Add some info about extended value string to section 1.7.1
[obnox/wireshark/wip.git] / doc / wireshark.pod.template
1
2 =head1 NAME
3
4 wireshark - Interactively dump and analyze network traffic
5
6 =head1 SYNOPSIS
7
8 B<wireshark>
9 S<[ B<-a> E<lt>capture autostop conditionE<gt> ] ...>
10 S<[ B<-b> E<lt>capture ring buffer optionE<gt> ] ...>
11 S<[ B<-B> E<lt>capture buffer size (Win32 only)E<gt> ] >
12 S<[ B<-c> E<lt>capture packet countE<gt> ]>
13 S<[ B<-C> E<lt>configuration profileE<gt> ]>
14 S<[ B<-D> ]>
15 S<[ B<--display=>E<lt>X display to useE<gt> ] >
16 S<[ B<-f> E<lt>capture filterE<gt> ]>
17 S<[ B<-g> E<lt>packet numberE<gt> ]>
18 S<[ B<-h> ]>
19 S<[ B<-H> ]>
20 S<[ B<-i> E<lt>capture interfaceE<gt>|- ]>
21 S<[ B<-J> E<lt>jump filterE<gt> ]>
22 S<[ B<-j> ]>
23 S<[ B<-k> ]>
24 S<[ B<-K> E<lt>keytabE<gt> ]>
25 S<[ B<-l> ]>
26 S<[ B<-L> ]>
27 S<[ B<-m> E<lt>fontE<gt> ]>
28 S<[ B<-n> ]>
29 S<[ B<-N> E<lt>name resolving flagsE<gt> ] >
30 S<[ B<-o> E<lt>preference/recent settingE<gt> ] ...>
31 S<[ B<-p> ]>
32 S<[ B<-P> E<lt>path settingE<gt>]>
33 S<[ B<-Q> ]>
34 S<[ B<-r> E<lt>infileE<gt> ]>
35 S<[ B<-R> E<lt>read (display) filterE<gt> ]>
36 S<[ B<-S> ]>
37 S<[ B<-s> E<lt>capture snaplenE<gt> ]>
38 S<[ B<-t> ad|a|r|d|dd|e ]>
39 S<[ B<-v> ]>
40 S<[ B<-w> E<lt>outfileE<gt> ]>
41 S<[ B<-y> E<lt>capture link typeE<gt> ]>
42 S<[ B<-X> E<lt>eXtension optionE<gt> ]>
43 S<[ B<-z> E<lt>statisticsE<gt> ]>
44 S<[ E<lt>infileE<gt> ]>
45
46 =head1 DESCRIPTION
47
48 B<Wireshark> is a GUI network protocol analyzer.  It lets you
49 interactively browse packet data from a live network or from a
50 previously saved capture file.  B<Wireshark>'s native capture file format
51 is B<libpcap> format, which is also the format used by B<tcpdump> and
52 various other tools.
53
54 B<Wireshark> can read / import the following file formats:
55
56 =over 4
57
58 =item *
59 libpcap, tcpdump and various other tools using tcpdump's capture format
60
61 =item *
62 B<snoop> and B<atmsnoop>
63
64 =item *
65 Shomiti/Finisar B<Surveyor> captures
66
67 =item *
68 Novell B<LANalyzer> captures
69
70 =item *
71 Microsoft B<Network Monitor> captures
72
73 =item *
74 AIX's B<iptrace> captures
75
76 =item *
77 Cinco Networks B<NetXRay> captures
78
79 =item *
80 Network Associates Windows-based B<Sniffer> captures
81
82 =item *
83 Network General/Network Associates DOS-based B<Sniffer> (compressed or uncompressed) captures
84
85 =item *
86 AG Group/WildPackets B<EtherPeek>/B<TokenPeek>/B<AiroPeek>/B<EtherHelp>/B<PacketGrabber> captures
87
88 =item *
89 B<RADCOM>'s WAN/LAN analyzer captures
90
91 =item *
92 Network Instruments B<Observer> version 9 captures
93
94 =item *
95 B<Lucent/Ascend> router debug output
96
97 =item *
98 files from HP-UX's B<nettl>
99
100 =item *
101 B<Toshiba's> ISDN routers dump output
102
103 =item *
104 the output from B<i4btrace> from the ISDN4BSD project
105
106 =item *
107 traces from the B<EyeSDN> USB S0.
108
109 =item *
110 the output in B<IPLog> format from the Cisco Secure Intrusion Detection System
111
112 =item *
113 B<pppd logs> (pppdump format)
114
115 =item *
116 the output from VMS's B<TCPIPtrace>/B<TCPtrace>/B<UCX$TRACE> utilities
117
118 =item *
119 the text output from the B<DBS Etherwatch> VMS utility
120
121 =item *
122 Visual Networks' B<Visual UpTime> traffic capture
123
124 =item *
125 the output from B<CoSine> L2 debug
126
127 =item *
128 the output from Accellent's B<5Views> LAN agents
129
130 =item *
131 Endace Measurement Systems' ERF format captures
132
133 =item *
134 Linux Bluez Bluetooth stack B<hcidump -w> traces
135
136 =item *
137 Catapult DCT2000 .out files
138
139 =item *
140 TamoSoft CommView files
141
142 =item *
143 Apple PacketLogger files
144
145 =back
146
147 There is no need to tell B<Wireshark> what type of
148 file you are reading; it will determine the file type by itself.
149 B<Wireshark> is also capable of reading any of these file formats if they
150 are compressed using gzip.  B<Wireshark> recognizes this directly from
151 the file; the '.gz' extension is not required for this purpose.
152
153 Like other protocol analyzers, B<Wireshark>'s main window shows 3 views
154 of a packet.  It shows a summary line, briefly describing what the
155 packet is.  A packet details display is shown, allowing you to drill
156 down to exact protocol or field that you interested in.  Finally, a hex
157 dump shows you exactly what the packet looks like when it goes over the
158 wire.
159
160 In addition, B<Wireshark> has some features that make it unique.  It can
161 assemble all the packets in a TCP conversation and show you the ASCII
162 (or EBCDIC, or hex) data in that conversation.  Display filters in
163 B<Wireshark> are very powerful; more fields are filterable in B<Wireshark>
164 than in other protocol analyzers, and the syntax you can use to create
165 your filters is richer.  As B<Wireshark> progresses, expect more and more
166 protocol fields to be allowed in display filters.
167
168 Packet capturing is performed with the pcap library.  The capture filter
169 syntax follows the rules of the pcap library.  This syntax is different
170 from the display filter syntax.
171
172 Compressed file support uses (and therefore requires) the zlib library.
173 If the zlib library is not present, B<Wireshark> will compile, but will
174 be unable to read compressed files.
175
176 The pathname of a capture file to be read can be specified with the
177 B<-r> option or can be specified as a command-line argument.
178
179 =head1 OPTIONS
180
181 Most users will want to start B<Wireshark> without options and configure
182 it from the menus instead. Those users may just skip this section.
183
184 =over 4
185
186 =item -a  E<lt>capture autostop conditionE<gt>
187
188 Specify a criterion that specifies when B<Wireshark> is to stop writing
189 to a capture file.  The criterion is of the form I<test>B<:>I<value>,
190 where I<test> is one of:
191
192 B<duration>:I<value> Stop writing to a capture file after I<value> seconds have
193 elapsed.
194
195 B<filesize>:I<value> Stop writing to a capture file after it reaches a size of
196 I<value> kilobytes (where a kilobyte is 1024 bytes). If this option is used
197 together with the -b option, Wireshark will stop writing to the current
198 capture file and switch to the next one if filesize is reached.
199
200 B<files>:I<value> Stop writing to capture files after I<value> number of files
201 were written.
202
203 =item -b  E<lt>capture ring buffer optionE<gt>
204
205 Cause B<Wireshark> to run in "multiple files" mode.  In "multiple files" mode,
206 B<Wireshark> will write to several capture files. When the first capture file
207 fills up, B<Wireshark> will switch writing to the next file and so on.
208
209 The created filenames are based on the filename given with the B<-w> flag,
210 the number of the file and on the creation date and time,
211 e.g. outfile_00001_20050604120117.pcap, outfile_00002_20050604120523.pcap, ...
212
213 With the I<files> option it's also possible to form a "ring buffer".
214 This will fill up new files until the number of files specified,
215 at which point B<Wireshark> will discard the data in the first file and start
216 writing to that file and so on. If the I<files> option is not set,
217 new files filled up until one of the capture stop conditions match (or
218 until the disk is full).
219
220 The criterion is of the form I<key>B<:>I<value>,
221 where I<key> is one of:
222
223 B<duration>:I<value> switch to the next file after I<value> seconds have
224 elapsed, even if the current file is not completely filled up.
225
226 B<filesize>:I<value> switch to the next file after it reaches a size of
227 I<value> kilobytes (where a kilobyte is 1024 bytes).
228
229 B<files>:I<value> begin again with the first file after I<value> number of
230 files were written (form a ring buffer).  This value must be less than 100000.
231 Caution should be used when using large numbers of files: some filesystems do
232 not handle many files in a single directory well.  The B<files> criterion
233 requires either B<duration> or B<filesize> to be specified to control when to
234 go to the next file.  It should be noted that each B<-b> parameter takes exactly
235 one criterion; to specify two criterion, each must be preceded by the B<-b>
236 option.
237
238 Example: B<-b filesize:1024 -b files:5> results in a ring buffer of five files
239 of size one megabyte.
240
241 =item -B  E<lt>capture buffer sizeE<gt>
242
243 Set capture buffer size (in MB, default is 1MB).  This is used by the
244 the capture driver to buffer packet data until that data can be written
245 to disk.  If you encounter packet drops while capturing, try to increase
246 this size.  Note that, while B<Tshark> attempts to set the buffer size
247 to 1MB by default, and can be told to set it to a larger value, the
248 system or interface on which you're capturing might silently limit the
249 capture buffer size to a lower value or raise it to a higher value.
250
251 This is available on on UNIX systems with libpcap 1.0.0 or later and on
252 Windows.  It is not available on UNIX systems with earlier versions of
253 libpcap.
254
255 =item -c  E<lt>capture packet countE<gt>
256
257 Set the maximum number of packets to read when capturing live
258 data.
259
260 =item -C  E<lt>configuration profileE<gt>
261
262 Start with the given configuration profile.
263
264 =item -D
265
266 Print a list of the interfaces on which B<Wireshark> can capture, and
267 exit.  For each network interface, a number and an
268 interface name, possibly followed by a text description of the
269 interface, is printed.  The interface name or the number can be supplied
270 to the B<-i> flag to specify an interface on which to capture.
271
272 This can be useful on systems that don't have a command to list them
273 (e.g., Windows systems, or UNIX systems lacking B<ifconfig -a>);
274 the number can be useful on Windows 2000 and later systems, where the
275 interface name is a somewhat complex string.
276
277 Note that "can capture" means that B<Wireshark> was able to open
278 that device to do a live capture; if, on your system, a program doing a
279 network capture must be run from an account with special privileges (for
280 example, as root), then, if B<Wireshark> is run with the B<-D> flag and
281 is not run from such an account, it will not list any interfaces.
282
283 =item --display=E<lt>X display to useE<gt>
284
285 Specifies the X display to use.  A hostname and screen (otherhost:0.0)
286 or just a screen (:0.0) can be specified.  This option is not available
287 under Windows.
288
289 =item -f  E<lt>capture filterE<gt>
290
291 Set the capture filter expression.
292
293 =item -g  E<lt>packet numberE<gt>
294
295 After reading in a capture file using the B<-r> flag, go to the given I<packet number>.
296
297 =item -h
298
299 Print the version and options and exit.
300
301 =item -H
302
303 Hide the capture info dialog during live packet capture.
304
305 =item -i  E<lt>capture interfaceE<gt>|-
306
307 Set the name of the network interface or pipe to use for live packet
308 capture.
309
310 Network interface names should match one of the names listed in
311 "B<wireshark -D>" (described above); a number, as reported by
312 "B<wireshark -D>", can also be used.  If you're using UNIX, "B<netstat
313 -i>" or "B<ifconfig -a>" might also work to list interface names,
314 although not all versions of UNIX support the B<-a> flag to B<ifconfig>.
315
316 If no interface is specified, B<Wireshark> searches the list of
317 interfaces, choosing the first non-loopback interface if there are any
318 non-loopback interfaces, and choosing the first loopback interface if
319 there are no non-loopback interfaces. If there are no interfaces at all,
320 B<Wireshark> reports an error and doesn't start the capture.
321
322 Pipe names should be either the name of a FIFO (named pipe) or ``-'' to
323 read data from the standard input. On Windows systems, pipe names must be
324 of the form ``\\pipe\.\B<pipename>''. Data read from pipes must be in
325 standard libpcap format.
