Tcpdumpi tutvustus

Kui kasutate serverit, jõuate kahtlemata punkti, kus peate lahendama mõned võrguga seotud probleemid. Muidugi oleks lihtne tugiosakonda kiri saata, kuid mõnikord peate oma käed määrima. Sel juhul tcpdumpon see tööriist selle töö jaoks. Tcpdump on võrgupaketianalüsaator, mis töötab käsurea all.

See artikkel jaguneb kolmeks osaks:

• Põhifunktsioonid.
• Filtreerimine teatud liiklusomaduste alusel.
• Lühike väljavõte täpsematest funktsioonidest (nt loogilised avaldised, filtreerimine TCP lippude järgi).

Kuna tcpdump ei sisaldu enamikus põhisüsteemides, peate selle installima. Kuid peaaegu kõigi Linuxi distributsioonide põhihoidlates on tcpdump. Debianil põhinevate distributsioonide puhul on tcpdump installimise käsk järgmine:

apt-get install tcpdump

CentOS/RedHat jaoks kasutage järgmist käsku:

yum install tcpdump

FreeBSD pakub eelehitatud paketti, mille saab installida, väljastades:

pkg install tcpdump

Saadaval on ka port, net/tcpdumpmille saab installida järgmiselt:

cd /usr/ports/net/tcpdump
make install clean

Kui jooksed tcpdumpilma igasuguste argumentideta, oled tulemustest räsitud. Selle Vultris värskelt keerutatud eksemplaril vähem kui viie sekundi jooksul käivitamine annab järgmised tulemused:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Enne sisendi filtreerimise üksikasjade käsitlemist peaksite vaatama mõningaid parameetreid, mida saab tcpdumpile edastada:

• -i- Määrab liidese, mida soovite kuulata, näiteks: tcpdump -i eth0.
• -n- Ärge proovige teha IP-aadresside pöördotsingut, näiteks: tcpdump -n(kui lisate teise ntcpdump, kuvab teile nimede asemel pordinumbreid).
• -X- Näidake kogutud pakettide sisu: tcpdump -X.
• -c- xHüüa ainult paketid, xmis on suvaline arv, näiteks tcpdump -c 10hõivab täpselt 10 paketti.
• -v- Suurendage teile kuvatava vpakettteabe hulka, lisage rohkem paljusõnalisust.

Kõiki siin mainitud parameetreid saab omavahel kombineerida. Kui soovite jäädvustada 100 paketti, kuid ainult oma VPN-liideses tun0, näeks käsk tcpdump välja järgmine:

tcpdump -i tun0 -c 100 -X

Lisaks neile vähestele valikutele on veel kümneid (kui mitte sadu), kuid need on kõige levinumad. Lugege julgelt oma süsteemis tcpdump'i maniklehte.

Nüüd, kui teil on tcpdumpi põhiteadmised, on aeg vaadata üht tcpdumpi kõige ägedamat funktsiooni: väljendeid. Väljendid muudavad teie elu palju lihtsamaks. Neid tuntakse ka kui BPF või Berkeley pakettfiltreid. Avaldiste kasutamine võimaldab valikuliselt kuvada (või ignoreerida) pakette, mis põhinevad teatud omadustel – nagu päritolu, sihtkoht, suurus või isegi TCP järjenumber.

Siiani on teil õnnestunud piirata otsingut teatud hulga pakettidega teatud liideses, kuid olgem ausad: see jätab siiski liiga palju taustamüra, et kogutud andmetega tõhusalt töötada. Siin tulevadki mängu väljendid. Kontseptsioon on üsna sirgjooneline, seega jätame kuiva teooria siinkohal välja ja toetame arusaamist mõne praktilise näitega.

