ethereal.1

   1 .rn '' }`
   2 ''' $RCSfile: ethereal.1,v $$Revision: 1.2 $$Date: 1998/09/17 02:01:47 $
   3 '''
   4 ''' $Log: ethereal.1,v $
   5 ''' Revision 1.2  1998/09/17 02:01:47  gerald
   6 ''' * Added in Laurent's OSI/ISO CNLP and COTP support.
   7 ''' * Added Laurent's changes to the man (actually pod) page.
   8 ''' * Copied in VERSION file so that others can make doc/Makefile
   9 '''
  10 '''
  11 .de Sh
  12 .br
  13 .if t .Sp
  14 .ne 5
  15 .PP
  16 \fB\\$1\fR
  17 .PP
  18 ..
  19 .de Sp
  20 .if t .sp .5v
  21 .if n .sp
  22 ..
  23 .de Ip
  24 .br
  25 .ie \\n(.$>=3 .ne \\$3
  26 .el .ne 3
  27 .IP "\\$1" \\$2
  28 ..
  29 .de Vb
  30 .ft CW
  31 .nf
  32 .ne \\$1
  33 ..
  34 .de Ve
  35 .ft R
  36
  37 .fi
  38 ..
  39 '''
  40 '''
  41 '''     Set up \*(-- to give an unbreakable dash;
  42 '''     string Tr holds user defined translation string.
  43 '''     Bell System Logo is used as a dummy character.
  44 '''
  45 .tr \(*W-|\(bv\*(Tr
  46 .ie n \{\
  47 .ds -- \(*W-
  48 .ds PI pi
  49 .if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch
  50 .if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\" diablo 12 pitch
  51 .ds L" ""
  52 .ds R" ""
  53 '''   \*(M", \*(S", \*(N" and \*(T" are the equivalent of
  54 '''   \*(L" and \*(R", except that they are used on ".xx" lines,
  55 '''   such as .IP and .SH, which do another additional levels of
  56 '''   double-quote interpretation
  57 .ds M" """
  58 .ds S" """
  59 .ds N" """""
  60 .ds T" """""
  61 .ds L' '
  62 .ds R' '
  63 .ds M' '
  64 .ds S' '
  65 .ds N' '
  66 .ds T' '
  67 'br\}
  68 .el\{\
  69 .ds -- \(em\|
  70 .tr \*(Tr
  71 .ds L" ``
  72 .ds R" ''
  73 .ds M" ``
  74 .ds S" ''
  75 .ds N" ``
  76 .ds T" ''
  77 .ds L' `
  78 .ds R' '
  79 .ds M' `
  80 .ds S' '
  81 .ds N' `
  82 .ds T' '
  83 .ds PI \(*p
  84 'br\}
  85 .\"     If the F register is turned on, we'll generate
  86 .\"     index entries out stderr for the following things:
  87 .\"             TH      Title
  88 .\"             SH      Header
  89 .\"             Sh      Subsection
  90 .\"             Ip      Item
  91 .\"             X<>     Xref  (embedded
  92 .\"     Of course, you have to process the output yourself
  93 .\"     in some meaninful fashion.
  94 .if \nF \{
  95 .de IX
  96 .tm Index:\\$1\t\\n%\t"\\$2"
  97 ..
  98 .nr % 0
  99 .rr F
 100 .\}
 101 .TH ETHEREAL 1 "0.3.16" "16/Sep/98" "The Ethereal Network Analyzer"
 102 .UC
 103 .if n .hy 0
 104 .if n .na
 105 .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p'
 106 .de CQ          \" put $1 in typewriter font
 107 .ft CW
 108 'if n "\c
 109 'if t \\&\\$1\c
 110 'if n \\&\\$1\c
 111 'if n \&"
 112 \\&\\$2 \\$3 \\$4 \\$5 \\$6 \\$7
 113 '.ft R
 114 ..
