Hogyan rögzíthetjük és elemezhetjük a hálózati forgalmat a tcpdump segítségével?

A tcpdump egy csodálatos parancssori eszköz a hálózati szippantáshoz. Ez egy iparági szabvány a TCP/IP-csomagok rögzítésére és elemzésére.

A tcpdump eszköz nagy segítséget jelenthet a hálózati problémák megoldásában. A csomagok fájlba menthetők és később elemezhetők. Célszerű időnként futtatni ezt az eszközt a hálózat felügyelete érdekében.

Hogyan néz ki a tcpdump kimenet?

tcpdump lehetővé teszi a TCP/IP-csomagok fejléceinek vizsgálatát. Minden csomaghoz egy sort nyomtat, és a parancs addig fut, amíg meg nem nyomja a Ctrl+C billentyűkombinációt a befejezéshez.

Vizsgáljunk meg egy sort egy példakimenetből:

20:58:26.765637 IP 10.0.0.50.80 > 10.0.0.1.53181: Flags [F.], seq 1, ack 2, win 453, options [nop,nop,TS val 3822939 ecr 249100129], length 0

Minden sor tartalmazza

  • Unix időbélyeg (20:58:26.765637)
  • protokoll (IP)
  • a forrás gazdagépneve vagy IP-címe és portszáma (10.0.0.50.80)
  • cél hosztnév vagy IP-cím és portszám (10.0.0.1.53181)
  • TCP-jelzők (Flags [F.]). A zászlók jelzik a kapcsolat állapotát. Ez egynél több értéket is tartalmazhat, mint ebben a példában [F.] a FIN-ACK számára. Ennek a mezőnek a következő értékei lehetnek:
    • S – SYN. A kapcsolat létrehozásának első lépése.
    • F – FIN. Kapcsolat megszakítása.
    • . – ACK. A nyugtázó csomag sikeresen érkezett.
    • P – PUSH. Azt mondja a vevőnek, hogy a pufferelés helyett dolgozza fel a csomagokat.
    • R – RST. A kommunikáció leállt.
  • A csomagban lévő adatok sorszáma. (1. sor)
  • Nyugtázási szám (ack 2)
  • Ablakméret (win 453). A fogadó pufferben elérhető bájtok száma. Ezt követik a TCP opciók.
  • Az adathordozó hossza. (hossz 0)

Telepítés

Debian alapú disztribúciókon a tcpdump az APT paranccsal telepíthető:

# apt install tcpdump -y

RPM-alapú disztribúciókon a tcpdump telepíthető a YUM-mal:

# yum install tcpdump -y

Vagy DNF használata, ha RHEL 8

# dnf install tcpdump -y

tcpdump parancs beállításai

A tcpdump futtatásához root felhasználónak kell lennie. Számos lehetőséget és szűrőt tartalmaz. A tcpdump opciók nélküli futtatása az alapértelmezett felületen átfolyó összes csomagot rögzíti.

Megtekintheti a rendszeren elérhető hálózati interfészek listáját, és azt, amelyen a tcpdump képes csomagokat rögzíteni.

# tcpdump -D

Vagy

# Tcpdump --list-interfaces
1.eth0
2.nflog (Linux netfilter log (NFLOG) interface)
3.nfqueue (Linux netfilter queue (NFQUEUE) interface)
4.eth1
5.any (Pseudo-device that captures on all interfaces)
6.lo [Loopback]

Ez különösen hasznos azokon a rendszereken, amelyek nem rendelkeznek az interfészek listázására vonatkozó parancsokkal.

Egy adott interfészen átfolyó csomagok rögzítéséhez használja az -i jelzőt az interfész nevével. Az -i interfész nélkül a tcpdump felveszi az első hálózati interfészt, amelyen találkozik.

# tcpdump -i eth1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
01:06:09.278817 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 4761, seq 1, length 64
01:06:09.279374 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 4761, seq 1, length 64
01:06:10.281142 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 4761, seq 2, length 64

A -v jelző növeli a csomagokról látható információkat, a -vv pedig még több részletet ad.

