Wireshark: Syntax error - gateway host [ip-adres]

[GLamers]

Mijn vraag

Ik heb een weerstation dat al 6 jaar zonder enig probleem data upload naar Wunderground. Sinds een maand meldt Wunderground dat mijn station off-line is. Aan mijn kant van de Ziggo-router werkt echter alles normaal.
Ik wil weten of mijn station nog met Wunderground poogt te communiceren.
Daartoe installeerde ik Wireshark. Uit de handleiding (4.10. Filtering while capturing) begrijp ik dat het filter "gateway host <host>" het eventuele verkeer tussen mijn basisstation en Wunderground zou moeten tonen.
Wireshark geeft echter, wat ik ook probeer op invoer van bovengenoemd filter (ik voerde voor <host> het interne IP-adres van mijn router in) een syntax error.
Wat gaat hier fout?
En, O ja, mocht er een idee zijn waarom Wunderground mijn goed werkende weerstation als "off-line" kwalificeert, dan houd ik mij van harte aanbevolen! (Wunderground reageert niet op mijn support vragen!)


Relevante software en hardware die ik gebruik
Wireshark 4.0.1; FOSHK WH2600 (Renkforce versie) - Weather logger 2.1.9

[Lawwie]

Je kan niet capturen tussen twee machines als je wireshark machine daar niet een van is. Of je moet middels een switch een SPAN poort maken, waarmee je het verkeer dupliceert richting je eigen machine.

Je kan hooguit broadcast verkeer zien.

Zie ook hier de capture filters uitgelegd:

https://wiki.wireshark.org/CaptureFilters

In het kort hoef je enkel in te voeren:

code:

host 192.168.1.1

Waar je 192.168.1.1 vervangt voor het IP adres van je weerstation.

@dion_b

[ Voor 115% gewijzigd door Lawwie op 22-11-2022 15:20 ]

[dion_b]

Wireshark is absoluut de juiste manier om dit te troubleshooten.

Te zien aan je vraag ben je er alleen nog niet zo in thuis. Inderdaad vind je verkeer van/naar een bepaald apparaat door host <IP-adres> in te voeren als capture filter. Maar er is een tweede voorwaarde waar je misschien niet aan voldoet: voordat je daarmee iets gaat vinden, moet dat verkeer wel op je PC binnenkomen.

Als ik het zo zie is dit een bedraad apparaat. Dan gaat het verkeer ervan rechtstreeks naar je router en (als het goed is) het internet op, en zie jij het niet zomaar op een ander bedraad apparaat. Om dat voor elkaar te krijgen kun je drie dingen doen:

1) een hub (let op: niet hetzelfde als een switch!) ertussen hangen. Alles dat op een hub aangesloten is, krijgt alle verkeer erover te zien. Dus dan kun je het capturen. Moet je zo'n hoogbejaard stukje hardware wel hebben liggen...
2) in een managed switch een poort instellen als span/mirror port, zodat alle verkeer van bijvoorbeeld poort 1 naar poort 8 gestuurd wordt. In dat geval moet je weerstation op poort 1 hangen, je router op poort 2 en de PC waarmee je wilt capturen op poort 8. Moet je wel een managed switch hebben.
3) Capturen op router of switch zelf. Niet iets wat je bij consumentenapparatuur snel tegenkomt, zeker niet op een Ziggo modemrouter. Maar afhankelijk van wat je ertussen hebt hangen misschien mogelijk. Ik kan het op mijn MikroTik router, bijvoorbeeld.
4) met twee Ethernet interfaces in je PC het verkeer bridgen (kan met rechterklik op de tweede adapter in Windows) en je PC tussen weerstation en internet hangen.

Meeste professionals gebruiken een simpele managed switch (Netgear GS105E bjivoorbeeld) hiervoor. Heb je geen van bovenstaande opties, dan moet je dit even op andere manier aanvliegen dan via Wireshark capturen. Heb je bijvoorbeeld al gecontroleerd of het apparaat daadwerkelijk aan staat (branden er LEDjes)? En dat het te pingen is?

Edit:
@Lawwie - misschien handig je originele boodschap terug te zetten - los van noodzaak om verkeer binnen te krijgen gebruikt hij inderdaad ook verkeerde syntax in z'n capture filter

[ Voor 4% gewijzigd door dion_b op 22-11-2022 15:17 ]

[GLamers]

@dion_b ; @Lawwie

Heel hartelijk bedankt beiden! Inderdaad ben ik er niet (meer) zo in thuis. Mijn netwerkervaring stamt nog uit de DOS-tijd. Ik was geheel vergeten dat een transparante hub toch anders functioneert als een moderne switch. Maar.... komende uit de oude doos heeft toch ook een voordeel: De boomer beschikt nog over een echte hub! (3Com TP4, bijna 30 jaar oud).
Wel, mijn netwerk omgegooid, en ik krijg de gevraagde info te zien. Veel dank nogmaals.

Blijft nog wel mijn vraag: het filter "host" in Wireshark kende ik al. Maar hoe wordt het filter "gateway" (handleiding 4.10. Filtering while capturing) dan gebruikt?

[dion_b]

Goede vraag, ik herken de filter niet, en het wordt niet zoals in die pagina van de handleiding genoemd geaccepteerd in huidige Wireshark 4.01 of 3.0.1 (die ik op een andere PC nog geintstalleerd had). Ik heb het idee dat de manual niet actief bijgehouden wordt, aangezien meest recente versie die erin genoemd is 2.0 is uit 2015. Mogelijk is dit oude syntax die deprecated is en sinds versie 3 niet meer gebruikt. Of ik mis zelf ook iets...