使用 tshark (wireshark) 解码 SNMP OID答案

【问题标题】：Decoding SNMP OIDs using tshark (wireshark)使用 tshark (wireshark) 解码 SNMP OID
【发布时间】：2014-08-25 17:59:57
【问题描述】：

我正在 Linux 平台上使用 tshark (TShark 1.6.6) 调试 SNMP 陷阱问题。（目标平台不支持wireshark GUI。）PDU 中的OID 以数字格式显示，即使我在/usr/share/snmp/mibs 中安装了MIB，并带有指向/usr/local/share/mibs 的链接。我试过-V。除了一些内存调试选项外，似乎没有 tshark 详细或调试选项。我检查了手册页并在 SNMP 或 MIB 上找不到任何内容。我尝试了strace 并找到了一个文件/usr/share/wireshark/oid 文件，但是当我将MIB 目录放在那里时，我得到一个flex 错误，并且谷歌搜索这个神秘文件的含义没有任何结果。我可以将 OID 复制并粘贴到 snmptranslate 命令中，它会正确翻译它们。我尝试使用smi_modules 和smi_paths ("/usr/share/snmp/mibs") 创建一个~/.wireshark 目录。我做了一个tshark -G currentprefs，看看是否有相关的偏好，但没有。我已经用谷歌搜索了这个问题，但我得到了太多的谷壳，无法取得任何进展。我检查了 unix.stackexchange.com、superuser.com 和这个站点。我验证了人们在这个网站（其中 10,000 个）上提出了 wireshark 问题，以确保它是主题。

调用示例：

tshark -R "snmp && ip.dst==<nms_ip>" -i eth0
Running as user "root" and group "root". This could be dangerous.
Capturing on eth0
  4.675952  <agent_ip> -> <nms_ip>  SNMP 115 sNMPv2-Trap 1.3.6.1.2.1.1.3.0 1.3.6.1.6.3.1.1.4.1.0

~/.wireshark/preferences的内容：

name_resolve: mtC
name_resolve_load_smi_modules: TRUE
snmp.display_oid: TRUE
snmp.desegment: TRUE
snmp.var_in_tree: TRUE

如何让 OID 以符号格式显示，例如sysUpTimeInstance 和 snmpTrapOID.0?

【问题讨论】：

“snmptranslate”命令是一个 net-snmp 工具。它与 tshark 在做同样事情上的表现没有关系。只是认为您可以使用该信息。我自己从来没有使用过 Wireshark 的 MIB 加载功能，所以我真的无法提供比这更有用的东西了。
@Jolta：嗯，我确实意识到它们在理论上不会相互映射，但这是为了证明我至少安装了正确的 mib。一个网站告诉我，Wireshark 在 /usr/local/share/mibs 中查找 mib，所以我创建了指向 /usr/share/snmp/mibs 的链接，所以我只是为了证明 snmptranslate 可以解析它们的完整性检查。跨度>
是的，它告诉我们已正确安装 mib，以便 snmptranslate 找到它们。
@Jolta：我曾希望将~/.wireshark/smi_paths 设置为net-snmp mib 目录就足以将tshark 指向mib，但似乎并非如此。感谢您的意见，我很感激。

标签： linux snmp wireshark tshark

【解决方案1】：

我发现Resolving SNMP OID in snmpbulkwalk and tshark 的信息很有用。

将我的 MIB 添加到 ~/.wireshark/smi_modules（通过 wireshark 名称解析首选项），并确保 MIB 位于正确的位置

（在 Mac 上，我使用 dtrace 跟踪“tshark”正在访问哪些文件，并将路径定位为 /usr/share/snmp/mibs）

【讨论】：