  A hangerő beállítása a Mac számítógépen

Alapértelmezés szerint a tcpdump az IP-címeket gazdagépnevekre oldja fel, és portszámok helyett szolgáltatásneveket is használ. Ha a DNS hibás, vagy nem szeretné, hogy a tcpdump névkeresést hajtson végre, használja az -n kapcsolót.

# tcpdump -n
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
04:19:07.675216 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186733178:2186733278, ack 204106815, win 37232, length 100
04:19:07.675497 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 100, win 65535, length 0
04:19:07.675747 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 100:136, ack 1, win 37232, length 36
04:19:07.675902 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 136, win 65535, length 0
04:19:07.676142 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 136:236, ack 1, win 37232, length 100

Ha csak egy sor halmazt szeretne rögzíteni, például 5-öt, használja a -c jelzőt:

#tcpdump -c 5
04:19:07.675216 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186733178:2186733278, ack 204106815, win 37232, length 100
04:19:07.675497 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 100, win 65535, length 0
04:19:07.675747 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 100:136, ack 1, win 37232, length 36
04:19:07.675902 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 136, win 65535, length 0
04:19:07.676142 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 136:236, ack 1, win 37232, length 100
5 packets captured

Az alapértelmezett tcpdump kimenet Unix időbélyegeket használ. Csomagok rögzítése ember által olvasható időbélyeggel:

# tcpdump -tttt
2020-07-06 04:30:12.203638 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 2186734102:2186734138, ack 204107103, win 37232, length 36
2020-07-06 04:30:12.203910 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 36, win 65535, length 0
2020-07-06 04:30:12.204292 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 36:72, ack 1, win 37232, length 36
2020-07-06 04:30:12.204524 IP 10.0.2.2.50422 > 10.0.2.15.22: Flags [.], ack 72, win 65535, length 0
2020-07-06 04:30:12.204658 IP 10.0.2.15.22 > 10.0.2.2.50422: Flags [P.], seq 72:108, ack 1, win 37232, length 36

tcpdump szűrőkifejezések

A szűrőkifejezések kiválasztják, hogy mely csomagfejlécek jelenjenek meg. Ha nem alkalmaz szűrőket, az összes csomagfejléc megjelenik. A leggyakrabban használt szűrők a port, host, src, dst, tcp, udp, icmp.

portszűrő

Használja a portszűrőt egy adott portra érkező csomagok megtekintéséhez:

# Tcpdump -i eth1 -c 5 port 80
23:54:24.978612 IP 10.0.0.1.53971 > 10.0.0.50.80: Flags [SEW], seq 53967733, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 256360128 ecr 0,sackOK,eol], length 0
23:54:24.978650 IP 10.0.0.50.80 > 10.0.0.1.53971: Flags [S.E], seq 996967790, ack 53967734, win 28960, options [mss 1460,sackOK,TS val 5625522 ecr 256360128,nop,wscale 6], length 0
23:54:24.978699 IP 10.0.0.1.53972 > 10.0.0.50.80: Flags [SEW], seq 226341105, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 256360128 ecr 0,sackOK,eol], length 0
23:54:24.978711 IP 10.0.0.50.80 > 10.0.0.1.53972: Flags [S.E], seq 1363851389, ack 226341106, win 28960, options [mss 1460,sackOK,TS val 5625522 ecr 256360128,nop,wscale 6], length 0

gazdagép szűrő

A 10.0.2.15 IP-című gazdagéphez érkező vagy onnan induló összes csomag rögzítése:

# tcpdump host 10.0.2.15
03:48:06.087509 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 3862934963:3862934999, ack 65355639, win 37232, length 36
03:48:06.087806 IP 10.0.2.2.50225 > 10.0.2.15.22: Flags [.], ack 36, win 65535, length 0
03:48:06.088087 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 36:72, ack 1, win 37232, length 36
03:48:06.088274 IP 10.0.2.2.50225 > 10.0.2.15.22: Flags [.], ack 72, win 65535, length 0
03:48:06.088440 IP 10.0.2.15.22 > 10.0.2.2.50225: Flags [P.], seq 72:108, ack 1, win 37232, length 36

Egy adott protokolltípus, például icmp, csomagok rögzítéséhez az eth1 interfészen:

# tcpdump -i eth1 icmp
04:03:47.408545 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 75, length 64
04:03:47.408999 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 2812, seq 75, length 64
04:03:48.408697 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 76, length 64
04:03:48.409208 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 2812, seq 76, length 64
04:03:49.411287 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 2812, seq 77, length 64

Szűrési kifejezések kombinálása

Ezeket a szűrőkifejezéseket AND, OR és NOT operátorokkal kombinálhatja. Ez lehetővé teszi olyan parancsok írását, amelyek pontosabban elkülöníthetik a csomagokat:

  Hogyan működnek az intelligens otthonok?