326
327 =item -J  E<lt>jump filterE<gt>
328
329 After reading in a capture file using the B<-r> flag, jump to the packet
330 matching the filter (display filter syntax). If no exact match is found
331 the first packet after that is selected.
332
333 =item -j
334
335 Use after B<-J> to change the behaviour when no exact match is found for
336 the filter. With this option select the first packet before.
337
338 =item -k
339
340 Start the capture session immediately.  If the B<-i> flag was
341 specified, the capture uses the specified interface.  Otherwise,
342 B<Wireshark> searches the list of interfaces, choosing the first
343 non-loopback interface if there are any non-loopback interfaces, and
344 choosing the first loopback interface if there are no non-loopback
345 interfaces; if there are no interfaces, B<Wireshark> reports an error and
346 doesn't start the capture.
347
348 =item -K  E<lt>keytabE<gt>
349
350 Load kerberos crypto keys from the specified keytab file.
351 This option can be used multiple times to load keys from several files.
352
353 Example: B<-K krb5.keytab>
354
355 =item -l
356
357 Turn on automatic scrolling if the packet display is being updated
358 automatically as packets arrive during a capture (as specified by the
359 B<-S> flag).
360
361 =item -L
362
363 List the data link types supported by the interface and exit.
364
365 =item -m  E<lt>fontE<gt>
366
367 Set the name of the font used by B<Wireshark> for most text.  B<Wireshark>
368 will construct the name of the bold font used for the data in the byte
369 view pane that corresponds to the field selected in the packet details
370 pane from the name of the main text font.
371
372 =item -n
373
374 Disable network object name resolution (such as hostname, TCP and UDP port
375 names), the B<-N> flag might override this one.
376
377 =item -N  E<lt>name resolving flagsE<gt>
378
379 Turn on name resolving only for particular types of addresses and port
380 numbers, with name resolving for other types of addresses and port
381 numbers turned off. This flag overrides B<-n> if both B<-N> and B<-n> are
382 present. If both B<-N> and B<-n> flags are not present, all name resolutions are
383 turned on.
384
385 The argument is a string that may contain the letters:
386
387 B<m> to enable MAC address resolution
388
389 B<n> to enable network address resolution
390
391 B<t> to enable transport-layer port number resolution
392
393 B<C> to enable concurrent (asynchronous) DNS lookups
394
395 =item -o  E<lt>preference/recent settingE<gt>
396
397 Set a preference or recent value, overriding the default value and any value
398 read from a preference/recent file. The argument to the flag is a string of
399 the form I<prefname>B<:>I<value>, where I<prefname> is the name of the
400 preference/recent value (which is the same name that would appear in the
401 preference/recent file), and I<value> is the value to which it should be set.
402 Since B<Ethereal> 0.10.12, the recent settings replaces the formerly used
403 -B, -P and -T flags to manipulate the GUI dimensions.
404
405 If I<prefname> is "uat", you can override settings in various user access
406 tables using the form uatB<:>I<uat filename>:I<uat record>. I<uat filename>
407 must be the name of a UAT file, e.g. I<user_dlts>. I<uat_record> must be in
408 the form of a valid record for that file, including quotes. For instance, to
409 specify a user DLT from the command line, you would use
410
411 =over
412
413 -o "uat:user_dlts:\"User 0 (DLT=147)\",\"cops\",\"0\",\"\",\"0\",\"\""
414
415 =back
416
417 =item -p
418
419 I<Don't> put the interface into promiscuous mode.  Note that the
420 interface might be in promiscuous mode for some other reason; hence,
421 B<-p> cannot be used to ensure that the only traffic that is captured is
422 traffic sent to or from the machine on which B<Wireshark> is running,
423 broadcast traffic, and multicast traffic to addresses received by that
424 machine.
425
426 =item -P E<lt>path settingE<gt>
427
428 Special path settings usually detected automatically. This is used for
429 special cases, e.g. starting Wireshark from a known location on an USB stick.
430
431 The criterion is of the form I<key>B<:>I<path>, where I<key> is one of:
432
433 B<persconf>:I<path> path of personal configuration files, like the
434 preferences files.
435
436 B<persdata>:I<path> path of personal data files, it's the folder initially
437 opened. After the very first initialization, the recent file will keep the
438 folder last used.
439
440 =item -Q
441
442 Cause B<Wireshark> to exit after the end of capture session (useful in
443 batch mode with B<-c> option for instance); this option requires the
444 B<-i> and B<-w> parameters.
445
446 =item -r  E<lt>infileE<gt>
447
448 Read packet data from I<infile>, can be any supported capture file format
449 (including gzipped files). It's not possible to use named pipes or stdin
450 here!
451
452 =item -R  E<lt>read (display) filterE<gt>
453
454 When reading a capture file specified with the B<-r> flag, causes the
455 specified filter (which uses the syntax of display filters, rather than
456 that of capture filters) to be applied to all packets read from the
457 capture file; packets not matching the filter are discarded.
458
459 =item -S
460
461 Automatically update the packet display as packets are coming in.
462
463 =item -s  E<lt>capture snaplenE<gt>
464
465 Set the default snapshot length to use when capturing live data.
466 No more than I<snaplen> bytes of each network packet will be read into
467 memory, or saved to disk.  A value of 0 specifies a snapshot length of
468 65535, so that the full packet is captured; this is the default.
469
470 =item -t  ad|a|r|d|dd|e
471
472 Set the format of the packet timestamp displayed in the packet list
473 window. The format can be one of:
474
475 B<ad> absolute with date: The absolute date and time is the actual time and
476 date the packet was captured
477
478 B<a> absolute: The absolute time is the actual time the packet was captured,
479 with no date displayed
480
481 B<r> relative: The relative time is the time elapsed between the first packet
482 and the current packet
483
484 B<d> delta: The delta time is the time since the previous packet was
485 captured
486
487 B<dd> delta_displayed: The delta_displayed time is the time since the
488 previous displayed packet was captured
489
490 B<e> epoch: The time in seconds since epoch (Jan 1, 1970 00:00:00)
491
492 The default format is relative.
493
494 =item -v
495
496 Print the version and exit.
497
498 =item -w  E<lt>outfileE<gt>
499
500 Set the default capture file name.
501
502 =item -y  E<lt>capture link typeE<gt>
503
504 If a capture is started from the command line with B<-k>, set the data
505 link type to use while capturing packets.  The values reported by B<-L>
506 are the values that can be used.
507
508 =item -X E<lt>eXtension optionsE<gt>
509
510 Specify an option to be passed to an B<Wireshark> module. The eXtension option
511 is in the form I<extension_key>B<:>I<value>, where I<extension_key> can be:
512
513 B<lua_script>:I<lua_script_filename> tells B<Wireshark> to load the given script in addition to the
514 default Lua scripts.
515
516 B<stdin_descr>:I<description> tells B<Wireshark> to use the given description when
517 capturing from standard input (B<-i ->).
518
519 =item -z  E<lt>statisticsE<gt>
520
521 Get B<Wireshark> to collect various types of statistics and display the result
522 in a window that updates in semi-real time.
523
524 Currently implemented statistics are:
525
526 =over 4
527
528 =item B<-z> dcerpc,srt,I<uuid>,I<major>.I<minor>[,I<filter>]
529
530 Collect call/reply SRT (Service Response Time) data for DCERPC interface I<uuid>,
531 version I<major>.I<minor>.
532 Data collected is the number of calls for each procedure, MinSRT, MaxSRT
533 and AvgSRT.
534
535 Example: S<B<-z dcerpc,srt,12345778-1234-abcd-ef00-0123456789ac,1.0>> will collect data for the CIFS SAMR Interface.
536
537 This option can be used multiple times on the command line.
538
539 If the optional I<filter>  is provided, the stats will only be calculated
540 on those calls that match that filter.
541
542 Example: S<B<-z dcerpc,srt,12345778-1234-abcd-ef00-0123456789ac,1.0,ip.addr==1.2.3.4>> will collect SAMR
543 SRT statistics for a specific host.
544
545 =item B<-z> io,stat
546
547 Collect packet/bytes statistics for the capture in intervals of 1 second.
548 This option will open a window with up to 5 color-coded graphs where
549 number-of-packets-per-second or number-of-bytes-per-second statistics
550 can be calculated and displayed.
551
552 This option can be used multiple times on the command line.
553
554 This graph window can also be opened from the Analyze:Statistics:Traffic:IO-Stat
555 menu item.
556
557 =item B<-z> rpc,srt,I<program>,I<version>[,<filter>]
558
559 Collect call/reply SRT (Service Response Time) data for I<program>/I<version>.  Data collected
560 is the number of calls for each procedure, MinSRT, MaxSRT and AvgSRT.
561
562 Example: B<-z rpc,srt,100003,3> will collect data for NFS v3.
563
564 This option can be used multiple times on the command line.
565
566 If the optional I<filter> is provided, the stats will only be calculated
567 on those calls that match that filter.
568
569 Example: S<B<-z rpc,srt,100003,3,nfs.fh.hash==0x12345678>> will collect NFS v3
570 SRT statistics for a specific file.
571
572 =item B<-z> rpc,programs
573
574 Collect call/reply RTT data for all known ONC-RPC programs/versions.
575 Data collected is the number of calls for each protocol/version, MinRTT,
576 MaxRTT and AvgRTT.
577
578 =item B<-z> scsi,srt,I<cmdset>[,<filter>]
579
580 Collect call/reply SRT (Service Response Time) data for SCSI commandset <cmdset>.
581
582 Commandsets are 0:SBC   1:SSC  5:MMC
583
584 Data collected
585 is the number of calls for each procedure, MinSRT, MaxSRT and AvgSRT.
586
587 Example: B<-z scsi,srt,0> will collect data for SCSI BLOCK COMMANDS (SBC).
588
589 This option can be used multiple times on the command line.
590
591 If the optional I<filter> is provided, the stats will only be calculated
592 on those calls that match that filter.
593
594 Example: B<-z scsi,srt,0,ip.addr==1.2.3.4> will collect SCSI SBC
595 SRT statistics for a specific iscsi/ifcp/fcip host.
596
597 =item B<-z> smb,srt[,I<filter>]
598
599 Collect call/reply SRT (Service Response Time) data for SMB.  Data collected
600 is the number of calls for each SMB command, MinSRT, MaxSRT and AvgSRT.
601
602 Example: B<-z smb,srt>
603
604 The data will be presented as separate tables for all normal SMB commands,
605 all Transaction2 commands and all NT Transaction commands.
606 Only those commands that are seen in the capture will have their stats
607 displayed.
608 Only the first command in a xAndX command chain will be used in the
609 calculation.  So for common SessionSetupAndX + TreeConnectAndX chains,
610 only the SessionSetupAndX call will be used in the statistics.
611 This is a flaw that might be fixed in the future.
612
613 This option can be used multiple times on the command line.
614
615 If the optional I<filter> is provided, the stats will only be calculated
616 on those calls that match that filter.
617
618 Example: B<-z "smb,srt,ip.addr==1.2.3.4"> will collect stats only for
619 SMB packets echanged by the host at IP address 1.2.3.4 .
620
621 =item B<-z> fc,srt[,I<filter>]
622
623 Collect call/reply SRT (Service Response Time) data for FC.  Data collected
624 is the number of calls for each Fibre Channel command, MinSRT, MaxSRT and AvgSRT.
625
626 Example: B<-z fc,srt>
627 will calculate the Service Response Time as the time delta between the
628 First packet of the exchange and the Last packet of the exchange.
629
630 The data will be presented as separate tables for all normal FC commands,
631 Only those commands that are seen in the capture will have its stats
632 displayed.
633
634 This option can be used multiple times on the command line.
635
636 If the optional I<filter> is provided, the stats will only be calculated
637 on those calls that match that filter.
638
639 Example: B<-z "fc,srt,fc.id==01.02.03"> will collect stats only for
640 FC packets exchanged by the host at FC address 01.02.03 .
641
642 =item B<-z> ldap,srt[,I<filter>]
643
644 Collect call/reply SRT (Service Response Time) data for LDAP.  Data collected
645 is the number of calls for each implemented LDAP command, MinSRT, MaxSRT and AvgSRT.
