Ievads Tcpdump

Ja izmantojat serveri, jūs, bez šaubām, nonāksit līdz vietai, kur jums būs jānovērš dažas ar tīklu saistītas problēmas. Protams, būtu viegli vienkārši nosūtīt pastu atbalsta nodaļai, taču dažreiz jums ir jāsasmērē rokas. Šajā gadījumā tcpdumptas ir rīks šim darbam. Tcpdump ir tīkla pakešu analizators, kas darbojas zem komandrindas.

Šis raksts tiks sadalīts trīs daļās:

• Pamatfunkcijas.
• Filtrēšana, pamatojoties uz noteiktiem satiksmes rādītājiem.
• Īss papildu funkciju fragments (piemēram, loģiskās izteiksmes, filtrēšana pēc TCP karodziņiem).

Tā kā tcpdump nav iekļauts lielākajā daļā bāzes sistēmu, jums tas būs jāinstalē. Tomēr gandrīz visu Linux izplatījumu galvenajos krātuvēs ir tcpdump. Uz Debian balstītiem izplatījumiem tcpdump instalēšanas komanda ir šāda:

apt-get install tcpdump

CentOS/RedHat izmantojiet šo komandu:

yum install tcpdump

FreeBSD piedāvā iepriekš izveidotu pakotni, kuru var instalēt, izdodot:

pkg install tcpdump

Ir pieejams arī ports, net/tcpdumpkuru var instalēt, izmantojot:

cd /usr/ports/net/tcpdump
make install clean

Ja tu skriesi tcpdumpbez argumentiem, tu būsi satriekts ar rezultātiem. Palaižot to svaigi izveidotā instancē šeit vietnē Vultr mazāk nekā piecas sekundes, tiek iegūti šādi rezultāti:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Pirms iedziļināties sīkāk par ievades filtrēšanu, jums vajadzētu apskatīt dažus parametrus, kurus var nodot tcpdump:

• -i- Norāda interfeisu, kurā vēlaties klausīties, piemēram: tcpdump -i eth0.
• -n- Nemēģiniet veikt apgriezto IP adreses meklēšanu, piemēram: tcpdump -n(ja pievienosit citu ntcpdump, nosaukumu vietā parādīs portu numurus).
• -X- Parādiet savākto pakešu saturu: tcpdump -X.
• -c- Tver tikai xpaketes, xkas ir patvaļīgs skaits, piemēram, tcpdump -c 10tver tieši 10 paketes.
• -v- Palieliniet pakešu informācijas daudzumu, kas jums tiek rādīts, vairāk vs pievienojiet vairāk runīguma.

Katru no šeit minētajiem parametriem var apvienot kopā. Ja vēlaties tvert 100 paketes, bet tikai savā VPN saskarnē tun0, komanda tcpdump izskatītos šādi:

tcpdump -i tun0 -c 100 -X

Papildus šīm dažām iespējām ir desmitiem (ja ne simtiem), taču tās ir visizplatītākās. Jūtieties brīvi lasīt tcpdump rokasgrāmatu savā sistēmā.

Tagad, kad jums ir pamatzināšanas par tcpdump, ir pienācis laiks apskatīt vienu no tcpdump izcilākajām funkcijām: izteiksmes. Izteicieni padarīs jūsu dzīvi daudz vieglāku. Tos sauc arī par BPF vai Berkeley pakešu filtriem. Izmantojot izteiksmes, varat selektīvi parādīt (vai ignorēt) paketes, pamatojoties uz noteiktiem raksturlielumiem, piemēram, izcelsmi, galamērķi, lielumu vai pat TCP kārtas numuru.

Līdz šim jums ir izdevies ierobežot meklēšanu līdz noteiktam pakešu daudzumam noteiktā saskarnē, taču būsim godīgi: tas joprojām rada pārāk daudz fona trokšņu, lai efektīvi strādātu ar savāktajiem datiem. Šeit tiek izmantoti izteicieni. Koncepcija ir diezgan vienkārša, tāpēc mēs atstāsim sauso teoriju un atbalstīsim izpratni ar dažiem praktiskiem piemēriem.