Egy adott IP-ről származó és egy adott porthoz rendelt csomagok:

# tcpdump -n -i eth1 src 10.0.0.1 and dst port 80
00:18:17.155066 IP 10.0.0.1.54222 > 10.0.0.50.80: Flags [F.], seq 500773341, ack 2116767648, win 4117, options [nop,nop,TS val 257786173 ecr 5979014], length 0
00:18:17.155104 IP 10.0.0.1.54225 > 10.0.0.50.80: Flags [S], seq 904045691, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 257786173 ecr 0,sackOK,eol], length 0
00:18:17.157337 IP 10.0.0.1.54221 > 10.0.0.50.80: Flags [P.], seq 4282813257:4282813756, ack 1348066220, win 4111, options [nop,nop,TS val 257786174 ecr 5979015], length 499: HTTP: GET / HTTP/1.1
00:18:17.157366 IP 10.0.0.1.54225 > 10.0.0.50.80: Flags [.], ack 1306947508, win 4117, options [nop,nop,TS val 257786174 ecr 5983566], length 0

Az ICMP kivételével az összes csomag rögzítéséhez használja a NOT operátort:

# tcpdump -i eth1 not icmp

Csomagfejlécek mentése fájlba

Mivel a tcpdump kimenete elég gyorsan átgördül a képernyőn, a csomagfejléceket a -w kapcsolóval ellátott fájlban tárolhatja. A kimenet mentésére szolgáló fájlok pcap formátumot használnak, és .pcap kiterjesztéssel rendelkeznek.

  Tesztelje hallását iPhone-nal és csendes szobában

A PCAP a csomagrögzítés rövidítése. A következő parancs 10 sornyi kimenetet ment el az eth1 felületen az icmp.pcap fájlba.

# tcpdump -i eth1 -c 10 -w icmp.pcap
tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
10 packets captured
10 packets received by filter
0 packets dropped by kernel

Ezt a fájlt az -r kapcsolóval olvashatja el:

tcpdump -r icmp.pcap
reading from file icmp.pcap, link-type EN10MB (Ethernet)
05:33:20.852732 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 33, length 64
05:33:20.853245 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 3261, seq 33, length 64
05:33:21.852586 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 34, length 64
05:33:21.853104 IP 10.0.0.51 > vagrant-ubuntu-trusty-64: ICMP echo reply, id 3261, seq 34, length 64
05:33:22.852615 IP vagrant-ubuntu-trusty-64 > 10.0.0.51: ICMP echo request, id 3261, seq 35, length 64

A csomag részleteinek megtekintése

Eddig csak a csomagfejléceket láttuk, a csomag tartalmának megtekintéséhez használd az -A opciót. Ez ASCII formátumban nyomtatja ki a csomag tartalmát, ami segítséget jelenthet a hálózati hibaelhárításban. Az -X jelző is használható a kimenet hexadecimális formátumú megjelenítésére. Ez nem feltétlenül segít, ha a kapcsolat titkosított.

# tcpdump -c10 -i eth1 -n -A port 80
23:35:53.109306 IP 10.0.0.1.53916 > 10.0.0.50.80: Flags [P.], seq 2366590408:2366590907, ack 175457677, win 4111, options [nop,nop,TS val 255253117 ecr 5344866], length 499: HTTP: GET / HTTP/1.1
E..'[email protected]@.%.
...
..2...P..M.
uE............
.6.}.Q.bGET / HTTP/1.1
Host: 10.0.0.50
Connection: keep-alive
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
If-Modified-Since: Tue, 04 Mar 2014 11:46:45 GMT

Következtetés

A tcpdump könnyen beállítható, és miután megértette a kimenetet, a különféle jelzőket és szűrőket, használható a hálózati problémák megoldására és a hálózat biztonságára.