 115 .\" @(#)ms.acc 1.5 88/02/08 SMI; from UCB 4.2
 116 .       \" AM - accent mark definitions
 117 .bd B 3
 118 .       \" fudge factors for nroff and troff
 119 .if n \{\
 120 .       ds #H 0
 121 .       ds #V .8m
 122 .       ds #F .3m
 123 .       ds #[ \f1
 124 .       ds #] \fP
 125 .\}
 126 .if t \{\
 127 .       ds #H ((1u-(\\\\n(.fu%2u))*.13m)
 128 .       ds #V .6m
 129 .       ds #F 0
 130 .       ds #[ \&
 131 .       ds #] \&
 132 .\}
 133 .       \" simple accents for nroff and troff
 134 .if n \{\
 135 .       ds ' \&
 136 .       ds ` \&
 137 .       ds ^ \&
 138 .       ds , \&
 139 .       ds ~ ~
 140 .       ds ? ?
 141 .       ds ! !
 142 .       ds /
 143 .       ds q
 144 .\}
 145 .if t \{\
 146 .       ds ' \\k:\h'-(\\n(.wu*8/10-\*(#H)'\'\h"|\\n:u"
 147 .       ds ` \\k:\h'-(\\n(.wu*8/10-\*(#H)'\`\h'|\\n:u'
 148 .       ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'^\h'|\\n:u'
 149 .       ds , \\k:\h'-(\\n(.wu*8/10)',\h'|\\n:u'
 150 .       ds ~ \\k:\h'-(\\n(.wu-\*(#H-.1m)'~\h'|\\n:u'
 151 .       ds ? \s-2c\h'-\w'c'u*7/10'\u\h'\*(#H'\zi\d\s+2\h'\w'c'u*8/10'
 152 .       ds ! \s-2\(or\s+2\h'-\w'\(or'u'\v'-.8m'.\v'.8m'
 153 .       ds / \\k:\h'-(\\n(.wu*8/10-\*(#H)'\z\(sl\h'|\\n:u'
 154 .       ds q o\h'-\w'o'u*8/10'\s-4\v'.4m'\z\(*i\v'-.4m'\s+4\h'\w'o'u*8/10'
 155 .\}
 156 .       \" troff and (daisy-wheel) nroff accents
 157 .ds : \\k:\h'-(\\n(.wu*8/10-\*(#H+.1m+\*(#F)'\v'-\*(#V'\z.\h'.2m+\*(#F'.\h'|\\n:u'\v'\*(#V'
 158 .ds 8 \h'\*(#H'\(*b\h'-\*(#H'
 159 .ds v \\k:\h'-(\\n(.wu*9/10-\*(#H)'\v'-\*(#V'\*(#[\s-4v\s0\v'\*(#V'\h'|\\n:u'\*(#]
 160 .ds _ \\k:\h'-(\\n(.wu*9/10-\*(#H+(\*(#F*2/3))'\v'-.4m'\z\(hy\v'.4m'\h'|\\n:u'
 161 .ds . \\k:\h'-(\\n(.wu*8/10)'\v'\*(#V*4/10'\z.\v'-\*(#V*4/10'\h'|\\n:u'
 162 .ds 3 \*(#[\v'.2m'\s-2\&3\s0\v'-.2m'\*(#]
 163 .ds o \\k:\h'-(\\n(.wu+\w'\(de'u-\*(#H)/2u'\v'-.3n'\*(#[\z\(de\v'.3n'\h'|\\n:u'\*(#]
 164 .ds d- \h'\*(#H'\(pd\h'-\w'~'u'\v'-.25m'\f2\(hy\fP\v'.25m'\h'-\*(#H'
 165 .ds D- D\\k:\h'-\w'D'u'\v'-.11m'\z\(hy\v'.11m'\h'|\\n:u'
 166 .ds th \*(#[\v'.3m'\s+1I\s-1\v'-.3m'\h'-(\w'I'u*2/3)'\s-1o\s+1\*(#]
 167 .ds Th \*(#[\s+2I\s-2\h'-\w'I'u*3/5'\v'-.3m'o\v'.3m'\*(#]
 168 .ds ae a\h'-(\w'a'u*4/10)'e
 169 .ds Ae A\h'-(\w'A'u*4/10)'E
 170 .ds oe o\h'-(\w'o'u*4/10)'e
 171 .ds Oe O\h'-(\w'O'u*4/10)'E
 172 .       \" corrections for vroff
 173 .if v .ds ~ \\k:\h'-(\\n(.wu*9/10-\*(#H)'\s-2\u~\d\s+2\h'|\\n:u'
 174 .if v .ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'\v'-.4m'^\v'.4m'\h'|\\n:u'
 175 .       \" for low resolution devices (crt and lpr)
 176 .if \n(.H>23 .if \n(.V>19 \
 177 \{\
 178 .       ds : e
 179 .       ds 8 ss
 180 .       ds v \h'-1'\o'\(aa\(ga'
 181 .       ds _ \h'-1'^
 182 .       ds . \h'-1'.
