Kynning á Tcpdump

Ef þú rekur netþjón muntu án efa komast á þann stað að þú þarft að negla niður nettengd vandamál. Auðvitað væri auðvelt að senda bara póst á þjónustudeildina, en stundum þarf að skíta í hendurnar. Í þessu tilviki, tcpdumper tækið fyrir það starf. Tcpdump er netpakkagreiningartæki sem keyrir undir skipanalínunni.

Þessari grein verður skipt í þrjá hluta:

• Grunneiginleikar.
• Sía byggt á ákveðnum umferðareiginleikum.
• Stutt brot af fullkomnari eiginleikum (svo sem rökrænar tjáningar, síun eftir TCP fánum).

Þar sem tcpdump er ekki innifalið í flestum grunnkerfum þarftu að setja það upp. Hins vegar eru næstum allar Linux dreifingar með tcpdump í kjarnageymslum sínum. Fyrir Debian byggðar dreifingar er skipunin til að setja upp tcpdump:

apt-get install tcpdump

Fyrir CentOS/RedHat, notaðu eftirfarandi skipun:

yum install tcpdump

FreeBSD býður upp á forsmíðaðan pakka sem hægt er að setja upp með því að gefa út:

pkg install tcpdump

Það er líka tengi í boði net/tcpdumpsem hægt er að setja upp með:

cd /usr/ports/net/tcpdump
make install clean

Ef þú keyrir tcpdumpán nokkurra röksemda, verður þú fyrir barðinu á niðurstöðum. Að keyra það á nýsnúið dæmi hér á Vultr í minna en fimm sekúndur gefur eftirfarandi niðurstöður:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Áður en þú ferð í frekari upplýsingar um hvernig á að sía inntak ættir þú að skoða nokkrar breytur sem hægt er að senda til tcpdump:

• -i- Tilgreinir viðmótið sem þú vilt hlusta á, til dæmis: tcpdump -i eth0.
• -n- Ekki reyna að gera öfuga leit á IP tölum, til dæmis: tcpdump -n(ef þú bætir við öðru nmun tcpdump sýna þér gáttanúmer í stað nöfn).
• -X- Sýndu innihald pakkana sem safnað var: tcpdump -X.
• -c- Handtaka aðeins xpakka, xsem er handahófskennd tala, tcpdump -c 10tekur til dæmis nákvæmlega 10 pakka.
• -v- Auktu magn pakkaupplýsinga sem þér eru sýndar, fleiri vs bæta við meiri orðræðu.

Hægt er að sameina hverja af þessum breytum sem nefnd eru hér. Ef þú vildir fanga 100 pakka, en aðeins á VPN viðmótinu þínu tun0, þá myndi tcpdump skipunin líta svona út:

tcpdump -i tun0 -c 100 -X

Það eru tugir (ef ekki hundruðir) valkosta til viðbótar við þá fáu, en þeir eru algengustu. Ekki hika við að lesa Manpage tcpdump á kerfinu þínu.

Nú þegar þú hefur grunnskilning á tcpdump, þá er kominn tími til að skoða einn af frábærustu eiginleikum tcpdump: tjáningar. Tjáningar munu gera líf þitt miklu auðveldara. Þeir eru einnig þekktir sem BPF eða Berkeley Packet Filters. Notkun tjáninga gerir þér kleift að velja (eða hunsa) pakka sem byggjast á ákveðnum eiginleikum - eins og uppruna, áfangastað, stærð eða jafnvel TCP raðnúmer.

Hingað til hefur þér tekist að takmarka leit þína við ákveðið magn af pökkum á ákveðnu viðmóti, en við skulum vera heiðarleg hér: það skilur enn eftir of mikið bakgrunnshljóð til að vinna með gögnunum sem safnað er í raun. Þar koma tjáningar við sögu. Hugmyndin er frekar einföld, svo við sleppum þurru kenningunni hér og styðjum skilninginn með nokkrum hagnýtum dæmum.

