Packet Monitor (PktMon.exe) là bộ phân tích traffic mạng tích hợp (sniffer) giới thiệu trong Windows 10 1809 và Windows Server 2019. Trong Windows 10 May 2020 Update (version 2004), nhiều tính năng mới của Packet Monitor được triển khai (hỗ trợ capture gói tin real-time, hỗ trợ format PCAPNG dễ import vào Wireshark). Do đó, Windows có tính năng capture gói tin mạng tương tự tcpdump, admin hệ thống/mạng có thể dùng chẩn đoán hoạt động và hiệu năng mạng.
Packet Monitor cho phép lấy tất cả hoạt động mạng đi qua network interface của máy tính ở cấp gói tin mạng.
Trước đây, lệnh netsh trace dùng để capture traffic mạng và kiểm tra gói tin trong Windows.
Xem help tùy chọn và cú pháp pktmon.exe bằng cách chạy tool trong command prompt.
Các lệnh cơ bản Packet Monitor
- filter — quản lý bộ lọc gói tin
- comp – quản lý component đã đăng ký
- reset — reset bộ đếm gói tin
- start – bắt đầu monitor gói tin
- stop — dừng monitor gói tin
- format – chuyển file log traffic sang định dạng text
- pcapng – chuyển sang định dạng pcapng
- unload – unload driver PktMon
Để xem help subcommand, nhập tên nó: pktmon filter
Thử thu thập dump traffic đến các service đang chạy trên thiết bị Windows 10. Giả sử phân tích traffic FTP (TCP port 20, 21) và HTTP (Port 80, 443).
Tạo bộ lọc gói tin cho TCP port (cũng theo dõi UDP và ICMP):
pktmon filter add -p 20 21
pktmon filter add HTTPFilter –p 80 443
Hiển thị danh sách filter đang active: pktmon filter list
Chạy capture traffic background: pktmon start –etw
Log file name: C:\Windows\System32\PktMon.etl Logging mode: Circular Maximum file size: 512 MB Active measurement started.
Chế độ này, pktmon thu thập dữ liệu từ tất cả network interface, nhưng chỉ log 128 byte đầu của gói tin. Để capture toàn bộ gói tin trên interface cụ thể, dùng lệnh: pktmon start --etw -p 0 -c 9 trong đó giá trị c là ID network interface lấy bằng lệnh: pktmon comp list
Bộ lọc gói tin sẽ ghi tất cả traffic khớp filter vào C:\Windows\System32\PktMon.etl (max file size 512 MB). Dừng ghi dump: pktmon stop. Cũng dừng thu thập sau reboot Windows.
Chuyển file dump traffic từ ETL sang định dạng text thuần: pktmon format PktMon.etl -o c:\ps\packetsniffer.txt hoặc pktmon PCAPNG PktMon.etl -o c:\ps\packetsniffer.pcapng
Phân tích dump traffic dạng text hoặc import file ETL vào Microsoft Network Monitor hoặc WireShark (định dạng PCAPNG) cài trên máy admin.
Xóa tất cả filter Packet Monitor đã tạo: pktmon filter remove
Dùng PktMon theo dõi traffic mạng real-time. Dùng tham số -l real-time. Chế độ này hiển thị gói tin bắt được trong console, không ghi vào file log background. pktmon start --etw -p 0 -l real-time. Dừng thu thập traffic: nhấn Ctrl+C.
Nếu thấy packet loss (drop) trên network interface, PacketMon cho thấy nguyên nhân (ví dụ MTU hoặc VLAN sai).
Cũng dùng PktMon trong Windows Admin Center qua extension. Dữ liệu thu thập từ máy tính/server khi chẩn đoán vấn đề mạng có thể dùng trong phần mềm phân tích traffic mạnh hơn như Microsoft Network Monitor hoặc Wireshark.