# Отслеживание решений ICAP сервера (DLP) о загружаемых файлах
# Симптомы

Настроена проверка трафика через ICAP в режиме "Переслать", "Переслать и игнорировать".
Осуществляем подгрузку файла (file upload), однако не видим никаких решений от ICAP-сервера, или не видим файла на самом ICAP-сервере, будто бы UserGate не перенаправляет данные файлы на ICAP с целью проверки.

# Решение

Необходимо записать трафик между UserGate и ICAP-сервером в момент загрузки файла.
Далее анализируем трафик:

1.  Отсеять трафик можно по такому фильтру:

> > frame contains icap.net and ip.addr == 10.10.10.10

где icap.net - доменное имя ICAP-сервера
10.10.10.10 - IP-адрес этого сервера.

1.  Ищем пакеты HTTP с методом POST, который отвечает за отправление файлов. Убеждаемся, что у пакета ip source - это адрес UserGate, ip destination - адрес ICAP-сервера. Если пакеты присутствуют, значит файл должен был быть отправлен.

2.  Открываем и анализируем Entire Conversation данной tcp-сессии пакета HTTP с методом POST.

3.  Пролистываем Entire Conversation до конца, проверяем вердикт, полученный от ICAP-сервера. Это может быть как 100-Continue, так и 204 Unmodified. Также там может фигурировать название самого файла, отправленного на ICAP-сервер.