Парсеры и запись трафика

Таблица. Параметры парсеров

ПараметрЗначенияНазначение и особенности

nativeParsers[].protocol

Идентификатор протокола

Например http, dns, smtp, quic, ssh. Наличие записи не превращает массив в разрешающий список.

nativeParsers[].enabled

true / false; true при отсутствии записи

Включает конкретный нативный парсер.

nativeParsers[].processData

true / false; true при отсутствии записи

Разрешает обработку содержимого парсером.

luaParsers[].script

Имя файла

Сценарий из scripts/eth-sessions/.

luaParsers[].enabled

true / false

Для отключения задайте false: удаление записи при reload не выгружает работающий сценарий.

recordingRules[].script

Имя файла

Правило записи из scripts/eth-packets/.

recordingRules[].enabled

true / false

Работает совместно с trafficRecordSessions.

Важно. Парсер без отдельной записи в nativeParsers остаётся включённым с processData: true. Чтобы оставить только выбранные протоколы, остальные парсеры отключают явно. Удаление строки не отключает обработку.

При запуске служба просматривает каталог Lua-парсеров и дополняет конфигурацию. Для нового файла p2-lwdpi.lua действует включение, для остальных новых файлов — выключение. В поставляемой конфигурации также включены p2-mtproto.lua и p2-ssh.lua. Для подключения нового файла без перезапуска добавьте явную запись и выполните reload; один только перенос файла в каталог не активирует его при перечитывании.

{ "protocol": "icq", "enabled": false, "processData": false }

Этот элемент добавляется в nativeParsers, после чего выполняется reload sensor-ethercap. В ethcap.log должна появиться запись об изменении активности native parser(icq) с 1 на 0. Аналогично отключают другой конкретный парсер, если он не нужен в выбранном сегменте.

Таблица. Сырая запись controlSection.trafficRecordRaw

ПараметрЗначенияНазначение и особенности

enabled

true / false; false

Включает сырую запись трафика. Перед включением оцените скорость заполнения диска.

maxPackets

1000; зарезервирован

Не ограничивает фактическую запись.

maxSize

1024; зарезервирован

Не ограничивает фактическую запись.

filter

Пустая строка; зарезервирован

Не задаёт действующий фильтр сырой записи.

Для выборочного сохранения используйте механизм правил записи сессий и отдельную политику хранения. Не рассчитывайте, что поля maxPackets или maxSize остановят сырую запись. Назначение файлового профиля PCAP и свободное место контролируются отдельно; в поставке для такого профиля используется каталог events/filedrop/pcap/ с квотой 10Gb.