# Decodificador do trailer Ethernet da F5

> Cole o trailer Ethernet que um BIG-IP acrescenta aos pacotes capturados com as flags de ruído do tcpdump e receba cada campo explicado: direção, slot e TMM, o virtual server, identificadores de fluxo e de par, e a causa de RST informada pelo próprio equipamento. Ela detecta uma seção de provider TLS e deliberadamente não decodifica nada dela, porque a partir da v15 essa seção carrega segredos de sessão. Local e offline.

- Tool: https://ronutz.com/pt-BR/tools/f5-eth-trailer-decoder
- Family: Redes

---

## O que faz

Cole a seção F5 Ethernet Trailer como o Wireshark a exibe, ou os bytes brutos do trailer em hexadecimal, e a ferramenta explica cada campo: direção, slot e TMM, o virtual server, os identificadores de fluxo e de par, e a causa de RST do próprio equipamento. Local e offline; analisa o texto colado e não contata nada.

## Por que o trailer vale a leitura

Rode o tcpdump **no próprio** BIG-IP com as flags de ruído — `:n` baixo, `:nn` médio, `:nnn` alto, com `-s0` — e cada quadro carrega o relato do equipamento sobre aquele pacote. A **causa do RST** é o campo que justifica o exercício: uma captura sem ele mostra que a conexão morreu; com ele, o equipamento diz que a matou e por quê.

## Sobre o que ela avisa

**IDs de fluxo são únicos apenas dentro de uma combinação de slot e TMM, e são reutilizados.** O mesmo ID pode aparecer em pacotes sem relação antes ou depois na mesma captura. A ferramenta diz isso em toda decodificação, porque um flow ID tratado como globalmente único produz uma conclusão errada e confiante.

Ela também aponta o `f5ethtrailer.anyflowid`, que casa o ID como fluxo ou como par e portanto retorna **os dois lados** da conexão — filtrar só por `flowid` retorna metade do que você queria.

## *** A seção que ela se recusa a decodificar ***

A partir do **BIG-IP v15** o trailer pode carregar uma **seção de provider TLS contendo segredos de sessão**. O Wireshark os converte em entradas de keylog e descriptografa a captura.

**Esta ferramenta detecta essa seção, avisa que ela está ali e não decodifica nada dela.** Um golden vector garante que nenhum segredo apareça em qualquer parte da saída.

O motivo é o que vale saber: **uma captura feita em ruído alto num equipamento v15+ pode conter as chaves das suas próprias sessões TLS.** A F5 documenta que o trailer nunca sai do equipamento pelo fio — verdade, e diz respeito ao fio. O arquivo é outra questão, e enviá-lo a um chamado ou a um colega envia as chaves junto.

## O que ela não faz

Não lê arquivos pcap e não enxerga a sua captura. Quando uma causa de RST não está na sua tabela, ela diz isso em vez de inventar uma explicação.

## Standards and references

- [F5 - Configure Wireshark to read F5 Ethernet Trailers (K14812111)](https://my.f5.com/manage/s/article/K14812111)
- [F5 DevCentral - Getting started with the F5 Wireshark plugin](https://community.f5.com/kb/technicalarticles/getting-started-with-the-f5-wireshark-plugin-on-windows/285686)
- [Wireshark - packet-f5ethtrailer dissector source](https://github.com/wireshark/wireshark/blob/master/epan/dissectors/packet-f5ethtrailer.c)

## Related reading

- [O que o BIG-IP escreve dentro da sua captura](https://ronutz.com/pt-BR/learn/f5-ethernet-trailer.md): O trailer Ethernet da F5 carrega o que o TMM sabia sobre cada pacote — slot, TMM, virtual server, IDs de fluxo e a causa do reset. A partir da v15 ele também pode carregar segredos de sessão TLS, o que muda o que um pcap é.