Add-NetEventWFPCaptureProvider

Windows Server 2016 and Windows 10

Add-NetEventWFPCaptureProvider

Creates a WFP capture provider.

구문

Parameter Set: cim:CreateInstance0
Add-NetEventWFPCaptureProvider [-SessionName] <String> [[-Level] <Byte> ] [[-MatchAnyKeyword] <UInt64> ] [[-MatchAllKeyword] <UInt64> ] [[-CaptureLayerSet] <WFPCaptureSet> {IPv4Inbound | IPv4Outbound | IPv6Inbound | IPv6Outbound} ] [[-IPAddresses] <String[]> ] [[-TCPPorts] <UInt16[]> ] [[-UDPPorts] <UInt16[]> ] [-CimSession <CimSession[]> ] [-InformationAction <ActionPreference> {SilentlyContinue | Stop | Continue | Inquire | Ignore | Suspend} ] [-InformationVariable <String> ] [-ThrottleLimit <Int32> ] [ <CommonParameters>] [ <WorkflowParameters>]




자세한 설명

The Add-NetEventWFPCaptureProvider cmdlet creates a Windows Firewall Platform (WFP) capture provider for network events. The WFP captures events directly from the network stack. You can capture traffic in network tunnels and from the loopback adapter. Unlike a NetEventPacketCapture provider, the NetEventWFPCaptureProvider captures network traffic above the IP layer.

A computer typically supports only one packet capture provider. If there is an existing provider on the current computer, remove it before you run this cmdlet.

매개 변수

-CaptureLayerSet<WFPCaptureSet>

Specifies a WFP capture set, which designates the layers and directions to filter. 이 매개 변수에 허용되는 값은 다음과 같습니다.

-- IPv4Inbound
-- IPv4Outbound
-- IPv6Inbound
-- IPv6Outbound

You can locially OR the direction and IP layer pairs together. For instance, you could capture incoming loopback traffic from IPv6 to avoid seeing duplicate traffic received by the loopback interface.


별칭

none

필수 여부

false

위치

5

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-CimSession<CimSession[]>

원격 세션이나 원격 컴퓨터에서 cmdlet을 실행합니다. 컴퓨터 이름이나 New-CimSession 또는 Get-CimSession cmdlet의 출력과 같은 세션 개체를 입력하세요. 기본값은 로컬 컴퓨터 상의 현재 세션입니다.


별칭

Session

필수 여부

false

위치

named

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-InformationAction<ActionPreference>

Specifies how this cmdlet responds to an informational event. 이 매개 변수에 허용되는 값은 다음과 같습니다.

-- SilentlyContinue
-- Stop
-- Continue
-- Inquire
-- Ignore
-- Suspend


별칭

infa

필수 여부

false

위치

named

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-InformationVariable<String>

Specifies a variable in which to store an informational event.


별칭

iv

필수 여부

false

위치

named

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-IPAddresses<String[]>

Specifies an array of IP addresses. The provider filters for and logs network traffic that matches the IP addresses that this parameter specifies. The provider joins multiple addresses by using logical ORs.


별칭

none

필수 여부

false

위치

6

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-Level<Byte>

Specifies the Event Tracing for Windows (ETW) event error levels that NetEventWFPCaptureProvider returns. Use a level of detail specifier as a filter the type of error events that are logged. The default value for this parameter is 0x4, for informational events. 이 매개 변수에 허용되는 값은 다음과 같습니다.

-- 0x5. Verbose
-- 0x4. Informational
-- 0x3. Warning
-- 0x2. Error
-- 0x1. Critical
-- 0x0. LogAlways

The provider must log the event if the value of the event is less than or equal to the value of this parameter. Lower level events up to and including the specified level are logged.


별칭

none

필수 여부

false

위치

2

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-MatchAllKeyword<UInt64>

Specifies a keyword bitmask that restricts the events that the provider logs.


별칭

none

필수 여부

false

위치

4

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-MatchAnyKeyword<UInt64>

Specifies keywords as a set of hexadecimal values. Keywords are flags that you can combine to generate hexadecimal values that enable the provider to write one or more events for which it is instrumented, if a match is found. Use a set of hexadecimal values for keywords instead of the keyword names, and apply a filter to write ETW events for keyword matches. For more information, see EnableTraceEx2 function (http://msdn.microsoft.com/en-us/library/windows/desktop/dd392305(v=vs.85).aspx) in the Microsoft Developer Network library.


별칭

none

필수 여부

false

위치

3

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-SessionName<String>

Specifies the name of the session that is associated with the NetEventWFPCaptureProvider. This parameter has the same value as the Name parameter for the New-NetEventSession cmdlet.


별칭

none

필수 여부

true

위치

1

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-TCPPorts<UInt16[]>

Specifies an array of TCP ports. The provider filters for and logs network traffic that matches the ports that this parameter specifies. The provider joins multiple port numbers with logical ORs.


별칭

none

필수 여부

false

위치

7

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-ThrottleLimit<Int32>

Cmdlet을 실행하도록 설정할 수 있는 동시 작업의 최대 수를 지정합니다. 이 매개 변수를 생략하거나 값으로 0 을 입력하면 Windows PowerShell®은 컴퓨터에서 실행 중인 CIM cmdlet의 수에 따라 cmdlet에 대한 최적의 스로틀 제한을 계산합니다. 스로틀 제한은 현재 cmdlet에만 적용되고, 세션이나 컴퓨터에는 적용되지 않습니다.


별칭

none

필수 여부

false

위치

named

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

-UDPPorts<UInt16[]>

Specifies an array of UDP ports. The provider filters for and logs network traffic that matches the ports that this parameter specifies. The provider joins multiple port numbers with logical ORs.


별칭

none

필수 여부

false

위치

8

기본값

none

파이프라인 입력 허용 여부

false

와일드카드 문자 허용 여부

false

<CommonParameters>

이 cmdlet은 -Verbose, -Debug, -ErrorAction, -ErrorVariable, -OutBuffer, -OutVariable 등의 일반 매개 변수를 지원합니다. 자세한 내용은 TechNet의 about_CommonParameters(http://go.microsoft.com/fwlink/p/?LinkID=113216)

<WorkflowParameters>

입력

입력 형식은 cmdlet으로 파이프할 수 있는 개체의 형식입니다.

출력

출력 형식은 cmdlet 실행 시 출력되는 개체의 형식입니다.

Example 1: Create a WFP capture provider

The first command creates a network event session by using the New-NetEventSession cmdlet. The command also assigns the name WFPCapture to the session.

The second command uses the current cmdlet to create a WFP capture provider for the session named WFPCapture.

The final command starts the event tracing session named WFPCapture.


PS C:\> New-NetEventSession -Name "WFPCapture" -CaptureMode RealtimeLocal -LocalFilePath "C:\users\DavidChew\Documents\wfpdata.etl"
PS C:\> Add-NetEventWFPCaptureProvider -SessionName "WFPCapture" 
PS C:\> Start-NetEventSession -Name "WFPCapture"

관련 항목

커뮤니티 추가 항목

추가
표시: