Introducció a Tcpdump

Si feu servir un servidor, sens dubte arribareu a un punt en què haureu de resoldre alguns problemes relacionats amb la xarxa. Per descomptat, seria fàcil enviar un correu al departament d'assistència, però de vegades cal embrutar-se les mans. En aquest cas, tcpdumpés l'eina per a aquesta feina. Tcpdump és un analitzador de paquets de xarxa que s'executa sota la línia d'ordres.

Aquest article es dividirà en tres parts:

• Característiques bàsiques.
• Filtrat en funció de determinades característiques del trànsit.
• Un breu fragment de les funcions més avançades (com ara expressions lògiques, filtratge per senyaladors TCP).

Com que tcpdump no s'inclou a la majoria de sistemes bàsics, haureu d'instal·lar-lo. Tanmateix, gairebé totes les distribucions de Linux tenen tcpdump als seus repositoris bàsics. Per a les distribucions basades en Debian, l'ordre per instal·lar tcpdump és:

apt-get install tcpdump

Per a CentOS/RedHat, utilitzeu l'ordre següent:

yum install tcpdump

FreeBSD ofereix un paquet preconstruït que es pot instal·lar emetent:

pkg install tcpdump

També hi ha un port disponible, net/tcpdumpque es pot instal·lar mitjançant:

cd /usr/ports/net/tcpdump
make install clean

Si corres tcpdumpsense cap argument, et veuran maltractats amb resultats. Si l'executeu en una instància recentment creada aquí a Vultr durant menys de cinc segons, es donen els resultats següents:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Abans d'entrar en més detalls sobre com filtrar l'entrada, hauríeu de fer una ullada a alguns paràmetres que es poden passar a tcpdump:

• -i- Especifica la interfície on voleu escoltar, per exemple: tcpdump -i eth0.
• -n- No intenteu fer cerques inverses a les adreces IP, per exemple: tcpdump -n(si afegiu un altre ntcpdump us mostrarà números de port en lloc de noms).
• -X- Mostra el contingut dels paquets recollits: tcpdump -X.
• -c- Només captura xpaquets, xsent un nombre arbitrari, per exemple tcpdump -c 10captura exactament 10 paquets.
• -v- Augmenta la quantitat d'informació del paquet que se't mostra, més vs afegeix més detall.

Cadascun d'aquests paràmetres esmentats aquí es poden combinar. Si volíeu capturar 100 paquets, però només a la vostra interfície VPN tun0, l'ordre tcpdump seria així:

tcpdump -i tun0 -c 100 -X

Hi ha desenes (si no centenars) d'opcions a més d'aquestes poques, però són les més habituals. No dubteu a llegir la pàgina de manual de tcpdump al vostre sistema.

Ara que teniu una comprensió bàsica de tcpdump, és hora de mirar una de les característiques més impressionants de tcpdump: les expressions. Les expressions et faran la vida molt més fàcil. També es coneixen com a filtres de paquets BPF o Berkeley. L'ús d'expressions us permet mostrar (o ignorar) paquets de manera selectiva en funció de determinades característiques, com ara l'origen, la destinació, la mida o fins i tot el número de seqüència TCP.

Fins ara, heu aconseguit limitar la cerca a una certa quantitat de paquets en una interfície determinada, però siguem sincers: això encara deixa massa soroll de fons per treballar eficaçment amb les dades recollides. És aquí on entren en joc les expressions. El concepte és bastant senzill, així que deixarem de banda la teoria seca aquí i donarem suport a la comprensió amb alguns exemples pràctics.

Les expressions que probablement utilitzareu més són:

• host - Busqueu trànsit basat en noms d'amfitrió o adreces IP.
• srco dst- Cerqueu trànsit des de o cap a un amfitrió específic.
• proto- Cercar trànsit d'un protocol determinat. Funciona per a tcp, udp, icmp i altres. protoTambé és possible ometre la paraula clau.
• net - Busqueu trànsit cap a / des d'un determinat rang d'adreces IP.
• port - Busqueu trànsit cap a / des d'un port determinat.
• greatero less- Cerqueu trànsit més gran o menor que una determinada quantitat de bytes.

Tot i que la pàgina de manual de tcpdumpnomés conté uns quants exemples, la pàgina de manual de pcap-filterté explicacions molt detallades sobre com funciona i es pot aplicar cada filtre.

Si voleu veure com va la vostra comunicació amb un determinat servidor, podeu utilitzar la hostparaula clau, per exemple (inclosos alguns dels paràmetres anteriors):

tcpdump -i eth0 host vultr.com

De vegades hi ha ordinadors a la xarxa que no respecten la MTU o us envien correu brossa amb paquets grans; filtrar-los pot ser difícil de vegades. Les expressions us permeten filtrar paquets que són més grans o més petits que un nombre determinat de bytes:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Potser només un port determinat us interessa. En aquest cas, utilitzeu l' portexpressió:

tcpdump -i eth0 -X port 21

També podeu buscar els intervals de ports:

tcdump -i eth0 -X portrange 22-25

Com que les passarel·les NAT són força habituals, només podeu cercar ports de destinació:

tcpdump dst port 80

Si esteu observant el trànsit al vostre servidor web, és possible que només vulgueu mirar el trànsit TCP al port 80:

tcpdump tcp and dst port 80

Probablement us esteu preguntant què fa la paraula clau andallà. Bona pregunta. Això ens porta a l'última part d'aquest article.

tcpdump ofereix suport bàsic per a expressions lògiques, més concretament:

• and/ &&- "i" lògic.
• or/ ||- "o" lògic.
• not/ !- "no" lògic.

Juntament amb la possibilitat d'agrupar expressions, això us permet crear cerques molt potents per al trànsit entrant i sortint. Per tant, filtrem el trànsit procedent de vultr.com al port 22 o 443:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Si executeu això a la línia d'ordres, us donarà l'error següent:

bash: syntax error near unexpected token `('

Això és perquè hi ha una advertència: bashintenta avaluar tots els personatges que pugui. Això inclou els personatges (i ). Per evitar aquest error, hauríeu d'utilitzar cometes simples al voltant de l'expressió combinada:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Un altre exemple útil: quan depureu problemes SSH amb un dels vostres usuaris, és possible que vulgueu ignorar tot el que està relacionat amb la vostra sessió SSH:

tcpdump '!(host $youripaddress) && port 22)'

De nou, els casos d'ús són infinits i podeu especificar a profunditats extremes quin tipus de trànsit voleu veure. L'ordre següent us mostraria només els paquets SYNACK d'una encaixada de mans TCP:

tcpdump -i eth0 'tcp[13]=18'

Això funciona mirant el tretzè desplaçament de la capçalera TCP i el divuitè byte que hi ha dins.

Si ho heu fet fins aquí, ja esteu preparat per a la majoria dels casos d'ús que es presentaran. Amb prou feines puc tocar la superfície sense entrar en massa detalls. Us recomano que experimenteu una mica més amb les diferents opcions i expressions; i com és habitual: fes referència a la pàgina de manual quan et perdis.

Per últim, però no menys important, una ràpida mirada enrere. Recordeu l'inici d'aquest article? Amb els milers de paquets capturats en qüestió de segons? El poder de tcpdumppot reduir-ho molt:

tcpdump -i eth0 tcp port 22

El resultat és ara:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

Això és molt més lògic i més fàcil de depurar. Feliç treball en xarxa!