646
647 Example: B<-z ldap,srt>
648 will calculate the Service Response Time as the time delta between the
649 Request and the Response.
650
651 The data will be presented as separate tables for all implemented LDAP commands,
652 Only those commands that are seen in the capture will have its stats
653 displayed.
654
655 This option can be used multiple times on the command line.
656
657 If the optional I<filter> is provided, the stats will only be calculated
658 on those calls that match that filter.
659
660 Example: use B<-z "ldap,srt,ip.addr==10.1.1.1"> will collect stats only for
661 LDAP packets echanged by the host at IP address 10.1.1.1 .
662
663 The only LDAP commands that are currently implemented and for which the stats will be available are:
664 BIND
665 SEARCH
666 MODIFY
667 ADD
668 DELETE
669 MODRDN
670 COMPARE
671 EXTENDED
672
673 =item B<-z> mgcp,srt[I<,filter>]
674
675 Collect request/response SRT (Service Response Time) data for MGCP.
676 (This is similar to B<-z smb,srt>). Data collected is the number of calls
677 for each known MGCP Type, Minimum SRT, Maximum SRT and Average SRT.
678
679 Example: B<-z mgcp,srt>
680
681 This option can be used multiple times on the command line.
682
683 If the optional I<filter> is provided, the stats will only be calculated
684 on those calls that match that filter.
685
686 Example: B<-z "mgcp,srt,ip.addr==1.2.3.4"> will collect stats only for
687 MGCP packets exchanged by the host at IP address 1.2.3.4 .
688
689 =item B<-z> megaco,srt[I<,filter>]
690
691 Collect request/response SRT (Service Response Time) data for MEGACO.
692 (This is similar to B<-z smb,srt>). Data collected is the number of calls
693 for each known MEGACO Command, Minimum SRT, Maximum SRT and Average SRT.
694
695 Example: B<-z megaco,srt>
696
697 This option can be used multiple times on the command line.
698
699 If the optional I<filter> is provided, the stats will only be calculated
700 on those calls that match that filter.
701
702 Example: B<-z "megaco,srt,ip.addr==1.2.3.4"> will collect stats only for
703 MEGACO packets exchanged by the host at IP address 1.2.3.4 .
704
705 =item B<-z> conv,I<type>[,I<filter>]
706
707 Create a table that lists all conversations that could be seen in the
708 capture.  I<type> specifies the conversation endpoint types for which we
709 want to generate the statistics; currently the supported ones are:
710
711   "eth"   Ethernet addresses
712   "fc"    Fibre Channel addresses
713   "fddi"  FDDI addresses
714   "ip"    IPv4 addresses
715   "ipv6"  IPv6 addresses
716   "ipx"   IPX addresses
717   "tcp"   TCP/IP socket pairs   Both IPv4 and IPv6 are supported
718   "tr"    Token Ring addresses
719   "udp"   UDP/IP socket pairs   Both IPv4 and IPv6 are supported
720
721 If the optional I<filter> is specified, only those packets that match the
722 filter will be used in the calculations.
723
724 The table is presented with one line for each conversation and displays
725 the number of packets/bytes in each direction as well as the total
726 number of packets/bytes.  By default, the table is sorted according to
727 the total number of packets.
728
729 These tables can also be generated at runtime by selecting the appropriate
730 conversation type from the menu "Tools/Statistics/Conversation List/".
731
732 =item B<-z> h225,counter[I<,filter>]
733
734 Count ITU-T H.225 messages and their reasons. In the first column you get a
735 list of H.225 messages and H.225 message reasons which occur in the current
736 capture file. The number of occurences of each message or reason is displayed
737 in the second column.
738
739 Example: B<-z h225,counter>
740
741 This option can be used multiple times on the command line.
742
743 If the optional I<filter> is provided, the stats will only be calculated
744 on those calls that match that filter.
745
746 Example: B<-z "h225,counter,ip.addr==1.2.3.4"> will collect stats only for
747 H.225 packets exchanged by the host at IP address 1.2.3.4 .
748
749 =item B<-z> h225,srt[I<,filter>]
750
751 Collect request/response SRT (Service Response Time) data for ITU-T H.225 RAS.
752 Data collected is the number of calls of each ITU-T H.225 RAS Message Type,
753 Minimum SRT, Maximum SRT, Average SRT, Minimum in Packet, and Maximum in Packet.
754 You will also get the number of Open Requests (Unresponded Requests),
755 Discarded Responses (Responses without matching request) and Duplicate Messages.
756
757 Example: B<-z h225,srt>
758
759 This option can be used multiple times on the command line.
760
761 If the optional I<filter> is provided, the stats will only be calculated
762 on those calls that match that filter.
763
764 Example: B<-z "h225,srt,ip.addr==1.2.3.4"> willcollect stats only for
765 ITU-T H.225 RAS packets exchanged by the host at IP address 1.2.3.4 .
766
767 =item B<-z> sip,stat[I<,filter>]
768
769 This option will activate a counter for SIP messages. You will get the number
770 of occurences of each SIP Method and of each SIP Status-Code. Additionally you
771 also get the number of resent SIP Messages (only for SIP over UDP).
772
773 Example: B<-z sip,stat>
774
775 This option can be used multiple times on the command line.
776
777 If the optional I<filter> is provided, the stats will only be calculated
778 on those calls that match that filter.
779
780 Example: B<-z "sip,stat,ip.addr==1.2.3.4"> will collect stats only for
781 SIP packets exchanged by the host at IP address 1.2.3.4 .
782
783 =item B<-z> voip,calls
784
785 This option will show a window that shows VoIP calls found in the capture file.
786 This is the same window shown as when you go to the Statistics Menu and choose
787 VoIP Calls.
788
789 Example: B<-z voip,calls>
790
791 =back
792
793 =back
794
795 =head1 INTERFACE
796
797 =head2 MENU ITEMS
798
799 =over 4
800
801 =item File:Open
802
803 =item File:Open Recent
804
805 =item File:Merge
806
807 Merge another capture file to the currently loaded one. The I<File:Merge>
808 dialog box allows the merge "Prepended", "Chronologically" or "Appended",
809 relative to the already loaded one.
810
811 =item File:Close
812
813 Open or close a capture file.  The I<File:Open> dialog box
814 allows a filter to be specified; when the capture file is read, the
815 filter is applied to all packets read from the file, and packets not
816 matching the filter are discarded. The I<File:Open Recent> is a submenu
817 and will show a list of previously opened files.
818
819 =item File:Save
820
821 =item File:Save As
822
823 Save the current capture, or the packets currently displayed from that
824 capture, to a file.  Check boxes let you select whether to save all
825 packets, or just those that have passed the current display filter and/or
826 those that are currently marked, and an option menu lets you select (from
827 a list of file formats in which at particular capture, or the packets
828 currently displayed from that capture, can be saved), a file format in
829 which to save it.
830
831 =item File:File Set:List Files
832
833 Show a dialog box that lists all files of the file set matching the currently
834 loaded file. A file set is a compound of files resulting from a capture using
835 the "multiple files" / "ringbuffer" mode, recognizable by the filename pattern,
836 e.g.: Filename_00001_20050604101530.pcap.
837
838 =item File:File Set:Next File
839
840 =item File:File Set:Previous File
841
842 If the currently loaded file is part of a file set (see above), open the
843 next / previous file in that set.
844
845 =item File:Export
846
847 Export captured data into an external format. Note: the data cannot be
848 imported back into Wireshark, so be sure to keep the capture file.
849
850 =item File:Print
851
852 Print packet data from the current capture. You can select the range of
853 packets to be printed (which packets are printed), and the output format of
854 each packet (how each packet is printed). The output format will be similar
855 to the displayed values, so a summary line, the packet details view, and/or
856 the hex dump of the packet can be printed.
857
858 Printing options can be set with the I<Edit:Preferences> menu item, or in the
859 dialog box popped up by this menu item.
860
861 =item File:Quit
862
863 Exit the application.
864
865 =item Edit:Copy:Description
866
867 Copies the description of the selected field in the protocol tree to
868 the clipboard.
869
870 =item Edit:Copy:Fieldname
871
872 Copies the fieldname of the selected field in the protocol tree to
873 the clipboard.
874
875 =item Edit:Copy:Value
876
877 Copies the value of the selected field in the protocol tree to
878 the clipboard.
879
880 =item Edit:Copy:As Filter
881
882 Create a display filter based on the data currently highlighted in the
883 packet details and copy that filter to the clipboard.
884
885 If that data is a field that can be tested in a display filter
886 expression, the display filter will test that field; otherwise, the
887 display filter will be based on the absolute offset within the packet.
888 Therefore it could be unreliable if the packet contains protocols with
889 variable-length headers, such as a source-routed token-ring packet.
890
891 =item Edit:Find Packet
892
893 Search forward or backward, starting with the currently selected packet
894 (or the most recently selected packet, if no packet is selected).  Search
895 criteria can be a display filter expression, a string of hexadecimal
896 digits, or a text string.
897
898 When searching for a text string, you can search the packet data, or you
899 can search the text in the Info column in the packet list pane or in the
900 packet details pane.
901
902 Hexadecimal digits can be separated by colons, periods, or dashes.
903 Text string searches can be ASCII or Unicode (or both), and may be
904 case insensitive.
905
906 =item Edit:Find Next
907
908 =item Edit:Find Previous
909
910 Search forward / backward for a packet matching the filter from the previous
911 search, starting with the currently selected packet (or the most recently
912 selected packet, if no packet is selected).
913
914 =item Edit:Mark Packet (toggle)
915
916 Mark (or unmark if currently marked) the selected packet.  The field
917 "frame.marked" is set for packets that are marked, so that, for example,
918 a display filters can be used to display only marked packets, and so that
919 the L<Edit:Find Packet|/item_edit_3afind_packet> dialog can be used to find the next or previous
920 marked packet.
921
922 =item Edit:Find Next Mark
923
924 =item Edit:Find Previous Mark
925
926 Find next/previous marked packet.
927
928 =item Edit:Mark All Packets
929
930 =item Edit:Unmark All Packets
931
932 Mark / Unmark all packets that are currently displayed.
933
934 =item Edit:Time Reference:Set Time Reference (toggle)
935
936 Set (or unset if currently set) the selected packet as a Time Reference packet.
937 When a packet is set as a Time Reference packet, the timestamps in the packet
938 list pane will be replaced with the string "*REF*".
939 The relative time timestamp in later packets will then be calculated relative
940 to the timestamp of this Time Reference packet and not the first packet in
941 the capture.
942
943 Packets that have been selected as Time Reference packets will always be
944 displayed in the packet list pane.  Display filters will not affect or
945 hide these packets.
946
947 If there is a column displayed for "Cumulative Bytes" this counter will
948 be reset at every Time Reference packet.
949
950 =item Edit:Time Reference:Find Next
951
952 =item Edit:Time Reference:Find Previous
953
954 Search forward / backward for a time referenced packet.
955
956 =item Edit:Configuration Profiles
957
958 Manage configuration profiles to be able to use more than one set of
959 preferences and configurations.
960
961 =item Edit:Preferences
962
963 Set the GUI, capture, printing and protocol options
964 (see L<Preferences|/item_preferences> dialog below).
965
966 =item View:Main Toolbar
967
968 =item View:Filter Toolbar
969
970 =item View:Statusbar
971
972 Show or hide the main window controls.
973
974 =item View:Packet List
975
976 =item View:Packet Details
977
978 =item View:Packet Bytes
979
980 Show or hide the main window panes.
981
982 =item View:Time Display Format
983
984 Set the format of the packet timestamp displayed in the packet list window.
985
986 =item View:Name Resolution:Resolve Name
987
988 Try to resolve a name for the currently selected item.
989
990 =item View:Name Resolution:Enable for ... Layer
991
992 Enable or disable translation of addresses to names in the display.
993
994 =item View:Colorize Packet List
995
996 Enable or disable the coloring rules. Disabling will improve performance.
997
998 =item View:Auto Scroll in Live Capture
999
1000 Enable or disable the automatic scrolling of the
1001 packet list while a live capture is in progress.
