascend.com/aos:/gennavviewer.html?doc_id=0900253d80006972
 118
 119 "wdd" on the Pipeline series:
 120   http://aos.ascend.com/aos:/gennavviewer.html?doc_id=0900253d80006877
 121
 122 Ethereal can also read dump trace output from the Toshiba "Compact Router"
 123 line of ISDN routers (TR-600 and TR-650). You can telnet to the router
 124 and start a dump session with "snoop dump".
 125
 126 To use the Lucent/Ascend and Toshiba traces with Ethereal, you must capture
 127 the trace output to a file on disk.  The trace is happening inside the router
 128 and the router has no way of saving the trace to a file for you.
 129 An easy way of doing this under Unix is to run "telnet <ascend> | tee <outfile>".
 130 Or, if your system has the "script" command installed, you can save
 131 a shell session, including telnet to a file. For example, to a file named
 132 tracefile.out:
 133
 134 $ script tracefile.out
 135 Script started on <date/time>
 136 $ telnet router
 137 ..... do your trace, then exit from the router's telnet session.
 138 $ exit
 139 Script done on <date/time>
 140
 141
 142
 143 IPv6
 144 ----
 145 If your operating system includes IPv6 support, ethereal will attempt to
 146 use reverse name resolution capabilities when decoding IPv6 packets. If
 147 you want to turn off name resolution while using ethereal, start ethereal
 148 with the "-n" option. If you would like to compile ethereal without
 149 support for IPv6 name resolution, use the "--disable-ipv6" option with
 150 "./configure". If you compile ethereal without IPv6 name resolution,
 151 you will still be able to decode IPv6 packets, but you'll only see IPv6
 152 addresses, not host names.
 153
 154 The "Follow TCP Stream" feature only supports TCP over IPv4. Support for TCP
 155 over IPv6 is planned.
 156
 157
 158 SNMP
 159 ----
 160 Ethereal can do some basic decoding of SNMP packets; it can also use an
 161 external SNMP library to do more sophisticated decoding..  The configure
 162 script will automatically determine which library you have on your
 163 system and will use it.  If you have an SNMP library but _do not_ want
 164 to have ethereal use it, you can run configure with the "--disable-snmp"
 165 option.
 166
 167
 168 How to Report a Bug
 169 -------------------
 170 Ethereal is still under constant development, so it is possible that you will
 171 encounter a bug while using it. Please report bugs to ethereal-dev@zing.org.
 172 Be sure you tell us:
 173
 174         1) Operating System and version (the command 'uname -sr' may
 175            tell you this, although on Linux systems it will probably
 176            tell you only the version number of the Linux kernel, not of
 177            the distribution as a whole; on Linux systems, please tell us
 178            both the version number of the kernel, and which version of
 179            which distribution you're running)
 180         2) Version of GTK+ (the command 'gtk-config --version' will tell you)
 181         3) Version of Ethereal (the command 'ethereal -v' will tell you,
 182            unless the bug is so severe as to prevent that from working,
 183            and should also tell you the versions of libraries with which
 184            it was built)
 185         4) The command you used to invoke Ethereal, and the sequence of
 186            operations you performed that caused the bug to appear
 187
 188 If the bug is produced by a particular trace file, please be sure to send
 189 a trace file along with your bug description. Please don't send a trace file
 190 greater than 1 MB when compressed. If the trace file contains sensitive
 191 information (e.g., passwords), then please do not send it.
 192
 193 If Ethereal died on you with a 'segmentation violation', you can help the
 194 developers a lot if you have a debugger installed. A stack trace can be
 195 obtained by using your debugger ('gdb' in this example), the ethereal binary,
 196 and the resulting core file. Here's an example of how to use the gdb
 197 command 'backtrace' to do so.
 198
 199 $ gdb ethereal core
 200 (gdb) backtrace
 201 ..... prints the stack trace
 202 (gdb) quit
 203 $
 204
 205 Disclaimer
 206 ----------
 207
 208 There is no warranty, expressed or implied, associated with this product.
 209 Use at your own risk.
 210
 211
 212 Gerald Combs <gerald@zing.org>
 213 Gilbert Ramirez <gram@xiexie.org>