Įvadas į Tcpdump

Jei paleisite serverį, neabejotinai pateksite į tašką, kuriame turėsite išspręsti kai kurias su tinklu susijusias problemas. Žinoma, būtų lengva tiesiog išsiųsti laišką pagalbos skyriui, bet kartais reikia susitepti rankas. Šiuo atveju tcpdumptai yra įrankis tam darbui. Tcpdump yra tinklo paketų analizatorius, veikiantis komandinėje eilutėje.

Šis straipsnis bus padalintas į tris dalis:

• Pagrindinės savybės.
• Filtravimas pagal tam tikras eismo charakteristikas.
• Trumpas sudėtingesnių funkcijų fragmentas (pvz., loginės išraiškos, filtravimas pagal TCP vėliavėles).

Kadangi tcpdump nėra įtrauktas į daugumą bazinių sistemų, turėsite jį įdiegti. Tačiau beveik visų Linux platinimų pagrindinėse saugyklose yra tcpdump. „Debian“ pagrindu sukurtų platinimų komanda įdiegti „tcpdump“ yra tokia:

apt-get install tcpdump

„CentOS“ / „RedHat“ atveju naudokite šią komandą:

yum install tcpdump

FreeBSD siūlo iš anksto sukurtą paketą, kurį galima įdiegti išduodant:

pkg install tcpdump

Taip pat yra prievadas, net/tcpdumpkurį galima įdiegti per:

cd /usr/ports/net/tcpdump
make install clean

Jei bėgsite tcpdumpbe jokių argumentų, būsite sumuštas dėl rezultatų. Paleidus jį naujai sukurtame egzemplioriuje čia, „Vultr“ mažiau nei penkias sekundes, gaunami tokie rezultatai:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Prieš pradėdami daugiau informacijos apie tai, kaip filtruoti įvestį, turėtumėte pažvelgti į kai kuriuos parametrus, kuriuos galima perduoti tcpdump:

• -i- Nurodo sąsają, kurioje norite klausytis, pavyzdžiui: tcpdump -i eth0.
• -n- Nebandykite atlikti atvirkštinės IP adresų paieškos, pvz.: tcpdump -n(jei pridėsite kitą, ntcpdump parodys prievadų numerius, o ne pavadinimus).
• -X- Parodykite surinktų paketų turinį: tcpdump -X.
• -c- Tik fiksuoja xpaketus, xnes tai yra savavališkas skaičius, pavyzdžiui, tcpdump -c 10užfiksuoja tiksliai 10 paketų.
• -v- Padidinkite jums rodomos paketinės informacijos kiekį, daugiau vs pridėkite daugiau išsamumo.

Kiekvienas iš čia paminėtų parametrų gali būti derinamas kartu. Jei norite užfiksuoti 100 paketų, bet tik savo VPN sąsajoje tun0, tada komanda tcpdump atrodytų taip:

tcpdump -i tun0 -c 100 -X

Be tų kelių variantų yra dešimtys (jei ne šimtai), tačiau jie yra labiausiai paplitę. Nedvejodami perskaitykite tcpdump vadovo puslapį savo sistemoje.

Dabar, kai jau turite pagrindinį supratimą apie tcpdump, atėjo laikas pažvelgti į vieną iš nuostabiausių tcpdump funkcijų: išraiškas. Išraiškos labai palengvins jūsų gyvenimą. Jie taip pat žinomi kaip BPF arba Berkeley paketų filtrai. Naudojant išraiškas galima pasirinktinai rodyti (arba ignoruoti) paketus pagal tam tikras charakteristikas – tokias kaip kilmė, paskirties vieta, dydis ar net TCP eilės numeris.

Iki šiol jums pavyko apriboti paiešką iki tam tikro paketų kiekio tam tikroje sąsajoje, bet būkime sąžiningi: tai vis tiek palieka per daug foninio triukšmo, kad būtų galima efektyviai dirbti su surinktais duomenimis. Štai čia atsiranda posakių. Sąvoka yra gana paprasta, todėl čia nepateiksime sausos teorijos ir pateiksime supratimą keletu praktinių pavyzdžių.