Izteicieni, kurus jūs, iespējams, izmantosit visbiežāk, ir:

• host - Meklējiet trafiku, pamatojoties uz saimniekdatora nosaukumiem vai IP adresēm.
• srcvai dst- Meklējiet trafiku no konkrēta saimniekdatora vai uz to.
• proto- Meklējiet noteikta protokola trafiku. Darbojas tcp, udp, icmp un citiem. protoIr iespējams arī izlaist atslēgvārdu.
• net - Meklējiet trafiku uz/no noteikta IP adrešu diapazona.
• port - Meklējiet satiksmi uz/no noteiktas ostas.
• greatervai less- Meklējiet trafiku, kas ir lielāks vai mazāks par noteiktu baitu skaitu.

Lai gan manlapā ir tcpdumptikai daži piemēri, manlapā pcap-filterir ļoti detalizēti paskaidrojumi par to, kā katrs filtrs darbojas un kā to var lietot.

Ja vēlaties redzēt, kā notiek jūsu saziņa ar noteiktu serveri, varat izmantot host, piemēram, atslēgvārdu (ieskaitot dažus parametrus no augšas):

tcpdump -i eth0 host vultr.com

Dažreiz tīklā ir datori, kas neievēro MTU vai nosūta jums surogātpastu ar lielām paketēm; to filtrēšana dažkārt var būt sarežģīta. Izteiksmes ļauj filtrēt pakotnes, kas ir lielākas vai mazākas par noteiktu baitu skaitu:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Varbūt jūs interesē tikai noteikta osta. Šajā gadījumā izmantojiet portizteicienu:

tcpdump -i eth0 -X port 21

Varat arī pievērst uzmanību portu diapazoniem:

tcdump -i eth0 -X portrange 22-25

Tā kā NAT vārtejas ir diezgan izplatītas, varat meklēt tikai mērķa portus:

tcpdump dst port 80

Ja skatāties trafiku uz savu tīmekļa serveri, iespējams, vēlēsities apskatīt tikai TCP trafiku uz portu 80:

tcpdump tcp and dst port 80

Jūs droši vien jautājat sev, ko atslēgvārds andtur dara. Labs jautājums. Tas mūs noved pie šī raksta pēdējās daļas.

tcpdump piedāvā pamata atbalstu loģiskām izteiksmēm, konkrētāk:

• and/ &&- Loģiski "un".
• or/ ||- Loģisks "vai".
• not/ !- Loģiski "nē".

Kopā ar iespēju grupēt izteiksmes kopā, tas ļauj izveidot ļoti spēcīgus ienākošās un izejošās trafika meklējumus. Tātad filtrēsim trafiku, kas nāk no vultr.com portā 22 vai 443:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Palaižot to komandrindā, tiks parādīta šāda kļūda:

bash: syntax error near unexpected token `('

Tas ir tāpēc, ka ir brīdinājums: bashmēģina novērtēt katru varoni. Tas ietver (un )rakstzīmes. Lai izvairītos no šīs kļūdas, kombinētajai izteiksmei ir jāizmanto atsevišķas pēdiņas:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Vēl viens noderīgs piemērs: atkļūdojot SSH problēmas ar kādu no saviem lietotājiem, iespējams, vēlēsities ignorēt visu, kas ir saistīts ar jūsu SSH sesiju:

tcpdump '!(host $youripaddress) && port 22)'

Atkal, lietošanas gadījumi ir bezgalīgi, un jūs varat norādīt ļoti dziļi, kāda veida trafiku vēlaties redzēt. Šī komanda parādīs tikai TCP rokasspiediena SYNACK paketes:

tcpdump -i eth0 'tcp[13]=18'

Tas darbojas, aplūkojot TCP galvenes trīspadsmito nobīdi un astoņpadsmito baitu tajā.

Ja esat paveicis visu šeit, tad esat gatavs lielākajai daļai lietošanas gadījumu, kas radīsies. Es tik tikko varu pieskarties virsmai, neiedziļinoties pārāk daudzās detaļās. Es ļoti iesaku eksperimentēt ar dažādām opcijām un izteiksmēm nedaudz tālāk; un kā parasti: atsaucieties uz manlapu, kad apmaldāties.

Pēdējais, bet ne mazāk svarīgais – ātrs atskats. Atcerieties šī raksta sākumu? Ar tūkstošiem pakešu, kas notvertas dažu sekunžu laikā? Jauda tcpdumpvar to ievērojami samazināt:

tcpdump -i eth0 tcp port 22

Rezultāts tagad ir:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

Tas ir daudz saprātīgāks un vieglāk atkļūdojams. Laimīgu tīklu veidošanu!