Uvod u Tcpdump

Ako pokrenete poslužitelj, nesumnjivo ćete doći do točke u kojoj ćete morati riješiti neke probleme povezane s mrežom. Naravno, bilo bi jednostavno poslati mail odjelu za podršku, ali ponekad morate uprljati ruke. U ovom slučaju, to tcpdumpje alat za taj posao. Tcpdump je analizator mrežnih paketa koji radi ispod naredbenog retka.

Ovaj će članak biti podijeljen u tri dijela:

• Osnovne značajke.
• Filtriranje na temelju određenih karakteristika prometa.
• Kratak isječak naprednijih značajki (kao što su logički izrazi, filtriranje prema TCP zastavicama).

Budući da tcpdump nije uključen u većinu osnovnih sustava, morat ćete ga instalirati. Međutim, gotovo sve distribucije Linuxa imaju tcpdump u svojim osnovnim repozitorijumima. Za distribucije temeljene na Debianu, naredba za instaliranje tcpdump je:

apt-get install tcpdump

Za CentOS/RedHat upotrijebite sljedeću naredbu:

yum install tcpdump

FreeBSD nudi unaprijed izgrađen paket koji se može instalirati izdavanjem:

pkg install tcpdump

Dostupan je i port net/tcpdumpkoji se može instalirati putem:

cd /usr/ports/net/tcpdump
make install clean

Ako trčite tcpdumpbez ikakvih argumenata, bit ćete pretučeni rezultatima. Pokretanje na svježe pokrenutoj instanci ovdje na Vultru na manje od pet sekundi daje sljedeće rezultate:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Prije nego što uđete u više pojedinosti o tome kako filtrirati unos, trebali biste pogledati neke parametre koji se mogu proslijediti tcpdumpu:

• -i- Određuje sučelje na kojem želite slušati, na primjer: tcpdump -i eth0.
• -n- Nemojte pokušavati izvršiti obrnute pretrage na IP adresama, na primjer: tcpdump -n(ako dodate još jedan ntcpdump će vam umjesto imena prikazati brojeve portova).
• -X- Prikaži sadržaj prikupljenih paketa: tcpdump -X.
• -c- Samo hvatanje xpaketa, xbudući da je proizvoljan broj, na primjer tcpdump -c 10hvata točno 10 paketa.
• -v- Povećajte količinu informacija o paketima koje vam se prikazuju, više vs dodajte više opširnosti.

Svaki od ovdje navedenih parametara može se kombinirati zajedno. Ako želite uhvatiti 100 paketa, ali samo na vašem VPN sučelju tun0, tada bi naredba tcpdump izgledala ovako:

tcpdump -i tun0 -c 100 -X

Postoje deseci (ako ne i stotine) opcija uz tih nekoliko, ali one su najčešće. Slobodno pročitajte tcpdumpovu man stranicu na svom sustavu.

Sada kada imate osnovno razumijevanje tcpdump-a, vrijeme je da pogledate jednu od najstrašnijih značajki tcpdump-a: izraze. Izrazi će vam uvelike olakšati život. Također su poznati kao BPF ili Berkeley paketni filteri. Korištenje izraza omogućuje vam da selektivno prikažete (ili zanemarite) pakete na temelju određenih karakteristika - kao što su porijeklo, odredište, veličina ili čak TCP redni broj.

Do sada ste uspjeli ograničiti pretragu na određenu količinu paketa na određenom sučelju, ali budimo iskreni: to još uvijek ostavlja previše pozadinske buke za učinkovit rad s prikupljenim podacima. Tu na scenu stupaju izrazi. Koncept je prilično jednostavan, pa ćemo ovdje izostaviti suhu teoriju i potkrijepiti razumijevanje nekim praktičnim primjerima.