Tjáningin sem þú munt líklega nota mest eru:

• host - Leitaðu að umferð byggt á hýsilheitum eða IP tölum.
• srceða dst- Leitaðu að umferð frá eða til ákveðins gestgjafa.
• proto- Leitaðu að umferð um ákveðna siðareglur. Virkar fyrir tcp, udp, icmp og fleiri. Það protoer líka mögulegt að sleppa lykilorðinu.
• net - Leitaðu að umferð til/frá ákveðnu úrvali IP vistfanga.
• port - Leitaðu að umferð til / frá ákveðinni höfn.
• greatereða less- Leitaðu að umferð sem er stærri eða minni en tiltekið magn af bætum.

Þó að handsíðan fyrir tcpdumpinnihaldi aðeins nokkur dæmi, þá hefur handsíðan fyrir pcap-filtermjög nákvæmar útskýringar á því hvernig hver sía virkar og hægt er að nota hana.

Ef þú vilt sjá hvernig samskipti þín við ákveðinn netþjón ganga, þá geturðu notað hostlykilorðið, til dæmis (þar á meðal nokkrar af breytunum að ofan):

tcpdump -i eth0 host vultr.com

Stundum eru tölvur á netinu sem heiðra ekki MTU eða spamma þig með stórum pökkum; stundum getur verið erfitt að sía þau út. Tjáning gerir þér kleift að sía út pakka sem eru stærri eða minni en ákveðinn fjöldi bæta:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Kannski er bara ákveðin höfn áhugaverð fyrir þig. Í þessu tilviki, notaðu portorðatiltækið:

tcpdump -i eth0 -X port 21

Þú getur líka horft á hafnarsvið:

tcdump -i eth0 -X portrange 22-25

Þar sem NAT gáttir eru frekar algengar gætirðu aðeins leitað að áfangastað:

tcpdump dst port 80

Ef þú ert að horfa á umferð á vefþjóninn þinn gætirðu aðeins viljað skoða TCP umferð til port 80:

tcpdump tcp and dst port 80

Þú ert líklega að spyrja sjálfan þig hvað leitarorðið andsé að gera þarna. Góð spurning. Það færir okkur að síðasta hluta þessarar greinar.

tcpdump býður upp á grunnstuðning fyrir rökrænar tjáningar, nánar tiltekið:

• and/ &&- Rökrétt "og".
• or/ ||- Rökrétt "eða".
• not/ !- Rökrétt "ekki".

Ásamt getu til að flokka tjáningar saman, gerir þetta þér kleift að búa til mjög öfluga leit að komandi og útleiðinni umferð. Svo skulum sía út umferð sem kemur frá vultr.com á höfn 22 eða 443:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Að keyra þetta á skipanalínunni mun gefa þér eftirfarandi villu:

bash: syntax error near unexpected token `('

Það er vegna þess að það er fyrirvari: bashreynir að meta hverja persónu sem hún getur. Þetta felur í sér (og )stafi. Til að forðast þá villu ættir þú að nota stakar gæsalappir í kringum sameinuðu tjáninguna:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Annað gagnlegt dæmi: Þegar þú villir SSH vandamál með einum af notendum þínum gætirðu viljað hunsa allt sem tengist SSH lotunni þinni:

tcpdump '!(host $youripaddress) && port 22)'

Aftur eru notkunartilvikin endalaus og þú getur tilgreint í miklu dýpi hvers konar umferð þú vilt sjá. Eftirfarandi skipun myndi sýna þér aðeins SYNACK pakka af TCP handabandi:

tcpdump -i eth0 'tcp[13]=18'

Þetta virkar með því að skoða þrettándu hliðrun TCP haussins og átjánda bæti innan hans.

Ef þú komst alla leið hingað, þá ertu tilbúinn fyrir flest notkunartilvik sem koma upp. Ég get varla snert yfirborðið án þess að fara út í of mörg smáatriði. Ég mæli eindregið með því að þú prófir þig aðeins lengra með mismunandi valkosti og orðatiltæki; og eins og venjulega: vísaðu til manpage þegar þú villist.

Síðast en ekki síst - stutt yfirlit. Manstu byrjun þessarar greinar? Með þúsundir pakka teknar á nokkrum sekúndum? Krafturinn í tcpdumpgetur klippt það mjög niður:

tcpdump -i eth0 tcp port 22

Niðurstaðan er núna:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

Þetta er miklu skynsamlegra og auðveldara að kemba. Gleðilegt net!