 183 .       ds 3 3
 184 .       ds o a
 185 .       ds d- d\h'-1'\(ga
 186 .       ds D- D\h'-1'\(hy
 187 .       ds th \o'bp'
 188 .       ds Th \o'LP'
 189 .       ds ae ae
 190 .       ds Ae AE
 191 .       ds oe oe
 192 .       ds Oe OE
 193 .\}
 194 .rm #[ #] #H #V #F C
 195 .SH "NAME"
 196 Ethereal \- Interactively browse network traffic
 197 .SH "SYNOPSYS"
 198 \fBethereal\fR
 199 [\ \fB\-B\fR\ byte\ view\ height\ ]
 200 [\ \fB\-b\fR\ bold\ font\ ]
 201 [\ \fB\-c\fR\ count\ ]
 202 [\ \fB\-h\fR\ ]
 203 [\ \fB\-i\fR\ interface\ ]
 204 [\ \fB\-m\fR\ font\ ]
 205 [\ \fB\-n\fR\ ]
 206 [\ \fB\-P\fR\ packet\ list\ height\ ]
 207 [\ \fB\-r\fR\ infile\ ]
 208 [\ \fB\-s\fR\ snaplen\ ]
 209 [\ \fB\-T\fR\ tree\ view\ height\ ]
 210 [\ \fB\-v\fR\ ]
 211 [\ \fB\-w\fR\ savefile]
 212 .SH "DESCRIPTION"
 213 \fBEthereal\fR is a network protocol analyzer based on the \fBGTK+\fR GUI toolkit.  It lets
 214 you interactively browse packet data from a live network or from a \fBpcap\fR
 215 / \fBtcpdump()\fR formatted capture file.
 216 .SH "OPTIONS"
 217 .Ip "-B" 4
 218 Sets the initial height of the byte view (bottom) pane
 219 .Ip "-b" 4
 220 The bold font name used for packet fied display.
 221 .Ip "-c" 4
 222 The default number of packets to read when capturing live data.
 223 .Ip "-h" 4
 224 Prints the version and options and exits.
 225 .Ip "-i" 4
 226 The name of the interface to use for live packet capture.  It should match
 227 one of the names listed in \*(L"\fBnetstat \-i\fR\*(R" or \*(L"\fBifconfig \-a\fR\*(R".
 228 .Ip "-m" 4
 229 The font name used by \fBEthereal\fR.
 230 .Ip "-n" 4
 231 Disable network object name resolution (such as hostname, \s-1TCP\s0 and \s-1UDP\s0 port
 232 names).
 233 .Ip "-P" 4
 234 Sets the initial height of the packet list (top) pane
 235 .Ip "-r" 4
 236 Read packet data from \fIfile\fR.  Currently, \fBEthereal\fR only understands
 237 \fBpcap\fR / \fBtcpdump\fR formatted files.
 238 .Ip "-s" 4
 239 The default snapshot length to use when capturing live data.  No more than
 240 \fIsnaplen\fR bytes of each network packet will be read into memory, or saved
 241 to disk.
 242 .Ip "-T" 4
 243 Sets the initial height of the tree view (top) pane
 244 .Ip "-v" 4
 245 Prints the version and exits.
 246 .Ip "-w" 4
 247 Sets the default capture file name.
 248 .SH "INTERFACE"
 249 .Sh "\s-1MENU\s0 \s-1ITEMS\s0"
 250 .Ip "File:Open, File:Close" 4
 251 Open or close a capture file.
 252 .Ip "File:Print Packet" 4
 253 Print a description of each protocol header found in the packet, followed
 254 by the packet data itself.  Printing options can be set with the
 255 \fIEdit:Menu Options\fR menu item.