1002
1003 =item View:Zoom In
1004
1005 =item View:Zoom Out
1006
1007 Zoom into / out of the main window data (by changing the font size).
1008
1009 =item View:Normal Size
1010
1011 Reset the zoom factor of zoom in / zoom out back to normal font size.
1012
1013 =item View:Resize All Columns
1014
1015 Resize all columns to best fit the current packet display.
1016
1017 =item View:Expand Subtrees
1018
1019 Expands the currently selected item and it's subtrees in the packet details.
1020
1021 =item View:Expand All
1022
1023 =item View:Collapse All
1024
1025 Expand / Collapse all branches of the packet details.
1026
1027 =item View:Colorize Conversation
1028
1029 Select color for a conversation.
1030
1031 =item View:Reset Coloring 1-10
1032
1033 Reset Color for a conversation.
1034
1035 =item View:Coloring Rules
1036
1037 Change the foreground and background colors of the packet information in
1038 the list of packets, based upon display filters.  The list of display
1039 filters is applied to each packet sequentially.  After the first display
1040 filter matches a packet, any additional display filters in the list are
1041 ignored.  Therefore, if you are filtering on the existence of protocols,
1042 you should list the higher-level protocols first, and the lower-level
1043 protocols last.
1044
1045 =over
1046
1047 =item How Colorization Works
1048
1049 Packets are colored according to a list of color filters. Each filter
1050 consists of a name, a filter expression and a coloration. A packet is
1051 colored according to the first filter that it matches. Color filter
1052 expressions use exactly the same syntax as display filter expressions.
1053
1054 When Wireshark starts, the color filters are loaded from:
1055
1056 =over
1057
1058 1. The user's personal color filters file or, if that does not exist,
1059
1060 2. The global color filters file.
1061
1062 =back
1063
1064 If neither of these exist then the packets will not be colored.
1065
1066 =back
1067
1068 =item View:Show Packet In New Window
1069
1070 Create a new window containing a packet details view and a hex dump
1071 window of the currently selected packet; this window will continue to
1072 display that packet's details and data even if another packet is
1073 selected.
1074
1075 =item View:Reload
1076
1077 Reload a capture file.  Same as I<File:Close> and I<File:Open> the same
1078 file again.
1079
1080 =item Go:Back
1081
1082 Go back in previously visited packets history.
1083
1084 =item Go:Forward
1085
1086 Go forward in previously visited packets history.
1087
1088 =item Go:Go To Packet
1089
1090 Go to a particular numbered packet.
1091
1092 =item Go:Go To Corresponding Packet
1093
1094 If a field in the packet details pane containing a packet number is
1095 selected, go to the packet number specified by that field.  (This works
1096 only if the dissector that put that entry into the packet details put it
1097 into the details as a filterable field rather than just as text.) This
1098 can be used, for example, to go to the packet for the request
1099 corresponding to a reply, or the reply corresponding to a request, if
1100 that packet number has been put into the packet details.
1101
1102 =item Go:Previous Packet
1103
1104 =item Go:Next Packet
1105
1106 =item Go:First Packet
1107
1108 =item Go:Last Packet
1109
1110 Go to the previous / next / first / last packet in the capture.
1111
1112 =item Capture:Interfaces
1113
1114 Shows a dialog box with all currently known interfaces and displaying the
1115 current network traffic amount. Capture sessions can be started from here.
1116 Beware: keeping this box open results in high system load!
1117
1118 =item Capture:Options
1119
1120 Initiate a live packet capture (see L<Capture Options|/item_capture_options>
1121 dialog below). If no filename is specified, a temporary file will be created
1122 to hold the capture. The location of the file can be chosen by setting your
1123 TMPDIR environment variable before starting B<Wireshark>. Otherwise, the
1124 default TMPDIR location is system-dependent, but is likely either F</var/tmp>
1125 or F</tmp>.
1126
1127 =item Capture:Start
1128
1129 Start a live packet capture with the previously selected options. This won't
1130 open the options dialog box, and can be convenient for repeatingly capturing
1131 with the same options.
1132
1133 =item Capture:Stop
1134
1135 Stop a running live capture.
1136
1137 =item Capture:Restart
1138
1139 While a live capture is running, stop it and restart with the same options
1140 again. This can be convenient to remove unrelevant packets, if no valuable
1141 packets were captured so far.
1142
1143 =item Capture:Capture Filters
1144
1145 Edit the saved list of capture filters, allowing filters to be added,
1146 changed, or deleted.
1147
1148 =item Analyze:Display Filters
1149
1150 Edit the saved list of display filters, allowing filters to be added,
1151 changed, or deleted.
1152
1153 =item Analyze:Display Filter Macros
1154
1155 Create shortcuts for complex macros
1156
1157 =item Analyze:Apply as Filter
1158
1159 Create a display filter based on the data currently highlighted in the
1160 packet details and apply the filter.
1161
1162 If that data is a field that can be tested in a display filter
1163 expression, the display filter will test that field; otherwise, the
1164 display filter will be based on the absolute offset within the packet.
1165 Therefore it could be unreliable if the packet contains protocols with
1166 variable-length headers, such as a source-routed token-ring packet.
1167
1168 The B<Selected> option creates a display filter that tests for a match
1169 of the data; the B<Not Selected> option creates a display filter that
1170 tests for a non-match of the data.  The B<And Selected>, B<Or Selected>,
1171 B<And Not Selected>, and B<Or Not Selected> options add to the end of
1172 the display filter in the strip at the top (or bottom) an AND or OR
1173 operator followed by the new display filter expression.
1174
1175 =item Analyze:Prepare a Filter
1176
1177 Create a display filter based on the data currently highlighted in the
1178 packet details. The filter strip at the top (or bottom) is updated but
1179 it is not yet applied.
1180
1181 =item Analyze:Enabled Protocols
1182
1183 Allow protocol dissection to be enabled or disabled for a specific
1184 protocol.  Individual protocols can be enabled or disabled by clicking
1185 on them in the list or by highlighting them and pressing the space bar.
1186 The entire list can be enabled, disabled, or inverted using the buttons
1187 below the list.
1188
1189 When a protocol is disabled, dissection in a particular packet stops
1190 when that protocol is reached, and Wireshark moves on to the next packet.
1191 Any higher-layer protocols that would otherwise have been processed will
1192 not be displayed.  For example, disabling TCP will prevent the dissection
1193 and display of TCP, HTTP, SMTP, Telnet, and any other protocol exclusively
1194 dependent on TCP.
1195
1196 The list of protocols can be saved, so that Wireshark will start up with
1197 the protocols in that list disabled.
1198
1199 =item Analyze:Decode As
1200
1201 If you have a packet selected, present a dialog allowing you to change
1202 which dissectors are used to decode this packet.  The dialog has one
1203 panel each for the link layer, network layer and transport layer
1204 protocol/port numbers, and will allow each of these to be changed
1205 independently.  For example, if the selected packet is a TCP packet to
1206 port 12345, using this dialog you can instruct Wireshark to decode all
1207 packets to or from that TCP port as HTTP packets.
1208
1209 =item Analyze:User Specified Decodes
1210
1211 Create a new window showing whether any protocol ID to dissector
1212 mappings have been changed by the user.  This window also allows the
1213 user to reset all decodes to their default values.
1214
1215 =item Analyze:Follow TCP Stream
1216
1217 If you have a TCP packet selected, display the contents of the data
1218 stream for the TCP connection to which that packet belongs, as text, in
1219 a separate window, and leave the list of packets in a filtered state,
1220 with only those packets that are part of that TCP connection being
1221 displayed.  You can revert to your old view by pressing ENTER in the
1222 display filter text box, thereby invoking your old display filter (or
1223 resetting it back to no display filter).
1224
1225 The window in which the data stream is displayed lets you select:
1226
1227 =over 8
1228
1229 =item *
1230
1231 whether to display the entire conversation, or one or the other side of
1232 it;
1233
1234 =item *
1235
1236 whether the data being displayed is to be treated as ASCII or EBCDIC
1237 text or as raw hex data;
1238
1239 =back
1240
1241 and lets you print what's currently being displayed, using the same
1242 print options that are used for the I<File:Print Packet> menu item, or
1243 save it as text to a file.
1244
1245 =item Analyze:Follow UDP Stream
1246
1247 =item Analyze:Follow SSL Stream
1248
1249 (Similar to Analyze:Follow TCP Stream)
1250
1251 =item Analyze:Expert Info
1252
1253 =item Analyze:Expert Info Composite
1254
1255 (Kind of) a log of anomalies found by Wireshark in a capture file.
1256
1257 =item Analyze:Conversation Filter
1258
1259 =item Statistics:Summary
1260
1261 Show summary information about the capture, including elapsed time,
1262 packet counts, byte counts, and the like.  If a display filter is in
1263 effect, summary information will be shown about the capture and about
1264 the packets currently being displayed.
1265
1266 =item Statistics:Protocol Hierarchy
1267
1268 Show the number of packets, and the number of bytes in those packets,
1269 for each protocol in the trace.  It organizes the protocols in the same
1270 hierarchy in which they were found in the trace.  Besides counting the
1271 packets in which the protocol exists, a count is also made for packets
1272 in which the protocol is the last protocol in the stack.  These
1273 last-protocol counts show you how many packets (and the byte count
1274 associated with those packets) B<ended> in a particular protocol.  In
1275 the table, they are listed under "End Packets" and "End Bytes".
1276
1277 =item Statistics:Conversations
1278
1279 Lists of conversations; selectable by protocol. See Statistics:Conversation List below.
1280
1281 =item Statistics:End Points
1282
1283 List of End Point Addresses by protocol with packets/bytes/.... counts.
1284
1285 =item Statistics:Packet Lengths
1286
1287 Grouped counts of packet lengths (0-19 bytes, 20-39 bytes, ...)
1288
1289 =item Statistics:IO Graphs
1290
1291 Open a window where up to 5 graphs in different colors can be displayed
1292 to indicate number of packets or number of bytes per second for all packets
1293 matching the specified filter.
1294 By default only one graph will be displayed showing number of packets per second.
1295
1296 The top part of the window contains the graphs and scales for the X and
1297 Y axis.  If the graph is too long to fit inside the window there is a
1298 horizontal scrollbar below the drawing area that can scroll the graphs
1299 to the left or the right.  The horizontal axis displays the time into
1300 the capture and the vertical axis will display the measured quantity at
1301 that time.
1302
1303 Below the drawing area and the scrollbar are the controls.  On the
1304 bottom left there will be five similar sets of controls to control each
1305 individual graph such as "Display:<button>" which button will toggle
1306 that individual graph on/off.  If <button> is ticked, the graph will be
1307 displayed.  "Color:<color>" which is just a button to show which color
1308 will be used to draw that graph (color is only available in Gtk2
1309 version) and finally "Filter:<filter-text>" which can be used to specify
1310 a display filter for that particular graph.
1311
1312 If filter-text is empty then all packets will be used to calculate the
1313 quantity for that graph.  If filter-text is specified only those packets
1314 that match that display filter will be considered in the calculation of
1315 quantity.
1316
1317 To the right of the 5 graph controls there are four menus to control
1318 global aspects of the draw area and graphs.  The "Unit:" menu is used to
1319 control what to measure; "packets/tick", "bytes/tick" or "advanced..."
1320
1321 packets/tick will measure the number of packets matching the (if
1322 specified) display filter for the graph in each measurement interval.
1323
1324 bytes/tick will measure the total number of bytes in all packets matching
1325 the (if specified) display filter for the graph in each measurement
1326 interval.
1327
1328 advanced... see below
1329
1330 "Tick interval:" specifies what measurement intervals to use.  The
1331 default is 1 second and means that the data will be counted over 1
1332 second intervals.
1333
1334 "Pixels per tick:" specifies how many pixels wide each measurement
1335 interval will be in the drawing area.  The default is 5 pixels per tick.
1336
1337 "Y-scale:" controls the max value for the y-axis.  Default value is
1338 "auto" which means that B<Wireshark> will try to adjust the maxvalue
1339 automatically.
1340
1341 "advanced..." If Unit:advanced...  is selected the window will display
1342 two more controls for each of the five graphs.  One control will be a
1343 menu where the type of calculation can be selected from
1344 SUM,COUNT,MAX,MIN,AVG and LOAD, and one control, textbox, where the name of a
1345 single display filter field can be specified.
1346
1347 The following restrictions apply to type and field combinations:
1348
1349 SUM: available for all types of integers and will calculate the SUM of
1350 all occurences of this field in the measurement interval.  Note that
1351 some field can occur multiple times in the same packet and then all
1352 instances will be summed up.  Example: 'tcp.len' which will count the
1353 amount of payload data transferred across TCP in each interval.
1354
1355 COUNT: available for all field types. This will COUNT the number of times
1356 certain field occurs in each interval. Note that some fields
1357 may occur multiple times in each packet and if that is the case
1358 then each instance will be counted independently and COUNT
1359 will be greater than the number of packets.
1360
1361 MAX: available for all integer and relative time fields. This will calculate
1362 the max seen integer/time value seen for the field during the interval.