Väljendid, mida tõenäoliselt kõige rohkem kasutate, on järgmised:

• host - Otsige liiklust hostinimede või IP-aadresside põhjal.
• srcvõi dst- Otsige liiklust konkreetselt hostilt või sellesse.
• proto- Otsige teatud protokolli liiklust. Töötab tcp, udp, icmp ja teiste jaoks. protoMärksõna väljajätmine on samuti võimalik.
• net - Otsige liiklust teatud IP-aadresside vahemikku.
• port - Otsige liiklust teatud sadamasse / teatud sadamast.
• greatervõi less- Otsige liiklust, mis on suurem või väiksem kui teatud arv baite.

Kuigi manikleht tcpdumpsisaldab vaid mõningaid näiteid, on juhendi pcap-filterlehel väga üksikasjalikud selgitused iga filtri toimimise ja rakendamise kohta.

Kui soovite näha, kuidas teie suhtlus teatud serveriga sujub, võite kasutada näiteks hostmärksõna (sh mõned ülaltoodud parameetrid):

tcpdump -i eth0 host vultr.com

Mõnikord on võrgus arvuteid, mis ei austa MTU-d või saadavad teile suurte pakettidega rämpsposti; nende välja filtreerimine võib mõnikord olla keeruline. Avaldised võimaldavad teil välja filtreerida paketid, mis on suuremad või väiksemad kui teatud arv baite:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Võib-olla pakub teile huvi ainult teatud ports. Sel juhul kasutage portväljendit:

tcpdump -i eth0 -X port 21

Võite vaadata ka pordivahemikke:

tcdump -i eth0 -X portrange 22-25

Kuna NAT-lüüsid on üsna tavalised, võite otsida ainult sihtporte:

tcpdump dst port 80

Kui vaatate liiklust oma veebiserverisse, võiksite vaadata ainult TCP-liiklust pordile 80:

tcpdump tcp and dst port 80

Tõenäoliselt küsite endalt, mida märksõna andseal teeb. Hea küsimus. See viib meid selle artikli viimase osa juurde.

tcpdump pakub põhituge loogilistele väljenditele, täpsemalt:

• and/ &&- Loogiline "ja".
• or/ ||- Loogiline "või".
• not/ !- Loogiline "mitte".

Koos väljendite rühmitamise võimalusega võimaldab see luua väga võimsaid sissetuleva ja väljamineva liikluse otsinguid. Nii et filtreerime välja vultr.com-i pordi 22 või 443 liikluse:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Selle käsureal käivitamine annab teile järgmise tõrketeate:

bash: syntax error near unexpected token `('

Selle põhjuseks on hoiatus: bashproovib hinnata iga tegelast, mida saab. See hõlmab (ja )märke. Selle vea vältimiseks peaksite kombineeritud avaldise ümber kasutama üksikuid jutumärke:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Veel üks kasulik näide: SSH-probleemide silumisel mõne oma kasutajaga võiksite ignoreerida kõike, mis on seotud teie SSH-seansiga.

tcpdump '!(host $youripaddress) && port 22)'

Jällegi on kasutusjuhtumeid lõputult ja saate äärmuslikesse sügavustesse määrata, millist liiklust soovite näha. Järgmine käsk näitab teile ainult TCP käepigistuse SYNACK pakette:

tcpdump -i eth0 'tcp[13]=18'

See toimib, vaadates TCP päise kolmeteistkümnendat nihet ja kaheksateistkümnendat baiti selles.

Kui jõudsite siia lõpuni, olete valmis enamikuks ette tulevateks kasutusjuhtudeks. Ma suudan vaevu pinda puudutada, ilma et oleksin liiga palju detailidesse laskunud. Soovitan soojalt katsetada erinevate valikute ja väljenditega veidi edasi; ja nagu tavaliselt: kui eksite, viidake ajalehele.

Last but not least – kiire tagasivaade. Kas mäletate selle artikli algust? Kas tuhandete pakettide abil püütakse kinni mõne sekundiga? Võimsus tcpdumpvõib seda palju vähendada:

tcpdump -i eth0 tcp port 22

Tulemus on nüüd:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

See on palju mõistlikum ja hõlpsamini silutav. Head võrgustumist!