pacmap

PacMap ist ein graph-basierter Netzwerkverkehr-Visualizer für Live-Mitschnitte und PCAP-Wiedergabe, der Ihnen hilft zu sehen, was sich geändert hat, was laut ist und was als Nächstes untersucht werden sollte.

Stellen Sie es sich als Git für Netzwerkverhalten vor: Erstellen Sie Schnappschüsse, führen Sie Diffs durch und spielen Sie den Netzwerkstatus visuell ab.

Eingabemodi

PacMap unterstützt zwei Arbeitsabläufe:

• Live-Mitschnitt – untersuchen Sie, was gerade auf einer lokalen Schnittstelle passiert.
• PCAP-Wiedergabe – laden Sie eine gespeicherte .pcap- oder .pcapng-Datei hoch und spielen Sie den Paketfluss über die Zeit ab.

Installation

Führen Sie im Repository-Stammverzeichnis Folgendes aus:

python3 -m venv venv
source venv/bin/activate
pip install websockets scapy
npm install --prefix client

Unter Windows erstellen und aktivieren Sie eine venv mit Ihrem normalen Python-Workflow und installieren Sie dann dieselben Pakete. Paketmitschnitt unter Windows erfordert Npcap.

Live-Mitschnitt

Starten Sie PacMap im Repository-Stammverzeichnis:

npm start -- --iface en0

Beispiele für gängige Schnittstellen:

• macOS Wi-Fi: en0
• Linux Ethernet: eth0
• Linux Wi-Fi: wlan0
• Windows Wi-Fi/Ethernet: Verwenden Sie den von Scapy angezeigten Npcap-Schnittstellennamen

Öffnen Sie:

http://127.0.0.1:5176

Verwenden Sie dann die Steuerleiste, um den Live-Mitschnitt zu starten.

Raw-Paketmitschnitt benötigt normalerweise erhöhte lokale Rechte. Auf macOS/Linux:

sudo npm start -- --iface en0

Unter Windows führen Sie das Terminal als Administrator aus.

PCAP-Wiedergabe

Öffnen Sie die Web-App, schalten Sie die Quelle auf PCAP-Wiedergabe um und laden Sie eine .pcap- oder .pcapng-Datei hoch. Verwenden Sie dann:

• play / pause / restart
• Geschwindigkeitsregelung
• Zeitleisten-Scrubber
• Steuerung des Beschriftungsmodus für rohe/aufgelöste IP- und MAC-Beschriftungen

Die Wiedergabe läuft im Browser und erfordert nicht, dass der Python-Mitschnittserver läuft.

Die Wiedergabe enthält Untersuchungsbereiche für Gespräche, Endpunkte, Protokollaufschlüsselung, Namensauflösung und E/A-Zeitleistenaktivität.

Dateigrenzen: 100 MB und 100.000 Pakete. Nicht unterstützte Frames werden übersprungen und in der Benutzeroberfläche gezählt.

Derzeit unterstützte Wiedergabe:

• klassisches .pcap und einfaches .pcapng
• gängige Ethernet-, Raw-IP-, Linux-cooked- und Loopback-Mitschnitte
• IPv4- und IPv6-Pakete
• TCP-, UDP-, DNS- und andere IP-Pakete

Anzeigefilter

Sowohl Live-Mitschnitt als auch Wiedergabe unterstützen eine Anzeigefilterleiste im Wireshark-Stil. Geben Sie einen Filter ein und drücken Sie die Eingabetaste, um ihn anzuwenden; leeren Sie das Feld und drücken Sie die Eingabetaste, um ihn zu entfernen.

Unterstützte Syntax:

tcp          udp          dns          http         arp
ip.addr == 192.168.1.10
ip.src == 10.0.0.1
ip.dst == 8.8.8.8
tcp.port == 443
udp.port == 53
port == 80
ip.src == 10.0.0.1 && ip.dst == 8.8.8.8

Zusammengesetzte Filter (&&) kombinieren zwei Feldfilter. Das Anwenden eines Filters schränkt den Graphen auf übereinstimmende Knoten und Kanten ein; das Löschen stellt die vollständige Ansicht für das aktuelle Mitschnittfenster wieder her.

Pfadverfolgung

Ein zusammengesetzter Filter ip.src == X && ip.dst == Y aktiviert die Pfadverfolgung. PacMap führt eine BFS über den gesamten Mitschnitt durch, um die Hop-Kette zwischen den beiden Endpunkten zu finden. Unter der Steuerleiste erscheint ein Bereich, der jeden Hop mit Paket- und Byte-Zahlen pro Kante anzeigt, und Zwischenknoten werden im Graphen hervorgehoben.

Prüfpunkte

Prüfpunkte erstellen einen Schnappschuss des aktuellen Netzwerkzustands – Knoten, Kanten, Verkehrsvolumen – zu einem bestimmten Zeitpunkt.

• Manueller Prüfpunkt: Klicken Sie in der Filterleiste auf Checkpoint, um den aktuellen Zustand mit einer benutzerdefinierten Bezeichnung zu speichern.
• Automatischer Prüfpunkt: Die App kann automatisch einen Prüfpunkt bei Erkennung eines neuen Hosts oder bei Ereignissen externer Verbindungen erstellen (in der Steuerleiste konfigurierbar).
• Diff: Wählen Sie zwei Prüfpunkte im Verlaufsbereich aus, um sie zu vergleichen; hinzugefügte, entfernte und geänderte Knoten und Kanten werden im Graphen hervorgehoben und im Diff-Bereich aufgelistet.
• Fenstervergleich: Verwenden Sie den Zeitleisten-Scrubber, um einen Zeitbereich auszuwählen und ihn mit einer gespeicherten Prüfpunkt-Baseline zu vergleichen.

Prüfpunkte bleiben in localStorage unter pacmap_checkpoints erhalten (bis zu 50 Einträge).

Warum ein lokaler Helfer?

Browser können keinen Host-Netzwerkverkehr abhören oder direkt einen privilegierten Paketmitschnitt starten. PacMap verwendet einen lokalen Python-WebSocket-Helfer mit Scapy für Live-Mitschnitte und streamt dann Paketzusammenfassungen an die React-App unter:

ws://127.0.0.1:8765

PCAP-Wiedergabe ist anders: Der Browser liest die hochgeladene Datei und verwendet dieselbe Graphvisualisierung, ohne dass ein Live-Paketzugriff erforderlich ist.

Entwicklung

Nur Frontend:

cd client
npm install
npm run dev

Produktionsbuild:

npm run build

Nur Mitschnitt-Server:

source venv/bin/activate
python3 server.py --iface en0

Fehlerbehebung

• Wenn die Benutzeroberfläche meldet, dass der Mitschnitt-Server offline ist, läuft server.py nicht oder der WebSocket-Port ist nicht verfügbar.
• Wenn der Mitschnitt fehlschlägt, überprüfen Sie den Schnittstellennamen und führen Sie ihn mit den erforderlichen lokalen Rechten aus.
• Wenn keine Live-Knoten erscheinen, erzeugen Sie Datenverkehr durch normales Surfen, ping 8.8.8.8, DNS-Abfragen oder andere Netzwerkaktivitäten.
• Wenn eine PCAP mit vielen übersprungenen Paketen geladen wird, verwendet sie möglicherweise einen nicht unterstützten Link-Typ, verschlüsselten/Nicht-IP-Verkehr oder Pakettypen, die PacMap noch nicht zusammenfasst.

Technik

• React + Vite
• Three.js
• Python WebSocket server
• Scapy packet capture