1363 Example: 'smb.time' which will plot the maximum SMB response time.
1364
1365 MIN: available for all integer and relative time fields. This will calculate
1366 the min seen integer/time value seen for the field during the interval.
1367 Example: 'smb.time' which will plot the minimum SMB response time.
1368
1369 AVG: available for all integer and relative time fields.This will
1370 calculate the average seen integer/time value seen for the field during
1371 the interval.  Example: 'smb.time' which will plot the average SMB
1372 response time.
1373
1374 LOAD: available only for relative time fields (response times).
1375
1376 Example of advanced:
1377 Display how NFS response time MAX/MIN/AVG changes over time:
1378
1379 Set first graph to:
1380
1381    filter:nfs&&rpc.time
1382    Calc:MAX rpc.time
1383
1384 Set second graph to
1385
1386    filter:nfs&&rpc.time
1387    Calc:AVG rpc.time
1388
1389 Set third graph to
1390
1391    filter:nfs&&rpc.time
1392    Calc:MIN rpc.time
1393
1394 Example of advanced:
1395 Display how the average packet size from host a.b.c.d changes over time.
1396
1397 Set first graph to
1398
1399    filter:ip.addr==a.b.c.d&&frame.pkt_len
1400    Calc:AVG frame.pkt_len
1401
1402 LOAD:
1403 The LOAD io-stat type is very different from anything you have ever seen
1404 before! While the response times themself as plotted by MIN,MAX,AVG are
1405 indications on the Server load (which affects the Server response time),
1406 the LOAD measurement measures the Client LOAD.
1407 What this measures is how much workload the client generates,
1408 i.e. how fast will the client issue new commands when the previous ones
1409 completed.
1410 i.e. the level of concurrency the client can maintain.
1411 The higher the number, the more and faster is the client issuing new
1412 commands. When the LOAD goes down, it may be due to client load making
1413 the client slower in issuing new commands (there may be other reasons as
1414 well, maybe the client just doesn't have any commands it wants to issue
1415 right then).
1416
1417 Load is measured in concurrency/number of overlapping i/o and the value
1418 1000 means there is a constant load of one i/o.
1419
1420 In each tick interval the amount of overlap is measured.
1421 See the graph below containing three commands:
1422 Below the graph are the LOAD values for each interval that would be calculated.
1423
1424   |     |     |     |     |     |     |     |     |
1425   |     |     |     |     |     |     |     |     |
1426   |     |  o=====*  |     |     |     |     |     |
1427   |     |     |     |     |     |     |     |     |
1428   |  o========*     | o============*  |     |     |
1429   |     |     |     |     |     |     |     |     |
1430   --------------------------------------------------> Time
1431    500   1500   500  750   1000   500    0     0
1432
1433 =item Statistics:Conversation List
1434
1435 This option will open a new window that displays a list of all
1436 conversations between two endpoints.  The list has one row for each
1437 unique conversation and displays total number of packets/bytes seen as
1438 well as number of packets/bytes in each direction.
1439
1440 By default the list is sorted according to the number of packets but by
1441 clicking on the column header; it is possible to re-sort the list in
1442 ascending or descending order by any column.
1443
1444 By first selecting a conversation by clicking on it and then using the
1445 right mouse button (on those platforms that have a right
1446 mouse button) wireshark will display a popup menu offering several different
1447 filter operations to apply to the capture.
1448
1449 These statistics windows can also be invoked from the Wireshark command
1450 line using the B<-z conv> argument.
1451
1452 =item Statistics:Service Response Time
1453
1454 =over 4
1455
1456 =item *
1457
1458 AFP
1459
1460 =item *
1461
1462 CAMEL
1463
1464 =item *
1465
1466 DCE-RPC
1467
1468 Open a window to display Service Response Time statistics for an
1469 arbitrary DCE-RPC program
1470 interface and display B<Procedure>, B<Number of Calls>, B<Minimum SRT>,
1471 B<Maximum SRT> and B<Average SRT> for all procedures for that
1472 program/version.  These windows opened will update in semi-real time to
1473 reflect changes when doing live captures or when reading new capture
1474 files into B<Wireshark>.
1475
1476 This dialog will also allow an optional filter string to be used.
1477 If an optional filter string is used only such DCE-RPC request/response pairs
1478 that match that filter will be used to calculate the statistics. If no filter
1479 string is specified all request/response pairs will be used.
1480
1481 =item *
1482
1483 Diameter
1484
1485 =item *
1486
1487 Fibre Channel
1488
1489 Open a window to display Service Response Time statistics for Fibre Channel
1490 and display B<FC Type>, B<Number of Calls>, B<Minimum SRT>,
1491 B<Maximum SRT> and B<Average SRT> for all FC types.
1492 These windows opened will update in semi-real time to
1493 reflect changes when doing live captures or when reading new capture
1494 files into B<Wireshark>.
1495 The Service Response Time is calculated as the time delta between the
1496 First packet of the exchange and the Last packet of the exchange.
1497
1498 This dialog will also allow an optional filter string to be used.
1499 If an optional filter string is used only such FC first/last exchange pairs
1500 that match that filter will be used to calculate the statistics. If no filter
1501 string is specified all request/response pairs will be used.
1502
1503 =item *
1504
1505 GTP
1506
1507 =item *
1508
1509 H.225 RAS
1510
1511 Collect requests/response SRT (Service Response Time) data for ITU-T H.225 RAS.
1512 Data collected is B<number of calls> for each known ITU-T H.225 RAS Message Type,
1513 B<Minimum SRT>, B<Maximum SRT>, B<Average SRT>, B<Minimum in Packet>, and B<Maximum in Packet>.
1514 You will also get the number of B<Open Requests> (Unresponded Requests),
1515 B<Discarded Responses> (Responses without matching request) and Duplicate Messages.
1516 These windows opened will update in semi-real time to reflect changes when
1517 doing live captures or when reading new capture files into B<Wireshark>.
1518
1519 You can apply an optional filter string in a dialog box, before starting
1520 the calculation. The statistics will only be calculated
1521 on those calls matching that filter.
1522
1523 =item *
1524
1525 LDAP
1526
1527 =item *
1528
1529 MEGACO
1530
1531 =item *
1532
1533 MGCP
1534
1535 Collect requests/response SRT (Service Response Time) data for MGCP.
1536 Data collected is B<number of calls> for each known MGCP Type,
1537 B<Minimum SRT>, B<Maximum SRT>, B<Average SRT>, B<Minimum in Packet>, and B<Maximum in Packet>.
1538 These windows opened will update in semi-real time to reflect changes when
1539 doing live captures or when reading new capture files into B<Wireshark>.
1540
1541 You can apply an optional filter string in a dialog box, before starting
1542 the calculation. The statistics will only be calculated
1543 on those calls matching that filter.
1544
1545 =item *
1546
1547 NCP
1548
1549 =item *
1550
1551 ONC-RPC
1552
1553 Open a window to display statistics for an arbitrary ONC-RPC program interface
1554 and display B<Procedure>, B<Number of Calls>, B<Minimum SRT>, B<Maximum SRT> and B<Average SRT> for all procedures for that program/version.
1555 These windows opened will update in semi-real time to reflect changes when
1556 doing live captures or when reading new capture files into B<Wireshark>.
1557
1558 This dialog will also allow an optional filter string to be used.
1559 If an optional filter string is used only such ONC-RPC request/response pairs
1560 that match that filter will be used to calculate the statistics. If no filter
1561 string is specified all request/response pairs will be used.
1562
1563 By first selecting a conversation by clicking on it and then using the
1564 right mouse button (on those platforms that have a right
1565 mouse button) wireshark will display a popup menu offering several different
1566 filter operations to apply to the capture.
1567
1568 =item *
1569
1570 RADIUS
1571
1572 =item *
1573
1574 SCSI
1575
1576 =item *
1577
1578 SMB
1579
1580 Collect call/reply SRT (Service Response Time) data for SMB.  Data collected
1581 is the number of calls for each SMB command, MinSRT, MaxSRT and AvgSRT.
1582
1583 The data will be presented as separate tables for all normal SMB commands,
1584 all Transaction2 commands and all NT Transaction commands.
1585 Only those commands that are seen in the capture will have its stats
1586 displayed.
1587 Only the first command in a xAndX command chain will be used in the
1588 calculation.  So for common SessionSetupAndX + TreeConnectAndX chains,
1589 only the SessionSetupAndX call will be used in the statistics.
1590 This is a flaw that might be fixed in the future.
1591
1592 You can apply an optional filter string in a dialog box, before starting
1593 the calculation. The stats will only be calculated
1594 on those calls matching that filter.
1595
1596 By first selecting a conversation by clicking on it and then using the
1597 right mouse button (on those platforms that have a right
1598 mouse button) wireshark will display a popup menu offering several different
1599 filter operations to apply to the capture.
1600
1601 =item *
1602
1603 SMB2
1604
1605 =back
1606
1607 =item Statistics:BOOTP-DHCP
1608
1609
1610
1611 =item Statistics:Compare
1612
1613 Compare two Capture Files
1614
1615 =item Statistics:Flow Graph
1616
1617 Flow Graph: General/TCP
1618
1619 =item Statistics:HTTP
1620
1621 HTTP Load Distribution, Packet Counter & Requests
1622
1623 =item Statistics:IP Addresses
1624
1625 Count/Rate/Percent by IP Address
1626
1627 =item Statistics:IP Destinations
1628
1629 Count/Rate/Percent by IP Address/protocol/port
1630
1631 =item Statistics:IP Protocol Types
1632
1633 Count/Rate/Percent by IP Protocol Types
1634
1635 =item Statistics:ONC-RPC Programs
1636
1637 This dialog will open a window showing aggregated RTT statistics for all
1638 ONC-RPC Programs/versions that exist in the capture file.
1639
1640 =item Statistics:TCP Stream Graph
1641
1642 Graphs: Round Trip; Thoughput; Time-Sequence (Stevens); Time-Sequence (tcptrace)
1643
1644 =item Statistics:UDP Multicast streams
1645
1646 Multicast Streams Counts/Rates/... by Source/Destination Address/Port pairs
1647
1648 =item Statistics:WLAN Traffic
1649
1650 WLAn Traffic Statistics
1651
1652 =item Telephony:ITU-T H.225
1653
1654 Count ITU-T H.225 messages and their reasons. In the first column you get a
1655 list of H.225 messages and H.225 message reasons, which occur in the current
1656 capture file. The number of occurences of each message or reason will be displayed
1657 in the second column.
1658 This window opened will update in semi-real time to reflect changes when
1659 doing live captures or when reading new capture files into B<Wireshark>.
1660
1661 You can apply an optional filter string in a dialog box, before starting
1662 the counter. The statistics will only be calculated
1663 on those calls matching that filter.
1664
1665 =item Telephony:SIP
1666
1667 Activate a counter for SIP messages. You will get the number of occurences of each
1668 SIP Method and of each SIP Status-Code. Additionally you also get the number of
1669 resent SIP Messages (only for SIP over UDP).
1670
1671 This window opened will update in semi-real time to reflect changes when
1672 doing live captures or when reading new capture files into B<Wireshark>.
1673
1674 You can apply an optional filter string in a dialog box, before starting
1675 the counter. The statistics will only be calculated
1676 on those calls matching that filter.
1677
1678 =item Tools:Firewall ACL Rules
1679
1680
1681
1682 =item Help:Contents
1683
1684 Some help texts.
1685
1686 =item Help:Supported Protocols
1687
1688 List of supported protocols and display filter protocol fields.
1689
1690 =item Help:Manual Pages
1691
1692 Display locally installed HTML versions of these manual pages in a web browser.
1693
1694 =item Help:Wireshark Online
1695
1696 Various links to online resources to be open in a web browser, like
1697 L<http://www.wireshark.org>.
1698
1699 =item Help:About Wireshark
1700
1701 See various information about Wireshark (see L<About|/item_about> dialog below), like the
1702 version, the folders used, the available plugins, ...
1703
1704 =back
1705
1706 =head2 WINDOWS
1707
1708 =over 4
1709
1710 =item Main Window
1711
1712 The main window contains the usual things like the menu, some toolbars, the
1713 main area and a statusbar. The main area is split into three panes, you can
1714 resize each pane using a "thumb" at the right end of each divider line.
1715
1716 The main window is much more flexible than before. The layout of the main
1717 window can be customized by the I<Layout> page in the dialog box popped
1718 up by I<Edit:Preferences>, the following will describe the layout with the
1719 default settings.
