Uvod v Tcpdump

Če zaženete strežnik, boste nedvomno prišli do točke, ko boste morali odpraviti nekatere težave, povezane z omrežjem. Seveda bi bilo enostavno poslati pošto na podporni oddelek, a včasih si morate umazati roke. V tem primeru tcpdumpje orodje za to delo. Tcpdump je analizator omrežnih paketov, ki se izvaja pod ukazno vrstico.

Ta članek bo razdeljen na tri dele:

• Osnovne lastnosti.
• Filtriranje na podlagi določenih prometnih značilnosti.
• Kratek izrezek naprednejših funkcij (kot so logični izrazi, filtriranje po zastavicah TCP).

Ker tcpdump ni vključen v večino osnovnih sistemov, ga boste morali namestiti. Vendar imajo skoraj vse distribucije Linuxa tcpdump v svojih osrednjih repozitorijih. Za distribucije, ki temeljijo na Debianu, je ukaz za namestitev tcpdump:

apt-get install tcpdump

Za CentOS/RedHat uporabite naslednji ukaz:

yum install tcpdump

FreeBSD ponuja vnaprej izdelan paket, ki ga je mogoče namestiti z izdajo:

pkg install tcpdump

Na voljo so tudi vrata, net/tcpdumpki jih je mogoče namestiti prek:

cd /usr/ports/net/tcpdump
make install clean

Če tečeš tcpdumpbrez argumentov, boš pretepen z rezultati. Če ga zaženete na sveže zavrtenem primerku tukaj na Vultru za manj kot pet sekund, dobite naslednje rezultate:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

Preden se poglobite v podrobnosti o filtriranju vnosa, si oglejte nekaj parametrov, ki jih je mogoče posredovati tcpdump:

• -i- Določa vmesnik, na katerem želite poslušati, na primer: tcpdump -i eth0.
• -n- Ne poskušajte izvajati povratnih iskanj na naslovih IP, na primer: tcpdump -n(če dodate še en ntcpdump, vam bo namesto imen pokazal številke vrat).
• -X- Pokaži vsebino zbranih paketov: tcpdump -X.
• -c- Samo zajemanje xpaketov, xki je poljubno število, na primer tcpdump -c 10zajame točno 10 paketov.
• -v- Povečajte količino prikazanih podatkov o paketih, več vs dodajte več besed.

Vsak od tukaj omenjenih parametrov je mogoče kombinirati skupaj. Če bi želeli zajeti 100 paketov, vendar samo na vašem vmesniku VPN tun0, bi bil ukaz tcpdump videti takole:

tcpdump -i tun0 -c 100 -X

Obstaja na desetine (če ne na stotine) možnosti poleg teh nekaj, vendar so najpogostejše. Vabljeni, da preberete man stran tcpdump v vašem sistemu.

Zdaj, ko imate osnovno razumevanje tcpdump, je čas, da si ogledate eno od najbolj osupljivih funkcij tcpdump: izraze. Izrazi vam bodo veliko olajšali življenje. Znani so tudi kot BPF ali Berkeley paketni filtri. Uporaba izrazov vam omogoča, da selektivno prikažete (ali prezrete) pakete na podlagi določenih značilnosti – kot so izvor, cilj, velikost ali celo zaporedna številka TCP.

Doslej vam je uspelo omejiti iskanje na določeno količino paketov na določenem vmesniku, a bodimo iskreni: to še vedno pušča preveč hrupa v ozadju za učinkovito delo z zbranimi podatki. Tu pridejo v poštev izrazi. Koncept je precej preprost, zato bomo tukaj izpustili suho teorijo in podprli razumevanje z nekaj praktičnimi primeri.

Izrazi, ki jih boste verjetno najbolj uporabljali, so:

• host - Poiščite promet na podlagi imen gostiteljev ali naslovov IP.
• srcali dst- Poiščite promet od ali do določenega gostitelja.
• proto- Poiščite promet določenega protokola. Deluje za tcp, udp, icmp in druge. protoMožno je tudi izpuščanje ključne besede.
• net - Poiščite promet na/iz določenega obsega naslovov IP.
• port - Poiščite promet do/iz določenega pristanišča.
• greaterali less- Poiščite promet, večji ali manjši od določene količine bajtov.

Medtem ko priročnik za tcpdumpvsebuje le nekaj primerov, ima stran priročnika za pcap-filterzelo podrobna pojasnila o tem, kako vsak filter deluje in ga je mogoče uporabiti.

Če želite videti, kako poteka vaša komunikacija z določenim strežnikom, lahko uporabite na hostprimer ključno besedo (vključno z nekaterimi od zgornjih parametrov):

tcpdump -i eth0 host vultr.com

Včasih so v omrežju računalniki, ki ne spoštujejo MTU ali vam pošiljajo velike pakete; njihovo filtriranje je včasih težko. Izrazi vam omogočajo filtriranje paketov, ki so večji ali manjši od določenega števila bajtov:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

Morda vas zanima le določeno pristanišče. V tem primeru uporabite portizraz:

tcpdump -i eth0 -X port 21

Prav tako lahko pazite na obsege vrat:

tcdump -i eth0 -X portrange 22-25

Ker so prehodi NAT precej pogosti, lahko iščete samo ciljna vrata:

tcpdump dst port 80

Če gledate promet na svojem spletnem strežniku, boste morda želeli pogledati samo promet TCP do vrat 80:

tcpdump tcp and dst port 80

Verjetno se sprašujete, kaj ključna beseda andtam počne. Dobro vprašanje. To nas pripelje do zadnjega dela tega članka.

tcpdump ponuja osnovno podporo za logične izraze, natančneje:

• and/ &&- Logično "in".
• or/ ||- Logično "ali".
• not/ !- Logično "ne".

Skupaj z zmožnostjo združevanja izrazov skupaj vam omogoča, da ustvarite zelo zmogljiva iskanja za dohodni in odhodni promet. Zato filtrirajmo promet, ki prihaja z vultr.com na vratih 22 ali 443:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

Če to zaženete v ukazni vrstici, boste dobili naslednjo napako:

bash: syntax error near unexpected token `('

To je zato, ker obstaja opozorilo: bashposkuša oceniti vsak znak, ki ga lahko. To vključuje znake (in ). Da bi se izognili tej napaki, uporabite enojne narekovaje okoli kombiniranega izraza:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

Še en uporaben primer: pri odpravljanju napak pri SSH pri enem od vaših uporabnikov boste morda želeli prezreti vse, kar je povezano z vašo sejo SSH:

tcpdump '!(host $youripaddress) && port 22)'

Spet so primeri uporabe neskončni in lahko natančno določite, kakšen promet želite videti. Naslednji ukaz bi vam pokazal samo pakete SYNACK pri rokovanju TCP:

tcpdump -i eth0 'tcp[13]=18'

To deluje tako, da pogledate trinajsti odmik glave TCP in osemnajsti bajt v njej.

Če ste naredili vse do tukaj, potem ste pripravljeni na večino primerov uporabe, ki se bodo pojavili. Komaj se dotaknem površine, ne da bi se spuščal v preveč podrobnosti. Zelo priporočam, da še malo eksperimentirate z različnimi možnostmi in izrazi; in kot običajno: sklicujte se na stran priročnika, ko se izgubite.

Nenazadnje – hiter pogled nazaj. Se spomnite začetka tega članka? Z na tisoče paketov, zajetih v nekaj sekundah? Moč tcpdumplahko to precej zmanjša:

tcpdump -i eth0 tcp port 22

Rezultat je zdaj:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

To je veliko bolj razumno in lažje odpravljati napake. Srečno mreženje!