Posakiai, kuriuos tikriausiai naudosite dažniausiai:

• host – Ieškokite srauto pagal pagrindinio kompiuterio pavadinimus arba IP adresus.
• srcarba dst– Ieškokite srauto iš arba į konkretų prieglobą.
• proto- Ieškokite tam tikro protokolo srauto. Veikia tcp, udp, icmp ir kt. protoTaip pat galima praleisti raktinį žodį.
• net - Ieškokite srauto į / iš tam tikro IP adresų diapazono.
• port - Ieškokite srauto į / iš tam tikro uosto.
• greaterarba less– Ieškokite srauto, didesnio arba mažesnio nei tam tikras baitų kiekis.

Nors vadovo puslapyje tcpdumpyra tik keli pavyzdžiai, vadovo pcap-filterpuslapyje yra labai išsamūs paaiškinimai apie tai, kaip kiekvienas filtras veikia ir gali būti taikomas.

Jei norite pamatyti, kaip vyksta jūsų ryšys su tam tikru serveriu, galite naudoti host, pavyzdžiui, raktinį žodį (įskaitant kai kuriuos parametrus iš aukščiau):

tcpdump -i eth0 host vultr.com

Kartais tinkle yra kompiuterių, kurie negerbia MTU arba siunčia jums šlamštą dideliais paketais; juos išfiltruoti kartais gali būti sunku. Išraiškos leidžia filtruoti paketus, kurie yra didesni arba mažesni nei tam tikras baitų skaičius:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Galbūt jus domina tik tam tikras uostas. Šiuo atveju naudokite portposakį:

tcpdump -i eth0 -X port 21

Taip pat galite ieškoti prievadų diapazonų:

tcdump -i eth0 -X portrange 22-25

Kadangi NAT šliuzai yra gana dažni, galite ieškoti tik paskirties prievadų:

tcpdump dst port 80

Jei stebite srautą į savo žiniatinklio serverį, galbūt norėsite žiūrėti tik TCP srautą į 80 prievadą:

tcpdump tcp and dst port 80

Tikriausiai klausiate savęs, ką andten veikia raktinis žodis . Geras klausimas. Taip pereiname prie paskutinės šio straipsnio dalies.

tcpdump siūlo pagrindinį loginių posakių palaikymą, konkrečiau:

• and/ &&- Loginis "ir".
• or/ ||- Loginis "arba".
• not/ !- Logiška "ne".

Kartu su galimybe grupuoti išraiškas kartu galite sukurti labai galingas gaunamo ir išeinančio srauto paieškas. Taigi išfiltruokime srautą iš vultr.com per 22 arba 443 prievadą:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Vykdydami tai komandinėje eilutėje, gausite šią klaidą:

bash: syntax error near unexpected token `('

Taip yra todėl, kad yra įspėjimas: bashbando įvertinti kiekvieną galimą personažą. Tai apima (ir )simbolius. Kad išvengtumėte šios klaidos, kombinuotą išraišką turėtumėte naudoti pavienes kabutes:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Kitas naudingas pavyzdys: derindami SSH problemas su vienu iš savo vartotojų, galbūt norėsite nepaisyti visko, kas susiję su jūsų SSH sesija:

tcpdump '!(host $youripaddress) && port 22)'

Vėlgi, naudojimo atvejų yra begalė, ir jūs galite labai tiksliai nurodyti, kokio srauto norite matyti. Ši komanda parodys tik TCP rankos paspaudimo SYNACK paketus:

tcpdump -i eth0 'tcp[13]=18'

Tai veikia žiūrint į tryliktąjį TCP antraštės poslinkį ir aštuonioliktą baitą joje.

Jei viską padarėte čia, esate pasiruošę daugeliui naudojimo atvejų. Vos galiu liesti paviršių, nesigilindamas į daug detalių. Labai rekomenduoju šiek tiek toliau eksperimentuoti su įvairiomis parinktimis ir posakiais; ir kaip įprasta: pasiklydę kreipkis į žinyno puslapį.

Paskutinis, bet ne mažiau svarbus dalykas – greitas žvilgsnis atgal. Prisimeni šio straipsnio pradžią? Ar tūkstančiai paketų užfiksuoti per kelias sekundes? Galia tcpdumpgali tai labai sumažinti:

tcpdump -i eth0 tcp port 22

Rezultatas dabar:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

Tai daug protingesnė ir lengviau derinama. Linksmo tinklų kūrimo!