1720
1721 =over 6
1722
1723 =item Main Toolbar
1724
1725 Some menu items are available for quick access here. There is no way to
1726 customize the items in the toolbar, however the toolbar can be hidden by
1727 I<View:Main Toolbar>.
1728
1729 =item Filter Toolbar
1730
1731 A display filter can be entered into the filter toolbar.
1732 A filter for HTTP, HTTPS, and DNS traffic might look like this:
1733
1734   tcp.port == 80 || tcp.port == 443 || tcp.port == 53
1735
1736 Selecting the I<Filter:> button lets you choose from a list of named
1737 filters that you can optionally save.  Pressing the Return or Enter
1738 keys, or selecting the I<Apply> button, will cause the filter to be
1739 applied to the current list of packets.  Selecting the I<Reset> button
1740 clears the display filter so that all packets are displayed (again).
1741
1742 There is no way to customize the items in the toolbar, however the toolbar
1743 can be hidden by I<View:Filter Toolbar>.
1744
1745 =item Packet List Pane
1746
1747 The top pane contains the list of network packets that you can scroll
1748 through and select.  By default, the packet number, packet timestamp,
1749 source and destination addresses, protocol, and description are
1750 displayed for each packet; the I<Columns> page in the dialog box popped
1751 up by I<Edit:Preferences> lets you change this (although, unfortunately,
1752 you currently have to save the preferences, and exit and restart
1753 Wireshark, for those changes to take effect).
1754
1755 If you click on the heading for a column, the display will be sorted by
1756 that column; clicking on the heading again will reverse the sort order
1757 for that column.
1758
1759 An effort is made to display information as high up the protocol stack
1760 as possible, e.g. IP addresses are displayed for IP packets, but the
1761 MAC layer address is displayed for unknown packet types.
1762
1763 The right mouse button can be used to pop up a menu of operations.
1764
1765 The middle mouse button can be used to mark a packet.
1766
1767 =item Packet Details Pane
1768
1769 The middle pane contains a display of the details of the
1770 currently-selected packet.  The display shows each field and its value
1771 in each protocol header in the stack.  The right mouse button can be
1772 used to pop up a menu of operations.
1773
1774 =item Packet Bytes Pane
1775
1776 The lowest pane contains a hex and ASCII dump of the actual packet data.
1777 Selecting a field in the packet details highlights the corresponding
1778 bytes in this section.
1779
1780 The right mouse button can be used to pop up a menu of operations.
1781
1782 =item Statusbar
1783
1784 The statusbar is divided into three parts, on the left some context dependent
1785 things are shown, like information about the loaded file, in the center the
1786 number of packets are displayed, and on the right the current configuration
1787 profile.
1788
1789 The statusbar can be hidden by I<View:Statusbar>.
1790
1791 =back
1792
1793 =item Preferences
1794
1795 The I<Preferences> dialog lets you control various personal preferences
1796 for the behavior of B<Wireshark>.
1797
1798 =over 6
1799
1800 =item User Interface Preferences
1801
1802 The I<User Interface> page is used to modify small aspects of the GUI to
1803 your own personal taste:
1804
1805 =over 6
1806
1807 =item Selection Bars
1808
1809 The selection bar in the packet list and packet details can have either
1810 a "browse" or "select" behavior.  If the selection bar has a "browse"
1811 behavior, the arrow keys will move an outline of the selection bar,
1812 allowing you to browse the rest of the list or details without changing
1813 the selection until you press the space bar.  If the selection bar has a
1814 "select" behavior, the arrow keys will move the selection bar and change
1815 the selection to the new item in the packet list or packet details.
1816
1817 =item Save Window Position
1818
1819 If this item is selected, the position of the main Wireshark window will
1820 be saved when Wireshark exits, and used when Wireshark is started again.
1821
1822 =item Save Window Size
1823
1824 If this item is selected, the size of the main Wireshark window will
1825 be saved when Wireshark exits, and used when Wireshark is started again.
1826
1827 =item Save Window Maximized state
1828
1829 If this item is selected the maximize state of the main Wireshark window
1830 will be saved when Wireshark exists, and used when Wireshark is started again.
1831
1832 =item File Open Dialog Behavior
1833
1834 This item allows the user to select how Wireshark handles the listing
1835 of the "File Open" Dialog when opening trace files.  "Remember Last
1836 Directory" causes Wireshark to automatically position the dialog in the
1837 directory of the most recently opened file, even between launches of Wireshark.
1838 "Always Open in Directory" allows the user to define a persistent directory
1839 that the dialog will always default to.
1840
1841 =item Directory
1842
1843 Allows the user to specify a persistent File Open directory.  Trailing
1844 slashes or backslashes will automatically be added.
1845
1846 =item File Open Preview timeout
1847
1848 This items allows the user to define how much time is spend reading the
1849 capture file to present preview data in the File Open dialog.
1850
1851 =item Open Recent maximum list entries
1852
1853 The File menu supports a recent file list. This items allows the user to
1854 specify how many files are kept track of in this list.
1855
1856 =item Ask for unsaved capture files
1857
1858 When closing a capture file or Wireshark itself if the file isn't saved yet
1859 the user is presented the option to save the file when this item is set.
1860
1861 =item Wrap during find
1862
1863 This items determines the behaviour when reaching the beginning or the end
1864 of a capture file. When set the search wraps around and continues, otherwise
1865 it stops.
1866
1867 =item Settings dialogs show a save button
1868
1869 This item determines if the various dialogs sport an explicit Save button
1870 or that save is implicit in Ok / Apply.
1871
1872 =item Web browser command
1873
1874 This entry specifies the command line to launch a web browser. It is used
1875 to access online content, like the Wiki and user guide. Use '%s' to place
1876 the request URL in the command line.
1877
1878 =back
1879
1880 =item Layout Preferences
1881
1882 The I<Layout> page lets you specify the general layout of the main window.
1883 You can choose from six different layouts and fill the three panes with the
1884 contents you like.
1885
1886 =over 6
1887
1888 =item Scrollbars
1889
1890 The vertical scrollbars in the three panes can be set to be either on
1891 the left or the right.
1892
1893 =item Alternating row colors
1894
1895 =item Hex Display
1896
1897 The highlight method in the hex dump display for the selected protocol
1898 item can be set to use either inverse video, or bold characters.
1899
1900 =item Toolbar style
1901
1902 =item Filter toolbar placement
1903
1904 =item Custom window title
1905
1906 =back
1907
1908 =item Column Preferences
1909
1910 The I<Columns> page lets you specify the number, title, and format
1911 of each column in the packet list.
1912
1913 The I<Column title> entry is used to specify the title of the column
1914 displayed at the top of the packet list.  The type of data that the column
1915 displays can be specified using the I<Column format> option menu.
1916 The row of buttons on the left perform the following actions:
1917
1918 =over 6
1919
1920 =item New
1921
1922 Adds a new column to the list.
1923
1924 =item Delete
1925
1926 Deletes the currently selected list item.
1927
1928 =item Up / Down
1929
1930 Moves the selected list item up or down one position.
1931
1932 =back
1933
1934 =item Font Preferences
1935
1936 The I<Font> page lets you select the font to be used for most text.
1937
1938 =item Color Preferences
1939
1940 The I<Colors> page can be used to change the color of the text
1941 displayed in the TCP stream window and for marked packets. To change a color,
1942 simply select an attribute from the "Set:" menu and use the color selector to
1943 get the desired color.  The new text colors are displayed as a sample text.
1944
1945 =item Capture Preferences
1946
1947 The I<Capture> page lets you specify various parameters for capturing
1948 live packet data; these are used the first time a capture is started.
1949
1950 The I<Interface:> combo box lets you specify the interface from which to
1951 capture packet data, or the name of a FIFO from which to get the packet
1952 data.
1953
1954 The I<Data link type:> option menu lets you, for some interfaces, select
1955 the data link header you want to see on the packets you capture.  For
1956 example, in some OSes and with some versions of libpcap, you can choose,
1957 on an 802.11 interface, whether the packets should appear as Ethernet
1958 packets (with a fake Ethernet header) or as 802.11 packets.
1959
1960 The I<Limit each packet to ... bytes> check box lets you set the
1961 snapshot length to use when capturing live data; turn on the check box,
1962 and then set the number of bytes to use as the snapshot length.
1963
1964 The I<Filter:> text entry lets you set a capture filter expression to be
1965 used when capturing.
1966
1967 If any of the environment variables SSH_CONNECTION, SSH_CLIENT,
1968 REMOTEHOST, DISPLAY, or SESSIONNAME are set, Wireshark will create a
1969 default capture filter that excludes traffic from the hosts and ports
1970 defined in those variables.
1971
1972 The I<Capture packets in promiscuous mode> check box lets you specify
1973 whether to put the interface in promiscuous mode when capturing.
1974
1975 The I<Update list of packets in real time> check box lets you specify
1976 that the display should be updated as packets are seen.
1977
1978 The I<Automatic scrolling in live capture> check box lets you specify
1979 whether, in an "Update list of packets in real time" capture, the packet
1980 list pane should automatically scroll to show the most recently captured
1981 packets.
1982
1983 =item Printing Preferences
1984
1985 The radio buttons at the top of the I<Printing> page allow you choose
1986 between printing packets with the I<File:Print Packet> menu item as text
1987 or PostScript, and sending the output directly to a command or saving it
1988 to a file.  The I<Command:> text entry box, on UNIX-compatible systems,
1989 is the command to send files to (usually B<lpr>), and the I<File:> entry
1990 box lets you enter the name of the file you wish to save to.
1991 Additionally, you can select the I<File:> button to browse the file
1992 system for a particular save file.
1993
1994 =item Name Resolution Preferences
1995
1996 The I<Enable MAC name resolution>, I<Enable network name resolution> and
1997 I<Enable transport name resolution> check boxes let you specify whether
1998 MAC addresses, network addresses, and transport-layer port numbers
1999 should be translated to names.
2000
2001 The I<Enable concurrent DNS name resolution> allows Wireshark to send out
2002 multiple name resolution requests and not wait for the result before
2003 continuing dissection. This speeds up dissection with network name
2004 resolution but initially may miss resolutions. The number of concurrent
2005 requests can be set here as well.
2006
2007 I<SMI paths>
2008
2009 I<SMI modules>
2010
2011 =item RTP Player Preferences
2012
2013 This page allows you to select the number of channels visible in the
2014 RTP player window. It determines the height of the window, more channels
2015 are possible and visible by means of a scroll bar.
2016
2017 =item Protocol Preferences
2018
2019 There are also pages for various protocols that Wireshark dissects,
2020 controlling the way Wireshark handles those protocols.
2021
2022 =back
2023
2024 =item Edit Capture Filter List
2025
2026 =item Edit Display Filter List
2027
2028 =item Capture Filter
2029
2030 =item Display Filter
2031
2032 =item Read Filter
2033
2034 =item Search Filter
2035
2036 The I<Edit Capture Filter List> dialog lets you create, modify, and
2037 delete capture filters, and the I<Edit Display Filter List> dialog lets
2038 you create, modify, and delete display filters.
2039
2040 The I<Capture Filter> dialog lets you do all of the editing operations
2041 listed, and also lets you choose or construct a filter to be used when
2042 capturing packets.
2043
2044 The I<Display Filter> dialog lets you do all of the editing operations
2045 listed, and also lets you choose or construct a filter to be used to
2046 filter the current capture being viewed.
2047
2048 The I<Read Filter> dialog lets you do all of the editing operations
2049 listed, and also lets you choose or construct a filter to be used to
2050 as a read filter for a capture file you open.
2051
2052 The I<Search Filter> dialog lets you do all of the editing operations
2053 listed, and also lets you choose or construct a filter expression to be
2054 used in a find operation.
2055
2056 In all of those dialogs, the I<Filter name> entry specifies a
2057 descriptive name for a filter, e.g.  B<Web and DNS traffic>.  The
2058 I<Filter string> entry is the text that actually describes the filtering
2059 action to take, as described above.The dialog buttons perform the
2060 following actions:
2061
2062 =over 6
2063
2064 =item New
2065
2066 If there is text in the two entry boxes, creates a new associated list
2067 item.
2068
2069 =item Edit
2070
2071 Modifies the currently selected list item to match what's in the entry
2072 boxes.
2073
2074 =item Delete
2075
2076 Deletes the currently selected list item.
2077
2078 =item Add Expression...