 256 .Ip "File:Quit" 4
 257 Exits the application.
 258 .Ip "Edit:Printer Options" 4
 259 Sets the packet printing options (see the section on \fIPrinter Options\fR below).
 260 .Ip "Tools:Capture" 4
 261 Initiates a live packet capture (see the section on \fICapture Preferences\fR below).
 262 .Ip "Tools:Filter" 4
 263 Sets the filter preferences (see the section on \fIFilters\fR below).
 264 .Sh "\s-1WINDOWS\s0"
 265 .Ip "Main Window" 4
 266 The main window is split into three sections.  You can resize each section
 267 using a \*(L"thumb\*(R" at the right end of each divider line.  An informational
 268 message is also displayed at the bottom of the main window.
 269 .Sp
 270 The top section contains the list of network packets that you can scroll
 271 through and select.  The packet number, source and destination addresses,
 272 protocol, and description are printed for each packet.  An effort is made
 273 to display information as high up the protocol stack as possible, e.g. \s-1IP\s0
 274 addresses are displayed for \s-1IP\s0 packets, but the \s-1MAC\s0 layer address is
 275 displayed for unknown packet types.
 276 .Sp
 277 The middle section contains a \fIprotocol tree\fR for the currently-selected
 278 packet.  The tree displays each field and its value in each protocol header
 279 in the stack.
 280 .Sp
 281 The bottom section contains a hex dump of the actual packet data.
 282 Selecting a field in the \fIprotocol tree\fR highlights the appropriate bytes
 283 in this section.
 284 .Ip "Printer Options" 4
 285 The \fIPrinter Options\fR dialog lets you select the output format of packets
 286 printed using the \fIFile:Print Packet\fR menu item.
 287 .Sp
 288 The radio buttons at the top of the dialog allow you choose between
 289 printing the packets as text or PostScript, and sending the output
 290 directly to a command or saving it to a file.  The \fICommand:\fR text entry
 291 box is the command to send files to (usually \fBlpr\fR), and the \fIFile:\fR
 292 entry box lets you enter the name of the file you wish to save to.
 293 Additinally, you can select the \fIFile:\fR button to browse the file system
 294 for a particular save file.
 295 .Ip "Capture Preferences" 4
 296 The \fICapture Preferences\fR dialog lets you specify various parameters for
 297 capturing live packet data.
 298 .Sp
 299 The \fIInterface:\fR entry box lets you specify the interface from which to
 300 capture packet data.  The \fICount:\fR entry specifies the number of packets
 301 to capture.  Entering 0 will capture packets indefinitely.  The \fIFile:\fR
 302 entry specifies the file to save to, as in the \fIPrinter Options\fR dialog
 303 above.  You can choose to open the file after capture, and you can also
 304 specify the maximum number of bytes to capture per packet with the
 305 \fICapture length\fR entry.
 306 .Ip "Filters" 4
 307 The \fIFilters\fR dialog lets you create and modify filters, and set the
 308 default filter to use when capturing data or opening a capture file.
 309 .Sp
 310 The \fIFilter name\fR entry specifies a descriptive name for a filter, e.g.
 311 \fBWeb and \s-1DNS\s0 traffic\fR.  The \fIFilter string\fR entry is the text that
 312 actually describes the filtering action to take.  It must have the same
 313 format as \fBtcpdump\fR filter strings, since both programs use the same
 314 underlying library.  A filter for \s-1HTTP\s0, \s-1HTTPS\s0, and \s-1DNS\s0 traffic might look
 315 like this:
 316 .Sp
 317 .Vb 1
 318 \&  tcp port 80 or tcp port 443 or port 53
 319 .Ve
 320 The dialog buttons perform the following actions:
 321 .Ip "New" 12
 322 If there is text in the two entry boxes, it creates a new associated list
 323 item.