Izrazi koje ćete vjerojatno najčešće koristiti su:

• host - Potražite promet na temelju imena hosta ili IP adresa.
• srcili dst- Potražite promet od ili do određenog hosta.
• proto- Potražite promet određenog protokola. Radi za tcp, udp, icmp i druge. protoMoguće je i izostavljanje ključne riječi.
• net - Potražite promet do/iz određenog raspona IP adresa.
• port - Potražite promet do/iz određene luke.
• greaterili less- Potražite promet veći ili manji od određene količine bajtova.

Dok man stranica za tcpdumpsadrži samo nekoliko primjera, man stranica za pcap-filterima vrlo detaljna objašnjenja o tome kako svaki filtar radi i može se primijeniti.

Ako želite vidjeti kako se odvija vaša komunikacija s određenim poslužiteljem, možete koristiti hostključnu riječ, na primjer (uključujući neke od parametara odozgo):

tcpdump -i eth0 host vultr.com

Ponekad na mreži postoje računala koja ne poštuju MTU ili vam šalju velike pakete; njihovo filtriranje ponekad može biti teško. Izrazi vam omogućuju filtriranje paketa koji su veći ili manji od određenog broja bajtova:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Možda vas zanima samo određena luka. U ovom slučaju koristite portizraz:

tcpdump -i eth0 -X port 21

Također možete paziti na raspon portova:

tcdump -i eth0 -X portrange 22-25

Budući da su NAT pristupnici prilično česti, možete tražiti samo odredišne ​​portove:

tcpdump dst port 80

Ako gledate promet na svom web poslužitelju, možda ćete htjeti pogledati samo TCP promet na port 80:

tcpdump tcp and dst port 80

Vjerojatno se pitate što ključna riječ andtamo radi. Dobro pitanje. To nas dovodi do posljednjeg dijela ovog članka.

tcpdump nudi osnovnu podršku za logičke izraze, točnije:

• and/ &&- Logično "i".
• or/ ||- Logično "ili".
• not/ !- Logično "ne".

Zajedno s mogućnošću grupiranja izraza, to vam omogućuje stvaranje vrlo moćnih pretraživanja za dolazni i odlazni promet. Zato filtrirajmo promet koji dolazi s vultr.com na portu 22 ili 443:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Pokretanjem ovoga na naredbenoj liniji dobit ćete sljedeću pogrešku:

bash: syntax error near unexpected token `('

To je zato što postoji upozorenje: bashpokušava procijeniti svaki lik koji može. To uključuje (i )znakove. Kako biste izbjegli tu pogrešku, trebali biste koristiti jednostruke navodnike oko kombiniranog izraza:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Još jedan koristan primjer: kada otklanjate greške sa SSH-om s jednim od vaših korisnika, možda ćete htjeti zanemariti sve što je povezano s vašom SSH sesijom:

tcpdump '!(host $youripaddress) && port 22)'

Opet, slučajevi korištenja su beskonačni, a možete odrediti u ekstremne dubine kakvu vrstu prometa želite vidjeti. Sljedeća naredba bi vam pokazala samo SYNACK pakete TCP rukovanja:

tcpdump -i eth0 'tcp[13]=18'

Ovo funkcionira gledanjem na trinaesti pomak TCP zaglavlja i osamnaesti bajt unutar njega.

Ako ste uspjeli do kraja ovdje, onda ste spremni za većinu slučajeva upotrebe koji će se pojaviti. Jedva mogu dodirnuti površinu, a da ne ulazim u previše detalja. Toplo preporučam da malo dalje eksperimentirate s različitim opcijama i izrazima; i kao i obično: uputite se na man stranicu kada se izgubite.

Na kraju, ali ne i najmanje važno – brzi pogled unatrag. Sjećate li se početka ovog članka? S tisućama paketa uhvaćenih u nekoliko sekundi? Snaga tcpdumpmože to uvelike smanjiti:

tcpdump -i eth0 tcp port 22

Rezultat je sada:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

Ovo je puno razumnije i lakše za otklanjanje pogrešaka. Sretno umrežavanje!