2079
2080 For display filter expressions, pops up a dialog box to allow you to
2081 construct a filter expression to test a particular field; it offers
2082 lists of field names, and, when appropriate, lists from which to select
2083 tests to perform on the field and values with which to compare it.  In
2084 that dialog box, the OK button will cause the filter expression you
2085 constructed to be entered into the I<Filter string> entry at the current
2086 cursor position.
2087
2088 =item OK
2089
2090 In the I<Capture Filter> dialog, closes the dialog box and makes the
2091 filter in the I<Filter string> entry the filter in the I<Capture
2092 Preferences> dialog.  In the I<Display Filter> dialog, closes the dialog
2093 box and makes the filter in the I<Filter string> entry the current
2094 display filter, and applies it to the current capture.  In the I<Read
2095 Filter> dialog, closes the dialog box and makes the filter in the
2096 I<Filter string> entry the filter in the I<Open Capture File> dialog.
2097 In the I<Search Filter> dialog, closes the dialog box and makes the
2098 filter in the I<Filter string> entry the filter in the I<Find Packet>
2099 dialog.
2100
2101 =item Apply
2102
2103 Makes the filter in the I<Filter string> entry the current display
2104 filter, and applies it to the current capture.
2105
2106 =item Save
2107
2108 If the list of filters being edited is the list of
2109 capture filters, saves the current filter list to the personal capture
2110 filters file, and if the list of filters being edited is the list of
2111 display filters, saves the current filter list to the personal display
2112 filters file.
2113
2114 =item Close
2115
2116 Closes the dialog without doing anything with the filter in the I<Filter
2117 string> entry.
2118
2119 =back
2120
2121 =item The Color Filters Dialog
2122
2123 This dialog displays a list of color filters and allows it to be
2124 modified.
2125
2126 =over
2127
2128 =item THE FILTER LIST
2129
2130 Single rows may be selected by clicking. Multiple rows may be selected
2131 by using the ctrl and shift keys in combination with the mouse button.
2132
2133 =item NEW
2134
2135 Adds a new filter at the bottom of the list and opens the Edit Color
2136 Filter dialog box. You will have to alter the filter expression at
2137 least before the filter will be accepted. The format of color filter
2138 expressions is identical to that of display filters. The new filter is
2139 selected, so it may immediately be moved up and down, deleted or edited.
2140 To avoid confusion all filters are unselected before the new filter is
2141 created.
2142
2143 =item EDIT
2144
2145 Opens the Edit Color Filter dialog box for the selected filter. (If this
2146 button is disabled you may have more than one filter selected, making it
2147 ambiguous which is to be edited.)
2148
2149 =item ENABLE
2150
2151 Enables the selected color filter(s).
2152
2153 =item DISABLE
2154
2155 Disables the selected color filter(s).
2156
2157 =item DELETE
2158
2159 Deletes the selected color filter(s).
2160
2161 =item EXPORT
2162
2163 Allows you to choose a file in which to save the current list of color
2164 filters. You may also choose to save only the selected filters. A
2165 button is provided to save the filters in the global color filters file
2166 (you must have sufficient permissions to write this file, of course).
2167
2168 =item IMPORT
2169
2170 Allows you to choose a file containing color filters which are then
2171 added to the bottom of the current list. All the added filters are
2172 selected, so they may be moved to the correct position in the list as a
2173 group. To avoid confusion, all filters are unselected before the new
2174 filters are imported. A button is provided to load the filters from the
2175 global color filters file.
2176
2177 =item CLEAR
2178
2179 Deletes your personal color filters file, reloads the global
2180 color filters file, if any, and closes the dialog.
2181
2182 =item UP
2183
2184 Moves the selected filter(s) up the list, making it more likely that
2185 they will be used to color packets.
2186
2187 =item DOWN
2188
2189 Moves the selected filter(s) down the list, making it less likely that
2190 they will be used to color packets.
2191
2192 =item OK
2193
2194 Closes the dialog and uses the color filters as they stand.
2195
2196 =item APPLY
2197
2198 Colors the packets according to the current list of color filters, but
2199 does not close the dialog.
2200
2201 =item SAVE
2202
2203 Saves the current list of color filters in your personal color filters
2204 file. Unless you do this they will not be used the next time you start
2205 Wireshark.
2206
2207 =item CLOSE
2208
2209 Closes the dialog without changing the coloration of the packets. Note
2210 that changes you have made to the current list of color filters are not
2211 undone.
2212
2213 =back
2214
2215 =item Capture Options
2216
2217 The I<Capture Options> dialog lets you specify various parameters for
2218 capturing live packet data.
2219
2220 The I<Interface:> field lets you specify the interface from which to
2221 capture packet data or a command from which to get the packet data via a
2222 pipe.
2223
2224 The I<Link layer header type:> field lets you specify the interfaces link
2225 layer header type. This field is usually disabled, as most interface have
2226 only one header type.
2227
2228 The I<Capture packets in promiscuous mode> check box lets you specify
2229 whether the interface should be put into promiscuous mode when
2230 capturing.
2231
2232 The I<Limit each packet to ... bytes> check box and field lets you
2233 specify a maximum number of bytes per packet to capture and save; if the
2234 check box is not checked, the limit will be 65535 bytes.
2235
2236 The I<Capture Filter:> entry lets you specify the capture filter using a
2237 tcpdump-style filter string as described above.
2238
2239 The I<File:> entry lets you specify the file into which captured packets
2240 should be saved, as in the I<Printer Options> dialog above.  If not
2241 specified, the captured packets will be saved in a temporary file; you
2242 can save those packets to a file with the I<File:Save As> menu item.
2243
2244 The I<Use multiple files> check box lets you specify that the capture
2245 should be done in "multiple files" mode. This option is disabled, if the
2246 I<Update list of packets in real time> option is checked.
2247
2248 The I<Next file every ...  megabyte(s)> check box and fields lets
2249 you specify that a switch to a next file should be done
2250 if the specified filesize is reached. You can also select the appriate
2251 unit, but beware that the filesize has a maximum of 2 GB.
2252 The check box is forced to be checked, as "multiple files" mode requires a
2253 file size to be specified.
2254
2255 The I<Next file every ... minute(s)> check box and fields lets
2256 you specify that the switch to a next file should be done after the specified
2257 time has elapsed, even if the specified capture size is not reached.
2258
2259 The I<Ring buffer with ... files> field lets you specify the number
2260 of files of a ring buffer. This feature will capture into to the first file
2261 again, after the specified amount of files were used.
2262
2263 The I<Stop capture after ... files> field lets you specify the number
2264 of capture files used, until the capture is stopped.
2265
2266 The I<Stop capture after ... packet(s)> check box and field let
2267 you specify that Wireshark should stop capturing after having captured
2268 some number of packets; if the check box is not checked, Wireshark will
2269 not stop capturing at some fixed number of captured packets.
2270
2271 The I<Stop capture after ... megabyte(s)> check box and field lets
2272 you specify that Wireshark should stop capturing after the file to which
2273 captured packets are being saved grows as large as or larger than some
2274 specified number of megabytes. If the check box is not checked, Wireshark
2275 will not stop capturing at some capture file size (although the operating
2276 system on which Wireshark is running, or the available disk space, may still
2277 limit the maximum size of a capture file). This option is disabled, if
2278 "multiple files" mode is used,
2279
2280 The I<Stop capture after ...  second(s)> check box and field let you
2281 specify that Wireshark should stop capturing after it has been capturing
2282 for some number of seconds; if the check box is not checked, Wireshark
2283 will not stop capturing after some fixed time has elapsed.
2284
2285 The I<Update list of packets in real time> check box lets you specify
2286 whether the display should be updated as packets are captured and, if
2287 you specify that, the I<Automatic scrolling in live capture> check box
2288 lets you specify the packet list pane should automatically scroll to
2289 show the most recently captured packets as new packets arrive.
2290
2291 The I<Enable MAC name resolution>, I<Enable network name resolution> and
2292 I<Enable transport name resolution> check boxes let you specify whether
2293 MAC addresses, network addresses, and transport-layer port numbers
2294 should be translated to names.
2295
2296 =item About
2297
2298 The I<About> dialog lets you view various information about Wireshark.
2299
2300 =item About:Wireshark
2301
2302 The I<Wireshark> page lets you view general information about Wireshark,
2303 like the installed version, licensing information and such.
2304
2305 =item About:Authors
2306
2307 The I<Authors> page shows the author and all contributors.
2308
2309 =item About:Folders
2310
2311 The I<Folders> page lets you view the directory names where Wireshark is
2312 searching it's various configuration and other files.
2313
2314 =item About:Plugins
2315
2316 The I<Plugins> page lets you view the dissector plugin modules
2317 available on your system.
2318
2319 The I<Plugins List> shows the name and version of each dissector plugin
2320 module found on your system.
2321
2322 On Unix-compatible systems, the plugins are looked for in the following
2323 directories: the F<lib/wireshark/plugins/$VERSION> directory under the
2324 main installation directory (for example,
2325 F</usr/local/lib/wireshark/plugins/$VERSION>), and then
2326 F<$HOME/.wireshark/plugins>.
2327
2328 On Windows systems, the plugins are looked for in the following
2329 directories: F<plugins\$VERSION> directory under the main installation
2330 directory (for example, F<C:\Program Files\Wireshark\plugins\$VERSION>),
2331 and then F<%APPDATA%\Wireshark\plugins\$VERSION> (or, if %APPDATA% isn't
2332 defined, F<%USERPROFILE%\Application Data\Wireshark\plugins\$VERSION>).
2333
2334 $VERSION is the version number of the plugin interface, which
2335 is typically the version number of Wireshark.  Note that a dissector
2336 plugin module may support more than one protocol; there is not
2337 necessarily a one-to-one correspondence between dissector plugin modules
2338 and protocols.  Protocols supported by a dissector plugin module are
2339 enabled and disabled using the I<Edit:Protocols> dialog box, just as
2340 protocols built into Wireshark are.
2341
2342 =back
2343
2344 =head1 CAPTURE FILTER SYNTAX
2345
2346 See the manual page of pcap-filter(4) or, if that doesn't exist, tcpdump(8),
2347 or, if that doesn't exist, L<http://wiki.wireshark.org/CaptureFilters>.
2348
2349 =head1 DISPLAY FILTER SYNTAX
2350
2351 For a complete table of protocol and protocol fields that are filterable
2352 in B<Wireshark> see the wireshark-filter(4) manual page.
2353
2354 =head1 FILES
2355
2356 These files contains various B<Wireshark> configuration settings.
2357
2358 =over 4
2359
2360 =item Preferences
2361
2362 The F<preferences> files contain global (system-wide) and personal
2363 preference settings. If the system-wide preference file exists, it is
2364 read first, overriding the default settings. If the personal preferences
2365 file exists, it is read next, overriding any previous values. Note: If
2366 the command line flag B<-o> is used (possibly more than once), it will
2367 in turn override values from the preferences files.
2368
2369 The preferences settings are in the form I<prefname>B<:>I<value>,
2370 one per line,
2371 where I<prefname> is the name of the preference
2372 and I<value> is the value to
2373 which it should be set; white space is allowed between B<:> and
2374 I<value>.  A preference setting can be continued on subsequent lines by
2375 indenting the continuation lines with white space.  A B<#> character
2376 starts a comment that runs to the end of the line:
2377
2378   # Vertical scrollbars should be on right side?
2379   # TRUE or FALSE (case-insensitive).
2380   gui.scrollbar_on_right: TRUE
2381
2382 The global preferences file is looked for in the F<wireshark> directory
2383 under the F<share> subdirectory of the main installation directory (for
2384 example, F</usr/local/share/wireshark/preferences>) on UNIX-compatible
2385 systems, and in the main installation directory (for example,
2386 F<C:\Program Files\Wireshark\preferences>) on Windows systems.
2387
2388 The personal preferences file is looked for in F<$HOME/.wireshark/preferences> on
2389 UNIX-compatible systems and F<%APPDATA%\Wireshark\preferences> (or, if
2390 %APPDATA% isn't defined, F<%USERPROFILE%\Application
2391 Data\Wireshark\preferences>) on Windows systems.
2392
2393 Note: Whenever the preferences are saved by using the I<Save> button
2394 in the I<Edit:Preferences> dialog box, your personal preferences file
2395 will be overwritten with the new settings, destroying any comments and
2396 unknown/obsolete settings that were in the file.
2397
2398 =item Recent
2399
2400 The F<recent> file contains personal settings (mostly GUI related) such
2401 as the current B<Wireshark> window size. The file is saved at program exit and
2402 read in at program start automatically. Note: The command line flag B<-o>
2403 may be used to override settings from this file.