 324 .Ip "Change" 12
 325 Modifies the currently selected list item to match what's in the entry
 326 boxes.
 327 .Ip "Copy" 12
 328 Makes a copy of the currently selected list item.
 329 .Ip "Delete" 12
 330 Deletes the currently selected list item.
 331 .Ip "\s-1OK\s0" 12
 332 Sets the currently selected list item as the active filter.  If  nothing
 333 is selected, turns filtering off.
 334 .Ip "Save" 12
 335 Saves the current filter list in \fI$\s-1HOME\s0/.ethereal/filters\fR.
 336 .Ip "Cancel" 12
 337 Closes the dialog without making any changes.
 338 .SH "SEE ALSO"
 339 the \fItcpdump(1)\fR manpage, the \fIpcap(3)\fR manpage
 340 .SH "NOTES"
 341 The latest version of \fBethereal\fR can be found at
 342 \fBhttp://ethereal.zing.org\fR.
 343 .SH "AUTHORS"
 344 .Sp
 345 .Vb 3
 346 \&  Original Author
 347 \&  -------- ------
 348 \&  Gerald Combs  <gerald@zing.org>
 349 .Ve
 350 .Vb 8
 351 \&  Contributors
 352 \&  ------------
 353 \&  Gilbert Ramirez Jr.  <gram@verdict.uthscsa.edu>
 354 \&  Hannes R. Boehm      <hannes@boehm.org>
 355 \&  Mike Hall            <mlh@io.com>
 356 \&  Bobo Rajec           <bobo@bsp-consulting.sk>
 357 \&  Laurent Deniel       <deniel@worldnet.fr>
 358 \&  Don Lafontaine       <lafont02@cn.ca>
 359 .Ve
 360 Alain Magloire <alainm@rcsm.ece.mcgill.ca> was kind enough to give his
 361 permission to use his version of snprintf.c.
 362 .Sp
 363 Dan Lasley <dlasley@promus.com> gave permission for his \fIdumpit()\fR hex-dump
 364 routine to be used.
 365
 366 .rn }` ''
 367 .IX Title "ETHEREAL 1"
 368 .IX Name "Ethereal - Interactively browse network traffic"
 369
 370 .IX Header "NAME"
 371
 372 .IX Header "SYNOPSYS"
 373
 374 .IX Header "DESCRIPTION"
 375
 376 .IX Header "OPTIONS"
 377
 378 .IX Item "-B"
 379
 380 .IX Item "-b"
 381
 382 .IX Item "-c"
 383
 384 .IX Item "-h"
 385
 386 .IX Item "-i"
 387
 388 .IX Item "-m"
 389
 390 .IX Item "-n"
 391
 392 .IX Item "-P"
 393
 394 .IX Item "-r"
 395
 396 .IX Item "-s"
 397
 398 .IX Item "-T"
 399
 400 .IX Item "-v"
 401
 402 .IX Item "-w"
 403
 404 .IX Header "INTERFACE"
 405
 406 .IX Subsection "\s-1MENU\s0 \s-1ITEMS\s0"
 407
 408 .IX Item "File:Open, File:Close"
 409
 410 .IX Item "File:Print Packet"
 411
 412 .IX Item "File:Quit"
 413
 414 .IX Item "Edit:Printer Options"
 415
 416 .IX Item "Tools:Capture"
 417
 418 .IX Item "Tools:Filter"
 419
 420 .IX Subsection "\s-1WINDOWS\s0"
 421
 422 .IX Item "Main Window"
 423
 424 .IX Item "Printer Options"
 425
 426 .IX Item "Capture Preferences"
 427
 428 .IX Item "Filters"
 429
 430 .IX Item "New"
 431
 432 .IX Item "Change"
 433
 434 .IX Item "Copy"
 435
 436 .IX Item "Delete"
 437
 438 .IX Item "\s-1OK\s0"
 439
 440 .IX Item "Save"
 441
 442 .IX Item "Cancel"
 443
 444 .IX Header "SEE ALSO"
 445
 446 .IX Header "NOTES"
 447
 448 .IX Header "AUTHORS"
 449