Kürzlich hab ich entdeckt das man auf der WAAS Packete mit schneiden kann.
Auf der WAE ist tcpdump installiert, den kann man in der gewohnten weise zum sniffern gebrauchen.
# tcpdump -s 0 -w /local1/out.pcap
# copy disk ftp a.x.y.z / out.pcap /local1/out.pcap
# delfile /local1/out.pcap
Der Rest ist dann ganz normale Arbeit für wireshark.