2404
2405 The settings in this file have the same format as in the F<preferences>
2406 files, and the same directory as for the personal preferences file is
2407 used.
2408
2409 Note: Whenever Wireshark is closed, your recent file
2410 will be overwritten with the new settings, destroying any comments and
2411 unknown/obsolete settings that were in the file.
2412
2413 =item Disabled (Enabled) Protocols
2414
2415 The F<disabled_protos> files contain system-wide and personal lists of
2416 protocols that have been disabled, so that their dissectors are never
2417 called.  The files contain protocol names, one per line, where the
2418 protocol name is the same name that would be used in a display filter
2419 for the protocol:
2420
2421   http
2422   tcp     # a comment
2423
2424 If a protocol is listed in the global F<disabled_protos> file, it is not
2425 displayed in the I<Analyze:Enabled Protocols> dialog box, and so cannot
2426 be enabled by the user.
2427
2428 The global F<disabled_protos> file uses the same directory as the global
2429 preferences file.
2430
2431 The personal F<disabled_protos> file uses the same directory as the
2432 personal preferences file.
2433
2434 Note: Whenever the disabled protocols list is saved by using the I<Save>
2435 button in the I<Analyze:Enabled Protocols> dialog box, your personal
2436 disabled protocols file will be overwritten with the new settings,
2437 destroying any comments that were in the file.
2438
2439 =item Name Resolution (hosts)
2440
2441 If the personal F<hosts> file exists, it is
2442 used to resolve IPv4 and IPv6 addresses before any other
2443 attempts are made to resolve them.  The file has the standard F<hosts>
2444 file syntax; each line contains one IP address and name, separated by
2445 whitespace. The same directory as for the personal preferences file is used.
2446
2447 Capture filter name resolution is handled by libpcap on UNIX-compatible
2448 systems and WinPCAP on Windows.  As such the Wireshark personal F<hosts> file
2449 will not be consulted for capture filter name resolution.
2450
2451 =item Name Resolution (ethers)
2452
2453 The F<ethers> files are consulted to correlate 6-byte hardware addresses to
2454 names. First the personal F<ethers> file is tried and if an address is not
2455 found there the global F<ethers> file is tried next.
2456
2457 Each line contains one hardware address and name, separated by
2458 whitespace.  The digits of the hardware address are separated by colons
2459 (:), dashes (-) or periods (.).  The same separator character must be
2460 used consistently in an address. The following three lines are valid
2461 lines of an F<ethers> file:
2462
2463   ff:ff:ff:ff:ff:ff          Broadcast
2464   c0-00-ff-ff-ff-ff          TR_broadcast
2465   00.00.00.00.00.00          Zero_broadcast
2466
2467 The global F<ethers> file is looked for in the F</etc> directory on
2468 UNIX-compatible systems, and in the main installation directory (for
2469 example, F<C:\Program Files\Wireshark>) on Windows systems.
2470
2471 The personal F<ethers> file is looked for in the same directory as the personal
2472 preferences file.
2473
2474 Capture filter name resolution is handled by libpcap on UNIX-compatible
2475 systems and WinPCAP on Windows.  As such the Wireshark personal F<ethers> file
2476 will not be consulted for capture filter name resolution.
2477
2478 =item Name Resolution (manuf)
2479
2480 The F<manuf> file is used to match the 3-byte vendor portion of a 6-byte
2481 hardware address with the manufacturer's name; it can also contain well-known
2482 MAC addresses and address ranges specified with a netmask.  The format of the
2483 file is the same as the F<ethers> files, except that entries such as:
2484
2485   00:00:0C      Cisco
2486
2487 can be provided, with the 3-byte OUI and the name for a vendor, and
2488 entries such as:
2489
2490   00-00-0C-07-AC/40     All-HSRP-routers
2491
2492 can be specified, with a MAC address and a mask indicating how many bits
2493 of the address must match. The above entry, for example, has 40
2494 significant bits, or 5 bytes, and would match addresses from
2495 00-00-0C-07-AC-00 through 00-00-0C-07-AC-FF. The mask need not be a
2496 multiple of 8.
2497
2498 The F<manuf> file is looked for in the same directory as the global
2499 preferences file.
2500
2501 =item Name Resolution (ipxnets)
2502
2503 The F<ipxnets> files are used to correlate 4-byte IPX network numbers to
2504 names. First the global F<ipxnets> file is tried and if that address is not
2505 found there the personal one is tried next.
2506
2507 The format is the same as the F<ethers>
2508 file, except that each address is four bytes instead of six.
2509 Additionally, the address can be represented as a single hexadecimal
2510 number, as is more common in the IPX world, rather than four hex octets.
2511 For example, these four lines are valid lines of an F<ipxnets> file:
2512
2513   C0.A8.2C.00              HR
2514   c0-a8-1c-00              CEO
2515   00:00:BE:EF              IT_Server1
2516   110f                     FileServer3
2517
2518 The global F<ipxnets> file is looked for in the F</etc> directory on
2519 UNIX-compatible systems, and in the main installation directory (for
2520 example, F<C:\Program Files\Wireshark>) on Windows systems.
2521
2522 The personal F<ipxnets> file is looked for in the same directory as the
2523 personal preferences file.
2524
2525 =item Capture Filters
2526
2527 The F<cfilters> files contain system-wide and personal capture filters.
2528 Each line contains one filter, starting with the string displayed in the
2529 dialog box in quotation marks, followed by the filter string itself:
2530
2531   "HTTP" port 80
2532   "DCERPC" port 135
2533
2534 The global F<cfilters> file uses the same directory as the
2535 global preferences file.
2536
2537 The personal F<cfilters> file uses the same directory as the personal
2538 preferences file. It is written through the Capture:Capture Filters
2539 dialog.
2540
2541 If the global F<cfilters> file exists, it is used only if the personal
2542 F<cfilters> file does not exist; global and personal capture filters are
2543 not merged.
2544
2545 =item Display Filters
2546
2547 The F<dfilters> files contain system-wide and personal display filters.
2548 Each line contains one filter, starting with the string displayed in the
2549 dialog box in quotation marks, followed by the filter string itself:
2550
2551   "HTTP" http
2552   "DCERPC" dcerpc
2553
2554 The global F<dfilters> file uses the same directory as the
2555 global preferences file.
2556
2557 The personal F<dfilters> file uses the same directory as the
2558 personal preferences file. It is written through the Analyze:Display
2559 Filters dialog.
2560
2561 If the global F<dfilters> file exists, it is used only if the personal
2562 F<dfilters> file does not exist; global and personal display filters are
2563 not merged.
2564
2565 =item Color Filters (Coloring Rules)
2566
2567 The F<colorfilters> files contain system-wide and personal color filters.
2568 Each line contains one filter, starting with the string displayed in the
2569 dialog box, followed by the corresponding display filter. Then the
2570 background and foreground colors are appended:
2571
2572   # a comment
2573   @tcp@tcp@[59345,58980,65534][0,0,0]
2574   @udp@udp@[28834,57427,65533][0,0,0]
2575
2576 The global F<colorfilters> file uses the same directory as the
2577 global preferences file.
2578
2579 The personal F<colorfilters> file uses the same directory as the
2580 personal preferences file. It is written through the View:Coloring Rules
2581 dialog.
2582
2583 If the global F<colorfilters> file exists, it is used only if the personal
2584 F<colorfilters> file does not exist; global and personal color filters are
2585 not merged.
2586
2587 =item GTK rc files
2588
2589 The F<gtkrc> files contain system-wide and personal GTK theme settings.
2590
2591 The global F<gtkrc> file uses the same directory as the
2592 global preferences file.
2593
2594 The personal F<gtkrc> file uses the same directory as the personal
2595 preferences file.
2596
2597 =item Plugins
2598
2599 See above in the description of the About:Plugins page.
2600
2601 =back
2602
2603 =head1 ENVIRONMENT VARIABLES
2604
2605 =over 4
2606
2607 =item WIRESHARK_DEBUG_EP_NO_CHUNKS
2608
2609 Normally per-packet memory is allocated in large "chunks."  This behavior
2610 doesn't work well with debugging tools such as Valgrind or ElectricFence.
2611 Export this environment variable to force individual allocations.
2612 Note: disabling chunks also disables canaries (see below).
2613
2614 =item WIRESHARK_DEBUG_SE_NO_CHUNKS
2615
2616 Normally per-file memory is allocated in large "chunks."  This behavior
2617 doesn't work well with debugging tools such as Valgrind or ElectricFence.
2618 Export this environment variable to force individual allocations.
2619 Note: disabling chunks also disables canaries (see below).
2620
2621 =item WIRESHARK_DEBUG_EP_NO_CANARY
2622
2623 Normally per-packet memory allocations are separated by "canaries" which
2624 allow detection of memory overruns.  This comes at the expense of some extra
2625 memory usage.  Exporting this environment variable disables these canaries.
2626
2627 =item WIRESHARK_DEBUG_SE_USE_CANARY
2628
2629 Exporting this environment variable causes per-file memory allocations to be
2630 protected with "canaries" which allow for detection of memory overruns.
2631 This comes at the expense of significant extra memory usage.
2632
2633 =item WIRESHARK_DEBUG_SCRUB_MEMORY
2634
2635 If this environment variable is exported, the contents of per-packet and
2636 per-file memory is initialized to 0xBADDCAFE when the memory is allocated
2637 and is reset to 0xDEADBEEF when the memory is freed.  This functionality is
2638 useful mainly to developers looking for bugs in the way memory is handled.
2639
2640 =item WIRESHARK_RUN_FROM_BUILD_DIRECTORY
2641
2642 This environment variable causes the plugins and other data files to be loaded
2643 from the build directory (where the program was compiled) rather than from the
2644 standard locations.  It has no effect when the program in question is running
2645 with root (or setuid) permissions on *NIX.
2646
2647 =item WIRESHARK_DATA_DIR
2648
2649 This environment variable causes the various data files to be loaded from
2650 a directory other than the standard locations.  It has no effect when the
2651 program in question is running with root (or setuid) permissions on *NIX.
2652
2653 =item WIRESHARK_PYTHON_DIR
2654
2655 This environment variable points to an alternate location for Python.
2656 It has no effect when the program in question is running with root (or setuid)
2657 permissions on *NIX.
2658
2659 =item ERF_RECORDS_TO_CHECK
2660
2661 This environment variable controls the number of ERF records checked when
2662 deciding if a file really is in the ERF format.  Setting this environment
2663 variable a number higher than the default (20) would make false positives
2664 less likely.
2665
2666 =item IPFIX_RECORDS_TO_CHECK
2667
2668 This environment variable controls the number of IPFIX records checked when
2669 deciding if a file really is in the IPFIX format.  Setting this environment
2670 variable a number higher than the default (20) would make false positives
2671 less likely.
2672
2673 =item WIRESHARK_ABORT_ON_DISSECTOR_BUG
2674
2675 If this environment variable is set, B<Wireshark> will call abort(3)
2676 when a dissector bug is encountered.  abort(3) will cause the program to
2677 exit abnormally; if you are running B<Wireshark> in a debugger, it
2678 should halt in the debugger and allow inspection of the process, and, if
2679 you are not running it in a debugger, it will, on some OSes, assuming
2680 your environment is configured correctly, generate a core dump file.
2681 This can be useful to developers attempting to troubleshoot a problem
2682 with a protocol dissector.
2683
2684 =item WIRESHARK_EP_VERIFY_POINTERS
2685
2686 This environment variable, if exported, causes certain uses of pointers to be
2687 audited to ensure they do not point to memory that is deallocated after each
2688 packet has been fully dissected.  This can be useful to developers writing or
2689 auditing code.
2690
2691 =item WIRESHARK_SE_VERIFY_POINTERS
2692
2693 This environment variable, if exported, causes certain uses of pointers to be
2694 audited to ensure they do not point to memory that is deallocated after when
2695 a capture file is closed.  This can be useful to developers writing or
2696 auditing code.
2697
2698 =back
2699
2700 =head1 SEE ALSO
2701
2702 wireshark-filter(4), tshark(1), editcap(1), pcap-filter(4), tcpdump(8),
2703 pcap(3), dumpcap(1), mergecap(1), text2pcap(1)
2704
2705 =head1 NOTES
2706
2707 The latest version of B<Wireshark> can be found at
2708 L<http://www.wireshark.org>.
2709
2710 HTML versions of the Wireshark project man pages are available at:
2711 L<http://www.wireshark.org/docs/man-pages>.
2712
2713 =head1 AUTHORS
2714
2715