Initiez des captures de paquets de précision pour analyser les conditions de fenêtre zéro

Dans les étapes suivantes, vous allez écrire un déclencheur qui lance une capture de paquets de précision chaque fois qu'une condition de fenêtre zéro se produit sur une transaction HTTP.

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
2. Cliquez sur l'icône des paramètres système puis cliquez sur DÉCLENCHEURS.
3. Cliquez Créez.
4. Spécifiez les paramètres de configuration du déclencheur suivants :
   1. Type PCAP de taille de fenêtre à zéro dans le Nom champ.
   2. Dans le champ Affectations, tapez HTTP Servers, puis sélectionnez Serveurs HTTP.
   3. Dans la liste des événements, sélectionnez FLOW_TICK.
   4. Sélectionnez le Activer le journal de débogage case à cocher.
   5. Cliquez Afficher les options avancées et tapez 128 dans le champ Octets par paquet à capturer.

      Conseil :

      La valeur par défaut est 0. Conservez cette valeur pour capturer tous les octets de chaque paquet.

5. Dans le volet droit, tapez le code suivant pour lancer la capture du paquet lorsqu'une condition de fenêtre zéro se produit :

   // Check to make sure that this is an HTTP transaction
   if ( Flow.l7proto !== 'HTTP' ){    
       return;
   }
   
   //The packet capture name, which includes the client and server 
   //IP addresses and port numbers
   var pcapName = 'Zero Windows_'  
       + Flow.client.ipaddr + ':' + Flow.client.port  
       + '-'  
       + Flow.server.ipaddr + ':' + Flow.server.port;
   
   //Initiate packet capture each time a zero window occurs on 
   //the client or the server
   if ( Flow.zeroWnd1 > 0 || Flow.zeroWnd2 > 0 ) {  
       var opts = {  
           maxPackets: 30,        // Capture up to 30 packets 
           maxPacketsLookback: 15 // Capture up to 15 lookback packets 
       };  
       Flow.captureStart(pcapName, opts);
       //Show capture activity in debug log  
       debug('Start Zero PCAP: ' + pcapName);    
   }
   

   Copier
6. Cliquez Enregistrer.

Au cours des étapes suivantes, vous allez consulter la sortie de débogage du déclencheur pour confirmer que le déclencheur est en cours d'exécution et qu'il capture des paquets. Une fois que vous avez attribué le déclencheur à vos sources de données , le système exécute le déclencheur lorsque le trafic HTTP se produit, et si une transaction contient une fenêtre zéro, le système envoie les résultats du débogage au journal de débogage.

1. Cliquez sur l'icône des paramètres système , puis cliquez sur DÉCLENCHEURS.
2. Cliquez sur PCAP de taille de fenêtre à zéro déclencheur que vous venez de créer.
3. Cliquez Modifier le script de déclenchement.
4. Cliquez sur le Journal de débogage onglet.
   Le journal de débogage affiche des résultats similaires à ceux de la figure suivante :

Dans les étapes suivantes, vous allez télécharger les captures de paquets.

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
2. Dans le menu supérieur, cliquez sur Enregistrements.
3. Cliquez Afficher les enregistrements.
4. Dans la liste déroulante Type d'enregistrement, sélectionnez Capture de paquets.
5. Une fois que les enregistrements associés à votre capture de paquets apparaissent, cliquez sur l'icône Paquets , puis cliquez sur Télécharger PCAP.

1. Cliquez sur l'icône des paramètres système , puis cliquez sur Toute l'administration.
2. À partir du Captures de paquets section, cliquez Afficher et télécharger des captures de paquets.
   Le Liste de capture de paquets affiche des résultats similaires à la figure suivante :
   Chaque capture de paquet de la liste représente un flux de données entre les appareils et fournit des informations sur les appareils, les ports et la plage horaire pour vous aider à affiner les captures à télécharger.
3. Sélectionnez n'importe quelle capture nommée Zéro Windows_ et cliquez Télécharger les captures sélectionnées.
   La capture est enregistrée sur votre machine locale à l'aide du .pcap extension de fichier.
4. Ouvrez le fichier de capture à l'aide d'un analyseur de paquets, tel que Wireshark.
   Le résultat ressemblera à la figure suivante :
5. Ouvrez les paquets qui indiquent une occurrence nulle dans la fenêtre.
   Vous verrez des détails tels que les indicateurs TCP, le moment où aucune condition de fenêtre s'est produite, la durée de chaque occurrence et les appareils concernés.

   Recherchez des modèles dans les données et examinez l'état des appareils client et serveur pour vous aider à en déterminer la cause et à y remédier.